[Segurança] Todos de orelha em pé por causa do Conficker

Ele já apareceu na Globo e na CBN.



O vírus Conficker (também chamado de Downadup por alguns fabricantes de anti-vírus) já infectou milhões de computadores no mundo inteiro desde seu surgimento em março, mas agora ele está recebendo um destaque grande da mídia pois alguns especialistas descobriram através de análise reversa do código que ele está programado para amanhã, dia 01/04, entrar em contato com os seus servidores (que controlam a botnet criada pelo vírus). Se isto se confirmar, milhões de máquinas vão tentar acessar estes servidores, o que pode representar um aumento significativo no tráfego Internet em todo o mundo e, de quebra, o risco de que estes vírus recebam algum comando do seu controlador, solicitando que eles realizem algum ataque ou façam alguma atividade maliciosa.

Diversos fabricantes, entidades e profissionais têm se esforçado para divulgar as informações sobre o que é esta praga e como se prevenir. A lista é extensa, mas gostaria de destacar alguns sites:

• O Alerta de segurança do US-CERT, com algumas informações rápidas, alguns links e recomendações para prevenção
• O alerta do CAIS é um bom resumo do verme Conficker em português
• Página da Microsoft sobre como remover o verme
• A Página da SANS específica sobre esta ameaça
• O Paper do pessoal do Honeynet Project
• Hotsite da McAfee
• No Blog da F-Secure: um FAQ e o post Conficker's domain routine has already started. Eles também disponibilizam uma ferramenta para desinfecção.

Uma referência final que eu quero destacar é a página do Conficker Working Group, que foi formado pelas principais empresas de segurança para centralizar informações sobre o combate ao vírus.

[Cyber Cultura] Quadrinhos "Geek"

Em uma ação de marketing bem simpática, a CISCO lançou uma série de quadrinhos online, chamada THE REALM, onde um time de quatro heróis combatem uma invasão nos sistemas de uma corporação. Cada herói corresponde a uma determinada solução de segurança, que juntos combatem um grupo de invasores e de códigos maliciosos.

O trabalho gráfico é muito caprichado e a história é interessante. Dos quatro episódios planejados, os 3 primeiros já estão disponíveis. São vídeos muito curtos e que valem a visita. De quebra, você ainda pode treinar um pouco o inglês.

[Cultura] Radiohead: ótima música, cocô de cavalo e filas

No final de semana passado fui no Show do Radiohead aqui em São Paulo, na Chácara do Jockey. O show foi excelente, onde eles apresentaram seus maiores sucessos e contou com abertura dos Los Hermanos (não sou fã deles, cheguei na metade da apresentação) e dos alemães eletrônicos do Kraftwerk, que eu simplesmente adorei, achei sensacional. O show contou com cerca de 30 mil pessoas e o local é muito legal, um grande descampado, com todo mundo numa enorme pista entre as árvores.

Embora o local seja bem legal, ele cheira a cocô de cavalo (hum... acho que por isso que o local se chama "chácara do jockey" e tem vários estábulos), é pouco conhecido (difícil de achar, embora tenham colocado muita sinalização no caminho) e, o que é pior, de acesso precário: há apenas duas vias principais de acesso, a Av. Francisco Morato e a Av. Eliseu de Almeida. Como se não bastasse que as duas avenidas estejam em obra, a Fco. Morato está interditada num determinado ponto, no meio do caminho para o show, forçando um desvio obrigatório pela Eliseu de Almeida, que é uma avenida péssima, que desde que eu a conheço sempre foi cheio de buracos e péssimo asfalto (e piorou por causa das obras). E o que acontece se você junta 30 mil pessoas com uma péssima organização?



O mais irritante no show eram as filas absurdamente gigantescas e desorganizadas para comprar comida e bebida. Fiquei aproximadamente 30 minutos na fila só para comprar o ticket para a bebida e a comida, para depois entrar no meio da multidão, num empurra-empurra desnecessário, para pegar a cerveja (veja foto acima). E em seguida tive que enfrentar tudo de novo, pois o pessoal da bebida não lhe servia a comida (um cachorro-quente muito do sem graça). Moral da história: sem brincadeira, fiquei metade do show do Kraftwerk e todo o intervalo antes do Radiohead só para tomar uma cerveja, uma coca-cola e comer um cachorro-quente.

