Hakin9 07.2010 PL

www.hakerzy.net www.ccns.pl www.antynet.pl www.hcsl.pl www.i-slownik.
pl
Strony rekomendowane
Strony rekomendowane
www.mgibki.wordpress.com www.osdev.pl www.ochronainformacji.pl www.topsec.pl www.hackme.pl
7/2010 (61)
SPIS TREŚCI
NARZEDZIA
6 Obudowa MIDI ATX iBOX Piano 3393
7 StrongRecovery
POCZĄTKI
8 Dysk twardy – budowa i działanie
Artur Skrouba
Niniejszy artykuł jest ogólnym zarysem budowy i działania dzisiejszych dysków twardych. W kilku słowach przybli-
ża nam też problematykę, w jaki sposób obchodzić się z naszym HDD, aby jego żywotność była jak najdłuższa.
OBRONA
14 Scapy
Michał Sajdak
Czy istnieje łatwy sposób na wygenerowanie niemal dowolnych pakietów? Czy można bez większych trudności
zmodyfikować przechwycony pakiet i wysłać go ponownie? Czy nieskomplikowanym zadaniem jest przygotowa-
nie fuzzera protokołu sieciowego?
OCHRONA DANYCH
25 Archiwizacja danych
Aleksander Tadeusz Ćwikliński
Niewielu użytkowników komputerów przywiązuje należytą wagę do archiwizacji plików. Często giną im bezpowrot-
nie bezcenne dokumenty lub zdjęcia, a niewiele trzeba, by temu zapobiec.
PRAKTYKA
30 ELEKTRONICZNI DETEKTYWI W AKCJI
Paweł Odor, Piotr Dembiński
Wiedza i umiejętności informatyków śledczych, także z Polski, pomogły już rozwiązać tysiące spraw sądowych
na całym świecie, w tym tych najpoważniejszych, związanych między innymi z głośnymi przestępstwami gospo-
darczymi, pedofilią bądź kradzieżą poufnych danych. Wciąż jednak działania prowadzone w ramach informatyki
śledczej są niemalże obce nie tylko firmom tracącym przychody przez oszustów komputerowych, ale nawet samej
branży IT.
4 7/2010
HAKIN9 7/2010
SPIS TREŚCI
BEZPIECZNA FIRMA
36 Endpoint Security
Paweł Śmigielski
Zdecydowana większość firm zabezpiecza swoje sieci i komputery przed atakami z zewnątrz, stosuje antywirusy,
firewalle i systemy wykrywania włamań. Jednocześnie zapominamy o zagrożeniach ze strony swoich własnych
pracowników. W artykule poznamy różne rozwiązania chroniące przed wyciekiem i utratą danych ze stacji robo-
czych.
WYWIAD
45 Na pytania odpowiada Paweł Odor, główny specjalista Kroll Ontrack w Polsce
FELIETON
48 Cyberwojna
Patryk Krawaczyński
Miesięcznik hakin9 (12 numerów w roku) Dział reklamy: adv@software.com.pl

jest wydawany przez Software Press Sp. z o.o. SK
Redakcja dokłada wszelkich starań, by publikowane w piśmie

Redaktor naczelny: i na towarzyszących mu nośnikach informacje i programy były
Katarzyna Dębek katarzyna.debek@software.com.pl poprawne, jednakże nie bierze odpowiedzialności za efekty
wykorzystania ich; nie gwarantuje także poprawnego działania
programów shareware, freeware i public domain.
Projekt okładki: Agnieszka Marchocka
Wszystkie znaki firmowe zawarte w piśmie są własności
Skład i łamanie: odpowiednich firm.
Tomasz Kostro www.studiopoligraficzne.com Zostały użyte wyłącznie w celach informacyjnych.
Kierownik produkcji:
Andrzej Kuca andrzej.kuca@software.com.pl Osoby zainteresowane współpracą prosimy o kontakt:
cooperation@software.com.pl
Adres korespondencyjny:
Software Press Sp. z o.o. SK,
ul. Bokserska 1, 02-682 Warszawa, Polska
tel. +48 22 427 36 91, fax +48 22 224 24 59
www.sdjournal.org cooperation@software.com.pl
www.hakin9.org 5
NARZĘDZIA
Obudowa Producent
iBOX
MIDI ATX iBOX

Typ
Obudowa
Strona producenta
www.ibox.pl
Piano 3393 Recenzent

Andrzej Kuca
OCENA «««««
Obudowa Midi ATX iBOX Piano 3393 nie wy- Zasilacz i płytę główną zamontowałem bez problemu,
różnia się niczym specjalnym pod względem ale to nie powinno dziwić, a raczej powinno być normą,
konstrukcyjnym, aczkolwiek posiada cieka- jednak ta obudowa okazała się być bardzo mała i cia-
wy i futurystyczny design. Tak jak opisuje producent sna.
jest drapieżna i dosyć ładnie dobrana kolorystycznie, Niestety z 5 wewnętrznych zatok 3,5” mogę skorzy-
czarny i niebieski naprawdę ciekawie razem wyglądają. stać z maksymalnie 3 zatok. Oczywiście mało kto mon-
Koszt obudowy kształtuje się w granicach 115-160 zł. tuje więcej niż 2 dyski w swoim komputerze, ale jeże-
Dane techniczne: li znajdzie się ktoś taki to zdecydowanie to odradzam,
w moim przypadku karta graficzna blokuje 2 miejsca na
• wymiary (wysokość 412mm / szerokość 185mm / dyski. Wielkość tej obudowy sprawia również problem
głębokość 403mm), przy podłączania kabelków SATA do dysków twardych
• ilość zatok 5,25”: 4 szt., i ładnego ich schowania.
• ilość zatok 3,5”: 7szt. (5 wewnętrznych/ 2 zewnętrzne), Niestety to nie koniec wad tej konstrukcji, na obudo-
• wentylatory: 120 mm podświetlany niebieską diodą wie (po tym jak się ściągnie folie ochronne) bardzo ła-
LED z przodu + miejsce na 80mm wentylator z tyłu two zostają odciski palców, a boki i cała konstrukcja do-
obudowy, syć łatwo się wygina, zaznaczę jednak, że to dotyczy
• obudowa nie posiadała zasilacza w zestawie, wielu obudów w tym przedziale.
• wyprowadzone wyjścia na zewnątrz: 2xUSB, wej- Reasumując, obudowa prezentuje się elegancko i po-
ście i wyjście audio. siada dosyć ciekawy moduł wyświetlacza LCD. Podczas
montażu mocniejszych zestawów komputerowych mogą
Najciekawszym elementem tej obudowy jest wyświe- wystąpić problemy z montażem zbyt dużych i zbyt dużej
tlacz (model wyświetlacza MY320-1LCD) połączony ilości elementów, niestety w takim wypadku trzeba z wy-
z kontrolerem pracy wentylatorów chłodzących zamon- dłużonym czasem przeznaczonym na składanie swoje-
towanych wewnątrz w zależności od aktualnej tempera- go upragnionego PC-ta. I jeszcze jedna uwaga, nie prze-
tury pracy całego komputera. Ponadto wyświetlacz ten stawiajcie jej za często, a jak już to musicie zrobić to naj-
może wskazywać: aktualną godzinę, czas pracy kom- lepiej użyjcie kawałka materiału, aby później nie było po-
putera od momentu włączenia (maksymalny czas to 99 trzeby usuwać śladów waszej interwencji.
godzin i 59 minut), aktualny status pracy dysku (kiedyś
sygnalizowane to było za pomocą pojedynczej diody).
Mnie osobiście najbardziej interesował fakt montażu.
Obudowę tą wykorzystałem przy składaniu mojego naj-
nowszego nabytku. Zestaw, który sobie złożyłem (bez
wdawania się w konkretne modele): płyta główna ATX,
karta graficzna z chipsetem ATI HD 5770, 2 dyski twar-
de SATA, nagrywarka Blue Ray, zasilacz o mocy 600W,
2 moduły po 2GB RAM.
Boki obudowy można ściągnąć bez używania narzę-
dzi jednak już w środku, nie ma mowy o montażu bez
narzędzi, trzeba użyć śrubokręta. Fakt ten jednak nie
dziwi, jeżeli spojrzymy na przedział cenowy obudów na
rynku i raczej jest to standardem.
6 7/2010
Narzędzia
Odzyskiwanie Producent
StrongRecovery
Typ
danych Program narzędziowy

Strona producenta
www.strongrecovery.com
Recenzent
Tomasz Zarychta
OCENA «««««
Nie ma chyba bardziej wrażliwej części syste- surowe) – obsługuje większość popularnych forma-
mu komputerowego niż dane. Każdy sprzęt, tów plików BMP, JPG, MP3, DOC, ZIP, RAR, EXE itp.
każdy system jesteśmy w stanie szybko pod- Na pewno mocną stroną programu jest prosty i przej-
mienić, zastąpić itd., z danymi natomiast rzecz ma rzysty interfejs, odzyskiwanie plików nie będzie w tym
się inaczej. W centrach danych, na serwerach firmo- przypadku trudne nawet dla początkującego użyt-
wych i przy komputerach strategicznych, administrato- kownika. Po uruchomieniu wybieramy partycję, którą
rzy zdają sobie sprawę co znaczy odzyskiwanie danych chcemy skanować w celu odnalezienia plików do po-
oraz jak ryzykowny i skomplikowany jest to proces, dla- tencjalnego odzyskania. Odzyskiwanie plików może-
tego też stosowane są różnego rodzaje zabezpieczenia my zawęzić do danego rodzaju plików (np. tylko MP3
przed utratą danych. lub video). Skanowanie jest względnie szybkie, a do-
Wypadałoby tu wymienić przede wszystkim: ko- datkową zaletą jest możliwość zapisania sesji skano-
pie bezpieczeństwa, obrazy systemu, mirroring syste- wania i późniejszego powrotu do niej. Oprogramowa-
mu, różnego typu metody zarządzania dyskami (RA- nie jednak przeznaczone jest dla mało wymagających
ID-y), jednakże nie w każdym przypadku są to rozwią- użytkowników. Odzyskanie zdjęć z karty pamięci, do-
zania skuteczne lub możliwe do zastosowania. Meto- kumentu z pendriva jest proste, łatwe i przyjemne.
dy te chronią głównie przed awariami systemów, co jed- Problemy zaczynają się przy bardziej skomplikowa-
nak jeżeli nie jest możliwe zastosowanie żadnej z po- nych operacjach – program potrafi pracować jedynie
wyższych? W obecnym czasie wykorzystuje się różno- z dyskami logicznymi, co to znaczy? Nie masz party-
rakie nośniki danych – karty SD, pendrivy, dyski przeno- cji, nie ma odzyskiwania. Profesjonalne programy po-
śne, czy chociażby dyski na urządzeniach przenośnych trafią pracować na dyskach fizycznych, a nie tylko lo-
niemające w każdej chwili możliwości wykonania kopii gicznych. Brak także możliwości skanowania oraz od-
bezpieczeństwa – nie zawsze mamy możliwość odpo- zyskiwania plików poprzez sieć znacznie obniża funk-
wiedniego zabezpieczenia danych. cjonalność programu.
Co więc zrobić, żeby odzyskać utracone już dane? Kolejną bolączką niepozwalającą zaklasyfikować
W zasadzie istnieją dwie możliwości uzależnione od go do profesjonalnych narzędzi jest brak możliwości
ważności danych i stopnia zdeterminowania do ich od- pracy na obrazie dysku. Praca na obrazie dysku po-
zyskania. Odzyskiwanie we własnym zakresie za pozwala mieć pewność, iż nie nadpiszemy żadnych da-
mocą dedykowanego oprogramowania albo skorzysta- nych i nie będziemy ingerować w jego strukturę. Ma
nie z profesjonalnej firmy do odzyskiwania danych (np. to kapitalne znaczenie np. dla informatyki śledczej, je-
Ontrack, Mediarecovery). Na jakie zagrożenia są nara- żeli celem odzyskania danych jest nie tylko fizyczne
żone nośniki danych? Wyróżniamy dwa rodzaje uszko- otrzymanie pliku, ale także potwierdzenie jego obec-
dzeń: logiczne i fizyczne. Fizyczne, pomijając uszko- ności na badanym nośniku. Bardziej wymagających
dzone nośniki przenośne (płyty CD, DVD) są raczej nie użytkowników zniechęci także brak edytora heksade-
do odzyskania bez specjalistycznego laboratorium. Na- cymalnego. Może razić brak opcji wyboru języka, ma-
tomiast uszkodzenia logiczne często udaje się rozwią- ło kiedy spotyka się oprogramowanie polskie, a in-
zać za pomocą oprogramowania dedykowanego. Jed- terfejs dostępny jest tylko w języku angielskim. Sko-
nym z komercyjnych rozwiązań takiego oprogramowa- ro oprogramowanie przeznaczone jest dla mniej za-
nia jest program strongrecovery – spróbujmy się mu awansowanych użytkowników, to w moim przekona-
przyjrzeć bliżej. niu powinna być także polska wersja językowa wraz
Aplikacja pozwala na odzyskiwanie formatów plików z instrukcją.
takich jak FAT12, FAT16, FAT32, NTFS i RAW (tzw.
www.hakin9.org 7
POCZĄTKI
Dysk twardy – budowa

i działanie
Artur Skrouba
Niniejszy artykuł jest ogólnym zarysem budowy i działania
dzisiejszych dysków twardych. W kilku słowach przybliża
nam też problematykę, w jaki sposób obchodzić się
z naszym HDD, aby jego żywotność była jak najdłuższa.
Dowiesz się: Powinieneś wiedzieć:

• jaką rolę pełni dysk twardy, • mieć ogólne pojęcie o funkcjonowaniu i budowie komputera
• jak jest zbudowany dzisiejszy HDD, osobistego.
• zarys działania twardego dysku,
• jakie są mocne i słabe strony HDD,
• jak należy postępować aby maksymalnie zwiększyć żywot-
ność HDD.
D
la większości z nas twardy dysk jest po prostu kich rozwiązań były bębny magnetyczne (pamięć bębno-
zamkniętym pudełkiem, w którym znajdują się wa). Równocześnie bardzo szybko zaczęto używać po-
nasze dane. Niestety bardzo często brak pod- wszechnie stosowane magnetyczne taśmy magnetofo-
stawowej wiedzy o jego konstrukcji oraz niewłaściwe nowe oraz konstruować pierwsze twarde dyski.
obchodzenie się z nim doprowadza nas do bezpowrot- Dzisiejszy twardy dysk pełni jedną z najważniejszych
nej utraty zawartych na min danych. Dlaczego nie wol- funkcji w komputerach osobistych. Przechowywane są na
no otwierać twardego dysku? Jak działa twardy dysk? nim wszystkie dane użytkowe i konfiguracyjne systemu
Dlaczego należy obchodzić się z nim jak z przysłowio- operacyjnego. Jest także jednym z podstawowych nośni-
wym jajkiem? Dlaczego należy sprawdzać temperaturę ków pamięci masowych umożliwiających przechowywa-
HDD i dbać, aby nie był zakurzony? Na te i na wiele in- nie, edycję i zapis danych operacyjnych użytkownika.
nych pytań postaramy się odpowiedzieć.
Budowa twardego dysku
Rola twardego dysku Dysk twardy (ang. Hard Disk Drive – HDD) jest urządze-
Dzisiejsze dyski twarde znacznie różnią się od pierwszych niem pamięci nieulotnej (stałej), która przechowuje da-
rozwiązań pamięci maszyn przetwarzających dane. ne zakodowane cyfrowo na szybko obracających się ta-
Powstałe w pierwszej połowie XIX wieku karty, a na- lerzach (ang. platers). Talerze są sztywne (stąd w angiel-
stępnie taśmy dziurkowane służyły do obsługi prostych skiej nazwie słowo hard) – do ich produkcji wykorzystuje
maszyn (np. w fabrykach produkcyjnych) wg zakodo- się materiał niemagnetyczny – szkło lub aluminium. Na
wanych na nich bardzo prostych sekwencji. Dopiero nich napylony jest półtwardy ferromagnetyk, który umoż-
pod koniec pierwszej połowy XX wieku, wraz z powsta- liwia sformowanie stabilnych domen magnetycznych
niem podwalin elektronicznych maszyn liczących (opar- i przechowywanie w nich kierunkowo namagnesowa-
tych jeszcze o technologię lampową i elektromagnetycz- nych dipoli magnetycznych. W pierwszych dyskach jako
ne przekaźniki) zaczęto szukać innych rozwiązań umoż- ferromagnetyku używano trójtlenku żelaza; w latach póź-
liwiających bardziej efektywne magazynowanie i prze- niejszych został on zastąpiony przez stop kobaltu.
twarzanie coraz większej ilości danych. W konsekwencji, Cała mechanika jest zamknięta w szczelnej obudo-
prawdziwy przełom przyniósł dopiero rozwój techniki pół- wie, posiadającej filtrowane otwory wentylacyjne, któ-
przewodnikowej – wkrótce potem zaczęto konstruować re odprowadzają część ciepła oraz wyrównują ciśnienie
pierwsze rozwiązania, wykorzystujące ferromagnetycz- wewnątrz dysku. Dyski są zamykane w warunkach ste-
ne właściwości niektórych stopów metali. Jednym z ta- rylnych; nawet odrobina kurzu będącego w powietrzu
8 7/2010
Budowa i żywotność HDD
atmosferycznym błyskawicznie doprowadzi do degra- Powyższe wymagania doprowadziły do minimalizacji

dacji samego nośnika podczas jego pracy. poszczególnych elementów mechaniki twardych dys-
Talerze są osadzone na piaście łożyska silnika napę- ków. Dotyczy to w szczególności ich wagi i rozmiarów.
dzającego twardy dysk. W dzisiejszych konstrukcjach Nowoczesne dyski posiadają domeny mniejsze niż 10 nm
stosuje się od 1 do 4 talerzy (bardzo rzadko więcej). (0,000001 mm) – wymaga to ogromnej precyzji oraz mak-
Większa ilość talerzy (spotykana częściej w latach symalnie małej masy ramienia pozycjonera umożliwiającej
80 i 90 ubiegłego stulecia) zwiększała ryzyko awarii błyskawiczne ruchy nad obszarem roboczym platerów.
poszczególnych głowic. Ponadto, w większości dzisiejszych dysków na po-
Kluczowym elementem mechaniki każdego dysku zycjonerze zamontowany jest różnicowy przedwzmac-
jest ruchome ramię (pozycjoner), na końcach którego niacz sygnału (ang. preamplifier, potocznie: preamp),
zamontowane są szczotki głowic. Składa się on z ob- umożliwiający dostarczenie stabilnego sygnału do mo-
rotowego łożyska osiowego (na którym jest zamonto- dułu elektroniki zewnętrznej (Rysunek 1).
wany), ramienia (umożliwiającego pracę głowic nad Moduł elektroniki zewnętrznej zamontowany jest na
oraz pod każdym z talerzy) oraz elektromechanicz- zewnątrz dysku. W dużym uproszczeniu jest to mikro-
nego serwomechanizmu magnetycznego, umożliwia- komputer obsługujący w pełni (od wprowadzenia stan-
jącego dokładne i szybkie pozycjonowanie głowic nad dardu ATA wprowadzono integrację kontrolera) wszyst-
zadanym obszarem talerzy. kie operacje wykonywane przez twardy dysk. Składa
Sama konstrukcja pozycjonera jest bardzo precyzyjna się z kilku podstawowych bloków (Rysunek 2).
i delikatna. Spowodowane jest to dwoma czynnikami: To co najbardziej odróżnia dyski między sobą to inter-
face sygnałowy oraz prędkość obrotowa.
• coraz większymi wymogami dotyczącymi precy- W chwili obecnej dominują dwa standardy (wraz
zji pozycjonowania (ze względu na coraz większe z ich pochodnymi):
upakowanie danych na platerach),
• coraz większymi wymogami szybkości reakcji me- • word serial interfaces – rodzaj interface pracują-
chaniki (np. czas dostępu do pofragmentowanych cego w sposób równoległy – najbardziej znane
bloków danych). standardy to IDE (ATA), EIDE oraz SCSI,
Rysunek 1. A - talerz dysku (plater); B - piasta silnika dysku; C - głowica dysku; D - ramię pozycjonera dysku; E - serwomechanizm dysku; F -
oś pozycjonera dysku; G - przedwzmacniacz sygnału; H - �ltr wentylacyjny
www.hakin9.org 9
POCZĄTKI
• modern bit serial interfaces – rodzaj interface pra- Osiągnięcie minimalnej prędkości jest niezbędne
cującego w sposób szeregowy. Interfejs w przeci- do wytworzenia się pod końcówkami pozycjonera (tuż
wieństwie do swojego poprzednika przesyła da- przed szczotkami głowic) tzw. poduszki powietrznej,
ne szeregowo. W porównaniu z poprzednikiem nie która unosząc lekko głowice nie dopuszcza do ich fi-
jest to naraz kilkadziesiąt sygnałów, tyko jeden – zycznego kontaktu z wirującym platerem.
ale za to nieporównywalnie szybciej. Najbardziej W następnej kolejności głowice odczytują zamiesz-
znane standardy to FC, SATA czy SAS. czone w SA fabryczne moduły wsadowe zawierające
takie informacje jak nazwa dysku, nr seryjny, fizyczny
Prędkość obrotowa dzisiejszych twardych dysków mie- translator dysku (stworzony w oparciu o fabryczną li-
ści się w przedziale od 4.200 do 15.000 obrotów na mi- stę zawierających błędy sektorów) oraz adaptywne pa-
nutę (ang. Revolutions Per Minute – RPM). Prędkości rametry pracy głowic.
z niższego przedziału stosowane były w starszych mo- Po poprawnym odczycie struktur serwisowych dysk
delach oraz w dyskach stosowanych do urządzeń prze- zgłasza komunikat status ready – w tym momencie zo-
nośnych. Natomiast prędkości od 7.200 wzwyż stosowa- staje on wyświetlony w biosie komputera i jest gotowy
ne są w nowoczesnych dyskach oraz wydajnych rozwią- do pracy – może odczytywać i zapisywać dane.
zaniach serwerowych bądź workstation (SAS, SCSI). Większość dzisiejszych dysków posiada głowice
magneto-rezystywne – odczyt stanu logicznego po-
Jak działa dysk twardy szczególnych domen magnetycznych polega na zmia-
W momencie kiedy włączymy komputer w pierwszej nie rezystancji głowicy odczytującej w zależności od
kolejności pracę zaczyna procesor sygnałowy dys- polaryzacji zawartych w nich dipoli.
ku. Odczytuje on procedury zawarte w biosie dysku, Sam zapis dokonuje się poprzez zmianę natężenia
które uruchamiają silnik HDD. Po osiągnięciu założo- pola magnetycznego (generowanego przez głowicę)
nej prędkości obrotowej platerów uruchomiony zosta- – w dyskach twardych głowica magnesuje ferromagne-
je serwomechanizm pozycjonera, który przesuwa jego tyk, aż do pełnego nasycenia (zmiana kierunku nama-
ramię nad obszar talerza zawierający mikrooprogramo- gnesowania dipoli), wykorzystując właściwości histere-
wanie wewnętrzne samego nośnika. Obszar ten nazy- zy magnetycznej. Po namagnesowaniu domeny i usu-
wa się strefą serwisową dysku (ang. Service Area, po- nięciu pola magnesującego półtwardy ferromagnetyk
tocznie : SA). pozostaje stabilnie namagnesowany.
Rysunek 2. A - procesora sygnałowego - jednostki zarządzającej pracą całego nośnika; B - pamięci ROM - zawierającej oprogramowanie
proceduralne; C - interface sygnałowego - np. ATA, SATA; D - pamięci podręcznej RAM - buforującej zapis i odczyt; E - modułu zasilania oraz
kontroli pracy silnika; F - bloku sterującego serwomechanizmem pozycjonera
10 7/2010
Mocne strony HDD • temperatura,

