$sudo blogate

Hackers atacam sites da Presidência e da Receita Federal

2011-06-22T10:18:00.000-03:00

Veja a matéria no IDG Now!

7 dados pessoais que nunca devem cair na Internet

2011-06-01T15:05:00.001-03:00

Matéria utilíssima da revista Exame sobre privacidade e segurança na era das redes sociais...

Conforme o texto da matéria: “O brasileiro em geral é exibido e ingênuo. As pessoas ainda não sabem separar a esfera pública da esfera privada e acabam expondo informações íntimas de maneira exacerbada na internet”.

7 dados pessoais que nunca devem cair na internet

O vazamento de dados da Sony PlayStation Network (PSN) e os comentários de Anton Chuvakin

2011-04-29T13:55:00.004-03:00

Tudo começou com a indisponibilidade da PSN a partir de 19/04/2011. Mal sabiam os usuários, que tratava-se de um incidente de segurança que se transformaria na 4ª maior perda de dados do mundo (de acordo com o DATALOSSdb).

Uma invasão na rede da Sony PSN, dedicada aos jogadores de Playstation, ocorrida entre 17 e 19 de abril de 2011 e que demorou a ser admitida pela companhia, resultou no roubo de mais de 77 milhões de registros de usuários, incluindo dados de cartão de crédito. A empresa já é processada por falhar na proteção dos dados, na prestação de informações aos usuários, na continuidade da rede e também por violar normas da Indústria de Pagamento de Cartões (PCI) americana.

As primeiras análises estimam o prejuízo da Sony em 1,5 bilhão de dólares, sem contar o custo de substituição dos cartões de crédito que gira em torno de 300 milhões de dólares.

Quanto às consequências do incidente, o analista de segurança Anton Chuvakin resumiu no seguinte post: On Sony PSN Breach and Commenting

Maiores informações podem ser obtidas em:

DATALOSSdb

Reuters - Sony breach could cost card lenders $300 mln

Reuters - Analysis: What's so special about Sony's massive data breach?

CNET - Sony: Personal info compromised on PSN

CNN - Sony: Hacker stole PlayStation users' personal info

ITweb - Sony é processada por invasão em rede do PlayStation

Apple promete segurar a língua do Iphone dedo-duro

2011-04-28T17:31:00.002-03:00

O assunto da semana é a descoberta, feita por pesquisadores dos EUA, que o Iphone armazena em um arquivo oculto dados de localização do usuário e que, com auxílio de um programa, seria possível ter acesso a esses dados, traçando um perfil da movimentação e da rotina de seu utilizador.

Ainda mais impresionante foi a constatação de que os dados são recolhidos mesmo com o GPS desativado, por meio da boa, velha, mas nem tão precisa triangulação de antenas.

Qualquer um que tenha acesso ao Iphone ter acesso a essas informações, que põem em risco a segurança de pessoas, empresas e até nações.

A Apple classificou esse "furo" como um bug do serviço Location Services "que deverá ser corrigido em breve". Não me parece que algo tão sofisticado e tão grave tenha sido feito "sem querer". Certamente são dados de grande valor comercial e a própria Apple já admitiu que coleta dados de GPS dos aparelhos sem, contudo, "associá-los a um usuário específico".

Já parou para pensar no que a RIM faz com os dados de GPS do seu Blackberry? E o que a Google faz com os dados do Google Latitude?

Fica o alerta, principalmente para as empresas e organismos de Estado que têm distribuído Iphones e Blackberries aos seus funcionários.

Leia mais em IDG NOW! e Macworld.

A guerra do futuro... ou seria do presente?

2011-04-25T17:44:00.002-03:00

Dez meses depois de sofrer ataque cibernético contra seu programa nuclear, o Irã alega ser vítima de "vírus espião".

É interessante notar que as pessoas chamadas pelo Sr. Ghalam Jalali de "jovens cientistas" parecem formar uma equipe de defesa cibernética, mais uma demonstração de que governos fundamentalistas não necessariamente ignoram os avanços tecnológicos, principalmente aqueles de emprego militar.

