Interceptacao GSM nao autorizada (voz e dados)

[ Update - 28/12/2011 ]


Estendendo sua pesquisa sobre vulnerabilidades em redes GSM, Karsten Nohl do SRLABS (já citado nos updates mais antigos) publicou durante sua apresentação na conferência CCC - em andamento neste final de ano em Berlin -  um mapa onde são representados os países europeus de acordo com a qualidade de implementação de segurança em suas redes GSM.


Acesse o mapa em: http://gsmmap.org/


O "GSM security metric" se preocupa com mecanismos de defesa para 3 modalidades de ataques em implementações GSM feitas pelas operadoras (mecanismos de defesa entre parênteses)


- Impersonation (Encryption, Authentication Frequency)
- Intercept (Padding randomization, SI randomization)
- Tracking (HLR Blocking, TMSI change)


Slides da apresentação "Defending Mobile Phones": http://events.ccc.de/congress/2011/Fahrplan/attachments/1994_111217.SRLabs-28C3-Defending_mobile_phones.pdf


Os países que já possuem dados representativos são: Austria, Bélgica, the República Tcheca, França, Alemanha, Hungria, Italia, Morrocos, Eslováquia, Suíça e Tailândia.


Possivelmente outros países (incluindo o Brasil) estarão presentes no mapa em breve, já que instruções foram passadas para que os clientes de operadoras GSM auxiliem coletando dados com "Osmocom capable phones". É possível também detectar que está sendo efetuada interceptação não autorizada através de ferramentas disponibilizadas pelo projeto open-source "Catcher Catcher".


Interessante notar que a imprensa brasileira deu atenção à esta notícia (fonte: Reuters) - um comentário sobre o texto "Celulares GSM, usados por 80% dos usuários dosaparelhos, podem ser o novo alvo dos hackers" (sugestão: eu removeria o "novo" da frase - como pode ser visto nos updates abaixo). 


Outras reações de diversas fontes que comentaram o assunto nos últimos dois dias:

• Reuters: http://www.reuters.com/article/2011/12/27/us-mobile-security-idUSTRE7BQ05020111227
• O Globo: http://g1.globo.com/tecnologia/noticia/2011/12/celulares-gsm-sao-vulneraveis-ataque-de-hackers-diz-pesquisador.html
• Mcafee: http://blogs.mcafee.com/mcafee-labs/fighting-mobile-phone-impersonation-and-surveillance
• IT Pro: http://www.itproportal.com/2011/12/28/gsma-confident-gsm-security-despite-recent-hijack-flaw-claims/#1
• Financial Times: http://blogs.ft.com/fttechhub/2011/12/warning-over-mobile-phone-hijacking/

[ Update - 06/11/2011 ]

Wired: "UK Cops Using Fake Mobile Phone Tower to Intercept Calls, Shut Off Phones"

[ Update - 26/07/2010 ]

Algumas novidades recentes sobre interceptação GSM:

• Pratical CellPhone Spying - DefCon - Chris Paget fará uma demonstração de interceptação GSM durante a conferência DEFCON. Advogados da EFF estão ajudando para evitar a prisão do pesquisador.

Aqui está o vídeo da apresentação:

http://www.youtube.com/watch?v=q8JuYh7Km34

It's widely accepted that the cryptoscheme in GSM can be broken, but did you know that if you're within radio range of your target you can intercept all of their cellphone calls by bypassing the cryptoscheme entirely? This talk discusses the practical aspects of operating an "IMSI catcher", a fake GSM base station designed to trick the target handset into sending you its voice traffic. Band jamming, rolling LACs, Neighbour advertisements and a wide range of radio trickery will be covered, as well as all the RF gear you'll need to start listening in on your neighbours.

• New 'Kraken' GSM-cracking software is released | [A51] The call of Kraken - Novos softwares para cracking via rainbowtables do A5/1 são liberados - mais detalhes sobre a vulnerabilidade no post original abaixo. - http://reflextor.com/trac/a51/browser/tinkering/Kraken

• Hijacking mobile data connections - the state of the art (pdf) Este material recentemente divulgado na conferência HITB de Amsterdan mostra técnicas de hijack / man-in-the-middle de navegação de SmartPhones (incluindo Android e IPhone).

[ Update - 09/04/2010 ]

A quebra do A5/1 acelerou outra quebra de criptografia utilizada largamente na telefonia - o DECT - e automaticamente quase um bilhão de telefones fixos "cordless" do mundo (incluindo o seu) se tornaram muito mais sucetíveis a interceptação.

