Configurando EMETv2.1

Como ya se ha visto en los posts anteriores (Mitigaciones de seguridad en EMETv2.1 I, II y III), EMET es un programa muy útil para incrementar la seguridad del sistema. Permite añadir mitigaciones de seguridad a aplicaciones que no han sido programadas nativamente para soportarlas. Esto permite que incluso queden protegidas ante vulnerabilidades 0-day que en otras condiciones podrían hacer que el sistema fuese vulnerable a ejecución de código, por ejemplo

EMET soporta diferentes versiones de Windows y niveles de parcheo, pero no todas las mitigaciones están disponibles para todos ellos.


Lo mismo sucede con sistemas de 32 y 64 bits, ya que algunas protecciones sólo están disponibles en 32 bits.


Gracias a los posts anteriores conocemos qué protecciones ofrece EMET y cómo funcionan a bajo nivel. Ahora vamos a ver cómo configurar EMET para sacarle el máximo partido.

Aplicar mitigaciones

Existen dos formas de configurar las protecciones: a nivel de sistema o de ejecutables. Éstas no son mutuamente excluyentes, sino complementarias.


En el apartado Configure System podemos configurar a nivel global ciertas mitigaciones de seguridad (DEP, SEHOP, ASLR) mediante las directivas Always On, Application Opt-Out, Application Opt-In, Disabled). Se explicó cómo funciona cada una de ellas en el apartado DEP del primer post de la serie.

Existen dos perfiles por defecto en esta sección. Si se utiliza Maximum Protection Security nos podemos encontrar con que algunas aplicaciones dan problemas y no funcionan correctamete. Por eso se recomienda utilizar Recommended Security Settings.



En Configure Apps se configuran los binarios que queremos proteger y las mitigaciones que se aplican al mismo. Por defecto se activan todas si el SO las soporta. Las mitigaciones de seguridad que no aparecen en Configure System, se aplican o no en base a si están marcadas mediante el checkbox en la lista de aplicaciones añadidas manualmente.

Es importante tener en mente que se añaden los binarios de aplicaciones indicando la ruta completo, no sólo el nombre del binario. Por lo tanto podríamos tener dos versiones de la misma aplicación protegidas por EMET.



Cuando se realiza una modificación en Configure System o Configure Apps es necesario reiniciar el sistema para aplicar los cambios.

Configuración de seguridad mediante CLI

Existe la posibilidad de configurar EMET mediante CLI, de forma que se podría automatizar el proceso. La configuración mediante GUI es extremadamente útil para una sóla máquina, pero podría ser un problema para implementarlo en varias máquinas. Es aquí donde entra en juego la CLI.


También podemos sacar partido de la posibilidad de importar y exportar la configuración en XML. Sería útil en caso de que las restantes máquinas tengan el mismo software instalado y necesiten la misma configuración de seguridad.

----------------------------------------

Artículo cortesía de David Montero

Leer más...

Debilidades en los sistemas de restitución de credenciales

Casi siempre cuando hablamos de Seguridad, y más aún de Seguridad Informática, es común escuchar que “una cadena es tan fuerte como su eslabón más débil”. Sí, es casi un cliché, pero no por eso deja de ser verdad.

Con lo omnipresencia de las grandes empresas de servicios de correo gratuito, y con los servicios plus que cada una ofrece (e.g.: calendario, Web disk, Mensajería instantánea, etc.), es común ver cómo la gente protege paranoicamente su cuenta, ya no sólo de correo sino de servicios. Perder la cuenta de correo que usas desde la Universidad o el colegio es peor que perder a tu novia tus tarjetas bancarias, dependiendo de cómo perdiste el acceso a tu cuenta, recuperarla podría ser más complicado que reponer las tarjetas perdidas. Por esta razón, las grandes compañías de servicio de correo electrónico gratuito como Gmail, Hotmail o Yahoo, agregan mecanismos multifactoriales para la recuperación de la cuenta (e.g.: preguntas de seguridad, números telefónicos y cuentas de correo secundarias.) Ahora bien, así como agregan mecanismos varios para la recuperación de la cuenta, también fortalecen los mecanismos de ingreso porque para muchos que nos movemos en el mundo de la seguridad depender únicamente de una clave pareciera ser insuficiente, razón por la cual Gmail agrega, por ejemplo, su doble factor de autenticación.

