Segurança do novo Sistema Operacional do Google: "Chromium OS"

O Google entrou definitivamente para o mercado de Sistemas Operacionais com o o lançamento do Chromium OS. Trata-se de um S.O. open-source (baseado em linux) e com os principios de velocidade (que tal boot em 7 seg?), simplicidade (afinal é um browser vitaminado) e segurança (veja abaixo) em mente.

Todas as aplicações do S.O. rodam dentro do browser e por isto mesmo inicialmente o mercado alvo deve ser os usuarios iniciantes (no estilo "so uso internet + office") que utilizem netbooks, por exemplo.

O Chrome OS é baseado em Debian e usa uma série de outros software open-source: Host AP Linux drivers, PAM, Syslinux, IBus, ConnMan , XScreenSaver e outros.

Do ponto de vista da segurança, o time do Chromius OS publicou um vídeo no Youtube super interessante com as principais features de segurança do novo sistema operacional:

1) foi projetado do zero com segurança em mente;
2) se o sistema ou usuario detectarem que o sistema tenha sido comprometido, um reboot e o Chrome OS voltará ao estado conhecido (e seguro) anterior;
3) fortalecimento do sistema de isolamento do processo (ou SandBox),
4) melhoria contínua de segurança na web,
5) autoupdate seguro,
6) verificação de hashes da partição de sistema durante o boot,
7) criptografia da partição de dados do usuário 8) gerenciamento de contas e intuitiva.

Como em tudo que é novo (neste caso, nem beta ainda), esperem falhas e correções em breve.. mas o modelo open-source já provou ser mais seguro pelo próprio envolvimento e revisão da comunidade de segurança mundial.

Mais informações sobre o lançamento do sistema operacional:

http://googleblog.blogspot.com/2009/11/releasing-chromium-os-open-source.html


Site Oficial: http://www.chromium.org/chromium-os

Vulnerabilidade SSLv3 e TLS

[ Update - 2010/01/13 ]

A Internet Engineering Task Force (IETF) publicou uma extensão de segurança para o protocolo SSL que corrige a falha desctrita no post original (que afeta implementações em servidores, navegadores, smartcards, produtos VPN, etc.).


Mais informações em:



http://www.darkreading.com/vulnerability_management/security/vulnerabilities/showArticle.jhtml?articleID=222300635

ftp://ftp.rfc-editor.org/in-notes/internet-drafts/draft-ietf-tls-renegotiation-03.txt


[ Post Original - 2009/11/18 ]

Na última semana veio a público um trabalho de Steve Dispensa, Marsh Ray e Martin Rex que descreve uma séria vulnerabilidade na fase de renegociação dos protocolos SSLv3 e TLS.

Em linhas gerais, o ataque permite que um atacante faça um "Man in The Middle", injetando informações de sua escolha no começo do stream que será passado de volta para aplicação sendo "protegida" por SSL/TLS, permitindo desta forma algumas possibilidades de exploração bastante preocupantes, como o a escolha pelo atacante de que requisições / transações serão feitas a um internet banking - depois da autenticação do usuário, por exemplo.

O problema está na falta de associação a uma conexão existente durante a renegociação do handshake no SSL/TLS.

Uma descrição detalhada da vulnerabilidade e suas possíveis contra-medidas do lado do cliente e servidor, além de algumas aplicações práticas de exploração delas (SMTP, HTTPS) foi publicada hoje por Thierry Zoller, da G-SEC.

Entrada no CVE (Common Vulnerabilities and Exposures)
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3555

The TLS protocol, and the SSL protocol 3.0 and possibly earlier, as used in Microsoft Internet Information Services (IIS) 7.0, mod_ssl in the Apache HTTP Server 2.2.14 and earlier, OpenSSL before 0.9.8l, GnuTLS 2.8.5 and earlier, Mozilla Network Security Services (NSS) 3.12.4 and earlier, multiple Cisco products, and other products, does not properly associate renegotiation handshakes with an existing connection, which allows man-in-the-middle attackers to insert data into HTTPS sessions, and possibly other types of sessions protected by TLS or SSL, by sending an unauthenticated request that is processed retroactively by a server in a post-renegotiation context, related to a "plaintext injection" attack, aka the "Project Mogul" issue.

