Frameworks para compartilhamento de informacoes sobre incidentes de segurança

[ Update: 08/08/2013 ]

Uma versão interativa do último relatório da Verizon pode ser visto no link abaixo - recomendado:

http://public.tableausoftware.com/views/vcdb/Overview

[ Update: 25/04/2013 ]

Leitura obrigatória para quem trabalha na área, o "2013 Verizon Data Breach Report" inclui uma série de informações e métricas interessantes sobre incidentes de segurança ocorridos durante o ano passado. O  site do Framework Veris - padrão utilizado para compilar o relatório e já citado neste post - é uma ótima base para as organizações e CSIRTs de coordenação que precisam  lidar com fontes diversas de informações de incidentes: http://www.veriscommunity.net/doku.php

O que eu acabei conhecendo é um outro padrão, do CERT / Carnegie Mellon - chamado "The CERT Insider Threat Database" - que é um outro Framework interessante nos mesmos moldes - já incluído na lista de referências abaixo.

[ Update: 27/01/2013 ]

Um dos maiores desafios na área de Resposta a Incidentes é o compartilhamento de informações entre entidades - CSIRTs, Backbones, Provedores de Acesso  e Forças da Lei - entre outros. Por este motivo, conhecer e divulgar iniciativas bem sucedidas é de suma importância para todos os envolvidos.

Um dos grandes problemas que as organizações afetadas por incidentes de segurança enfrentam é a dificuldade de receber e enviar informações sobre os ataques bem sucedidos ocorridos na sua constituência para outras organizações como Grupos de Coordenação de Incidentes (como o CERT.BR e o CTIR.GOV, no Brasil) e até mesmo para Forças da Lei, por exemplo em eventos que precisem ser investigados sob o ponto de vista das novas leis de crimes cibernéticos brasileiras (12735/2012 e 12737/2012). 

Como o Dr. Emerson Wendt colocou em um artigo conjunto publicado há cerca de 3 anos atrás aqui no blog: "São diversas as ocasiões em que contatamos, com a devida ordem judicial, o suposto administrador da rede responsável e fomos informados que não  haveria como repassar a informação correta de qual computador e/ou usuário partiu o acesso criminoso". Nossa experiência mostra que esta realidade se repete há vários anos em vários estados e diferentes esferas federativas.

Por este motivo, meu objetivo com este post é chamar atenção para iniciativas já existentes de colaboração na área, seja pelo compatilhamento de eventos ou metadados relacionados a incidentes de segurança ou atividades consideradas indesejadas, seja por padronização na troca de informações que beneficiem os atores envolvidos em um processo de Resposta a Incidente de Segurança.

Além do OpenIOC, já citado anteriormente neste post, vale ressaltar algumas outras iniciativas de disseminação e compartilhamento de informações sobre incidentes de segurança (e possíveis crimes cibernéticos), relacionadas abaixo:

Padrões Abertos:


IDMEF - Intrusion Detection Message Exchange Format (IETF)
IODEF - Incident Object Description and Exchange Format (IETF)

MAEC - Malware Attribute Enumeration and Characterization (MITRE)

CAPEC - Common Attack Pattern Enumeration and Classification (MITRE)
OVAL - Open Vulnerability and Assessment Language (MITRE)
MMEF - Malware Metadata Exchange Format (IEEE)
SCAP - Security Content Automation Protocol (NIST)
YARA - Malware Identification and Classification 
CITD - CERT INSIDER Threat Database  (CERT)


Padrões da Indústria:

CEF - Common Event Format (PDF) - ArcSight/HP 
VERIS - Vocabulary for Event Recording and Incident Sharing (blog post) - Verizon
VRT - http://www.snort.org/vrt - SourceFire
OPENIOC - Open Indicators of Compromise - Mandiant (mais informações abaixo).


[ Update: 04/10/2012 ]

A dificuldade de se compartilhar informações sobre incidentes entre organizações é um problema antigo, e existem algumas alternativas que podem auxiliar quem está buscando soluções. 

Hoje sairam três updates interessantes sobre o assunto:

Python tools for IOC (Indicator of Compromise) handling

https://github.com/jeffbryner/pyioc

Understanding Indicators of Compromise (IOC) Part I
http://blogs.rsa.com/will-gragido/understanding-indicators-of-compromise-ioc-part-i/

Government Agencies Get Creative In APT Battle
http://www.darkreading.com/threat-intelligence/167901121/security/news/240008438/government-agencies-get-creative-in-apt-battle.html

[ Update: 17/11/2011 ]

Hoje o DarkReading publicou um interessante artigo sobre o OpenIOC:

• New Lingua Franca For Exchanging Cyberattack Intelligence

No texto são também comentados outros frameworks já citados por aqui:

• Verizon Data Breach Framework
• Malware Attribute Enumeration and Characterization, do Mitre.

[ Post Original: 02/11/2011 ]

Framework OpenIOC - Open Indicators of Compromise

Considero o projeto iniciado pelo Kevin Mandia (publicado no livro "Incident Response & Computer Forensics") e agora disponibilizado oficialmente como um framework aberto (licença Apache 2) o mais organizado esforço da definição de um padrão (schema XML) que "descreve características técnicas de ameaças, metodologias de atacantes e outros indicadores de comprometimento" - útil demais para controle de modus operandi de incidentes, troca de informações intra e entre CSIRTs, interoperabilidade de ferramentas, entre outros.
Falei brevemente do OpenIOC durante uma apresentação sobre os avanços em Resposta a Incidentes e Computação Forense, durante o ICCyber 2010.

Mais informações:

FAQ: http://openioc.org/#faq

Base Schema: http://schemas.mandiant.com/2010/ioc/ioc.xsd

Other Schemas: http://schemas.mandiant.com/

OpenIOC Free Tools:
http://www.mandiant.com/products/free_software/iocfinder/
http://www.mandiant.com/products/free_software/ioceditor/

Other Free Tools: http://www.mandiant.com/products/free_software

+ info relacionada (2010): http://www.mandiant.com/presentations/state_of_the_hack_abcs_of_ioc/qa

Site oficial: http://openioc.org/

CyberSecurity Reports: Mandiant, Verizon Business, HP, Verisign, WebSense, Trustwave & others

Existem muitos relatórios sobre o atual estado de ataques, a evolução e adaptação das técnicas utilizadas pelos perpetradores. Estamos acostumados a ver estes documentos sendo lançados por diversas fontes diferentes, deste empresas de anti-vírus, passando por fabricantes de sistemas operacionais e consultorias na área de governança corporativa.

A Mandiant e a Verizon Business estão entre as empresas mais especializadas e bem sucedidas em serviços de Resposta a Incidentes no mundo, e por isto mesmo lidam com os mais variados tipos de situações ao tratar inúmeros incidentes de segurança como vazamento de informações e invasão de sistemas em clientes de várias verticais de atuação diferentes.

