Analisi forense della rete e della memoria

La network forensics acquisisce e analizza il traffico di rete per ricostruire le comunicazioni degli attaccanti, identificare i movimenti laterali e rilevare l'esfiltrazione di dati. A differenza della forensics degli endpoint, che esamina prove che potrebbero essere state manomesse su un host compromesso, le prove di rete sono più difficili da alterare a posteriori: gli attaccanti non possono eliminare retroattivamente i pacchetti già acquisiti da un network tap o da un sistema di monitoraggio dei flussi. La network forensics integra la forensics degli endpoint per fornire un quadro completo dell'attacco.

La cattura dei pacchetti (PCAP) registra tutto il traffico di rete a livello di pacchetto, incluso il contenuto completo del payload. Gli strumenti includono Wireshark (basato su interfaccia grafica e ampiamente utilizzato), tcpdump (da riga di comando e utilizzabile negli script) e Zeek (in precedenza Bro, produce log a livello di protocollo a partire dai PCAP). La cattura completa dei pacchetti richiede molto spazio di archiviazione; le reti ad alta velocità possono richiedere appliance di acquisizione dedicate. L'analisi dei PCAP può rivelare: credenziali trasmesse tramite protocolli in chiaro, pattern di beaconing C2, dati esfiltrati e connessioni associate a movimenti laterali.

NetFlow (e il suo equivalente open source IPFIX) registra i metadati delle comunicazioni di rete senza acquisire il contenuto del payload: IP di origine/destinazione, porta di origine/destinazione, protocollo, numero di byte, numero di pacchetti e timestamp. NetFlow richiede molto meno spazio di archiviazione rispetto ai PCAP completi ed è adatto alla conservazione a lungo termine (90-365 giorni). Durante un'indagine forense, NetFlow può identificare: quali sistemi hanno comunicato durante la finestra temporale dell'incidente, l'esfiltrazione di dati (grandi quantità di byte in uscita) e il beaconing C2 (connessioni brevi e regolari verso IP esterni).

I log delle query DNS sono una fonte forense molto importante, perché la maggior parte delle comunicazioni C2 e dei download di malware richiede la risoluzione DNS. Tra gli indicatori di attività DNS malevola figurano: query verso domini registrati di recente o con bassa reputazione, un numero elevato di query verso un singolo dominio (malware DGA che tenta numerosi nomi generati), il tunneling DNS (nomi di sottodominio insolitamente lunghi o ad alta entropia utilizzati per esfiltrare dati) e query verso domini associati a famiglie di malware note. Il DNS viene spesso registrato anche quando l'ispezione del traffico HTTP è limitata.

I canali di comando e controllo (C2) tra i server controllati dagli attaccanti e i sistemi compromessi presentano pattern caratteristici. Il beaconing genera connessioni periodiche regolari (ad esempio, ogni 30 secondi), identificabili in NetFlow come numerosi pacchetti di piccole dimensioni verso lo stesso IP esterno a intervalli regolari. Il jitter introduce una casualità negli intervalli del beacon per eludere il rilevamento. Gli analisti cercano regolarità statistiche nella tempistica delle connessioni per identificare il beaconing tra il rumore del normale traffico web.

La memory forensics analizza i dump della RAM per estrarre prove di attività malevola che potrebbero non essere presenti sul disco. Il Volatility Framework (open source) è lo strumento standard del settore per l'analisi della memoria. Funzionalità principali: elencare i processi in esecuzione e le relative relazioni padre-figlio, identificare codice iniettato in processi legittimi, estrarre le connessioni di rete aperte al momento dell'acquisizione, recuperare dalla memoria il contenuto degli hive del registro ed estrarre le chiavi di crittografia presenti nella RAM.

Il malware presente in memoria mostra pattern specifici che i plugin di Volatility sono in grado di identificare. La process injection (codice iniettato in un processo legittimo come svchost.exe) appare come aree di memoria con permessi di esecuzione all'interno di un processo che normalmente non dovrebbe averne. I processi hollow (involucri di processi legittimi il cui codice originale è stato sostituito da codice malevolo) mostrano incongruenze tra il nome del processo e il codice effettivamente presente in memoria. I rootkit del kernel possono nascondere i processi dall'elenco dei processi, ma Volatility può rilevarli confrontando l'elenco dei processi in esecuzione con l'elenco grezzo delle strutture dei processi del kernel.

La memory forensics è particolarmente efficace per il recupero delle credenziali. Windows memorizza le credenziali nella memoria del processo LSASS (Local Security Authority Subsystem Service) per le funzionalità di Single Sign-On. Strumenti come Mimikatz sfruttano questo meccanismo leggendo la memoria di LSASS per estrarre password in chiaro e hash NTLM. In ambito forense, Volatility può estrarre le stesse informazioni da un dump della memoria acquisito per l'indagine, rivelando quali credenziali erano memorizzate nella cache del sistema compromesso e contribuendo a definire l'entità potenziale del movimento laterale.

L'analisi forense più efficace combina le prove di rete e quelle della memoria. La memoria mostra quali processi erano in esecuzione e quale codice contenevano; la network forensics mostra con chi comunicavano tali processi. Un processo visibile nell'analisi della memoria con Volatility, dotato di una connessione di rete visibile nei PCAP, che si connette a un dominio segnalato nei log DNS e corrisponde a un IP esterno in NetFlow: questa convergenza fornisce un'attribuzione altamente attendibile dell'attività malevola e supporta una ricostruzione completa dell'attacco.

Timestamp accurati sono essenziali per correlare le prove forensi di rete e degli endpoint. Se l'orologio di un server è avanti o indietro di 15 minuti rispetto a quello del firewall, la correlazione degli eventi in base ai timestamp produce sequenze temporali errate. L'affidabilità delle prove di network forensics dipende esclusivamente dalla sincronizzazione oraria dei dispositivi che generano i log. Le organizzazioni devono configurare un NTP (Network Time Protocol) coerente su tutti i dispositivi rilevanti per la sicurezza e documentare eventuali discrepanze temporali note scoperte durante un'indagine.

La maggior parte delle comunicazioni C2 moderne utilizza la crittografia TLS, impedendo agli analisti di network forensics di leggere direttamente il contenuto del payload. Tuttavia, anche il traffico cifrato rivela metadati: pattern temporali delle connessioni (beaconing), anomalie nei certificati (certificati autofirmati dell'infrastruttura degli attaccanti, campi CN non corrispondenti), fingerprint JA3 (fingerprinting dei client TLS in grado di identificare specifiche famiglie di malware indipendentemente dalla destinazione) e caratteristiche insolite dell'handshake TLS. Strumenti come Zeek estraggono automaticamente i fingerprint JA3 dalle connessioni TLS, consentendo di rilevare malware noti senza decrittografare il traffico.

Verifichi la Sua comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha appreso che: le catture dei pacchetti e NetFlow forniscono prove di rete complementari: i PCAP mostrano il contenuto completo, mentre NetFlow mostra i metadati su larga scala; il beaconing C2 si manifesta come connessioni periodiche regolari, rilevabili tramite l'analisi statistica della tempistica delle connessioni; e Volatility Framework analizza i dump della RAM per rilevare la process injection, estrarre le connessioni di rete e identificare malware nascosto in processi legittimi. Congratulazioni per aver completato i moduli di forensics; ora si passa alla gestione del rischio e ai framework di sicurezza.