O tempo necessário é baixo (de 10 a 30 minutos) e tecnologia CUDA (com processamento GPU) pode ser utilizada para aumentar ainda mais a velocidade da quebra.

Segue trecho do paper publicado recentemente (pdf) por Karsten Nohl , Erik Tews e Ralf-PhilippWeinmann:

The DECT Standard Cipher is an asynchronous stream cipher with low

gate complexity that takes a 64 bit secret key and a 35 bit initialization vector,

IV, to generate keystream. DSC is similar to GSM’s A5/1 and was reverseengineered

from a DECT device using a combination of firmware probing and

hardware reverse-engineering. The cipher, publicly disclosed for the first time

in this paper, is vulnerable against a clock guessing attack similar to the Ekdahl-

Johansson attack against A5/1.

O ocorrido já era previsível já que o algorítimo DECT já tem 20 anos.. Para os mais preocupados e/ou paranóicos - existem telefones cordless que usam criptografia mais moderna, como o DSC - mas infelizmente o algorítimo não é público - o que certamente coloca em dúvida a sua força / eficiência...

Mais informações:

• https://dedected.org/trac/blog/dsc-cryptanalysis-final
• http://www.theregister.co.uk/2010/02/08/dect_phone_encryption_cracked/
• http://www.schneier.com/blog/archives/2010/04/cryptanalysis_o_2.html
• http://www.dect.org/index.aspx

[ Update - 08/02/2010 ]


Ontem foi divulgado na conferência de segurança ShmooCon o txsBBSpy, uma ferramenta de espionagem de SmartPhones BlackBerry - com código java disponível para download e vídeo.



TXSBBSpy Demo from Veracode on Vimeo.


O autor da ferramenta é Tyler Shields, da Veracode e um diferencial importante é que somente foram utilizadas APIs disponíveis pelo próprio fabricante do BlackBerry (RIM) - sem nenhum exploit especial.


Vale a pena também ver a apresentação "Mobile Spyware" de Tyler listando as funcionalidades e trojans - FlexiSpy, Mobile Spy, Etisalat, 09Droid (banker) e outros - comumente usados para SmartPhones, além de
críticas à RIM sobre a maneira que é efetuada a assinatura / distribuição de pacotes para o BlackBerry.




Como pode ser verificado nos links acima, com o código instalado em um smartphone BlackBerry, é possível - através de mensagens SMS que ficam ocultas para o receptor (ou email, GET, POST, TCP, UDP):

• controlar a localização geográfica do blackberry via Google Earth,
• receber as mensagens SMS enviadas e recebidas,
• receber os emails enviados e recebidos,
• receber os contatos existentes no telefone,
• receber detalhes das ligações feitas,
• ligar o microfone do telefone e receber um arquivo de áudio (codificado com base64)

Todas estas informações podem ser enviadas para um email controlado pelo atacante.



Como formas de proteção, são sugeridos os seguintes itens:

1. Users can configure their default application permissions to be more restrictive. This way, if an application tries to use an API that accesses the user’s email or contact list, the OS will ask for permission. Avoid granting applications “trusted application” status, which grants untrusted applications additional privileges. Tyler’s slide deck shows the default and trusted permission sets in more detail.
2. Corporations using a BlackBerry Enterprise Server can configure their IT policies to restrict their users from installing third-party applications, or whitelist certain approved applications (but brace yourself for the backlash)
3. BlackBerry App World could introduce a rigorous security screening process that submitted applications must pass in order to be listed in the store.

[ Update - 30/01/2010 ]



Como se não bastasse os algorítimos utilizados na comunicação de voz e dados GSM estarem sujeitos à interceptação não autorizada - o mesmo acontece mesmo nos produtos feitos especialmente para este fim - criptografia da comunicação de telefones celulares - Vários dos softwares e hardwares que são vendidos com o objetivo de tornar a comunicação criptografada também são falhos!


Dos 15 produtos testados pelo hacker Notrax [* - veja disputa abaixo ] (usando o software comercial FlexiSpy e outros) os únicos 3 que passaram nos testes até o momento são o PhoneCrypt, SnapCell e o TopSec GSM). [ * ]

A fonte desta informação é o site MobileMag.

[ * ] alguns reports têm ligado o hacker "Notrax" a uma empresa que vende software de criptografia de voz para smartphones - tornando esta análise acima suspeita. A empresa SecurStar (fabricante do produto PhoneCrypt) respondeu mas não convenceu a todos. Deixamos à cargo do leitor visitar os links e tirar suas próprias conclusões.

É necessário ter em mente que as melhoras práticas indicam que sistemas criptográficos proprietários não devem ser usados pois não estão disponíveis para revisão pública.

[ Update - 12/01/2010 ]


Há pouco mais de duas semanas do anúncio da quebra do algorítimo A5/1 utilizado nas comunicações de voz GSM, agora é a vez do A5/3 - utilizado nas comunicações de dados GSM (3G). O A5/3 (KASUMI), apesar de ter um nome parecido, na verdade utiliza um sistema de cifragem totalmente diferente.


Desta vez o ataque foi feito no algorítimo criptográfico mesmo, e não na sua implementação (como é de costume). Os pesquisadores que divulgaram o feito são Orr Dunkelman, Nathan Keller, and Adi Shamir (este último muito conhecido pois é o S da sigla RSA).


Eles divulgaram um tipo de ataque de difícil aplicação prática chamado sandwich attack. Ele permitiu que - diferentemente do anúncio da quebra do A5/1 - pouquíssimo poder computacional fosse utilizado para derivar a chave 128bit do KASUMI (A5/3). O ataque completo pode ser executado em menos de duas horas em um PC comum.


Os pesquisadores informaram que estes fatos mostram que a GSM Association, ao mudar de algorítimos do MISTY para o KASUMI, acabou obtendo como resultado uma criptografia muito mais fraca. Bruce Schneier acrescenta que o maior erro foi tentar "adaptar" um algorítimo conhecido em vez de utilizá-lo em sua forma padrão e já testada.


Referências:

• http://www.emergentchaos.com/archives/2010/01/another_week_another_gsm.html
• http://threatpost.com/en_us/blogs/second-gsm-cipher-falls-011110
• http://threatpost.com/en_us/blogs/four-questions-bruce-schneier-gsm-cipher-crack-011210

[ Post Original - 29/12/2009 ]


Existe mais de um celular GSM para cada dois habitantes do mundo. Já são cerca de 4 bilhões de aparelhos, o que aumenta o interesse pela quebra da criptografia utilizada pelo GSM e outras falhas em sua implementação.


É bom lembrar que o grampo ilegal (incluindo celulares) é um problema real no Brasil - como pode ser observado durante as os procedimentos ocorridos na CPI do Grampo, nos últimos anos. Segundo a Revista IstoÉ, foram ilegalmente escutados (ao menos) "18 senadores, 26 deputados, do secretário geral da Presidência da República, Gilberto Carvalho, da ministra Dilma Rousseff, de ministros do STF e do STJ, advogados, lobistas e inúmeros jornalistas"


Há mais de 10 anos (EC1997, FSE2000, Crypto2003, SAC2005) vemos notícias sobre a fraqueza do algorítimo A5/1 é como ele é "academicamente" quebrável, mas a quantidade de dados que necessitavam ser interceptados e o poder computacional necessário para obter um resultado real até o momento o protegiam na realidade. Detalhe, o A5/1 tem mais de 20 anos de idade...


Em uma recente apresentação no congresso hacker 26th Chaos Communication ( PDF | MP3 | MP4 ) - ocorrido recentemente em Berlin - os pesquisadores Karsten Nohl e Chris Paget demonstraram um grande avanço no sentido de ouvir ligações de celulares GSM depois de quebrar o código secreto (algorítimo A5/1 - 64-bit) usado para previnir este tipo de interceptação na comunicação entre os aparelhos e as ERBs (estações rádio base).


Dentre os cenários mostrados recentemente por Nohl e Paget, o que mais me chamou atenção foi a utilização de hashes pré-computados através de rainbow tables processados em 40 nodes de forma otimizada e utilizando tecnologia CUDA (aproveitando o poder computacional de múltiplas placas de aceleradores gráficos Nvidia).


O anúncio já gerou efeito sobre as operadoras de celular, que chamado anunciaram que irão futuramente implementar o algorítimo A5/3 (KASUMI), que por sua vez é baseado no MISTY1 - sendo por isto mais moderno e seguro. O padrão GEA3 (KASUMI) já é usado em algumas redes 3G para dar segurança ao tráfego de dados/internet.

Recentemente recebi um email perguntando sobre a segurança da criptografia de chave pública utilizada nas comunicações do BlackBerry. A resposta é: vai depender da sua confiança na empresa RIM e obviamente seu nível de requisito de sigilo e/ou paranóia. Exemplo: em 2007 o governo francês proibiu a utilização de BlackBerry no país por temer a monitoração das comunicações pela inteligência americana.

