Evento - NextGen NetWitness (Monitoração de Rede de Última Geração) RJ, BH, BSB e SP

É com muito prazer que anuncio que na próxima semana estarei participando do Road Show NetWitness que a Techbiz Forense Digital organizou em 4 cidades. Nestas oportunidades estaremos apresentando a tecnologia de Forense de Rede NextGen da NetWitness para clientes selecionados das seguintes cidades:

• Rio de Janeiro (27/04, 3a-feira, das 9h às 12h) - convite
• Belo Horizonte: (28/04, 4a-feira, das 9h às 12h) - convite
• Brasília (29/04, 5a-feira, das 9h às 12h) - convite
• São Paulo (30/04, 6a-feira, das 9h às 12h) - convite

Neste evento teremos a ilustre presença de Eddie Schwartz, Chief Security Officer da NetWitness - que estará conosco mostrando e demonstrando as principais funcionalidades da ferramenta e como empresas no mundo inteiro usam esta tecnologia revolucionária de segurança de rede para aumentar a visibilidade de ameaças reais, melhorando o tempo de resposta a incidentes utilizando sua fantástica capacidade de geração de alertas em nível de aplicação - em near-real-time.

Seguem alguns reviews e notícias como aperitivo sobre a tecnologia que será apresentada:

• ComputerWeekly | Buyer's Guide: New Approaches To Combating Network Secuity Threats
• Computerworld | After Google-China dust-up, cyberwar emerges as a threat
• TMCNet | NetWitness Receives U.S. Patent for Network Analysis
• Mais notícias | http://www.netwitness.com/resources/inthenews.aspx

Visualização e extração de conteúdo em Investigações de Rede

A cada dia cresce a importância e o interesse na capacidade de investigação de uma quantidade cada vez maior de tráfego em rede, seja por empresas, agências governamentais ou forças da lei.

Os objetivos são vários, desde à monitoração de políticas de segurança e compliance até a análise de ataquse avançados para alimentar com inteligência os sistemas de defesa e detecção utilizados.

Sobre este assunto, já publicamos alguns posts sobre as funcionalidades das versões gratuita e comercial de Forense de Rede da empresa NetWitness.

Hoje duas novidades interessantes na nova versão 9.5 que foram divulgadas pela NetWitness em seu blog oficial:

1 - capacidade de extração automatizada de conteúdo, baseada em categorias como "Audio", "Video", "Documentos", "Web", "Imagens", "Executaveis", etc - conforme figura acima. (a la NetWorkMiner, mas com melhor capacidade de identificação de conteúdo e de forma distribuída em uma rede corporativa).

2 - NetWitness Visualize - que acrescenta ao Informer funcionalidades "a la Minority Report" de visualização de conteúdo de forma dinâmica - conforme figura abaixo - com capacidade de filtragem e interação online - uma demonstração desta capacidade de visualização pode ser vista neste vídeo do youtube e experimentada online no endereço http://visualize.netwitness.com

Posts relacionados:

• Evento NetWitness NextGen
• China vs Google: Operação Aurora
• Tipos de Monitoramento de Segurança de Rede
• FBI: Programador Russo roubou código secreto da Goldmann Sachs

Melhores ferramentas de Computação Forense - Prêmio "2011 SC Awards"

Recentemente a revista "SC Magazine" publicou uma lista de 5 finalistas de uma premiação que está promovendo em várias categorias ligadas à Segurança da Informação.

Na categoria "Melhores Ferramentas de Computação Forense" (Best Computer Forensics Tool), seguem os resultados:

• AccessData Group for Forensic Toolkit (FTK)
• ArcSight for ArcSight Logger
• Guidance Software for EnCase Forensic
• NetWitness for NetWitness NextGen 9.5
• Quest Software for Quest ChangeAuditor

Com exceção do último da lista "Quest ChangeAuditor" - nós da Techbiz Forense Digital somos representantes no Brasil de todos os finalistas. Seguindo os links acima, você verá os artigos já escritos neste blog sobre as empresas e ferramentas que trabalhamos.

Segue abaixo para referência a listagem dos 5 finalistas de todas as categorias:

Reader Trust Categories

Best Anti-Malware Gateway

Cisco for Cisco Web Security

M86 Security for M86 Secure Web Gateway

McAfee for McAfee Web Gateway Anti-malware

Sophos for Sophos Web Security Appliance

Websense for Websense Web Security Gateway

Best Anti-Malware Management (client-based, typically software only)

ESET for ESET NOD32 Anti-virus 4

Kaspersky Lab Americas for Kaspersky Open Space Security

McAfee for McAfee Endpoint Protection Suite

Microsoft for Forefront Client Security

Sophos for Sophos Endpoint Security and Data Protection

Best Computer Forensics Tool

AccessData Group for Forensic Toolkit (FTK)

