Top Banner
The Computer Forensics This information is provided for your review only and is not for any distribution. Any reproduction, modification, distribution, transmission, display or republication of the content is strictly prohibited ! "# $%&’$’
45

Rothke computer forensics show 2010

Nov 11, 2014

Download

Technology

Ben Rothke

Deployment Strategies for Effective Encryption presentation from the 2010 Computer Forensics show, by Ben Rothke, April 2010.
Welcome message from author
This document is posted to help you gain knowledge. Please leave a comment to let me know what you think about it! Share it to your friends and learn new things together.
Transcript
Page 1: Rothke   computer forensics show 2010

The Computer Forensics

��������������� ���������

�� ���� ��

�����������������

������������

����������� ����������������

���������

This information is provided for your review only and is not for any distribution. Any reproduction, modification, distribution, transmission, display or republication of the content is strictly prohibited

��������������������������

��������� ������� � �

�!"��# ���������

�����$%�&'$'

Page 2: Rothke   computer forensics show 2010

��������

������ ������������������

���������������������������� �����������������

������������������� !""���#���$��%��������������������� !!&

'��(�����)��������#��*�����

��� ���+ �������������� ������������� ����� �����������

,�����)+-���.

2

Page 3: Rothke   computer forensics show 2010

/������)

0����*������������������������������%*��1�%�� �%��������#�

��%����� ����

2�����������$��������*�����*��3��%���(��������������������

��#4��������������������������� 5��

0$$������������*�������(�������������������#�������3��#�#���3���

��%����#�)�� �3��#�*��6����%���3�%������#�#���%��������

2���������*�����������3��%������$������ ��

� � ������������%�����3���� ������(���������� ��������%%�������������%�7

3

Page 4: Rothke   computer forensics show 2010

��8��9: :�� ; ���8��� ��0����*����<

���������+�������� ��3�%����� ������*+3�*����������

������������� �$����������*����#��������������%���3�%�����

#���%����������*�������������7��

�������3���=��������������(����#�����������1*������

� ������#�%������%����������������������*�����$��%�����3�

���(������

�##���*��������3��$���������#�$��������*�����#�*���%����

������3���

4

Page 5: Rothke   computer forensics show 2010

0����*�����������3�����>���������*�

7 5�$�����������(����%����

97 ?��)�) �������������������#��������#��

>7 �������#������#��%*��%���������*����

; ����%*��%�����3�����������*�����������3�����%�%����� ���

��$��%�����������������������������������������

5

Page 6: Rothke   computer forensics show 2010

��*����������*�������3 �%������������

���#���!���� ��#�����*�����������#�����0/

� @�%������$�����3�����%����������$������3������*����

���#��� ����� �0/������%�������/

���#���@����� ��/������%��������/

���#���9���� ���/������%��������$$

����#���� ;�� �������� ��������/���������$�����������%���3��������#��������*������(��*%��������

� ���#���+ ������������%��*��#���)��#������#���3 ������������34���$�3����3������*����� ��#)������#���$�)���

��1�%��� ��������� ��%*�����#��������)�� ���3��#���������*���������%���3�%���7���0/������%�������/��) ��$������ �����/7

