Ayer se celebró el evento anual de seguridad para CSOs en las oficinas de Microsoft Ibérica en Madrid con una interesante agenda de ponentes (por orden de ponencia):
Yesterday the annual security CSO event was held at Microsoft Madrid office with an interesting agenda of speakers (in order of presentation):
– Microsoft: Simón Roses Femerling :)
Microsoft – Seguridad en la Nube
Ponencia sobre la oferta de Microsoft en la Nube y una visión desde dentro sobre seguridad y privacidad.
– Microsoft: Simon Roses Femerling :)
Microsoft – Security in the cloud
Presentation about Microsoft offer in the cloud and a view from inside regarding security and privacy.
– Hispasec: Bernando Quintero y Ero Carrera
Virus Total Malware Intelligence Service
Bernando y Ero hablaron sobre el portal Virus Total y cómo partiendo de una simple idea se ha convertido en el portal antivirus de referencia a nivel mundial con más de 40 motores antivirus y lista de espera. Si tienes un fichero sospechoso no olvides subirlo al portal, es gratis!!
– Hispasec: Bernardo Quintero and Ero Carrera
Virus Total Malware Intelligence Service
Bernardo and Ero spoke about the Virus Total portal and how on the basis of a simple idea it has become the worldwide portal of reference with more than 40 anti-virus engines and waiting list. If you have a suspicious file don’t forget to upload it to the portal, it’s free!!
– Taddong: David Perez y José Picó
Dispositivos móviles: nuevas amenazas
Los chicos de Taddong, empresa de seguridad de reciente creación por unos conocidos expertos en seguridad, nos hablaron sobre seguridad en teléfonos móviles y realizaron demos de cómo eran capaces de realizar distintos ataques como sniffing, MITM, etc., básicamente “0wn the phone”. La conclusión es que actualmente los teléfonos móviles son inseguros y es relativamente fácil realizar estos ataques con el equipamiento adecuado. Esto es una llamada de atención a los operadores telefónicos y a los gobiernos!!
– Taddong: David Perez and José Picó
Mobile devices: new threats
Taddong guys, a newly created company by well-known security experts, talked about security in mobile phones and made demos of how they were able to perform different attacks such as sniffing, MITM, basically “0wn the phone” etc. The conclusion is that mobile phones are currently unsafe and is relatively easy to make these attacks with the appropriate equipment. This is a wakeup call to telephone operators and Governments!
– Informática 64: Chema Alonso
Buscadores + DNS + Metadatos: Fugas de Información
Chema nos presentó la herramienta FOCA que permite extraer jugosa información de los metadatos de los documentos obtenidos a través de los buscadores para el dominio que queramos analizar. Esta herramienta es ideal para test de intrusión u Open Source Intelligence (OSINT). Las empresas van a tener que establecer políticas de seguridad sobre el uso de los metadatos.
– Informatica 64: Chema Alonso
Search engines + DNS + metadata: information leaks
Chema presented the FOCA tool to extract the metadata from documents obtained through the search engines for the domain we want to analyze. This tool is great for penetration testing or Open Source Intelligence (OSINT). The companies need to create policies regarding the use of metadata.
– Kabel: Raúl Moros Peña
La confidencialidad de la información ¿la protegemos o la protegemos?
Raúl presentó consejos para proteger y evitar fugas de información utilizando Information Rights Management (IRM) mediante tecnologías como Rights Management Services (RMS) y Data Leak Prevention (DLP). Raúl realizo unas demos de cómo proteger documentos utilizando el RMS de Microsoft.
– Kabel: Raúl Moros Peña
Confidentiality of information ¿protect it or protect it?
Raúl presented tips to protect and prevent information leaks by using Information Rights Management (IRM) technologies such as Rights Management Services (RMS) and Data Leak Prevention (DLP). Raúl made a few demos of how to protect documents using Microsoft RMS.
La verdad es que el evento estuvo muy bien y las charlas tuvieron un gran nivel. Felicidades a todos los ponentes y a la organización :)
Hasta el próximo año!
The truth is that the event went very well and there were very high level talks. Congratulations to all speakers and the organization :)
Para realizar ataques efectivos y silenciosos es crucial realizar una extensa fase de recogida de información sobre el objetivo con el fin de identificar los vectores de ataque. En este hipotético ejemplo vamos a analizar la seguridad de redes wireless utilizando técnicas de visualización.
To execute effective and covert attacks is crucial to perform an extensive information gathering phase of the target to identify the attack vectors. In this hypothetical example we are going to analyze the security of wireless networks using visualization techniques.
Para la fase de reconocimiento tenemos un amplio abanico de herramientas como son kismet, la suite de aircrack-ng, Netstumber, etc. Como siempre todas las herramientas tienen sus pros y sus contras y es una cuestión de gustos. Personalmente me gusta aircrack-ng y es la que vamos a utilizar para capturar la información en tránsito.
