Livros de Seguranca Resposta a Incidentes e Forense Computacional

[ Update 26/11/2014 ]

Update: Depois da excelente palestra "Ten Strategies of a World-Class Cybersecurity Operations Center” na conferência Shmoocon do ano passado, conversei com o consultor do Mitre Carson Zimmerman sobre meu interesse em discutir / trocar informações sobre o assunto.

Hoje recebi um email do mesmo publicando informações sobre o livro gratuito que ele publicou, através do MITRE, sobre o assunto. Fiz questão de atualizar este post para ajudar na divulgação deste excelente material que pode ser muito útil para organizações que estão montando ou tentando melhorar seus CSIRTs e SOCs:

http://www.mitre.org/publications/all/ten-strategies-of-a-world-class-cybersecurity-operations-center



 [ Update 14/05/2013 ]

Seguem alguns títulos que li nos últimos meses e que  adiciono à lista de livros recomendados sobre Seguranca, Resposta a Incidentes e Forense Computacional:

• The Death of the Internet (Markus Jakobson)
• Blackhatonomics: An Inside Look at the Economics of Cybercrime (Will Gragido and others)
• DarkMarket: How hackers Became the new Mafia (Misha Glenny)
• Windows Forensic Analysis Toolkit: Advanced Analysis Techniques for Windows 7 (Harlan Carvey)
• Hacking Exposed 7 (Stuart McClure)
• Cyber Warfare: Techniques, Tactics and Tools for Security Practitioners  (Jason Andress and others)

[ Update 23/11/2012 ]

O Richard Beijtlich publicou hoje uma lista de leituras recomendadas em seu blog, motivada pela solicitação de um Coronel da Força Aérea Norteamericana interessado nos tópico "Cyber":

Segue a lista:

"Nontechnical books:

• America the Vulnerable by Joel Brenner
• Cyber War by Richard Clarke and Robert Knake
• Crypto by Steven Levy
• Geekonomics by David Rice
• Security Metrics by Andrew Jaquith
• The Victorian Internet by Tom Standage
• The Cuckoo's Egg by Cliff Stoll
• Tiger Trap by David Wise

Technical books:

• Software Security by Gary McGraw
• The Art of Computer Virus Research and Defense by Peter Szor
• Real Digital Forensics by Keith Jones, Curtis Rose, and Richard Bejtlich
• Incident Response by Kevin Mandia, Matt Pepe, and Chris Prosise
• The Internet and Its Protocols by Adrian Farrell
• The Tao of Network Security Monitoring by Richard Bejtlich
• Hacking Exposed 7 by Joel Scambray, George Kurtz, Stuart McClure, and a ton of contributors

I also recommend any books by Timothy L Thomas."

[ Update 24/04/2011 ]

Atualizando as boas referências de livros sobre Segurança, esta lista do Carnal0wnage na Amazon está muito completa, confiram!

Outra ótima referência (com juízo de valor qualificado) são as dezenas de reviews do Bejtlich na Amazon.

[ Update - 20/01/2011 ]

A Gisele Truzzi também publicou uma lista: Bibliografia - Direito Digital, Crimes Digitais e Perícia Forense - recomendada! Confira também a Biblioteca Forense (com capas dos livros) recomendada pelo José Milagres.

[ Update - 02/12/2010 ]

O site da Digital Forensics Association publicou uma lista extensa de referência bibliográfica. Por uma questão de organização, estou colocando esta lista ao final do post.

[ Post Original - 18/12/2009 ]

O treinamento e aperfeiçoamento das equipes internas responsáveis pelo tratamento de incidentes de segurança e forense computacional é certamente a iniciativa de melhor custo-benefício (ou custo-eficiência) que pode ser tomada por uma empresa ou órgão governamental.

Na minha experiência como analista e coordenador de times de resposta a incidentes e como consultor da área, sempre percebi que - apesar de ser a menos valorizada dentre todas as iniciativas necessárias, este investimento fundamental de preparação do corpo técnico é certamente o que faz a diferença na hora de responder a incidentes complexos de forma eficiente.

Em se tratando de treinamento e aperfeiçoamento temos os cursos tradicionais de ferramentas utilizadas pela equipe, cursos de preparação para certificações, os ótimos cursos do CERT.BR (olá Klaus & Cristine) e da Escola Superior de Redes da RNP (oi Jacomo).

Além disto é necessário que haja um interesse contínuo de atualização por parte dos profissionais envolvidos, pois a nossa área requer profissionais extremamente preparados e capazes - afinal normalmente iremos atuar quando todos os outros esforços já falharam e o que resta é que seja feita uma boa e rápida reação ao incidente analisado.

Pelos motivos acima, eu compilei - e pretendo manter atualizada (envie suas sugestões) - uma lista de alguns livros que considero importantes para um time de resposta a incidentes e forense computacional, incluindo o link para a página do livro na Amazon e uma breve descrição sobre o conteúdo de cada título.

Na lista existem livros mais teóricos e outros mais técnicos, e também livros criados especificamente para profissionais de segurança que atuam na defesa de sistemas e os que exploram o modus-operandi de atacantes para que os profissionais de segurança possam se preparar para investigar ataques utilizando estas técnicas.

O objetivo é auxiliar equipes e profissionais na obtenção de mais conhecimento relacionado às áreas de segurança, resposta a incidentes e forense computacional.

• Computer Evidence Collection & Preservation

Christopher L. T. Brown conseguiu prover um guia prático para coleta e preservação de evidências - considerando topologias de rede, metodologias de criação de imagens forenses, coleta de dados voláteis - é um livro bastante focado na manutenção da integridade das evidências digitais.

• CrimeWare

Markus Jakobsson e Zulfikar Ramzan escreveram parte e compilaram o restante das várias seções que este excelente livro nos apresenta. Todas elas são focadas no modus operandi atualizado dos criminosos e das ferramentas que estes utilizam (rootkits, bots, spyware, click fraud, etc..).

• Essentials of Corporate Fraud

Com o crescente interesse de outras áreas da empresa em investigações internas utilziando as tecnologias de resposta a incidentes e forense computacional, este livro é fundamental para uma compreensão rápida do mundo da Fraude Corporativa, incluindo as causas de sua existência, fraudes comuns, sinais da sua ocorrência e procedimentos normalmente utilizados por equipes de Anti-Fraude que provavelmente são ou serão clientes internos de seu expertize em resposta a incidentes.

