Fantástico exemplo de carrinho de compras

É por essas e outras que bugs simples como SQL Injection teimam em estar sempre presentes. Vejam este brilhante exemplo de "Carrinho de Compras". Quem já foi programador sabe que esse exemplo provavelmente vai ser copiado para dezenas de sites de produção por aí.

O mesmo acontece com buffer overflows e similares. O problema só começa a diminuir quando sistemas operacionais, compiladores e as próprias linguagens (Java!) evitam que isso aconteça. Enquanto é possível fazer bobagem, o programador vai fazer. Nem é por mal, mas simplesmente porque ele aprendeu a fazer assim, "quick and dirty".

WEB.CONFIG e ASP.NET

Eu existo!! Embora continue no barco, atolado de trampo (e sem paciencia para postar aqui) achei uma coisa interessante enquanto desenvolvia uma aplicação web ASP.NET

Sabe aquele dilema sobre "o que fazer com as informações de ConnectionString, credencial de contexto e etc" ?

Então, descobri que é possivel criptografar o web.config (todo ou só alguns campos). Não acho interessante criptografar tudo, mas pelo menos o usuário utilizado para rodar o ASP.NET e a ConnectionString (caso sua aplicação fale com banco de dados).

Alias, eu rodo a aplicação ASP.NET sob o contexto de um usuário de rede, dou permissão customizada para este usuário no banco e criptografo as seguintes partes do web.config:

• identity
• connectionStrings

Para utilizar isso fica muito facil:

Alterar o web.config incluindo a sua connectionString (servidor, datasource, etc, etc):

<connectionStrings> <add name="MainConnectionString" connectionString="server=foobar.tralala-br.com;database=SEGURANCA;Trusted_Connection=yes" providerName="System.Data.SqlClient" /> </connectionStrings>

E basta alterar a sua aplicação para utilizar as informações do web.config (C#):

SqlConnection myConnection = new SqlConnection(ConfigurationManager.ConnectionStrings["MainConnectionString"].ConnectionString);

Agora basta criptografar: Pode se utilizar chaves RSA ou a chave DPAPI da maquina (Que é a opção que escolhi) através do aspnet_regiis.exe:

aspnet_regiis.exe -pef "connectionStrings" "C:\Inetpub\wwwroot\MeuSite" –prov "DataProtectionConfigurationProvider"

Observação: Esta tecnica protege contra quem consegue ter acesso ao arquivo web.config. Caso a pessoa tenha acesso a máquina, é possivel rodar novamente o aspnet.regiis.exe e decifrar o arquivo sem problemas. Caso rode o aspnet_regiis.exe em outra máquina, não conseguirá pois a chave DPAPI é diferente.

VP

Sobre Web Application Firewalls

Mark Curphey escreveu um ótimo post sobre WAFs (Web Application Firewalls). Não apenas desmistificando as bobagens que o mercado fala sobre esses produtos, mas também dando uma visão bem realista de como seria a cara real de uma aplicação web típica (a figura que ele mostra, que poderia ser chamada de "mapa do inferno", é bem real. Eu conheço várias aplicações desse tipo, bem "colcha de retalhos". Para ter uma idéia do que eu estou falando, a figura direto do post dele:

Malware, Dimensão social e a camada 8

Aylton Souza(*)

Com a introdução de novas tecnologias à velocidade da luz, temos a oportunidade de ver uma infinidade de novos recursos e possibilidades: Sites de vídeo, comunidades virtuais, blogs, Voz sobre IP – Já perdemos a conta das novidades que nos cercam.

Do ponto de vista de segurança da informação, muito se tem falado sobre o potencial impacto de novas tecnologias mas pouco sobre um dos fatores mais sombrios que está ligado a grandes ameaças do mundo moderno: O Fator Humano

Estamos tão preocupados com os novos firewalls, IDS, IPS, single sign on, compliance e tantos outros verbetes (inteligência de aplicação, layer 7, inspeção profunda, heurística, preencha o espaço em branco com o verbete da moda) que confundem o gestor de tecnologia que nos esquecemos de um componente fundamental da equação: capacitação de nossos usuários

O problema de segurança não se restringe ao mundo tecnológico. Viver nas grande metrópoles hoje expõe as pessoas a golpes como o do falso acidente ou do falso seqüestro. O que os falsos seqüestros têm a ver com botnets, vírus e malware em geral? Em comum, a falta de preparo das vítimas leva a situações bastante extremas.

