I WORKSHOP DE TECNOLOGIA DE REDES Ponto de Presença da RNP em Santa Catarina Rede Metropolitana de Educação e Pesquisa da Região de Florianópolis

Transcrição

1 I WORKSHOP DE TECNOLOGIA DE REDES Ponto de Presença da RNP em Santa Catarina Rede Metropolitana de Educação e Pesquisa da Região de Florianópolis 05 e 06 Outubro/2012 Panorama de incidentes de segurança I WTR Organização: Apoio: Patrocínio: Instituição: Inserir Logo Instituição do Palestrante

2 Agenda RNP e CAIS Incidentes de segurança no backbone acadêmico Ações do CAIS no combate a atividades maliciosas Incidentes em SC Discussão 2

3 RNP Rede Nacional de Ensino e Pesquisa, fundada em 1989 pelo MCT Fornece conexão a Internet para instituições de ensino e pesquisa Fomento do uso de aplicações avançadas de rede Treinamentos 3

4 Rede Ipê Mais de 800 instituições conectadas Número estimado de usuários em 3.5 milhões grupos de pesquisa beneficiados Universidades federais, escolas agrotécnicas, centros federais de educação tecnológica, centros de pesquisas, hospital, museus e outros Backbone com alta capacidade e disponibilidade Instituições conectadas com grande quantidade de computadores conectados Pontos de troca de tráfego com grande provedores 4

5

6 CAIS Centro de Atendimento a Incidentes de Segurança 15 anos de atuação na área de segurança Constituency: instituições conectadas a RNP O Centro de Atendimento a Incidentes de Segurança (CAIS) atua na detecção, resolução e prevenção de incidentes de segurança na rede acadêmica brasileira, além de elaborar, promover e disseminar práticas de segurança em redes. 6

7 Relacionamentos do CAIS Parceiros de informaçã o Organizaç ões usuárias PoPs Clara CSIRTs acadêmic os CAIS FIRST Andifes APWG GTs Governo

8 Tratamento de incidentes Papel de coordenação e suporte aos clientes Atuação nos núcleos da RNP e no backbone 2 analistas dedicados em regime de plantão Recebimento da notificação Análise e triagem Encaminhame nto do incidente Resposta ao reclamante 8

9 Tratamento de incidentes Incidentes de segurança que envolvem o backbone da RNP AS1916 e 19 clientes (AS1251, AS2715, AS2716, AS10412, AS10715, AS10881, AS11097, AS11156, AS11242, AS11751, AS13522, AS14553, AS19200, AS19611, AS19763, AS21506, AS21612, AS22819, AS28579) Conta cais@cais.rnp.br Os incidentes são reportados por parceiros, CSIRTs, usuários, provedores ou são identificados pelo CAIS através dos sistemas de detecção de atividade maliciosa: * trocas de páginas (defacements) * botnets/malware * phishing * spam * sistemas comprometidos 9

10 INCIDENTES DE SEGURANÇA NO BACKBONE ACADÊMICO 10

11 Estatísticas de incidentes (Junho, 2012) 11

12 Incidentes por estado 2011 TOTAL AC AL AM AP BA CE DF ES GO MA MG MS MT PA PB PE PI PR RJ RN RO RR RS SC SE SP TO -

13 Incidentes por estado AC AL AM AP BA CE DF ES GO MA MG MS MT PA PB PE PI PR RJ RN RO RR RS SC SE SP TO - 13

14 Categorias de ataques ocorridos em 2012 Conteúdo abusivo Código malicioso Prospecção por informações Tentativa de intrusão Quadrimest Intrusão Quadrimest Indisponibilidade de serviço ou informação urança da informação Fraude Outros Ocorrências (Log)

15 Malware Vírus, worms, trojans, bots, spywares, scripts, outros Representaram 90% do total de incidentes na Rede Ipê ( ) Botnets: 98% de infecções IP únicos! Bot Worm 159 Virus 10 Outros

16 Malware Todo dia é identificado sites maliciosos 12 a 14 milhões de buscas levam a sites maliciosos alertas de download de malware por dia Fonte: Google 16

17 Malware Em 2011, foram criados malwares por dia (Fonte: Panda Security) Os antivírus detectaram menos que 12% dos malwares encontrados em 2011 (Fonte: Trustwave Globla Report

18 Botnets Grande vilão atualmente no backbone Ataques DDoS Backdoors Abrigo de dados para distribuição ilegal Impacto: Atividades cotidianas, sobrecarga dos sistemas Mau uso dos recursos da universidade Consumo de banda Riscos à organização (informações confidenciais) Sem saber, facilitamos a realização de crimes! 18