Lendo este material é possivel perceber a melhoria na qualidade e quantidade de informações à disposição de uma empresa a partir do tratamento adequado de seus incidentes de segurança realmente criticos, o que auxilia as áreas envolvidas a desenvolver uma postura de segurança com foco nas ameaças reais.

Devido a este embasamento em casos reais,  considero que estes relatórios merecem uma leitura detalhada. Ao final deste post eu incluí também referências a outros 6 relatórios interessates publicados por outras organizações (HP, VeriSign, WebSense, TrustWave, ESET e Sophos).

Destaques M-Trends Mandiant:

Tipos de Ataques mais comuns: 

O tipo de ameaça enfrentado por uma organização deve nortear os investimentos em Segurança da Informação, dentre os maiores tipos de ataques investigados pela Mandiant em 2011, 

Indústrias sendo afetadas por ataques avançados:

Utilização de malware publicamente disponível  e Detecção dos incidentes (!)

Tendências (M-Trends)

1. Malware só conta uma parte da história: apenas 54% de todos sistemas comprometidos nos ataques investigados possuiam traços da execução de malware (o uso de credenciais válidas para acesso aos sistemas comprometidos é mais difícil de identificar e possibilita aos atacantes um movimento lateral entre sistemas, explorando senhas iguais e relações de confiança existentes nas redes atacadas) ;
2. Técnicas antigas sendo ressuscitadas: backdoors passivos estão sendo usados para bypassar detecção no host e na rede (... ); 
3. RATs - Remote Access Software & Trojans disponíveis publicamente são cada vez mais usados em ataques direcionados;
4. Processos de Fusão e Aquisição de empresas geram mercado de venda de informações confidenciais roubadas.
5. Empresas que participam de uma mesma cadeia produtiva são comprometidas pelos mesmos atacantes, que buscam obter mais informações de propriedade intelectual sobre o negócio.
6. Vale a pena ser persistente: atacantes que buscam ganho financeiro cada vez mais pretendem permanecer o maior tempo possível nas redes comprometidas.

Evidências de Comprometimentos (ou IOC/Indicators of Compromise) - além da presença de malware:

• Uso não autorizado de credenciais válidas (estas informações normalmente estão presentes em registros do Event Log do Windows, no registro, nas propriedades do arquivo/sistema de arquivo e no tráfego de rede) <= idealmente, parte destas informações está sendo logada remotamente em outros sistemas (AD, SIEM, Network Forensics, CarbonBlack, etc.); 
• Acesso Remoto a Sistema ou a arquivos (...)
• Vestígios de evidência e arquivos parciais (através de técnicas de perícia forense, é possivel 

Um parêntese aqui para um ponto que gosto de salientar - as evidências estão por toda a parte: 

Quanto mais visibilidade e automação na criação de registros que possam ser considerados "indicadores de comprometimento", melhor - de preferência, em memória, no tráfego de rede, nos logs de sistemas, no sistema de arquivo, em bancos de dados - ou seja, aonde quer que informação esteja armazenada ou trafegue temporariamente.

Relatório Mandiant M-Trends: http://fred.mandiant.com/M-Trends_2012.pdf

Relatorio Verizon Business - 2011 CaseLoad Review: http://www.verizonbusiness.com/resources/whitepaper/wp_verizon-2011-investigative-response-caseload-review_en_xg.pdf

Relatório Verizon Business - 2012 Databreach Investigations Report

http://www.verizonbusiness.com/resources/reports/rp_data-breach-investigations-report-2012_en_xg.pdf

Alguns pontos e tendências relacionados ao relatório da Verizon foram publicados recentemente no blog do Troy Hunt - leitura recomendada! Comento alguns dos principais pontos levantados, abaixo:

• Os ataques estão sendo originados quase sempre de fora das organizações (98%) e apenas 4% envolveram pessoal interno (ativamente) < esta tendência está aumentando nos últimos anos. É importante ressaltar que a segurança das redes e  sistemas internos continua sendo fundamental, para identificar e conter a evolução de ataques iniciados externamente. 

• Hacktivistas estão se tornando um problema real e sério  (58% do roubo de informações) < aqui vale a pena mencionar que pela característica de divulgação do resultado dos ataques, este valor certamente está distorcido em relação aos ataques tradicionais para venda de informações no underground, por exemplo.

• A maioria dos comprometimentos envolve o simples roubo de credenciais < ou seja, ninguém vai ter que desenvolver um StuxNet/DuQu se para obter as informações sensíveis for suficiente adivinhar ou usar ferramentas de bruteforce de senha..

• O tempo entre o comprometimento inicial e sua descoberta e contenção tem levado normalmente meses (54%) ou semanas (29%), e em poucos casos dias (13%) ou horas (2%) < isto é tempo mais do que suficiente para garantir aos atacantes um acesso a diversas informações sensíveis contidas em diferentes sistemas de uma empresa.

Outros Relatórios relevantes e dignos de nota, publicados recentemente:


HP: 2011 Top Cyber Security Risks Report
http://www.hpenterprisesecurity.com/news/download/2011-top-cyber-security-risks-report

Verisign iDefense 2012 Cyber Threats and Trends White Paper
http://www.verisigninc.com/en_GB/forms/idefense2012cybertrends.xhtml


Websense: 2012 Threat Report
http://www.websense.com/content/websense-2012-threat-report-download.aspx

Trustwave: 2012 Global Security Report
https://www.trustwave.com/global-security-report

ESET: Global Threat Report for 2012
http://go.eset.com/us/threat-center/

Sophos: Security Threat Report 2012

http://www.sophos.com/en-us/security-news-trends/reports/security-threat-report.aspx

Forense de Memória para Linux e Mac

[ UPDATE 01/07/2012  ]

Excelente notícia: "Announcing Mac Support in Volatility": http://memoryforensics.blogspot.com.br/2012/06/announcing-mac-support-in-volatility.html


[ POST ORIGINAL: 25/06/12 ]

Duas novas ferramentas para dump/análise de memória nas plataformas Linux e Mac foram anunciadas recentemente - confira:

Linux/Android:

LInux Memory Extractor (LIME): http://digitalforensicssolutions.com/lime/

LiME (formerly DMD) is a Loadable Kernel Module (LKM), which allows the acquisition of volatile memory from Linux and Linux-based devices, such as those powered by Android. The tool supports acquiring memory either to the file system of the device or over the network. LiME is unique in that it is the first tool that allows full memory captures from Android devices. It also minimizes its interaction between user and kernel space processes during acquisition, which allows it to produce memory captures that are more forensically sound than those of other tools designed for Linux memory acquisition.

