RoadShow de Ferramentas de Forense Digital - SP, RJ e DF

[ Update: 25/04/2011 ]

Após várias confirmações, o evento irá acontecer a partir de amanhã, manterei vocês atualizados!

[ Post original: 14/04/2011 ]

No final deste mês, a Techbiz Forense Digital realizará um Roadshow com alguns de seus principais produtos de Forense Computacional. O evento - que é gratuito e tem vagas limitadas - acontecerá nos dias 26, 27 e 28 de abril e 3, 4 e 5 de maio - de forma concomitante em São Paulo, Rio de Janeiro e Brasília, (das 15 as 17 horas).

Clientes terão a oportunidade de ter contato direto com tecnologias de resposta a incidentes e forense computacional de ponta, premiadas mundialmente, distribuídas e integradas pela Techbiz Forense no Brasil.

Os seguintes fabricantes estarão presentes: AccessData, Guidance Software, Arcsight, NetWitness, iDefense e Palantir.

Para mais informações, confira o convite oficial do evento: http://forensedigital.com.br/road-show-ferramentas/

Fuzzy Logic e Fuzzy Hashing

[ Update 18/04/2011 ]

Hoje fui responder a um post sobre o assunto do meu colega de trabalho e amigo - Luiz Sales Rabelo, acabei escrevendo tanto que virou uma atualização por aqui:

Segue mais uma referência interessante: (pdf) - que apresenta as seguintes técnicas de "near match":

- Diff Analysis

- Hashing

- Fuzzy Hashing

- Entropy

O título é - Utilizing Entropy to Identify Undetected Malware - de Tom Davis, Product Manager, Cybersecurity Solutions (Guidance Software)

Acrescentaria ainda uma técnica que já utilizei para sair de sinucas de bico durante duas investigações, importantes, onde tudo parecia perdido - chamada File Block Hash Analysis:

Download do Enscript aqui: https://support.guidancesoftware.com/forum/downloads.php?do=file&id=657

Falei sobre estas técnicas na nossa apresentação (slides) do último ICCyber (a partir do slide 27):

Iccyber 2010 - Sandro Süffert Avanços Tecnológicos

[ Post Original - 2009/11/09 ]

Fuzzy está na moda.

Dois dos meus blogs preferidos publicaram nos últimos dias artigos sobre métodos Fuzzy (Difusos). Um para Forense Computacional (Fuzzy Hashing), outro para Correlação de Logs / SIEM (Fuzzy Logic) .

O assunto é muito interessante e meu objetivo neste post post é comentar as excelentes contribuições feitas pela dupla de blogueiros brazucas.

Post I - Alexandre Teixeira: Fuzzy Hashing na Prática

São apresentados os conceitos e comandos para utilização do utilitário de linha de comando ssdeep (do inventor do Fuzzy Hashing via context triggered piecewise hashes (CTPH) - Jesse Kornblum).

Em linhas gerais, o Fuzzy Hashing torna possível a um analista forense, por exemplo, comparar diferentes arquivos para descobrir o grau de semelhança entre eles, independente da computação de hash tradicional (MD5, SHA1).

A técnica é útil também para análise de malwares (através de comparação de dump de processos em execução). Possivelmente códigos similares (diferentes versões) terão fuzzy hashings próximos.

Além disto, pode ser usado para encontrar vazamento de informação a partir de documentos conhecidos - que mesmo ao serem alterados manterão um fuzzy hashing próximo ao do arquivo original.

Meu comentário sobre outras implementações para Forense:

Alexandre, desde Janeiro de 2009 o FTK da AccessData (nas versões 2 e 3) já possui a funcionalidade de Fuzzy Hashing (ou CTPH) , inclusive com gerenciamento via KFF (Known File Filter) no BD Oracle que acompanha a solução.