19 Conteúdo abusivo Envio de spam, casos de difamação, assédio, discriminação, outros 3,34% do total anual (10.857) Botnet Xarvester 2009/ Produtos farmacêuticos 19

20 Fraudes Violação de direitos autorais Fingir ou falsificar identidade (pessoa/instituição) Utilização de recursos de forma não autorizada 3,12% do total em 2011 (9.973) Violação de direitos autorais Fingir ou falsificar identidade ou instituição Uso de recursos de forma não autorizada

21 Violação de copyright Infringing Work: Harry Potter and the Chamber of Secrets Filename: John.Williams.Harry.Potter.and.the.Chamber.of.Secrets.pdf First Found: 27 May :01:13 EDT (GMT-4) Last Found: 27 May :01:13 EDT (GMT-4) Filesize: 29,609k IP Address: IP Port:

22 Fonte: Google,

23 Phishing Uso de engenharia social para adquirir informações confidenciais como senhas, dados financeiros, etc Principais meios utilizados: , IM, Web-site Objetivo: $$$$$ Realizar compras Transferências financeiras Vendas de informações no mercado negro Pedido de resgate 23

24 24

25 Fonte: Google 25

26 Tentativas de intrusão Exploração de vulnerabilidades: XSS, SQL Injection Login: SSH, Mail, FTP 2,78% do total (8.889) Tentativa de exploração de vulnerabilidades Tentativa de login Outros

27 Desfiguração de sites Agosto/

28 DDoS Arma de grupos hackers e grupos autointitulado ciberativistas Diversos grupos recrutam usuários para apoiar a causa Instituições de áreas diversas estão sendo afetadas por este movimento 28

29

30 DDoS na Rede Ipê Uma importante instituição sofreu um ataque de 700Mbps em um período crítico de suas atividades Instituições educacionais foram citadas no IRC para serem alvos de ataques 38 ataques críticos em

31 DDoS na Rede Ipê 31

32 DDoS na Rede Ipê Remember Remember The 5 th November. Vários grupos anunciaram ataques contra institiuições em 5 de Novembro, em alusão a data mencionada no filme V de Vingança Só neste dia, foram detectados 10 ataques na Rede Ipê Os ataques começaram às 15:30 e terminou 40 minutos depois Cerca de 1.9Gpbs de tráfego malicioso detectado! 32

33 AÇÕES DO CAIS PARA O COMBATE A ATIVIDADE HACKER 33

34 Reativo Tratamento de Incidente Repasse do incidente aos responsáveis Auxílio às instituições da RNP na solução de problemas Todas as notificações são respondidas Baixo tempo de atendimento ao incidente Uso de scripts Coordenação de ações Combate ao Conficker no Backbone da RNP 34

35 Divulgação de alertas de segurança Visa alertar a comunidade de vulnerabilidades críticas a fim de evitar a sua exploração rnp-alertas@cais.rnp.br 25 em 2011, 08 em inscritos Vulnerabildades em softwares e outros 35

36 Publicações CAIS-Resumo Pesquisa de segurança da rede acadêmica Cartilhas de segurança 36

37 Educação Palestras GTS, FIRST, YSTS, WTR Cursos SCI/RNP, FIRST, CLARA-TEC Realização de palestras e cursos em instituições 37

38 Catálogo de Fraudes Informar as principais fraudes em circulação na Internet brasileira Grande colaboração da comunidade 4135 fraudes cadastradas Colabore!!! 38

39 DISI Dia Internacional de Segurança em Informática Realizado desde 2005 Transmitido pela Internet em PT, EN e ES 39

40 DISI de agosto de 2012 São Paulo/SP 40

41 INCIDENTES EM SC 41

42 Categorias de ataques ocorridos em 2011 Conteúdo abusivo 125 Código malicioso Prospecção por informações Tentativa de intrusão 5 Intrusão 11 Indisponibilidade de serviço ou informação 8 Segurança da informação Fraude Outros Ocorrências (Log) 42

43 Categorias de ataques ocorridos em 2012 Conteúdo abusivo 64 Código malicioso Prospecção por informações Tentativa de intrusão Intrusão 4 Indisponibilidade de serviço ou informação 5 Segurança da informação Fraude Outros Ocorrências (Log) 43

44 DISCUSSÃO 44

45 Gerência de porta 25 SPAM Propagação de malware Fail2ban Prospecção SSH VoIP Ações Atualização de gerenciadores de conteúdos de sites (CMS) Joomla Atualização das estações de trabalho Sistemas licenciados Antivírus 45

46 Frederico Costa Centro de Atendimento a Incidentes de Segurança (cais@cais.rnp.br)