• Exploiting Software - How to Brake Code

Greg Hoglund e Gary McGraw mostram de forma clara como se explora software vulnerável e apresentam ao leitor diferentes padrões de ataque, ferramentas e técnicas utilizadas em ataques reais. São cobertos temas como engenharia reversam exploração de clientes, servidores, buffer overflow e rootkits.

• Extrusion Detection

Richard Bejtlich apresenta neste ótimo livro uma abordagem realista para defesas de ataques ocorridos de dentro de uma organização. O livro aborda o design de redes melhor protegidas deste tipo de ataques, análise de sessões, utilização de forense de rede para entender e identificar a causa raiz de ataques complexos, além de vários estudos de caso interessantes e como respoder estes incidentes utilizando ferramentas open-source.

• File System Forensic Analysis

Brian Carrier detalha a estrutura, funcionamento interno e abordagem de investigação do ponto de vista baixo nível de Sistemas de Arquivos do tipo FAT, NTFS, Ext2, Ext3, UFS1 e UFS2 (se prepare para aprender a ler em hexadecimal).

• Forensic Discovery

Neste clássico livro de forense computacional para UNIX, Dan Farmer e Wietse Venema apresentam conceitos fundamentais para investigações modernas, como a ordem de volatilidade, confiança nas informações coletadas, captura e análise de memória, processo de boot, entre outros. Tudo isto utilizando as ferramentas originais criadas por eles no The Coroner ToolKit (TCT).

• Hacking Exposed Series

Esta série de sucesso apresenta técnicas utilizadas por crackers em ataques reais. Dentre os diferentes livros da série, são abordados aspectos como Segurança de Rede, Windows, Linux, Aplicações Web, Web 2.0, Códigos Maliciosos e RootKits, Wireless, entre outros!

• Hacking - The Art of Exploitation

Jon Erickson provê um livro de crescente complexidade apresentando os conceitos necessários para compreender e utilizar técnicas de programação para exploração de vulnerabilidades, debug de códigos, codificação de exploits, detalhes importantes de networking, shellcodes e medidas defensivas.

• Malware Forensics

James M. Aquilina, Eoghan Casey e Cameron H. Malin apresentam um guia prático - com ênfase em ferramentas gratuitas - de análise e investigação de códigos maliciosos em situações live e em post mortem. Este extenso livro aborda temas como a coleta de dados voláteis de windows e linux, a análise de dumps físicos e de processos e descoberta e extração de de artefatos em unix e windows.

• Mastering Windows Network Forensics and Investigation

Steve Anson e Steve Bunting apresentam uma abordagem completa para investigações envolvendo crimes eletrônicos - desde a entrevista inicial com as vítimas, passando pelo entendimento de como atacantes exploram vulnerabilidades em redes reais, detalhes de file-systems, registros, análise de dados voláteis, análise de computadores de suspeitos, utilização do Encase para análise de eventos ocorridos em máquinas Windows, e chegando à fase final de como apresentar tecnicamente as informações processadas para públicos variados, como júris e advogados.

• Practical Intrusion Analysis: Prevention and Detection for the Twenty-First Century

O autor faz uma revisão no início do livro sobre conceitos fundamentais para a Detecção de Intrusões, como endereçamento IP, subnetting, e pacotes, que considerei desnecessária para um livro com este título, porém logo depois ele detalha de forma adequada as soluções de rede e de end-point para uma resposta a incidentes efetiva.

• Rootkits

Greg Hoglund e James Butler apresentam neste livro técnicas detalhadas da confecção e utilização de rootkits que subvertem o sistema, proporcionando ao atacante o controle remoto de máquinas, invisibilidade de processos e arquivos e sniffers de teclado. Técnicas avançadas como Hooking, Runtime Patching e manipulação direta de objetos do kernel de máquinas Windows são apresentadas, assim como dicas de como detectá-las durante a investigação de um sistema suspetio.

• Security Log Management

Jacob babbin, Dave Kleiman, Everret Carter Jr, Jeremy Faricloth e Mark Burnett apresentam neste livro o que é necessário ser feito do ponto de vista de monitoração de eventos de segurança críticos para ser capaz de: investigar intrusões baseados em logs de sistema, construir uma infra-estrutura de relatórios baseada em logs existentes de firewall, sistema, servidores web e ids/ips e como abordar um projeto para implantar uma ferramenta de SIEM (Security Information and Event Monitoring), incluindo a utilização de ferramentas open-source para agilizar o processo.

• Security Metrics - Replacing Fear, Uncertainty and Doubt

Andrew Jaquith desafia a dificuldade na medição do "retorno de investimento" (ROI) das iniciativas de segurança neste livro original. São apresentadas melhores práticas para criar e utilizar métricas de segurança dentro de uma coorporação. O livro apresenta técnicas e procedimentos práticos para geração de métricas de cobertura e controle, gerenciamento de vulnerabilidades, qualidade de passwords, latência de correções, e risco ajustado ao negócio. Além disto, técnicas de visualização e apresentação do resultado são exploradas, buscando a apresentação de visões diferenciadas da eficiência das iniciativas de segurança dentro de uma empresa.

• Silence on the Wire

Michal Zalewski apresenta neste livro uma maneira criativa e inesperada de abordar a exploração e defesa de ataques sofisticadas, que vão desde a segurança de geradores de números randômicos e sua influência na captura de informações em comunicações encriptadas, emanações TEMPEST, ataques a aplicações web, vulnerabilidades wi-fi, falhas em implementações de fragmentação IP, e a detecção para alguns dos ataques descritos.

• Shellcoder's Handbook

Chris Anley, John Heasman, Feliz linder e Gerardo Richarte apresentam a última edição desta bíblia de como explorar computadores do ponto de vista da programação dos shellcodes. São explicados detalhadamente os códigos responsáveis por conseguir explorar as diferentes vulnerabildades em software. Excelente para a compreenção de como falhas são encontradas e como as explorações são pensadas e construídas de forma a obterem o resultado final.

• Perl Scripting for Windows Security

Harlan Carvey neste livro apresenta uma variedade de códigos em linguagem Perl para execução de análise forense (incluindo live response) em máquinas Windows e para Monitoração de Segurança de aplicações.

• Phishing Exposed

Lance James mostra neste ótimo livro a evolução do Phishing e as diferentes técnicas utilizadas pelos fraudadores, incluindo Malwares (Trojans), Blind Drops, Cross-Site Scripting, explorações SSL e DNS poisoning.

• Real Digital Forensics - Computer Security and Incident Reponse

Keith Jones, Richard Bejtlich e Curtis Rose apresentam técnicas eficientes de live response para máquinas Windows e Unix, Confirmação de ataques detectados, confecção de kits de resposta a incidentes, análise de dados voláteis e não-voláteis, execução e documentação de duplicações forenses, coleta e análise de evidência coletada na rede em ambiente windows e linux e reconstrução de atividades como navegação web, email e mudança no registro de máquinas analisadas.