MacOS:

Mac Memoryze:  http://www.mandiant.com/resources/download/mac-memoryze-1.0trade

Mandiant Mac Memoryze is free memory forensic software that helps incident responders find evil in memory…on Macs.  Mac Memoryze can acquire and/or analyze memory images.  Analysis can be performed on offline memory images or on live systems.

image the full range of system memory; acquire individual processes memory regions; enumerate all running processes (including those hidden by rootkits); report all open file handles in a process (for example, all files, sockets, pipes, etc); list the virtual address space of a process including: loaded libraries, allocated portions of heap and execution stack, list network connections, enumerate all loaded kernel extensions, including those hidden by rootkits. enumerate the System Call Table and Mach Trap Table, enumerate all running Mach Tasks

Outra referência para MacOS - Mac Memory Reader: http://www.cybermarshal.com/index.php/cyber-marshal-utilities/mac-memory-reader

Outros posts sobre forense de memória (em Windows) já publicados por aqui:

Forense em Windows - Aquisição e Análise de Memória http://sseguranca.blogspot.com.br/2011/06/forense-em-windows-aquisicao-e-analise.html

Forense de Memória - Uma comparação de Ferramentas Disponíveis: http://sseguranca.blogspot.com.br/2008/12/forense-de-memria-uma-comparao-de.html

Oficina e Desafio de Análise Forense no Campus Party 2012  http://sseguranca.blogspot.com.br/2012/02/oficina-e-desafio-de-analise-forense-no.html

Aquisição e Análise de Memória ou "Memory Forensics": http://sseguranca.blogspot.com.br/2010/08/docencia-no-mestrado-em-informatica.html

pdymail - Forense de Memória para o Yahoo Mail http://sseguranca.blogspot.com/2009/01/pdymail-forense-de-memria-para-o-yahoo.html

pdgmail: nova ferramenta para Forense de Memória do GMAIL  http://sseguranca.blogspot.com.br/2008/10/pdgmail-nova-ferramenta-para-forense-de.html

Encase + Memscript + Memoryze - facilitando a analise forense de memória

Como sabemos, a importância de se coletar e analisar a memória física de máquinas envolvidas em crimes ou sob investigação de incidentes de segurança é cada vez maior. Os seguintes posts já foram publicados neste blog sobre o assunto:

• Forense de Memória - Uma comparação de Ferramentas Disponíveis
• FACE: Automated digital evidence discovery and correlation
• pdgmail: nova ferramenta para Forense de Memória do GMAIL
• ColdBoot Attack em Forense Computacional
• UPDATE - Forense: aquisição e análise de dumps de memória RAM

Para fechar o ano com chave de ouro, a Mandiant acaba de publicar um grande facilitador desta tarefa para usuários do Encase (Forensic, FIM ou Enterprise). Trata-se de um EnScript chamado "Memscript" - que facilita em muito a análise de memória a partir da interface do próprio Encase.

São pré-requisitos para ele: Memoryze, Audit Viewer (escrito em Python). Estas ferramentas tem licença BSD - o que facilita seu uso corporativo.

Depois de instalado na máquina do investigador, o processo é muito simplificado, pois basta escolher as máquinas a terem a memória coletada, efetuar o dump de memória pelo próprio Encase e depois utilzar o Memscript para efetuar a análise de memória, que contém os seguintes itens/subtitens:

ProcessAuditMemory (Files, Directories, Processes, Keys, Mutants, Events, Dlls, Strings, Memory Sections, Ports)

DriverAuditSignature (Root/All) (ImageBase, DriverName, DriverInit, DriverStartIO, DriverUnload, IRP_MJ_CLOSE, IRP_MJ_READ, + 20 campos IRP_MJ_*)

DriverAuditModuleList (ModulePath, ModuleName, ModuleInt, ModuleBase, ModuleSize, ModuleAddress)

RootkitAudit (HookedFunction, HookedModule, HookingModule, HookingAddress)

Existe um User Guide (PDF) muito bem escrito, descrevendo as funcionalidades do Audit Viewer.

No link incluído para o site da Mandiant, existe um passo a passo detalhado com capturas de telas, para auxiliar o investigador a configurar as ferramentas descritas.

Lista de (Listas de ferramentas de Segurança)

Acesso rápido a esta página: http://tinyurl.com/sectoollist
publicada em 21/12/11 / último update em 17/01/2012

Não deixe de conferir também a lista de ferramentas / serviços de segurança online: http://tinyurl.com/segonline 

Em '99 eu me lembro de ler o uma newsletter "CryptoGram" do Bruce Schneier nos ensinando que  "segurança não é uma ferramenta, e sim um processo".. Esta verdade é sentida no dia a dia por vários profissionais da nossa área de atuação. Agora, convenhamos que o conjunto de ferramentas certo na hora certa (na frente das pessoas certas) pode ajudar muito, isto pode.. ;)

Pois então vamos ao ponto, hoje durante a minha atualização periódica através de RSS feeds e listas de discussão um link muito interessante me chamou a atenção - uma compilação da seção que apresenta  ferramentas de Segurança da newsletter da ISSA (listada logo abaixo) - tive então a idéia de compilar algumas fontes interessantes de ferramentas open-source e comerciais:

• I - A ISSA publica mensalmente em seu Journal, na seção "Toolsmith", uma apresentação mais detalhada de uma ferramenta de segurança, e o blog HolistcInfoSec listou todas as edições desta seção, que possui reviews muito interessantes - uns mais detalhados que outros:
• • December 2011 - Registry Decoder 
  • November 2011 - OWASP ZAP - Zed Attack Proxy 
  • October 2011 - Log Analysis withHighlighter
  • September 2011 - Memory Analysis with DumpIt and Volatility
  • August 2011 - PacketFence - Open Source Network Access Control
  • July 2011- RIPS: Static source code analyzer for PHP vulnerabilities
  • June 2011 - Xplico
  • May 2011 - Security Onion
  • April 2011 - OpenVAS-4 
  • March 2011 - OSINT with FOCA 2.6 
  • February 2011 - El Jefe 1.1: The Boss Will See You Now
  • January 2011 - Armitage: Cyber Attack Management for Metasploit 
  • December 2010 - SamuraiWTF: The Life Cycle of a Web Application Vulnerability Analysis
  • November 2010- Confessor & MOLE 
  • October 2010 - The NirSoft Collection 
  • September 2010 - REMnux 
  • August 2010 - Suricata: An Introduction
  • July 2010 - NetWitness Investigator 
  • June 2010 - Web Security Tools²: skipfish and iScanner
  • May 2010 - SIFT Workstation 2.0: SANS Investigative Forensic Toolkit 
  • April 2010 - Dradis: Effective Information Sharing for Pentest Teams
  • March 2010 - NetGrok and AfterGlow: Visualizing the Zeus attack against government and military 
  • February 2010 - Firefox Addons for Security Practitioners 
  • January 2010 - Single Packet Authorization: The Ghost in the Machine 
  • December 2009 - Maltego: Transform & Correlate * 2009 Toolsmith Tool of theYear *
  • November 2009 - Fiddler with Watcher: Passive security auditor 
  • October 2009 - OSSEC 
  • September 2009 - OffVis 1.0 Beta: Office visualization tool 
  • August 2009 - AIRT: Application for Incident Response Teams 
  • July 2009 - Malzilla: Exploring scareware and drive-by malware 
  • June 2009 - MIR-ROR: Motile Incident Response - Respond Objectively, Remediate  
  • May 2009 - SUMO Linux: Security utilizing multiple options 
  • April 2009 - Tamper Data: CSRF examined 
  • March 2009 - Adito: Open-source,browser-based SSL VPN
  • February 2009 - Mandiant Memoryze with Audit Viewer * 2008 Toolsmith Tool of the Year *
  • January 2009 - Part 2 of 2: The Integrity Project - WebJob 
  • December 2008 - Part 1 of 2: The Integrity Project - FTimes 
  • November 2008 - Bipartisan server politi...er, security 
  • October 2008 - fwsnort-1.0.5: iptables intrusion detection 
  • September 2008 - PTA: Practical Threat Analysis
  • August 2008 - NetworkMiner: Network Forensic Analysis Tool
  • July 2008 - PHPIDS: Attack my website, please! 
  • June 2008 - Security Visualization: What You Don't See Can Hurt You
  • May 2008 - MojoPac: Get Your Mojo Working
  • April 2008 - The XSS Epidemic: Tools for discovery and remediation 
  • March 2008 - WinPatrol
  • February 2008 - Packet Analysis with the Hex System
  • January 2008 - Gpg4win: Email Security using GnuPG for Windows
  • December 2007 - Mandiant Red Curtain: Malware identification for incident responders
  • November 2007 - Argus: Auditing network activity 
  • October 2007 - Security Officers Management & Analysis Project (SOMAP) 
  • September 2007 - SensePost: Wikto, Scully, and CrowBar
  • August 2007 - CIS Benchmarks
  • July 2007 - Malcode Analysis Software Tools
  • June 2007 - Search Engine Security Auditing
  • May 2007 - Core Impact 6.2: Anatomy of an ethical penetration test
  • April 2007 - Nessj: Application/network security scanner client
  • March 2007: Managing Badware and Policy Violation with Aanval and Bleeding Edge Threat Snort Rules
  • February 2007 - RAPIER v. 3.1
  • January 2007 - Activeworx IDS Policy Manager 2.0: Rules management for multiple sensors
  • December 2006 - Web Application Security Testing 101: Paros Proxy and Badstore
  • November 2006 - Security Analysis with Wireshark

• II - Uma  fonte tradicional de excelentes ferramentas, listadas por popularidade (incluindo opções open-source, gratuitas e comerciais) é a  http://sectools.org/ (Seu título oficial é "Top 125 Network Security Tools") e é um repositório de boas surpresas, visite! As categorias listadas por lá são:

1. Antimalware (3)
2. Application-specific scanners (3)
3. Web browser–related (4)
4. Password crackers (12)
5. Encryption tools (8)
6. Debuggers (5)
7. Firewalls (2)
8. Forensics (4)
9. Fuzzers (4)
10. General-purpose tools (8)
11. Intrusion detection systems (6)
12. Packet crafting tools (6)
13. Port scanners (4)
14. Rootkit detectors (5)
15. Security-oriented operating systems (5)
16. Packet sniffers (14)
17. Vulnerability exploitation tools (11)
18. Traffic monitoring tools (10)
19. Vulnerability scanners (11)
20. Web proxies (4)
21. Web vulnerability scanners (20)
22. Wireless tools (5)

• III - Durante este ano foi lançado um projeto interessante mais ou menos nesta linha, o http://SecurityScoreBoard.com, que lista ferramentas de segurança (com avaliação de usuários e controle de "reputação"). Existem ferramentas categorizadas da seguinte forma:

1. Anti-Virus and Anti-Malware
2. Application Whitelisting
3. Database Security
4. DLP
5. Email Security and Anti-Spam
6. Embedded Devices
7. Encryption of Data at Rest
8. Endpoint Security and Control
9. Firewall Management
10. Forensics
11. Fraud Prevention and Management
12. Governance, Risk, and Compliance
13. Identity Management
14. Managed Security Services
15. Multi Factor Authentication
16. NAC
17. Network Security
18. Patch Management
19. Penetration Testing
20. PKI and Digital Signatures
21. Privileged Access Management
22. Secure Backup and Storage
23. Secure File Transfer
24. Security Consulting - Assessments
25. Security gateway
26. Security Management
27. Security Training
28. SIEM and Log Management
29. Virtualization Security
30. Vulnerability Management
31. Web Application and Software Security
32. Wireless and Mobile Security

• IV - Contribução do AL. (nos comentários): http://www.coresec.org/software - blog que lista diversas ferramentas voltadas para pentest, malware analysis, web application security, etc..

• V -  Outra lista de ferramentas bem completa, que eu já conhecia mas achava que havia sido desativada, é a Security Wizardry - http://www.securitywizardry.com/index.php/products/ São centenas de ferramentas listadas nas seguintes categorias:

1. Anti Spam
2. Anti Spyware
3. Anti Virus
4. Content Protection
5. Data Loss Prevention
6. Firewalls
7. Forensic Solutions
8. Identity and Access Mgmt
9. IDS and IPS
10. Scanning Products
11. Security Conferences
12. Security Management
13. Security Training
14. TSCM Bug Sweeping
15. Virtualisation Security
16. VPN

Você tem mais alguma lista de ferramentas interessante para sugerir para esta "Lista de Listas"? Contribua fazendo seu comentário abaixo! 

Forense de Memória - Uma comparação de Ferramentas Disponíveis

[ 30/05/2010 - Update]

No post original de 2008 (abaixo) há uma lista de ferramentas de dump e análise de memória. Como não atualizo a lista há muito tempo, aproveito para divulgar um post do Tony sobre uma nova versão do Win32dd (e Win64dd), o MoonSols Windows Memory Toolkit. A grande desvantagem é que a versão free (Community Edition suporta apenas dumps de memória em Windows 32bits).

O FTKImager da AccessData - apesar de não listado originalmente - efetua com sucesso dumps de memória em diferentes versões de Windows 32 e 64 bits.

Como última nota, uma boa lista de ferramentas de dump de memória pode ser encontrada no ForensicsWiki.


