APURA no ICCYBER 2012

[ Update 01/10/2012 ]

Slides do material apresentado pela APURA no ICCyber 2012:








[ Update 29/09/2012 ]


O ICCyber mais uma vez foi um excelente evento, tanto do ponto de vista do conteúdo apresentado nas palestras quanto ao nível dos debates e atividades hands-on oferecidas aos participantes.

Nós da APURA fomos honrados em participar como patrocinadores e também por estarmos diretamente envolvidos no evento muito além do nosso estande em conjunto com a AccessData. Nossa satisfação por termos conseguido trazer palestras técnicas internacionais de qualidade (* - PDF), além de termos participado como palestrantes e também oferecido juntamente com o Team Cymru o hands on "Desafio Forense".

Dentre os mais de 30 participantes do Desafio Forense do ICCyber, foram premiados os 5 primeiros colocados (Entre eles, dois Peritos Federais (SP e RJ), dois militares do Exército brasileiro e um consultor do CTI - Campinas. Na foto abaixo o momento da premiação ao vencedor: Guilherme M. D.:

A premiação final do Desafio foi a seguinte:

• 1o Lugar: Um tablet Google Nexus 7, brindes da DPF e convite para o ICCyber 2013 ;
• 2o e 3o Lugares: Brindes da DPF e convites para o ICCyber 2013 ;
• 4o e 5o Lugares: Brindes da DPF

PS: 2 dos 5 primeiros colocados fazem parte do time que está representando o Brasil na CyberLympics.

[ Update 22/09/12 ]

Desafio Forense ICCyber 2012 - APURA e Team Cymru:

'Sandro Süffert, CTO da Apura, e Jacomo Picollini, VP do Team Cymru, realizarão o Desafio Forense no ICCYBER 2012. A competição acontecerá num ambiente de simulação onde serão avaliadas a destreza dos participantes em situações de rastreamento de invasão, exigindo a utilização de técnicas sofisticadas de análise, para a detecção e identificação da origem do “ataque” simulado.' (UOL/IDG Now)

O vencedor será premiado com um tablet Nexus 7, do Google - cortesia da Apura CyberSecurity

Palestra "Clustering and Classification for Cyber Crime (PDF)" de Jesse Kornblum:

Um dos mais respeitados especialistas e desenvolvedores de ferramentas para computação forense - Jesse Kornblum (*), aceitou o nosso convite e estará fazendo um keynote no ICCyber 2012.

Algumas ferramentas conhecidas que ele desenvolveu: dc3dd (aquisição forense), ssdeep e md5deep (fuzzy hashing) e foremost (carving).

Para mais informações sobre outros destaques do evento, veja este artigo do UOL - Conferência em Brasília reune 40 especialistas em cibersegurança :


"A ICCYBER 2012 – IX Conferência Internacional de Perícia em Crimes Cibernéticos, que acontece em Brasília de 26 a 28 de setembro, reunirá um time de mais de 40 especialistas, nacionais e internacionais, dentre os quais o Instituto Nacional de Criminalística da Polícia Federal e do FBI norte-americano, para debater os desafios da prevenção às ameaças digitais, e casos bem sucedidos de detecção e investigação de quadrilhas cibernéticas.

Contendo atividades distribuídas entre painéis, palestras técnicas, apresentação de papers acadêmicos e sessões de treinamento, dentre os destaques da programação está a presença do Ministro Gilson Dipp, Vice-Presidente do STJ, Ministro do TSE, ex-Corregedor Nacional do CNJ, e Presidente da Comissão responsável pela elaboração do anteprojeto de reforma do Código Penal, que participará do painel Proposições Legislativas – Reforma do Código Penal, voltado a discutir alternativas de tipificação dos delitos digitais.

Na palestra Sistema Integrado de Comando e Controle para Grandes Eventos, do Coordenador de TI da Secretaria de Segurança em Grandes Eventos do Ministério da Justiça, Daniel Russo, que trará informações sobre o planejamento das medidas de Segurança Eletrônica voltadas para a Copa do Mundo 2014 e Olimpíadas do Rio de Janeiro 2016, face às crescentes ameaças de cyberterrorismo existentes no mundo atual.