Após o término do espetáculo, todas as 30 mil pessoas tinham uma única saída da pista: um caminho estreito em descida, com o chão de pedrinhas, onde a multidão se apertava para andar (veja foto abaixo). Se tivesse acontecido algum problema na pista e a multidão saísse correndo (por exemplo, no caso de uma briga), o resultado seria catastrófico. O local tinha algumas saídas de emergência, mas a organização não liberou a saída por elas, o que poderia ter facilitado muito a vida de todos e, por tabela, ofereceria mais segurança.

[Segurança] ISSA Day - Março de 2009

O Capítulo Brasileiro da ISSA vai realizar o próximo ISSA DAY no dia 19 de Março de 2009, com o apoio da Thomason Technologies.

O ISSA Day é um evento gratuito da ISSA Brasil, e nesta edição será aberto a todos os interessados. Será realizado no Sonesta São Paulo Ibirapuera (Avenida Ibirapuera, 2534, Moema) a partir das 19hs.

Programação:

19h00 às 19h15 - Apresentação de abertura da ISSA Brasil
19h15 às 20h15 - “Security Through Whitelisting” - David Thomason
20h15 às 20h45 - Coffee Break e Networking
20h45 às 22h00 - “BOUNCER by CoreTrace” - Apresentação e Demonstração - David Thomason
22h00 às 22h10 - Sorteio de brindes

As inscrições devem ser feitas através do formulário no site da ISSA Brasil.

[Segurança] Reportagem da BBC sobre Botnets

A rede BBC publicou em seu site uma série de reportagens interessantes e controversas, chamada "Cyber crime risk exposed", que mostra como é fácil utilizar uma botnet para o envio de SPAMs ou realização de um ataque DDoS. Esta reportagem está disponível nline e também será exibida no canal de televisão.



A equipe contratou uma botnet com 22 mil hosts e, para demonstrar o seu poder, inicialmente a utilizaram para enviar automaticamente milhares de mensagens de SPAM para duas contas de e-mail recém criadas, conforme exibido em "BBC team exposes cyber crime risk". Após definir os parâmetros da mensagem e os endereços que as receberiam, o resultado foi que em poucas horas as caixas postais já tinham recebido mais de 6 mil e-mails (é possível ver que uma delas tinnha 1.275 mensagens na caixa de entrada e 5.505 na caixa de "Junk" - que foram as mensagens identificadas automaticamente como SPAM pelo webmail).



Em seguida, conforme consta na reportagem "How cyber criminals attack websites", eles utilizaram a botnet para realizar um ataque DDoS (Distributed Deny of Service) contra um website específico. Bastou utilizar 60 computadores da botnet para tornar o site inacessível.



É interessante mencionar também que vários sites e especialistas questionaram a validade legal e ética deste tipo de atitude, de contratar uma botnet (possivelmente eles pagaram o dono da botnet pelos serviços) e enviar SPAM e ataques através de computadores de terceiros (veja as críticas nos sites do The Register, da Out-Law, Sophos e ZDNet). A BBC se defende dizendo que não realizou nenhuma atividade efetivamente maliciosa e que, no final, orientou os donos dos computadores infectados a desativares os bots e como se protegerem.

[Segurança] uCon Security Conference

Na semana passada eu tive a oportunidade de participar da uCon Security Conference, que aconteceu na maravilhosa cidade de Recife e reuniu cerca de 150 pessoas, entre profissionais, acadêmicos, estudantes e pesquisadores de segurança, a maioria de Recife e de várias cidades do Nordeste.

O evento durou um dia, repleto de palestras de excelente qualidade sobre hacking, realizadas por speakers internacionais (US, Espanha e Argentina) e brasileiros. Seria injusto dizer se uma palestra foi melhor ou pior que a outra, pois todas foram ótimas. Mas eu, particularmente, gostei muito das apresentações do Rodrigo BSDaemon sobre técnicas de esconder e detectar shellcodes (e onde as ferramentas atuais falham) e do Gustavo Bittencourt sobre como ele e o Julio Fort conseguiram explorar o ataque extendido de exaustão de servidores DHCP ("Extended DHCP Exhausting attack"), sobre como exaurir todos os endereços IP de um servidor DHCP, mesmo que ele atenda a várias subredes. Estas palestras apresentraram novas técnicas de exploração de vulnerabilidades e mostram claramente que o Brasil possui pesquisadores excepcionais.

