Superinteressante: Como funciona a Perícia Digital?

Nas páginas 40 e 41 da última edição da revista Super Interessante foi publicado um interessante infográfico entitulado "Como funciona a Perícia Digital". O consultor forense Fernando Carbone, da Techbiz Forense Digital São Paulo, foi uma das fontes para os jornalistas da Super responsáveis pela matéria.

Para ver uma captura do infográfico que foi publicado na revista, clique para ampliar a imagem abaixo:

As seguintes ferramentas de investigação em meios digitais foram citadas no infográfico:

1o quadro - NetWitness - Ferramenta de forense de rede que possui vários módulos - o citado na matéria (Visualize) pode ser visto neste site de demonstração). Errata: um appliance é conectado à rede investigada (ou na Polícia no caso de interceptações telemáticas) - não há instalação de nada no computador suspeito;

2o quadro - XRY - Esta ferramenta de forense de dispositivos móveis da empresa sueca Micro Systemation é útil para recuperação de informações lógicas e extração de dados apagados de aparelhos como Celulares, Tablets, GPS. Errata:  Ferramenta de forense em dispositivos móveis faz aquisição de dados de pen-drives. Esta coleta normalmente é feita com bloquedores de escrita USB e sua análise é executada em ferramentas como o Encase e o FTK (ver 5o quadro, abaixo);

3o quadro - Freddie - A empresa Digital Intelligence possui uma série de computadores (notebooks, desktops, servidores) especialmente montados para fins de coleta e análise de evidências digitais - esta linha se chama "Forensic Recovery Evidence Device". Errata: o equipamento mostrado na foto do 3o quadro não é o Freddie (desktop portátil robustecido), e sim o FRED-M;

4o quadro - ImageMaster Solo IV - Produzido pela empresa ICS, o Solo IV é um duplicador de mídias suporte a múltiplas interfaces (IDE, SATA, SCSI, USB, FireWire, etc..)

5o quadro - Encase Forensic - Produzido pela Guidance Software, é um dos softwarse de análise mais utilizados para perícia digital no mundo, juntamente com o FTK, da AccessData.

Jornadas de Trabalho de Defesa Cibernética

[ Update - 2011-09-28 ]

A II Jornada de Trabalho de Defesa Cibernética foi realizada nos últimos dias 19 e 20 de setembro. Por iniciativa do Exército Brasileiro e do Ministério da Ciência e Tecnologia. Recentemente o Departamento de Ciência e Tecnologia do Exército anunciou um boletim (pdf) sobre o evento.

Dentre os temas abordados, estão:

1. a criação da Escola Nacional de Defesa Cibernética; 
2. apresentação do Programa de Supercomputação Nacional de Defesa;
3. Programa de Desenvolvimento de Soluções para Segurança de Ambientes Computacionais;
4. apresentação dos objetivos do Sistema Modular de Defesa Cibernética;

[ Update - 2011-09-27 ]


O General de Divisão José Carlos dos Santos, chefe do CDCiber (Centro de Defesa Cibernética), falou sobre a importância da Defesa Cibernética para toda a Administração Pública Federal, no evento RioInfo 2011:

 [ Post Original - 2011-07-31 ]

Nos últimos dias 28 e 29, foi realizado um importante evento para o setor de Defesa Cibernética no  Brasil: Tratou-se da "I Jornada de Trabalho de Defesa Cibernética". A iniciativa foi da Secretaria de Política de Informática (SEPIN) do Ministério da Ciência e Tecnologia (MCT), em conjunto com o Centro de Defesa Cibernética (CDCiber), do Exército.

Para mais informações:

• Ministério do Exército: 
• Notícia (.html)
• Boletim (.pdf)
• Cronograma de Atividades (.pdf)

• Ministério da Ciência e Tecnologia:
• Artigo (.html)
• Fotos [1, 2] (.jpg)

Resumo do assunto, retirado do Boletim citado acima:

"O Setor Cibernético no âmbito da Defesa:

O espaço cibernético está se tornando essencial para a Defesa e Segurança Nacionais. Ele abrange um grande número de áreas (capacitação, inteligência, pesquisa científica, arcabouço doutrinário, preparo e emprego operacional, proteção de seus próprios ativos, gestão de pessoal, capacidade de atuação em rede, interação com os poderes Legislativo, Executivo e Judiciário e com instituições civis empresariais e acadêmicas), contendo elementos intra e inter-organizacionais, multidisciplinaridade, produtos e serviços tecnológicos diversos, métodos e processos gerenciais em todos os níveis, além de outros aspectos. Tal complexidade requer a criação de estruturas e processos flexíveis e com visão estratégica capazes de realizar, de forma eficaz, o que prescreve a Estratégia Nacional de Defesa (END). 

A estruturação do Setor Cibernético no âmbito da Defesa situará a Instituição no rol das organizações, nacionais e internacionais, que tratam a segurança da informação e a capacidade de atuar em rede como recursos capazes de minimizar despesas, aumentar a produtividade e otimizar as comunicações, conferindo confidencialidade, disponibilidade, integridade e autenticidade aos dados que trafegam em suas redes, que são processados e armazenados em seus ativos de informação. 

