Fumec

1. “VOCÊ E SUA EMPRESA ESTÃO PREPARADOS PARA O ATAQUE DOS CRACKERS? ”,
Marcos Nascimento Borges Pereira, MSc, MBA
PMP, EnCE, ITIL, MCSE, CCA, CCSP, VCP, VTSP e VSP
Gerente de Negócios – Forças da Lei - Br
Cel: +55 (31) 9102-4423
Cel: +55 (31) 9242-0187
Tel : +55 (31)3211-1800 R: 1830
Mail: marcos@techbiz.com.br

2. Resumo da Apresentação
Segurança Versus Reação
Teatro da Segurança
Soluções de Forense Digital
Preparação para o Time de Forense
Institucional Techbiz Forense Digital

3. SEGURANÇA VERSUS REAÇÃO

4. “State of the Internet” Report, Akamai Technologies
/APT
WARE
MAL

5. Ataques de phishing
Ataque s de evenenamento Websites e
DNS - "Drive-by“
Infecção generalizada (por exemplo,
Zeus, Aurora, Stuxnet, Night Dragon, /
etc)
Malware e mais malware resultantes de
todos os acima ...
Vulnerabilidades do produto (por
exemplo, Adobe, Microsoft, Oracle)
Rede Social / Mobilidade / Web 2.0
Cloud Computing / Outros perfis de
risco desconhecido

6. Quem Realmente é
Dono da sua Rede?

7. E ...
ENT
VAM
NITI
DEFI
DO?
HAN
FAL
O
ESTÃ
NÇA
URA
SEG
DE
IPES
EQU
Pessoas
 Subestimam a complexidade
e capacidade dos atores
ameaça
 Não tomam medidas
proativas para detectar
ameaças
Processo
 Organizações de TI têm
extraviado medições e foco
no programa
 RI falta de dados corretos e
foco
Tecnologia
 A tecnologia atual não está
conseguindo detectar
ameaças APT, APA, e outros
 Buracos profundos na
visibilidade da rede

8. EY
SURV
ATS
THRE
NCED
ADVA
TUTE
INSTI
MON
PONE
2010
Sabemos o que precisamos fazer, mas não estamos fazendo isso ...

9. 201
0
PONE
MON
INSTI
TUTE
ADVA
NCED
THRE
ATS
Faça as contas você mesmo ...
SURV
EY

10. Attack
Attacker Surveillance Begins
Discovery /
Attack
Target Persistence
Set-up
Analysis Leap Frog
Attacks
Access System Cover-up Complete
Probe Intrusion Starts Cover-up
Complete
Maintain foothold
Time
ATTACKER FREE TIME Need to collapse attacker free time
Containment
Physical
& eradication
Security Monitoring &
Controls Response
Impact
Threat Attack Incident Analysis
Analysis Forecast Reporting
Recovery
System
Defender discovery Attack Reaction
Identified
Damage
Identification
Source: NERC HILF Report, June 2010 (http://www.nerc.com/files/HILF.pdf)

11. Encontrar algumas
ameaça na rede:
São todas as
variantes de
ZeuS, criados
igualmente?

12. INC
IDE
NTE
S
DE
SE
GU
RA
NÇ
A-
M
UN
DO

13. INC
IDE
NTE
S
DE
SE
GU
RA
NÇ
A–
BR.

14. S
ANTE
ATAC
UES /
ATAQ
DOS
ÃO
TICAÇ
SOFIS
E
CENT
CRES
More than 286 million new malware variants detected in 2010 1
93% increase in malware attacks in 2011 1
56% of malicious code infections were Trojans in 2010 1
$559.7M USD in 2009 – a total of 336,655
Reported online crime losses totaled
complaints, a 111% and 22.3% increase from 2008, respectively. 2
Ecommerce fraud in 2010 estimated to $2.7 billion 3
Cyber criminals are targeting Web 2.0 and cloud technologies
More than 115,000 reported phishing attacks in 2010 4
1 Symantec 2 IC3 3 Internetretailer.com 4 APWG