ArcSight for ArcSight Logger

Guidance Software for EnCase Forensic

NetWitness for NetWitness NextGen 9.5

Quest Software for Quest ChangeAuditor

Best Data Leakage Prevention

Cisco Systems for Cisco IronPort Email DLP

McAfee for McAfee Data Loss Prevention (DLP)

RSA Security for RSA Data Loss Prevention (DLP) Suite

Symantec for Symantec Data Loss Prevention

Trend Micro for Trend Micro Data Loss Prevention

Best Email Content Management

Cloudmark for Cloudmark DesktopOne

McAfee for McAfee Web SaaS

Proofpoint for Proofpoint

Sophos for Sophos Email Security Appliance

Symantec for Symantec Brightmail Gateway

Best Email Security

Cisco Systems for Cisco IronPort Email Security

DataMotion for SecureMail

SonicWALL for SonicWALL E-Class ESA ES8300

Sophos for Sophos Email Security Appliance

Symantec for PGP Universal Gateway Email from Symantec

Webroot for Webroot Email Security Service

Best Endpoint/UTM Security

Check Point Software Technologies for Check Point UTM-1

McAfee for McAfee Total Protection for Endpoint, Enterprise Edition

SonicWALL for SonicWALL E-Class Network Security Appliance (NSA) E8500

Sophos for Sophos Endpoint Security and Data Protection

Symantec for Symantec Endpoint Protection 11.0

Best Enterprise Firewall

Cisco Systems for Cisco ASA 5585-X

Fortinet for FortiGate-3950B

McAfee for McAfee Firewall Enterprise

Palo Alto Networks for Palo Alto Networks PA-4000 Series next-generation firewalls

SonicWALL for SonicWALL E-Class Network Security Appliance (NSA) E8500

Best Identity Management Application

CA Technologies for CA Identity Manager

IBM for IBM Tivoli Identity and Access Assurance

Microsoft for Forefront Identity Manager 2010

NetIQ for NetIQ Identity & Access Management Solution

Novell for Novell Identity & Access Management

Best Integrated Security-UTM Product

Astaro Internet Security for Astaro Security Gateway

Fortinet for FortiGate-1240B

NETGEAR for NETGEAR ProSecure UTM25

SonicWALL for SonicWALL NSA 2400MX

Sophos for Sophos Endpoint Security and Data Protection

Best Intrusion Detection/Prevention Product

Check Point Software Technologies for Check Point IPS Software Blade

Cisco for Cisco Intrusion Prevention System

HP TippingPoint for HP TippingPoint IPS

McAfee for McAfee Network Security Platform

Sourcefire for Sourcefire IPS (based on Snort)

Best IPsec/SSL VPN

Cisco Systems for Cisco ASA Secure Remote Access solution

Citrix Systems for Citrix Access Gateway

F5 Networks for BIG-IP Edge Gateway

Juniper Networks for SA Series SSL VPN Appliances

SonicWALL for SonicWALL Secure Remote Access (SRA) EX7000

Best Managed Security Service

Entrust for Entrust Managed PKI

McAfee for McAfee SaaS Total Protection

RSA, the security division of EMC, for RSA Adaptive Authentication

SecureWorks for SecureWorks Managed Security Services

Symantec for Symantec Managed Security Services

Best Mobile/Portable Device Security

Good Technology for Good for Enterprise

IronKey for IronKey Enterprsie

McAfee for McAfee Enterprise Mobility Management (McAfee EMM)

Sophos for Sophos SafeGuard Enterprise

Symantec for Symantec Endpoint Protection Mobile Edition

Best Multifactor Product

Entrust for Entrust IdentityGuard

IBM for IBM Tivoli Access Manager for Enterprise Single Sign-On

Imprivata for Imprivata OneSign

PhoneFactor for PhoneFactor

RSA, the security division of EMC, for RSA SecurID Authentication

VeriSign for VeriSign Identity Protection (VIP) Authentication Service

Best Policy Management Application

Cisco Systems for Cisco Network Admission Control Appliance

McAfee for McAfee Policy Auditor

NetIQ for NetIQ Secure Configuration Manager

Symantec for Symantec Control Compliance Suite

Tripwire for Tripwire Enterprise 8.0

Best Security Information/Event Management (SIEM) Appliance

ArcSight for ArcSight ESM

Q1 Labs for QRadar SIEM

RSA, the security division of EMC, for RSA enVision Platform

Symantec for Symantec Security Information Manager

Tripwire for Tripwire Log Center

Best Vulnerability Management Tool

McAfee for McAfee Risk Management Solution

nCircle Network Security for nCircle IP360/WebApp360

Qualys for QualysGuard Vulnerability Management (VM)

Rapid7 for NeXpose

Secunia for Secunia Corporate Software Inspector (CSI)

Tenable Network Security for Tenable SecurityCenter 4.0 with Nessus 4.2, Log Correlation Engine (LCE) 3.4 and Passive Vulnerability Scanner (PVS) 3.2

