Security Operation Center Casos reales Security Operation Center Seguridad TI Lima, 15 de Junio 2010 Telefónica del Perú Segmento Empresas

01 02 03 04 05 Índice Introducción: - Fraud Modus Operandi Detección: Malware Pharming Phishing Análisis casos reales: - Caso Phishing - Caso Actualización de Datos. Caso de Malware con Pharming Dispositivos Móviles: Caso de iPhone Conclusiones: 01 02 03 04 05

01 Introducción

Fraud Modus Operandi:

Security Operation Center Estrategia de Protección: “Defense in Depth” Sistema UTM en red Virus Anti Spam Firewall Contenido Filtro de de Inrusos Detector Conexión SSL Security Operation Center Oficina A Red IP/MPLS Internet Tráfico de Salida Red Privada Virtual (VPN) Oficina Principal Oficina B 1 Primera Línea de Defensa   Extracto de IATF : Information Assurance Technical Framework – Chapter 2 (adjuntamos pdf de información) 2 Segunda Línea de Defensa 3 Tercera Línea de Defensa 4 4

Detección de Fraude

02 Detección: Malware Pharming Phishing

Detección de Malware: Proceso de Detección: Las bandas del fraude automatizan cada vez más sus procesos de propagación: Una de las piezas clave son los troyanos bancarios. Actualmente, su principal forma de propagación es el envío de correos con una url. Esta url contiene el binario para que el usuario lo ejecute o bien un exploit de navegador, con el cual se ejecutaría él solo. El principal sistema de detección deberá recibir estos emails o bien escanear en busca de estas URLs Proceso de Detección: Instalación de sensores como Honeypots Centralización del malware obtenido. HoneyNet Project

Detección de Pharming: Existen 02 tipos de Pharming: El cambio en el archivo “/etc/hosts”, que lo consideramos como malware ya que requiere ejecución en la máquina de la víctima. La inyección de registros en servidores DNS muy utilizados. Las víctimas quedan redireccionadas sin necesidad de realizar una intrusión o infección en su máquina. Monitoreo de Pharming Direcciones IP legítimas Dominios Servidores DNS Proceso de Detección: Detección de pharming consiste en monitorización de servidores DNS. Implementación de un monitorizador DNS. PC_Usuario DNS Proveedor OnlineBanking

03 Análisis de Casos:

Caso 1 : Phishing Bancario Utilizaron un servidor web de un ministerio local, para alojar la página web de un banco inglés. EnglishBank

Caso 2 : Actualización de datos en tu Banco Recepción a hotmail y el URL contiene Malware: http://cli.gs/https:wwwss.brasilbank.com.br.scripts.ib0k1.dll.Modulo-Brasilbank brasilbank Malware: Modulo-Brasilak.scr De: http://www.yeojin.com brasilbank Los Datos ingresados están siendo redireccionados a otro site. Realmente Ocurre: (Robo Credenciales)

Caso 3 : Phishing con Pharming “Has recibido una invitación postal de Rocío”, luego ingresas al URL, “Confiable”, la cual contiene el Malware: http://dowload-postal.com/postales.com/view/update.ver_postal.postales.com.exe Youtube para el Usuario Bajar el Malware y Ejecutarlo Realmente Ocurre: No se está direccionando

04 Dispositivos Móviles

Utiliza credenciales default y podria instalar Caso 4 : iPhone: Gusano iKee aprovecha las contraseñas por default en “SSHD”, desarrollado por un joven australiano. Scanning SSHD Utiliza credenciales default y podria instalar Version Unix/Darwing

05 Conclusiones

Medidas de control Análisis y Protección Sensores de Datos Detección Honeypots Detección Análisis y Protección 24/7 SOC Peru Portal DB Fraude Shutdown -> Global Reacción Difunde/Progaga el Bloqueo del Fradude en la Red Partners de Navegadores Bloqueo Email/ISP Cómo funciona el Servicio Antiphishing: En la siguiente figura se muestra los principales componentes del servicio que son necesarios para el funcionamiento del Antiphishing. 1) El Proceso se inicia con la Detección de Incidentes, gestionado a través de los Data Feeds. Data Feeds: Corresponde a las Base Datos de ISP y empresas que gestionan grandes volúmenes de tráfico y de correos, lo que permite monitorear y supervisar permanentemente las vulnerabilidades de Clientes. 2) Luego de ingresado un Incidente o ataque, se inicia la Reacción o Solución del Ataque de Phishing, mediante la fase de Analystics Engine. Analytics Engine: Contiene los procesos necesarios para detectar, solucionar y mostrar la gestión de los incidentes provocados. De esta manera se requieren los siguientes aspectos: Área de gestión y de soporte 24/7 que constantemente supervisa las redes. Gestión de Bloqueos y shutdown (= Baja) de los sitios fraudulentos. Portal Web que muestra él comportamiento y gestión de los incidentes de phishing. Finalmente se realiza la difusión de los Incidentes a los ISP con la finalidad objeto de poner en alerta al medio y evitar nuevos ataques, éste proceso es llamado Fraud Broadcasting Network. Fraud Broadcasting Network: Corresponde a la red y de las relaciones requeridas entre los diferentes ISP´s y Browser´s para compartir información de los ataques y generar listas negras que permita disponer de un historial y de una búsqueda cada ves más eficiente de los atacantes y orígenes de fraudes. Finalizada las fases del Servicio Antiphishing se efectúa la Difusión de los Incidentes phishing, este proceso se denomina Phish Broadcasting que consiste en informar los incidentes a los principales ISPs (Telefónica, AOL, Yahoo!, Earthlink, MSN, Google, etc.) a objeto de bloquear el acceso inmediato de los correos de phishing detectados.

17