Najważniejszą zaletą dzisiejszych twardych dysków • pojawianie się nieresponsywnych sektorów (ang.
jest ich pojemność. Wciąż trwają badania nad ich roz- bad sectors),
wojem we wszystkich liczących się laboratoriach na • ilość włączeń i wyłączeń dysku,
świecie. Tak duże upakowanie danych jest możliwe • łączny czas pracy dysku.
między innymi dzięki wciąż rozwijającym się technolo-
giom badawczym. Prawidłowe reagowanie na ew. nieprawidłowości (np.
Jednym z ostatnich takich przykładów jest zastoso- S.M.A.R.T. wykazuje za wysoką temperaturę pracy
wanie tzw. zapisu prostopadłego, który umożliwia du- dysku) pozwoli nam w znaczny sposób wydłużyć ży-
żo większe upakowanie danych (domeny magnetyczne wotność naszego nośnika.
nie są ułożone płasko na nośniku tylko są skierowane Niestety należy pamiętać, że powyższy system ofe-
w głąb warstwy paramagnetycznej) oraz większą szyb- ruje tylko bierną kontrolę działającego nośnika; nie
kość działania dysku. Zastosowanie tej technologii teo- uchroni on nas przed konsekwencjami wystąpienia
retycznie umożliwia upakowanie danych w ilości ok. 1 nagłej awarii spowodowanej innymi czynnikami.
TB na cal kwadratowy. Oznacza to, że wg dzisiejszych Dlatego też należy przestrzegać kilku zasad, które po-
standardów budowy dysków 3,5 calowych (4 platery, zwolą zminimalizować szanse awarii twardego dysku:
osiem powierzchni roboczych) możliwe będzie konstru-
owanie dysków o pojemności ok. 300 TB. • w komputerach stacjonarnych należy regularnie
Kolejną ważną cechą dzisiejszych twardych dys- kontrolować czystość; gruba warstwa kurzu na
ków jest ich cena i dostępność. Dzisiejszym standar- dysku potrafi bardzo szybko doprowadzić do deka-
dem jest dysk. ok. 500 GB co przy cenie ok. 200 PLN- libracji termicznej dysku,
jest najbardziej korzystną ofertą na rynku pamięci ma- • jeżeli to możliwe zamontujmy w komputerze wen-
sowych w przeliczeniu PLN za 1 GB. tylator skierowany na dysk, będzie on skutecznie
Należy wspomnieć też o mobilności i zadowalającej zmniejszał temperaturę podczas pracy dysku i jed-
prędkości nowoczesnych HDD. Występują one w róż- nocześnie spowalniał proces osadzania się kurzu,
nych rozmiarach zewnętrznych – począwszy od 0,8 ca- • komputer stacjonarny nie powinien stać pod biur-
la i kończąc na dyskach 3,5 calowych. Umożliwia to sto- kiem w pobliżu naszych nóg; nawet lekkie uderze-
sowanie ich do nawet bardzo małych urządzeń (typu te- nia (szczególnie podczas jego pracy) mogą być
lefony, kamery czy aparaty) oraz stosowanie jako pamię- zabójcze dla naszego HDD,
ci przenośne. • komputer nie powinien być umiejscowiony w pobli-
żu źródeł ciepła, np. kaloryfera,
Słabe strony HDD • jeżeli mamy komputer umiejscowiony na biurku
Niewątpliwie do najsłabszych stron dysków twardych na- (stacjonarny, bądź przenośny), nie wolno nam ude-
leży ich niska odporność na awarię. Ze względu na swo- rzać w jego blat (szczególnie podczas pracy – dysk
ją konstrukcję narażone są one w sposób szczególny na jest narażony na dekalibrację mechaniczną),
wszelkiego rodzaju czynniki udarowe (uderzenia, puk- • należy pamiętać, aby nie pozostawiać na dłuższy
nięcia, upadki). czas pracującego komputera (oczywiście z wyjąt-
Kolejnym czynnikiem, który ma destrukcyjny wpływ na kiem sytuacji, gdzie jesteśmy do tego zmuszeni),
ich żywotność jest wysoka temperatura, która powstaje • komputery przenośne (np. laptopy) mają mało wy-
w czasie pracy nośnika. Może ona doprowadzić do fi- dajny system wentylacyjny; dlatego też absolutnie
zycznej degradacji samego nośnika i w konsekwencji do nie wolno wykonywać na nich dłuższych prac (po-
nieodwracalnego zniszczenia zawartych na nim danych. wyżej kilkunastu minut) w warunkach, w których
może doprowadzić to do przegrzania dysku. Przy-
Zwiększenie żywotności HDD kładem może tu być praca na miękkim podłożu, ta-
W 1992 r. firma IBM po raz pierwszy zastosowała kim jak koc, bądź pościel – w takich warunkach
w swoim twardym dysku (SCSI) pierwowzór systemu, skuteczność systemu odprowadzania ciepła spada
który pozwalał monitorować pracę nośnika. Implemen- niemal do kilkunastu procent,
tacja ta z biegiem czasu ewoluowała i doprowadziła • dyski zewnętrzne są dużo mocniej narażone na
do powstania standardu S.M.A.R.T. (ang. Self-Monito- czynniki udarowe lub termiczne; dotyczy to w szcze-
ring, Analysis and Reporting Technology), który pełni gólności dysków 3.5 calowych (wg statystyk ok. po-
rolę swojego rodzaju systemu wczesnego ostrzegania łowy z nich ulega awarii do ok. roku czasu !) – dlate-
przed możliwością wystąpienia awarii. go powinny być one traktowane w sposób wyjątkowo
W wielu przypadkach monitorowanie na bieżąco pa- ostrożny. Optymalnymi warunkami pracy takich dys-
rametrów S.M.A.R.T. umożliwia nam kontrolę takich ków jest znalezienie dla nich bezpiecznego miejsca
parametrów pracy dysku jak: na biurku i bez zwisających na wierzchu przewodów,
www.hakin9.org 11
POCZĄTKI
• wybierajmy zawsze zewnętrzne dyski, które leżą, jednostki wyspecjalizowane w odzyskiwaniu danych, jed-
a nie stoją (dotyczy 3.5 calowych) – dyski stojące nocześnie nie mających gruntownej wiedzy oraz warszta-
często ulegają przewróceniu, tu pozwalającego na skuteczne wykonanie takiej usługi.
• nie przesuwajmy i nie podnośmy dysku zewnętrznego I tak, np. światowy średni poziom skuteczności odzyski-
(podczas pracy jest to szczególnie niebezpieczne), wania danych wynosi ok. 76% na 100 zgłoszonych przy-
• ograniczmy do maksimum przypadki przenoszenia padków (źródło: Wikipedia). Jest to spowodowane tym, iż
dysku, sytuacje takie jak nadpisanie utraconych danych, bądź fi-
• dyski 2.5 calowe są w sposób szczególny narażo- zyczne uszkodzenie powierzchni roboczej nośników nie
ne na nawet delikatne naciśnięcia – w takich sytu- należą do wyjątków. Niestety, coraz częściej można spo-
acjach często dochodzi do nieprawidłowego zatrzy- tkać reklamy, które delikatnie mówiąc … naciągają rzeczy-
mania (zarycia się) głowic na wirującym platerze, wistość. Coraz więcej firm ogłasza się jako ta najlepsza,
• przed każdym przenoszeniem dysku należy pomy- przelicytowując się w skuteczności: 95% czy nawet 99%!
śleć o ich stosownym zabezpieczeniu – nie należy Mało tego: na rynku pojawiają się reklamy sugerujące bli-
przenosić luzem dysku bez żadnego zabezpieczenia sko 100% skuteczność (!) w odzyskiwaniu danych czy też
– w razie przypadkowego upadku szansa na utratę mówiące o gwarancji na odzyskanie danych. Jest to oma-
dostępu do danych wynosi sporo ponad 90%, mianie zdesperowanego klienta i świadome wprowadza-
• występowanie anomalii napięciowych jest istną nie go w błąd (powinien się temu przyjrzeć UOKIK). Nie
zmorą, jeżeli chodzi o uszkodzenia elektroniki dys- ma bowiem na świecie firmy potrafiącej odzyskiwać dane
ków twardych. W tego typu sytuacjach elementem z każdego przypadku ich utraty. Często działania te mają
najbardziej zawodnym jest zasilacz komputera – na celu tylko złapanie klienta w celu wyciągnięcia od niego
dlatego zwróćmy uwagę na jego jakość. pieniędzy za usługę sprawdzenia, bądź analizy czy się da
dane odzyskać, a na końcu stwierdzenia Niestety nie uda-
Przestrzeganie powyższych i wielu innych, podstawo- ło się, ale się napracowałem, więc kliencie zapłać!.
wych zasad pozwoli nam wydajnie zwiększyć żywot- Jeszcze większą patologią jest funkcjonowanie tzw. bez-
ność naszych dysków i zminimalizować do minimum płatnej analizy, która jest warunkowa. Z grubsza rzecz bio-
ryzyko wystąpienia awarii. rąc, polega to na tym, że coraz więcej firm oferuje bezpłat-
W tym miejscu należy jednak stwierdzić, że metody ną analizę nośnika pod warunkiem, że po jej przeprowa-
bierne nie zmniejszają szans wystąpienia utraty danych dzeniu klient skorzysta w danej firmie z usługi odzyskania
z przyczyn logicznych (skasowanie danych, format, danych. W przypadku rezygnacji, klient musi pokryć koszty
itp.). Tutaj jedyną metodą jest systematyczność w okre- przeprowadzonej analizy oraz inne ukryte opłaty – w przy-
sowym wykonywaniu kopii zapasowych. Jest to jedyna padku dysków twardych mogą to być kwoty do kilkuset zło-
pewna metoda zabezpieczenia przed utratą danych. tych. I nie byłoby w tym nic złego, gdyby nie fakt, że taka
praktyka przyczyniła się do rozpowszechnienia się pewne-
Podsumowanie go procederu, a mianowicie: coraz częściej nieuczciwe fir-
Mamy nadzieję, że przedstawiony powyżej zarys budowy, my po wykonaniu analizy decydują się na stosowanie cen
działania i warunków pracy twardego dysku pozwoli Czy- zaporowych, np. 12 tysięcy złotych za odzyskanie danych
telnikowi w bardzo ogólnym pojęciu przybliżyć specyfikę z jednego dysku. Jak łatwo przewidzieć – w efekcie klient
urządzenia jakim jest dysk twardy. Wbrew pozorom jest to rezygnuje i z tego tytułu niestety musi zapłacić za wykona-
bardzo skomplikowane urządzenie wymagające szcze- ną analizę. Mało tego – niektóre firmy dodatkowo żądają
gólnej staranności obchodzenia się z nim, nawet w czasie także opłaty za wydanie dysku (nośnika) – ponieważ wy-
codziennej pracy. W przypadku awarii samodzielne próby konały dodatkową pracę wykraczającą poza standardo-
jego naprawy, bądź odzyskania danych wiążą się ogrom- wą analizę wstępną… W tej sytuacji właściciel sprzętu ma
nym ryzykiem związanym z koniecznością posiadania du- związane ręce, ponieważ wcześniej, w momencie przyję-
żej wiedzy i specjalistycznego laboratorium. cia dysku do analizy podpisał stosowne zobowiązanie bez
Niestety, w ostatnim okresie na polskim rynku pojawia dokładnego zapoznania się z nim. Faktycznie – przy takich
się bardzo wiele firm oferujących taką usługę, jednak jej ja- praktykach teoretyczna skuteczność może osiągać pra-
kość pozostawia wiele do życzenia. W całej tej masie firm wie 100% i jeszcze gwarantuje przypływ gotówki w każ-
jest tylko kilka, które dysponują stosowną wiedzą i warsz- dym możliwym przypadku. Prowadząc taką firmę, równie
tatem pozwalającym odzyskać dane we wszystkich moż- dobrze można by nic nie robić – oprócz wystawiania fak-
liwych przypadkach (tzn. tam gdzie fizycznie jest to możli- tur. Wystarczy mieć dobry PR, profesjonalnie wyglądającą
we). Dlatego każdy, kto zechce skorzystać z takiej usługi, stronę WWW czy reprezentacyjną siedzibę.
powinien bardzo starannie dokonywać wyboru firmy, bądź Dlatego pamiętajmy – przed wyborem firmy odzyskują-
osoby, której chcemy powierzyć swoje nośniki w celu od- cej dane powinniśmy gruntownie przeanalizować jej rze-
zyskania danych. Kuriozalne jest to, że na rynku można telność. Ufajmy tylko sprawdzonym firmom, mogącym się
spotkać coraz więcej firm lub osób reklamujących się jako pochwalić wieloletnią praktyką poświadczoną certyfikata-
12 7/2010
mi i nagrodami (takimi jak medale, nagrody konsumenc- W trakcie rozmowy wstępnej sprawdźmy, czy bezpłatna
kie, poświadczenia dla rzetelnych firm). Także przed od- analiza jest faktycznie bezwarunkowa oraz domagajmy
daniem (lub wysłaniem) nośnika należy zapoznać się się podania widełek cenowych (chodzi o cenę maksymal-
z warunkami, które będziemy musieli pisemnie zaakcep- ną!) za konkretny rodzaj potencjalnego możliwego uszko-
tować (dokładnie czytajmy druki zamówień i regulaminy). dzenia, tak aby uniknąć przykrych niespodzianek.
Uwaga ARTUR SKROUBA

Zarówno autor, jak i redakcja, nie ponoszą żadnej odpowie- Autor studiował na wydziale Fizyki i Astronomii Uniwersytetu
dzialności za jakiekolwiek szkody i straty powstałe w wyniku Warszawskiego; jest także absolwentem Szkoły Głównej Han-
stosowanie się do wskazówek w niniejszym artykule. W mo- dlowej w Warszawie na kierunku Finanse i Bankowość. Na co
mencie utraty dostępu do danych nie zaleca się samodziel-
dzień zajmuje się profesjonalnym odzyskiwaniem danych w �r-
nego wykonywania jakichkolwiek działań, w wyniku których
może dojść do zagrożenia zdrowia bądź życia lub wystąpie- mie DataMax Recovery, w której pełni funkcję jednego z inży-
nia znacznych strat. nierów technicznych. Jest także jej założycielem Firma Data-
Max Recovery Kontakt z autorem: artur.skrouba@data-max.pl.
Reklama
www.hakin9.org 13
OBRONA
Generator Pakietów Scapy

Michał Sajdak
Czy istnieje łatwy sposób na wygenerowanie niemal
dowolnych pakietów? Czy można bez większych trudności
zmodyfikować przechwycony pakiet i wysłać go ponownie?
Czy nieskomplikowanym zadaniem jest przygotowanie
fuzzera protokołu sieciowego?

• jak posługiwać się oprogramowaniem scapy, • powinieneś znać podstawowe protokoły wykorzystywane
• jak generować (niemal) dowolny ruch sieciowy, w sieci Internet,
• jak wykonać fuzzing protokołu sieciowego. • powinieneś znać dowolny język programowania.
N
a wszystkie powyższe pytania możemy odpo- ls() – wyświetlenie obsługiwanych pakietów
wiedzieć: tak – mając do dyspozycji darmowe Scapy w wersji 2.1.0 obsługuje przeszło 300 rodza-
oprogramowanie scapy. Jedną możliwości ofe- jów pakietów, przy czym pakiet rozumiemy tutaj bardzo
rowanych przez to narzędzie jest generowanie pakie- ogólnie – jako pewien odpowiednio sformatowany zbiór
tów – przy czym, w odróżnieniu od innych znanych ge- danych, który może być przesyłany przez sieć (stosow-
neratorów pakietów (takich jak: sendip, nemesis, netdu- ne formatowanie określa odpowiedni protokół siecio-
de, czy hping), scapy: wy). Na Listingu 1 prezentujemy niewielki fragment li-
sty pakietów zaimplementowanych w scapy, przy czym
• posiada bardzo dużą bazę obsługiwanych protoko- dostępne są dodatkowe pluginy uzupełniające tę listę
łów, (przykład – protokół OSPF).
• jest prosty i szybki w obsłudze,
• zapewnia użytkownikowi wysoką elastyczność pod- ls() – wyświetlenie szczegółów budowy
czas korzystania z oferowanej przez siebie funkcjo- pakietu
nalności, Przed utworzeniem pakietu w scapy warto zapoznać
• jest aktywnie rozwijany, się z jego strukturą (Listing 2).
• oferuje bardzo szerokie możliwości skryptowania, W pierwszej kolumnie podawana jest nazwa każdego
• zapewnia relatywnie proste możliwości implemen- pola, w drugiej jego typ, a w trzeciej – wartość domyśl-
tacji obsługi zupełnie nowego rodzaju pakietów na przy tworzeniu nowego pakietu.
i protokołów (wymagana jest przy tym jednak zna-
jomość języka python). Tworzenie nowego pakietu
W scapy jest to prosta operacja:
Sam autor narzędzia twierdzi, że jest ono w stanie
zastąpić takie aplikacje jak: hping, 85% funkcjonal- >>> p = ICMP()
ności nmap-a, arpspoof, arp-sk, arping, tcpdump, te-
thereal czy p0f. Nie będziemy polemizować z tym Wyświetlenie szczegółów pakietu
twierdzeniem – zaprezentujemy za to praktyczne W przykładzie z Listingu 3 jako domyślny typ ICMP został
przykłady wykorzystania scapy, niech one same bę- ustawiony echo-request (znany z popularnego ping-a).
dą komentarzem do możliwości tego oprogramowa- Jeśli przy budowie pakietu chcielibyśmy podać inny typ,
nia. możemy zrobić to w sposób przedstawiony na Listingu 4.
14 7/2010
Scapy
W przykładzie na Listingu 4 skorzystaliśmy z poda- Wygenerowanie grupy pakietów

