[Snort-devel] Snort 2.9.2.1 Now Available

Snort 2.9.2.1 is now available on snort.org, at
http://www.snort.org/snort-downloads/ in the Latest Release section.

2.9.0 RC & later packages are signed with a new PGP key
(that is signed with the previous key).

Snort 2.9.2.1 includes the following updates and improvements:
  * Added new alerts for HTTP (undefined methods & HTTP 0.9 simple
    requests).

  * Updates to Stream preprocessor in TCP session tracking to avoid
    re-queuing retransmitted data that was already flushed.  Also
    various tweaks for PAF flushing.

  * Updates to reputation preprocessor to handle shared memory
    switching.

  * Updates to the SCADA preprocessors in their handling of PAF
    flushing and Modbus request/response length checking.  Also tweaks
    in alerts for reserved DNP3 functions.

  * Updates to flowbit groups to always use the group when some rules
    refer to a flow group while others do not refer to a group for the
    same flowbit.

  * Updates to GTP preprocessor to check invalid extension header
    length for GTPv1.

  * Updates to sfrt library, used in reputation preprocessor and target
    based configuration, when calculating memory allocated and support
    for IPv6.

Please see the Release Notes and ChangeLog for more details.

Please submit bugs, questions, and feedback to bugs@snort.org.

Happy Snorting!
The Snort Release Team

[Emerging-Sigs] Suricata 1.2 Available!

The OISF development team is proud to announce Suricata 1.2. This release brings HTTP file inspection and extraction and a whole lot more.

Get the new release here:
http://www.openinfosecfoundation.org/download/suricata-1.2.tar.gz

The configuration file has evolved but backward compatibility is provided. We thus encourage you to update your suricata configuration file. Upgrade guidance is provided here:
https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Upgrading_Suricata_11_to_Suricata_12

New features

- file name, type inspection and extraction for HTTP
- filename, fileext, filemagic and filestore keywords added
- "file" output for storing extracted files to disk
- file_data keyword support, inspecting normalized, dechunked, decompressed HTTP response body (feature #241)
- new keyword http_server_body, pcre regex /S option
- option to enable/disable core dumping from the suricata.yaml (enabled by default)
- human readable size limit settings in suricata.yaml (bug #333)
- PF_RING bpf support (required PF_RING >= 5.2) (feature #334)
- tos keyword support (feature #364)
- IPFW IPS mode does now support multiple divert sockets
- new IPS running modes, Linux and FreeBSD do now support "worker" and "autofp"
- app-layer-events keyword: similar to the decoder-events and stream-events, this will allow matching on HTTP and SMTP events
- auto detection of checksum offloading per interface (#311)
- urilen options to match on raw or normalised URI (#341)
- flow keyword option "only_stream" and "no_stream"
- unixsock output options for all outputs except unified2 (PoC python script in the qa/ dir) (#250)
- http_header and http_raw_header now also inspect HTTP response headers (#389, #397)

Improvements

- general performance improvements
- improved alert accuracy in autofp and single runmodes
- major performance optimizations for the ac-gfbs pattern matcher implementation
- unified2 output fixes
- PF_RING supports privilege dropping now (bug #367)
- improved detection of duplicate signatures
- improved performance in virtual machines (bug #382)
- PCRE-JIT is now enabled by default if available (#356)
- flowbits and flowints are now modified in a post-match action list
- bundled libhtp updated to 0.2.7
- fixed parsing really high sid numbers >2 Billion (#393)
- fixed ICMPv6 not matching in IP-only sigs (#363)

Fixes since 1.2rc1

- improved Windows/CYGWIN path handling (#387)
- fixed some issues with passing an interface or ip address with -i
- make live worker runmode threads adhere to the 'detect' cpu affinity settings

Known issues & missing features

If you encounter issues, please let us know! As always, we are doing our best to make you aware of continuing development and items within the engine that are not yet complete or optimal.  With this in mind, please notice the list we have included of known items we are working on.

See http://redmine.openinfosecfoundation.org/projects/suricata/issues for an up to date list and to report new issues.

See http://redmine.openinfosecfoundation.org/projects/suricata/wiki/Known_issues
for a discussion and time line for the major issues.


Happy Detection!

Rodrigo Montoro

Paper interessante Analise Estatica de Malwares (Ingles)

Paper básico mas bem legal no Exploit-DB "Malware Reverse Engineering part1 of 2. Static analysis"

Table of Contents

1. Scope
2. Investigation goals
3. Malware samples analyzed
4 Malware analysis methodology, software, and secure lab setup .
5. General function and functionality of the malware
6. Behavioral patterns of the malware and local system interaction
7. Files and registry keys created, modified and accessed
8. Network behavior (including hosts, domains and ip’s accessed)
9. Time and local system dependant features
10. Method and means of communication
11. Original infection vector and propogation methodology
12. Use of encryption for storage, delivery and or communication
13. Use of self modifying/replicating or encrypted code
14. Any information concerning development of malware (compiler type, packer used, country of origin, author, names/handles, etc
15. Key questions and answers

Para baixá-lo:

http://www.exploit-db.com/download_pdf/18387

Happy Detection!

