Cibercrimen: Como llevar adelante una investigación exitosa
Anuncio
Cibercrimen: Como llevar adelante una investigación exitosa Julio C. Ardita Comisario Jaime Jara Retamal CTO CYBSEC Policía de Investigaciones de Chile Brigada Investigadora del Ciber Crimen Metropolitana Cibercrimen: Como llevar adelante una investigación exitosa Agenda - Incidentes de seguridad - Manejo de incidentes de seguridad - Metodologías de investigación - Investigación del delito informático en Chile. - Análisis de Evidencia Forense - Estadísticas de Chile Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa Incidentes de seguridad reales - Robo de información sensible - Robo y pérdida de notebooks con información sensible - Denegación de servicio sobre equipos de networking, afectando la operación diaria de la Compañía - Denegación de servicio por el ingreso y propagación de virus y worms que explotan vulnerabilidades - Sabotaje Corporativo a través de modificaciones de programas por parte del personal interno que generó problemas de disponibilidad en servicios críticos (programa troyano) Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa Incidentes de seguridad reales - Amenazas y denuncias falsas a través de mensajes de correo electrónico anónimos - Ataques locales de phishing a Bancos y Empresas - Fraude financiero Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa ¿Por qué se generan más incidentes que antes? - Crecimiento de la dependencia tecnológica - No hay una conciencia sobre la privacidad - Amplia disponibilidad de herramientas - No hay leyes globales (ni locales) - Falsa sensación de que todo se puede hacer en Internet - Gran aumento de vulnerabilidades de seguridad (sólo en el 2008 se reportaron más de 8.000 según el CERT) - Traslado de negocios con dinero real a Internet (servicios financieros, juegos de azar, sitios de subastas, etc.) - Oferta y demanda de información confidencial más abierta Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa Tendencias en incidentes - Los intrusos “saben” más técnicas para evitar que los rastreen - Nuevo origen de incidentes: redes wireless abiertas - Casos de publicación de venta en Internet de información sensible de empresas argentinas - Casos individuales de robo de identidad basados en información disponible en Internet Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa Manejo de incidentes de seguridad Hacemos todo lo posible para tener un elevado nivel de seguridad en la Compañía, pero surge un incidente de seguridad grave. Tips: - No ocultarlo. ”Las malas noticias hay que darlas rápido” (Silvio Szostak) - Mantener la calma por la situación personal del CSO - No comenzar buscando culpables - Obtener información de primera mano y verificarla - Establecer un Plan de Acción y coordinarlo Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa Manejo de incidentes de seguridad Durante las primeras horas tendremos la atención de la Compañía puesta en nosotros. Es clave aprovechar este momento. Nivel de Atención de la Gerencia durante un Incidente % Nivel de Atención 120 100 80 0 hs 12 hs 60 24 hs 40 20 48 hs 72 hs 96 hs 0 Tiempo Es el momento apropiado para reforzar la asignación de recursos en el área de seguridad. Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa Necesidades para el manejo de incidentes de seguridad - Políticas y Procedimientos previamente definidos y acordados - Capacitación del personal involucrado (seguridad informática, administradores, help-desk, auditoría, seguridad ambiental y legales) - Mantenimiento activo (capacitación periódica, simulaciones y adecuación de las Políticas y Procedimientos) - Soporte altamente especializado Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa Política de Manejo de Incidentes de Seguridad Informática Procedimientos necesarios: - Detección y Denuncia de Incidentes - Recepción y Análisis de Incidentes - Neutralización del ataque - Búsqueda de información y rastreo del intruso - Secuestro y preservación de evidencia - Recuperación de datos o sistemas afectados - Restauración de la información - Cierre y documentación del proceso de manejo de incidentes Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa Pasos a seguir cuando sucede un incidente 1. Reunión de relevamiento on-site con todos los referentes e involucrados. 2. Verificar la información. 3. Consolidar y revisar toda la información relevada. 4. Análisis preliminar de impacto del incidente. 5. Elaborar el diagnóstico detallado de la situación. Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa Pasos a seguir cuando sucede un incidente 6. Definir los mensajes de comunicación a transmitir a través de canales de comunicación externos e internos. 7. Elaborar un Plan de Acción detallado y consensuado con todas las áreas participantes. 8. Organizar grupos de trabajo para llevar adelante las actividades planificadas en el Plan de Acción coordinados por el CSO. 9. Implementar y gerenciar el Plan de Acción priorizando las actividades más críticas con el objetivo de bajar lo mas rápido posible el nivel de exposición al riesgo que afecta a la Compañía. Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa Pasos a seguir cuando sucede un incidente 10. Documentar detalladamente TODO lo realizado. 11. Vuelta a la normalidad. 12. Luego del cierre del incidente: - Aplicar “lecciones aprendidas”. - En lo posible estimar las pérdidas económicas. - Ajustar los procedimientos. - Informe ejecutivo al Directorio y áreas de negocio. Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa Buenas Prácticas frente a incidentes de seguridad Hay que tener comunicados. procedimientos claramente definidos y Es muy importante que todo el personal esté entrenado previamente y sepa qué tiene que hacer frente a un incidente. Durante las primeras horas tendremos la atención de la Compañía puesta en nosotros. Es clave aprovechar ese momento. El tiempo es un factor que nos puede llegar a jugar en contra. Cuanto antes reaccionemos, mejor estaremos preparados para manejar el incidente. Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa AGRUPACIÓN DE INVESTIGACIÓN DE DELITOS DE PORNOGRÁFIA INFANTIL DELITOS QUE SE INVESTIGAN Comercialización, importación, exportación, distribución, difusión o exhibición y almacenamiento de material pornográfico infantil. FORMAS DE COMETER EL DELITO Técnica de Seducción o Grooming Técnica de Encriptación Descarga de pornografía Infantil, P2P (emule, Ares, torrent). Caso Investigado. Distribución de pornografía infantil en foros, bbs, fotolog, comunidades, etc. Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa AGRUPACIÓN DE INVESTIGACIÓN DE FRAUDES ECONÓMICOS CON APOYO INFORMÁTICO DELITOS ECONOMICOS PROPIAMENTE TALES Sitios de Remate. Transferencia Vía Internet. Phishing. Amenazas. Terrorismo. Hacking. Análisis Forense Cooperación Internacional. Estadísticas Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa Operación Ángel de la Guarda: (Pornografía Infantil 2007) Operación a nivel nacional, que se llevó a cabo para detectar a las personas que descargaban material pornográfico infantil, a través de los programas P2P (emule, ares, torrent, etc.), logrando la detención de 21 personas en todo el país. Algunos de los sujetos mantenían en su poder más de 80.000 archivos entre imágenes y videos de menores siendo abusados sexualmente. Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa Se crea una gran base de datos, con el material incautado en diligencia anteriores, para luego generarles un código y posteriormente marcarlas en los programas Peer To Peer Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa FORMA EN QUE SE DESCARGABA LA PEDOFILIA Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa RESULTADOS MAS DE 35 DOMICILIOS ALLANADOS, CON UN TOTAL DE 21 DETENIDOS A NIVEL NACIONAL Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa Sitio de Remate Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa X Operación Keylogger: (Octubre 2007).Detención y puesto a disposición del Juzgado de Garantía dos sujetos que instalaban en el Aeropuerto de Santiago programas computacionales keylogger que permitían la captura de las claves de acceso a las cuentas bancarias de tercero, con la finalidad de transferir fondos a otras cuentas y girar. Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa X Operación Mexicana: (Phishing 2007) Operación internacional que tardó más de 5 meses en finalizar, llevada a cabo en conjunto con el Departamento de Control de Fraudes del Banco Santander Santiago y la Fiscalía de Ñuñoa, estableciendo que operaba una banda internacional dedicada a defraudar a titulares de cuentas corrientes de la referida entidad bancaria, mediante la técnica conocida como Phishing. Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa RESULTADOS 04 DETENIDOS, ENTRE ELLOS DOS EXTRANJEROS DE NACIONALIDAD MEXICANA Y DOS CARABINEROS Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa Investigación Amenaza Presidencial: (Junio de 2007).Detención y puesto a disposición del Juzgado de Garantía al sujeto que amenazó a la Presidenta de la República por correo electrónico. Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa Amenaza de Bomba en Aeropuerto AMB Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa Los sitios se modificaban en algunos casos para realizar cíber-Protestas Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa Los sitios modificados, eran publicados diariamente en el sitio de hackers www.zone-h.org Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa RESULTADOS CUATRO PERSONAS DETENIDAS, ENTRE ELLOS DOS MENORES DE EDAD, CONOCIDOS POR SUS APODOS EN INTERNET DE NETTOXIC/ SSH-2 / C0DIUX/ PHNX Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa AGRUPACIÓN DE ANÁLISIS DE EVIDENCIA FORENSE PRINCIPIOS FUNDAMENTALES: Los computadores ampliamente utilizados en todas las áreas. Los hechos se prueban a través de las evidencias. son PROCEDIMIENTO GENERAL: Identificación, Recolección, Preservación, Análisis y Presentación de la Evidencia Informática. SERVICIO QUE SE ENTREGA: Incautación, Duplicación y preservación, Recuperación, Búsqueda de sobre documentos, Conversión de Medios, Análisis Computacional, Testigo Experto, etc. Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa SITIO DEL SUCESO Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa EVIDENCIA Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa ESPECIE Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa FORMULARIO ININTERRUMPIDO DE CADENA DE CUSTODIA Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa HERRAMIENTAS DE ANÁLISIS FORENSE INFORMÁTICO Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa Etapas de Análisis Forense Informático Estructura de Carpetas Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa COOPERACION INTERNACIONAL OEA GTLDT Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Cibercrimen: Como llevar adelante una investigación exitosa Segurinfo 2009 – Sexto Congreso Internacional de Seguridad de la Información – Santiago de Chile – www.segurinfo.org.ar Contacto Julio C. Ardita [email protected] CYBSEC Comisario Jaime Jara Retamal Brigada Investigadora del Ciber Crimen Metropolitana Teléfono: 5445784 e-mail: [email protected]
