Forensisch IT Onderzoek Authenticatie

Transcriptie

1

2 Forensisch IT Onderzoek Authenticatie

3 Forensisch IT onderzoek?

4 Forensisch IT onderzoek!

5 Forensisch IT Onderzoek Digitaal sporenonderzoek Het speuren naar digitale sporen van (digitale) delicten in computers, netwerken en systemen

6 Fox-IT Opgericht maart 1999 Oprichters afkomstig van Nederlands Forensisch Instituut te Rijswijk (NFI)

7 5 Business Units Forensics & Audits Onderzoek en advies Projects Beveiligingsoplossingen Training Managed Security Services Beheer diensten Crypto

8 Fox-IT Staatsgeheimen Leven en dood Grote commerciële belangen Commerciële belangen beveiliging Consumenten

9 Forensisch IT Onderzoek Digitaal sporenonderzoek Het speuren naar digitale sporen van (digitale) delicten in computers, netwerken en systemen

10 Onderzoek Sporen vinden en zien is geen kunst. Sporen vastleggen en interpreteren wel. Koppeling aan een natuurlijk persoon.

11 Juiste redenering? Op de PC is kinderporno aangetroffen. De PC staat bij de verdachte thuis. De verdachte werkt met de PC. De verdachte is schuldig.

12 Case 1 Anoniem dreigbericht aan directie Afkomstig van Hotmail adres Iedereen kan een Hotmail adres aanmaken Hotmail geeft IP adres afzender door Bleek proxy server van de klant te zijn Proxy logs onderzocht Bericht verzonden vanaf interne werkplek! Werkplek en account gevonden!

13 Case 1 Is werkplek / login account genoeg? Verdachte: Ik was aan het lunchen. Geen andere sporen op de werkplek op moment van verzenden

14 Case 1 Is werkplek / account genoeg? Meestal niet! Geen goede koppeling aan persoon Door slechte authenticatie (of helemaal geen) Aanvullende maatregelen ook essentiëel: Scherm locken bij afwezigheid

15 Case 1 Case closed Hotmail account bleek een paar weken eerder aangemaakt Op dat moment sporen van allerlei andere activiteiten Daarmee aannemelijk wie het bericht heeft verstuurd Bewijslast civiele zaken minder zwaar

16 In de praktijk Praktijk van onderzoeken: 20% van het werk: vaststellen IP adres, account etc. 80% van het werk: aantonen wie ermee werkte Geen goede koppeling sporen aan persoon Kan veel oorzaken hebben O.a. gebrek aan authenticatie

17 Case 2 On-line banking applicatie Verdachte transacties aangetroffen Geld weggesluisd naar voormalige Sovjet landen Betrokken login accounts applicatie snel gevonden Wat is er gebeurd? Rekeninghouders? Bankmedewerkers? Externen?

18 Case 2 Wat kun je zeggen op basis van een login account? Username/password authenticatie Uh-oh... Wachtwoorden zijn zwak Keyboard sniffer Brute force Iedereen weet mijn wachtwoord

19 Case 2 On-line banking applicatie blijkt gehacked Gebruikersaccounts gestolen Weinig aanknopingspunten voor onderzoek IP adressen uit verre landen

20 Case 2 Duidelijk verbeterpunt: Sterke authenticatie 2-factor authentication met token Token moeilijker te stelen dan wachtwoord (Deels) verantwoordelijkheid van de gebruiker

21 Trends Georganiseerde misdaad en IT hebben elkaar (na lang wachten) gevonden Systemen meer en meer on-line Afhankelijkheid van IT systemen neemt toe Systemen moeten live blijven, offline onderzoek steeds moeilijker Minder controle over (delen van) infrastructuur Authenticatie vaak slecht

22 Lies, damned lies & statistics 170% stijging online fraude in de VS periode (bron: Grootste gedeelte online veiling fraude Via en web pagina s Voor Nederland ontbreekt die informatie vooralsnog Meldpunt Cyber Crime Nederlandse overheid

23 Phishing Het spoofen van berichten Vaak in combinatie met namaak website Doel: verkrijgen van persoonlijke informatie Online banking gegevens CreditCard Bol.com login Etc etc

24 Samenvattend Koppelen technische sporen aan persoon lastig (Deels) door slechte/onbrekende authenticatie Aannemelijkheid aantonen door context van sporen Trend naar minder controle infrastructuur On-line toegang tot (interne) systemen, phishing Onderzoek wordt steeds moeilijker Authenticatie is essentiëel Groot voordeel bij forensisch onderzoek op interne systemen Vaak een van de weinige aanknopingspunten Natuurlijk ook preventief

25 Contactgegevens Jeremy Butcher CISSP CISA Fox-IT Olof Palmestraat 6 P.O. Box AP Delft The Netherlands Tel.: +31 (0) Fax: +31 (0) [email protected] Web

26