CEH 1 - Introdução

Hello word,

Uma rápida Introdução ao mundo da Segurança /*da Informação*/.

Mas o que é "segurança" afinal? Bom, isso daria uma longa e acirrada discussão. Por hora, vamos definir como "o estado da informação e da infra-estrutura mantendo baixo ou tolerável o risco de adulteração, roubo ou destruição das informações e serviços".

Para começarmos vamos ver alguma definições:

ameaça: situação que pode levar a uma potencial violação de segurança;

exploit: software que tira vantagem de um bug ou vulnerabilidade para violar a segurança;

vulnerabilidade: falha de software /*ou hardware*/, seja no projeto ou na implementação que permite um comportamento indesejado ou inesperado na execução do sistema;

zero-day /*0-day*/: ameaça para exploitar um sistema que não foi divulgada pelo fabricante ou não é conhecida por outros;

CIA - A Tríade da Segurança

A Segurança da Informação está apoiada em 3 pilares básicos: Confidencialidade, Integridade e Disponibilidade /*Availability em inglês, que fica bem melhor que "CID"*/

Confidencialidade

Garantia que a informação só é acessível à pessoas autorizadas, confidencial /*Não confundir com "confiabilidade"*/.

Exemplo de violação: SQL Injection

Integridade

Garantia que a informação não foi alterada de maneira imprópria ou não-autorizada.

Exemplo de violação: Man-in-the-middle

Disponibilidade

Garantia de que a informação estará acessível quando precisar ser acessada.

Exemplo de violação: DDOS

Outros 2 conceitos muito importantes são a Autenticidade e o Não-Repúdio.

Autenticidade: certeza que a informação provém das fontes anunciadas (é autêntica de quem a enviou). É a garantia que o usuário (emissor) é quem ele diz ser. (Não confundir com integridade).

Exempĺo: biometria, certificado digital.

Não-repúdio: Garantia que a informação não terá sua autenticidade negada. Certeza que o usuário não vai poder negar o que fez.

Exemplo: assinatura digital.

FASES DO PENTEST:

1- Recconaissance

Obtenção de informações do alvo. Pode ser passiva (Eng. social, dumpster diving, sniffar a rede) ou ativa.

2- Scanning

Examinar a rede com as informações obtidas no passo anterior.

3- Gaining Access

Exploitar uma vulnerabilidade encontrada nas fases anteriores e ownar o sistema.

4- Maintaining Access

5- Covering Tracks

(‘Racker’ ‘Saiu’ ‘Gritando Alto’ ‘Meu Applet’ é ‘Contra Terrorista’)

CLASSES:

White hat: hacker do bem, analista de infosec

Black hat: hacker do mal, cyber criminoso

Grey hat: pode trabalhar ofensiva ou defensivamente.

Suicide hackers (WFT?): hackeia por uma “causa” sem se importar com as consequencias.

HACKTIVISMO

Hackear por uma “causa” (política, social, etc)

TIPOS DE ATAQUE

Ataques de SO

Ataque de aplicação

Ataques de misconfiguration

O TRIÂNGULO

Segurança, Funcionalidade e Facilidade de Uso

TIPOS DE TESTE

Black Box

Sem conhecimento prévio da infra ou dos sistemas da empresa. (Atacante externo)

White Box

Com conhecimento prévio da infra ou dos sistemas da empresa. (Atacante interno/sysadmin).

Grey Box

Atacante interno, mas com conhecimento parcial (ou sem conhecimento) da rede.

Confess Mr. Eko, confess

O site Coding Confessional é uma espécie de confecionário dos programadores.

Quem desenvolve sistemas ou já teve que programar na faculdade, sabe que são nesses momentos que são cometidas as maiores atrocidades contra as boas práticas ou programação elegante /* também conhecida como “código de menina” ou “programação metrosexual”, que é menos politicamente incorreto */

No site é possível fazer confissões anônimas /* que podem ser um alívio depois daquele deploy às 3 da manhã de um domingo qualquer */ e ainda absolver ou condenar um ato confessado por outro programador.

Vamos nos confessar galera...

May The Force be with You.

1o. de abril (atrasado) e MS-KB2823324

O dia da mentira, “comemorado” em 1o. de abril já passou (+ de 10 dias e continua iterando...), eu sei, e muita coisa aconteceu de legal no mundo da tecnologia (da (segurança da) informação). Os melhores foram:

* o “Google Nose”, um serviço do google que faria busca por cheiros;

* a notícia da F-Secure que hackers invadiram diversos sistemas e trocaram as senhas para “password”, só que só 38% dos usuário percebeu /* por que a senha deles já era “password”, hahaha */

KB2823324 por Vida de Suporte

Mas a verdadeira piada foi hoje, uma atualização de segurança da Micro$oft, o malfadado KB2823324, que dava um crash nas máquinas com Windows 7 32 bits pt-BR.

Piada pronta né? Não caia no lado negro da Força, use Linux e seja livre!!

May The Force be with You.

Spam Evolution

A empresa de mídia Column Five publicou recentemente um infográfico com a evolução do Spam, aquelas mensagens de email (e sms, posts, short urls no twitter, no mural do facebook, etc) indesejadas.

