Livros de Seguranca Resposta a Incidentes e Forense Computacional

[ Update 26/11/2014 ]

Update: Depois da excelente palestra "Ten Strategies of a World-Class Cybersecurity Operations Center” na conferência Shmoocon do ano passado, conversei com o consultor do Mitre Carson Zimmerman sobre meu interesse em discutir / trocar informações sobre o assunto.

Hoje recebi um email do mesmo publicando informações sobre o livro gratuito que ele publicou, através do MITRE, sobre o assunto. Fiz questão de atualizar este post para ajudar na divulgação deste excelente material que pode ser muito útil para organizações que estão montando ou tentando melhorar seus CSIRTs e SOCs:

http://www.mitre.org/publications/all/ten-strategies-of-a-world-class-cybersecurity-operations-center



 [ Update 14/05/2013 ]

Seguem alguns títulos que li nos últimos meses e que  adiciono à lista de livros recomendados sobre Seguranca, Resposta a Incidentes e Forense Computacional:

• The Death of the Internet (Markus Jakobson)
• Blackhatonomics: An Inside Look at the Economics of Cybercrime (Will Gragido and others)
• DarkMarket: How hackers Became the new Mafia (Misha Glenny)
• Windows Forensic Analysis Toolkit: Advanced Analysis Techniques for Windows 7 (Harlan Carvey)
• Hacking Exposed 7 (Stuart McClure)
• Cyber Warfare: Techniques, Tactics and Tools for Security Practitioners  (Jason Andress and others)

[ Update 23/11/2012 ]

O Richard Beijtlich publicou hoje uma lista de leituras recomendadas em seu blog, motivada pela solicitação de um Coronel da Força Aérea Norteamericana interessado nos tópico "Cyber":

Segue a lista:

"Nontechnical books:

• America the Vulnerable by Joel Brenner
• Cyber War by Richard Clarke and Robert Knake
• Crypto by Steven Levy
• Geekonomics by David Rice
• Security Metrics by Andrew Jaquith
• The Victorian Internet by Tom Standage
• The Cuckoo's Egg by Cliff Stoll
• Tiger Trap by David Wise

Technical books:

• Software Security by Gary McGraw
• The Art of Computer Virus Research and Defense by Peter Szor
• Real Digital Forensics by Keith Jones, Curtis Rose, and Richard Bejtlich
• Incident Response by Kevin Mandia, Matt Pepe, and Chris Prosise
• The Internet and Its Protocols by Adrian Farrell
• The Tao of Network Security Monitoring by Richard Bejtlich
• Hacking Exposed 7 by Joel Scambray, George Kurtz, Stuart McClure, and a ton of contributors

I also recommend any books by Timothy L Thomas."

[ Update 24/04/2011 ]

Atualizando as boas referências de livros sobre Segurança, esta lista do Carnal0wnage na Amazon está muito completa, confiram!

Outra ótima referência (com juízo de valor qualificado) são as dezenas de reviews do Bejtlich na Amazon.

[ Update - 20/01/2011 ]

A Gisele Truzzi também publicou uma lista: Bibliografia - Direito Digital, Crimes Digitais e Perícia Forense - recomendada! Confira também a Biblioteca Forense (com capas dos livros) recomendada pelo José Milagres.

[ Update - 02/12/2010 ]

O site da Digital Forensics Association publicou uma lista extensa de referência bibliográfica. Por uma questão de organização, estou colocando esta lista ao final do post.

[ Post Original - 18/12/2009 ]

O treinamento e aperfeiçoamento das equipes internas responsáveis pelo tratamento de incidentes de segurança e forense computacional é certamente a iniciativa de melhor custo-benefício (ou custo-eficiência) que pode ser tomada por uma empresa ou órgão governamental.

Na minha experiência como analista e coordenador de times de resposta a incidentes e como consultor da área, sempre percebi que - apesar de ser a menos valorizada dentre todas as iniciativas necessárias, este investimento fundamental de preparação do corpo técnico é certamente o que faz a diferença na hora de responder a incidentes complexos de forma eficiente.

Em se tratando de treinamento e aperfeiçoamento temos os cursos tradicionais de ferramentas utilizadas pela equipe, cursos de preparação para certificações, os ótimos cursos do CERT.BR (olá Klaus & Cristine) e da Escola Superior de Redes da RNP (oi Jacomo).

Além disto é necessário que haja um interesse contínuo de atualização por parte dos profissionais envolvidos, pois a nossa área requer profissionais extremamente preparados e capazes - afinal normalmente iremos atuar quando todos os outros esforços já falharam e o que resta é que seja feita uma boa e rápida reação ao incidente analisado.

Pelos motivos acima, eu compilei - e pretendo manter atualizada (envie suas sugestões) - uma lista de alguns livros que considero importantes para um time de resposta a incidentes e forense computacional, incluindo o link para a página do livro na Amazon e uma breve descrição sobre o conteúdo de cada título.

Na lista existem livros mais teóricos e outros mais técnicos, e também livros criados especificamente para profissionais de segurança que atuam na defesa de sistemas e os que exploram o modus-operandi de atacantes para que os profissionais de segurança possam se preparar para investigar ataques utilizando estas técnicas.

O objetivo é auxiliar equipes e profissionais na obtenção de mais conhecimento relacionado às áreas de segurança, resposta a incidentes e forense computacional.

• Computer Evidence Collection & Preservation

Christopher L. T. Brown conseguiu prover um guia prático para coleta e preservação de evidências - considerando topologias de rede, metodologias de criação de imagens forenses, coleta de dados voláteis - é um livro bastante focado na manutenção da integridade das evidências digitais.

• CrimeWare

Markus Jakobsson e Zulfikar Ramzan escreveram parte e compilaram o restante das várias seções que este excelente livro nos apresenta. Todas elas são focadas no modus operandi atualizado dos criminosos e das ferramentas que estes utilizam (rootkits, bots, spyware, click fraud, etc..).