Rodrigo Montoro

Serie Snortando - Usando e Entendendo o Snort

Caros,

Iniciarei uma série que chamarei de "Snortando". Minha idéia aqui é semanalmente fazer um post sobre funcionalidades do snort no geral . Entre os assuntos abordarei bastante coisa de pre-processadores (logicamente 1 pre-processador por post visto que a ideia é explicar para o bom uso) entre outras funções:

• dcerpc2
• decode
• decoder_preproc_rules
• dnp3
• dns
• filters
• flowbits
• frag3
• ftptelnet
• gre
• GTP
• http_inspect
• imap
• ipip
• ipv6
• modbus
• multipleconfigs
• normalize
• PerfProfiling
• pop
• ppm
• reload
• reputation
• rzb_saac
• sensitive_data
• sfportscan
• sip
• SMTP
• ssh
• ssl
• stream5

Também postarei sobre criação de regras, explicação snort.conf , dicas de instalação e deploy, ferramentas para testes dos pre-processadores , teste de performance de regras, dicas gerais entre outras coisas/idéias que surgirem durante o ano.

Em paralelo a isso também lançaremos via EaD da Dynsec treinamento de análise de pacotes, snort básico, snort avançado e criação de regras .

Acompanhe a nova serie "Snortando". Caso tenha alguma sugestão entre em contato. Possivelmente junto com o primeiro post tentarei colocar uma mini-agenda .

Quem sabe no final não temos um mini howto em pt_BR =)

Em paralelo continuarei postando sobre Deteção de Intrusos e Malwares no geral também .

Happy Snorting!

Rodrigo "Sp0oKeR" Montoro

CAIS-Alerta: resumo dos Boletins de Segurança Microsoft - Jan/2012

-----BEGIN PGP SIGNED MESSAGE-----

Prezados,

A Microsoft publicou 7 boletins de segurança em 11 de janeiro que abordam
ao todo 8 vulnerabilidades em produtos da empresa. A exploração destas
vulnerabilidades permitem execução remota de código, desvio de recurso de
segurança, elevação de privilégio e divulgação não autorizada de
informação.

SEVERIDADE

. Crítica

 - MS12-004 - Vulnerabilidades no Windows Media podem permitir a execução
             remota de código


. Importante

 - MS12-001 - Vulnerabilidade no kernel do Windows pode permitir o desvio
             do recurso de segurança

 - MS12-002 - Vulnerabilidade no Windows Object Packager pode permitir a
             execução remota de código

 - MS12-003 - Vulnerabilidade no Windows Client/Server Run-time Subsystem
             pode permitir elevação de privilégio

 - MS12-005 - Vulnerabilidade no Microsoft Windows pode permitir a
             execução remota de código

 - MS12-006 - Vulnerabilidade no SSL/TLS pode permitir divulgação não
             autorizada de informações

 - MS12-007 - Vulnerabilidade na AntiXSS pode permitir a divulgação não
             autorizada de informações


. Moderada

 - Nenhum boletim


. Baixa

 - Nenhum boletim


O sistema de classificação de severidade das vulnerabilidades adotado pelo
CAIS neste resumo é o da própria Microsoft. O CAIS recomenda que se
aplique, minimamente, as correções para vulnerabilidades classificadas
como crítica e importante. No caso de correções para vulnerabilidades
classificadas como moderadas o CAIS recomenda que ao menos as
recomendações de mitigação sejam seguidas.

. Crítica - Vulnerabilidades cuja exploração possa permitir a propagação
 de um worm sem a necessidade de interação com o usuário.

. Importante - Vulnerabilidades cuja exploração possa resultar no
 comprometimento de confidencialidade, integridade ou disponibilidade
 de dados de usuários ou a integridade ou disponibilidade de recursos
 de processamento.

. Moderada - exploração é mitigada significativamente por fatores como
 configuração padrão, auditoria ou dificuldade de exploração.

. Baixa - uma vulnerabilidade cuja exploração seja extremamente difícil
 ou cujo impacto seja mínimo.


CORREÇÕES DISPONÍVEIS

Recomenda-se atualizar os sistemas para as versões disponíveis em:

. Microsoft Update
 https://www.update.microsoft.com/microsoftupdate/

. Windows Server Update Services
 http://www.microsoft.com/windowsserversystem/updateservices/default.mspx


MAIS INFORMAÇÕES

. Resumo do Boletim de Segurança da Microsoft de janeiro 2012
 http://www.microsoft.com/technet/security/bulletin/ms12-jan

. Microsoft TechCenter de Segurança
 http://technet.microsoft.com/pt-br/security/

. Microsoft Security Response Center - MSRC
 http://www.microsoft.com/security/msrc/

