[segurança] Um artigo interessante sobre Carreira em Segurança

Foi publicado recentemente, no número 10 da revista Insecure Magazine, um artigo muito interessante sobre a carreira em segurança chamado "Climbing the security career mountain: how to get more than just a job".

Este artigo complementa muito o que já foi publicado sobre a carreira do profissional do SI (em especial, veja o artigo do Eduardo Neves e meu post aqui). Eu gostei muito da forma como ele descreve a "Montanha de Segurança", isto é, como ele posiciona o crescimento dentro da carreira.

Em tempo, todos os números desta revista estão disponíveis para download gratuitamente: um material de excelente qualidade, muito conteúdo e muito bem acabado.

[Segurança] Artigo sobre a aplicação da pirâmide de Maslow no BCP

O grande amigo e excelente profissional Fernando Fonseca disponibilixou em seu blog o artigo que escreveu entitulado "Aplicando a pirâmide de Maslow ao Business Continuity Plan". Para nosso orgulho, ele teve seu artigo publicado na edição de Maio da revista ISSA Journal.

A idéia dele foi bastante original: apresentar como um plano de continuidade de negócios deve se preocupar com o fator humano de sua equipe, com base nas necessidades mais básicas do ser humano (necessidades fisiológicas e de segurança). No evento de uma catástrofe de grande dimensão, que afete direta ou indiretamente as instalações da empresa, muitas vezes pecamos por não prever como isto poderia afetar a disponibilidade dos funcionários - ou mesmo o lado psicológico deles. Ignorando estes fatos, mesmo o melhor PCN pode fracassar.

Excelente artigo: muito bem escrito, franco, direto e com uma abordagem muito criativa.

[Internet] Estatísticas sobre Internet no Brasil

A Nic.br divulgou recentemente o relatório da 2ª pesquisa sobre uso da Tecnologia da Informação e da Comunicação no Brasil, a TIC 2006.


O arquivo em PDF de 322 páginas com a pesquisa completa pode ser abaixado diretamente do site do "Centro de Estudos sobre as Tecnologias da Informação e da Comunicação" (CETIC.br) ou consultada online (com páginas específicas sobre os dados referentes a domicílios e empresas).

Algumas estatísticas interessantes deste estudo:

• 54,35% da população brasileira nunca utilizou o computador e 66.68% nunca usou a Internet;
  
• Somente 14,49% dos domicílios brasileiros possuem acesso a Internet;
  
• Em 2006, apenas 14% dos brasileiros que já tiveram acesso á Internet declararam ter adquirido bens e serviços por meio da rede pelo menos uma vez;
  
• Dentre os problemas de segurança mais freqüentes, o campeão de reclamações foi o ataque de vírus com perda de informação ou acesso não autorizado à maquina (20,3%).

[Segurança] Segurança no mundo Microsoft

Hoje achei o site "winsec.org", que possui diversos artigos, tutorias e várias novidades sobre segurança para o mundo Microsoft (produtos, ferramentas, etc).

Tem links para várias ferramentas e sites da Microsoft relacionados a segurança (alguns da Technet), muitos artigos sobre o Vista, algumas ferramentas para Windows, e, digno de nota, alguns artigos muito interessantes do Fernando Cima.

[Segurança] Guerra Cibernética vira realidade

Se alguém ainda pensava que uma "guerra cibernética" ("Cyberwar") fosse coisa de ficção científica, a Estônia mostrou recentemente que isto já é realidade.

Nas duas primeiras semanas de maio vários sites do governo, jornais e bancos da Estônia sofreram ataques de DDoS, deixando o governo e o povo da Estônia com grandes dificuldades para ter acesso online, uma vez que estes serviços são muito avançados e difundidos neste país. O site do parlamento, da presidência da República, dos ministérios e dos serviços de saúde e tecnologia também foram afetados.

A Estônia vive uma crise diplomática com a Rússia desde que decidiu retirar uma estátua de bronze de um soldado soviético de uma praça em Tallin, capital do país. E, aparentemente, isto motivou os ataques DDoS ("Distributed Deny of Service"). Segundo o governo da Estônia, os técnicos de TI identificaram que os endereços IP que originaram os ataques pertencem a computadores de agências governamentais russas. A Rússia negou o ataque, mas a União Européia e a Otan foram acionadas para ajudar nas investigações.

Essa notícia foi publicada na revista VEJA de 23 de maio de 2007 (Edição 2009) e também consta em vários noticiários no Brasil e no mundo:

• "Estônia acusa Rússia de ataque hacker" no site Info Online
• "Russia accused of unleashing cyberwar to disable Estonia" no Guardian
• "Estonia hit by 'Moscow cyber war'", no site da BBC News
• "Cyberwar: Russia vs Estonia"

Hoje, em seu Blog, Bruce Schneier comentou que este tipo de ataque não é novidade (não é mesmo!) e aproveita a oportunidade para dar sua definição de "Cyberwar", "Cyberterrorism", "Cybercrime" e "Cybervandalism" - que aproveito para transcrever abaixo:

• Cyberwar: Warfare in cyberspace. This includes warfare attacks against a nation's military -- forcing critical communications channels to fail, for example -- and attacks against the civilian population.
• Cyberterrorism: The use of cyberspace to commit terrorist acts. An example might be hacking into a computer system to cause a nuclear power plant to melt down, a dam to open, or two airplanes to collide.
• Cybercrime: Crime in cyberspace. This includes much of what we've already experienced: theft of intellectual property, extortion based on the threat of DDOS attacks, fraud based on identity theft, and so on.
• Cybervandalism: The script kiddies who deface websites for fun are technically criminals, but I think of them more as vandals or hooligans. They're like the kids who spray paint buses: in it more for the thrill than anything else.

Como ele diz mais adiante, hoje os governos e militares levam a possibilidade de guerra cibernética a sério: tanto como meio de ataque como necessidade de defesa. Neste caso, técnicas de ataque podem ser utilizadas, num cenário de "cyberwar", para desabilitar serviços online e partes das infra-estruturas específicas de um país, preferencialmente em um "ataque cirúrgico". Ou seja, é mais interessante invadir ou derrubar determinados sites estratégicos do que simplesmente tirar um determinado país do ar.

E a guerra cibernética é mais do que simplesmente atacar a infra-estrutura de rede de um determinado país: envolve também a espionagem, a "guerra de informações" (divulgar informações falsas ou enviar informações para o povo de um determinado país, a contra-gosto do seu governo - como os EUA faziam ao jogar panfletos encorajando os soldados iraquianos a se renderem), ataques em guerrilha e ataques surpresa.

Não podemos negar também que este é um novo campo de atuação dos profissionais de segurança: criar técnicas de ataque ou defesa para cenários de guerra tecnológica. E, para lembrar o que já foi dito, as empresas, e não somente apenas os governos, também podem sofrer ataques motivados por disputas políticas entre nações, grupos étinicos e grupos terroristas. Agora as empresas tem a Estônia como exemplo da importância de incluir a possibilidade de guerra cibernética e de cyber-terrorismo em suas análises de risco.