• Essentials of Corporate Fraud

Com o crescente interesse de outras áreas da empresa em investigações internas utilziando as tecnologias de resposta a incidentes e forense computacional, este livro é fundamental para uma compreensão rápida do mundo da Fraude Corporativa, incluindo as causas de sua existência, fraudes comuns, sinais da sua ocorrência e procedimentos normalmente utilizados por equipes de Anti-Fraude que provavelmente são ou serão clientes internos de seu expertize em resposta a incidentes.

• Exploiting Software - How to Brake Code

Greg Hoglund e Gary McGraw mostram de forma clara como se explora software vulnerável e apresentam ao leitor diferentes padrões de ataque, ferramentas e técnicas utilizadas em ataques reais. São cobertos temas como engenharia reversam exploração de clientes, servidores, buffer overflow e rootkits.

• Extrusion Detection

Richard Bejtlich apresenta neste ótimo livro uma abordagem realista para defesas de ataques ocorridos de dentro de uma organização. O livro aborda o design de redes melhor protegidas deste tipo de ataques, análise de sessões, utilização de forense de rede para entender e identificar a causa raiz de ataques complexos, além de vários estudos de caso interessantes e como respoder estes incidentes utilizando ferramentas open-source.

• File System Forensic Analysis

Brian Carrier detalha a estrutura, funcionamento interno e abordagem de investigação do ponto de vista baixo nível de Sistemas de Arquivos do tipo FAT, NTFS, Ext2, Ext3, UFS1 e UFS2 (se prepare para aprender a ler em hexadecimal).

• Forensic Discovery

Neste clássico livro de forense computacional para UNIX, Dan Farmer e Wietse Venema apresentam conceitos fundamentais para investigações modernas, como a ordem de volatilidade, confiança nas informações coletadas, captura e análise de memória, processo de boot, entre outros. Tudo isto utilizando as ferramentas originais criadas por eles no The Coroner ToolKit (TCT).

• Hacking Exposed Series

Esta série de sucesso apresenta técnicas utilizadas por crackers em ataques reais. Dentre os diferentes livros da série, são abordados aspectos como Segurança de Rede, Windows, Linux, Aplicações Web, Web 2.0, Códigos Maliciosos e RootKits, Wireless, entre outros!

• Hacking - The Art of Exploitation

Jon Erickson provê um livro de crescente complexidade apresentando os conceitos necessários para compreender e utilizar técnicas de programação para exploração de vulnerabilidades, debug de códigos, codificação de exploits, detalhes importantes de networking, shellcodes e medidas defensivas.

• Malware Forensics

James M. Aquilina, Eoghan Casey e Cameron H. Malin apresentam um guia prático - com ênfase em ferramentas gratuitas - de análise e investigação de códigos maliciosos em situações live e em post mortem. Este extenso livro aborda temas como a coleta de dados voláteis de windows e linux, a análise de dumps físicos e de processos e descoberta e extração de de artefatos em unix e windows.

• Mastering Windows Network Forensics and Investigation

Steve Anson e Steve Bunting apresentam uma abordagem completa para investigações envolvendo crimes eletrônicos - desde a entrevista inicial com as vítimas, passando pelo entendimento de como atacantes exploram vulnerabilidades em redes reais, detalhes de file-systems, registros, análise de dados voláteis, análise de computadores de suspeitos, utilização do Encase para análise de eventos ocorridos em máquinas Windows, e chegando à fase final de como apresentar tecnicamente as informações processadas para públicos variados, como júris e advogados.

• Practical Intrusion Analysis: Prevention and Detection for the Twenty-First Century

O autor faz uma revisão no início do livro sobre conceitos fundamentais para a Detecção de Intrusões, como endereçamento IP, subnetting, e pacotes, que considerei desnecessária para um livro com este título, porém logo depois ele detalha de forma adequada as soluções de rede e de end-point para uma resposta a incidentes efetiva.

• Rootkits

Greg Hoglund e James Butler apresentam neste livro técnicas detalhadas da confecção e utilização de rootkits que subvertem o sistema, proporcionando ao atacante o controle remoto de máquinas, invisibilidade de processos e arquivos e sniffers de teclado. Técnicas avançadas como Hooking, Runtime Patching e manipulação direta de objetos do kernel de máquinas Windows são apresentadas, assim como dicas de como detectá-las durante a investigação de um sistema suspetio.

• Security Log Management

Jacob babbin, Dave Kleiman, Everret Carter Jr, Jeremy Faricloth e Mark Burnett apresentam neste livro o que é necessário ser feito do ponto de vista de monitoração de eventos de segurança críticos para ser capaz de: investigar intrusões baseados em logs de sistema, construir uma infra-estrutura de relatórios baseada em logs existentes de firewall, sistema, servidores web e ids/ips e como abordar um projeto para implantar uma ferramenta de SIEM (Security Information and Event Monitoring), incluindo a utilização de ferramentas open-source para agilizar o processo.

• Security Metrics - Replacing Fear, Uncertainty and Doubt

Andrew Jaquith desafia a dificuldade na medição do "retorno de investimento" (ROI) das iniciativas de segurança neste livro original. São apresentadas melhores práticas para criar e utilizar métricas de segurança dentro de uma coorporação. O livro apresenta técnicas e procedimentos práticos para geração de métricas de cobertura e controle, gerenciamento de vulnerabilidades, qualidade de passwords, latência de correções, e risco ajustado ao negócio. Além disto, técnicas de visualização e apresentação do resultado são exploradas, buscando a apresentação de visões diferenciadas da eficiência das iniciativas de segurança dentro de uma empresa.

• Silence on the Wire

Michal Zalewski apresenta neste livro uma maneira criativa e inesperada de abordar a exploração e defesa de ataques sofisticadas, que vão desde a segurança de geradores de números randômicos e sua influência na captura de informações em comunicações encriptadas, emanações TEMPEST, ataques a aplicações web, vulnerabilidades wi-fi, falhas em implementações de fragmentação IP, e a detecção para alguns dos ataques descritos.