nia typu bezpośrednio lub za pośrednictwem mnemoni- Spróbujmy tym razem wygenerować nie jeden pakiet
ka. Mnemoniki dla pól typu enum możemy wyświetlić za – a całą ich grupę, mianowicie 19 pakietów ICMP o polu
pomocą składni: pakiet.nazwa_pola.i2s type, przyjmującym wartości od 0 do 18 (pozostałe po-
la przyjmą wartości domyślne ustalone w scapy). Tym
Łączenie pakietów razem skorzystamy z funkcji sr() (jej nazwa to skrót
Jak wiemy, pełen prawidłowy pakiet ICMP, składa się od send-receive), wysyłającej w warstwie 3. Funkcja
z kilku warstw: ramka (na potrzebny artykułu nazywamy ta zwraca dwie wartości: pakiety z wysyłanego zbioru,
ją pakietem) warstwy drugiej modelu OSI, pakiet IP oraz które doczekały się odpowiedzi oraz te, na które odpo-
pakiet ICMP. Złóżmy dwa pakiety – IP oraz wcześniej wiedź nie przyszła – patrz Listing 12.
stworzony ICMP (Listing 4, Listing 5). Ramka etherne-
towa zostanie dodana później – już przez scapy. Proste skanowanie portów
Zauważmy, że wszystkie pola zostały wypełnione Wykorzystując wiedzę z powyższego przykładu, wy-
zgodnie z wartościami domyślnymi (polecenie ls(typ_ konajmy prosty skaner portów (Listing 13). W naszym
pakietu)) – a dodatkowo pole IP.proto zostało wypełnio- przypadku będzie to wysłanie 4 pakietów TCP z usta-
ne poprawnie – tj. pakiet protokołu IP w powyższym pa- wioną flagą Syn, na cztery różne porty.
kiecie transportuje pakiet protokółu ICMP. Zwróćmy rów- W pętli powyżej przeglądamy całą zwróconą tabli-
nież uwagę na pola chksum – przyjęły one wartość None. cę o nazwie a. Każdy element tej tablicy posiada dwa
W tym przypadku oznacza to, że sumy kontrolne zosta- kolejne elementy – pakiet wysłany oraz otrzymana na
ną wyliczone na podstawie tego jak zbudujemy pakiet – niego odpowiedź (w pętli odpowiadają tym elementom
a wykona to za nas scapy. Aktualną sumę kontrolną moż- zmienne req oraz resp). Jeśli odpowiedź jest pakietem
na zobaczyć wykorzystując metodę show2 (Listing 6). TCP z flagą SA, oznacza to że badany port jest otwarty
Przy okazji wspomnijmy, że dostępne w danej kla- (otrzymaliśmy segment TCP z flagami SA w odpowiedzi
sie zmienne i metody możemy uzyskać poleceniem dir na segment z flagą S).
(wynik tego polecania, widoczny na Listingu 7, został
skrócony w celu ułatwienia prezentacji wyników). Podsłuchiwanie ruchu oraz modyfikacja
Z kolei pomoc dotyczącą interesującej nas metody komunikacji sieciowej
możemy uzyskać poleceniem help() – Listing 8. Aby podsłuchać ruch, możemy skorzystać z wbudowa-
nej w scapy funkcji sniff(), możemy również wczytać
Modyfikacja zawartości pakietu zbiór pakietów w formacie libpcap – funkcja rdpcap().
Aby zmodyfikować pole w interesującej nas warstwie, Na Listingu 14 zauważmy, że przechwycony przez
stosujemy notację: pakiet[warstwa].pole = wartość. nas pakiet IP zawiera początkowo poprawną sumę kon-
Na przykład: trolną, jednak po zmianie docelowego adresu IP, suma
kontrolna będzie błędna! Dlatego, aby wysłać pakiet
p1[IP].dst = '192.168.0.1' bez błędów, poprosiliśmy scapy o automatyczne wyge-
nerowanie prawidłowej sumy za nas, podstawiając jej
Wysłanie pakietu oraz odebranie odpowiedzi wartość na pustą:
Istnieje kilka funkcji wysyłających oraz odbierających
pakiety – można je poznać wydając polecenie lsc() i[IP].chksum=None
oraz help(nazwa_funkcji). W przykładzie poniżej wy-
korzystamy funkcję sr1(), która wysyła pakiety w war- Odczytanie podsłuchanych pakietów ze zrzutu w for-
stwie 3 modelu OSI (tj. ramka warstwy drugiej zostanie macie libpcap jest równie proste (Listing 15.)
za nas uzupełniona) oraz odbiera pierwszy pakiet odpo- Przy okazji warto również wspomnieć o funkcji
wiedzi (Listing 9). wrpcap() – zapisującej pakiety w formacie libpcap. Ta-
Zauważmy, że nie musieliśmy uzupełniać pakietu ka możliwość może okazać się przydatna, jeśli chcie-
o ramkę ethernetową, tę pracę wykonała za nas funk- libyśmy wybrane pakiety poddać obróbce lub analizie
cja sr1(). Jeśli chcielibyśmy jednak kontrolować dane w innym, zewnętrznym narzędziu. Dalej (Listing 16)
również w warstwie 2, musielibyśmy skorzystać z funk- prezentujemy przykład sfragmentowania komunikacji
cji srp1() oraz uzupełnić pakiet o ramkę Ethernet. Przy IP, z wykorzystaniem narzędzia tcprewrite, które po-
założeniu, że w zmiennej i zdefiniowany mamy pakiet siada wkompilowaną obsługę mechanizmu fragroute.
IP()/ICMP(), dołożenie ramki ethernetowej wygląda tak
jak na Listingu 10. Fuzzing protokołów sieciowych
Dla dalszego zobrazowania możliwości oferowanych W skrócie, fuzzing protokołów sieciowych, polega na
przez scapy, prezentujemy wynik wspomnianego wyżej wygenerowaniu pakietów niekoniecznie zgodnych ze
polecenia lsc() – widoczny na Listingu 11. specyfikacją protokołu oraz sprawdzeniu w jaki sposób
www.hakin9.org 15
OBRONA
na taką komunikację zareaguje docelowy system. Przy- Listing 1. Typy pakietów dostępne w scapy
kładowo, niepoprawnym pakietem może być pakiet IP
z ustaloną nietypową wartością w polu IP.version. Czę- securitum-t1:~# scapy
sto w ten sposób wykryta może być błędna obsługa da- Welcome to Scapy (2.1.0)
nego pakietu przez docelowy system, co niekiedy koń- >>> ls()
czy się jego kompromitacją (patrz np. pracę Wifi Advan-
ced Fuzzing @ Blackhat EU 07, pokazującą podatno- ARP : ARP
ści umożliwiające wykonanie wrogiego kodu na bez- ASN1_Packet : None
przewodowym punkcie dostępowym z uprawnieniami BOOTP : BOOTP
jądra systemu operacyjnego – potencjalnie nawet bez CookedLinux : cooked linux
konieczności uwierzytelnienia się w urządzeniu access DHCP : DHCP options
point!). Najprostsza postać realizacji fuzzingu w scapy DHCP6 : DHCPv6 Generic Message)
wygląda tak jak na Listingu 17. ...
Odpowiadający takiej komunikacji, zrzut wykonany DNS : DNS
przy pomocy tcpdump-a wygląda z kolei tak jak na Li- DNSQR : DNS Question Record
stingu 18. DNSRR : DNS Resource Record
Analogicznie do przykładu pokazanego na Listingu DUID_EN : DUID - Assigned by Vendor Based on
18, istnieje możliwość ręcznego podstawienia danego Enterprise Number
pola, nie wartością, a funkcją, zwracającą wartość loso- Dot11 : 802.11
wą (Listing 19). Dot11ATIM : 802.11 ATIM
Dot11AssoReq : 802.11 Association Request
Prosty program w pythonie Dot11AssoResp : 802.11 Association Response
Jako ilustrację do możliwości skryptowania z wykorzy- ...
staniem scapy, przedstawiamy szkic bardzo prostego Dot1Q : 802.1Q
skanera portów napisanego w pythonie. Komentarzem Dot3 : 802.3
do skryptu niech będzie sam kod źródłowy, jak na Li- EAP : EAP
stingu 20. EAPOL : EAPOL
Ether : Ethernet
Podsumowanie GPRS : GPRSdummy
Dociekliwych Czytelników zachęcamy do własnego GRE : GRE
eksperymentowania z oprogramowaniem scapy. Mamy ...
nadzieję, że pokazaliśmy moc tego narzędzia, którego IP : IP
rozmaite zastosowania są ograniczone niemal tylko po- IPOption : None
mysłowością użytkownika. IPOption_Address_Extension : IP Option Address
Extension
...
W Sieci
PPP : PPP Link Layer
• http://www.secdev.org/projects/scapy/, PPP_ECP : None
• http://www.dirk-loss.de/scapy-doc/, PPP_ECP_Option : PPP ECP Option
• http://trac.secdev.org/scapy/wiki/OSPF, PPP_ECP_Option_OUI : PPP ECP Option
• http://freshmeat.net/projects/sendip/,
...
• http://nemesis.sourceforge.net/,
• http://netdude.sourceforge.net/, RIP : RIP header
• http://www.hping.org/, RIPEntry : RIP entry
• http://www.blackhat.com/presentations/bh-europe-07/ RTP : RTP
Butti/Presentation/bh-eu-07-Butti.pdf. RadioTap : RadioTap dummy
Radius : Radius
Raw : Raw
MICHAŁ SAJDAK RouterAlert : Router Alert
Dyrektor ds. Rozwoju w �rmie Securi- STP : Spanning Tree Protocol
tum. Prowadzi szkolenia o tematyce SebekHead : Sebek header
związanej z bezpieczeństwem IT oraz TCP : TCP
realizuje testy penetracyjne systemów TCPerror : TCP in ICMP
IT. Posiadacz certy�katu CISSP. TFTP : TFTP opcode
Kontakt z autorem: ...
michal.sajdak@securitum.pl
16 7/2010
Scapy
Listing 2. Struktura pakietu w scapy Listing 5. Łączenie pakietów
>>> ls(ICMP) >>> p1 = IP()/p

type : ByteEnumField = (8) >>> p1.show()
code : MultiEnumField = (0) ###[ IP ]###
chksum : XShortField = (None) version= 4
id : ConditionalField = (0) ihl= None
seq : ConditionalField = (0) tos= 0x0
ts_ori : ConditionalField = (50705671) len= None
ts_rx : ConditionalField = (50705671) id= 1
ts_tx : ConditionalField = (50705671) flags=
gw : ConditionalField = ('0.0.0.0') frag= 0
ptr : ConditionalField = (0) ttl= 64
reserved : ConditionalField = (0) proto= icmp
addr_mask : ConditionalField = ('0.0.0.0') chksum= None
unused : ConditionalField = (0) src= 127.0.0.1
dst= 127.0.0.1
\options\
###[ ICMP ]###
Listing 3. Wyświetlenie zawartości pakietu
type= echo-request
>>> p.show() code= 0
###[ ICMP ]### chksum= None
type= echo-request id= 0x0
code= 0 seq= 0x0
chksum= None
id= 0x0
seq= 0x0
Listing 6. Wynik metody show2()
>>> i.show2()
###[ IP ]###
Listing 4. Stworzenie pakietu ICMP
version= 4L
>>> p = ICMP(type=0) ...
>>> ICMP.type.i2s chksum= 0x7cde
{0: 'echo-reply', 3: 'dest-unreach', 4: 'source- ...
quench', \options\
5: 'redirect', 8: 'echo-request', 9: 'router- ###[ ICMP ]###
advertisement', ...
10: 'router-solicitation', 11: 'time-exceeded', chksum= 0xf7ff
12: 'parameter-problem', 13: 'timestamp-request', >>>
14: 'timestamp-reply', 15: 'information-request',
16: 'information-response', 17: 'address-mask-
request',
Listing 7. Wyświetlenie zmiennych i metod dostępnych w
18: 'address-mask-reply'} danej klasie
>>> p = ICMP(type='information-request')
>>> dir(p)
['__class__', '__contains__', '__delattr__', '__
delitem__', '__dict__', [...]
'add_payload', 'add_underlayer', 'aliastypes',
'answers', 'build', [...]
'show', 'show2', 'show_indent', 'sprintf',
'summary', 'time', [...]
www.hakin9.org 17
OBRONA
Listing 8. Wyświetlenie pomocy dla wybranej metody
>>>
help(p.show2)
Help on method show2 in module scapy.packet:
show2(self) method of scapy.layers.inet.ICMP instance

Prints a hierarchical view of an assembled version of the packet,
so that automatic fields are calculated (checksums, etc.)
Listing 9. Podstawowa metoda wysłania pakietu oraz Listing 10. Podstawowa metoda wysłania pakietu oraz
odebrania odpowiedzi – sr1() odebrania odpowiedzi - srp1()
>>> r = sr1(p1) >>> i2 = Ether(dst='00:19:5b:dc:b7:ec')/i

Begin emission: >>> i2.show()
Finished to send 1 packets. ###[ Ethernet ]###
.* dst= 00:19:5b:dc:b7:ec
Received 2 packets, got 1 answers, remaining 0 src= 00:0c:29:7f:48:3f
packets type= 0x800
###[ IP ]###
>>> r.show() version= 4
###[ IP ]### ihl= None
version= 4L tos= 0x0
ihl= 5L len= None
tos= 0x0 id= 1
len= 28 flags=
id= 30733 frag= 0
flags= ttl= 64
frag= 0L proto= icmp
ttl= 64 chksum= None
proto= icmp src= 192.168.0.124
chksum= 0x8106 dst= 192.168.0.1
src= 192.168.0.1 \options\
dst= 192.168.0.124 ###[ ICMP ]###
\options\ type= echo-request
###[ ICMP ]### code= 0
type= echo-reply chksum= None
code= 0 id= 0x0
chksum= 0xffff seq= 0x0
id= 0x0 >>> r2 = srp1(i2)
seq= 0x0 Begin emission:
###[ Padding ]### Finished to send 1 packets.
load= '\x00\x00\x00\x00\x00\x00\x00\x00\x00\ *
x00\x00\x00\x00\x00\x00\x00\x00\ Received 1 packets, got 1 answers, remaining 0
x00' packets
18 7/2010
Scapy
Listing 11. Wynik polecenia lsc()
arpcachepoison: Poison target's cache with (your MAC,victim's IP) couple

arping : Send ARP who-has requests to determine which hosts are up
defrag : defrag(plist) -> ([not fragmented], [defragmented],
defragment : defrag(plist) -> plist defragmented as much as possible
dyndns_del : Send a DNS delete message to a nameserver for "name"
etherleak : Exploit Etherleak flaw
fragment : Fragment a big IP datagram
fuzz : Transform a layer into a fuzzy layer by replacing some
default values by random objects
getmacbyip : Return MAC address corresponding to a given IP address
hexdiff : Show differences between 2 binary strings
ls : List available layers, or infos on a given layer
rdpcap : Read a pcap file and return a packet list
send : Send packets at layer 3
sendp : Send packets at layer 2
sendpfast : Send packets at layer 2 using tcpreplay for performance
sniff : Sniff packets
split_layers : Split 2 layers previously bound
sr : Send and receive packets at layer 3
sr1 : Send packets at layer 3 and return only the first answer
srflood : Flood and receive packets at layer 3
srloop : Send a packet at layer 3 in loop and print
the answer each time
srp : Send and receive packets at layer 2
srp1 : Send and receive packets at layer 2 and return only
the first answer
srpflood : Flood and receive packets at layer 2
srploop : Send a packet at layer 2 in loop and print the answer
each time
traceroute : Instant TCP traceroute
tshark : Sniff packets and print them calling pkt.show(),
a bit like text wireshark
wireshark : Run wireshark on a list of packets
wrpcap : Write a list of packets to a pcap file
Listing 12. Generowanie grupy pakietów

>>> pi = IP(dst='192.168.0.1')/ICMP(type=(0,18))
>>> answered,uanswered = sr(pi)
Begin emission:
...*.Finished to send 19 packets.
.......^C
Received 12 packets, got 1 answers, remaining 18 packets
>>> answered.show()
0000 IP / ICMP 192.168.0.124 > 192.168.0.1 echo-request 0
==> IP / ICMP 192.168.0.1 > 192.168.0.124 echo-reply 0 / Padding
>>> uanswered.show()
0000 IP / ICMP 192.168.0.124 > 192.168.0.1 dest-unreach network-unreachable
0001 IP / ICMP 192.168.0.124 > 192.168.0.1 source-quench 0
0002 IP / ICMP 192.168.0.124 > 192.168.0.1 redirect network-redirect
0003 IP / ICMP 192.168.0.124 > 192.168.0.1 time-exceeded ttl-zero-during-transit
0004 IP / ICMP 192.168.0.124 > 192.168.0.1 parameter-problem ip-header-bad
0005 IP / ICMP 192.168.0.124 > 192.168.0.1 1 0
www.hakin9.org 19
OBRONA
0006 IP / ICMP 192.168.0.124 > 192.168.0.1 2 0

0007 IP / ICMP 192.168.0.124 > 192.168.0.1 6 0
0008 IP / ICMP 192.168.0.124 > 192.168.0.1 7 0
0009 IP / ICMP 192.168.0.124 > 192.168.0.1 router-advertisement 0
0010 IP / ICMP 192.168.0.124 > 192.168.0.1 router-solicitation 0
0011 IP / ICMP 192.168.0.124 > 192.168.0.1 echo-reply 0
0012 IP / ICMP 192.168.0.124 > 192.168.0.1 timestamp-request 0
0013 IP / ICMP 192.168.0.124 > 192.168.0.1 timestamp-reply 0
0014 IP / ICMP 192.168.0.124 > 192.168.0.1 information-request 0
0015 IP / ICMP 192.168.0.124 > 192.168.0.1 information-response 0
0016 IP / ICMP 192.168.0.124 > 192.168.0.1 address-mask-request 0
0017 IP / ICMP 192.168.0.124 > 192.168.0.1 address-mask-reply 0
Listing 13. Proste skanowanie portów

>>> packets = IP(dst='192.168.0.1')/TCP(flags='S',dport=[22,23,80,515])
>>> a,ua=sr(packets)
Begin emission:
**..Finished to send 4 packets.
*.*
>>> a.show()
0000 IP / TCP 192.168.0.124:ftp_data > 192.168.0.1:ssh S
==> IP / TCP 192.168.0.1:ssh > 192.168.0.124:ftp_data RA / Padding
0001 IP / TCP 192.168.0.124:ftp_data > 192.168.0.1:telnet S
==> IP / TCP 192.168.0.1:telnet > 192.168.0.124:ftp_data RA / Padding
0002 IP / TCP 192.168.0.124:ftp_data > 192.168.0.1:www S
==> IP / TCP 192.168.0.1:www > 192.168.0.124:ftp_data SA / Padding
0003 IP / TCP 192.168.0.124:ftp_data > 192.168.0.1:printer S
==> IP / TCP 192.168.0.1:printer > 192.168.0.124:ftp_data SA / Padding
>>> for req,resp in a:

... print "port = "+str(req.dport)
... resp.sprintf('%TCP.flags%')
...
port = 22
'RA'
port = 23
'RA'
port = 80
'SA'
port = 515
'SA'
Listing 14. Podsłuchiwanie ruchu oraz mody�kacja komunikacji sieciowej

>>> res = sniff()
^C>>> res.show()
0000 Ether / IP / TCP 192.168.0.124:ssh > 192.168.0.107:3242 PA / Raw
0001 Ether / IP / TCP 192.168.0.107:3242 > 192.168.0.124:ssh A
0002 Ether / ARP who has 192.168.0.1 says 192.168.0.124
0003 Ether / ARP is at 00:19:5b:dc:b7:ec says 192.168.0.1 / Padding
0004 Ether / IP / UDP / DNS Qry "www.onet.pl."
0005 Ether / IP / UDP / DNS Ans "213.180.146.27"
0006 Ether / IP / ICMP 192.168.0.124 > 213.180.146.27 echo-request 0 / Raw
20 7/2010
Scapy
0007 Ether / IP / ICMP 213.180.146.27 > 192.168.0.124 echo-reply 0 / Raw

0008 Ether / IP / UDP / DNS Qry "27.146.180.213.in-addr.arpa."
0009 Ether / IP / UDP / DNS Ans "s4.m1r2.onet.pl."
>>> i = res[6]
>>> i.show()
###[ Ethernet ]###
dst= 00:19:5b:dc:b7:ec
src= 00:0c:29:7f:48:3f
type= 0x800
###[ IP ]###
version= 4L
ihl= 5L
tos= 0x0
len= 84
id= 0
flags= DF
frag= 0L
ttl= 64
proto= icmp
chksum= 0x11b5
src= 192.168.0.124
dst= 213.180.146.27
\options\
###[ ICMP ]###
type= echo-request
code= 0
chksum= 0x1dbc
id= 0xa30d
seq= 0x1
###[ Raw ]###
load= '\xf3R\xd8K~\x93\x02\x00\x08\t\n\x0b\x0c\r\x0e\x0f\x10\x11\x12\x13\x14\x15\x16\x17\x18\x19\x1a\
x1b\x1c\x1d\x1e\x1f !"#$%&\'()*+,-./01234567'
>>> i[IP].dst='87.98.189.148'
>>> i[IP].chksum=None
>>> r = srp1(i)
Begin emission:
Finished to send 1 packets.
.*
>>> r.show()
###[ Ethernet ]###
dst= 00:0c:29:7f:48:3f
src= 00:19:5b:dc:b7:ec
type= 0x800
###[ IP ]###
version= 4L
www.hakin9.org 21
OBRONA
ihl= 5L
tos= 0x0
len= 84
id= 40889
flags=
frag= 0L
ttl= 0
proto= icmp
chksum= 0x44d5
src= 87.98.189.148
dst= 192.168.0.124
\options\
###[ ICMP ]###
type= echo-reply
code= 0
chksum= 0x25bc
id= 0xa30d
seq= 0x1
###[ Raw ]###
load= '\xf3R\xd8K~\x93\x02\x00\x08\t\n\x0b\x0c\r\x0e\x0f\x10\x11\x12\x13\x14\x15\x16\x17\x18\x19\x1a\
x1b\x1c\x1d\x1e\x1f !"#$%&\'()*+,-./01234567'
Listing 15. Odczytanie ruchu z pliki w formacie libpcap

securitum-t1:~# tcpdump -n -s 0 -i eth0 -U -w out.pcap
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
^C20 packets captured
21 packets received by filter
securitum-t1:~# scapy
Welcome to Scapy (2.1.0)
>>> packets = rdpcap('out.pcap')
>>> packets.show()
0002 Ether / IP / TCP 192.168.0.107:3242 > 192.168.0.124:ssh A / Padding
0003 Ether / IP / UDP / DNS Qry "www.onet.pl."
0004 Ether / IP / UDP / DNS Ans "213.180.146.27"
0009 Ether / ARP who has 192.168.0.124 says 192.168.0.107 / Padding
0010 Ether / ARP is at 00:0c:29:7f:48:3f says 192.168.0.124
0019 Ether / IP / TCP 192.168.0.107:3242 > 192.168.0.124:ssh PA / Raw
22 7/2010
Scapy
Listing 16. Wykorzystanie funkcji wrpcap()
>>> pkt = Ether()/IP(dst='192.168.0.1')/ICMP()/("X"*100)

>>> wrpcap('to_fragment.pcap', pkt)
securitum-t2:~# tcprewrite --infile=to_fragment.pcap

--outfile=fragmented.pcap --fragroute=/usr/local/etc/fragroute.conf
192.168.0.104 > 192.168.0.1: icmp: type 8 code 0 (frag 1:24@0+)
192.168.0.104 > 192.168.0.1: (frag 1:24@24+)
192.168.0.104 > 192.168.0.1: (frag 1:24@48+) [delay 0.001 ms]
192.168.0.104 > 192.168.0.1: (frag 1:12@96) [delay 0.001 ms]
192.168.0.104 > 192.168.0.1: (frag 1:24@72+) [delay 0.001 ms]
192.168.0.104 > 192.168.0.1: (frag 1:24@72+)
192.168.0.104 > 192.168.0.1: icmp: type 65 code 71 (frag 1:24@0+) [delay 0.001 ms]
192.168.0.104 > 192.168.0.1: (frag 1:12@96)
192.168.0.104 > 192.168.0.1: (frag 1:24@24+) [delay 0.001 ms]
192.168.0.104 > 192.168.0.1: (frag 1:24@48+)
securitum-t2:~# scapy
>>> f = rdpcap('fragmented.pcap')
>>> f.show()
0001 Ether / 192.168.0.104 > 192.168.0.1 icmp frag:3 / Raw
0006 Ether / IP / ICMP 192.168.0.104 > 192.168.0.1 65 71 / Raw
Listing 17. Podstawowa metoda fuzzingu protokołu sieciowego

>>> p = IP(dst='192.168.0.1')/ICMP()
>>> p = fuzz(p)
>>> p.show()
###[ IP ]###
version= <RandNum>
ihl= None
tos= 31
len= None
id= <RandShort>
flags=
frag= 0
ttl= <RandByte>
proto= icmp
chksum= None
src= 192.168.0.124
dst= 192.168.0.1
\options\
###[ ICMP ]###
type= <RandByte>
code= 207
chksum= None
unused= <RandInt>
www.hakin9.org 23
OBRONA
>>> send(p,loop=1)
................................................................................................................
Listing 18. Fuzzing protokołu sieciowego widziany w tcpdump()

securitum-t1:~# tcpdump -v -n -i eth0 icmp
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
18:37:00.152656 IP7 (tos 0x8b,CE, ttl 63, id 19269, offset 0, flags [+, rsvd], proto ICMP (1), length 28)
192.168.0.124 > 192.168.0.1: ICMP type-#170, length 8
IP5 [|ip]
18:37:00.156424 IP14 (tos 0x99,ECT(1), ttl 128, id 46969, offset 0, flags [+, DF, rsvd], proto ICMP (1), length
28) 192.168.0.124 > 192.168.0.1: ICMP type-#180, length 8
IP5 [|ip]
18:37:00.159799 IP9 (tos 0x7a,ECT(0), ttl 114, id 53503, offset 0, flags [DF], proto ICMP (1), length 28)
192.168.0.124 > 192.168.0.1: ICMP type-#105, length 8
IP5 [|ip]
18:37:00.163474 IP14 (tos 0x18, ttl 163, id 24203, offset 0, flags [+, rsvd], proto ICMP (1), length 28)
192.168.0.124 > 192.168.0.1: ICMP type-#61, length 8
IP5 [|ip]
18:37:00.167175 IP5 (tos 0x1,ECT(1), ttl 13, id 59219, offset 0, flags [none], proto ICMP (1), length 28)
192.168.0.124 > 192.168.0.1: ICMP type-#180, length 8
IP5 [|ip]
...
Listing 19. Ustawienie pola w pakiecie funkcją zwracającą Listing 20. Prosty skaner portów napisany w pythonie, z
wartość losową wykorzystaniem scapy. scapy-scanner.py (uruchomienie:
python scapy-scanner.py)
>>> i = IP()/ICMP()
>>> i[IP].version = RandShort() from scapy.all import *
>>> i.show()
###[ IP ]### # zakres portow do skanowania
version= <RandShort> ports = (1,1024)
ihl= None # cel skanowania
tos= 0x0 dst_ip = '192.168.0.1'
len= None
id= 1 # definicja pakietow
flags= syn_packets = IP(dst=dst_ip)/TCP(flags='S',dport=po
frag= 0 rts)
ttl= 64
proto= icmp # wyslanie pakietow oraz odebranie odpowiedzi
chksum= None answered, uanaswered = sr(syn_packets, verbose=0)
src= 127.0.0.1
dst= 127.0.0.1 # analiza odpowiedzi
\options\ for request, response in answered:
###[ ICMP ]### response_flags = response.sprintf('%TCP.flag
type= echo-request s%')
code= 0 if response_flags == 'SA':
chksum= None print "Port TCP: " +
id= 0x0 str(request.dport) + " otwarty"
seq= 0x0
24 7/2010
Archiwizacja danych
Archiwizacja danych
Aleksander Tadeusz Ćwikliński
Niewielu użytkowników komputerów przywiązuje

należytą wagę do archiwizacji plików. Często giną im
bezpowrotnie bezcenne dokumenty lub zdjęcia,
a niewiele trzeba, by temu zapobiec.

