Actualización 9-21-2013
Si aún está investigando esto o si desea volver a él, es posible que le interese escuchar el Podcast de CyberSpeak escuchar sobre la investigación de un investigador forense / firma. Le sugiero que escuche todo el episodio, pero si desea comprobar su relevancia, creo que alrededor de las 22: 00/23: 00 dicen algunos puntos que son relevantes para su esfuerzo.
La herramienta, llamada Registry Recon , es una herramienta comercial y no puedo responder por ella ya que todavía no la he usado. Perseguir eso bajo su propio riesgo; sin embargo, señalaré el punto de viñeta en las notas de la versión .
"[..] Informa sobre dispositivos de almacenamiento USB (ver cuándo se conectaron con el tiempo!) y RecentDocs"
Aclaraciones sobre la publicación original
He dejado la publicación original exactamente como estaba, pero me gustaría decir que nunca tuve la intención de criticar ningún producto comercial ni tengo la intención de promocionarme a mí mismo ni a los productos de terceros que menciono.
No me disculpo por mi sentido del humor, pero lamento la posibilidad de ofender a alguien. No es importante lo que pienses de mí; más bien es importante para mí respetar la cultura y el comportamiento de este foro. Respeto a la comunidad aquí y por eso me disculpo.
Gracias de nuevo, @Gilles , por sus comentarios.
Publicación original
Miré una oferta comercial llamada "Spector 360" que hablaba de este escenario exacto. Como puede imaginar, es necesario que los agentes estén instalados en cada computadora monitoreada. Honestamente, no estaba contento con el impacto del sistema que los agentes tuvieron en el rendimiento del sistema. La habilitación de la auditoría / registro también tiene un impacto en el rendimiento del sistema. Esto se espera de casi cualquier solución que esté disponible para abordar el escenario que está describiendo.
Antes de encontrarme con Spector 360, conocía una Herramienta de administración remota (RAT) que los criminales utilizaban en pequeña medida. La compañía que lo crea es legítima y no fue necesariamente responsable de las acciones de los delincuentes; mi punto es que hay muchas aplicaciones RAT / Spyware / Monitoring que proporcionarán la funcionalidad necesaria para lograr lo que deseas. Sin embargo, debe esperar que la fricción de AV esté instalada en esos sistemas, sin importar cuán legítima sea la compañía que haya creado la aplicación. Todos son capaces de ser utilizados con malevolencia.
En cuanto a la búsqueda forense de pruebas ... tal vez, pero eso es una posibilidad remota. Realmente no contaría con ello. Se crearían artefactos si las condiciones del sistema fueran correctas. Esos artefactos también se erosionarían de acuerdo con las condiciones, el uso y el tiempo del sistema desde el evento.
¿Estás intentando para determinar si te han robado algunos archivos o simplemente te lo estás preguntando? Si es lo último, entonces realmente debería dirigir su atención hacia las soluciones de registro / auditoría. Si su mano ha sido forzada, debe matar a quien sospeche que haya robado los archivos antes de que puedan distribuirlos / entregarlos. Empujar el suelo y las áreas circundantes al suelo daría un poco más de seguridad de que los datos robados fueron destruidos.
Por supuesto, mi última sugerencia es ilegal y solo estoy bromeando acerca de cómo llevar a cabo medidas tan drásticas. Si crees que has tenido una brecha de seguridad y quieres hablar con alguien, puedes contactarme y pasaré algún tiempo ayudándote tanto como pueda.