15. ER-SE
MANT
O DE
DESAFI
O
Como posso ficar à frente das
ameaças?
Isso é uma ameaça real? Existem
ameaças que eu não conheço?
Como faço para melhorar
informarção para os executivos
sobre os fatores de risco mais Como faço para tirar o máximo
relevantes? de proveito dos nossos
investimentos em infra-
estrutura de segurança?
Quais patches são críticos?
Quais não são?
Como faço para maximizar
nossos esforços de resposta a
Como posso fazer para incidentes?
implantar o senso de ameaça
global?

16. Segurança Hoje
Foco em perímetro Camada de Rede Baseado em assinatura

17. O?
ÇÃ
VEN
PRE
 Firewalls
 Anti-Vírus
 Anti-Spam
 Controle de Conteúdo
 Hardening de S.O.
 Desenvolvimento
Seguro
 Etc..

18. ?
CÇÃO
DETE
 IDS/IPS
 Anti-Vírus
 Anti-Spam
 Logs de Sistemas
 SIEM
 HoneyNets
 Auditoria de Sistema
 Auditoria de Código
 Etc..

19. Segurança hoje: Foco em perímetro , Camada de rede, Baseado em
Segurança Hoje
Assinatura

20. Segurança hoje: Foco em perímetro , Camada de rede, Baseado em
Assinatura
ATORES VETORES
Ameaças de hoje
Espionagem Vazamen
to de
dados
Internos Organizações
Malware
APT
Criminosas Fraudes
Estados – Nações

21. Segurança hoje: Foco em perímetro , Camada de rede, Baseado em
Assinatura
Ameaças Hoje: Internas, Organizações criminosas, Estados e nações usando
metodos avanç.
ATORES VETORES
Ameaças de hoje
Espionagem Vazamen
to de
dados
Internos Organizações
Malware
APT
Criminosas Fraudes
Estados – Nações

22. Segurança hoje: Foco em perímetro , Camada de rede, Baseado em
Assinatura
Ameaças Hoje: Internas, Organizações criminosas, Estados e nações usando
metodos avanç.
Segurança devem evoluir ...
e ser ágil
Para preencher esta lacuna

23. Uma abordagem Uma plataforma de Fornecendo
revolucionária para a visibilidade informações
empresa monitorar a abrangente em precisas e
rede conteúdo e acionáveis
comportamento
Saber tudo. Responder qualquer coisa.

24. COISA
UER
QUALQ
NDER
RESPO
TUDO.
SABER
» Quais as ameaças críticas o meu Anti-vírus e IDS estão
falhando?
» Estou preocupado com malwares direcionados, e APTS -
Investir como posso analisar e reconhecer a impressão digital dessas
atividades no meu ambiente?
» Precisamos entender melhor e gerenciar os riscos
Certo. associados com ameaças internas - Quero visibilidade das
atividades do usuário final e ser alertado sobre certos tipos
de comportamento?
» Em nossos ativos de alto valor, como podemos ter certeza
de que nossos controles de segurança estão funcionando
exatamente como implementado?
investir em » Como posso detectar novas variantes de malware Zeus ou
outros 0 day na minha rede?
Agilidade.. » Precisamos examinar os incidentes críticos como se
tivéssemos uma câmera de vídeo HD de gravação tudo ...