. Microsoft Security Research&Defense - MSRD
 http://blogs.technet.com/srd/

. Segurança Microsoft
 http://www.microsoft.com/brasil/security/

. MS12-001 - Vulnerabilidade no kernel do Windows pode permitir o desvio
            do recurso de segurança
 http://technet.microsoft.com/en-us/security/bulletin/ms12-001

. MS12-002 - Vulnerabilidade no Windows Object Packager pode permitir a
            execução remota de código
 http://technet.microsoft.com/en-us/security/bulletin/ms12-002

. MS12-003 - Vulnerabilidade no Windows Client/Server Run-time Subsystem
            pode permitir elevação de privilégio
 http://technet.microsoft.com/en-us/security/bulletin/ms12-003

. MS12-004 - Vulnerabilidades no Windows Media podem permitir a execução
            remota de código
 http://technet.microsoft.com/en-us/security/bulletin/ms12-004

. MS12-005 - Vulnerabilidade no Microsoft Windows pode permitir a execução
            remota de código
 http://technet.microsoft.com/en-us/security/bulletin/ms12-005

. MS12-006 - Vulnerabilidade no SSL/TLS pode permitir divulgação não
            autorizada de informações
 http://technet.microsoft.com/en-us/security/bulletin/ms12-006

. MS12-007 - Vulnerabilidade na AntiXSS pode permitir a divulgação não
            autorizada de informações
 http://technet.microsoft.com/en-us/security/bulletin/ms12-007



Identificador CVE (http://cve.mitre.org):

CVE-2011-3389, CVE-2012-0001, CVE-2012-0009, CVE-2012-0005,
CVE-2012-0003, CVE-2012-0004, CVE-2012-0013, CVE-2012-0007

O CAIS recomenda que os administradores mantenham seus sistemas e
aplicativos sempre atualizados, de acordo com as últimas versões e
correções oferecidas pelos fabricantes.

Os Alertas do CAIS também são oferecidos no formato RSS/RDF e no Twitter:
http://www.rnp.br/cais/alertas/rss.xml
Siga @caisrnp


Atenciosamente,
Equipe do CAIS/RNP

##############################

##################################
#   CENTRO DE ATENDIMENTO A INCIDENTES DE SEGURANCA (CAIS)     #
#       Rede Nacional de Ensino e Pesquisa (RNP)               #
#                                                              #
# cais@cais.rnp.br       http://www.cais.rnp.br                #
# Tel. 019-37873300      Fax. 019-37873301                     #
# Chave PGP disponivel   http://www.rnp.br/cais/cais-pgp.key   #
################################################################

De volta ao blog .... 2012 novo ano =)

Caros,

Fiquei um tempo sumido do blog mas agora voltarei a postar regularmente por aqui com dicas, pesquisas e assuntos relacionados a segurança.

Se tiverem assuntos que acham interessante fiquem a vontade para sugerir, se for do meu conhecimento terei prazer em publicar algo.

Logo mais posts a caminho.

Happy Intrusion Detection!

Rodrigo "Sp0oKeR" Montoro

Silver Bullet - Novo Evento de Segurança em São Paulo

A grade parcial das palestras do Silver Bullet já está no ar. Confira os detalhes dos palestrantes abaixo no link http://www.sbconference.com.br/noticias

- Henrique Takaki – Membro do Advisory Board do PCI Council
- Nelson Novaes Neto – CSO Uol Diveo
- Anderson Ramos - FLIPSIDE Smart Content Provider, Senior Lead
Instructor do (ISC)2
- Nelson Murilo - Profissonal de segurança de instituição financeira e
co-fundador da STS Produções
- Chris Nickerson - CEO of LARES
- Dr. Renato Opice Blum – Opice Blum Advogados
- Fioravante Souza - Coordenador do laboratório regional da Trend
Micro para a América Latina e fundador do projeto Beer Hacking
- Wendel Guglielmetti Henrique - Security Consultant at Trustwave's SpiderLabs
- Eduardo Neves – Consultor de Risk Management e membro do Owasp
Global Education Committee
- Suzely Espadoni - Instituto Nacional do Seguro Social – INSS
- Fosforo - Consultor Independente
- Rodrigo "Sp0oKeR" Montoro - Spiderlabs, Brazilian Snort Communirty
- Marcelo Carvalho, CISSP, CISA, CRISC
- Anchises Moraes de Paula - Idefense
- Rodrigo Antão - Techbiz
- Joaquim Espinhara - Cipher
- Derneval Cunha - Barata Elétrica
- Alberto Fabiano - Quanta Tecnologia
- Ronaldo Vasconcellos - Dragon Research Group (DRG)
- Altieres Rohr - Linha Defensiva



Estarei lá palestrando sobre HTTP Header Hunter , uma nova maneira de detectar tráfego malicioso baseado nos cabeçalhos do protocolo HTTP .

Siga-nos no Twitter: @silverbulletcon


Vai perder ? Nos vemos por lá! =)

Para se inscrever: http://sbconference.com.br/inscricoes

Happy Hacking!

Rodrigo Montoro