Mais detalhes: http://securosis.com/blog/what-the-renegotiation-bug-means-to-you/

Apagao e Hackers, Aconteceu ou é Possivel?

[ Update: 17/11/2009]

Reportagem da Globo News sobre o assunto - vale a pena conferir

[ Update: 15/11/2009 ]

Folha de SP: Operador do sistema elétrico é vulnerável a ataque de hackers

[ Post Original: 12/11/2009 ]

A comprovação da ocorrência é bem diferente da avaliação da possibilidade, mas o post http://blog.hacknroll.com/2009/11/12/a-verdade-sobre-o-apagao/ mostra algumas fragilidades básicas no site do Sistema de Administração de Contratos de Transmissão (SACT) como SQL injection e pára por aí..

Serve para jogar mais na fogueira dos que defendem que um ataque hacker poderia ter realmente ocasionado o apagão recente (assim como os de 2005 e 2007, segundo a rede americana CBS noticiou). O governo negou oficialmente a história.

Para quem não acompanhou ainda, vale a pena ver a reportagem da CBS onde "meia dúzia de fontes da inteligência" são citadas para afirmar que os apagões ocorridos em 2005 E 2007 no RJ e ES foram resultado de ataques aos sistemas computacionais que controlam a distribuição de energia..

Reportagem e Video na CBS: http://www.cbsnews.com/stories/2009/11/06/60minutes/main5555565.shtml

Novas vulnerabilidades Windows - A volta do WinNuke e remote shell (Vista, 2008 e 7)

[ Update 14/11/2009 ]

A Microsoft acaba de lançar o advisory 977544 - Vulnerability in SMB Could Allow Denial of Service. Ele trata da vulnerabilidade SMB divulgada por Laurent Gaffié ante-ontem. Fiquemos de olho para possíveis evoluções da exploração de Negação de Serviço para acesso remoto...

Nos testes que conduzi o efeito é diferente da tela azul do exploit que explora a vulnerabilidade 975497 - descrita no post original. No caso do Windows 7 a máquina simplesmente TRAVA - sem nenhum indício (tela azul, crash dump ou evento do windows) de que o ataque ocorreu - mesmo depois de um reboot.

Os workarounds são similares aos descritos no post original relacionado ao advisory 975497.

Mais informações: http://praetorianprefect.com/archives/2009/11/how-to-crash-windows-7-and-server-2008/

[ Update 11/11/2009 ]

Nova falha e novo exploit para Denial of Service Remoto em Windows 7 e 2008, 32 e 64bit ( rede Local e via internet com IE ) publicados por Laurent Gaffié: Windows 7 / Server 2008R2 Remote Kernel Crash

[ Update 29/09/2009 ]

Já existe código público de exploração remota desta vulnerabilidade no projeto MetaSploit. O exploit funciona em Windows Vista Service Pack 1 e 2 e também em Windows 2008 SP1 e SP2. Será que um novo worm Microsoft a la Conficker está vindo aí?

[ Update 20/09/2009 ]

A Microsoft ainda não divulgou uma correção, mas no site de descrição da vulnerabilidade foi incluída uma opção "Microsoft Fix-It" que automatiza o processo de workaround para desabilitar o SMB2 e assim deixar o seu Vista/2008/7 mais seguro.

[ Update 17/09/2009 ]

A vulnerabilidade SMB2 acaba de ficar mais preocupante: A empresa Immunity publicou em seus updates do produto CANVAS código capaz de invadir uma máquina Windows (Vista, Windows 2008 e versões Release Candidate do Windows 7) remotamente utilizando a vulnerabilidade descoberta por Laurent Gaffié (detalhes abaixo).

