FTK 4 - Evolução, Funcionalidades e evento de lançamento

[ Update 25/03/2012 ]


Mais de 100 inscrições foram feitas no link http://tinyurl.com/ApuraFTK4 e os eventos ocorrerão nesta semana em Brasília (3a) e São Paulo (5a). 


[ Update 07/03/2012 ]


Nos últimos dias alguns profissionais de renome na área comentaram e expandiram o assunto que tratamos neste post:


Em primeiro lugar, agradeço ao meu amigo Andrés Velázquez e expert em pericia forense da Mattica -  empresa mexicana precursora da área na América Latina - que publicou em seu blog sobre Computação Forense em espanhol o seguinte post: 

http://www.andresvelazquez.com/2012/03/la-nueva-version-de-accessdata-ftk-4-la-historia-por-sandro-suffert/ (1)


Aproveito também para agradecer ao SegInfo (2) e ao Luiz Rabelo (3) por publicarem em seus respectivos blogs material sobre o assunto em pauta. Muito obrigado, senhores!


[ Post Original 03/03/2012 ]


O world tour de lançamento da ferramenta FTK4 passará pelo Brasil em março (Brasília - 27 e São Paulo - 29). Caso você tenha interesse em participar do evento, faça seu cadastro neste link.

Tive a oportunidade de iniciar os testes da versão 4.0 do Forensic Toolkit da AccessData em 16 de fevereiro (obrigado Corey Johnson e Marcos Ferrari) e desde então estou esperando ter tempo para apresentar um resumo e capturas de tela das inovações que a ferramenta vem apresentando em suas últimas versões.

Antes de tratarmos algumas das novidades e pontos fortes da solução, gostaria de fazer um breve histórico da evolução da ferramenta nos últimos anos:

FTK 1.x) A versão mais antiga da solução já possuía alguns diferenciais interessantes, como a categorização/overview baseada em assinatura de arquivos; um processo de indexação (baseado no dtSearch) eficiente; e uma capacidade de análise de emails superior.

FTK 2.x e 3.x) Nesta versão foram incluídas funcionalidades como o Banco do Dados Oracle (2.x) para processamento de casos (em oposição ao processamento em memória); foi adicionada a capacidade de processamento distribuído em várias máquinas (1+3); A possibilidade de cálculo de Fuzzy Hashing, reconhecimento e indexação de texto em imagens (OCR); Detecção automatizada de imagens pornográficas (EID); Agente para aquisição de imagem de disco, dados voláteis e memória remotamente - para windows somente, Banco de dados PostGres (3.x), metacarving).

FTK 4.x) Análise de memória incluindo varredura de VAD TREE de processos, e possibilidade de utilização de agentes de "forense enterprise" para aquisição de dados em uma máquina ligada (Mac, Linux, ou Windows); Iremos tratar abaixo várias novidades desta versão e funcionalidades consagradas que se mantiveram, incluindo os novos módulos exclusivos da nova versão;

Alguns screenshots exclusivos do FTK4 em execução:

1) Gerenciamento de Casos é feito de forma transparente em um BD postgres:

2) Barra de navegação e visualização do FTK4 alia facilidade e poder de uso:

3) O Case Overview proporciona múltiplas maneiras de visualizar os dados presentes nas imagem forenses inseridas no caso:

4) Categorias de arquivos agrupadas por assinatura (headers):

5) Análise de dados voláteis e de memória incluindo processos, bibliotecas, sockets, arquivos abertos, parâmetros, etc..

6) Opção "Exportar informações de arquivos .LNK" (hat tip to David Cohen) que possibilita a geração de uma planilha com informações valiososas sobre a atividade de usuários no sistema operacional Windows, incluindo abertura de arquivos de pendrives, discos externos:

7) A Opção acima também facilita a extração de informações relacionadas ao acesso de diretórios de rede:

8) O novo módulo Cerberus de análise estática de binários, calcula uma classificação de risco baseada em uso de comunicações de rede, persistência, criptografia, obfuscação, APIs e funções utilizadas pelo binário - muito útil para casos envolvendo malwares:

9) O novo módulo de Visualização é extremamente flexível, permitindo a geração de gráficos baseados em diferentes informações presentes no caso, como estatísticas de arquivos selecionados:

10) O módulo permite também outros tipos de visualização, como o envio e recebimento de emails:

11) processamento distribuído - para casos maiores e análises mais rápidas, é possível habilitar o processamento distribuido em até quatro máquinas (O FTK4 estará rodando em uma delas e o "Distributed Processing Engine" em outras três) - isto pode significar um aumento significativo de performance.

12) agentes enterprise para Windows, MacOS e Linux - o FTK4 possibilita a aquisição remota de imagens (físicas ou lógicas) e também uma obtenção de dados voláteis e/ou o dump de memória RAM de máquinas dos sistemas operacionais Windows, Linux e MacOS.

