Preparação de equipes na área de Cybersecurity

Como sabemos, a área de Segurança da Informação é extremamente complexa e dinâmica e as novidades tanto no tocante a vetores de ataque quanto de diferentes técnicas de ataque e defesa surgem diariamente.

Por isto mesmo uma equipe responsável pela Resposta a Incidentes de Segurança, Forense Computacional ou "Cybersecurity" precisa estar composta de profissionais que possuem uma grande quantidade de habilidades e obviamente precisam estar em constante treinamento para se adaptarem a esta realidade.

Hoje tive uma ótima surpresa quando vi que o CERT e o Software Engineering Institute da Universidade Carnegie Mellon publicaram um documento fundamental para a preparação e o desenvolvimento contínuo de equipes de Cybersecurity, chamado "The CERT® Approach to Cybersecurity Workforce Development"

Logo na sua introdução, é feita uma colocação muito interessante a respeito de dois fatores fundamentais para que uma habilidade seja verdadeiramente efetiva nesta área: a proeficiência (experiência/conhecimento do assunto) e a relevância (utilidade para execução da função).

Algumas limitações dos treinamentos tradicionais em salas de aula são apresentadas, como a diferença entre a experiência vivida e o mundo real (quadro negro versus redes, softwares e usuários); o tempo (geralmente dias) gasto para aulas tradicionais (o que gera uma frequência inadequada de treinamento); a necessidade de deslocamento, e a óbvia demora do método tradicional em adaptar-se as novidades tecnológicas.

A nova abordagem sugerida pelo CERT para treinamento de profissionais ligados à Cybersecurity é dividida em quatro fases (que são brevemente apresentadas abaixo, mas são bem detalhadas no documento original)

1. Desenvolvimento de Conhecimentos - onde os fundamentos e conceitos de tópicos específicos são abordados;
2. Desenvolvimento de Habilidades (*) - como aplicar praticamente os conhecimentos / exercícios hands-on;
3. Desenvolvimento de Experiência - adaptabilidade da aplicação das habilidades desenvolvidas em ambientes não familiares (mundo real);
4. Avaliação - são propostas métricas para avaliar a evolução dos profissionais treinados e identificação de áreas que necessitam de melhoria continuada.

* Na seção de desenvolvimento de habilidades, existem colocações acerca da diferença entre usar ferramentas (e ter a vantagem da velocidade e a possibilidade de usar analistas menos treinados na tecnologia de mais baixo nível envolvida).

A conclusão apresentada é a seguinte (pg. 12): o melhor é ganhar eficiência executando tarefas que já são automatizadas adequadamente por ferramentas como o Autopsy, o Encase e o FTK (para ações como recuperação de arquivos deletados, carving, etc) e deixar a "escovação de bit" para atividades que as ferramentas não executam (reconstrução de um filesystem corrompido, por exemplo).

Uma pergunta que emerge naturalmente destas afirmações é: como diferenciar? Apenas com habilidade, conhecimento e experiência.. Por isto a Gestão Técnica ou ao menos o envolvimento - mesmo que apenas consultivo - de profissionais técnicos sêniores é fundamental na maioria das atividades ligadas à Cybersecurity.

O documento traz também um caso de estudo de treinamento contendo a experiência do CERT desde 2009 com um esquadrão de operações cibernéticas da USAF (força aérea norte-americana).

E para não ficar só na teoria, o CERT libera um acesso de demonstração ao sistema XNET, desenvolvido pela Carnegie Mellon (dica: via RDP é melhor..) - veja a captura (JPG): http://j.mp/h2gaJw e a rede do laboratório (JPG)

Neste sistema, times precisam executar várias tarefas relacionadas à Cybersecurity e são monitorados pelos instrutores, online. Existe um PDF contedo um WORKBOOK das atividades como Incident Detection & Reporting Challenge , Prioritizing Defense Measures

e Mitigation Tasks.

