Irã e SSL, Apache DoS, Morto Worm, RSA Hack, Exploit Kits e +..

Como o blog passou um tempo acima do normal sem atualizações (2 semanas), os assuntos interessantes se acumularam - por este motivo aí vai mais um post no estilo "Curtas e Boas":

• Mais uma vez (assim como no caso do ComodoGate de março deste ano) o Irã é suspeito de estar monitorando tráfego criptografado (SSL) através do uso de certificados digitais forjados - o Google alertou hoje sobre uma autoridade certificadora holandesa chamada DigiNotar que teria emitido os certificados falsos em nome de serviços do Google (como o Gmail).

• O Team Cymru publicou mais um ótimo episódio no Youtube - Email Forensics, DDoS Mitigation Steps & Animations  <= Já são mais de 100 episódios, vale a pena dar uma olhada nos assuntos e assistir alguns mais antigos..

• A Kaspersky publicou um interessante resumo com dados e estatísticas sobre ataques de DDoS ocorridos no 2o 'quarter' de 2011

• Morto Worm  - Depois de um bom tempo sem um worm digno de nota, apareceu um que se conectar à RDP (Remote Desktop - tcp 3389) em máquinas Windows usando o usuário "Administrator" e uma lista de senhas pré-definidas. O modus operandi é similar ao dos Worms que se propagam por SSH utilizando senhas fáceis. Veja detalhes no site da Microsoft e do ISC/SANS. Para fazer download do binário, siga este link.

• Web Exploitation Tools: Drive-By-Downloads são cada vez mais comuns.  o Dancho Danchev publicou alguns dealhes interessantes de alguns kits neste post  Mais informações sobre exploit packs podem ser vistos neste Whitepaper: http://www.team-cymru.com/ReadingRoom/Whitepapers/2011/Criminal-Perspective-On-Exploit-Packs.pdf

• O Raphael Mandarino - do Gabinete de Segurança Institucional da Presidência da República - publicou, através do site Convergência Digital, um curto artigo entitulado "Sobre bandidos e hackers" - apesar de não achar estas discussões etimológicas produtivas, vale a leitura..

• De carona com outros ataques/vulnerabilidades de negação de serviço a servidores web, como o slowloris do RSnake e o Owasp HTTP Post Tool, foi divulgada uma nova ferramenta pronta para os script kiddies usarem, que explora uma vulnerabilidade deste tipo no Apache,  Estar em dia com os patches do seu servidor web ajuda (enquanto não sai o patch, veja as recomendações de mitigação em "Range header DoS vulnerability Apache HTTPD 1.3/2.x"  - obrigado pelo comentário, Fernando!), uma outra dica é utilizar um Web Application Firewall como o modsecurity. Uma ferramenta que pode ser utilizada para checar pelos 3 tipos de vulnerabilidade é a slowhttptest (mais detalhes aqui).

• Detalhes de como a RSA foi comprometida em março foram divulgados pela F-Secure (incluindo o .xls que carrega o payload - 0day na época - e instala o backdoor Poison Ivy). Tudo indica que um funcionário da EMC/RSA enviou um arquivo de mensagem do outlook (.msg) contendo o .xls para o VirusTotal ainda em março..

DLP e WAF, porque é tão difícil / Segurança em profundidade

Existem dois 'security buzzwords ' que estão em voga: WAF - Web Application Firewall e DLP - Data Loss Prevention.

Ambos se afastam da visão de proteção da segurança de rede no perímetro: Firewall, IDS/IPS e se voltam para onde as informações críticas - e vários ataques de grande impacto - verdadeiramente se encontram, nas camadas de aplicação (WAF) e dados (DLP).

O maior benefício inicial em utilizar ambas as tecnologias é o auxílio que elas podem trazer à maturidade da cultura de segurança na empresa, pois elas lhe forçarão a encarar alguns sérios problemas de segurança que talvez estivessem passando despercebidos.

É um desafio grande implementar com sucesso tais soluções em ambientes complexos, e a maior dificuldade está em conhecer/ classificar / controlar profundamente as alterações em suas aplicações e dados críticos para que você possa ter o conhecimento necessário para utilizar todo o poder destas ferramentas, conforme o visionário Dan Geer coloca (citado por Jeremiah Grossman) [tradução livre]:

• Se você não sabe nada, 'permit-all' é a única opção.
• Se você sabe algo, 'default-permit' é o que você pode/deve fazer.
• Se você sabe tudo, somente aí o 'default-deny' se torna possível

Seguem alguns links de vendors de DLP/WAF :

- DLP (Verdasys, Symantec/ex-Vontu, TrendMicro/ex-Provill, IronPort)
- WAF (Citrix/ex-Teros, NetContinuum, Imperva)

Veja alguns exemplos recentes da dificudade em implementar com sucesso tais soluções:

Por mais investimento em segurança / classificação de dados / controle de material confidencial que os governos façam, isto não impediu que recentemente projetos americanos de ogivas nucleares fossem parar em notebooks de contrabandistas suíços (Reuters) ou dados de inteligência - obviamente secretos - sobre a rede Al-Qaeda fossem achados em um ônibus na inglaterra. (BBC) . Aqui, além do DLP- que poderia indicar/evitar o vazamento destas informações, deveria ter sido utilizado o 'full disk encryption' - uma tecnologia que possui boas implementações gratuitamente - que evitaria o impacto na confidencialidade das informações.

Pelo lado das soluções de WAF - como comentei ontem, foram encontradas dezenas de falhas exploráveis de Cross Site Scripting em sites importantes do governo americano (incluindo a CIA e a NASA), possivelmente uma solução de WAF bem implementada evitaria que a maioria destes sérios problemas chegassem à mídia.

Como sabemos nenhuma solução é panacéia, e poucas destas darão conta sozinhas de uma simples faceta da segurança da informação. para proteger o investimento ao escolher e utilizar as tecnologias apresentadas pelo mercado em ambientes complexos, uma visão clara de "segurança em profundidade" (ahá, entendeu o motivo do cebolão esquisito aí em cima) é fundamental, e isto inclui (re)conhecer os riscos não mitigados particulares ao seu negócio.