Engenharia Social: Google SafeBrowsing como isca

O pessoal da Sunbelt publicou um alerta sobre a exploração da credibilidade do serviço "Google SafeBrowsing" pelo badware 'Winifixer'. O Winifixer evoluiu ainda mais em sua tentativa de convencimento para vender falsos programas Anti-Vírus ('AntiVirus XP 2008') para os proprietários das máquinas infectadas - desta vez se utilizando da credibilidade do Google e seu novo serviço "Safe Browsing".

Mais info sobre o Google Safe Browsing:

API: http://code.google.com/apis/safebrowsing/
Extensão Firefox: http://www.google.com/tools/firefox/safebrowsing/index.html

Mais info sobre o Winifixer:

Symantec: http://www.symantec.com/security_response/writeup.jsp?docid=2008-030406-0943-99
ThreatExpert: http://www.threatexpert.com/threats/winfixer.html

Saiu a nova edição da INSECURE MAGAZINE

Apesar do excesso de propagandas, a Insecure Magazine é uma excelente leitura, como sempre, nesta edição de Julho/2008 existem artigos sobre os seguintes temas:

• O Futuro da Segurança (informação como foco)
• Segurança do fluxo de dados dentro na empresa
• Identificação de Falhas e Análise de Risco Técnica através Modelagem de Ameaças
  
• Riscos em VoIP
• Construindo WLANs seguras por menos de 300 dólares
• Engenharia Reversa em Malwares: os dois lados da moeda.
• Soluções de segurança 'end-point'
• Hackeando Second Life
• Update OpenSSL do Debian: quando boas intenções dão errado.

Firefox 3: Novas Funcionalidades de Segurança

A Websense publicou um interessante post sobre as novas funcionalidades de segurança do Firefox 3:

• eTLD - restrição do uso de cookies a dominios unicos
  
• Anti-Malware/Phising - usando a API 'safe browsing' do Google
• Impede re-declaração de variáveis globais em javascript
• Restrição do objeto 'XMLHttpRequest' entre sites
  

Download do BackTrack 3 disponível

Lançada a versão final do BackTrack 3 - a melhor distribuição Linux (versões LIVE CD/USB/VMware) para PenTesting / Resposta a Incidentes / Forense Computacional

http://www.remote-exploit.org/backtrack_download.html

Ouça a uma entrevista com os criadores da coleção de ferramentas aqui (Max Moser, Mati Aharoni and Martin Münch)

DAM - Database Activity Monitoring

Anteontem escrevi sobre duas soluções de segurança (Web Application Firewalls e Data Loss Prevention) que se afastam do modelo tradicional de segurança de rede e se apresentam para auxiliar a proteger às camadas de aplicação e de dados - e a importância do modelo de segurança em profundidade para aplicar adequadamente os esforços dirigidos ao complexo trabalho de controle das informações críticas dentro de uma empresa.

Ficou faltando citar as diferentes soluções existentes para monitorar/auditar / proteger a atividade ocorrida no nível de Bancos de Dados (DAM). Vamos lá:

Foi divulgado pela Securosis / Sans Institute um excelente estudo das soluções existentes de Monitoração de Atividades em Banco de Dados, nomeado "Understanding and Selecting a Database Activity Monitoring Solution" (PDF).

O documento foi escrito por Rich Mogull, antigo VP de Pesquisas do Gartner, e é patrocinado pelos principais vendors deste nicho: Guardium, Imperva, Secerno, Sentrigo e Tizor.

Segundo o paper, as soluções de DAM - ou de "Monitoração de Atividade em Banco de Dados" têm cinco principais características (além de tirar dos ombros dos Banco de Dados o pesado trabalho de auditoria):

1. capacidade de monitorar e auditar independentemente toda atividade em banco de dados, incluindo atividades do administrador, registrando as seguintes transações:

• DML - DATA MANIPULATION LANGUAGE (SELECT, UPDATE, INSERT). - sempre.
  
• DDL - DATA DEFINITION LANGUAGE (CREATE, ALTER, DROP) - sempre.
  
• DCL - DATA CONTROL LANGUAGE (GRANT, REVOKE) - sempre.
  
• TCL - TRANSACTIONAL CONTROL LANGUAGE (COMMIT, ROLLBACK) - às vezes.
  