Certamente os black hats já desenvolveram códigos efetivos similares.

fontes:

• http://www.theregister.co.uk/2009/09/16/windows_vista_exploit_released/
• http://blogs.zdnet.com/security/?p=4350
  

[ Post Original - 10/09/2009 ]

O pesquisador de vulnerabilidades canadense Laurent Gaffié publicou em seu blog nesta segunda-feira, 7 de setembro, dados sobre uma vulnerabilidade do protocolo SMB2 em várias versões modernas do Microsoft Windows:

• Windows Vista, Windows Vista Service Pack 1, and Windows Vista Service Pack 2
• Windows Vista x64 Edition, Windows Vista x64 Edition Service Pack 1, and Windows Vista x64 Edition Service Pack 2
• Windows Server 2008 for 32-bit Systems and Windows Server 2008 for 32-bit Systems Service Pack 2
• Windows Server 2008 for x64-based Systems and Windows Server 2008 for x64-based Systems Service Pack 2
• Windows Server 2008 for Itanium-based Systems and Windows Server 2008 for Itanium-based Systems Service Pack 2

(as versões Release Candidates do Windows 7 também estão vulneráveis).

Em um movimento arriscado ele divulgou também um código plenamente efetivo na linguagem python que - quando executado em direção à uma máquina Windows produz uma tela-azul-da-morte (Blue Screen of Death) instantânea - como a da foto acima.

Eu achei um tempo hoje para testar o módulo do metasploit e o código python original contra uma máquina Vista 64Bits Home Edition em português e outra Windows 7 RC em Inglês, e ambos os exploits funcionaram: tela azul instantânea. Impressionante o efeito destrutivo de um simples caractere "&" inesperado em um cabeçalho SMB ...

Vale a pena ressaltar que há possibilidade de execução remota de código explorando a mesma falha, mas ainda náo foi divulgado nnehum exploit com este objetivo.

A divulgação prematura do código de exploração (antes que a Microsoft conseguisse gerar um patch de correção para a vulnerabilidade) gerou várias discussões sobre o movimento "Full Disclosure" de vulnerabilidades versus a notificação responsável das mesmas aos fabricantes.

Os defensores da divulgação aberta de falhas - considerada irresponsável pela Microsoft e outros vendors - argumentam que vários grupos hacker podem possuir conhecimento e já explorem as vulnerabilidades "0-day" e por isto divulgando publicamente há uma pressão sobre os fabricantes para que a correção saia antes, protegendo assim o usuário final.

A página sobre este assunto do CERT traz uma entrada nas perguntas frequentes que fala exatamente desta situação:

Q: Wouldn't it be better to keep vulnerabilities quiet if there isn't a fix available?

A: Vulnerabilities are routinely discovered and disclosed, frequently before vendors have had a fair opportunity to provide a fix, and disclosure often includes working exploits. In our experience, if there is not responsible, qualified disclosure of vulnerability information then researchers, programmers, system administrators, and other IT professionals who discover vulnerabilities often feel they have no choice but to make the information public in an attempt to coerce the vendors into addressing the problem.

Outra faceta desta divulgacão é a certeza da utilização do exploit por script kiddies e talvez a reaparição de programas hackers "low-tech" como o WinNuke - da epóca do Windows 95 - onde o atacante somente precisava entrar o nome ou IP da vítima para gerar um BSOD via uma a exploracão de uma vulnerabilidade NetBios.

Como se proteger do ataque:

1. Se certifique que o firewall do Windows está ativo e bloqueando a porta 445/tcp
2. Desabilite o compartilhamento de arquivos (file-sharing)
3. Desabilite a versão 2 do protocolo SMB (veja como)

Mais detalhes sobre a vulnerabilidade / exploit:

• Microsoft Security Advisory (975497): Vulnerabilities in SMB Could Allow Remote Code Execution
  

• Blog de Segurança da Microsoft Brasil
  

• Advisory 975497 da Microsoft

• Blog Technet Microsoft
  

• Detalhes técnicos sobre a vulnerabilidade em ReverseMode

• Módulo para o framework de penetration test metasploit

• Entrada no diário do Sans Institute
  

• Entrada CVE no Mitre

• Vídeo da vulnerabilidade sendo explorada
  

Expressoes Regulares em Resposta a Incidentes

A utilização de expressões regulares para filtragens, criação de regras, alertas, condições, entre outras funcionalidades é uma das ferramentas técnicas que une as diversas tecnologias utilizadas para resposta a incidentes de segurança e forense computacional.

Antes de prosseguir, precisamos ter em mente que a utilização de pattern matching - apesar de extremamente útil - sempre nos trará um número de falsos-positivos e falsos-negativos.