Existe uma boa referência da utiilização de Fuzzy Hashing para Forense Digital no site da AccessData: http://www.accessdata.com/downloads/media/Fuzzy_Hashing_for_Investigators.pdf

Post II - Luiz Zanardo: Fuzzy Logic aplicada a busca de padrões em Logs

Não vou lembrar quem me falou, mas já ouvi alguém dizer que a Inteligência artificial costuma ser sempre o 2o melhor jeito de resolver um problema.. o que não é nada mal se resolver mesmo =)

Neste post o Zanardo introduz o leitor a algums conceitos de Lógica Difusa e Teoria de Conjuntos, incluindo Regras de Associação Difusas, Quantificadores Relativos, Suporte e Confiança - entre outros.

O maior ganho em utilizar a Lógica Difusa (ou Fuzzy Logic) está em sua capacidade de gerar respostas com base em informações qualitativamente incompletas e imprecisas ou ambíguas - como um conjunto de logs de segurança, por exemplo =) Em resumo, a lógica difusa generaliza a distribuição binária entre impossível e possível em uma representação gradativa (de 0 a 1) de possibilidade.

A melhor referência de introdução ao ssunto Fuzzy Logic que encontrei online foram estas aulas (powerpoint+video) da Universidade de Konstanz, na Alemanha (em inglês).

Conclusão:

Em ambos os casos, o objetivo é aproveitar o poder de reconhecimento de padrões que os algorítimos Fuzzy fornecem para melhorar a qualidade de identificação de objetos em produtos na área de Segurança.

Do ponto de vista de desenvolvimento de software, existem algumas implementações interessantes, seja via binders como o pyssdeep do python (fuzzy hashing) e o módulo AI::Fuzzy do Perl (fuzzy logic).

Do ponto de vista da implementação da tecnologia em produtos existentes no mercado - no que tange a utilização de Fuzzy Logic para SIEM/ Correlação de Eventos e Logs, a ArcSight é a melhor referência.

Já para Forense Computacional, a AccessData o Fuzzy Hashing no FTK saiu na frente e a Guidance Software utilizando "Entropy" em seu produto CyberSecurity também já apresenta alternativa com o mesmo objetivo.

A atenção seletiva e a Resposta a Incidentes Corporativa - parte 1/2

Este curto post está no meu backlog há mais de um ano. Resolvi publicá-lo pela importância de reforçar a necessidade de uma abordagem mais moderna, inovadora e criativa dos problemas relacionados à segurança de informação em grandes empresas.

Sabemos que os desafios enfrentados por uma equipe responsável por responder incidentes de segurança em uma organização (pública ou privada) moderna são inúmeros. Os clientes internos de um grupo de resposta a incidentes (CSIRT) incluem - mas não se limitam - às áreas de auditoria, recursos humanos, anti-fraude, segurança patrimonial, inspetoria, jurídico e governança. Isto sem falar dos desafios inerentes à Tecnologia da Informação e proteção dos ativos críticos da empresa.

Múltiplas abordagens e diferentes ferramentas são utilizadas para tentar aumentar a visualização das ameaças reais para diminuir o tempo de resposta e o impacto. Conscientização interna, metodologias de desenvolvimento seguro e de testes de segurança de aplicações, implementação de dispositivos de segurança de rede como firewalls e IDS/IPS, hardening e configuração segura de sistemas operacionais e serviços, correlação de eventos de negócio e segurança com ferramentas SIEM, redução da superfície passível de ataque, proteção de endpoints com anti-vírus, DLPs, NACs, e várias outras siglas que nascerão e desaparecerão com o tempo..

O conceito de segurança em profundidade (defense in depth) há muito mostra as vantagens do modelo de camadas de proteção para redução dos problemas advindos de incidentes de segurança. Outro conceito importante é o de segurança baseada em tempo (TBS) que objetiva identificar um incidente a tempo de minimizar seu impacto dentro de um ambiente.

Porém qualquer um que já trabalhou em um ambiente real que possui todas ou várias destas soluções implementadas conhece o desafio real de se gerenciar tudo isto e de se manter a atenção focada no risco real para o negócio e nos incidentes mais críticos. Primeiro, precisamos considerar que a barreira do "perímetro" já não existe da mesma maneira, isto sem falar da massa imensa de dados a ser analisada, processada e digerida para que decisões adequadas possam ser tomadas tempestivamente.