Seguem exemplos de exercícios práticos acessíveis via XNET:

Logging:

• OSSEC HIDS Server
• Remote Centralized Monitoring Server
• OSSEC Agent on Linux hosts
• OSSEC Agent on Windows hosts
• SQL Server Event Log Auditing

Detection:

• Configuring Arpwatch
• Creating a DHCP Offer Packet Filter for tcpdump
• Nagios Network Monitoring
• Appendix – Configuring Nagios
• NTOP Traffic Monitoring
• Snort Rules

Hardening:

• Securing the Domain with Security Templates and Group Policy
• Bandwidth Throttling
• Configuring IPTables as a Host Based Firewall on Linux Systems
• ACL on Router for Data Exfiltration / IRC
• Disable Directory Traversal
• Disabling Telnet on Router
• Drop Traffic from a Host
• Endian Firewall SSH Access
• Exchange Server Hardenin
• Firewall Access Control
• Hardening FTP Server
• Install and Configure Reverse Proxy Using Pound
• Linux Host System Hardening

Os ataques que precisam ser evitados/detectados incluem:

• EasyFTP Remote Exploit
• SQL Injection
• WebSite Directory Transversal
• Data Extrafiltration (TCP, UDP, ICMP)
• WebSite Defacement
• Infected User beaconing to an external IP
• Insecure router using telnet
• Infected user scanning internal IP space
• Attack using xp_cmdshell stored procedure

Se interessou? Leia o documento na íntegra. Certamente este tipo de experiência pode auxiliar internamente na melhor preparação do seu time de Segurança/Resposta a Incidentes ou Forense Computacional.

Aproveito para desejar a todos vocês uma ótimo virada de ano e um 2011 cheio de conquistas pessoais e profissionais!

Post Relacionados:

• Material de Treinamento para equipes de Resposta a Incidentes
• Livros de Seguranca Resposta a Incidentes e Forense Computacional
• 10 Periódicos de Computação Forense
• Material de Referência para Forense de Memória
• Material de Referência para Forense de Registro

As ações anti-anti-WikiLeaks e a legislação penal brasileira

Este artigo foi elaborado em conjunto pelos seguintes autores:

Emerson Wendt – http://www.emersonwendt.com.br

Sandro Süffert – http://blog.suffert.com

Há alguns dias acompanhamos uma frenética divulgação, pelo site WikiLeaks, de conteúdos de correspondências trocadas pelas embaixadas americanas. O caso passou a ser chamado de Cablegate.

Não bastasse isso, com a retaliação advinda do Governo americano e de grandes empresas (a exemplo da Amazon, que deixou de hospedar o site e da Mastercard e Visa, que deixaram de processar seus pagamentos) a consequência passou a ser um contra-ataque oriundo de simpatizantes de Julian Assange (idealizador do WikiLeaks).

O contra-ataque veio em várias frentes. Primeiro, na criação dos chamados espelhos do site (mirrors), funcionando como ferramentas para manter o "ideal" do WikiLeaks, e o que representa, ativo e visto por todos, e; segundo, através de ataques direcionados a determinados sites apoiadores da ideia anti-WikiLeaks.
A última ação do grupo foi a invasão e exposição de contas e senhas dos sites Gawker (Gizmodo, Lifehacker, Kotaku, Deadspin) pela recente publicação de um artigo minimizando a capacidade do grupo "Anonymous". (Para verificar se sua conta foi comprometida, use este link).
No caso dos "mirrors" do site Wikileaks, que no Brasil já são doze, em avaliando a legislação brasileira, percebe-se que a posição do Dr. Omar Kaminski, reproduzida nesta avaliação, é a mais acertada, pois que não há previsão no Brasil quanto à punibilidade (aspecto penal) de pessoas que eventualmente hospedem uma página que contenha conteúdo reservado, confidencial, secreto ou ultra-secreto relativo a outro país. Diz Omar que quem "poderia tomar providências seriam os Estados Unidos. Devido ao trâmite diplomático e burocrático, seria muito difícil. Como o material é de fora, a legislação que deveria ser aplicada seria a deles".

