Video - Desafios em Computação Forense e Resposta a Incidentes - Evento SegInfo - RJ

[ Update - 24/05/2012 ]

O vídeo oficial (55 minutos) foi disponibilizado pela organização do evento:

Mais vídeos do evento podem ser encontrados neste link: http://www.youtube.com/user/workshopseginfo

[ Update - 17/01/2012 ]


O pessoal da organização do evento SegInfo me enviou há alguns dias o DVD com o vídeo da palestra que ministrei em Agosto do ano passado, no Rio de Janeiro. Abaixo a apresentação pode ser vista na íntegra, divida em 3 partes (21 + 21 + 14 min):

[ Post Original - 15/08/2011 ]


Post curto:

Neste último sábado, tive o prazer de ministrar uma palestra entitulada "Desafios em Computação Forense e Resposta a Incidentes" no WorkShop SegInfo, na cidade do Rio de Janeiro.

Agradeço o convite do Bruno Salgado e do Lincoln Werneck e os parabenizo pelo alto nível do evento. Os slides da minha palestra estão disponibilizados abaixo e vídeos das palestras serão publicados em breve - estarei os disponibilizando por aqui também.

201108 sandro süffert - desafios em forense computacional e resposta a incidentes

View more presentations from suffert.

Lista de (Listas de ferramentas de Segurança)

Acesso rápido a esta página: http://tinyurl.com/sectoollist
publicada em 21/12/11 / último update em 17/01/2012

Não deixe de conferir também a lista de ferramentas / serviços de segurança online: http://tinyurl.com/segonline 

Em '99 eu me lembro de ler o uma newsletter "CryptoGram" do Bruce Schneier nos ensinando que  "segurança não é uma ferramenta, e sim um processo".. Esta verdade é sentida no dia a dia por vários profissionais da nossa área de atuação. Agora, convenhamos que o conjunto de ferramentas certo na hora certa (na frente das pessoas certas) pode ajudar muito, isto pode.. ;)

Pois então vamos ao ponto, hoje durante a minha atualização periódica através de RSS feeds e listas de discussão um link muito interessante me chamou a atenção - uma compilação da seção que apresenta  ferramentas de Segurança da newsletter da ISSA (listada logo abaixo) - tive então a idéia de compilar algumas fontes interessantes de ferramentas open-source e comerciais:

• I - A ISSA publica mensalmente em seu Journal, na seção "Toolsmith", uma apresentação mais detalhada de uma ferramenta de segurança, e o blog HolistcInfoSec listou todas as edições desta seção, que possui reviews muito interessantes - uns mais detalhados que outros:
• • December 2011 - Registry Decoder 
  • November 2011 - OWASP ZAP - Zed Attack Proxy 
  • October 2011 - Log Analysis withHighlighter
  • September 2011 - Memory Analysis with DumpIt and Volatility
  • August 2011 - PacketFence - Open Source Network Access Control
  • July 2011- RIPS: Static source code analyzer for PHP vulnerabilities
  • June 2011 - Xplico
  • May 2011 - Security Onion
  • April 2011 - OpenVAS-4 
  • March 2011 - OSINT with FOCA 2.6 
  • February 2011 - El Jefe 1.1: The Boss Will See You Now
  • January 2011 - Armitage: Cyber Attack Management for Metasploit 
  • December 2010 - SamuraiWTF: The Life Cycle of a Web Application Vulnerability Analysis
  • November 2010- Confessor & MOLE 
  • October 2010 - The NirSoft Collection 
  • September 2010 - REMnux 
  • August 2010 - Suricata: An Introduction
  • July 2010 - NetWitness Investigator 
  • June 2010 - Web Security Tools²: skipfish and iScanner
  • May 2010 - SIFT Workstation 2.0: SANS Investigative Forensic Toolkit 
  • April 2010 - Dradis: Effective Information Sharing for Pentest Teams
  • March 2010 - NetGrok and AfterGlow: Visualizing the Zeus attack against government and military 
  • February 2010 - Firefox Addons for Security Practitioners 
  • January 2010 - Single Packet Authorization: The Ghost in the Machine 
  • December 2009 - Maltego: Transform & Correlate * 2009 Toolsmith Tool of theYear *
  • November 2009 - Fiddler with Watcher: Passive security auditor 
  • October 2009 - OSSEC 
  • September 2009 - OffVis 1.0 Beta: Office visualization tool 
  • August 2009 - AIRT: Application for Incident Response Teams 
  • July 2009 - Malzilla: Exploring scareware and drive-by malware 
  • June 2009 - MIR-ROR: Motile Incident Response - Respond Objectively, Remediate  
  • May 2009 - SUMO Linux: Security utilizing multiple options 
  • April 2009 - Tamper Data: CSRF examined 
  • March 2009 - Adito: Open-source,browser-based SSL VPN
  • February 2009 - Mandiant Memoryze with Audit Viewer * 2008 Toolsmith Tool of the Year *
  • January 2009 - Part 2 of 2: The Integrity Project - WebJob 
  • December 2008 - Part 1 of 2: The Integrity Project - FTimes 
  • November 2008 - Bipartisan server politi...er, security 
  • October 2008 - fwsnort-1.0.5: iptables intrusion detection 
  • September 2008 - PTA: Practical Threat Analysis
  • August 2008 - NetworkMiner: Network Forensic Analysis Tool
  • July 2008 - PHPIDS: Attack my website, please! 
  • June 2008 - Security Visualization: What You Don't See Can Hurt You
  • May 2008 - MojoPac: Get Your Mojo Working
  • April 2008 - The XSS Epidemic: Tools for discovery and remediation 
  • March 2008 - WinPatrol
  • February 2008 - Packet Analysis with the Hex System
  • January 2008 - Gpg4win: Email Security using GnuPG for Windows
  • December 2007 - Mandiant Red Curtain: Malware identification for incident responders
  • November 2007 - Argus: Auditing network activity 
  • October 2007 - Security Officers Management & Analysis Project (SOMAP) 
  • September 2007 - SensePost: Wikto, Scully, and CrowBar
  • August 2007 - CIS Benchmarks
  • July 2007 - Malcode Analysis Software Tools
  • June 2007 - Search Engine Security Auditing
  • May 2007 - Core Impact 6.2: Anatomy of an ethical penetration test
  • April 2007 - Nessj: Application/network security scanner client
  • March 2007: Managing Badware and Policy Violation with Aanval and Bleeding Edge Threat Snort Rules
  • February 2007 - RAPIER v. 3.1
  • January 2007 - Activeworx IDS Policy Manager 2.0: Rules management for multiple sensors
  • December 2006 - Web Application Security Testing 101: Paros Proxy and Badstore
  • November 2006 - Security Analysis with Wireshark