Para ilustrar as possibilidades de tais ameaças cibernéticas, e as técnicas de detecção e investigação mais sofisticadas, diversos peritos da Secretaria de Perícias em Informática do Instituto Nacional de Criminalística - INC da Polícia Federal abordarão pesquisas e estudos de caso de episódios ocorridos, como a palestra Ataque a Sites Governamentais: Estudo de Caso, a cargo do perito Ronei Maia Salvatori, do INC-PF.

Dentre os especialistas internacionais presentes, uma das mais aguardadas palestras é aClustering and Classification for Cyber Crime, do “guru” Jesse Kornblum, formado pelo MIT - Massachusetts Institute of Technology, pesquisador da área de computação forense da Kyrus Tech e criador de uma série de ferramentas consideradas fundamentais para a prática da perícia digital forense.

A programação contempla ainda a sessão de Desafio Forense, elaborada pelos especialistas Sandro Suffert e Jacomo Piccolini, que reproduzirá, num ambiente de simulação, situações de rastreamento de invasão, exigindo a utilização de técnicas sofisticadas, debatidas durante o evento, para a detecção e identificação da origem do “ataque” simulado."


[ Post Original - 14/09/2012 ] 

A APURA CyberSecurity Intelligence é patrocinadora diamante do ICCYBER 2012.


A APURA, sua parceira ACCESSDATA e outros parceiros internacionais estarão presentes na conferência ICCYBER 2012, organizada pela ABEAT e Polícia Federal.

Sandro Süffert, Diretor de Tecnologia da APURA, palestrará pela 5a vez no evento. O tema a ser abordado este ano será a Evolução das Técnicas de Investigação Digital em meio corporativo (**).

A crescente complexidade das ações criminosas virtuais e da sofisticação dos instrumentos maliciosos utilizados para esses fins tem requisitado do Perito/Investigador Forense seu contínuo aprimoramento e em especial a habilidade de lidar com inúmeras ferramentas.

Desafio Forense

O Desafio Forense que será executado durante o ICCYBER 2012, oferecido pela APURA CybeSecurity Intelligence e pelo Team Cymru vai proporcionar aos participantes um ambiente seguro para o teste e uso de ferramentas na solução de um jogo de pistas e respostas. O intuito do Desafio é instigar os participantes a utilizar ferramentas forenses de forma criativa e confrontá-los com situações que demandam soluções não ortodoxas.

A participação no Desafio é aberta a todos os inscritos no evento, sendo necessário para participar possuir uma versão atualizada do aplicativo VMWare e 4gb de espaço em disco. Algumas etapas podem necessitar de acesso à Internet. Será declarado vencedor do Desafio o primeiro participante que apresentar a frase ganhadora e demonstrar todas as etapas percorridas.

O site oficial do evento é http://www.iccyber.org

APURA Cybersecurity Intelligence: http://www.apura.com.br

ACCESSDATA: http://www.accessdata.com

fonte: http://www.apuratrustedservices.com/apura/iccyber-2012/

Discos de Estado Sólido (SSD) e Forense Computacional

Costumo acompanhar de perto as evoluções tecnológicas relacionadas à Resposta a Incidentes e Forense Computacional. No ano passado o tema da minha apresentação do ICCyber foi exatamente este (slides).

Já havia visto vários vídeos e acompanho o blog do Scott Mouton, incluindo uma apresentação de 2008 mostrando como os SSDs funcionam. Sempre gostei muito das explicações dele e das animações 3D que ele faz sobre os assuntos tratados.