Praticamente todas as linguagens de programação suportam o uso das expressões regulares, por exemplo: .NET, Java, Javascript, Lua, Perl, PHP, Python, Ruby e Tcl nem mesmo precisam de chamada a módulos externos por suportar nativamente regex.

Do ponto de vista das diferentes implementações, a PCRE (Perl Compatible Regular Expressions) é a mais completa, por suportar diretivas, condicionais, referencias nominais, grupos atômicos, comentários, código embutido, matching parcial e unicode.

No caso da Resposta a Incidentes e Forense computacional, as expressões regulares representam um papel fundamental tanto na 1) Correlação de Logs e Eventos de Segurança, quanto na 2) Monitoração e/ou Forense de Rede, quanto na 3) Forense de Mídias (local ou remotamente).

1) Correlação de Logs e Eventos de Segurança

As expressões regulares são fundamentais para o processamento direto de arquivos de log e outras evidências. em ferramentas como grep, awk, sed e o próprio perl (exemplo). Além disto, as ferramentas empresariais de SIEM/SIM durante as fases filtragem de dados, na normalização e categorização de eventos e também na correlação de informações e criação de alertas (exemplo).

2) Monitoração e/ou Forense de Rede

Desde as ferramentas básicas como IDS/IPS (como o suporte a PCRE do Snort ou o uso de regex com o ngrep) até filtros de conteúdo, e as ferramentas de Forense de Rede (exemplo: no NetWitness você pode utilizar expressões regulares para pesquisas avançadas em conteúdos, metadados, ou para identificação de detalhes de protocolos/aplicações com a tecnologia de FlexParser)

3) Forense de Mídias

O uso de expressões regulares está entre as análises mais comuns que são utilizadas em forense computacional (seja em frameworks GPL como o CAINE e o SIFT, seja em ferramentas comerciais como o FTK e ENCASE).

Isto vale tanto na para criação de palavras-chave para pesquisa quanto para a identificação de assinaturas de arquivos / análise de extensão versus header (Exemplo: os primeiros bytes de um JPEG padrão iniciarão com [\xFF\xD8\xFF[\xE0\xEE] - onde \x significa um valor hexadecimal e as chaves significam ou E0 ou EE).

Referências:

Seguem algumas referências para facilitar o treinamento de equipes que precisam utilizar expressões regulares em seu dia-a-dia:

1 - http://gskinner.com/RegExr/ - editor de expressões regulares em versão online e desktop

2 - http://ryanswanson.com/regexp/#start - flex 3 regular expression explorer (obrigado @welias)

3 - Regex Coach - Programa (Win/Linux) gratuito para auxiliar a criação de regexes;

4 - http://www.regular-expressions.info/ - repositório com exemplos, sintaxe, referências, livros, etc;

Tipos de Monitoramento de Segurança de Rede

Antes de iniciar este post, gostaria de retomar uma discussão frequente e uma resposta que tenho a esta questão: "O que uma empresa ou órgão deve fazer para estar preparado a responder incidentes de segurança (do ponto de vista de soluções/produtos)?":

Meu posicionamento/resposta diante desta pergunta:

I - Uma infra-estrutura de "Network Forensics" que seja capaz de reconstruir e fazer o "replay" dos pacotes relacionados ao ataque (ex: NetWitness NextGen / NikSun / Infinistream / NetIntercept )

II - Uma solução de SIEM/SEM para correlacionamento em near-real time dos logs (firewall, roteadores, servidor comprometido, ids/ips, dhcp, dns, aplicações internas) (ex: ArcSight / ISM Intellitatics / Symantec SIM)

III - Uma solução (idealmente enterprise) de forense computacional que possibilite a análise de dados voláteis (incluindo memória) e de disco (ex: Encase Enterprise / F-Response / AccessData Enterprise )

IV - Uma ferarmenta de monitoração de atividade de desktops (ex: SpectorCNE, WorkExaminer) [item incluído em 18/10/2009]

Com relação a primeira das soluções listadas acima, o Richard Bejtlich (CSO da General Eletric e autor de vários livros - todos recomendados) é uma referência mundial no que diz respeito à Segurança e Monitoramento de Rede, já o utilizei de referência/links em vários assuntos abordados aqui no nosso blog.