Best Web Application Firewall

Citrix Systems for NetScaler Application Firewall

F5 Networks for BIG-IP Applicaiton Security Manager

Imperva for SecureSphere Web Application Firewall

International Business Machines for IBM Security Network IPS with Web App Protection

SonicWALL for SonicWALL Web Application Firewall Service

Best Web Content Management Product

Barracuda Networks for Barracuda Web Filtering

McAfee for McAfee Web Gateway

Sophos for Sophos Web Security Appliance

Websense for Websense Web Security Gateway

Zscaler for Zscaler Web Security Service

Excellence Categories

Best Enterprise Security Solution

ArcSight for ArcSight Enterprise Security Manager (ESM)

Core Security Technologies for CORE IMPACT Pro

Juniper Networks for Junos Pulse

McAfee for McAfee ePolicy Orchestrator

Tripwire for Tripwire Enterprise 8.0

Best Regulatory Compliance Solution

McAfee for McAfee Total Protection for Compliance

Modulo for Modulo Risk Manager NG

nCircle Network Security for nCircle Suite360

Agiliance for Agiliance RiskVision

QualysGuard for QualysGuard PCI

Tenable Network Security for Tenable SecurityCenter 4.0

Best Security Company

Barracuda Networks

NetWitness

Qualys

RSA, the security division of EMC

Trustwave

Websense

Best SME Security Solution

McAfee for McAfee SaaS Endpoint and Email Protection

Qualys for QualysGuard Express

Sophos for Sophos Endpoint Security and Data Protection

Symantec for Symantec Endpoint Protection Small Business Edition

Webroot for Webroot Web Security Service

Rookie Security Company of the Year

ActiveBase for ActiveBase

AlertBoot for AlertBoot

Avecto for Avecto

Confidela for Confidela

Invincea for Invincea

Mobile Active Defense for Mobile Application Development Partners

Professional Categories

Best Professional Certification Program

GIAC - Global Information Assurance Certification for GIAC Security Expert (GSE)

GIAC - Global Information Assurance Certification for Global Information Assurance Certification Program (GIAC) - GIAC Certified Intrusion Analyst (GCIA)

Information System Audit and Control Association for Certified in the Governance of Enterprise IT (CGEIT) Certification

Information System Audit and Control Association for Certified Information Systems Auditor

Learning@Cisco for Cisco Security Certifications

Best Professional Training Program

Foreground Security for Foreground Security Training

InfoSec Institute for InfoSec Institute

(ISC)² for (ISC)² Educational Programs

SANS Institute for SANS Institute

Security University for Security University's Q/ISP Qualified/ Information Security Professional Training Program

The Training Camp for IT Professional Certification Training

Best Security Team

GoDaddy.com for Go Daddy Security

ING for Security Operations Center

Teleperformance for TelePerformance

Troy University for Troy University IT Security Team

USAA for Enterprise Security Group (ESG)

CSO of the Year

Tim Waggoner

David Billeter

Jason Taule

Scott Sysol

Tipos de Monitoramento de Segurança de Rede

Antes de iniciar este post, gostaria de retomar uma discussão frequente e uma resposta que tenho a esta questão: "O que uma empresa ou órgão deve fazer para estar preparado a responder incidentes de segurança (do ponto de vista de soluções/produtos)?":

Meu posicionamento/resposta diante desta pergunta:

I - Uma infra-estrutura de "Network Forensics" que seja capaz de reconstruir e fazer o "replay" dos pacotes relacionados ao ataque (ex: NetWitness NextGen / NikSun / Infinistream / NetIntercept )

II - Uma solução de SIEM/SEM para correlacionamento em near-real time dos logs (firewall, roteadores, servidor comprometido, ids/ips, dhcp, dns, aplicações internas) (ex: ArcSight / ISM Intellitatics / Symantec SIM)

III - Uma solução (idealmente enterprise) de forense computacional que possibilite a análise de dados voláteis (incluindo memória) e de disco (ex: Encase Enterprise / F-Response / AccessData Enterprise )

IV - Uma ferarmenta de monitoração de atividade de desktops (ex: SpectorCNE, WorkExaminer) [item incluído em 18/10/2009]

Com relação a primeira das soluções listadas acima, o Richard Bejtlich (CSO da General Eletric e autor de vários livros - todos recomendados) é uma referência mundial no que diz respeito à Segurança e Monitoramento de Rede, já o utilizei de referência/links em vários assuntos abordados aqui no nosso blog.

Ele postou há alguns dias atrás um artigo muito interessante sobre tipos de aplicações de monitoração de segurança de rede e eu fiquei esperando ter um tempinho para atualizar o blog com este excelente material e discussão.