[Segurança] "Resource Guide" da ISC2 agora é online

Neste ano, a ISC2 está disponibilizando online o seu tradicional
"2009 Resource Guide for Today's Information Security Professional, Global Edition".

Este é um guia excelente, que normalmente é distribuído impresso ou em um CD, que relaciona uma extensa lista de sites, eventos, publicações e associações de segurança da informação. É uma ótima fonte de referência para pesquisa e para conhecer os melhores recursos disponíveis para os profissionais de Segurança da Informação. Agora o guia está disponível em uma versão online, gratuitamente, no site https://resourceguide.isc2.org.

Na versão online, cada categoria possui uma página inicial de busca. Mas basta fazer a busca em branco (sem nenhum parâmetro) para ver a relação completa com todos os resultados.

[Segurança] 10 passos para se proteger contra uma Guerra Cibernética

Sei-lá-porque, acabei caindo na página de um artigo de 2007 da NetworkWorld chamado "10 steps to prepare for cyberwar", que foi escrito na época do ataque DDoS de grupos russos a Estônia, que levantou uma discussão generalizada sobre a possibilidade efetiva de uma guerra cibernética (ou Guerra 3.0, como eles chamaram). Eu achei este artigo bem interessante pois ele simplifica 10 dicas bem genéricas sobre como as empresas devem encarar a segurança e a necessidade de resposta a incidentes.

Abaixo eu reproduzo emas, com alguns comentários adicionais meus, para complementar o artigo:

• Manter um inventário de rede: de fato, esse deve ser o primeiro passo para tudo. Antes de mais nada, a empresa tem que saber que ativos possui. Quais equipamentos, qual a configuração e qual o uso. Depois vamos pensar em segurança. A única vez que vi isso acontecer foi na época dao Bug do Milênio, que as empresas relacionaram todos os seus ativos e testaram tudo para garantir que não teriam problema (ou para consertarem os problemas antes de ocorrerem). Foi um trabalho que, certamente, muitas empresas jogaram fora depois da virada de ano. Duvido que muitas empresas tenham mantido esse levantamento atualizado até hoje.
  
• Mantenha a rede privada separada da Internet, logicamente e fisicamente: Só forneça acesso a Inernet para quem realmente precise disso. Muitos servidores são para uso interno e não precisam ter acesso a Internet.
  
• Seja vigilante, mantenha um time de monitoramento de rede ativo constantemente, 24x7, com conhecimento sobre a sua rede, seus equipamentos e com ferramentas para monitorar o ambiente.
  
• Eduque seus profissionais sobre as práticas de segurança em TI. Todos os profissionais, incluindo os usuários e o seu time de TI (analistas de suporte, de redes, de servidores, além de BDAs e desenvolvedores) devem ter conhecimentos básicos sobre as necessidades e ameaças de segurança e, principalmente, devem ser orientados sobre como realizar suas atividades de forma segura. Muitas empresas estão acostumadas a desenvolver campanhas de conscientização para seus usuários, mas nem todas se preocupam em orientar o seu time de TI sobre como realizar o trabalho deles seguindo boas práticas de segurança - este é um conhecimento mais especializado que poucos possuem, embora esteja disponível facilmente na Internet e em vários livros.
  
• Tenha políticas e planos de segurança e os teste periodicamente. Sem comentários... A Política de Segurança deve exitir e ser a base para todas as atividades da empresa.
  
• Saiba como contactar o seu ISP em caso de emergência. O provedor de acesso (ISP) desempenha um papel fundamental para ajudar as empresas que estejam sofrendo um ataque. Eles podem auxiliar na identificação da fonte do ataque, podem ajudar com orientações e com sua experiência. Muitos ataques podem ser barrados pelo ISP antes de chegarem a afetar o link de comunicação e os servidores da empresa.
  
