A vanguarda da tecnologia em segurança
Dentre elas destaca-se o X-Force, mantido pela Internet Security Systems (ISS), onde ficou famosa por ser a equipe que emitiu quase metade dos alertas de ataques e vulnerabilidades nos últimos cinco anos. A missão do X-Force é antecipar-se aos fatos ao identificar novas formas de invasões e atualizar os sistemas de segurança para detectar e bloquear esses ataques.
Um bom exemplo de como esses especialistas atuam aconteceu recentemente, com o surgimento de uma vulnerabilidade de altíssimo risco nos sistemas Windows, chamada de MS-RPC/DCOM. Alerta da Microsoft informava sobre a falha e explicava que um ataque poderia ocorrer via porta 135. Ao contrário de esperar que algum hacker criasse um programa de ataque explorando a vulnerabilidade e a partir dele assinaturas de detecção, o X-Force dedicou-se a estudar a vulnerabilidade e identificar de que maneiras ela poderia ser explorada.
Por meio de engenharia reversa, o laboratório de pesquisa mapeou, em um período de 24 horas, as formas possíveis de ataque, construindo uma assinatura que detecta qualquer tipo de ataque destinado a explorar a falha. Pouco tempo depois do primeiro alerta, a Microsoft revelou que as portas 139 e 445 também estariam vulneráveis, mas as assinaturas do X-Force já estavam prevendo isso, além de estimar duas formas que poderiam ser usadas por hackers para enganar sistemas IDS. Essas duas técnicas, ?RPC record fragging? e ?NamedPipes fragging? seriam utilizadas para ocultar o ataque e fazê-lo acontecer sem ser percebido pelos sistemas de segurança.
E qual o resultado de todo esse esforço? Sistemas de detecção de intrusos mais robustos e que podem detectar ataques, ainda sem serem lançados. No episódio do ataque conhecido como SQL Slammer a importância desse trabalho ficou bastante evidente. Apesar da invasão ter sido lançada na Internet entre os dias 24 e 25 de janeiro deste ano, o X-Force mapeou as técnicas de exploração de uma vulnerabilidade no Microsoft SQL Server já em novembro de 2002. Devido a isso, diversas empresas conseguiram ficar livres dos danos causados pelo ataque.
Ao contrário do que possa parecer, os especialistas do X-Force não são hackers ou ex-hackers, mas especialistas recrutados ainda na universidade. Adicionalmente, uma extensa investigação é realizada e o processo de recrutamento chega a durar alguns meses. Muitos têm a identidade omitida por executarem atividades de inteligência nos grupos e eventos hacker. Outros viajam o mundo conduzindo seminários em uma importante tarefa de conscientização e disseminação da informação.
Por ser o crime cibernético uma ação globalizada, o X-Force internacionalizou-se já faz algum tempo. Está espalhado pelas Américas, Europa e Ásia; e conta, inclusive, com especialistas brasileiros na equipe. No próximo mês falaremos sobre outro tema interessante e de muita curiosidade do público em geral: como funciona um sistema de detecção de intrusos e quais as técnicas utilizadas pelos sistemas mais modernos.