• Shellcoder's Handbook

Chris Anley, John Heasman, Feliz linder e Gerardo Richarte apresentam a última edição desta bíblia de como explorar computadores do ponto de vista da programação dos shellcodes. São explicados detalhadamente os códigos responsáveis por conseguir explorar as diferentes vulnerabildades em software. Excelente para a compreenção de como falhas são encontradas e como as explorações são pensadas e construídas de forma a obterem o resultado final.

• Perl Scripting for Windows Security

Harlan Carvey neste livro apresenta uma variedade de códigos em linguagem Perl para execução de análise forense (incluindo live response) em máquinas Windows e para Monitoração de Segurança de aplicações.

• Phishing Exposed

Lance James mostra neste ótimo livro a evolução do Phishing e as diferentes técnicas utilizadas pelos fraudadores, incluindo Malwares (Trojans), Blind Drops, Cross-Site Scripting, explorações SSL e DNS poisoning.

• Real Digital Forensics - Computer Security and Incident Reponse

Keith Jones, Richard Bejtlich e Curtis Rose apresentam técnicas eficientes de live response para máquinas Windows e Unix, Confirmação de ataques detectados, confecção de kits de resposta a incidentes, análise de dados voláteis e não-voláteis, execução e documentação de duplicações forenses, coleta e análise de evidência coletada na rede em ambiente windows e linux e reconstrução de atividades como navegação web, email e mudança no registro de máquinas analisadas.

• The Tao of NetWork Security Monitoring

Richard Bejtlich apresenta neste excelente livro uma abordagem híbrida de segurança e monitoração de rede, e mostra as melhores práticas e o caminho de como construir uma infraestrutura de monitoração de segurança com capacidade de customização de ferramentas existentes para a necessidade da sua rede. Várias ferramentas open-source são apresentadas e analisadas do ponto de vista da integração no framework de NSM (Network Security Monitoring)

• Windows Forensic Analysis v2

Harlan Carvey atualiza nesta segunda edição a melhor referência detalhada de análise forense de máquinas Windows utilizando ferramentas open-source. Repleto de exemplos reais e ferramentas e códigos criados e detalhados pelo próprio autor - é uma maneira eficiente e realista de aprender (ou se atualizar) nas melhores técnicas para análise forense de máquinas Windows, incluindo coleta de dados voláteis, análise de dados, análise de memória, análise de registro, análise de arquivos e seus metadados, análise de executáveis e rootkits.

Esta lista tende a crescer se eu mantiver a média de 4 livros técnicos sobre Segurança no ano. Alguns dos próximos candidatos estão na minha Wish List da Amazon.

Caso você tenha algum bom livro a recomendar - faça um mini-review e insira nos comentários!

[ Lista de livros da Digital Forensics Association <= links p/ a Amazon ]

1. Advances in Digital Forensics II (IFIP International Federation for Information Processing) (v. 2) 

Springer;
2. Alternate Data Storage Forensics

by Amber Schroader; Tyler Cohen;

3. Building a Digital Forensic Laboratory

by Andrew Jones, Craig Valli
;
4. CD and DVD Forensics

by Paul Crowley;
5. Computer and Intrusion Forensics (Artech House Computer Security Series)

by George Mohay, Alison Anderson, Byron Collie, Olivier de Vel, Rod McKemmish;
6. Computer Crimes and Digital Investigations

by Ian Walden;
7. Computer Evidence: Collection & Preservation (Networking Series)

by Christopher LT Brown;
8. Computer Forensics: Evidence Collection and Management

by Robert C. Newman;
9. Computer Evidence (Forensic Crime Solvers)

by Michael Dahl;
10. Computer Forensics: Incident Response Essentials

by Warren G. Kruse, Jay G. Heiser;
11. Computer Forensics: An Essential Guide for Accountants, Lawyers, and Managers

by Michael Sheetz;
12. Computer Forensics: Computer Crime Scene Investigation (Networking Series)

by John R. Vacca;
13. Computer Forensics: Principles and Practices (Prentice Hall Security Series)

by Linda Volonino, Reynaldo Anzaldua, Jana Godwin;
14. Computer Forensics and Cyber Crime: An Introduction

by Marjie T. Britz;
15. Challenges to Digital Forensic Evidence

by F Cohen;
16. Cybercrime and Society

by Majid Yar;
17. Cyber Forensics: A Field Manual for Collecting, Examining, and Preserving Evidence of Computer Crimes

AUERBACH;
18. Digital Crime And Forensic Science in Cyberspace (N/A)

by et AL;
19. Digital Evidence and Computer Crime, Second Edition

by Eoghan Casey
;
20. EnCase Computer Forensics: The Official EnCE: EnCase Certified Examiner Study Guide

by Steve Bunting, William Wei;
21. File System Forensic Analysis

by Brian Carrier;



22. Investigating Computer Crime In The 21st Century: Investigating Computer Crime In The Twenty-first Century

by Ronald L. Mendell;
23. Investigating High-Tech Crime

by Michael Knetzger, Jeremy Muraski;


24. Practical Guide to Computer Forensics: For Accountants, Forensic Examiners. and Legal Professionals

by Frank Grindstaff;



25. Silence on the Wire: A Field Guide to Passive Reconnaissance and Indirect Attacks

by Michal Zalewski;



26. Computer Forensics and Investigations

by Bill Nelson, Amelia Phillips, Frank Enfinger, Chris Steuart;
27. Computer Forensics JumpStart (Jumpstart (Sybex))

by Michael Solomon, Neil Broom, Diane Barrett;



