Tipos de Monitoramento de Segurança de Rede

Antes de iniciar este post, gostaria de retomar uma discussão frequente e uma resposta que tenho a esta questão: "O que uma empresa ou órgão deve fazer para estar preparado a responder incidentes de segurança (do ponto de vista de soluções/produtos)?":

Meu posicionamento/resposta diante desta pergunta:

I - Uma infra-estrutura de "Network Forensics" que seja capaz de reconstruir e fazer o "replay" dos pacotes relacionados ao ataque (ex: NetWitness NextGen / NikSun / Infinistream / NetIntercept )

II - Uma solução de SIEM/SEM para correlacionamento em near-real time dos logs (firewall, roteadores, servidor comprometido, ids/ips, dhcp, dns, aplicações internas) (ex: ArcSight / ISM Intellitatics / Symantec SIM)

III - Uma solução (idealmente enterprise) de forense computacional que possibilite a análise de dados voláteis (incluindo memória) e de disco (ex: Encase Enterprise / F-Response / AccessData Enterprise )

IV - Uma ferarmenta de monitoração de atividade de desktops (ex: SpectorCNE, WorkExaminer) [item incluído em 18/10/2009]

Com relação a primeira das soluções listadas acima, o Richard Bejtlich (CSO da General Eletric e autor de vários livros - todos recomendados) é uma referência mundial no que diz respeito à Segurança e Monitoramento de Rede, já o utilizei de referência/links em vários assuntos abordados aqui no nosso blog.

Ele postou há alguns dias atrás um artigo muito interessante sobre tipos de aplicações de monitoração de segurança de rede e eu fiquei esperando ter um tempinho para atualizar o blog com este excelente material e discussão.

São elencados por ele seis "data types" (maltraduzindo: tipos de dados) possíveis em uma ferramenta que lida com monitoração de rede (tradução livre minha):

1. Alertas: julgamento e detecção e/ou bloqueio feito por um produto ("Port scan!" ou "Buffer overflow!");
2. Estatísticas: descrição high-level de atividades (percentual de protocolos, tendências, etc.);
3. Sessões: comunicações entre hosts ("A conversou com B na 6a-feira por 61 segundos enviando 1234 bytes");
4. Conteúdo Completo (Full Content): todos os pacotes trafegados (no cabo/ar);
5. Extração de Conteúdo: reconstrução de elementos de uma sessão e extração de metadados;
6. Transações: geração de logs baseado em tráfego do tipo requisição-resposta (request-reply) como DNS, HTTP, etc.

Depois disto, ele produziu uma interessante tabela de referência contendo as categorias de produtos de Monitoramento de Segurança de Rede e os tipos de data types suportados por cada uma (genericamente). Esta foi a melhor abordagem comparativa de tecnologias de Segurança de Rede do ponto de resposta a incidentes que já vi.

Na minha opinião, a tabela mostra claramente porque uma organização que se preocupa com segurança precisa possuir ou desenvolver pelo menos uma das duas últimas categorias de produtos (NetWork Forensic Appliance ou Custom NSM Appliance) e não se satisfazer com soluções tradicionais (ex: IDS/IPS).

Apresento abaixo uma análise da tabela apresentada, algumas opiniões próprias (*) e nomes de aplicações e produtos que o autor do post citado preferiu não incluir.

(1) Produto IDS/IPS: Alerta ou Bloqueio OK; Estatísticas de Alertas OK; Sem Sessões; Sem Conteúdo Completo; Sem Extração de Conteúdo; Sem Transações. [ * Minha opinião: melhor opção comercial: SourceFire, melhor opção free: Snort / pouquíssimas vezes tive a oportunidade de ver um IDS/IPS bem gerenciado/"tunado"* ]

(2) Produto NBAD (Network Bahavioral Anomaly Device): Alerta baseados na análise de flows; Bons dados estatísticos; Bons dados de sessão; Conteúdo Completo somente para alguns flows; Sem Extração de Conteúdo; Sem Transações.

