Forensyka Sieciowa

Forensyka sieciowa opiera się na gromadzeniu i analizie danych pozostawionych przez komunikację. Źródłem mogą być logi zapór, serwerów i systemów wykrywania, dane przepływów oraz przechwycone pakiety. Każde źródło pokazuje inny zakres zdarzeń, ma własną dokładność czasu i własny okres przechowywania. Zestawienie kilku źródeł pozwala odtworzyć kolejność zdarzeń i sprawdzić, które wnioski mają bezpośrednie potwierdzenie. Należy oddzielić materiał pierwotny od kopii roboczej oraz zachować skrót pliku i opis narzędzia użytego do odczytu.

obejmuje przechwytywanie, rejestrowanie i analizę pakietów oraz logów zdarzeń w celu zbadania incydentu bezpieczeństwa. Analityk ustala, co się wydarzyło, które systemy uczestniczyły w zdarzeniu, jakie działania wykonano i jakie dane mogły zostać ujawnione. Sam alert lub pojedynczy adres IP nie przesądza o intencji osoby ani o pełnym przebiegu zdarzenia. Wnioski wymagają zakresu dochodzenia, wiarygodnych znaczników czasu i korelacji kilku źródeł.

Źródła dowodów cyfrowych

Dane cyfrowe są niewidoczne dla użytkownika i często ulotne. Retencja zależy od rozmiaru bufora, konfiguracji logowania, rotacji plików oraz pojemności magazynu. Po rozpoczęciu analizy trzeba ustalić, które źródła mogą zostać nadpisane, zabezpieczyć ich kopie i odnotować czas pozyskania. Główne źródła obejmują:

1. Logi urządzeń sieciowych

Urządzenia i usługi zapisują wybrane zdarzenia zgodnie z konfiguracją. Log może zawierać czas, identyfikator urządzenia, adresy, porty, protokół, decyzję oraz identyfikator reguły. Przed interpretacją trzeba sprawdzić strefę czasową, synchronizację NTP, sposób rotacji i kompletność wpisów. Protokół pozyskania powinien wskazywać źródło, konto dostępu, format eksportu i skrót utworzonej kopii.

Logi zapór sieciowych: Zapisują decyzje dotyczące prób połączeń obserwowanych przez zaporę. Wpis zwykle zawiera znacznik czasu, źródłowy i docelowy adres IP, porty, protokół, akcję oraz czasem identyfikator reguły. Seria odrzuceń może wskazywać skanowanie, lecz pojedynczy wpis nie dowodzi udanej intruzji. Zdarzenie dopuszczone przez zaporę trzeba zestawić z logami serwera i systemu końcowego.
Logi IDS/IPS: System może zapisać sygnaturę, kierunek, adresy, porty, fragment obserwowanego żądania, ocenę oraz działanie wykonane przez IPS. Przykładowy alert może wskazać próbę SQL injection z IP $198.51.100.10$ do serwera WWW $192.168.1.5$ na porcie $443$ . Taki wpis dokumentuje dopasowanie reguły i wymaga weryfikacji w ruchu, aplikacji oraz systemie docelowym. Sam alert nie rozstrzyga intencji ani skutku ataku.
Logi serwerów proxy: Proxy może zapisywać żądania, użytkownika lub urządzenie, host, metodę, kod odpowiedzi, ilość danych i czas. Zakres zależy od polityki, retencji, pamięci podręcznej oraz szyfrowania TLS. Log może pomóc powiązać pobranie pliku z urządzeniem, lecz nie musi zawierać pełnej treści ani wszystkich odwiedzonych zasobów.
Logi routerów i przełączników: Routery mogą zapisywać interfejs, trasę, błędy i zdarzenia routingu. Przełączniki dostarczają informacji o portach, VLAN-ach oraz tablicach MAC. Korelacja portu i czasu może powiązać ruch z urządzeniem, lecz wynik zależy od mobilności, NAT, wirtualizacji i czasu życia wpisu.