• o znaczeniu archiwizacji danych, • znajomość obsługi komputera na poziomie użytkownika.
• o rodzajach archiwizacji,
• jak zorganizować proces archiwizacji,
• które narzędzia pomogą w zabezpieczeniu danych,
• jak użyć dostępnych narzędzi do zabezpieczenia danych.
A
rchiwizacja (backupy) danych dla większo- Rodzaje backupów
ści użytkowników komputerów osobistych jest Mamy do wyboru różne rodzaje backupów i trybów ich
często zagadnieniem pozostającym na margi- uruchamiania. Wybór zależy między innymi od ilości
nesie. Najczęściej przypominamy sobie o znaczeniu wolnego miejsca na dysku, czasu jaki możemy prze-
zabezpieczenia danych, gdy je utracimy. Celem tego znaczyć na archiwizowanie oraz wymaganej szybko-
artykułu jest próba przełamania barier oraz zachęce- ści do odzyskania danych. W Tabeli 1. wymienione zo-
nie do wykonywania archiwizacji najważniejszych da- stały rodzaje backupów, a w Tabeli 2. przedstawione
nych. Może nadszedł już czas, aby zakupić dysk ze- są różnice pomiędzy nimi.
wnętrzny i przeznaczyć go do tego celu.
Kompromis
Statystyki Przy podejmowaniu decyzji o organizacji procesu ar-
Serwis dotyczący archiwizacji http://www.kabooza.com chiwizacji warto wziąć pod uwagę kilka czynników. Na-
podaje wyniki ankiety wśród użytkowników kompute- leży więc:
rów osobistych w zakresie archiwizacji.
Na pytanie jak często archiwizują oni dane na kom- • ocenić, które dane są krytyczne i wymagają ar-
puterach większość (54%) odpowiada, że nigdy. Spo- chiwizacji (archiwizowanie wszystkiego może być
śród archiwizujących dane 18% robi to codziennie. Aż zbyt kosztowne),
13% osób nie wie co to jest backup. • określić ich rozmiar,
Użytkownicy za największe zagrożenie dla kompute- • określić częstotliwość zmian w tych danych,
ra wskazują wirusy komputerowe (54%). Kolejne oba- • sprawdzić posiadane rodzaje nośników do archi-
wy dotyczą możliwości uszkodzenia dysku twardego wizacji (serwer sieciowy, dysk, CD-ROM. DVD-
(31%), kradzieży (5%) oraz uszkodzenia danych spo- ROM, pamięć taśmowa),
wodowanych upadkiem nośnika danych (11%). • oszacować rozmiar wolnej przestrzeni na nośni-
Najbardziej użytkownicy obawiają się utraty wła- kach przeznaczonych do organizacji backupów,
snych zdjęć (71%), własnych dokumentów (16%) oraz • określić akceptowany czas na tworzenie archi-
własnej muzyki (4%). wum,
Większość (66%) osób utraciło ważne zdjęcia lub • określić akceptowalny czas oczekiwania na odtwo-
dokumenty, z czego duża część (42%) utraciła je rzenie pliku z archiwum,
w ciągu ostatniego roku. • zachować zdrowy rozsądek.
www.hakin9.org 25
OCHRONA DANYCH
Nie zawsze takie łatwe ków z archiwum. Opóźnione działanie może spowodo-
W domowych zastosowaniach zdefiniowanie codzien- wać utratę korelacji danych pomiędzy systemami. Je-
nych backupów wydaje się wystarczające. W przy- żeli systemy zapisują dane na tym samym wolumenie
padku jednak, gdy mówimy o działalności gospodar- to korzystne może okazać się oparcie backupów o ca-
czej i klientach utrata danych może nas sporo kosz- ły wolumen niż o pojedyncze pliki.
tować. Złożonym może okazać się wykonywanie backupów
Często występuje potrzeba budowania rozwiązań baz danych, dla których należy zachować ciągłość
umożliwiających odtworzenie danych z dowolnej chwi- działania, bo nie można ich zamknąć, w celach archi-
li (godzina, minuta, sekunda). Aby to było możliwe ko- wizacji. Pomocne są tutaj serwery baz danych dostar-
nieczne jest posiadanie rozwiązania zapewniającego czające mechanizmy śledzenia transakcji wykonanych
archiwizowanie danych w sposób ciągły. Wymaganie od momentu wykonania ostatniego backupu.
zapewnienia ciągłości operacji może nakładać na nas
także konieczność niezwłocznego odzyskania danych Narzędzia
z archiwów. Dostępnych jest wiele narzędzi do wykonywania bac-
W przypadku współdziałania wielu systemów infor- kupów – komercyjnych i darmowych.
matycznych krytyczne staje się jak najszybsze wykry- W Tabeli 3. podano wykaz niektórych darmowych
cie sytuacji, gdy będzie konieczne odtworzenie pli- rozwiązań dostępnych dla głównych trzech systemów
Tabela 1. Rodzaje archiwów
Nazwa Opis
Pełny (full) Polega na archiwizacji wszystkich plików niezależnie od wcześniej robionych archiwizacji. Po utwo-
rzeniu takiego archiwum istnieje później możliwość odtworzenia wszystkich plików bezpośrednio z
tego archiwum.
Różnicowy (differential) Jest uzupełnieniem pełnej archiwizacji. Zapisuje zmiany w plikach, które powstały od momentu wy-
konania ostatniej pełnej archiwizacji. Do odtworzenia pliku wystarczy pełne archiwum i jedno z ar-
chiwów różnicowych w zależności od daty, z której chcemy odzyskać dane.
Przyrostowy (incremental) Jest uzupełnieniem pełnej archiwizacji. Zapisuje zmiany w plikach, które powstały od momentu wy-
konania ostatniej przyrostowej archiwizacji. Do odtworzenia pliku potrzebne jest odwołanie do peł-
nego archiwum oraz tylu archiwów przyrostowych ile zostało utworzonych od daty, z której chcemy
odzyskać dane.
Tabela 2. Różnice między rodzajami archiwów
Nazwa Czas potrzebny Czas potrzebny Rozmiar na dysku

na archiwizację na odtworzenie archiwum
Pełny * *** *
Różnicowy ** ** **
Przyrostowy *** * ***
* - najmniej korzystny
*** - najbardziej korzystny
Tabela 3. Darmowe narzędzia do archiwizacji danych
Nazwa Link Opis

Amanda http://www.amanda.org/ Zaawansowany sieciowy archiwizator pozwalający na zdalną administrację.
Używa natywnych narzędzi jak GNUtar czy dump do tworzenia backupów.
Areca backup http://www.areca-backup.org/ Służy do wykonywania archiwów danych na potrzeby osobiste. Utworzone
zbiory można czytać popularnymi programami do kompresji.
backupPC http://backuppc.sourceforge.net/ Może służyć do archiwizacji danych przedsiębiorstwa.
Bacula http://www.bacula.org Umożliwia zarządzanie procesem archiwizacji na poziomie przedsiębior-
stwa dla różnych rodzajów komputerów połączonych w sieć.
DirSyncPro http://directorysync.sourceforge.net/ Proste narzędzie do synchronizacji folderów. Można uruchamiać polecenia
także z pominięciem interfejsu graficznego.
DAR http://dar.linux.free.fr/ Uruchamiany jest z linii komend. Od wersji 2 możliwe jest podłączenie inter-
fejsu graficznego poprzez API.
26 7/2010
Archiwizacja danych
operacyjnych komputerów osobistych: Windows, Li- Krok 5. Po zapisaniu ustawień rozpocząć archiwizację.
nux oraz Macintosh. Krok 6. Można także śledzić zaawansowanie procesu.
Backup and Restore Po utworzeniu archiwum możliwe będzie w przyszło-

Umożliwia archiwizację danych w Windows 7 (dostęp- ści odzyskanie całego zbioru plików lub wybranych
ne opcje zależą od wersji). Przykładowy proces defi- plików po naciśnięciu przycisku Restore my files na
niowania i uruchamiania archiwizacji wygląda nastę- ekranie Backup or restore your files. W przypadku
pująco. konfliktu zostaniemy zapytani o decyzję i do wyboru
pozostanie zapisanie obecnego pliku wersją z archi-
Krok 1. Przejść do panelu sterowania – Control Panel. wum, rezygnacja z wykonania operacji lub utworzenie
Krok 2. W zależności od ustawionego trybu wyświetla- drugiej wersji pliku.
nia w panelu sterowania wybierać Back up your compu-
ter w grupie System and Security lub Backup and Re- rsync
store. W przypadku, gdy serwer zasobów dyskowych zbudo-
Krok 3. Otworzy się okno umożliwiające rozpoczęcie wany jest na systemie Linux, na przykład na serwerze
definiowania procesu archiwizacji. Samby, do zabezpieczania danych bardzo przydat-
Krok 4. W kolejnych krokach określić parametry archi- nym może się okazać polecenie rsync. Pomoże ona
wizacji. przykład w utworzeniu pełnego odzwierciedlenia da-
Rysunek 1. Ekran de�nicji archiwizacji
Rysunek 2. Parametry archiwizacji Rysunek 3. Parametry archiwizacji
www.hakin9.org 27
OCHRONA DANYCH
nych wraz z informacjami o uprawnieniach użytkowni- • Archiwizacja pełna:

ków i atrybutach plików. Wystarczy sprawdzić składnię xcopy c:\home\*.* d:\backup\*.* /s
tego polecenia w manualu systemowym i można przy-
stąpić do synchronizowania zbiorów danych. Polece- • Archiwizacja przyrostowa:
nie to umożliwia także synchronizację pomiędzy ser- xcopy c:\home\*.* d:\backup\*.* /s /m
werami sieciowymi.
Poniżej opisano przykładową sekwencję operacji. • Archiwizacja różnicowa
Krok 1. Podłączyć dysk zewnętrzny. xcopy c:\home\*.* d:\backup\*.* /s /a
Krok 2. Zamontować dysk zewnętrzny:
mount –t reiserfs /dev/sda1 /mnt/f Podsumowanie
Krok 3.Rozpocząć synchronizację katalogów (tutaj ar- Do wsparcia archiwizacji danych służy wiele narzę-
chiwizacja dotyczy katalogu /home): dzi. Zalecałbym spośród nich wybrać odpowiednie
rsync – a –v –delete /home/ /mnt/f dla siebie i zacząć je stosować. Warto na to poświę-
cić czas. Unikniemy poważnych kłopotów i staniemy
xcopy się faktycznymi właścicielami naszych danych. Bę-
Polecenie xcopy znane z systemu Windows posiada dziemy również mogli służyć radą mniej doświadczo-
bardzo wiele opcji i umożliwia wykonywanie różnych nym.
rodzajów backupów.
Rysunek 4. Parametry archiwizacji
Rysunek 6. Parametry archiwizacji
Rysunek 5. Parametry archiwizacji Rysunek 7. Rozpoczęcie archiwizacji.
28 7/2010
Archiwizacja danych
Rysunek 8. Śledzenie procesu
ALEKSANDER TADEUSZ ĆWIKLIŃSKI

http://www.linkedin.com/in/alexcwiklinski . Ukończył studia informatyczne na Wydziale Elektroniki Politechniki Warszaw-
skiej. Ponadto zdobył dyplom Canadian MBA w Szkole Głównej Handlowej w kooperacji z Université du Québec à Montréal.
Uzyskał między innymi certy�kat PMP z zakresu zarządzania projektami oraz certy�kat ITIL Foundation z zakresu zarządza-
nia usługami.
Posiada doświadczenie w rozwijaniu systemów informatycznych oraz kontroli jakości w obszarach obsługi klienta, rozliczeń bi-
lingowych, bankowości, podatków oraz �nansów. Zajmował się również zarządzaniem projektami i wydaniami w ramach ze-
społów międzynarodowych.
Od kilkunastu lat pracuje w �rmie telekomunikacyjnej na stanowisku menedżerskim. Do jego głównych obowiązków należy
kontrola jakości systemów informatycznych oraz wsparcie procesu wdrożeń. Wcześniej zaangażowany był bezpośrednio w roz-
wój tych systemów.
Interesuje się wsparciem informatycznym podejmowania decyzji w zarządzaniu �rmą. Ponadto śledzi zagadnienia związane
z marketingiem, a ostatnio w szczególności marketingiem przychodzącym (inbound marketing) oraz zastosowaniami portali
społecznościowych.
W pracy zawodowej, realizując zadania, stara się znajdować balans pomiędzy oczekiwaniami �rmy, a wymaganiami ze-
społów oraz indywidualnymi potrzebami pracowników. Zwraca przy tym uwagę na znaczenie komunikacji dla sukcesu tych
przedsięwzięć.
Poszukuje rozwiązań, które zwiększą ilość wolnego czasu. Odzyskany czas chciałby poświęcić na znajdowanie nowych pomy-
słów, ich dopracowywanie oraz wypoczynek.
W drodze do pracy słucha książek audio lub podcastów z zakresu zarządzania, marketingu, psychologii lub ekonomii.
Wolny czas spędza z rodziną, majsterkuje lub pracuje w ogrodzie.
Kibicuje zespołowi Renault w Formule 1, w szczególności naszemu kierowcy Robertowi Kubicy.
Kontakt z autorem: aleksander.cwiklinski@gmail.com
Reklama
www.hakin9.org 29
PRAKTYKA
Elektroniczni detektywi w akcji

Piotr Dembiński, Paweł Odor
Wiedza i umiejętności informatyków śledczych, także z Polski,

pomogły już rozwiązać tysiące spraw sądowych na całym świecie,
w tym tych najpoważniejszych, związanych między innymi z głośnymi
przestępstwami gospodarczymi, pedofilią bądź kradzieżą poufnych
danych. Wciąż jednak działania prowadzone w ramach informatyki
śledczej są niemalże obce nie tylko firmom tracącym przychody przez
oszustów komputerowych, ale nawet samej branży IT.

• jak wygląda proces informatyki śledczej prowadzony w profe- • że działania informatyków śledczych pozwalają uchronić firmy
sjonalnym laboratorium przed bardzo poważnymi konsekwencjami finansowymi i wi-
• jakie najciekawsze przypadki informatyki śledczej zdarzyły się zerunkowymi, sięgającymi nawet kilku milionów dolarów
dotąd w Polsce i na świecie • że informatycy śledczy są w stanie perfekcyjnie odtworzyć kolej-
• jakie straty mogą ponieść firmy nie korzystające z usług infor- ność zdarzeń, działając na podstawie informacji niedostępnych
matyków śledczych dla użytkowników i administratorów poszczególnych systemów
• że większość polskich i światowych firm wciąż lekceważy za-
bezpieczanie swych zasobów cyfrowych.###
W
edług danych gromadzonych globalnie przez portalach społecznościowych, forach, blogach czy też
światowych pionierów w dziedzinie informaty- w komentarzach sieciowych.
ki śledczej, 43 procent firm na świecie padło
ofiarą nadużyć związanych z użyciem informacji elek- Informatycy śledczy w Polsce i na świecie
tronicznej. Ponad połowa z nich poniosła przy tym nie- W ciągu ostatnich kilkunastu lat dyski twarde (i inne
odwracalne straty finansowe. Średnia wysokość nad- nośniki, takie jak pendrive’y czy telefony komórkowe),
użyć w zakresie przestępczości elektronicznej na świe- stały się pierwszoplanowymi bohaterami spraw, które
cie to aż 1,74 mln $ na firmę, przy czym co trzecie z te- przez tygodnie nie schodziły z pierwszych stron ga-
go typu przestępstw popełnił pracownik firmy, która zet. Dotyczyły one zarówno najważniejszych polityków
ucierpiała na nielegalnych praktykach. Co sprawia, że w Państwie, jak i osób związanych ze środowiskami
tak łatwo firmy i osoby prywatne tracą kluczowe dane? biznesowymi. Wśród pierwszych, jedną z najbardziej
Według informatyków śledczych kluczową rolę od- spektakularnych okazała się sprawa dysku Aleksandry
grywa tutaj kwestia nieświadomego pozostawiania Jakubowskiej, która wyszła na światło dzienne w kon-
przez nas informacji o samych sobie, dzięki otaczają- tekście afery Rywina. Jednym z kluczowych dla śledz-
cym nas z każdej strony technologiom i urządzeniom twa działań było wtedy odzyskanie wiadomości pocz-
gromadzącym wszelkiego rodzaju informacje. Można towej ze sformatowanego dysku Minister Jakubow-
podzielić je na trzy grupy. Do pierwszej z nich zaliczyć skiej, na którym znajdowały się dowody pozwalające
można wszelkie rejestry komputerów i innych maszyn, prokuraturze na ustalenie przebiegu wydarzeń w jed-
które magazynują dane dotyczące czasu pracy, otwie- nym z wątków afery korupcyjnej. Pozostałe przypadki,
ranych programów, odwiedzanych stron internetowych jakie utkwiły w pamięci opinii publicznej dotyczyły m.in.
czy też wysłanych wiadomości mailowych. Do drugiej „utopionego” komputera posła Wassermanna czy słyn-
grupy zaliczyć możemy informacje z różnego rodza- nego „gwoździa” posła Ziobry. Na świecie były to naj-
ju monitoringów, aparatów cyfrowych czy też kamer. większe akcje przeprowadzane m.in. dla FBI i innych
Ostatnią, trzecią grupą są informacje, które użytkow- służb panstwowych. Szczegółowe ich opisy znajdują
nicy pozostawiają samodzielnie i świadomie, np. na się m.in. poniżej, wśród najciekawszych case’ów.
30 7/2010
Informatyka śledcza
Czym jest informatyka śledcza? kopii bezpieczeństwa. W zależności od typu postępo-