13) Para finalizar, podemos verificar o poder da ferramenta observando o menu de Análises Adicionais:

São dignas de nota especial as seguintes funcionalidades adicionais:

a. Detecção de Imagens Pornográficas (EID) - com váras opções de algorítimos com diferentes níveis de precisão (e velocidade);


b. O reconhecimento óptico de caracteres (OCR) em arquivos de imagem, pdf, - com dois algorítimos disponíveis;


c. Fuzzy Hashing - muito útil para identificar mesmo pequenas alterações feitas em documentos e outros arquivos;


d. o poder de customização no carving (recuperação a partir de clusters não alocados) de arquivos e a funcionalidade de meta carving (busca por entradas órfãs na tabela FAT e no índice $MFT do NTFS);

e. a capacidade de geração de relatórios de informações do registro windows baseados em templates pré-configurados;

14) Caso eu tenha esquecido algo de relevante - e para encerrar o post - segue a lista de novidades listadas pela AccessData e ao final um link para os "Release Notes":

Forensic Toolkit 4 is now available! 

This major release is designed to deliver enterprise-class capabilities at a stand-alone price. Now, you can leverage the full functionality of AD Enterprise against a single live remote node. This means FTK users can conduct remote investigations to eliminate travel, reduce response times, and speed acquisitions…. And organizations gain incident response capabilities that are so critical in securing networks. In addition to AD Enterprise functionality, FTK 4 users are able to integrate malware triage and visual analytics with two new FTK add-on modules, the industry-first Cerberus malware triage and analysis module and our new state-of the art Visualization solution. 

FTK continues to be the most innovative solution on the market, as well as the best value, giving you integrated functionality that would normally cost tens of thousands of dollars. It’s time to learn the meaning of next-generation digital investigations…

What’s New in FTK 4?

Single-Node Enterprise
Install a persistent agent on a single computer to enable the remote analysis and incident response capabilities of AD Enterprise. Preview, acquire and analyze hard drive data, peripheral device data, (RAM Windows Only) and volatile data on Windows^®, Apple^® OS, UNIX^® and Linux^® machines. Uninstall the agent at any time, and push it out to a different computer.
WATCH DEMONSTRATION >

Expanded RAM Analysis
FTK 4 now provides VAD tree analysis. To see a full list of static RAM analysis capabilities, view the FTK data sheet.

New File System /File Type Support

• YAFFS and YAFFS2
• Exchange 2010 EDB
• 7zip

Enhanced decryption support (with proper credentials)

• Checkpoint Pointsec disk encryption
• Sophos Safeguard Enterprise (latest version)
• Multi-password capability

Increased processing performance, especially on systems with more than 8 cores.

New Regular Expression Support for Index Searching
FTK users can now search for advanced combinations of characters against the index.

Licensing
Added support for soft dongle licensing in virtual machines.

Add Integrated Malware Analysis with CERBERUS
Cerberus is a malware triage technology that is available as an add-on for FTK 4. The first step towards automated reverse engineering, Cerberus provides threat scores and disassembly analysis to determine both the behavior and intent of suspect binaries.

Add state-of-the-art data analytics with VISUALIZATION*
With our new visualization module you can view data in seconds in multiple display formats, including timelines, cluster graphs, pie charts and more.

SEE RELEASE NOTE FOR ADDITIONAL PRODUCT ENHANCEMENTS>

Pesquisa: Ataque remoto à marcapassos

[ Update - 29/02/2012 ]


RSA 2012: Hacker Shows Off Lethal Attack By Controlling Wireless Medical Device


http://go.bloomberg.com/tech-blog/2012-02-29-hacker-shows-off-lethal-attack-by-controlling-wireless-medical-device/


[ Update - 26/02/2012 ] 


Um excelente vídeo contendo a apresentação de Avi Rubin, diretor de segurança médica na Universidade Johns Hopkins foi publicada ontem no site do TED - nele são expostos várias avanços feitos pela Academia na área de segurança de dispositivos médicos.  


http://www.ted.com/talks/avi_rubin_all_your_devices_can_be_hacked.html


[ Update - 29/11/2011 ]

A utilização da tecnologia de comunicação moderna em variados dispositivos - também chamada de "A Internet das coisas" - é  uma tendência crescente (hoje já temos  mais de 20 bilhões de dispositivos diferentes de PCs comuns - que somam "apenas" 4 bilhões -  se comunicando em rede - entre )

Informações sobre Vulnerabilidades e Ataques a dispositivos médicos são cada vez mais comuns, tanto na mídia especialiada quanto em papers.  

Hoje pela manhã eu li um artigo interessante sobre o tema, entitulado "Killed by Code" publicado no blog do israelense Danny Lieberman.

No artigo, é publicada uma curta apresentação que trata do tema, incluindo o crescimento da utilização de dispositivos móveis na medicina, suas aplicações mais comuns (Data Tracking: Diabetes, Parkingson, Alzheimer, ../ Life Susteining: Doenças Cardíacas, Diabetes, Depressão, ..).

Um dos exemplos mais chocantes (literalmente) - diz respeito ao título do nosso post - é possível fazer a engenharia reversa dos comandos que são passados em texto claro e subverter o funcionamento de aparelhos médicos portáteis utilizados por doentes cardiológicos, para dar choques de 137 Volts no paciente - o que ocasionaria uma vibrilação ventricular que pode causar o óbito.. (ou simplesmenet desligar o aparelho forçando o consumo da bateria).

No artigo, ele apresenta uma empresa chamada Mocana, que se especializou em "Securing the Internet of Things" - incluindo soluções embedded de algorítimos, protocolos e serviços de criptografia como SSH, SSL, IPSec - por exemplo.

Dos 23 recalls deste tipo de aparelho feitos pela FDA  que ocorreram no primeiro semestre de 2010, 6 foram causados por defeitos de software.