Em tese, os paralelos são grandes – convencer alguém a comprar cartões telefônicos pra salvar um ente querido de um pseudo seqüestro é uma técnica de engenharia social tão tola quanto convencer um usuário a clicar em qualquer coisa...

Com a popularização de sites de relacionamento e poderosas ferramentas para chamadas ou conversa online (instant messaging, Skype e tantos outros) temos uma nova maneira de expor nossos usuários a um fator de risco que nem sempre as corporações estão preparadas para identificar e tratar.

Desde o fenômeno ‘ILOVEYOU’, passando por emails falsos de agencias do governo, operadoras de celular, fotos do ultimo assassinato bárbaro genérico, fotos proibidas da celebridade instantânea da semana – vale tudo – e nossos usuários muitas vezes se deixam levar pela emoção e a falta de preparo leva aos problemas mais extremos.

Se analisarmos dados recentes publicados no estudo ‘Windows Malicious Software Removal Tool: Progress Made, Trends Observed’ é possível identificar claramente que muitas das ameaças encontradas em campo hoje tem um vetor inicial em comum: 35% do malware encontrado pela ferramenta de remoção de software malicioso tem como fonte ataques ligados a engenharia social.

Independentemente das diversas classificações que são usadas hoje para classificar malware (forma de propagação, geografia, etc), a engenharia social começa a despontar como elo entre as mais diversas famílias e espécies de problemas no mundo do malware, o que representa um alerta especial aos gestores de tecnologia e segurança.

Quando se fala do mundo da engenharia social, o mesmo estudo demonstra que apesar de 20% das ameaças nesse âmbito estarem ligadas a email (entre os golpes comuns os emails falsos de bancos, fotos supostamente proibidas e tantos outros sabores conhecidos), instant messaging começa a despontar (como os worms Win32/Bropia, Win32/Kelvir, and Win32/Mytob), assim como Per to peer (P2P) (incluindo as famílias de worms Win32/Alcan and Win32/Antinny) como vetores iniciais de ameaças de malware.

Com perspectivas tão assustadoras, a responsabilidade dos gestores de tecnologia e segurança sobre a capacitação e preparação adequada de todos os níveis da empresa sobre engenharia social é de grande importância.

Independente do tamanho da empresa, o trabalho para se proteger contra esse tipo de ameaça que transcende o mundo da tecnologia e as formas de proteção mais modernas.

Na ocasião do planejamento de segurança e processo de execução, lidar com ameaças de engenharia social não apenas no mundo virtual é um passo importante. Da mesma forma que lidamos com essas ameaças online, o telefone, a abordagem pessoal, gestão de descarte (é impressionante o que se pode saber da vida das pessoas e empresas revirando seu lixo) e outras fontes primárias de ataques de engenharia social evitam problemas de segurança – sejam vírus de computador ou vermes que ligam sabe-se-la-de-onde para extorquir pessoas pelo telefone com pseudo seqüestros, acidentes ou dividas de cartão, serviços e tantas outras ameaças que nos cercam, seja o público corporativo ou o publico domestico.

Eis a lição mais preciosa: O usuário é normalmente a variável esquecida na equação de segurança – Cuidar dessa dimensão sempre permite um nível de proteção que nenhuma ferramenta pode emular ou substituir.

Bibliografia e referencias recomendadas

How to Protect Insiders from Social Engineering Threats

http://www.microsoft.com/technet/security/midsizebusiness/topics/complianceandpolicies/socialengineeringthreats.mspx

Windows Malicious Software Removal Tool: Progress Made, Trends Observed

http://download.microsoft.com/download/5/6/d/56d20350-afc8-4051-a0df-677b28298912/MSRT%20-%20Progress%20Made%20Lessons%20Learned.pdf

Bahavioral model of social engineering malware:

http://download.microsoft.com/download/c/e/c/cecd00b7-fe5e-4328-8400-2550c479f95d/Social_Engineering_Modeling.pdf

Navegue protegido (informações sobre navegação segura na web para pais, filhos, etc): http://www.navegueprotegido.org/

* - Aylton Souza é Especialista em Segurança e tecnologia e está a frente de projetos nessa área nas últimas duas décadas. Foi um dos primeiros CISSP da América Latina e esteve a frente dos principais projetos de segurança da informação na região e diversos projetos globais. Colaborador de periódicos e estudos em sua área de atuação, atualmente é o Especialista Tecnológico Regional para a America Latina na Microsoft na área de Service Providers e Novas tecnologias.

