APURA no ICCYBER 2012

[ Update 01/10/2012 ]

Slides do material apresentado pela APURA no ICCyber 2012:








[ Update 29/09/2012 ]


O ICCyber mais uma vez foi um excelente evento, tanto do ponto de vista do conteúdo apresentado nas palestras quanto ao nível dos debates e atividades hands-on oferecidas aos participantes.

Nós da APURA fomos honrados em participar como patrocinadores e também por estarmos diretamente envolvidos no evento muito além do nosso estande em conjunto com a AccessData. Nossa satisfação por termos conseguido trazer palestras técnicas internacionais de qualidade (* - PDF), além de termos participado como palestrantes e também oferecido juntamente com o Team Cymru o hands on "Desafio Forense".

Dentre os mais de 30 participantes do Desafio Forense do ICCyber, foram premiados os 5 primeiros colocados (Entre eles, dois Peritos Federais (SP e RJ), dois militares do Exército brasileiro e um consultor do CTI - Campinas. Na foto abaixo o momento da premiação ao vencedor: Guilherme M. D.:

A premiação final do Desafio foi a seguinte:

• 1o Lugar: Um tablet Google Nexus 7, brindes da DPF e convite para o ICCyber 2013 ;
• 2o e 3o Lugares: Brindes da DPF e convites para o ICCyber 2013 ;
• 4o e 5o Lugares: Brindes da DPF

PS: 2 dos 5 primeiros colocados fazem parte do time que está representando o Brasil na CyberLympics.

[ Update 22/09/12 ]

Desafio Forense ICCyber 2012 - APURA e Team Cymru:

'Sandro Süffert, CTO da Apura, e Jacomo Picollini, VP do Team Cymru, realizarão o Desafio Forense no ICCYBER 2012. A competição acontecerá num ambiente de simulação onde serão avaliadas a destreza dos participantes em situações de rastreamento de invasão, exigindo a utilização de técnicas sofisticadas de análise, para a detecção e identificação da origem do “ataque” simulado.' (UOL/IDG Now)

O vencedor será premiado com um tablet Nexus 7, do Google - cortesia da Apura CyberSecurity

Palestra "Clustering and Classification for Cyber Crime (PDF)" de Jesse Kornblum:

Um dos mais respeitados especialistas e desenvolvedores de ferramentas para computação forense - Jesse Kornblum (*), aceitou o nosso convite e estará fazendo um keynote no ICCyber 2012.

Algumas ferramentas conhecidas que ele desenvolveu: dc3dd (aquisição forense), ssdeep e md5deep (fuzzy hashing) e foremost (carving).

Para mais informações sobre outros destaques do evento, veja este artigo do UOL - Conferência em Brasília reune 40 especialistas em cibersegurança :


"A ICCYBER 2012 – IX Conferência Internacional de Perícia em Crimes Cibernéticos, que acontece em Brasília de 26 a 28 de setembro, reunirá um time de mais de 40 especialistas, nacionais e internacionais, dentre os quais o Instituto Nacional de Criminalística da Polícia Federal e do FBI norte-americano, para debater os desafios da prevenção às ameaças digitais, e casos bem sucedidos de detecção e investigação de quadrilhas cibernéticas.

Contendo atividades distribuídas entre painéis, palestras técnicas, apresentação de papers acadêmicos e sessões de treinamento, dentre os destaques da programação está a presença do Ministro Gilson Dipp, Vice-Presidente do STJ, Ministro do TSE, ex-Corregedor Nacional do CNJ, e Presidente da Comissão responsável pela elaboração do anteprojeto de reforma do Código Penal, que participará do painel Proposições Legislativas – Reforma do Código Penal, voltado a discutir alternativas de tipificação dos delitos digitais.

Na palestra Sistema Integrado de Comando e Controle para Grandes Eventos, do Coordenador de TI da Secretaria de Segurança em Grandes Eventos do Ministério da Justiça, Daniel Russo, que trará informações sobre o planejamento das medidas de Segurança Eletrônica voltadas para a Copa do Mundo 2014 e Olimpíadas do Rio de Janeiro 2016, face às crescentes ameaças de cyberterrorismo existentes no mundo atual.

Para ilustrar as possibilidades de tais ameaças cibernéticas, e as técnicas de detecção e investigação mais sofisticadas, diversos peritos da Secretaria de Perícias em Informática do Instituto Nacional de Criminalística - INC da Polícia Federal abordarão pesquisas e estudos de caso de episódios ocorridos, como a palestra Ataque a Sites Governamentais: Estudo de Caso, a cargo do perito Ronei Maia Salvatori, do INC-PF.