Mais informações sobre as vulnerabilidades no algorítimo A5/1:


http://www.nytimes.com/2009/12/29/technology/29hack.html?_r=1


http://news.cnet.com/8301-1009_3-10422340-83.html


http://www.theregister.co.uk/2009/12/28/gsm_eavesdropping_breakthrough/


Apresentação Original:


http://events.ccc.de/congress/2009/Fahrplan/attachments/1479_26C3.Karsten.Nohl.GSM.pdf


GSM Projects @ CCC:
http://events.ccc.de/congress/2008/wiki/GSM

A5/1 Cracking Project:


http://reflextor.com/trac/a51

A atenção seletiva e a Resposta a Incidentes Corporativa - parte 2/2

Parte 1:

http://sseguranca.blogspot.com/2010/11/atencao-seletiva-e-resposta-incidentes.html

Parte 2:

Como comentamos no primeiro artigo da série, infelizmente, a maioria das organizaçōes – mesmo as que mais investem em segurança da informação - se limita a simples proteção dos principais ativos e a detecção de ataques já conhecidos e esperados.

O gerenciamento de risco é uma atividade que pretende avaliar o presente e se preparar adequadamente para o futuro. Mais especificamente, a análise de risco operacional e de fator humano são atividades fundamentais para direcionar a decisão executiva de investimentos e o enfrentamento de problemas que envolvem a segurança da informação.

O objetivo do artigo de hoje não é explorar os componentes da equação de risco tradicional. Leia sobre isto em “Risco, Vulnerabilidade, Ameaça e Impacto”. Hoje, vamos falar dos processos de proteção da informação e detecção de incidentes de segurança e discutir sobre a importância da reação adequada a eles. No enfrentamento do risco, o foco costuma estar na correção de vulnerabilidades que foram encontradas e na mitigação dos impactos que já foram previstos. Isto não é suficiente. O foco deve estar nas ameaças.

Um problema comum na geração de métricas e informações durante uma análise de risco é a dependência de checklists, entrevistas e formulários estáticos. Apesar prodzir dashboards impressionantes e apresentações impactantes, esta abordagem não resolverá o problema a que se propôe, e – pior – é capaz de gerar uma falsa sensação de conhecimento e dever cumprido em relação aos riscos a serem enfrentados.

Do ponto de vista tecnológico, testes de invasão (pentests) são úteis para mostrar que os mesmos requisitos que nos fazem competitivos e velozes na atual economia (conectividade, extensibilidade, complexidade), nos fragilizam e podem causar perdas de imagem e financeiras.

Quem já passou por esta experiência, sabe que dois testes de invasão feitos por grupos diferentes de especialistas fornecerão resultados muitas vezes diversos, mostrando a facilidade de exploração de vulnerabilidades reais porém aleatórias dentre as muitas existentes em uma organização. Ou seja, você investirá tempo e dinheiro para corrigir vulnerabilidades existentes, mas exploradas por ameaças fictícias, que podem ou não ser similares aos problemas e explorações reais que atuam em sua organização.

Em outras palavras, saber que alguém pode conseguir “root” em máquinas internas utilizando vulnerabilidades desconhecidas (“0day”) é importante e implementar as contra-medidas necessárias é fundamental. Mas não deixe que esta sensação de vitória o impeça de conhecer as ameaças reais a que você está exposto.

Muitas vezes os bons recursos da área de segurança da informação que trabalham em grandes organizações ficam tão fascinados com as maravilhas técnicas que envolvem o mercado de vulnerabilidades, pentests e exploração de 0days que se esquecem que estão ali para proteger o negócio.

A existência de um processo ou tecnologia de proteção para a última exploração "0day" pode ser menos importante que entender quem são e como atuam os adversários, muitas vezes silenciosos, que roubam informaçōes e recursos da sua organização.

­

Uma organização moderna precisa ser capaz de responder a incidentes de segurança que tenham sido detectados ou notificados por áreas internas ou externas. E é durante este enfrentamento que o conhecimento sobre as ameaças reais que prejudicam o negócio deve emergir.

Esta situação ocorre de forma acelerada quando impacto de imagem de um incidente de segurança é maior - como depois de uma desfiguração de um site ou quando há um vazamento público de informações internas. Costuma ser mais fácil priorizar ações de contenção e reação nestes casos.

Porém, é necessário perceber que muitas vezes seus adversários reais usam técnicas menos elaboradas, mas que aproveitam as brechas nos procedimentos e a boa-fé (engenharia social) de pessoal interno. Isto sem contar a ameaça constante vinda dos usuários privilegiados, que estão acima das monitorações tradicionais. Estas fontes de ameaça podem gerar impactos instantâneos menores, mas causam um prejuízo contínuo e menos perceptível.