2. capacidade de armazenar as atividades seguramente fora do BD monitorado.

3. capacidade de agregar e correlacionar atividade de multiplos e heterogêneos DBMSs (Oracle, Microsoft, IBM, ...).

4. capacidade de enforçar segregação de funções em administradores de banco de dados. Semdo que a auditoria deve incluir a monitoração da atividade do DBA, e a solução deve se proteger de possíveis intervenções do DBA como manipulação ou alteração de registros e atividades gravadas.

5. capacidade de gerar alertas baseados em violações de políticas, com a capacidade de monitorar em real time regras pré-configuradas - o que pode ou não ser acoplado perfeitamente com uma solução de SEM/SIEM - Security (Incident) and Event Management - para atender os requisitos internos e auditorias SOX/PCI/etc.

Sobre SIEM... fica para outro post =)

Assinaturas/Regras não bastam - caso prático

"Para um device de segurança (IDS/IPS/NBAD) ser capaz de detectar sem falsos positivos/negativos as possíveis variações de ataque que exploram a vulnerabilidade crítica Windows divulgada em 10/06/2008 [ MS08-033 (DirectX / AVI,MJPG) ], serão necessárias 1,065,151,889,408 - mais de um trilhão - de regras/assinaturas - apenas para esta vulnerabilidade." [ tradução livre ]

Segundo a Breaking Point, Estes ataques podem ser produzidos via oito 'strikes' ms08-033 que serão incluídos no próximo StrikePack" - mais info...

DLP e WAF, porque é tão difícil / Segurança em profundidade

Existem dois 'security buzzwords ' que estão em voga: WAF - Web Application Firewall e DLP - Data Loss Prevention.

Ambos se afastam da visão de proteção da segurança de rede no perímetro: Firewall, IDS/IPS e se voltam para onde as informações críticas - e vários ataques de grande impacto - verdadeiramente se encontram, nas camadas de aplicação (WAF) e dados (DLP).

O maior benefício inicial em utilizar ambas as tecnologias é o auxílio que elas podem trazer à maturidade da cultura de segurança na empresa, pois elas lhe forçarão a encarar alguns sérios problemas de segurança que talvez estivessem passando despercebidos.

É um desafio grande implementar com sucesso tais soluções em ambientes complexos, e a maior dificuldade está em conhecer/ classificar / controlar profundamente as alterações em suas aplicações e dados críticos para que você possa ter o conhecimento necessário para utilizar todo o poder destas ferramentas, conforme o visionário Dan Geer coloca (citado por Jeremiah Grossman) [tradução livre]:

• Se você não sabe nada, 'permit-all' é a única opção.
• Se você sabe algo, 'default-permit' é o que você pode/deve fazer.
• Se você sabe tudo, somente aí o 'default-deny' se torna possível

Seguem alguns links de vendors de DLP/WAF :

- DLP (Verdasys, Symantec/ex-Vontu, TrendMicro/ex-Provill, IronPort)
- WAF (Citrix/ex-Teros, NetContinuum, Imperva)

Veja alguns exemplos recentes da dificudade em implementar com sucesso tais soluções:

Por mais investimento em segurança / classificação de dados / controle de material confidencial que os governos façam, isto não impediu que recentemente projetos americanos de ogivas nucleares fossem parar em notebooks de contrabandistas suíços (Reuters) ou dados de inteligência - obviamente secretos - sobre a rede Al-Qaeda fossem achados em um ônibus na inglaterra. (BBC) . Aqui, além do DLP- que poderia indicar/evitar o vazamento destas informações, deveria ter sido utilizado o 'full disk encryption' - uma tecnologia que possui boas implementações gratuitamente - que evitaria o impacto na confidencialidade das informações.

Pelo lado das soluções de WAF - como comentei ontem, foram encontradas dezenas de falhas exploráveis de Cross Site Scripting em sites importantes do governo americano (incluindo a CIA e a NASA), possivelmente uma solução de WAF bem implementada evitaria que a maioria destes sérios problemas chegassem à mídia.

