Análisis Forense de Metadatos

Chema Alonso

2003 – MS Word bytes Tony Blair

Metadatos

Ciclo de Vida de Metadatos

Datos Perdido

s

Info oculta

Mala gestiónMala conversiónOpciones inseguras

Nuevas aplicaciones o nuevas versiones

Ficherosembebidos

BuscadoresArañasBases de datos

Ficherosembebidos

Mala gestiónFormatos embebidoosConversión erroneaOpciones Inseguras

Información Oculta: Impresoras

Información oculta: OLE Streams

En ficheros binarios de MS Office Almacena información sobre el SO No se limpia ni elimina FOCA busca esta información

Información GPS en fotos

Metadatos creados por Google

Tu usuario del FBI

http://www.elladodelmal.com/2009/03/espiando-los-espias.html

Datos Perdidos

http://www.elladodelmal.com/2008/01/how-to-be-security-machine-for-free.html

Datos Perdidos

http://www.elladodelmal.com/2009/04/lost-data-dos-ejemplos.html

¿Qué ficheros tienen metadatos?

Office documents: Open Office documents. MS Office documents. PDF Documents.▪ XMP.

EPS Documents. Graphic documents.▪ EXIFF.▪ XMP.

Casi cualquiera…

Revelan

Relaciones Ocultas Entre empresas Entre personas

Historia de Acciones Piratería de Software Información táctica

Ataques dirigidos Conocimiento organizativo

Geoposicionamiento Espacio Tiempo

Caso 1: El Programa del PP

http://www.elladodelmal.com/2011/10/un-becario-publica-el-programa-del-pp.html

Caso 2: La ministra de la SGAE

http://www.securitybydefault.com/2009/04/la-ministra-de-la-sgae.html

Caso 3: El software de una empresa

http://www.elladodelmal.com/2010/04/cuanto-pagara-la-sgae-por-su-software.html

Caso 4: El pliego de condiciones

http://www.burbuja.info/inmobiliaria/burbuja-inmobiliaria/180891-pillados-pliego-de-condiciones-de-contrato-municipal-redacta-adjudicataria.html

http://www.youtube.com/watch?v=jhSfwrCZ6X0

Caso 5: El hacker anonymous

http://www.elladodelmal.com/2010/12/tapaque.html

Caso 6: El traficante de drogas

http://www.seguridadapple.com/2011/03/priceless-detener-contrabandistas-por.html

Caso 7: El hacker defacer

http://alt1040.com/2012/04/tgif-hacker-acusado-gracias-a-fotos-de-los-pechos-de-su-novia

Caso 8: El asesinato como suicidio

http://forensics-project.blogspot.com.es/2012/04/caso-real-3-tiempos-mac-resuelven-un.html

Caso 9: La operación Aurora

http://en.wikipedia.org/wiki/Operation_Aurora

Caso 10: El Ataque Dirigido

http://www.telegraph.co.uk/news/worldnews/northamerica/usa/7966871/Pentagon-breached-by-foreign-hacker.html

Caso 10: El Ataque dirigido

Caso 10: El Ataque Dirigido

Caso 10: El Ataque Dirigido

Total: 1075 files

Caso 10: Ataque Dirigido

http://www.elladodelmal.com/2010/09/como-enfocar-un-ataque-de-malware.html

Caso 10: Ataque Dirigido

http://www.elladodelmal.com/2010/09/como-meter-un-exploit-en-una-web-con.html

Caso 11: CENATIC y el apoyo al SW

http://www.elladodelmal.com/2009/12/que-poca-verguenza.html

Caso 12: Guía de Instalación Linux

FOCA Online

http://www.informatica64.com/FOCA.aspx

Forensic FOCA

http://www.elladodelmal.com/2012/02/forensic-foca-beta-trial.html

Esquema Nacional de Seguridad "5.7.6 Limpieza de documentos

En el proceso de limpieza de documentos, se retirará de estos toda la información adicional contenida en campos ocultos, meta-datos, comentarios o revisiones anteriores, salvo cuando dicha información sea pertinente para el receptor del documento.

Esta medida es especialmente relevante cuando el documento se difunde ampliamente, como ocurre cuando se ofrece al público en un servidor web u otro tipo de repositorio de información.

El incumplimiento de esta medida puede perjudicar:

a) Al mantenimiento de la confidencialidad de información que no debería haberse revelado al receptor del documento.

b) Al mantenimiento de la confidencialidad de las fuentes u orígenes de la información, que no debe conocer el receptor del documento.

c) A la buena imagen de la organización que difunde el documento por cuanto demuestra un descuido en su buen hacer."

http://www.elladodelmal.com/2009/11/esquema-de-seguridad-nacional-metadatos.html

Aprender

http://www.informatica64.com/libros.aspx

Aprender

http://www.informatica64.com/libros.aspx

aprender

http://www.informatica64.com/libros.aspx

¿Preguntas?

Chema Alonso chema@informatica64.com http://twitter.com/chemaalonso http://www.informatica64.com http://www.elladodelmal.com