For the reconnaissance phase we have a wide range of tools such as kismet, aircrack-ng suite, Netstumber, etc. As always all tools have their pros and cons and it is a matter of taste. I personally like aircrack-ng and it is what we are going to use to capture the information in transit.
Partimos de que ya hemos capturado la información mediante airodump-ng y usamos una nueva herramienta llamada airgraph-ng incluida en la suite para visualizar la información. Para ello ejecutamos los siguientes comandos:
We assume that we have already captured information through airodump-ng and use a new tool called airgraph-ng included in the suite to display the information. To do this, we run the following commands:
Primero ejecutamos el programa airgraph-ng con el parámetro “-i” especificando el fichero obtenido mediante airodump-ng y con el parámetro “-g” con la opción “CAPR” que significa “Client – AP Relationship”, la relación entre clientes y AP.
Y éste es el resultado:
We first run the program airgraph-ng with the parameter “- i” specifying the file obtained from airodump-ng and with the parameter”- g” using “CAPR” which means “Client – AP Relationship”, the relationship between clients and AP.
And this is the result:
En la imagen podemos apreciar 2 Access Point (AP) protegidos mediante WEP ;) y cada uno tiene un cliente asociado respectivamente. De forma rápida podemos analizar la información obteniendo número de AP, clientes, seguridad, canales y nombres de los AP.
Ahora hagamos lo mismo pero cambiando el parámetro “-g” por CPG que significa “Common Probe Graph”, para identificar los SSID que están buscando los clientes.
In the image we see 2 Access Point (AP) WEP protected ;) and each has a customer associated respectively. Quickly we can analyze the information and grasp the number of AP, clients, security, channels, and names of the AP.
Now we do the same but changing the parameter “-g” to GPC which means “Common Probe Graph” to identify the SSID that clients are probing for.
Y ahora podemos ver lo siguiente:
And now we can see the following:
Los círculos blancos son clientes y los círculos azules son SSID. Si observamos la imagen podemos ver clientes que apuntan al mismo SSID, seguramente el AP al que están asociados, pero también podemos extraer más información interesante como dónde ha estado una persona por los SSID ya que revelan información geográfica. Podríamos empezar a crear un perfil del objetivo.
Airgraph-ng utiliza diferentes colores para los AP en función del método de encriptación como amarillo para WEP y rojo para AP abiertos.
The white circles are clients and the blue circles are SSID. If we look at the image we see clients targeting the same SSID, surely they are associated to that AP, but we can also draw more interesting information such as where a person has been by the SSID that reveal geographic information. We could begin to create a profile of the target.
Airgraph-ng uses different colors for the AP depending on the encryption method as red for open AP and yellow for WEP.
En la imagen podemos ver 6 AP y 7 clientes. Uno de los AP esta en rojo que significa que el AP está abierto y además vemos un cliente asociado ;)
Los fans de Maltego están de enhorabuena, ya que incorpora la capacidad de realizar análisis visuales de redes wireless en conjunto con aircrack-ng. Os mostramos el gráfico anterior mediante Maltego.
In the image we can see 6 AP and 7 clients. One of the AP is in red which means that the AP is open and we also see a client associated ;)
Maltego fans are in luck because it incorporates the ability to perform visual analysis of wireless networks in conjunction with aircrack-ng. We are using the previous graphic with Maltego.
Donde vemos un AP abierto (verde), varios AP encriptados con WEP (azul) y clientes (marrón). Maltego proporciona un entorno ideal para realizar análisis de grandes cantidades de información y combinarlo con técnicas de Open Source Intelligence (OSINT). Haciendo un zoom podemos ver la imagen con mayor detalle.
We see an AP opened (green), several AP encrypted with WEP (blue) and clients (Brown). Maltego provides an ideal environment to perform analysis of large amounts of information and combine it with techniques of Open Source Intelligence (OSINT). Making a zoom we can see the image in greater detail.
Como podemos ver en el artículo las técnicas de visualización nos ayudan a ser más efectivos y reducir el tiempo de análisis significativamente. Ahora ya contamos con una visión de los vectores de ataque y podemos optar por diferentes estrategias como:
Atacar el AP abierto
Atacar alguno de los AP encriptados con WEP
Atacar cualquiera de los clientes
Meter un AP malicioso
Interferir la comunicación entre AP y cliente
Una vez comprometido el AP o cliente podríamos continuar la intrusión combinando otros ataques de redes y sistemas para conseguir nuestro objetivo.
¿Qué técnicas de visualización y herramientas te gusta utilizar para tus análisis?
As you can see in the post visualization techniques will help us be more effective and significantly reduces analysis time. Now we already have a view of the attack vectors and we can choose different strategies such as:
Attacking the open AP
Attack any of the AP encrypted with WEP
Attack any of the clients
Put a malicious AP
Jamming AP-client communications
Once the AP or client is owned we could continue the intrusion by combining other network and system attacks to achieve our objective.
