Botnets + 'Fast-Flux': alta disponibilidade para os hackers

O Ed Skoudis publicou um interessante artigo sobre as redes Fast-Flux, e como os hackers - especialmente os que conduzem ataques de phishing/ distribuição de malware - configuram suas BotNets para utilizar Round Robin DNS. A técnica é utilizada desde 2006 e tem se popularizado pela sua efetividade - o Storm Worm a utiliza.

Uma rede Fast-Flux possui, além dos Bots já configurados com Proxies ou redirecionadores TCP , servidores DNS registrados em redes maliciosas ou mal administradas (que demoram a atender as solicitações de bloqueio), utilizando um DNS TTL bem baixo (às vezes menor que 5 minutos). Nestes DNS Servers são atualizados frequentemente em Round Robin a lista de bots servindo de redirecionadores para as páginas contendo phishing/malwares disponibilizados.

O objetivo é manter a infra-estrutura de bots (máquinas 'zumbis', já infectadas) em alta disponibilidade: sempre servindo ao propósito de propagar os malwares ou páginas de Phishing ativas, dificultando ao máximo o seu bloqueio ou remoção.

Engenharia Social: Google SafeBrowsing como isca

O pessoal da Sunbelt publicou um alerta sobre a exploração da credibilidade do serviço "Google SafeBrowsing" pelo badware 'Winifixer'. O Winifixer evoluiu ainda mais em sua tentativa de convencimento para vender falsos programas Anti-Vírus ('AntiVirus XP 2008') para os proprietários das máquinas infectadas - desta vez se utilizando da credibilidade do Google e seu novo serviço "Safe Browsing".

Mais info sobre o Google Safe Browsing:

API: http://code.google.com/apis/safebrowsing/
Extensão Firefox: http://www.google.com/tools/firefox/safebrowsing/index.html

Mais info sobre o Winifixer:

Symantec: http://www.symantec.com/security_response/writeup.jsp?docid=2008-030406-0943-99
ThreatExpert: http://www.threatexpert.com/threats/winfixer.html

Saiu a nova edição da INSECURE MAGAZINE

Apesar do excesso de propagandas, a Insecure Magazine é uma excelente leitura, como sempre, nesta edição de Julho/2008 existem artigos sobre os seguintes temas:

• O Futuro da Segurança (informação como foco)
• Segurança do fluxo de dados dentro na empresa
• Identificação de Falhas e Análise de Risco Técnica através Modelagem de Ameaças
  
• Riscos em VoIP
• Construindo WLANs seguras por menos de 300 dólares
• Engenharia Reversa em Malwares: os dois lados da moeda.
• Soluções de segurança 'end-point'
• Hackeando Second Life
• Update OpenSSL do Debian: quando boas intenções dão errado.

Firefox 3: Novas Funcionalidades de Segurança

A Websense publicou um interessante post sobre as novas funcionalidades de segurança do Firefox 3:

• eTLD - restrição do uso de cookies a dominios unicos
  
• Anti-Malware/Phising - usando a API 'safe browsing' do Google
• Impede re-declaração de variáveis globais em javascript
• Restrição do objeto 'XMLHttpRequest' entre sites
  

Download do BackTrack 3 disponível

Lançada a versão final do BackTrack 3 - a melhor distribuição Linux (versões LIVE CD/USB/VMware) para PenTesting / Resposta a Incidentes / Forense Computacional

http://www.remote-exploit.org/backtrack_download.html

Ouça a uma entrevista com os criadores da coleção de ferramentas aqui (Max Moser, Mati Aharoni and Martin Münch)

DAM - Database Activity Monitoring

Anteontem escrevi sobre duas soluções de segurança (Web Application Firewalls e Data Loss Prevention) que se afastam do modelo tradicional de segurança de rede e se apresentam para auxiliar a proteger às camadas de aplicação e de dados - e a importância do modelo de segurança em profundidade para aplicar adequadamente os esforços dirigidos ao complexo trabalho de controle das informações críticas dentro de uma empresa.

Ficou faltando citar as diferentes soluções existentes para monitorar/auditar / proteger a atividade ocorrida no nível de Bancos de Dados (DAM). Vamos lá:

Foi divulgado pela Securosis / Sans Institute um excelente estudo das soluções existentes de Monitoração de Atividades em Banco de Dados, nomeado "Understanding and Selecting a Database Activity Monitoring Solution" (PDF).