Ele postou há alguns dias atrás um artigo muito interessante sobre tipos de aplicações de monitoração de segurança de rede e eu fiquei esperando ter um tempinho para atualizar o blog com este excelente material e discussão.

São elencados por ele seis "data types" (maltraduzindo: tipos de dados) possíveis em uma ferramenta que lida com monitoração de rede (tradução livre minha):

1. Alertas: julgamento e detecção e/ou bloqueio feito por um produto ("Port scan!" ou "Buffer overflow!");
2. Estatísticas: descrição high-level de atividades (percentual de protocolos, tendências, etc.);
3. Sessões: comunicações entre hosts ("A conversou com B na 6a-feira por 61 segundos enviando 1234 bytes");
4. Conteúdo Completo (Full Content): todos os pacotes trafegados (no cabo/ar);
5. Extração de Conteúdo: reconstrução de elementos de uma sessão e extração de metadados;
6. Transações: geração de logs baseado em tráfego do tipo requisição-resposta (request-reply) como DNS, HTTP, etc.

Depois disto, ele produziu uma interessante tabela de referência contendo as categorias de produtos de Monitoramento de Segurança de Rede e os tipos de data types suportados por cada uma (genericamente). Esta foi a melhor abordagem comparativa de tecnologias de Segurança de Rede do ponto de resposta a incidentes que já vi.

Na minha opinião, a tabela mostra claramente porque uma organização que se preocupa com segurança precisa possuir ou desenvolver pelo menos uma das duas últimas categorias de produtos (NetWork Forensic Appliance ou Custom NSM Appliance) e não se satisfazer com soluções tradicionais (ex: IDS/IPS).

Apresento abaixo uma análise da tabela apresentada, algumas opiniões próprias (*) e nomes de aplicações e produtos que o autor do post citado preferiu não incluir.

(1) Produto IDS/IPS: Alerta ou Bloqueio OK; Estatísticas de Alertas OK; Sem Sessões; Sem Conteúdo Completo; Sem Extração de Conteúdo; Sem Transações. [ * Minha opinião: melhor opção comercial: SourceFire, melhor opção free: Snort / pouquíssimas vezes tive a oportunidade de ver um IDS/IPS bem gerenciado/"tunado"* ]

(2) Produto NBAD (Network Bahavioral Anomaly Device): Alerta baseados na análise de flows; Bons dados estatísticos; Bons dados de sessão; Conteúdo Completo somente para alguns flows; Sem Extração de Conteúdo; Sem Transações.

(3) Network Forensic Appliance: Sem alertas (* O NextGen da NetWitness possui alertas *); Bons dados estatísticos; Dados de sessão não podem ser manipulados imediatamente (*O NextGen da NetWitness permite que dados de sessão que possam ser manipulados imediatamente * ); Conteúdo Completo (propósito deste tipo de solução); Extração de Dados (alguns appliances possuem); Bons dados de Transações.

(4) Custom NSM Appliance *ou faça você mesmo com ferramentas de código aberto*: Alertas: Snort, Bro; Estatísticas: MRTG, Ntop; Sessões: auto-contidas ou aceitam Netflow; Conteúdo Completo: Dumpcap/Wireshark, Daemonlogger/Snort; Extração de sessão: requer desenvolvimento próprio (* tcpxtract, Networkminer *) ; Transações: Bro, Httpry.

Extendendo a resposta dada no início deste post no que diz respeito à monitoração de rede com objetivo de resposta a incidentes:

Se você possui budget para investimento, o ideal é buscar uma solução de Forense de Rede (opção 3 acima - que também é a que traz resultados mais rápidos)

No caso de não ter dinheiro mas possuir uma equipe numerosa e qualificada em segurança e open-source para dispor no desenvolvimento de uma solução customizada, o melhor (porém mais demorado) caminho é a opção 4 (Custom NSM Appliance).

Sei que este tipo de discussão costuma gerar debates interessantes... Comentários?

Cibercrime tem nova lei (em Portugal)

[ 2009-10-25 Update ]

Um artigo foi publicado hoje no blog português segurança informática sobre uma operação da Justiça lusitana em que computadores foram apreendidos sob alegação de teste de segurança ilegal relacionadas ao caso Ghostnet.

