informatyka śledcza

Informatyka śledcza to zabezpieczanie i analiza cyfrowych śladów, takich jak zawartość dysków, pamięci operacyjnej i logów, prowadzone tak, by odtworzyć przebieg zdarzenia i zachować wartość dowodową ustaleń. NIST określa ją jako zastosowanie metod naukowych do identyfikacji, zbierania, badania i analizy danych przy zachowaniu integralności informacji i ścisłego łańcucha przechowywania ^[1]. W reagowaniu na incydenty odpowiada na pytania, których nie rozstrzyga samo usunięcie zagrożenia: jak napastnik wszedł, kiedy i co zrobił.

Etapy

NIST SP 800-86 z sierpnia 2006 roku dzieli proces śledczy na cztery podstawowe fazy ^[1].

RYS. 1Proces śledczy według NIST SP 800-86

Zbieranie to identyfikacja, oznaczenie, zapisanie i pozyskanie danych z możliwych źródeł przy zachowaniu ich integralności; wykonuje się je szybko, bo dane dynamiczne, na przykład bieżące połączenia sieciowe, łatwo tracą ^[1]. Badanie to przetwarzanie dużej ilości zebranych danych metodami automatycznymi i ręcznymi w celu wyodrębnienia tych, które mają znaczenie ^[1]. Analiza wyprowadza z wyników badania informacje odpowiadające na pytania, które uzasadniały całe postępowanie, z użyciem metod możliwych do obrony prawnej ^[1]. Raport opisuje wykonane działania, uzasadnia dobór narzędzi i wskazuje dalsze kroki, na przykład zabezpieczenie wykrytych podatności ^[1].

Zasady zbierania dowodów

Kolejność ulotności. RFC 3227, dokument z lutego 2002 roku o statusie Best Current Practice, zaleca zbieranie dowodów od najbardziej do najmniej ulotnych ^[2].

NIST dodaje, że pozyskanie danych ulotnych powinno mieć zwykle pierwszeństwo przed nieulotnymi ^[1].

Czego unikać. RFC 3227 zaleca nie wyłączać systemu przed zakończeniem zbierania dowodów, bo napastnik mógł zmienić skrypty zamykania tak, by niszczyły ślady ^[2]. Zaleca też nie ufać programom na badanym systemie i nie uruchamiać narzędzi, które zmieniają czas dostępu do wszystkich plików ^[2]. Samo odłączenie od sieci może uruchomić mechanizm, który po utracie połączenia kasuje dowody ^[2].

Czas. Każdy znacznik czasu powinien mieć oznaczenie, czy chodzi o UTC, czy o czas lokalny, a różnicę między zegarem systemu a UTC trzeba zapisać ^[2].

Integralność kopii. Po pozyskaniu danych sprawdza się ich integralność: oblicza się skrót oryginału i kopii i porównuje je ^[1]. Wykorzystuje się do tego funkcję skrótu; w 2006 roku NIST wskazywał MD5 i SHA-1 jako najczęściej używane algorytmy ^[1].

Prywatność. RFC 3227 przypomina, by przestrzegać zasad prywatności obowiązujących w firmie i w danej jurysdykcji; informacje zebrane przy okazji, w tym logi ujawniające zachowania użytkowników i pliki z danymi osobowymi, nie powinny być dostępne dla osób, które normalnie nie miałyby do nich dostępu ^[2]. Na stronie ze sklepem lub formularzami logi i baza zawierają dane klientów, więc dotyczy to także analizy po włamaniu na stronę.

Łańcuch przechowywania. Gdy dowody mogą trafić do sądu, każde przekazanie między osobami dokumentuje się formularzem chain of custody z podpisami stron ^[3]. Rejestr dowodów obejmuje między innymi dane identyfikujące sprzęt oraz osoby, które zbierały dowody lub miały z nimi styczność ^[3]. RFC 3227 wymaga opisania, gdzie, kiedy i przez kogo dowód został znaleziony, zebrany i zbadany oraz kto i w jakim okresie go przechowywał ^[2].

W WordPressie

Na stronach WordPress informatyka śledcza zwykle nie dotyczy pamięci serwera, do której właściciel strony na hostingu współdzielonym nie ma dostępu, lecz plików, bazy danych i logów. Dokumentacja WordPress.org opisuje analizę śledczą po włamaniu jako ustalenie, jak napastnik dostał się do strony, by nie mógł ponownie wykorzystać tego samego wektora ataku ^[4].

• Dokumentacja od pierwszej chwili. WordPress.org zaleca zapisać, co wskazuje na włamanie, kiedy to zauważono i w jakiej strefie czasowej oraz jakie zmiany wprowadzono ostatnio, na przykład instalację nowej wtyczki albo zmianę motywu ^[4].
• Kopia stanu zainfekowanego. Przed czyszczeniem dokumentacja zaleca wykonać jeszcze jedną kopię środowiska, nawet zainfekowanego ^[4].
• Logi. CERT Polska rekomenduje zabezpieczenie logów serwera HTTP, takich jak access.log i error.log, oraz logów systemowych ^[5]. W logach dostępu szuka się żądań do plików, których wcześniej nie było, zwłaszcza umożliwiających zdalne wykonywanie kodu, czyli webshell ^[5].
• Pliki rdzenia. Polecenie WP-CLI porównuje zainstalowane pliki z sumami kontrolnymi MD5 bieżącej wersji pobranymi z WordPress.org ^[6]. Ze względów bezpieczeństwa nie ładuje przy tym WordPressa ^[6].

wp core verify-checksums --include-root

Wynik takiej analizy to oś czasu: kiedy pojawił się pierwszy wskaźnik kompromitacji (IoC), przez którą podatność napastnik wszedł, jakie konta i pliki dodał.

Znaczenie

Informatyka śledcza wyznacza zakres usunięcia zagrożenia: bez ustalenia wektora wejścia i czasu infekcji nie wiadomo, którą kopię zapasową można bezpiecznie odtworzyć. CERT Polska dopuszcza przywrócenie strony z kopii sprzed incydentu dopiero wtedy, gdy udało się jednoznacznie zidentyfikować wektor i czas infekcji ^[5]. NIST wymienia też zastosowania poza incydentami, na przykład pozyskiwanie danych z wycofywanych stanowisk oraz wypełnianie obowiązków regulacyjnych ^[1].

Dokładność ma cenę. NIST zaznacza, że o potrzebie zbierania dowodów w sposób nadający się do postępowania prawnego lub dyscyplinarnego należy zdecydować przed rozpoczęciem zbierania, zgodnie z polityką organizacji i zaleceniami prawników ^[1]. Pośpiech przy przywracaniu działania może zatrzeć ślady, dlatego zabezpieczenie logów i kopii poprzedza czyszczenie.