[ 14/12/2009 - Update ]

Mais uma comprovação de que live response através de obtenção de dados a partir do sistema vivo a ser analisado não é o melhor a ser feito.

Já está disponível para download uma ferramenta para detecção e subversão dos dados enviados para o toolkit de live response forense "COFEE" da Microsoft: http://decafme.org/

Eu não chamaria de "Anti-Forense" porque a execução de comandos em um sistema vivo não pode ser considerada Fonrense.. Mas é uma ferramenta - anti-análise ..

A ferramenta DECAF por enquanto faz pouco, mas já mostra o que é possível em um cenário como este:

• Contaminate MAC Addresses: Spoof MAC addresses of network adapters
  


• Kill Processes: Quick shutdown of running processes
  


• Shutdown Computer: On the fly machine power down
  


• Disable network adapters
  


• Disable USB ports
  


• Disable Floppy drive
  


• Disable CD-ROM
  


• Disable Serial/Printer Ports
  


• Erase Data: Quick file/folder removal (Basic Windows delete)
  


• Clear Event Viewer: Remove logs from the Event Viewer
  


• Remove Torrent Clients: Removes Azureus and BitTorrent clients
  


• Clear Cache: Remove cookies, cache, and history

O ideal é a utilização de um DUMP de memória e posterior análise - ao menos para validar as capturas feitas via uma ferramenta deste tipo (continue lendo o artigo para mais informações..)

[ 10/11/2009 - Update ]

Tem havido bastante discussao acerca do vazamento da ferramenta "COFEE", que a Microsoft disponibiliza apenas para "Forças da Lei" (Law Enforcement).

Detalhes da ferramenta COFEE com screenshots: http://praetorianprefect.com/archives/2009/11/more-cofee-please-on-second-thought/

A verdade eh que o "COFEE" nao passa de um batch parametrizavel para First Responders com uma colecao de comandos do proprio windows e mais algus da sysinternals (que a MS comprou ha mais ou menos um ano. Alem disto, so funciona para XP e Windows 2000.

Segue a lista de comandos executados por default:

arp.exe ‐a
at.exe
autorunsc.exe
getmac.exe
handle.exe ‐a
hostname.exe
ipconfig.exe /all
msinfo32.exe /report %OUTFILE%
nbtstat.exe ‐n
nbtstat.exe ‐A 127.0.0.1
nbtstat.exe ‐S
nbtstat.exe ‐c
net.exe share
net.exe use
net.exe file
net.exe user
net.exe accounts
net.exe view
net.exe start
net.exe Session
net.exe localgroup administrators /domain
net.exe localgroup
net.exe localgroup administrators
net.exe group
netdom.exe query DC
netstat.exe ‐ao
netstat.exe ‐no
openfiles.exe /query/v
psfile.exe
pslist.exe
pslist.exe ‐t
psloggedon.exe
psservice.exe
pstat.exe
psuptime.exe
quser.exe
route.exe print
sc.exe query
sc.exe queryex
sclist.exe
showgrps.exe
srvcheck \127.0.0.1
tasklist.exe /svc
whoami.exe

Como voces sabem (para mais detalhamentos, basta ler todo o post original), este tipo abordagem de executar multiplos comandos com o sistema ligado caiu em desuso e as melhores praticas* apontam para o dump de memória live e posterior análise.

*Referencia:

http://www.cert.org/archive/pdf/08tn017.pdf (este paper do CERT, entitulado "Computer Forensics: Results of Live Response Inquiry vs. Memory Image Analysis" conclui que a Captura/Análise Posterior de Memória tem múltiplos benefícios sobre a resposta à incidentes tradicional executando multiplos binarios em sistemas "vivos")

[ 11/10/2009 - Update ]

Foram divulgadas as novas versões do excelente windd [ win32dd e win64dd ]

[ 28/03/2009 - Update ]

Um ótimo paper sobre Forense de Memória foi publicado recentemente por Kristine Amari no portal do SANS: Techniques and Tools for Recovering and Analyzing Data from Volatile Memory (pdf)

O material busca definir e mostrar o estado atual da Forense de Memória. Dentre os tópicos apresentados, estão:

• o funcionamento básico da memória volátil;
  


• as técnicas de aquisição;
  


• a localização de dados de interesse e sua persistência;
  


• a enumeração de processos;
  


• a recuperação de arquivos mapeados em memória;
  


• as buscas simples e por assinatura de arquivos;
  


• a detecção e recuperação de dados ocultos.

Adicionalmente, são apresentadas as seguintes ferramentas:

• GPL e gratuitas: Memdump, KnTTools, FATKit, Volatility, VAD Tools, WMFT/Procenum/Idetect

• Comerciais: Encase Enterprise, F-Response, HBGary Responder/FastDump.

[ 13/12/2008 - Post Original ]

O assunto Live/Memory Forensics ou "forense de memória" está cada dia mais em pauta (inclusive em vários posts recentes deste blog).

Os motivos são vários:

1) com o o crescimento do tamanho dos discos rígidos e dos casos a serem investigados - tanto no mundo corporativo quando no mundo da criminalística - é inviável a manutenção do procedimento tradicional de se desligar da tomada o sistema a ser analisado e somente depois executar as análises nos discos relacionados.

2) a possível perda de informações sensíveis à investigação - o que pode ser ainda pior quando se trata de uma máquina com volumes (ou o disco inteiro) criptografados por ferramentas como o PGP Full Disk Encryption ou o TrueCrypt.

3) existem também os casos em que a análise de memória é a única alternativa para obtenção de informações úteis sobre o caso. Por exemplo, quando são usadas as interfaces AJAX de Webmails modernos (Google, Yahoo) - as informações sobre os emails lidos/escritos ficam somente em memória, não havendo artefatos úteis no disco, mesmo nas áreas não alocadas.

A última boa comparação sobre ferramentas deste tipo havia sido publicada em junho por Halan Carvey, autor do livro "Windows Forensics Analysis".

Pois bem, ontem mais um ótimo post sobre o assunto - entitulado "Windows Physical Memory: Finding the Right Tool for the Job" - foi publicado no site sobre computer forensics do Sans Institute.

O melhor é que neste último post do Sans, o autor (Johnh Sawyer) citou uma grande variedade de soluções - tanto free / open source, quanto comerciais - que facilitam o trabalho de capturar e analisar os dumps de memória de máquinas - segue a listagem contendo uma tradução livre e alguns comentários meus:

1 - Ferramentas de Aquisição de Memória:

1a - Mandiant Memoryze : boa ferramenta, capaz de fazer o dump de todo o range físico de memória, independente de APIs do Windows, identificação de drivers, hooks e módulos de kernel presentes na memória.

1b - Mantech Memory DD : como o Sawyer colocou, simples e eficiente.