[ 2009-10-15 Post Original ]

Hoje entrou em vigor a nova "Lei do CiberCrime" - em Portugal. Ela objetiva transpor para a ordem jurídica portuguesa uma diretiva européia do ano de 2005. A última lei relacionada à crimes informáticos era de 1991

O texto prevê punições para atos como a produção e disseminação de vírus, destruição e alteração no uso de sistemas de informação. A nova lei prevê penas que podem ir até dez anos de prisão para estas atividades.

Assim como o nosso Projeto de Lei 84/99, existem muitas críticas da mídia especializada sobre a nova lei, especialmente no que diz respeito à limitação da investigação na área da Segurança Informática.

Como não poderia deixar de ser, o tema privacidade versus agilidade na identificação de endereços IP envolvidos em ataques ou crimes (e necessidade de mandado judicial para obtenção destes dados) gera bastante polêmica também em Portugal.

7 (ou mais) Conceitos em Seguranca alem da Confidencialidade, Disponibilidade e Integridade

Em algumas oportunidades recentes - durante congressos e trabalhos de consultoria - estive conversando com colegas e clientes sobre alguns tópicos interessantes de nossa área apaixonante de interesse comum - a Segurança da Informação.

Os tópicos relacionados à Segurança vem se multiplicando e especializando muito nos últimos anos, incluindo tópicos relacionados à Segurança de Rede, Segurança de Sistemas Operacionais e Bancos de Dados, Desenvolvimento de Aplicações Seguras, Testes de Penetração, Auditorias de Segurança, Análise de Códigos Maliciosos, Resposta a Incidentes, Forense Computacional e suas evoluções (Memória e Rede).

A Segurança da Informação está a cada dia se tornando um tópico mais popular e tem ganhando muito espaço na mídia (inclusive não especializada). Vemos crescer de forma contínua e significante a maturidade em segurança dentro de instituições públicas, privadas e academicas.

O interesse corporativo pelo tema tem atraído e convergido interesses, ações e ferramentas de áreas como Governança, Risco, Compliance, Auditoria e Jurídico. Além disto, por se tratar de uma área do conhecimento muito nova,a segurança vem recebendo contribuições teóricas de disciplinas tão variadas quanto a engenharia, a economia e a psicologia.

Conhecemos bem o o desafio que é se manter atualizado nos vários tópicos de interesse dentro deste Universo chamado "Segurança da Informação". Eu costumo reservar algumas horas semanais para ler livros/sites/blogs/feeds rss/para me atualizar na área.

Acredito que existem algumas discussões teóricas sobre o tema da Segurança da Informação que são muito interessantes e que influenciam a disciplina e o mercado em si - e elas certamente vão além do tradicional tripé de conceitos "Confidencialidade / Integridade / Disponibilidade" que estamos acostumados a debater por mais de 20 anos.

Neste post pretendo fazer um breve resumo de sete conceitos que considero importantes, incluindo informações sobre seus principais autores e/ou defensores e links externos com mais informações sobre os assuntos:

I - Bruce Schneier

[ CSO da British Telecom / criptoanalista / autor ("Applied Cryptography","Beyond Fear") ]

Conflitos de Escolha (Trade-Offs):

Schneier introduz em seu livro "Beyond Fear" a existência de "trade-offs" quando são avaliadas e aplicadas medidas de segurança. A questão muda de "estamos seguros?" para "vale a pena estarmos seguros?".

Teatro em Segurança (Security Theater):

Outro conceito frequentemente citado por Schneier em "Beyond Fear" é a utilização de contra-medidas que só oferecem uma (falsa) sensação de segurança. Ele chama isto de "Securiy Theater" e demonstra o distanciamento entre o risco percebido e o risco real.

II -Dan Geer [ CSO da In-Q-Tel e Visionário em Segurança]

Desafio Intelectual e Generalismo versus Especialização:

Dan Geer defende que a segurança seja uma das profissões que exigem um maior desafio intelectual no planeta. Segundo ele, o conhecimento basilar em segurança chegou a um ponto em que novos profissionais e/ou estudiosos não conseguirão ser generalistas verdadeiramente competentes - e por isto a unica opção que eles possuem é a especialização cada vez maior.

