Estrazione degli artefatti

Gli artefatti sono gli elementi significativi nascosti all'interno di una cattura: file trasferiti, credenziali, immagini e dati di sessione.

Recuperarli trasforma un flusso di pacchetti in prove concrete di ciò che è stato inviato e visualizzato.

Un singolo file viene suddiviso in molti segmenti TCP. Per recuperarlo deve riassemblare lo stream nel giusto ordine.

Wireshark e gli strumenti specializzati gestiscono automaticamente questa operazione quando segue uno stream o esporta oggetti.

Wireshark può elencare ogni file trasferito tramite HTTP ed esportarlo con un solo clic.

In questo modo può recuperare documenti scaricati, immagini e persino campioni di malware direttamente dalla cattura.

Protocolli come HTTP, FTP e Telnet inviano le credenziali in chiaro. Seguendo lo stream è possibile visualizzare direttamente nomi utente e password.

Questo dimostra esattamente perché tali protocolli sono pericolosi sulle reti non attendibili.

I filtri di visualizzazione portano rapidamente alla luce il traffico di autenticazione, così non dovrà cercarlo manualmente.

Applichi un filtro ai moduli di accesso, alle intestazioni di autenticazione di base e ai protocolli di autenticazione conosciuti.

L'autenticazione HTTP Basic invia le credenziali codificate in Base64, non cifrate. Decodificando l'intestazione è possibile visualizzarle immediatamente.

Base64 è una codifica, non una misura di sicurezza.

Quando un protocollo non è supportato nativamente, può estrarre i file dai byte grezzi riconoscendo le firme dei file, o magic number.

Strumenti come foremost o binwalk analizzano il payload di una cattura alla ricerca di questi indicatori.

NetworkMiner è uno strumento progettato per l'estrazione degli artefatti. Gli fornisca un pcap e recupererà automaticamente file, immagini, credenziali e dettagli sugli host.

È un primo passaggio rapido prima di procedere con un'analisi manuale approfondita in Wireshark.

Le immagini recuperate possono rivelare ciò che un utente ha visualizzato o caricato. Export Objects di Wireshark e NetworkMiner ricostruiscono entrambi le immagini dal traffico web e di posta elettronica.

Visualizzarle può dimostrare direttamente quali dati hanno lasciato la rete.

Se il traffico è cifrato con TLS, non può estrarre gli artefatti senza le chiavi di sessione. Con un file di log delle chiavi può decifrare il traffico e quindi procedere normalmente all'estrazione.

Senza le chiavi, la cifratura protegge il payload: è proprio questo lo scopo di HTTPS.

Gli artefatti estratti possono diventare prove. Calcoli l'hash di ogni file, registri dove e quando è stato recuperato e lo conservi senza modificarlo.

Una catena di custodia documentata mantiene le sue conclusioni credibili e ammissibili come prova.

Ha imparato a estrarre gli artefatti dalle catture.

• Riassembli gli stream TCP per recuperare i file.
• Esporti gli oggetti HTTP e segua gli stream per individuare le credenziali in chiaro.
• Basic auth utilizza Base64, non la cifratura.
• Estragga i file tramite i magic number e utilizzi NetworkMiner per un'estrazione rapida.
• Decifri TLS solo con le chiavi di sessione e mantenga una catena di custodia.

Ha completato il corso di analisi del traffico di rete.