Já no caso dos ataques direcionados a sites apoiadores da ideia anti-WikiLeaks, ou seja, que seriam orientados pelo Governo americano, antes da avaliação quanto à aplicação da Lei Penal Brasileira, há que se fazer uma explicação a respeito.

Segundo já escrito anteriormente, várias das empresas que "viraram as costas" para o Wikileaks estão sofrendo ataques maciços de negação de serviço - ou DDoS (Distributed Denial of Service) - que inviabilizam sua presença online.

Um grupo, denominado "Anonymous", através de perfis do twitter como "anon_operation", “anon_operationn”, “anonopsnet” (já retirados do ar pelo Twitter), está comandando os ataques às empresas, que por pedido do Governo americano bloquearam os serviços que eram utilizados pela Wikileaks. Além do Twitter, o site do grupo (http://anonops.net/) e o seu perfil no Facebook também estão fora do ar.

O ataque é distribuído, e mais de 30.000 "bots voluntários" se unem a um canal de irc (ou a uma conta no twitter) para baixar a ferramenta "LOIC" (Low Orbit Ion Cannon) - que pode ser configurada em modo Hive Mind (algo como "Consciência Coletiva") - para que a máquina vire um zumbi pré-configurado para atacar os alvos escolhidos pelo grupo. Um dos alvos foi a VISA (www.visa.com), além do Mastercard e mais recentemente o site britânico da Amazon. A taxa de download da ferramenta passou de mil downloads por hora, o que demonstra o grande interesse nesta ação de “hacktivism”.

O grupo foi mais além e agora tem uma versão que roda direto do navegador. O JS LOIC é baseado em JavaScript e por isto não precisa ser instalado, bastando acessar uma página da web para colaborar com os ataques.

Além da facilidade de usar, o JS LOIC traz a vantagem de rodar em qualquer navegador moderno, incluindo os navegadores do iPhone e Android. Segundo Sean-Paul Correll, da Panda Security, o JS LOIC não é tão eficiente quanto a versão original, instalada na máquina, mas, por outro lado, abre a possibilidade de um número absurdamente maior de pessoas colaborarem com os ataques. Para os ativistas digitais, o conceito é até romântico: usar pequenos aparelhos celulares para atacar grandes sites. (fonte: IT Versa, neste link)

Segundo foi anunciado recentemente, dois holandeses, um menor de 16 anos e outro maior, de 19 anos, já foram presos por envolvimento nesses ataques. No caso do maior, por direcionar o ciberataque contra o site da promotoria holandesa.

A estratégia de distribuir ferramentas de Denial of Service para o público não é nova, e já foi utilizada durante os ataques que envolveram a Rússia e a Estônia em abril de 2007 e a Rússia e a Geórgia em Agosto de 2008.

O desenvolvimento e a utilização de tais ferramentas são crimes previstos há anos em legislações de vários países, como a Holanda, a Inglaterra e a Alemanha.

E, caso se comprovasse a origem de um ataque como sendo oriunda do Brasil? Bom, neste caso, teríamos de avaliar duas situações diferenciadas: primeiro, se o site atacado é nacional, e; segundo, se o ataque for direcionado a site internacional.

Nos dois casos, pode haver configuração de crime de dano, previsto no art. 163 do Código Penal Brasileiro:

Dano
Art. 163 - Destruir, inutilizar ou deteriorar coisa alheia:

Pena - detenção, de um a seis meses, ou multa.

Dano qualificado

Parágrafo único - Se o crime é cometido:

I - com violência à pessoa ou grave ameaça;

II - com emprego de substância inflamável ou explosiva, se o fato não constitui crime mais grave;

III - contra o patrimônio da União, Estado, Município, empresa concessionária de serviços públicos ou sociedade de economia mista;

IV - por motivo egoístico ou com prejuízo considerável para a vítima:

Pena - detenção, de seis meses a três anos, e multa, além da pena correspondente à violência.

