Segurança Importa ? - Who Cares ?

Segurança da Informação, Hacking, PenTest, malware, analise forense. Um blog para quem acha que segurança importa.

quarta-feira, 30 de março de 2016

Como escolher uma solução Anti-Malware / Anti-Virus

Uma coisa que sempre vejo em diversas listas, foruns e grupos, são pessoas pedindo dicas de qual anti-malware eles devem usar.
Primeiramente e tecnicamente, existe uma diferença entre cada um dos tipos de ameaças, virus, worms, cavalos de troia, etc e o nome "Anti-Malware" engloba todas as classes de softwares maliciosos. Dizer anti-virus, não esta errado, pois todas as soluções continuam fazendo esse serviço, porem dizer anti-malware deixa o escopo mais completo.

Como as escolhas são feitas
Não conheço nenhuma empresa que tenha escolhido sua solução anti-malware baseado em um teste real de detecção. (principalmente porque poucos são capazes de conduzir esse tipo de teste)
  • Posicionamento no quadrado mágico do Gartner
    • Existem varios fatores que influenciam no posicionamento das empresas, nem sempre detecção é um deles.
  • Dicas de algum sobrinho
    • Sempre tem um esperto por perto sabendo de todos os assuntos 
  • Amizades 
    • Durante um Jogo de Golf, um executivo pergunta para o outro e pensa ... Se a empresa dele usa, deve ser bom, vou usar tambem!
  • Viagens 
    • Atitudes "um pouco" agressivas de algumas empresasa/revendas
  • Brindes
Como as escolhas deveriam ser feitas
Uma boa escolha deve começar com perguntas, perguntas a serem respondidas internamente.
As primeiras perguntas deveriam ser "contra quem estou lutando" ou  "qual o objetivo ?"
Poucas são as empresas ( leia-se os ditos "profissonais" que trabalham nessas empresas) que sabem exatamente o motivo da escolha de uma solução ou outra.
Leve em conta fatores como :
  • Tempo de resposta 
    • Talvez voce só descubra esse, depois de um problema
  • Quem irá te atender em caso de problemas ?
    • A empresa do Anti-Malware, a revenda, o suporte terceirizado ou o sobrinho ?
  • Tem time técnico de análise no Brasil ?
    • Por curiosidade, vale perguntar onde estão os laboratórios técnicos das empresas
  • Tem interface de administração amigavel 
  • Quais as outras ferramentas incluidas no pacote ?
    • Elas podem conflitar com alguma outra solução ja existente ?
  • Sua empresa tem alguma restrição com algum fornecedor ?
    • Não podemos esquecer que os forncedores seguem as politicas de privacidade dos seus paises de origem.
  • Quer fazer o teste de detecção ? Contrate um consultor especializado e neutro.
Gratis vs Pago
Algumas empresas oferecem versões gratis e pagas de seus produtos.
Normalmente o "Motor" da ferramenta é o mesmo, o que varia é o conjunto de regras, onde o usuário assinante (pagante) recebe as regras logo que são lançadas e os usuário da versão gratis, algum tempo depois ( uma ou duas semanas ).
Sendo assim o tempo de exposição de quem usa a solução gratis é bem maior.
( existem ainda versões com funções reduzidas, porem o motor continua sendo o mesmo )

Fatos

  • Não existe bala de prata.
  • As maiores empresas de anti-virus são estrangeiras e o faturamento do Brasil como um todo não impacta as operações dessas empresas. Voce acredita que elas darão foco no mercado nacional ? (Aposto que o vendedor vai dizer que sim ...)
  • Todas as grandes empresas de AV compartilham "malwares" assim se uma empresa é capaz de detectar um malware hoje, a outra empresas concorrente (se quiser) será capaz de detectar o mesmo malware amanhã.
  • Algumas empresas não desenvolvem, nem analisam nada. Simplemente pagam para usar o "motor" de outra empresa, mas colocando seu proprio nome . ( sim, voce tambem pode ter um anti-virus com o seu nome )


Melhores soluções
A melhor solução é aquela que te atende.

Resumo
Escolha, mas saiba justificar sua escolha.

Minha dica
Se voce não sabe nem o que esta procurtando, use qualquer um. Qualquer um é melhor que nada.

Segurança Importa ?


segunda-feira, 6 de abril de 2015

Video Game Virtual, Missão Real.

Em uma lista que participo, um amigo postou o seguinte link / video, onde o governo americano mostra um F-16 voando sem piloto ( controle remoto )


Agora, pensemos no seguinte ...

Novela de ficção, porem muito proxima da realidade.

Governos começa a monitorar os jogos online em busca  otimos pilotos  e estratejistas .

Voce começa a jogar seu simulado preferido e aparerece uma mensagem sobre uma missão especial que se voce passar, ganhará 1000 moedas ...
1. entre no espaço aereo inimigo sem ser notado
2. gaste o minimo possivel de munição
3. destrua o alvo
4. volte para a base

O que voce não sabe é que essa missão só existe para voce , e que em vez de jogar um simulador, esta pilotando um drone de verdade .
Voce completa a missão, volta com sua nave, ganha mais uma estrelinha no jogo e suas 1000 moedas .
O governo atingiu o objetivo dele de maos limpas .
Voce esta de conciencia tranquila, pois foi só mais uma missão do jogo ....