Boletim Segurança Atual

2011-04-06T09:14:00.004-03:00

É com prazer e algum atraso que venho divulgar o boletim Segurança Atual, editado por amigos da turma do CEGSIC 2008/2010, todos profissionais da área de Segurança da Informação e Comunicações.

Rico em conteúdo, o boletim está em sua 3ª edição, a primeira em formato de revista. As edições do boletim podem ser baixadas em http://jornalsic.wordpress.com/

Os editores recebem contribuições e sugestões através do e-mail que se encontra no corpo da revista.

Seguros já excluem cobertura por ataques cibernéticos

2011-03-30T00:00:00.041-03:00

Atentas às modificações no cenário em que realizam suas operações, as seguradoras já passaram a citar como causas de exclusão de cobertura em determinados seguros os ataques cibernéticos.

A seguir, trecho das Condições Gerais de seguro para transporte de mercadorias comercializado por uma grande seguradora e aprovado pela Superintendência de Seguros Privados (SUSEP):

"O presente seguro não cobre, em hipótese alguma, as perdas, danos e despesas, conseqüentes, direta ou indiretamente, de: (...)

n) armas químicas, biológicas, bioquímicas, eletromagnéticas e de ataque cibernético; (...)"

Fico me perguntando se já não existe seguro contra danos decorrentes de ataques cibernéticos. Certamente seria um campo promissor para profissionais capazes de mensurar o risco nesse ramo tão específico.

Já imaginaram segurar, por exemplo, paralizações em sites como Amazon.com, PayPal, etc.?

Como mensurar os danos à imagem de uma empresa causados por uma invasão?

Brasil e Rússia assinam acordo de ajuda mútua para o Setor Cibernético

2011-03-29T16:47:00.001-03:00

Além de capacitação de pessoal e exercícios conjuntos, Brasil e Rússia, duas das maiores origens de SPAM, phishing e demais ataques do mundo, poderiam ter incluído termos para a apuração de crimes cibernéticos. Até agora nada... http://tinyurl.com/4u7duhn

Para ilustrar, seguem as últimas estatísticas de incidentes reportados ao Cert.br por origem (Country Code): http://tinyurl.com/4e4xpxd

ISO 27005 no levantamento de ativos para análise/gerenciamento de riscos

2011-03-28T11:19:00.000-03:00

Um dos primeiros desafios que surgem quando se deseja realizar uma análise de riscos ou implementar um processo de gerenciamento de riscos em uma organização é o levantamento dos ativos a proteger.

Lembrando, ATIVO é tudo aquilo que tem valor para a organização (ABNT ISO/IEC 27001:2006), algo que possui VULNERABILIDADES sujeitas a AMEAÇAS.

Vulnerabilidade é uma fraqueza de um ativo ou grupo de ativos que pode ser explorada por uma ou mais ameaças. (ABNT ISO/IEC 27005:2008)

Ameaça é a causa potencial de um incidente que pode resultar em dano para o sistema ou organização. (ABNT ISO/IEC 27005:2008)

Para subsidiar a Política de Segurança da Informação e Comunicações (POSIC) em minha organização, foi necessária a realização de uma análise de riscos. Realizamos o levantamento de ativos através de entrevistas com os gestores e precisamos encontrar formas de estimulá-los a descrever os pontos-chave dos processos de negócio em que estavam envolvidos. O Anexo B das normas ABNT ISO/IEC 27005:2008 traz, com a ajuda de exemplos, uma forma de categorizar os ativos e tornar mais intuitiva a tarefa de identificação. Fica a dica!

Backtrack 4 R1

2010-08-17T10:46:00.002-03:00

Já está disponível a Release 1 do Backtrack 4, lançado oficialmente na DEFCON 2010:
http://www.backtrack-linux.org/downloads/

Além do novo kernel 2.6.34, foram incluídas também algumas atualizações de drivers e melhorias no desempenho da interface gráfica. Houve também uma boa atualização das ferramentas, incluidno agora um ambiente desktop Fluxbox.

