Live IntraRede –Principais Ataques na Internet 30 de setembro de … · 2 days ago · Ter grupo...
Transcript of Live IntraRede –Principais Ataques na Internet 30 de setembro de … · 2 days ago · Ter grupo...
![Page 1: Live IntraRede –Principais Ataques na Internet 30 de setembro de … · 2 days ago · Ter grupo de resposta a incidentes de segurança em produto preparado para lidar com os problemas](https://reader033.fdocuments.net/reader033/viewer/2022051511/601fc2c69a02bf4f9630187a/html5/thumbnails/1.jpg)
Live Intra Rede – Principais Ataques na Internet30 de setembro de 2020
Evento Online
![Page 2: Live IntraRede –Principais Ataques na Internet 30 de setembro de … · 2 days ago · Ter grupo de resposta a incidentes de segurança em produto preparado para lidar com os problemas](https://reader033.fdocuments.net/reader033/viewer/2022051511/601fc2c69a02bf4f9630187a/html5/thumbnails/2.jpg)
Requisitos Mínimos de Segurança para Aquisição de CPE
LAC-BCOP-1 Lucimara Desiderá, M.Sc
Analista de Seguranç[email protected]
![Page 3: Live IntraRede –Principais Ataques na Internet 30 de setembro de … · 2 days ago · Ter grupo de resposta a incidentes de segurança em produto preparado para lidar com os problemas](https://reader033.fdocuments.net/reader033/viewer/2022051511/601fc2c69a02bf4f9630187a/html5/thumbnails/3.jpg)
Malware MiraiDispositivos Infectados
100k
300k
500k
700k
900k
1.1M
1.3M
1.5M
15/0
920
/09
30/0
9
21/1
0
27/1
101
/12
01/0
1
01/0
2
01/0
3
01/0
4
01/0
5
Dai
ly u
niqu
e IP
s ac
tive
ly s
cann
ing,
wit
h M
irai
sig
natu
re
Period: 2016-09-15--2017-05-20
Unique IPs infected with Mirai: World and LAC Region
WorldLAC Region
Fonte: CERT.br
27/11 – variante para CPE (caso Deutsche Telekom)
CPE (Customer PremiseEquipment ) é o equipamento u<lizado para conectar assinantes à rede de um Provedor de Serviços de Internet (ISP). Ex: modems, roteadores WiFi, etc.
![Page 4: Live IntraRede –Principais Ataques na Internet 30 de setembro de … · 2 days ago · Ter grupo de resposta a incidentes de segurança em produto preparado para lidar com os problemas](https://reader033.fdocuments.net/reader033/viewer/2022051511/601fc2c69a02bf4f9630187a/html5/thumbnails/4.jpg)
(In)Segurança em IoTSegurança é negligenciada- até mesmo em dispositivos de segurança!- é problema da equipe de segurança
Maioria dos fabricantes ainda repete velhos erros:- autenticação falha ou inexistente
• com senhas padrão comum, senhas hardcoded, contas ocultas (backdoors)- protocolos obsoletos, sem criptografia (ex: Telnet)- serviços desnecessários ativos por padrão
Poucos fabricantes possuem ciclo de vida de suporte/updates- mecanismo de bug report- distribuição de updates- políticas claras
![Page 5: Live IntraRede –Principais Ataques na Internet 30 de setembro de … · 2 days ago · Ter grupo de resposta a incidentes de segurança em produto preparado para lidar com os problemas](https://reader033.fdocuments.net/reader033/viewer/2022051511/601fc2c69a02bf4f9630187a/html5/thumbnails/5.jpg)
Por que se preocupar com Segurança de CPE?Impactos operacionais e de negócios para os provedores (ISPs):
Comprometimento da rede do provedor - Alguém está (ab)usando seus recursos para desferir ataques
Degradação ou indisponibilidade de serviços- Você pode perder clientes
Suporte técnico e trabalho de reparo- Você está perdendo dinheiro
Proteja a reputação do seu ISP- Clientes, parceiros e listas negras
É melhor prevenir do que remediar- Mitigar DDoS é muito custoso. É melhor evitar que o tráfego malicioso se propague.