Sobre a classificação de informações e controle a aplicações e dados críticos:

* Se você não sabe nada, 'permit-all' é a única opção;
* Se você sabe algo, 'default-permit' é o que você pode/deve fazer;
* Se você sabe tudo, somente aí o 'default-deny' se torna possível.

III - Richard Bejtlich [ CSO da General Eletric, autor ("The Tao Of Network Security Monitoring"  e "Real Digital Forensics") ]

Ameaças Avançadas e Persistentes (APT) em Resposta a Incidentes:

A expressão "Advanced Persistent Threat" é muito relevante para qualquer profissional envolvido em Segurança da Informação. Tratam-se de ataques contínuos utilizando amplos recursos (tempo e dinheiro), e que são altamente sofisticados e claramente direcionados. Neste tipo de situação, as defesas tradicionais e genéricas são inúteis.

IV - Ross Anderson

[ Professor da Universidade de Cambridge, autor ("Security Engineering")
 ]

Economia aplicada à Segurança:

Este campo de estudo foi proposto depois de observações feitas por Ross Anderson indicando que incentivos incorretamente alinhados e assimetria de informações explicam a falha de sistemas de segurança mais comumente do que fatores técnicos. A abordagem utilizando a economia pretende prover uma forma mais efetiva de analisar diretamente problemas relacionadas à segurança da informação como privacidade, spam e phishing.

Psicologia aplicada à Segurança:

Segurança como sentimento versus segurança como realidade - e outros tópicos.

V - Gene Spafford

Definição de sistema verdadeiramente seguro:

"O único sistema verdadeiramente seguro é aquele que está desligado, dentro de um bloco de concreto e guardado em uma sala com guardas armados, e ainda assim eu tenho minhas dúvidas"

ICCyber 2009

[ Update - 26/09/2009 ]

O ICCyber 2009 foi um grande sucesso, como de costume. O evento foi muito bem organizado e o material apresentado foi de alta qualidade. A evolução da maturidade em forense computacional e resposta a incidentes é cada vez mais nítida, ano a ano.

Além da participação no ótimo debate sobre Privacidade na Internet e Roubo de Identidade, tive também a oportunidade de fechar o evento apresentando duas palestras técnicas: uma de apresentação de novas funcionalidades do AccessData FTK 3.0, juntamente com o Corey Johnson; e uma outra em que apresentei as novidades da Guidance Software, incluindo o CyberSecurity e Encase Portable (obrigado Fabrício e Felipe).

Em breve estarei postando referências para download do material que estive apresentando nesta conferência.

[ Post Original - 21/09/2009 ]

A partir da próxima 4a feira, no Centro de Convenções de Natal, na Av. Dinarte Mariz , S/N - Via Costeira (*), estará acontecendo o ICCyber 2009 - maior evento sobre Perícia em Crimes Digitais da América Latina e referência há anos como conferência internacional de extrema qualidade técnica.

Desde 2004 que acompanho este excelente evento, sendo que em 2007 estive palestrando sobre "Centro de Operações de Segurança - Um estudo de Caso", em 2008, o assunto foi "Como padronizar um processo seguro de perícia".

Neste ano, terei a honra de participar da mesa no painel plenário "Privacidade na Internet e Roubo de Identidade" que ocorrerá no dia 24/09 às 9 horas.

Sei que alguns leitores assíduos deste blog estarão presentes, e espero conhecer outros por lá.

(*) - agradeço à organização do evento pela correçao do endereço (comentários)

Dados Volateis - Evolução na aquisicao de Evidencias Digitais

Foi publicado no sábado passado no excelente blog sobre computação forense do Sans Institute um post muito interessante sobre as melhores práticas de aquisição de evidências digitais - considerando a evolução das tecnologias e a necessidade de considerarmos dados voláteis - o nome do artigo é "Best Practices In Digital Evidence Collection" - leitura recomendada.

Já publicamos neste blog alguns posts correlatos que estão listados abaixo:

• Forense de Memória - Uma comparação de Ferramentas Disponíveis

• UPDATE - Forense: aquisição e análise de dumps de memória RAM

• Preparação / Procedimentos em alto nível para suspeita de vazamento de dados por comprometimento de um servidor

• ColdBoot Attack em Forense Computacional