NETinfo 2010-06-17 Magnus Persson Epost: Telefon: 046 – 222 13 60.

En presentation över ämnet: "NETinfo 2010-06-17 Magnus Persson Epost: Telefon: 046 – 222 13 60."— Presentationens avskrift:

1 NETinfo 2010-06-17 Magnus Persson Epost: Magnus.Persson@ldc.lu.se Telefon: 046 – 222 13 60

2 Netinfo 2010-06-17 Om farbror Blå knackar på Computer Forensics Reklam

3 Utredningar Lämna inte ut data direkt Ta all information och be att få återkomma Kontakta –IT-säkerhet –Säkerhetschefen –Juridiska enheten Man vet aldrig vart utredningen leder!

4 Utredningar Isolera datorn, rör den inte Identifiera all relevant data Kopiera alla relevanta loggar Spara en backup från datorer med loggar

5 Utredningar Gör inte polisens arbete! Gör två kopior, behåll en själv Informera om var relevant data finns … men det kan finnas mer!

6 Utredningar Använd rätt verktyg för kopiering Datamedia måste kopieras i sin helhet! Använd inte tar, dump, copy och liknande Tomma sektorer är inte alltid tomma

7 Utredningar Du kan bli kallad att vittna! Gör därför inte en amatörutredning Rättegången kan dröja länge En dåligt utredning kan göra stor skada

8 Interna utredningar Kontakta –ITsäkerhet –Säkerhetschef –Juridiska enheten –Personalavdelningen Olämpligt att utreda arbetskamrater Opartiskheten kan ifrågasättas

9 Computer Forensics Var helst två personer Notera allt som görs, av vem, tidpunkt, mm. Identifiera så många datakällor som möjligt Bestäm om minne eller disk är viktigast Kopiera all data som skall utredas Lås in originalen (chain of custody)

10 Computer Forensics Skapa en tidslinje Känner du till en trolig startdatum? Konsolidera all relevant data efter tidpunkt Lägg pussel!

11 Computer Forensics Vad bör man kunna? –Filsystem –Hur data skrivs och raderas –Hur program använder RAM –Hur vanliga applikationer fungerar –Loggar –mm, mm

12 Computer Forensics Fria live-CD med verktyg Helix3 https://www.e-fense.comhttps://www.e-fense.com Deft Linuxhttp://www.deftlinux.net/http://www.deftlinux.net/ CAINEhttp://www.caine-live.net/http://www.caine-live.net/

13 Computer Forensics Verktyg –Kopiera media: Air, Adepto –Filecarving: Scalpel, Foremost –Timeline: Sleuthkit, Authopsy –Rädda data: Ddrescue, Dvdisaster, Fundl –Söka nyckelord: Fklook –Webbcache/history: mork.pl, Pasco –Fixa skadade partitioner: Testdisk –Användningshistorik: USBdeview, OpenedFilesView

14 Computer Forensics Xplico är ett Network Forensics program Samlar in data eller ta emot redan insamlad Organiserar data från nätverkstrafik Visar väldigt mycket! http://www.xplico.org

15 Xplico startsida

16 Xplico

17

18

19 Skapa förutsättningar  Använd NTP på samtliga datorer  Se till att loggar inte raderas  Lär känna dina loggar  Skaffa verktyg för att läsa loggar  Testkör computer forensics på din egen dator  Lär dig hur filsystem ser ut och fungerar  Lär dig känna igen vad du ser

20 Tidningar http://hakin9.org/ http://www.net-security.org/insecuremag.php http://www.forensicmag.com/ http://www.digitalforensicsmagazine.com/ http://www.crimeandclues.com/

21 Böcker, litet utdrag Computer forensics for dummies  Computer Forensics JumpStart - Solomon, Broom, Barrett  File System Forensic Analysis - Carrier  Handbook of Computer Crime Investigation: Forensic Tools and Technology  Computer Forensics Library Box - Farmer, Venema,…

22 Reklam Peter Möller, CS  Script: open_ports.sh  Visar öppna sessioner i realtid på skrivbordet  http://cs.lth.se/kontakt/peter_moller/

23 Reklam

24 NETinfo 2010-06-17 FRÅGOR?