De zwakste schakel...

Afgelopen jaar heeft Fox-IT een rapport uitgebracht waarin een achttal usb sticks aan de tand zijn gevoeld. Welke stick is veilig genoeg om confidentiele data te mogen bevatten? Uiteindelijk kreeg de Kobil mIDentitiy het predikaat meest veilige usb stick in een "lost-and-found scenario". De betekenis hiervan is duidelijk: zodra de stick wordt verloren zal een vinder geen mogelijkheid hebben om de data te achterhalen.

Ook Defensie heeft eindelijk de knoop doorgehakt. Na een aantal blunders in de afgelopen jaren heeft men nu eindelijk besloten de Kingston Data Traveller Elite Secure Privacy Edition te gaan gebruiken, zo is te lezen in de Defensie krant van begin april.

De thuisgebruiker moet continue rekening houden met een aantal zaken. Verouderde virusscanners, updates, firewall, lekke third party applicaties. Het risico dat de thuisgebruiker loopt is aanzienlijk als hij met deze zaken geen rekening houdt.
Zodra uw pc niet meer up to date is zal ook uw beveiligde usb stick niet meer veilig zijn...

Hetzelfde geldt in principe ook voor de werkomgeving. In de meeste gevallen zullen updates wel worden uitgevoerd. Ook zal de virusscanner wel zijn voorzien van de laatste virusdefinities. Echter heeft onderzoek wel uitgewezen dat werknemers meer risico vormen dan vaak gedacht wordt. Een hacker kan natuurlijk ook van binnen uit uw organisatie komen... Daarbij zijn de werkstations binnen een bedrijf ook een belangrijk element. Als deze niet goed zijn geconfigureerd werkt dat in het voordeel van de hacker. Ook de informatie op usb sticks wordt daarbij niet ontzien.

Als voorbeeld nemen we de Kingston Data Traveller Elite. In principe maakt het niet uit welke stick gebruikt of welke vorm van encryptie gebruikt wordt. Zodra de stick door u in de pc wordt gestoken loopt u het risico dat de bestanden onder uw neus worden gekopieerd... zonder dat u het merkt.

De hacker, die reeds in een eerder stadium voldoende rechten heeft verworven op uw netwerk of uw pc, kan op afstand zien of u gebruik maakt van externe devices. De externe harddisk die aangesloten wordt, de camera, telefoon of usb stick, het maakt niets uit. De hacker ziet een nieuwe driveletter verschijnen.

Met een simpel vb script kan hij in de gaten houden of er op enig moment een nieuw device wordt aangekoppeld.

strComputer = "." '(Any computer name or address)
Set wmi = GetObject("winmgmts:\\" & strComputer & "\root\cimv2")
Set wmiEvent = wmi.ExecNotificationQuery("select * from __InstanceOperationEvent within 1 where TargetInstance ISA 'Win32_PnPEntity' and TargetInstance.Description='USB Mass Storage Device'")
While True
Set usb = wmiEvent.NextEvent()
Select Case usb.Path_.Class
Case "__InstanceCreationEvent" WScript.Echo("USB device found")
Case "__InstanceDeletionEvent" WScript.Echo("USB device removed")
Case "__InstanceModificationEvent" WScript.Echo("USB device modified")
End Select
Wend


Ook met DeviceLock Plug and Play Auditor kunnen in korte tijd hele netwerken gescand worden. Niet alleen de devices die aan de pc zitten kunnen worden gezien, nee, ook de devices die op enig moment in het verleden(!) aan de pc hebben gezeten worden getoond. You will be amazed what you find!

Vervolgens kan op afstand met behulp van computerbeheer het device worden benaderd.



Bij schijfbeheer kan nog even worden gecontroleerd of er inderdaad een device is aangekoppeld. In dit geval wordt er als E volume een removable device gevonden met een capaciteit van 498 Mb.



Om het device ook te kunnen benaderen wordt er een nieuwe bestandsshare aangemaakt. Wel hidden, zodat deze verborgen blijft voor de gebruiker.



De map wordt gedeeld...



Waarna vervolgens de bestanden bekeken en gekopieerd kunnen worden...

Peer 2 Peer Forensics

Internet heeft onze maatschappij veranderd. Heeft de wereld veranderd. Met internet deel je informatie. Om deze informatie nog toegankelijker te maken heeft men een aantal manieren bedacht die daarbij helpen. Niet alle informatie die wordt gedeeld is legaal. In sommige gevallen moet de digitaal onderzoeker achterhalen of bestanden via P2P zijn gedownload, wanneer, en waar vandaan. Een moeilijke klus, aangezien er tegenwoordig honderden P2P programma's zijn waar de gebruiker uit kan kiezen. Natuurlijk gebruikt het grootste percentage de meer bekende programma's zoals eMule, Kazaa, Limewire, BitTorrent of Shareaza, en kan hiermee al een goede forensische knowledge base aangelegd worden. Indien je zelf onderzoek moet verrichten naar een P2P programma is het verstandig eerst een zelfstandige installatie te doen in een VMware omgeving. Na enkele gebruikers handelingen, zoals zoeken met specifieke trefwoorden, downloaden en uploaden, kan je vervolgens met Filemon en Regmon nagaan welke registersleutels zijn aangepast en waar meer informatie te vinden is.

Om je alvast in te lezen is het stuk in deze link een goed begin: http://www.ctin.org/Presentations/P2P%20Presentation.pdf

Aan de andere kant is het al langer bekend dat veel gebruikers van P2P programma's de risico's niet goed inschatten. Een standaard installatie van een P2P programma heeft vaak als resultaat dat privegegevens van gebruikers gedeeld worden met de rest van de wereld. Limewire vraagt tijdens de installatie of het mag zoeken naar "gewilde" bestanden. Deze vraag staat standaard op ja. Als je dus doorklikt gaat het progamma vervolgens zoeken naar alle jpg, mp3 en doc files en zal die dan ook gaan delen. Het programma nestelt zich ook in de startup van de pc. Zonder het in de gaten te hebben staat de pc open zodra die wordt aan gezet. Een handleiding lezen zou dan ook niet onverstandig zijn. http://www.limewire-info.nl/nieuws.php

Nadat er in het nieuws een aantal van deze lekken zijn gepubliceerd http://www.geenstijl.nl/mt/archieven/013407.html , heeft half Nederland een poging gewaagd vertrouwelijke informatie te vinden. Niet altijd zonder resultaat. De trefwoorden "vertrouwelijk, geheim, prive of wachtwoorden" hebben de meeste bestanden met die teksten wel boven water gehaald.