Dentre os especialistas internacionais presentes, uma das mais aguardadas palestras é aClustering and Classification for Cyber Crime, do “guru” Jesse Kornblum, formado pelo MIT - Massachusetts Institute of Technology, pesquisador da área de computação forense da Kyrus Tech e criador de uma série de ferramentas consideradas fundamentais para a prática da perícia digital forense.

A programação contempla ainda a sessão de Desafio Forense, elaborada pelos especialistas Sandro Suffert e Jacomo Piccolini, que reproduzirá, num ambiente de simulação, situações de rastreamento de invasão, exigindo a utilização de técnicas sofisticadas, debatidas durante o evento, para a detecção e identificação da origem do “ataque” simulado."


[ Post Original - 14/09/2012 ] 

A APURA CyberSecurity Intelligence é patrocinadora diamante do ICCYBER 2012.


A APURA, sua parceira ACCESSDATA e outros parceiros internacionais estarão presentes na conferência ICCYBER 2012, organizada pela ABEAT e Polícia Federal.

Sandro Süffert, Diretor de Tecnologia da APURA, palestrará pela 5a vez no evento. O tema a ser abordado este ano será a Evolução das Técnicas de Investigação Digital em meio corporativo (**).

A crescente complexidade das ações criminosas virtuais e da sofisticação dos instrumentos maliciosos utilizados para esses fins tem requisitado do Perito/Investigador Forense seu contínuo aprimoramento e em especial a habilidade de lidar com inúmeras ferramentas.

Desafio Forense

O Desafio Forense que será executado durante o ICCYBER 2012, oferecido pela APURA CybeSecurity Intelligence e pelo Team Cymru vai proporcionar aos participantes um ambiente seguro para o teste e uso de ferramentas na solução de um jogo de pistas e respostas. O intuito do Desafio é instigar os participantes a utilizar ferramentas forenses de forma criativa e confrontá-los com situações que demandam soluções não ortodoxas.

A participação no Desafio é aberta a todos os inscritos no evento, sendo necessário para participar possuir uma versão atualizada do aplicativo VMWare e 4gb de espaço em disco. Algumas etapas podem necessitar de acesso à Internet. Será declarado vencedor do Desafio o primeiro participante que apresentar a frase ganhadora e demonstrar todas as etapas percorridas.

O site oficial do evento é http://www.iccyber.org

APURA Cybersecurity Intelligence: http://www.apura.com.br

ACCESSDATA: http://www.accessdata.com

fonte: http://www.apuratrustedservices.com/apura/iccyber-2012/

RoadShow de Ferramentas de Forense Digital - SP, RJ e DF

[ Update: 25/04/2011 ]

Após várias confirmações, o evento irá acontecer a partir de amanhã, manterei vocês atualizados!

[ Post original: 14/04/2011 ]

No final deste mês, a Techbiz Forense Digital realizará um Roadshow com alguns de seus principais produtos de Forense Computacional. O evento - que é gratuito e tem vagas limitadas - acontecerá nos dias 26, 27 e 28 de abril e 3, 4 e 5 de maio - de forma concomitante em São Paulo, Rio de Janeiro e Brasília, (das 15 as 17 horas).

Clientes terão a oportunidade de ter contato direto com tecnologias de resposta a incidentes e forense computacional de ponta, premiadas mundialmente, distribuídas e integradas pela Techbiz Forense no Brasil.

Os seguintes fabricantes estarão presentes: AccessData, Guidance Software, Arcsight, NetWitness, iDefense e Palantir.

Para mais informações, confira o convite oficial do evento: http://forensedigital.com.br/road-show-ferramentas/

Fuzzy Logic e Fuzzy Hashing

[ Update 18/04/2011 ]

Hoje fui responder a um post sobre o assunto do meu colega de trabalho e amigo - Luiz Sales Rabelo, acabei escrevendo tanto que virou uma atualização por aqui:

Segue mais uma referência interessante: (pdf) - que apresenta as seguintes técnicas de "near match":

- Diff Analysis

- Hashing

- Fuzzy Hashing

- Entropy

O título é - Utilizing Entropy to Identify Undetected Malware - de Tom Davis, Product Manager, Cybersecurity Solutions (Guidance Software)

Acrescentaria ainda uma técnica que já utilizei para sair de sinucas de bico durante duas investigações, importantes, onde tudo parecia perdido - chamada File Block Hash Analysis:

Download do Enscript aqui: https://support.guidancesoftware.com/forum/downloads.php?do=file&id=657

Falei sobre estas técnicas na nossa apresentação (slides) do último ICCyber (a partir do slide 27):

Iccyber 2010 - Sandro Süffert Avanços Tecnológicos

[ Post Original - 2009/11/09 ]

Fuzzy está na moda.