No caso de site nacional, o seu representante legal é apto para encaminhar a queixa-crime, sendo facilitado seu processo por já estar constituído legalmente no Brasil. No caso de site internacional e em não havendo representante legal no Brasil, cumpre-lhe encaminhar a documentação necessária (de sua constituição e representação de acordo com as leis locais de seu país de origem). Em ambos os casos há necessidade da comprovação do dano provocado.

Porém, se além do dano provocado, para recolocar o site no ar há exigência de alguma cooperação financeira em troca, pode haver outra configuração delitiva:

Extorsão

Art. 158 - Constranger alguém, mediante violência ou grave ameaça, e com o intuito de obter para si ou para outrem indevida vantagem econômica, a fazer, tolerar que se faça ou deixar fazer alguma coisa:

Pena - reclusão, de quatro a dez anos, e multa.

§ 1º - Se o crime é cometido por duas ou mais pessoas, ou com emprego de arma, aumenta-se a pena de um terço até metade.

§ 2º - Aplica-se à extorsão praticada mediante violência o disposto no § 3º do artigo anterior.

§ 3^o Se o crime é cometido mediante a restrição da liberdade da vítima, e essa condição é necessária para a obtenção da vantagem econômica, a pena é de reclusão, de 6 (seis) a 12 (doze) anos, além da multa; se resulta lesão corporal grave ou morte, aplicam-se as penas previstas no art. 159, §§ 2^o e 3^o, respectivamente.

No caso do ataque coordenado “anti-anti-wikileaks”, vários alvos são selecionados e controlados via um canal IRC ou um perfil no twitter. O grupo auto-denominado “Operation Anonymous” informa nas “perguntas mais frequentes” (FAQ), que ao utilizar a ferramenta LOIC as chances de prisão são “próximas de zero”, e basta alegar que seu computador foi infectado por um vírus ou alegar não ter conhecimento de nada.

A realidade é diferente, e o rastreamente de tais atividades é simples e solicitações de “quebra de sigilo IP” podem revelar facilmente a identidade dos atores por trás do ataque.

Há que se asseverar, já pensando no futuro da legislação brasileira, que o Projeto de Lei 84/99, traz previsão expressa quanto ao que escrevemos acima. O crime de dano teria nova redação, assim prevista:

Art. 163. Destruir, inutilizar ou deteriorar coisa alheia ou dado eletrônico alheio:

Ademais, o PL 84/99 prevê outro artigo interessante, no qual pode ser enquadrado o caso em questão:

“Inserção ou difusão de código malicioso”

Art. 163-A. Inserir ou difundir código malicioso em dispositivo de comunicação, rede de computadores, ou sistema informatizado.

Pena – reclusão, de 1 (um) a 3 (três) anos, e multa.

Inserção ou difusão de código malicioso seguido de dano

§ 1º Produzir intencionalmente ou vender código malicioso destinado ao uso em dispositivo de comunicação, rede de computadores ou sistema informatizado.

Pena – reclusão de 1 (um) a 3 (três) anos, e multa

§ 2º Se do crime resulta destruição, inutilização, deterioração, alteração, dificultação do funcionamento, ou funcionamento desautorizado pelo legítimo titular, de dispositivo de comunicação, de rede de computadores, ou de sistema informatizado:

Pena – reclusão, de 2 (dois) a 4 (quatro) anos, e multa.

§ 3º Se o agente se vale de nome falso ou da utilização de identidade de terceiros para a prática do crime, a pena é aumentada de sexta parte.

Na verdade, aporta aí uma solução importante e que pode delinear um futuro diferenciado quanto ao aspecto penal de utilização de uma rede de computadores zumbis com a finalidade de paralisar um serviço disponibilizado na web.