(3) Network Forensic Appliance: Sem alertas (* O NextGen da NetWitness possui alertas *); Bons dados estatísticos; Dados de sessão não podem ser manipulados imediatamente (*O NextGen da NetWitness permite que dados de sessão que possam ser manipulados imediatamente * ); Conteúdo Completo (propósito deste tipo de solução); Extração de Dados (alguns appliances possuem); Bons dados de Transações.

(4) Custom NSM Appliance *ou faça você mesmo com ferramentas de código aberto*: Alertas: Snort, Bro; Estatísticas: MRTG, Ntop; Sessões: auto-contidas ou aceitam Netflow; Conteúdo Completo: Dumpcap/Wireshark, Daemonlogger/Snort; Extração de sessão: requer desenvolvimento próprio (* tcpxtract, Networkminer *) ; Transações: Bro, Httpry.

Extendendo a resposta dada no início deste post no que diz respeito à monitoração de rede com objetivo de resposta a incidentes:

Se você possui budget para investimento, o ideal é buscar uma solução de Forense de Rede (opção 3 acima - que também é a que traz resultados mais rápidos)

No caso de não ter dinheiro mas possuir uma equipe numerosa e qualificada em segurança e open-source para dispor no desenvolvimento de uma solução customizada, o melhor (porém mais demorado) caminho é a opção 4 (Custom NSM Appliance).

Sei que este tipo de discussão costuma gerar debates interessantes... Comentários?

Cibercrime tem nova lei (em Portugal)

[ 2009-10-25 Update ]

Um artigo foi publicado hoje no blog português segurança informática sobre uma operação da Justiça lusitana em que computadores foram apreendidos sob alegação de teste de segurança ilegal relacionadas ao caso Ghostnet.

[ 2009-10-15 Post Original ]

Hoje entrou em vigor a nova "Lei do CiberCrime" - em Portugal. Ela objetiva transpor para a ordem jurídica portuguesa uma diretiva européia do ano de 2005. A última lei relacionada à crimes informáticos era de 1991

O texto prevê punições para atos como a produção e disseminação de vírus, destruição e alteração no uso de sistemas de informação. A nova lei prevê penas que podem ir até dez anos de prisão para estas atividades.

Assim como o nosso Projeto de Lei 84/99, existem muitas críticas da mídia especializada sobre a nova lei, especialmente no que diz respeito à limitação da investigação na área da Segurança Informática.

Como não poderia deixar de ser, o tema privacidade versus agilidade na identificação de endereços IP envolvidos em ataques ou crimes (e necessidade de mandado judicial para obtenção destes dados) gera bastante polêmica também em Portugal.

7 (ou mais) Conceitos em Seguranca alem da Confidencialidade, Disponibilidade e Integridade

Em algumas oportunidades recentes - durante congressos e trabalhos de consultoria - estive conversando com colegas e clientes sobre alguns tópicos interessantes de nossa área apaixonante de interesse comum - a Segurança da Informação.

Os tópicos relacionados à Segurança vem se multiplicando e especializando muito nos últimos anos, incluindo tópicos relacionados à Segurança de Rede, Segurança de Sistemas Operacionais e Bancos de Dados, Desenvolvimento de Aplicações Seguras, Testes de Penetração, Auditorias de Segurança, Análise de Códigos Maliciosos, Resposta a Incidentes, Forense Computacional e suas evoluções (Memória e Rede).

A Segurança da Informação está a cada dia se tornando um tópico mais popular e tem ganhando muito espaço na mídia (inclusive não especializada). Vemos crescer de forma contínua e significante a maturidade em segurança dentro de instituições públicas, privadas e academicas.