São elencados por ele seis "data types" (maltraduzindo: tipos de dados) possíveis em uma ferramenta que lida com monitoração de rede (tradução livre minha):

1. Alertas: julgamento e detecção e/ou bloqueio feito por um produto ("Port scan!" ou "Buffer overflow!");
2. Estatísticas: descrição high-level de atividades (percentual de protocolos, tendências, etc.);
3. Sessões: comunicações entre hosts ("A conversou com B na 6a-feira por 61 segundos enviando 1234 bytes");
4. Conteúdo Completo (Full Content): todos os pacotes trafegados (no cabo/ar);
5. Extração de Conteúdo: reconstrução de elementos de uma sessão e extração de metadados;
6. Transações: geração de logs baseado em tráfego do tipo requisição-resposta (request-reply) como DNS, HTTP, etc.

Depois disto, ele produziu uma interessante tabela de referência contendo as categorias de produtos de Monitoramento de Segurança de Rede e os tipos de data types suportados por cada uma (genericamente). Esta foi a melhor abordagem comparativa de tecnologias de Segurança de Rede do ponto de resposta a incidentes que já vi.

Na minha opinião, a tabela mostra claramente porque uma organização que se preocupa com segurança precisa possuir ou desenvolver pelo menos uma das duas últimas categorias de produtos (NetWork Forensic Appliance ou Custom NSM Appliance) e não se satisfazer com soluções tradicionais (ex: IDS/IPS).

Apresento abaixo uma análise da tabela apresentada, algumas opiniões próprias (*) e nomes de aplicações e produtos que o autor do post citado preferiu não incluir.

(1) Produto IDS/IPS: Alerta ou Bloqueio OK; Estatísticas de Alertas OK; Sem Sessões; Sem Conteúdo Completo; Sem Extração de Conteúdo; Sem Transações. [ * Minha opinião: melhor opção comercial: SourceFire, melhor opção free: Snort / pouquíssimas vezes tive a oportunidade de ver um IDS/IPS bem gerenciado/"tunado"* ]

(2) Produto NBAD (Network Bahavioral Anomaly Device): Alerta baseados na análise de flows; Bons dados estatísticos; Bons dados de sessão; Conteúdo Completo somente para alguns flows; Sem Extração de Conteúdo; Sem Transações.

(3) Network Forensic Appliance: Sem alertas (* O NextGen da NetWitness possui alertas *); Bons dados estatísticos; Dados de sessão não podem ser manipulados imediatamente (*O NextGen da NetWitness permite que dados de sessão que possam ser manipulados imediatamente * ); Conteúdo Completo (propósito deste tipo de solução); Extração de Dados (alguns appliances possuem); Bons dados de Transações.

(4) Custom NSM Appliance *ou faça você mesmo com ferramentas de código aberto*: Alertas: Snort, Bro; Estatísticas: MRTG, Ntop; Sessões: auto-contidas ou aceitam Netflow; Conteúdo Completo: Dumpcap/Wireshark, Daemonlogger/Snort; Extração de sessão: requer desenvolvimento próprio (* tcpxtract, Networkminer *) ; Transações: Bro, Httpry.

Extendendo a resposta dada no início deste post no que diz respeito à monitoração de rede com objetivo de resposta a incidentes:

Se você possui budget para investimento, o ideal é buscar uma solução de Forense de Rede (opção 3 acima - que também é a que traz resultados mais rápidos)

No caso de não ter dinheiro mas possuir uma equipe numerosa e qualificada em segurança e open-source para dispor no desenvolvimento de uma solução customizada, o melhor (porém mais demorado) caminho é a opção 4 (Custom NSM Appliance).

Sei que este tipo de discussão costuma gerar debates interessantes... Comentários?

China vs Google: Operação Aurora - Espionagem e Contraespionagem

[ Update: 23/05/2013 ]

A Operação Aurora voltou a ser notícia esta semana com a divulgação feita pelo Washington Post de que além das informações de propriedade intelectual do Google (uma dentre as várias empresas atacadas durante a campanha detalhada nos Updates abaixo), foram também acessadas informações extremamente sensíveis como um banco de dados que continha dados de vários anos acerca da vigilância telemática feita pelo Governo Americano em suspeitos de Terrorismo e Espionagem de vários países, incluindo a china.



As ordens judiciais que continham informações sobre contas do Gmail que estavam sendo monitoradas por agências de segurança e inteligência americanas foram acessadas, e este conhecimento pode ter proporcionado à Pequim uma vantagem de contraespionagem incluindo o término de operações e a mudança de modus-operandi e inclusão de informações falsas para confundir e controlar os esforços de inteligência do governo norte-americano.

Mais informações:

http://www.washingtonpost.com/world/national-security/chinese-hackers-who-breached-google-gained-access-to-sensitive-data-us-officials-say/2013/05/20/51330428-be34-11e2-89c9-3be8095fe767_story.html

[ Update: 28/11/2010 ]

Neste final de semana, foi feita a divulgação pela WikiLeaks de 250 mil documentos diplomáticos dos Estados Unidos(*), incluindo 15 mil secretos e 100 mil confidenciais (!!)

Muito material já havia sido enviado anteriormente pela WikiLeaks para diferentes jornais ao redor do mundo (The New York Times, Le Monde, Guardian e Der Spiegel).

