Deteção de malware de nova geração e sua mitigação

(1)

DEPARTAMENTO DE INFORM ´ATICA

DETEC

¸ ˜

AO DE MALWARE DE NOVA GERAC

¸ ˜

AO E

SUA MITIGAC

¸ ˜

AO

Jo˜ao Paulo Marques dos Santos

MESTRADO EM SEGURANC

¸ A INFORM ´

ATICA

Dissertac¸˜ao orientada por:

Prof. Doutora Maria Dulce Pedroso Domingos

e pelo Eng. Jos´e Ant´onio dos Santos Alegria

(2)

(3)

Começo por agradecer à Professora Doutora Dulce Domingos pela orientação dada ao longo das várias horas em reuniões que em muito contribu´ıram para a execução deste trabalho. Ao orientador na Portugal Telecom, o Engenheiro José Alegria, agradeço a disponibilidade e confiança prestadas de forma incondicional ao longo de todo o projeto, orientado-me na vida profissional e académica através da sua experiência e conhecimento. Um agradecimento especial ao André Cardoso que, de forma incansável, me orien-tou na vertente técnica de todo o projeto. A sua contribuição ultrapassou, em diversas ocasiões, o estritamente necessário para a elaboração do projeto, contribuindo de forma significativa para o sucesso do mesmo e para o meu enriquecimento profissional e pessoal. Devo também um agradecimento particular ao Pedro Gonçalves e Pedro Inácio que, de forma direta, contribu´ıram para o desenvolvimento do projeto e para a minha valorização profissional. Nota de agradecimento para toda a equipa SOC (e DCY em geral) pelo ambiente familiar com que me acolheram desde o primeiro dia.

Não posso deixar de agradecer a todos os meus amigos que de forma direta ou indireta contribu´ıram para o meu sucesso académico e pessoal. No entanto, correndo o risco de ser injusto para alguns, não posso deixar passar a oportunidade de agradecer a todos os meus colegas de casa, em particular o Nuno Prudêncio, António Flor e Marisa Roldão, pela amizade partilhada durante todos estes anos.

Como não existe sucesso sem uma base familiar forte, um eterno reconhecimento a toda a minha fam´ılia pela minha formação enquanto ser humano. O meu percurso académico deve-se em grande medida às condições que me proporcionaram ao longo da minha vida.

A nota final vai para os co-autores desta e qualquer obra da minha vida. Para aquele que ser´a sempre o meu ´ıdolo, a minha referˆencia e amigo de uma vida. Mano, um sentido obrigado por olhares sempre por mim.

Termino o meu percurso académico com uma das minhas primeiras lições: “Não dei-xes para amanhã o que podes fazer hoje”. Pai, o “hoje” não é suficiente para te agradecer eternamente.

(4)

(5)

(6)

(7)

Tendo em conta a diversidade de plataformas digitais de comunicação existentes atual-mente, as suas potenciais vulnerabilidades e o grau de sofisticação dos agentes malicio-sos, importa que cada organização ou empresa adote uma estratégia de segurança o mais eficaz poss´ıvel. Essa estratégia, resultante da potencial gravidade de ataques maliciosos impõe, hoje com maior acuidade, uma pol´ıtica integrada de defesa e de segurança.

´

E do conhecimento geral que nas redes de comunicação passam, juntamente com dados leg´ıtimos, ameaças como v´ırus, spam, ataques de interrupção de serviço (Denial of Service – DoS), entre outros, com impacto na qualidade do serviço prestado. Neste sentido, a monitorização da rede assume particular importância no seu processo de defesa, permitindo a deteção destas ameaças de forma eficaz e em tempo útil.

Inserindo-se neste quadro de preocupações, o presente trabalho versa a proteção con-tra malware (malicious software ou software malicioso) de última geração, considerando os danos que estes, por intrusão e acesso il´ıcito, poderão causar na imagem e continuidade de negócio de uma empresa. São apresentados os resultados obtidos da aplicação de uma plataforma recentemente adquirida pela Portugal Telecom para a mitigação de agentes maliciosos detetados. Trata-se da “Cisco Advanced Malware Protection – Cisco AMP”.

Pretende-se configurar e integrar a plataforma da melhor maneira poss´ıvel no ecossis-tema de segurança da Portugal Telecom, nomeadamente, com as plataformas de suporte ao Security Operations Center (SOC). A solução tem por objetivo a deteção de malware, reportando-o às equipas operacionais adequadas para que estas efetuem a sua mitigação de forma rápida, evitando, dessa forma, a proliferação de ameaças nos sistemas da Portu-gal Telecom.

Palavras-chave: deteção, mitigação, malware, monitorização, cibersegurança

(8)

(9)

Given the present diversity of digital communication platforms, their potential vulnerabil-ity and increased sophistication of malicious agents, it is imperative for each organization or company to implement a security strategy that is as effective as possible. This strategy, resulting from the potential consequences of malicious attacks, now imposes an integrated defence and security policy.

Common sense tells us that along with legitimate data, threats such as viruses, spam, Denial of Service (DoS) attacks, among others, travel through communication networks, having an impact on the quality of the provided services. Therefore, network monitoring is of particular interest in its defensive process, allowing the detection of these threats in an effective and timely manner.

As part of this central concern, this work addresses advanced malware protection, taking into account the damages these intrusions and illicit accesses could cause to the public image and business continuity of a company. This dissertation focuses on the results obtained from the implementation of a state-of-the-art appliance recently acquired by Portugal Telecom.

The appliance, Cisco Advanced Malware Protection (AMP, for short) focus on the detection of malware so that the incident response teams can use it to mitigate possible infections. It is intended to emphasize the platform’s potential, configuring and integrat-ing it in the best possible way within Portugal Telecom cybersecurity ecosystem. The solution aims to detect malware, reporting it to the appropriate operational teams so that they can be mitigated quickly, thus avoiding the proliferation of malicious agents into Portugal Telecom systems.

Keywords: malware, detection, mitigation, monitoring, cybersecurity

(10)

(11)

Lista de Figuras xiv

Lista de Tabelas xvii

1 Introduc¸˜ao 1

1.1 Motivac¸˜ao . . . 1

1.2 Objetivos . . . 2

1.3 Contribuic¸˜oes . . . 3

1.4 Estrutura do documento . . . 3

2 Malware: A Nova Gerac¸˜ao 5 2.1 Tipos de Malware . . . 5

2.1.1 Advanced Persistent Threats . . . 8

2.1.2 Ransomware . . . 10

2.2 An´alise de Malware . . . 13

2.2.1 An´alise Est´atica de Malware . . . 13

2.2.2 An´alise Dinˆamica de Malware . . . 15

2.2.3 Virustotal . . . 17

2.3 Deteção e Mitigação de Malware . . . 18

2.3.1 Sistemas de Deteção de Intrusões . . . 18

2.3.2 Firewalls e Sistemas de Prevenção de Intrusões . . . 20

2.3.3 SECaaS - Security As A Service . . . 24

2.3.4 SIEM: Gestão e Correlação de Eventos de Segurança . . . 26

2.4 Proteção contra Malware Avançado . . . 28

2.4.1 Cisco Advanced Malware Protection . . . 28

2.5 Conclus˜oes . . . 31

3 Caso de Uso: Portugal Telecom 33 3.1 Configurac¸˜ao Base . . . 33

3.1.1 Licenc¸as . . . 35

3.1.2 Pol´ıtica de Controlo de Acesso . . . 36

3.1.3 Utilizadores . . . 38 ix

(12)

3.2.2 Tr´afego do servic¸o de Proxy . . . 41

3.2.3 Tr´afego da Rede de Gest˜ao . . . 42

3.3 Eventos de Ligação e de Intrusão . . . 42

3.3.1 Eventos de Ligac¸˜ao . . . 43

3.3.2 Eventos de Intrus˜ao . . . 44

3.4 Eventos de Ficheiro e de Malware . . . 46

3.4.1 Eventos de Ficheiro (File Events) . . . 46

3.4.2 Eventos de Malware . . . 48

3.4.3 Eventos Retrospetivos . . . 49

3.5 Integrac¸˜oes . . . 50

3.5.1 Integrac¸˜ao com o SIEM . . . 50

3.5.2 Integrac¸˜ao com o Hidra . . . 51

3.5.3 Integrac¸˜ao com o Endpoint Security . . . 52

3.5.4 Integrac¸˜ao com o Orion . . . 53

3.6 Diminuic¸˜ao de Falsos Positivos . . . 54

3.6.1 Implementação de Regras . . . 55 3.6.2 Filtragem Aplicacional . . . 56 3.7 Implementação de Dashboards . . . 57 3.7.1 Appliance Summary . . . 58 3.7.2 Connection Events . . . 59 3.7.3 Feeds Dashboard . . . 62 3.7.4 File Events . . . 63 3.7.5 Intrusion Events . . . 68 3.7.6 Malware Events . . . 71 3.7.7 MEO SOC . . . 74 3.7.8 PT GEO Risk . . . 79 3.8 Conclusões . . . 79 4 Avaliação e Testes 81 4.1 Deteção de Malware . . . 81 4.1.1 Tipos de Malware . . . 83 4.1.2 Evolução do Malware . . . 83 4.1.3 Exemplos de Malware . . . 84 4.2 Deteção de Intrusões . . . 85