• II - Uma  fonte tradicional de excelentes ferramentas, listadas por popularidade (incluindo opções open-source, gratuitas e comerciais) é a  http://sectools.org/ (Seu título oficial é "Top 125 Network Security Tools") e é um repositório de boas surpresas, visite! As categorias listadas por lá são:

1. Antimalware (3)
2. Application-specific scanners (3)
3. Web browser–related (4)
4. Password crackers (12)
5. Encryption tools (8)
6. Debuggers (5)
7. Firewalls (2)
8. Forensics (4)
9. Fuzzers (4)
10. General-purpose tools (8)
11. Intrusion detection systems (6)
12. Packet crafting tools (6)
13. Port scanners (4)
14. Rootkit detectors (5)
15. Security-oriented operating systems (5)
16. Packet sniffers (14)
17. Vulnerability exploitation tools (11)
18. Traffic monitoring tools (10)
19. Vulnerability scanners (11)
20. Web proxies (4)
21. Web vulnerability scanners (20)
22. Wireless tools (5)

• III - Durante este ano foi lançado um projeto interessante mais ou menos nesta linha, o http://SecurityScoreBoard.com, que lista ferramentas de segurança (com avaliação de usuários e controle de "reputação"). Existem ferramentas categorizadas da seguinte forma:

1. Anti-Virus and Anti-Malware
2. Application Whitelisting
3. Database Security
4. DLP
5. Email Security and Anti-Spam
6. Embedded Devices
7. Encryption of Data at Rest
8. Endpoint Security and Control
9. Firewall Management
10. Forensics
11. Fraud Prevention and Management
12. Governance, Risk, and Compliance
13. Identity Management
14. Managed Security Services
15. Multi Factor Authentication
16. NAC
17. Network Security
18. Patch Management
19. Penetration Testing
20. PKI and Digital Signatures
21. Privileged Access Management
22. Secure Backup and Storage
23. Secure File Transfer
24. Security Consulting - Assessments
25. Security gateway
26. Security Management
27. Security Training
28. SIEM and Log Management
29. Virtualization Security
30. Vulnerability Management
31. Web Application and Software Security
32. Wireless and Mobile Security

• IV - Contribução do AL. (nos comentários): http://www.coresec.org/software - blog que lista diversas ferramentas voltadas para pentest, malware analysis, web application security, etc..

• V -  Outra lista de ferramentas bem completa, que eu já conhecia mas achava que havia sido desativada, é a Security Wizardry - http://www.securitywizardry.com/index.php/products/ São centenas de ferramentas listadas nas seguintes categorias:

1. Anti Spam
2. Anti Spyware
3. Anti Virus
4. Content Protection
5. Data Loss Prevention
6. Firewalls
7. Forensic Solutions
8. Identity and Access Mgmt
9. IDS and IPS
10. Scanning Products
11. Security Conferences
12. Security Management
13. Security Training
14. TSCM Bug Sweeping
15. Virtualisation Security
16. VPN

Você tem mais alguma lista de ferramentas interessante para sugerir para esta "Lista de Listas"? Contribua fazendo seu comentário abaixo! 

