SSegurança #infosec #DFIR

Wednesday, March 16, 2011

90.000 page-views!

Mais uma vez obrigado a todos! Chegamos a 90 mil page-views. O blog está com uma média de 1500 a 3000 page-views semanais. Sabemos que mais importante que o volume é a qualidade da audiência, o que é demonstrado pela valiosa contribuição nos mais de 500 comentários (!) já publicados por aqui..

Como fizemos na comemoração dos 10, 20, 30, 40, 50, 60, 70 e 80 mil - segue a listagem completa - 200 posts - que já foram publicados:

· Sites-Ferramentas de Segurança

· Firmware de Discos de Estado Sólido destrói evidên...

· Peritos desvendam crimes usando informações deixad...

· A atenção seletiva e a Resposta a Incidentes Corpo...

· 125 blogs de Seguranca da Informação em português

· 15 Curtas e Boas

· Revista Info (fev/2011): Quando Bits viram Mísseis...

· Validação de Ferramentas Forenses - caso prático

· Revista Hakin9 - com artigo do Alexandre Teixeira

· Desafio Forense do Campus Party Brasil 2011

· For Sale by pOwner - venda de sites .gov e .mil e ...

· Risco, Vulnerabilidade, Ameaça e Impacto

· Material de Treinamento para equipes de Resposta a...

· Sequestro de dados e extorsão - da Rússia para o B...

· Discos de Estado Sólido (SSD) e Forense Computacio...

· Livros de Seguranca Resposta a Incidentes e Forens...

· StuxNet: CyberWarfare existe!

· 10 Curtas: Zeus SpyEye C2C Android IPhone StuxNet ...

· O que o fenômeno Wikileaksveio nos ensinar

Thursday, March 10, 2011

10 Curtas de Carnaval

A Enisa lançou um excelente material entitulado "Botnets, Measurement, Detection, Disinfection and Defence" - os times responsáveis por segurança de backbone dos ISPs brasileiros deveriam colocá-lo na cabeceira, para evitar que o Brasil continue figurando como o maior originador de spam (a maioria redirecionado via bot) do mundo.

O Google Chrome está prestes a repetir a boa performance dos dois anos anteriores e sobreviver ao desafio anual "pwn2own" da conferência CanSecWest;

O Internet Explorer 8 rodando em Windows 7 SP1, apesar dos propelados avanços no tocante a segurança, não sobreviveu ao primeiro dia da competição. O Safari foi outro que entregou os pontos rapidamente.

Há dois dias muitos usuários do antivírus AVG estão reportando a incidência de falso-positivos em todos os arquivos PDF. Dada a prevalência de explorações neste formato, nem todos são falsos..

A proteção e monitoração de redes privadas que estejam de alguma forma relacionadas à infra-estrutura crítica é uma realidade cada vez mais comum em diferentes países. A Inglaterra recentemente anunciou esta iniciativa e os Estados Unidos já se preparam para isto há anos.

As duas botnets mais usadas pelo cibercrime (Zeus e SpyEye), estão efetuando ataques de DDoS nos sites que fornecem blacklists contendo seus servidores de comando e controle (C&C).

Regulamentação na Europa obrigará sites a solicitar aprovação do usuário antes que informaçōes suas pessoais sejam registradas (deve impactar na forma como os cookies são usados, especialmente nas propagandas online)

Uma padronização para as várias fases de testes de invasão foi lançada recentemente, trata-se da PTES - Penetration Testing Execution Standard

Uma das ferramentas mais utilizadas para captura de tráfego de rede, o WireShark, foi recentemente atualizada devido a uma falha que mata (DoS) a aplicação em uma rede local - detalhes (incluindo módulo do Metasploit) aqui.

A Verifone (líder em sistemas de pagamentos móveis) contra-ataca o crescimento do Square, o leitor de cartōes para iPhone - mostrando suas vulnerabilidades!

Mais uma bomba na indústria de anti-vírus: análise feita pela NSS Labs mostra uma performance nada elogiável dos maiores players do mercado.

Wednesday, March 2, 2011

Firmware de Discos de Estado Sólido destrói evidências digitais

Um paper publicado pelos australianos Graeme B. Bell e Richard Boddington no "Journal of Digital Forensics, Security and Law", entitulado "Solid State Drives: The Beginning of the End for Current Practice in Digital Forensic Recovery?" está trazendo mais luz para a necessidade de atualizar a tecnologia (e os procedimentos) no que diz respeito a análise de discos SSD.

Os autores citam a mudança de paradigma necessária na área de Forense Computacional, diante das mudanças introduzidas por versões modernas de Discos de Estado Sólido (SSD) - alguns aspectos que são impactados são os processos de aquisição e verificação de integridade, e a recuperação de dados deletados.