Phrack

Ela voltou! Edição 64.

Stration Worm

Saiu no IDG Now! uma matéria sobre uma nova variante do Worm Stration. Ela menciona que o worm usa a rede do Skype para se alastrar, passando também para as redes do ICQ e do MSN. Qualquer semelhança com os conceitos que apresentamos na nossa palestra no Black Hat sobre tendências em Botnets não é mera semelhança! O malware híbrido está se tornando realidade. Daqui a pouco os criadores deles vão perceber que precisam de um módulo de comando independente do meio de transmissão.

Aí, como diria o Imperador Palpatine, "your journey towards the dark side will be complete".

Joanna Rutkowska

Ela já fala muito bem sobre assuntos extremamente técnicos. É bom ver que ela consegue olhar um pouco além, como neste post. Vale comentar que cheguei ao post dela via blog do Chuvakin.

Alguns vão dizer que na verdade é contrário, que é mais um técnico achando que só a parte técnica importa. Eu não acredito, vejo que ela só está sendo sensata. OK, temos o problema humano, mas não acredite que é a única coisa que você precisa resolver.

Esteja preparado para tudo. Treine os usuários, mas lembre-se que algo vai dar errado. Seus sistemas e redes devem ser projetados levando isso em consideração. A detecção também é muito importante, não deixe ela de lado.

UserAssist

Meu amigo Marcello Zillo apontou em seu blog uma ferramenta muito interessante para trabalhos de forensic (ou simplesmente resposta a incidentes), o UserAssist.

A ferramenta faz uma busca por informações usadas para mostrar as aplicações mais usadas no menu Iniciar, recurso presente desde o XP. De forma interessante, acabamos sabendo o que um usuário andou fazendo em sua máquina.

Lembrando que é possível fazer queries remotas ao Registry do Windows, podemos pensar em verificações periódicas nas estações da rede, em busca de aplicações suspeitas ou não alinhadas com o perfil de uso dos usuários.

Detecção por anomalias - uma outra visão

Muitos sabem que eu sou apaixonado pela idéia de detecção por anomalias, ao invés da já batida detecção por assinaturas. Falo isso sobre IDS, antivírus, etc. Porém, é interessante ver pesquisas e pontos de vista distintos. Achei este trabalho muito interessante, mostrando os problemas da detecção por anomalias. Vale a pena lê-lo.

Network Security Monitoring

O Richard Bejtlich foi muito correto neste post de seu blog ao salientar as deficiências de se utilizar apenas logs para monitoração de segurança. A sugestão dele é fazer uma composição entre o uso de logs e o uso de sensores de rede, no que ele chama de Network Security Monitoring. Faz muito sentido, principalmente pelo risco de comprometimento dos componentes do sistema de log, seja na geração, na transmissão ou no armazenamento. Também é interessante notar que o uso de técnicas de detecção por anomalia podem se beneficiar bastante do conteúdo relacionado ao tráfego de rede.

(Há um ponto incorreto no post dele, que é assumir que a máquina monitorada está ok simplesmente porque não foi detectado tráfego malicioso após o levantamento da suspeita. Há um comentário no post que menciona isso e o próprio Richard concorda)

SONAR, da Symantec

A Symantec comprou há algum tempo a Whole Security, que tinha um produto muito interessante de detecção de malware que não era baseado em assinaturas. Faz tanto tempo que parecia que iam matar o produto. Mas agora saiu a notícia que estão colocando a tecnologia da WS no Norton Antivirus, rebatizada de SONAR. Muito bom, quero ver como esse troço funciona!

Segurança e o mundo de papel

Segurança e o mundo de papel

Por Aylton Souza(*)

Vivemos hoje uma época no mínimo estranha. Cada geração tem a oportunidade de presenciar um evento que a marca: A geração de meus (e muitos de nossos) pais lembrava onde estava quando Kennedy foi baleado ou quando o golpe (ou revolução) de 64 nos “salvou da ameaça comunista”, nossa geração foi premiada com uma lista de eventos pra todos os gostos. Podemos escolher entre o avanço da Internet, o estouro da bolha, os escândalos contábeis na terra de Uncle Sam, 9/11 e tantos outros.