Dois dos meus blogs preferidos publicaram nos últimos dias artigos sobre métodos Fuzzy (Difusos). Um para Forense Computacional (Fuzzy Hashing), outro para Correlação de Logs / SIEM (Fuzzy Logic) .

O assunto é muito interessante e meu objetivo neste post post é comentar as excelentes contribuições feitas pela dupla de blogueiros brazucas.

Post I - Alexandre Teixeira: Fuzzy Hashing na Prática

São apresentados os conceitos e comandos para utilização do utilitário de linha de comando ssdeep (do inventor do Fuzzy Hashing via context triggered piecewise hashes (CTPH) - Jesse Kornblum).

Em linhas gerais, o Fuzzy Hashing torna possível a um analista forense, por exemplo, comparar diferentes arquivos para descobrir o grau de semelhança entre eles, independente da computação de hash tradicional (MD5, SHA1).

A técnica é útil também para análise de malwares (através de comparação de dump de processos em execução). Possivelmente códigos similares (diferentes versões) terão fuzzy hashings próximos.

Além disto, pode ser usado para encontrar vazamento de informação a partir de documentos conhecidos - que mesmo ao serem alterados manterão um fuzzy hashing próximo ao do arquivo original.

Meu comentário sobre outras implementações para Forense:

Alexandre, desde Janeiro de 2009 o FTK da AccessData (nas versões 2 e 3) já possui a funcionalidade de Fuzzy Hashing (ou CTPH) , inclusive com gerenciamento via KFF (Known File Filter) no BD Oracle que acompanha a solução.

Existe uma boa referência da utiilização de Fuzzy Hashing para Forense Digital no site da AccessData: http://www.accessdata.com/downloads/media/Fuzzy_Hashing_for_Investigators.pdf

Post II - Luiz Zanardo: Fuzzy Logic aplicada a busca de padrões em Logs

Não vou lembrar quem me falou, mas já ouvi alguém dizer que a Inteligência artificial costuma ser sempre o 2o melhor jeito de resolver um problema.. o que não é nada mal se resolver mesmo =)

Neste post o Zanardo introduz o leitor a algums conceitos de Lógica Difusa e Teoria de Conjuntos, incluindo Regras de Associação Difusas, Quantificadores Relativos, Suporte e Confiança - entre outros.

O maior ganho em utilizar a Lógica Difusa (ou Fuzzy Logic) está em sua capacidade de gerar respostas com base em informações qualitativamente incompletas e imprecisas ou ambíguas - como um conjunto de logs de segurança, por exemplo =) Em resumo, a lógica difusa generaliza a distribuição binária entre impossível e possível em uma representação gradativa (de 0 a 1) de possibilidade.

A melhor referência de introdução ao ssunto Fuzzy Logic que encontrei online foram estas aulas (powerpoint+video) da Universidade de Konstanz, na Alemanha (em inglês).

Conclusão:

Em ambos os casos, o objetivo é aproveitar o poder de reconhecimento de padrões que os algorítimos Fuzzy fornecem para melhorar a qualidade de identificação de objetos em produtos na área de Segurança.

Do ponto de vista de desenvolvimento de software, existem algumas implementações interessantes, seja via binders como o pyssdeep do python (fuzzy hashing) e o módulo AI::Fuzzy do Perl (fuzzy logic).

Do ponto de vista da implementação da tecnologia em produtos existentes no mercado - no que tange a utilização de Fuzzy Logic para SIEM/ Correlação de Eventos e Logs, a ArcSight é a melhor referência.

Já para Forense Computacional, a AccessData o Fuzzy Hashing no FTK saiu na frente e a Guidance Software utilizando "Entropy" em seu produto CyberSecurity também já apresenta alternativa com o mesmo objetivo.