@�1��#���� ������%����/����������%����3��������*�����)�����3����� ��)�����#

6

Page 7: Rothke   computer forensics show 2010

0����*���������������������

�� ���

5������**��3

�������#����3

����������*�

�%*��%��������

����3�%���

��#��

���������

5�$����5������

5����������$�������

�������5�$�������

������

���� ��������• �������• ��� �����• ��3��������

��������

���������

7

Page 8: Rothke   computer forensics show 2010

0����*������ �����3��

/*������3������%����#��**������������#���� ����8��%�#�����

�������#����%���������%*��%���������*����

� A�����$���3������**���

A�)�43��#��������$�������$��������$�������*����#���$$�������

3��#�����

'�������$�)���%*������ ���������*�����*����������#4�����

$��%��������*�����������3�

������4����$��%����

� B*+$�������#���+3���3�%����������������

� ���$��%����� ��

� �##�#���� ���������$$

8

Page 9: Rothke   computer forensics show 2010

(�������

����(�������

)"��������

� ������ �

�� *�� �*

(�����

���� *���

�� ������

� ��� *

�� �* ������������������� ���

0����*������ ��#�����+�#3�#��)��#

9

Page 10: Rothke   computer forensics show 2010

��%%��������*�����#�*���%����%��������

7 � �����3������*�����������

� -��#)����������

� �����3������*�����)����������

97 ����3���������#������������

� C��#��������� ��#)���4��$�)���

� 2������#���(����%����

>7 @�������3������*�����������#������

� �$���8����*������������� ���)�����3����43�������#���7

&7 @���3����3�����3 ���%�����#���3�4����

� 0$$������������*���������+������������%�

� ��(�������3��$������#������

� +� � �,� �����-

10

Page 11: Rothke   computer forensics show 2010

5�����3�)�� ����#���

; �������#������ ��*��6���

� 2���#�$����� ����(����%����

� ��� ����� ���������

� C��#����*����#��������*���������4�����������

� C��#�����*��������������������

� ���6����������#�

� �����������3 ��������� ���1*����

� � ��������1*����#����*���������$���

� ��� �*������������*��#���

� 2���#��8�� ��������������1*�������)�����3�)�� �� �%

� ���6����$����

11

Page 12: Rothke   computer forensics show 2010

0����*�������#�� ����� ���������#�����#����*�����*���#�1

�������� ����� ����%���������� �� ��$���������)�� ����*��*���

�������3�$���� ����*�������� �������#�����������$��� ������*������

)�� ������������ �� ��$���

'���$���#�� ���)�� ����*��*����������3�$���� ��*������) ��$���

� �%����� ���������#�����#����*������#��8���#��������$����������

����*��������� �����3���� �����#��+*��*���#�*������%�3 ������

����(��**�#���� ��#��

0����*���������1����������������

+� �� ��� �#�� ���* �*���� ��*.

12

Page 13: Rothke   computer forensics show 2010

0����*�����������3�

��� �%�������$����*��3��* ���� ���������������

� ���%������*������$���$��%������������������%*���������#���#����������D

���#���%*�������������������%*����������������#��������#�3��#�

#���3�����%����#�)�� ��$$�������*��6����%���3�%���

0����*�����������3��%������$������ ��

5�$����) ������#���������##�����#����� �������*����������*�����

������3�

� @������������)�������#������*������������� ������#

� ������������#�������#����%���#�$�����������) �����(�����������*����

� ������$��%������3���3������� ��������������������������������#�

13

Page 14: Rothke   computer forensics show 2010

A�*��*������*����

5�������������*����

@��)���������*����

�%�������#�

������������*����

;�������������*����

�%����* ����

���#4���#4�� ���

� �**��������������*����

� �����3�������*����

� �5��

� B�

� '��**���4�5+�/�45C5

� 0%��3��3���� ����3���

; ���� ���#�� ��������3�������#�<

14

Page 15: Rothke   computer forensics show 2010

������3��*�������=�����

��������=������#�����*���$�����(����%�������#���%*�������3�

��������

� ������)�� �����%*������ ������#�$������#�������#�������������*��#��������

� ����������*���$�����(����%������������*��� ���#������

� �#����$�� �3 +���������������) ���������*���3�#����)����������#�������

B��������������*������*�������=�#������*�����#�*���%�����%���

#��%���� ��%�� ���3��#

� $������������$���������

� ��������#3����)���$��%�%����*������3������*�������(����%����

� �����������#%���������������#��

� �����#������$�������)��#���

15

Page 16: Rothke   computer forensics show 2010

�������������

0���������������������*�����������3����#�*�����

� ��������)�� ���#��������������������*��������<

0����*�����$��%�)�������*����<

������������*����<

5�$����) �����3���������%���������%*���#�)��

5���%�����������������*����� ��#)����4�

��$�)�����������%���

Define Drivers

Data Classification

Policy Definition

Policy

16

Page 17: Rothke   computer forensics show 2010

�����=������������*��������#�

��������#����$��%��������#��1*�����

������������������� �������%������$<

5������$�)�������#������������ ��$������$���������*����<

5���������������*����#���������<���) ���%����<

-�)�%�� ���������#����������*�����<

-�)������3�#����� �������*��������#������<

5���������#����%��� �� ��������������� �� ��#)���<

��3������������������������3���=��������*�����

��� ����/ ������ �������-

17

Page 18: Rothke   computer forensics show 2010

; ������������������*����������$��%<

C�@������������

��A4�A�

�?�4�#�

B���+3�������#�����

'���������%������*����

� ��#�*������

������#�����$��%���#����,���.

