22 de junio de 2017 | Donostia - San Sebastian
ES PRICE TABLE SCHEDULE TERMS REGISTER NOWOSINT Tools and Techniques: A Practical Approach
Yaiza Rubio Viñuela & Félix Brezo Fernández
El objetivo de este taller es formar a los analistas de seguridad sobre las limitaciones que existen en la realización de ejercicios de atribución de actividades ilícitas que tienen lugar en la red. El procesamiento masivo de información puede ser utilizado para intentar identificar actividades sospechosas de forma proactiva. Sin embargo, no todas las plataformas y herramientas son útiles cuando las investigaciones que se solicitan tienen lugar bajo demanda y obedecen a necesidades concretas de información. Por ello, en este seminario se plantearán diferentes técnicas de investigación del rastro digital así como métodos y herramientas de software libre útiles en todo el proceso de investigación.
Audiencia y requisitos previos:
El perfil destinatario de la formación será el de analistas de seguridad orientados a la monitorización de la red y a la realización de ejercicios de atribución. La impartición de las clases asumirá los siguientes conocimientos mínimos:
- Conocimiento a nivel de usuario de informática
- Conocimientos básicos de navegación en Internet
Duración del curso, formato y materiales:
Un día de formación.
- Estará compuesto por 5 horas presenciales
Otras consideraciones:
- Idioma de formación: Castellano
- Los alumnos necesitarán traer su propio portátil con software de virtualización VirtualBox
- Descuento del 50% en la entrada de EuskalHack Security Congress
- Nota1: la formación será cancelada si no se alcanza un mínimo de 8 personas inscritas
- Nota2: los ejercicios se realizarán en la máquina virtual facilitada a los alumnos en formato .ova en donde estas herramientas ya vendrán configuradas
Acerca de los formadores:
Rubio Viñuela, Yaiza
Licenciada en Ciencias de la Información, Máster en Análisis de Inteligencia y Máster en Logística y Economía de la Defensa. Miembro del Instituto de Ciencias Forenses de la UAM, desde mayo de 2013 ejerce como analista de inteligencia para Telefónica Digital tras haberlo hecho en empresas como S21sec e Isdefe, además de ser colaboradora del Centro de Análisis y Prospectiva de la Guardia Civil. También se dedica a la publicación de contenidos científico-técnicos en conferencias de seguridad como RootedCon, 8dot8, Navaja Negra, JNIC o Cybercamp así como docente en cursos de postgrado sobre análisis de inteligencia, seguridad y fuentes abiertas y formadora en cursos sobre investigación en la red de FCSE.
Félix Brezo es Ingeniero en Informática e Ingeniero en Organización Industrial, Master en Seguridad de la Información, Master en Análisis de Inteligencia y Doctor en Ingeniería Informática y Telecomunicación. Hasta junio de 2013, investigador en seguridad informática en el S3Lab de la Universidad de Deusto y, a partir de entonces, analista de inteligencia para Telefónica Digital, además de colaborador del Centro de Análisis y Prospectiva, docente a nivel universitario sobre análisis de inteligencia y seguridad y divulgador de contenidos científicotécnicos en conferencias de seguridad como RootedCon, 8dot8, Navaja Negra, JNIC o Cybercamp.
Programa detallado de la formación:
BLOQUE I: Estructura de la red: conceptos generales aplicadas a redes de comunicación (0,5 horas)
Se procederá a detallar los aspectos que conforman la red en función de la naturaleza de la información y de su accesibilidad. Los analistas adquirirán conocimientos sobre las diferentes tecnologías que permiten la compartición de información y contenidos en internet identificar las implicaciones que conlleva su monitorización en función de la forma en que estos pueden ser consultados. Es necesario que seamos conscientes de que gran parte de la información procedente de internet se encuentra en formato texto, imagen o vídeo y que otra parte importante solamente es accesible a través de canales privados. El objetivo de este apartado es ser conscientes de las limitaciones técnicas y computacionales que existen en el procesamiento de cada uno de estos formatos.
BLOQUE II: Monitorización práctica de la red utilizando Logstash, ElasticSearch y Kibana (2 horas)
La pila de tecnologías de ElasticSearch, Logstash y Kibana es un conjunto de herramientas libres que se pueden utilizar para múltiples tareas de procesamiento, indexación y visualización de contenido. En esta parte se enseñará a los alumnos el manejo de Logstash y ElasticSearch para la indexación de contenido y de otros ficheros de log para su indexación y análisis posterior utilizando Kibana.
Los alumnos aprenderán a usar esta pila de herramientas con ejercicios en los siguientes formatos:- Uso básico de Logstash
- Conexión a las API
- Acceso al contenido de API con Logstash
- Indexación del contenido en ElasticSearch
- Exploración del contenido en Kibana
- Generación de visualizaciones y dashboards en Kibana
Bloque III: Realización de ejercicios de atribución (2 horas)
Las investigaciones que se llevan a cabo en la red parten a menudo de un escaso número de inputs conocidos con certeza. Este apartado estará destinado al aprendizaje de métodos de investigación partiendo de información de partida concreta como nombres y apellidos, nombres de usuario, direcciones de correo electrónico, direcciones IP y otros elementos que pudieran ser utilizados para el establecimiento de la autoría.
Los alumnos aprenderán a usar las herramientas a su alcance para realizar estas tareas de investigación:- Uso de OSRFramework para la investigación
- Alternativas a la búsqueda de usuarios (Namechk, Pipl Search)
- Por qué OSRFramework
- Requerimientos e instalación
- Uso básico de las herramientas
- Búsqueda de nombres de usuario: usufy.py
- Búsqueda por cadena de texto: searchfy.py
- Búsqueda de correos electrónicos: mailfy.py
- Búsqueda por número de teléfono phonefy.py
- osrfconsole.py
- Transformadas de Maltego
- Otras herramientas para la investigación
- Páginas de archivado: archive.org, archive.is, Google Cache
- Búsqueda inversa de imágenes
- Análisis de imágenes
- Investigación sobre monedas digitales: conceptos de carteras y tipos de ellas
Bloque IV: OPSEC y anonimato orientado a las investigaciones en la red (0,5 horas)
La detección e investigación de ciertas actividades en la red puede derivar en filtración de información susceptible de ser capturada por los objetos o sujetos investigados. De este modo, en este apartado se impartirán conocimientos y metodologías que los analistas deberán implementar para llevar a cabo este tipo de trabajos con ciertas garantías de que no se filtre información relevante sobre los investigadores, como la creación de avatares/perfiles o la navegación anónima.