Wagner Elias - Think Security First

Se eu já estava interessado em um iPod para acompanhar mais de perto os podcasts, agora, minha enpolgação aumentou.

Visitando alguns sites descobri que pode-se fazer coisas que até Harison Ford no filme firewall iria ficar com inveja.

Já pensou ter uma distribuição derivada do Slackware no iPod? Sim já é possivel, já existe pessoas instalando o Slax no iPod. Slax é uma distribuição "live-CD" baseado no Slackware.

Se preferir pode instalar o iPod Linux, outra distribuição de linux especifica para o iPod.

Já existe todo tipo de "hack" para iPod, a própria IBM já rodou um VmWare em um nano e instalou linux.

Já faz um tempo que venho ouvindo comentários sobre, a possibilidade de serviços como o google utilizar o auto volume de informações sobre usuários que possui em causa própria.

Após a palestra de Gregi Conti na defcon, intitulada Googling I'm feeling (un)lucky, resolvi me questionar sobre o tema.

Realmente as informações podem ser utilizadas, mas, sinceramente acredito que, estas informações estão muito melhor protegida do que qualquer informação minha que eu disponibilizo para receita federal por exemplo.

Ou já esquecemos que nossos dados são vendidos em CD na Sta. Ifigênia; que um sonoplasta vende informações para o crime organizado por R$ 200; que a maioria das pessoas não toma o menor cuidado com informações sobre suas contas, extratos bancários?

Outras preocupações que acho FUD (medo, incerteza, dúvida): perfil no orkut, fotolog, blog e outras ferramentas de interação na web.

Hoje seu empregador pode saber informações suas usando o orkut. Qual o problema? Informações suas, inclusive as que estão no orkut, podem ser coletadas de várias outras formas.

Um pai pode divulgar fotos de sua filha no fotolog e um pedofilo pode se excitar vendo elas. Não que eu esteja fazendo apologia, ou achando isso normal, mas, esses infelizes podem fazer isso em qualquer lugar, inclusive na escola onde você paga uma fortuna e confia erroneamente, boa parte da educação dos seus filhos.

Conclusão: acho que está havendo uma visão errada. A visão deve estar na informação, essa sim deve ser disseminada adequadamente, ou técnicamente falando, classificada de forma adequada.

Não, eu não vou falar de playstation em um blog de segurança.

O PSP (Personal Software Process) é um modelo do SEI que define disciplinas para qualidade pessoal do engenheiro de software.

Ou seja é uma metodologia alinhada com o CMM que possibilita a organização do desenvolvimento isolado, do citizen programmer, popular highlander. O cara que faz todo o processo de desenvolvimento sozinho.

O TSP (Team Software Process) faz o link entre os engenheiros de software que trabalham com o PSP.

O PSP é extremamente interessante para desenvolver um processo de qualidade no desenvolvimento em empresas que só possui um desenvolvedor ou até para projetos pequenos.

As fases do PSP

Processo de Medição Pessoal
PSP 0 Registro de Tempo, Registro de Defeitos Padrões
PSP 0.1 Padrão de Codificação, Medida de Tamanho, Proposta de Melhoramento de processo

Processo de Planejamento Pessoal
PSP 1 Estimativa de Trabalho, Relatório de Testes
PSP 1.1 Planejamento de Tarefas, Cronograma

Processo de Gerenciamento de Qualidade Pessoal
PSP 2 Revisões de Código, Revisões de Projeto
PSP 2.1 Padrões de Projeto

Processo Pessoal Cíclico
PSP 3 Desenvolvimento Cíclico

SEI
PSP
TSP

Recentemente um amigo do mercado financeiro me informou que já existiam fraudes com o "bingo card" aquela tabela de contra-senha que os bancos estão oferecendo.

Hoje acessando o banco do qual sou correntista ele me mostrou uma mensagem que busca conscientizar seus correntistas dessa fraude. A fraude consiste em solicitar que o usuário preencha todas as contra-senhas e um site falso.

Para tentar mitigar algumas fraudes bancárias já se discute várias soluções, inclusive uma baseada em live-CD, essa foi amplamente discutida na CISSP-BR essa semana.

Eu particularmente acredito bastante nas soluções de virtualização, onde o usuário pode virtualizar somente os softwares que desejar ou forem mais perigosos como um browser.

Estou testanto o BufferZone, em breve descrevo minhas experiências.

BufferZone

Devido a minha "veia" de desenvolvedor eu sempre me mantenho antenado em aspectos relacionados a banco de dados, desenvolvimento, e claro, associando tudo isso a segurança.

Uma coisa que já havia comentado com alguns amigos é a possibilidade de utilizar técnicas de Data Warehouse em segurança.