What visualization techniques and tools do you use for your analysis?
En cualquier revisión de seguridad ya sea un test de intrusión, revisión de una aplicación web o de código fuente el Attack Surface Analysis (ASA) es una poderosa metodología que podemos utilizar para identificar los vectores de ataque del sistema. Personalmente siempre realizo este ejercicio en cualquier proyecto para determinar los puntos vulnerables y luego otro ejercicio llamado Attack Surface Reduction (ASR) para evaluar y mitigar los vectores de ataque.
In any security review whether is a pentesting, a web application or source code review Attack Surface Analysis (ASA) is a powerful methodology that we can use to identify the system attack vectors. Personally I always do this exercise in any project to determine the vulnerabilities and then another exercise called Attack Surface Reduction (ASR) to assess and mitigate attack vectors.
Por lo que podemos definir ASA como un análisis sistemático del sistema para identificar los vectores de ataque y ASR como el proceso de validación y mitigación de los vectores de ataque.
We can define ASA as a systematic analysis of the system to identify attack vectors and ASR as the process of validation and mitigation of attack vectors.
Las organizaciones tienen multitud de vectores de ataques desde sus redes corporativas, aplicaciones, personas, etc. que pueden ser explotados. Los atacantes solo necesitan encontrar un vector de ataque que les permita conseguir su objetivo mientras que los defensores deben identificar todos los vectores de ataques y realizar un ASR.
Organizations have many attack vectors from their corporate networks, applications, people, etc. that can be exploited. Attackers just need to find a single attack vector that enables them to achieve their goal while defenders must identify all attack vectors and perform an ASR.
Como dice un proverbio chino “Si das pescado a un hombre hambriento, le nutres una jornada. Si le enseñas a pescar, le nutrirás toda la vida”, veamos algunos ejemplos prácticos de ASA.
As said by a Chinese quote “Give a man a fish and you feed him for a day. Teach him how to fish and you feed him for a lifetime”, let’s look at some practical examples of ASA.
ASA Corp. Network
El siguiente grafico es un diagrama de una red corporativo típico que podemos encontrar en muchas organizaciones.
The following graphic is a diagram of a typical corporate network found in many organizations.
Lo cierto es que me he quedado muy lejos de realizar un ASA completo pero como bien refleja el título de este post existen multitud de vectores de ataque en las organizaciones pero es un ejercicio que debemos realizar a consciencia y constantemente.
Para ello tenemos mucha documentación, metodologías (Attack Trees, Threat Models, etc.) y herramientas a nuestra disposición.
¿Y vosotros como realizáis un ASA en vuestras revisiones de seguridad?
The truth is that I’m far away for a full ASA but as reflected in the post title there are many different attack vectors in organizations but is an exercise we must perform consciousness and constantly.
We have lots of documentation, methodologies (Attack Trees, Threat Models, etc.) and tools at our disposal.
Actualización 18/02/10: Era cuestión de tiempo, 1) vulnerabilidad en Buzz y 2) demanda de privacidad contra Buzz por parte de EPIC.
Prácticamente todo el mundo a estas alturas ha oído hablar del nuevo servicio de Google llamado Buzz, que acaba de lanzar la semana pasada para competir contra Facebook y Twitter. He de confesar que el servicio no es mala idea, ya que integra de forma cómoda Gmail con Google Maps desde el PC o incluso desde el móvil Android y otros dispositivos.
Pero desde el punto de vista de la privacidad Google Buzz tiene grandes fallos y debería aprender de la competencia como Facebook, que ha mejorado bastante en estos temas.
Algunas de las cuestiones que me preocupan y mucho del uso de Buzz son:
Por defecto en tu página principal de Buzz te salen amigos que les haces seguimiento sin haberlo definido.
Por defecto cuando publicas en Buzz todo el mundo lo puede ver!
Tus mensajes en Buzz aparecen en Google Maps indicando nombre y lugar, incluso la calle, con lo que estás indicando tu posición real.
Por defecto puedo ver a quiénes siguen mis amigos y quiénes siguen a mis amigos.
El punto 3 es realmente preocupante ya que se va a poder seguir físicamente a una persona con cualquier finalidad! Estoy seguro que irán apareciendo más cuestiones de privacidad y seguridad en breve, por lo que desde CyberSpace Insecurity les seguiremos la pista y os mantendremos informados :)
Y tú que piensas sobre Buzz?
Update 02/18/10: Just a matter of time, 1) Buzz vulnerability and 2) EPIC complains regarding Buzz privacy.
Virtually everyone at this stage has heard of the new Google service called Buzz released last week to compete against Facebook and Twitter. I must confess that the service is not a bad idea since it integrates Gmail and Google Maps from your PC or even from the Android mobile and other devices.