28. Computer Investigation (Forensics: the Science of Crime-Solving)

by Elizabeth Bauchner;
29. Cyber Criminals on Trial

by Russell G. Smith, Peter Grabosky, Gregor Urbas


30. Cybercrime: Digital Cops in a Networked Environment (Ex Machina: Law, Technology, and Society)


31. J. M. Balkin;
32. 


 Cyber Crime Investigator's Field Guide

by Bruce Middleton;
33. Cyber Crime Investigations: Bridging the Gaps Between Security Professionals, Law Enforcement, and Prosecutors

by Anthony Reyes; Richard Brittson; Kevin O'Shea; Jim Steel;
34. Cybercrime: The Transformation of Crime in the Information Age (Crime and Society)

by David S. Wall
;
35. Incident Response and Computer Forensics, Second Edition

by Chris Prosise, Kevin Mandia, Matt Pepe;
36. Mastering Windows Network Forensics and Investigation

by Steven Anson, Steve Bunting;
37. The New Forensics: Investigating Corporate Fraud and the Theft of Intellectual Property

by Joe Anastasi;
38. Perl Scripting for Windows Security: Live Response, Forensic Analysis, and Monitoring

by Harlan Carvey, Jeremy Faircloth;
39. Real Digital Forensics: Computer Security and Incident Response

by Keith J. Jones, Richard Bejtlich, Curtis W. Rose;
40. Forensic Computer Crime Investigation (Forensic Science) 

CRC;
41. A Guide to Forensic Testimony: The Art and Practice of Presenting Testimony As An Expert Technical Witness

by Fred Chris Smith, Rebecca Gurley Bace;
42. Hacker's Challenge 2: Test Your Network Security & Forensic Skills

by Mike Schiffman, Bill Pennington, David Pollino, Adam J. O'Donnell;
43. Incident Response: Computer Forensics Toolkit

by Douglas Schweitzer;
44. International Guide to Combating Cybercrime

by Jody Westby;
45. Hacking Exposed Computer Forensics

by Chris Davis, Aaron Philipp, David Cowen;
46. Handbook of Computer Crime Investigation: Forensic Tools & Technology

by Eoghan Casey;
47. Information Risk And Security: Preventing And Investigating Workplace Computer Crime

by Edward Wilding;
48. The Investigator's Guide to Computer Crime

by Carl J., Ph.D. Franklin;
49. High Technology Crime Investigator's Handbook

by Gerald L. Kovacich, William C. Boni
;
50. Investigating Computer-Related Crime

by Peter Stephenson;
51. Malware Forensics: Investigating and Analyzing Malicious Code

by Cameron H. Malin, Eoghan Casey, James M. Aquilina;
52. iPhone Forensics: Recovering Evidence, Personal Data, and Corporate Assets

by Jonathan Zdziarski;
53. Privacy Protection and Computer Forensics, Second Edition

by Michael A. Caloyannides;
54. Forensic Computing: A Practitioner's Guide (Practitioner Series)

by A J Sammes, Brian Jenkinson;
55. Forensic Discovery (Addison-Wesley Professional Computing Series)

by Dan Farmer, Wietse Venema;
56. Foundations to Computer Forensics and Online Crime Investigations (Middle_english Edition)

 by Luis M Andrade, Wayne P Firestone;
57. Cyber Forensics: A Field Manual for Collecting, Examining, and Preserving Evidence of Computer Crimes, Second Edition (Information Security)

by Jr., Albert Marcella, Doug Menendez’
58. Guide to Computer Forensics and Investigations, Second Edition

by Amelia Phillips, Bill Nelson, Frank Enfinger, Christopher Steuart;
59. Digital Crime and Digital Terrorism

by Robert W. Taylor, Tory J. Caeti, Kall Loper, Eric J. Fritsch, John Liederbach;
60. Mac OS X, iPod, and iPhone Forensic Analysis DVD Toolkit

Syngress;
61. Scene of the Cybercrime: Computer Forensics Handbook

by Debra Littlejohn Shinder, Ed Tittel;
62. Techno Security's Guide to E-Discovery and Digital Forensics: A Comprehensive Handbook

by Jack Wiles;
63. The Official CHFI Study Guide (Exam 312-49)

by Dave Kleiman, Craig Wright, Jesse "James" Varsalone, Timothy Clinton, Michael Gregg;
64. UNIX and Linux Forensic Analysis DVD Toolkit

by Chris Pogue, Cory Altheide, Todd Haverkos;
65. Transnational Criminal Organizations, Cybercrime, and Money Laundering: A Handbook for Law Enforcement Officers, Auditors, and FinancialInvestigators

by James R. Richards;
66. Windows Forensics: The Field Guide for Corporate Computer Investigations

by Chad Steel;
67. Windows Forensic Analysis Including DVD Toolkit

by Harlan Carvey;
68. Windows Forensics and Incident Recovery (Addison-Wesley Microsoft Technology Series)

by Harlan Carvey;
69. Multimedia Forensics and Security

IGI Global
;
70. Wireless Crime and Forensic Investigation

by Gregory Kipper;
71. Software Forensics : Collecting Evidence from the Scene of a Digital Crime

by Robert Slade;
72. Understanding and Managing Cybercrime

by Sam C. McQuade

[ Obras Recomendadas pela Gisele Truzzi ]

1. CAMARGO Aranha Filho, Adalberto José Queiroz Telles de; “Crimes na Internet e a legislação vigente”; artigo publicado na Revista Literária de Direito, no 44, p. 23, outubro-dezembro/2002.

2. CASTRO, Carla Rodrigues Araújo de; “Crimes de Informática e seus Aspectos Processuais”.

3. CORRÊA, Gustavo Testa, “Aspectos Jurídicos da Internet”.

4. COSTA, Ana Maria Nicolaci da; “Na malha da Rede”. Os impactos íntimos da Internet.

5. DELMANTO, Celso; Código Penal Comentado.

6. GOUVÊA, Sandra; “O Direito na Era Digital”. Crimes praticados por meio da Informática.

7. LEGISLAÇÃO SOBRE INTERNET NO BRASIL, material elaborado pela Consultoria Legislativa da Câmara dos Deputados:

http://www.truzzi.com.br/blog/2010/07/13/legislacao-sobre-internet-no-brasil-material-para-download/

8. LEONARDI, Marcel; “Responsabilidade Civil dos Provedores de Serviços de Internet”.

9. Livro Verde sobre SEGURANÇA CIBERNÉTICA NO BRASIL, produzido pelo Governo Federal: http://dsic.planalto.gov.br/documentos/publicacoes/1_Livro_Verde_SEG_CIBER.pdf

10. LUCCA, Newton de e Adalberto Simão Filho; “Direito e Internet”. Aspectos jurídicos relevantes.

11. NORONHA, Magalhães; Direito Penal, volumes 1 a 4.

12. PAULINO, José Alves; “Crimes de Informática”.

13. PLANTULLO, Vicente Lentini; “Estelionato Eletrônico”. Segurança na Internet.

14. QUEIROZ, Claudemir. VARGAS, Raffael. “Investigação e Perícia Forense Computacional. Certificações, Leis Processuais, Estudos de caso.”

