Correlación de eventos

[pic 1]

Correlación de eventos

Edwin Esteban Acosta García – eacosta39@estudiantes.areandina.edu.co

Fundación Universitaria del Área Andina

Informática Forense ll – 202350 – IS - 11 - 501

Camilo Augusto Cardona Patiño

22 de Julio, 2023

Contenido

Introducción        3

Objetivos de Aprendizaje        3

Exploración en Splunk        3

Conclusiones        10

Referencias        10

Introducción

     Dentro del proceso de una informática forense, es importante conocer los eventos de nuestro sistema y a su vez saber interpretar la información y poder ir recolectando información valiosa, en esta oportunidad veremos una herramienta llamada Splunk que es capaz de traer los logs de eventos, conexiones del sistema, navegación, estimación de protocolos conociendo los hostname de los equipos que estén conectados en la red. Es por eso que veremos una exploración de la herramienta y que información se logro encontrar dependiendo de lo que hayamos configurado.

Objetivos de Aprendizaje

• Conocer herramientas que nos permitan correlacionar eventos del sistema.[pic 2]
• Interpretar la información suministrada por las herramientas.
• Conocer servicios fundamentales en los que trabaja Windows.

Exploración en Splunk

     Dentro de la recolección de eventos existen múltiples herramientas que nos son de gran utilidad para tomar los eventos que son capaces de detectar errores, conexiones no permitidas y mucho más. En esta oportunidad veremos una herramienta Spunk Enterprise, a continuación, veremos capturas de pantalla y de la misma manera su explicación de los datos que podemos encontrar.

Para empezar, tuvimos que configurar o agregar los datos que queremos ver en nuestra búsqueda la primera que se realizo fue los eventos locales, agregamos todos los objetos, como lo son los eventos de seguridad, configuración, sistema etc.

[pic 3]

En la siguiente imagen podemos ver que nos toma el hostname del equipo para poder ir entendiendo desde donde va a sacar la información del escaneo.

[pic 4]

Revisamos la configuración y damos en entregar.

[pic 5]

Podemos ver el resultado de la primera búsqueda en ella podemos ver lo siguiente:

• Hora en la que sucedió el evento
• El tipo de categoría
• El código de evento que nos sirve cuando buscamos una solución.
• Mensaje que es una manera más ilustrativa.
• Id de seguridad que lo podemos encontrar en el regedit de user.
• Nombre de la cuenta.
• Nombre del dominio si el equipo está en red.

[pic 6]

Ahora bien en la siguiente imagen podemos encontrar mas informacion al detalle, inclusive el nombre del proceso ya depende de nosotros ir conociendo que procesos son fundamentales para el optimo funcionamiento del sistema operativo o si se trata de algun archivo, o aplicación maliciosa y que comprometa la seguridad de nuestro sistema inclusive de nuestra informacion, el activo mas importante que tenemos.

...