Assim, as ações estratégicas de estruturação do Setor Cibernético, no âmbito da Defesa, enquadram-se na concepção geral da END, possuindo “visão de futuro”, o que se traduz por um esforço de longo prazo, com forte potencial para impactar, positivamente, as áreas científico-tecnológica e operacional."

Forense em Windows: Análise de Registro

Há dois meses atrás divulguei um material (109 pag.) sobre Forense de Memória, tanto no blog da Techbiz Forense quanto no blog SSegurança. 

Como o feedback foi muito positivo, resolvi também publicar por aqui o material que preparei sobre Forense de Registro Windows (83 pag.)

Forense windows registro_sandro_suffert

View more presentations from suffert

Livros:

I - Windows Forensic Analysis v2, Harlan Carvey

Capítulo 3 – Windows Memory Analysis, Capítulo 4 – Registry Analysis

II - EnCE – The Official Encase Certified Examiner Study Guide, 2^ndEdition, Steve Bunting

Capítulos 3 – First Response e 9 – Windows Operating System Artifacts e 10 – Advanced Windows - Registry

III - Malware Forensics – Investigating and Analyzing Malicious Code, James Aquilina, - Eoghan Casey, Cameron Malin

Capítulos 3 – Memory Forensics: Analyzing Physical and Process Memory Dumps e 9 – Analysis of a Suspect Program

IV – Microsoft Windows Registry Guide, 2^nd Edition

V -  "Registry Forensics" de  Harlan Carvey <= :http://www.amazon.com/Windows-Registry-Forensics-Advanced-Forensic/dp/1597495808

Papers / Documentações:

“Inside the Registry” Windows NT Magazine – Mark Russinovich

http://technet.microsoft.com/en-us/library/cc750583.aspx

Windows 7 UserAssist Registry Keys - Didier Stevens: Into The Box Magazine.

http://intotheboxes.wordpress.com/2010/04/05/into-the-boxes-issue-0x1/

Guide To Profiling USB Device Thumbdrives and Drive Enclosure on Win7, Vista, and XP http://blogs.sans.org/computer-forensics/files/2009/09/USBKEY-Guide.pdf

http://blogs.sans.org/computer-forensics/files/2009/09/USB_Drive_Enclosure-Guide.pdf

RegRipper Documentation -http://regripper.net/RR/Documents/Documents.zip - Registry Reference Deleted Apps ACMRU Windows Forensic Analysis -RegRipper version 2.02 Cheat Sheet

AccessData Registry Viewer Documentationhttp://www.accessdata.com/supplemental.html

Registry Quick Find Chart Registry Offset UserAssist Registry Key

Forensic Analysis of the Windows Registry in Memory - Brendan Dolan-Gavitt: http://www.dfrws.org/2008/proceedings/p26-dolan-gavitt.pdf

Recovering Deleted Data From the Windows Registry - Timothy Morgan: http://www.dfrws.org/2008/proceedings/p33-morgan.pdf

Forensic Analysis of Unnalocated Space in Windows Registry Hive Files – Jolantha Thomasen (University of Liverpool)

http://www.sentinelchicken.com/data/JolantaThomassenDISSERTATION.pdf

Ferramentas:

1) Virtual Machines:

1.0) VMWare Workstation, Server ou Player:http://www.vmware.com

1.1) VM SIFT Workstation 2.0: https://computer-forensics2.sans.org/community/siftkit/

2) Ferramentas Free/GPL:

2.1 - FTKImager -http://www.accessdata.com/downloads.html#FTKImager
2.2 - Process Monitor - Sysinternals -http://technet.microsoft.com/en-us/sysinternals/bb896645.aspx

2.4 – Reg Ripper (+ RegSlack, + RegScan, +RipXp) -http://regripper.net/?page_id=150

2.5 – Registry Viewer - AccessData:http://www.accessdata.com/downloads.html#ForensicProducts

2.6 – Registry Summary Report Files - AccessData:http://www.accessdata.com/downloads/rsrfiles/AllRSRFiles.zip

2.7 – RegExtract (GUI/CLI) – WoanWare:http://www.woanware.co.uk/downloads/

2.8 – RegShot - http://sourceforge.net/projects/regshot/files/

2.9 – RegLookup -http://projects.sentinelchicken.org/reglookup/download/

2.10 – USBDeview -http://www.nirsoft.net/utils/usb_devices_view.html

2.11 – USBDeviceForensics -http://www.woanware.co.uk/usbdeviceforensics/

2.12 – UserAssist -http://blog.didierstevens.com/programs/userassist/

2.12 – FGET – https://www.hbgary.com/community/free-tools/

2.13 – TimeLord -http://computerforensics.parsonage.co.uk/timelord/timelord.htm

2.14 – MiTec Windows Registry Recovery –http://www.mitec.cz/wrr.html

3) Ferramentas Comerciais:

3.1 – AccessData FTK 3.1 + Registry Viewer –http://www.accessdata.com

3.2 – Encase Forensics 6.17 – http://www.guidancesoftware.com

UserAssist Decoder V3.3 Enscript -https://support.guidancesoftware.com/forum/downloads.php?do=file&id=832 (requer acesso ao suporte da Guidance)

Registry Examiner Enpack -https://support.guidancesoftware.com/forum/downloads.php?do=file&id=752 (requer acesso ao suporte da Guidance)