• The Tao of NetWork Security Monitoring

Richard Bejtlich apresenta neste excelente livro uma abordagem híbrida de segurança e monitoração de rede, e mostra as melhores práticas e o caminho de como construir uma infraestrutura de monitoração de segurança com capacidade de customização de ferramentas existentes para a necessidade da sua rede. Várias ferramentas open-source são apresentadas e analisadas do ponto de vista da integração no framework de NSM (Network Security Monitoring)

• Windows Forensic Analysis v2

Harlan Carvey atualiza nesta segunda edição a melhor referência detalhada de análise forense de máquinas Windows utilizando ferramentas open-source. Repleto de exemplos reais e ferramentas e códigos criados e detalhados pelo próprio autor - é uma maneira eficiente e realista de aprender (ou se atualizar) nas melhores técnicas para análise forense de máquinas Windows, incluindo coleta de dados voláteis, análise de dados, análise de memória, análise de registro, análise de arquivos e seus metadados, análise de executáveis e rootkits.

Esta lista tende a crescer se eu mantiver a média de 4 livros técnicos sobre Segurança no ano. Alguns dos próximos candidatos estão na minha Wish List da Amazon.

Caso você tenha algum bom livro a recomendar - faça um mini-review e insira nos comentários!

[ Lista de livros da Digital Forensics Association <= links p/ a Amazon ]

1. Advances in Digital Forensics II (IFIP International Federation for Information Processing) (v. 2) 

Springer;
2. Alternate Data Storage Forensics

by Amber Schroader; Tyler Cohen;

3. Building a Digital Forensic Laboratory

by Andrew Jones, Craig Valli
;
4. CD and DVD Forensics

by Paul Crowley;
5. Computer and Intrusion Forensics (Artech House Computer Security Series)

by George Mohay, Alison Anderson, Byron Collie, Olivier de Vel, Rod McKemmish;
6. Computer Crimes and Digital Investigations

by Ian Walden;
7. Computer Evidence: Collection & Preservation (Networking Series)

by Christopher LT Brown;
8. Computer Forensics: Evidence Collection and Management

by Robert C. Newman;
9. Computer Evidence (Forensic Crime Solvers)

by Michael Dahl;
10. Computer Forensics: Incident Response Essentials

by Warren G. Kruse, Jay G. Heiser;
11. Computer Forensics: An Essential Guide for Accountants, Lawyers, and Managers

by Michael Sheetz;
12. Computer Forensics: Computer Crime Scene Investigation (Networking Series)

by John R. Vacca;
13. Computer Forensics: Principles and Practices (Prentice Hall Security Series)

by Linda Volonino, Reynaldo Anzaldua, Jana Godwin;
14. Computer Forensics and Cyber Crime: An Introduction

by Marjie T. Britz;
15. Challenges to Digital Forensic Evidence

by F Cohen;
16. Cybercrime and Society

by Majid Yar;
17. Cyber Forensics: A Field Manual for Collecting, Examining, and Preserving Evidence of Computer Crimes

AUERBACH;
18. Digital Crime And Forensic Science in Cyberspace (N/A)

by et AL;
19. Digital Evidence and Computer Crime, Second Edition

by Eoghan Casey
;
20. EnCase Computer Forensics: The Official EnCE: EnCase Certified Examiner Study Guide

by Steve Bunting, William Wei;
21. File System Forensic Analysis

by Brian Carrier;



22. Investigating Computer Crime In The 21st Century: Investigating Computer Crime In The Twenty-first Century

by Ronald L. Mendell;
23. Investigating High-Tech Crime

by Michael Knetzger, Jeremy Muraski;


24. Practical Guide to Computer Forensics: For Accountants, Forensic Examiners. and Legal Professionals

by Frank Grindstaff;



25. Silence on the Wire: A Field Guide to Passive Reconnaissance and Indirect Attacks

by Michal Zalewski;



26. Computer Forensics and Investigations

by Bill Nelson, Amelia Phillips, Frank Enfinger, Chris Steuart;
27. Computer Forensics JumpStart (Jumpstart (Sybex))

by Michael Solomon, Neil Broom, Diane Barrett;



28. Computer Investigation (Forensics: the Science of Crime-Solving)

by Elizabeth Bauchner;
29. Cyber Criminals on Trial

by Russell G. Smith, Peter Grabosky, Gregor Urbas


30. Cybercrime: Digital Cops in a Networked Environment (Ex Machina: Law, Technology, and Society)


31. J. M. Balkin;
32. 


 Cyber Crime Investigator's Field Guide

by Bruce Middleton;
33. Cyber Crime Investigations: Bridging the Gaps Between Security Professionals, Law Enforcement, and Prosecutors

by Anthony Reyes; Richard Brittson; Kevin O'Shea; Jim Steel;
34. Cybercrime: The Transformation of Crime in the Information Age (Crime and Society)

by David S. Wall
;
35. Incident Response and Computer Forensics, Second Edition

by Chris Prosise, Kevin Mandia, Matt Pepe;
36. Mastering Windows Network Forensics and Investigation

by Steven Anson, Steve Bunting;
37. The New Forensics: Investigating Corporate Fraud and the Theft of Intellectual Property

by Joe Anastasi;
38. Perl Scripting for Windows Security: Live Response, Forensic Analysis, and Monitoring

by Harlan Carvey, Jeremy Faircloth;
39. Real Digital Forensics: Computer Security and Incident Response

by Keith J. Jones, Richard Bejtlich, Curtis W. Rose;
40. Forensic Computer Crime Investigation (Forensic Science) 