4.2.1 Intrus˜oes relacionadas com Malware . . . 86

4.2.2 Tipos de intrus˜oes . . . 87

4.2.3 N´ıvel de impacto das intrus˜oes . . . 89

4.2.4 Evolução dos eventos de Intrusão . . . 90 x

(13)

4.3.1 Email, Proxy e Rede de Gest˜ao . . . 94 4.4 Conclus˜oes . . . 95

5 Conclus˜ao e Trabalhos Futuros 97

Abreviaturas 102

Bibliografia 107

´Indice 108

(14)

(15)

2.1 Cinco fases de ataque de uma Advanced Persistent Threat . . . 10

2.2 Seis fases de ataque do ransomware . . . 12

2.3 Calcular o hash (SHA256 e MD5) do ficheiro zombies.pdf . . . 14

2.4 Arquitetura de um ambiente virtual . . . 16

2.5 Representac¸˜ao de funcionamento do Virustotal . . . 17

2.6 Arquitetura NIDS e HIDS . . . 19

2.7 Modelo gen´erico de uma firewall . . . 21

2.8 Arquitetura NIPS e HIPS . . . 22

2.9 Arquitetura do sistema Snort . . . 24

2.10 Exemplo de regra snort - logins FTP (File Transfer Protocol) efetuados com privil´egios de root . . . 24

2.11 Exemplo de integrac¸˜ao de um SIEM . . . 27

2.12 Deteção point-in-time vs segurança retrospetiva da Cisco . . . 30

3.1 Configurac¸˜ao Cisco AMP da DCY/PT . . . 34

3.2 Pol´ıtica de controlo de acessos implementada na DCY/PT . . . 38

3.3 Perfis de utilizadores definidos . . . 39

3.4 Exemplificação do tráfego monitorizado . . . 40

3.5 Integração Cisco AMP - tráfego do email corporativo . . . 41

3.6 Integração Cisco AMP - tráfego do serviço de proxy . . . 42

3.7 Integração Cisco AMP - tráfego da rede de gestão do datacenter . . . 43

3.8 Exemplo de um evento de ligac¸˜ao . . . 44

3.9 Exemplo de um evento de intrus˜ao . . . 45

3.10 Exemplo de evento de ficheiro . . . 47

3.11 Exemplo de evento de malware . . . 48

3.12 Pol´ıtica de ficheiros do sistema Cisco AMP . . . 49

3.13 Integrac¸˜ao com o SIEM . . . 51

3.14 Exemplo de eventos Cisco AMP no Hidra . . . 52

3.15 Primeira fase de desenvolvimento - Orion.py . . . 54

3.16 Segunda fase de desenvolvimento - Orion.py . . . 55

3.17 Aplicac¸˜ao dos filtros nas regras de Snort . . . 56

3.18 Aplicac¸˜ao dos filtros aplicacionais . . . 57 xiii

(16)

3.21 Dashboard Connection Events - Separador Traffic . . . 62

3.22 Dashboard Feeds . . . 63

3.23 Dashboard File Events - Separador Files . . . 64

3.24 Dashboard File Events - Separador Storage . . . 65

3.25 Dashboard File Events - Separador Unknowns . . . 66

3.26 Dashboard File Events - Separador Status . . . 67

3.27 Dashboard Intrusion Events - Separador Events . . . 68

3.28 Dashboard Intrusion Events - Separador Details . . . 70

3.29 Dashboard Intrusion Events - Separador Impact Events . . . 70

3.30 Dashboard Malware Events - Separador Events . . . 72

3.31 Dashboard Malware Events - Separador Files . . . 73

3.32 Dashboard MEO SOC - Separador Intrusion Events . . . 75

3.33 Dashboard MEO SOC - Separador Promiscuous Hosts . . . 76

3.34 Dashboard MEO SOC - Separador File Events . . . 77

3.35 Dashboard MEO SOC - Separador Monitored Traffic . . . 78

3.36 Dashboard PT GEO Risk - Separador SUL e NORTE . . . 79

4.1 Método de propagação do malware . . . 82

4.2 Tipos de malware detetados . . . 83

4.3 Evoluc¸˜ao do malware detetado ao longo do tempo . . . 84

4.4 Exemplos de malware detetado ao longo do tempo . . . 85

4.5 Método de propagação das intrusões . . . 86

4.6 Método de propagação das intrusões relacionadas com malware . . . 87

4.7 Tipos das intrus˜oes detetadas . . . 88

4.8 Tipos das intrus˜oes de malware detetadas . . . 88

4.9 N´ıvel de impacto das intrus˜oes detetadas . . . 89

4.10 N´ıvel de impacto das intrus˜oes de malware detetadas . . . 90

4.11 Evolução das intrusões detetadas ao longo do tempo . . . 91

4.12 Evolução das intrusões de malware detetadas ao longo do tempo . . . 92

4.13 Limpeza de m´aquinas infetadas pelo SearchProtect . . . 93

4.14 Ticket do RTIR com detec¸˜ao do ficheiro Zombies.pdf . . . 94

5.1 Plano de expans˜ao do tr´afego monitorizado . . . 98

(17)

(18)

(19)

3.1 Licenc¸as dispon´ıveis para o Defense Center . . . 35 4.1 Tabela de n´ıveis de impacto das intrus˜oes . . . 89

(20)

(21)

Introduc¸˜ao

1.1 Motivac¸˜ao

A crescente vulgarização do acesso à Internet aumentou, não só o universo dos utiliza-dores, como também a sofisticação dos equipamentos utilizados nos diferentes meios de comunicação atuais. Como consequência, também a dispersão de malware (malicious software ou software malicioso) acompanhou este crescimento, apresentando-se atual-mente como uma das mais sérias ameaças de segurança na Internet [6].

Inúmeros sistemas informáticos espalhados pelo mundo apresentam-se infetados com diversas classes de malware. Apesar da existência de software antiv´ırus, firewalls, siste-mas de deteção e prevenção de intrusões, etc., as ameaças resultantes de software malici-oso persistem e continuam a crescer, encontrando novas formas de contornar os mecanis-mos de defesa.

A própria natureza do malware utilizado pelos atacantes mudou recentemente, evo-luindo da, relativamente simples, interrupção de serviços para a procura ativa de informação relevante ou de ganhos financeiros. Quer isto dizer que, atualmente, o malware procura ser mais inteligente e criterioso na recolha da informação, camuflando-se sob a forma de software leg´ıtimo de modo a evitar os mecanismos de defesa existentes nos sistemas atuais.

´

E neste contexto que surge o tema e contribuição deste trabalho - Deteção de Malware de Nova Geração e sua Mitigação - tendo como foco a infraestrutura de rede da Portugal Telecom e como recurso uma plataforma especializada na deteção de malware, a Cisco Advanced Malware Protection (AMP).

No quadro destas ameaças, cada vez mais sofisticadas e inteligentes, impõem-se novas formas de defesa numa espécie de luta do “gato e do rato”. Este combate e os interesses associados ao mesmo, constituem motivação bastante para que se reforce o estudo na inovação e implementação de novos mecanismos de defesa.

(22)

1.2 Objetivos

O presente trabalho pretende tirar partido da plataforma Cisco AMP, configurando-a e integrando-a no ecossistema de cibersegurança da DCY/PT (Direção de Cibersegurança da Portugal Telecom) em articulação com outras plataformas que, em conjunto, dão su-porte ao Centro de Operações de Cibersegurança (SOC - Security Operations Center). A solução deverá detetar, reportar e mitigar malware o mais rapidamente poss´ıvel, de modo a evitar a sua proliferação nos sistemas da Portugal Telecom.