15. REIS, Maria Helena Junqueira; “Computer crimes”. A criminalidade na era dos computadores.

16. ROSA, Fabrízio; “Crimes de Informática”.

17. VIANNA, Túlio Lima; “Fundamentos de Direito Penal Informático”. Do acesso não autorizado a sistemas computacionais.

GCFE: ISC2 lança certificação em Forense Computacional - e outras opções

A ISC2, responsável pela certificação de segurança "CISSP", lançou hoje uma certificação de Forense Computacional, chamada  CCFP - "Certified Cyber Forensics Professional".

Hoje as mais importantes certificações na área são:

Vendor Neutral:

• GCFE - GIAC Certified Forensic Examiner (Sans)
• GCFA - GIAC Certified Forensic Analyst (Sans)
• CCE - Certified Computer Examiner (ISFCE)
• CCFE - Certified Computer Forensics Examiner (IACRB)

Professional:

• AVATAR -AccessData Value-Added, Technically Accredited Reseller (AccessData)
• ACE - AccessData Certified Examiner (AccessData)
• EnCE - Encase Certified Examiner (Guidance)

Mais detalhes sobre a nova "CCFP":

"The CCFP provides multiple benefits to experienced cyber forensics professionals and to the organizations that employ them. For professionals, CCFP certification helps them to: 

• Validate and enhance their standing as advanced cyber forensics professionals with a comprehensive, credible certification;
• Instill employer confidence in their abilities and expand career opportunities with a credential that confirms their current expertise, as well as their capacity to grow and evolve with the forensics industry;
• Perform international forensics investigations, knowing that their CCFP counterparts in other countries will be using a common globally recognized body of knowledge; and
• Pursue ongoing education covering the latest advances in digital forensics science through the (ISC)2 periodic recertification process.

For organizations, the CCFP offers: 

• Confidence that their team has the knowledge and skills necessary to conduct forensically sound and accurate investigations and serve as undisputed experts in courts of law;
• An inherent screening tool and standardized measure of qualification to advance their digital forensics teams by hiring and promoting the most qualified professionals;
• Increased organizational integrity, credibility in the eyes of clients/stakeholders; and
• Peace of mind that their cyber forensics team is committed and capable of progressing with the forensics field through the CCFP’s necessary Continuing Professional Education (CPE) requirements. "


Mais informações sobre a CCFP:

Site Oficial: https://www.isc2.org/ccfp/Default.aspx
Press Release: https://www.isc2.org/PressReleaseDetails.aspx?id=10668

China vs Google: Operação Aurora - Espionagem e Contraespionagem

[ Update: 23/05/2013 ]

A Operação Aurora voltou a ser notícia esta semana com a divulgação feita pelo Washington Post de que além das informações de propriedade intelectual do Google (uma dentre as várias empresas atacadas durante a campanha detalhada nos Updates abaixo), foram também acessadas informações extremamente sensíveis como um banco de dados que continha dados de vários anos acerca da vigilância telemática feita pelo Governo Americano em suspeitos de Terrorismo e Espionagem de vários países, incluindo a china.



As ordens judiciais que continham informações sobre contas do Gmail que estavam sendo monitoradas por agências de segurança e inteligência americanas foram acessadas, e este conhecimento pode ter proporcionado à Pequim uma vantagem de contraespionagem incluindo o término de operações e a mudança de modus-operandi e inclusão de informações falsas para confundir e controlar os esforços de inteligência do governo norte-americano.

Mais informações:

http://www.washingtonpost.com/world/national-security/chinese-hackers-who-breached-google-gained-access-to-sensitive-data-us-officials-say/2013/05/20/51330428-be34-11e2-89c9-3be8095fe767_story.html

[ Update: 28/11/2010 ]

Neste final de semana, foi feita a divulgação pela WikiLeaks de 250 mil documentos diplomáticos dos Estados Unidos(*), incluindo 15 mil secretos e 100 mil confidenciais (!!)

Muito material já havia sido enviado anteriormente pela WikiLeaks para diferentes jornais ao redor do mundo (The New York Times, Le Monde, Guardian e Der Spiegel).

O site do WikiLeaks sofreu um ataque de negação de serviço logo antes de publicar as informações. No caso do WikiLeaks são tantos os interessados na não divulgação dos dados que vai ser difícil atribuir a responsabilidade (mais sobre atribuição no final deste post).

Obviamente o impacto no mundo diplomático foi gigantesco. Nos primeiros momentos já foram digeridas e publicadas por vários jornais informações impactantes presentes nas comunicações diplomáticas norte-americanas que vazaram, como:

• relações mais que especiais entre Itália e Rússia (Berlusconi, Putin)
• a corrida armamentista do Irã.
• espionagem na ONU autorizada por Hillary Clinton
• pedido de informações sobre AlQaeda ao Paraguai (tríplice fronteira)
• entre outras..

Mas o que mais nos chamou a atenção dentre todo este material são as informações bastante interessantes sobre a Operação Aurora - mais especificamente sobre a comunicação diplomática entre os Estados Unidos e a China logo após a Operação Aurora, da qual o resto deste post trata em detalhes.

Vejam este comentário do New York Times (link exige cadastro para visualização - sugiro usar omailinator ou o bugmenot =)

"A global computer hacking effort: China’s Politburo directed the intrusion into Google’s computer systems in that country, a Chinese contact told the American Embassy in Beijing in January, one cable reported. The Google hacking was part of a coordinated campaign of computer sabotage carried out by government operatives, private security experts and Internet outlaws recruited by the Chinese government. They have broken into American government computers and those of Western allies, the Dalai Lama and American businesses since 2002, cables said."