CRC;
41. A Guide to Forensic Testimony: The Art and Practice of Presenting Testimony As An Expert Technical Witness

by Fred Chris Smith, Rebecca Gurley Bace;
42. Hacker's Challenge 2: Test Your Network Security & Forensic Skills

by Mike Schiffman, Bill Pennington, David Pollino, Adam J. O'Donnell;
43. Incident Response: Computer Forensics Toolkit

by Douglas Schweitzer;
44. International Guide to Combating Cybercrime

by Jody Westby;
45. Hacking Exposed Computer Forensics

by Chris Davis, Aaron Philipp, David Cowen;
46. Handbook of Computer Crime Investigation: Forensic Tools & Technology

by Eoghan Casey;
47. Information Risk And Security: Preventing And Investigating Workplace Computer Crime

by Edward Wilding;
48. The Investigator's Guide to Computer Crime

by Carl J., Ph.D. Franklin;
49. High Technology Crime Investigator's Handbook

by Gerald L. Kovacich, William C. Boni
;
50. Investigating Computer-Related Crime

by Peter Stephenson;
51. Malware Forensics: Investigating and Analyzing Malicious Code

by Cameron H. Malin, Eoghan Casey, James M. Aquilina;
52. iPhone Forensics: Recovering Evidence, Personal Data, and Corporate Assets

by Jonathan Zdziarski;
53. Privacy Protection and Computer Forensics, Second Edition

by Michael A. Caloyannides;
54. Forensic Computing: A Practitioner's Guide (Practitioner Series)

by A J Sammes, Brian Jenkinson;
55. Forensic Discovery (Addison-Wesley Professional Computing Series)

by Dan Farmer, Wietse Venema;
56. Foundations to Computer Forensics and Online Crime Investigations (Middle_english Edition)

 by Luis M Andrade, Wayne P Firestone;
57. Cyber Forensics: A Field Manual for Collecting, Examining, and Preserving Evidence of Computer Crimes, Second Edition (Information Security)

by Jr., Albert Marcella, Doug Menendez’
58. Guide to Computer Forensics and Investigations, Second Edition

by Amelia Phillips, Bill Nelson, Frank Enfinger, Christopher Steuart;
59. Digital Crime and Digital Terrorism

by Robert W. Taylor, Tory J. Caeti, Kall Loper, Eric J. Fritsch, John Liederbach;
60. Mac OS X, iPod, and iPhone Forensic Analysis DVD Toolkit

Syngress;
61. Scene of the Cybercrime: Computer Forensics Handbook

by Debra Littlejohn Shinder, Ed Tittel;
62. Techno Security's Guide to E-Discovery and Digital Forensics: A Comprehensive Handbook

by Jack Wiles;
63. The Official CHFI Study Guide (Exam 312-49)

by Dave Kleiman, Craig Wright, Jesse "James" Varsalone, Timothy Clinton, Michael Gregg;
64. UNIX and Linux Forensic Analysis DVD Toolkit

by Chris Pogue, Cory Altheide, Todd Haverkos;
65. Transnational Criminal Organizations, Cybercrime, and Money Laundering: A Handbook for Law Enforcement Officers, Auditors, and FinancialInvestigators

by James R. Richards;
66. Windows Forensics: The Field Guide for Corporate Computer Investigations

by Chad Steel;
67. Windows Forensic Analysis Including DVD Toolkit

by Harlan Carvey;
68. Windows Forensics and Incident Recovery (Addison-Wesley Microsoft Technology Series)

by Harlan Carvey;
69. Multimedia Forensics and Security

IGI Global
;
70. Wireless Crime and Forensic Investigation

by Gregory Kipper;
71. Software Forensics : Collecting Evidence from the Scene of a Digital Crime

by Robert Slade;
72. Understanding and Managing Cybercrime

by Sam C. McQuade

[ Obras Recomendadas pela Gisele Truzzi ]

1. CAMARGO Aranha Filho, Adalberto José Queiroz Telles de; “Crimes na Internet e a legislação vigente”; artigo publicado na Revista Literária de Direito, no 44, p. 23, outubro-dezembro/2002.

2. CASTRO, Carla Rodrigues Araújo de; “Crimes de Informática e seus Aspectos Processuais”.

3. CORRÊA, Gustavo Testa, “Aspectos Jurídicos da Internet”.

4. COSTA, Ana Maria Nicolaci da; “Na malha da Rede”. Os impactos íntimos da Internet.

5. DELMANTO, Celso; Código Penal Comentado.

6. GOUVÊA, Sandra; “O Direito na Era Digital”. Crimes praticados por meio da Informática.

7. LEGISLAÇÃO SOBRE INTERNET NO BRASIL, material elaborado pela Consultoria Legislativa da Câmara dos Deputados:

http://www.truzzi.com.br/blog/2010/07/13/legislacao-sobre-internet-no-brasil-material-para-download/

8. LEONARDI, Marcel; “Responsabilidade Civil dos Provedores de Serviços de Internet”.

9. Livro Verde sobre SEGURANÇA CIBERNÉTICA NO BRASIL, produzido pelo Governo Federal: http://dsic.planalto.gov.br/documentos/publicacoes/1_Livro_Verde_SEG_CIBER.pdf

10. LUCCA, Newton de e Adalberto Simão Filho; “Direito e Internet”. Aspectos jurídicos relevantes.

11. NORONHA, Magalhães; Direito Penal, volumes 1 a 4.

12. PAULINO, José Alves; “Crimes de Informática”.

13. PLANTULLO, Vicente Lentini; “Estelionato Eletrônico”. Segurança na Internet.

14. QUEIROZ, Claudemir. VARGAS, Raffael. “Investigação e Perícia Forense Computacional. Certificações, Leis Processuais, Estudos de caso.”

15. REIS, Maria Helena Junqueira; “Computer crimes”. A criminalidade na era dos computadores.

16. ROSA, Fabrízio; “Crimes de Informática”.

17. VIANNA, Túlio Lima; “Fundamentos de Direito Penal Informático”. Do acesso não autorizado a sistemas computacionais.

Aprendendo com o ovo do Cuco (The Cucko´s Egg)

Sendo um dos livros mais antigos e importantes na área de Resposta a Incidentes, The Cucko´s Egg foi escrito por Clifford Stoll em 1986. Eu tive a oportunidade de lê-lo por duas vezes, e sempre o considerei uma obra basilar para qualquer um que trabalha com Segurança da Informação.

Se você ainda não viu o Cliff Stoll, vale a pena - ele fala de vários assuntos durante esta palestra no TED de 2006 - e sim, ele é o esteriótipo de cientista maluco.. =) Afinal ele era um astrônomo trabalhando em um grande laboratório americano quando acabou tendo que "responder ao incidente" relatado no livro The Cucko´s Egg.

O Richard Bejtlich - já citado tantas vezes aqui no blog - recentemente utilizou o assunto para uma apresentação em um evento no Departamento de Defesa Norte-Americano e extraiu algumas lições importantes do livro - todas muitos úteis para times de resposta a incidentes de segurança.