O objetivo central deste trabalho será, para os pontos de entrada (Ingress) e sa´ıda (Egress) de tráfego relevantes no per´ımetro da Portugal Telecom, implementar a solução Cisco AMP de forma a:

• Detetar, classificar e medir malware através da análise de tráfego de entrada (In-gress);

• Detetar e medir infeções já estabelecidas através da análise de tráfego de sa´ıda (Egress);

• Reportar malware que não tenha sido detetado por outras plataformas da Portugal Telecom designadas para o efeito, numa perspetiva de segurança em profundidade. A integração de uma plataforma com as caracter´ısticas da Cisco AMP na arquitetura de segurança da DCY surge como uma opção estratégica do próprio departamento. Esta integração vem acrescentar uma camada de segurança no contexto da deteção de malware, numa perspetiva de segurança em profundidade. A utilização de plataformas de diferentes fabricantes, mesmo que estas partilhem filosofias semelhantes, é a base desta perspetiva.

Esta solução apresenta uma visão diferenciadora em relação às plataformas já existen-tes na arquitetura de segurança da DCY, no que à análise de malware diz respeito. Entre outras caracter´ısticas, destaca-se a capacidade de deteção e monitorização cont´ınua, i.e., a capacidade de detetar eventos de malware mesmo após a entrada no sistema, fazendo uma “retrospetiva” até ao momento da sua infiltração inicial. A sua integração não pretende substituir nenhuma das componentes já existentes na arquitetura de cibersegurança mas sim complementá-las.

(23)

1.3 Contribuic¸˜oes

A contribuição deste trabalho pode ser medida pelos efeitos práticos do mesmo num am-biente real como o apresentado no caso da Portugal Telecom. Analisando o trabalho como um todo é poss´ıvel concluir quatro contribuições, de forma resumida, importantes para o contexto empresarial e funcional de uma empresa com a dimensão da já referida.

Primeiramente, pode considerar-se que a implementação desta plataforma veio acres-centar uma nova camada de segurança no ecossistema da Portugal Telecom, tendo como foco a deteção de malware. A plataforma cumpre com o objetivo de enriquecer os meca-nismos de defesa existentes no momento da sua integração, assentando numa pol´ıtica de segurança em profundidade.

O segundo ponto está ligado às capacidades da própria plataforma em aumentar a visibilidade sobre o tráfego (entrada e sa´ıda) da rede monitorizada. Consequentemente é garantida uma maior visibilidade sob poss´ıveis ameaças causadas por malware em toda a rede monitorizada.

A terceira contribuição está relacionada com a capacidade de dotar o SOC de meca-nismos mais eficazes no combate ao malware. O desenvolvimento deste trabalho permitiu que a equipa de resposta a incidentes (SOC) tivesse acesso a informações mais detalhadas de todo o malware detetado, auxiliando assim o seu trabalho.

Por último, a integração da Cisco AMP com outras plataformas internas da DCY permite o enriquecimento da informação (que pode não ser de segurança) recolhida acerca dos seus ativos de rede. Desta forma é poss´ıvel correlacionar informação obtida pelas diferentes plataformas de modo a detetar novas ameaças.

1.4 Estrutura do documento

Este documento encontra-se organizado da seguinte forma:

• Cap´ıtulo 2: Malware “A Nova Geração” - Este cap´ıtulo introduz as bases ne-cessárias para a compreensão da análise e deteção de malware. São apresentadas as diferentes fam´ılias de malware e as tecnologias de combate às mesmas, incluindo a plataforma central deste projeto (Cisco AMP).

• Cap´ıtulo 3: Caso de Uso “Portugal Telecom” - O cap´ıtulo apresenta o ambiente de estudo e de integração da plataforma central do projeto. É detalhado o pro-cesso de configuração da Cisco AMP e de integração da mesma no ecossistema de segurança da DCY. Ao longo do cap´ıtulo vão sendo explicadas as funcionalidades e potencialidades da plataforma, reforçando as vantagens da sua implementação no contexto da Portugal Telecom.

(24)

• Cap´ıtulo 4: Avaliação e Testes - Neste cap´ıtulo são apresentados os resultados da integração da plataforma Cisco AMP no caso de estudo da Portugal Telecom. A informação apresentada ao longo do cap´ıtulo foca-se na deteção de malware ao longo de um determinado per´ıodo de tempo. São também apresentados alguns resultados referentes às capacidades de monitorização do tráfego por parte da pla-taforma. Este último ponto é importante na medida em que um dos objetivos pro-postos refere a capacidade de se detetar infeções através da análise de tráfego de entrada e sa´ıda. Por último, apresentam-se os testes efetuados ao longo do processo de implementação da Cisco AMP.

• Cap´ıtulo 5: Conclusão e Trabalhos Futuros - O cap´ıtulo resume o trabalho a ser realizado após a conclusão deste projeto. Tendo em conta as caracter´ısticas da plataforma e do ambiente em que a mesma se insere, é essencial considerar-se como inevitável a constante atualização da Cisco AMP. Após a filtragem dos resultados obtidos nesta primeira fase do projeto, deve ser considerada a expansão do tráfego monitorizado pela plataforma, abrangendo dessa forma outros pontos da rede tidos como relevantes para a empresa. São tiradas conclusões do trabalho realizado no contexto empresarial da Portugal Telecom e do seu departamento de cibersegurança.

(25)

Malware: A Nova Gerac¸˜ao

“A cada 81 segundos é feito download de um malware já conhecido”- CheckPoint[4] “Mais de 430 Milhões novos ficheiros de malware em 2015”- Symantec[20]

“20 Milhões de novas amostras de malware nos primeiros 3 meses de 2016”- PandaLabs[11] “42 Milhões de hashes maliciosos no último trimestre de 2015”- McAfee[9]

Estes são os resultados de estudos recentes que apontam o malware como sendo res-ponsável por parte significativa dos incidentes de cibersegurança atuais. Considera-se malware(malicious software ou software malicioso) todo o programa capaz de provocar danos a um utilizador, computador ou rede de computadores, podendo este assumir diver-sas formas. Este cap´ıtulo pretende dar a conhecer as variantes de malware mais comuns e introduzir os diferentes métodos de análise das mesmas.

Em seguida são apresentadas as tecnologias mais utilizadas no combate ao malware e tentativas de intrusão em geral, assumindo que estas podem ter como origem ficheiros maliciosos. Por fim, conclui-se o cap´ıtulo com um exemplo de integração das diferentes tecnologias apresentadas, incluindo as mais recentes no combate ao malware avançado ou de última geração.

2.1 Tipos de Malware

Ao iniciar-se um processo de análise de malware, deve-se ter em conta as diferentes vari-antes do mesmo. No entanto, importa referir que a definição dada aos diferentes tipos de malwarenem sempre é absoluta, tendo em conta que algumas variantes exibem comporta-mentos multidisciplinares. Por exemplo, um keylogger, para além de recolher passwords, pode também comportar-se como um worm que se propaga e ao mesmo tempo envia emails de spam.

(26)

Nesta secção serão apresentados diferentes tipos de malware, ressalvando que a evolução do próprio pode levar a diferentes definições, conceitos e variantes. Assim sendo, serão apresentadas as variantes que, nos dias de hoje, são tidas como mais relevantes para o contexto empresarial deste trabalho. Pese embora a inexistência de um consenso na definição dos diferentes tipos, a listagem seguinte apresenta um conjunto de terminologias de acordo com os autores William Stallings and Lawrie Brown [22] e Michael Sikorski and Andrew Honig [17], nas suas respetivas obras:

• V´ırus - Esta variante replica-se sempre que é executado procurando infetar outras máquinas ou programas executáveis. A sua propagação é feita de máquina em máquina, deixando novas infeções à medida em que se propaga através de ficheiros executáveis infetados.

• Worm - Contrariamente ao que sucede com os v´ırus, os worms são capazes de ope-rar de forma independente, propagando-se para outros computadores ou redes de computadores através da exploração de vulnerabilidades nesses sistemas. A pro-cura ativa de novas máquinas e sistemas que possam ser comprometidas é a carac-ter´ıstica que melhor define esta variante, servindo os sistemas já comprometidos como plataformas disseminadoras de novas infeções.

• Cavalo de Tróia ou Trojan - Um programa que atua de forma discreta, mascarando-se sob a forma de um programa leg´ıtimo de modo a contornar os mecanismos de segurança da máquina alvo. Pode ser utilizado para obter informação potencial-mente relevante contida em ficheiros do sistema infetado.

• Flooders (clientes DoS - Denial of Service) - Utilizados para gerar volumes de tráfego consideráveis, tendo como objetivo a interrupção do serviço (DoS) do sis-tema alvo.

• Macro V´ırus - Um tipo de v´ırus que explora macros ou c´odigos de scripts. Tipica-mente embebidos em documentos (Word, Excel, etc.), de modo a serem executados juntamente com os mesmos.