Muitas empresas mantém grupos de resposta a incidentes (CSIRTs) e analistas responsáveis por monitorar a rede, os registros de ativos de segurança, logs de aplicações, etc.. eles estão fazendo o seu trabalho corretamente, mas sabemos que mesmo empresas grandes e bem organizadas - como o Google - são surpreendidas por ataques com impactos colossais, quando bem orquestrados. Por que isto acontece?

Bem - primeiro por causa da elementar vantagem do atacante versus o defensor no campo cibernético - mas além disto, devido e a necessidade de atenção seletiva que esta situação gera (e isto inclui não só homens/hora, mas valores de investimento / planejamento / etc).

Mesmo quem tem equipes trabalhando adequadamente e olhando 24x7 para as consoles de todas as soluções listadas acima, está sujeito a ser surpreendido por não conseguir tratar o inesperado adequadamente.

Para ilustrar a minha argumentação, faça o teste de atenção seletiva proposto no vídeo abaixo:

Agora imagine que as suas soluções de segurança estejam configuradas adequadamente e que seu time esteja adequadamente as monitorando (as passagens de bola entre os jogadores de camisa branca)...

A implementação do conceito de "consciência situacional" é fundamental para evitar que mesmo monitorando milhões de logs, controlando os múltiplos dispositivos de segurança e respondendo a todos os incidentes conhecidos, algo de alto impacto e de fundamental importância não passe desapercebido pela equipe por não estar previsto pelas ferramentas e procedimentos já implementados.

Tudo isto não serve de nada se a nossa atenção está presa a conceitos fixos e resultados esperados, os maiores problemas serão sempre os que não estão no radar, e por isto a utilização de tecnologias que permitam aumentar a visibilidade e a "consciência situacional" são fundamentais.

Em um post futuro (parte 2/2) abordarei algumas destas tecnologias e de que forma elas podem auxiliar a diminuir a desvantagem do defensor diante dos desafios reais que grandes empresas enfrentam hoje.

 [ A atenção seletiva e a Resposta a Incidentes Corporativa - parte 2/2 ]

Posts Relacionados:

• http://sseguranca.blogspot.com/2010/01/china-vs-google-e-cia-ou-nao-ha-como.html
• http://sseguranca.blogspot.com/2009/07/risco-vulnerabilidade-ameaca-e-impacto.html
• http://sseguranca.blogspot.com/2009/03/ghostnet-possivel-espionagem.html
• http://sseguranca.blogspot.com/2009/01/conficker-downadup-de-um-erro-de.html
• http://sseguranca.blogspot.com/2009/04/vazamento-de-informacoes-e-dlp-como.html

Melhores ferramentas de Computação Forense - Prêmio "2011 SC Awards"

Recentemente a revista "SC Magazine" publicou uma lista de 5 finalistas de uma premiação que está promovendo em várias categorias ligadas à Segurança da Informação.

Na categoria "Melhores Ferramentas de Computação Forense" (Best Computer Forensics Tool), seguem os resultados:

• AccessData Group for Forensic Toolkit (FTK)
• ArcSight for ArcSight Logger
• Guidance Software for EnCase Forensic
• NetWitness for NetWitness NextGen 9.5
• Quest Software for Quest ChangeAuditor

Com exceção do último da lista "Quest ChangeAuditor" - nós da Techbiz Forense Digital somos representantes no Brasil de todos os finalistas. Seguindo os links acima, você verá os artigos já escritos neste blog sobre as empresas e ferramentas que trabalhamos.

