Windows Vista. Chema Alonso MVP Windows Security

Transcripción

1 Windows Vista Chema Alonso MVP Windows Security

2

3 Chema Alonso

4 Maligno

5

6

7 josemaricariño

8

9

10

11

12 Comunidad

13 Making Friends l

14 Making Friends

15 Making Friends

16 Agenda Entorno El mundo de las amenazas Malware Clasificación Como ayuda Vista Visión n Tecnológica En profundidad Protección n de la memoria Integridad de Sistemas en 64-bit Filtro Antiphising -IE7 UAC Windows Defender

17 ntorno del Software Malintencionado

18 Espectro de Malware Inofensivo Potencialmente No requerido Adware, spyware,, Software de monitorización n o de control remoto Malicioso Viruses,, gusanos, Troyanos, rootkits, bots

19 Que es el Spyware? Ninguno Función Descripción Ejemplos Inocuo Anuncios Sin amenazas potenciales Muestra anuncios + Notepad + Software Ad-supported Pop-ups no autorizados Daño o potencial Colección n de datos Cambios de configuración Monitorización Marcado Uso de recursos Recoge información personal Marca automáticamente ticamente Usa recursos de forma remota + Barra de busqueda Recolector de datos Spyware y Software + Utilidades no deseado: de configuración Cambia opciones del Aplicaciones que llevan Secuestro a cabo del Navegador ciertas sistema funciones sin el apropiado + Control Parental control y Guarda lo que tecleas consentimiento Key-loggers del usuario. + ISP software Porn dialer + Aplicaciones en background Puertas traseras Extremo Actividad maliciosa Claramente malicioso (virus, gusano, troyano) Sasser

20 Espectro de Malware Inofensivo Potencialmente no requerido Windows Defender Malicioso Windows Malicious Software Removal Tool

21 El mundo de las amenazas Amenaza Violación n de la Integridad del sistema Violación n de la integridad de los Datos / Disclosure Phishing Spam Malware Ejemplo de Mitigación(es n(es) Autenticación n de Windows Contraseñas Fuertes PatchGuard (Vista x64) User Account Control (Vista) ASLR (Vista) / DEP Cifrado de Ficheros Bitlocker (Vista) DRM Filtro Antiphishing (IE 7) Antispam en Outlook / Exchange Prevención, n, detección n y eliminación n de malware

22 Malware Existen muchas formas de malware Software Malicioso (Worm( / virus / Troyanos) Software NO deseado (spyware( / adware) Comportamiento o modo de actuación Vector de Replicación n ( ( / P2P / IM / network) Exploit de una vulnerabilidad de software Ingenieria Social Backdoor Robo de contraseñas Polymorfico Rootkit Payload ( borrado de disco duro, documentos, flash BIOS, etc.) El modo de implementarlo depende de la motivación n del autor Existen varias fuentes de código c para malware Los atacantes hacen pruebas frente a los productos de seguridad

23 Historia de Microsoft 1992: Fundación n de GeCAD Junio 2003: Microsoft adquiere los derechos de PI de GeCAD Enero 2004: Herramientas de limpieza para ayudar con los ataques de virus Deciembre 2004 : Adquisición n de la compañí ñía a de software Giant Enero 2005: Lanzamiento del Malicious Software Removal Tool Enero 2005: Lanzamiento de Windows Antispyware (Beta 1) Febrero 2006: Lanzamiento de Windows Defender (Beta 2)

24 Número de dias transcurridos entre la publicación del update de seguridad y el impacto del virus 502 Win32 Linux/Unix ombre l Virus Slammer BugBear Slapper Ramen Klez Lion Scalper Nimda CodeRed Blaster

25 Malicious Software Removal Tool Objetivos Reducir el Impacto del malware en usuarios Windows Entender las tendencias del malware Distribución Windows Update Centro de Descargas Sitio Web Reporte disponible públicamentep :// yid=47ddcfa9 =47DDCFA9-645D EDA-92CDE33E99A992CDE33E99A9

26 Actividad de MSRT billones de ejecuciones 270 millones de equipos

27 Resultados MSRT 16 (millions) 5,7 Resultado Acumulado Infecciones desde Enero '05 Equipos desde Junio '05 16 millones de infecciones 5.7 millones de equipos infectados 1 infección n cada 311

28 Reducción del Impacto 25-49%; %; 12 Incremento; 3 Decremento; %; %; 25

29 Entender las tendencias Tipo de Malware (miles de equipos) Instant Messaging Worm Virus Exploit Worm P2P Worm Rootkit Mass Mailing Worm Backdoor Trojans Troyanos de puerta trasera son la amenaza mas significante y mas creciente Los Rootkits son una amenaza emergente

30 Como ayuda Vista Contra el Malware.. Prevención Aislamiento Remedios

31 Prevención Amenaza Vulnerabilidad de Software Ingeniería a Social Vulnerabilidad de la Política Tecnología a en Vista Ciclo de desarrollo seguro Actualizaciones Automáticas ticas Windows Firewall/IPSec Data Execution Protection Address Space Layout Randomization User Account Control Windows Defender Contraseña a de Administrador en Blanco Firma de drivers en 64 bit Política de Firewall por Red