O site do WikiLeaks sofreu um ataque de negação de serviço logo antes de publicar as informações. No caso do WikiLeaks são tantos os interessados na não divulgação dos dados que vai ser difícil atribuir a responsabilidade (mais sobre atribuição no final deste post).

Obviamente o impacto no mundo diplomático foi gigantesco. Nos primeiros momentos já foram digeridas e publicadas por vários jornais informações impactantes presentes nas comunicações diplomáticas norte-americanas que vazaram, como:

• relações mais que especiais entre Itália e Rússia (Berlusconi, Putin)
• a corrida armamentista do Irã.
• espionagem na ONU autorizada por Hillary Clinton
• pedido de informações sobre AlQaeda ao Paraguai (tríplice fronteira)
• entre outras..

Mas o que mais nos chamou a atenção dentre todo este material são as informações bastante interessantes sobre a Operação Aurora - mais especificamente sobre a comunicação diplomática entre os Estados Unidos e a China logo após a Operação Aurora, da qual o resto deste post trata em detalhes.

Vejam este comentário do New York Times (link exige cadastro para visualização - sugiro usar omailinator ou o bugmenot =)

"A global computer hacking effort: China’s Politburo directed the intrusion into Google’s computer systems in that country, a Chinese contact told the American Embassy in Beijing in January, one cable reported. The Google hacking was part of a coordinated campaign of computer sabotage carried out by government operatives, private security experts and Internet outlaws recruited by the Chinese government. They have broken into American government computers and those of Western allies, the Dalai Lama and American businesses since 2002, cables said."

Finalmente temos a confirmação de que o governo norte-americano sabia que a alta cúpula do governo chinês estava por trás dos ataques ocorridos nas mais de 30 empresas americanas (incluindo o Google) que resultaram em vazamento de informações confidenciais e estratégicas (inclusive código fonte)..

Isto explica, inclusive, o infra-citado apoio irrestrito concedido ao Google pelo governo dos Estados Unidos, inclusive pela Agência de Segurança Nacional norte-americana (NSA).

Para mais detalhes, continue lendo abaixo..

[ Update: 07/03/2010 ]

Novidades liberadas durante a conferência RSA indicam - como era esperado - que houve possibilidade de roubo e alteração de código interno de aplicações do Google e das outras empresas (30-100) atingidas pelo ataque (via Wired).

A possibilidade era bem real baseado no que já conhecíamos, mas agora foi confirmada e temos detalhes de várias vulnerabilidades exploradas dentro da companhia, incluindo no Software Configuration Management (SCM) utilizado pelo Google (Perforce).

O paper da Mcafee não chega a ser muito marqueteiro, e sugere algumas boas contramedidas recomendadas para as vulnerabilidades exploradas. Baixe-o aqui.

Mais informações:

http://www.wired.com/threatlevel/2010/03/source-code-hacks/

http://www.computerworld.com/s/article/9165718/Source_code_management_a_weak_spot_in_Aurora_attacks http://www.crn.com/security/223101584020-11.html

http://www.sci-tech-today.com/fullpage/fullpage.xhtml?dest=/story.xhtml%3Fstory_id%3D72013

[ Update: 10/02/2010 ]


A HBGary - empresa especialista em Malware Analysis e Memory Forensics - acaba de lançar um relatório bastante completo incluindo dicas de deteção e remoção de variantes - utilizando técnicas fuzzy - sobre o principal malware utilizado nos ataques conhecidos como "Operação Aurora".

Vale ressaltar que desde o lançamento do boletim MS10-002 da Microsoft (e consequente publicação do módulo do metasploit framework para exploração da vulnerabilidade) - há uma crescente utilização deste vetor de ataque em outros incidentes pelo mundo.

No relatório da HBGary são fornecidas informações valiosas, incluindo um inoculation shot (nome marketeiro para vacina) para eliminar o malware e suas variantes (a taxa de ~90% de similaridade é recomendada) remotamente (via WMI / ePO / AD) em uma rede corporativa.

Além da já conhecida capacidade avançada de análise gráfica de instruções de códigos em execução - que pode ser vista acima em um parser do Command & Control do malware, existem outras as funcionalidades interessantes no principal produto da HBGary: Responder Pro 2.0.

Uma delas é a geração de um Digital DNA baseado no comportamento, idioma, algoritimos e métodos utilizados pelos desenvolvedores do malware (a partir das instruções executadas em memória). Isto pode pode facilitar o processo de atribuição de responsabilidade e separação de grupos distintos de desenvolvedores em ataques similares.

A capacidade de visualização da ferramenta se extende a outros usos, como pode ser visto abaixo, com o timeline em segundos da execução do Dropper (A), do serviço svchost.exe (B) utilizado para executar o payload do malware (C) e o .BAT que remove - a maioria - dos rastros (D):

Muitos outros detalhes podem ser verificados no excelente paper publicado pela HBGary há poucas horas.

