Network Forensics and Analysis

Network Forensics and Analysis

1. Respuesta y amenaza de incidentes continuos Caza: Identificación proactiva de amenazas

   • CONCEPTO PRINCIPAL: Aplicar nueva inteligencia a los datos existentes para detectar incidentes desconocidos
     • NETWORK FORENSICS CASO DE USO: La inteligencia de amenazas a menudo contiene indicadores basados ​​en la red como direcciones IP, nombres de dominio, firmas, URL y más. Cuando se conocen, los datos existentes en donde pueden ser revisadas para determinar si había indicios de la información actividad que justifique una investigación más profunda.

2. La Red Forense es un componente crítico para la mayoría de los forenses digitales modernos, respuesta a incidentes y caza de amenazas trabajo. Ya sea perseguido solo o como un suplemento o un conductor a las investigaciones de los puntos finales, proporcionar una visión decisiva de la o comunicaciones automatizadas dentro de un comprometido. Técnicas de Análisis Forense de Redes puede ser utilizado en un forense tradicional capacidad, así como para incidentes continuos respuesta / caza de amenazas.

3. Tipos de datos de origen de red

   • Captura de paquetes completos (pcap)
     • Los archivos pcap contienen datos de paquetes originales como se ve en el punto de recogida. Pueden contener datos de paquetes completos. Beneficios
       • Incovenientes
         • Estos archivos pueden crecer enormemente - decenas de terabytes de datos de pcap se pueden recolectar cada día desde 1Gbps. Esta escala a menudo hace que el análisis sea un desafío.
           • Las limitaciones legales limitan a menudo la disponibilidad de esta fuente datos. Tales restricciones también son organización atraviesa jurisdicciones legales.
             • Las comunicaciones cifradas son cada vez más utilizadas, la captura de paquetes completos es menos útil para los usuarios de bajo nivel análisis.
       • Beneficios
         • A menudo considerado el "santo grial" de los datos de la red esta fuente de datos facilita el análisis profundo mucho después de que la comunicación haya terminado.
           • Un sinnúmero de herramientas pueden leer y escribir en archivos pcap, dando al analista muchos enfoques para examinarlos y extraer la información relevante. Inconvenientes
   • NetFlow y otras colecciones basadas en flujos
     • NetFlow es un protocolo de red desarrollado por Cisco Systems para recolectar información sobre tráfico IP. Netflow se ha convertido en un estándar de la industria para monitorización de tráfico de red, y actualmente está soportado para varias plataformas además de Cisco IOS y NXOS
     • Los registros de flujo contienen un resumen de las comunicaciones de red visto en el punto de recogida. NetFlow no contiene contenido, solo un registro resumido incluyendo metadatos sobre cada conexión de red. Si se utiliza solo para determinar si se han producido comunicaciones o junto con otras fuentes de datos, NetFlow puede ser extremadamente útil para un análisis oportuno.
       • Beneficios
         • NetFlow y registros similares requieren mucho menos espacio de almacenamiento debido a la del contenido. Esto facilita la retención de registros a largo plazo.
           • Los procesos de análisis son mucho más rápidos con NetFlow que con la captura de paquetes completos. Puede ser 100-1000x más rápido ejecutar una consulta contra NetFlow que la correspondiente archivo pcap.
             • En general, hay menos problemas de privacidad con la recolección y almacenamiento Flujo neto. La autoridad legal local debe ser consultada antes de su uso.
               • Los procesos de análisis se aplican igualmente a todos los protocolos - encriptados o en texto plano, personalizados o basados ​​en estándares.
       • Inconvenientes
         • Sin contenido, los análisis y hallazgos de bajo nivel pueden no ser posibles.
           • Muchas plataformas de recolección son únicas y requieren capacitación o licencias para acceder.
   • Archivos de registro
     • Log's
       • http://web.mit.edu/rhel-doc/3/rhel-sag-es-3/ch-logfiles.html
     • Los archivos de registro son quizás los más utilizados datos fuente para la red y el punto final investigaciones. Contienen aplicaciones o elementos centrados en la plataforma para caracterizar actividades manejadas u observadas por el creador del registro.
       • Beneficios
         • Ya que son recolectados y retenidos por negocios operaciones, los registros están ampliamente disponibles y procesos para analizarlos.
           • Los datos de registro crudo pueden agregarse para análisis. Muchas organizaciones tienen esta alguna forma de SIEM o plataforma relacionada.
       • Inconvenientes
         • Los datos de registro contienen diversos niveles de detalle en formatos, que a menudo requieren análisis y enriquecimiento agregar contexto o datos adicionales para corroborar recomendaciones.
           • Si los datos de registro no están agregados, encontrar implican un tiempo significativo y antes del análisis puede comenzar.

4. Análisis Forense Post-Incidente: Detección reactiva y respuesta

   • CONCEPTO PRINCIPAL: Examinar los datos existentes para comprender mejor un incidente conocido
     • NETWORK FORENSICS CASO DE USO: Casi cada fase de un ataque puede incluir actividad de red. Entendiendo un acciones del atacante durante Reconocimiento, Entrega, Explotación, Instalación, Comando y Control, y Post-Explotación pueden proporcionar visión de sus acciones, intención y capacidad.