![Page 6: Live IntraRede –Principais Ataques na Internet 30 de setembro de … · 2 days ago · Ter grupo de resposta a incidentes de segurança em produto preparado para lidar com os problemas](https://reader033.fdocuments.net/reader033/viewer/2022051511/601fc2c69a02bf4f9630187a/html5/thumbnails/6.jpg)
O que devemos demandar deDesenvolvedores/Fabricantes/IndústriaSegurança by design e by default- não opcional- considerar requisitos de segurança desde o início projeto- usar boas práticas de desenvolvimento seguro- configurações padrão de fábrica seguras - restritiva ao invés de permissiva- anti-spoofing
Updates e gerenciamento remoto- Deve ser possível e deve ser seguro (supply chain attacks)
Planejar para fazer updates em larga escalaTer grupo de resposta a incidentes de segurança em produto preparado para lidar com os problemas (PSIRT)è Maturity
![Page 7: Live IntraRede –Principais Ataques na Internet 30 de setembro de … · 2 days ago · Ter grupo de resposta a incidentes de segurança em produto preparado para lidar com os problemas](https://reader033.fdocuments.net/reader033/viewer/2022051511/601fc2c69a02bf4f9630187a/html5/thumbnails/7.jpg)
LACNOG Latin American and Caribbean Network Operators Group Department of Montevideo, Oriental Republic of Uruguay www.lacnog.net
M3AAWG Messaging, Malware and Mobile Anti-Abuse Working Group
781 Beach Street, Suite 302 San Francisco, California 94109 U.S.A. – www.m3aawg.org
LACNOG- M3AAWG 공동 작성
CPE(가입자 댁내장치) 최소 보안 요구사항에 대한 Best Current Operational Practices
LAC-BCOP-1
2019년 5월
이 문서는 LACNOG 웹사이트에서 다운로드 가능합니다. www.lacnog.net/docs/lac-bcop-1
이 문서는 M3AAWG 웹사이트에서 다운로드 가능합니다. www.m3aawg.org/CPESecurityBP
이G문서는GM3AAWG 웹사이트에서 다운로드 가능합니다. www.m3aawg.org/CPESecurityBP-Korean
이 문서는 LACNOG1 (Latin American and Caribbean Network Operators Group) 와 M3AAWG2
(Messaging, Malware and Mobile Anti-Abuse Working Group).가 공동으로 작성한 Best CurrentOperational Practices (BCOP)이다. 이는 LACNOG 워킹그룹 LAC-AAWG3 (Latin American andCaribbean Anti-Abuse Working Group) 와 BCOP Working Group4의 원본을 토대로 M3AAWG회원들과 Senior Technical Advisors, M3AAWG Technical Committee 의 협력에 의해 작성되었다.
차례
요약 ................................................................................................................................................. 21. 용어 설명 ..................................................................................................................................... 22. 일반적인 요구사항(General Requirements - GR) ................................................................. 33. 소프트웨어 보안 요구사항(Software Security Requirements - SSR) ................................ 44. 업데이트와 관리 요구사항(Update and Management Requirements - MR) ..................... 45. 기능 요구사항(Functional Requirements - FR) .................................................................... 56. 초기 설정 요구사항(Initial Configuration Requirements - IR) ........................................... 87. 판매자 요구사항(Vendor Requirements - VR) ...................................................................... 98. 약어 목록 ..................................................................................................................................... 99. 감사의 말 .................................................................................................................................... 910. 인용 정보 ................................................................................................................................... 10부록 1 - 요구사항 표 ...................................................................................................................... 12
1 The Latin American and Caribbean Network Operators Group (LACNOG), https://www.lacnog.net/ 2 Messaging, Malware and Mobile Anti-Abuse Working Group (M3AAWG), https://www.m3aawg.org/ 3 Latin American and Caribbean Anti-Abuse Working Group (LAC-AAWG), https://www.lacnog.net/lac-aawg/ 4 LACNOG BCOP Working Group, https://www.lacnog.net/wg-bcops/
Minimum Security Requirements for Customer Premises Equipment (CPE) AcquisitionRequisitos mínimos de segurança:- Um checklist de referência para aquisição de
equipamentos