Informatyka śledcza (ang. Computer Forensics), to do- wania zabezpiecza się także dane z urządzeń prze-
starczanie elektronicznych środków dowodowych czy- nośnych PDA, telefonów i wszelkich pamięci przeno-
li zespół działań i czynności, które polegają na zabez- śnych. Po przygotowaniu dwóch kopii zapasowych
pieczeniu, przeszukiwaniu i wykrywaniu dowodów nad- otrzymanego nośnika specjaliści zabezpieczają jed-
użyć i przestępstw dokonanych z użyciem komputera ną z nich w sposób identyczny do tego w jaki zabez-
lub innych urządzeń elektronicznych. Poprzez Compu- pieczony został oryginalny nośnik. Wszelkie prace są
ter Forensics możemy więc odtworzyć kolejność zda- prowadzone na drugiej kopii. Każda operacja podjęta
rzeń użytkownika urządzenia elektronicznego w cza- przez specjalistów musi być szczegółowo udokumen-
sie (i odpowiedzieć na pytania: kto? co? gdzie? kiedy? towana, a każde udostępnienie nośnika lub informacji
jak?), działając na podstawie informacji niedostępnych musi być zarejestrowane.
dla użytkowników i administratorów systemu.
Obecnie najpopularniejszymi nośnikami dowodów Suma kontrolna
elektronicznych trafiającymi do największych labora- Na potrzeby postępowania dowodowego wykonuje się
toriów odzyskiwania danych i informatyki śledczej są: kopie binarne zabezpieczone wyliczeniem sumy kon-
dyski twarde komputerów osobistych (61,5 procent), trolnej. W procesie informatyki śledczej każdy z nośni-
serwery (20 procent - w tym serwery pocztowe – 7 pro- ków musi zostać zabezpieczony w sposób odpowiedni
cent oraz pozostałe serwery - np. zapisujące dane do jego indywidualnych właściwości, np. w przypadku
z kamer monitorujących ulice – 13 procent), notatniki dysków twardych odbywa się to za pomocą wygenero-
elektroniczne (3 procent), pamięci przenośne (11 pro- wanej podczas kopiowania sumy kontrolnej. Można na
cent) oraz telefony (2,5 procent). Większość serwerów jej podstawie określić czy opisywana przez nią struk-
trafia do ekspertyzy wraz z kopiami bezpieczeństwa. tura była modyfikowana. Jeżeli zgadza się z pierwotną
wartością, oznacza to, że mamy do czynienia z orygi-
Proces informatyki śledczej nalną wersją cyfrowego zapisu. W czasie tego proce-
Proces informatyki śledczej to zbiór następujących po su stosuje się specjalne urządzenia uniemożliwiające
sobie czynności, których wykonanie gwarantuje do- jakikolwiek zapis na oryginalny nośnik.
starczenie organom ścigania, a także osobom prowa- Niezależnie jednak od sposobu zbierania informacji,
dzącym dochodzenie danych o pełnej wartości dowo- zasady zabezpieczania dowodów wymagają ochro-
dowej. Na proces składają się: gromadzenie informa- ny oryginalnego nośnika oraz wykonania pełnej kopii
cji, odtwarzanie i odzyskiwanie danych oraz ich anali- danych bez żadnej ingerencji w oryginał. Dodatkowo
za. Wynikiem działania jest raport ekspertów. Rozpo- konieczne jest zastosowanie metod gwarantujących
częcie procesu computer forensics poprzedzone jest identyczność i autentyczność danych (np. przez wyko-
dokładnym zapoznaniem się specjalistów ze sprawą. nanie wspomnianej wcześniej sumy kontrolnej). Jaki-
Klient musi przekazać ekspertom możliwie dużo in- kolwiek błąd na tym etapie pracy może skutkować nie
formacji o prowadzonym postępowaniu tak aby moż- tylko utratą krytycznych danych, ale również odrzuce-
liwe było podjęcie decyzji jakie nośniki mogą zawierać niem środków dowodowych przez sąd.
istotne informacje. W szczególnych przypadkach, kiedy dane zosta-
ją zabezpieczane w wielu lokalizacjach – specjali-
Gromadzenie informacji ści informatyki śledczej zwracają szczególną uwagę
Podstawową zasadą na etapie gromadzenia informa- na synchronizację czasową. W ten sposób udaje się
cji jest zabezpieczenie oryginalnych nośników jak ty- uniknąć manipulowania danymi mogącymi posłużyć
powych dowodów. Następnie wykonuje się co naj- jako dowód w prowadzonym dochodzeniu.
mniej dwie binarne kopie danych. Kopie powstają
bez uruchomienia systemu operacyjnego urządze- Odtwarzanie i odzyskiwanie danych
nia, na którym mogą znajdować się potencjalne do- Dane pobrane z nośników zawierają najczęściej
wody. W niektórych sytuacjach jest to jednak niemoż- ogromną ilość informacji, z których część z punktu wi-
liwe, procedura zabezpieczenia musi być zatem do- dzenia prowadzonego dochodzenia jest nieprzydat-
kładnie udokumentowana. Wynika to z faktu, iż w mo- na. Wyłowienie interesujących danych jest w związku
mencie uruchomienia systemu operacyjnego orygi- z tym niestety wyjątkowo złożone i pracochłonne.
nalnego urządzenia zmienia się dotychczasowa za- Spośród wszystkich danych znajdujących na nośni-
wartość danych znajdujących się na nośniku (dysku, ku specjaliści wyodrębniają wiec te, które mają zna-
pamięci itp.). czenie dla prowadzonej sprawy. Konsultacja z klien-
Zabezpieczanie danych, jako dowodów dotyczy zatem (zdefiniowana hipoteza badawcza), którą kie-
równo komputerów osobistych, przenośnych jak i ser- rują się eksperci podczas badań ma kluczowe zna-
werów plików (poczty), baz danych oraz wszystkich czenie dla sukcesu sprawy i wyciągnięcia odpowied-
www.hakin9.org 31
PRAKTYKA
nich wniosków. Sytuację może jednak skomplikować Analiza

fakt, że nośnik zawiera dużą ilość danych niewidocz- Kolejnym krokiem po odtworzeniu danych w proce-
nych dla użytkownika, a dostępnych dopiero w procesie Computer Forensics jest ich analiza. Zostaje ona
sie odtwarzania danych (np. skasowanych, ukrytych przeprowadzona wg kryteriów, które ustalane są przez
lub zaszyfrowanych). Dzieje się tak często w momen- elektronicznych detektywów w porozumieniu ze zlece-
cie, gdy oprócz celowo skasowanych danych nastąpi- niodawcą. Typowe poszukiwanie danych polega na
ło uszkodzenie logiczne bądź fizyczne nośnika. W ta- dostosowaniu wszystkich zebranych danych do for-
kiej sytuacji nim informatycy śledczy przejdą do ana- matu pozwalającego użytkownikowi na łatwy dostęp
lizy danych znajdujących się na nośniku, muszą naj- do informacji (odszyfrowanie, pominięcie nietypowych
pierw odzyskać utracone wcześniej informacje. Spe- aplikacji, ujednolicenie formatu). Praca specjalisty na
cjaliści w procesie odtwarzania danych docierają rów- etapie analizy danych polega na odpowiedzi na klu-
nież do tzw. przestrzeni typu slack space (dotyczy to czowe pytania (kto?, co? i kiedy?) oraz na odtworze-
najszerzej rozpowszechnionych systemów plików ty- niu kolejności krytycznych zdarzeń.
pu FAT i NTFS) – sektorów i klastrów resztkowych,
które mogą być nieocenionym zbiorem informacji dla Najczęstsze rodzaje danych analizowanych
prowadzących śledztwa czy dochodzenia, szczegól- w procesie informatyki śledczej
nie w przypadkach, w których nastąpiło nadpisanie Dostarczając dowodów przestępczości elektronicz-
danych dowodowych czyli zapisanie na nie nowych nej specjaliści informatyki śledczej najczęściej operu-
informacji. ją na: danych pocztowych (najczęstsza kategoria da-
Oczywiście należy pamiętać, że wykorzystywane nych, które stanowią materiały dowodowe w procesie
mechanizmy, które pozwalają sprawdzić historię dzia- informatyki śledczej; w ich przypadku zabezpieczenie
łań użytkownika, zależą od używanego przez niego dowodów polega prócz zabezpieczenia plików poczto-
oprogramowania i systemu operacyjnego. wych na konkretnym komputerze, również zabezpie-
Szczególnym przypadkiem odtwarzania danych mo- czeniu dostępu do serwerów poczty elektronicznej),
że być odzyskiwanie danych z fizycznie uszkodzone- danych bieżących (np. dokumenty pakietu Office), da-
go nośnika. Średnia światowa skuteczność odzyski- nych odtworzonych i odzyskanych (skasowanych lub
wania danych w profesjonalnym laboratorium wyno- uszkodzonych wcześniej przez użytkownika), danych
si 76 procent. Składają się na nią również najcięższe zaszyfrowanych przez właściciela i udostępnionych po
przypadki, w których nośniki zostały celowo zniszczo- złamaniu zabezpieczeń oraz danych zawartych w lo-
ne fizycznie, spalone czy zalane wodą. W większości gach systemowych i metadanych.
tego typu przypadków dane udaje się odzyskać niemal Na tym etapie prac przydatne są narzędzia ułatwia-
w 100 procentach. jące konwersję danych. Aplikacje takie pozwalają mię-
dzy innymi na bardzo wygod-
ne wyszukiwanie informacji,
zaznaczanie i komentowanie
odnalezionych danych oraz
przygotowywanie szczegóło-
wych raportów z przeprowa-
dzonych prac.
Elementy procesu
analizy danych
Proces analizy danych jest
stosunkowo złożony i obej-
muje najczęściej pięć sta-
diów. Pierwsze z nich po-
lega na odtwarzaniu istot-
nych zdarzeń z uwzględnie-
niem ich chronologii (wizyty
na stronach internetowych,
komunikacja pocztą elektro-
niczną, zmiany dokumentów,
kasowanie danych, szczegó-
ły penetracji systemu itp.).
Rysunek 1. Spalony aparat z którego odzyskano zdjęcia w laboratorium Kroll Ontrack W drugim stadium poszu-
32 7/2010
kiwane są dokumenty zawierające słowa kluczowe Zgodnie z wymogami Disaster Recovery Plans spo-
związane ze sprawą, wskazywane najczęściej przez rządzane i przechowywane są kopie zapasowe zaso-
organa śledcze. Trzecie stadium natomiast obejmu- bów gromadzonych na serwerach firmowych. Często
je poszukiwanie kopii istotnych dokumentów oraz ich specjaliści informatyki śledczej stają przed konieczno-
wcześniejszych wersji. Ostatnie dwie części procesu ścią analizy wielu milionów informacji pocztowych nie-
dotyczą sprawdzanie istnienia na nośniku i zaistnienia jednokrotnie pochodzących z różnych serwerów (ich
operacji z wykorzystaniem programów kasujących da- kopii bezpieczeństwa).
ne oraz analizę autentyczności danych oraz znaczni- Najciekawsze przypadki informatyki śledczej rozwią-
ków czasowych. zane przez specjalistów informatyki śledczej w Polsce
i na świecie:
Raport
Wynikiem pracy specjalistów Computer Forensics 1. Sprawa gdańskiej gimnazjalistki
jest szczegółowy raport zawierający informacje o od- Działania związane z informatyką śledczą nie dotyczą
nalezionych danych istotnych dla prowadzonej spra- jedynie danych zamieszczonych na dyskach twardych
wy. Elementem raportu powinno być także osadzenie komputerów, ale również na takich urządzeniach, jak
w czasie kluczowych zdarzeń. pamięci flash, bądź telefony komórkowe.
Jako, że treść raportu musi być ściśle skorelowana W związku ze zwiększającą się liczbą funkcji i pojem-
ze sprawą konieczna jest bliska współpraca specjali- ności telefonów komórkowych, dane z nich pochodzą-
stów w laboratorium z osobami prowadzącymi sprawę. ce mogą stać się cennym źródłem dowodowym, wyko-
Elementem współpracy laboratorium informatyki śled- rzystywanym w informatyce śledczej. Jednym z takich
czej i klienta jest także przedstawianie wyników prac przypadków była udana próba odzyskania filmu zapi-
w sądzie. Informatycy śledczy przywołani przez proku- sanego na telefonie komórkowym jednego z gdańskich
ratora i sądy dla wydania opinii prezentują materiał do- uczniów w roku 2006.
wodowy jako tzw. biegli ad-hoc . Pomimo faktu, że nie Film ten był zapisem napastowania jednej z gimna-
wszystkie sprawy trafiają na wokandę, wszystkie czyn- zjalistek przez grupę jej kolegów, w tym chłopca na-
ności w ramach procesu muszą być prowadzone w ta- grywającego to zdarzenie, podczas lekcji w szkole.
ki sposób, aby wartość dowodowa zgromadzonego Nagranie to zostało następnie opublikowane w Inter-
materiału była niepodważalna. Na świecie tylko około necie, co mogło doprowadzić do samobójczej śmier-
20 procent spraw prowadzonych przez specjalistów in- ci dziewczynki.
formatyki śledczej ma finał w sądzie. Często potrzeb- Po tym zdarzeniu i rozgłosie, jaki został mu nadany
ne są jedynie np. dowody winy pracownika pozwalają- w mediach, chłopcy skasowali film. Telefon został jed-
ce pracodawcy na uszczelnienie systemu dostępu do nak zabezpieczony przez policję, której przedstawicie-
informacji. Jak wspomniano wcześniej jedną z najczę- le w toku postępowania przekazali aparat do analizy
ściej analizowanych kategorii danych w procesie in- specjalistom informatyki śledczej. W laboratorium in-
formatyki śledczej są pliki
poczty elektronicznej i wy-
daje się, że ta kategoria da-
nych nie ustąpi z pierwsze-
go miejsca w ciągu najbliż-
szych lat.
Na każdym z powyższych
etapów istnieje możliwość
wykorzystania danych z wia-
domości e-mail w procesie
dowodowym zmierzającym
do wykrycia „przecieku” in-
formacji, czy to poprzez od-
tworzenie treści podejrzanej
wiadomości, czasu jej wy-
słania czy też innych cech.
Korporacyjne serwery
pocztowe przechowują wia-
domości wszystkich pra-
cowników, którzy korzysta-
ją z poczty elektronicznej. Rysunek 2. Specjaliści Kroll Ontrack podczas odzyskiwania danych w laboratorium
www.hakin9.org 33
PRAKTYKA
formatyki śledczej odzyskano wykasowaną zawartość udziałów był droższy niż łączna kapitalizacja dwóch
telefonu, w tym nagranie z lekcji. Film został wykorzy- najbardziej konkurencyjnych portali.
stany w sprawie. Większościowy udziałowiec wycofał się z podjętego
zobowiązania. Podjęte zostały działania prowadzące
2. Komputer prezesa portalu wp.pl do pogorszenia kondycji finansowej portalu, a w kon-
Sprawa komputera prezesa Wirtualnej Polskiej jest sekwencji do doprowadzenia portalu do upadłości.
przykładem straty jaką poniosła jedna ze stron z po- Mniejszościowi udziałowcy zdecydowali się na zwery-
wodu braku świadomości istnienia usług informatyki fikowanie zawartości komputera przenośnego jedne-
śledczej w Polsce. go z managerów.
Większościowy udziałowiec portalu wp.pl zawarł Komputer zawierający dane, które miały stanowić
porozumienie z posiadaczami udziałów stanowiący- materiał dowodowy w sprawie, zdeponowano u nota-
mi mniejszość, w którym zobowiązał się do odkupie- riusza. Zanim to jednak nastąpiło osoby te otwarły pliki,
nia reszty udziałów po określonym czasie. Cena wy- w których znajdowały się strategiczne dla sprawy infor-
kupienia udziałów miała zależeć bezpośrednio od ilo- macje - materiały mające świadczyć o próbie doprowa-
ści użytkowników portalu. dzenia portalu do upadłości. Niestety otwierając doku-
Po upływie terminu, w którym miało nastąpić odku- ment zmieniono jego atrybuty włącznie z datą utworze-
pienie udziałów okazało się, że mniejszościowy pakiet nia, pozbawiając dokument wartości dowodowej.
W przypadku zlecenia takich działań in-
formatykom śledczym, zabezpieczyliby oni
nośnik, wykonaliby kopię jego zawartości
bez uruchamiania plików oraz umożliwiliby
osobom prowadzącym dochodzenie wgląd
do zawartości plików. W ten sposób war-
tość dowodowa zgromadzonego materiału
zostałaby zachowana.
3. Informatycy śledczy dla FBI i

Prokuratora Generalnego USA
W Stanach Zjednoczonych pracownikowi
dużej korporacji została wytoczona sprawa
o umyślne spowodowanie utraty strategicz-
nych danych jego pracodawcy. Miało to do-
prowadzić do znacznych strat firmy, a w re-
zultacie do zwolnienia 100 jej pracowników.
W trakcie analizy dokonywanej przez
informatyków śledczych okazało się, że
pracując jeszcze w korporacji, pracownik
stworzył program komputerowy, który nisz-
czył dane. Program umieścił na serwerze
firmowym. Okazało się, że narzędzie dzia-
łało na zasadzie bomby zegarowej. "Bom-
bę" aktywował nieświadomie jeden z pra-
cowników, logując się po określonym cza-
sie na serwerze firmowym.
Specjaliści wykazali winę zwolnione-
go pracownika obalając główny argument
obrony, jakoby dane firmowe zostały ska-
sowane przypadkowo. Wykazali dodatko-
wo, że na prywatnym komputerze oskarżo-
nego znajdowały się dane identyczne z ty-
mi, które posłużyły do stworzenia groźnego
programu. Po analizie wszystkich danych
znajdujących się na serwerach poczto-
Rysunek 3. Specjaliści odzyskiwania danych Kroll Ontrack podczas pracy w wych oraz koncie pocztowym podejrzane-
laboratorium go pracownika informatycy śledczy przed-
34 7/2010
stawili materiał dowodowy w sądzie. Dopiero te działa- dzeń PDA oraz telefonów komórkowych należących do
nia umożliwiły udowodnienie winy pracownika. zespołu. Podjęte przez specjalistów działania dały peł-
ny obraz nieuczciwych działań pracowników i pozwoli-
4. Dysk Aleksandry Jakubowskiej i dyski ły firmie na wyciągnięcie prawnych konsekwencji w sto-
wykradzione z MSZ sunku do zaangażowanych w to działanie osób.
Do końca lat dziewięćdziesiątych świadomość istnie-
nia informatyki śledczej była w Polsce niemalże ze- 6. Dostarczenie elektronicznych środków
rowa. Zmiany nastąpiły dopiero wtedy, gdy działania dowodowych do trzech krajów jednocześnie
związane z informatyką śledczą (ang. computer foren- Eksperci największej firmy zajmującej się informaty-
sics) stały się udziałem głośnych medialnie spraw, jak ką śledczą na świecie otrzymali zlecenie tzw. akwizy-
np. afera Rywina czy wykradzenie dysków z Minister- cji danych polegającej na skopiowaniu informacji elek-
stwa Spraw Zagranicznych. Jednocześnie wydarzenia tronicznych w taki sposób, aby nie straciły one warto-
te pokazały, jak istotna może okazać się praca specja- ści dowodowej (narzędzia wykorzystywane przez in-
listów informatyki śledczej. formatyków śledczych pozwalają na zachowanie tzw.
W roku 2002 rozpoczęło się śledztwo związane sumy kontrolnej. Jej niezmieniona wartość gwarantuje
z tzw. aferą Rywina. Jednym z kluczowych dla śledz- brak ingerencji w zawartość zabezpieczanych plików
twa działań było odzyskanie wiadomości pocztowej ze elektronicznych). Identyczną operację przeprowadzili
sformatowanego dysku Minister Aleksandry Jakubow- w tym samym czasie specjaliści informatyki śledczej
skiej. Znajdowały się na nim dowody pozwalające pro- z tej samej firmy w Niemczech i we Francji. Zlecenio-
kuraturze na ustalenie przebiegu wydarzeń w jednym dawcą był zarząd francuskiej firmy farmaceutycznej.
z wątków afery korupcyjnej. Powodem do zatrudnienia „elektronicznych detekty-
Drugim wydarzeniem, które zwróciło uwagę opinii wów” było podejrzenie o malwersacje finansowe zarzą-
publicznej na tematykę Computer Forensics było wy- du polskiego oddziału firmy, którego członkowie otwo-
kradzenie dysków z Ministerstwa Spraw Zagranicz- rzyli firmę pośredniczącą w zakupach dla koncernu
nych. Brak zabezpieczenia zużytych nośników i mo- oferując towary po cenach nierynkowych i powodując
nitorowania dostępności do nich mógł, w najgorszym w ten sposób powstanie wymiernych strat dla firmy.
wypadku, doprowadzić do pogorszenia stosunków Operacja zebrania materiałów dowodowych prze-
międzynarodowych między Polską a innymi krajami. prowadzana w każdym z trzech krajów tej samej no-
cy odbyła się w obecności prawnika, notariusza i służ-
5. Nieuczciwi pracownicy by ochrony mienia. Informatycy śledczy skopiowa-
Coraz powszechniejszy staje się ostatnio problem nie- li dane z każdego komputera w firmie oraz z urządzeń
uczciwych pracowników. Do najliczniejszych przypad- służących do archiwizacji danych firmowych. Każde
ków, którymi zajmują się elektroniczni detektywi nale- z miejsc pracy zostało sfotografowane.
ży m.in. kradzież danych przez nieuczciwych pracow- Dane z Niemiec i Polski trafiły następnie do Francji.
ników. Podobnie jak dane z siedziby głównej koncernu, zo-
Przykładem takiej sytuacji jest jedna z firm informa- stały poddane analizie. Wynikało z niej, że przypusz-
tycznych, zajmująca się tworzeniem i wdrożeniami czenie działania na szkodę koncernu przez zarząd
aplikacji biznesowych. Zespół zatrudniony do obsługi polskiego oddziału firmy jest prawdziwe.
jednego z klientów firmy postanowił przejąć propono- Po analizie wyników analizy zarząd francuskiego
wane przez firmę rozwiązania (zespół przygotowywał koncernu zdecydował się na zmianę całego personelu
się do kradzieży kodu źródłowego informacji) i sprze- polskiego oddziału (zarządu i pracowników). Nie wia-
dać je poza nią, po uprzednim zwolnieniu się poszcze- domo, czy członkom zarządu wytoczono procesy.
gólnych osób z pracy. Ustalono nawet osobną pulę
pieniędzy, która miała być przeznaczona na ewentual- 7. Kradzież i wykorzystanie danych przez
ną karę nałożoną przez pracodawcę. Propozycję, któ- konkurencję
ra miała być tańsza od oryginalnej, złożył jeden z han- Udostępnianie danych osobom, które przeprowadzają
dlowców, będący w bezpośrednim kontakcie z klien- dla danej firmy określone projekty może niekiedy oka-
tem. W wyniku tego klient postanowił zerwać umowę zać się niezwykle ryzykowne. Doświadczyło tego jed-
z firmą i skorzystać z tańszej oferty złożonej przez nie- no z największych biur projektowych, które na potrzeby
uczciwych pracowników. realizacji jednego ze zleceń postanowiło podjąć współ-
Zaniepokojony takim postępowaniem klienta zarząd pracę z inną firmą. Miała ona wesprzeć działania biura
firmy postanowił przeanalizować zaistniałą sytuację i wraz z jego pracownikami utworzyć zespół zajmujący
i w wyniku własnych ustaleń dotyczących handlowca się projektem przez następne czternaście miesięcy.
zdecydował się na dalsze kroki – zlecenie firmie zajmu- Powołany zespół pracował w siedzibie biura projek-
jącej się informatyką śledczą analizy komputerów, urzą- towego (zleceniodawcy). Dzięki temu pracownicy fir-
www.hakin9.org 35
PRAKTYKA
my wspomagającej biuro mieli potencjalną szansę na Podczas przesłuchań trzy zatrzymane osoby posłu-
bezprawny dostęp do wszelkich danych znajdujących gujące się sfałszowanymi dokumentami przyznały się
się na komputerach ich zleceniodawcy. do winy. Jednocześnie w czasie przesłuchań okaza-
W trakcie realizacji projektu pracownicy biura przy- ło się, że współpracował z nimi informatyk, który przy-
padkowo odkryli, iż na rynku pojawiły się produkty ba- gotowywał w wersji elektronicznej kopie dokumentów
zujące na rozwiązaniach technologicznych stworzo- tożsamości, zaświadczeń o zatrudnieniu i pieczątek.
nych przez nich samych. W tej sytuacji, obawiając się Po tym zeznaniu prokuratura wydała nakaz areszto-
przecieku, przeprowadzono analizę komputerów pra- wania podejrzanego o fałszerstwo oraz nakazała zare-
cowników, serwerów danych oraz przesyłanych do- kwirowanie sprzętu komputerowego z użyciem które-
kumentów. Pozwoliło to na ustalenie źródła przecie- go dokonywano fałszerstw.
ku, którym okazał się zespół projektowy, a dokładnie Na porę zatrzymania podejrzanego wybrano wie-
jeden z pracowników firmy zatrudnionej przez biuro. czór. W czasie interwencji funkcjonariuszy fałszerz
Ustalono, że kilkakrotnie włamywał się on na serwe- dokumentów próbował zniszczyć komputer uderzając
ry, gdzie przechowywane były dane pochodzące z in- nim o ziemię. Jego działania odniosły skutek ponieważ
nych projektów, po czym przesyłał je na serwery swej dysk twardy, który znajdował się w jego laptopie uległ
macierzystej firmy. uszkodzeniu fizycznemu – jego elementy mechanicz-
Odkrycie tych działań nie byłoby możliwe bez szcze- ne zostały uszkodzone.
gółowej analizy komputerów biura projektowego, do- W takim przypadku jedynym możliwym sposobem
konanej przez specjalistów i poprawnego zabezpie- odzyskania danych jest otwarcie nośnika w labora-
czenia elektronicznych środków dowodowych, które toryjnych warunkach oraz wykorzystanie technolo-
mogły być użyte w sądzie. Zarazem przypadek ten po- gii umożliwiającej odtworzenie danych bezpośrednio
kazuje, jak istotne jest zabezpieczenie danych firmy, z otwartego nośnika.
których wykorzystanie może być w przyszłości przy- W przypadku fałszerza informatycy śledczy odzyskali
czyną jej poważnych problemów. 74 pliki zawierające wzorce spreparowanych dokumen-
tów. Informacje te posłużyły jako materiał dowodowy
8. Komputer wyrzucony z okna w prowadzonym przez prokuraturę dochodzeniu.
Dane z odzysku mogą być i bywają dowodami prze-
stępstw. Osoby, które łamią prawo pilnie strzegą infor- 10. Była pracownica oskarżona o
macji mogących je pogrążyć. przyczynienie się do upadku firmy
Ponieważ wiele takich danych jest archiwizowanych Pracownica jednej z katowickich firm założyła podczas
na komputerach (często przenośnych) jedną z metod trwania stosunku pracy własną firmę. Bankrutujący
oskarżenia przestępcy jest zgromadzenie elektronicz- pracodawca obwinił ją o problemy swojej firmy, które
nych dowodów łamania prawa, czyli danych zapisa- miały być spowodowane tym, iż pracownica w czasie
nych w formie elektronicznej. pracy wykonywała czynności związane z jej prywatną
Przestępcy najczęściej korzystają z komputerów firmą zaniedbując obowiązki służbowe.
przenośnych. Pozwala im to na ciągły nadzór nad Pracownica twierdziła, że wszystkie czynności zwią-
ważnymi danymi. zane ze swoją firmą wykonywała po pracy. Jako do-
W razie potrzeby jest też łatwiej pozbyć się note- wód zleciła analizę operacji wykonywanych z użyciem
book’a niż setek lub tysięcy kartek papieru. Tak przy- komputera „elektronicznym detektywom” – informaty-
najmniej sądził ścigany przez policję przestępca, księ- kom śledczym, którzy przeanalizowali dane znajdujące
gowy jednej z dużych grup przestępczych. Uciekając się w komputerze pracownicy. Okazało się, że kobieta
po schodach budynku, dotarł na dach i zrzucił z niego wykonywała wszystkie czynności związane z prowa-
komputer przenośny z obciążającymi go danymi. dzeniem własnej firmy po godzinach pracy. Pracodaw-
Ponieważ informacje te mogły być decydujące ca odstąpił od skierowania sprawy do sądu.###
w śledztwie do odzyskania danych zatrudniono fir-
mę specjalizującą się w informatyce śledczej. Cały PIOTR DEMBIŃSKI
komputer po upadku był mocno zniszczony. Jednak Imago PR
z uszkodzonego dysku udało się odzyskać ok. 7 proc. tel. (032) 608 29 85
danych. Taka ilość informacji wystarczyła do obciąże- gsm. 693 285 916
nia podejrzanego. email: p.dembinski@imagopr.pl
9. Elektroniczne dowody fałszerstw PAWEŁ ODOR