Nesse contexto, o advento da sociedade da informação colocou no radar a importância da segurança da informação. Essa evolução isoladamente já seria motivo de comemoração, se não fosse por alguns detalhes que surgiram por conta dessa mudança: É o que eu gosto de chamar de mundo de papel.

Houve um tempo em que um certificado de qualidade ou mesmo uma certificação era sinônimo de excelência e prova praticamente incontestável de competência.

O advento de certificações de todos os sabores, frameworks e nomes pomposos que pegam carona na onda da segurança não necessariamente está fazendo um mundo melhor ou mais seguro.

Esse é o mundo de papel: É mais ou menos como o princípio que pune rigorosamente com multas de rodízio municipal e soma pontos em sua carteira de habilitação e ignora aquele carro caindo aos pedaços e sem freios que ameaça motoristas e pedestres ou a lei rigorosa para pais inadimplentes de pensão alimentícia e que reelege livremente políticos no mundo todo com passado no mínimo duvidoso.

Algumas empresas tem criado esforços muito grandes para adequação a Sarbannes Oxley ou ISO 17799 / 27xxx mas não necessariamente estão melhorando sua segurança ou transparência. Da mesma forma, vejo muitos profissionais extremamente competentes sem certificação – ao mesmo tempo - criaturas das mais abomináveis espécies que com pouca ou nenhuma habilidade ou experiência em segurança (mas com certificados ou siglas) assumem posições nessa área. Esqueceram do real valor da certificação ou do busca pelo conhecimento que deveria derivar desse esforço: Pessoas certificadas que não aprenderam nada de fato e acumulam siglas sem sentido ou real significado após simulados ou livros que poderiam ser classificados como auto ajuda, mas são chamados de ‘guias de certificação’.

Esse é um dos desafios do mundo corporativo e uma responsabilidade dos profissionais de segurança da informação: Separar o joio do trigo e posicionar as verdadeiras necessidades de proteção nesse mundo complexo.

Menos ‘macumba pra turista da bahia’, mais reflexão e ação para atingirmos os verdadeiros objetivos da segurança da informação ligados ao suporte da linha principal de negócios das corporações. Menos bloqueio ao YouTube e mais combate aos crimes de verdade.

Leve isso em consideração ao tomar decisões ligadas a segurança da informação!

(*)Aylton Souza é atua na área de segurança há mais de 15 anos e foi um dos primeiros CISSP da América Latina.

Atuando em projetos inovadores da área de segurança da informação e tecnologia no Brasil e no exterior, Aylton colabora com periódicos e eh autor de estudos e artigos na área de segurança.

Aylton recebeu em 2005 a premiação SECMASTER 2005 (maior contribuição para o setor privado) pelo trabalho publicado na área de implementação de controles ligados a norma ISO, além de outros reconhecimentos e premiações recentes por sua contribuição no setor.

MBA

Saiu na edição de Novembro/Dezembro da Infosec Today (que pode ser acessada on-line) uma entrevista muito interessante com Paul Henry, da Secure Computing. Ele aponta de forma muito interessante e clara que é perigosa a "tendência" apontada pelo Gartner e cia. de que a área de segurança passe a ser mais composta de pessoas com perfil "MBA" do que técnicos, por conta da necessidade de ser mais estratégica.

Ele aponta exemplos muito interessantes de falha nesse tipo de pensamento. Ele também não diz que a segurança deve se feita só por técnicos, mas sim que não pode ser feita sem eles, pois o componente técnico é muito importante no "enforcement" da políticas criadas pelos "estratégicos".

Pessoalmente fico impressionado ao ver muitos CSOs repetindo essa ladainha de estratégicos e, na hora de participar de uma apresentação sobre novos projetos ou produtos, são incapazes de identificar potenciais ameaças ou mesmo se a segurança foi levada em consideração naquele projeto. Talvez a quantidade de vendedores de tecnologia completamente despreparados para responder questões de segurança seja um sintoma da falta de pessoas fazendo perguntas capazes de incomodá-los. Algo além do "tem criptografia?" :-)

NBTEnum

Saiu uma nova versão do NBTEnum, uma das aplicações do kit básico do profissional de segurança de redes feliz. Vale a penas visitar o site do Reed Arvin para baixar esta e outras ferramentas interessantes.