Pra quem já leu ou não vai ler o livro, vale a pena ver a apresentação dele - tem um ótimo resumo (60 slides) da história (obviamente contém 'spoilers') (PDF). Além disto, vale a pena conferir os vídeos no Youtube que contam a história.. (The KGB, The Computer, and Me)

Seguem as lições extraídas do PDF linkado acima:

"Lessons: Monitoring and Analysis

• “Build visibility in” with local accounting application
• Don’t rely on a single “source of truth”
• Centralized logging defeats intruders deleting local logs
• Passive full content monitoring captures all details
without alerting intruder
• Document analysis in log book
• Key questions: scope of intrusion, depth of intrusion?
• Monitoring using discarded gear is better than nothing
• Writing custom tools for monitoring and alerting
• Someone cares: analysis by a person who took the
intrusion personally!

Lessons: Nature of the Intrusion

• Intruder exploits weak credentials to gain access
• Intruder leverages local privilege escalation vulnerability
• Intruder exploits trust relationships
• Intruder exploits poor configurations deployed by vendor
• Intruder exploits system monoculture (Unix in the ’80s!)
• Sensitive data accessible from normal network, e.g.,
cancer treatment equipment
• Systems owners repeatedly told Stoll an intrusion was
“impossible – our systems are secure!”
• Recover by reimaging, rebuilding, restore backup?
• External notification is most common detection method

Lessons: Enduring Truths

• Of at least 80 victims, only 2 noticed (LBNL, NSA)
• Agencies ask for information but provide little back
• Users communication about intrusion compromise opsec
• Intruders violate assumptions held by network owners
• When to monitor intruder, and when to contain him?
• How much is stolen data worth? What is incident cost?
• A variety of analysis techniques provides best results
• Cannot trust endpoints to defend themselves nor report
their security state
• Intruders can be creative and persistent"

A propósito, no início deste ano, o Renato Maia - Sócio Diretor da Techbiz Forense - publicou um excelente artigo sobre o livro no blog da empresa. Reproduzo-o abaixo:

O Ovo do Cuco (por Renato Maia)

Em Agosto de 1986, Clifford Stoll recebeu sua primeira tarefa como administrador de sistemas no laboratório Lawrence Berkeley na Califórnia, EUA. Clifford deveria investigar uma discrepância de U$ 0,75 (75 centavos de dólar) no relatório gerado pelo software que controlava e contabilizava o uso dos sistemas (Unix e VAX) pelos seus usuários. Um detalhe interessante: Clifford, um astrônomo e pesquisador por formação, estava temporariamente trabalhando como administrador de sistemas na área de informática do laboratório devido a um erro na renovação da sua bolsa de pesquisador. Talvez por isto tenha recebido esta tarefa, a princípio, tão pouco relevante.

O que então parecia ser um erro de relatório do sistema era na verdade um usuário não autorizado com 9 segundos de uso não pagos. Surpreendentemente, o usuário não autorizado era um “hacker” que obteve acesso ao sistema explorando uma vulnerabilidade no software GNU Emacs.

Clifford acompanhou e monitorou este hacker durante 10 meses, em uma operação que é considerada por muitos a primeira resposta a um incidente e investigação publicamente documentada. Este é um breve resumo do livro “The Cuckoo’s Egg: Tracking a Spy Through the Maze of Computer Espionage”. Estes 9 segundos de uso não autorizados levaram a descoberta de uma série de intrusões e acessos não autorizados em sistemas de universidades, de bases militares e do governo americano. Com objetivos claros de espionagem e ganhos financeiros.

Através de conexões discadas oriundas da Alemanha, utilizando modem de 1200 bps, o hacker mantinha e ampliava seu acesso em várias redes explorando falhas conhecidas em softwares da época. As informações e arquivos obtidos eram comercializados pelo hacker para a KGB da extinta União Soviética. Após várias tentativas frustradas Cliff conseguiu obter apoio para conduzir a monitoração e investigação com o FBI e a NSA – uma passagem interessante relata seu encontro com Robert Morris, cientista chefe do centro de segurança em computadores da NSA e pai do autor do Worm Morris (um dos primeiros Worms com grande impacto a proliferarem e atacarem a Internet).

Com este apoio e com o uso de técnicas criativas como a produção de documentos falsos referentes a um fictício projeto militar (Cliff Stoll pode ser considerado um dos “pais” do conceito de Honeypot/HoneyNet), a identidade do hacker – Markus Hess – foi descoberta e sua prisão efetivada em Hannover, na Alemanha. O detalhado registro gerado durante a investigação, bem como os documentos falsos usados como isca foram determinantes para a condenação de Markus Hess.

Este livro, que considero leitura mais do que recomendada, faz parte da história da TechBiz Forense Digital. O livro foi, juntamente com uma conversa casual de elevador (outra história interessante… Mas esta fica para outra oportunidade), uma das principais fontes de inspiração para criação da empresa e a determinação do seu foco.

Mais interessante é como o seu conteúdo se mantém cada vez mais atual. Stuxnet, Wikileaks, crimes digitais, roubos de identidade, Cyber Warfare e os vários relatos recentes de espionagem via Internet são situações modernas que encontram paralelos na história relatada em “The Cuckoo’s Egg”, ocorrida há 25 anos.

É exatamente para debater temas como esses que pretendo usar este espaço, no blog da TechBiz Forense Digital.

Post Update [23:00]: O meu amigo de além-mar Miguel Almeida acaba de publicar um artigo sobre o assunto em seu excelente blog na língua de Camões: http://miguelalmeida.pt/2011/04/clifford-stoll-e-a-persegui%C3%A7%C3%A3o-ao-hacker-astuto.html

Risco, Vulnerabilidade, Ameaça e Impacto

[ Definição ]


Fonte dos conceitos abaixo: NIST SP 800-30 (tradução livre: Sandro Süffert).

• Risco: probabilidade de uma fonte de ameaça explorar uma vulnerabilidade, resultando em um impacto para a organização;
• Vulnerabilidade: falha ou fraqueza de procedimento, design, implementação, ou controles internos de um sistema que possa ser acidentamente ou propositalmente explorada, resultando em uma brecha de segurança ou violação da política de segurança do sistema;
• Ameaça: possibilidade de um agente (ou fonte de ameaça) explorar acidentamente ou propositalmente umavulnerabilidade específica;
• fonte de Ameaça: ou (1) uma intenção e método objetivando a exploração de uma vulnerabilidade ou (2) uma situação e método que pode acidentalmente disparar uma vulnerabilidade;
• Análise de Ameaças: verificação das fontes de ameaça versus vulnerabilidades, para determinar as ameaças de um sistema em particular em um ambiente operacional particular.