Do firmy zajmującej się informatyką śledczą trafiło Autor jest głównym specjalistą polskiego oddziału Kroll On-
zgłoszenie przesłane przez prokuraturę prowadzącą track, największej �rmy z branży odzyskiwania danych i infor-
śledztwo w sprawie fałszowania dokumentów. matyki śledczej na świecie.
36 7/2010
Endpoint Security – czy istnieje kompleksowa ochrona przed wyciekiem i utratą danych?
Endpoint Security
Paweł Śmigielski
Zdecydowana większość firm zabezpiecza swoje sieci

i komputery przed atakami z zewnątrz, stosuje antywirusy,
firewalle i systemy wykrywania włamań. Jednocześnie
zapominamy o zagrożeniach ze strony swoich własnych
pracowników. W artykule poznamy różne rozwiązania chroniące
przed wyciekiem i utratą danych ze stacji roboczych.

• jakie są źródła wycieku i utraty danych we współczesnych or- • powinieneś mieć podstawową wiedzę związaną z bezpieczeń-
ganizacjach, stwem informacji.
• co to jest Endpoint Security i Data Loss Prevention,
• jakie rozwiązania pomagają zminimalizować ryzyko utraty danych.
„System bezpieczeństwa jest tak silny jak jego wszechnej informatyzacji zdecydowana większość da-
najsłabsze ogniwo – człowiek.” nych istnieje w postaci cyfrowej. Powoduje to znacznie
Kevin Mitnick większą dostępność informacji dla naszych klientów,
partnerów oraz organów administracji publicznej. Jed-
B
adania przeprowadzone wśród osób odpowie- nocześnie stanowi poważne zagrożenie dla funkcjono-
dzialnych za zapewnienie bezpieczeństwa infor- wania firmy i prywatności kontrahentów.
macji wskazują, że ponad 50% ataków i naruszeń Rozumiejąc wagę posiadanych danych, organizacje
bezpieczeństwa w firmach pochodzi z wnętrza organizacji. podejmują kroki w celu ochrony przed ich utratą. Jednym
Jednak wciąż panuje tendencja do zabezpieczania firmo- z wyzwań, które obecnie stoją przed działami IT staje się
wej sieci tylko przed atakami lub nieautoryzowanym do- zapewnienie bezpieczeństwa danych przechowywanych
stępem z zewnątrz. Firmy wykorzystują coraz bardziej zło- w swoich systemach informatycznych, a także umożli-
żone zapory ogniowe, systemy wykrywania włamań i in- wienie bezpiecznego przepływu i wymiany informacji.
truzów, konfigurują serwery proxy, zabezpieczają fizyczny Jest to podyktowane nie tylko dbaniem o wizerunek fir-
dostęp, zarówno do serwerowni, jak i pomieszczeń, gdzie my, ale również wymaganiami, które są nakładane na or-
znajdują się komputery. Zapominają jednocześnie o za- ganizacje przez liczne akty prawne oraz normy i regu-
grożeniach i ryzyku utraty danych związanym ze swoimi lacje branżowe specyficzne np. dla banków, towarzystw
pracownikami, znajdującymi się wewnątrz firmowej sie- ubezpieczeniowych lub organów służby zdrowia.
ci. Czy możliwe jest zapewnienie całkowitej ochrony da-
nych przechowywanych w organizacji i zabezpieczenie Zgodność z wymaganiami prawa
ich przed nieuczciwymi zamiarami pracowników? Organizacje, jako administratorzy danych w postaci
Czy współczesne rozwiązania techniczne mogą za- elektronicznej zobowiązane są do stosowania i prze-
pewnić kompletne bezpieczeństwo danych tworzonych, strzegania szeregu uregulowań prawnych dotyczących
przechowywanych i modyfikowanych w systemach in- zabezpieczania informacji.
formatycznych? W Polsce głównym aktem prawnym, który dotyczy in-
formacji przetwarzanych w administracji publicznej jest
Olbrzymia ilość danych w systemach ustawa z 29 sierpnia 1997 r. o ochronie danych oso-
informatycznych bowych.
Każda firma przetwarza ogromne ilości informacji zwią- Wg rozdziału piątego ustawy administrator danych
zanych ze swoją codzienną działalnością. W dobie po- w organizacji jest zobowiązany do zapewnienia bez-
www.hakin9.org 37
BEZPIECZNA FIRMA
pieczeństwa przetwarzanych danych osobowych, ze Wciąż najwięcej przypadków utraty informacji wiąże
szczególnym uwzględnieniem ochrony przed nieupo- się z danymi osobowymi, które ze względu na często-
ważnionym dostępem do tych danych. Powinien tak- tliwość występowania łatwiej stracić niż tajemnice han-
że zapewnić środki pozwalające na monitorowanie, kto dlowe lub inne dokumenty firmowe (Rysunek 1).
wprowadza dane osobowe do systemu informatyczne- Przytoczone wyżej statystyki opierają się na global-
go oraz komu są one przekazywane np. za pomocą nych badaniach, ale oczywiście Polska nie różni się
urządzeń teletransmisji danych. zbytnio od innych krajów. W mediach systematycznie,
Kolejnym dokumentem prawnym zawierającym wy- co kilka tygodni pojawiają się informacje o utracie da-
tyczne dotyczące bezpieczeństwa systemów informa- nych przez firmę lub urząd. Rysunek 2 przedstawia kil-
tycznych jest rozporządzenie MSWiA z dnia 29 kwiet- ka najbardziej znanych przypadków wycieku danych
nia 2004 r.w sprawie dokumentacji przetwarzania da- z różnych organizacji.
nych osobowych oraz warunków technicznych i organi- Wśród głównych zagrożeń dla danych możemy wy-
zacyjnych, jakim powinny odpowiadać urządzenia i sys- różnić:
temy informatyczne służące do przetwarzania danych
osobowych. • Utrata urządzeń i nośników przenośnych.
Załącznik A w/w rozporządzenia obliguje użytkowni- • Nieautoryzowany transfer danych na nośniku USB.
ków komputerów przenośnych, które zawierają dane • Brak klasyfikacji informacji (nie wiadomo, które da-
osobowe do stosowania środków ochrony kryptogra- ne są wrażliwe).
ficznej wobec przechowywanych danych. • Kradzież informacji firmowych przez pracowników.
Załącznik B zobowiązuje do zabezpieczenia urzą- • Drukowanie dokumentów zawierających wrażliwe
dzeń i nośników zawierających dane osobowe, w spo- dane.
sób gwarantujący poufność i integralność tych danych.
Załącznik C mówi o zabezpieczeniu, które kontrolu- Endpoint Security, czyli bezpieczeństwo stacji
je przepływ między systemem informatycznym a siecią roboczych
publiczną. Obecnie prawie wszyscy producenci rozwiązań z za-
Innym aktem prawnym bezpośrednio dotyczącym kresu bezpieczeństwa informacji oferują w swojej ofer-
bezpieczeństwa informacji jest rozporządzenie Preze- cie produkt, który zawiera w nazwie endpoint security.
sa Rady Ministrów z dnia 25 sierpnia 2005 r. w sprawie W dosłownym tłumaczeniu z języka angielskiego ozna-
podstawowych wymagań bezpieczeństwa teleinforma- cza to bezpieczeństwo punktów końcowych, czyli kom-
tycznego. puterów, które są wykorzystywane przez pracowników
Rozdział drugi w/w aktu definiuje podstawowe wy- firmy. W pojęciu tym zawierają się m.in.:
magania bezpieczeństwa teleinformatycznego, wymie-
nia m.in. ochronę kryptograficzną informacji niejawnych • Antywirus.
przetwarzanych w systemie informatycznym zapewnia- • Firewall.
jącą poufność, integralność oraz uwierzytelnienie. • Antyspam.
Oczywiście przytoczyłem tutaj tylko kilka spośród wie- • VPN.
lu różnorodnych aktów prawnych, które definiują wyma-
gania bezpieczeństwa dla danych i systemów informa-
tycznych. Wyżej wymienione uregulowania bezpośred-
nio dotyczą kwestii zabezpieczania urządzeń i nośni-
ków przenośnych oraz ochrony kryptograficznej. Dla
zainteresowanych w Tabeli 1 przedstawiłem rozszerzo-
ną listę aktów prawnych stosowanych w Polsce, Unii
Europejskiej oraz Stanach Zjednoczonych.
Wycieki informacji w 2009

Według organizacji InfoWatch, która zbiera i analizu-
je informacje dotyczące wycieków informacji z całe-
go świata pojawiające się w mediach, na blogach, fo-
rach internetowych i innych dostępnych źródłach, w ro-
ku 2009 nastąpił wzrost incydentów związanych z utra-
tą danych o 39% w porównaniu do roku 2008.
Prawie 2/3 tych wycieków miało miejsce w firmach ko-
mercyjnych, zaś 1/3 wśród organów administracji pu- Rysunek 1. Rozkład wycieku informacji ze względu na typ danych.
blicznej i edukacji. Źródło: Raport InfoWatch Global Data Leakage 2009
38 7/2010
• Kontrola dostępu do sieci (NAC – Network Access że wiele zagrożeń dla przechowywanych przez nas in-
Control). formacji.
• DLP. Badania przeprowadzone przez firmę Cisco dowo-
dzą, że zagrożenia związane z wyciekiem lub kradzie-
W dalszej części artykułu przyjrzymy się bliżej właśnie żą informacji wewnątrz organizacji stają się coraz bar-
temu ostatniemu pojęciu. dziej powszechne i jednocześnie bardziej kosztowne
DLP (z ang. Data Loss Prevention) jest terminem niż zagrożenia ze strony osób z zewnątrz:
z obszaru bezpieczeństwa teleinformatycznego, okre-
śla systemy, które identyfikują, monitorują oraz zabez- • 33% specjalistów IT niepokoi się utratą danych
pieczają: wskutek zgubienia lub kradzieży pamięci USB,
• 39% specjalistów IT bardziej niepokoją zagrożenia
• dane wykorzystywane w organizacji – działania na ze strony pracowników niż hakerów.
stacjach końcowych,
• transfer danych – ruch sieciowy, Z kolei z corocznego raportu (2009) opracowanego
• przechowywane dane – magazynowanie danych, przez organizację InfoWatch, zajmującą się zabezpie-
czaniem informacji, wynika, że 33% wszelkich wycie-
poprzez filtrowanie typów i zawartości plików i możli- ków danych ma związek z używaniem laptopów, pa-
wość centralnego zarządzania. Głównym celem pro- mięci USB, dysków CD i DVD oraz fizycznym dostę-
jektowania systemów DLP jest wykrywanie i ochrona pem do stacji roboczych i serwerów.
przed nieautoryzowanym wykorzystaniem i przesyła- Powszechną strategią zabezpieczania danych należą-
niem poufnych informacji. cych do danej firmy jest przydzielanie praw dostępu do
Mówiąc o rozwiązaniach DLP możemy wyróżnić: szy- dokumentów, w oparciu o przynależność do konkretne-
frowanie dysków twardych i pamięci przenośnych, kon- go działu i zakres obowiązków danego pracownika. Jest
trolę i zarządzanie urządzeniami przenośnymi, znako- to podejście słuszne, stanowi jednak tylko jeden z pod-
wanie plików, ochronę poczty elektronicznej, zarządza- stawowych elementów zabezpieczania informacji.
nie tożsamością i dostępem. Może się bowiem zdarzyć, że ten sam pracownik kie-
Ciekawostka: W zależności od producenta, spotyka- rując się różnymi motywami, będzie chciał skopiować da-
ne są także inne wyrażenia określające DLP: Data Le- ne i wynieść je poza firmę. Z racji pełnionych przez siebie
ak Prevention, Information Leak Detection and Preven- obowiązków będzie miał taką fizyczną możliwość.
tion (ILDP), Information Leak Prevention (ILP), Content Jeden z pierwszych wniosków, który nasuwa się po
Monitoring and Filtering (CMF) i Extrusion Prevention przeczytaniu powyższych informacji, to ustanowienie
System poprzez analogię do Intrusion-Prevention Sys- kontroli nad dokumentami (plikami), do których dostęp
tem (IPS). mają pracownicy. W jaki sposób pogodzić jednak po-
trzebę codziennej pracy z ogromną ilością różnego typu
Monitorowanie przepływu informacji w dokumentów, z potrzebą skutecznego ich zabezpiecze-
firmie – kontrola urządzeń i aplikacji nia? W jaki sposób kontrolować użycie pamięci i urzą-
Zdecydowana większość dokumentów tworzonych dzeń przenośnych służących do przechowywania da-
i edytowanych w dzisiejszych czasach istnieje głównie
w wersjach cyfrowych, zapisanych na dyskach twar-
dych naszych komputerów. W przypadku, gdy doku-
menty przetwarzane są na różnych komputerach w fir-
mie, pojawia się potrzeba ich przenoszenia. Z pomo-
cą przychodzą wszelkiego rodzaju pamięci przenośne,
począwszy od najbardziej powszechnych pamięci USB,
poprzez odtwarzacze multimedialne i karty pamięci wy-
korzystywane w telefonach komórkowych, kończąc na
wciąż popularnych płytach CD i DVD, które umożliwiają
proste i szybkie kopiowanie danych, zarówno w obrębie
firmy, jak i poza nią.
Niska cena i szeroka dostępność powodują, że prak-
tycznie wszyscy pracownicy używają w swojej codzien-
nej pracy w/w urządzeń i nośników.
Musimy mieć jednak świadomość, że prostota uży-
cia i miniaturyzacja dostępnych obecnie pamięci prze-
nośnych, oprócz oczywistej wygody, niosą ze sobą tak- Rysunek 2. Przykłady wycieku danych w Polsce.
www.hakin9.org 39
BEZPIECZNA FIRMA
nych, a jednocześnie umożliwić pracownikom korzysta-

nie z myszy, klawiatury i skanera? Co zrobić, aby za-
bezpieczyć dane, które muszą być przenoszone i edy-
towane poza firmą?
Rozwiązaniem, które odpowiada na powyższe pyta-
nie jest właśnie DLP. W większości przypadków jest to
centralnie zarządzane oprogramowanie do kontroli, mo-
nitorowania, audytu i zabezpieczania portów, urządzeń
i danych zapisanych na stacjach roboczych. Umożliwia
definiowanie polityk bezpieczeństwa, które zapobiegają
zapisywaniu i odczytowi danych z nieautoryzowanych
urządzeń przenośnych. Ponadto dostarcza kompletne
informacje (audyt) o podłączonych urządzeniach i pli-
kach, do których użytkownik miał dostęp. Szeroki wy-
bór rozwiązań DLP dostępnych na rynku sprawia, że
oferowane są dodatkowe, ciekawe funkcjonalności, ta- Rysunek 4. Rozkład wycieku informacji ze względu na
kie jak: definiowanie, które typy plików mogą być edyto- intencjonalność.
wane i zapisywane przez użytkowników oraz kopiowa- Źródło: Raport InfoWatch Global Data Leakage 2009
ne na urządzenia i nośniki przenośne, a także zapisy-
wanie na serwerze wszystkich danych, które były mo- rali i zapisywali, jakie dokumenty drukowali i jakie
dyfikowane lub kopiowane na te pamięci w celu póź- urządzenia podłączali do komputera.
niejszego audytu. • Tryb kontroli – administrator ustala polityki dostępu
Administrator rozwiązania DLP może wymusić szyfro- do dokumentów, urządzeń i aplikacji, agent zainsta-
wanie wszystkich danych zapisywanych na nośnikach lowany na stacji roboczej odpowiada za egzekwo-
przenośnych. Ponadto może kontrolować wydruk doku- wanie tych polityk.
mentów przez pracowników na drukarkach lokalnych,
sieciowych, a nawet wirtualnych. Szyfrowanie dysków twardych
Rozszerzeniem funkcjonalności kontroli urządzeń Statystyki mówią, że każdego roku kradzione są tysią-
może być zarządzanie aplikacjami, które pracownicy ce laptopów. Prawie każdy firmowy komputer zawie-
mogą uruchamiać na swoich komputerach, a także peł- ra wrażliwe informacje, które powinny być chronione
ny monitoring zainstalowanego oprogramowania włącz- przed nieautoryzowanym dostępem, bez względu na
nie z czasem uruchomienia poszczególnych aplikacji. to, czy są to tajemnice handlowe czy dane osobowe.
Na zakończenie warto dodać, że rozwiązania DLP Skutki wycieku danych poza organizację mogą okazać
mogą być wdrażane w firmach na dwa sposoby: się katastrofalne. Ich ujawnienie może doprowadzić do
naruszenia obowiązującego prawa, strat finansowych
• Tryb monitoringu – podgląd działań użytkowników lub pozwów sądowych.
na komputerach, informacje o tym jakie pliki otwie- W celu skutecznego zabezpieczenia danych przecho-
wywanych na dyskach
twardych, a także pa-
mięciach przenośnych
USB, dyskach CD
i DVD, napędach ZIP
i Jaz, rekomendowa-
ne jest zastosowanie
narzędzia do szyfro-
wania danych.
W jaki sposób wy-
brać rozwiązanie, któ-
re będzie adresować
wszystkie potrzeby or-
ganizacji, a jednocze-
śnie będzie mieścić
się w ramach budże-
tu przeznaczonego na
Rysunek 3. Punkty wycieku danych w organizacji. ochronę informacji?
40 7/2010
Podstawowym kryterium wyboru oprogramowania