Good Coder

Outro dia me perguntaram, como fazer para ser um bom programador.
Não, eu não me considero um bom progamador, na verdade acho que sou do tipo que faz bons codigos de forma tosca. Existem programadores que se prendem a uma nova tecnica e novos estilos e acabam fazendo coisas toscas de forma boa.. eu os admiro entretanto sou muito ansioso, gosto de ver tudo funcionando rapidamente :-)

A minha formula para me tornar um programador nunca foi "programar nos meus momentos livres", pelo contrario sempre tratei a programação como parte do meu trabalho. Por que:
1) Você é cobrado por isso; e
2) Você é pago por isso.

No meu ultimo emprego, percebi o que mais gosto de desenvolver: Automatização de processos. Gosto de pegar um processo manual, semi automatico ou inexistente mas desejado e automatiza-lo, seja uma simples criação de excel, sistema de monitoramento anti-fraudes ou até um sistema de gerencia de identidades.

Outro ponto importante: Aprender novas linguagens. Isso por que uma nova linguagem sempre vem carregada de novos conceitos e novas tecnicas e truques que te forçam a quebrar velhos paradigmas e sair do comodismo.

Blá blá blá, segue um codigo que segue um pouco isso: Um sftp client que suporta multiplos servidores e arquivos para enviar e receber, tudo isso configurado através de um arquivo XML. Na sintaxe do XML, caso você não passe nenhum parametro para a tag "passwd", o script tentará utilizar seu par de chaves assimétricas. Sim o script é escrito em ruby!

Tenho outra versão que já está suportanto a validação do checksum para identificar se os arquivos chegaram de forma integra. Eu não postei aqui pq isso já faz parte de outro modulo que quem saiba um dia, eu publique.

O código se encontra aqui e o xml se encontra aqui.

Se alguem precisar de algo, me escreva.

MS06-040 e NT4 - Finalmente!

Uma coisa engraçada acabou acontecendo com o Windows NT 4 nos últimos anos. Enquanto o final do suporte de segurança chegava eu alertava o pessoal de TI, no local onde eu trabalhava, que ficar com uma plataforma sem patches seria muito perigoso. Sabe o que aconteceu? Ficamos, mas o efeito foi o inverso. Como assim?

Quando o Blaster saiu, por exemplo, ele conseguia infectar o Windows 2000 e o Windows XP. O NT era vulnerável, mas o worm não tinha exploit específico para ele. Vi uma rede ser infectada mas a infecção não causou caos, pois a maior parte das máquinas, apesar de sofrerem um reboot se fossem atacadas, não eram infectadas e não aumentavam o problema. Acabou sendo fácil combater a epidemia. Tivemos vantagem em estar na plataforma atrasada!

O que aconteceu foi que aqui no Brasil o NT teve (ou tem) uma sobrevida muito maior. Aparentemente o pessoal que faz os vírus e worms estão mirando o ambiente mais comum para eles, naquele caso, Windows 2000 e XP. Não se deram ao trabalho de escrever worm pela NT!

Mesmo assim a conclusão de que ficar em NT é mais seguro parece muito estranha. Só agora dá p/ ver como acreditar nisso é perigoso. Apareceu uma notícia de que há uma botnet de máquinas NT sendo montada baseada em uma vulnerabilidade recente. Quem tem NT na rede fica em uma situação complicada, precisando confiar no antivírus para não ter um problemão nas mãos. Será que vale a pena?

MS06-041

Essa é uma daquelas vulnerabilidades que pode ser muito problemática (i.e. worm/vírus dos brabos) .

A vulnerabilidade é no client de DNS do Windows (ou resolver, como alguns preferem). pelo visto ela pode ser explorada através de registros específicos de DNS em respostas vindas de um servidor "malicioso". Como são registros que normalmente não são consultados durante o uso do computador por um usuário comum, fiquei curioso sobre como um atacante poderia forçá-los a fazer a "query maldita".