A propósito de la reciente vulnerabilidad que se encontró en Hotmail, Yahoo y AOL, la cual permitía a cualquier usuario con medianos conocimientos técnicos resetear la clave de cualquiera de estas cuentas, me di a la tarea de reflexionar sobre los mecanismos disponibles para la recuperación de contraseñas en varias de las empresas más grandes que ofrecen este servicio gratuitamente. Una de las opciones que comparten prácticamente todas ellas es la opción de envío de restitución de credenciales a través de un correo secundario previamente asociado por el usuario. El mecanismo en sí es muy lógico, si nos manejamos en un mundo virtual donde el correo es prácticamente la llave de entrada a tu(s) identidad(es) digital(es), es razonable pensar que debes tener más de una cuenta de correo habilitada, y la posibilidad de perder el acceso simultáneamente a ambas cuentas no debería ser algo tan común. No obstante, estos mecanismo de recuperación de contraseñas en términos prácticos representan otra puerta de entrada al correo, y en seguridad, entre más puertas tengas, más puertas tienes que cuidar.

Imaginemos que un usuario A está interesado en ingresar desautorizadamente a la cuenta de un usuario B. Este usuario B tiene su cuenta de correo en Gmail y lo ampara una contraseña irrompible de 16 caracteres combinados entre números, letras y símbolos especiales. Imaginemos también que este usuario A sólo conoce algunos datos básicos del usuario B, datos como el lugar de trabajo, algunos amigos, algunas aficiones, y cualquier detalle que se pueda encontrar en un perfil descuidado de Facebook. Este usuario B tiene como cuenta secundaria asociada la cuenta de correo de su empresa y las preguntas de seguridad convencionales que cualquier usuario podría configurar. Si el usuario A prepara su ataque descartará como primera opción hacer un ataque de fuerza bruta a Gmail, ya sabemos que desde hace años y con la implementación de los validadores de Recaptcha estos ataques se han complicado, en el caso de que aún así decida efectuarlo no le funcionará porque ya sabemos que la contraseña es robusta.

También podría pensar en un ataque más a largo plazo analizando la plataforma de Gmail haciendo recolección de información técnica, escaneo de puertos, análisis de paquetes de red, y cualquier estrategia que busque hallar debilidades en los sistemas de seguridad de Google, lo cual seguramente no le será fácil y mucho menos le garantizará el éxito de la operación. Adivinar las preguntas de seguridad son una posibilidad, sin embargo, se requiere conocer muy bien a la víctima para poder tener acertar la respuesta, al fin de cuenta, cuando se configura la pregunta secreta siempre se está pensando en algo que sólo conozcamos nosotros, al menos debería ser así.

Como tercera y última opción le queda comprometer la cuenta secundaria asociada para ingresar de manera indirecta a la cuenta Gmail. El hecho de que lo logre o no ya es lo de menos, lo que podemos ver aquí es que la seguridad de Gmail es directamente proporcional a la seguridad de la segunda cuenta de correo electrónica asociada:

• Si es una cuenta Hotmail, y créanme que un gran porcentaje de asociaciones entre cuentas para recuperación de credenciales está entre Hotmail-Gmail, la seguridad de Gmail será equivalente a la seguridad de Hotmail, la cual se puso en evidencia hace pocos días tal como vimos. 
• Si la cuenta secundaria es de una empresa, la seguridad de la cuenta de Gmail (y todos sus servicios) será igual a la seguridad de la plataforma tecnológica de esa empresa. Podríamos seguir profundizando el análisis comentando que un gran porcentaje de las empresas que realizan sus implementaciones para correo corporativo no usan conexión SSL para sus usuarios, por lo que con un ataque de MITM quedarían expuestas las credenciales de todas las cuentas que ingresen. Podríamos referir otro tipo de ataques también comunes como los de SQLi el cual afecta a sistemas de correos de empresas muy importantes en la actualidad y a través del cual también se podrían comprometer las credenciales de acceso de cualquier usuario. De igual forma aplicarían los ataques de fuerza bruta para las implementaciones que carecen de Recaptcha o que no controlan el número de intentos de ingreso permitidos.

