Desafios da análise forense na nuvem

SOCIEDADE DA INFORMAÇÃO
X
CLOUD FORENSICS

SOCIEDADE DA INFORMAÇÃO
A convergência do processo produtivo e das relações interpessoais
geradas pela terceira onda e consequentemente sua adoção na indústria
4.0, trouxe uma quebra de paradigmas e maneiras como processamos
informações, acessamos sistemas e por consequência a maneira como
interagimos com a crescente evolução das tecnologias que são
utilizadas e a forma que armazenamos os dados que são produzidos.
O crescimento da demanda de armazenamento na nuvem nos últimos
anos é algo bastante positivo. Porém, ao mesmo tempo, é desafiador,
afinal é preciso fornecer o serviço com a mesma qualidade,
disponibilidade e segurança, incluindo nesse processo, também, os
cuidados com atendimento ao cliente e suporte em caso de problemas.

Tipos de Nuvem
 Nuvem Pública: É a opção mais barata de nuvem. Através da nuvem
pública, o fornecedor é o proprietário da infraestrutura e a
disponibiliza ao público de clientes. As interações acontecem por
meio de protocolos da internet.
 Nuvem Privada: Infraestrutura é exclusiva, dedicada apenas às
necessidades da empresa e, geralmente, conectada a data centers
internos.
 Nuvem Compartilhada: É destinada para as empresas que precisam
compartilhar a infraestrutura entre um grupo específico de usuários
com interesses em comum.
 Nuvem Híbrida: Mistura características da nuvem pública, pública e
compartilhada, a nuvem híbrida, como o próprio nome diz, concentra
uma variedade de opções de uso.

Aplicações em Nuvem
 SaaS: É o chamado software como serviço, conhecido pela sigla em
inglês SaaS. Como o próprio nome sugere, essa é uma oferta de
cloud computing em que a empresa provedora de nuvem (CSP)
disponibiliza aos clientes programas, aplicações e ferramentas por
acesso remoto, geralmente por meio de um browser.
 CaaS: Modelo um pouco semelhante com o SaaS e que faz a ponte
entre ele e o próximo que falaremos (PaaS) é conhecido como CaaS,
ou contêiner como serviço. O desenvolvimento com o uso de
contêineres está se expandindo no mercado por oferecer
portabilidade e segurança na criação de produtos e sistemas
tecnológicos. O contêiner é um pacote isolado com um código, um
programa ou uma aplicação que pode ser rearranjada e testada em
diferentes sistemas operacionais e situações que não ponham em
risco o resto da infraestrutura.

Aplicações em Nuvem
 PaaS: Nesse caso, em vez de oferecer apenas o acesso a softwares
específicos ou contêineres para isolar partes do trabalho, a CSP
entrega uma plataforma completa de gerenciamento, que integra
várias aplicações e ferramentas e, ao mesmo tempo, o controle
sobre o acesso e uso desses dados armazenados na nuvem. Os
ERP’s são exemplos mais utilizados de Plataforma como Serviço.
 IaaS: A Infraestrutura como Serviço, ou IaaS, é desses modelos de
nuvem o mais novo e o que mais promete revolucionar o mercado no
futuro. Isso porque a IaaS permite a transformação digital completa:
a migração de toda a TI para a nuvem. Além de oferecer os
softwares necessários para que os colaboradores sejam produtivos e
a plataforma que gerencia e monitora essa utilização, o modelo de
infraestrutura na nuvem consegue entregar recursos de computação
remotamente.

