Frameworks para compartilhamento de informacoes sobre incidentes de segurança

[ Update: 08/08/2013 ]

Uma versão interativa do último relatório da Verizon pode ser visto no link abaixo - recomendado:

http://public.tableausoftware.com/views/vcdb/Overview

[ Update: 25/04/2013 ]

Leitura obrigatória para quem trabalha na área, o "2013 Verizon Data Breach Report" inclui uma série de informações e métricas interessantes sobre incidentes de segurança ocorridos durante o ano passado. O  site do Framework Veris - padrão utilizado para compilar o relatório e já citado neste post - é uma ótima base para as organizações e CSIRTs de coordenação que precisam  lidar com fontes diversas de informações de incidentes: http://www.veriscommunity.net/doku.php

O que eu acabei conhecendo é um outro padrão, do CERT / Carnegie Mellon - chamado "The CERT Insider Threat Database" - que é um outro Framework interessante nos mesmos moldes - já incluído na lista de referências abaixo.

[ Update: 27/01/2013 ]

Um dos maiores desafios na área de Resposta a Incidentes é o compartilhamento de informações entre entidades - CSIRTs, Backbones, Provedores de Acesso  e Forças da Lei - entre outros. Por este motivo, conhecer e divulgar iniciativas bem sucedidas é de suma importância para todos os envolvidos.

Um dos grandes problemas que as organizações afetadas por incidentes de segurança enfrentam é a dificuldade de receber e enviar informações sobre os ataques bem sucedidos ocorridos na sua constituência para outras organizações como Grupos de Coordenação de Incidentes (como o CERT.BR e o CTIR.GOV, no Brasil) e até mesmo para Forças da Lei, por exemplo em eventos que precisem ser investigados sob o ponto de vista das novas leis de crimes cibernéticos brasileiras (12735/2012 e 12737/2012). 

Como o Dr. Emerson Wendt colocou em um artigo conjunto publicado há cerca de 3 anos atrás aqui no blog: "São diversas as ocasiões em que contatamos, com a devida ordem judicial, o suposto administrador da rede responsável e fomos informados que não  haveria como repassar a informação correta de qual computador e/ou usuário partiu o acesso criminoso". Nossa experiência mostra que esta realidade se repete há vários anos em vários estados e diferentes esferas federativas.

Por este motivo, meu objetivo com este post é chamar atenção para iniciativas já existentes de colaboração na área, seja pelo compatilhamento de eventos ou metadados relacionados a incidentes de segurança ou atividades consideradas indesejadas, seja por padronização na troca de informações que beneficiem os atores envolvidos em um processo de Resposta a Incidente de Segurança.

Além do OpenIOC, já citado anteriormente neste post, vale ressaltar algumas outras iniciativas de disseminação e compartilhamento de informações sobre incidentes de segurança (e possíveis crimes cibernéticos), relacionadas abaixo:

Padrões Abertos:


IDMEF - Intrusion Detection Message Exchange Format (IETF)
IODEF - Incident Object Description and Exchange Format (IETF)

MAEC - Malware Attribute Enumeration and Characterization (MITRE)

CAPEC - Common Attack Pattern Enumeration and Classification (MITRE)
OVAL - Open Vulnerability and Assessment Language (MITRE)
MMEF - Malware Metadata Exchange Format (IEEE)
SCAP - Security Content Automation Protocol (NIST)
YARA - Malware Identification and Classification 
CITD - CERT INSIDER Threat Database  (CERT)


Padrões da Indústria:

CEF - Common Event Format (PDF) - ArcSight/HP 
VERIS - Vocabulary for Event Recording and Incident Sharing (blog post) - Verizon
VRT - http://www.snort.org/vrt - SourceFire
OPENIOC - Open Indicators of Compromise - Mandiant (mais informações abaixo).


[ Update: 04/10/2012 ]

A dificuldade de se compartilhar informações sobre incidentes entre organizações é um problema antigo, e existem algumas alternativas que podem auxiliar quem está buscando soluções. 

Hoje sairam três updates interessantes sobre o assunto:

Python tools for IOC (Indicator of Compromise) handling

https://github.com/jeffbryner/pyioc

Understanding Indicators of Compromise (IOC) Part I
http://blogs.rsa.com/will-gragido/understanding-indicators-of-compromise-ioc-part-i/

Government Agencies Get Creative In APT Battle
http://www.darkreading.com/threat-intelligence/167901121/security/news/240008438/government-agencies-get-creative-in-apt-battle.html

[ Update: 17/11/2011 ]

Hoje o DarkReading publicou um interessante artigo sobre o OpenIOC:

• New Lingua Franca For Exchanging Cyberattack Intelligence

No texto são também comentados outros frameworks já citados por aqui:

• Verizon Data Breach Framework
• Malware Attribute Enumeration and Characterization, do Mitre.