O problema: os firmwares de discos SSD tem a capacidade de destruir evidência sem nenhuma instrução ou interferência do computador a que estão conectados. Mesmo utilizando bloqueadores de escrita que impedem a alteração de dados em discos rígidos tradicionais, os pesquisadores constataram que em poucos minutos o firmware de certos discos de estado sólido já altera o conteúdo (do espaço "não alocado" gravado nele).

O maior impacto desta realidade: A probabilidade de alteração dos dados originais de forma repentina - mesmo quando as melhores práticas para obtenção de evidências é aplicada - pode tornar a prova inadmissível durante o processo - considerando as melhores práticas atuais (os hashes do disco original e da imagem não irão bater).

O culpado: um algorítimo 'garbage collector' do firmware do disco SSD que por motivios de performance procura resetar os blocos que não estão em uso. Isto pode interferir no estado dos dados poucos minutos depois de ser ligado para análise, ou até mesmo durante uma duplicação forense. Os resultados apresentados interferem também na interpretação de que se o dado não existe na "superfície" do disco, é porque ele nunca esteve lá.

Na conferência Usenix deste ano, pesquisadores da Universidade da Califórnia já tinham apresentado achados interessantes a respeito da ineficiente dos métodos tradicionais de wipe para discos SSD: Reliably Erasing Data From Flash-Based Solid State Drives

Será interessante acompanhar a evolução destas descobertas. Enquanto isto, as recomendações feitas pelos autores australianos no paper não são muito animadoras.

Possivelmente novas práticas e metodologias irão surgir para validar o máximo possível de informações retiradas deste tipo de dispositivos - mas enquanto não surgem, informemo-nos:

1. Solid-state drives of all types and data stored on such drives should be immediately and henceforth considered to be a 'grey area' as far as forensic recovery and legal validation are concerned until extensive studies have been made of drive and data behaviour.

2. Processes that are corrosive/erasive towards data marked for deletion may take place extremely suddenly, extremely quickly and completely automatically without human awareness or control.

3. Present-day evidence indicating 'no data' does not authoritatively prove that data did not exist at the time of capture.

4. Evidence of deleted data being permanently erased or partially corrupted is not evidence of intentional permanent erasure or corruption.

5. Cases where disk image checksums do not match at the end of the process of forensic analysis should be considered carefully to establish if the original or subsequent images could have been taken during or after a garbage collection process.

6. Past metadata and data blocks may be deleted without warning and without the opportunity to realise that they had existed at time of capture.

7. Garbage collection can occur either following file deletion or following (quick/full) formatting of a disk. ‘Quick’ formatting is therefore no longer necessarily distinct from ‘full’ formatting.

8. Formatting of disks is a normal and reasonable activity that an innocent person might choose to do e.g. to improve the performance of an SSD drive, to tidy up the disk etc. yet may completely eradicate evidence from a disk. Such eradication of evidence may occur within minutes.

9. We cannot guarantee previously deleted file data to be preserved on an SSD, regardless of whether the drive image was taken during a 'live' capture of evidence or following a 'dead' capture of evidence.

10. Drives can clearly self-modify their data after physical evidence has been gathered, despite best practice efforts by forensic analysts to prevent such behaviour using traditionally effective means such as write-blockers.

11. A software or hardware-based write-blocker does not protect against the drive's internal firmware choosing to wipe data from the drive.

12. The speed at which corrosion of digital evidence takes place should be expected to increase even further as garbage collection algorithms become more aggressive in cleaning up, and drives become faster, and more powerful controller chips become available.

13. We feel it would be an unwise investment of time for analysts to try to develop workaround procedures that operate against the drive controller behaviour specifically identified in these experiments. It will not be useful; even now, a new firmware has been released for the drive, and newer models are on the market, whose behaviour cannot be known a priori. SSDs are an exceptionally fast-moving target.

14. We think it would be an unwise investment of time to develop procedures for physical asset capture whereby operators attempt to distinguish SSDs from HDDs. This process is difficult due to the similar physical appearance of the drives and the need to gain access to the computer's internals. Also, each SSD might require unique and perhaps complex treatment to try to prevent the operation of garbage collection. Furthermore, it is futile - the present-day development of hybrid disks that incorporate both HDD and SSD technologies is likely to frustrate completely any effort to distinguish SSDs from HDDs at time of capture.

15. We think it would be unwise to assume that irreversible file erasure suggests intent to destroy evidence in cases where a defendant has quick-formatted a drive prior to police seizure. There are reasonable circumstances (viruses, slow performance, upgrading) that might cause normal and innocent people to quick format their drive without realising that garbage collection would cause the appearance of ‘secure deletion’.

16. Breaking open the drive casing to try and disable/remove the drive controller and prevent a garbage collector from running would probably be a very significant technical challenge, given the extent to which the drive controller is bound to the data via the flash translation layer, and given the wide diversity of drives, controllers and memory that exist.