[ Update - 26/01/2011 ]



Este update é só para sumarizar a importância de se conhecer o inimigo, com uma citação do General Sun Tzu (~ ano 400 AC):


"Se você conhece o inimigo e conhece a si mesmo, não precisa temer o resultado de cem batalhas. Se você se conhece mas não conhece o inimigo, para cada vitória ganha sofrerá também uma derrota. Se você não conhece nem o inimigo nem a si mesmo, perderá todas as batalhas"



[ Update - 22/01/2011 ]



O "Gerenciamento do Risco" deve ser acompanhado por um Confrontamento das Ameaças reais.

Gerenciar o risco sem conhecer (ou sem se importar em conhecer) as ameaças é pouco eficiente - mas infelizmente esta atividade pode manter uma equipe ou uma empresa ocupada tempo suficiente preenchendo formulários e checklists de forma que não seja necessário se ocupar em conhecer mais profundamente os problemas reais (tecnológicos, processuais ou pessoais) que afetam e fragilizam a organização.

Adivinhe: isto é tudo que as ameaças reais (insiders, competidores, crackers contratados, espiões, fraudadores,funcionários insatisfeitos,..) precisam para ficar sob o radar.

Em outras palavras, não basta usar sistemas contendo fórmulas (batidas ou mágicas) para mensurar o "Risco" e assim decidir o investimento em ações de proteção e detecção do seu programa de segurança.

Fred Cohen - citado recentemente por Richard Bejtlich, define esta questão de uma forma interessante: "Risk management: a guess multiplied by an approximation, taken to the power of an expert opinion."

Ou seja, costuma ser um bom começo.. pena que muitas empresas param por aí. Uma análise de risco super bem feita - com as melhores contramedidas a postos - não vai evitar que as "ameaças explorem as vulnerabilidades e resultem em impactos" muitas vezes não imaginados ou calculados anteriormente.

Por mais que você invista em prevenção e detecção, incidentes/fraudes/crimes continuarão ocorrendo.

Isto é verdade especialmente se a empresa não responde adequadamente aos incidentes por não possuir visibilidade real do que ocorre em sua rede e em seu negócio. Mais uma vez bato na mesma tecla - o FOCO deve estar na AMEAÇA..

Você precisa estar preparado para reagir e estudar o modus operandi dos seus adversários, e desta forma se posicionar melhor e investir de forma inteligente na prevenção e detecção, inclusive..

Organizar um time de Resposta a Incidentes (CSIRT/ETIR) eficiente, com foco no risco ao negócio e que interaja com as áreas clientes da empresa (Auditoria, TI, Inspetoria, Anti-Fraude, Compliance, RH, etc..) não é tarefa fácil. Mas isto proporcionará a médio prazo um foco na ameaça ao negócio, o que a faz perder dinheiro, informação - e assim perder valor de mercado, ser menos competitiva, etc..

É uma situação muito interessante, a do "Incident Responder" - ele sempre começa perdendo - e somente às vezes sai ganhando.. É impossível prever todos os possíveis vetores de ataque dentro dada a alta complexidade e conectividade de uma organização moderna - a vantagem do ataque sobre a defesa é imensa e você sempre vai perder antes de ganhar. Talvez o único jeito de ganhar é passar a perceber as reais ameaças, reagir a elas, e contra-atacar (na justiça, de preferência).

Tratar os incidentes de segurança que afetam o negócio (levando-os ou não à justiça) é o que proporcionará ao CSIRT e à empresa o conhecimento das intenções, oportunidades e capacidades de seus verdadeiros adversários (ameaças). A maioria das empresas que não está em verticais com riscos financeiros mais explícitos (Financeiro/Telecom) precisa passar por um incidente sério para começar a se mover neste sentido. Quem nunca viu isto acontecer?

• O que promove mais a Segurança da Informação, a Sarbanes Oxley, o PCI ou um concorrente roubando informações estratégicas que podem levar a empresa à falência?

• O que melhora a capacidade de detecção de incidentes, normas governamentais - por mais bem estruturadas que sejam - ou a perda de confidencialidade de dados sensíveis como nos recentes envolvendo o Wikileaks?

• O que motiva investimentos contínuos em defesa cibernética de infraestruturas críticas, regras escritas e controle de acesso de classe militar ou reagir à possibilidade de ameaças como o StuxNet?

Aos interessados que chegaram até aqui, recomendo uma excelente abordagem dos aspectos econômicos/comportamentais dos criminosos cibernéticos postada hoje por Craig Wright - Criminal Specialization as a corollary of Rational Choice. <= Food for Tought

Para o desdobramento dos componentes da Ameaça, continue lendo abaixo..

[ Update - 14/10/2009 ]

Novo post da série sobre "Security Intelligence" no blog do SANS - desta vez tratando de conceitos como indicadores de ataque, comportamento dos adversários, progressão do ataque (aka kill chain) - leitura recomendada!

[ Update - 23/08/2009 ]

Uma série de posts de Michael Cloppert estão introduzindo o assunto "Security Intelligence".

Ele define alguns termos interessantes (além dos já expostos neste post) . Por exemplo, ele apresenta os seguintes sub-conceitos da Ameaça:

Intenção: tende a ser dependente de indústria. Roubo de dados, por exemplo. Não pode ser influenciado por ações de Segurança.

Oportunidade: timing apropriado e conhecimento do alvo.

Capacidade: é a habilidade financeira, humana e técnica de alcançar o objetivo de ataque e aproveitar a oportunidade.

[ Post Original - 07/06/2009 ]

Em uma conversa recente com um cliente sobre atividades de 'Análise de Risco', percebi que os conceitos de Risco, Vulnerabilidade, Ameaça e Impacto ainda confundem muita gente experiente na área de Segurança da Informação.

Este post tem a intenção de apresentar estes conceitos e propor uma abordagem que considero ideal para abordar este desafio em uma empresa.

Fonte dos conceitos abaixo: NIST SP 800-30 (tradução livre minha).

• Risco: probabilidade de uma fonte de ameaça explorar uma vulnerabilidade, resultando em um impacto para a organização;
• Vulnerabilidade: falha ou fraqueza de procedimento, design, implementação, ou controles internos de um sistema que possa ser acidentamente ou propositalmente explorada, resultando em uma brecha de segurança ou violação da política de segurança do sistema;
• Ameaça: possibilidade de um agente (ou fonte de ameaça) explorar acidentamente ou propositalmente uma vulnerabilidade específica;
• fonte de Ameaça: ou (1) uma intenção e método objetivando a exploração de uma vulnerabilidade ou (2) uma situação e método que pode acidentalmente disparar uma vulnerabilidade;
• Análise de Ameaças: verificação das fontes de ameaça versus vulnerabilidades, para determinar as ameaças de um sistema em particular em um ambiente operacional particular.

