Le informazioni di un’organizzazione possono essere rubate in molteplici modi, ma il furto di dati tramite unità flash USB è probabilmente uno dei metodi più semplici. I dispositivi USB sono fisicamente facili da nascondere e poco costosi. Quindi, durante un’indagine forense riguardo il furto di dati subito, si dovrà controllare l’uso delle unità USB nella propria rete.
Il comando PowerShell Get-WMIObject rivela tutti i dispositivi USB connessi alla rete quando viene eseguita la query 'win32_diskdrive'. È possibile ottenere il medesimo risultato tramite la piacevole interfaccia grafica di ADAudit Plus che propone una dashboard in cui sono consolidati tutti i report relativi a AD. Fornisce anche degli speciali report di “Controllo archivi USB” con cui si tiene traccia di attività come “copia e incolla”, “leggi”, “modifica” e dell’inserimento di dispositivi. La tabella qui sotto riporta un confronto tra il rilevamento dei dispositivi USB tramite PowerShell e ADAudit Plus.
Eseguire il comando “Get-WMIObject” insieme alla query “win32_diskdrive”.
Win32 è un’unità disco che il computer riconosce quando viene eseguito il sistema operativo Windows.
Specificare il “tipo di interfaccia”.
GET-WMIOBJECT win32_diskdrive | Where { $_.InterfaceType –eq ‘USB’ }
Accedere alla console web di ADAudit Plus con credenziali autorizzate. Fare clic sulla scheda “Controllo server” e selezionare “Controllo archivi USB” dal pannello a sinistra.
Questa selezione fornisce numerosi report come “Tutte le modifiche a file e cartelle”, “File letti”, “File modificati”, “File con copia e incolla”, “Inserimento dispositivi rimovibili”.
Questi report forniscono informazioni dettagliare sui file e le cartelle a cui è stato eseguito l'accesso, la posizione delle modifiche, chi ha apportato tali modifiche e in che cosa consistono.
È anche possibile eseguire una ricerca con l’uso di filtri come “in base al server”, “nome file/cartella”, “posizione”, “modificato da” e “messaggio”. Questi filtri aiutano a identificare qualsiasi evento specifico si stia cercando.