O documento foi escrito por Rich Mogull, antigo VP de Pesquisas do Gartner, e é patrocinado pelos principais vendors deste nicho: Guardium, Imperva, Secerno, Sentrigo e Tizor.

Segundo o paper, as soluções de DAM - ou de "Monitoração de Atividade em Banco de Dados" têm cinco principais características (além de tirar dos ombros dos Banco de Dados o pesado trabalho de auditoria):

1. capacidade de monitorar e auditar independentemente toda atividade em banco de dados, incluindo atividades do administrador, registrando as seguintes transações:

• DML - DATA MANIPULATION LANGUAGE (SELECT, UPDATE, INSERT). - sempre.
  
• DDL - DATA DEFINITION LANGUAGE (CREATE, ALTER, DROP) - sempre.
  
• DCL - DATA CONTROL LANGUAGE (GRANT, REVOKE) - sempre.
  
• TCL - TRANSACTIONAL CONTROL LANGUAGE (COMMIT, ROLLBACK) - às vezes.
  

2. capacidade de armazenar as atividades seguramente fora do BD monitorado.

3. capacidade de agregar e correlacionar atividade de multiplos e heterogêneos DBMSs (Oracle, Microsoft, IBM, ...).

4. capacidade de enforçar segregação de funções em administradores de banco de dados. Semdo que a auditoria deve incluir a monitoração da atividade do DBA, e a solução deve se proteger de possíveis intervenções do DBA como manipulação ou alteração de registros e atividades gravadas.

5. capacidade de gerar alertas baseados em violações de políticas, com a capacidade de monitorar em real time regras pré-configuradas - o que pode ou não ser acoplado perfeitamente com uma solução de SEM/SIEM - Security (Incident) and Event Management - para atender os requisitos internos e auditorias SOX/PCI/etc.

Sobre SIEM... fica para outro post =)

Assinaturas/Regras não bastam - caso prático

"Para um device de segurança (IDS/IPS/NBAD) ser capaz de detectar sem falsos positivos/negativos as possíveis variações de ataque que exploram a vulnerabilidade crítica Windows divulgada em 10/06/2008 [ MS08-033 (DirectX / AVI,MJPG) ], serão necessárias 1,065,151,889,408 - mais de um trilhão - de regras/assinaturas - apenas para esta vulnerabilidade." [ tradução livre ]

Segundo a Breaking Point, Estes ataques podem ser produzidos via oito 'strikes' ms08-033 que serão incluídos no próximo StrikePack" - mais info...

DLP e WAF, porque é tão difícil / Segurança em profundidade

Existem dois 'security buzzwords ' que estão em voga: WAF - Web Application Firewall e DLP - Data Loss Prevention.

Ambos se afastam da visão de proteção da segurança de rede no perímetro: Firewall, IDS/IPS e se voltam para onde as informações críticas - e vários ataques de grande impacto - verdadeiramente se encontram, nas camadas de aplicação (WAF) e dados (DLP).

O maior benefício inicial em utilizar ambas as tecnologias é o auxílio que elas podem trazer à maturidade da cultura de segurança na empresa, pois elas lhe forçarão a encarar alguns sérios problemas de segurança que talvez estivessem passando despercebidos.

É um desafio grande implementar com sucesso tais soluções em ambientes complexos, e a maior dificuldade está em conhecer/ classificar / controlar profundamente as alterações em suas aplicações e dados críticos para que você possa ter o conhecimento necessário para utilizar todo o poder destas ferramentas, conforme o visionário Dan Geer coloca (citado por Jeremiah Grossman) [tradução livre]:

• Se você não sabe nada, 'permit-all' é a única opção.
• Se você sabe algo, 'default-permit' é o que você pode/deve fazer.
• Se você sabe tudo, somente aí o 'default-deny' se torna possível

Seguem alguns links de vendors de DLP/WAF :

- DLP (Verdasys, Symantec/ex-Vontu, TrendMicro/ex-Provill, IronPort)
- WAF (Citrix/ex-Teros, NetContinuum, Imperva)

Veja alguns exemplos recentes da dificudade em implementar com sucesso tais soluções:

Por mais investimento em segurança / classificação de dados / controle de material confidencial que os governos façam, isto não impediu que recentemente projetos americanos de ogivas nucleares fossem parar em notebooks de contrabandistas suíços (Reuters) ou dados de inteligência - obviamente secretos - sobre a rede Al-Qaeda fossem achados em um ônibus na inglaterra. (BBC) . Aqui, além do DLP- que poderia indicar/evitar o vazamento destas informações, deveria ter sido utilizado o 'full disk encryption' - uma tecnologia que possui boas implementações gratuitamente - que evitaria o impacto na confidencialidade das informações.