1c - Win32dd - tem a vantagem de exportar também em formato do WinDbg - para posterior análise.

1d - Guidance Winen.exe/winen64.exe - conforme post de junho, a partir da versão 6.11 o Encase Forensic vem com dumpers de memória (32 e 64 bits). A boa notícia para quem não tem a licença/dongle é que o último Live CD Helix inclui o winen.exe

1e - Encase Forensic - possibilita o dump da memória inteira ou de processos específicos (veja)

1f - F-Response - Não faz o dump por si só mas estabelece um canal de comunicação iSCSI com a máquina para uso das outras ferramentas descritas no post.

1g - KNTTools da GMG Systems - este aqui eu não conhecia, Sawyer comenta que não vem sendo atualizado, então provavelmetne não o conheceremos em detalhes..

1h - FastDump da HBGary - excelente ferramentas gratuita que auxiliam o examinador a entender o funcionamento de executáveis (mais voltadas para estudo de malwares).

2 - Ferramentas de Análise de Dumps de Memória:

2a - Volatility - Excelente Framework - escrito em python e gratuito - que - juntamente com seus plugins - facilita em muito a extração de informações críticas aos examinadores forenses (como a passphrase de um sistema com Full Disk Encryption utilizando TrueCrypt..).

2b - Memoryze - da Mandiant, possui o output em XML (o que pode ser ruim se você busca clareza e bom se você precisa integrar com qq coisa que leia XML).

2c - HbGary Responder - considerada por analistas do mercado por muito tempo como a melhor ferramenta no ramo. Pode ser integrada facilmente a versao Enterprise do Encase.

2d - Enscripts para Encase Forensic/Enterprise - (ver figura) - no site de suporte da Guidance existem alguns Enscripts disponíveis para tarefas relacionadas à análise de memória.

PS: Existem várias outras ferramentas interessantes como referência de "memory analysis", como: FATKit, Flypaper da HBGary, Windows Memory Forensics Toolkit (FrameWork), memparser, PmoDump/Truman (FrameWork), WinDbg - a primeira ferramenta a analisar crash dump de memória física no windows (thanks, msuiche), Hibrshell (para análise de arquivos de hibernação windows de Xp a 2008), e KnTools (comercial - ver comentários do post).

PS2: A imagem no início deste post (tradução livre) faz parte do excelente paper "Computer Forensics: Results of Live Response Inquiry vs. Memory Image Analysis" - do Sans Institute (Ago/2008). Os autores deste paper concluem que a Captura/Análise Posterior de Memória tem múltiplos benefícios sobre a resposta à incidentes tradicional em sistemas "vivos" - leitura recomendada.

PS3: Uma outra boa fonte de referência sobre o assunto - que inclui também um estudo com análise de código rodando em máquinas linux e windows - é o livro "Malware Forensics" - de James M. Aquilina, Eoghan Casey e Cameron H. Malin.

300.000 page-views!

Tivemos o prazer de comemorar no passado 10, 20, 30, 40, 50, 60, 70,80 e 90, 100 e 150 mil page-views. 

Estamos prestes a  chegar ao impressionante número de 300.000 page-views, com uma média de 2.000 visitantes por semana neste ano..

O blog mantém uma média de um novo post por semana, no máximo, desde sua inauguração. E um dos aspectos que mais me impressionam positivamente é o nível de interação da audiência (vocês). São quase 700 comentários nos 242 posts já publicados, o que dá uma média de quase 3 comentários por post. Obrigado!


Como sempre fazemos nestas ocasiões, segue uma lista de todos os posts que já foram publicados por aqui, ordenamos por data de última modificação:

• ▼  2013 (8)
  • ▼  Fevereiro (6)
    • Como escrever relatorios/laudos de Forense Computa...
    • StuxNet: CyberWarfare existe!
    • Ten Computer Security Linux Distributions, includi...
    • Trojans em investigações online: CIPAV (FBI) e Bun...
    • Livro: Security Engineering, 2nd edition. Agora on...
    • Páginas falsas de empresas e bancos são armadilha ...
  • ▼  Janeiro (2)
    • Frameworks para compartilhamento de informacoes so...
    • MEGAPOST: 13 novidades para começar 2013: Vulnerab...

• ▼  2012 (37)
  • ▼  Dezembro (4)
    • Política Cibernética de Defesa
    • Framework de Cibersegurança Nacional publicado pel...
    • (in)Segurança das Urnas Eletrônicas
    • Lei dos Crimes Cibernéticos é sancionada pela pres...
  • ▼  Novembro (3)
    • Material de Treinamento para equipes de Resposta a...
    • Livros de Seguranca Resposta a Incidentes e Forens...
    • Falha grave e grosseira no Skype perrmite o seques...
  • ▼  Outubro (2)
    • Estratégias para mitigar intrusões direcionadas
    • III Seminario de Defesa Cibernetica, CyberWarfare ...
  • ▼  Setembro (4)
    • APURA no ICCYBER 2012
    • Sites-Ferramentas de Segurança
    • Segurança de Navegadores / Browsers
    • 165 blogs de Seguranca da Informação em português
  • ▼  Agosto (3)
    • Exploit Kits e o seu Java
    • CiberGuerra e CiberEspionagem: O uso de ferramenta...
    • Computer Security Incident Handling Guide - NIST S...
  • ▼  Julho (3)
    • Ciberguerra: internet é palco de novas ameaças e b...
    • 2nd Interpol Cybercrime Summer School Training e C...
    • Trojan Zlob/DNSChanger altera configurações de rou...
  • ▼  Junho (1)
    • Forense de Memória para Linux e Mac
  • ▼  Maio (2)
    • DC3 CSI Cyber Survey - teste seus conhecimentos
    • Hackerazzi: Carolina Dieckmann
  • ▼  Abril (4)
    • Google Street View coleta SSID, MAC e Payload de r...
    • Hotmail e Skype - falhas de segurança e privacidad...
    • CyberSecurity Reports: Mandiant, Verizon Business,...
    • ADUC 2012 Vegas
  • ▼  Março (2)
    • FTK 4 - Evolução, Funcionalidades e evento de lanç...
    • Online Security Tools (Malware, Sandboxes, Hash Ch...
  • ▼  Fevereiro (5)
    • Pesquisa: Ataque remoto à marcapassos
    • Nasce a APURA - Inteligência em Cibersegurança e I...
    • FBI: Programador Russo Roubou Código Secreto da Go...
    • Oficina e Desafio de Análise Forense no Campus Par...
    • SHODAN - Computer Search Engine
  • ▼  Janeiro (4)
    • Video - Desafios em Computação Forense e Resposta ...
    • Lista de (Listas de ferramentas de Segurança)
    • Enigma 001 - ganhe um excelente livro de segurança...
    • MEGAPOST: 12 novidades para começar 2012 CCC, Stra...

