La Comunidad DragonJAR

Con el fin de motivar en área de la seguridad de la información a los campuseros y asistentes al Campus Party Co, el miércoles 30 de junio, la comunidad tuvo una representación más en la cual se realizo el taller denominado “Wireshark, ataque y contramedidas arp-spoofing usando ettercap y arpwatch” a manos del miembro activo Carlos Andrés Rodallega Obando más conocido en la comunidad como Roguer.

El taller tuvo una buena acogida de parte de los campuseros, ya que arranco con una introducción bastante simple, de inmediato con el fin de no perder la atención de los asistentes, el taller se inicio con un nivel básico haciendo capturas y poco a poco se fue subiendo el nivel al punto de llegar al manejo de filtros compuestos con wireshark, también se usaron herramientas bastante conocidas como lo es netcat (se creo un chat y se transfirieron archivos), con el fin de generar tráfico en la red. La parte de wireshark finalizo con la reconstrucción de un archivo a partir de los datos guardados de una captura usando tcpxtract. Leer más…

Cuando se realiza una auditoria, siempre es recomendable seguir una serie de pasos para no pasar por algo ningún detalle que pueda resultar crucial para nuestra investigación, a continuación les dejo un pequeño listado de las cosas a las que debemos echarle una ojeada cuando auditamos una base de datos oracle.

1). Determinar si en la BD esta activo el modo de operación en ARCHIVELOG o NONARCHIVELOG. Si este no esta activo, la evidencia de ataque o cambios serán sobrescritos por un nuevo redo.

Se puede determinar realizando una sentencia SQL a la BD:

• SELECT VALUE V$PARAMETER WHERE FROM NAME=’archiv_log_start’;

Leer más…

Muchas veces la gente pregunta como hacen para saber que paso en un computador, ya sea para saber si desde ese PC se realizo algun acto ilegal o si alguien modifico o realizo alguna operacion que no deberia haber realizado en esa maquina, aqui les dejare una serie de procedimientos a realizar para obtener evidencia desde un equipo con Microsoft Windows.

Parto suponiendo que se ha realizado un trabajo de copia byte a byte del disco duro del equipo afectado, ha sido firmada (hash md5, SHA1), creado su TimeStamp y se esta trabajando desde una copia, ahora realizaremos procedimientos para obtención de la evidencia en la Fase de Análisis de Datos, con base en los logs y recuperación de archivos:

- Fecha y Hora de Inicio de la Investigación:

Date /t >> c:\evidencia_dragonjar\

Time /t >> c:\evidencia_dragonjar\ Leer más…

Continuamos con la cuarte y ultima parte del articulo sobre la metodología básica para realizar un análisis forense, si no has leído la 3ra parte parte, puedes verla aquí.

PREPARACIÓN DEL INFORME

Es la fase final y la mas delicada e importante la cual sera el documento que sustentara una prueba en un proceso legal, básicamente tener en cuenta estos dos pasos: Leer más…

Continuamos con la tercera parte del articulo sobre la metodología básica para realizar un análisis forense, si no has leído la 2da parte parte, puedes verla aquí.

ANALISIS DE DATOS:

Seguiremos los tres pasos de la anterior figura:

Análisis de Datos de la Red:

Para nuestra investigación nos centraremos en identificar los dispositivos de comunicación y de defensa perimetral (Servidores Web, Firewall, IDS’s, IPS’s, Proxys, Filtros de Contenido,Analizadores de Red, Servidores de Logs,etc) que están en la Red, con la finalidad de recuperar los logs que se han tomado como parte de la gestión de red. Leer más…

Continuamos con la segunda parte del articulo sobre la metodología básica para realizar un análisis forense, si no has leído la primera parte, puedes verla aquí.

Adquisición:

En esta segunda fase, procedemos a ejecutar los 3 pasos que visualizamos en el gráfico anterior para adquirir la evidencia sin alterarla o dañarla, se autentica que la informacion de la evidencia sea igual a la original.

Se debe definir los equipos y herramientas determinadas para llevar a cabo la investigación. Lograr un entorno de trabajo adecuado para el análisis y la investigación. Leer más…

En este articulo describiremos de forma practica, como utilizar una Metodología de Análisis forense para responder a un incidente.

Identificación:

• En esta fase, realizamos una evaluación de los recursos, alcance y objetivos necesarios para realizar la investigación interna.
• Obtener por escrito la autorización para iniciar la Forense (Investigación de equipos). Acuerdos de confidencialidad.
• Documentarse de todas las acciones y antecedentes que preceden la investigación. Los acontecimientos y decisiones que se adoptaron durante el incidente y su respuesta al incidente. La cual determinara el curso de acción a seguir en la Investigación. Leer más…