[ Post Original: 02/11/2011 ]

Framework OpenIOC - Open Indicators of Compromise

Considero o projeto iniciado pelo Kevin Mandia (publicado no livro "Incident Response & Computer Forensics") e agora disponibilizado oficialmente como um framework aberto (licença Apache 2) o mais organizado esforço da definição de um padrão (schema XML) que "descreve características técnicas de ameaças, metodologias de atacantes e outros indicadores de comprometimento" - útil demais para controle de modus operandi de incidentes, troca de informações intra e entre CSIRTs, interoperabilidade de ferramentas, entre outros.
Falei brevemente do OpenIOC durante uma apresentação sobre os avanços em Resposta a Incidentes e Computação Forense, durante o ICCyber 2010.

Mais informações:

FAQ: http://openioc.org/#faq

Base Schema: http://schemas.mandiant.com/2010/ioc/ioc.xsd

Other Schemas: http://schemas.mandiant.com/

OpenIOC Free Tools:
http://www.mandiant.com/products/free_software/iocfinder/
http://www.mandiant.com/products/free_software/ioceditor/

Other Free Tools: http://www.mandiant.com/products/free_software

+ info relacionada (2010): http://www.mandiant.com/presentations/state_of_the_hack_abcs_of_ioc/qa

Site oficial: http://openioc.org/

Estratégias para mitigar intrusões direcionadas

[ Update 24/10/2012 ]

O governo australiano,  através de seu "Defence Signals Dictorate" acaba de divulgar um update para a lista de "Top 35 Mitigation Strategies" com algumas mudanças na priorização na "efetividade" das estratégias recomendadas de mitigação - vale a pena conferir e considerar na priorização de ações de defesa.

A tabela disponibilizada são medidos várias características da estratégia, incluindo "Efetividade Global de Segurança", a "Resistência dos Usuários", os "Custos de Implementação", os "Custos de Manutenção" e também se: a estratégia Previne e/ou Detecta a intrusão; e se ajuda a mitigar quais estágios da intrusão.

HTML /Tabela (PNG) / PDF

As dez estratégias de defesa mais eficientes:

1. Whitelisting de Aplicações
2. Patching de Aplicações
3. Patching de Sistemas Operacionais
4. Minimizar os usuários com permissões administrativas locais ou de domínio
5. Desabilitar contas de administrador locais
6. Autenticação de múltiplos fatores
7. Segmentação e segregação de redes
8. Firewall de Aplicação em Estações de trabalho para negar tráfico 'entrante'
9. Firewall de Aplicação em Estações de trabalho para negar tráfico 'sainte'
10. Sistema Virtualizado não persistente para atividades arriscadas como leitura de email e navegação na internet.

Veja todas as 35 estratégias no site oficial - Top 35 Mitigation Strategies.

[ Update - 03/08/2011 ]

A Mcafee acaba de divulgar informações sobre a "Operation Shady RAT". Trata-se de um relatório contendo detalhes de intrusões direcionadas a mais de 70 empresas, organizações e governos, nos últimos 5 anos. Vale a pena dar uma olhada no PDF e nos timelines disponibilizados.

Veja a descrição do modus operandi utilizado pelos adversários nas intrusões: 

"The compromises themselves were standard procedure for these types of targeted intrusions: 

(1) a spear-phishing email containing an exploit is sent to an individual with the right level of access at the company, and the 

(2) exploit when opened on an unpatched system will trigger a download of the implant malware. That 

(3) malware will execute and initiate a backdoor communication channel to the Command & Control web server and interpret the instructions encoded in the hidden comments embedded in the webpage code. 

(4) This will be quickly followed by live intruders jumping on to the infected machine and proceeding to quickly escalate privileges and 

(5) move laterally within the organization to establish new persistent footholds via additional compromised machines running implant malware, as well as (6) targeting for quick exfiltration the key data they came for"

Links Relacionados:

Ghostnet - http://sseguranca.blogspot.com/2009/03/ghostnet-possivel-espionagem.html
Aurora - http://sseguranca.blogspot.com/2010/01/china-vs-google-e-cia-ou-nao-ha-como.html

[ Post Original - 20110802 ]

Apesar de sabermos que vulnerabilidades em aplicações (SQL Injection, Cross Site Scripting, etc..) são muito exploradas por adversários, o caminho mais fácil para invadir uma empresa é explorar seu elo mais fraco: o usuário...