Fui checar os detalhes do funcionamento das respostas DNS e vi que o servidor pode mandar registros adicionais àqueles pedidos pelo client. Minhas dúvidas seriam:


1 - Os registros vulneráveis podem ser enviados como "registros adicionais" em uma resposta a uma query comum para registros "A / CNAME"?
2 - A vulnerabilidade pode ser explorada quando os registros manipulados estão no campo de respostas adicionais?
3 - Em queries recursivas, respostas adicionais feitas por um servidor são repassadas para a origem da query?

Dependendo das respostas às perguntas acima a vulnerabilidade tem um nível de criticidade. No pior caso um simples e-mail HTML é suficiente para explorá-la.

Outro caso que pode ser problemático é dos servidores que logam acessos por nome (web servers ou proxys, por exemplo). O cara acessa o servidor, que tenta resolver o nome do IP dele para colocar no log. A resposta vem com um registro manipulado que explorar a vulnerabilidade e bingo! O servidor é do cara. Uau. Na dúvida pessoal, corrijam imediatamente.

Ajudando a identificar o privilégio necessário

Identificar por que uma aplicação precisa rodar com direitos de administrador sempre foi uma tarefa meio ingrata. Eu costumava ligar a auditoria no file system e no registry, além do uso de direitos do sistema, para fazê-lo.

Eis que o pessoal da MS que está implementando o UAC no Vista criou uma aplicação para ajudar nessa tarefa, o SUA (Standard User Analyzer). É muito interessante. Inclusive deve ajudar na análise de trojans, embora não seja esse o foco da ferramenta.

Sobre o scheduler no Windows e SYSTEM

Acabei de ver um post no SANS Internet Storm Center sobre a "vulnerabilidade" das tarefas executadas pelo Scheduler do Windows, que rodam como SYSTEM. Bom, achei que o comentário tem uma boa dose de preconceito contra a plataforma, ou no mínimo uma visão limitada de quem escreveu.

Sim, o scheduler roda como SYSTEM e dispara as tarefas como tal. Pelo menos no post eles deixam claro que apenas administradores podem fazê-lo. Mas aí tem uma coisa curiosa. Eles comparam o SYSTEM ao root do Unix. Caramba, o Unix tem uma série de situações nas quais as coisas são executadas com privilégios de root! Eles escrevem preocupados com administradores rodando tarefas como SYSTEM, mas na maioria dos Unix e semelhantes os administradores já são root! Ou seja, nem a separação que existe no Windows (SO x Administradores) eles têm.

Também esqueceram de comentar que o Scheduler pode ser executado com privilégios de outro usuário. Se o problema é o SYSTEM, coloque um usuário com outro nível de privilégios. Vale lembrar também que um administrador tem várias maneiras de executar tarefas como SYSTEM, não só o scheduler. Isso está diretamente ligado ao direito "Act as part of the OS" (ou algo do tipo, não lembro de cabeça). Quem tem pode virar SYSTEM. Agora, como fica a segregação de administradores de sistema do "UID 0" nos Unix?

SPI Dynamics e javascript

A SPI Dynamics publicou um trabalho muito interessante sobre o uso de XSS e javascript para scan de redes.

EFS

Um ótimo artigo sobre o EFS. Uma discussão recente na CISSP-BR mostrou o quanto as pessoas não sabem como funciona esse recurso, que não é de todo mal. Na verdade conceitualmente ele é muito bom, mas na minha opinião tem seu uso um pouco desencorajado em alguns casos por estar diretamente relacionado à senha do Windows, que já sofre há anos com os problemas advindos dos métodos de hashing LM e NTLM.

Winternals e Sysinternals adquiridas pela MS

Mais um passo genial da MS em busca de um melhor posicionamento de segurança. A Winternals (que patrocina o site Sysinternals) foi comprada pela Microsoft. Espero ver, por exemplo, o famoso pacote PSTOOLS como parte do sistema operacional. Não são apenas os produtos, mas principalmente as pessoas. Mark Russinovich foi o cara que descobriu o que estava acontecendo com o famoso rootkit da Sony.

Ao pessoal da MS, parabéns novamente! Aproveitem a aquisição (especialmente o excelente "Protection Manager") e integrem tudo o que esses caras fazem no Windows, vai agregar um enorme valor ao produto.