Esta situação é muito prevalente e se manifesta de forma diferenciada dependendo da vertical de atuação da organização (fraude financeira interna, roubo de informações de clientes, vazamento de know-how). O objetivo de nossos adversários podem ser diversos, mas os mais bem sucedidos costumam preferir co-existir com nossas medidas de segurança tradicionais e atuar de forma invisível, causando perdas frequentes e imperceptíveis ou mesmo perdas tão grandes que inviabilizam o próprio negócio.

Para piorar a situação, a maioria das organizações nem chega a investir em mecanismos de detecção adequados. Dentre as poucas que investem, a maioria se limita a aspectos puramente tecnológicos e frequentemente se perde na configuração adequada destes e diante da quantidade de registros a monitorar e da dificuldade de identificar ações indevidas e que ferem as regras de negócio da organização.

Outro fator a considerar é que a complexidade inerente de nossos negócios, a conectividade que nos aproxima de clientes e fornecedores e a extensibilidade das nossas tecnologias - somadas ao aumento da competição entre empresas e governos - resulta em uma crescente superfície de exposição e eleva o "apetite ao risco" nas organizaçōes modernas.

A falta de visibilidade da eficiência (métricas) das medidas de proteção e detecção (como firewalls, IDS/IPS, anti-virus e congêneres) pode ser resultado de decisões estratégicas de implementação que deveriam nos proteger. Um exemplo é o conceito de "segurança em camadas" ou “segurança em profundidade”. Sua utilização é importante, mas facilita a co-existência de tecnologias antiquadas e/ou mal implementadas.

Teoricamente, uma solução deve funcionar caso a outra não atue ou falhe. Assim a responsabilidade pela ineficiência destas iniciativas fica diluída - até que uma "nova solução" de proteção ou detecção seja implementada. Este ciclo vicioso tende a se manter – a não ser que a organização seja capaz de reagir adequadamente, buscando a autoria e a materialidade de evidências que possam vir a ser utilizadas em processos internos ou externos de identificação e punição dos responsáveis.

Mesmo as equipes mais preparadas estão tão preocupadas em monitorar as vulnerabilidades conhecidas que simplesmente não enxergam ou não sabem como reagir quando um incidente inesperado de alto impacto ocorre diante dos seus olhos. Uma situação que lembra a experiência de atenção seletiva presente no vídeo do primeiro artigo da série.

Os esforços de proteção e detecção são importantes, mas é fundamental perceber que nunca conseguiremos prever o que os nossos inimigos, internos ou externos, irão fazer. Infelizmente os nossos adversários sabem o que a maioria das empresas faz para se proteger e estão preparados para explorar isto.

Sabemos que - na maioria das vezes - o fraudador ou cibercriminoso que visa ganhos financeiros é bem sucedido quando coexiste com as medidas de proteção da organização que ataca. Frequentemente, ele se preocupa em voar abaixo do radar de detecção (muitas vezes óbvio) inimigo.

A vantagem do atacante sobre o defensor no domínio cibernético é tão grande que esta situação pode ser comparada a um jogo de xadrez em que seu adversário já sabe suas duas ou três próximas jogadas. Se você se preparar extremamente bem, ganhará de adversários medianos (ataques comuns). Mas nem o Kasparov e Deep Blue juntos são capazes de vencer um adversário que fez seu dever de casa (ataques internos ou de adversários avançados – exemplo: China vs Google).

O crime organizado lucra cada dia mais aproveitando a miopia dos responsáveis pela segurança em diferentes níveis e organizações pelo mundo. O despreparo e incapacidade de reação das empresas e órgãos públicos e a falta de legislação adequada construiram um ambiente perfeito para a proliferação e profissionalização de nossos adversários. A equação “risco-recompensa” favorece o atacante.

Por isto, a organização precisa estar preparada para responder mesmo quando não foi capaz de detectar a ameaça. Este é o caso quando a notificação é externa (judicial, parceiros, mídia), ou interna (serviços de denúnica anônima, RH). Idealmente, os registros de sistemas, sessões de rede relacionadas e resultados de investigações devem ser preservados adequadamente para que uma ação de reação adequada possa buscar a identificação da autoria, materialidade, causa-raiz e demais esclarecimentos necessários.

A regulamentação é importante. Mas sobram exemplos de empresas que passaram por auditorias de compliance com as regulamentações PCI/DSS ou Sarbes Oxley e logo depois sofreram um incidente de segurança que demonstrou a fragilidade de sua postura de segurança no tocante a identificação e preparação para uma persecução criminal adequada.

