Fuite d'information - inforensique : traffic Dropbox

La lutte contre la fuite d'information n'est pas quelque chose de simple. De nombreuses solutions existent, certaines gratuites et bien connues.

L'idée ici est de faciliter le travail des admins ou ingénieurs sécurité dans leur surveillance du traffic réseau, dans le cadre de cette lutte contre la fuite d'info. Pour le cas présent, il sera question de DropBox.

Il faudra bien évidemment ensuite déterminer si l'usage de l'outil est légitime ou non.

Voici donc des requêtes caractéritisques de la connexion à un espace Dropbox, que vous verrez par exemple sur un proxy type Squid3 :

- en HTTPS :

CONNECT client51.dropbox.com:443 

CONNECT client88.dropbox.com:443

Apparemment le nombre après "client" change dans le temps, sans que ce soit itératif, et varierait entre 10 et 99.

Mais aussi :

CONNECT d.dropbox.com:443

CONNECT client-lb.dropbox.com:443

CONNECT www.dropbox.com:443

CONNECT dl-client977.dropbox.com:443

CONNECT dl-debug18.dropbox.com:443

- en HTTP :

Nombreuses requêtes de type  GET http://notify7.dropbox.com/subscribe? 

Comme tout outil de ce type, rappelons que Dropbox peut faire le pont entre machine pro (à l'intérieur de l'entreprise), machine perso (à la maison), machine presta (en vadrouille), etc.

Bonne surveillance :)