Libro: Data Leakage for Dummies

Fue en mi última visita al “cuartel general” de Sophos Iberia, invitado por mi buen amigo Pablo Teijeira, cuando ví en una estantería un montón de ejemplares de un libro amarillo chillón. Uno de los de “for dummies”. Me acerqué a ver cuál era y Pablo me regaló uno. En este caso, es un tema considerado de “más alto nivel” que los que comenté en un post anterior: “Intrusion Prevention Systems y Modern Malware for dummies”

  

Fundamentalmente, el libro, que se lee de un tirón, como casi todos los de esta serie, define qué es el DLP, establece la participación del concepto encuadrada dentro de normativas reguladoras como la US. Privacy Act, UK Data Protection Act, PCI-DSS, SOX, HIPAA, etc,.. 

Asimismo, apunta a identificar ciertos activos de una corporación: tarjetas de crédito, información financiera y de clientes, propiedad intelectual y secretos de marca, datos personales de contacto de clientes y proveedores, etc,… así como diversas medidas de seguridad a tomar para la protección de las comunicaciones en las que intercambiemos información sensible: cifrado, firma digital (para garantizar el no-repudio), DRM (Digital Rights Management) para controlar qué se puede hacer con la información contenida en un documento (imprimirla, enviarla por correo, copiar/pegar, etc,…), limitar el número de veces que alguien puede verlo, etc,…

Por otra parte se proponen varios criterios de clasificación de la información: Por valor,  por edad (o vida útil) o por requerimientos regulatorios.

Obviamente, y como el libro está patrocinado por Sophos, se destacan las virtudes de una buena solución de Endpoint Security, y cómo contribuye a aportar medidas de seguridad necesarias, así como mitigar los riesgos existentes en el robo o pérdida de datos: tests de verificación de la existencia de services packs y parches aplicados, firewall personal corriendo, antimalware actualizado, control de aplicaciones potencialmente peligrosas (Mensajería instantánea, P2P, juegos online, clientes VoIP, etc,…) cifrado de disco completo, y a nivel de ficheros (utilizando contraseñas para su acceso a nivel individual en aquellos cuya sensibilidad sea extrema), etc,…

Explica en un capítulo específico cómo gestionar determinados dispositivos como USBs, discos duros externos, CD/DVD, dispositivos móviles e inalámbricos, Bluetooth, IrDA,…. dando una pequeña introducción a MDM, algo de lo que podéis encontrar una guía más amplia en Gestión de Dispositivos Móviles.

Igualmente, hay un apartado destinado a hablar de cómo evitar la fuga de datos a través de la red, mediante dispositivos de control del correo corporativo y webmails, filtrando los diversos correos de molestias como el spam, y amenazas como el phishing, spear phishing y whaling (éste último término no lo conocía, y se refiere a campañas de phishing dirigido a famosos, celebridades o periodistas conocidos)... así como salida de datos de contenido inapropiado ("todo aquel no relacionado con trabajo exclusivamente", según mi punto de vista), fuga de información sensible para el negocio de la compañía, o botnets que extraen la información mediante sus propios canales, o mediante "covert channels". También se comentan (no da tiempo a extenderse mucho en tan pocas páginas) necesidades de control como mensajería instantánea y Network Access Control

El libro es entretenido de leer y siempre ayuda leer sobre conceptos, que aunque conozcas de antes, estén consolidados en una sesión de hora y media.   

Leer más...

Bypasseando DLP y DRM

El jueves 8 de Abril estuve en un evento de seguridad llamado Respuestas SIC (organizado por la revista del mismo nombre). Estos eventos se caracterizan por una serie de ponencias y alguna mesa redonda entre consultores, managers, etc, de diferentes empresas integradoras y fabricantes de seguridad que en cada sesión cuentan con una temática común. En esta última el menú del día era en resumen: DLP y en detallado "Prevención de fugas y gestión de derechos: De la protección de la infraestructura a la seguridad ligada a los datos y documentos: el reto de la transformación".