2. Dane o przepływach (NetFlow/IPFIX)

opisują komunikację bez zapisywania jej treści. Rekord może podsumowywać przepływ między dwoma punktami i zawierać:

Źródłowe i docelowe adresy IP
Źródłowe i docelowe porty
Typ protokołu
Znaczniki początku i końca przepływu
Liczba pakietów i ilość przesłanych danych

Dane o przepływach pokazują kierunek, czas i rozmiar komunikacji. Analityk może wskazać anomalię, na przykład serwer wewnętrzny wysyłający po raz pierwszy dużą ilość danych do nieznanego adresu w innym kraju. Taki wzorzec może pasować do eksfiltracji, lecz wymaga porównania z rolą serwera, harmonogramem kopii, DNS, logami zapory i systemem docelowym. Próbkowanie i konfiguracja eksportera mogą pomijać krótkie przepływy, dlatego trzeba zapisać te ograniczenia. Rekordy należy także sprawdzać względem czasu eksportera i zmian szablonów, a kolektor powinien zachować profil eksportu użyty podczas zdarzenia.

3. Przechwytywanie pakietów (PCAP)

Przechwytywanie pakietów zapisuje obserwowane ramki i pakiety w pliku PCAP lub podobnym formacie. Zakres zależy od punktu pomiaru, filtrów, próbkowania, długości przechwytywanego pakietu i strat na interfejsie. Zapis nie musi obejmować całej komunikacji w sieci ani pełnego ładunku każdej ramki. Przed analizą warto zapisać filtr, interfejs, konfigurację czasu i informację o utraconych pakietach, ponieważ te dane określają zakres wniosku.

Przy użyciu narzędzia takiego jak Wireshark analityk może, jeśli punkt pomiaru i konfiguracja zapewniły widoczność:

odtworzyć polecenia widoczne w niezaszyfrowanym protokole;
zrekonstruować przesyłane pliki, jeśli zapis obejmuje wymagane segmenty;
przeanalizować dane exploita obecne w przechwyconym ruchu;
odczytać treść niezaszyfrowanych wiadomości.

PCAP może dostarczyć więcej szczegółów niż log lub przepływ, lecz nie jest automatycznie kompletnym dowodem. Na ruchliwym łączu zapis może osiągać terabajty dziennie, co wpływa na retencję i integralność magazynu. TLS i IPsec ukrywają ładunek przed obserwatorem bez kluczy lub kontrolowanej inspekcji. Analiza musi więc uwzględniać punkt przechwycenia, utracone pakiety, szyfrowanie i ograniczenia retencji.

Proces analizy śledczej

NIST opisuje pracę forensyczną jako kolejne etapy identyfikacji, pozyskania, badania, analizy i raportowania. Zakres oraz kolejność czynności trzeba dopasować do incydentu, retencji danych i wymagań organizacji. Każdy krok powinien pozostawiać zapis użytych źródeł, narzędzi, czasu i decyzji analityka.