Techbiz Forense Digital abre 12 vagas técnicas em 4 cidades

Há 2 anos trabalho como Consultor em Forense Computacional na Techbiz Forense Digital, tem sido uma oportunidade única de crescimento profissional e técnico com a vantagem de atuar em grandes organizações do mercado Privado, de Segurança Pública e Governo .

Tive ontem a ótima notícia ontem que nossa área técnica está crescendo ainda mais, e foram abertas 12 novas vagas assim distribuídas: 4 Consultores em Computação Forense, 4 Analistas de Segurança e 4 Suportes Técnicos - uma posição de cada tipo em cada uma das cidades que possuímos sede (excetuando Floripa): Brasília, São Paulo, Rio de Janeiro e Belo Horizonte.

O desafio é entregar Produtos e Serviços fundamentados pelas mais inovadoras tecnologias de Combate à Incidentes de Segurança, Crimes envolvendo alta tecnologia e Forense Computacional.

Além do laboratório forense e desenvolvimento interno, temos ao nosso lado líderes em tecnologia de Reação a CiberCrimes de vários países (Estados Unidos, França, Israel e Suécia) como NetWitness, AccessData, Guidance Software, ArcSight, Digital Intelligence, Micro-Systemation, WetStone, ICS, Tableau entre outras.

O perfil desejado para cada um dos cargos está descrito abaixo e interessados devem procurar o nosso RH no telefone (31) 3211-1800

I - Consultores em Computação Forense Sênior

A - 2 ou mais das certificações EnCE, GCFA/GIAC, CCE, ACSA e CISSP; e
B - ao menos 4 anos de experiência comprovada em Forense Computacional e/ou Resposta a Incidentes de Segurança **em empresas de grande porte**; e
C - experiência com Encase, FTK, ferramentas de SIEM (correlação de logs) e rede (IDS/IPS/Forense de Rede); e
D - Palestra Técnica e/ou Paper publicado em conferências de renome nacional; e
E - entrevista técnica de 1h necessária com um Consultor Sênior; e
F - entrevista com o RH; e
G - disponibilidade para viagens; e
H - referência de 2 ex-gerentes técnicos para entrevista; e
I- levantamento de antecedentes criminais: "capivara" / certidão negativa justiça

II - Analistas de Segurança da Informação – Para serem formados como consultores em computação forense

A - Uma certificação relacionadas à Segurança da Informação (5 acima ou CCSP, MCSO) outros GIAC SANS Institute); e
B - ao menos 2 anos de experiência comprovada em 1) Forense Computacional e/ou 2) Resposta a Incidentes de Segurança e/ou 3) Segurança da Informação **em empresas de médio ou grande porte**; e
C - disponibilidade para viagens; e
D - entrevista técnica de 30min necessária com um Consultor Sênior; e
E - entrevista com o RH; e
F - referência de 1 ex-gerente técnico para entrevista; e
G- levantamento de antecedentes criminais: "capivara" / certidão negativa justiça

III - Analista de Suporte Técnico - Para serem formados como analistas de suporte em computação forense:

A - curso técnico de montagem de computadores, conhecimento prático com hardwares, suporte, troubleshooting; e
B - experiência de ao menos 1 ano com suporte técnico (SW/HW), montagem de computadores; e

D - disponibilidade para viagens; e
E - entrevista com o RH; e
F- levantamento de antecedentes criminais: "capivara" / certidão negativa justiça

Expressoes Regulares em Resposta a Incidentes

A utilização de expressões regulares para filtragens, criação de regras, alertas, condições, entre outras funcionalidades é uma das ferramentas técnicas que une as diversas tecnologias utilizadas para resposta a incidentes de segurança e forense computacional.

Antes de prosseguir, precisamos ter em mente que a utilização de pattern matching - apesar de extremamente útil - sempre nos trará um número de falsos-positivos e falsos-negativos.

Praticamente todas as linguagens de programação suportam o uso das expressões regulares, por exemplo: .NET, Java, Javascript, Lua, Perl, PHP, Python, Ruby e Tcl nem mesmo precisam de chamada a módulos externos por suportar nativamente regex.

Do ponto de vista das diferentes implementações, a PCRE (Perl Compatible Regular Expressions) é a mais completa, por suportar diretivas, condicionais, referencias nominais, grupos atômicos, comentários, código embutido, matching parcial e unicode.