• Exploits - C´odigo especificamente desenvolvido para explorar um determinado conjunto de vulnerabilidades.

• Drive by Download - Um ataque utilizado através de código inserido em páginas webvulneráveis, tendo como objetivo atacar o cliente do sistema que aceda a essas páginas.

(27)

• Bot/Botnet [2] - A Norton 1 _{descreve esta variante como um programa presente}

numa máquina infetada que pode ser utilizado para executar ataques a outras máquinas. Normalmente estes bots fazem parte de uma rede, por vezes à escala global, de com-putadores infetados denominada de botnet. Os comcom-putadores infetados (zombies) são controlados por cibercriminosos ( bot herders ou botmasters). Depois de infeta-das, as máquinas são frequentemente utilizadas para disseminação de spam, ataques de DoS distribu´ıdos entre outros.

• Adware - É o tipo de malware menos evasivo, mas talvez o mais lucrativo. A sua principal função é a disseminação de publicidade, de vários tipos, através da sua integração em programas. A publicidade é apresentada sob a forma de banners, ja-nelas de pop-up, páginas web, mensagens de email entre outros serviços dispon´ıveis na Internet.

• Spammers - Utilizados para enviar volumes abusivos de email indesejado. Podem ser instalados em máquinas previamente comprometidas por forma a utilizá-las no envio de email indesejado. À semelhança do Adware, é um tipo de malware que pode ser muito lucrativo tendo em conta que os atacantes são, em muitos casos, pagos por entidades interessadas em divulgar os seus produtos ou serviços.

• Spyware - É um software utilizado para a recolha de informação, proveniente de keystrokes2, dados do ecrã, tráfego de rede, webcams, entre outros. A informação recolhida é posteriormente enviada para o agente malicioso. Este programa é nor-malmente instalado sem a perceção do utilizador da máquina infetada, permitindo que a informação seja recolhida de forma discreta.

• Keylogger - Regista todas as keystrokes de uma máquina infetada, podendo a informação recolhida ser armazenada localmente ou enviada remotamente para o agente mali-cioso.

• Backdoor - Qualquer mecanismo que permita acesso não autorizado a funcionali-dades desse mesmo programa ou sistema, não estando sujeito a quaisquer proce-dimentos de segurança. Embora sejam vulgarmente utilizados por programadores para testes, este recurso pode ser explorado de modo a que um agente malicioso garanta acesso remoto, não autorizado, a uma máquina. Noutros casos, assume a função de código malicioso instalado no computador de uma v´ıtima, de modo a que o atacante aceda remotamente ao sistema comprometido.

1_{http://us.norton.com/botnet/}

(28)

• Rootkit - Conjunto de ferramentas utilizadas pelo atacante após ter garantido acesso privilegiado a um sistema. O acesso privilegiado garante ao atacante total con-trolo das funcionalidades do sistema, permitindo-o alterar ficheiros, monitorizar processos, tráfego de rede, etc. Estas ferramentas têm a capacidade de efetuar alterações no sistema infetado por forma a contornar os mecanismos de segurança desse mesmo sistema. Podem conter outros tipos de malware como backdoors, por forma a garantirem acesso remoto ao atacante.

2.1.1 Advanced Persistent Threats

As recentes mudanças no paradigma das Tecnologias de Informação, incluindo a mobili-dade, computação na nuvem e a virtualização, dissolveram os tradicionais per´ımetros de segurança. Esta alteração proporcionou um ambiente mais variado e, consequentemente, mais prop´ıcio a poss´ıveis atacantes. Neste contexto surge um novo elemento significativo: as Ameaças Persistentes Avançadas (APT - Advanced Persistent Threat).

A Symantec [19] define as APTs como “um ataque orientado, com um alvo espec´ıfico, que recorre a uma variedade de técnicas, incluindo o download de ficheiros de forma não intencional, injeção de SQL, malware, phishing, spam, entre outros. São englobadas, frequentemente, várias destas tecnologias num único ataque. Uma APT é sempre classi-ficada como um ataque orientado, mas o contrário nem sempre sucede, isto é, um ataque orientado nem sempre é sinónimo de uma APT.”

Os autores Stallings e Brown [22] acrescentam à definição da Symantec como sendo “cibercrime aplicado de forma persistente e eficaz em alvos espec´ıficos durante um vasto per´ıodo de tempo, sendo muitas vezes atribu´ıdo a organizações financiadas e apoiadas pelo Estado”.

Estas ameaças focam-se na obtenção de informação relevante ao invés de simples-mente causar danos à infraestrutura de rede ou à própria empresa/organização. Os seus alvos preferenciais são empresas de setores cuja informação é valiosa, como a segurança nacional de um pa´ıs, indústria nuclear, tecnológica e financeira.

Os ataques de APTs são planeados e executados meticulosamente. A Symantec [19, 18] divide-os em cinco fases distintas: Reconhecimento, Infiltração, Descoberta, Captura e Exfiltração. As diferentes fases de um ataque (ver figura 2.1), métodos utilizados e as suas motivações diferenciam as APTs de outros ataques direcionados:

(29)

• Fase 1: Reconhecimento - Estes ataques envolvem uma quantidade considerável de investigadores que, durante vários meses, estudam os seus alvos, familiarizando-se com os familiarizando-seus sistemas, pessoas e processos, incluindo parceiros. No caso do Stux-net3_{, a equipa responsável pelo ataque conhecia o funcionamento dos controladores}

lógicos utilizados no enriquecimento de urânio que foram atingidos, mostrando o n´ıvel de sofisticação destes ataques;

• Fase 2: Infiltração - Os ataques direcionados, na sua generalidade, forçam a en-trada na rede de uma organização através de engenharia social, vulnerabilidades não divulgadas (zero-day) , injeção SQL, malware orientado, entre outros. No caso das APTs, as técnicas e ferramentas utilizadas são mais sofisticadas quando compa-radas com ataques direcionados mais comuns. Enquanto os ataques mais comuns recorrem a técnicas mais agressivas, menos discretas e com pouca durabilidade, as APTs procuram incursões que permitam estabelecer ligações duradouras entre o alvo e o atacante;

• Fase 3: Descoberta - Depois de garantida a infiltração no sistema da organização alvo, o atacante procura obter informação confidencial ou instruções operacionais que sejam relevantes. A descoberta pode incluir redes desprotegidas, bem como vulnerabilidades de software ou hardware, credenciais e outras formas de acesso a recursos adicionais. Uma vez mais, estes ataques procuram ser minuciosos e oportunistas, no sentido em que não abdicam de meios complexos por forma a evitar a sua deteção;

• Fase 4: Captura - Na fase de captura, os dados armazenados em sistemas inse-guros são imediatamente acedidos pelos atacantes. Para além disso, podem ser instalados rootkits nos sistemas alvo e pontos de acesso da rede por forma a cap-turar informações ou instruções à medida que estas fluem no tráfego de rede da organização;

• Fase 5: Exfiltração - Após garantirem o controlo do sistema alvo, os atacantes procedem ao roubo da propriedade intelectual, informação ou outros dados confi-denciais adquiridos ao longo do processo de ataque. Após ordem do atacante (CnC--Command and Control), os dados obtidos podem ser enviados de volta à base de operações. O envio desta informação pode ser feito com recurso a pacotes ou fi-cheiros cifrados.

3_{APT identificada em 2010 que tinha como alvo o programa nuclear do Ir˜ao - https:} //www.symantec.com/content/en/us/enterprise/media/security_response/ whitepapers/w32_stuxnet_dossier.pdf

(30)

Figura 2.1: Cinco fases de ataque de uma Advanced Persistent Threat

2.1.2 Ransomware

Talvez seja a variante de malware que mais popularidade tem ganho nos últimos anos e também aquela que, pelas suas caracter´ısticas, maiores dificuldades tem causado às equipas de cibersegurança. Esta variante cifra ficheiros de um computador, exigindo pos-teriormente um resgate por forma a ceder uma chave que decifre os ficheiros.

A TrendMicro [13] descreve o ransomware como sendo “um tipo de malware que impede ou limita a capacidade dos utilizadores em aceder ao seu computador ou sistema, bloqueando o ecrã do mesmo ou o acesso aos seus ficheiros”. As fam´ılias de ransomware mais recentes, denominadas de crypto-ransomware, cifram certo tipo de ficheiros nos sistemas afetados e forçam os utilizadores a pagar um resgate, através de um método de pagamento online, por forma a obter a chave necessária para a decifra.

