Wydobywanie artefaktów

Artefakty to istotne elementy ukryte w przechwyconych danych: przesłane pliki, dane uwierzytelniające, obrazy i dane sesji.

Ich odzyskanie zamienia strumień pakietów w konkretne dowody tego, co zostało wysłane i wyświetlone.

Pojedynczy plik jest dzielony na wiele segmentów TCP. Aby go odzyskać, trzeba zrekonstruować strumień we właściwej kolejności.

Wireshark i wyspecjalizowane narzędzia robią to automatycznie podczas śledzenia strumienia lub eksportowania obiektów.

Wireshark może wyświetlić listę każdego pliku przesłanego przez HTTP i wyeksportować go jednym kliknięciem.

W ten sposób można odzyskać bezpośrednio z przechwyconych danych pobrane dokumenty, obrazy, a nawet próbki złośliwego oprogramowania.

Protokoły takie jak HTTP, FTP i Telnet przesyłają dane uwierzytelniające jawnym tekstem. Śledzenie strumienia ujawnia bezpośrednio nazwy użytkowników i hasła.

Pokazuje to dokładnie, dlaczego te protokoły są niebezpieczne w niezaufanych sieciach.

Filtry wyświetlania szybko ujawniają ruch związany z uwierzytelnianiem, dzięki czemu nie trzeba szukać go ręcznie.

Należy filtrować formularze logowania, nagłówki basic auth oraz znane protokoły uwierzytelniania.

Uwierzytelnianie HTTP Basic przesyła dane uwierzytelniające zakodowane w Base64, a nie zaszyfrowane. Zdekodowanie nagłówka natychmiast je ujawnia.

Base64 to kodowanie, a nie zabezpieczenie.

Gdy protokół nie jest natywnie obsługiwany, można odzyskać pliki z surowych bajtów, rozpoznając sygnatury plików, czyli liczby magiczne.

Narzędzia takie jak foremost lub binwalk skanują treść przechwyconych danych w poszukiwaniu tych znaczników.

NetworkMiner to narzędzie stworzone do wyodrębniania artefaktów. Wystarczy przekazać mu plik pcap, a automatycznie wyodrębni pliki, obrazy, dane uwierzytelniające i szczegóły hostów.

To szybki pierwszy etap analizy przed ręcznym zagłębianiem się w dane za pomocą Wireshark.

Odzyskane obrazy mogą ujawnić, co użytkownik oglądał lub przesłał. Funkcje Export Objects w Wiresharku i NetworkMiner rekonstruują obrazy zarówno z ruchu internetowego, jak i poczty elektronicznej.

Ich obejrzenie może bezpośrednio potwierdzić, jakie dane opuściły sieć.

Jeśli ruch jest zaszyfrowany za pomocą TLS, nie można wyodrębnić artefaktów bez kluczy sesji. Za pomocą pliku dziennika kluczy można odszyfrować ruch, a następnie przeprowadzić standardowe wyodrębnianie.

Bez kluczy szyfrowanie chroni treść danych, co jest właśnie celem HTTPS.

Wyodrębnione artefakty mogą stać się dowodami. Należy obliczyć skrót każdego pliku, zapisać, gdzie i kiedy został odzyskany, oraz przechowywać go bez zmian.

Udokumentowany łańcuch dowodowy sprawia, że ustalenia są wiarygodne i możliwe do wykorzystania jako dowód.

Proszę sprawdzić swoją wiedzę na temat wyodrębniania artefaktów.

Dowiedział się Pan lub dowiedziała się Pani, jak wyodrębniać artefakty z przechwyconych danych.

• Należy rekonstruować strumienie TCP, aby odzyskiwać pliki.
• Funkcja Export Objects eksportuje obiekty HTTP, a śledzenie strumieni ujawnia dane uwierzytelniające przesyłane jawnym tekstem.
• Basic auth używa Base64, a nie szyfrowania.
• Pliki można odzyskiwać na podstawie liczb magicznych, a NetworkMiner służy do szybkiego wyodrębniania.
• TLS można odszyfrować tylko za pomocą kluczy sesji, a przy tym należy zachować łańcuch dowodowy.

Ukończył Pan lub ukończyła Pani kurs analizy ruchu sieciowego.