Enigma 001 - ganhe um excelente livro de segurança

[ Update 2]

Fiz um rápido vídeo com o passo a passo da solução do #enigma001 - vejam abaixo:

[ Update 1]

O @luisfdandrade foi o primeiro a responder o desafio corretamente (em pouco mais de uma hora!). Muita gente participou e fez perguntas muito interessantes (Só dentre as que fizeram perguntas via email/twitter/gtalk,etc foram mais de 40!)

Para mais detalhes sobre a solução do Luis, veja nos comentário abaixo. (Caso você queira se testar, basta não espiar por lá.. =)

[ Post Original ]

Para começar o ano (e me desfazer de livros que possuo tanto em formato tradicional quanto eletrônico), resolvi fazer alguns desafios em forma de "Enigmas" aqui no blog.

Você é uma pessoa curiosa, de pensamento ágil e nerd o suficiente para participar de um desafio interessante? Se você respondeu sim, continue lendo.. Se não, siga este link.

Ah sim - a propósito - o ganhador receberá um dos seguintes livros em casa:

• Digital Forensics with Open Source Tools
• Metasploit The Penetration Tester's Guide
• Malware Forensics
• Perl Scripting for Windows Security
• Shellcoder's Handbook
• Windows Registry Analysis

Está na dúvida de qual vai preferir? Uma descrição dos livros acima (entre outros) pode ser encontrada no seguinte post:

http://sseguranca.blogspot.com/2009/12/livros-de-seguranca-resposta-incidentes.html

Este 1o enigma vai servir para testar o formato, caso o feedback de vocês seja bom, pretendo fazer outros desafios em 2012! Boa sorte a todos!

O desafio está abaixo. Ganha o primeiro que postar um comentário neste post com a "frase secreta" e um link para a solução do Enigma 001.

Enigma 001: Encontre a frase secreta (Nível: intermediário)

JXj8jq8C/moc.nibetsap

Atenção: Este Enigma acima é o que está valendo - infelizmente a primeira publicação saiu com caracteres errados. 

Para perguntas, use o twitter com a hashtag #enigma001 ou o campo de comentários abaixo.

MEGAPOST: 12 novidades para começar 2012 CCC, Stratfor, Wifi Protected Setup, HTTP DoS, BartPE, Post-Exploitation, IPv6, Teoria dos Jogos, Facebook, Salários em Infosec, Voip Forensics

Começando 2012 - 12 novidades na área Resposta a Incidentes e Forense Computacional:

• 1 - Segurança Wireless - Todos os fabricantes de Access Points que utilizam a tecnologia WiFi Protected Setup (também chamada de "Secure Easy Setup") estão vulneráveis  - incluindo a Cisco, DLink, TPLink - e infelizmente este é o default e a NetGear, que é a única que se preocupou em  implementar proteção contra força bruta, não adiciona intervalos  suficiente grandes entre os erros de senha e este ataque é capaz de recuperar a chave (WPA2, por exemplo - em menos de 24 horas - os demais fabricantes facilitaram a vida do atacante e dependendo do caso a chave pode ser recuperada em menos de uma hora..)  
• Resumindo: Desabilite o WPS AGORA no(s) seu(s) APs!
• Para checar: $ iw dev wlan0 scan | grep 'SSID\|Config methods:' < APs  "Label" ou "Display" provavelmente são vulneráveis
• Mais informações: http://bit.ly/w1PGBP
• Paper:  http://sviehb.files.wordpress.com/2011/12/viehboeck_wps.pdf - Wi-Fi Protected Setup PIN brute force vulnerability
• Blog + Ferramenta:  http://sviehb.wordpress.com/
• Twitter: @sviehb

• 2 - HTTP DOS - Ataques de Negação de Serviço inteligentes contra servidores HTTP continuam a aparecer - e devem ser utilizados em ataques neste começo de ano (assim como aconteceu no começo de 2011).
• Resumindo: Patch NOW. Tanto servidores ASP.NET quanto PHP e JAVA estão vulneráveis - ao "Hash Collision Denial of Service" 
• Link CVE:  http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-3414
• Patch Microsoft: http://technet.microsoft.com/en-us/security/advisory/2659883
• Patch PHP: http://svn.php.net/viewvc?view=revision&revision=321040
• Mais info:  http://nakedsecurity.sophos.com/2011/12/28/large-percentage-of-websites-vulnerable-to-hashdos-denial-of-service-attack/

• 3 - CCC - A 28a edição da melhor conferência de Segurança do mundo acabou e as palestras já estão disponíveis para download - imperdível!
• Resumindo: Material excelente para meses de estudo.. 
• Link para download:  http://ftp.ccc.de/congress/2011/  