Elementos de Investigação e Serviços Oferecidos
Modelo de Serviço Cliente Fornecedor
SaaS
O cliente não tem uma visão profunda do sistema
e sua infraestrutura subjacente
O controle de acesso de logon único (SSO) deve
ser Requeridos
O cliente deve contribuir para o forense processo,
por exemplo implementando Provas de
Recuperabilidade (POR)
As ferramentas de log devem ser executadas
no provedor da infraestrutura
Os fornecedores não podem dar acesso aos
logs IP de clientes acessando conteúdo ou para
o metadados de todos os dispositivos
PaaS
O aplicativo principal está sob o controle do
cliente
O cliente não tem controle direto do
ambiente de tempo de execução subjacente
Mecanismos de registro e adicionais
criptografia pode ser implementada
Alguns CSPs fornecem recursos de diagnóstico
que oferecer a capacidade de coletar e
armazenar uma variedade de dados de
diagnóstico em um ambiente altamente
configurável maneira.
IaaS
Instâncias de IaaS fornecem muito mais
informações que poderiam ser usadas como
evidência que os modelos PaaS e SaaS.
Alguns exemplos são: a capacidade do cliente
para instalar e configurar a imagem para
forenses, para executar o instantâneo de
máquina virtual; O RFC 3227 contém vários
melhores práticas aplicáveis a um IaaS útil para
responder a um incidente de segurança,
especialmente em caso de sistemas de
investigação ao vivo.
Instâncias virtuais de IaaS, em muitos casos,
não armazenamento persistente (dados
persistentes deve ser armazenado em
armazenamento prolongado) e dados voláteis
podem ser perdidos.
Os fornecedores podem relutar em fornecer
dados forenses, como imagens de disco
recentes devido a problemas de privacidade
que surgem.
Alguns problemas podem surgir devido à falta
de clareza situação sobre como o provedor lida
com a rescisão de contratos com clientes e
pela incapacidade do cliente de verificar que os
dados confidenciais armazenados em um
virtual máquina foi excluída exaustivamente.
Adaptado de: Exploring Cloud Incidents – Enisa - https://www.enisa.europa.eu/publications/exploring-cloud-incidents

Desafios do Armazenamento em Nuvem
 Suprir a crescente demanda de armazenamento na nuvem
 Se adequar ao ambiente multi-cloud
 Dar suporte aos cloud containers
 Manter-se atualizado constantemente
 Promover uma migração consistente para o armazenamento na
nuvem
 Lidar com instabilidades na rede de internet
 Otimizar os gastos com armazenamento na nuvem
 Garantir a segurança dos dados armazenados na nuvem

Desafios da análise forense na nuvem
 Promover habilidades para evolução dos aplicativos baseados na
nuvem e dos dados hospedados na nuvem é essencial para ajudar
as organizações a abordar todo o escopo dos requisitos de
descoberta e investigação. Embora não seja imediatamente iminente,
a visão de apenas nuvem é muito real.
 As implantações de aplicativos em nuvem evoluem e são atualizadas
constantemente e as organizações não sabem necessariamente
quando o aplicativo em nuvem foi alterado. As atualizações
constantes e contínuas dos aplicativos em nuvem desafiam as
abordagens atuais de gerenciamento de mudanças de TI e
processos de negócios. Além disso, o ambiente de nuvem fluida cria
obstáculos aos procedimentos de coleta e preservação de dados que
podem impedir o processo de descoberta.

 Muitas plataformas de hospedagem e desenvolvimento em nuvem
permitem que as organizações selecionem onde seus dados serão
armazenados - um recurso importante para fins de descoberta. Em
alguns casos, as organizações que utilizam aplicativos multilocatários
baseados em nuvem podem não saber onde seus dados residem
ou podem não receber opções para controlar onde os dados das
aplicações contratadas estarão armazenados.
 Vários fatores merecem consideração ao decidir onde conduzir a
análise, incluindo volume de dados, disponibilidade de ferramentas
de análise de dados e impacto financeiro. É essencial compreender
os recursos e as limitações analíticas da plataforma em nuvem para
determinar se a análise na nuvem é uma opção aceitável.

 Cada vez mais, as organizações têm a capacidade de criar
rapidamente soluções baseadas em nuvem e de baixo custo para
desenvolvimento de aplicativos e análise de dados, geralmente sem
envolver a TI. Portanto, a TI pode não ser mais a única fonte de
todos os dados de uma organização, o que pode causar desafios em
potencial com requisitos regulatórios ou solicitações de descoberta.
Os aplicativos também têm a capacidade de originar dados de
sistemas baseados em nuvem e sistemas locais, levando a situações
complexas de preservação e análise de dados. As equipes jurídicas
provavelmente serão mais desafiadas à medida que os conceitos de
propriedade e custódia dos dados evoluírem com fontes de dados
baseadas na nuvem e aplicativos acessíveis na nuvem.