De acordo com o roadmap para o Backtrack, deve ser lançado a Release 2 em Outubro e o Backtrack 5 deve sair em Fev/2011.

Fórum Backtrack em Português

2010-07-24T21:12:00.000-03:00

Para os usuários do Backtrack, está disponível o fórum oficial (mantido pela Offensive Security) do Backtrack em português, do qual sou um dos moderadores.

Segue o link: http://www.backtrack-linux.org/forums/backtrack-portuguese-forums/

Atualizando Metasploit Framework 3

2010-07-08T10:01:00.000-03:00

Na versão 3 do framework Metasploit, o script msfupdate não é mais suportado. Em seu lugar deve ser utilizado cliente subversion.

Antes de mais nada, se estiver atrás de um proxy, é preciso configurar o subversion para utilizá-lo. Isto é feito no arquivo ~/.subversion/servers. A forma mais simples de configurar o proxy é editar as variáveis http-proxy-* no escopo [global].

Feito isso, basta executar # svn update no diretório de instalação do Metasploit 3. No Backtrack 4, por exemplo:

/pentest/exploits/framework3# svn update

[msfconsole, imagem de vivaolinux.com.br]

Descoberta grave vulnerabilidade no Centro de Ajuda do Windows

2010-06-16T19:33:00.000-03:00

Até o momento, descobriu-se que são vulneráveis o Windows XP e o Windows 2003 Server.

Segue link para o exploit-db.

Bloqueando acesso ao htaccess.txt via apache2.conf

2010-06-08T11:20:00.004-03:00

Em muitos casos, o arquivo htaccess.txt é utilizado para implementar diretivas de segurança em websites. No entanto, o acesso ao próprio htaccess.txt (e a consequente revelação dessas diretivas) é um risco. Para bloquear o acesso, insira as seguintes linhas no apache2.conf:

&ltDirectoryMatch  ^/var/www/*&gt

  &ltFiles htaccess.txt&gt

    order  allow,deny

    deny from all

  &lt/Files&gt

&lt/DirectoryMatch&gt

Obs.: O uso da expressão regular ^/var/www/* inclui na regra os subdiretórios de www/. Substituir &lt por sinal de menor e &gt por sinal de maior.

Segue uma fonte interessante: Guia completo do apache.

Austrália investiga Google por invasão de privacidade

2010-06-06T12:54:00.000-03:00

Leia aqui.

Sim, foi acidente, sei...
Os serviços da Google são ótima fonte, para a empresa (e por que não dizer para o governo americano?), de informações privilegiadas. Esqueça privacidade e sigilo...

Por falar em privacidade e sigilo, você já teve a curiosidade de ler os termos de serviço do Gmail?

O usuário retém direitos autorais e quaisquer outros direitos que já tiver posse em relação ao Conteúdo que enviar, publicar ou exibir nos Serviços ou através deles. Ao enviar, publicar ou exibir conteúdo, o usuário concede ao Google uma licença irrevogável, perpétua, mundial, isenta de royalties e não exclusiva de reproduzir, adaptar, modificar, traduzir, publicar, distribuir publicamente, exibir publicamente e distribuir qualquer Conteúdo que o usuário enviar, publicar ou exibir nos Serviços ou através deles.

Muito cuidado com os dados que insere no Gmail e nos demais serviços da Google, principalmente se quiser que eles se mantenham sigilosos...

National Checklist Program (NCP): repositório de checklists do NIST

2010-06-05T12:07:00.008-03:00

É um repositório de checklists de configuração segura para diversos sistemas operacionais e aplicações. Muito interessante!

http://web.nvd.nist.gov/view/ncp/repository

Convertendo imagem VHD (Microsoft Virtual PC) para VMDK (VMware)

2010-06-04T18:51:00.003-03:00

Precisei de uma máquina WinXP SP2 para testar buffer overflows e encontrei no site do NIST:

XP_NIST_FDCC_Q4_2009.zip
XP_NIST_FDCC_Q4_2009.z03
XP_NIST_FDCC_Q4_2009.z02
XP_NIST_FDCC_Q4_2009.z01

Download feito e máquina virtual descompactada, deparei-me com o formato .vhd, do Virtual PC.
Para converter para .vmdk, utilizei o Starwind V2V Converter, que converte tanto de .vhd para .vmdk quanto de .vmdk para .vhd.