17. Running a live analysis might allow a running garbage collector to delete data unhindered; running a dead analysis might cause a garbage collector to activate in the forensics lab. There is no simple answer to this problem.

18. It will probably be impossible to legislate against garbage collection.

19. It is possible that the issues found in this paper will later come to affect USB flash drives as well; having invested in technology that makes NAND flash systems run much faster, it would be very peculiar if manufacturers failed to adopt it across their product range. The increasing availability of high-speed interfaces for portable media such as USB3 makes it likely that we will see more of these complex, evidence-corroding drive controllers in portable USB drives in future.

20. The natural state of digital storage is not to ‘preserve deleted data’ as magnetic drives have done for the past few decades. Future physical storage technologies can be expected to purge deleted files to improve read and write speeds, if technology allows such a purge to be performed quickly.

21. It seems very unlikely that international manufacturers can be collectively persuaded to provide a universal mechanism to disable garbage collection; if anything, garbage collection is likely to become even more aggressive. Perhaps the genie is already out of the bottle?

Links para este e outros 9 periódicos estão listados em: http://sseguranca.blogspot.com/2010/10/9-periodicos-de-computacao-forense.html

Mais informações:

http://news.techworld.com/security/3263093/ssd-fimware-destroys-digital-evidence-researchers-find

http://www.csoonline.com/article/670918/ssd-firmware-destroys-digital-evidence-researchers-find?source=rss_news

Tuesday, March 1, 2011

Peritos desvendam crimes usando informações deixadas no computador

Na última edição do jornal Hoje, foi veiculada uma matéria chamada "Peritos desvendam crimes usando informações deixadas no computador" (video).

A Techbiz Forense Digital já havia divulgado o projeto em execução no Instituto de Criminalística, conforme release "TechBiz equipa polícia de SP para investigar os crimes digitais" que pode ser lido abaixo:

Núcleos da capital, grande São Paulo e do interior do Instituto de Criminalística recebem nesta quarta-feira 32 kits com software e hardware de computação forense, além de treinamentos.

Trinta e dois kits, contendo softwares e hardware para a investigação de crimes digitais, serão entregues nesta quarta-feira, 9 de fevereiro, aos peritos do Instituto de Criminalística da Superintendência da Polícia Técnico-Científica de São Paulo. A entrega será feita pela empresa licitante vencedora TechBiz Forense Digital, maior empresa brasileira da área de computação forense, durante a cerimônia que celebrará os 13 anos da Superintendência.

“O objetivo é equipar todos os peritos que lidam com a parte de informática, distribuindo os kits na central do Instituto de Criminalística (IC) em São Paulo e nos núcleos do interior”, diz Rodrigo Antão, gerente de negócios da TechBiz Forense Digital.

A empresa fornecerá três softwares – o EnCase Forensic, o FTK e o Gargoyle – e um hardware – o Forensic Recovery Evidence Device (FRED) – que possuem alto poder de processamento; contam com bloqueadores de escrita, que protegem os dados; garantem pesquisas mais rápidas e profundas na máquina suspeita; e compilam grandes massas de dados, classificando-os como inofensivos ou não.

Além da tecnologia, a TechBiz Forense Digital também capacitará os policiais com treinamentos ministrados a partir de fevereiro em São Paulo, Araçatuba e Araraquara.

“É primordial nos inserirmos no meio forense a partir da utilização dos mesmos programas e equipamentos utilizados pela Polícia Federal, pela CIA e pelo FBI. Com isso, iremos melhorar e muito a qualidade dos nossos laudos”, diz o diretor de perícia de informática do Instituto de Criminalística de São Paulo, Sérgio Kobayashi.

Os produtos da TechBiz Forense Digital, desenvolvidos por parceiros internacionais e utilizados pelas maiores forças policiais e empresas do mundo, permitem não só encontrar dados escondidos e deletados em máquinas suspeitas, como extraí-los de forma rápida, segura e autenticado digitalmente. Ou seja, o processo de captura de dados em mídia digital tem sua cadeia de custódia preservada, o que garante a idoneidade e o rastreamento das evidências.

DEMANDA

Além do respaldo internacional, os novos equipamentos têm como vantagem tornar as perícias de discos rígidos, computadores, laptops e pen drives mais rápidas e eficientes. O tempo é um fator importante. A Perícia de Informática do IC de São Paulo recebe, em média, 400 casos por mês envolvendo, entre outros crimes, pornografia infantil, estelionato, violação de direito autoral e crimes funcionais. Destes, aproximadamente 30% são pericias em computadores, discos rígidos e pen drives, os demais são relativos a violação de direito autoral (CD e DVD). Mas, a conta não para por aí.