 Manter uma cadeia de custódia clara em uma infraestrutura de
nuvem é extremamente difícil. Na investigação forense tradicional, os
investigadores teriam controle completo das evidências em questão,
ao passo que na forense em nuvem, os investigadores podem não
ter controle total sobre quem o provedor de serviços em nuvem
permite coletar evidências.
 Os serviços em nuvem também podem ser relutantes em colaborar
quando se trata de conduzir uma investigação. Afinal, o que pode ser
um problema para você pode não ser um problema para eles, e a
investigação pode custar ainda mais tempo e dinheiro.
 Maiores informações:
https://csrc.nist.gov/publications/detail/nistir/8006/draft

Exemplos de uma análise forense em nuvem
 A seguir, serão descritos dois estudos de caso hipotéticos para
argumentar sobre o estado da investigação forense digital por crimes
relacionados à nuvem. Embora fictícios, eles descrevem crimes de
computador que não são incomuns atualmente. No primeiro, usa a
nuvem como um acessório para um crime. No segundo, visa o crime
contra a nuvem. Em ambos os cenários, emergem os seguintes
temas que diferenciam essas investigações da análise forense digital
tradicional, embora muitas ferramentas já possuem recursos para
análise forense baseada em nuvem:
 A aquisição de dados forenses é mais difícil.
 A cooperação de provedores de nuvem é fundamental.
 Os dados na nuvem podem não ter os principais metadados
forenses.
 A cadeia de custódia é mais complexa.
https://www.researchgate.net/publication/286192780_Understanding_Issues_in_cloud_forensics_Two_hypothetical_case_studies

Caso 1
 Polly é uma criminosa que trafica em pornografia infantil. Ele criou
um serviço na nuvem para armazenar uma grande coleção de
imagens e vídeos de contrabando. O site permite que os usuários
enviem e baixem esse conteúdo anonimamente. Ele paga por seus
serviços em nuvem com um cartão de crédito pré-pago adquirido em
dinheiro. Polly criptografa seus dados no armazenamento em nuvem
e ele reverte seu servidor da web virtual para um estado limpo
diariamente. A aplicação da lei é enviada para o site e deseja
encerrar o serviço e processar o criminoso.

Caso 1 - Considerações
 Esperamos que o especialista forense identifique os seguintes
aspectos que ajudariam na acusação:
 Entender como o serviço da Web funciona, especialmente como
criptografa/descriptografa dados do armazenamento
 Encontrar chaves para descriptografar dados de armazenamento e
use-as para descriptografar os mesmos
 Confirmar a presença de pornografia infantil
 Analise os logs para identificar possíveis endereços IP do criminoso.

- Não é irracional esperar que essa atividade possa levar muitas horas para analisar. De
acordo com os testes de desempenho do fabricante, a AccessData descobriu que o produto
Forensic Toolkit (FTK) demorava 5,5 horas para processar um disco rígido de 120 GB
totalmente em uma estação de trabalho de primeira linha e até 38,25 horas em um
equipamento de gama baixa estação de trabalho (AccessData 2010). Nesse ritmo, 2 TB de
dados podem levar 85 horas de tempo de processamento. É provável que o examinador
mergulhe primeiro no armazenamento de dados.
- O provedor pode ter retornado arquivos individuais ou arquivos grandes contendo "blobs" de
dados binários. Em ambos os casos, ficará rapidamente evidente que os dados são
criptografados. Ferramentas como o EnCase e o Forensic Toolkit podem analisar os arquivos
de dados do VMware, mas não os instantâneos que incluem memória suspensa. O analista
precisará corrigir e executar o instantâneo da VM para entender a fonte do site e observar
como a criptografia é usada. Depois que as chaves são descobertas e os dados são
descriptografados, 2 TB de dados devem ser analisados para obter evidências.
- Já tínhamos conhecimento de conteúdo ilegal, mas não tínhamos conhecimento do
proprietário dos dados. Os registros de data e hora ou metadados de arquivo podem ser úteis,
desde que estejam disponíveis e precisos. As evidências do proprietário podem ser obtidas no
NetFlow, no registro de data e hora e, potencialmente, no estilo de codificação do site.
Podemos assumir com segurança que pode ser encontrado um IP que aponte para Polly.