Finalmente temos a confirmação de que o governo norte-americano sabia que a alta cúpula do governo chinês estava por trás dos ataques ocorridos nas mais de 30 empresas americanas (incluindo o Google) que resultaram em vazamento de informações confidenciais e estratégicas (inclusive código fonte)..

Isto explica, inclusive, o infra-citado apoio irrestrito concedido ao Google pelo governo dos Estados Unidos, inclusive pela Agência de Segurança Nacional norte-americana (NSA).

Para mais detalhes, continue lendo abaixo..

[ Update: 07/03/2010 ]

Novidades liberadas durante a conferência RSA indicam - como era esperado - que houve possibilidade de roubo e alteração de código interno de aplicações do Google e das outras empresas (30-100) atingidas pelo ataque (via Wired).

A possibilidade era bem real baseado no que já conhecíamos, mas agora foi confirmada e temos detalhes de várias vulnerabilidades exploradas dentro da companhia, incluindo no Software Configuration Management (SCM) utilizado pelo Google (Perforce).

O paper da Mcafee não chega a ser muito marqueteiro, e sugere algumas boas contramedidas recomendadas para as vulnerabilidades exploradas. Baixe-o aqui.

Mais informações:

http://www.wired.com/threatlevel/2010/03/source-code-hacks/

http://www.computerworld.com/s/article/9165718/Source_code_management_a_weak_spot_in_Aurora_attacks http://www.crn.com/security/223101584020-11.html

http://www.sci-tech-today.com/fullpage/fullpage.xhtml?dest=/story.xhtml%3Fstory_id%3D72013

[ Update: 10/02/2010 ]


A HBGary - empresa especialista em Malware Analysis e Memory Forensics - acaba de lançar um relatório bastante completo incluindo dicas de deteção e remoção de variantes - utilizando técnicas fuzzy - sobre o principal malware utilizado nos ataques conhecidos como "Operação Aurora".

Vale ressaltar que desde o lançamento do boletim MS10-002 da Microsoft (e consequente publicação do módulo do metasploit framework para exploração da vulnerabilidade) - há uma crescente utilização deste vetor de ataque em outros incidentes pelo mundo.

No relatório da HBGary são fornecidas informações valiosas, incluindo um inoculation shot (nome marketeiro para vacina) para eliminar o malware e suas variantes (a taxa de ~90% de similaridade é recomendada) remotamente (via WMI / ePO / AD) em uma rede corporativa.

Além da já conhecida capacidade avançada de análise gráfica de instruções de códigos em execução - que pode ser vista acima em um parser do Command & Control do malware, existem outras as funcionalidades interessantes no principal produto da HBGary: Responder Pro 2.0.

Uma delas é a geração de um Digital DNA baseado no comportamento, idioma, algoritimos e métodos utilizados pelos desenvolvedores do malware (a partir das instruções executadas em memória). Isto pode pode facilitar o processo de atribuição de responsabilidade e separação de grupos distintos de desenvolvedores em ataques similares.

A capacidade de visualização da ferramenta se extende a outros usos, como pode ser visto abaixo, com o timeline em segundos da execução do Dropper (A), do serviço svchost.exe (B) utilizado para executar o payload do malware (C) e o .BAT que remove - a maioria - dos rastros (D):

Muitos outros detalhes podem ser verificados no excelente paper publicado pela HBGary há poucas horas.

[ Update: 03/02/2010 ]


Para os que acreditam que a Operação Aurora e a discussão sobre Cyber War "China vs US" já é assunto ultrapassado, é FUD, ou foi apenas uma manchete temporária, talvez valha a pena salientar o real impacto relacionado aos ataques e técnicas discutidas neste artigo.

Com este objetivo, fiz questão de adicionar este rápido update para ressaltar a real importância da questão em pauta. A operação Aurora e a escalada do cyber crime / cyberwar foi o primeiro e principal assunto que o chefe da inteligência americana, Dennis Cutler Blair levou ao Senado dos Estados Unidos em uma declaração preparada por todas as agências de segurança americanas - mais detalhes / video (a partir de 41m:45s) (Selected Committee on Intelligence SH-216 - "Open Hearing: Current and Projected Threats to the United States").

[ Update: 31/01/2010 ]

Em 2008, me deparei com a pergunta "Quais seriam os Procedimentos (incluindo a preparação) em alto nível para tratar um incidente de suspeita de vazamento de dados?"

Para responder de uma maneira mais completa ao problema proposto, o ideal é que a equipe de resposta a incidentes responsável possa contar com 4 tipos de soluções, listadas por ordem de importância para o caso em pauta:

I - Uma infra-estrutura de "Network Forensics" que seja capaz de reconstruir e fazer o "replay" dos pacotes relacionados ao ataque (ex: NetWitness NextGen / CA Network Forensics)

II - Uma solução de SIEM/SEM para correlacionamento em near-real time dos logs (firewall, roteadores, servidor comprometido, ids/ips, dhcp, dns, aplicações internas, catracas de acesso, sistema de ponto, controle de acesso lógico, etc) (ex: ArcSight / ISM Intellitatics / Symantec SIM)

III - Uma solução (idealmente enterprise) de forense computacional que possibilite a análise de dados voláteis (incluindo memória) e de disco (ex: Encase Enterprise / F-Response / AccessData Enterprise )

IV - Uma ferarmenta de monitoração de atividade de desktops (ex: SpectorCNE, WorkExaminer) [item incluído em 18/10/2009]

Tentarei exemplificar o porque do posicionamento de uma solução de Forense de Rede em primeiro lugar na lista acima, me aproveitando de dados um caso tão complexo e sério quanto a Operação Aurora.