Como sabemos nenhuma solução é panacéia, e poucas destas darão conta sozinhas de uma simples faceta da segurança da informação. para proteger o investimento ao escolher e utilizar as tecnologias apresentadas pelo mercado em ambientes complexos, uma visão clara de "segurança em profundidade" (ahá, entendeu o motivo do cebolão esquisito aí em cima) é fundamental, e isto inclui (re)conhecer os riscos não mitigados particulares ao seu negócio.

Falhas de Cross Site Scripting em sites do Governo Americano

Hoje a Wired Security divulgou uma lista com vulnerabilidades de Cross Site Scripting (XSS) em sites governamentais (47) e militares (8) americanos.

Publicaram inclusive um "Top 4":

• Place 1 goes to: cia.gov
• Place 2 goes to: gmao.gsfc.nasa.gov
• Place 3 goes to: cdmrp.army.mil
• Place 4 goes to: www.onr.navy.mil

Interessante o "Disclaimer" postado juntamente com os exemplos de exploração das vulnerabilidades nos sites - em que é clara a intenção de manter o espírito "full disclosure" e ao mesmo tempo tenta-se fugir da responsabilidade / diminiuir a gravidade da divulgação pública das falhas (grifo meu):

"All shown vulnerabilities can be found by using the corresponding web site in a legal way. All links are published for educational purposes only and not to harm anything or anybody. All used techniques are well known for many years and can be considered state-of-the-art. Though it is obvious, that the shown vulnerabilities can be used for fraudulent purpose anonymously."

Para detalhes técnicos sobre XSS, sugiro o tópico na OWASP e o FAQ da CgiSecurity.

Wargaming na Intel

Richard Bejtlich apontou um interessante artigo na revista Intel Premier IT Magazine chamado "Wargaming - How Intel Creates a Company-Wide Security Force". (para baixar o pdf, é necessário um rápido registro no site da Intel).

Trata-se de um exercício interessante que é feito pela equipe de segurança com os funcionários da Intel, que envolve cenários hipotéticos (cuja viabilidade traria um grande prejuízo à empresa) como:

• Funcionários insatisfeitos tentando roubar informações
• Crime organizado tentando descobrir a data/local de entrega de produtos valiosos
• Espionagem industrial frequentando cybercafés populares entre os empregados
• Empresas rivais buscando conhecer os futuros designs secretos de chips da Intel

São utilizados facilitadores na exploração destas questões, com grupos de 10 empregados de todos os níves hierásquicos, oriundos de equipes variadas como RH, TI, Vendas, etc..

Um detalhe interessante é que as pessoas tendem a não querer informar as falhas que conhecem por acreditarem que terão que corrigí-las, mesmo não sendo responsáveis por sua existência. Esta situação é tão comum que inspirou a tirinha do Dilbert no ano passado, que reproduzi acima ...

O WarGaming é um excelente aditivo à Pen-Tests e tradicionais auditorias de segurança: (Tradução livre do texto:"Auditorias de segurança são limitadas à experiência do auditor, que pensa como um defensor, e não como um atacante, e cada vez mais os testes de segurança afunilaram seu foco para ataques remotos em redes e servidores".). Por isto os vetores de ataques surgidos durante o "brain-storm" dos WarGames da Intel podem ser tecnológicos ou não.

Vejo o exercício de WarGaming como uma excelente oportunidade para as empresas de reconhecimento de ameaças - baseado no conhecimento de partes do negócio de seus próprios funcionários - e é especialmente eficaz em empresas que já possuem um plano de Conscientização de Segurança em curso e possuem um Grupo de Segurança e/ou Risco com boa visibilidade na alta administração. O objetivo final é tratar com seriedade as ameaças apontadas e o maior benefício óbvio é o aumento da cultura de segurança corporativa.

Criptografia forte - dos dois lados da guerra

Recentemente o governo da Índia informou que pode quebrar a criptografia utilizada pela rede BlackBerry, caso a empresa RIM não a auxilie à interceptar estas comunicações. Oficiais indianos chegaram a sugerir que a empresa diminua de 256 bits para 40 bits a criptografia AES utilizada. O objetivo é possibilitar a interceptação das comunicações, na luta contra o terrorismo.