 Considere as questões que a defesa pode suscitar para introduzir dúvidas no exame:
 Como as cópias brutas bit por bit dos discos rígidos não foram fornecidas, como
sabemos que o provedor de nuvem forneceu uma cópia forense completa e
autêntica dos dados? A autenticidade e a integridade dos dados podem ser
confiáveis? O técnico em nuvem, sua estação de trabalho e ferramentas podem ser
confiáveis e verificáveis?
 Os dados estavam localizados em uma unidade ou distribuídos por várias? Onde
estavam localizadas as unidades que continham os dados? Quem teve acesso aos
dados e como foi aplicado o controle de acesso? Os dados foram combinados com
os de outros usuários?
 Se os dados vieram de vários sistemas, os registros de data e hora desses sistemas
são consistentes internamente? Os carimbos de data e hora podem ser confiáveis e
comparados com a confiança?
 A máquina virtual tem um endereço IP estático? Como vincular a atividade maliciosa
na máquina virtual a Polly?
 Que jurisdição rege os dados em questão? Se for a jurisdição do provedor de
nuvem, quais as suas localizações geográficas ou datacenters?https://www.researchgate.net/publication/286192780_Understanding_Issues_in_cloud_forensics_Two_hypothetical_case_studies

Caso 2
 Mallory é um hacker que pretende explorar as vítimas colocando uma
página da Web maliciosa na nuvem. Ela usa uma vulnerabilidade
para explorar a presença em nuvem da Buzz Coffee. A partir daí, ele
instala um rootkit que injeta uma carga maliciosa nas páginas da
Web exibidas e oculta sua atividade maliciosa do sistema
operacional. Em seguida, ele redireciona as vítimas para o site, que
as infecta com malware. Os usuários reclamam à empresa legítima
que estão sendo infectados; portanto, a empresa procura solucionar
o problema e investigar o crime.

 Usando a experiência como guia, o investigador constrói um plano
para acessar o provedor de nuvem remotamente por um canal
seguro usando as credenciais do Buzz Coffee e recuperar os
arquivos de origem do site. No entanto, quando os dados são
retornados, nada malicioso é encontrado, pois o rootkit de Mallory
oculta os arquivos do sistema operacional host e das APIs do
provedor. O investigador forense determina que as seguintes fontes
adicionais de dados são possíveis: logs de acesso do provedor de
nuvem, logs NetFlow do provedor de nuvem e a máquina virtual do
servidor da web.
 O promotor aborda o provedor de nuvem com uma intimação e
solicita todos esses dados, incluindo uma cópia forense da máquina
virtual. O provedor está disposto a conduzir uma investigação interna
e no entanto, reluta em produzir os dados brutos, citando
informações confidenciais e proprietárias.

 Um técnico no provedor executa a ordem judicial em sua estação de
trabalho, copiando dados da infraestrutura do provedor e verificando
a integridade com os hashes MD5. Essas informações são gravadas
em DVD e contêm 2 MB de logs do NetFlow, 100 MB de logs de
acesso à web e 1 MB de código-fonte da web. Usando essas
informações, desejamos que nosso investigador descubra o
seguinte:
 Uma cronologia que mostra quando as páginas da web foram
visualizadas e modificadas / acessadas / criadas
 Determinar a página da web maliciosa e como o sistema foi
comprometido
 Analisar o escopo da intrusão e possível propagação para outros
sistemas
 Identifique a origem da atividade maliciosa.