As ameaças que afetam o negócio da organização precisam ser prontamente identificadas e combatidas. Sem a adequada melhoria na reação ao cibercrime - em todos os níveis (técnico, gerencial, legal, governamental) e em todas as esferas (desde a corporação até a persecução transnacional) – a vantagem, que já é dos nossos adversários, continuará a crescer.

Outro problema a ser considerado é a distância do mindset das àreas internas de Tecnologia da Informação / Segurança da Informação e das áreas de Governança/Auditoria/Risco/Anti-fraude. Este é um inimigo interno muito comum para um enfrentamento adequado das ameaças reais que afetam uma organização.

Além disto, um erro comum cometido por organizações modernas não está na tecnologia, mas na falta de investimento na rastreabilidade e capacidade de comprovação de autoria das ações ilícitas que ocorrem em suas redes.

A importância da aplicação de punições está documentada desde a antiguidade e remonta ao Código de Hamurabi, que foi escrito em 1700 AC. Um adequado investimento na capacidade de rastreabilidade e punição dos responsáveis pode evitar novos ataques por “mandar uma mensagem” que afeta a equação risco-recompensa dos criminosos.

Os dashboards, documentos executivos e apresentações de impacto, relacionados ao risco real a que a organização está exposta, pode ser gerados a partir da fase post-mortem do tratamento de incidentes reais que a empresa enfrenta em seu dia-a-dia. Através de uma reação reação apropriada, podemos aplicar a máxima “Conheça seu inimigo”.

No ano 400 AC, o General chinês Sun Tzu, já sabia disto:

"Se você conhece o inimigo e conhece a si mesmo, não precisa temer o resultado de cem batalhas. Se você se conhece mas não conhece o inimigo, para cada vitória ganha sofrerá também uma derrota. Se você não conhece nem o inimigo nem a si mesmo, perderá todas as batalhas" (A Arte da Guerra).

Nos próximos artigos, iremos aprofundar a discussão através da apresentação de algumas tecnologias que auxiliam as empresas a manter o foco nas ameaças reais, melhorando a rastreabilidade, auditoria e investigação de ações ocorridas em seus sistemas.

As tecnologias de reação às atividades ilícitas e ao cibercrime que serão apresentadas ser divididem em dois grupos:

1 – Soluções de Consciência Situacional de Registros de Sistemas (1.1) e Rede (1.2);

2 – Soluções de Aquisição e Análise de Evidências Stand Alone (2.1) e Remotas (2.2);

Como características básicas, o primeiro grupo precisa ser capaz de guardar dados que indiquem que uma violação ou crime ocorreram, mesmo quando eles não foram adequadamente detectados pelas soluções tradicionais.

O segundo grupo de soluções precisa primar pela guarda adequada das evidências coletadas, para que estas possam servir de comprovação de autoria e materialidade da prova em um possível caso trabalhista, cível ou penal.

Até o próximo artigo,

Sandro Süffert, CTO

Techbiz Forense Digital

Risco, Vulnerabilidade, Ameaça e Impacto

[ Definição ]


Fonte dos conceitos abaixo: NIST SP 800-30 (tradução livre: Sandro Süffert).

• Risco: probabilidade de uma fonte de ameaça explorar uma vulnerabilidade, resultando em um impacto para a organização;
• Vulnerabilidade: falha ou fraqueza de procedimento, design, implementação, ou controles internos de um sistema que possa ser acidentamente ou propositalmente explorada, resultando em uma brecha de segurança ou violação da política de segurança do sistema;
• Ameaça: possibilidade de um agente (ou fonte de ameaça) explorar acidentamente ou propositalmente umavulnerabilidade específica;
• fonte de Ameaça: ou (1) uma intenção e método objetivando a exploração de uma vulnerabilidade ou (2) uma situação e método que pode acidentalmente disparar uma vulnerabilidade;
• Análise de Ameaças: verificação das fontes de ameaça versus vulnerabilidades, para determinar as ameaças de um sistema em particular em um ambiente operacional particular.

[ Update - 26/01/2011 ]



Este update é só para sumarizar a importância de se conhecer o inimigo, com uma citação do General Sun Tzu (~ ano 400 AC):


"Se você conhece o inimigo e conhece a si mesmo, não precisa temer o resultado de cem batalhas. Se você se conhece mas não conhece o inimigo, para cada vitória ganha sofrerá também uma derrota. Se você não conhece nem o inimigo nem a si mesmo, perderá todas as batalhas"



[ Update - 22/01/2011 ]



O "Gerenciamento do Risco" deve ser acompanhado por um Confrontamento das Ameaças reais.

