Índice Introducción: - Fraud Modus Operandi Detección:

Presentación del tema: "Índice Introducción: - Fraud Modus Operandi Detección:"— Transcripción de la presentación:

0 Security Operation Center
Casos reales Security Operation Center Seguridad TI Lima, 15 de Junio 2010 Telefónica del Perú Segmento Empresas

1 01 02 03 04 05 Índice Introducción: - Fraud Modus Operandi Detección:
Malware Pharming Phishing Análisis casos reales: - Caso Phishing - Caso Actualización de Datos. Caso de Malware con Pharming Dispositivos Móviles: Caso de iPhone Conclusiones: 01 02 03 04 05

2 01 Introducción

3 Fraud Modus Operandi:

4 Security Operation Center
Estrategia de Protección: “Defense in Depth” Sistema UTM en red Virus Anti Spam Firewall Contenido Filtro de de Inrusos Detector Conexión SSL Security Operation Center Oficina A Red IP/MPLS Internet Tráfico de Salida Red Privada Virtual (VPN) Oficina Principal Oficina B 1 Primera Línea de Defensa   Extracto de IATF : Information Assurance Technical Framework – Chapter 2 (adjuntamos pdf de información) 2 Segunda Línea de Defensa 3 Tercera Línea de Defensa 4 4

5 Detección de Fraude

6 02 Detección: Malware Pharming Phishing

7 Detección de Malware: Proceso de Detección:
Las bandas del fraude automatizan cada vez más sus procesos de propagación: Una de las piezas clave son los troyanos bancarios. Actualmente, su principal forma de propagación es el envío de correos con una url. Esta url contiene el binario para que el usuario lo ejecute o bien un exploit de navegador, con el cual se ejecutaría él solo. El principal sistema de detección deberá recibir estos s o bien escanear en busca de estas URLs Proceso de Detección: Instalación de sensores como Honeypots Centralización del malware obtenido. HoneyNet Project

8 Detección de Pharming:
Existen 02 tipos de Pharming: El cambio en el archivo “/etc/hosts”, que lo consideramos como malware ya que requiere ejecución en la máquina de la víctima. La inyección de registros en servidores DNS muy utilizados. Las víctimas quedan redireccionadas sin necesidad de realizar una intrusión o infección en su máquina. Monitoreo de Pharming Direcciones IP legítimas Dominios Servidores DNS Proceso de Detección: Detección de pharming consiste en monitorización de servidores DNS. Implementación de un monitorizador DNS. PC_Usuario DNS Proveedor OnlineBanking

9 03 Análisis de Casos:

10 Caso 1 : Phishing Bancario
Utilizaron un servidor web de un ministerio local, para alojar la página web de un banco inglés. EnglishBank

11 Caso 2 : Actualización de datos en tu Banco
Recepción a hotmail y el URL contiene Malware: brasilbank Malware: Modulo-Brasilak.scr De: brasilbank Los Datos ingresados están siendo redireccionados a otro site. Realmente Ocurre: (Robo Credenciales)

12 Caso 3 : Phishing con Pharming
“Has recibido una invitación postal de Rocío”, luego ingresas al URL, “Confiable”, la cual contiene el Malware: Youtube para el Usuario Bajar el Malware y Ejecutarlo Realmente Ocurre: No se está direccionando

13 04 Dispositivos Móviles

14 Utiliza credenciales default y podria instalar
Caso 4 : iPhone: Gusano iKee aprovecha las contraseñas por default en “SSHD”, desarrollado por un joven australiano. Scanning SSHD Utiliza credenciales default y podria instalar Version Unix/Darwing

15 05 Conclusiones

16 Medidas de control Análisis y Protección Sensores de Datos Detección
Honeypots Detección Análisis y Protección 24/7 SOC Peru Portal DB Fraude Shutdown -> Global Reacción Difunde/Progaga el Bloqueo del Fradude en la Red Partners de Navegadores Bloqueo /ISP Cómo funciona el Servicio Antiphishing: En la siguiente figura se muestra los principales componentes del servicio que son necesarios para el funcionamiento del Antiphishing. 1) El Proceso se inicia con la Detección de Incidentes, gestionado a través de los Data Feeds. Data Feeds: Corresponde a las Base Datos de ISP y empresas que gestionan grandes volúmenes de tráfico y de correos, lo que permite monitorear y supervisar permanentemente las vulnerabilidades de Clientes. 2) Luego de ingresado un Incidente o ataque, se inicia la Reacción o Solución del Ataque de Phishing, mediante la fase de Analystics Engine. Analytics Engine: Contiene los procesos necesarios para detectar, solucionar y mostrar la gestión de los incidentes provocados. De esta manera se requieren los siguientes aspectos: Área de gestión y de soporte 24/7 que constantemente supervisa las redes. Gestión de Bloqueos y shutdown (= Baja) de los sitios fraudulentos. Portal Web que muestra él comportamiento y gestión de los incidentes de phishing. Finalmente se realiza la difusión de los Incidentes a los ISP con la finalidad objeto de poner en alerta al medio y evitar nuevos ataques, éste proceso es llamado Fraud Broadcasting Network. Fraud Broadcasting Network: Corresponde a la red y de las relaciones requeridas entre los diferentes ISP´s y Browser´s para compartir información de los ataques y generar listas negras que permita disponer de un historial y de una búsqueda cada ves más eficiente de los atacantes y orígenes de fraudes. Finalizada las fases del Servicio Antiphishing se efectúa la Difusión de los Incidentes phishing, este proceso se denomina Phish Broadcasting que consiste en informar los incidentes a los principales ISPs (Telefónica, AOL, Yahoo!, Earthlink, MSN, Google, etc.) a objeto de bloquear el acceso inmediato de los correos de phishing detectados.

17 17