 Comparar os arquivos originais do site criados pelo Buzz Coffee com os dados
retornados do provedor de nuvem seria um primeiro passo construtivo. Aqui, a
técnica empregada durante a coleta se torna primordial. Se o sistema operacional
host fosse usado para recuperar os arquivos, o rootkit de Mallory teria ocultado os
arquivos maliciosos. Se os arquivos foram adquiridos lendo o disco físico, ignorando
o sistema operacional, a coleção completa de arquivos será precisa. Construir uma
linha do tempo é uma prática comum para examinadores forenses e importante para
determinar quando os arquivos de Mallory foram criados. Infelizmente, o
procedimento empregado pelo provedor novamente determina se o investigador
recebe metadados úteis, como registros de data e hora de criação de arquivo.
 Os logs de acesso à Web são provavelmente a evidência mais definitiva da intrusão
original, corroborada pelos registros do NetFlow. O IP do invasor suspeito é
identificado nos logs, que são apresentados juntamente com a análise completa no
relatório forense subsequente. Os leitores mais prudentes também podem abordar
esse problema analisando o malware instalado depois de visitar a página agora
hackeada e tentando determinar quem o escreveu ou para onde ele deve voltar, mas
isso não é considerado aqui.

 Considere as questões que a defesa pode suscitar para introduzir dúvidas no exame:
 A cadeia de custódia foi preservada durante todo o processo?
 A página maliciosa pode ser definitivamente atribuída a Mallory? Quem mais teve
acesso para criar / modificar esta página? Outros clientes estavam hospedados na
mesma infraestrutura que poderia ter acesso?
 Qual processo o provedor de nuvem usou para copiar e produzir as páginas da web?
Eles podem reivindicar a integridade forense desse processo? Os carimbos de data /
hora nas diferentes evidências (NetFlow, logs da web etc.) estão sincronizados o
suficiente para criar uma linha do tempo precisa?
 Qual era o local físico da máquina virtual que é executada pelo site de hospedagem?
De que leis / regulamentos é governado?
 Quais mecanismos de detecção e proteção são empregados pelo provedor para
manter sua infraestrutura segura e identificar intrusões?
 Como o provedor se recusou a fornecer evidências do sistema operacional, a
promotoria pode ter evidências suficientes para provar que um compromisso
realmente ocorreu?https://www.researchgate.net/publication/286192780_Understanding_Issues_in_cloud_forensics_Two_hypothetical_case_studies

Saiba mais e novos projetos
 Excelente vídeo de exemplo feito pela Forensics Sans -
https://www.youtube.com/watch?v=vgmKUGuMi7c
 Projeto Freta - Opção de nuvem que permite analisar a segurança no
Linux. Ele permite que testes forenses sejam executados para
fornecer inspeção de memória volátil automatizada de sistema
completo de capturas instantâneas de máquinas virtuais. Ele pode
detectar software malicioso, rootkits e outras ameaças que podem
ser ocultadas – Saiba mais em - https://docs.microsoft.com/en-
us/security/research/project-freta/

Fontes de Pesquisa
 https://www.enisa.europa.eu/publications/exploring-cloud-incidents
 https://www.infosecurity-magazine.com/opinions/cloud-complicates-digital-crime/
 https://www.ipsense.com.br/blog/conheca-os-modelos-de-armazenamento-na-
nuvem-iaas-paas-saas-e-caas/
 https://www.copeltelecom.com/site/blog/armazenamento-na-nuvem-4-tipos-de-cloud/
 https://www.ipsense.com.br/blog/quais-sao-os-maiores-desafios-do-armazenamento-
na-nuvem/
 https://www.csiac.org/wp-content/uploads/2016/02/Vol14_No1.pdf
 https://www.researchgate.net/publication/286192780_Understanding_Issues_in_clou
d_forensics_Two_hypothetical_case_studies
 https://resources.infosecinstitute.com/category/computerforensics/introduction/areas-
of-study/hybrid-and-emerging-technologies/introduction-to-cloud-forensics/#gref
 https://digital-forensics.sans.org
 https://www.nist.gov/

Desafios da análise forense na nuvem

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Was ist angesagt?

Was ist angesagt? (16)

Ähnlich wie Desafios da análise forense na nuvem

Ähnlich wie Desafios da análise forense na nuvem (20)

Desafios da análise forense na nuvem