• ▼  2011 (54)
  • ▼  Dezembro (6)
    • 150.000 page-views
    • Interceptacao GSM nao autorizada (voz e dados)
    • Curso de Análise Forense na Escola Superior de Red...
    • DNS Vuln + "Evilgrade" = Pandemônio em updates de...
    • Segurança e Defesa Cibernética: Recursos Humanos
    • Palantir - Inteligência em Análise Colaborativa
  • ▼  Novembro (5)
    • Comodo, Diginotar, About.US, StartSSL, GlobalSign....
    • DNSSEC - Antes tarde do que nunca
    • XI SBSeg e II Seminário de Defesa Cibernética do M...
    • ColdBoot Attack em Forense Computacional
    • Peritos ganham aliado na identificação da pornogra...
  • ▼  Outubro (3)
    • Sorteio de Ingressos para o XI SBSeg Simpósio Bras...
    • 10 Periódicos de Computação Forense
    • Site governamental chinês hospedando phishing dire...
  • ▼  Setembro (4)
    • Superinteressante: Como funciona a Perícia Digital...
    • Jornadas de Trabalho de Defesa Cibernética
    • Forense em Windows: Análise de Registro
    • Timelines de cobertura de ataques cinerbéticos ("H...
  • ▼  Agosto (1)
    • Irã e SSL, Apache DoS, Morto Worm, RSA Hack, Explo...
  • ▼  Julho (3)
    • Forense em Windows - Aquisição e Análise de Memóri...
    • Mais 10 Cutas e Boas
    • Defacement de Site da Microsoft Brasil
  • ▼  Junho (3)
    • Sony PSN hacked - updated
    • NSA paga Bilhões por "grampo" no Skype
    • Análise de hipóteses: (D)DOS no site da Presidênci...
  • ▼  Maio (5)
    • Empreiteiras militares americanas atacadas / vulne...
    • 100.000 page-views + sorteio de 2 livros para os l...
    • Comodo Hack e MySQL.com SQL injection
    • Brasília: SANS Mentor FOR508 - Advanced Computer F...
    • Eventos de Forense Computacional: ADUC, CEIC, SANS...
  • ▼  Abril (7)
    • RoadShow de Ferramentas de Forense Digital - SP, R...
    • IPhone e IPad guardam detalhes de localização #Pri...
    • Fuzzy Logic e Fuzzy Hashing
    • Browser Forensics - bom material de referência pub...
    • Digital Forensics Search
    • Forense Digital e o massacre de Realengo
    • Aprendendo com o ovo do Cuco (The Cucko´s Egg)
  • ▼  Março (5)
    • Revista Info (fev/2011): Quando Bits viram Mísseis...
    • 90.000 page-views!
    • 10 Curtas de Carnaval
    • Firmware de Discos de Estado Sólido destrói evidên...
    • Peritos desvendam crimes usando informações deixad...
  • ▼  Fevereiro (3)
    • A atenção seletiva e a Resposta a Incidentes Corpo...
    • 15 Curtas e Boas
    • Validação de Ferramentas Forenses - caso prático
  • ▼  Janeiro (9)
    • Revista Hakin9 - com artigo do Alexandre Teixeira
    • Desafio Forense do Campus Party Brasil 2011
    • For Sale by pOwner - venda de sites .gov e .mil e ...
    • Risco, Vulnerabilidade, Ameaça e Impacto
    • Sequestro de dados e extorsão - da Rússia para o B...
    • Discos de Estado Sólido (SSD) e Forense Computacio...
    • 10 Curtas: Zeus SpyEye C2C Android IPhone StuxNet ...
    • O que o fenômeno Wikileaks veio nos ensinar
    • 80 mil pageviews + listagem de artigos

• ▼  2010 (48)
  • ▼  Dezembro (4)
    • Preparação de equipes na área de Cybersecurity
    • As ações anti-anti-WikiLeaks e a legislação penal ...
    • Flowcharts de processos de forense computacional
    • Anti-Anti-Wikileaks e seus efeitos
  • ▼  Novembro (4)
    • China vs Google: Operação Aurora
    • A atenção seletiva e a Resposta a Incidentes Corpo...
    • 70 mil page-views e lista de todos os posts
    • Melhores ferramentas de Computação Forense - Prêmi...
  • ▼  Outubro (1)
    • Serie na TV Record "Crime na Rede"
  • ▼  Setembro (3)
    • Forense em Windows: Análise de Registro - Ferramen...
    • ICCyber 2010 - Avanços Tecnológicos em Perícia Com...
    • Participação em Eventos: ICCyber 2010, Fecomércio ...
  • ▼  Agosto (4)
    • Docência no Mestrado em Informática Forense do Dep...
    • DIRETRIZES PARA GERENCIAMENTO DE INCIDENTES EM RED...
    • ForensicArtifacts e outros banco de dados sobre fo...
    • 60.000 page-views
  • ▼  Julho (4)
    • Visualização e extração de conteúdo em Investigaçõ...
    • Stealth - invasão de milhares de sites wordpress p...
    • Remnux - Distribuição para Análise de Malware
    • IDS/IPS Suricata 1.1rc1 lançado
  • ▼  Junho (2)
    • Brasileiro desenvolve novo algoritmo de pattern-ma...
    • 2010 Report on Cyber Crime Investigation
  • ▼  Maio (4)
    • Forense de Memória - Uma comparação de Ferramentas...
    • Root DNS, CA e AS - uma questão de (des)confiança
    • 50 MIL PageViews
    • SecurityScoreboard - conheça e avalie produtos de ...
  • ▼  Abril (4)
    • Evento - NextGen NetWitness (Monitoração de Rede d...
    • Brasil lidera ranking de solicitações judiciais ao...
    • 1º Workshop de Perícia Digital - Universidade Cató...
    • Espionagem internacional China vs Tibet (GhostNet)...
  • ▼  Março (9)
    • Verizon lança Framework para Métricas de Incidente...
    • Forense de Memória: Port do Volatility para Enscri...
    • Techbiz Forense Digital abre 12 vagas técnicas em ...
    • Skypeex - análise de dump de memória - chats do Sk...
    • Cheat Cheets de Segurança - Atalhos para CSIRTs
    • Validação de Hardwares e Softwares para Computação...
    • Criptografia: Ataques RSA 768 e 1024 bits & FRED-S...
    • Tendência: sites invadidos por hackers (Vivo/Oi/IG...
    • Simulação de CyberWar Norte Americana e Hitler vs ...
  • ▼  Fevereiro (4)
    • 40.000 visualizações do blog - Parabéns a todos!
    • Evil Maid Attack - Ataque ao TrueCrypt Full Disk E...
    • Medley - BH, ShmooCon, e mais novidades...
    • Fornecimento de informações no combate ao cibercri...
  • ▼  Janeiro (5)
    • A saga de se manter seguro usando Windows
    • Pirâmides e outros perigos no Twitter
    • RAM Scraping, GPS router XSS, printer storage
    • RegRipper & NIST Forensic Challenge
    • 01/01/2010 - OISF Suricata, Into The Boxes, Visa O...