Os primeiros protótipos de ransomware foram desenvolvidos nos anos 90, através da ideia de utilização de chaves públicas criptográficas para ataques informáticos. No seu artigo de 1996, Young and Yung [24] referem que o protótipo desenvolvido serve o propósito de demonstrar que a criptografia pode ser utilizada como forma de extorsão, causando a perda de acesso a dados.

A utilização de múltiplas chaves na cifra assimétrica permite que os dados sejam ci-frados com a chave pública sem que nunca seja exposta a chave privada. No caso do ransomwareesta é uma caracter´ıstica essencial, garantindo que os dados e a informação

(31)

se mantêm do lado do atacante. Ainda assim, estes protótipos continuavam com um pro-blema de log´ıstica por resolver: como garantir que o resgate é pago sem que a identidade do atacante seja exposta?

O anonimato oferecido pelas cryptocurrencies4_{, levou a que os resgates fossem}

co-brados através do pagamento em Bitcoins 5. No entanto, o pagamento do resgate nem sempre é garantia de que os dados serão decifrados posteriormente, ficando o utilizador dependente das intenções do atacante.

A invenção do Bitcoin veio reacender o interesse de agentes maliciosos no ransomware. Entre outras caracter´ısticas [10], a utilização desta moeda digital garante a potenciais ata-cantes que:

• N˜ao existe um banco central ou uma autoridade para a moeda, eliminando a possi-bilidade do valor da moeda ser manipulado por essas entidades;

• Transações pseudo-anónimas, significando que, embora a transação da moeda seja anunciada na rede, não existe uma maneira simples de corresponder contas Bit-coin a identidades no mundo real, garantido desta forma uma significativa dose de privacidade;

• As transações básicas são irrevers´ıveis, uma vez feita a transferência não existe forma de terceiros forçarem o reembolso.

A disseminação de ransomware pode assumir várias formas, sendo que as variantes mais conhecidas propagam-se através de anexos em emails de spam, transferência de ficheiros contidos em páginas maliciosas ou exploit kits que exploram vulnerabilidades dos sistemas operativos. Olhando para o seu modelo de operação (ver figura 2.2), podem identificar-se seis fases de ataque , conforme refere a McAfee [10]:

• A primeira fase é a distribuição: O ransomware utiliza métodos relativamente simples e comuns para a sua propagação. Normalmente dissemina-se através de campanhas de phishing envolvendo anexos em emails ou a transferência para um computador que visita páginas web comprometidas;

• A segunda fase é a infeção: O binário chega ao computador do utilizador e inicia os processos necessários para a sua ação maliciosa;

• A terceira fase é a comunicação: O ransomware pede aos seus servidores a chave pública necessária para cifrar os dados;

4_Moeda _digital _utilizada _como _meio _de _troca _que _utiliza _criptografia _por _forma

a garantir transac¸˜oes seguras - http://www.forbes.com/forbes/2011/0509/

technology-psilocybin-bitcoins-gavin-andresen-crypto-currency.html 5_{Moeda digital e sistema de pagamento criado por Satoshi Nakamoto [15] e distribu´ıdo sob licenc¸a} open-sourceem 2009.

(32)

• A quarta fase ´e a pesquisa dos ficheiros: O ransomware inicia o processo de pes-quisa de ficheiros no sistema. Procura por ficheiros que podem ser relevantes para o utilizador e que n˜ao podem ser facilmente replicados, tais como: .jpg , .docx, .xlsx, .pptx e .pdfs;

• A quinta fase é a cifra: esta é tipicamente realizada através da movimentação e alteração do nome dos ficheiros alvo, cifrando-os e alterando o nome dos ficheiros após a conclusão do processo de cifra;

• A sexta e última fase é o resgate: normalmente exigido através do ecrã do compu-tador afetado, referindo o valor a pagar em Bitcoins ou noutra cryptocurrency.

Uma das variantes de ransomware mais noticiadas em todo o mundo é a fam´ılia Cryp-toLocker. Esta variante foi lançada em 2013 e combinava, na altura, novas potencialidades como o método de cifra assimétrica e a nova moeda digital, o Bitcoin, para o pagamento dos resgates. Foi esta a primeira fam´ılia de ransomware a utilizar Bitcoins nos seus pa-gamentos, estimando-se que rendeu aos seus criadores cerca de 27 milhões de dólares em Bitcoins [10].

Nos dias de hoje é poss´ıvel constatar-se, nos diferentes meios de comunicação 6 _e

de investigação da área da cibersegurança [8, 21, 7], que o ransomware continua em ex-pansão, surgindo cada vez mais casos de empresas e individuais afetados por esta ameaça.

Figura 2.2: Seis fases de ataque do ransomware

6

https://newsroom.cisco.com/press-release-content?type=webcontent&

articleId=1780586 http://www.bbc.com/news/technology-38731011 http:

(33)

2.2 An´alise de Malware

A investigação na área da análise de malware procura encontrar soluções que visem a deteção e mitigação de ameaças através do desenvolvimento de novas tecnologias, técnicas e procedimentos. Esta secção pretende dar a conhecer as duas técnicas de análise de malware que Michael Sikorski e Andrew Honig [17] consideram como sendo a base da abordagem seguida pelas diferentes equipas que estudam o malware - Análise Estática e Análise Dinâmica de malware. O entendimento destas duas técnicas permite que, pe-rante uma poss´ıvel ameaça, seja tomada a decisão mais correta na análise desse evento, recorrendo às tecnologias e soluções mais adequadas para cada caso.

2.2.1 An´alise Est´atica de Malware

A análise estática descreve o processo de estudo da estrutura ou código de um programa por forma a determinar a sua função sem que o mesmo seja executado. Por outras pala-vras, significa que um determinado ficheiro, possivelmente malicioso, é analisado sem a sua execução.

Este processo de análise pode confirmar se um ficheiro é realmente malicioso ao for-necer informação das ações que este executa, servindo a informação obtida para a criação de, por exemplo, assinaturas de rede para um Sistema de Deteção de Intrusões (IDS -Intrusion Detection System).

O método de engenharia reversa (reverse engineering) é muitas vezes sinónimo deste tipo de análise, explorando as instruções que compõem um determinado ficheiro por forma a descobrir a sua função através de um disassembler 7_{. Existem várias formas}

de extrair informação útil destes ficheiros executáveis possivelmente maliciosos, tal men-cionado por Sikorski e Honig [17]:

• Utilização de antiv´ırus para análise de ficheiros possivelmente maliciosos; • Utilização de hashes8 _{para identificar malware;}

• Recolha de informação através de palavras (strings) relevantes. Utilização de Antiv´ırus: O Primeiro Passo

Quando se inicia o processo de análise de um ficheiro potencialmente malicioso, a execução do mesmo em vários antiv´ırus é um primeiro passo recomendável. Alguns antiv´ırus po-dem já ter o ficheiro identificado como malware, pelo que, a comparação de resultados entre diferentes fabricantes pode fornecer uma informação mais completa sobre o ficheiro.

7_{conversor de linguagem m´aquina para linguagem assembly}

8_{utilizado como identificador un´ıvoco de ficheiros, geralmente através das funções MD5, SHA -1 ou} SHA-256

(34)

No entanto os antiv´ırus estão longe de serem perfeitos, dependendo em boa parte de pequenos fragmentos de código (assinaturas ou file signatures), padrões (heur´ıstica) e comportamentos conhecidos e identificados, a priori, como sendo maliciosos.

Os ficheiros de malware podem ser facilmente alterados por forma a mudar a sua assinatura e assim contornar os sistemas antiv´ırus, aumentando a dificuldade destes em detetar novas variantes. Assim sendo, malware que seja raro ou demasiado recente pode, por vezes, ludibriar os diferentes antiv´ırus existentes no mercado. Existem alguns serviços dispon´ıveis na Internet (p.e.Virustotal) que permitem a análise de um ficheiro suspeito em vários sistemas antiv´ırus.

Utilização de Hashes: Identificação de Malware

O hashing, neste contexto, é um método comumente utilizado na identificação de ficheiros (podendo estes conter malware) de forma única. Este hash é gerado a partir do ficheiro de malware, recorrendo a um programa que permite gerar um identificador único.

As funções de hash Message-Digest Algorithm 5 (MD5) e Secure Hash Algorithm (SHA-1 e SHA-2) são as mais comuns no contexto da análise de malware. As ferramentas SHASUM e MD5 permitem calcular o hash do ficheiro em SHA256 e MD5, produzindo o output apresentado na figura 2.3. Tendo gerado um hash único para cada ficheiro de malwarepretendido, é poss´ıvel:

• Identificar malware de forma ´unica;

• Partilhar o hash com outros analistas por forma a identificar malware;

• Pesquisar pelo hash na Internet, procurando saber se o mesmo j´a foi identificado por outros analistas.