Eu pensava que o spam havia começado naquele episódio de Monty Python, mas os caras afirmam que começou nas pinturas rupestres nas cavernas. Forçaram nessa né?

Na luta contra o spam os  administradores de rede usam das mais diversas ferramentas; desde filtros anti-spam (por reputação, palavras-chave) até blacklists. Semana passada, a SpamHaus, uma mantenedora de uma das mais famosas blacklists foi alvo do maior ataque DDOS da história do Universo Intergalático, mas isso é assunto para um outro post.

Se vc é um administrador de rede desesperado e alguns (ou todos) os usuários estão reclamando que não estão conseguindo enviar emails, existe uma boa ferramenta gratuita e online chamada mxtollbox, que permite consutar se o seu domínio está em alguma lista negra de spam.

Outra ferramenta interessante é o Email Header Tracker, que permite identificar por quais IPs o email passou até chegar no destino usando o cabeçalho. Teoricamente, cada servidor por onde a mengasagem passa adiciona informações no header "Received: from servidor.com (200.xxx.xxx.xxx)"
mas lógico que isso não é 100% confiável, já que existem dezenas de técnicas de email spoofing.

Enfim, "stop to spam, Judas!" e

May The Force be with You.

Data Privacy Day

Ontem foi o #dataprivacyday um evento internacional promovido todo 28 de janeiro com a intenção de educar as pessoas sobre a privacidade dos dados.

A privacidade de dados tornou-se muito importante depois da explosão das redes sociais e muitos usuários ainda não sabem como se comportar no mundo virtual.
Algumas dicas sobre privacidade de dados podem ser encontradas aqui.

Aliás, ano passado, privacidade de dados foi o tema principal do DISI (Dia Internacional de Segurança em Informática). Inclusive tinha uma camiseta bem maneira:

E aí, o que você compartilha?

May The Force be with You.

Final de semana agitado (parte 2)

No post anterior falamos que o agito no mundo da Segurança da Informação começou já na quinta /* igual às pessoas que vão pra balada na quinta e emendam até domingo */. Mas não parou por aí, na sexta /* já era sábado do outro lado do mundo */ o GitHub, famoso site de sistemas de controle de versão na nuvem /* um dia ainda quero divagar sobre GitHub vs. SVN assim como Emacs vs. Vi (vs. nano) e Linux vs. M$Windows (vs. MacOS)*/ sofreu um ataque man-in-the-middle na China.

Vi no /* twitter do */ GreatFire.org, um site que tenta trazer "transparência" para o Great Firewall of China /* percebeu o trocadilho com a Grande Muralha né? rá! */.

A imagem mostra um certificado autoassinado /* com ou sem hífen? OMG, pq eu fui fazer exatas... */ quando se tentava conectar via HTTPS de um ip chinês.

Detalhe: No mesmo dia 25 o net-security publicou um post falando que o novo sistema de buscas do GitHub expunha senhas e chaves privadas.

Reflexão 1: nano >> vim > emacs?? /* brincadeira... */ 

Reflexão 2: China >> /* seleção de InfoSec do */ resto do mundo??

May The Force be with You.

Final de semana agitado (parte 1)

Essa semana que passou foi agitada no mundo da (in)Segurança da Informação.

Pra começar os trabalhos, na quinta-feira /* dia 24/01 */ uma empresa de consultoria em segurança sediada na Áustria divulgou /* depois de ter avisado o vendor */ uma backdoor que atinge quase todos os produtos da Barracuda Networks.

Pra quem não sabe, a Barracuda é uma empresa que fornece soluções de segurança como: Firewall, Filtro de Conteúdo Web, Filtro de Spam, Load Balancer, SSL VPN, WAF, entre outras coisas. É /*auto*/ reconhecida como uma das grandes do mercado de segurança. Particularmente, tive a experiência de administrar um cluster de Barracuda Spam and Virus Firewall /* aka filtro de spam */ e, apesar dos pesares, ele cumpria seu papel no bloqueio de mensagens indesejadas. Mas essa backdoor derrubou a Barracuda no meu conceito.

A falha consiste de contas de usuários (não documentadas) que podem ser usadas para loggar remotamente via SSH (port 22) nos appliances combinadas com uma regra de iptables mal-feita /* aka preguiça */ que permite o acesso a partir de um range privado e público de IPs /* incluindo IPs que não pertencem à Barracuda */.

Na prova de conceito, os pesquisadores conseguiram ganhar o shell da máquina logando com o usuário "product" e, posteriormente, obtiveram acesso ao banco MySQL /*senha fraca*/.

A Barracuda divulgou a falha, classificando-a como média e lançou uma atualização de correção. A "desculpa" é que as contas /* 'root', 'build', 'shutdown', 'product', 'ca', 'support', 'web_support', 'qa_test' */ eram para facilitar o suporte remoto aos produtos.

Reflexão 1: Ninguém está seguro, nem mesmo com produtos /*caros*/ líderes do mercado.
Reflexão 2: Até que ponto vale sacrificar a segurança em nome do suporte?

May The Force be with You.