Quanto longe estamos disso ?

Lembrei da historia de um jornalista escrevendo uma materia sobre jogos.
Ele começa a jogar um jogo de tiro em primeira pessoa, porem devido a sua idade ( mais de 40 ) e pouca experiencia em video games, sempre morre.
De repente aparece no jogo, no time dele, alguem que parecia ser o "mestre da estratégia", que resolve ajuda-lo, dando dicas e explicando o funcionamento do jogo .
O "mestre" da estratégia, corria pulava, preceria desviar das balas no video game, mostrava, onde se esconder, quais armas eram melhoras para cada tipo de situação, etc . O jornalista ficou impressionado com tal capacidade de jogou horas com o "mestre".
Em determinado momento o "mestre" dissse que necessitava dormir, pois sua mãe estava chamando.
O jornalista ficou pensativo sobre o que acabara de ouvir e perguntou quantos anos o "mestre"  tinha.
O "mestre" respondeu .. " 14 e voce ? "
O jornalista respondeu "13" e desconectou ...

Estamos longe disso ?

Segurança importa ?

Abraços

terça-feira, 27 de janeiro de 2015

Quem esta ligando ?

Quem esta ligando ?

Todos nós já recebemos ligações vindas de call centers, onde a pessoa se identifica com um nome genérico (geralmente dois nomes próprios, sem sobrenome) e começa a falar, tudo em um único folego.
A pessoa diz o nome da empresa a qual representa e já quer confirmar seus dados, por motivos de segurança (segurança de quem ?).

Supondo que a oferta feita seja muito interessante, e que voce por algum problema não pode concretizar o atendimento....  voce NÃO pode ligar novamente. São sempre eles que originam a ligação.

Não sei quem inventou essa politica ridícula, porem voce realmente sabe quem te ligou ?

Infelizmente nossos dados ja foram vazados a muito tempo e esta disponíveis em CDs a venda em algumas capitais. CDs com cados da Receita Federal, ou da "Telefônica". Alguns dados, podem ser antigos, porem outros não mudam,(nome, RG, CPF, nome do Pai e nome da Mãe) ou mudam pouco (endereço)

Se voce tem interesse e desejar retornara ligação para questionar algo, comprar um produto ou serviço, não pode. Os números de origem são programados para não receber ligações.

Ridículo isso.  Mas alguém sempre tem uma explicação.
Uma delas é que os centros de Call center são (podem ser) compartilhados, onde a empresa compraria posições de atendimento. Sendo assim, voce poderia ter dentro da mesma sala atendimento para um Banco, para uma operadora de celulares, empresa aérea, tv por assinatura ou qualquer outra.

Nada de errado nisso, porem se eles tem os seus dados e o poder de validar voce, porque voce não pode validar quem esta te ligando ?

As empresas podem configurar ou não o número de saída, programando-o para não receber ligações (de entrada)

Algumas DICAS para essas empresas INCOMPETENTES no atendimento e sem respeito pelo cliente. (sim estou falando de todas, de quem compra o serviço e de quem vende)


Para quem vende.
Uma solução bem simples, seria colocar uma mensagem, no número de saída (número que aparece quando alguém te liga), explicando quais os clientes essas empresa atende, e o números para contacta-las de volta.

Para quem compra
Colocar em seu site, uma lista dos números por onde voce, cliente, poderá receber ligações com ofertas .

Outros detalhes devem ser tratados entre essas empresas, e não entre o consumidor e o atendente, o que geralmente acontece, gerando aborrecimentos para todos os lados.

Se voce procurar esses números de saída na internet, verá um monte de gente reclamando sobre ligações que não completam, sobre ligações de madrugada, etc .

Se existe uma lista das empresas x telefones, por favor compartilhe com a gente.

Ainda fico me perguntando porque um banco (por exemplo) se esconde atras de um número que até os funcionários desconhecem ? Vergonha ? Incompetência ?

Parabéns empresas !!

Parei de escutar essas ligações.
Qualquer um pode se fazer passar com um atendente de Call Center, incluindo toda a população dos presídios brasileiros.

Cuidado.
Da próxima vez que ligar para um call center, tenha certeza que digitou (discou) o número certo .
Da próxima vez que receber ligações, não confirme seus dados, voce não sabe para quem esta confirmando esses dados, pode ser mais um caso de vazamento de informações e voce será o felizardo em ajudar o bandido.

Segurança Importa ?

sexta-feira, 3 de outubro de 2014

Até que ponto chegamos....

Fui accessar um site de phishing hoje e tive uma surpresa.

A figura e o texto podem ser visto abaixo.





"Blindagem Anntrax Coder Terror Dos baqueiros Se os Politicos Roubam , Nos Vai Roubar um Pouquinho"

A pagina de phishing em si, não estava mais no ar, porem em época de eleição  vale a mensagem e a "charge".

Abraços

terça-feira, 26 de agosto de 2014

Who will gonna call !!!