Hubo varias presentaciones de fabricantes mundialmente conocidos, fundamentalmente patrocinadores del evento en cuestión, que aportaron sus soluciones a las diferentes posibilidades de fugas de información en las empresas. De esto ya hablamos tiempo atrás en SbD.

Sin embargo, según se iban sucediendo las ponencias, en las que se destacaban las diferentes medidas que se aplicaban para prohibir fugas de información (DLP) via FTP, email, USB, etc.... así evitar que un documento se pudiera copiar a otra ubicación, imprimir, copiar y pegar en un nuevo documento, etc,... me acordaba de las herramientas que comentamos hace poco para quitar las restricciones en ficheros PDF, y pensé en algún otro punto débil que pudieran tener las soluciones expuestas.

Lo más fácil que se me ocurrió (que dudo que haya sido el primero) para evitar los mecanismos digitales de protección, fue aprovechar la cámara de fotos que todo teléfono móvil trae por defecto. Sé que es rudimentario, que el resultado no es el documento original (no podremos utilizar la FOCA para extraer metadatos y obtener otra jugosa información) y nunca una calidad perfecta, pero haciéndole fotos al documento físico o incluso a la pantalla del ordenador en el que la visualizamos podemos copiar el contenido, que al fin y al cabo es de lo que se trata.

De hecho, hace poco ví un programita para Iphone que introduce en un PDF todas aquellas imágenes que queramos, permitiéndonos enviar por email la información sustraida, subirla a un servidor online que soporte Webdav, etc,... es decir, hacer justo lo que se pretende evitar con DLP y DRM.

En entornos de seguridad militar, cuando te dan acceso a un documento clasificado o secreto, se hace en una habitación sin ventanas, y te registran a la entrada y a la salida para evitar que lleves dispositivos que posibiliten la copia de parte o la totalidad del mismo.

Ni que decir tiene que el robo de información confidencial es algo completamente alejado de la legalidad y de la ética, pero me pareció curioso el ver que por muchas medidas que se pongan siempre hay alguna posibilidad. Evidentemente la implantación de este tipo de soluciones en las organizaciones está más que justificado, aunque infalible a todos los niveles, como hemos visto, no es.

Leer más...

Electronic vaulting: Mashup con fuse-sshfs, truecrypt y qdsync

¿Quieres vulnerar la política de seguridad de tu organización para robar información crítica y vendérsela a la competencia para poder pagar la hipoteca de una forma más cómoda?

Si además de poder pasar las fronteras árabes con PDFs más pesados de lo normal decides que según se haga un cambio en un directorio concreto, quieres ser el primero en enterarte de qué es lo que se ha modificado, sigue este post y sacia tu curiosidad.

Decir que la idea inicial era sincronizar un directorio "en tiempo real" con un espacio que físicamente se encuentra en otra localización. Sentadas las bases, lo deseable es lograr que cada vez que se realice un cambio en un directorio, queden reflejados en un lugar remoto (la finalidad puede ser como un backup online o electronic vaulting para evitar catástrofes como las del edificio Windsor, replicar logs de forma remoto para que sirvan de evidencia para propósitos forenses, robo selecto de información, etc,...)

Importante es que la información quede almacenada de forma cifrada en el destino remoto, con controles de acceso sólidos, así como que el canal de comunicación y sincronización también sea cifrado y autenticado.

Manos a la obra y planifiquemos (como nos decían los compradores de Auna) cómo hacerlo. Necesitamos un repositorio remoto accesible 24 horas (en este caso un servidor linux con el servicio SSH funcionando), un canal de comunicación cifrado y autenticado (SSH cumple perfectamente los requisitos), para guardar los datos de forma segura en la localización remota utilizaremos un contenedor cifrado con TrueCrypt (hablamos en su día de la confidencialidad que aporta el contenedor cifrado aquí), para sincronizar directorios utilizaremos QdSync (podríamos haber utilizado rsync y sería más POSIX).