25. John Smith
CISO
Copyright 2007 NetWitness Corporation

26. INVESTIMENTOS EM SEGURANÇA DA INFORMAÇÃO
Prevenção Detecção Avaliação Reação
Firewalls IDS Scan de Vulnerabilidades Resposta a Incidentes
Controle de Acesso SIEMs Sniffers Computação Forense
Mapeamento de
Autenticação
Processos
Defesa de Redes Detecção Resposta
 Investimentos tradicionais  Em investimento  Poucos
 Efetiva em 99% dos casos  As “Euquipes” não tem investimentos
 Resolve 1% do problema tempo de fazer  Efetiva em 1% dos
estudos de ambiente casos
 Resolve 99% do
problema

27. PREVENÇÃO?
 Firewalls
 Anti-Vírus
 Anti-Spam
 Controle de Conteúdo
 Hardening de S.O.
 Desenvolvimento Seguro
 Etc..

28. DETECÇÃO?
 IDS/IPS
 Anti-Vírus
 Anti-Spam
 Logs de Sistemas
 SIEM
 HoneyNets
 Auditoria de Sistema
 Auditoria de Código
 Etc..

29. Teatro da Segurança

30. ESTUDO DE CASO
Últimos Acontecimentos

31. CONCEITOS DE INVESTIGAÇÃO DIGITAL

32. OS
CONCEIT
Conceitos
Forense Post- Forense de Rede Forense Remota Forense
Mortem •Cabeadas •Conexão online Colaborativa
•HDs, CDs, Pen-Drives, •Sem Fio •Silenciosa •Interface de
Disquetes, etc Investigação Amigável
•Grupo Especialista

33. Maturidade em Forense Computacional

34. 1 Envio do malware via spear phishing
Máquina
alvo
2 Execução do malware na máquina alvo
3 Máquina alvo abre conexão reversa com
Origem do
origem do ataque EnCase CyberSecurity identifica
ataque
o malware na máquina
alvo, coleta as evidências e
8
executa a remediação
(eliminação do malware)
NetWitness captura/analisa tráfego de
4 dados do ataque
NetWitness
Investigato
r
NetWitness identifica tráfego anormal e
5 envia evento para ArcSight
NetWitness
Informer
Analista inicia o processo
7 de remediação com o
EnCase CyberSecurity
Evento
ArcSight correlaciona eventos, identifica
6 incidente, e dispara alerta para remediação

35. 1 Usuário executa o vazamento de informações
NetWitness captura/analisa tráfego de
2 dados do ataque, e identifica hosts
envolvidos
Origem do vazamento EnCase CyberSecurity realiza análise de
de informações 6 entropia, identifica e coleta evidências
(artefatos de navegação, etc)
NetWitness
Investigato
r NetWitness envia evento para
3 ArcSight
NetWitness
Informer
ArcSight correlaciona eventos, identifica
4 incidente, e dispara alerta para remediação
Analista inicia o processo
Evento 5 de remediação com o
EnCase CyberSecurity

36. Ferramentas de Laboratório
SOLUÇÕES DE FORENSE DIGITAL
Armazenamento Portátil
Duplicadores de Mídias –
de Alta Capacidade
SOLO-IV
WiebeTech
Softwares de Análise Pericial
Encase e FTK
Servidores e Estações
Forenses - Digital Intelligence
Bloqueadores de Escrita
Tableau Forense de Celulares

37. CLIENTES TECHBIZ FORENSE DIGITAL
Alguns de nossos + 160 clientes no Brasil
Mercado Financeiro Ministério Público
Mercado Telecom Secretaria de Fazenda
Indústria Secretaria de Segurança
Petrobras Instituto Geral de Perícia
ABIN Instituto de Criminalística
Marinha do Brasil Superior Tribunal de Justiça
CIEx – Exército Presidência da República
Ministério da Saúde Polícia Federal
Ministério da Justiça Polícia Militar DF

38. OGIA
TECNOL
DE
AÇÃO
INTEGR
Parceiros Tecnológicos

39. Marcos Nascimento Borges Pereira, MSc, MBA
PMP, EnCE, ITIL, MCSE, CCA, CCSP, VCP, VTSP e VSP
Gerente de Negócios – Forças da Lei - Br
Cel: +55 (31) 9102-4423
Cel: +55 (31) 9242-0187
Tel : +55 (31)3211-1800 R: 1830
Mail: marcos@techbiz.com.br