„Week of Oracle Database Bugs” (WoODB)

Cezar Ceruddo inspirat de ideea lui  H D Moore (Metasploit)  „Month of Browser Bugs” a anuntat pe site-ul companiei sale  Argeniss Information Security, saptamina 0-day-urilor pentru Oracle. Conform anuntului, va publica de-a lungul unei saptamini, in fiecare zi, in decembrie, exploituri pentru baza de date Oracle pentru care nu exista inca un patch.  O idee admirabila la care probabil nu va exista nici un raspuns din partea doamnei de fier Mary Ann Davidson (Chef Security Officer) de la „Unbreakable” Oracle.  De notat ca Cezar Ceruddo este furnizorul principal de know-how pentru scannerul de baze de date ai firmei Application Security, Inc. Poate o sa vorbim totusi odata si despre acest scanner in comparatie cu concurentul lui mult mai ieftin NGSSquirrel al firmei NGS Security. Have fun all of you. Christmas is comming.:-)

In loc de Computer Security mai bine usi.

Am primit acum citeva zile un link de la un blog foarte interesant despre legile romanesti in domeniul IT-ului. Postul care mi-a atras atentia punea in discutie “Cerintele minime in domeniul prelucrarii datelor cu caracter personal”. Cum am scris si acolo intr-un comentariu, consider ca legea cu toate ca prevede lucruri care sint absolut necesare cum ar fii: obligativitatea unui “user roles model”, anonimizarea datelor, modalitatea de access la sistemele care contin datele personale, physical IT security, obligativitatea politicilor si procedurilor, a logurilor de access cit si criptarea liniilor de transmisie, trece cu vederea problemele legate de nevoia de a avea sisteme de operare si aplicatii cit mai sigure.

Legea nu prevede de exemplu ca sistemele de operare si aplicatiile sa fie in asa fel instalate incit sa indeplineasca cerintele unor standarde internationale de computer security cum ar fii (Common Criteria ). Majoritatea sistemelor de operare (Windows, Redhat, Suse sau Solaris) cit si o multitudine de aplicatii sint certificate EAL 3,3+ sau 4.

Totodata nu este prevazuta obligativitatea criptarii datelor in cazul in care ele sint copiate sau exportate pe alte medii de stocare. Este cunoscut cazul unui auditor de la Deloitte & Touche USA care a uitat in avion un CD necriptat cu datele tuturor angajatilor de la McAfee.

In pagina 4 este totusi stipulata obligativitatea unor audituri. Dar daca auditurile se vor margini numai la a verifica daca serverele sint in camere inchise atunci ce mai conteaza daca serverul ruleaza un sistem de operare la care nu s-au mai aplicat patch-uri sau aplicatia este plina de bug-uri de securitate.

De ce inca odata este uitata nevoia de securitate in domeniul IT si se incearca protejarea unor date cu continut atit de sensibil prin inchiderea in pivnita a serverelor? Si asta este o solutie, dar in cazul asta legea ar trebui sa interzica folosirea oricarui fel de networking pentru aceste calculatoare.

Hacking la Fonera, back to bash

Ce este „la Fonera”? Compania FON s-a hotarit print-un concept nou sa creeze cea mai mare retea de wireless din lume. Principiul este simplu. Tu vii cu legatura de internet si devenind membru la Fon, primesti gratuit un wireless access-point. Ce vei da tu in schimb este dreptul ca si alti membri ai retelei sa se conecteze la aceess-point-ul tau si sa il foloseasca. Exista posibilitatea de a interoga baza de date a firmei si in functie de locul unde te duci, sa afli ce „Foneros” pun la dispozitie legatura lor la internet. Cu toate ca sistemul pus la dispozitie de FON este un sistem unde utilizatorul nu are access decit la o interfata de web unde poate seta SSID-ul si parola pentru WPA, Stefan Tomanek a reusit sa gaseasca un bug in modul in care access point-ul functioneaza si sa publice un exploit, care permite oricarui sa injecteze comanzi in access-point-ul „La Fonera”. Principiul este simplu si se bazeaza pe modul in care se face escaping in bash. Citeodata poate fii atit de simplu. :-)). Articolul intreg poate fi gasit aici .

IceSword 1.20 (en)

Intotdeauna folosesc mai multe soft-uri pentru analiza unui sistem compromis unde banuiesc ca a fost instalat si un rootkit. Rootkit Revealer, Blacklight si o cana mare de cafea ( inscriptionata cu instructiuni de vi) fac parte intotdeauna din „arsenalul” cu care ma inarmez inainte de o analiza. Mi-am format insa o preferinta. IceSword chiar daca nu are un help in limba engleza este intuitiv si prezinta o imagine completa a ceea ce e imtimpla. Cu toate ca de multe ori analizele cu IceSword incep si se termina cu celebrul bluescreen continui sa il folosesc cu preponderenta. Aici puteti gasi un interviu interesant cu autorul programului, in care se pun in evidenta diferentele fata de celelalte tool-uri de detectare si analiza a rootkit -urilor.

Alte tool-uri de analiza a rootkit-urilor pe linga cana mare de cafea :

Rootkit Revealer [info]
F-Secure Blacklight [info]

Ce folositi voi la analiza ( in afara de IDA Pro) ??

Search engine pentru IT security

Google pune la dispozitie prin serviciul Google Co-op posibilitatea de a-ti crea propriul motor de cautare bazar pe diferite domenii de interes. Pornind de la acest serviciu a fost creat un motor de cautare specializat pe domeniul de securitate in IT. Numarul de site-uri participante in momentul acesta este de aproximativ 100. Informatii despre site-urile participante si despre proiect in sine se pot gasi pe pagina de blog .