O documento discute técnicas de virtual patching para manter queijos suíços seguros de ratos, mencionando que ferramentas como Nginx, Naxsi e Modsecurity podem ser usadas para mitigar riscos de vulnerabilidades, mas requerem esforço técnico e não substituem correções de vulnerabilidades. Conscientização, capacitação e processos são fundamentais para gestão de segurança da informação.

1. Mantendo o queijo-suíco
seguro dos ratos através de
virtual patching.
Alexandro Silva
http://alexos.org

2. ● Analista de segurança
da informação;
● Professor na pós em
Seginfo da Area1 e
Unijorge.

3. ● Virtual Patching
✔ Camada de segurança capaz de proteger as
aplicações web da exploração de falhas "conhecidas".
● A falta de gestão das vulnerabilidades colabora com o
crescimento dos ataques:
● Vulnerabilidades de infraestrutura:
✔ Serviços desatualizados e/ou mal configurados ( Web, DNS,
FTP );
✔ Sistemas operacionais desatualizados;
✔ Administração baseada em práticas inseguras.
● Vulnerabilidades de aplicação:
✔ Desenvolvimento baseado em práticas inseguras;
✔ CMSs e plugins desatualizados.

4. ● Técnicas de exploração e divulgação das falhas
cada vez mais difundidas:
✔ SQL Injection ( SQLi )
✔ Cross site-scripting ( XSS )
✔ Phishing
✔ DoS
✔ SecurityTube
✔ Full-disclosure
✔ ExploitDB

5. ● Custo de tempo/pessoas na manutenção é alto:
✔ Alocação e capacitação de pessoas;
✔ Priorizar tarefas;
✔ Testes de correção, etc.
● Faltam profissionais capacitados:
✔ Monitoramento;
✔ Análise de log;
✔ Conhecimento dos protocolos;
✔ Profundo conhecimento dos serviços;
✔ Atualização constante;
✔ Funcionamento do ataques;
✔ Desenvolvimento seguro.

6. Como proteger nosso queijo-suíco?

7. NÃO EXISTE MILAGRE!

8. ● Ferramentas Opensource disponíveis:

10. ● Prós:
✔ Prevenção pró-ativa;
✔ Mapear e entender as ameaças;
✔ Mitigar riscos e impacto;
✔ Correlacionar um incidente.
● Contras:
✔ Grande esforço técnico na implementação e tunning;
✔ Normalmente as vulnerabilidades não são corrigidas;
✔ Com a redução do incidentes o monitoramento da
solução tende a ser esquecido.

11. ✔ A segurança da informação não deve ser
baseada só em ferramentas e produtos;
✔ Concientização, capacitação, processos e
prevenção devem fundamentar a gestão de
segurança da informação;
✔ Ferramentas e produtos devem ser utilizados
com coerência e como facilitadores na
prevenção contra as ameaças.

12. Obrigado a todos! =)
http://alexos.org
@alexandrosilva
alexos@alexos.org

13. Links:
➔ Nginx - http://nginx.org/en/
➔ Naxsi - https://code.google.com/p/naxsi/
➔ Modsecurity - http://www.modsecurity.org
➔ Ironbee - https://www.ironbee.com/
➔ Ossec HIDS - http://www.ossec.net
➔ Virtual Patching Best Practies -
https://www.owasp.org/index.php/Virtual_Patchin
g_Best_Practices