• ▼  2009 (49)
  • ▼  Dezembro (4)
    • Retrospectiva 2009 e Previsoes 2010
    • Anti-Forense: DECAF v2
    • Governo Obama lista cybersecurity como prioridade
    • 30.000 pageviews uma marca a se comemorar
  • ▼  Novembro (5)
    • Segurança do novo Sistema Operacional do Google: "...
    • Vulnerabilidade SSLv3 e TLS
    • Apagao e Hackers, Aconteceu ou é Possivel?
    • Novas vulnerabilidades Windows - A volta do WinNuk...
    • Expressoes Regulares em Resposta a Incidentes
  • ▼  Outubro (3)
    • Tipos de Monitoramento de Segurança de Rede
    • Cibercrime tem nova lei (em Portugal)
    • 7 (ou mais) Conceitos em Seguranca alem da Confide...
  • ▼  Setembro (3)
    • ICCyber 2009
    • Dados Volateis - Evolução na aquisicao de Evidenc...
    • Medley: Polypack, IEF, Norma CSIRTs, IIS exploit, ...
  • ▼  Agosto (4)
    • Falsa Segurança - Uma verdade inconveniente
    • 20.000 page-views! Um ano de blog e 100 posts
    • Medley: Forense USB e Shadow, Backtrack 4, Twitter...
    • Black Hat e Defcon 2009 - principais temas
  • ▼  Julho (5)
    • Tabela de referência rápida de hardware
    • nmap 5.0
    • Guidance Encast - Videos sobre Forense Computacion...
    • Internet Explorer 8,7,6,... 0 Day Again...
    • Falso Positivo em AntiVírus da Mcafee faz estrago
  • ▼  Junho (2)
    • T-Mobile: Invasão e leilão de dados internos
    • Conferencia TechnoSecurity 2009
  • ▼  Maio (3)
    • CEIC 2009 - Parte dois
    • CEIC 2009 - Parte um
    • CEIC e TechnoSecurity
  • ▼  Abril (4)
    • Vazamento de Informações e DLP - como abordar est...
    • Mini-Guia de Uso Seguro de Desktops: 10 dicas esse...
    • Telefônica sofre ataques de negação de serviço (DD...
    • Forense: automatizando a exportação de arquivos ba...
  • ▼  Março (9)
    • Conficker / DownadUp / Kido: De um erro de program...
    • BluePill - Ataques à BIOS e Bots em Modems Linux
    • 10.000 page-views - Audiência do Blog e Pesquisas ...
    • CNASI RJ 2009
    • Mil e uma maneiras de invadir uma máquina com um P...
    • (IN)SECURE MAGAZINE 20a EDICAO
    • (In)Segurança em Desenvolvimento de Software e o m...
    • BBC aluga botnet para Spam e DDOS
    • CyberWar Russia vs Estônia : a confirmação
  • ▼  Fevereiro (2)
    • Dicas para Gerenciar Segurança durante a Recessão
    • Fases de um Ataque: Stealth
  • ▼  Janeiro (5)
    • Windows7 UserAssist - Microsoft troca de ROT13 par...
    • Projeto de Lei - Crimes Eletrônicos (PL 84/99)
    • TOP 25 CWE/SANS - Problemas de Segurança em Progra...
    • pdymail - Forense de Memória para o Yahoo Mail
    • Forjando certificados SSL que utilizam o MD5

• ▼  2008 (46)
  • ▼  Dezembro (4)
    • Encase + Memscript + Memoryze - facilitando a anal...
    • ATENÇÃO: Patch para Vulnerabilidade Crítica do Int...
    • DNSChanger - v4
    • FACE: Automated digital evidence discovery and cor...
  • ▼  Novembro (4)
    • MS08-067 - O Trojan está aí, e o uso em Bots e o W...
    • UPDATE - Forense: aquisição e análise de dumps de ...
    • Preparação / Procedimentos em alto nível para susp...
    • Espionagem Industrial - Engenheiro da Intel que fo...
  • ▼  Outubro (7)
    • Cymru disponibiliza serviço gratuito para verifica...
    • pdgmail: nova ferramenta para Forense de Memória d...
    • FBI prende 60 pessoas depois de 2 anos de operação...
    • Sans Forensic Summit & afterthoughs
    • T-Mobile/Deutsche Telekom e Shell Oil anunciam vaz...
    • Edição de Outubro da INSECURE MAGAZINE
    • Skype Chinês - Você está sendo vigiado... e suas ...
  • ▼  Setembro (4)
    • Sans publica consenso sobre novas tendências de Re...
    • Helix3 2.0 lançado
    • Apresentação sobre logs para resposta a incidentes...
    • Iphone Forensics Book & Video
  • ▼  Agosto (11)
    • Venda de senhas do sistema INFOSEG
    • Esteganografia na Folha de São Paulo para denuncia...
    • Portal Brasileiro de Programação Segura Java
    • Brasileiro preso na Holanda por aluguel de botnet ...
    • OpenVas - fork GPL Free do Nessus
    • China e EUA: Quer privacidade? Desligue e Tire a b...
    • Presos os hackers responsáveis pelos maiores roubo...
    • Falha no protocolo DNS descoberta / patches
    • NIST: Performance Measurement Guide for Informatio...
    • Ladrão que rouba de ladrão - versão online.
    • China força hotéis a instalar software de monitora...
  • ▼  Julho (5)
    • Adeona - solução OpenSource para Recuperação de No...
    • HoneyBlog divulga registros sobre redes 'FastFlux'...
    • TrueCrypt 6.0 - melhor e mais rápido.
    • Sseguranca.blogspot.com: Resumo de Posts de Junho...
    • Botnets + 'Fast-Flux': alta disponibilidade para ...
  • ▼  Junho (11)
    • Engenharia Social: Google SafeBrowsing como isca
    • Saiu a nova edição da INSECURE MAGAZINE
    • Firefox 3: Novas Funcionalidades de Segurança
    • Download do BackTrack 3 disponível
    • DAM - Database Activity Monitoring
    • Assinaturas/Regras não bastam - caso prático
    • DLP e WAF, porque é tão difícil / Segurança em pro...
    • Falhas de Cross Site Scripting em sites do Governo...
    • Wargaming na Intel
    • Criptografia forte - dos dois lados da guerra
    • Incidentes de Segurança - O que os causa e como ev...