A apresentação prossegue com outros cenários e propõe um framework de modelagem de ameaças que auxilie os fabricantes e também o governo na missão de evitar que ataques deste tipo sejam utilizados para - por exemplo - matar alguém remotamente.. 


Leitura recomendada:


http://www.software.co.il/2011/11/killed-by-code/ 

[ Update - 14/06/2011 ]

Hoje o MIT e a UMass divulgaram novidades sobre o assunto

O paper inclui medidas de defesa para ataques passivos e ativos a implantes médicos wireless, incluindo Jamming por exemlo.

obrigado ao Alexandre Cezar/Anchises pelo tweet que retomou o assunto..

[ Update - 30/10/2009 ]

Pesquisadores suíços apresentaram uma alternativa segura de comunicação remota com marcapassos utilizando ultrassom: "Keeping Pacemakers Safe from Hackers" - http://www.technologyreview.in/computing/23923/

[ Post Original - 17/08/2008 ]
É cada vez mais difícil definir os limites da importância da correta utilização dos conceitos de segurança da informação na sociedade moderna.

Um paper publicado em março - envolvendo as disciplinas de segurança da informação, criptografia, cardiologia, processamento de sinais, comunicações por rádio, e design de antenas está trazendo a discussão sobre estes limites.

Kevin Fu e oito outros pesquisadores da University of Massachusetts estão trazendo gerando discussões em várias fontes de informação de segurança da informação (ex: 1,2,3,4,5) ao expor vulnerabilidades em alguns modelos de marcapassos modernos que permitem que o médico controle o marca passo instalado no coração de pacientes.

O problema é que não há qualquer tipo de autenticação para se comunicar de forma wireless com o marcapasso, e comandos perigosos que permitem ataques passivos e ativos ao ponto de permitirem que se mude a configuração e se desligue o aparelho remotamente - sem a entrada de nenhuma credencial de acesso.

Nasce a APURA - Inteligência em Cibersegurança e Investigações Digitais

É com muita satisfação que anuncio o lançamento da minha empresa, APURA - Inteligência em Cibersegurança. 

Mais informações no site: http://www.apura.com.br

FBI: Programador Russo Roubou Código Secreto da Goldman Sachs

[ Update - 18/02/2012 ]

Brechas em sistemas + brechas na lei = impunidade? Isto vale também para os Estados Unidos - a prisão do desenvolvedor da Goldman Sachs que roubou código secreto da instituição financeira foi revertido na justiça.

Mais detalhes: "Goldman Sachs Code-Theft Conviction Reverse" http://www.wired.com/threatlevel/2012/02/code-theft-conviction-reversed/


[ Update - 19/03/2011 ]

Em um caso prático de monitoração de vazamento de informação confidencial bem sucedido, finalmente chega ao final o julgamento do programador russo (naturalizado americano) Sergey Aleynikov. A sentença foi de 8 anos e um mês de prisão.

O desenvolvedor copiou vários códigos proprietários responsáveis por transações sofisticadas no mercado de ações - que eram consideradas segredo comercial pela Goldman Sachs.

Ele assumiu ter copiado o código, mas alegou que estava coletando software "open-source" que ele tinha desenvolvido, e que o trabalho proprietário do banco GoldMan Sachs havia sido copiado por engano (entre outros lugares, para um servidor de hospedagem na Alemanha).

Sergey faturava U$ 400.000 anuais na Goldman Sachs e foi abordado em 2009 pelo FBI quando desembarcava - com o código proprietário em seu notebook - para conversar com um novo empregador, que pagaria o triplo.

No post original sobre o assunto, abaixo - mais detalhes sobre o caso.

Para uma leitura de como a utilização de tecnologias como DLP e outras medidas podem auxiliar a identificar este tipo de situação, siga o link a seguir: http://www.software.co.il/wordpress/2011/01/using-dlp-to-protect-your-source-code/

Mais informações:

• Wall Street Journal: http://blogs.wsj.com/law/2011/03/18/goldman-sachs-code-stealer-hit-with-harsh-sentence/?mod=e2tw
• Wired: http://www.wired.com/threatlevel/2011/03/aleynikov-sentencing/

[ Post Original - 06/07/2009 ]

Através da monitoração de tráfego suspeito https, a corretora de valores Goldman Sachs conseguiu detectar e comprovar a cópia ilegal de código secreto de sua plataforma de transações financeiras feita por um programador russo naturalizado americano.

Pela leitura da acusação feita pelo FBI (pdf), pode-se verificar o benefício de uma série de controles de segurança implantados pela Goldman Sachs que apoiam sobremaneira o tratamento de incidentes como este, de vazamento de informações confidenciais:

• Monitoração de tráfego com direção à internet, e revisão das transferências criptografadas, como https.
• Controle de acesso físico por andar, com crachás personalizados
• Travamento de Desktop por inatividade
• Registro e guarda das informações de acesso remoto (logs de VPN).
• Gravação das ações efetuadas em estações e servidores linux/unix (bash history, demais logs)

Mais informações no Threat Level da Wired, no DarkReading e na Reuters.

Oficina e Desafio de Análise Forense no Campus Party 2012

[ Update: 12/02/2012 ]

A Oficina e Desafio de Análise Forense foi um sucesso - mais de 100 pessoas munidas com seus notebooks participaram do evento no palco Inovação - Segurança e Rede do Campus Party 2012.

