Contraperitatge: accés no autoritzat a un ordinador i a un servidor?
Revisió tècnica d'un informe previ que apuntava a un accés indegut a l'ordinador d'un treballador i al servidor d'una entitat.
Context
Una entitat esportiva sospitava que, en una franja horària concreta, algú havia accedit sense autorització a l'ordinador d'un treballador i al servidor on hi havia el programa de gestió de socis i comptabilitat. Hi havia un primer informe tècnic que ho donava per fet.
Què se'm va demanar
Comprovar si hi havia indicis tècnics sòlids d'aquests accessos i revisar les conclusions de l'informe previ.
Com es va analitzar
- Examen in situ de l'ordinador i del servidor.
- Anàlisi del Visor d'esdeveniments de Windows (sistema i seguretat) filtrant per la franja horària, amb els identificadors d'inici de sessió correcte i fallit.
- Revisió dels accessos per escriptori remot (Terminal Services) al servidor.
- Contrast punt per punt amb les afirmacions de l'informe previ.
Conclusió de l'informe
No es van trobar indicis suficients ni concloents d'accés, ni legítim ni no autoritzat, a cap dels dos equips en la franja investigada. L'accés remot al servidor era tècnicament possible, però molt poc probable en aquelles condicions.
Què en podem aprendre
Una sospita no és una evidència. Els registres del sistema operatiu permeten confirmar o descartar un accés, i un contraperitatge ben fonamentat pot evitar una acusació injusta.
Servei relacionat: Peritatge d'incidents de ciberseguretat i frau informàtic
Cas anonimitzat. Les dades personals, les parts i les referències del procediment s'han omès o modificat per preservar-ne la confidencialitat.