� ������������)��#�����*����#���*��*�

18

Page 19: Rothke   computer forensics show 2010

�������

� �����%��������

� �������������*��*����

��� �����

� �0����������A����������7

� ������������%������#������

��3�������

� ����4���E�4�0B���������#���������4���/+ FF!!

� ������#��������� ���)�

@���G�?��*���)�#���*����������%��#�) �����%*����3�

)�� ��*���$���%��#����

Define Drivers

Data Classification

Policy Definition

Policy

5������

19

Page 20: Rothke   computer forensics show 2010

5���%�����������#�*�������

0����*������ � �����**����#����*���������

#���%�����������#���$��%��������%���#������

%���3�%����*��3��%�

� � �)��)�����#�(�������*�����#���#���*������#

� 5�%�������������������������������#��#���#���������#

�������%������G

� 0�#����#����%���3�%���

� ��%%�������#������#+��������#����������*��������4�>�#+*�������

� ��� ��#�������������#���7��$����8��%������%*���8��*���������

#��8��3�������������������#����

0����*��������*������������ ���#����$�1�#�)�� �

�����(�������$��������%*������

Define Drivers

Data Classification

Policy Definition

Policy

20

Page 21: Rothke   computer forensics show 2010

0����*�����*��������

0����*����������*����������������

��������)���+#�$���#���#�#���%����#

�$������%*��%����#���#����$�3���#�*��*������

���������������%�*��$��%�����#�3��#���������

�*���������� ��#���

�%*��*��������$�3���#������*�����*���������

3����$������������$���������

� �����*������ ������$�#�����������$�������������$��%���������

*�������#�) �����8�����

Define Drivers

Data Classification

Policy Definition

Policy

21

Page 22: Rothke   computer forensics show 2010

5����������$�������

�����#���������)�� ���$��%���������3��#����������+

������#���$��%������ ��#���3

��������%�������3��)�� ����������*��������

������$�����������#���%��

� � ��3������#������6�����%����$��%������������������ ��

� � ��3���������������������3������������������#��1�������$������� ��3�

� B�#������#�*���������$���� ��3�

� 0%��#��**��*������*������������%���3����

�������G�!�����"����������������������##����������

������#�������������������� #������������������ �����

���$����7

Define Drivers

Data Classification

Policy Definition

Policy

22

Page 23: Rothke   computer forensics show 2010

5����������$��������#������

Define Drivers

Data Classification

Policy Definition

Policy

0� �� �����

������

���$�#������

�������

B�������$��#

0���� �����

� ��*�������

� -�3 ������$�#������

� ���*�������

� ���������B���/���

� ������

� ��%*��������#������������� ����3������������� ����������*�������*��$��%��������������������������������������������7

23

Page 24: Rothke   computer forensics show 2010

0����*�����������3�

�#����$������%�� �#���$�#������*��4���*��

�����3��%�#��

��������*����������#��� ���� ��#�*������

�**����������3�����������#���)�

-�3 +����������

� A�*��*�

� ;�������

� 5���������*�

� /� ���

Strategy

Data Mapping

Risk Modeling

Control Gaps

24

Page 25: Rothke   computer forensics show 2010

5����#��������

�#����$��*���������) ����#������������#���#�����#����$��)�

�����%�)�#����#����$�����#������*���������

� ��3��$��������#�������3�$������3�������*�����

� �����������������%��� �

��(����#������%*���)�� ����<�

� ���$��%�������������������3����+*�� �����#�#���

� ��������������)�#����$��)��)�� ����/���**������������$��#�$�����) ����

���������$����#��)�*������)������

� ������%*����������$$�� ���#����)����������#����$�������#�����$��� �������

����������3�$����������#���

� �����$��������������� ��� ����$����,���+*���������#.����)��������) �� �

���#�#�������������8����3%����#�$��%�������$����)���

25

Page 26: Rothke   computer forensics show 2010

5���+$��)�#�$�������

26

Page 27: Rothke   computer forensics show 2010

��(����%�������������

5�$����������������� ���������#��*����������

��(����%�������#���6��������$��������*������

5�$����*������������ ������������#����*���$������*�����

��(����%����

���#������������)��������)�*������#���%�����������=��

����������#�*��*���#������*�����������3������#����$��

*�����������������3�*�

5����%���������������

��������(����%�����#�$��������#����������������������

�������$��������*�����*��3��%

Strategy

Data Mapping

Risk Modeling

Control Gaps

27

Page 28: Rothke   computer forensics show 2010

A�3���������%�

�������3���������%������#���3��#�$��������*�����

A�3���������*������*�����

� �����$�����3��**������������� ��������*�������������+�������**���������$��������

