Raccolta dati quando si risponde agli avvisi malware

2

Quando si indagano sugli avvisi di malware, vorrei raccogliere alcune informazioni dal sistema prima che venga presa la decisione di rimuovere il sistema dalla rete e reimaging, o se è necessaria un'ulteriore analisi forense.

Sto immaginando uno script batch che raccolga tutte le informazioni di base sul sistema (ad esempio, connessioni di rete aperte, indirizzi IP, nome host, utente connesso, amministratori locali, ecc.) e poi esegua un dump della memoria usando Memorize o simile strumento per analisi successive.

Sarebbe più efficiente se eseguissimo questi script da remoto invece di collegare una chiavetta alla macchina con gli strumenti caricati, ma la mia preoccupazione è che copiare gli strumenti sulla macchina sospetta modificherebbe il file system e sarebbe dannoso per scopi forensi.

Ci sono altre buone opzioni per raccogliere queste informazioni da remoto senza compromettere i dati forensi? Sono a conoscenza di PSexec ma gli strumenti come la memorizzazione devono ancora essere copiati sulla macchina remota. Forse mettendo tutti gli strumenti su una condivisione di sola lettura e reindirizzando i dati alla workstation di analisi con netcat o cryptcat?

Grazie!

    
posta m3ta 21.05.2015 - 22:49
fonte

1 risposta

4

La risposta dal vivo è una pratica comune e accettata oggi. Un certo numero di strumenti commerciali e open source possono raccogliere dati volatili, perché togliere immediatamente il sistema dalla rete può anche interferire con la validità legale delle prove. La chiave non è "non cambiare nulla", ma piuttosto "essere in grado di spiegare e avere documentazione per eventuali modifiche".

Ad esempio, best practice SANS spiegare abbastanza bene come procedere in questo tipo di caso. NIST 800-86 documenta anche questo nelle sezioni 5.1 e 5.2.

Raccomando di esaminare strumenti come GRR o OSQuery . Non conosco strumenti di risposta in tempo reale per Windows diversi da quelli commerciali come MIR o < a href="https://www.bit9.com/solutions/carbon-black/"> Carbon Black . (Non ho affiliazione con nessuno di questi strumenti o organizzazioni.)

    
risposta data 22.05.2015 - 05:39
fonte

Leggi altre domande sui tag