A técnica de Data Warehouse consiste basicamente em extrair dados essenciais de grandes volumes de dados e transformar dados brutos em informações que venham auxiliar em tomadas de decisões.

Ainda avançando nas minhas pesquisas eu identifiquei até o momento que parte deste recurso já vem sendo usado há um bom tempo, quando digo parte deste recurso me refiro somente a uma das características do Data Warehouse. Essa característica é o Data Mining, está característica só faz a mineração dos dados, ou seja, ele extrai dados de um volume maior, sem fazer um trabalho, sem agregar valor a esses dados.

Acredito que a evolução desta técnica seja uma das alternativas para mitigar as Insiders Threats. Trabalhando, gerando valor ao imenso volume de informações que extraímos dos mais diversos locais, poderíamos tornar possível uma análise mais profunda de comportamentos e desenvolvimento de redes neurais.

Segue uma série de trabalhos sobre a utilização de Data Mining em detecção de intrusão

Um modelo para a detecção de intrusão por anomalia utilizando técnicas de data mining

Data Mining Approaches for Intrusion Detection

A Data Mining Framework for Building Intrusion Detection
Models

Data Mining for Network Intrusion Detection: How to Get
Started

Creation and Deployment of Data Mining-Based Intrusion Detection Systemsin Oracle Database 10g

Data Mining Methods for
Network Intrusion Detection

Real Time Data Mining-based
Intrusion

Hack.5 é um video podcast hacker. Mensalmente dois apresentadores mostram alguns tutoriais. Tudo isso movido a risadas e uma cervejinha.

É possivel assistir os videos via YouTube sem a necessidade de pagar uma subscrição, pagando a subscrição você pode gerenciar os podcasts via iTunes.

Hack.5
Todos os Episódios

O xForce, laboratório da ISS disponibiliza um relatório trimestral com as principais ameaças, critícidade e algumas tendências sobre ameaças.

O último relatório de Abril traz um alerta aos "Macmaniacos":

"Many people hold the perception that Apple's Mac OS X is relatively “safe” or contains fewer vulnerabilities. Though the percentage of threats affecting Mac OS X is smaller than other popular platforms, it is not invulnerable to threats and malware. This perception has started to shift as an increasing number of threats targeting this platform have been brought to light."

Cito esse exemplo devido ao recente acontecimento com a Apple. O Eduardo Cabral disponibilizou um video no seu blog.

X-Force Threat Insight Quarterly
Wireless Exploit - The movie

Atualiazado em junho de 2006, o NATIONAL INFORMATION ASSURANCE GLOSSARY é uma excelente referência para definições de Segurança

Segue alguns exemplos de definições:

Anti-Spoof: Measures taken to prevent the unauthorized use of legitimate Identification & Authentication (I&A) data, however it was obtained, to mimic a subject different from the attacker.

Assured Software: software that has been designed, developed, analyzed and tested using processes, tools, and techniques that establish a level of confidence in its trustworthiness appropriate for its intended use.

Audit Trail: chronological record of system activities to enable the reconstruction and examination of the sequence of events and/or changes in an event.

NATIONAL INFORMATION ASSURANCE (IA) GLOSSARY

O site do Ministry Of Government Services de Ontario no Canada possui uma série de "Security Standards" que podem servir de base para quem não está habituado a criar normas.

Segue alguns exemplos:

• Security Requirements for Password Management and Use
• GO-ITS 25.5 Security Standard - Requirements for Wireless Local Area Networks - IEEE 802.11
• GO-ITS 25.6 Security Standard - Firewalls

Ministry Of Government Services

Um artigo da microsoft sintetiza bem as preocupações, ou seria remendos que desenvolvedores precisam fazer em aplicações para estar em conformidade com as principais regulamentações mundiais.

Sarbanes Oxley: privacidade e Integridade em dados financeiros e rastreabilidade;
HIPAA: confidencialidade, Integridade e Disponibilidade de informações médicas de pacientes;
PCI: confidencialidade no armazenamento e uso de cartões de crédito;
GLBA: confidencialidade e integridade nas informações financeiras armazenadas por instituições financeiras;
SB 1386: confidencialidade nas informações pessoais de clientes que fazem negócio na California;
Basiléia 2: confidencialidade e integridade nas informações financeiras armazenadas por instituições financeiras; Disponibilidade de sistemas financeiros; Integridade nas informações financeiras transmitidas; Autenticação e integridade em transações financeiras.

Quando me refiro a remendos, é porque estamos vendo desenvolvedores correndo para implementar controles que já deveriam estar implementados, o processo de segurança no desenvolvimento deveria ser tão trabalhado quanto o de qualidade de software.

Software desenvolvido seguindo processos de engenharia e qualidade de software nem sempre são softwares seguros.

Regulatory Compliance Demystified: An Introduction to Compliance for Developers