Extracción de artefactos

Los artefactos son los elementos relevantes ocultos dentro de una captura: archivos transferidos, credenciales, imágenes y datos de sesión.

Recuperarlos convierte un flujo de paquetes en pruebas concretas de lo que se envió y se observó.

Un solo archivo se divide en muchos segmentos TCP. Para recuperarlo, debe reensamblar el flujo en el orden correcto.

Wireshark y las herramientas especializadas lo hacen automáticamente al seguir un flujo o exportar objetos.

Wireshark puede enumerar todos los archivos transferidos mediante HTTP y exportarlos con un solo clic.

Esto permite recuperar documentos descargados, imágenes e incluso muestras de malware directamente de la captura.

Protocolos como HTTP, FTP y Telnet envían las credenciales en texto claro. Seguir el flujo revela directamente los nombres de usuario y las contraseñas.

Esto demuestra exactamente por qué esos protocolos son peligrosos en redes que no son de confianza.

Los filtros de visualización permiten localizar rápidamente el tráfico de autenticación para que no tenga que buscarlo manualmente.

Filtre los formularios de inicio de sesión, las cabeceras de autenticación básica y los protocolos de credenciales conocidos.

La autenticación HTTP Basic envía las credenciales codificadas en Base64, no cifradas. Decodificar la cabecera las revela al instante.

Base64 es una codificación, no un mecanismo de seguridad.

Cuando un protocolo no es compatible de forma nativa, puede extraer archivos de los bytes sin procesar reconociendo sus firmas, también llamadas números mágicos.

Herramientas como foremost o binwalk analizan la carga útil de una captura en busca de estos marcadores.

NetworkMiner es una herramienta diseñada para extraer artefactos. Proporciónele un pcap y extraerá automáticamente archivos, imágenes, credenciales y detalles de los hosts.

Es una primera revisión rápida antes de profundizar manualmente en Wireshark.

Las imágenes recuperadas pueden revelar lo que un usuario vio o subió. Tanto Export Objects de Wireshark como NetworkMiner reconstruyen imágenes a partir del tráfico web y de correo electrónico.

Verlas puede demostrar directamente qué datos salieron de la red.

Si el tráfico está cifrado con TLS, no puede extraer artefactos sin las claves de sesión. Con un archivo de registro de claves puede descifrarlo y extraerlos normalmente.

Sin las claves, el cifrado protege la carga útil, que es precisamente el objetivo de HTTPS.

Los artefactos extraídos pueden convertirse en pruebas. Calcule el hash de cada archivo, registre dónde y cuándo se recuperó y almacénelo sin alterarlo.

Una cadena de custodia documentada mantiene la credibilidad y admisibilidad de sus hallazgos.

Compruebe su comprensión de la extracción de artefactos.

Ha aprendido a extraer artefactos de las capturas.

• Vuelva a ensamblar los flujos TCP para recuperar archivos.
• Utilice Export Objects para exportar objetos HTTP y siga los flujos para encontrar credenciales en texto claro.
• Basic auth utiliza Base64, no cifrado.
• Extraiga archivos mediante números mágicos; utilice NetworkMiner para realizar una extracción rápida.
• Descifre TLS únicamente con claves de sesión y mantenga una cadena de custodia.

Ha completado el curso de análisis del tráfico de red.