Trabalho desenvolvido no LAC-AAWG – LatinAmerican and Caribbean Anti-Abuse Working Group- Editora: Lucimara, Chair LAC-AAWG / CERT.br
Publicação conjunta:- M3AAWG - Messaging, Malware and Mobile
Anti-Abuse Working Group- LACNOG - Latin American and Caribbean
Network Operators GroupDisponível em:Português, Inglês, Japonês e Koreanowww.m3aawg.org/CPESecurityBPwww.lacnog.net/docs/lac-bcop-1 www.m3aawg.org/CPESecurityBP-Portuguese
LACNOG Latin American and Caribbean Network Operators Group Department of Montevideo, Oriental Republic of Uruguay www.lacnog.net
M3AAWGMessaging, Malware and Mobile Anti-Abuse Working Group
781 Beach Street, Suite 302San Francisco, California 94109 U.S.A. – www.m3aawg.org
LACNOG-M3AAWG共同作業による顧客側通信機器 (CPE) が備えるべき最低限のセキュリティ要件についての
Best Current Operational PracticesLAC-BCOP-1
May 2019この文書の原文は LACNOGのWebサイト www.lacnog.net/docs/lac-bcop-1で入手できます
この文書の原文は M3AAWGのWebサイト www.m3aawg.org/CPESecurityBPで入手できます
この文書は LACNOG1 (Latin American and Caribbean Network Operators Group) と M3AAWG2 (Messaging, Malware and Mobile Anti-Abuse Working Group) によって作成された共同の Best Current Operational Practices (BCOP)である。LACNOGのワーキンググループである LAC-AAWG3 (Latin American and Caribbean Anti-Abuse Working Group) と BCOP Working Group4が作成
した草案をもとに M3AAWG会員と Senior Technical Advisor及び M3AAWG 技術委員会との協調作業によって作成された。
目次
エグゼクティブサマリ .....................................................................................................................21. 用語について ...............................................................................................................................32. 一般的要件 (General Requirements-GR)....................................................................................43. ソフトウェアのセキュリティについての要件 (Software Security Requirements-SSR) .........44. アップデートと管理についての要件 (Update and Management Requirements-MR)............55. 機能についての要件 (Functional Requirements-FR)................................................................66. 初期設定についての要件 (Initial Configuration Requirements-IR) .........................................87. ベンダーについての要件 (Vendor Requirements-VR)..............................................................98. 略語一覧 .....................................................................................................................................109. 謝辞 .............................................................................................................................................1010. 参考情報 .....................................................................................................................................11付録 1 – 要件の一覧表 .....................................................................................................................13
1 Latin American and Caribbean Network Operators Group (LACNOG), https://www.lacnog.net/2 Messaging, Malware and Mobile Anti-Abuse Working Group (M3AAWG), https://www.m3aawg.org/3 Latin American and Caribbean Anti-Abuse Working Group (LAC-AAWG), https://www.lacnog.net/lac-aawg/ 4 LACNOG BCOP Working Group, https://www.lacnog.net/wg-bcops/
LACNOG Latin American and Caribbean Network Operators Group Department of Montevideo, Oriental Republic of Uruguay www.lacnog.net
M3AAWG Messaging, Malware and Mobile Anti-Abuse Working Group
781 Beach Street, Suite 302 San Francisco, California 94109 U.S.A. – www.m3aawg.org
LACNOG-M3AAWG Joint Best Current Operational Practices on Minimum Security Requirements
for Customer Premises Equipment (CPE) Acquisition LAC-BCOP-1
May 2019 This document is available on the LACNOG website at www.lacnog.net/docs/lac-bcop-1
This document is available on the M3AAWG website at www.m3aawg.org/CPESecurityBP
This is a joint Best Current Operational Practices (BCOP) document developed by LACNOG1 (Latin American and Caribbean Network Operators Group) and M3AAWG2 (Messaging, Malware and Mobile Anti-Abuse Working Group). It is the product of LACNOG's original drafts by its working groups LAC-AAWG3 (Latin American and Caribbean Anti-Abuse Working Group) and BCOP Working Group4, in cooperation with M3AAWG members, Senior Technical Advisors and the M3AAWG Technical Committee.