A execução apropriada de uma "classificação dos ativos" seguida de uma "análise de risco" real em uma organização complexa é uma tarefa intangível - para não dizer impossível - dada a quantidade de fatores desconhecidos na equação de risco. É verdade que normalmente isto leva a estimativas que ficam bonitas em relatórios e dashboards e powerpoints..

Dito isto, acredito que uma abordagem de tratamento ou análise de ameaças é mais efetivo quando executado apropriadamente pelo time de Segurança de Informações - isto envolve várias ações:

• A detecção e mitigação das vulnerabilidades presentes em sistemas críticos é o mínimo a ser feito.

• O histórico dos incidentes tratados (post-mortem...), as ações tomadas contra as fontes de ameaça identificadas e o entendimento e mitigação de seu modus operandi são fundamentais.

• O envolvimento com outras áreas da empresa que lidam com Risco da Tecnologia ou da Informação é primordial

• O constante convencimento da importância em diminuir o esforço e foco nas vulnerabilidades (O COMO) e atacar de frente as ameaças (O QUEM - veja este excelente post do Richard Beijtlich sobre o assunto) - incluindo a penalização interna (RH) ou envolvimento do Jurídico para ações externas.

• A empresa somente é capaz de responder adequadamente quando se esforça em conhecer progressivamente todos os fatores desta equação: que vulnerabilidades possui, a que ameaças está suscetível, quais agentes estão envolvidos e qual são os impactos históricos e possíveis da exploração destas ameaças.

• Isto não acontece magicamente quando apenas os aspectos tecnológicos de vulnerabilidades ou uma "análise de risco" tradicional é executada por esforços isolados da área de Segurança da Informação (com tradicionais cobranças eventuais das áreas de Compliance e Auditoria).

Para uma abordagem realista e eficiente dos desafios de segurança da informação para os negócios da empresa exige uma abordagem ampla com foco nas ameaças. Por experiência própria, isto funciona melhor quando é institucionalizado um fórum inter-departamental com um grupo de trabalho técnico e outro executivo.

A frequência recomendada é de um dia inteiro por semana e as possíveis áreas envolvidas são: Segurança da Informação, Risco, Auditoria, Compliance, Governança, Anti-Fraude, Segurança Empresarial, Jurídico e Recursos Humanos. Se você acha isto intangível na sua organização, comece com uma hora por semana com 2 ou 3 das áreas citadas..

Com esta linha em ação, é possível mover a Segurança da Informação da sua função tradicional (FW,IDS,AV,Controle de Acesso,...) e trazê-la para um campo estratégico de proteção dos
interesses da empresa/órgão de seus adversários e ameaças reais.

Observação: este é um dos posts mais acessados através de pesquisas no google (pelos termos que compõem o título do artigo)

Tipos de Monitoramento de Segurança de Rede

Antes de iniciar este post, gostaria de retomar uma discussão frequente e uma resposta que tenho a esta questão: "O que uma empresa ou órgão deve fazer para estar preparado a responder incidentes de segurança (do ponto de vista de soluções/produtos)?":

Meu posicionamento/resposta diante desta pergunta:

I - Uma infra-estrutura de "Network Forensics" que seja capaz de reconstruir e fazer o "replay" dos pacotes relacionados ao ataque (ex: NetWitness NextGen / NikSun / Infinistream / NetIntercept )

II - Uma solução de SIEM/SEM para correlacionamento em near-real time dos logs (firewall, roteadores, servidor comprometido, ids/ips, dhcp, dns, aplicações internas) (ex: ArcSight / ISM Intellitatics / Symantec SIM)

III - Uma solução (idealmente enterprise) de forense computacional que possibilite a análise de dados voláteis (incluindo memória) e de disco (ex: Encase Enterprise / F-Response / AccessData Enterprise )

IV - Uma ferarmenta de monitoração de atividade de desktops (ex: SpectorCNE, WorkExaminer) [item incluído em 18/10/2009]

Com relação a primeira das soluções listadas acima, o Richard Bejtlich (CSO da General Eletric e autor de vários livros - todos recomendados) é uma referência mundial no que diz respeito à Segurança e Monitoramento de Rede, já o utilizei de referência/links em vários assuntos abordados aqui no nosso blog.

Ele postou há alguns dias atrás um artigo muito interessante sobre tipos de aplicações de monitoração de segurança de rede e eu fiquei esperando ter um tempinho para atualizar o blog com este excelente material e discussão.

São elencados por ele seis "data types" (maltraduzindo: tipos de dados) possíveis em uma ferramenta que lida com monitoração de rede (tradução livre minha):

1. Alertas: julgamento e detecção e/ou bloqueio feito por um produto ("Port scan!" ou "Buffer overflow!");
2. Estatísticas: descrição high-level de atividades (percentual de protocolos, tendências, etc.);
3. Sessões: comunicações entre hosts ("A conversou com B na 6a-feira por 61 segundos enviando 1234 bytes");
4. Conteúdo Completo (Full Content): todos os pacotes trafegados (no cabo/ar);
5. Extração de Conteúdo: reconstrução de elementos de uma sessão e extração de metadados;
6. Transações: geração de logs baseado em tráfego do tipo requisição-resposta (request-reply) como DNS, HTTP, etc.

Depois disto, ele produziu uma interessante tabela de referência contendo as categorias de produtos de Monitoramento de Segurança de Rede e os tipos de data types suportados por cada uma (genericamente). Esta foi a melhor abordagem comparativa de tecnologias de Segurança de Rede do ponto de resposta a incidentes que já vi.

Na minha opinião, a tabela mostra claramente porque uma organização que se preocupa com segurança precisa possuir ou desenvolver pelo menos uma das duas últimas categorias de produtos (NetWork Forensic Appliance ou Custom NSM Appliance) e não se satisfazer com soluções tradicionais (ex: IDS/IPS).

Apresento abaixo uma análise da tabela apresentada, algumas opiniões próprias (*) e nomes de aplicações e produtos que o autor do post citado preferiu não incluir.

(1) Produto IDS/IPS: Alerta ou Bloqueio OK; Estatísticas de Alertas OK; Sem Sessões; Sem Conteúdo Completo; Sem Extração de Conteúdo; Sem Transações. [ * Minha opinião: melhor opção comercial: SourceFire, melhor opção free: Snort / pouquíssimas vezes tive a oportunidade de ver um IDS/IPS bem gerenciado/"tunado"* ]

(2) Produto NBAD (Network Bahavioral Anomaly Device): Alerta baseados na análise de flows; Bons dados estatísticos; Bons dados de sessão; Conteúdo Completo somente para alguns flows; Sem Extração de Conteúdo; Sem Transações.