La conclusión es que si la seguridad es un punto crítico de tu plataforma, debes pensarla en todas las perspectivas y enfoques. No sirve de nada que una empresa invierta millones en tener los sistemas de IDS/IPS más robustos, los Sistemas Operativos con las últimas actualizaciones de seguridad disponibles, los sistemas de monitoreo más completos y que, la recuperación de credenciales dependan de una segunda plataforma que no controlas.

--------------------------------------------------------------

Artículo cortesía de Carlos Rondón A. @phronimos

Leer más...

Enlaces de la SECmana - 122

• En Contagio, recopilatorio de malware, han recibido un documento en .doc, que resulta ser un exploit para MS Word sobre Snow Leopard que aprovecha la vulnerabilidad reportada en el MS09-027. Todos los detalles técnicos de este malware se pueden encontrar en este enlace del Microsoft Malware Protection Center.
• Finalmente, Microsoft ha expulsado a la empresa china Hangzhou DPTech de su programa Microsoft Active Protections Program por la supuesta fuga de información tras lo ocurrido con la prueba de concepto de la vulnerabilidad del RDP, la cual se filtró el un foro chino y que posteriormente denunció su creador Luigi Auriemma. El anuncio oficial en el blog del MAPP.
• El pasado Miércoles se publicó accidentalmente una vulnerabilidad en PHP que fue descubierta en Enero por un equipo de CTF mientras participaban en NullCON, y que permitiría el acceso a información y la ejecución de código de forma remota. Sin duda se trata de una de las vulnerabilidades más importantes de lo que llevamos de año. Chema Alonso y José Selvi han realizado unos profundos análisis sobre ella, en El Lado del Mal y Pentester.es respectivamente.
• En Seguridad Apple, se hacen eco de la liberación de una versión de Kon-Boot para sistemas Mac OS X de 64 bits, que permite la creación de un usuario administrador en caso de olvido.
• Desde 48Bits nos deleitan con otro nuevo interesante post, esta vez de Gabriel González, sobre cómo jugueteó con un router ADSL Comtrend AR-5381u distribuido por Jazztel para conseguir la ejecución de comandos y la administración remota de una manera más sencilla.
• RomanSoft desde su cuenta de twitter proporciona un enlace que recopila casi todos los ficheros del CTF de plaid, concurso organizado por los PPP (Plaid Parliament of Pwning)
• La actriz Marta Torné, protagonista de series como El Internado y Los Protegidos, sufre un hackeo de su cuenta de twitter, perdiendo todos sus seguidores (más de 130.000). No sólo los famosos internacionales iban a tener problemas con sus twitters....
• En Una al día, nueva vulnerabilidad (CVE-2012-2111) que permite la elevación de privilegios en SAMBA. Si hace dos semanas se informaba de una grave vulnerabilidad remota que afectaría a multitud de dispositivos (CVE-2012-1182), el equipo de Samba acaba de descubrir otro grave fallo (CVE-2012-2111) que afectaría a los usuarios de las versiones 3.4.x hasta la 3.6.4 inclusive.
• Aviso de seguridad VMSA-2012-0009 que incluye 5 vulnerabilidades críticas que afectan a VMware Workstation, Player, ESXi y ESX.

Leer más...

Introducción al BYOD

En SecurityByDefault estamos en la cresta de la ola, y para estarlo hay que subirse a todas las tendencias absurdas y términos comerciales/marketinianos del mercado. El último que suena es BYOD. Las siglas de "Bring Your Own Device", que traducido a español, tiene que ser algo similar a "Cómpratelo tú, que a nosotros nos da la risa", y que define el suceso que ocurre cuando el hardware portátil te lo traes de casa y es de tu propiedad. Como las famosas tabletas o teléfonos inteligentes.

Bajo BYOD ya empiezan a verse los primeros productos que facilitan su integración en las redes de grandes compañías, asegurando que cumplen con los requisitos de seguridad del resto de sistemas y que las mayores amenazas de terminales móviles como son la fuga de información, robo físico, malware, etcétera, quedan controladas.

Así que ya sabes, si quieres molar de verdad en las cenas frikis con tus amigos, has de usar estas siglas o mejor aún, la "consumerización". No esperéis verla en la RAE, la palabra se la he escuchado a un comercial de Apple y tardará por lo menos 3 años en extenderse. Vaya, lo que le saca IOS a Android.