No caso da Resposta a Incidentes e Forense computacional, as expressões regulares representam um papel fundamental tanto na 1) Correlação de Logs e Eventos de Segurança, quanto na 2) Monitoração e/ou Forense de Rede, quanto na 3) Forense de Mídias (local ou remotamente).

1) Correlação de Logs e Eventos de Segurança

As expressões regulares são fundamentais para o processamento direto de arquivos de log e outras evidências. em ferramentas como grep, awk, sed e o próprio perl (exemplo). Além disto, as ferramentas empresariais de SIEM/SIM durante as fases filtragem de dados, na normalização e categorização de eventos e também na correlação de informações e criação de alertas (exemplo).

2) Monitoração e/ou Forense de Rede

Desde as ferramentas básicas como IDS/IPS (como o suporte a PCRE do Snort ou o uso de regex com o ngrep) até filtros de conteúdo, e as ferramentas de Forense de Rede (exemplo: no NetWitness você pode utilizar expressões regulares para pesquisas avançadas em conteúdos, metadados, ou para identificação de detalhes de protocolos/aplicações com a tecnologia de FlexParser)

3) Forense de Mídias

O uso de expressões regulares está entre as análises mais comuns que são utilizadas em forense computacional (seja em frameworks GPL como o CAINE e o SIFT, seja em ferramentas comerciais como o FTK e ENCASE).

Isto vale tanto na para criação de palavras-chave para pesquisa quanto para a identificação de assinaturas de arquivos / análise de extensão versus header (Exemplo: os primeiros bytes de um JPEG padrão iniciarão com [\xFF\xD8\xFF[\xE0\xEE] - onde \x significa um valor hexadecimal e as chaves significam ou E0 ou EE).

Referências:

Seguem algumas referências para facilitar o treinamento de equipes que precisam utilizar expressões regulares em seu dia-a-dia:

1 - http://gskinner.com/RegExr/ - editor de expressões regulares em versão online e desktop

2 - http://ryanswanson.com/regexp/#start - flex 3 regular expression explorer (obrigado @welias)

3 - Regex Coach - Programa (Win/Linux) gratuito para auxiliar a criação de regexes;

4 - http://www.regular-expressions.info/ - repositório com exemplos, sintaxe, referências, livros, etc;

Falsa Segurança - Uma verdade inconveniente

Para uma organização obter sucesso em seu programa de Segurança da Informação, são necessárias iniciativas que visem manter a integridade, disponibilidade, não repúdio, autenticidade e confidencialidade das informações críticas para a organização.

Até aí tudo certo, a grande maioria das empresas/órgãos possui uma Política de Segurança publicada que delineia estes objetivos, o problema é que uma visão míope do que são as verdadeiras ameaças costuma gerar investimentos e concentração de esforços em iniciativas generalizadas, estéreis ou ineficientes.

Normalmente podemos dividir as iniciativas práticas na área de Segurança da Informação em três grandes grupos:

1) definição e proteção de dados / ativos críticos (visam EVITAR )
ex: classificação da informação, hardening, criptografia, desenvolvimento seguro, hsm, firewall ...

2) detecção dos variados ataques a dados /ativos críticos (visam ALERTAR)
ex: anti-vírus, anti-spam, ids/ips, registro de auditoria de s.o. e aplicativos, dlp, correlação/siem, ...

3) reação, identificação, e responsabilização de fontes de ameaça (visam PUNIR)
ex: resposta a incidentes, forense computacional (mídias, memória, rede), processos administrativos internos/persecusão penal, ...

A visão míope e o investimento baseado em proteção sem um feedback dos processos de detecção e reação acabam gerando números como os divulgados pelo último relatório sobre resposta a incidentes da Verizon. As equipes de segurança responsáveis pelos ativos comprometidos foram informadas dos ataques por terceiros em mais da metade das vezes (55%) !

Algumas discussões recentes sobre a distância das Políticas no papel e a realidade na área de Segurança da Informação colocam em cheque ações tradicionais que organizações costumam realizar em seu dia-a-dia - faço meus comentários de cada ponto abaixo:

• [ "Não mexa se não estiver quebrado" ]
  

