Reflexões sobre o Estado Atual da Segurança na Internet - PDF
Download "Reflexões sobre o Estado Atual da Segurança na Internet"
Stella Carreiro Paranhos
1 Reflexões sobre o Estado Atual da Segurança na Internet Cristine Hoepers, D.Sc. Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil Núcleo de Informação e Coordenação do Ponto BR Comitê Gestor da Internet no Brasil
2 Agenda Contextualização Internet no Brasil CERT.br / NIC.br / CGI.br Ataques mais frequentes Desafios Considerações finais Leituras recomendadas livros, sites, blogs
3 Internet no Brasil
4 Evolução da Internet no Brasil 1989 Criação e delegação do código de país (cctld).br à FAPESP 1991 Primeira conexão TCP/IP brasileira, realizada entre a FAPESP e a ESNet 1995 Portaria MC/MCT nº 147, de 31 de maio, cria o CGI.br Ø coordenar e integrar todas as iniciativas de serviços Internet no país, promovendo a qualidade técnica, a inovação e a disseminação dos serviços ofertados 1995 Criação do Registro.br 1997 Criação do CERT.br (à época NBSO) 2005 Criação do NIC.br entidade sem fins lucrativos para executar as diretrizes do CGI.br e prestar serviços para a estabilidade e segurança da Internet no Brasil
8 Ataques mais Comuns
9 Ataques a usuários finais Fruto da mudança no enfoque dos atacantes é mais fácil e rentável atacar um usuário Fraudes financeiras páginas falsas estão voltando a ter números significativos drive-by downloads sendo usados intensamente no Brasil casos publicados na mídia incluem: sites principais da Vivo, da Oi e da Ambev Outras motivações - espionagem, sabotagem - nesses casos chamados de APTs ( Advanced Persistent Threats ) Casos conhecidos cujos vetores iniciais foram usuários redes de alto valor - Comprometimento da DigiNotar PKI da Holanda - Caso Aurora (Google, Microsoft, etc, invadidos por meses) - New York Times
10 Ataques a dispositivos Modems e roteadores banda larga (CPEs) Botnets usadas para ataques diversos comprometidos via força bruta (telnet) vários modelos com outras vulnerabilidades Ex.: Zollard worm, que explora vulns. de PHP Comprometimento para alteração do serviço DNS para fraudes financeiras redirecionamento para obter cliques de propaganda DDoS (negação de serviço distribuída) Dispositivos com sistema Android Botnets, fraudes e outros tipos de malware NAS e outros sistemas com storage (como DVR s) Ex.: Synology Bitcoin miner
11 Ataques a serviços de rede De força bruta (adivinhação de conta/senha) contra serviços de rede SSH, FTP, Telnet, VNC, RDP, etc acesso a servidores, roteadores, CPEs, celulares, etc Não tão frequentes, mas com grande impacto por serem contra a infraestrutura crítica da Internet ataques contra servidores DNS contra protocolos de roteamento como o BGP Sistemas SIP (VoIP) Força bruta para realização de ligações internacionais e fraudes Anatomy of SIP Attacks volume-37-number-6/anatomy-sip-attacks
12 Ataques a servidores Web Muitas vulnerabilidades de Software - softwares de CMS desatualizados - Wordpress, Joomla, Doldfusion - uso de pacotes prontos - falta de atualização dos sistemas operacionais - muitas falhas de programação: - falta de validação de entrada - falta de checagem de erros - exploração automatizada - Ex.: botnet Brobot
14 DRDoS DDoS via amplificação de tráfego UDP Exemplo: Abuso de servidores DNS Recomendações para Evitar o Abuso de Servidores DNS Recursivos Abertos Amplification Hell: Revisiting Network Protocols for DDoS Abuse
15 O Foco da Marioria dos Ataques Continuará Sendo Serviços Online Grande demanda por e-services Dados sensíveis estão mais expostos por necessidade, comodidade ou descuido Segurança não é prioridade Impactos não são compreendidos Sistemas críticos são conectados à Internet controle de infrasestruturas críticas caixas automáticos (ATMs) sistemas de imigração e identificação Clientes/Usuários Internet como parte do dia-a-dia Usuários não são especialistas Grande base - de dispositivos vulneráveis - com banda disponível Mais fáceis de atacar Possuem dados de valor - dados financeiros - endereços de válidos - credenciais de acesso Dispositivos podem ser usados para outros ataques - botnets Ø Os criminosos estão apenas migrando para onde os negócios estão