Gostaria de agradecer mais uma vez o convite feito pelo Jacomo Piccolini do Team Cymru e também à Cristine Hoepers e ao Klaus Steding-Jessen do CERT.BR.

Depois de várias linhas de comando e muita análise forense utilizando ferramentas open-source de análise de mídias (SleuthKit), de rede (WireShark), de memória (Volatility) e de esteganografia (StegHide), o feedback dos participantes foi muito bom, e a troca de experiências entre os organizadores e os participantes foi gratificante.

Seguem os nomes dos vencedores e o tempo que levaram para vencer o desafio:

1o lugar: Felipe Bessa Coelho, 2h00 
2o: Elomar Souza, 2h08
3o: Reynaldo Allan Fulin, 2h12
4a: Tamires Harumi Dantas Takehara, 2h22

Segue abaixo a foto do campeão, Felipe Coelho, exausto depois da maratona, junto a mim e ao Jacomo Piccolini do Team Cyrmu.

Depois de 3 horas de desafio, apenas 3 outros participantes haviam chegado ao resultado final. A organização do evento resolveu entregar os prêmios restantes (do 8o ao 20o) aos participantes que haviam chegado até o penúltimo passo do desafio.

Parabéns a todos os participantes e especialmente ao Felipe, Elomar, Reynaldo e Tamires, que mostraram muita competência e agilidade na resolução dos problemas propostos.

[ Update: 10/02/2012 ]


Ok. PPTx pronto, VM Linux pronta, VM Windows pronta!

Nos vemos amanhã na Campus Party 2012 #CPBR5 


[ Post Original: 03/02/2012 ]

No ano passado, eu participei modestamente da preparação do Desafio Forense que aconteceu durante o evento Campus Party.

No Campus Party deste ano, eu estarei apresentando uma breve palestra sobre Forense Computacional na Oficina de Análise Forense (Palco de Segurança e Redes) e também coordenando um desafio prático junto aos "campuseiros", e ao lado dos mestres Jacomo Piccolini do Team Cymru e Guilherme Venere. Aproveito para agradecer publicamente o convite do Klaus Steding-Jessen e da Cristine Hoepers do CERT.BR.

Trata-se de um desafio de análise forense de nível intermediário, utilizando apenas soluções open-source e com premiações bem interessantes (veja abaixo) aos que se interessarem pelo enigma.. .


Desafio de Análise Forense do Campus Party 2012:

Envolverá a análise de artefatos e rastros de ataque com a utilização de conhecimentos cobertos na Oficina de Análise Forense.

Tem o propósito de propiciar aos campuseiros a oportunidade de colocar em prática os
conhecimentos que serão apresentados durante a oficina.




Premiações:

1º lugar: tablet Motorola Xoom 10.1'
2º e 3o lugar: kit com camiseta, canecas e outros brindes
4º ao 20º lugar: camisetas do CERT.br/Antispam.br




Datas importantes:
Análise de artefatos e rastros de ataques, com a utilização de conhecimentos cobertos na Oficina de Análise Forense

Início: 11/02/2012 às 14h30, no Palco de Segurança e Redes
Encerramento: 11/02/2012, assim que as 20 primeiras respostas corretas forem entregues aos instrutores

Segue link para o Folder Online do NIC.BR com informações sobre este e outros Desafios que ocorrerão na Campus Party 2012:

http://desafios-cpbr5.nic.br/

SHODAN - Computer Search Engine

[ Update - 07/02/2012 ]


O Shodan continua a facilitar o trabalho de pessoas mal intencionadas na internet - Câmeras de segurança da marca TRENDNET possuem uma vulnerabilidade muito crítica, que permite que qualquer um que conheça o endereço IP da câmera tenha acesso ao vídeo do equipamento.


Mais informações:


Lista de modelos vulneráveis: http://www.trendnet.com/press/view.asp?id=1958


"Flaw in Home Security Cameras Exposes Live Feeds to Hackers" -  ThreatLevel/Wired
"Vulnerabilidade em câmeras da Trendnet vaza vídeos na internet" - G1/Globo

Notícia Relacionada (de Janeiro deste ano):


"Cameras May Open Up the Board Room to Hackers" - The New York Times


[ Atualização - 01/11/2010 ]

Responda: Como é possível acessar sistemas de controle industrial via internet? (não vale dizer que basta desenvolver um "Stuxnet" =)

E se alguém utilizasse uma interface Web para fazer buscas por possíveis vítimas utilizando sistemas Simatic da Siemens de controle industrial? Simples.. quantos destes serão HoneyPots?

Query: http://www.shodanhq.com/?q=port:161+simatic

Mais Detalhes: http://www.digitalbond.com/index.php/2010/11/02/what-you-should-know-about-shodan-and-scada/

[ Post Original - 24/11/2009 ]

A casa caiu..

Primeiro veio o Google Hacking Database e depois os Google Dorks que possuem listas intermináveis de queries do Google prontas para encontrar vulnerabilidades, senhas, devices online, entre outras informações.

Agora (na verdade ontem) o desenvolvedor Achillean divulgou no twitter um novo serviço de busca online que se auto entitula "Computer Search Engine" - SHODAN: http://shodan.surtri.com/ | http://www.shodanhq.com

O cidadão simplesmente fez um scan na Internet quase inteira (isto não é um exagero) incluindo várias portas 21 (ftp), 22 (ssh), 23 (telnet), 80 (http) e detalhes dos serviços. A pesquisa pode ser feita por palavra chave, país, hostname, CIDR, porta, etc..