Pelo lado das soluções de WAF - como comentei ontem, foram encontradas dezenas de falhas exploráveis de Cross Site Scripting em sites importantes do governo americano (incluindo a CIA e a NASA), possivelmente uma solução de WAF bem implementada evitaria que a maioria destes sérios problemas chegassem à mídia.

Como sabemos nenhuma solução é panacéia, e poucas destas darão conta sozinhas de uma simples faceta da segurança da informação. para proteger o investimento ao escolher e utilizar as tecnologias apresentadas pelo mercado em ambientes complexos, uma visão clara de "segurança em profundidade" (ahá, entendeu o motivo do cebolão esquisito aí em cima) é fundamental, e isto inclui (re)conhecer os riscos não mitigados particulares ao seu negócio.

Falhas de Cross Site Scripting em sites do Governo Americano

Hoje a Wired Security divulgou uma lista com vulnerabilidades de Cross Site Scripting (XSS) em sites governamentais (47) e militares (8) americanos.

Publicaram inclusive um "Top 4":

• Place 1 goes to: cia.gov
• Place 2 goes to: gmao.gsfc.nasa.gov
• Place 3 goes to: cdmrp.army.mil
• Place 4 goes to: www.onr.navy.mil

Interessante o "Disclaimer" postado juntamente com os exemplos de exploração das vulnerabilidades nos sites - em que é clara a intenção de manter o espírito "full disclosure" e ao mesmo tempo tenta-se fugir da responsabilidade / diminiuir a gravidade da divulgação pública das falhas (grifo meu):

"All shown vulnerabilities can be found by using the corresponding web site in a legal way. All links are published for educational purposes only and not to harm anything or anybody. All used techniques are well known for many years and can be considered state-of-the-art. Though it is obvious, that the shown vulnerabilities can be used for fraudulent purpose anonymously."

Para detalhes técnicos sobre XSS, sugiro o tópico na OWASP e o FAQ da CgiSecurity.

Wargaming na Intel

Richard Bejtlich apontou um interessante artigo na revista Intel Premier IT Magazine chamado "Wargaming - How Intel Creates a Company-Wide Security Force". (para baixar o pdf, é necessário um rápido registro no site da Intel).

Trata-se de um exercício interessante que é feito pela equipe de segurança com os funcionários da Intel, que envolve cenários hipotéticos (cuja viabilidade traria um grande prejuízo à empresa) como:

• Funcionários insatisfeitos tentando roubar informações
• Crime organizado tentando descobrir a data/local de entrega de produtos valiosos
• Espionagem industrial frequentando cybercafés populares entre os empregados
• Empresas rivais buscando conhecer os futuros designs secretos de chips da Intel

São utilizados facilitadores na exploração destas questões, com grupos de 10 empregados de todos os níves hierásquicos, oriundos de equipes variadas como RH, TI, Vendas, etc..

Um detalhe interessante é que as pessoas tendem a não querer informar as falhas que conhecem por acreditarem que terão que corrigí-las, mesmo não sendo responsáveis por sua existência. Esta situação é tão comum que inspirou a tirinha do Dilbert no ano passado, que reproduzi acima ...

O WarGaming é um excelente aditivo à Pen-Tests e tradicionais auditorias de segurança: (Tradução livre do texto:"Auditorias de segurança são limitadas à experiência do auditor, que pensa como um defensor, e não como um atacante, e cada vez mais os testes de segurança afunilaram seu foco para ataques remotos em redes e servidores".). Por isto os vetores de ataques surgidos durante o "brain-storm" dos WarGames da Intel podem ser tecnológicos ou não.

Vejo o exercício de WarGaming como uma excelente oportunidade para as empresas de reconhecimento de ameaças - baseado no conhecimento de partes do negócio de seus próprios funcionários - e é especialmente eficaz em empresas que já possuem um plano de Conscientização de Segurança em curso e possuem um Grupo de Segurança e/ou Risco com boa visibilidade na alta administração. O objetivo final é tratar com seriedade as ameaças apontadas e o maior benefício óbvio é o aumento da cultura de segurança corporativa.