Accueil › 2022 › Page 5

Archives annuelles : 2022

Antivirus, PowerShell et ORC pour le Live-Forensics – MISC HS n°23

Posté le de — Aucun commentaire ↓

Hello à tous, l’année 2021 avait été généreuse en articles MISC aussi, et comme pour toutes mes précédentes publications chez MISC, j’ai repris la licence de « type B », Du coup aujourd’hui, je peux vous repartager sur le blog l’article sur les Antivirus, PowerShell et ORC pour le Live-Forensics, paru dans le hors série n°23 qu’on avait écrit avec PYL et Keny.

J’en profite pour préciser que si on jamais publié le code « complet » de Get-SPICE (shame on us), celui sert bien et est toujours en developpement à EDF au moment ou j’écrit ces lignes.

On a quand même publier l’agent au propre sur le GitHub Cyber d’EDF ce qui devrait vous permettre de sortir votre propre agents light rapidement.

https://github.com/SOC-EDF

Voilà c’est tout. Bonne lecture à tous et @+

Antivirus, PowerShell et ORC pour le Live-Forensics

MISC HS 23 | mars 2021 | Ladent Étienne, Lascaux Pierre-Yves, Saint Hilaire Keny

Dans un parc informatique de plusieurs dizaines de milliers de postes, détecter, chercher et récupérer des artefacts à distance est un travail difficile. Les outils de live-forensics et EDR sont les solutions généralement retenues pour ces usages, néanmoins leur mise … Lire la suite

BlockList iptable avec Splunk et d’AbuseIPDB

Posté le de — Aucun commentaire ↓
BlockList iptable avec Splunk et d'AbuseIPDB

Bonjour à tous, aujourd’hui je continue avec un article qui suit ce qu’on avait fait avec la Blacklist Iptables AbuseIPDB la dernière fois. Cette fois on va voir comment construire une BlockList iptable avec Splunk et d’AbuseIPDB.

Qu’est ce que j’entends derrière ce titre ? Simplement que la blacklist ma dernière fois n’est pas très « maline ». Dans le sens, où on verrouille juste 10 000 IP comme des bourrins et sans trop se demander si les vulns ou services qu’elles checkent nous concerne en effet. Alors, ça ne sert pas à rien hein. C’est une bonne base à bloquer facilement mais ce n’est pas forcément utile dans le sens où ces 10 000 ne se connecterons pas forcément à votre site ou infra au final.

En effet, ce qu’on souhaiterai plus, notamment dans une optique de CTI (Cyber threat Intelligence) : c’est de bloquer (sinon détecter au moins) celles qui se connectent effectivement sur nos services (genre à la fail2ban). Le problème c’est que fail2ban c’est bien en protection mono instance. Mais, quand vous protégez tout un système d’information, ça ne passe pas super bien à échelle. Par exemple, je vous laisse imaginez quand vous … Lire la suite

Ethique et politique dans la Threat Intel – JSSI 2022

Posté le de — Aucun commentaire ↓

Bonjour à tous, aujourd’hui pas réelement d’article en propre. Je vous repartage plutôt une vidéo de la conférence JSSI 2022 sur l’Ethique et politique dans la Threat Intel. La présentation était donnée par Ivan Kwiatkowski pour l’association OSSIR, qui organise cette journée. Visiblement la conférence était orienté juridique vu la liste des sujets :

https://www.ossir.org/conference/jssi-2022/
(toutes les vidéos de la journée et slides sont disponibles via ce lien)

Pour le coup, la conférence d’Ivan sur la CTI me semble vraiment intéressante sur le rôle des fournisseurs de CTI aujourd’hui et demain. Notamment la partie interaction avec les organes d’état et les conflit d’intérêts inévitables avec les agences de renseignements. Si vous n’avez pas 38minutes, je vous fait un bilan rapide ici de l’Ethique et politique dans la Threat Intel : la CTI « neutre » n’existe pas. C’est un sujet politique et ça va continuer dans ce sens dans les années qui arrivent. Les tensions internationales vont renforcer ce fait avec un risque d’absorption par les états des fournisseurs de Cyber Threat Intelligence.

De mon point de vue, cela ne retire aucun intérêt à la CTI comme fournisseur opérationnel dans nos environnement professionnel. Néanmoins, il semble de plus … Lire la suite

Jump Lists – Forensgeek

Posté le de — Aucun commentaire ↓
Forensics

Bonjour à tous, aujourd’hui on continue la série Forensgeek avec l’usage des Jump Lists pour la forensics.

C’est quoi les Jump Lists ?

Alors vous voyez dans L’explorateur Windows quand vous cliquez avec le bouton droit sur un icône de la barre des tâches ? comme ci dessous ? bah c’est ça les jump lists simplement.

Jump Lists

Comme les jumps lists sont gérées automatiquement par le système d’exploitation. leur analyse permet de mettre en avant l’exécution de programme ou l’accès à des fichiers. Un petit peu comme pour les Windows Shortcut Files vu la semaine dernière vous récupérerez au passage un timestamp des accès ainsi qu’un chemin ? Comme pour les Lnk, ca fonctionne également si le fichier ou programme source à été supprimé d’où l’intérêt pour la forensics.

C’est où les jump lists ?

Les Jump lists sont stockées dans le repertoire C:\Users\$Username\AppData\Roaming\Microsoft\Windows\Recent

Comme pour les shortcuts pour ceux qui suivent… en fait pas tout à fait, les Jump Lists sont stockées dans 2 sous dossier cachés : AutomaticDestinations et CustomDestinations. Elle se présente sous la forme de fichier au extensions .automaticDestinations-ms et .customDestinations-ms.

Le nom du fichier avant l’extension est en fait un identifiant de l’application auxquel … Lire la suite