32 Aislamiento Amenaza Tecnología a en Vista Comportamiento del Sistema Integridad de Sistemas de 64-bit Recursos del Sistema Fortificación n de Servicios Firewall Bidireccional IE Protected Mode Configuración n del Sistema User Account Control Windows Defender

33 Remedios Amenaza Estado de la Seguridad Tecnología a en Vista Centro de Seguridad de Windows Limpieza de Spyware Windows Defender Limpieza de Virus Windows Malicious Software Removal Tool

34 Protección de la Memoria Data Execution Protection Address Space Layout Randomization Stack Locals Return Address Parameters Code Windows Code LoadLibrary() DEP ASLR Previous Frames Library Code Application Code

35 Integridad de Sistemas de 64 bit Application CreateFile() Kernel32.dll CreateFileW() Interrupt Dispatch Table Global Descriptor Table System Service Dispatch Table ntdll.dll ZwCreateFile() Interrupt Dispatch Table System Service Dispatch Table 2E NtCreateFile()

36 Cambio fundamental en la operativa de Windows Hace que el sistema funcione bien como un usuario estándar Proporciona un método m seguro para ejecutar aplicaciones en un contexto elevado Requiere marcar las aplicaciones que no sean UAC Deja claro las acciones que tienen un impacto en todo el equipo Virtualización del registro y ficheros para proporcionar compatibilidad. Escrituras en el registro de la maquina son redirigidas a localizaciones de usuario si el usuario no tiene privilegios administrativos Efectivamente: cuentas estándar pueden ejecutar aplicaciones que necesitan cuentas de administración n de manera segura.

37 Protección n de cuentas Usuario UAC (User( Account Control) Nos ayuda a implementar el principio de menor privilegio de dos maneras distintas: 1. El usuario no necesita tener privilegios administrativos para realizar ciertas tareas para las que se necesitas esos privilegios En cambio: Se le pregunta al usuario por credenciales con mas privilegios 2. Aunque el usuario tenga privilegios superiores( Ejem.. un administrador), se le pregunta al usuario por su consentimiento antes de que esos derechos sean ejercitados No se necesita volver a proporcionar las credenciales, solo se necesita el consentimiento Leer: ww.microsoft.com/technet technet/windowsvista/evaluate/feat/uaprot.mspx

38 Internet Explorer 7 Además s de ser compatible con UAC, incluirá: Modo Protegido que solo permite a IE navegar sin mas permisos, aunque el usuario los tenga. Ejem.. Instalar software Modo de Solo-lectura,, excepto para los ficheros temporales de Internet cuando el navegador esta en Zona de seguridad de Internet Filtro contra Phising que actualiza Microsoft cada poco tiempo y usa una red global de fuentes de datos ActiveX Opt-in, da al usuario el control de los controles Activex Todos los datos de cache se eliminan con un solo click

39 MIC & UIPI Mandatory Integrity Control (MIC). Una aplicación no puede acceder a datos que tengan un Nivel de integridad superior al suyo. Niveles de Integridad: Bajo, Medo, Alto y de Sistema Los objetos con ACL tienen una nueva entrada ACE donde se les asigna un nivel de Integridad A cada proceso se le asigna un Nivel de Integridad en su testigo de acceso User Interfacer Privilege Isolation (UIPI) Bloquea el acceso de procesos con Nivel de Integridad inferior a procesos con Nivel de Integridad superior.

40 Filtro anti-phishing Protección n dinámica contra Webs Fraudulentas Realiza 3 chequeos para proteger al usuario de posibles timos: 1. Compara el Sitio Web con la lista local de sitios legítimos conocidos 2. Escanea el sitio Web para conseguir características comunes a los sitios con Phising 3. Cheque el sitio con el servicio online que tiene Microsoft sobre sitios reportados que se actualiza varias veces cada hora Dos niveles de Aviso y protección n en la barra de estado de IE7 Level 1: Warn Suspicious Website Signaled Level 2: Block Confirmed Phishing Site Signaled and Blocked

41 Windows Defender Monitorización Detección Limpieza Software Explorer SpyNet

42 Monitorización Automatic Startup Entry Points (ASEPs) Configuración n del Sistema Internet Explorer Configuracion Add-ons Descargas Servicios y Drivers Ejecución n de Aplicaciones Registro de Aplicaciónes Windows Add-ons

43 Detección Motores compartidos Formatos de ficheros Contenedores (zip( zip, rar, etc) Empaquetadores de Ficheros (upx( upx, aspack) Muchos formatos estándar Metodos de Detección Hash simple de fichero( MD5, SHA1, CRC) Multi-CRC Firmas de Rootkits en modo usuario Detección n genérica Emulación Heurística

44 Limpieza Scripting language Claves del registro Ficheros Modificación del fichero Host

45 Software Explorer En ejecución Programas de Inicio Servicios Drivers

46 SpyNet Ayuda a priorizar la creación n de firmas Se envía a información Información n del fichero Engine / signature versions Voting data Información Demografica Cifrado de datos Basico vs Avanzado PII Opcional

47 2006 Microsoft Corporation. All rights reserved. Microsoft, Windows, Windows Vista and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.