Segue abaixo para referência a listagem dos 5 finalistas de todas as categorias:

Reader Trust Categories

Best Anti-Malware Gateway

Cisco for Cisco Web Security

M86 Security for M86 Secure Web Gateway

McAfee for McAfee Web Gateway Anti-malware

Sophos for Sophos Web Security Appliance

Websense for Websense Web Security Gateway

Best Anti-Malware Management (client-based, typically software only)

ESET for ESET NOD32 Anti-virus 4

Kaspersky Lab Americas for Kaspersky Open Space Security

McAfee for McAfee Endpoint Protection Suite

Microsoft for Forefront Client Security

Sophos for Sophos Endpoint Security and Data Protection

Best Computer Forensics Tool

AccessData Group for Forensic Toolkit (FTK)

ArcSight for ArcSight Logger

Guidance Software for EnCase Forensic

NetWitness for NetWitness NextGen 9.5

Quest Software for Quest ChangeAuditor

Best Data Leakage Prevention

Cisco Systems for Cisco IronPort Email DLP

McAfee for McAfee Data Loss Prevention (DLP)

RSA Security for RSA Data Loss Prevention (DLP) Suite

Symantec for Symantec Data Loss Prevention

Trend Micro for Trend Micro Data Loss Prevention

Best Email Content Management

Cloudmark for Cloudmark DesktopOne

McAfee for McAfee Web SaaS

Proofpoint for Proofpoint

Sophos for Sophos Email Security Appliance

Symantec for Symantec Brightmail Gateway

Best Email Security

Cisco Systems for Cisco IronPort Email Security

DataMotion for SecureMail

SonicWALL for SonicWALL E-Class ESA ES8300

Sophos for Sophos Email Security Appliance

Symantec for PGP Universal Gateway Email from Symantec

Webroot for Webroot Email Security Service

Best Endpoint/UTM Security

Check Point Software Technologies for Check Point UTM-1

McAfee for McAfee Total Protection for Endpoint, Enterprise Edition

SonicWALL for SonicWALL E-Class Network Security Appliance (NSA) E8500

Sophos for Sophos Endpoint Security and Data Protection

Symantec for Symantec Endpoint Protection 11.0

Best Enterprise Firewall

Cisco Systems for Cisco ASA 5585-X

Fortinet for FortiGate-3950B

McAfee for McAfee Firewall Enterprise

Palo Alto Networks for Palo Alto Networks PA-4000 Series next-generation firewalls

SonicWALL for SonicWALL E-Class Network Security Appliance (NSA) E8500

Best Identity Management Application

CA Technologies for CA Identity Manager

IBM for IBM Tivoli Identity and Access Assurance

Microsoft for Forefront Identity Manager 2010

NetIQ for NetIQ Identity & Access Management Solution

Novell for Novell Identity & Access Management

Best Integrated Security-UTM Product

Astaro Internet Security for Astaro Security Gateway

Fortinet for FortiGate-1240B

NETGEAR for NETGEAR ProSecure UTM25

SonicWALL for SonicWALL NSA 2400MX

Sophos for Sophos Endpoint Security and Data Protection

Best Intrusion Detection/Prevention Product

Check Point Software Technologies for Check Point IPS Software Blade

Cisco for Cisco Intrusion Prevention System

HP TippingPoint for HP TippingPoint IPS

McAfee for McAfee Network Security Platform

Sourcefire for Sourcefire IPS (based on Snort)

Best IPsec/SSL VPN

Cisco Systems for Cisco ASA Secure Remote Access solution

Citrix Systems for Citrix Access Gateway

F5 Networks for BIG-IP Edge Gateway

Juniper Networks for SA Series SSL VPN Appliances

SonicWALL for SonicWALL Secure Remote Access (SRA) EX7000

Best Managed Security Service

Entrust for Entrust Managed PKI

McAfee for McAfee SaaS Total Protection

RSA, the security division of EMC, for RSA Adaptive Authentication

SecureWorks for SecureWorks Managed Security Services

Symantec for Symantec Managed Security Services

Best Mobile/Portable Device Security

Good Technology for Good for Enterprise

IronKey for IronKey Enterprsie

McAfee for McAfee Enterprise Mobility Management (McAfee EMM)