Para facilitar este trabalho, chegou às minhas mãos um material da NetWitness descrevendo as ações que podem ser tomadas por seus usuários para verificar se foram afetados pelo ataque descrito e com informações OSINT (Open Source Intelligence) obtidas da internet:

I - criar filtros para verificar conexões entrantes e saintes a partir dos seguintes hosts:

yahooo.8866.org

sl1.homelinux.org

360.homeunix.com

li107‐40.members.linode.com

ftp2.homeunix.com

update.ourhobby.com


II - verificar conexões SSL vindas do domínio homelinux.org, utilizando o TLS parser

III - checar tráfego destinado aos endereços IP dos servidores de Comando e Controle utilizados durante o ataque:

69.164.192.40

125.76.246.220

210.202.197.225


IV - utilizar a capacidade da solução de misturar diferentes camadas em regras para detectar atividades de beaconing:

service
=
80
&&
action
=
put
&&
client
=
'lynx'


(service
=
80
&&
action
=
put
&&
tcp.dstport
=
8080)
&&
(payload
=
939
&&
extension
=
zip,rm,jpg)


(ip.src
=
125.76.246.220,210.202.197.225
||
ip.dst
=

125.76.246.220,210.202.197.225)
&&
(service
=
80
&&
action
=
put)


alias.host
=
yahooo.8866.org,
sl1.homelinux.org,
360.homeunix.com,

li107­40.members.linode.com,
ftp2.homeunix.com,update.ourhobby.com


ip.src
=
69.164.192.40,125.76.246.220,210.202.197.225
||
ip.dst
=

69.164.192.40,125.76.246.220,210.202.197.225

Para quem nunca viu a interface do Investigator da Netwitness (que tem versão free) - segue um snapshot de um dos filtros citados acima em uma rede comprometida pela Operação Aurora:

Além disto, as seguintes
 recomendações são dadas pela NetWitness:

1. Watchlist "usuarios" seguindo o seguinte critério:


a. Executivos e/ou Autoridades
b. Administradores de Sistemas com acesso privilegiado
c. Empregados que recentemente foram citados pela imprensa

2. Watchlist "extensões" contendo minimamente:

a. Executáveis (EXE, COM, BAT, 
SCR, CMD, PIF)
b. Documentos que exploram vulnerabilidades: PDF, DOC, XLS, PPT, CHM
c. Arquivos Compactados (zip,
rar,
etc)


3. Watchlist de estações, servidores e hosts relacionados aos usuários da watchlist 1.


4. Avaliar TODO tráfego por quesitos que envolvam a combinação destas entidades, procurando por variações do comportamento normal.

[ Post Original : 16/01/2010 ]

Antes de mais nada, é necessário perceber que o que foi divulgado pelo Google na última semana não chega a ser uma novidade, e nem uma tática nova utilizada pelo governo Chinês ou outros.

A mídia especializada tem feito alguns comentários sobre o anúncio de que mais de 30 (ou 100?) empresas americanas (Google, Adobe, Microsoft, Juniper, Symantec, Yahoo, Northrup Grumman, Dow Chemical, entre outras - ex: setor de energia) foram atacadas de forma coordenada e praticamente simultânea por hackers supostamente patrocinados pelo governo Chinês (Operação Aurora - FAQ).

O principal objetivo dos atacantes foi a permanência prolongada nas redes internas das empresas afetadas para obtenção de informações privilegiadas e propriedade intelectual.. A Inglaterra também divulgou que têm sido atacada pelos chineses de maneira semelhante.

A desconfiança do envolvimento do governo chinês nos ataques passou a ter contornos mais detalhados a partir da revelação de analistas de malware sobre a utilização de um algorítimo incomum de criptografia (CRC-16) em no principal trojans utilizados e sua similaridade com papers somente publicados em chinês. Hoje já se sabe - por exemplo - que os atacantes exploraram a infra-estrutura de acesso a a contas do Gmail que o Google montou especialmente para a Polícia acessar em casos de quebra de sigilo autorizado pela Justiça.

O incidente em pauta é muito útil para diferenciar ataques avançados e críticos de problemas comuns de segurança e para avaliar se as contra-medidas que possuímos estão adequadas para abordar ambos os tipos de ataques.

As análises que já foram publicadas sobre o caso incluem "erros" que foram cometidos pelos hackers - como executar o ataque de forma concomintante em múltiplas empresas e utilizar um só servidor dropbox para enviar os dados (código fonte, informações confidenciais) roubados - facilitando assim que os analistas do Google descobrissem as outras empresas atingidas.

A indústria de segurança e a opinião pública já tiveram várias diferentes reações sobre o ocorrido. O nosso objetivo é tecer alguns comentários sobre o assunto sob a luz de alguns conceitos apresentados em posts anteriores neste blog:

• Risco, Vulnerabilidade, Ameaça e Impacto (reloaded)
  É fundamental conhecer as reais ameaças a que uma empresa (ou país) está exposto. E certamente este episódio - pela sua magnitude de divulgação - servirá a este propósito em nível nacional (US). Expandindo os componentes do termo "Ameaça", encontramos três fundamentais conceitos que por si só demonstram a seriedade e complexidade do caso em pauta:
  
• Intenção: tende a ser dependente de indústria e situação. Neste caso, apesar da grande ênfase da mídia na invasão de contas do Gmail de oponentes ao governo Chinês, o roubo de propriedade intelectual e possivel injeção de código malicioso nos programas destas 100 empresas americanas é o que mais chama a atenção. É importante notar que a intenção do atacante não pode ser influenciada por nenhuma ação de Segurança.
  
• Oportunidade: timing apropriado e conhecimento do alvo. Neste caso, o ataque que se iniciou com phishing direcionado (ou spear phishing) utilizou uma vulnerabilidade 0-day do Internet Explorer (0-day pero no mucho) - detalhes aqui (que inclusive já está disponível no MSF). O navegador era certamente era utilizado pelas empresas alvo, o ataque usou vários níveis de criptografia - para "bypassar" ferramentas DLP e similares, trojans comuns misturados à trojans especialmente desenvolvidos com protocolos específicos de comunicação via porta 443 - e uma chave criptográfica diferente para cada cliente - para vencer os anti-vírus, HIPS e NIDS/IPS.
  