1. Afinal de contas, o IDS/IPS está ótimo - que está antes do firewall - veja, está bloqueando milhares de ataques vindos da internet por dia (um monte de Blasters, Sassers, Mydooms e brute-forces de ssh romenos). Os ataques vêm se modificando numa taxa muito superior à atualização de nossas ferramentas e processos. Sempre digo que o mais perigoso num AV ou IPS não são os (muitos) falso-positivos, mas os poucos falso-negativos - neste caso não vale o ditado "o que os olhos não vêem.. "
2. "Para que atualizar de forma programada os patches do sistema operacional, se a máquina não está na DMZ? Quem se responsabiliza se o serviço parar?"
3. "Metodologia de Desenvolvimento Seguro? Para que? Isto atrasaria demais nossas demandas internas..."
4. Você precisa ter bem definidos os grupos responsáveis pelas atividades execução e auditoria das atualizações/evoluções nas tecnologias de segurança, assim como das correções de segurança de aplicações, sistemas operacionais e uma metodologia para desenvolvimento de sistemas implantada.
   

• [ Soluções de Segurança Plug-and-P[l,r]ay. ]
  

1. "Tunning de IDS/IPS? Mudar o AV? Mas hoje ele(s) já pega(m) mais de 1000 ataques por dia!"
   
2. "Compramos uma solução UTM e nunca mais tivemos problemas com segurança".
3. "Eu não sei como funciona. Isto é com o vendor ou revenda, eu sou o Gestor da solução".
   
4. Voce deve se perguntar: Quem sabe como funciona? Quem é responsável por manter atualizados os sistemas e processos considerando as ultimas vulnerabilidades, assinaturas, ataques, correções e políticas? Não seja como a maioria que só se "mantém desinformada" até que um sério incidente de segurança abale as estruturas e force alguma mudança.

• [ Quem sabia administrar/configurar isto foi embora... / Pessoal especializado em segurança é raro e cada vez mais caro.. ]
  

1. O turnover na área de segurança é muito alto. Por mais letrinhas de certificações que existam depois de um nome em um Curriculum, o que mais conta na hora da verdade é a experiência;
   
2. Quem assume uma solução de segurança "herdada" de outro profissional ou equipe fica relutante em usá-la e mantê-la por desconhecimento / medo da responsabilidade;
   
3. É fundamental investir e manter pessoal treinado e preparado para assumir novas atribuições para não deixar trabalhos de anos se perderem porque o responsável não está mais na organização;
   
4. Você deve estimular a transferência de conhecimento internamente com frequência.
   

• [ Muitas caixas, nenhum conhecimento ]

1. Múltiplos appliances, softwares e serviços instalados geram um esforço e custo financeiro para mantê-los que acaba minando a possibilidade de soluções customizadas e criativas - muitas vezes mais adaptadas à sua necessidade;
2. Não invista em soluções de segurança por impulso, não seja alvo fácil do FUD (Fear, Uncertainty and Doubt) do mercado de segurança;
   
3. Segundo uma comparação feita em uma das discussões que listamos, estamos tão ocupados mantendo muros enquanto os atacantes estão construindo aviões para voar por cima destes muros;
4. É necessário pensar estrategicamente e ajustar as ações - como já apontamos em alguns posts - com o foco sempre nas ameaças e problemas reais.

Se você identificou que sua organização sofre com algum dos pontos acima e precisa de um guia comprovadamente eficiente para abordar os desafios listamos, sugiro o excelente "Recommended Security Controls for Federal Information Systems and Organizations"- que foi revisado neste mês pelo NIST.

Medley: Forense USB e Shadow, Backtrack 4, Twitter+Bots e mais!

Não costumo fazer posts genéricos, mas tenho visto tanta coisa interessante, que preferi fazer um resumo de algumas novidades:

Seguem os links recomendados:

Forense Computacional:

• Passo a Passo para Forense de uso de PenDrives USB e Forense de uso de Discos USB para WinXP, Vista e Win7 (via SANS)
• Boas dicas de Análise Forense para Shadow Copies em Vista (via SANS)
• Entrevista com Harlan Carvey (autor do Windows Forensic Analysis) (via Help Net)
• Enscript para fazer Hash de Texto selecionado no Encase (via Lance Mueller)
• Entrevista com o Diretor de Forensics da KPMG sobre a evolução da Forense Corporativa (via BankInfoSecurity)

Resposta a Incidentes:

• Live CD BackTrack 4 Pre Release Disponível para Download (via Remote-Exploit)
• Utilização do Twitter como Comando e Controle de Bots/Trojan bancários (via Arbor)
• Questões de escalabilidade de soluções de Correlação de Logs / SIEM (via TaoSecurity)
• Preso mais uma vez Albert Gonzalez - hacker da TJX e Heartland (via Wired)