Flowcharts de processos de forense computacional

Há cerca de 3 anos tive a oportunidade de desenvolver junto a outros colegas da Techbiz Forense alguns processos em formato de flowchart para as várias fases de forense computacional (ex: coleta, análise, relatório). Minha apresentação de 2008 no ICCyber foi sobre este assunto, e parte dos slides podem ser vistos aqui.

Este tipo de material é muito útil para treinamentos de grupos de investigação (de forças da lei ou corporativos) e para adequação dos processos já existentes internamente na empresa.

Há poucas horas atrás, quando fazia minha varredura diária de informações ligadas à forense computacional e resposta a incidentes, encontrei no ótimo blog do Lance Mueller uma árvore de decisão para o processo de aquisição (ou coleta/imagem) de HD (clique para ampliar):

Como pode ser visto, o fluxo trata desde o primeiro momento quando o perito encontra a máquina até a validação (checagem do hash criptográfico SHA256/SHA1/MD5) da imagem (.dd/.e01) feita.

Alguns pontos merecem destaque:

1 - Não são tratadas as informações de coleta de dados voláteis (ex: memória), mas o autor prevê um outro flowchart para isto (Update 13/12/2010: o autor já publicou um fluxo incluindo a aquisição de dados voláteis)

2 - A decisão "Can you turn off" envolve uma série de possibilidades, que incluem - mas não se limitam - a:

• Preocupação com a disponibilidade da máquina (serviço financeiro/crítico/etc);
• Presença de criptografia de disco;
• Presença e atividade de malware;
• Análise de conexões estabelecidas;

3 - O autor sugere a utilização do FTK Imager ou do Encase WinAcq para aquisição de disco no caso da máquina não poder ser desligada, mas outras alternativas mais rápidas, stealth e modernas (remotas) podem ser utilizadas, como o a aquisição através da instalação automática de agentes via rede com o FTK (versão 3.0+) ou com o Encase Enterprise (ou FIM).

Com o objetivo de diferenciar a coleta presencial da remota, um exemplo de um processo simplificado de coleta remota pode ser visto na imagem abaixo (clique para ampliar)

E já que o assunto veio à tona, seguem alguns outros pontos a se considerar durante o processo de aquisição/coleta de evidências:

• Autorização para análise preliminar e para agir: Da mesma forma como é preciso autorização para coleta e análise remota das máquinas (análise preliminar), é necessária a autorização para coleta física de um disco.
• Testemunhas: não é um requisito obrigatório para condução da coleta física de evidências digitais. Dessa forma caso o analista que realiza a aquisição estiver acompanhado de outro colaborador da empresa/órgão como por exemplo, segurança patrimonial este pode ser uma testemunha.
• Identificação dos itens coletados: deve ser feito um relatório onde constem os dados dos itens coletados (principalmente discos rígidos), com suas características técnicas exclusivas, como modelo, número de série, capacidade, etc.
• Geração das Imagens (evidência digital duplicada): na geração das imagens não deve ser feita a correção de erros, já que estes blocos podem ser utilizados para ocultação de informações.
• Validação da aquisição: Deve ser feita ao final da aquisição os cálculos dos valores de hashes (MD5 e SHA1) do disco original coletado e da cópia obtida. Essas informações devem constar do relatório final.
• Armazenamento da Evidência: Após a aquisição e validação da evidência, as informações coletadas devem ser tratadas como confidenciais e armazenadas de forma condizente. Áreas restritas em servidores para armazenagem dos arquivos, estações de trabalho restritas para análise dos mesmos e armários/salas protegidas para armazenagem de discos com essas informações devem ser criados para que isso seja possível.

Além disto, durante todo o processo, os princípios da evidência digital (*) devem ser respeitadas:

• As ações tomadas durante o exame pericial não devem alterar as evidências;
• A cadeia de custódia das evidências deve ser montada, relatando o nome da pessoa que está de posse da evidência, data, hora e atividades executadas;
• Todas as atividades relacionadas com a coleta, acesso, armazenamento ou transferência da evidência digital devem ser documentadas (trilhas de auditoria);
• As cópias devem ser autenticadas por meio de assinaturas criptográficas ;
• Jamais se deve confiar no sistema analisado; e
• Para geração das cópias, as mídias deverão estar devidamente saneadas (wipe).