O vídeo abaixo, da Silicium Sec, demonstra visualmente a facilidade de se obter sucesso com um ataque deste tipo (são mostrados 5 passos):

Além de explorar os usuários - que devem ser treinados para se conscientizar destes riscos e serem capazes de reagir adequadamente a este tipo de ataque - os atacantes contam também com a falta de preparo de administradores de T.I. e times de Segurança da Informação.

Mas afinal, o que as empresas devem fazer para que não sejam vítimas deste tipo de ataque?

O governo da Austrália, através de seu "Department of Defence - Intelligence and Security", divulgou uma lista "TOP 35 Mitigation Strategies" (sendo que as primeiras 4 são consideradas as mais importantes) - contendo as principais estratégias de mitigação para evitar que intrusões direcionadas utilizando técnicas como as divulgadas no vídeo acima tenham sucesso.

As estratégias de mitigação são apresentadas, incluindo colunas com a "Efetividade Global de Segurança", a "Resistência dos Usuários", os "Custos de Implementação", os "Custos de Manutenção" e também se: a estratégia Previne e/ou Detecta a intrusão; e se ajuda a mitigar quais estágios da intrusão (execução de código; propagação na rede; exfiltração de dados)

Seguem as 4 principais estratégias listadas:

• Patch de aplicações (muito utilizadas e "bugadas") como leitores PDF, Microsoft Office, Java, Flash Player e navegadores;
• Patch de vulnerabilidades dos sistemas operacionais;
• Minimizar o número de usuários com privilégios administrativos (útil quando as vulnerabilidades de elevação de privilégio foram corrigidas);
• Utilizar whitelisting de aplicações para ajudar a previnir que malware e outros programas não aprovados sejam executados.

Para a lista completa com as 35 estratégias e mais detalhes, acesse: http://www.dsd.gov.au/infosec/top35mitigationstrategies.htm

Nasce a APURA - Inteligência em Cibersegurança e Investigações Digitais

É com muita satisfação que anuncio o lançamento da minha empresa, APURA - Inteligência em Cibersegurança. 

Mais informações no site: http://www.apura.com.br

Palantir - Inteligência em Análise Colaborativa

[ Update - 01/12/2011 ]


Hoje o Antônio César, publicou em seu blog pessoal um excelente material entitulado "Palantir - A Arma Secreta da Guerra Contra o Terror", baseado em uma reportagem da BusinessWeek  - leitura recomendada! Segue o link:

http://rootgen.blogspot.com/2011/11/palantir-arma-secreta-da-guerra-contra.html


[ Post Original - 18/07/2011 ]

O site da Techbiz Forense acaba de publicar o seguinte artigo:

"Do governo americano para os clientes da TechBiz"


Forense Digital traz para o Brasil o poder de análise e gerenciamento da Palantir Technologies.

Palantir foi o nome dado por J.R Tolkien aos artefatos mágicos de seu universo ficcional. Eles permitiam vislumbrar fatos distantes no tempo e no espaço, estando em qualquer parte do mundo. Palantir é também o nome da mais recente parceira internacional da TechBiz Forense Digital, a norte-americana Palantir Technologies, fabricante de uma poderosa plataforma de integração de de dados para análise de registros e cruzamento de informações. Qualquer semelhança com as pedras mágicas de Tolkien não é mera coincidência.

A ampla visibilidade da rede proporcionada pela ferramenta, a integração de dados estruturados e não estruturados, a capacidade de interação e colaboração entre as equipes de investigação, empresas e forças da lei são apenas alguns dos elementos dessa solução que remetem ao fantástico mundo do autor de “Senhor dos Aneis”.

E suas aplicações são as mais diversas possíveis, da análise de um malware, passando por investigações de fraudes financeiras, até o terrorismo de grupos internacionais como o Hezbollah. Não é por menos que um dos principais clientes da Palantir no mundo é o governo dos Estados Unidos. “Não se trata de inteliência artificial, mas de alavancar a inteligência humana de análise de dados massivos com o poder da computação e da colaboração”, resume Sandro Süffert, CTO da TechBiz Forense Digital.

Variáveis

Imagine a quantidade de variáveis que podem existir em uma análise simples de um incidente envolvendo um código malicioso. Quem recebeu esse malware? O que as pessoas que o receberam têm em comum? Será que esse ataque não foi detectado pelo antivirus porque é direcionado à minha empresa? Será que esse episódio tem a ver com a participação desses funcionarios em uma viagem qualquer?