Gerenciar o risco sem conhecer (ou sem se importar em conhecer) as ameaças é pouco eficiente - mas infelizmente esta atividade pode manter uma equipe ou uma empresa ocupada tempo suficiente preenchendo formulários e checklists de forma que não seja necessário se ocupar em conhecer mais profundamente os problemas reais (tecnológicos, processuais ou pessoais) que afetam e fragilizam a organização.

Adivinhe: isto é tudo que as ameaças reais (insiders, competidores, crackers contratados, espiões, fraudadores,funcionários insatisfeitos,..) precisam para ficar sob o radar.

Em outras palavras, não basta usar sistemas contendo fórmulas (batidas ou mágicas) para mensurar o "Risco" e assim decidir o investimento em ações de proteção e detecção do seu programa de segurança.

Fred Cohen - citado recentemente por Richard Bejtlich, define esta questão de uma forma interessante: "Risk management: a guess multiplied by an approximation, taken to the power of an expert opinion."

Ou seja, costuma ser um bom começo.. pena que muitas empresas param por aí. Uma análise de risco super bem feita - com as melhores contramedidas a postos - não vai evitar que as "ameaças explorem as vulnerabilidades e resultem em impactos" muitas vezes não imaginados ou calculados anteriormente.

Por mais que você invista em prevenção e detecção, incidentes/fraudes/crimes continuarão ocorrendo.

Isto é verdade especialmente se a empresa não responde adequadamente aos incidentes por não possuir visibilidade real do que ocorre em sua rede e em seu negócio. Mais uma vez bato na mesma tecla - o FOCO deve estar na AMEAÇA..

Você precisa estar preparado para reagir e estudar o modus operandi dos seus adversários, e desta forma se posicionar melhor e investir de forma inteligente na prevenção e detecção, inclusive..

Organizar um time de Resposta a Incidentes (CSIRT/ETIR) eficiente, com foco no risco ao negócio e que interaja com as áreas clientes da empresa (Auditoria, TI, Inspetoria, Anti-Fraude, Compliance, RH, etc..) não é tarefa fácil. Mas isto proporcionará a médio prazo um foco na ameaça ao negócio, o que a faz perder dinheiro, informação - e assim perder valor de mercado, ser menos competitiva, etc..

É uma situação muito interessante, a do "Incident Responder" - ele sempre começa perdendo - e somente às vezes sai ganhando.. É impossível prever todos os possíveis vetores de ataque dentro dada a alta complexidade e conectividade de uma organização moderna - a vantagem do ataque sobre a defesa é imensa e você sempre vai perder antes de ganhar. Talvez o único jeito de ganhar é passar a perceber as reais ameaças, reagir a elas, e contra-atacar (na justiça, de preferência).

Tratar os incidentes de segurança que afetam o negócio (levando-os ou não à justiça) é o que proporcionará ao CSIRT e à empresa o conhecimento das intenções, oportunidades e capacidades de seus verdadeiros adversários (ameaças). A maioria das empresas que não está em verticais com riscos financeiros mais explícitos (Financeiro/Telecom) precisa passar por um incidente sério para começar a se mover neste sentido. Quem nunca viu isto acontecer?

• O que promove mais a Segurança da Informação, a Sarbanes Oxley, o PCI ou um concorrente roubando informações estratégicas que podem levar a empresa à falência?

• O que melhora a capacidade de detecção de incidentes, normas governamentais - por mais bem estruturadas que sejam - ou a perda de confidencialidade de dados sensíveis como nos recentes envolvendo o Wikileaks?

• O que motiva investimentos contínuos em defesa cibernética de infraestruturas críticas, regras escritas e controle de acesso de classe militar ou reagir à possibilidade de ameaças como o StuxNet?

Aos interessados que chegaram até aqui, recomendo uma excelente abordagem dos aspectos econômicos/comportamentais dos criminosos cibernéticos postada hoje por Craig Wright - Criminal Specialization as a corollary of Rational Choice. <= Food for Tought

Para o desdobramento dos componentes da Ameaça, continue lendo abaixo..

[ Update - 14/10/2009 ]

Novo post da série sobre "Security Intelligence" no blog do SANS - desta vez tratando de conceitos como indicadores de ataque, comportamento dos adversários, progressão do ataque (aka kill chain) - leitura recomendada!

[ Update - 23/08/2009 ]

Uma série de posts de Michael Cloppert estão introduzindo o assunto "Security Intelligence".