Só hoje eu assisti a apresentação dele na DEFCON16 (2008), e sem dúvida a considero a mais didática sobre as diferenças entre os discos mecânicos e os discos SSD. São tratados o impacto da utilização de SSDs na recuperação de dados/carving e outras implicações técnicas no processo de perícia deste tipo de mídia. Se você também ainda não viu, é mais do que recomendado: Solid State Drives - Ruining Forensics:

Flowcharts de processos de forense computacional

Há cerca de 3 anos tive a oportunidade de desenvolver junto a outros colegas da Techbiz Forense alguns processos em formato de flowchart para as várias fases de forense computacional (ex: coleta, análise, relatório). Minha apresentação de 2008 no ICCyber foi sobre este assunto, e parte dos slides podem ser vistos aqui.

Este tipo de material é muito útil para treinamentos de grupos de investigação (de forças da lei ou corporativos) e para adequação dos processos já existentes internamente na empresa.

Há poucas horas atrás, quando fazia minha varredura diária de informações ligadas à forense computacional e resposta a incidentes, encontrei no ótimo blog do Lance Mueller uma árvore de decisão para o processo de aquisição (ou coleta/imagem) de HD (clique para ampliar):

Como pode ser visto, o fluxo trata desde o primeiro momento quando o perito encontra a máquina até a validação (checagem do hash criptográfico SHA256/SHA1/MD5) da imagem (.dd/.e01) feita.

Alguns pontos merecem destaque:

1 - Não são tratadas as informações de coleta de dados voláteis (ex: memória), mas o autor prevê um outro flowchart para isto (Update 13/12/2010: o autor já publicou um fluxo incluindo a aquisição de dados voláteis)

2 - A decisão "Can you turn off" envolve uma série de possibilidades, que incluem - mas não se limitam - a:

• Preocupação com a disponibilidade da máquina (serviço financeiro/crítico/etc);
• Presença de criptografia de disco;
• Presença e atividade de malware;
• Análise de conexões estabelecidas;

3 - O autor sugere a utilização do FTK Imager ou do Encase WinAcq para aquisição de disco no caso da máquina não poder ser desligada, mas outras alternativas mais rápidas, stealth e modernas (remotas) podem ser utilizadas, como o a aquisição através da instalação automática de agentes via rede com o FTK (versão 3.0+) ou com o Encase Enterprise (ou FIM).

Com o objetivo de diferenciar a coleta presencial da remota, um exemplo de um processo simplificado de coleta remota pode ser visto na imagem abaixo (clique para ampliar)

E já que o assunto veio à tona, seguem alguns outros pontos a se considerar durante o processo de aquisição/coleta de evidências:

• Autorização para análise preliminar e para agir: Da mesma forma como é preciso autorização para coleta e análise remota das máquinas (análise preliminar), é necessária a autorização para coleta física de um disco.
• Testemunhas: não é um requisito obrigatório para condução da coleta física de evidências digitais. Dessa forma caso o analista que realiza a aquisição estiver acompanhado de outro colaborador da empresa/órgão como por exemplo, segurança patrimonial este pode ser uma testemunha.
• Identificação dos itens coletados: deve ser feito um relatório onde constem os dados dos itens coletados (principalmente discos rígidos), com suas características técnicas exclusivas, como modelo, número de série, capacidade, etc.
• Geração das Imagens (evidência digital duplicada): na geração das imagens não deve ser feita a correção de erros, já que estes blocos podem ser utilizados para ocultação de informações.
• Validação da aquisição: Deve ser feita ao final da aquisição os cálculos dos valores de hashes (MD5 e SHA1) do disco original coletado e da cópia obtida. Essas informações devem constar do relatório final.
• Armazenamento da Evidência: Após a aquisição e validação da evidência, as informações coletadas devem ser tratadas como confidenciais e armazenadas de forma condizente. Áreas restritas em servidores para armazenagem dos arquivos, estações de trabalho restritas para análise dos mesmos e armários/salas protegidas para armazenagem de discos com essas informações devem ser criados para que isso seja possível.

Além disto, durante todo o processo, os princípios da evidência digital (*) devem ser respeitadas:

• As ações tomadas durante o exame pericial não devem alterar as evidências;
• A cadeia de custódia das evidências deve ser montada, relatando o nome da pessoa que está de posse da evidência, data, hora e atividades executadas;
• Todas as atividades relacionadas com a coleta, acesso, armazenamento ou transferência da evidência digital devem ser documentadas (trilhas de auditoria);
• As cópias devem ser autenticadas por meio de assinaturas criptográficas ;
• Jamais se deve confiar no sistema analisado; e
• Para geração das cópias, as mídias deverão estar devidamente saneadas (wipe).