Figura 2.3: Calcular o hash (SHA256 e MD5) do ficheiro zombies.pdf

Pesquisa por termos (strings)

Normalmente, estes termos encontram-se em programas ou scripts que imprimam uma mensagem no ecrã, comuniquem com um determinado URL ou copiem ficheiros para uma localização espec´ıfica. A funcionalidade destes programas ou ficheiros é desco-berta através da análise destes termos, como por exemplo, um programa que acede a um determinado website e contém o URL no seu código sob o formato de string (p.e, url-link=http://website.malicioso.pt).

(35)

2.2.2 An´alise Dinˆamica de Malware

A análise dinâmica, contrariamente à análise estática, estuda o comportamento de um determinado ficheiro de malware através da sua execução. Os autores Sikorski e Honig definem-na como sendo qualquer análise realizada através da execução de malware.

O objetivo desta técnica é o de observar o comportamento do sistema enquanto o ficheiro de malware está a ser executado. Através desta observação podem ser desen-volvidos métodos de remoção da infeção causada pelo agente malicioso, assinaturas de rede ou ambos. Esta técnica é normalmente utilizada após a realização de uma análise estática do ficheiro, assumindo que a anterior apresentou resultados inconclusivos. Tendo em conta as caracter´ısticas deste tipo de análise, torna-se necessária a utilização de um ambiente que permita a execução de ficheiros de malware sem que estes comprometam o sistema ou rede em produção.

Esta necessidade advém do facto dos ficheiros de malware poderem contaminar toda uma rede tendo como ponto de entrada a máquina utilizada para os testes. Como tal, a análise de ficheiros de malware deve ser feita de modo a não expôr máquinas, redes ou sistemas em produção, a riscos desnecessários. A análise dinâmica de ficheiros de malwarepode ser feita com recurso a dois tipos de ambientes distintos: f´ısicos ou virtuais.

Ambientes F´ısicos

A primeira abordagem consiste na utilização de máquinas f´ısicas sem ligação à Internet, podendo estas fazer parte de uma rede também ela sem ligação à Internet por forma a evi-tar a disseminação do malware. Algumas variantes de malware comportam-se de maneira diferente quando detetam que estão a ser executados num ambiente virtual, dificultando dessa forma o processo de análise. É principalmente neste último aspeto que a análise em ambientes f´ısicos apresenta vantagens em relação aos ambientes virtuais.

No entanto, esta abordagem apresenta algumas desvantagens tendo em conta que, em alguns casos, os ficheiros de malware necessitam de ligação à Internet para executar de-terminadas funções (updates, command and control, ransomware, etc.). Para além disso, acrescenta-se a dificuldade em remover certos tipos de malware após a disseminação na própria máquina ou rede, mesmo que esta esteja isolada. Nesses casos, seria necessário montar uma outra rede de testes para novos testes.

A recriação de um ambiente de testes f´ısico pode tornar o processo de análise mais lento, tendo em conta o tempo necessário para a criação de um novo cenário livre de malware. Assim sendo, a utilização de ambientes f´ısicos pode não ser aconselhável em casos onde a falta de recursos e de tempo são condicionantes.

(36)

Sandboxing: Ambientes Virtuais

Os autores Sikorski e Honig descrevem os ambientes virtuais ou sandboxes como um me-canismo de segurança utilizado para executar programas, potencialmente não-confiáveis, num ambiente seguro com recurso a máquinas virtuais.

A principal vantagem deste tipo de análise é a facilidade em restaurar as máquinas vir-tuais mesmo que estas tenham sido comprometidas aquando da realização de uma análise a um ficheiro malicioso, bastando para isso restaurar a imagem virtual da máquina para o seu estado inicial. Esta abordagem permite a utilização de máquinas virtuais com ligação à Internet, oferecendo a possibilidade de se analisar o comportamento de um determinado ficheiro que necessita de acesso à Internet para executar operações maliciosas.

Como já foi referido, existe a desvantagem de alguns tipos de malware serem capazes de detetar a sua execução em máquinas virtuais, comportando-se de maneira diferente por forma a mascarar a sua real funcionalidade. Tendo em conta os riscos e desvantagens dos ambientes f´ısicos, a escolha acaba por recair, na maioria dos casos, nestes ambientes virtuais. A figura 2.4 representa o funcionamento de um ambiente virtual ou sandbox como é comumente referido.

(37)

2.2.3 Virustotal

O VirusTotal9 _{é um serviço online gratuito que permite a análise de ficheiros e URLs.}

Tem como objetivo a identificação de conteúdo malicioso através da utilização de vários antiv´ırus e scanners de websites.

O serviço permite o envio de ficheiros para que estes possam ser analisados pelos diferentes fornecedores de antiv´ırus e restantes ferramentas (ver figura 2.5). Depois da análise é gerado um relatório com a listagem completa dos resultados obtidos por cada um dos antiv´ırus, contendo a classificação dada ao ficheiro (malicious ou clean), o nome do ficheiro de malware (quando dispon´ıvel) e informação adicional.

A informação colecionada tem como origem os resultados obtidos através de diferen-tes plataformas de antiv´ırus, scanners de websidiferen-tes/dom´ınios, ferramentas de análise de ficheiros e URLs, bem como a informação partilhada pela comunidade. As assinaturas de malwaree blacklists mantêm-se atualizadas através da sincronização com os fornecedo-res de antiv´ırus. Esta atualização é feita periodicamente, com um intervalo de 15 minutos, por forma a garantir a sincronização do serviço com as plataformas antiv´ırus e que o seu conjunto de assinaturas se mantém na versão mais recente.

Encontra-se também integrado com um fórum que permite a troca de informação en-tre utilizadores relativamente a ficheiros ou URLs suspeitos. Os utilizadores podem fa-zer comentários elaborados sobre cada um desses ficheiros ou URLs, para além de lhes atribu´ırem uma classificação. Desta forma é poss´ıvel estabelecer um grau de certeza maior, permitindo que os utilizadores identifiquem falsos positivos e falsos negativos que possam não ter sido corretamente identificados pelas plataformas que incorporam o Vi-rusTotal.

Figura 2.5: Representac¸˜ao de funcionamento do Virustotal

(38)

2.3 Deteção e Mitigação de Malware

Esta secção pretende resumir as diferentes tecnologias de segurança mais utilizadas pelas empresas e organizações, nos dias de hoje. Tendo em conta o vasto leque de soluções de segurança existentes no mercado, foram selecionadas apenas as tecnologias que se enquadravam com a temática deste trabalho e com o contexto do mesmo. As plataformas utilizadas ao longo deste trabalho, tendo como foco a deteção de malware, encaixam em termos gerais, nas diferentes tecnologias aqui apresentadas: Sistemas de Deteção e Prevenção de Intrusões, Firewalls, Proxies (SECaaS - Security as a Service) e Gestores e Correlacionadores de Eventos de Segurança (SIEM).

2.3.1 Sistemas de Deteção de Intrusões

No seu livro [22], William Stallings descreve os Sistemas de Deteção de Intrusões (IDS) como serviços de segurança utilizados para monitorizar e analisar eventos de um determi-nado sistema, com o objetivo de alertar, em tempo real, para tentativas de acesso não au-torizado a recursos. Estes mecanismos (IDS) são divididos em três componentes lógicas de funcionamento:

• Sensores: responsáveis pela recolha de dados. A informação recolhida pode conter evidências de um evento de intrusão, podendo esta assumir a forma de pacotes de rede, ficheiros de log, entre outros. Os sensores reencaminham os dados para o analyzer;

• Analyzers: recebe os dados transmitidos por um ou vários sensores ou por outros analyzers, sendo estes armazenados numa base de dados para posterior análise. A sua principal responsabilidade é a de determinar se ocorreu ou não uma intrusão; • Interface: permite que visualização dos resultados obtidos pelos analyzers e a

informação recolhida pelos sensores. Permite a configuração geral do próprio sis-tema de deteção de intrusões.