Lembre-se que .vmdk é o disco virtual de uma máquina .vmx. Logo, é necessário criar uma máquina virtual (para que o arquivo de configuração .vmx seja criado) e apontar o disco da nova máquina para o arquivo .vmdk.

Para criar uma máquina virtual e associar ao disco .vmdk: File -> New -> Virtual Machine -> Custom.
Escolher a opção "Use an existing virtual disk".

Atualização (19:27h):

Esqueci de dizer que usuário/senha para essa máquina são: Renamed_Admin/P@ssw0rd123456

Cyber Hacking Challenge by Offensive Security

2010-06-03T11:42:00.000-03:00

Hacking Challenge #2 – HSIYF for Charity

"How Strong is Your Fu, the first cyber hacking challenge from Offensive Security was a massive success and brought on the birth of a new Offsec tradition of Cyber Hacking Challenges. We sent over 600 people crying back to their mama with our noob filter alone."

Custo: US$ 49

48 horas de ação (ou de "n00b filtering" :p) começando em 19 Jun.

Inscrições em 6 Jun, os 102 primeiros inscritos receberão um ambiente privado para o desafio.

Para quem quiser ver a documentação do vencedor do Hacking Challenge #1: http://www.information-security-training.com/documentation/01-snowytoxa.pdf

Ele é da Rússia e completou em 14:52h. As documentações dos outros podem ser vistas em http://www.information-security-training.com/news/hsiyf-runner-up-documentation/

Para quem gosta de engenharia social, segue uma competição tipo "capture the flag" de SE:

The Social Engineering CTF – How Strong is Your Schmooze

Blackbull Security Day

2010-04-12T21:39:00.000-03:00

Estarei lá...

Métodos em análise de risco

2010-03-17T09:00:00.066-03:00

Análise de riscos envolve o levantamento de probabilidade de ocorrência de eventos indesejáveis (ameaças x vulnerabilidades) e o impacto aos ativos da organização. Deve considerar os objetivos de negócio e vai embasar decisões nos níveis estratégico, tático e operacional.

Existem dois métodos para a realização da análise, os quais podem até mesmo ser empregados conjuntamente.

O primeiro método é o quantitativo, que procura avaliar monetariamente os efeitos da materialização do risco, ou seja, quantifica a perda financeira para a organização. Nem sempre é simples estimar tais valores.

O método qualitativo, por sua vez, atribui mençõs subjetivas aos diversos componentes da avaliação de riscos. Em primeiro lugar, a probabilidade de ocorrência é obtida a partir das ameaças e das vulnerabilidades. Depois, a probabilidade (por exemplo: alta, média ou baixa) é posta em uma matriz com o impacto (por exemplo: alto, médio ou baixo). Desse cruzamento são visualizados os riscos que devem ser priorizados.

(figura retirada de http://www.tenstep.com.br)

A análise qualitativa é mais rápida, independe da precisão numérica da análise quantitativa. No entanto, a habilidade do avaliador em determinar os níveis de probabilidade e impacto será determinante para uma análise qualitativa condizente com a realidade.

Quem está à frente na guerra cibernética?