� B���3������*������**�������� �����������)�����**���#�#��������

� /$$+���#��3������*�������������3��%�� ����%����#�������

-��#����*���$��%�� ��4&::

28

Page 29: Rothke   computer forensics show 2010

5���������*��#�������������

� '�����*���������������$�#������������

A������� ������$������*��#�#��������3��������*��#��

����#�����������%����������

� �$��������*��#�������*��������#������������#����

������3��$�����������������*��������3����� ��#

��(�������##��������*��������3�*�)��4�1*����

-�3 ������������#�)���+�����#�����������#����$����

A��3�+������#���������*��������������)���#����#��%*����

*��$��%����

C��#���G��������$���� �����������������������*�

Implementation

Management

Audit

Deploym

ent

'���+#����4� ���+����#������*�����,�������.

29

Page 30: Rothke   computer forensics show 2010

5����������� �����������*��#��� ���3�������#�#�����#�

�**�������$��������*����

�$���������*������#��������������)������������3��

#�����

�������������%*��%���

�����������������*���

������

@�������������������

���#�(�����$�1

� $����1��������#���������3�������*�������������#�%���3�%����

��%*��1�����$������*���3���+���#����������������3��$�������

C��#���G�@���**��� ����4���* ��

Implementation

Management

Audit

Deploym

ent

�**������+����#������*����

30

Page 31: Rothke   computer forensics show 2010

�����3��#�����������*����

5���������%����#��������*��#���������3��#�����

0�����������3�������������1�����3������*��������%����

��**�������+#����������%���3�%���

0��������1*���������*��#�#���������*�

0��������%*��%������#�����+�$$������

���������#�������������#���� ���#�#������������*���3�

���3��(�����������$�#����$��������*����

A��3����%������$�#��������������%���3�#�$��%����3���

����%���3�%����*���$��%

C��#���G�0��������-���� �

Implementation

Management

Audit

Deploym

ent

31

Page 32: Rothke   computer forensics show 2010

��*�+����#������*����

5����������������*��#������*��#����

��������������������

@��*��$��%�����*������

0��������%*��%���

�����%��������3����������#������$��������������(����#�

�����$��%����������������������������� ���=�#�*������

�����#���*����������$��%���� ��$$�������#���+*��%����

��$��%����������

0��������������� �*%�����$�#����

����)����������������$���*��

C��#���G�� ������-�����������#���@���**

Implementation

Management

Audit

Deploym

ent

32

Page 33: Rothke   computer forensics show 2010

5�������������*����

5��+����#������*����������������) ��������*�����

�������#���������*��#���������#�����5�����������#��� ��

5��*�������#�����������5�������������������

B�����) �� �������������3 �����������*��#�#�����$����

�������������3 �����������*��������

� ��������������������������������������������*��#���1��������*�����#�$��%�%��������#����*����

�����#����8��*����#���#�(������������3����%��������3�

�$����*�����������������

Implementation

Management

Audit

Deploym

ent

33

Page 34: Rothke   computer forensics show 2010

5�������������*����

����*�����

A������%*��������**

����������������������+

�����*��������������#����

#�������������

���$��%�����#�3��#�����

�����*�������������##��������

��#)������(����#���737��-��

1 ��*�����

��%������%*����������

���� ��#�$��%�5�����#�

�**����������������

��*�����������*��#�#����$��%�

�����*��#����

��%%�������������� ��#

������#%��������%�����������

34

Page 35: Rothke   computer forensics show 2010

?�������3�%����,?�.

������������#������������������3��������������#�#������������$�

�����*���������

0����*��������!:H�%���3�%����I�*������� :H���� ����3�

����������*�����$��������#���������$$�������?��*��������

":H��$�99�����������3�*����#�����������#���������*���������

������?�

0$$�������?��*��������#�#���3����(��������3��$��������%����#�

�$$���

35

Page 36: Rothke   computer forensics show 2010

;�� ���%%���������*��3��* ��������%�����$��������������������%�����$��������(����#�������������*�#���

'���3���*��$���������� �������#�������� 49�,�9 + �.������$�����������%%����������

�����%�����$�*�������,�.��������������%�����$���%%���������������%�������������������3��$���*������������

� � � �� � �������� ���������������� � ������

� � ������� �

� � ������� �

�� � ���������� ��

��� � �������������� �����

���� � ������������

������

�������

� ���9�������%

36

Page 37: Rothke   computer forensics show 2010

?���%���3�%����(��������

-�)�%���������#���������#<

; ������������������#<

; �� �����������������<

-�)�)��������%���3������<

-�)�)��������*����������������������*���������<

-�)��$����� ���#������� ��3�<

; ����$����������������#�%�3�#<

-�)�%�� �����%���3�%�����������3�)����)�����#<

-�)�������#����������������<

37

Page 38: Rothke   computer forensics show 2010

��(����%����>7J

� ������������$������3�����

� �����������#�����������

� �����#�������� ��3��

� 5������������$���#�����

� 5�������������$�����

� ��*����%�����$���%*��%���#�����

� ?�������������

0������3������ ������(����%���������%���$���%����*���

�**���������������������) ��%��37

����5�������%���3�%������(����%����

38

Page 39: Rothke   computer forensics show 2010

?�������3�%���

?����%������������������$���� ��#��������������������

� �$����������������� �3 ���������$���%*��%����

�����������

� /���3������ �������%�)����*����������������$��%�$���������3

��������=�#�����%���3�%����

� ���� ��*���%*��$������%���3�%����$���%����*����**���������

39

Page 40: Rothke   computer forensics show 2010

?���3������������#�#����������

����������

� '���� &:+9�����#���#�

���*��3��* ���%�#���

� 5�����������

������

0���������

� ����*4�������

� �*�������)��#3�

� 5����������

� 5����������

� ������3���#��$���������6�������#������#����

�������3�� �%

� ����������%����#����)�� �����������#���G

� -��#�#�����

� B�

� 0��/�

� � ��#�*������

� '����������%�����1�������#������� ��#+

��*�����$��������� ����*�*�����#����

��#)���

40

Page 41: Rothke   computer forensics show 2010

'�����#��������#��#�=��3�%���3�%�����$���%%������

�����*��������*��3��* ���������������� �������*�����)�� �����

��%%������?�������%

;�����3��������������$G

� ��%%������?�����������������*�A��3��3��,�?��A.�*��������

� �%*��%�����������#��*���������3��#�������$�������?���

� ��#���3��#�������$�����#����3�����?���

� ������*��������������+������$����?��A��%*��%����������

� )))7�����+�*��7��34��%%������4��%�4

/�����0����*�����?�������3�%������$������������,0?��.

41

Page 42: Rothke   computer forensics show 2010

'���%������$��%�����

���#������$����%*��%�����3����*��3��* ������ ��'�#�����

������%���� ��*G44����7����73��4*�����������4����*���4"::+9 + 4�*"::+9 + K5��9::L7*#$

���*��3��* ����������� ��*G44����7����73��43���*�4��4�������4��#�17 �%�

����%%��#������$���?�������3�%���� ��*G44����7����73��4*�����������4����*���4"::+LF4��"::+LF+���� 7*#$

� ��*G44����7����73��4*�����������4����*���4"::+LF4��"::+LF+����97*#$

0����*�����������3���G�� ��?����������������3�5���� )))7���7��%4�����*����4)*4�����*����K������3���K)*7*#$

42

Page 43: Rothke   computer forensics show 2010

����

43

Page 44: Rothke   computer forensics show 2010

�����������

/�3���=������ � �� #� ��� ��� �� �$$������ #���

������$�������*��3��% �������� �� �� � ���#��������*����

*��6����

�������3 �� �������� *�������� �� ��� �� � �

#�$$������ ���)��������3�����*������#����#�� $������

0����*����������� ����� � *� ��� ���**����� ��#

���2�� � � �����

44

Page 45: Rothke   computer forensics show 2010

The Computer Forensics

!������ ��0�����������3����������

'�����������#��� �)���AA���!&�'���#��������������������)�� �����:J">:�M����7G�,9:>.�JJ +&> 9�M�'�1G�,9:>.�"J!+:9">�

��$�N��%*����$�������� �)7��%

@�)�2������������$�����#��9&!+ 9�O���� ������*���������� 9L9��'������������@2� :: �M����7G�,L J.�9 J+ "J!�M�'�1G�

,L J.�9 J+ "F:�M���$�N)))7��%+��$��3��#7��

��������������������

��������� ������� � �

�!"��# ���������

#��.�����4#.���

)))7�����#��7��%4��4������ ��

)))7�)�����7��%4������ ��