Os IDSs recorrem a pelo menos um sensor e um analyzer. No entanto, podem ser utilizados múltiplos sensores que monitorizam um determinado número de máquinas ou segmentos de rede, enviando posteriormente a informação obtida para um analyzer cen-tralizado. Existem essencialmente dois tipos de IDSs distintos (ver figura 2.6):

• IDS baseado no anfitrião ou Host-based IDS (HIDS): monitorizam as carac-ter´ısticas e eventos de uma única máquina, como os identificadores de processos e chamadas de sistema realizadas, tendo por objetivo a deteção de poss´ıveis ativi-dades suspeitas;

(39)

• IDS baseado na rede ou Network-based IDS (NIDS): monitorizam o tráfego de uma rede ou de determinado segmento de rede, analisando o protocolo de rede, transporte e aplicacional de modo a identificar poss´ıveis atividades suspeitas. Os IDSs seguem uma (ou ambas) de duas abordagens de análise da informação obtida pelo sensor, de modo a identificar tentativas de intrusão:

• Deteção de Anomalias: primeiramente, necessita de uma recolha de informação relativamente ao comportamento de uma utilização ou utilizadores leg´ıtimos du-rante um determinado per´ıodo de tempo, por forma a definir aquilo que é o padrão de uma utilização leg´ıtima. Em seguida é analisado o tráfego em tempo real, iden-tificando poss´ıveis intrusões sempre que se verificarem desvios significativos ao padrão leg´ıtimo;

• Deteção Heur´ıstica ou por Assinatura: utiliza uma série de assinaturas ou re-gras (heur´ısticas) já conhecidas que, quando comparadas com o tráfego a ser mo-nitorizado, permite identificar poss´ıveis intrusões. Este tipo de abordagem apenas permite detetar ataques cujas assinaturas ou regras já são conhecidas.

(40)

2.3.2 Firewalls e Sistemas de Prevenção de Intrusões

Atualmente é quase impensável pensar-se numa rede corporativa completamente isolada, ou seja, sem ligação à Internet. Quer isto dizer que toda e qualquer rede que tenha acesso à Internet pode estar suscet´ıvel a sofrer ataques de vários tipos pelo que, impõe-se que estas redes estejam protegidas de ameaças externas. Neste contexto surge a importância da utilização de mecanismos de segurança como as Firewalls e Sistemas de Prevenção de Intrusões em geral.

Firewalls

A caracter´ıstica básica apresentada por Stallings [22], relativamente à definição de fi-rewall, consiste na capacidade de bloquear tráfego indesejado, permitindo ao mesmo tempo que os utilizadores de uma rede interna acedam à Internet (ver figura 2.7). Ainda assim é importante conhecer os objetivos que norteiam a utilização de uma firewall, tal como definidos por Bellovin e Cheswick [1]:

1. Todo o tr´afego proveniente da rede interna para o exterior (e vice-versa) deve passar pela firewall;

2. Apenas o tráfego autorizado e definido pela pol´ıtica de segurança local será permi-tido pela firewall;

3. A própria firewall deverá ser imune a intrusões. Quer isto dizer que o sistema onde está configurada a firewall, deverá ser alvo de reforço a n´ıvel de segurança por forma a não comprometer todo o objetivo da mesma.

O autor William Stallings refere que um dos aspetos centrais na implementação de uma firewall é a definição de uma boa pol´ıtica de acessos. Esta pol´ıtica define qual o tráfego permitido ou, por outras palavras, representa o tráfego que a empresa ou organização definiu como aceitável. A pol´ıtica de acesso deve, primeiramente, ser definida através da aplicação de filtros para perfis de tráfego mais gerais para que, em seguida, se definam filtros para perfis de tráfego mais particulares. Existe um conjunto de caracter´ısticas que podem ser utilizadas pela pol´ıtica de acesso de uma firewall de modo a filtrar o tráfego, tal como apresentado por Karen Scarfone e Paul Hoffman [5]:

• Endereço IP e Portas Lógicas: o controlo é feito tendo como base o IP de origem, IP de destino, portas lógicas, sentido do tráfego de entrada e de sa´ıda. Normalmente utilizados para limitar o acesso de serviços espec´ıficos;

• Protocolo Aplicacional: baseia-se nos dados autorizados pelo protocolo aplicaci-onal, como por exemplo, verificar se um email (SMPT) cont´em spam ou se um determinado pedido HTTP (Hypertext Transfer Protocol) corresponde ao de um websiteautorizado;

(41)

• Identidade do Utilizador: controlo de acesso baseado na identidade do utilizador que, por sua vez, recorre a um qualquer mecanismo de acesso seguro (IPSec); • Atividade de Rede: controla o acesso tendo em conta algumas considerac¸˜oes como

o tempo/hora ou tipo de pedido, como por exemplo, quantidade de pedidos durante um curto espaço de tempo ou permissão de um determinado tipo de tráfego apenas em horário laboral.

A escolha de uma pol´ıtica de acessos deve ser feita antes de se proceder à escolha de um tipo particular de firewall a utilizar no sistema em questão. Existem normalmente dois tipos mais comuns quando se fala de implementação de pol´ıticas:

• Pol´ıtica Aberta - Implica que todo o tráfego é permitido à exceção dos casos que foram explicitamente definidos como proibidos. São definidas regras expl´ıcitas so-bre os casos particulares onde o tráfego deve ser bloqueado enquanto a regra final aceita todo o tráfego restante;

• Pol´ıtica Fechada - Todo o tráfego é bloqueado à exceção daquele que foi expli-citamente definido como aceitável. Neste último caso é necessário definir regras para o tráfego que deve ser permitido pela firewall uma vez que a regra final está configurada para bloquear o restante tráfego.

(42)

Figura 2.8: Arquitetura NIPS e HIPS Sistemas de Prevenção de Intrusões

Na sequência dos mecanismos de segurança apresentados até aqui, surgem os mecanismos de Deteção e Prevenção de Intrusões ou IPS como serão referidos daqui em diante. Um IPS é uma extensão de um IDS [22], na medida em que inclui, para além da deteção, a capacidade de bloquear tráfego considerado malicioso.

Sempre que detetada atividade maliciosa, este mecanismo tem a capacidade de modi-ficar ou bloquear pacotes dentro de um determinado per´ımetro ou anfitrião. A sua forma de atuar pode ser comparada à de uma firewall, tendo em conta a sua capacidade de blo-quear tráfego malicioso. No entanto, um IPS recorre ao mesmo tipo de mecanismos e regras de um IDS por forma a determinar qual o tráfego leg´ıtimo ou malicioso.

Alguns autores, tal como Stallings [22], referem que ´e uma quest˜ao de terminologia, considerar-se um IPS como um mecanismo diferente ou apenas um outro tipo de firewall. De forma semelhante ao referido no caso dos IDSs, um IPS pode ser baseado nas seguintes categorias (ver figura 2.8):

• IPS baseado no anfitrião ou Host-based IPS (HIPS): Pode recorrer a um conjunto de assinaturas ou técnicas de deteção de anomalias por forma a identificar poss´ıveis ataques. No primeiro caso, foca-se no conteúdo do tráfego de rede gerado por uma aplicação, procurando padrões/assinaturas que tenham sido identificados

(43)

anterior-mente como maliciosos. No segundo caso, de deteção de anomalias, o IPS procura padrões comportamentais que indiquem ações maliciosas;

• IPS baseado na rede ou Network-based IPS (NIPS): Numa definição mais prática, um NIPS é nada mais nada menos que um NIDS com a capacidade de bloquear tráfego em tempo real, ou seja, um NIDS inline. Recorre a técnicas de deteção por assinatura ou anomalia comportamental.

Snort

O Snort é um sistema de prevenção de intrusões de código-aberto criado em 1998 por Martin Roesch. Desenvolvido pela Sourcefire, da qual Martin Roesch é fundador, que foi comprada pela Cisco 10. Os autores Baker, Caswell e Beale [3] referem que esta ferramenta tem a capacidade de analisar tráfego de rede em tempo real e armazenar logs de pacotes IP.

Permite a análise protocolar, pesquisa de conteúdos e a deteção de ataques como, buffer overflows, port scans, entre outros. Em resumo, o Snort pode ser considerado um sniffer de pacotes, logger de pacotes ou IPS/IDS de rede. O Snort tem três modos de utilização: sniffer de pacotes, logger de pacotes (útil para monitorizar tráfego de rede) e sistema de prevenção de intrusões.