(3) Network Forensic Appliance: Sem alertas (* O NextGen da NetWitness possui alertas *); Bons dados estatísticos; Dados de sessão não podem ser manipulados imediatamente (*O NextGen da NetWitness permite que dados de sessão que possam ser manipulados imediatamente * ); Conteúdo Completo (propósito deste tipo de solução); Extração de Dados (alguns appliances possuem); Bons dados de Transações.

(4) Custom NSM Appliance *ou faça você mesmo com ferramentas de código aberto*: Alertas: Snort, Bro; Estatísticas: MRTG, Ntop; Sessões: auto-contidas ou aceitam Netflow; Conteúdo Completo: Dumpcap/Wireshark, Daemonlogger/Snort; Extração de sessão: requer desenvolvimento próprio (* tcpxtract, Networkminer *) ; Transações: Bro, Httpry.

Extendendo a resposta dada no início deste post no que diz respeito à monitoração de rede com objetivo de resposta a incidentes:

Se você possui budget para investimento, o ideal é buscar uma solução de Forense de Rede (opção 3 acima - que também é a que traz resultados mais rápidos)

No caso de não ter dinheiro mas possuir uma equipe numerosa e qualificada em segurança e open-source para dispor no desenvolvimento de uma solução customizada, o melhor (porém mais demorado) caminho é a opção 4 (Custom NSM Appliance).

Sei que este tipo de discussão costuma gerar debates interessantes... Comentários?

7 (ou mais) Conceitos em Seguranca alem da Confidencialidade, Disponibilidade e Integridade

Em algumas oportunidades recentes - durante congressos e trabalhos de consultoria - estive conversando com colegas e clientes sobre alguns tópicos interessantes de nossa área apaixonante de interesse comum - a Segurança da Informação.

Os tópicos relacionados à Segurança vem se multiplicando e especializando muito nos últimos anos, incluindo tópicos relacionados à Segurança de Rede, Segurança de Sistemas Operacionais e Bancos de Dados, Desenvolvimento de Aplicações Seguras, Testes de Penetração, Auditorias de Segurança, Análise de Códigos Maliciosos, Resposta a Incidentes, Forense Computacional e suas evoluções (Memória e Rede).

A Segurança da Informação está a cada dia se tornando um tópico mais popular e tem ganhando muito espaço na mídia (inclusive não especializada). Vemos crescer de forma contínua e significante a maturidade em segurança dentro de instituições públicas, privadas e academicas.

O interesse corporativo pelo tema tem atraído e convergido interesses, ações e ferramentas de áreas como Governança, Risco, Compliance, Auditoria e Jurídico. Além disto, por se tratar de uma área do conhecimento muito nova,a segurança vem recebendo contribuições teóricas de disciplinas tão variadas quanto a engenharia, a economia e a psicologia.

Conhecemos bem o o desafio que é se manter atualizado nos vários tópicos de interesse dentro deste Universo chamado "Segurança da Informação". Eu costumo reservar algumas horas semanais para ler livros/sites/blogs/feeds rss/para me atualizar na área.

Acredito que existem algumas discussões teóricas sobre o tema da Segurança da Informação que são muito interessantes e que influenciam a disciplina e o mercado em si - e elas certamente vão além do tradicional tripé de conceitos "Confidencialidade / Integridade / Disponibilidade" que estamos acostumados a debater por mais de 20 anos.

Neste post pretendo fazer um breve resumo de sete conceitos que considero importantes, incluindo informações sobre seus principais autores e/ou defensores e links externos com mais informações sobre os assuntos:

I - Bruce Schneier

[ CSO da British Telecom / criptoanalista / autor ("Applied Cryptography","Beyond Fear") ]

Conflitos de Escolha (Trade-Offs):

Schneier introduz em seu livro "Beyond Fear" a existência de "trade-offs" quando são avaliadas e aplicadas medidas de segurança. A questão muda de "estamos seguros?" para "vale a pena estarmos seguros?".

Teatro em Segurança (Security Theater):

Outro conceito frequentemente citado por Schneier em "Beyond Fear" é a utilização de contra-medidas que só oferecem uma (falsa) sensação de segurança. Ele chama isto de "Securiy Theater" e demonstra o distanciamento entre o risco percebido e o risco real.

II -Dan Geer [ CSO da In-Q-Tel e Visionário em Segurança]

Desafio Intelectual e Generalismo versus Especialização:

Dan Geer defende que a segurança seja uma das profissões que exigem um maior desafio intelectual no planeta. Segundo ele, o conhecimento basilar em segurança chegou a um ponto em que novos profissionais e/ou estudiosos não conseguirão ser generalistas verdadeiramente competentes - e por isto a unica opção que eles possuem é a especialização cada vez maior.

Sobre a classificação de informações e controle a aplicações e dados críticos:

* Se você não sabe nada, 'permit-all' é a única opção;
* Se você sabe algo, 'default-permit' é o que você pode/deve fazer;
* Se você sabe tudo, somente aí o 'default-deny' se torna possível.

III - Richard Bejtlich [ CSO da General Eletric, autor ("The Tao Of Network Security Monitoring"  e "Real Digital Forensics") ]

Ameaças Avançadas e Persistentes (APT) em Resposta a Incidentes:

A expressão "Advanced Persistent Threat" é muito relevante para qualquer profissional envolvido em Segurança da Informação. Tratam-se de ataques contínuos utilizando amplos recursos (tempo e dinheiro), e que são altamente sofisticados e claramente direcionados. Neste tipo de situação, as defesas tradicionais e genéricas são inúteis.

IV - Ross Anderson

[ Professor da Universidade de Cambridge, autor ("Security Engineering")
 ]

Economia aplicada à Segurança:

Este campo de estudo foi proposto depois de observações feitas por Ross Anderson indicando que incentivos incorretamente alinhados e assimetria de informações explicam a falha de sistemas de segurança mais comumente do que fatores técnicos. A abordagem utilizando a economia pretende prover uma forma mais efetiva de analisar diretamente problemas relacionadas à segurança da informação como privacidade, spam e phishing.

Psicologia aplicada à Segurança:

Segurança como sentimento versus segurança como realidade - e outros tópicos.

V - Gene Spafford

Definição de sistema verdadeiramente seguro:

"O único sistema verdadeiramente seguro é aquele que está desligado, dentro de um bloco de concreto e guardado em uma sala com guardas armados, e ainda assim eu tenho minhas dúvidas"