“Um caso, às vezes, tem 12 computadores envolvidos sendo que um computador pode ter alguns terabytes de memória. É um problema. A demanda é maior do que a capacidade de se realizar os exames e, atualmente, temos 1.000 casos aguardando a perícia”, conta Edson do Amaral, perito criminal. “Nosso objetivo com as novas ferramentas e com a implementação de novas metodologias é conseguir nos próximos dois anos incrementar sensivelmente a expedição de laudos e reduzir drasticamente os casos pendentes”, diz.

Segundo Amaral, a nova compra da Superintendência é importante para a padronização das ferramentas periciais no Estado de São Paulo, permitindo que os peritos de diferentes municípios produzam laudos em menor tempo e com maior qualidade. Também é fundamental para os núcleos do interior e equipes da grande São Paulo do I.C que ainda não contam com nenhum equipamento de computação forense.

EQUIPAMENTOS

O que vem no kit de computação forense da polícia.
Software: EnCase Forensic.

Fabricante: Guidance Software

tem altíssimo poder de análise, excelente interface gráfica e poderoso mecanismo de processamento de scripts de código aberto. Uma solução única para conduzir, do começo ao fim, as mais complexas investigações. Esse software é capaz de fazer uma cópia fiel, completa e de maneira totalmente não intrusiva dos dispositivos binários presentes no equipamento suspeito. O EnCase Forensic gera, então um arquivo de evidência e inicia a análise do material copiado.

Hardware: FRED

Fabricante: Digital Intelligence

Plataforma modular para aquisição forense em alta velocidade de discos IDE, SATA e SCSI. Inclui Realiza aquisição e análise pericial em laboratório Os discos apreendidos em missões externas são conectados ao Ultrabay, dispositivo que permite extrair imagens de drives IDE, SATA e SCSI utilizando o software de imagens forense da sua escolha. Os discos IDE, SATA e SCSI podem ser conectados e removidos do UltraBay sem a necessidade de desligar a estação. Também é possível fazer aquisição de dados originados de discos flexíveis, CD-ROM, DVD-ROM, cartões de memória, Compact Flash, Micro Drives, Smart Media, Memory Stick, Memory Stick Pro, xD Cards, Secure Digital Media e Cartões Multimídia.

Software FTK

Fabricante: Access Data

Analisa registros, decodifica arquivos, recupera senhas de arquivos criptografados, identifica esteganografia, cria imagens e formula relatórios com os dados encontrados. A versap 3.0 é capaz de processar ainda mais rapidamente uma maciça quantidade de dados devido ao processamento distribuído. Com o FTK é possível enumerar todos os processos que rodam em uma máquina, incluindo os escondidos por rootkits, e mostrar as DLLs associadas, conexões de rede e dados voláteis de máquinas 32 bits. Para cada processo, a ferramenta indica o nome, o caminho, o horário de início, o diretório de trabalho, a linha de comando, o tamanho, o título Windows, sua identificação, ParentID, MD5, SHA1 e Fuzzy Hash.

Software: Gargoyle Investigator

Fabricante: WetStone

Realiza uma rápida busca em programas mal-intencionados e fornece pistas importantes sobre as atividades, motivos e propósitos de programas suspeitos. Abrevia o tempo da investigação e fornece laudos periciais criminalísticos detalhados. É indicado para casos de resposta a incidentes, análises forenses, gerenciamento de riscos ou auditorias. A ferramenta não só identifica como mapeia arquivos suspeitos, classificando-os em alguma categoria de malware. Tem capacidade de realizar varreduras em sistemas independentes ou em rede e possui 9 datasets contendo milhares de tipos de programas mal-intencionados, número que pode ser ampliado pelo próprio usuário.

Sobre a TechBiz Forense Digital

Maior integradora da América Latina de soluções de investigação em meios digitais. Oferece as melhores práticas e ferramentas para resposta a incidentes, combate a fraudes, conformidade e perícia na área de Computação Forense. São soluções desenvolvidas por um time seleto de parceiros internacionais. Além dos produtos, são oferecidos contratos de serviços completos para garantir a tranquilidade de uma perfeita cadeia de custódia.

Sobre a Superintendência da Polícia Técnico Científica

Ligada diretamente á Secretaria de segurança Pública, é uma das três polícias do Estado de São Paulo, conjuntamente com a Polícia Militar e Civil. A Superintendência da Polícia Técnico-Científica (SPTC) foi criada em 09 de fevereiro de 1998, pelo então governador Mário Covas, para administrar as perícias criminalísticas e médico-legais realizadas em todo o Estado de São Paulo. Sua função é auxiliar a Polícia Civil e o Sistema Judiciário.

Assessoria de imprensa:

Roberta Maia – roberta.maia@techbiz.com.br

(21) 8290-4653

Press agent:
Roberta Maia - roberta.maia@techbiz.com.br
21-2113.9847 / 21-8789.9847

- Posted using BlogPress from my iPad