A base do Snort está assente no desenvolvimento de regras (ver figura 2.10) que per-mitem detetar e bloquear intrusões. A maioria destas regras são desenvolvidas pela comu-nidade e são distribu´ıdas sob a licença GPLv2 (GNU General Public License) pelo que, qualquer utilizador pode utilizar as regras de forma gratuita. No entanto, algumas regras, desenvolvidas por utilizadores para ambientes muito espec´ıficos, não são partilhadas pela comunidade. A arquitetura do Snort consiste, segundo Baker, Caswell e Beale [3], em quatro componentes básicas (ver figura 2.9):

• Sniffer: tem como principal funcionalidade a captura de tráfego. Os autores compa-ram o sniffer com um aparelho utilizado para fazer escutas em telefones, sendo neste caso usado para tráfego de rede. Tal como qualquer ferramenta de monitorização de redes, um sniffer de rede pode ser utilizado com fins maliciosos como por exemplo, obter passwords através da monitorização de tráfego que não está cifrado;

• Preprocessor: recebe os pacotes obtidos pelo sniffer e compara-os com determi-nados plugins por forma a identificar comportamentos maliciosos. O Snort utiliza uma vasta quantidade de preprocessors e plugins, cobrindo os protocolos mais co-muns. Depois de associado um pacote a um determinado tipo de comportamento, este ´ultimo ´e reencaminhado para o Detection Engine;

10_{http://www.cisco.com/c/en/us/about/corporate-strategy-office/}

(44)

Figura 2.9: Arquitetura do sistema Snort

• Detection Engine: Depois de recebidos os pacotes de todos os Preprocessors, o tráfego é comparado com o conjunto de regras que tem ativadas. Caso algum dos pacotes recebidos faça correspondência com uma das regras, é enviada uma notificação para o sistema de alarm´ıstica, notificando o administrador do sistema; • Output: Este é o último passo do sistema Snort. Quando algum dos eventos

anali-sados corresponde a uma das regras pré-definidas, o sistema deve emitir um alerta sendo essa a função desta última componente. Esta componente permite que os alertas sejam despoletados de diversas formas, como por exemplo, sistemas de log (syslog), ligações de rede, Perl, PHP ou mesmo via email.

Figura 2.10: Exemplo de regra snort - logins FTP (File Transfer Protocol) efetuados com privil´egios de root

2.3.3 SECaaS - Security As A Service

´

E referido pela CSA (Cloud Security Alliance)11 _{como um modelo recente baseado na}

computação em nuvem, fornecendo serviços e aplicações de segurança através da Internet. O SECaaS é baseado no SaaS (Software as a Service) sendo, no entanto, especializado no contexto dos serviços de segurança da informação.

11_{https://cloudsecurityalliance.org/wp-content/uploads/2011/09/SecaaS_}

(45)

O conceito de SaaS é necessário por forma a perceber-se melhor o objetivo do SE-CaaS. Assim sendo, o SaaS é referido pelo NIST (National Institute of Standards and Technology) [12], como sendo um serviço composto por diversas aplicações dispon´ıveis na nuvem ou Internet. Estas aplicações estão dispon´ıveis através de vários clientes, como os browsers. O utilizador comum (ou consumidor do serviço) não tem qualquer controlo sobre a infraestrutura que compõe o serviço (rede, servidores, sistemas operativos, arma-zenamento, etc.), estando limitado a configurações espec´ıficas de algumas aplicações.

Se a este conceito for aplicado o foco nos mecanismos de segurança existentes, temos então o já referido SECaaS. O foco deste serviço é a implementação de vários mecanismos de segurança (como IDSs, IPSs, Proxy, entre outros) nos pontos relevantes. Alguns dos serviços relacionados com a segurança da informação são categorizados pela CSA tal como apresentado na seguinte listagem:

• Identity and Access Management (IAM) - servic¸os utilizados para aceder aos recursos de uma determinada empresa, incluindo pessoas, processos e sistemas. Utilizados para o controlo de acessos a esses mesmos recursos;

• Segurança Web (Proxies) - serviços que lidam com a proteção em tempo real através da aplicação de pol´ıticas, evitando a entrada de malware, proveniente da Internet, no sistema;

• Segurança de E-Mail - serviços de controlo do tráfego de entrada e sa´ıda de email. Protegem o sistema de ações de phishing, anexos maliciosos, spam, entre outros; • Gestão de Intrusões - serviços que utilizam padrões de reconhecimento por forma

a detetar e reagir a eventos de intrusão. São implementados sistemas de deteção e prevenção de intrusões (IPSs e IDSs) nos pontos de entrada e sa´ıda relevantes; • Continuidade de Negócio e Recuperação de Desastres - serviços responsáveis

pela resiliência do sistema quando um ataque provoca a interrupção do serviço pres-tado;

• Network Security (NS) - Servic¸os implementados por forma a monitorizar e pro-teger os recursos da rede.

O SECaaS pode ser visto como um modelo de negócio em que o fornecedor dos serviços de segurança disponibiliza os mesmos sob a forma de subscrição. Este mo-delo é muitas vezes visto também como uma forma de redução de custos, uma vez que não requer mais investimento ao n´ıvel do hardware. Para além disso, a manutenção e implementação do serviço ficam a cargo do fornecedor numa perspetiva semelhante ao outsourcingde serviços de segurança.

(46)

2.3.4 SIEM: Gestão e Correlação de Eventos de Segurança

O acrónimo de SIEM (Security Information and Event Management) advém de outros dois acrónimos: SIM (Security Information Management) e SEM (Security Event Mana-gement) [16]. Traduzido para o português, o termo torna mais esclarecedora a sua função: Gestor e Correlacionador de Eventos de Segurança.

Um SIM (em português, GIS - Gestor de Informação de Segurança) é responsável pela agregação e armazenamento da informação. O SEM (em português, GES - Gestor de Eventos de Segurança) junta a informação armazenada e aplica algoritmos de análise por forma a identificar ameaças. Anteriormente estes produtos eram aplicados e desen-volvidos em separado, no entanto, os dois conceitos acabaram por se juntar à medida que foram sendo adicionadas funções de SEM em vários SIMs.

A Gartner [23] descreve um SIEM como uma “tecnologia que permite a deteção de ameaças e incidentes de cibersegurança através da recolha, correlação e análise, em tempo-real, de eventos gerados por várias fontes. Permite também a investigação de in-cidentes e criação de relatórios de conformidade através da análise histórica dos eventos gerados pelas diversas fontes”.

Os autores Nicolett e Kavanagh acrescentam que um SIEM é um “agregador de even-tos gerados por dispositivos de segurança, de rede, sistemas e aplicações, garantindo uma visão mais centralizada da segurança de uma determinada infraestrutura”.

Esta solução permite que os administradores de segurança de uma rede possam aglo-merar, num ponto central, a informação recolhida por uma variedade de serviços e dis-positivos, tendo como objetivo reportar e identificar poss´ıveis ameaças (ver figura 2.11). As equipas de resposta a incidentes recorrem aos SIEMs como ferramenta essencial no processo de monitorização. Esta plataforma permite-lhes ter uma visão muito mais am-pla do ponto de vista de segurança, fornecendo um ponto único de controlo sobre toda a informação recolhida.

Embora o termo SIEM seja o mais comumente utilizado pela indústria, em boa ver-dade são várias as tecnologias que o complementam. Algumas das diferentes carac-ter´ısticas, comuns à maior parte dos produtos de SIEM existentes no mercado atualmente, são apresentadas por Schultz e David Miller [14]:

• Agregação e armazenamento da informação - Sistema responsável por recolher e armazenar as informações obtidas de múltiplos sistemas. Acesso centralizado à informação recolhida, ao invés de se aceder a cada um dos sistemas individual-mente;

• Correlação da informação - Correlação de eventos gerados por várias plataformas de segurança, tendo como objetivo a identificação ataques e outros eventos relevan-tes. É necessária a correlação da informação recolhida pelos diversos mecanismos por forma a dar-lhe contexto. Uma mensagem enviada por um dos mecanismos por

(47)

si só poderá não ter grande significado, no entanto, a mesma mensagem quando correlacionada com eventos de outros mecanismos diferentes pode ganhar uma re-levância diferente. O correlacionamento de informação entre IDS, IPS, firewalls, proxies, bases de dados e dispositivos de rede, permite detetar comportamentos anómalos que de forma isolada não seriam relevantes;

• Análise forense - Análise arbitrária entre os vários logs das diferentes plataformas utilizadas para a recolha de informação. Permite a pesquisa de dados em diferentes per´ıodos de tempo e em diferentes plataformas;

• Visibilidade - Capacidade de disponibilizar os dados recolhidos, sob um formato o mais leg´ıvel e intuitivo poss´ıvel para a equipa responsável pela monitorização desses eventos. Uma das formas mais intuitivas de apresentação dos dados é através da utilização de gráficos estat´ısticos e dashboards;

• Alarm´ıstica - Automatização do processo de alarm´ıstica sempre que um novo evento malicioso é detetado. Este alerta pode ser gerado de diversas formas, seja através de syslog, email, conectores próprios do fabricante ou ainda dashboards, como referido anteriormente;

• Conformidade - Permite gerar relatórios de conformidade para uma determinada empresa relativamente a algumas certificações ISO (27001/27002), nomeadamente ao que diz respeito à monitorização cont´ınua rede.