[ Update: 03/02/2010 ]


Para os que acreditam que a Operação Aurora e a discussão sobre Cyber War "China vs US" já é assunto ultrapassado, é FUD, ou foi apenas uma manchete temporária, talvez valha a pena salientar o real impacto relacionado aos ataques e técnicas discutidas neste artigo.

Com este objetivo, fiz questão de adicionar este rápido update para ressaltar a real importância da questão em pauta. A operação Aurora e a escalada do cyber crime / cyberwar foi o primeiro e principal assunto que o chefe da inteligência americana, Dennis Cutler Blair levou ao Senado dos Estados Unidos em uma declaração preparada por todas as agências de segurança americanas - mais detalhes / video (a partir de 41m:45s) (Selected Committee on Intelligence SH-216 - "Open Hearing: Current and Projected Threats to the United States").

[ Update: 31/01/2010 ]

Em 2008, me deparei com a pergunta "Quais seriam os Procedimentos (incluindo a preparação) em alto nível para tratar um incidente de suspeita de vazamento de dados?"

Para responder de uma maneira mais completa ao problema proposto, o ideal é que a equipe de resposta a incidentes responsável possa contar com 4 tipos de soluções, listadas por ordem de importância para o caso em pauta:

I - Uma infra-estrutura de "Network Forensics" que seja capaz de reconstruir e fazer o "replay" dos pacotes relacionados ao ataque (ex: NetWitness NextGen / CA Network Forensics)

II - Uma solução de SIEM/SEM para correlacionamento em near-real time dos logs (firewall, roteadores, servidor comprometido, ids/ips, dhcp, dns, aplicações internas, catracas de acesso, sistema de ponto, controle de acesso lógico, etc) (ex: ArcSight / ISM Intellitatics / Symantec SIM)

III - Uma solução (idealmente enterprise) de forense computacional que possibilite a análise de dados voláteis (incluindo memória) e de disco (ex: Encase Enterprise / F-Response / AccessData Enterprise )

IV - Uma ferarmenta de monitoração de atividade de desktops (ex: SpectorCNE, WorkExaminer) [item incluído em 18/10/2009]

Tentarei exemplificar o porque do posicionamento de uma solução de Forense de Rede em primeiro lugar na lista acima, me aproveitando de dados um caso tão complexo e sério quanto a Operação Aurora.

Para facilitar este trabalho, chegou às minhas mãos um material da NetWitness descrevendo as ações que podem ser tomadas por seus usuários para verificar se foram afetados pelo ataque descrito e com informações OSINT (Open Source Intelligence) obtidas da internet:

I - criar filtros para verificar conexões entrantes e saintes a partir dos seguintes hosts:

yahooo.8866.org

sl1.homelinux.org

360.homeunix.com

li107‐40.members.linode.com

ftp2.homeunix.com

update.ourhobby.com


II - verificar conexões SSL vindas do domínio homelinux.org, utilizando o TLS parser

III - checar tráfego destinado aos endereços IP dos servidores de Comando e Controle utilizados durante o ataque:

69.164.192.40

125.76.246.220

210.202.197.225


IV - utilizar a capacidade da solução de misturar diferentes camadas em regras para detectar atividades de beaconing:

service
=
80
&&
action
=
put
&&
client
=
'lynx'


(service
=
80
&&
action
=
put
&&
tcp.dstport
=
8080)
&&
(payload
=
939
&&
extension
=
zip,rm,jpg)


(ip.src
=
125.76.246.220,210.202.197.225
||
ip.dst
=

125.76.246.220,210.202.197.225)
&&
(service
=
80
&&
action
=
put)


alias.host
=
yahooo.8866.org,
sl1.homelinux.org,
360.homeunix.com,

li107­40.members.linode.com,
ftp2.homeunix.com,update.ourhobby.com


ip.src
=
69.164.192.40,125.76.246.220,210.202.197.225
||
ip.dst
=

69.164.192.40,125.76.246.220,210.202.197.225

Para quem nunca viu a interface do Investigator da Netwitness (que tem versão free) - segue um snapshot de um dos filtros citados acima em uma rede comprometida pela Operação Aurora:

Além disto, as seguintes
 recomendações são dadas pela NetWitness:

1. Watchlist "usuarios" seguindo o seguinte critério:


a. Executivos e/ou Autoridades
b. Administradores de Sistemas com acesso privilegiado
c. Empregados que recentemente foram citados pela imprensa

2. Watchlist "extensões" contendo minimamente:

a. Executáveis (EXE, COM, BAT, 
SCR, CMD, PIF)
b. Documentos que exploram vulnerabilidades: PDF, DOC, XLS, PPT, CHM
c. Arquivos Compactados (zip,
rar,
etc)


3. Watchlist de estações, servidores e hosts relacionados aos usuários da watchlist 1.


4. Avaliar TODO tráfego por quesitos que envolvam a combinação destas entidades, procurando por variações do comportamento normal.