16 Por que são tão fáceis?
17 Reais Causas dos Problemas Cenário atual é reflexo direto de Aumento da complexidade dos sistemas Softwares com muitas vulnerabilidades Segurança não é parte dos requisitos Falta de desenvolvedores capacitados para desenvolver com requisitos de segurança Pressão econômica para lançar, mesmo com problemas É uma questão de Economics and Security Administradores de sistemas, redes e profissionais web segurança não é parte dos requisitos tem que correr atrás do prejuízo ferramentas de segurança não conseguem remediar os problemas ferramentas de ataque estão a um clique de distância
18 Russian Underground Serviços Disponíveis Pay-per-Install (global mix or specific country): $12 $550 Bulletproof-hosting with DDoS protection: $2000 per month Styx Sploit Pack rental (affects Java and Adobe Acrobat and Flash Player) $3000/month Programming: web server hacking $250; browser-in-the-middle $850; trojans $1300 Windows rootkit (for installing malicious drivers): $292 Linux rootkit: $500 Hacking Facebook or Twitter account: $130 Hacking Gmail account: $162 Hacking corporate mailbox: $500 Proxy service: HTTP, HTTPS, SOCKS4, SOCKS5; prices: 5 days = US$4; 10 days = US$8; 30 days = US$20; 90 days = US$55 Setup of ZeuS: US$100, support for botnet: US$200/month, consulting: US$30. Fonte: Read Russian Underground Trend Micro
20 Investir em treinamento e pessoal Há falta de pessoal treinado para lidar com Redes e com segurança em IPv4 A falta de pessoal com essas habilidades em IPv6 é ainda mais preocupante Sua organização já usa IPv6? :-) Vencer a cultura de que é melhor investir em tecnologia do que treinamento e implantação de boas políticas Ir além do compliance
21 Resiliência da infraestrutura crítica de Internet Contínuo investimento em: Ter seu próprio Sistema Autônomo (AS) Conectar-se a Pontos de Troca de Tráfego nas áreas metropolitanas PTT.br Sistemas de redundância e mirror de DNS Adoção de DNSSEC Novos protocolos como DANE em estudo Segurança na infraestrutura de roteamento Roteamento dinâmico fuciona por confiança nos anúncios Em implantação o uso de RPKI e S-BGP Em resumo: tabelas de rotas passam a ser assinadas e publicadas somente pela fonte legítima
22 A realidade: Mito de que só quem sabe invadir sabe proteger Proteger é muito mais difícil que atacar especialmente contra ataques ainda não conhecidos Raríssimos os atacantes que: sabem como proteger uma rede ou corrigir um problema sabem como funcionam as ferramentas que utilizam Maioria absoluta utiliza ferramentas disponíveis na Internet Um profissional com sólida formação tem mais sucesso em utilizar as ferramentas como auxiliares nos processos de análise de risco e proteção da infraestrutura que um invasor Os riscos: Colocar a segurança nas mãos de quem não está preparado Ter informações confidenciais comprometidas Ter backdoors e cavalos de tróia instalados em sua infraestrutura
23 Recuperação adequada de incidentes A redução do impacto é consequência da: agilidade de resposta redução no número de vítimas O sucesso depende da confiabilidade O papel do CSIRT: auxiliar a proteção da infra-estrutura e das informações prevenir incidentes e conscientizar sobre os problemas O CSIRT não é um investigador Tratamento de Incidentes não é perícia A pessoa que responde um incidente é a primeira a entrar em contato com as evidências de um possível crime seguir as políticas preservar as evidências responder incidentes retornar o ambiente ao estado de produção
24 São necessários novos métodos de detecção Foco atual do mercado é no que entra em uma rede ou no que conhecidamente é malicioso: Intrusion Detection IDS / IPS Firewall Antivírus Foco precisa mudar para o que sai ou no tráfego interno: Extrusion Detection Flows Honeypots Passive DNS Atuar nas notificações de incidentes Feeds de dados (Team Cymru, ShadowServer, outros CSIRTs)
25 Desafios para a Identificação da Origem de Ataques Os ataques partem de vítimas na maioria absoluta dos casos Investigação sem contexto pode levar a graves consequências e.g. Coréia do Sul x China a rede usava como IPs não roteáveis (no NAT) um bloco de IPs alocado para a China peritos viram o IP de onde veio o malware e anunciaram que o ataque vinha da China A infraestrutura usada nos ataques de alto valor pode ser a mesma do crime organizado e.g. DDoS na Estônia e Georgia a botnet usada era a mesma que há meses enviava spams e fazia DDoS for hire
26 Só haverá reais melhorias quando O processo de desenvolvimento de software incluir Levantamento de requisitos de segurança Testes que incluam casos de abuso (e não só casos de uso) Desenvolvimento seguro de software se tornar parte da formação de projetistas e programadores Desde a primeira disciplina de programação e permeado em todas as disciplinas Provedores de acesso e serviço, operadoras e administradores de redes em geral forem mais pró-ativos Sistemas e ferramentas forem menos complexos de usar Mudança total de paradigma de uso da tecnologia
27 Leituras Recomendadas
28 Últimas notícias e análises Krebs on Security Schneier on Security Ars Technica Security Dark Reading SANS NewsBites
29 História da Internet e Primeiros Incidentes
30 Redes e IPv6
32 Segurança de Software (1/2)
33 Segurança de software (2/2) The Addison-Wesley Software Security Series The Building Security In Maturity Model CERT Secure Coding Wiki com práticas para C, Perl, Java e Java para Android CERT+Coding+Standards
34 Revistas e congressos Usenix ;login: Magazine Usenix Conferences Proceedings IEEE Security & Privacy securityandprivacy
35 Perguntas? Cristine Hoepers, D.Sc. CGI.br Comitê Gestor da Internet no Brasil NIC.br Núcleo de Informação e Coordenação do.br CERT.br Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil Cartilha de Segurança para Internet