O impacto na segurança das empresas é grande quanto maior e mais desatualizadas / mal configuradas estiverem seus servidores.. porque agora o atacante nem mesmo precisará lançar um nmap contra a sua infraestrutura..

(exemplo: Caso um script kiddie brasileiro tenha conseguido um exploit para Apache x.x a pesquisa é simples "country:BR apache x.x" .. )

Algumas pesquisas com resultados assustadores

** cuidado ao utilizar estas pesquisas e mais ainda caso tente se conectar em algum dos "search hits" **

Versões realmente antigas de servidores web Microsoft IIS rodando:

http://shodan.surtri.com/?q="iis/1.0"

http://shodan.surtri.com/?q="iis/2.0"

http://shodan.surtri.com/?q="iis/3.0"

http://shodan.surtri.com/?q="iis/4.0"

Impressoras JetDirect da HP ligadas na Internet:
http://shodan.surtri.com/?q=jetdirect

Aparelhos DVR com interface WEB exposta:
http://shodan.surtri.com/?q=DVR

Routers cisco com HTTP habilitado:
http://shodan.surtri.com/?q=cisco-IOS

Máquinas com busybox telnet sem senha:
http://shodan.surtri.com/?q=port%3A23+%22list+of+built-in+commands%22).

Cameras de Segurança abertas na Internet:
http://shodan.surtri.com/?q=port%3A80+%22Camera%22+%22HTTP%2F1.0+200+OK%22

Link com outras queries de exemplo: http://pentestit.com/shodan-queries/

** cuidado ao utilizar estas pesquisas e mais ainda caso tente se conectar em algum dos "search hits" **

Daí pra frente.. o céu (ou o inferno?) é o limite...

Para mais informações - há um bom vídeo sobre a ferramenta aqui: http://www.vimeo.com/13465839

Video - Desafios em Computação Forense e Resposta a Incidentes - Evento SegInfo - RJ

[ Update - 24/05/2012 ]

O vídeo oficial (55 minutos) foi disponibilizado pela organização do evento:

Mais vídeos do evento podem ser encontrados neste link: http://www.youtube.com/user/workshopseginfo

[ Update - 17/01/2012 ]


O pessoal da organização do evento SegInfo me enviou há alguns dias o DVD com o vídeo da palestra que ministrei em Agosto do ano passado, no Rio de Janeiro. Abaixo a apresentação pode ser vista na íntegra, divida em 3 partes (21 + 21 + 14 min):

[ Post Original - 15/08/2011 ]


Post curto:

Neste último sábado, tive o prazer de ministrar uma palestra entitulada "Desafios em Computação Forense e Resposta a Incidentes" no WorkShop SegInfo, na cidade do Rio de Janeiro.

Agradeço o convite do Bruno Salgado e do Lincoln Werneck e os parabenizo pelo alto nível do evento. Os slides da minha palestra estão disponibilizados abaixo e vídeos das palestras serão publicados em breve - estarei os disponibilizando por aqui também.

201108 sandro süffert - desafios em forense computacional e resposta a incidentes

View more presentations from suffert.

Lista de (Listas de ferramentas de Segurança)

Acesso rápido a esta página: http://tinyurl.com/sectoollist
publicada em 21/12/11 / último update em 17/01/2012

Não deixe de conferir também a lista de ferramentas / serviços de segurança online: http://tinyurl.com/segonline 

Em '99 eu me lembro de ler o uma newsletter "CryptoGram" do Bruce Schneier nos ensinando que  "segurança não é uma ferramenta, e sim um processo".. Esta verdade é sentida no dia a dia por vários profissionais da nossa área de atuação. Agora, convenhamos que o conjunto de ferramentas certo na hora certa (na frente das pessoas certas) pode ajudar muito, isto pode.. ;)

Pois então vamos ao ponto, hoje durante a minha atualização periódica através de RSS feeds e listas de discussão um link muito interessante me chamou a atenção - uma compilação da seção que apresenta  ferramentas de Segurança da newsletter da ISSA (listada logo abaixo) - tive então a idéia de compilar algumas fontes interessantes de ferramentas open-source e comerciais:

• I - A ISSA publica mensalmente em seu Journal, na seção "Toolsmith", uma apresentação mais detalhada de uma ferramenta de segurança, e o blog HolistcInfoSec listou todas as edições desta seção, que possui reviews muito interessantes - uns mais detalhados que outros:
• • December 2011 - Registry Decoder 
  • November 2011 - OWASP ZAP - Zed Attack Proxy 
  • October 2011 - Log Analysis withHighlighter
  • September 2011 - Memory Analysis with DumpIt and Volatility
  • August 2011 - PacketFence - Open Source Network Access Control
  • July 2011- RIPS: Static source code analyzer for PHP vulnerabilities
  • June 2011 - Xplico
  • May 2011 - Security Onion
  • April 2011 - OpenVAS-4 
  • March 2011 - OSINT with FOCA 2.6 
  • February 2011 - El Jefe 1.1: The Boss Will See You Now
  • January 2011 - Armitage: Cyber Attack Management for Metasploit 
  • December 2010 - SamuraiWTF: The Life Cycle of a Web Application Vulnerability Analysis
  • November 2010- Confessor & MOLE 
  • October 2010 - The NirSoft Collection 
  • September 2010 - REMnux 
  • August 2010 - Suricata: An Introduction
  • July 2010 - NetWitness Investigator 
  • June 2010 - Web Security Tools²: skipfish and iScanner
  • May 2010 - SIFT Workstation 2.0: SANS Investigative Forensic Toolkit 
  • April 2010 - Dradis: Effective Information Sharing for Pentest Teams
  • March 2010 - NetGrok and AfterGlow: Visualizing the Zeus attack against government and military 
  • February 2010 - Firefox Addons for Security Practitioners 
  • January 2010 - Single Packet Authorization: The Ghost in the Machine 
  • December 2009 - Maltego: Transform & Correlate * 2009 Toolsmith Tool of theYear *
  • November 2009 - Fiddler with Watcher: Passive security auditor 
  • October 2009 - OSSEC 
  • September 2009 - OffVis 1.0 Beta: Office visualization tool 
  • August 2009 - AIRT: Application for Incident Response Teams 
  • July 2009 - Malzilla: Exploring scareware and drive-by malware 
  • June 2009 - MIR-ROR: Motile Incident Response - Respond Objectively, Remediate  
  • May 2009 - SUMO Linux: Security utilizing multiple options 
  • April 2009 - Tamper Data: CSRF examined 
  • March 2009 - Adito: Open-source,browser-based SSL VPN
  • February 2009 - Mandiant Memoryze with Audit Viewer * 2008 Toolsmith Tool of the Year *
  • January 2009 - Part 2 of 2: The Integrity Project - WebJob 
  • December 2008 - Part 1 of 2: The Integrity Project - FTimes 
  • November 2008 - Bipartisan server politi...er, security 
  • October 2008 - fwsnort-1.0.5: iptables intrusion detection 
  • September 2008 - PTA: Practical Threat Analysis
  • August 2008 - NetworkMiner: Network Forensic Analysis Tool
  • July 2008 - PHPIDS: Attack my website, please! 
  • June 2008 - Security Visualization: What You Don't See Can Hurt You
  • May 2008 - MojoPac: Get Your Mojo Working
  • April 2008 - The XSS Epidemic: Tools for discovery and remediation 
  • March 2008 - WinPatrol
  • February 2008 - Packet Analysis with the Hex System
  • January 2008 - Gpg4win: Email Security using GnuPG for Windows
  • December 2007 - Mandiant Red Curtain: Malware identification for incident responders
  • November 2007 - Argus: Auditing network activity 
  • October 2007 - Security Officers Management & Analysis Project (SOMAP) 
  • September 2007 - SensePost: Wikto, Scully, and CrowBar
  • August 2007 - CIS Benchmarks
  • July 2007 - Malcode Analysis Software Tools
  • June 2007 - Search Engine Security Auditing
  • May 2007 - Core Impact 6.2: Anatomy of an ethical penetration test
  • April 2007 - Nessj: Application/network security scanner client
  • March 2007: Managing Badware and Policy Violation with Aanval and Bleeding Edge Threat Snort Rules
  • February 2007 - RAPIER v. 3.1
  • January 2007 - Activeworx IDS Policy Manager 2.0: Rules management for multiple sensors
  • December 2006 - Web Application Security Testing 101: Paros Proxy and Badstore
  • November 2006 - Security Analysis with Wireshark

• II - Uma  fonte tradicional de excelentes ferramentas, listadas por popularidade (incluindo opções open-source, gratuitas e comerciais) é a  http://sectools.org/ (Seu título oficial é "Top 125 Network Security Tools") e é um repositório de boas surpresas, visite! As categorias listadas por lá são:

1. Antimalware (3)
2. Application-specific scanners (3)
3. Web browser–related (4)
4. Password crackers (12)
5. Encryption tools (8)
6. Debuggers (5)
7. Firewalls (2)
8. Forensics (4)
9. Fuzzers (4)
10. General-purpose tools (8)
11. Intrusion detection systems (6)
12. Packet crafting tools (6)
13. Port scanners (4)
14. Rootkit detectors (5)
15. Security-oriented operating systems (5)
16. Packet sniffers (14)
17. Vulnerability exploitation tools (11)
18. Traffic monitoring tools (10)
19. Vulnerability scanners (11)
20. Web proxies (4)
21. Web vulnerability scanners (20)
22. Wireless tools (5)

• III - Durante este ano foi lançado um projeto interessante mais ou menos nesta linha, o http://SecurityScoreBoard.com, que lista ferramentas de segurança (com avaliação de usuários e controle de "reputação"). Existem ferramentas categorizadas da seguinte forma:

1. Anti-Virus and Anti-Malware
2. Application Whitelisting
3. Database Security
4. DLP
5. Email Security and Anti-Spam
6. Embedded Devices
7. Encryption of Data at Rest
8. Endpoint Security and Control
9. Firewall Management
10. Forensics
11. Fraud Prevention and Management
12. Governance, Risk, and Compliance
13. Identity Management
14. Managed Security Services
15. Multi Factor Authentication
16. NAC
17. Network Security
18. Patch Management
19. Penetration Testing
20. PKI and Digital Signatures
21. Privileged Access Management
22. Secure Backup and Storage
23. Secure File Transfer
24. Security Consulting - Assessments
25. Security gateway
26. Security Management
27. Security Training
28. SIEM and Log Management
29. Virtualization Security
30. Vulnerability Management
31. Web Application and Software Security
32. Wireless and Mobile Security

• IV - Contribução do AL. (nos comentários): http://www.coresec.org/software - blog que lista diversas ferramentas voltadas para pentest, malware analysis, web application security, etc..