[ Post Original : 16/01/2010 ]

Antes de mais nada, é necessário perceber que o que foi divulgado pelo Google na última semana não chega a ser uma novidade, e nem uma tática nova utilizada pelo governo Chinês ou outros.

A mídia especializada tem feito alguns comentários sobre o anúncio de que mais de 30 (ou 100?) empresas americanas (Google, Adobe, Microsoft, Juniper, Symantec, Yahoo, Northrup Grumman, Dow Chemical, entre outras - ex: setor de energia) foram atacadas de forma coordenada e praticamente simultânea por hackers supostamente patrocinados pelo governo Chinês (Operação Aurora - FAQ).

O principal objetivo dos atacantes foi a permanência prolongada nas redes internas das empresas afetadas para obtenção de informações privilegiadas e propriedade intelectual.. A Inglaterra também divulgou que têm sido atacada pelos chineses de maneira semelhante.

A desconfiança do envolvimento do governo chinês nos ataques passou a ter contornos mais detalhados a partir da revelação de analistas de malware sobre a utilização de um algorítimo incomum de criptografia (CRC-16) em no principal trojans utilizados e sua similaridade com papers somente publicados em chinês. Hoje já se sabe - por exemplo - que os atacantes exploraram a infra-estrutura de acesso a a contas do Gmail que o Google montou especialmente para a Polícia acessar em casos de quebra de sigilo autorizado pela Justiça.

O incidente em pauta é muito útil para diferenciar ataques avançados e críticos de problemas comuns de segurança e para avaliar se as contra-medidas que possuímos estão adequadas para abordar ambos os tipos de ataques.

As análises que já foram publicadas sobre o caso incluem "erros" que foram cometidos pelos hackers - como executar o ataque de forma concomintante em múltiplas empresas e utilizar um só servidor dropbox para enviar os dados (código fonte, informações confidenciais) roubados - facilitando assim que os analistas do Google descobrissem as outras empresas atingidas.

A indústria de segurança e a opinião pública já tiveram várias diferentes reações sobre o ocorrido. O nosso objetivo é tecer alguns comentários sobre o assunto sob a luz de alguns conceitos apresentados em posts anteriores neste blog:

• Risco, Vulnerabilidade, Ameaça e Impacto (reloaded)
  É fundamental conhecer as reais ameaças a que uma empresa (ou país) está exposto. E certamente este episódio - pela sua magnitude de divulgação - servirá a este propósito em nível nacional (US). Expandindo os componentes do termo "Ameaça", encontramos três fundamentais conceitos que por si só demonstram a seriedade e complexidade do caso em pauta:
  
• Intenção: tende a ser dependente de indústria e situação. Neste caso, apesar da grande ênfase da mídia na invasão de contas do Gmail de oponentes ao governo Chinês, o roubo de propriedade intelectual e possivel injeção de código malicioso nos programas destas 100 empresas americanas é o que mais chama a atenção. É importante notar que a intenção do atacante não pode ser influenciada por nenhuma ação de Segurança.
  
• Oportunidade: timing apropriado e conhecimento do alvo. Neste caso, o ataque que se iniciou com phishing direcionado (ou spear phishing) utilizou uma vulnerabilidade 0-day do Internet Explorer (0-day pero no mucho) - detalhes aqui (que inclusive já está disponível no MSF). O navegador era certamente era utilizado pelas empresas alvo, o ataque usou vários níveis de criptografia - para "bypassar" ferramentas DLP e similares, trojans comuns misturados à trojans especialmente desenvolvidos com protocolos específicos de comunicação via porta 443 - e uma chave criptográfica diferente para cada cliente - para vencer os anti-vírus, HIPS e NIDS/IPS.
  
• Capacidade: é a habilidade financeira, humana e técnica de alcançar o objetivo de ataque e aproveitar a oportunidade. Certamente com o apoio e investimento do governo e ter os melhores hackers do mundo ajuda a China a obter seus objetivos de silenciar vozes que se levantam contra o regime - mesmo fora do país e a roubar informações privilegiadas de empresas pelo mundo.

• 7 (ou mais) Conceitos em Seguranca alem da Confidencialidade, Integridade e Disponibilidade
  O conceito de APT -"Advanced Persistent Threat" - se de ataques contínuos utilizando amplos recursos (muito tempo e dinheiro investidos com firme propósito/intenção), em ataques que são altamente sofisticados e claramente direcionados. Neste tipo de situação, as defesas tradicionais e genéricas são inúteis. Para mais detalhes sobre o termo APT, sugiro este link.
  
  Um Anti-Vírus e um IDS/IPS - por melhor que sejam - são tecnologias moribundas, baseadas em assinatura e dependentes de já conhecerem o ataque - e por isto mesmo não detectarão códigos maliciosos customizados, ainda mais com vários níveis de evasão e criptografia como foi o caso do ataque em pauta.
  
