computação forense

Análise forense – Obtendo URLs visitadas no pagefile.sys

Diego PiffarettiDeixe um comentário

Créditos da publicação aos colegas do Flu project

Na publicação de hoje, veremos como extrair artefatos do arquivo de paginação “pagefile.sys”, que permite estender a memória física usando a memória virtual.

Este arquivo pode ser encontrado na unidade do sistema raiz, geralmente C: \. Como é um arquivo de sistema protegido, não poderemos vê-lo diretamente, mas poderemos ocultá-lo do próprio navegador.

mundotec01

No nível forense, se utiliza em geral ferramentas como FTK ou Autopsy para analisar um disco clonado. Através de qualquer um deles, podemos localizar facilmente o arquivo e exportá-lo para analisá-lo.

mundotec02

O arquivo pagefile.sys não é um arquivo seqüencial, portanto, sua abertura e análise com qualquer editor se tornam complicadas. Existem alguns utilitários e scripts forenses que facilitam o trabalho de prospecção no arquivo, a fim de procurar informações de uma maneira mais ou menos automatizada, mas hoje veremos alguns exemplos manuais para encontrar facilmente dois tipos de strings de texto que Eles serão muito úteis para nós.

A primeira expressão que veremos, com base em strings, permitirá localizar URLs que foram acessados a partir do computador. Nós lhe pediremos para excluir URLs repetidos e também para retornar uma lista ordenada, para facilitar a leitura. Usaremos “egrep” em vez de “grep” para usar o filtro “?” dentro da expressão regular, o que nos permitirá ignorar repetições:

strings pagefile.sys.copy0 | egrep “^http?://” | sort | uniq | less

 

Como você pode ver, em apenas alguns segundos a lista completa dos sites visitados será exibida:

mundotec04

A segunda expressão, também baseada em strings, nos permitirá identificar os caminhos do sistema operacional que foram manipulados:

strings pagefile.sys.copy0 | grep -i “^[a-a]:\\\\” | sort | uniq | less

Você verá muitas outras rotas que poderiam ter sido ocultadas ao longo do dia:

mundotec06

Se você for bom em expressão regular pode fazer muito mais coisas.

Fonte: Flu Project

Certificações para Computação Forense

Diego Piffaretti1 comentário

Super dica do Atilla Arruda, ainda mais na area de forense que é exatamente a area que eu gosto muito!

 

A Computação Forense consiste, basicamente, no uso de métodos científicos para preservação, coleta, validação, identificação, análise, interpretação, documentação e apresentação de evidência digital com validade probatória em juízo. A aplicação desses métodos nem sempre se dá de maneira simples, uma vez que encontrar uma evidência digital em um computador pode ser uma tarefa muito complexa. Atualmente, com os discos rígidos atingindo a capacidade de TeraBytes de armazenamento, milhões de arquivos podem ser armazenados. Logo, é necessário a utilização de métodos e técnicas de Computação Forense para encontrar a prova desejada que irá solucionar um crime, por exemplo.

E é justamente aí que o profissional de TI terá que entrar em cena. Existem diversas certificações neste setor que lhe preparam para assumir tal função. A comunidade de informática forense tem uma grande variedade de certificações como forma de demonstrar conhecimento e experiência com procedimentos forenses e melhores práticas, e com ferramentas específicas relacionadas com a investigação forense em determinados computadores.

Muitos postos de trabalho em computação forense exigem experiência jurídica e forense real, que torna difícil penetrar no campo, especialmente se você não trabalha para nenhum sistema jurídico. Obter formação, educação e certificação são, portanto, muitas vezes necessária antes de ganharem experiência real de campo forense.

Bom… ai vem a grande pergunta.. Quais certificações forense são as melhores para começar? Isso realmente depende do que você quer fazer com a certificação… Se seu objetivo é conseguir um emprego em computação forense, tente olhar para as vagas de trabalho em aberto para computação forense, examinador forense, análise forense, dentre outras, e veja os requisitos em termos de certificação para estas funções. Logo abaixo deixo uma compilação de todas as certificações existentes para este setor.

Certified Computer Examiner

A certificação de Certified Computer Examiner (CCE) é oferecida pela a International Society of Forensic Computer Examiners (ISFCE), que é um fornecedor neutro para computação forense. Este exame é utilizado para atestar seu conhecimento e proficiência na execução de tarefas forenses digitais. O seu conhecimento é testado usando um exame de múltipla escolha que inclui exercícios práticos.

Outros requisitos para a certificação CCE incluem a execução de um programa de auto-estudo válido e a necessidade de possuir ao menos 18 meses de experiência na área. Também será necessário apresentar uma declaração de antecedentes criminais. A recertificação é exigida a cada dois anos.

Certified Computer Forensics Examiner

O exame Certified Computer Forensics Examiner (CCFE) é fornecido pela a  Information Assurance Certification Review Board (IACRB) e avalia o conhecimento do candidato sobre a computação forense e análise de processo, focando na possibilidade de realizar uma prática de investigação computacional forense, análise e relatório do processo.

Candidatos à certificação devem passar por um exame de múltipla escolha on-line, que abrange nove domínios de conhecimento, incluindo ferramentas de informática forense, as investigações, os sistemas de arquivos, análise de provas, e redação do relatório. Depois de passar no exame escrito, um trabalho prático deve ser preenchido no qual o candidato terá 60 dias para realizar uma análise forense de um computador qualquer e redigir um relatório sobre as falhas técnicas e informações relevantes deste computador.

Certified Digital Forensics Examiner

A certificação Certified Digital Forensics Examiner (CDFE) é realizada por a Mile2, e destina-se a profissionais de TI com um conhecimento de uma ampla gama de assuntos em computação forense, provas digitais e tecnologias relacionadas. A CDFE é uma certificação obtida pela a realização de um exame de 100 perguntas em pouco mais de duas horas, que possui um score mínimo de 75%.

Computer Hacking Forensic Investigator

A Computer Hacking Forensic Investigator (CHFI) é uma certificação criada por a tão conhecida EC-Council. A certificação CHFI é adquirida somente por um único exame online, que poderá ser realizado em qualquer centro de testes Prometric.

Este exame é um dos meus favoritos, visto que envolve técnicas de investigação em Windows, Mac, Linux e telefones celulares. Além disso, temos diversos assuntos, como malwares, documentação de rede e relatórios, leis internacionais e conformidade legal, e um grande número de ferramentas de computação forense. O exame relacionado com esta prova é o 312-49. Vale lembrar também que o CHFI exige uma recertificação a cada três anos.

CyberSecurity Forensic Analyst

O CyberSecurity Forensic Analyst (CSFA) ou Analista de Segurança Cibernética Forense, é uma certificação realizada por a CyberSecurity Institute e destina-se para os candidatos que queiram confirmar se são realmente capazes de conduzir uma análise forense completa por exame de som e procedimentos de manuseio, e são capazes de comunicar os resultados de suas análises de forma eficaz. O CSPA é, portanto, muito prático para a certificação forense e não se prende somente ao mundo digital.

O exame CSPA contém 50 questões de múltipla escolha e um laboratório prático no qual o candidato tem três dias para completar uma série de trabalhos práticos. A prova escrita vale 30% na sua pontuação final, enquanto as aulas práticas valem 70%. Uma pontuação final de 85% é necessário para passar. Os pré-requisitos para fazer o exame CFSA incluem uma recomendação de pelo menos dois anos de experiência na área de análises forenses. Também é altamente recomendável que o candidato já possua uma ou mais certificações profissionais forenses. Um documento comprovando seus antecedentes criminais também será exigido.