• V -  Outra lista de ferramentas bem completa, que eu já conhecia mas achava que havia sido desativada, é a Security Wizardry - http://www.securitywizardry.com/index.php/products/ São centenas de ferramentas listadas nas seguintes categorias:

1. Anti Spam
2. Anti Spyware
3. Anti Virus
4. Content Protection
5. Data Loss Prevention
6. Firewalls
7. Forensic Solutions
8. Identity and Access Mgmt
9. IDS and IPS
10. Scanning Products
11. Security Conferences
12. Security Management
13. Security Training
14. TSCM Bug Sweeping
15. Virtualisation Security
16. VPN

Você tem mais alguma lista de ferramentas interessante para sugerir para esta "Lista de Listas"? Contribua fazendo seu comentário abaixo! 

Enigma 001 - ganhe um excelente livro de segurança

[ Update 2]

Fiz um rápido vídeo com o passo a passo da solução do #enigma001 - vejam abaixo:

[ Update 1]

O @luisfdandrade foi o primeiro a responder o desafio corretamente (em pouco mais de uma hora!). Muita gente participou e fez perguntas muito interessantes (Só dentre as que fizeram perguntas via email/twitter/gtalk,etc foram mais de 40!)

Para mais detalhes sobre a solução do Luis, veja nos comentário abaixo. (Caso você queira se testar, basta não espiar por lá.. =)

[ Post Original ]

Para começar o ano (e me desfazer de livros que possuo tanto em formato tradicional quanto eletrônico), resolvi fazer alguns desafios em forma de "Enigmas" aqui no blog.

Você é uma pessoa curiosa, de pensamento ágil e nerd o suficiente para participar de um desafio interessante? Se você respondeu sim, continue lendo.. Se não, siga este link.

Ah sim - a propósito - o ganhador receberá um dos seguintes livros em casa:

• Digital Forensics with Open Source Tools
• Metasploit The Penetration Tester's Guide
• Malware Forensics
• Perl Scripting for Windows Security
• Shellcoder's Handbook
• Windows Registry Analysis

Está na dúvida de qual vai preferir? Uma descrição dos livros acima (entre outros) pode ser encontrada no seguinte post:

http://sseguranca.blogspot.com/2009/12/livros-de-seguranca-resposta-incidentes.html

Este 1o enigma vai servir para testar o formato, caso o feedback de vocês seja bom, pretendo fazer outros desafios em 2012! Boa sorte a todos!

O desafio está abaixo. Ganha o primeiro que postar um comentário neste post com a "frase secreta" e um link para a solução do Enigma 001.

Enigma 001: Encontre a frase secreta (Nível: intermediário)

JXj8jq8C/moc.nibetsap

Atenção: Este Enigma acima é o que está valendo - infelizmente a primeira publicação saiu com caracteres errados. 

Para perguntas, use o twitter com a hashtag #enigma001 ou o campo de comentários abaixo.

MEGAPOST: 12 novidades para começar 2012 CCC, Stratfor, Wifi Protected Setup, HTTP DoS, BartPE, Post-Exploitation, IPv6, Teoria dos Jogos, Facebook, Salários em Infosec, Voip Forensics

Começando 2012 - 12 novidades na área Resposta a Incidentes e Forense Computacional:

• 1 - Segurança Wireless - Todos os fabricantes de Access Points que utilizam a tecnologia WiFi Protected Setup (também chamada de "Secure Easy Setup") estão vulneráveis  - incluindo a Cisco, DLink, TPLink - e infelizmente este é o default e a NetGear, que é a única que se preocupou em  implementar proteção contra força bruta, não adiciona intervalos  suficiente grandes entre os erros de senha e este ataque é capaz de recuperar a chave (WPA2, por exemplo - em menos de 24 horas - os demais fabricantes facilitaram a vida do atacante e dependendo do caso a chave pode ser recuperada em menos de uma hora..)  
• Resumindo: Desabilite o WPS AGORA no(s) seu(s) APs!
• Para checar: $ iw dev wlan0 scan | grep 'SSID\|Config methods:' < APs  "Label" ou "Display" provavelmente são vulneráveis
• Mais informações: http://bit.ly/w1PGBP
• Paper:  http://sviehb.files.wordpress.com/2011/12/viehboeck_wps.pdf - Wi-Fi Protected Setup PIN brute force vulnerability
• Blog + Ferramenta:  http://sviehb.wordpress.com/
• Twitter: @sviehb

• 2 - HTTP DOS - Ataques de Negação de Serviço inteligentes contra servidores HTTP continuam a aparecer - e devem ser utilizados em ataques neste começo de ano (assim como aconteceu no começo de 2011).
• Resumindo: Patch NOW. Tanto servidores ASP.NET quanto PHP e JAVA estão vulneráveis - ao "Hash Collision Denial of Service" 
• Link CVE:  http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-3414
• Patch Microsoft: http://technet.microsoft.com/en-us/security/advisory/2659883
• Patch PHP: http://svn.php.net/viewvc?view=revision&revision=321040
• Mais info:  http://nakedsecurity.sophos.com/2011/12/28/large-percentage-of-websites-vulnerable-to-hashdos-denial-of-service-attack/