Personalmente uso mi iPad para leer el twitter, las RSS, el mail, PDFs y como plataforma de juegos para el niño. Realmente en todo aquello que sea modo "lectura". Si alguien puede trabajar realmente con él, es que su curro se basa en responder correos con un "si" o un "no" o es un Community Manager, que por cierto, es otro termino del que se podía hablar mucho.

Fin de la rajada.

Leer más...

[Cine de Hackers] Free Rainer (Un juego de inteligencia)

El verano pasado tuve la oportunidad de conocer a la 'chica de la tele' y como es lógico, le pedí que me recomendase alguna película sobre 'hacking' que hubiese pasado bajo el radar.

Rápidamente me dijo ¿Has visto Free Rainer? Te va a gustar.

Lo cierto es que es un poco complicado encontrar la película (es Alemana y no tiene el tirón del cine Americano) pero finalmente conseguí hacerme con ella.

A modo de breve resumen contaré que la película gira en torno a un exitoso productor de 'realities' que, estando en la cresta de la ola (premios, excesos, mujeres), sufre un accidente que le hará ver la vida de forma diferente.

Súbitamente se hace consciente de la cantidad de 'basura' que ha generado en forma de programas de TV a cada cual mas idiotizante, y decide cambiar eso.

Para ello, se lanza a hackear el sistema de medición de audiencias para intentar promover otros contenidos en TV.

Lo que me ha gustado de la película es que va bastante mas lejos que las típicas Americanadas: En una película Americana, algún super-oscuro-hacker pergeñaría un descabellado plan empleando algún virus en 3D que lo cambiaría todo.

Esta película es bastante mas 'real', se ve como van avanzando en la investigación, como van cometiendo los típicos errores de prueba / error y en definitiva resulta bastante mas creíble.

Os dejo el trailer en castellano:

FICHA:
Rigor técnico: 4/5
Historia: 4/5
Calificación general: 4/5

Leer más...

¿Jugamos con la webcam?

 
No, no penséis que, por el título, el post de hoy es un anuncio pr0n. Ya he hablado varias veces en SbD de la potencia del software Motion para monitorización y grabación de movimientos de estancias, utilizando cámaras de todo tipo.

Llevaba ya tiempo con la idea de evolucionar la cámara IP que tenía en la terraza, que apunta hacia un lado de ésta únicamente, por una cámara motorizada, que permita "echar un vistazo" rápido hacia el otro lado de la misma, para ver si todo está en su sitio o no. Ya sabéis, algo nuevo para alimentar mi propio "Homeland Security" y darle algo más para hacer a mi pequeño Skynet.

En mi labor de búsqueda por algo sencillito, ví que las cámaras de marcas reconocidas costaban más de lo que yo pretendía gastarme. Así, encontré una tienda que vende varios tipos de webcam de este tipo. En general, y por lo que hablé con la gente de la tienda, todas estas webcams de segunda marca, son chinas (yo supongo que las de primera también, pero tienen mejor calidad). Entre otras, probé una de marca Apexis que me ha dado bastante buen resultado. Ya sea wireless o cableada, se gestiona mediante un panel web, con versiones para Internet Explorer (un ActiveX), resto de navegadores y móviles.

Es decir, que si NATeamos un puerto desde el router ADSL hacia la IP de gestión de la webcam, se puede acceder y jugar con ella desde Internet (vamos, tú y todos los que se peguen con una autenticación vulnerable a fuerza bruta y diccionario). Si no es necesario acceder desde un dispositivo móvil limitado, es mejor hacerlo mediante una VPN. En mi caso, he aprovechado las capacidades de un proxy inverso de Apache con mod_proxy, que requiera un certificado SSL X.509 de cliente como autenticación a la gestión de la misma. De esta manera, aunque el protocolo de acceso utilizado contra la webcam es HTTP, forzar el uso de HTTPS hasta mi proxy inverso, la autenticación (de usuario/contraseña) a través de la red insegura, va cifrada, y la conexión además irá autenticada mediante el certificado válido.

La aplicación web de gestión de la webcam, permite moverla hacia cualquier posición. El firmware de la mía además, permite memorizar hasta 15 posiciones diferentes de la cámara, y por supuesto hacer que la cámara vaya a cualquiera de ellas.

