Wagner Elias - Think Security First

Esses dias eu estava brincando com os relatórios em xml gerados pelo nmap, queria ver se fazia algo um pouquinho melhor do que ele oferece, acabei envolvido com outras coisas e larguei. Hoje andando pelo freshmeat.net encontrei o Fe3d uma ferramenta que pega o xml gerado pelo nmap e cria uma imagem 3D que você pode clicar e girar, poderia ser um pouquinho melhor, mas já é um começo.

gerando o arquivo xml com o resultado do scan

chamando o fe3d passando o arquivo xml como parametro

Resultado do fe3d

Teclas de atalho para manipular o resultado

O - Open File (Win32 only)
A - Add another file to the mix (Win32 only)
C - Reset all transformations
R - Start/Stop rotation
U - Reload current drawing file
S - Take a screenshot (PNG File)
Esc - Quit
Arrows - Rotate viewpoint about the 'origin', left, right, up, down
+/- - Increase/Decrese autorotation speed
Ctrl+LMB - Pan up and down
Shift+RMB - Zoom
RMB - Rotate around the vertical axis

Site do fe3d - http://projects.icapsid.net/fe3d/

Scada são sistemas utilizados para monitoramento e operação de usinas, gasodutos e todo tipo de equipamento que utilize recursos de PLC (Programmable Logic Controllers), geralmente usado em parques indústriais.

Segundo o Wikipedia

Sistemas de Supervisão e Aquisição de Dados, ou abreviadamente SCADA (proveniente do seu nome em inglês Supervisory Control and Data Acquisition) são sistemas que utilizam software para monitorar e supervisionar as variáveis e os dispositivos do sistema de controle conectados através de drivers específicos. Estes sistemas podem assumir topologias mono-posto, cliente-servidor ou multiplos servidores-clientes. Actualmente tendem a libertar-se de protocolos de comunicação proprietarios, com dispositivos de controlo como autómatos porgramaveis, módulos de entradas/ saidas remotas, controladores, registadores , etc, para arquitecturas cliente-servidor OPC (OLE for Process Control).

E ai o que eu tenho com isso? Já imaginou se esses sistemas fossem explorados por terroristas?

Foi o que David Maynor e Robert Graham apresentaram na Black Hat.
http://www.blackhat.com/presentations/
bh-federal-06/BH-Fed-06-Maynor-Graham.pdf

Por curiosidade dei uma olhada no xForce, dê uma olhada nisso
http://xforce.iss.net/xforce/
search.php?type=2&pattern=scada&x=8&y=13

Em uma discussão na lista CISSP-BR, foi levantado a possibidade da utilização de Blueprint (padrões, modelos) para segurança, o Anderson Ramos destacou a utilização do Zachman Framework, talvez um que esteja mais próximo da nossa realidade seja o WSSRA (Windows Server System Reference Architecture) da microsoft. O trabalho é digno de elogios, e se levarmos em consideração o mercado da Microsoft, o WSSRA é bastante útil, lógico que customizações e adequações para sua necessidade serão necessárias.

Zachman Framework

http://www.zifa.com
http://www.software.org/pub/architecture/zachman.asp

Windows Server System Reference Architecture

http://www.microsoft.com/technet/itsolutions/wssra/raguide/default.mspx

São controles e mais controles, e a coisa continua avançando e causando mais panico, pelo menos nos profissionais de TI, porque o usuário quase sempre nem se quer sabe dos riscos que está correndo.

Ultimamente as vulnerabilidades são cada vez piores, como os casos de imagens e WMF do Windows, sem contar o Plug And Play. O problema é um pouco pior quando falamos dos 0 days como o caso atual do WMF, a vulnerabilidade era extremamente crítica e o patch saiu aproximadamente uma semana depois, existia um patch não oficial, mas apesar do patch ser de quem era, eu não instalaria um patch que não seja do fabricante.

Se não bastasse os ataques a sistemas operacionais e aplicações, os principais alvos agora são as aplicações que são instaladas justamente para proteger, isso mesmo já existem várias vulnerabilidades em ferramentas de antivírus.

Então aqueles usuários e "administradores" despreparados estão literalmente colocando uma raposa para cuidar do galinheiro, muita gente ainda não se deu conta da importância de se atualizar sistemas operacionais e aplicações críticas como servidor de aplicação, banco de dados, quem dirá estar atento a vulnerabilidades que afetam os sistemas que ele instalou para protege-lo.

Atenção total a tudo que você instala em seu equipamento, procure sempre estar atento a bugs e patchs de atualização, inclusive para os dispositivos de proteção, firewall, antivírus, antispyware, etc...

Já não sei mais se é mobilidade ou vício, ambientes enviando aviso via sms já é trivial, até temperatura de equipamentos já é possivel controlar e receber avisos via sms caso aconteça algo de errado.

Mas e quando você recebe aquele sms e precisa dar algum comando urgente no equipamento e não possui um laptop, ou qualquer outro equipamento como um palm com aquele cliente de Terminal Service?

Se você tiver um celular com WAP nem tudo está perdido, de uma olhada nesse artigo escrito no site viva o linux.

Acesso SSH com celular
http://www.vivaolinux.com.br/artigos/verArtigo.php?codigo=4035

Ainda são poucos os desenvolvedores que utilizam o poder das expressões regulares, é comum encontrarmos códigos com "zilhões" de IFs que poderiam ser resolvidos com apenas uma linha de expressão regular.

E eu diria que a maioria dos que usam expressões regulares se limitam a validações de CNPJ, E-mail, etc. O uso de expressão regular pode melhorar muito a segurança de aplicações, como nos exemplos a seguir:

Expressão regular contra Sql Injection
"(script)|(<)|(>)|(%3c)|(%3e)|(SELECT) |(UPDATE) |(INSERT) |(DELETE)|(GRANT) |(REVOKE)|(UNION)|(<)|(>)"

Expressão para requerimento de senha complexa (passfilt)
"(?=^.{8,255}$)((?=.*\d)(?=.*[A-Z])(?=.*[a-z])|(?=.*\d)(?=.*[^A-Za-z0-9])
(?=.*[a-z])|(?=.*[^A-Za-z0-9])(?=.*[A-Z])(?=.*[a-z])|(?=.*\d)
(?=.*[A-Z])(?=.*[^A-Za-z0-9]))^.*"

Muita coisa ainda pode ser feito com expressões regulares, análise de logs, assinatura para detecção de ataques. Recomendo uma pesquisa sobre expressões regulares.

No site Regular Expression Library você encontra muitos exemplos.
http://www.regexlib.com/