* - SWGDE - Scientific Working Group on Digital Evidence

ICCyber 2010 - Avanços Tecnológicos em Perícia Computacional e Resposta a Incidentes

Conforme informado aos interessados que me contactaram na ocasião e via email, disponibilizei via slideshare a apresentação que fiz no ICCyber 2010, com o tema "Avanços Tecnológicos em Perícia Computacional e Resposta a Incidentes". Os slides também estão disponíveis no meu perfil do LinkedIn.

Agradeço a todos mais uma vez pela boa receptividade ao tema e pela ótima troca de experiências ocorrida durante este excelente evento.

Sandro Süffert

Participação em Eventos: ICCyber 2010, Fecomércio II e III Senasic

Recentemente tive o prazer de ser convidado a palestrar e participar de painéis em alguns eventos da área de Combate a Crimes Digitais e Segurança Cibernética - seguem os detalhes dos recentemente confirmados:

• No dia 17 de setembro, estarei falando pela quarta vez no ICCyber - evento organizado pela Polícia Federal. Este ano, o tema será "Avanços Tecnológicos em Perícia Computacional e Resposta a Incidentes" . Mais informações em http://www.iccyber.org (Brasília)

• Em 28 de setembro, estarei participando do painel CyberWar do "II Congresso Crimes Eletrônicos", organizado pela Fecomércio. Detalhes em http://is.gd/f2Nvd (São Paulo)

• Em 27 de outubro terei a honra de participar do III Senasic: Seminário da Rede Nacional de Segurança da Iformação e Criptografia - evento organizado pelo Gabinete de Segurança Institucional da Presidência da República (GSIPR), no Painel "Definição de Parâmetros para o I Exercício Nacional de Proteção de Infraestruturas - I ENAPI". Link oficial: http://is.gd/f2NaP (Brasília)

Caso tenha a oportunidade de encontrar - em qualquer dos supra-listados eventos - os usuários que tanto colaboram com este blog através de comentários e sugestões, será um grande prazer.

ICCyber 2009

[ Update - 26/09/2009 ]

O ICCyber 2009 foi um grande sucesso, como de costume. O evento foi muito bem organizado e o material apresentado foi de alta qualidade. A evolução da maturidade em forense computacional e resposta a incidentes é cada vez mais nítida, ano a ano.

Além da participação no ótimo debate sobre Privacidade na Internet e Roubo de Identidade, tive também a oportunidade de fechar o evento apresentando duas palestras técnicas: uma de apresentação de novas funcionalidades do AccessData FTK 3.0, juntamente com o Corey Johnson; e uma outra em que apresentei as novidades da Guidance Software, incluindo o CyberSecurity e Encase Portable (obrigado Fabrício e Felipe).

Em breve estarei postando referências para download do material que estive apresentando nesta conferência.

[ Post Original - 21/09/2009 ]

A partir da próxima 4a feira, no Centro de Convenções de Natal, na Av. Dinarte Mariz , S/N - Via Costeira (*), estará acontecendo o ICCyber 2009 - maior evento sobre Perícia em Crimes Digitais da América Latina e referência há anos como conferência internacional de extrema qualidade técnica.

Desde 2004 que acompanho este excelente evento, sendo que em 2007 estive palestrando sobre "Centro de Operações de Segurança - Um estudo de Caso", em 2008, o assunto foi "Como padronizar um processo seguro de perícia".

Neste ano, terei a honra de participar da mesa no painel plenário "Privacidade na Internet e Roubo de Identidade" que ocorrerá no dia 24/09 às 9 horas.

Sei que alguns leitores assíduos deste blog estarão presentes, e espero conhecer outros por lá.

(*) - agradeço à organização do evento pela correçao do endereço (comentários)