En la foto de abajo podéis ver el panel de gestión de la webcam, y he puesto una foto de una terraza con arena y mar ;D

Trasteando con Tamper Data (últimamente lo uso más que el procesador de textos) me dí cuenta que, al igual que otros equipos caseros que he mirado, la autenticación utilizada para el panel web es Basic Authentication, ni cookies de sesión, ni tokens dinámicos en parámetros ni nada de nada. No se han complicado mucho la existencia esta gente con eso de "la seguridad". Con esto en la mano, ya sólo queda sentarse a probar las diferentes opciones, y documentarlas/scriptearlas para poder hacer que la webcam tenga vida propia mediante llamadas mediante línea de comandos, o que sea Skynet quien lo haga en base a sus propias decisiones.

Además, en mi caso particular, el programa Motion que corre cuando no hay ningún habitante en casa, monitoriza la actividad provista por streaming desde la webcam y, cuando detecta movimiento, me avisa y graba en video el mismo. Debido a que la cámara está en el exterior y que dispone de sensores infrarrojos para permitir visión nocturna, no es sencillo ecualizar los parámetros de brillo y contraste para evitar que cualquier cambio de luz genere falsos positivos al programa Motion. Es decir, que según la hora que sea, estaría bien modificarlo a dinámicamente para que la imagen fuese siempre correcta, tanto para la vista como para la monitorización.

Teniendo claro cuáles son las llamadas que se hace al panel web para balancear estos parámetros, es cuestión de aguja e hilo, el añadir a mi bot Gtalk y a Skynet la funcionalidad de mover la webcam a las posiciones pre-memorizadas, y dependiendo de la hora que sea, ajustar dinámicamente el brillo y el modo (50 Hz, 60 Hz o outdoor)

Así, se ven las siguientes peticiones:

GET "http://".$ip_webcam."/camera_control.cgi\?param=1\&value=$value";

-> Donde $ip_webcam está claro lo que es y el parámetro "value" es un valor de 0 a 240, correspondiente a multiplicar por 16 un valor entre 1 y 15.

 GET "http://".$ip_webcam."/decoder_control.cgi?command=$x" // Vete a la posicion memorizada 1

-> En este caso, para mover la cámara a una de las posiciones pre-memorizadas, el valor $x empieza en 31 para la posición 1, 33 para la posición 2, 35 para la 3 y así sucesivamente. Es decir, que $x = 30 + (($pos*2) -1)

Bueno pues si sirve de ayuda a los que tengáis este tipo de webcam, he hecho un par de scripts separados (que en mi casa, son dos funciones dentro de "Skynet") para hacer que se mueva de forma manual a la posición pre-configurada.

GET "http://".$ip_webcam."/camera_control.cgi?param=3&value=$x";

-> $ip_webcam es la IP de gestión de la webcam y el parámetro "value", es un valor entre 0 y 2, correspondiente a los modos: 50 Mhz, 60 Mhz y Outdoor, respectivamente.

Cuando es de noche, conviene configurar el modo de la webcam a "50 Hz" y de día en modo "Outdoor"

webcam_pos.pl

webcam_brillo.pl

DISCLAIMER: Señores de la Agencia de Protección de Datos: La cámara no la uso para grabar a personas por la calle, ni siquiera de otras casas (no he visto vecinas, ni en mi casa, ni en la de enfrente que merezcan comprar una cámara con zoom).

Leer más...

¿Cuánto es suficiente en Seguridad?

“En una pelea la mejor técnica es no tener una técnica.

Mi técnica es el resultado de su técnica.

Mi movimiento es el resultado de su movimiento.”

Bruce Lee

Es un gusto enorme y un placer para mí comenzar mi colaboración para un sitio tan importante como este. En esta primera aportación quiero compartirles algo del contenido de mi charla en el pasado evento ACK Security Conference 2012 realizado en la bella ciudad de Manizales, Colombia y donde tuve la oportunidad de conocer algunos de los mejores profesionales en Seguridad Informática de Latinoamérica y España, entre ellos a mi ahora buen amigo Lorenzo Martínez.