Sophos for Sophos SafeGuard Enterprise

Symantec for Symantec Endpoint Protection Mobile Edition

Best Multifactor Product

Entrust for Entrust IdentityGuard

IBM for IBM Tivoli Access Manager for Enterprise Single Sign-On

Imprivata for Imprivata OneSign

PhoneFactor for PhoneFactor

RSA, the security division of EMC, for RSA SecurID Authentication

VeriSign for VeriSign Identity Protection (VIP) Authentication Service

Best Policy Management Application

Cisco Systems for Cisco Network Admission Control Appliance

McAfee for McAfee Policy Auditor

NetIQ for NetIQ Secure Configuration Manager

Symantec for Symantec Control Compliance Suite

Tripwire for Tripwire Enterprise 8.0

Best Security Information/Event Management (SIEM) Appliance

ArcSight for ArcSight ESM

Q1 Labs for QRadar SIEM

RSA, the security division of EMC, for RSA enVision Platform

Symantec for Symantec Security Information Manager

Tripwire for Tripwire Log Center

Best Vulnerability Management Tool

McAfee for McAfee Risk Management Solution

nCircle Network Security for nCircle IP360/WebApp360

Qualys for QualysGuard Vulnerability Management (VM)

Rapid7 for NeXpose

Secunia for Secunia Corporate Software Inspector (CSI)

Tenable Network Security for Tenable SecurityCenter 4.0 with Nessus 4.2, Log Correlation Engine (LCE) 3.4 and Passive Vulnerability Scanner (PVS) 3.2

Best Web Application Firewall

Citrix Systems for NetScaler Application Firewall

F5 Networks for BIG-IP Applicaiton Security Manager

Imperva for SecureSphere Web Application Firewall

International Business Machines for IBM Security Network IPS with Web App Protection

SonicWALL for SonicWALL Web Application Firewall Service

Best Web Content Management Product

Barracuda Networks for Barracuda Web Filtering

McAfee for McAfee Web Gateway

Sophos for Sophos Web Security Appliance

Websense for Websense Web Security Gateway

Zscaler for Zscaler Web Security Service

Excellence Categories

Best Enterprise Security Solution

ArcSight for ArcSight Enterprise Security Manager (ESM)

Core Security Technologies for CORE IMPACT Pro

Juniper Networks for Junos Pulse

McAfee for McAfee ePolicy Orchestrator

Tripwire for Tripwire Enterprise 8.0

Best Regulatory Compliance Solution

McAfee for McAfee Total Protection for Compliance

Modulo for Modulo Risk Manager NG

nCircle Network Security for nCircle Suite360

Agiliance for Agiliance RiskVision

QualysGuard for QualysGuard PCI

Tenable Network Security for Tenable SecurityCenter 4.0

Best Security Company

Barracuda Networks

NetWitness

Qualys

RSA, the security division of EMC

Trustwave

Websense

Best SME Security Solution

McAfee for McAfee SaaS Endpoint and Email Protection

Qualys for QualysGuard Express

Sophos for Sophos Endpoint Security and Data Protection

Symantec for Symantec Endpoint Protection Small Business Edition

Webroot for Webroot Web Security Service

Rookie Security Company of the Year

ActiveBase for ActiveBase

AlertBoot for AlertBoot

Avecto for Avecto

Confidela for Confidela

Invincea for Invincea

Mobile Active Defense for Mobile Application Development Partners

Professional Categories

Best Professional Certification Program

GIAC - Global Information Assurance Certification for GIAC Security Expert (GSE)

GIAC - Global Information Assurance Certification for Global Information Assurance Certification Program (GIAC) - GIAC Certified Intrusion Analyst (GCIA)

Information System Audit and Control Association for Certified in the Governance of Enterprise IT (CGEIT) Certification

Information System Audit and Control Association for Certified Information Systems Auditor

Learning@Cisco for Cisco Security Certifications

Best Professional Training Program

Foreground Security for Foreground Security Training

InfoSec Institute for InfoSec Institute

(ISC)² for (ISC)² Educational Programs

SANS Institute for SANS Institute

Security University for Security University's Q/ISP Qualified/ Information Security Professional Training Program

The Training Camp for IT Professional Certification Training

Best Security Team

GoDaddy.com for Go Daddy Security

ING for Security Operations Center

Teleperformance for TelePerformance

Troy University for Troy University IT Security Team

USAA for Enterprise Security Group (ESG)

CSO of the Year

Tim Waggoner

David Billeter

Jason Taule

Scott Sysol