• 3 - CCC - A 28a edição da melhor conferência de Segurança do mundo acabou e as palestras já estão disponíveis para download - imperdível!
• Resumindo: Material excelente para meses de estudo.. 
• Link para download:  http://ftp.ccc.de/congress/2011/  

• 4 - StratFor Hack - A firma de inteligência privada Stratfor foi invadida - e dados de todos os usuários que já tiveram cadastro no site (860,000) vazaram. Além disto 75,000 números de cartão de crédito e dados completos de clientes também foram publicados. 
• Resumindo: os Cartões de Crédito e CVVs eram guardados EM CLARO e as senhas do usuário com hash MD5 sem salt! =/ Mais de 75% já foram "crackeados" com ferramentas open-source como o JTR e HashCat.
• Saiba mais: http://www.databreaches.net/?p=22542 - AntiSec dumps 860,000 Stratfor members’ details, including 75,000 credit card numbers
• Controvérsia na atribuição de autoria: http://www.abc.net.au/unleashed/3749898.html  - Anonymous imposters: hiding behind the AntiSec identity  

• 5 - Cuckoo Sandbox - Eu já havia testado esta solução open-source de análise de malwares em uma versão anterior. Mas a última (0.3.1) me impressionou pela sua evolução. Agora existem módulos para análise de: (exe, dll, pdf, doc, php, ie, firefox, assembler tracer ) - Testei a solução com múltipos malwares brasileiros em 4 máquinas virtuais simultâneas com Windows XP rodando em VirtualBox e a performance é impressionante - assim como os relatórios gerados.. 
• Resumindo: Mais do que recomendada e capaz de automatizar 90% do trabalho de uma análise dinâmica de malwares! 
• Link:  http://www.cuckoobox.org/
• Vídeo 1:  http://vimeo.com/23801978
• Vídeo 2:  http://vimeo.com/34230399

• 6 - Forensic Live CDs - Live CDs/USBs são fundamentais no trabalho de Forense Computacional - o Claus Valca publicou em seu blog um interessante passo a passo para a criação de um LIVE CD/USB dual boot  (BartPE).
• Resumindo: Quanto mais ferramentas no seu tool-set, melhor.
• Artigo: http://grandstreamdreams.blogspot.com/2012/01/make-dual-boot-winpe-cd.html

• 7 - IPv6 - O site DIS9 publicou o 3o artigo da série "Hacking IPv6" - desta vez tratando de spoofing em túneis 6in4 (Ipv6/Ipv4).
• Resumindo: Como esperado, o IPv6 não "resolverá" todos problemas existentes no IPv4, mas agora teremos que nos preocupar com ambos e suas áreas de sombra..
• Artigo:  http://www.dis9.com/attack/hacking-ipv6-iii-ipv6-spoofing-in-6in4-tunnels.html

•  8 - Pentest - Outra série (5 posts) que vale a pena ser vista é a de dump de hashes em Windows do Bernardo Damele:
• Resumindo: Existem mil maneiras de fazer dump de hashes em Windows, ou seja se alguém tem acesso local a uma máquina, game-over.
• Último post da série (parte 5):  http://bernardodamele.blogspot.com/2011/12/dump-windows-password-hashes_28.html
• Dica: o blog dele tem vários outros posts interessantes - leia!

• 9 - Teoria dos Jogos aplicada a CiberSegurança - O Schneier divulgou um paper interessante sobre o assunto: "A game theoretic framework for evaluation of the impacts of hackers diversity on security measures".

• Resumindo: Está na hora de assistir War Games de novo.. 
• Link:  http://www.sciencedirect.com/science/article/pii/S0951832011002389
• Fonte:  http://www.schneier.com/blog/archives/2012/01/applying_game_t.html
• + Referências:  http://spie.org/documents/Newsroom/Imported/0783/0783-2007-07-25.pdf
• + Referência:  http://dl.acm.org/citation.cfm?id=1852704

• 10 - Ataques ao Facebook - A CommTouch publicou um interessante infográfico descrevendo ataques ao Facebook em 2011 - vale a pena conferir.
• Resumindo: 
• Link:  http://blog.commtouch.com/cafe/web-security/infographic-facebook-attacks-in-2011/

• 11 - Salários em InfoSec - Uma ótima notícia pra quem trabalha na área, a InfoSec divulgou o artigo "Best Paying IT Security Jobs In 2012" que informa a previsão de aumento (real) de salário em 2012 de 5%.
• Resumindo: Apesar da crise econômica: a demanda por bons profissionais é muito maior que a oferta qualificada de mão de obra.. 
• Link:  http://www.informationweek.com/news/security/management/232200152

• 12 - Asterisk (VoIP) Forensics - O site SIPVicious publicou um excelente artigo com vídeos tratando de forense em servidores Asterisk comprometidos - vale a pena conferir!
• Resumindo: É importante estar sempre antenado à novidades, ou seja: Semper Gumby!
• Link:  http://blog.sipvicious.org/2012/01/asterisk-forensics-logs-vs-attackers.html