• Tenha um plano de backup. Nenhuma empresa deveria funcionar sem ter um Plano de Continuidade de Negócios (PCN) que a oriente como agir em caso de um problema em sua infraestrutura (por exemplo, o que fazer se o sistema de faturamento parar) ou em caso de um incidente de maior proporção (por exemplo, se a empresa deve ter um datacenter backup ou não, e como agir). Muitas empresas sequer tem uma política de backup de dados consistente, o que pode ser trágico para os negócios. Hoje a capacidade de criar, manter e proteger a informação é crucial para todas as empresas.
  
• Reduza sua exposição. O artigo chamou este ítem de "Reduce your profile" e incluiu uma dica de aumentar a segurança física das instalações da empresa, mas eu interpreto aqui como sendo a necessidade de diminuir as informações sobre a empresa que são mantidas publicamente ou que são divulgadas (intencionalmente ou não). O objetivo é evitar que um atacante descubra informações que facilitem seu ataque, como saber aonde fica o local da empresa, os nomes dos executivos, os telefones de contato, etc. Evite divulgar qualquer informação sobre a empresa, sobre seus equipamentos e sobre seus profissionais (por exemplo, divulgar qual é a infra de TI em um artigo para uma revista especializada ou um funcionário que fale "mais do que devia" em uma lista de discussão). Ah, e não esqueça da segurança física. Vejo muitos profissonais de Segurança da Informação se preocupando com os aspecto tecnológicos e relevando, ou não dando a devida atenção, para a segurança física do ambiente.
  
• Cuidado com o usuário interno. Essa é uma dica que falamos constantemente: os piores ataques e fraudes são causados por funcionários internos, que possuem acesso a sistemas e, repentinamente, os utilizam para fins malignos.
  
• Finalmente, mantenha um plano de resposta a incidentes. Isto deve fazer parte da sua política de segurança (dica 5) e estar relacionado também ao seu PCN (dica 7). O plano de resposta a incidentes define quem é responsável por agir em caso de um ataque cibernético e orienta estas pessoas a como e quando agir. Este time deve ser treinado e deve realizar simulações periodicamente, pois devem estar aptos a responder a um ataque a qualquer momento. Responder a um ataque, no caso, corresponde a saber identificar um ataque, isolar sua origem e seu destino, saber como barrar este ataque e como realizar uma análise forense dele (se necessário).
  

Como disse anteriormente, este artigo é bem interessante e estas dicas se aplicam a qualquer empresa e a qualquer tipo de incidente de segurança, e não apenas no caso de uma guerra cibernética (como o título leva a crer). Boa leitura :)

[Cyber Cultura] Blogosfera Policial

Na Campus Party 2009 eu tive a oportunidade de assistir o painel Blogosfera Policial, um debate muito interessante entre os policiais que possuem blogs e os utilizam como forma de falar sobre qual é a realidade do dia-a-dia deles. No debate foram discutidos os tipos de blogs, os aspectos positivos e negativos e, o mais interessante, a dificuldade desses policiais manterem seus blogs frente as rígidas regras policiais e militares, que regulam a liberdade de expressão deles.

O Alexandre de Souza, do blog "Diario de um PM" e o blog "Abordagem Policial" juntos criaram uma lista de blogs policiais, que totaliza 59 blogs de policiais de todo o Brasil e de várias polícias (policiais militares, civis e federais). Alguns destes "policiais blogueiros" usam a Internet para divulgar o trabalho da polícia, outros para dar dicas de segurança para as pessoas, outros para divulgar conhecimento entre os profissionais (como posts explicando novas armas, tecnologias ou qualquer coisa relacionada ao trabalho) e, por fim, alguns utilizam a Internet para discutir os problemas da corporação. Alguns blogs falam um pouco de tudo, outros acabam seguindo uma temática mais específica.

O uso da Internet está se infiltrando tanto entre esses policiais que alguns deles possuem Twitter e eles também criaram o site PM Tube, para compartilhar vídeos sobre o dia-a-dia dos policiais.

[Cyber Cultura] A história da Internet

Há um vídeo-documentário muito interessante no YouTube sobre a "História da Internet", de 1957 até os dias de hoje. Mostra rapidamente, através de uma narrativa fácil e objetiva, as principais motivações e evoluções tecnológicas que foram responsável pelo surgimento da Arpanet e o seu crescimento até a atual Internet.