Identyfikacja i określenie zakresu: Trzeba ustalić, jakie zdarzenie jest badane, kiedy mogło się rozpocząć i które systemy mogą być związane z incydentem. Sygnałem może być alert IPS, zgłoszenie użytkownika, anomalia przepływów albo informacja od organu uprawnionego. Zakres powinien obejmować cele analizy, hipotezy, wymagane źródła oraz ograniczenia dostępu.
Zabezpieczenie i zbieranie: Logi mogą zostać nadpisane, pamięć urządzenia może się zmienić, a aktywny ruch trwa tylko przez określony czas. Należy tworzyć weryfikowalne kopie, zapisywać skróty, zachować ustawienia źródła i opisać sposób pozyskania. rejestruje, gdzie, kiedy i przez kogo materiał został znaleziony, skopiowany, przekazany oraz analizowany. Taka dokumentacja wspiera ocenę autentyczności i późniejszą analizę prawną. Dostęp do materiału powinien być ograniczony, a każda operacja na kopii opisana w dzienniku czynności.
Badanie i analiza: Surowe dane są porządkowane, filtrowane i porównywane z hipotezami. Analitycy używają między innymi następujących technik:
- Analiza linii czasu: Znaczniki z zapór, serwerów i routerów są porównywane w jednej osi czasu. Analityk sprawdza strefy czasowe, opóźnienia, dokładność i synchronizację NTP. Rozbieżność zegarów może zmienić kolejność zdarzeń, dlatego należy ją odnotować.
- Korelacja zdarzeń: Alert IPS można zestawić z logiem proxy wskazującym pobranie pliku oraz z rekordem przepływu pokazującym nowe połączenie z urządzenia do serwera oznaczonego jako złośliwy. Systemy SIEM (Security Information and Event Management) automatyzują część korelacji, lecz wynik wymaga sprawdzenia reguł, źródeł i kontekstu.
- Analiza pakietów: Narzędzia takie jak Wireshark pozwalają badać sekwencje protokołów, pola nagłówków i widoczny ładunek. Rekonstrukcja działań jest możliwa tylko w zakresie objętym zapisem oraz po odszyfrowaniu ruchu, jeśli istnieje do tego uprawniony mechanizm.
Prezentacja i raportowanie: Raport powinien oddzielać obserwacje od interpretacji, wskazywać źródła i czasy, opisywać metodę oraz wymieniać ograniczenia. Wnioski należy poprzeć konkretnymi wpisami, skrótami lub fragmentami przechwycenia. Odbiorcy techniczni i prawni potrzebują również zaleceń dotyczących usunięcia skutków, retencji i kontroli zapobiegawczych.

Ograniczenia forensyki sieciowej

Wynik analizy zależy od widoczności, jakości czasu, retencji, szyfrowania i możliwości przechowywania. Ograniczenia obejmują:

Szyfrowanie: TLS i IPsec chronią ładunek przed obserwatorem bez kluczy. Analiza może wtedy wykorzystać adresy, czasy, rozmiary i inne metadane. Treść może być dostępna na punkcie końcowym, w kontrolowanej inspekcji albo w uprawnionym materiale kluczowym, lecz każda z tych możliwości wymaga osobnej polityki i dokumentacji.
Wolumen danych: Ruchliwe łącze może generować terabajty danych pakietowych dziennie. Przechwytywanie, indeksowanie i przechowywanie takiego materiału wymaga selekcji, retencji warstwowej oraz kontroli integralności. Duża liczba logów z tysięcy urządzeń wymaga filtrów, korelacji i sprawdzonych znaczników czasu.
Anonimizacja i zaciemnianie: Tor, publiczne VPN i serwery pośredniczące mogą ukrywać źródło połączenia. Adres IP wskazuje punkt obserwowany przez analityka, nie tożsamość człowieka. Ustalenie źródła wymaga korelacji czasów, logów usług, uwierzytelniania i danych dostawców, jeśli są dostępne.
Dynamiczne adresowanie: DHCP może przypisać ten sam adres różnym urządzeniom w różnych chwilach. Powiązanie adresu IP z urządzeniem i użytkownikiem wymaga logów DHCP, portu przełącznika, NAT oraz uwierzytelniania bezprzewodowego. Brak jednego źródła albo niespójny czas może uniemożliwić jednoznaczne przypisanie.

Forensyka sieciowa wspiera reakcję na incydenty i ocenę skutków, lecz jej wnioski ogranicza dostępny materiał. Wiarygodny rezultat wymaga zachowania źródeł, poprawnych czasów, kontroli dostępu, opisanej metody oraz wskazania niepewności. Ustalenia mogą następnie zasilić działania naprawcze i zmiany polityki bezpieczeństwa. Przydatność dowodu trzeba oceniać osobno dla celu technicznego, postępowania organizacyjnego i ewentualnego postępowania prawnego. Raport powinien przechowywać podstawę każdego istotnego wniosku oraz informację o brakujących danych. Analityk powinien wskazać, czy wniosek wynika z bezpośredniej obserwacji, korelacji, czy tylko z hipotezy roboczej, aby recenzent mógł odtworzyć tok rozumowania.