szyfrującego jest algorytm szyfrujący i jego siła. Obec-
nie stosowanym standardem jest AES z kluczem 256-
bitowym.
Ponadto należy zwrócić uwagę na sposób szyfrowa-
nia. Najczęściej spotykane jest szyfrowanie wszystkich
sektorów dysku lub szyfrowanie na poziomie plików
i folderów. Bezpieczniejszym i i zarazem wygodniej-
szym rozwiązaniem jest opcja pierwsza. Jeśli oprogra-
mowanie szyfruje na poziomie sektorów, to mamy pew-
ność, że wszystkie dane pozostają bezpieczne i nigdy
nie zdarzy się sytuacja, że użytkownik zapomni zaszy-
frować części plików.
Zdecydowana większość Czytelników słysząc termin
szyfrowanie, pomyśli o narzędziu TrueCrypt. Jest to
bezpłatne rozwiązanie służące do szyfrowania danych Rysunek 6. Przykład ekranu powitalnego w rozwiązaniu do
szyfrowania.
w locie, co oznacza, że dane są automatycznie szyfro-
wane lub odszyfrowywane w momencie, gdy użytkow- • szyfrowanie całej partycji lub pamięci przenośnej,
nik chce uzyskać do nich dostęp lub kończy z nich ko- • możliwość tworzenia wirtualnych kontenerów – pli-
rzystać np. w momencie zamknięcia dokumentu teksto- ków mieszczących w sobie zaszyfrowany dysk (za-
wego. Dostęp do danych jest zabezpieczony za pomo- chowujący się jak normalna partycja).
cą hasła. Nie jest możliwe odczytanie danych bez uży-
cia właściwego hasła lub klucza szyfrującego. Szyfro- W momencie, gdy poszukujemy narzędzia szyfru-
wany jest cały system plików: nazwy plików, nazwy fol- jącego, które mamy wdrożyć w większej organiza-
derów, zawartość plików, wolne miejsce na dysku itd. cji, jednym z najważniejszych kryteriów powinna być
Podstawowe korzyści przy stosowaniu TruCrypta: obecność konsoli administracyjnej do centralnego za-
rządzania procesami szyfrowania i deszyfrowania
• automatyczne szyfrowanie danych transparentne komputerów. Administrator ma wówczas możliwość
dla użytkownika końcowego, importu komputerów i użytkowników znajdujących się
• wsparcie dla systemów Windows, Mac OS i Linux, w sieci organizacji, najlepiej, gdy istnieje możliwość
ochrona partycji systemowej (wykorzystanie pre- integracji z usługami katalogowymi takimi jak: Active
boot authorization – uwierzytelnienie użytkownika Directory, LDAP czy Novell eDirectory.
przed startem systemu operacyjnego), Oprócz możliwości zarządzania szyfrowaniem na po-
szczególnych komputerach,
z poziomu konsoli możemy przy-
pisywać użytkowników do kon-
kretnych komputerów, a w ra-
zie potrzeby administrator może
zdalnie zresetować hasło użyt-
kownikowi, który go zapomniał.
Istotne jest także tworze-
nie dysków ratunkowych, które
umożliwią odzyskanie danych
w momencie awarii sprzętowej
komputera lub systemu opera-
cyjnego. W momencie podłą-
czenia dysku twardego do in-
nego komputera, możliwe jest
skopiowanie wszystkich da-
nych i ich odszyfrowanie.
Przed podjęciem decyzji o za-
kupie konkretnego rozwiązania
warto także sprawdzić szyb-
Rysunek 5. Standardowa architektura rozwiązania DLP. kość szyfrowania i jego wpływ
Źródło: www.controlguard.com. na wydajność komputera.
www.hakin9.org 41
BEZPIECZNA FIRMA
Unknown nieznane
Security naruszenie
Breach bezpieczeństwa
Rysunek 7. Rozwinięcie skrótu USB w kontekście bezpieczeństwa.
Bezpieczne pamięci USB – które rozwiązanie

wybrać? Rysunek 8. Przykłady szyfrowanych pamięci USB dostępnych na
rynku.
Pamięci USB są najpopularniejszym nośnikiem prze-
znaczonym do zapisywania i przenoszenia danych.
Firma analityczna Gartner szacuje, że w 2008 r. na go przez użytkownika. Zatem mimo wykorzystania na-
całym świecie sprzedano 150 mln sztuk takich pamię- wet najbardziej zaawansowanych algorytmów szyfro-
ci. Niestety zdecydowana większość pamięci przeno- wania, nasze dane są zabezpieczone tylko tak mocno,
śnych pozostaje niezabezpieczona, zagrażając inte- jak silne jest hasło dostępu. Według statystyk haker po-
gralności i poufności danych na nich przechowywa- trzebuje pół godziny na złamanie 6-znakowego hasła
nych. na domowym komputerze klasy PC.
Najprostszym rozwiązaniem powyższych problemów Aby w pełni wykorzystać możliwości szyfrowania al-
staje się szyfrowanie danych. Czy jednak stanowi ono gorytmu AES-256, należałoby w praktyce zastosować
panaceum na wszystkie zagrożenia dotyczące używa- dłuższe hasło (klucz), na przykład składające się z kil-
nia przenośnych pamięci USB? kudziesięciu znaków, co praktycznie wyklucza możli-
Mówiąc o procesie szyfrowania możemy wyróżnić wość zastosowania w codziennym użyciu, użytkownik
szyfrowanie programowe i sprzętowe. W przypadku te- nie jest bowiem w stanie pamiętać i korzystać z tak dłu-
go pierwszego, musimy mieć świadomość, że nie jest to giego hasła.
jednak rozwiązanie idealne. Dostęp do zaszyfrowanych Kolejną wadą szyfrowania programowego jest moż-
zasobów chroniony jest za pomocą hasła definiowane- liwość przekopiowania zaszyfrowanych plików i próby
Tabela 1. Akty prawne dotyczące bezpieczeństwa informacji w Polsce, Unii Europejskiej i Stanach Zjednoczonych
Polska Adres WWW

Ustawa o ochronie danych osobowych. http://tnij.org/gvb2
Rozporządzenie MSWiA w sprawie dokumentacji przetwarzania danych osobowych. http://tnij.org/gvb3
Rozporządzenie Prezesa Rady Ministrów w sprawie podstawowych wymagań bezpieczeństwa http://tnij.org/gvb5
teleinformatycznego.
Ustawa o ochronie informacji niejawnych. http://tnij.org/gvb6
Ustawa o świadczeniu usług drogą elektroniczną. http://tnij.org/gvb7
Rozporządzenie Rady Ministrów w sprawie sposobu tworzenia, utrwalania, przekazywania, http://tnij.org/gvca
przechowywania i zabezpieczania dokumentów związanych z czynnościami bankowymi, spo-
rządzanych na elektronicznych nośnikach informacji.
Unia Europejska Adres WWW
Directive on privacy and electronic communications. http://tnij.org/gvcc
Regulation on the protection of individuals with regard to the processing of personal data by http://tnij.org/gvce
the Community institutions and bodies and on the free movement of such data.
Recommendation for the protection of privacy on the Internet. http://tnij.org/gvcf
USA Adres WWW
Sarbanes–Oxley Act (SOX). http://tnij.org/gvch
The Gramm-Leach-Bliley Act (GLBA). http://tnij.org/gvcm
Health Insurance Portability and Accountability Act (HIPAA). http://tnij.org/gvcn
Payment Card Industry Data Security Standard (PCI DSS). http://tnij.org/gvco
42 7/2010
złamania hasła na przykład na domowym komputerze, kownik otrzymuje dostęp do drugiej zaszyfrowanej
bez wiedzy użytkownika, do którego należą dane. partycji.
Szyfrowanie programowe wykorzystuje dostępne za- Dotychczas pamięci USB szyfrowane sprzętowo by-
soby sprzętowe komputera, jest zatem wolniejsze niż ły uznawane za jedne z najbezpieczniejszych nośników
szyfrowanie sprzętowe, które wykorzystuje własny pro- do przenoszenia i przechowywania informacji. Świad-
cesor kryptograficzny. czy o tym m.in. przyznanie wyżej wymienionym pamię-
Nawet jeśli haker nie złamie zabezpieczeń chronią- ciom certyfikatu FIPS-142, który umożliwia ich wykorzy-
cych dane, może je skutecznie usunąć z pamięci. stanie przez agendy rządowe w USA. Jednak niedaw-
Z pomocą przychodzi szyfrowanie sprzętowe i klucz no przeprowadzona analiza oprogramowania odpowie-
generowany przez procesor kryptograficzny. Wówczas dzialnego za wprowadzenie hasła do pamięci USB, wy-
ochrona naszych danych jest tak silna jak sam algorytm konana przez niemiecką firmę SySS, podważyła ich
szyfrujący. bezpieczeństwo.
Producenci już od kilku lat implementują szyfrowa- Zbadano jak przebiega proces uwierzytelnienia
nie sprzętowe w pamięciach przenośnych USB. Pa- w pamięciach Sandisk, Kingston i Verbatim. Okazało
mięci takie wykorzystują automatyczne szyfrowanie się, że po wprowadzeniu przez użytkownika popraw-
sprzętowe AES-256. Po włożeniu do portu USB i wpi- nego hasła, aplikacja wysyła do nośnika ciąg bajtów
saniu hasła użytkownika, pracują jak zwykłe pendrivy, potwierdzających, że hasło jest prawidłowe. Ciąg ten
nie jest wymagana instalacja żadnego oprogramowania pozostaje taki sam niezależnie od aktualnego hasła.
na komputerze. Dane zapisane na takich nośnikach są Eksperci z firmy Syss napisali prosty program, który
zawsze bezpieczne, użytkownik nie może bowiem wy- przechwycił ten ciąg bajtów, a następnie wysyłał go
łączyć szyfrowania. bezpośrednio do pamięci, pozwalając na łatwy dostęp
do zapisanych danych.
Czy szyfrowane pamięci USB są tak Reakcje producentów pamięci były różne, firma
bezpieczne, jak twierdzą ich producenci? Kingston wezwała użytkowników do przesłania wadli-
Obecnie na rynku dostępnych jest kilka modeli szyfro- wych nośników do serwisów technicznych w celu ak-
wanych sprzętowo pamięci USB m.in. Kingston, San- tualizacji firmware’u, zaś Sandisk i Verbatim opubliko-
disk, Verbatim, SafeStick. Dane są szyfrowane przez wały na swoich stronach internetowych specjalne biu-
procesor kryptograficzny, zaś wykorzystany algorytm letyny bezpieczeństwa, zawierające informacje o po-
to AES z 256-bitowym kluczem. Wszystkie wymienio- tencjalnej luce w oprogramowaniu i program do jego
ne powyżej pamięci USB charakteryzuje podobna za- aktualizacji.
sada działania: po podłączeniu do portu USB, wykry- Podsumowując powyższe rozważania, warto zadać
wana jest niezaszyfrowana partycja widoczna jako na- pytanie: jaki sens ma sprzętowe szyfrowanie danych,
pęd CD-ROM, zawierająca aplikację pytającą o hasło jeśli wykorzystywane jest programowe uwierzytelnia-
użytkownika. Po podaniu prawidłowego hasła użyt- nie?
Rysunek 9. Resetowanie zapomnianego hasła z poziomu konsoli zarządzającej.

Źródło: Opracowanie własne.
www.hakin9.org 43
BEZPIECZNA FIRMA
Możliwości współczesnych szyfrowanych w zakresie zabezpieczania informacji podczas codzien-

sprzętowo pamięci USB nej pracy, a co najważniejsze – pozwalają znacznie
Standardowe mechanizmy zabezpieczeń mogą zostać podnieść poziom bezpieczeństwa przetwarzanych da-
uzupełnione automatyczną blokadą nośnika po określo- nych bez konieczności ponoszenia dodatkowych, czę-
nym czasie bezczynności oraz ochroną przed atakiem sto dość wysokich kosztów.
słownikowym – po 10 lub 20 nieudanych próbach wpi- Dostosowanie systemów informatycznych polskich
sania hasła dane zapisane na nośniku ulegają trwałe- organizacji do standardów i wymogów zapewnienia
mu usunięciu. bezpieczeństwa informacji to nie tylko realizacja wy-
Nowym trendem w przypadku przenośnych pamię- mogów aktów prawnych, ale również zwiększenie za-
ci USB jest możliwość centralnego zarządzania z po- ufania, jakim darzą system informatyczny, a co za tym
ziomu konsoli, która umożliwia proste i szybkie dosto- idzie całą organizację jej pracownicy, partnerzy oraz
sowanie wdrożonego systemu szyfrowanych pamięci klienci.
USB do wymagań urzędu np. w zakresie polityk ha- Bezpieczeństwo danych przetwarzanych w syste-
słowych. mach informatycznych ma także istotne znaczenie dla
Do tego celu służy konsola zarządzająca, instalowa- jakości świadczonych za pomocą tego systemu usług.
na na serwerze, w pełni integrująca się z Active Directo- System, który jest bezpieczny, to równocześnie sys-
ry. Dostęp do konsoli otrzymujemy poprzez przeglądar- tem przejrzysty i sprawnie zarządzany – a więc sys-
kę internetową zainstalowaną na dowolnym komputerze, tem wydajny. Należy przy tym pamiętać, iż zapewnie-
uwierzytelnionym w Active Directory. nie bezpieczeństwa przetwarzanych danych, to pro-
Administrator za pomocą konsoli ustala polityki ha- ces ciągły, podlegający permanentnej kontroli. Regu-
słowe (długość i złożoność haseł) oraz posiada moż- laminy, procedury oraz środki techniczne składające
liwość odzyskiwania zapomnianych haseł użytkowni- się jako całość na pod-
ków. niesienie i utrzymanie
Obecne na rynku konsole do zarządzania szyfrowa- bezpieczeństwa syste-
nymi pamięciami pozwalają m.in. na monitorowanie mu, muszą być na bie-
każdego logowania i wylogowania użytkowników bez- żąco aktualizowane,
piecznych pamięci, a także monitorują wszystkie dane a użytkownicy systemu
kopiowane i usuwane z tych pamięci. muszą być informowa-
Jedną z ciekawszych funkcji jest implementowanie ni (np. w formie szko-
polityk dotyczących przechowywania danych, np. blo- leń) o nowych zagroże-
kada zapisu określonych typów plików: mp3, exe itp., niach i zastosowanych
a także zapobieganie uruchamianiu złośliwego kodu: środkach ochrony, któ-
koni trojańskich, malware itp. re ich dotyczą.
Podsumowanie
Odnosząc się do znanej zasady, że nawet najlepiej za-
bezpieczony system informatyczny jest tak bezpieczny
jak jego najsłabsze ogniwo, organizacje nie mogą zapo- PAWEŁ ŚMIGIELSKI
minać o użytkownikach. Od kilku lat zajmuje się zagadnieniami związanymi z bezpie-
Niezwykle istotnym etapem wdrażania każdego roz- czeństwem informacji w organizacjach. Absolwent Wydzia-
wiązania związanego z zapewnieniem bezpieczeństwa łu Informatyki na Politechnice Szczecińskiej. Po podjęciu pra-
informacji są szkolenia, które stanowią gwarancję zro- cy zawodowej w �rmie outsourcingowej poznawał praktycz-
zumienia przez użytkowników zagrożeń i potrzeb zane aspekty działania zabezpieczeń informatycznych zarówno
bezpieczania informacji. sprzętowych, jak i programowych.
Pozwalają również podnieść ogólną kulturę ochrony Obecnie zajmuje się rozwojem obszaru IT security w ramach
informacji, a w konsekwencji – lepiej przygotować użyt- struktury �rmy MWT Solutions, wyszukuje, testuje i wprowa-
kowników do przestrzegania zaleceń i dobrych praktyk dza na polski rynek rozwiązania informatyczne rozpowszech-
nione na świecie, a jeszcze niedostępne w Polsce.
W Sieci Jednocześnie cały czas stara się zwiększać świadomość zagro-
żeń związanych z utratą danych wśród pracowników polskich
• http://www.infowatch.com/en/ organizacji, wspiera merytorycznie konsultantów ds. sprzedaży
• http://www.scmagazine.com/
podczas spotkań z klientami oraz występuje jako prelegent na
• http://www.h-online.com/security/news/item/NIST-certi-
�ed-USB-Flash-drives-with-hardware-encryption-cracked- konferencjach tematycznych związanych z bezpieczeństwem IT.
895308.html Prywatnie pasjonat żeglarstwa i tańca towarzyskiego. Kon-
takt z autorem: p.smigielski@mwtsolutions.pl
44 7/2010
Na pytania odpowiada Paweł Odor
Na pytania
odpowiada
Paweł Odor
Główny specjalista Kroll
Ontrack w Polsce
Proszę powiedzieć kilka słów o sobie nych. Komplet informacji przekazywany jest następ-
Z firmą Kroll Ontrack związany jestem od 2003 ro- nie klientowi.
ku. Obecnie zajmuję stanowisko głównego specjalisty Proces odzyskania danych rozpoczyna się nie-
Kroll Ontrack w Polsce. zwłocznie po otrzymaniu akceptacji wyników eksper-
Do moich obowiązków należy między innymi ścisła tyzy.
współpraca z centralą Kroll Ontrack w USA oraz biura- Następnie specjaliści dokonują odzyskania i na-
mi regionalnymi, w szczególności z oddziałem rosyj- prawy struktur logicznych danych, przy użyciu po-
skim. Koordynacja wdrożenia usług proponowanych nad 120 różnego rodzaju urządzeń specjalistycznych
przez Kroll Ontrack dla rynku polskiego oraz odpowie- oraz szerokiej gamy oprogramowania. Po odzyska-
dzialność za poziom świadczonych usług w zakresie niu, dane zwracane są klientowi na wybranym przez
sprzedaży i marketingu. W Kroll Ontrack pełnię rów- niego nośniku (zewnętrzny dysk twardy, CD, DVD,
nież rolę rzecznika firmy do spraw technologii. itd.). Kopia bezpieczeństwa danych jest przetrzymy-
wana przez 30 dni na firmowym serwerze, następnie
Jak przebiega proces odzyskiwania bezpowrotnie usuwana, zgodnie z procedurą bezpie-
danych, czy towarzyszą temu jakieś czeństwa.
ustandaryzowane procedury? W przypadku uszkodzeń logicznych, gdy nośnik nie
Początkowo, podczas rozmowy telefonicznej klienta jest uszkodzony fizycznie, możliwe jest także zasto-
z przedstawicielem pogotowia odzyskiwania danych sowanie unikalnej na skalę światową technologii zdal-
Kroll Ontrack, specjaliści zapoznają się z konkretnym nego odzyskiwania danych – Remote Data Recove-
przypadkiem i pomagają dopasować najlepsze roz- ry. Jest to najszybsza metoda odzyskiwania danych
wiązanie w zakresie czasu reakcji i kosztów. Osoba, pozwalająca na poznanie wyników już w ciągu kilku
która straciła dane może następnie dostarczyć nośnik godzin. Nasi eksperci przeprowadzają w takich przy-
do najbliższego punktu Kroll Ontrack, bądź bezpo- padkach operacje odzyskiwania danych poprzez bez-
średnio do naszego katowickiego laboratorium. Oczy- pieczne połączenie internetowe, a skuteczność tego
wiście istnieje także opcja przesłania nośnika do labo- typu rozwiązań jest identyczna z tą uzyskiwaną w la-
ratorium kurierem. boratorium.
Po otrzymaniu nośnika nasi eksperci przeprowa-
dzają szczegółową analizę uszkodzenia, co pozwa- Poproszę o kilka słów na temat systemów
la ocenić stan danych, zakres uszkodzenia oraz sza- tworzenia kopii zapasowych.
cowany czas ich przywrócenia. Wynikiem ekspertyzy Jest to rzeczywiście bardzo istotna kwestia, często
jest raport Verifile, który pozwala klientowi na zapo- zaniedbywana przez firmy lub wykonywana czysto
znanie się ze strukturą plików i danych możliwą do od- mechanicznie. Praktycznie w ogóle nie jest ona też
tworzenia jeszcze przed rozpoczęciem procesu odzy- wykonywana przez użytkowników indywidualnych.
skiwania danych. Na tym etapie specjaliści Kroll On- Niestety większość przedsiębiorstw uważa, że bac-
track sporządzają także kalkulację odzyskiwania da- kup jest ratunkiem przed wszystkimi kłopotami i jest
www.hakin9.org 45
WYWIAD
wystarczający w kontekście ochrony danych. Mimo ta opiera się na zleceniach dotyczących

tego, błędnego oczywiście podejścia, kopie zapa- pozyskania materiału dowodowego – praca
sowe nie są weryfikowane i sprawdzane, co prowa- w charakterze biegłego?
dzi zwykle do katastrofy w postaci utraty najważniej- Z naszych usług nigdy nie korzystają przypadkowi
szych, kluczowych dla danej firmy danych. użytkownicy. Jeśli chodzi o podział procentowy, 60
Dlatego też niezwykle istotne jest, by politykę bez- procent to usługi dla firm, 30 procent dla sektora pu-
pieczeństwa danych tworzyć we współpracy z eks- blicznego, natomiast 10 procent to klienci indywidu-
pertami do spraw odzyskiwania danych i informatyki alni.
śledczej, którzy wskażą drogę do stworzenia pełnych, Do naszego core businessu zdecydowanie zaliczyć
właściwych procedur. możemy odzyskiwanie danych, które już dawno prze-
stało być jedynie ratowaniem plików znajdujących się
Co może Pan powiedzieć o weryfikacji na dyskach. Wciąż w dużej mierze skupiamy się także
integralności a pozyskiwaniem materiału na odzyskiwaniu danych z systemów bazodanowych
dowodowego z dowolnego nośnika danych? oraz ratowaniem serwerowni. Jedną z najważniej-
Standardowo stosowaną procedurą jest oczywiście szych usług w ostatnich miesiącach jest także odzy-
wykonywanie kopii binarnej wraz z sumą kontrolną skiwanie danych z systemów wirtualnych, gdzie jeden
wyliczaną dla odpowiednich porcji danych. Najlepiej błąd lub awaria niesie za sobą gorsze konsekwencje
sprawdza się to w przypadku dysków twardych i pa- niż w przypadku tradycyjnych rozwiązań.
mięci typu flash. Naszą drugą najważniejszą usługą jest oczywiście
Zastosowane metody różnią się dla niektórych informatyka śledcza, przy której współpracujemy za-
urządzeń, przy wykorzystaniu sprzętu typu PDA i no-
śników, na przykład taśm czy dysków szyfrowanych.
Każda z metod musi jednak zapewniać integralność
i dokumentować operacje przeprowadzane na nośni-
ku.
Jak się ma odzyskiwanie danych do

zachowania tajemnicy zawodowej oraz
przestrzegania przepisów dotyczących
ochrony prywatności potencjalnego
klienta?
W momencie, gdy trafia do nas konkretny przypadek,
w dziale obsługi klienta nadawany jest mu specjalny
numer i to na nim pracują nasi specjaliści. W związku
z tym inżynierowie z naszego laboratorium pracujący
nad przywróceniem informacji nie wiedzą kto jest wła-
ścicielem nośnika. Dodatkowo nasze narzędzia, któ-
re wykorzystujemy w pracy działają na strukturach da-
nych oraz weryfikują ich poprawność przy użyciu od-
powiednich algorytmów. Tym samym nie ma koniecz-
ności poznawania zawartości plików.
Oczywiście w procesie odzyskiwania danych klient
może zażyczyć sobie wykonania podglądu plików,
jednak w tym celu musi on wystosować odpowiednie
pismo. Standardem w Kroll Ontrack jest także to, że
wszyscy nasi pracownicy, którzy mają styczność z da-
nymi klientów mają podpisane odpowiednie klauzule
dotyczące zachowania tajemnicy, wybiegające poza
wymagania kodeksu pracy.
Po zakończeniu procedury dane ze spraw niszczo-
ne są bezpowrotnie przy użyciu naszych bezpiecz-
nych i sprawdzonych technologii.
Czy z usług Kroll Ontrack częściej korzystają