  Por melhor que seja um programa de gerenciamento de patches, um ataque utilizando uma vulnerabilidade 0-day como a que foi explorada nestes ataques direcionados funcionará em 100% das máquinas atacadas.
• 
  E quando o atacante usa uma combinação de engenharia social (email/IM) e técnicas de "Drive-By Download", nem mesmo um anexo (doc, exe, ou pdf) precisa ser utilizado. Basta que um funcionário da empresa acesse um site utilizando - no caso - um Internet Explorer (6,7,8) para que o ataque tenha sucesso. Mais detalhes sobre o exploit utilizado, aqui. (update - a Microsoft lançou uma correção para o bug - que ela já conhecia desde setembro - e outras 7 vulnerabilidades do IE - veja o boletim e baixe o patch aqui).
  Talvez você esteja pensando - então não há como escapar! E - adivinhe - você está certo. Fazendo uma comparação com crimes reais - se você está preocupado com batedores de carteira, é bom sair de casa sem muito dinheiro no bolso, poucos documentos e sem relógio, além de evitar horários e lugares perigosos. Isto equivale no mundo virtual a defesa tradicional de AV/IDS/etc.
• Mas se há um grupo profissional de criminosos atrás especialmente de você, a única forma de reagir eficientemente a esta situação é expô-los às autoridades e torcer para que eles sejam preso. Bem vindo ao mundo das Ameaças Persistentes e Avançadas (APT). Uma boa descrição das fases normalmente encontradas em ataques avançados e persistentes pode ser encontrada aqui:
• A melhor forma de iniciar um contra-ataque efetivo às Ameaças Persitentes e Avançadas é expor o inimigo adequadamente e assim avançar no campo de batalha - em outras esferas de contra-ataque - enquanto tentar minimizar o prejuízo em casa.
  
  No caso de uma empresa atacada pelo crime organizado, isto pode ser feito envolvendo a polícia e a justiça para prender os responsáveis. No caso de várias empresas de um país sendo atacadas por um outro - como é o caso da "China vs Google + 30"- o caminho é envolver oficialmente o próprio governo americano na resposta ao incidente.
  
  Em ambos os casos, uma resposta responsável envolve a divulgação - minimamente para as partes afetadas e idealmente para a opinião pública - do ocorrido. O próximo passo é analisar e categorizar os atacantes (mais detalhes sobre isto ao final deste post), ferramentas, vulnerabilidades, processos e erros cometidos e obviamente modificar suas defesas baseado no que você vai encontrar durante a sua resposta a incidentes / forense do ocorrido.
  
  A mensagem para todas as empresas e países é: não adianta se retrair e tentar abafar o ocorrido, é necessário concentrar esforços na reação adequada a este tipo avançado de incidente e revisar a postura de segurança do ponto de vista de ameaças e atacantes reais e avançados e não tentar se esconder confortavelmente atrás de checklists de itens de compliance e conformidade ou de qualquer sigla de norma da área de segurança.
• 
  O governo alemão já deu o primeiro passo - proibiu terminantemente o uso de Internet Explorer - iniciativa que já foi seguida pelo governo Francês. Já é um começo.. O Google anunciou que vai parar de censurar resultados na China. E o governo americano já começou a se movimentar lentamente...

• Um outro desdobramento interessante deste evento será acompanhar como as empresas atacadas e o governo americano irão responder as respostas evasivas da China (e também contra-acusações), considerando a dificuldade de se atribuir a responsabilidade de um ataque cibernético a uma pessoa,quanto mais a um país!

• Atribuição de responsabilidade envolve identificar a ameaça, com o máximo de detalhes do ponto de vista de seus desdobramentos (Capacidade/Intenção/Oportunidade).

• Richard Beijtlich e Mike Cloppert sugerem 20 características para atribuição da responsabilidade (ou autoria) de ataques cibernéticos - e isto pode servir de ponto de partida para que iniciemos uma resposta a ataques persistentes e avançados (APT) em nossas organizações: 1)Timing, 2)Vítimas, 3)Origem, 4)Mecanismo de Entrada, 5)Vulnerabilidade ou Exposição, 6)Exploit ou Payload, 7)Weaponization, 8)Atividade pós-exploração, 9)Método de Comando e Controle, 10)Servidores de Comando e Controle, 11)Ferramentas, 12)Mecanismo de Persistência, 13)Método de Propagação, 14)Dados Alvo, 15)Compactação de Dados, 16)Modo de Extrafiltração, 17)Atribuição Externa, 18)Profissionalismo, 19)Variedade de Técnicas, e 20)Escopo. 

Na minha opinião, apesar de APT agora estar entrando na moda, a sigla não importa tanto. O fundamental é tentar aproveitar ao máximo deste tipo de incidente e discussão para avaliar seriamente a sua capacidade de visibilidade e estratégias de detecção e reação contra roubo de informações e espionagem industrial perpetrada seja por quem for.

有时，重要的是要怕！

Se interessou pelo assunto? Envie seus comentários!