• 4 - StratFor Hack - A firma de inteligência privada Stratfor foi invadida - e dados de todos os usuários que já tiveram cadastro no site (860,000) vazaram. Além disto 75,000 números de cartão de crédito e dados completos de clientes também foram publicados. 
• Resumindo: os Cartões de Crédito e CVVs eram guardados EM CLARO e as senhas do usuário com hash MD5 sem salt! =/ Mais de 75% já foram "crackeados" com ferramentas open-source como o JTR e HashCat.
• Saiba mais: http://www.databreaches.net/?p=22542 - AntiSec dumps 860,000 Stratfor members’ details, including 75,000 credit card numbers
• Controvérsia na atribuição de autoria: http://www.abc.net.au/unleashed/3749898.html  - Anonymous imposters: hiding behind the AntiSec identity  

• 5 - Cuckoo Sandbox - Eu já havia testado esta solução open-source de análise de malwares em uma versão anterior. Mas a última (0.3.1) me impressionou pela sua evolução. Agora existem módulos para análise de: (exe, dll, pdf, doc, php, ie, firefox, assembler tracer ) - Testei a solução com múltipos malwares brasileiros em 4 máquinas virtuais simultâneas com Windows XP rodando em VirtualBox e a performance é impressionante - assim como os relatórios gerados.. 
• Resumindo: Mais do que recomendada e capaz de automatizar 90% do trabalho de uma análise dinâmica de malwares! 
• Link:  http://www.cuckoobox.org/
• Vídeo 1:  http://vimeo.com/23801978
• Vídeo 2:  http://vimeo.com/34230399

• 6 - Forensic Live CDs - Live CDs/USBs são fundamentais no trabalho de Forense Computacional - o Claus Valca publicou em seu blog um interessante passo a passo para a criação de um LIVE CD/USB dual boot  (BartPE).
• Resumindo: Quanto mais ferramentas no seu tool-set, melhor.
• Artigo: http://grandstreamdreams.blogspot.com/2012/01/make-dual-boot-winpe-cd.html

• 7 - IPv6 - O site DIS9 publicou o 3o artigo da série "Hacking IPv6" - desta vez tratando de spoofing em túneis 6in4 (Ipv6/Ipv4).
• Resumindo: Como esperado, o IPv6 não "resolverá" todos problemas existentes no IPv4, mas agora teremos que nos preocupar com ambos e suas áreas de sombra..
• Artigo:  http://www.dis9.com/attack/hacking-ipv6-iii-ipv6-spoofing-in-6in4-tunnels.html

•  8 - Pentest - Outra série (5 posts) que vale a pena ser vista é a de dump de hashes em Windows do Bernardo Damele:
• Resumindo: Existem mil maneiras de fazer dump de hashes em Windows, ou seja se alguém tem acesso local a uma máquina, game-over.
• Último post da série (parte 5):  http://bernardodamele.blogspot.com/2011/12/dump-windows-password-hashes_28.html
• Dica: o blog dele tem vários outros posts interessantes - leia!

• 9 - Teoria dos Jogos aplicada a CiberSegurança - O Schneier divulgou um paper interessante sobre o assunto: "A game theoretic framework for evaluation of the impacts of hackers diversity on security measures".

• Resumindo: Está na hora de assistir War Games de novo.. 
• Link:  http://www.sciencedirect.com/science/article/pii/S0951832011002389
• Fonte:  http://www.schneier.com/blog/archives/2012/01/applying_game_t.html
• + Referências:  http://spie.org/documents/Newsroom/Imported/0783/0783-2007-07-25.pdf
• + Referência:  http://dl.acm.org/citation.cfm?id=1852704

• 10 - Ataques ao Facebook - A CommTouch publicou um interessante infográfico descrevendo ataques ao Facebook em 2011 - vale a pena conferir.
• Resumindo: 
• Link:  http://blog.commtouch.com/cafe/web-security/infographic-facebook-attacks-in-2011/

• 11 - Salários em InfoSec - Uma ótima notícia pra quem trabalha na área, a InfoSec divulgou o artigo "Best Paying IT Security Jobs In 2012" que informa a previsão de aumento (real) de salário em 2012 de 5%.
• Resumindo: Apesar da crise econômica: a demanda por bons profissionais é muito maior que a oferta qualificada de mão de obra.. 
• Link:  http://www.informationweek.com/news/security/management/232200152

• 12 - Asterisk (VoIP) Forensics - O site SIPVicious publicou um excelente artigo com vídeos tratando de forense em servidores Asterisk comprometidos - vale a pena conferir!
• Resumindo: É importante estar sempre antenado à novidades, ou seja: Semper Gumby!
• Link:  http://blog.sipvicious.org/2012/01/asterisk-forensics-logs-vs-attackers.html