Sé positivamente que a golpe de scp podríamos haber copiado y movido ficheros, sin embargo, pienso que es mucho más cómodo utilizar un módulo fuse llamado fuse-sshfs, que permite montar un sistema de ficheros remoto mediante SSH y utilizar ese espacio para almacenar información. Ni que decir tiene que el servicio SSH no tiene por qué estar en el puerto TCP 22 sino que puede ser cualquier otro (se especifica en el momento del montaje)

Por partes:

1.-) Instalamos el módulo fuse. En mi caso en una CentOS 4.7 instalamos el paquete fuse-sshfs-2.0-1.el4.rf.i386.

2.-) Descargamos y descomprimimos QdSync (en mi caso en /opt/qdsync)

3.-) Decidimos qué directorio vamos a sincronizar puesto que hay que establecer una "marca" inicial para comparar el estado del directorio con el actual (Esto se entenderá mejor más adelante). En nuestro caso he elegido el directorio /var/motion. Para hacer la primera "marca" ejecutamos un "du -ah /var/motion > /var/index_motion"

4.-) Creamos el contenedor cifrado en local con truecrypt (importante elegir el tamaño y el sistema de ficheros que mejor se adecúen a nosotros) y lo copiamos a la ubicación remota de forma manual.

5.-) Añadimos al fichero .ssh/authorized_keys2 del directorio remoto para añadir nuestra clave pública SSH. La idea es poder comunicarnos entre ambas localizaciones con SSH with Keys de manera que sea siempre de forma no interactiva

6.-) Creamos un script como el siguiente, que realice de forma automatizada todo el proceso teniendo en cuenta posibles problemas (que la localización remota esté ya montada, que no sea accesible por SSH, etc...). En mi caso el directorio a sincronizar es /var/motion. Hemos elegido /mnt/remote para hacer el primer montaje con el sistema de ficheros SSH y /mnt/cifrado como punto de montaje para el contenedor cifrado con truecrypt desde el propio sistema de ficheros remoto.

#!/usr/bin/perl
#Script que sincroniza /var/motion con contenedor cifrado en ubicación remota
#1.- Compruebo que no está montado ya /mnt/remote

if ( `mount | grep -i remote` || `mount | grep -i cifrado`)
{
system "logger \"Algo habia montado, no hago nada mas\n\"";
}
else
{
#2.- Validamos si algo ha cambiado con lo anterior
my $temp="/tmp/syncing";
$temp.=rand(100);
system "du -ah /var/motion > $temp";
if (`diff $temp /var/index_motion` != '') #Si ha cambiado algo nos interesa sincronizar
{
my $tries=0;
while ( (`mount | grep -i remote` eq '') && ($tries < style="font-style: italic;"> `sshfs root\@200.XX.YY.ZZZ:/root/Lawrence /mnt/remote`;
#montamos el sistema de ficheros remoto
$tries++;
}

if (`mount | grep -i remote` eq ''|| $tries==10) {die "no he podido montar /mnt/remote";}
# Generamos de nuevo fichero index_motion
system "du -ah /var/motion > /var/index_motion";
#montamos el contenedor como sistema de ficheros también
system "truecrypt --non-interactive -p securitybydefault /mnt/remote/Lawrence.tc /mnt/cifrado";

#Sincronizamos
system "/opt/qdsync/src/qdsync /var/motion/ /mnt/cifrado/";

#TO DO: valida tamaño que queda en contenedor sea menor que lo que hay que sincronizar
system ("truecrypt -d /mnt/cifrado");# Desmontamos el contenedor
sleep "5";
system ("fusermount -u /mnt/remote");# Desmontamos el sistema de ficheros remoto
}
unlink ($temp);

7.-) Añadimos una línea en el cron que cada minuto ejecute el script anterior. También se puede ejecutar dicho script como demonio y controlar el tiempo cada X segundos de forma manual


De esta manera, cada minuto se ejecutará el script anterior y, si ha habido algún cambio en el directorio seleccionado (o alguno de sus subdirectorios) se montará y sincronizará de forma segura.

Leer más...