Durante los últimos meses hemos sido testigos de una ofensiva mas fuerte y agresiva contra Empresas y Organismos de Gobierno de las que se hayan visto anteriormente; casos como RSA, HB Gary, FBI, CIA, NASA etc... nos hacen plantearnos una serie de preguntas ¿Estas Empresas no contaban con los mecanismos de seguridad para detener estos ataques? ¿Realmente no han invertido lo suficiente para protegerse? Si revisamos la anatomía de dichos ataques nos daremos cuenta que en realidad en la mayoría de los casos no son tan sofisticados como pensamos y se concretaron de alguna forma gracias al factor humano ¿Cuál es entonces el problema?

El problema es que estamos planteando y enfrentando la situación de una manera inadecuada. Todos sabemos que existen estándares, guías, buenas prácticas, normativas y una cantidad importante de herramientas en el mercado. Hay Empresas que invierten una cantidad importante de recursos para asegurarse de implementar muchos de estos modelos y adquieren herramientas costosas de Seguridad. Sin embargo, esto parece no ser suficiente. Y es que la realidad nos dice que siempre existe un eslabón débil en la cadena que si es identificada por un potencial atacante, puede ser el punto de entrada para un compromiso mayor.

Hoy en día se están desarrollando herramientas muy sofisticadas, incluso son diseñadas para evitar ser detectadas por IDS o Antivirus, se encuentran en el mercado negro e incluso se crean a la medida del que lo solicita. Diariamente aparecen miles de muestras de malware cuyo objetivo es ser utilizados en actividades de espionaje o cibercrimen.

Ante este complicado escenario ¿qué se puede hacer? Lo más importante es entender que la seguridad debe ser visualizada bajo un enfoque no solo de herramientas y buenas prácticas. Durante mucho tiempo nos hemos concentrado solamente en acciones de defensa y contención, pensando que eso será suficiente. Basta con realizar un pequeño ejercicio de valoración, como por ejemplo revisar las cifras de cuantas empresas realmente cuentan con un área formal de respuesta a incidentes, cuántas de ellas cuentan con planes confiables que se puedan integrar con los de continuidad de negocios. En pocas palabras, no estamos siendo proactivos sino reactivos.

Una forma de replantear esta estrategia sería crear modelos eficientes de monitoreo y detección. Para esto es importante diseñar una buena arquitectura de seguridad donde sea posible detectar cualquier situación de amenaza en el menor tiempo posible.

Recordando un concepto de uno de los libros que Bill Gates que escribió hace más de una década “Los negocios en la era digital” y que me parece muy interesante. En él planteaba la analogía entre un sistema nervioso humano con un sistema digital. Él menciona en su libro que un sistema digital debe ser lo mas parecido al humano debido a que, cuando nuestros sensores nerviosos detectan una acción amenazante que pueda dañar al organismo, inmediatamente reaccionan enviando un mensaje al cerebro para que este tome acción, como en el caso de que estamos sufriendo una quemadura. Si no fuera así, tendríamos daños muy severos.

En el caso de los sistemas de seguridad, estos deben ser diseñados desde la misma óptica de funcionamiento que el sistema nervioso humano. Debemos crear una estructura que permita detectar a tiempo un ataque y en ese momento actuar en consecuencia respondiendo al incidente. Mientras más rápidamente se reaccione, menor será el daño y evitaremos que se extienda y derive en situaciones más graves, como la pérdida de información o el compromiso de sistemas estructurales.

Debemos tener la capacidad de adaptarnos a la forma en que los atacantes utilizan nuevas técnicas y herramientas para defender los sistemas de manera eficiente, existe en la actualidad un desfase importante en las capacidades de los atacantes y de quienes defienden. El personal que se asigne para las tareas de monitoreo, realmente debe estar preparada para identificar incidentes. En la actualidad confiamos en que los sistemas de detección harán todo el trabajo y olvidamos que hay gente trabajando 24 x 7 creando herramientas capaces de evadir estos sistemas.

Podemos elegir entre justificar la asignación presupuestal de cada año al área de seguridad comprando herramientas costosas, realizando evaluaciones de vulnerabilidades y pruebas de penetración solo para cumplir con normativas o realmente replantear y restructurar la forma como vamos a contar con un sistema eficiente de identificación y respuesta. No es cuestión de cuánto se invierta sino en plantear una estrategia inteligente.

Contribución por cortesía de:  Roberto Martínez

Leer más...