Ele define alguns termos interessantes (além dos já expostos neste post) . Por exemplo, ele apresenta os seguintes sub-conceitos da Ameaça:

Intenção: tende a ser dependente de indústria. Roubo de dados, por exemplo. Não pode ser influenciado por ações de Segurança.

Oportunidade: timing apropriado e conhecimento do alvo.

Capacidade: é a habilidade financeira, humana e técnica de alcançar o objetivo de ataque e aproveitar a oportunidade.

[ Post Original - 07/06/2009 ]

Em uma conversa recente com um cliente sobre atividades de 'Análise de Risco', percebi que os conceitos de Risco, Vulnerabilidade, Ameaça e Impacto ainda confundem muita gente experiente na área de Segurança da Informação.

Este post tem a intenção de apresentar estes conceitos e propor uma abordagem que considero ideal para abordar este desafio em uma empresa.

Fonte dos conceitos abaixo: NIST SP 800-30 (tradução livre minha).

• Risco: probabilidade de uma fonte de ameaça explorar uma vulnerabilidade, resultando em um impacto para a organização;
• Vulnerabilidade: falha ou fraqueza de procedimento, design, implementação, ou controles internos de um sistema que possa ser acidentamente ou propositalmente explorada, resultando em uma brecha de segurança ou violação da política de segurança do sistema;
• Ameaça: possibilidade de um agente (ou fonte de ameaça) explorar acidentamente ou propositalmente uma vulnerabilidade específica;
• fonte de Ameaça: ou (1) uma intenção e método objetivando a exploração de uma vulnerabilidade ou (2) uma situação e método que pode acidentalmente disparar uma vulnerabilidade;
• Análise de Ameaças: verificação das fontes de ameaça versus vulnerabilidades, para determinar as ameaças de um sistema em particular em um ambiente operacional particular.

A execução apropriada de uma "classificação dos ativos" seguida de uma "análise de risco" real em uma organização complexa é uma tarefa intangível - para não dizer impossível - dada a quantidade de fatores desconhecidos na equação de risco. É verdade que normalmente isto leva a estimativas que ficam bonitas em relatórios e dashboards e powerpoints..

Dito isto, acredito que uma abordagem de tratamento ou análise de ameaças é mais efetivo quando executado apropriadamente pelo time de Segurança de Informações - isto envolve várias ações:

• A detecção e mitigação das vulnerabilidades presentes em sistemas críticos é o mínimo a ser feito.

• O histórico dos incidentes tratados (post-mortem...), as ações tomadas contra as fontes de ameaça identificadas e o entendimento e mitigação de seu modus operandi são fundamentais.

• O envolvimento com outras áreas da empresa que lidam com Risco da Tecnologia ou da Informação é primordial

• O constante convencimento da importância em diminuir o esforço e foco nas vulnerabilidades (O COMO) e atacar de frente as ameaças (O QUEM - veja este excelente post do Richard Beijtlich sobre o assunto) - incluindo a penalização interna (RH) ou envolvimento do Jurídico para ações externas.

• A empresa somente é capaz de responder adequadamente quando se esforça em conhecer progressivamente todos os fatores desta equação: que vulnerabilidades possui, a que ameaças está suscetível, quais agentes estão envolvidos e qual são os impactos históricos e possíveis da exploração destas ameaças.

• Isto não acontece magicamente quando apenas os aspectos tecnológicos de vulnerabilidades ou uma "análise de risco" tradicional é executada por esforços isolados da área de Segurança da Informação (com tradicionais cobranças eventuais das áreas de Compliance e Auditoria).

Para uma abordagem realista e eficiente dos desafios de segurança da informação para os negócios da empresa exige uma abordagem ampla com foco nas ameaças. Por experiência própria, isto funciona melhor quando é institucionalizado um fórum inter-departamental com um grupo de trabalho técnico e outro executivo.

A frequência recomendada é de um dia inteiro por semana e as possíveis áreas envolvidas são: Segurança da Informação, Risco, Auditoria, Compliance, Governança, Anti-Fraude, Segurança Empresarial, Jurídico e Recursos Humanos. Se você acha isto intangível na sua organização, comece com uma hora por semana com 2 ou 3 das áreas citadas..

Com esta linha em ação, é possível mover a Segurança da Informação da sua função tradicional (FW,IDS,AV,Controle de Acesso,...) e trazê-la para um campo estratégico de proteção dos
interesses da empresa/órgão de seus adversários e ameaças reais.

Observação: este é um dos posts mais acessados através de pesquisas no google (pelos termos que compõem o título do artigo)