A INTERNET DAS COISAS
Os desafios para a segurança da informação
no mundo da Internet das Coisas
Edson Brandi CTO – FS Security 5 de Outubro 2016
MALWARES SÃO PROBLEMAS DO PASSADO
Já não acontecem mais... Será?
209 milhões de PII vazados
População 316 milhões
Target: ataque iniciado em empresa de manutenção de ar condicionado via phishing de e-mail
CEO renuncia em 2014 7 membros do Conselho de Administração substituídos Pagamentos de USD 67M para VISA, USD 19M para MasterCard, USD 10M para Clientes, ...
Demissão de 17.000 funcionários e fechamento de 133 lojas (fecha operação no Canada)
INTERNET DAS COISAS #1
O que é isso?
Hello Barbie se conecta com a Internet (WiFi) para reconhecer fala da criança e responder (estilo Siri, Cortana, ...)
Conversas são armazenadas na nuvem
Vtech sofre grande perda de dados (1.3M PII, pais e
crianças)! http://goo.gl/O3KEWq
Especialista em segurança Matt Jakubowsk afirma ter hackeado boneca
Obteve informações e que poderia controlar o microfone Boneca se torna instrumento de vigilância
INTERNET DAS COISAS #2
O que é isso?
Junho/2015, Saint Louis, numa
estrada na periferia da cidade
Ar condicionado liga no máximo,
sozinho
O mesmo acontece depois com o
radio e o limpador de para-brisas
Central multimídia passa a
transmitir imagem dos hackers
Charlie Miller e Chris Valasek
Ataque de dia-0 na central de
multimídia
Controle total do carro, incluindo
todo o painel, direção e freios
INTERNET DAS COISAS #3
O que é isso?
Power Pwn é um sistema para testes de penetração (https://goo.gl/q5TYSe) Wireless 802.11b/g/n, Bluetooth, Ethernet (x2), 4G
16GB internos
Bypass de NAC/802.1x/RADIUS automatizado
Acesso a SSH através de 4G/GSM Comandos Bash via SMS
Suporta proxies HTTP, SSH-VPN, & OpenVPN Envia email/SMS quando obtem túnel SSH Pré carregado com Debian 6, Metasploit, SET, Fast-Track, w3af, Kismet, Aircrack, SSLstrip, nmap, Hydra, dsniff, Scapy, Ettercap, Bluetooth/VoIP/IPv6 tools, ... Não passível de detecção quando em modo invisível (não responde à ping e não possui portas em modo escuta)
QUAL É A SEGURANÇA?
Decidimos que iremos usar o proteção paga apenas nas máquinas criticas, no restante iremos usar algum
produto grátis!
A segurança total é igual à segurança do dispositivo menos seguro existente na organização!
Só precisamos de criptografia para os notebooks, nos desktops basta estarem no domínio e exigirmos usuário
e senha para estarmos protegidos!
Programa Lazesoft Recover My Password pode resetar a senha do administrador local de qualquer versão do
Windows!
Estamos usando o produto grátis, mesmo sem ter o bloqueio de vulnerabilidades pois usamos o WSUS para
endereçar a aplicação das correções das vulnerabilidades!
Hoje quase 30% das ameaças exploram vulnerabilidades em aplicações, não apenas da Microsoft mas também da
ALÉM DO ANTIVIRUS
Console de segurança
FERRAMENTAS REATIVAS:
• HIPS & Firewall • URL Filtering • Anti-spam • Anti-fishing • Blacklist FERRAMENTAS PRÓATIVAS: • Heuristica • Whitelisting • App Control • Web Control • System Watcher 29% Ameaças desconhecias 70% Ameaças conhecidas ? 1% FERRAMENTAS AVANÇADAS: • Zeta Shield • AEP • UDS2 • System Watcher
• Reputação de sites e aplicações • Sequestro de dados • Botnets • Controle de dispositivos • Vulnerabilidades complexas • Análise de comportamento • CYBER TERRORISMO • ESPIONAGEM • Zero-days • Ameaças simples • Ameaças conhecidas • Vulnerabilidades antigas
VULNERABILIDADES DE DIA ZERO
O preço do conhecimento
Quadrilhas altamente profissionais atacando vítimas de alto padrão
Crime como um serviço (CaaS)
CARBANAK
Roubo de dinheiro direto no ATM, através da rede interna Transferências via Online Banking Alterações feitas em base de dados Oracle Transferências via SWIFT USD 1B de perdas Grava as telas e teclas dos programas ativosCARETO
Envolvido em cyber
espionagem desde 2007 (7 anos sem ser detectado) Ferramentas usadas incluem um malware, um rootkit e um botkit.
Não apenas Windows, mas também Mac OS X e Linux Identificadas cerca de 380 vítimas em 31 paises, 173 no Brasil
Principais alvos são empresas de governo, de gás, óleo, energia,
SISTEMA DE VIGILÂNCIA GLOBAL DA NSA
"Eu sou apenas mais um cara que fica lá no dia a dia em um escritório, observa o que está acontecendo e diz: 'Isso é algo que não é para ser decidido por nós; o público precisa decidir se esses programas e políticas estão certos ou errados."
STUXNET
A primeira arma cibernética desenhada para causar dano físico
Stuxnet foi desenhado especificamente para sabotar o processo de enriquecimento de urânio O virus explorou 4 vulnerabilidaes dia-0 separadas
Os drivers do Stuxnet foram assinados com assinaturas digitais válidas da Realtek e Jmicron
Supostamente um ataque patrocinado por uma nação