2010-03-16T19:26:00.001-03:00

China, EUA e Rússia estão em corrida armamentista na internet, diz empresa

O worm Morris e os primórdios do tratamento de incidentes de segurança computacional

2010-03-15T20:06:00.006-03:00

O texto que segue é parte da introdução da minha monografia de especialização em Gestão de SIC e retrata a primeira grande DoS, a propagação dos vírus e os motivos pelos quais foram criados o CERT/CC e os primeiros times de resposta a incidentes ao redor do mundo:

O primeiro grande evento de segurança de que se tem notícia ocorreu no final dos anos 80, quando a grande rede era ainda a ARPANET criada pela Defense Advanced Research Projects Agency (DARPA), do Departamento de Defesa dos EUA. Desenvolvido por Robert Tappan Morris e lançado do Massachussets Institute of Technology (MIT) em 2 de novembro de 1988, o worm Morris não foi a primeira praga de computador a ser transmitida pela rede, mas certamente foi a primeira a suscitar signi cativo apelo na mídia por infectar um grande número de sitemas ao redor do mundo e representar, mesmo que acidentalmente, um e ficiente ataque de negação de serviço.

O caso Morris serviu também como alerta para a necessidade de cooperação e coordenação entre administradores de sistema e entre gestores de Tecnologia da Informação de modo a lidar com eventos como esse, cujas proporções extrapolam organizações e até Estados nacionais. Ainda em 1988, Eugene Spa ford, um dos primeiros especialistas a analisar o código do worm Morris, escreveu:

This attack should also point out that we need a better mechanism in place to coordinate information about security flaws and attacks. The response to this incident was largely ad hoc, and resulted in both duplication of e ort and a failure to disseminate valuable information to sites that needed it. Many site administrators discovered the problem from reading the newspaper or watching the television. The major sources of information for many of the sites a fected seems to have been Usenet news groups and a mailing list I put together when the worm was first discovered. Although useful, these methods did not ensure timely, widespread dissemination of useful information especially since they depended on the Internet to work! Over three weeks after this incident some sites were still not reconnected to the Internet.

Logo após o ocorrido, em um encontro realizado pela DARPA para discutir formas de melhorar a resposta a incidentes de segurança, apontou-se a necessidade de criar um ponto único de contato para problemas de segurança na Internet. Em resposta, foi criado o CERT Coordination Center (também conhecido como CERT/CC e originalmente denominado Computer Emergency Response Team), para ser o ponto central na coordenação de resposta a emergências de segurança em redes.

Rapidamente, outras equipes de tratamento de incidentes de segurançaa surgiram, voltadas para organizações ou regiões geográficas específicas. Em 1990, onze equipes criaram um fórum informal, o Fórum de Resposta a Incidentes e Equipes de Segurança (em inglês, FIRST). Hoje o FIRST é uma organização formal que, em conjunto com os times membros, visa "coordenar respostas a incidentes de segurança computacional, assistir sítios a lidar com ataques e educar usuários de redes acerca das ameaças de segurança computacional e técnicas de prevenção".

Hoje uma série de times de resposta a incidentes realiza suas atividades em alto nível prestando os mais variados serviços. São capazes de fornecer a experiência e o conhecimento necessários às equipes em desenvolvimento. De fato, estruturas, planos de implantação e processos estão disponíveis para consulta, no entanto, as maiores di culdades residem na observância e no desenvolvimento da cultura da organização e nas capacidades de adaptar-se às mudanças constantes de panorama e de tempo de resposta às ameaças.

Funcionários do Pentágono aprenderão técnicas de hackers para defender redes militares - O Globo Online

2010-03-13T12:44:00.000-03:00

Funcionários do Pentágono aprenderão técnicas de hackers para defender redes militares - O Globo Online

Adicionando um usuário à lista de "sudoers"

2009-03-17T14:41:00.002-03:00

# echo 'loginname ALL=(ALL) ALL' >> /etc/sudoers

Onde loginname é o login do usuário que se quer adicionar.

Configurando proxy para o YUM

2009-03-17T14:07:00.003-03:00

Devemos especificar os detalhes do servidor proxy no arquivo de configuração do YUM:

$ sudo vim /etc/yum.conf

Adicionar as seguintes linhas (substituindo os exemplos pelo enderço, usuário e senha reais):

# The proxy server - proxy server:port number
proxy=http://mycache.mydomain.com:3128
# The account details for yum connections
proxy_username=yum-user
proxy_password=qwerty