{"id":228096,"date":"2018-01-24T11:11:49","date_gmt":"2018-01-24T10:11:49","guid":{"rendered":"http:\/\/securite.intrinsec.com\/?p=3724"},"modified":"2018-01-24T11:11:49","modified_gmt":"2018-01-24T10:11:49","slug":"coriin-2018","status":"publish","type":"post","link":"https:\/\/www.intrinsec.com\/en\/coriin-2018\/","title":{"rendered":"CoRIIN 2018"},"content":{"rendered":"

[et_pb_section admin_label=\u00a0\u00bbsection\u00a0\u00bb]
\n\t\t[et_pb_row admin_label=\u00a0\u00bbrow\u00a0\u00bb]
\n\t\t\t[et_pb_column type=\u00a0\u00bb4_4″]
\n\t\t\t\t[et_pb_text admin_label=\u00a0\u00bbText\u00a0\u00bb]
\n\t\t\t\t\tCela devient une tradition ; chaque ann\u00e9e \u00e0 la veille du FIC se tient la Conf\u00e9rence sur la R\u00e9ponse aux Incidents et l’Investigation Num\u00e9rique (CoRIIN). Retour sur les trois pr\u00e9sentations de l’\u00e9dition 2018 que nous avons le plus appr\u00e9ci\u00e9es.<\/p>\n

Full packet capture for the masses<\/h1>\n

Xavier Mertens<\/a><\/p>\n

L’orateur pr\u00e9sente son traitement de la probl\u00e9matique \u00ab\u00a0comment mettre en place une infrastructure de capture r\u00e9seau ?\u00a0\u00bb en respectant quelques contraintes, notamment d’employer des solutions ouvertes et multiplateformes.<\/p>\n

Il s’est appuy\u00e9 sur Moloch pour l’indexation et la visualisation des flux, tcpdump pour la capture et Docker pour assurer l’aspect multiplateforme et la facilit\u00e9 de d\u00e9ploiement. L’architecture finale reste relativement simple, elle s’appuie sur un conteneur \u00ab\u00a0indexer\u00a0\u00bb portant Moloch, et un ou plusieurs conteneurs \u00ab\u00a0sensor\u00a0\u00bb portant tcpdump et un service SSH configur\u00e9 pour d\u00e9verser les captures dans l’instance Moloch.<\/p>\n

Les configurations Docker sont librement accessibles sur GitHub<\/a>. Le conf\u00e9rencier a par ailleurs post\u00e9 son propre compte-rendu de l’\u00e9v\u00e9nement (en anglais) sur son blog<\/a>.<\/p>\n

Analyse des jobs BITS<\/h1>\n

Morgane Celton et Morgan Delahaye, ANSSI<\/p>\n

BITS, ou \u00ab\u00a0Background Intelligent Transfer Service\u00a0\u00bb est un composant de Windows permettant de g\u00e9rer des t\u00e9l\u00e9chargements de mani\u00e8re asynchrone. Il est notamment utilis\u00e9 par Windows Update, avec la caract\u00e9ristique de rester au possible transparent pour l’utilisateur au niveau de la consommation de bande passante. Sa discr\u00e9tion le rend int\u00e9ressant pour les malwares cherchant \u00e0 dissimuler leur activit\u00e9, il est alors important de tenir compte de l’activit\u00e9 de BITS lors d’une investigation num\u00e9rique. Quelques possibilit\u00e9s :<\/p>\n