* - SWGDE - Scientific Working Group on Digital Evidence

Anti-Anti-Wikileaks e seus efeitos

Nós já publicamos por aqui artigos sobre vazamento de informações, e logo que foram publicadas informações relevantes pelo Wikileaks, atualizamos também posts relevantes como (Operação Aurora e Stuxnet).

Como sabemos, a informação em formato digital é extremamente difícil de ser controlada, sejam dados secretos fluindo de uma rede ultra-secreta para um computador pessoal - como foi o caso do vazamento pela Wikileaks dos dados militares do Iraque e Afeganistão (a fonte do site era Bradley Manning, que tinha acesso top-secret) - seja um código malicioso super especializado como o Stuxnet indo via pendrive de uma rede de negócios para uma rede de controle de infra-estruturas críticas.

O que deve ser controlado em qualquer ambiente é o acesso à informação, preferencialmente usando o princípio de "need-to-know". Aos interessados segue boa documentação sobre classificação da informação:

O site inicialmente foi alvo de um "hackivista" chamado "th3j35t3r" - que parece estar querendo chamar atenção para suas ações e sua ferramenta 37337 chamada "XerXes" (vídeo). A ferramenta XerXes usava uma rede de proxies anônimos para amplificar uma vulnerabilidade presente nos servidores Web Apache - mais informações sobre o "Slowloris", aqui.

Hoje (08/12/2010) várias das empresas que "viraram as costas" para o Wikileaks estão sofrendo ataques maciços de negação de serviço - ou DDOS (Distributed Denial of Service) - que inviabilizam sua presença online.

O grupo "Anonymous", através do perfil do twitter "anon_operation" está comandando os ataques às empresas, que por pedido do governo americano bloquearam os serviços que eram utilizados pela Wikileaks. No momento em que escrevo este post, o site do grupo (http://anonops.net/) está fora do ar também (e seu perfil no Facebook foi bloqueado)

O ataque é distribuído, e mais de 1500 "bots voluntários" se unem a um canal de irc (ou a uma conta no twitter) para baixar a ferramenta "LOIC" (Low Orbit Ion Cannon) - que pode ser configurada em modo Hive Mind (algo como "Consciência Coletiva" - para que a máquina vire um zumbi pré-configurado para atacar os alvos escolhidos pelo grupo.

O último alvo foi a VISA (www.visa.com) que no momento em que escrevo este post está inacessível.

Segue a lista dos alvos publicados e que já foram afetados pelo grupo:

• Paypal
• MasterCard (statement)
• Visa
• PandaLabs - que publicou uma boa análise dos ataques
• EveryDNS

A NetCraft está monitorando em tempo real a disponibilidade dos sites envolvidos nestes ataques.

Com relação à mitigação destes tipos de ataque, recomendo o PeakFlow da ArborNetworks, contra o Slowloris, veja as últimas atualizações do modsecurity. E claro, se couber no orçamento colocar (parte de) seu serviço na Akamai ou Amazon Elastic Computing Cloud também resolve.. =)

[ Update: outra ferramenta disponibilizada pelo grupo "Anonymous", continha o código fonte e foi modificada e redistribuída pelo th3j35t3r, com backdoor que facilita a identificação dos usuários ]

Mais informações:

• NetCraft: WikiLeaks sites ordered by failures over the last 1 day
• PandaLabs: ‘Tis the Season of DDoS – WikiLeaks Edition
• Guardian UK: WikiLeaks: Who are the hackers behind Operation Payback?
• BBC: Hackers' Mastercard attack 'hits payments'
• SANS ISC: Having a look at the DDOS tool used in the attacks today