Para responder a essas perguntas, sugestionadas pela própria ferramenta, é preciso buscar na rede de computadores logs, dados sobre viagens, ficha do empregado, arquivos acessados… Enfim, fazer uma pesquisa extensa o cruzar os resultados encontrados.

“Esse tipo de análise cruzada dificilmente é feito forma automática. É preciso um analista para pensar essas relações. Com o Palantir tudo é facilitado a partir do acesso a bases de dados cadastradas, que podem ser estruturadas ou não. Com a funcionalidade ‘Search Around’ o usuário tem a capacidade Enterprise de buscar por objeto ou suas propriedades e fazer queries em todas as suas bases – com uma capacidade de análise temporal, geoespacial, estatística e de vínculos”, explica Süffert.

É possível integrar o sistema com ferramentas de correlação de eventos como SIEMs (como por exemplo o ESM da Arcsight), mas elas não é obrigatória. Assim como no Google, o usuário pode começar a pesquisa pela barra de Search, sem necessidade de um lead ou de um evento para iniciar o processo. Quando se clica em qualquer objeto ou vínculo aparece um menu com possibilidades de busca de objetos, documentos, propriedades, perfis e eventos.

“No caso de quadrilhas ou grupos terroristas, por exemplo, é possível pesquisar todos os incidentes promovidos pelo grupo nos últimos anos. Selecionar através da análise de histogramas (estatística) apenas os episódios envolvendo caraterísticas únicas (nacionalidade dos alvos, armas utilizadas, modus operandi, etc). Além disto, é possível visualizar a linha do tempo dos eventos, listar as entidades e os dados relacionados e fazer uma plotagem geoespacial no mapa apresentado pela ferramenta”, exemplifica.

Capacidade

O Palantir organiza a informação, mantém a integridade dos dados, audita e grava tudo o que é relevante para a análise do caso – com registro e capacidade de auditoria ou edição de qualquer passo executado. É o chamado gerenciamento do conhecimento. A ferramenta possui interfaces Java e Web, o que não demanda instalações prévias e é baseada em tecnologia open source.

O módulo Raptor permite a indexação de dados estruturados ou não e evita a duplicação de fontes de dados. A funcionalidade de edição de Ontologia permite a configuração semântica dos dados, possibilitando cruzamento e resolução das informações sem que elas se misturem. Para apresentar os resultados da pesquisa, basta selecionar os passos gerados automaticamente pela ferramenta e apresentá-los em slides ou em formato HTML.

A solução conta ainda com uma tela de navegação, com local para armazenamento de objetos conhecidos e pesquisas persistentes – que geram alertas aos analista baseadas em qualquer dado presente na solução. Além do browser, há uma tela para análise de vínculos (gráficos), mapas, análises estatísticas, timeline, fonte de dados (estruturados e não estruturados), histórico e análise do conteúdo.

Veja também no canal do Youtube da Palantir vários vídeos de demonstração da solução.

Espionagem internacional China vs Tibet (GhostNet) e outros países

fonte infográfico: artigo relacionado do New York Times.

[ 2010-04-06 - Update ]

Mais novidades sobre as atividades de cyber-espionagem com origem na China.

Um novo relatório, chamado de "Shadows In The Cloud - An investigation into cyber espionage 2.0" (pdf) - expande as informações que foram aqui originalmente apresentadas por este post. Além da Universidade de Toronto, o CitizenLab e a ShadowServer Foundation e o SecDev Group participaram do projeto.

Os investigadores documentam evidências de atividades ligadas a comunidade chinesa (província de Chengdu) de cyber-espionagem que envolveram o comprometimento de instituições Governamentais, Acadêmicas e Comerciais na Índia, Nações Unidas, Embaixada do Paquistão nos Estados Unidos, entre outros.

Foram também recuperados documentos do governo Indiano que vazaram destes alvos, incluindo dois marcados como SECRETOS, seis como RESTRITOS e cinco como CONFIDENCIAL, Além de cerca de 1500 cartas enviadas pelo escritório do Dalai Lama.