Table of Contents
Executive Summary .......................................................................................................................... 21. Terminology ................................................................................................................................ 22. General Requirements (GR) ....................................................................................................... 33. Software Security Requirements (SSR) ....................................................................................... 44. Update and Management Requirements (MR) .......................................................................... 45. Functional Requirements (FR) ................................................................................................... 56. Initial Configuration Requirements (IR) .................................................................................... 77. Vendor Requirements (VR) ........................................................................................................ 88. List of Acronyms ......................................................................................................................... 89. Acknowledgements ..................................................................................................................... 810. Informative References ............................................................................................................... 9Annex 1 - Table of Requirements .................................................................................................... 11
�7KH�/DWLQ�$PHULFDQ�DQG�&DULEEHDQ�1HWZRUN�2SHUDWRUV�*URXS��/$&12*���KWWSV���ZZZ�ODFQRJ�QHW���0HVVDJLQJ��0DOZDUH�DQG�0RELOH�$QWL�$EXVH�:RUNLQJ�*URXS��0�$$:*���KWWSV���ZZZ�P�DDZJ�RUJ��/DWLQ�$PHULFDQ�DQG�&DULEEHDQ�$QWL�$EXVH�:RUNLQJ�*URXS��/$&�$$:*���KWWSV���ZZZ�ODFQRJ�QHW�ODF�DDZJ���/$&12*�%&23�:RUNLQJ�*URXS��KWWSV���ZZZ�ODFQRJ�QHW�ZJ�EFRSV�
LACNOG Grupo de Operadores de Redes da América Latina e o Caribe Departamento de Montevidéu, República Oriental do Uruguai www.lacnog.net
M3AAWG Messaging, Malware and Mobile Anti-Abuse Working Group
781 Beach Street, Suite 302 San Francisco, California 94109 U.S.A. – www.m3aawg.org
Documento conjunto LACNOG-M3AAWG:
Melhores Práticas Operacionais Atuais sobre Requisitos Mínimos de Segurança para
Aquisição de Equipamentos para Conexão de Assinante (CPE) LAC-BCOP-1
Maio 2019 Este documento está disponível no site do LACNOG em www.lacnog.net/docs/lac-bcop-1
Este documento está disponível no site do M3AAWG em www.m3aawg.org/CPESecurityBP-Portuguese
A versão original em Inglês está disponível no site do M3AAWG em www.m3aawg.org/CPESecurityBP
Este é um documento conjunto de Melhores Práticas Operacionais Atuais (Best Current Operational Practices, BCOP) desenvolvido pelo LACNOG1 (Grupo de Operadores de Redes da América Latina e o Caribe) e pelo M3AAWG2 (Messaging, Malware and Mobile Anti-Abuse Working Group). É o produto das versões originais do LACNOG por seus grupos de trabalho LAC-AAWG3 (Grupo de Trabalho Antiabuso da América Latina e o Caribe) e Grupo de Trabalho BCOP4, em cooperação com membros do M3AAWG, Assessores Técnicos Sêniores e o Comitê Técnico do M3AAWG.
Índice
Sumário Executivo ....................................................................................................................... 2 1. Terminologia .......................................................................................................................... 2 2. Requisitos Gerais (General Requirements – GR) .................................................................... 3 3. Requisitos de Segurança de Software (Software Security Requirements – SSR) ...................... 4 4. Requisitos de Atualização e Gerenciamento (Update and Management Requirements – MR) 4 5. Requisitos Funcionais (Functional Requirements – FR)......................................................... 5 6. Requisitos de Configuração Initial (Initial Configuration Requirements – IR) ....................... 7 7. Requisitos do Fornecedor (Vendor Requirements – VR) ........................................................ 8 8. Lista de Acrônimos ................................................................................................................. 8 9. Agradecimentos ...................................................................................................................... 9 10. Referências Informativas ........................................................................................................ 9 Anexo 1 – Tabela de Requisitos ................................................................................................... 11
1 Grupo de Operadores de Redes da América Latina e o Caribe (LACNOG), https://www.lacnog.net/ 2 Messaging, Malware and Mobile Anti-Abuse Working Group (M3AAWG), https://www.m3aawg.org/ 3 Grupo de Trabalho Antiabuso da América Latina e o Caribe (LAC-AAWG), https://www.lacnog.net/lac-aawg/ 4 Grupo de trabalho BCOP, https://www.lacnog.net/wg-bcops/