[Segurança] Phishing do dia

Segue um e-mail de "Phishing scam" que recebi hj, que nada mais é do que um afalsa mensagem se fazendo passar como se tivesse vindo do Ponto Frio, e que instiga o usuário a clicar em um link, que em vez de levar para o site da loja, o faz abrir em uma página "nada a ver" (no caso, http://www.freewillies.com/pontofrio.com/boletocobranca.php)

[Segurança] Top 75 Security Tools

Vale a pena sempre visitar esta lista do Insecure.org para conferir as novidades e rever as ferramentas que todos nós devemos conhecer:

http://www.insecure.org/tools.html

(eu mesmo acabei de abaixar o ministumbler)

Nerd Test

[Segurança] Senhas de acesso a roteadores Cisco

Por default, há dois níveis de controle de autorização de acesso em roteadores CISCO, cada um com autenticação distinta:

• Level 1: corresponde ao acesso ready-only ("user mode")
  
• Level 15: acesso privilegiado, ou read/write ("privileged mode")
  

É necessário ter acesso primeiro como "user mode" para, a seguir, obter acesso privilegiado (o famoso comando enable).

Para configurar a senha de acesso ao equipamento (user mode), deve-se:

• Entrar no modo de configuração (comando config terminal - ou, por exemplo, conf t para os mais íntimos)
  
• Especificar se vai definir a senha para acesso via console (comando line console 0) ou pelas portas AUX ou VTY (o comando ficaria, por exemplo, line AUX 0)
  
• Habilitar o login com o comando logins
  
• Definir a senha com o comando password
  

O acesso privilegiado pode ser definido aptravés de dois comandos: o "enable password" ou o "enable secret".

Por questões de segurança, é altamente recomendável que a senha de acesso privilegiado seja gravada com o comando "enable secret", pois desta forma ela será exibida encriptada, ao se visualizar a configuração do equipamento.

O comando "enable secret" tem precedência sobre o "enable passord". Desta forma, se ambos estiverem presentes, o sistema irá somente considerar a senha definida no comando "enable secret".

Todas as senhas definidas no equipamento são armazenadas em "clear text", exceto quando utilizado o comando "enable secret".

Uma forma de evitar que suas senhas sejam vistas por qualquer pessoa que tenha acesso a uma cópia da configuração de seu roteador CISCO, é utilizar o comando "service password-encryption". Isto fará com que todas as senhas apareçam encriptadas (utlizando a velha cifra de Vigenére) no comando "show run".

Ah, outra boa opção é utilizar um servidor de autenticação externo (ex: TACACS) para definir quais usuários/senhas terão acesso ao equipamento. E, claro, configurar o acesso remoto para ser feito via SSH, e não Telnet.

Fonte: Extraído do livro "Hardening Cisco Routers" (O'Reilly)

Read EFF's Legal Guide for Bloggers

[site] material online s/ Telefonia IP

IP Telephony Cookbook
http://www.informatik.uni-bremen.de/~prelle/terena/cookbook/main/

[Segurança] Material legal - OWASP

Esta é uma dica legal que foi enviada pelo Augusto Paes de Barros, na lista CISSP-BR:

Saiu uma primeira versão "beta" do guia OWASP 2.0. (Open Web Application Security Project)

P/ quem não sabe, o OWASP é um projeto aberto e sem fins lucrativos para promover a segurança de aplicações Web. Entre várias iniciativas eles produzem um guia, cuja versão 2.0 está saindo do forno. O material é de primeiríssima qualidade, fazia um bom tempo que eu não folheava algo tão rico em e bem fundamentado em termos de segurança. P/ o pessoal que está estudando para a prova, é uma boa fonte para Application Security, vale a pena incluir na lista de material de estudo.

O site do projeto é http://www.owasp.org

A nova versão do guia pode ser baixada de
http://sourceforge.net/project/showfiles.php?group_id=64424&package_id=62287&release_id=333866

[fun]

Segue uma pequena foto da Boopie, que eu deixo de tela de fundo em meu celular :o)

Frase do dia

Dito por um dos palestrantes no "2o. fórum de gestão integrada de TI" (evento da CA, hoje de manhã): "Deus fez o mundo em 7 dias porque Ele não tinha ambiente legado".

[Segurança] Ferramenta: Microsoft Security Risk Self-Assessment

Hoje brinquei um pouco com a ferramenta de auto-avaliação de riscos de segurança da M$: Microsoft Security Risk Self-Assessment Tool (MSRSATv1-6-1-1.zip encontrado em (http://www.securityguidance.com/).

Deve-se ter instalado o .net framework antes de instalar ela.

A ferramenta, em si, é fácil de usar: são várias perguntas (cerca de 10 a 15) de múltipla resposta sobre a (sua) empresa, na tela de "Business Profile", depois em quatro áreas de análise: "Infrastructure", "Applications", "Operations" e "People".

Ao final, a ferramenta gera um pequeno gráfico de resultado (de 0 a 100 para cada uma das 4 áreas acima).


(exemplo com respostas ficitícias)

Bem fácil de usar.

Ferramenta muito útil para fazer uma auto-avaliação (macro) dos riscos da empresa.

Ah, eu usei ele em inglês, mas existe a opção de utilizar em português (na instalação).

Site interessante (Segurança)

Achei mais um portal sobre segurança - este está em língua portuguesa (não-Brasil), e gostei da diagramação dele:

http://www.xsecurity.ws/portal/index.php