Novidade para ninguem que alguns formatos de arquivos e alguns "interpretadores" são mais "pemissivos" que outros. Porem quando suas ferramentas falham...  a qual recorrer ?

Ja vou exeplicar ...

Veja o seguinte teste ...

Crie um arquivo texto com qualquer texto.
pegue um arquivo zip ( qualquer arquivo )

No linux faça .. cat w1.zip >> texto.txt
No Windows ..  type w1.zip >> texto.txt

O arquivo Zip será adicionado ao fim do arquivo texto.
Temos assim um arquivo de texto seguido de um arquivo ZIP.

Agora vamos testar o arquivo ...

root@siftworkstation:/tmp$ file texto.txt
a: data

root@siftworkstation:/tmp$ exiftool texto.txt
ExifTool Version Number         : 9.60
File Name                       : texto.txt
Directory                       : .
File Size                       : 3.7 MB
File Modification Date/Time     : 2014:08:26 12:21:42+00:00
File Access Date/Time           : 2014:08:26 12:21:58+00:00
File Inode Change Date/Time     : 2014:08:26 12:21:42+00:00
File Permissions                : rw-r--r--
Error                           : Unknown file type

root@siftworkstation:/tmp$ ./trid texto.txt

TrID/32 - File Identifier v2.11 - (C) 2003-11 By M.Pontello
Definitions found:  5368
Analyzing...

Collecting data from file: texto.txt
       Unknown!

(http://mark0.net/soft-trid-e.html)

Porem se voce tentar descompactar esse arquivo ...

root@siftworkstation:/tmp# unzip texto.txt
Archive:  texto.txt
warning [texto.txt]:  98 extra bytes at beginning or within zipfile
  (attempting to process anyway)
  inflating: licence.txt            
  inflating: readme.txt            
  inflating: Arquivo.com            
  inflating: Arquivo.exe    

O ZIP foi capaz de reconhecer que existia alguma coisa estranha no começo do arquivo e desconpacta-lo sem problemas.

Com PDF a situação é identica. Dependendo da "tag" adicionada ao começo do arquivo, as ferramentas acima não conseguem identificar o tipo correto e tudo falha.

Nesse caso 3 ferramentas que poderiam identificar os arquivos falharam...

Minha pergunta: Onde estamos falhando ? Estamos vendo só o obvio e esquecendo do resto ?

Alguem conhece alguma outra ferramenta de "deep inspection"  de tipo de arquivo ?




quarta-feira, 11 de junho de 2014

O SlideShare só pode estar de brincadeira.

Tentei fazer o download de uma apresentação do SlideShare hoje. Como procedimento normal ele pediu para eu logar no ambiente e disse que eu poderia utilizar minha conta do Linkedin.

Qual foi minha surpresa, quando percebi que se eu continuasse, o SideShare teria permissão para  EDITAR meu peril.


Na realidade não sei se a culpa é do Linekdin que não tem possibilidades mais restritivas duvido que seja tudo ou nada.

Sendo assim vou criar uma conta no SlideShare, assim se eles quiserem acessar meu perfil, fica mais facil.

Mais uma vez, prestem atenção, são detalhes como esse que nos levam a problemas mais sérios.
Se voce permitiu, cuidado ... foi voce quem deixou .
E isso vale para APPs de celular tambem .

Segurança Importa ? Se não, manda seu usuário e senha para eu editar seu perfil.

Abraços

segunda-feira, 9 de junho de 2014

Phishing para Roubo de Identidades

Nos ultimos tempos, um assunto que veio a pauta foi o Roubo de identidades.

Recebi hoje um email  de um chines (nada contra), com o titulo "Equipe Atualização Webmail Virus"


O interessante desse email é que ele não fala de qual Webmail estamos falando ou exatamente qual conta de email.
Clicando no Link indicado ( não recomendo que façam isso da maneira como eu faço ), fui redirecionado para uma outra pagina pedido para eu confirmar meus dados. ..



Conforme mostrado na pagina acima, estão solicitando seu nome completo, seu endereço de email,  seu nome de usuário, a senha e a data de seu aniversário.

Vamos avaliar com calma...
O texto em portugues esta MUITO mal escrito, não seguindo nem as novas regras ortograficas, nem as regras de tradução do Google, nem regra nenhuma. Temos algumas palavras jogadas que fazem sentido, só isso.
Porque alguem solicitaria todos os seus dados...
Sim isso é um indicativo de Phishing ..
Assim como outros golpes do mesmo tipo, esse email utiliza tecnicas de engenharia social, fazendo voce acreditar que alguma coisa horrivel aconteceu, e que vc tem que tomar alguma providencia.

Infelizmente acredito que muita gente vai ficar preocuada e preencher o formulário.

O que eu queria mostrar, é que segurança nem sempre necessita ser "nebulosa" se voce prestar um pouco de atenção vai conseguir notar e evitar muitas fraudes.
Se o caso for real, ou realmente urgente, voce receberá um sinal de fumaça, um telefonema, um telegrama, .

Agora eu queria saber onde esse chines vai usar meus dados ..
Talvez tentando entrar em redes sociais, talvez "só"  enviando Spam pela minha conta. ....
Quem sabe.

Abraços