• Capacidade: é a habilidade financeira, humana e técnica de alcançar o objetivo de ataque e aproveitar a oportunidade. Certamente com o apoio e investimento do governo e ter os melhores hackers do mundo ajuda a China a obter seus objetivos de silenciar vozes que se levantam contra o regime - mesmo fora do país e a roubar informações privilegiadas de empresas pelo mundo.

• 7 (ou mais) Conceitos em Seguranca alem da Confidencialidade, Integridade e Disponibilidade
  O conceito de APT -"Advanced Persistent Threat" - se de ataques contínuos utilizando amplos recursos (muito tempo e dinheiro investidos com firme propósito/intenção), em ataques que são altamente sofisticados e claramente direcionados. Neste tipo de situação, as defesas tradicionais e genéricas são inúteis. Para mais detalhes sobre o termo APT, sugiro este link.
  
  Um Anti-Vírus e um IDS/IPS - por melhor que sejam - são tecnologias moribundas, baseadas em assinatura e dependentes de já conhecerem o ataque - e por isto mesmo não detectarão códigos maliciosos customizados, ainda mais com vários níveis de evasão e criptografia como foi o caso do ataque em pauta.
  
  Por melhor que seja um programa de gerenciamento de patches, um ataque utilizando uma vulnerabilidade 0-day como a que foi explorada nestes ataques direcionados funcionará em 100% das máquinas atacadas.
• 
  E quando o atacante usa uma combinação de engenharia social (email/IM) e técnicas de "Drive-By Download", nem mesmo um anexo (doc, exe, ou pdf) precisa ser utilizado. Basta que um funcionário da empresa acesse um site utilizando - no caso - um Internet Explorer (6,7,8) para que o ataque tenha sucesso. Mais detalhes sobre o exploit utilizado, aqui. (update - a Microsoft lançou uma correção para o bug - que ela já conhecia desde setembro - e outras 7 vulnerabilidades do IE - veja o boletim e baixe o patch aqui).
  Talvez você esteja pensando - então não há como escapar! E - adivinhe - você está certo. Fazendo uma comparação com crimes reais - se você está preocupado com batedores de carteira, é bom sair de casa sem muito dinheiro no bolso, poucos documentos e sem relógio, além de evitar horários e lugares perigosos. Isto equivale no mundo virtual a defesa tradicional de AV/IDS/etc.
• Mas se há um grupo profissional de criminosos atrás especialmente de você, a única forma de reagir eficientemente a esta situação é expô-los às autoridades e torcer para que eles sejam preso. Bem vindo ao mundo das Ameaças Persistentes e Avançadas (APT). Uma boa descrição das fases normalmente encontradas em ataques avançados e persistentes pode ser encontrada aqui:
• A melhor forma de iniciar um contra-ataque efetivo às Ameaças Persitentes e Avançadas é expor o inimigo adequadamente e assim avançar no campo de batalha - em outras esferas de contra-ataque - enquanto tentar minimizar o prejuízo em casa.
  
  No caso de uma empresa atacada pelo crime organizado, isto pode ser feito envolvendo a polícia e a justiça para prender os responsáveis. No caso de várias empresas de um país sendo atacadas por um outro - como é o caso da "China vs Google + 30"- o caminho é envolver oficialmente o próprio governo americano na resposta ao incidente.
  
  Em ambos os casos, uma resposta responsável envolve a divulgação - minimamente para as partes afetadas e idealmente para a opinião pública - do ocorrido. O próximo passo é analisar e categorizar os atacantes (mais detalhes sobre isto ao final deste post), ferramentas, vulnerabilidades, processos e erros cometidos e obviamente modificar suas defesas baseado no que você vai encontrar durante a sua resposta a incidentes / forense do ocorrido.
  
  A mensagem para todas as empresas e países é: não adianta se retrair e tentar abafar o ocorrido, é necessário concentrar esforços na reação adequada a este tipo avançado de incidente e revisar a postura de segurança do ponto de vista de ameaças e atacantes reais e avançados e não tentar se esconder confortavelmente atrás de checklists de itens de compliance e conformidade ou de qualquer sigla de norma da área de segurança.
• 
  O governo alemão já deu o primeiro passo - proibiu terminantemente o uso de Internet Explorer - iniciativa que já foi seguida pelo governo Francês. Já é um começo.. O Google anunciou que vai parar de censurar resultados na China. E o governo americano já começou a se movimentar lentamente...

• Um outro desdobramento interessante deste evento será acompanhar como as empresas atacadas e o governo americano irão responder as respostas evasivas da China (e também contra-acusações), considerando a dificuldade de se atribuir a responsabilidade de um ataque cibernético a uma pessoa,quanto mais a um país!

• Atribuição de responsabilidade envolve identificar a ameaça, com o máximo de detalhes do ponto de vista de seus desdobramentos (Capacidade/Intenção/Oportunidade).

• Richard Beijtlich e Mike Cloppert sugerem 20 características para atribuição da responsabilidade (ou autoria) de ataques cibernéticos - e isto pode servir de ponto de partida para que iniciemos uma resposta a ataques persistentes e avançados (APT) em nossas organizações: 1)Timing, 2)Vítimas, 3)Origem, 4)Mecanismo de Entrada, 5)Vulnerabilidade ou Exposição, 6)Exploit ou Payload, 7)Weaponization, 8)Atividade pós-exploração, 9)Método de Comando e Controle, 10)Servidores de Comando e Controle, 11)Ferramentas, 12)Mecanismo de Persistência, 13)Método de Propagação, 14)Dados Alvo, 15)Compactação de Dados, 16)Modo de Extrafiltração, 17)Atribuição Externa, 18)Profissionalismo, 19)Variedade de Técnicas, e 20)Escopo. 

Na minha opinião, apesar de APT agora estar entrando na moda, a sigla não importa tanto. O fundamental é tentar aproveitar ao máximo deste tipo de incidente e discussão para avaliar seriamente a sua capacidade de visibilidade e estratégias de detecção e reação contra roubo de informações e espionagem industrial perpetrada seja por quem for.

有时，重要的是要怕！

Se interessou pelo assunto? Envie seus comentários!