But from the point of view of privacy Google has done some big mistakes and should learn from competitors such as Facebook that has improved on these issues.
Some of the issues that seriously concern me about the use of Buzz are:
By default on your Buzz homepage you are following your friends without explicitly configuring it.
By default posting on Buzz is public. Everybody can see it!
Your Buzz messages appear in Google Maps indicating name and location, even the street, indicating your real spot.
By default I can see my friends’ followers and who they follow.
Point 3 is really worrying as you can follow physically a person to who knows what! I am sure more issues of privacy and security will appear shortly but from CyberSpace Insecurity we will continue to track them and keep you posted :)
Como muchos ya sabréis Tenable Network Security ha lanzado la nueva versión de Nessus 4.2, un potente scanner de vulnerabilidades con las siguientes mejoras:
La instalación en Windows es más sencilla.
El cliente es una aplicación basada en flash que comunica con el Nessus servidor Web y es totalmente intuitiva.
Mejora del rendimiento del scanner, mayor velocidad y estabilidad.
Más de 33000 plugins para todo tipo de vulnerabilidades (Windows, Linux, Web, etc.)
Los informes son mucho más cómodos de leer. (Truco: Excel 2007 lee sin problemas el formato .nessus basado en XML que facilita el parsing :)
Os dejo el tutorial visual para hacer un escaneo a un equipo WinXP con la nueva versión de Nessus :)
As you may already know Tenable Network Security has released the new version of Nessus 4.2, a powerful vulnerability scanner, with noticeable improvements such as:
Installing Nessus on Windows is simpler.
The client is a flash app that communicates with the Nessus Web Server and is totally intuitive.
Improved performance of the scanner with greater speed and stability.
More than 33000 plugins for all kinds of vulnerabilities (Windows, Linux, Web, etc.)
Reports are much more comfortable to read. (Trick: Excel 2007 reads smoothly the .nessus XML-based format for easy parsing :)
España desde el 1 de Enero es la encargada de la Presidencia de la EU durante los próximos 6 meses y con este fin se ha creado un portal www.eu2010.es que se anuncio a bombo y platillo en todos los medios.
El escándalo salto ayer, 4 días de la publicación de la web, cuando un atacante identifico una vulnerabilidad de Cross-Site Scripting (XSS) permitiéndole inyectar código en el motor de búsqueda de la web. Dicho código colocaba una foto de Mr. Bean.
Si bien es cierto que esta vulnerabilidad tiene una criticidad baja a mí entender existen otros problemas:
Las vulnerabilidades XSS no deben ser infravaloras ya que permiten realizar ataques mucho más sofisticados que atacar el navegador del cliente.
Este evento es un claro ejemplo que no por usar soluciones Open Source se es más seguro automáticamente. La seguridad es un proceso y por eso tenemos metodologías como MS SDL y OWASP CLASP.
Enlazando con el punto 2 un WAF podría haberles salvado el mal trago y en la línea Open Source tenemos el ModSecurity.
Como no podía ser de otra manera el Gobierno niega que el portal haya sido “hackeado” y en cierta manera tiene razón aunque no debemos olvidar que si existía una vulnerabilidad que no debería haber sucedido en primer lugar.
Este ataque XSS es más anecdótico que otra cosa pero el verdadero escándalo que ha destapado este evento es el alto coste de soporte técnico y seguridad que el Gobierno ha pagado a Telefónica: 11,9 millones de Euros.
Sorprende la desorbitada cifra para un portal con una duración de 6 meses y utilizando soluciones Open Source. Esto sí que es un verdadero escándalo y una vergüenza.
Spain starting January 1 is in charge of the Presidency of the EU during the next 6 months and for this purpose the portal www.eu2010.es was created and announced in all media.
The scandal jumped yesterday, 4 days after the publication of the web, when an attacker identify a vulnerability of Cross-site Scripting (XSS) allowing to inject code into the web search engine. That code placed a photo of Mr. Bean.
While it is true that this vulnerability has a low criticality there are other problems:
XSS vulnerabilities should not be underestimated as they allow performing more sophisticated attacks that just attacking the client browser.
This event is a clear example that using Open Source solutions is not more secure automatically. Security is a process and therefore we have methodologies such as MS SDL and OWASP CLASP.
Linking with point 2 a WAF could have safe them some troubles and keeping with Open Source we have ModSecurity.
It could not be otherwise the Government denies that the portal has been “hacked” and somehow is right but we must not forget that there was a vulnerability that should not have happened in the first place.
This XSS attack is more anecdotal than anything else but the real scandal this event has uncovered is the high cost of technical support and security that the Government has paid to Telefónica: 11.9 million Euros.
Is surprising the huge figure for a portal with a duration of 6 months and using Open Source solutions. This is scandalous and disgraceful.
