Procedimientos De Obtención De Evidencia En Windows

Muchas veces la gente pregunta como hacen para saber que paso en un computador, ya sea para saber si desde ese PC se realizo algun acto ilegal o si alguien modifico o realizo alguna operacion que no deberia haber realizado en esa maquina, aqui les dejare una serie de procedimientos a realizar para obtener evidencia desde un equipo con Microsoft Windows. Parto suponiendo que se ha realizado un trabajo de copia byte a byte del disco duro del equipo afectado, ha sido firmada (hash md5, SHA1), creado su TimeStamp y se esta trabajando desde una copia, ahora realizaremos procedimientos para obtención de la evidencia en la Fase de Análisis de Datos, con base en los logs y recuperación de archivos: – Fecha y Hora de Inicio de la Investigación: Date /t >> c:\evidencia_dragonjar\ Time /t >> c:\evidencia_dragonjar\ Realizar el análisis de Secuencia Temporal (“timeline”) Búsqueda de contenido Recuperación de binarios y documentos (borrados o corruptos) Análisis de código (virus, troyanos, rootkits, etc.) Buscar archivos ocultos o no usuales (slack space), comprensión de estructuras y bloques. Buscar procesos no usuales y sockets abiertos Buscar cuentas de usuario extrañas Determinar el nivel de seguridad del sistema, posibles agujeros, etc… Los Objetivos son: Qué? Cuándo? Cómo? Quién ? Porqué ? Buscar en Fuentes adicionales, que hagan parte de la Tipo-logia del sistema comprometido y de la imagen del Dispositivo de almacenamiento. 1. Logs de elementos perimetrales, appliance, UMT, Routers, Switches, Firewalls, IDS’s, IPS’s. VPN Servidores de Autenticacion TACAS, Radius, etc. 2. Información de los DHCP o DNS’s, Port mirroring. 3. Servidores de Logs, Servidores Web, de Correo. 4. Del Sistema, Seguridad, Aplicaciones, BD’s 5. Analizadores de trafico y Monitoreo de Red, FTP’s, SSH, etc. 6. Cache del Sistema, temporales, directorio Prefetch, index.dat, cookies (C:\Documents and Settings\Nombre_Usuario\Cookies), directorio temporales de internet, historial, logs de mensajerías instantáneas, contactos, correos, pst, ost,etc. 7. Perfiles de usuarios (C:\Documents and Settings\usuario). 8. Archivos borrados, papelera de reciclaje (C:\Recycler\%USERSID%\INFO2). 9. Documentos recientes (HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU). 10. Sistema de Registro de Windows (%systemroot%\system32\config) o recuperar de %SystemRoot%\repair. 11. Archivos de Service Pack y Hot fix. 12. Realizar búsquedas de ADS (Alterna Data Stream). 13. Identificar las cuentas de usuario (SAM). 14. Las ultimas 25 URLs listadas recientemente en Internet Explorer o Windows Explorer (HKCU\Software\Microsoft\Internet Explorer\TypedURLs) 15. Almacenamiento de datos privados del usuario, como passwords, autocompletar, etc (HKCU\Software\Microsoft\Protected Storage System Provider) 16. Mantiene registro de los programas, accesos directos y opciones del panel de control que el usuario a accesado (HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist) 17. Mantiene los mapeos de red y la carpeta compartida (HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Map Network Drive MRU) (HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2) 18. Contiene información de la configuración de los adaptadores de la Wireless HKLM\SOFTWARE\Microsoft\WZCSVC\Parameters\Interfaces\GUID 19. Contiene información...

Leer Más

Siguenos!

O Puedes Subscribete

ANTES DE

SALIRTE ...

NO TE

ARREPENTIRÁS

!Gracias¡

NO OLVIDES NUESTRAS REDES SOCIALES