O interesse corporativo pelo tema tem atraído e convergido interesses, ações e ferramentas de áreas como Governança, Risco, Compliance, Auditoria e Jurídico. Além disto, por se tratar de uma área do conhecimento muito nova,a segurança vem recebendo contribuições teóricas de disciplinas tão variadas quanto a engenharia, a economia e a psicologia.

Conhecemos bem o o desafio que é se manter atualizado nos vários tópicos de interesse dentro deste Universo chamado "Segurança da Informação". Eu costumo reservar algumas horas semanais para ler livros/sites/blogs/feeds rss/para me atualizar na área.

Acredito que existem algumas discussões teóricas sobre o tema da Segurança da Informação que são muito interessantes e que influenciam a disciplina e o mercado em si - e elas certamente vão além do tradicional tripé de conceitos "Confidencialidade / Integridade / Disponibilidade" que estamos acostumados a debater por mais de 20 anos.

Neste post pretendo fazer um breve resumo de sete conceitos que considero importantes, incluindo informações sobre seus principais autores e/ou defensores e links externos com mais informações sobre os assuntos:

I - Bruce Schneier

[ CSO da British Telecom / criptoanalista / autor ("Applied Cryptography","Beyond Fear") ]

Conflitos de Escolha (Trade-Offs):

Schneier introduz em seu livro "Beyond Fear" a existência de "trade-offs" quando são avaliadas e aplicadas medidas de segurança. A questão muda de "estamos seguros?" para "vale a pena estarmos seguros?".

Teatro em Segurança (Security Theater):

Outro conceito frequentemente citado por Schneier em "Beyond Fear" é a utilização de contra-medidas que só oferecem uma (falsa) sensação de segurança. Ele chama isto de "Securiy Theater" e demonstra o distanciamento entre o risco percebido e o risco real.

II -Dan Geer [ CSO da In-Q-Tel e Visionário em Segurança]

Desafio Intelectual e Generalismo versus Especialização:

Dan Geer defende que a segurança seja uma das profissões que exigem um maior desafio intelectual no planeta. Segundo ele, o conhecimento basilar em segurança chegou a um ponto em que novos profissionais e/ou estudiosos não conseguirão ser generalistas verdadeiramente competentes - e por isto a unica opção que eles possuem é a especialização cada vez maior.

Sobre a classificação de informações e controle a aplicações e dados críticos:

* Se você não sabe nada, 'permit-all' é a única opção;
* Se você sabe algo, 'default-permit' é o que você pode/deve fazer;
* Se você sabe tudo, somente aí o 'default-deny' se torna possível.

III - Richard Bejtlich [ CSO da General Eletric, autor ("The Tao Of Network Security Monitoring"  e "Real Digital Forensics") ]

Ameaças Avançadas e Persistentes (APT) em Resposta a Incidentes:

A expressão "Advanced Persistent Threat" é muito relevante para qualquer profissional envolvido em Segurança da Informação. Tratam-se de ataques contínuos utilizando amplos recursos (tempo e dinheiro), e que são altamente sofisticados e claramente direcionados. Neste tipo de situação, as defesas tradicionais e genéricas são inúteis.

IV - Ross Anderson

[ Professor da Universidade de Cambridge, autor ("Security Engineering")
 ]

Economia aplicada à Segurança:

Este campo de estudo foi proposto depois de observações feitas por Ross Anderson indicando que incentivos incorretamente alinhados e assimetria de informações explicam a falha de sistemas de segurança mais comumente do que fatores técnicos. A abordagem utilizando a economia pretende prover uma forma mais efetiva de analisar diretamente problemas relacionadas à segurança da informação como privacidade, spam e phishing.

Psicologia aplicada à Segurança:

Segurança como sentimento versus segurança como realidade - e outros tópicos.

V - Gene Spafford

Definição de sistema verdadeiramente seguro:

"O único sistema verdadeiramente seguro é aquele que está desligado, dentro de um bloco de concreto e guardado em uma sala com guardas armados, e ainda assim eu tenho minhas dúvidas"