Do outro lado da moeda, hackers russos que há tempos desenvolvem malwares do tipo 'ransomware', em sua última versão do GPCODE (.ak), aumentaram a criptografia dos documentos dos usuários afetados para 1024bits RSA, o que dificulta enormemente a sua quebra e certamente auxilia o seu criador a alcançar seu objetivo, que é receber um resgate em dinheiro (US$300) para somente aí enviar a chave privada de descriptografia e passphrase para que os documentos (todos .doc, .pdf, .xls, .ppt, ... encontrados no HD da vítima) possam ser recuperados.

Vejam a chave pública RSA utilizada pelo malware, segundo análise da empresa de Anti-Vírus Kaspersky:

Key type: RSA KeyExchange
bitlength: 1024
RSA exponent: 00010001
RSA modulus:
c0c21d693223d68fb573c5318982595799d2d295ed37da38be41ac8486ef900aee78b4729668fc92
0ee15fe0b587d1b61894d1ee15f5793c18e2d2c8cc64b0539e01d088e41e0eafd85055b6f55d23274
9ef48cfe6fe905011c197e4ac6498c0e60567819eab1471cfa4f2f4a27e3275b62d4d1bf0c79c6654
6782b81e93f85d

Não são muitos usuários afetados - ainda - por este tipo de ataque de extorsão, e a Kaspersky e Bruce Schneier já chegaram a (óbvia) conclusão que quebrar esta criptografia não é tarefa simples, mas ainda há uma luz no final do túnel: como o GPCODE.ak somente apaga os documentos originais (ou seja, ainda não faz file wiping nestes) é possível sua recuperação com o uso de softwares de forense computacional, como o PhotoRec (GPL), e um utilitário feito pela Kaspersky chamado 'StopGpcode' (Free).

Incidentes de Segurança - O que os causa e como evitá-los ?

[ Update - 19/04/2011 ]

A Verizon Business acaba de divulgar seu último relatório "2011 Data Breach Investigations Report":

http://www.verizonbusiness.com/resources/reports/rp_data-breach-investigations-report-2011_en_xg.pdf

Leitura recomendada!

[ Post Original - 14/06/2008 ]

Na maior análise post-mortem de incidentes de segurança que já tomei conhecimento, foi publicado um interessante estudo da Verizon RISKTeam que mostra - entre outras coisas - que dentre os 500 casos de intrusão analisados por seu time de forense computacional nos últimos 4 anos:

• 87% foram considerados evitáveis através de controles tradicionais
  
• 85% foram "oportunistas" [ não foi um ataque direcionado à vítima ]
  
• 83% não tiveram alta sofisticação técnica
  
• 75% não foram descobertas pelas vítimas
  
• 73% foram causados por atacantes externos. [ mas os internos tiveram maior impacto ]
  
• 22% (apenas) envolveram exploração de vulnerabilidades

O RISKTeam sugere que sejam priorizados os seguintes esforços para mitigação dos ataques:

[ Fazer "o trabalho de casa": tecnologias que você já possui mas sabe que precisa melhorar: ]

• garantir/melhorar que os controles essenciais estão estabelecidos. [ BACKUP/FW(+WAF)/IPS/IDS/AV/Hardened Net & OS ]
  

[ Novas tecnologias, que exigem um maior grau de maturidade de segurança: ]

• melhor controle dos dados críticos (encontrar, classificar e rastreá-los) [ s.s : DLP ]
  
• monitoração de logs de eventos [s.s: SIEM]

É apresentada uma interessante análise sobre as razões e motivações do "CyberCrime" em comparação com os crimes tradicionais:

• Maior campo de exploração- sistemas vulneráveis podes conter informação de dezenas de milhares de vítimas
• Menor resistência das vítimas - quando explorados, sistemas normalmente não reagem e muitas vezes não registram o que ocorreu
• Sensibilidade baixa - é comum que demorar semanas ou meses até que o responsável saiba do comprometimento de um sistema. Isto permite ao criminoso buscar informações valiosas por um período longo.
• Facilidade de fuga - caso haja indícios de que sua intrusão foi descoberta, é significantemente mais fácil para o criminoso cibernético desaparecer [além disto, é certamente mais fácil para o atacante esconder os rastros e muito mais difícil a identificação da real origem de um ataque, e em muitas vezes, quando a origem é identificada, esbarra-se em barreiras transacionais de troca de informação para investigação / julgamento ]