Mais informações:

http://www.wired.com/threatlevel/2010/04/shadow-network/

http://www.nytimes.com/2010/04/06/science/06cyber.html

http://www.infowar-monitor.net/2010/04/shadows-in-the-cloud-an-investigation-into-cyber-espionage-2-0/

http://politicalhacking.blogspot.com/2010/04/recommended-reading-shadows-in-cloud.html

[ 2010-01-13 - Update ]


O Google - através de seu Diretor Jurídico - publicou ontem um artigo no seu Blog Oficial chamado "A new approach to China". A empresa divulgou que vários ataques a partir da China têm ocorrido, incluindo roubo de propriedade intelectual do Google e acesso não autorizado a informações de pessoas de diferentes nacionalidades que lutam a favor dos direitos humanos.

Além disto eles divulgaram que durante a investigação que foi feita, outros setores da economia americana também foram afetados (Internet, Financeiro, Tecnologia, Mídia e Químicos).O Google também anunciou que não irá mais censurar os resultados de pesquisas feitos a partir da China, o que deve gerar problemas para a continuidade empresa na China (google.cn).

Outras 33 empresas - apenas da área de tecnologia - também foram afetadas pelo ataque descrito pelo Google e com técnicas similares ás detalhada no post original abaixo.

[ 2009-10-12 - Update ]

Jornais portugueses divulgam relatório que afirma que informações sensíveis do país foram roubadas pela Ghostnet, incluindo "informação capaz de facultar o acesso a bases de dados do Ministério da Justiça, ficheiros sobre o sistema que gere as eleições em Portugal, documentos da Polícia Judiciária e informação sobre juízes e magistrados".

[ 2009-04-02 - Update ]

O americano Heike, militar aposentado da área de inteligência e especialista em cultura hacker chinesa, publicou em seu blog The Dark Visitor o resultado de pesquisas de identificação de um dos indivíduos por trás da rede de espionagem "GhostNet". Até o momento os suspeitos não tem nome, mas já tem nickname (lost33 & losttemp33), cidade (Chengdu, Sichuan [google maps]) e universidade ("University of Electronic Science and Technology of China" [Google Translate]


[ 2009-03-29 - Post Original ]

É crescente a preocupação dos governos com a "CyberWar", e este é um motivos que motivou vários países a priorizar cada vez mais ações de Cyber-Segurança.

No sábado passado, pesquisadores da Universidade de Toronto publicaram um paper (mirror pdf) (link original - lento) muito interessante intitulado "Tracking GhostNet - Investigating a Cyber Espionage Network".

Trata-se de uma investigação conduzida nos últimos 10 meses a pedido do Dalai Lama, sobre uma suposta espionagem internacional efetuada pela China contra o Tibet e outros países

O envolvimento oficial do governo não foi inteiramente confirmado (e já foi negado oficialmente) - apesar de algumas confissões de hackers chineses no passado (video cnn) )(principalmente asiáticos) que envolveu 1295 computadores em mais de 100 nações.

O que diferencia este ataque e análise de tantos outros é que 30% dos alvos incluem forças militares, ministérios de relações exteriores, embaixadas, organizações internacionais e jornais de vários países.

A abordagem direcionada dos atacantes, segundo a F-Secure (traduzida e simplificada por nós), é a seguinte:

1. somente um alvo (do governo ou ONG) recebe um email 'spoofado' de algum conhecido, com texto e anexo (PDF,DOC,PPT ou XLS) que fariam sentido para o alvo e o falso remetente.

2. Como o alvo quase sempre possui alguma aplicação vulnerável (Adobe Reader, Microsoft Word ou Excel), o anexo malicioso instala um trojan de acesso remoto (RAT), como os seguintes [ atenção, não siga os próximos links a não ser que saiba o que está fazendo ] Grey Pigeon, Gh0st Rat (site chinês) e Poison Ivy.

3. A partir daí, o computador do alvo não mais lhe pertence, e sua navegação, emails e documentos podem ser vistos por seus piores adversários, que irão utilizar as palavras chave mapeadas nas máquinas atacadas para enviar emails aparentemente válidos com anexos maliciosos para novos alvos (1.).

Entre as informações expostas no paper, há evidências documentadas da invasão de computadores que continham informações sensíveis do escritório privado do Dalai Lama e outros alvos Tibetanos.

O paper é dividido em 3 partes:

I - Análise de alegações prévias de cyber espionagem pela China e métodos utilizados nesta investigação

II - Detalhamento da condução da investigação - Apresentação de achados.

III - Análise dos achados, implicações e sugestão de explicações alternativas.

Pesquisadores da Universidade de Cambridge, no Reino Unido, publicaram um relatório técnico sobre o mesmo tema (GhostNet), entitulado The snooping dragon: social-malware surveillance of the Tibetan movement (pdf).