przypadkowi użytkownicy, czy raczej praca
46 7/2010
Na pytania odpowiada Paweł Odor
równo z organami ścigania, jak i z największymi kor- dług naszych szacunków opartych na przypadkach, ja-
poracjami i kancelariami prawnymi w kraju oraz za kie miały miejsce w Polsce, w ekstremalnych przypad-
granicą. Działania te już od kliku lat prowadzone są na kach, straty te mogą wynieść nawet około pół miliona
bardzo szeroką skalę. Niestety, świadomość możliwo- złotych dziennie. Oczywiście w ekstremalnych przy-
ści informatyki śledczej wśród polskich firm jest wciąż padkach może to oznaczać nawet bankructwo, czego
zbyt mała. W zdecydowanej większości przypadków byliśmy już świadkami.
dotyczących informatyki śledczej działamy w imieniu Na przestrzeni ostatnich kilku lat powstało także
firm i kancelarii prawnych. Wiele z tych spraw nie tra- wiele firm, które niesłusznie uzurpują sobie prawo do
fia na wokandę a ich zakończenie ma inny, niesądo- mianowania się ekspertami w dziedzinie informatyki
wy finał. śledczej. W rzeczywistości są to niekiedy pojedyncze
W poprzednim roku rozpoczęliśmy wdrażanie na- osoby, które nie mają dostępu do odpowiednich tech-
szego trzeciego filara – usług zarządzania danymi, nologii, nie potrafią także zabezpieczyć danych w pra-
które okazały się wyjątkowo potrzebne na terenie firm widłowy sposób, tak, by były one wartościowym do-
w Europy Zachodniej, a jak okazało się później, tak- wodem w sądzie. Tym samym wielu polskich przed-
że i w Środkowo – Wschodniej. Dzięki nim możemy siębiorców, znając podobne przypadki, z powodu bra-
zaoferować firmom pełny pakiet ochrony danych, któ- ku zaufania do specjalistów rezygnuje niestety z usług
rego częścią są między innymi usługi kasowania da- informatyki śledczej.
nych, coraz istotniejsze w kontekście polityki bezpie- Osobnym problemem jest także brak wysoko wy-
czeństwa danych wdrażanych przez coraz większą kwalifikowanych biegłych sądowych w zakresie in-
ilość światowych koncernów, lecz także firm z sek- formatyki śledczej oraz brak niezależnego podmio-
tora MŚP. tu, który przeprowadzałby działania w zakresie wymo-
gów i certyfikacji i wiedzy. Podobnie sytuacja kształtu-
Bit po bicie, czyli słów kilka na temat tzw. je się w przypadku sędziów, którzy wciąż jeszcze nie
„kopii binarnej”. akceptują, bądź nie mają wiedzy o przydatności elek-
Według światowych standardów, podczas proce- tronicznych środków dowodowych. Co prawda prowa-
su informatyki śledczej przy pozyskiwaniu materia- dzimy wewnętrzne szkolenia z udziałem ekspertów
łu do analizy należy wykonać tak zwaną kopię binar- zagranicznych, jednak wciąż brakuje w Polsce bie-
ną nośnika, na przykład dysku twardego, przy użyciu głych z odpowiednim doświadczeniem, wiedzą oraz
odpowiedniego oprogramowania. Może być również narzędziami.
konieczne użycie odpowiedniego sprzętu, tak zwa-
nych blockerów zapisu. Kopia binarna jest metodą Czy może Pan przybliżyć
kopiowania danych potocznie nazywaną bit po bicie. Naszym Czytelnikom cel prowadzonej
Oznacza to, że dokładnie każdy bit danych, znajdu- przez Państwa akcji Darmowy Dysk.
jący się na nośniku źródłowym, zostaje odczytany Kroll Ontrack posiada największą w Europie i jedną
z nośnika pierwotnego i zapisany na nośniku doce- z największych na świecie bazę dysków twardych.
lowym. Pomimo tego zdarza się, że trafiają do naszego la-
Wykonywane są dwie kopie binarne. Pierwsza boratorium nośniki, których nie było dotychczas w na-
z nich na potrzeby dowodowe, gdy zaistnieje koniecz- szej specyfikacji.
ność przedstawienia jej w postępowaniu dowodo- Dlatego też poszukujemy nośników o określonych
wym. Na drugiej kopii przeprowadzane są wszelkie- parametrach, które wykorzystywane są przy niektó-
go rodzaju analizy danych, ewentualnie odzyskiwanie rych procesach odzyskiwania danych, bądź do ce-
danych i łamanie haseł. lów badawczo-rozwojowych. Niektóre z nich, szcze-
gólnie w perspektywie wyjątkowo szybko rozwijającej
Czy Pana zdaniem Polacy są świadomi się branży IT, mogą wydawać się naprawdę przesta-
możliwości, jakie stwarza informatyka rzałe, jednak dla nas mogą być one przydatne. Dlate-
śledcza? go też osoby, które są w posiadaniu takich nośników
Pomimo rosnącej informatyzacji i dostępności usług i decydują się nam je przekazać nagradzamy możli-
IT, wiedza w zakresie możliwości jakie niesie informa- wością wymiany na nowy, pojemniejszy i zdecydowa-
tyka śledcza jest wciąż bardzo niska. Regularne ba- nie szybszy egzemplarz.
dania pokazują, że około 63 procent firm, które ucier-
piały w wyniku nadużyć biznesowych nie było świado-
mych możliwości wykorzystania dowodów elektronicz-
nych do rozwiązania problemu. Skala problemu jest
duża, szczególnie w kontekście strat, jakie może po-
nieść duża polska firma w wyniku utraty danych. We-
www.hakin9.org 47
FELIETON
Cyberwojna
Patryk Krawczyński
W
sztormie czarnej komunikacji Internetowej i represji prowadzonych przez państwa wobec innych
coraz więcej mówi się o cyberwojnach napę- narodowości.
dzanych teoriami szpiegowskimi. Mocarstwa Wojna w rozumieniu prawnym oznacza zerwanie
atakują mocarstwa. Giganci atakują gigantów. I z po- stosunków pokojowych i dyplomatycznych pomiędzy
wodzeniem dzień za dniem złowrogie pakiety przeska- co najmniej dwoma państwami i przejście do stosun-
kują na kolejne routery. W cyberprzestrzeni powstało ków wojennych. Mając to na względzie należy sobie
wiele pojęć, które nie do końca są zawsze dobrze ro- przypomnieć, jak w lipcu 2009 roku Magazyn Reuters
zumiane przez osoby spoza środowiska. Wzorcowym zasugerował cyberwojnę pomiędzy USA i Koreą Po-
przykładem jest prawidłowy wizerunek hackera w me- łudniową, a Koreą Północną. Trwające kilka dni ata-
diach, o co najmniej trzech odcieniach koloru. Nieste- ki oparte na technice DDoS (ang. Distributed Denial
ty z białego, szarego i czarnego wiele przekazów jest of Service) dotknęły 26 stron należących do minister-
wykonywanych w kolorach tęczy. stwa bezpieczeństwa wewnętrznego, obrony naro-
Pośrednio wynika to z młodego stażu wielu krajów dowej i finansów USA. Cztery dni później celem ata-
w świecie IT. Każda kultura wymaga lat, a nawet po- ków objęto południowokoreańskie strony, w tym rów-
koleń by dorosnąć do swoich czasów i możliwości. nież ministerstwa obrony. Jak wykazała analiza ata-
Podobnie jest w przypadku cyberwojny. Według in- ków dokonano za pomocą botnetu liczącego około 60
ternetowego słownika angielsko – polskiego wojna tysięcy komputerów pracujących pod kontrolą Win-
informacyjna jest synonimem informatycznej sztuki dows. Większa część komputerów (18 tysięcy) pocho-
wojennej, w której używane są informatyczne środ- dziła z Korei Północnej. Pierwsze podejrzenia padły
ki bojowe. Według Winn Schwartau jednego z czoło- na Koreę Północną mimo tego, że Koreańska Komisja
wych ekspertów ds. bezpieczeństwa teleinformatycz- Komunikacji nie potrafiła wykryć sprawców. Według
nego cyberwojnę można określić jako „elektroniczny wcześniej przedstawionych definicji w tego rodzaju in-
konflikt, w którym informacja jest strategicznym atu- cydencie powinno dojść kradzieży strategicznych in-
tem godnym zdobycia lub zniszczenia”. Z kolei Bru- formacji lub ich blokady. Niestety do przeprowadzenia
ce Schneier wspomina, że jest to po prostu „wojna ataku wybrano najprostszą z możliwych technik, bez
w cyberprzestrzeni”. Definicja Armii Stanów Zjedno- wkraczania w wyrafinowany hacking. Jedynym zablo-
czonych uwzględnia sformułowanie, w którym padają kowanym serwisem o bardziej kluczowej roli w struk-
słowa „destrukcyjnych działań lub zagrożeń podjętych turach biznesowej informacji był serwis internetowy
z premedytacją wobec komputerów i/lub sieci z za- nowojorskiej giełdy. Dlatego najbardziej trafnym okre-
miarem spowodowania szkody lub osiągnięcia ce- śleniem dla tego incydentu wystarczyło określenie cy-
lów ideologicznych (hacktywizm), religijnych, politycz- berataku, niż cyberwojny, która jak wiadomo znacznie
nych czy podobnych, a także zastraszenia osób w dą- bardziej podnosi wyniki sprzedaży swoim chwytliwym
żeniu do tych celów.” PC Magazine ewidetnie wyko- tytułem. Czy naprawdę technika DDoS na tak ma-
nuje krok w tył porównując termin ten do wojny infor- łą skalę może zostać uznana za element informacyj-
macyjnej nazywając ją także cyberterroryzmem, a nie nych działań wojennych? Ponieważ tego typu zdarze-
cyberdziałaniami wojennymi. W ramach takich dzia- nie można również rozpatrywać w stosunku do ska-
łań podejmowane są czynności siejące spustoszenie li i jego celów. Publiczne serwisy rządowe, które pod-
wśród komputerów odpowiedzialnych m.in. za zarzą- legają atakowi mają tylko na celu wprowadzenie naj-
dzanie giełdą, sieciami energetycznymi, kontrolą ru- większego rozgłosu dokonanego incydentu. Informa-
chu lotniczego i telekomunikacją. Chociaż termin ten cje zawarte na tego rodzaju stronach są dostępne pu-
głównie odnosi się do ataków przeciw państwom wy- bliczne i ich zanik nie powoduje większego paraliżu
korzystywany jest on również w stosunku do organi- czy dezinformacji w społeczeństwie ze względu, na
zacji i ogółu społeczeństwa. Na przykład wpuszcze- możliwość uzyskania ich za pomocą innego kanału
nie do sieci niszczących wirusów może zostać uzna- np. telefonicznego.
ne za informacyjne działania wojenne. Na podstawie Debata pomiędzy, niektórymi ekspertami ds. bez-
wszystkich tych definicji Ariel Silverstone określił cy- pieczeństwa krąży wokół słuszności terminu cyber-
berwojnę jako akt trwających ataków elektronicznych działań wojennych. Jedni uważają, że jest ona tyl-
48 7/2010
Cyberwojna
ko metaforą, a drudzy oświadczają, że państwa sta- do usunięcia pomnika Brązowego Żołnierza z parku
ją w dobie realnych zagrożeń pochodzących z te- w Tallinie w 2007 roku, miały nastąpić gwałtowne de-
go źródła. Prawdą jest, że technologia IT w dzisiej- monstracje na ulicach Estończyków pochodzenia ro-
szych czasach objawia się obok waluty jako kolejny syjskiego. Jednak Hillar Aarelaid, dyrektor estońskie-
instrument władzy. Wynika to z faktu globalnego do- go Komputerowego Zespołu Szybkiego Reagowa-
stępu do informacji, „a kto ma informację rządzi świa-
tem”. Dlaczego, więc nie ma stać się ona powodem „Nie wiem jaka broń będzie użyta
do ataków? Być ich celem i za razem źródłem. Celem
do osiągnięcia. Źródłem do zakłócania jej przepływu. w trzeciej wojnie światowej,
Wiele narodów posiada bardzo niskie bariery mogą- ale czwarta będzie na kije i kamienie.”
ce ochronić przed tego typu atakami. Dlatego Internet
stanowi doskonałe pole walki, które ma w swojej na-
Albert Einstein
turze wpisaną anonimowość. W 1993 roku John Arqu-
illa oraz David Ronfeldt przewidywali nadejście czania z doświadczenia wiedział, że „jeśli toczą się walki
sów, w których forma prowadzenia działań wojennych na ulicach, będą też walki w Internecie”. Przewidując
zostanie sprowadzona do poziomu cyberprzestrzeni. to, nie miał jeszcze pojęcia o skali planowanych ata-
Gdyby wówczas ludzkość postawiła na rozwój podró- ków, które nieomal sparaliżowały całą internetową in-
ży kosmicznych, a nie komunikacji elektronicznej ana- frastrukturę kraju. Estonia jest już na tyle rozwiniętym
logicznie pole walk mogłoby się przenieść w inny wy- krajem pod względem IT, że dostęp do sieci interne-
miar niż Internet? Wraz z rozwojem samochodów ro- towej jest równie ważny jak bieżąca media (np. woda,
śnie liczba wypadków samochodowych. Wraz z roz- prąd, gaz). Internet w tym kraju używany jest do gło-
wojem informatyzacji krajów rośnie zjawisko wykra- sowania czy płacenia podatków, a przez telefony ko-
dania informacji z komputerów. Dziś wojnę prowa- mórkowe można bez problemu zapłacić za zakupy czy
dzi się na wszystkich możliwych polach. Najbardziej parkowanie. Skala tych przykładów wpasowuje się
popularnymi rodzajami wojen są wojny energetyczne w skalę i powagę w jakim można mówić o działaniach
i wojny informacyjne. W wojnach energetycznych po- wojennych w wirtualnym świecie. Pod koniec 2009 ro-
konuje się wroga fizycznie w otwartej walce, poprzez ku na zalecenie firmy McAfee został zlecony raport
atak fizyczny. W wojnach informacyjnych obezwładnia pt. „Virtual Criminology Report”, w którym zostały za-
się przeciwnika informacją – otumania się działaniami warte wypowiedzi ponad dwudziestu czołowych eks-
wywiadu, podszeptem agentury wpływu, propagandą pertów świata z dziedziny stosunków międzynarodo-
i manipulacją, a potem bierze się go w poddaństwo. wych, w tym dra Jamie’ego Saundersa, doradcy am-
Ciekawym przypadkiem jest równoległe prowadze- basady brytyjskiej w Waszyngtonie oraz ekspertów
nie działań zbrojnych i cybernetycznych, jakie mia- ds. bezpieczeństwa wcześniej pracujących dla ame-
ły miejsce w Gruzji 2008 roku. Dopełnieniem konflik- rykańskiej Agencji Bezpieczeństwa Narodowego (Na-
tu zbrojnego między Gruzją i Rosją były zmasowa- tional Security Agency ? NSA) i australijskiego Mini-
ne ataki na gruzińskie strony internetowe. Po rozpo- sterstwa Sprawiedliwości (Attorney-General’s Depart-
częciu działań wojennych, podmieniona została stro- ment). Przewiduje on, że „w ciągu najbliższych 20–30
na prezydenta Gruzji. Następnie ta i wiele innych ofi- lat cyberataki coraz częściej będą należeć do arse-
cjalnych gruzińskich stron rządowych, policji, agencji nału działań wojennych”, dzięki któremu ma być za-
prasowych, stacji telewizyjnych, a nawet najpopular- grożona infrastruktura o znaczeniu krytycznym (m.in.
niejsze gruzińskie forum hackerskie, zostały sparali- sieci energetyczne, transportowe, telekomunikacyjne,
żowane atakami DDoS. Różnicą pomiędzy tym przy- systemy finansowe oraz systemy zaopatrzenia). Ak-
padkiem, a przypadkiem Korei było jawne wypowie- tualnie media zbyt pochopnie wydają w nagłówkach
dzenie działań zbrojnych w rzeczywistości. Wojna zo- użycie tego terminu, zamieniając każdą cyberpotycz-
stała świadomie przeniesiona na dwie płaszczyzny, kę w silne, potężne, widoczne i odczuwalne uderze-
choć nie ma dowodów, że to rząd rosyjski był jednost- nia wojenne. Pierwszym paradoksem jest skala opisy-
ką, która zleciła wykonanie zakłóceń teleinformatycz- wanych wydarzeń, a drugim – większość z tych infra-
nych, o które oskarża się grupę Russian Business Ne- struktur w wielu krajach nie jest na tyle zinformatyzo-
twork. Ciekawym posunięciem władz gruzińskich by- wana, aby kliknięciem zakręcić wodę w kranie.
ło przeniesienie serwerów zlokalizowanych w Gruzji
do Stanów Zjednoczonych gdzie znalazły azyl. Wraz
z oficjalnym zawieszeniem działań zbrojnych, więk-
szość stron wróciła do normalnego trybu pracy. Bar-
dzo podobnym przypadkiem jest incydent w Estonii. PATRYK KRAWACZYŃSKI
Kiedy estońskie władze prowadziły przygotowania Kontakt z autorem: patryk.k@nfsec.pl
www.hakin9.org 49
ZAKOŃCZENIE
Słowo
kończące
Drodzy Czytelnicy,
To już drugie wydanie hakin9 w nowej postaci.

Mam nadzieję, że tak samo się Państwu spodoba jak pierwsze.
W wydaniu przedstawiamy 5 artykułów oraz ciekawy wywiad.
Jak zwykle zapraszam osoby chętne do współtworzenia naszego pisma w nowej formie.
Jeżeli chcesz napisać ciekawy artykuł lub recenzować produkty to zgłoś się do nas.
Pozdrawiam
Katarzyna Dębek
Aktualne informacje o najbliższym numerze znajdziesz na naszej

stronie www.hakin9.org/pl.
Następny numer dostępny on-line

ostatniego dnia czerwca 2010
50 7/2010

Hakin9 07.2010 PL

Uploaded by

Document Information

Original Title

Copyright

Available Formats

Share this document

Share or Embed Document

Sharing Options

Did you find this document useful?

Is this content inappropriate?

Copyright:

Available Formats

Hakin9 07.2010 PL

Uploaded by

Copyright:

Available Formats

www.hakerzy.net www.ccns.pl www.antynet.pl www.hcsl.pl www.i-slownik.

Miesięcznik hakin9 (12 numerów w roku) Dział reklamy: adv@software.com.pl

Redakcja dokłada wszelkich starań, by publikowane w piśmie

MIDI ATX iBOX

Piano 3393 Recenzent

danych Program narzędziowy

Dysk twardy – budowa

Dowiesz się: Powinieneś wiedzieć:

atmosferycznym błyskawicznie doprowadzi do degra- Powyższe wymagania doprowadziły do minimalizacji

Mocne strony HDD • temperatura,

Uwaga ARTUR SKROUBA

Generator Pakietów Scapy

Dowiesz się: Powinieneś wiedzieć:

W przykładzie na Listingu 4 skorzystaliśmy z poda- Wygenerowanie grupy pakietów

Listing 2. Struktura pakietu w scapy Listing 5. Łączenie pakietów

>>> ls(ICMP) >>> p1 = IP()/p

Listing 8. Wyświetlenie pomocy dla wybranej metody

show2(self) method of scapy.layers.inet.ICMP instance

>>> r = sr1(p1) >>> i2 = Ether(dst='00:19:5b:dc:b7:ec')/i

Listing 11. Wynik polecenia lsc()

arpcachepoison: Poison target's cache with (your MAC,victim's IP) couple

Listing 12. Generowanie grupy pakietów

0006 IP / ICMP 192.168.0.124 > 192.168.0.1 2 0

Listing 13. Proste skanowanie portów

>>> for req,resp in a:

Listing 14. Podsłuchiwanie ruchu oraz mody�kacja komunikacji sieciowej

0007 Ether / IP / ICMP 213.180.146.27 > 192.168.0.124 echo-reply 0 / Raw

Listing 15. Odczytanie ruchu z pliki w formacie libpcap

Listing 16. Wykorzystanie funkcji wrpcap()

>>> pkt = Ether()/IP(dst='192.168.0.1')/ICMP()/("X"*100)

securitum-t2:~# tcprewrite --infile=to_fragment.pcap

Listing 17. Podstawowa metoda fuzzingu protokołu sieciowego

Listing 18. Fuzzing protokołu sieciowego widziany w tcpdump()

Niewielu użytkowników komputerów przywiązuje

Dowiesz się: Powinieneś wiedzieć:

Tabela 1. Rodzaje archiwów

Tabela 2. Różnice między rodzajami archiwów

Nazwa Czas potrzebny Czas potrzebny Rozmiar na dysku

Tabela 3. Darmowe narzędzia do archiwizacji danych

Nazwa Link Opis

Backup and Restore Po utworzeniu archiwum możliwe będzie w przyszło-

Rysunek 1. Ekran de�nicji archiwizacji

Rysunek 2. Parametry archiwizacji Rysunek 3. Parametry archiwizacji

nych wraz z informacjami o uprawnieniach użytkowni- • Archiwizacja pełna:

Rysunek 4. Parametry archiwizacji

Rysunek 6. Parametry archiwizacji

Rysunek 5. Parametry archiwizacji Rysunek 7. Rozpoczęcie archiwizacji.

Rysunek 8. Śledzenie procesu

ALEKSANDER TADEUSZ ĆWIKLIŃSKI

Elektroniczni detektywi w akcji

Wiedza i umiejętności informatyków śledczych, także z Polski,

Dowiesz się: Powinieneś wiedzieć:

Czym jest informatyka śledcza? kopii bezpieczeństwa. W zależności od typu postępo-

nich wniosków. Sytuację może jednak skomplikować Analiza

3. Informatycy śledczy dla FBI i

9. Elektroniczne dowody fałszerstw PAWEŁ ODOR

Zdecydowana większość firm zabezpiecza swoje sieci

Dowiesz się: Powinieneś wiedzieć:

Wycieki informacji w 2009

nych, a jednocześnie umożliwić pracownikom korzysta-

Podstawowym kryterium wyboru oprogramowania

Bezpieczne pamięci USB – które rozwiązanie

Polska Adres WWW