Como sabemos, a área de Segurança da Informação é extremamente complexa e dinâmica e as novidades tanto no tocante a vetores de ataque quanto de diferentes técnicas de ataque e defesa surgem diariamente.
Por isto mesmo uma equipe responsável pela Resposta a Incidentes de Segurança, Forense Computacional ou "Cybersecurity" precisa estar composta de profissionais que possuem uma grande quantidade de habilidades e obviamente precisam estar em constante treinamento para se adaptarem a esta realidade.
Hoje tive uma ótima surpresa quando vi que o CERT e o Software Engineering Institute da Universidade Carnegie Mellon publicaram um documento fundamental para a preparação e o desenvolvimento contínuo de equipes de Cybersecurity, chamado "The CERT® Approach to Cybersecurity Workforce Development"
Logo na sua introdução, é feita uma colocação muito interessante a respeito de dois fatores fundamentais para que uma habilidade seja verdadeiramente efetiva nesta área: a proeficiência (experiência/conhecimento do assunto) e a relevância (utilidade para execução da função).
Algumas limitações dos treinamentos tradicionais em salas de aula são apresentadas, como a diferença entre a experiência vivida e o mundo real (quadro negro versus redes, softwares e usuários); o tempo (geralmente dias) gasto para aulas tradicionais (o que gera uma frequência inadequada de treinamento); a necessidade de deslocamento, e a óbvia demora do método tradicional em adaptar-se as novidades tecnológicas.
A nova abordagem sugerida pelo CERT para treinamento de profissionais ligados à Cybersecurity é dividida em quatro fases (que são brevemente apresentadas abaixo, mas são bem detalhadas no documento original)
- Desenvolvimento de Conhecimentos - onde os fundamentos e conceitos de tópicos específicos são abordados;
- Desenvolvimento de Habilidades (*) - como aplicar praticamente os conhecimentos / exercícios hands-on;
- Desenvolvimento de Experiência - adaptabilidade da aplicação das habilidades desenvolvidas em ambientes não familiares (mundo real);
- Avaliação - são propostas métricas para avaliar a evolução dos profissionais treinados e identificação de áreas que necessitam de melhoria continuada.
* Na seção de desenvolvimento de habilidades, existem colocações acerca da diferença entre usar ferramentas (e ter a vantagem da velocidade e a possibilidade de usar analistas menos treinados na tecnologia de mais baixo nível envolvida).
A conclusão apresentada é a seguinte (pg. 12): o melhor é ganhar eficiência executando tarefas que já são automatizadas adequadamente por ferramentas como o Autopsy, o Encase e o FTK (para ações como recuperação de arquivos deletados, carving, etc) e deixar a "escovação de bit" para atividades que as ferramentas não executam (reconstrução de um filesystem corrompido, por exemplo).
Uma pergunta que emerge naturalmente destas afirmações é: como diferenciar? Apenas com habilidade, conhecimento e experiência.. Por isto a Gestão Técnica ou ao menos o envolvimento - mesmo que apenas consultivo - de profissionais técnicos sêniores é fundamental na maioria das atividades ligadas à Cybersecurity.
O documento traz também um caso de estudo de treinamento contendo a experiência do CERT desde 2009 com um esquadrão de operações cibernéticas da USAF (força aérea norte-americana).
E para não ficar só na teoria, o CERT libera um acesso de demonstração ao sistema XNET, desenvolvido pela Carnegie Mellon (dica: via RDP é melhor..) - veja a captura (JPG): http://j.mp/h2gaJw e a rede do laboratório (JPG)
Neste sistema, times precisam executar várias tarefas relacionadas à Cybersecurity e são monitorados pelos instrutores, online. Existe um PDF contedo um WORKBOOK das atividades como Incident Detection & Reporting Challenge , Prioritizing Defense Measures
e Mitigation Tasks.
Seguem exemplos de exercícios práticos acessíveis via XNET:
Logging:
- OSSEC HIDS Server
- Remote Centralized Monitoring Server
- OSSEC Agent on Linux hosts
- OSSEC Agent on Windows hosts
- SQL Server Event Log Auditing
Detection:
- Configuring Arpwatch
- Creating a DHCP Offer Packet Filter for tcpdump
- Nagios Network Monitoring
- Appendix – Configuring Nagios
- NTOP Traffic Monitoring
- Snort Rules
Hardening:
- Securing the Domain with Security Templates and Group Policy
- Bandwidth Throttling
- Configuring IPTables as a Host Based Firewall on Linux Systems
- ACL on Router for Data Exfiltration / IRC
- Disable Directory Traversal
- Disabling Telnet on Router
- Drop Traffic from a Host
- Endian Firewall SSH Access
- Exchange Server Hardenin
- Firewall Access Control
- Hardening FTP Server
- Install and Configure Reverse Proxy Using Pound
- Linux Host System Hardening
Os ataques que precisam ser evitados/detectados incluem:
- EasyFTP Remote Exploit
- SQL Injection
- WebSite Directory Transversal
- Data Extrafiltration (TCP, UDP, ICMP)
- WebSite Defacement
- Infected User beaconing to an external IP
- Insecure router using telnet
- Infected user scanning internal IP space
- Attack using xp_cmdshell stored procedure
Se interessou? Leia o documento na íntegra. Certamente este tipo de experiência pode auxiliar internamente na melhor preparação do seu time de Segurança/Resposta a Incidentes ou Forense Computacional.
Aproveito para desejar a todos vocês uma ótimo virada de ano e um 2011 cheio de conquistas pessoais e profissionais!
Post Relacionados:
