Boas Festas

Mais um ano chega ao fim. Independente da religião e crenças de cada um, esta é uma época de união e de amor entre familiares e amigos. Também é um momento para reflexão sobre o quanto evoluímos a cada ano. É uma época para repensarmos nossos valores, objetivos e o quanto já caminhamos na jornada de vida.

Como sempre acontece, todos tivemos muitas conquistas e algumas derrotas durante o ano. Pois assim é a vida: os pequenos sucessos se revezam com as pequenas derrotas no dia-a-dia. Como disse o personagem de Silverster Stallone no filme Rock Balboa, de 2006: "Você, eu, nem ninguém vai bater tão duro como a vida. Mas não se trata de bater duro. Se trata de quanto você aguenta apanhar e seguir em frente (...). É assim que se consegue vencer."

Por isso, vamos celebrar as conquistas e usar as derrotas como lição do que precisamos melhorar a cada ano. Cada dia é uma nova oportunidade para nos levantarmos e fazermos dele um dia melhor do que foi a véspera.

Entre as minhas pequenas conquistas de 2015, o blog completou 10 anos de vida e também atingiu a marca de 1.000 posts. Mas isso não significaria nada se, em algumas ocasiões durante este ano, não tivesse acontecido de eu ter sido abordado por pessoas que me elogiaram pelo Blog, por tê-las ajudado a seguir na área. Isso não tem preço !!!

Que venha 2016 com muitos desafios e grandes vitórias. Vamos tornar nossa vida cada dia melhor para nós mesmos, para os próximos e para o nosso mundo. Porque tudo o que fazemos importa e podemos fazer a diferença!!!!

[Segurança] Estatísticas sobre Phishing

Segundo a empresa PhishX, "mais de 90% das ameaças virtuais (malwares, vírus, APTs e outros) se iniciam por um Phishing". Interessante, né? De fato, o uso de Ohishing é a forma mais eficaz de invadir uma empresa, muito mais fácil do que tentar descobrir uma vulnerabilidade nos seus sistemas ou uma brecha na infra-estrutura.

A empresa criou um pequeno "Infográfico Global sobre Phishing, suas variações e o Comportamento das Pessoas" com mais alguns dados estatísticos sobre os ataques de Phishing, tais como:

• Cerca de 40% dos usuários sào vítimas de Phishing (os dados variam muito pouco entre usuários de Smartphones ou computadores);
• Demora 27 segundos em média para o Phishing fazer asua primeira vítima.

[Segurança] Roubando Hotéis

A notícia recente do roubo de dados de cartões de crédito e débito da rede de hotéis Hyatt mostra uma nova tendência do crime cibernético: roubar dados de grandes redes hoteleiras. Esse tipo de crime tem abusado do uso de malwares de PoS, especializados em invadir computadores conectados a terminais de ponto de venda, aonde os clientes dos hotéis pagam suas hospedagens com cartões de crédito e débito.

Além da rede Hyatt, alguns outros grupos hoteleiros foram vítimas recentes desse tipo de ciber crime:

• A cadeia Trump Hotels anunciou, em 29 de Setembro, que seus sistemas PoS de sete hotéis foram infectados por malware durante mais de um ano (entre Maio de 2014 e Junho de 2015);
• A rede Starwood Hotels and Resorts anunciou em 20 de Novembro que um malware infectou alguns de seus restaurantes, lojas e outros sistemas PoS localizados nos EUA;
• A cadeia de hotéis Hilton advertiu em 24 de novembro que sofreu diversas  invasões frequentes de malwares para PoS em 2014 e 2015;
• Outras vítimas incluem também o Hard Rock Las Vegas Hotel and Casino e o Las Vegas Sands casino.

Em comum, nenhum dos casos acima informou qual foi o malware utilizado nem a quantidade de clientes afetados :(

O uso de malwares de PoS permite aos ciber criminosos roubar centenas ou milhares de dados de clientes (incluindo número do cartão, nome do cliente e o código verificador), que posteriormente serão utilizados para fraudes.

[História] Trégua de Natal

A trégua de natal foi um episódio curioso que ocorreu durante a Primeira Guerra Mundial eque mostra a força do espírito de união e amor do Natal, que pode estar presente até mesmo nos piores momentos.

Durante os últimos dias de dezembro de 1914 na região de Ypres, Bélgica, soldados alemães decoraram suas trincheiras com velas e enfeitaram algumas árvores o Natal. Começaram, então, a cantar canções natalinas alemãs. Observando o que se passava nas trincheiras inimigas, os soldados ingleses começaram a cantar suas próprias canções. Nesse momento, ambos os lados passaram a saudar um ao outro; era véspera de Natal e, por 6 dias, a guerra cessou e a paz reinou.

De forma não oficial, soldados inimigos fizeram uma trégua em meio às batalhas e promoveram o cessar fogo para celebrarem juntos aquela data festiva, trocando presentes, cantando canções natalinas e até jogando partidas de futebol na “terra de ninguém” (o espaço que separava as trincheiras inimigas, assim chamado pois poucos sobreviviam ao tiroteio).

Quando os líderes souberam do ocorrido, mais que rapidamente proibiram qualquer forma de trégua com os exércitos inimigos. O episódio da Trégua de Natal nunca mais se repetiu após aquele dezembro de 1914, tornando-se quase um mito e, de fato, um marco histórico.


OBS: Post atualizado em 27/12 para incluir uma imagem da época.

[Geek] Guia rápido para entender Star Wars

Com o lançamento do novo filme da franquia Star Wars, o Despertar da Força, eu descobri que tenho alguns amigos que nunca assistiram os filmes e, por isso, ficam totalmente a margem de qualquer conversa sobre o assunto.

Para ajudar este pessoal, resolvi criar um pequeno guia rápido e bem didático para entender os filmes Star Wars. Cuidado que algumas informações podem ser consideradas "spoiler":

• A história completa são "3 trilogias", ou seja, 3 grupos de filmes, lançados nas décadas de 70/80 (a trilogia do meio - episódios IV a VI), 2000 (episódios iniciais da história, de I a III) e agora, segunda metade da década de 2010 (o final de história, nos episódios de VII a IX);
• A história gira em torno de dois eixos principais, que se referem a eterna luta do bem contra o mal: a transformação da república em império, confrontada pelos rebeldes e pelos cavaleiros Jedi, e a vida de Anakin Skywalker (Darth Vader), desde a sua infância (Episódio I), seu treinamento como Jedi (Episódio II), sua conversão para o mal (o 'lado negro", no Episódio III), seus anos como o principal vilão da galáxia (em toda a trilogia original), e agora, a sua sucessão, através do seu neto que também vai para o lado negro e torna-se o novo vilão da história;
• Se usa sabre de luz vermelho (aquela mistura de espada com laser), é vilão;
• Se usa sabre de luz azul ou verde, é mocinho;
• Se está vestido de preto, é vilão (exceto o Luke Skywalker, ele pode);
• Se está vestido de preto e usa sabre de luz vermelho, é o principal vilão malvado da história;
• Se está vestido com um hobby marrom (não perguntem porquê!?), é um mestre Jedi fodástico do bem;
• Se está vestido com um hobby marrom, é um mestre Jedi fodástico do bem e provavelmente vai morrer ainda neste filme que você está assistindo;
• Os soldadinhos vestidos de branco (chamados de Stormtroopers) são do bem no início da história (episódios I a III) e do mal na metade da história em diante (episódios IV a VII). Ou seja: eles são soldados e simplesmente fazem o que o chefe manda fazer;
• Aquela nave em formato de Pizza é a Millenium Falcon;
• Os rebeldes só sabem fazer uma nave legal: o X-Wing. Os vilões do Império tem um monte de naves legais: caças Tie-Fighter com vários modelos, os cruzadores espaciais, os AT-AT, etc;
• Os vilões adoram construir naves gigantescas, em formato de lua ou de planeta, capaz de destruir outros planetas com um tipo de raio super poderoso. Mas não conseguem esconder os planos de construção e não conseguem tampar um buraco que sempre existe que causa a explosão da nave/estrela/planeta inteiro;
• Star Wars não tem nada a ver com Star Trek. São histórias totalmente diferentes. Mas se quiser trollar seus amigos, diga que o Mestre Yoda é o ta-ta-ta-ta-taravô do Spock.

[Segurança] A lista de preços do crime cibernético

Recentemente o pessoal da RSA publicou um infográfico com os principais preços das atividades criminosas comercializadas no mundo undergroung.

O estudo, batizado de "2016 Cybercriminal Shopping List", identificou os preços médios que os ciber criminosos cobram nos mercados da Dark Net para a comercialização de contas e informações pessoais roubadas, além de alguns serviços criminosos. São coisas como, por exemplo:

• Conta de rede social com 500 amigos: US$ 7,50
• Conta em site de e-commerce: de US$ 2 a US$ 10
• Conta de Internet Banking (banco americano) com dados do cartão de débito: de US$ 150 a US$ 300
• Documento de identidade falsa (Inglaterra): US$ 15
• Ataque de DDoS contra um site: US$ 30 por hora

Veja um pouco mais de detalhes no infográfico abaixo.

[Segurança] Não se trata de ter algo a esconder

Quando se discute o vigilantismo governamental online, como foram os casos das revelações do Edward Snowden, um dos argumentos mais utilizados pelas pessoas favoráveis aos governos é o de que "quem não tem nada a esconder não é afetado". Ou seja, se a pessoa não faz nada de errado nem tem o que esconder, não precisa ter receio dos governos terem acesso a suas informações pessoais online (tais como dados pessoais, contatos online e rede de relacionamento, etc).

O vídeo abaixo, produzido pela equipe do Ministério da Justiça que está trabalhando no Anteprojeto de Lei de Proteção de Dados Pessoais, aborda justamente esta argumentação.

Segundo a Veridiana Alimonti, do Idec (Instituto Brasileiro de Defesa do Consumidor), que fala no vídeo: "Não se trata de ter algo a esconder. Trata-se de você de fato ter a capacidade de ser o titular de suas próprias informações". Assim, poderíamos decidir o que as empresas podem fazer com nossos dados e estaríamos conscientes dos "bancos de dados" que existem sobre nós.

A Veridiana lembra que a Internet permite a coleta massiva de dados de uma infinidade de pessoas, inclusive dados nossos que nem sabemos que outras empresas podem ter acesso - não se limitando a informações que tornamos públicas intencionalmente. A existência de leis de proteção de dados pessoais permite definir condições de acesso a estas informações e, principalmente, existir mecanismos para punir as empresas que desrespeitarem o direito a privacidade dos usuários.

[Geek] Star Wars

(Quase) todo mundo está na espectativa do lançamento do Episódio VII do Star Wars, "Star Wars: The Force Awakens" ("O Despertar da Força", no título em Português). Este é o sétimo filme, de um total de 9 episódios (ou 3 trilogias, sei lá...) previstos para a saga que teve origem em 1977. Desde então, os filmes são lançados em dose homeopáticas, espaçados por tantos anos entre si que causaria inveja até nas obras do metrô de São Paulo.

É incrível pensar como um pequeno conjunto de filmes conseguiu ter uma influência cultural tão grande e que perdura até hoje. Isto sem falar na grande evolução dos efeitos especiais que a primeira trilogia representou na época.

O último filme lançado, o Episódio III ("Revenge of the Sith"), saiu há 10 anos atrás, em 2005. Há quem discute qual é a melhor forma de assistir a saga toda de novo: na cronologia do lançamento dos filmes (isto é, episódios IV, V, VI, I, II e III) ou na sequência da história (do I até o IV). Acredito que, após o lançamento do Despertar da Força e dos últimos dois filmes, a melhor opção será assistir seguindo a cronologia da história. até lá, divirta-se assistindo da forma que achar melhor !!!

Para entrar no clima e, de quebra, refrescar um pouco a memória, você pode assistir a esse resumo da saga, com 3 min de duração:

Os nerds também vão se divertir com a versão "modo terminal de caracteres" (que é bem longo, não tive paciência de ver até o final).

[Cyber Cultura] A evolução da Internet de Todas as Coisas

A Cisco fez alguns vídeos curtos, porém muito legais, sobre a Internet de Todas as Coisas (ou IoE, sigla da expressão em inglês "Internet of Everything"), que é um conceito ligeiramente mais "hype" e mais abrangente do que o "Internet das Coisas" (IoT).

O primeiro vídeo que eu quero destacar, de 2013, tem o título sugestivo de "Bem vindo a Internet de Todas as Coisas" e fala um pouquinho sobre o que é a IoE e traz algumas informações interessantes:

• O fluxo de dados na Internet cresceu exponencialmente desde os anos 60, e deverá alcançar um ZettaByte até 2016;
• Nossos dispositivos móveis são mais poderosos do que os supercomputadores de 20 anos atrás;
• Até 2020, 50 bilhões de objetos estarão conectados à rede;
• Em maio de 2011, as Nações Unidas declararam que a internet é um direito humano fundamental.

Outro vídeo, de 2014, fala sobre a "Evolução da Internet de Todas as Coisas" e apresenta várias estatísticas associadas a popularização do IoT:

• Em 2015, o número de dispositivos conectados a Internet será superior a quantidade de habitantes na Terra;
• O número de dispositivos conectados subiu de 1 mil em 1984 para 1 milhão em 1992, 1 bilhão em 2008 e 12,5 bilhões em 2010;
• Em 2010 haviam 300 mil aplicativos mobile (app) disponíveis, com 11 bilhões de downloads, chegando a 77 bilhões de downloads em 2014;
• 80% dos aplicativos comerciais já são disponibilizados como serviço.

Os vídeos são interessantes e servem para ilustrar a evolução que está surgindo por conta da IoT e IoE.

[Segurança] ISO/IEC 27017:2015

A ISO/IEC publicou, em 30/11/2015, a ISO/IEC 27017:2015 (Information technology - Security techniques - Code of practice for information security controls based on ISO/IEC 27002 for cloud services), uma norma específica sobre segurança para ambientes de computação em nuvem.

A 27017, em suas 30 páginas, fornece diretrizes e controles de segurança específicos para provedores e clientes de Cloud Computing, baseados nas recomendações existentes na ISO/IEC 27002, uma norma bem conhecida que define os controles mínimos de segurança recomendados para todas as empresas. Ou seja, para cada seção e controle recomendado na norma 27002, esta nova norma ideitifica se o controle prévio se aplica nos ambientes de computação em nuvem (e, em geral, sempre se aplicam!), e também complementa a norma, recomendando controles adicionais que são específicos para o mundo de Cloud.

O site iso27001security dá um exemplo de como é a 27017, baseado na seção 6.1.1 (Information security roles and responsibilities):

A 27017 vem para fazer compania para a ISO/IEC 27018, a primeira norma internacional que aborda a proteção dos dados pessoais na nuvem - lançada em 2014. Apesar de recente, este padrão oferece aos usuários de computação em nuvem parâmetros para avaliar que o seu provedor de serviços em nuvem está bem posicionado para manter os dados privados e seguros.

A norma pode ser comprada e abaixada no site da ISO/IEC. A ABNT participou da elaboração da norma ISO/IEC 27017 e está trabalhando em uma versão brasileira, que deve ir para consulta nacional em breve.

[Segurança] Os maiores vazamentos de dados de 2015

O ano ainda nem acabou, mas o portal CSO Online já publicou uma matéria com os maiores vazamentos de dados de 2015. Então eu aproveitei e criei a lista abaixo, com mais alguns casos que não constavam na matéria original do CSO Online:

• Eleitores americanos: No final de Dezembro foi encontrada uma base de dados exposta na Internet, sem nenhum controle de acesso, com dados de 191 milhões de eleitores americanos;
• Anthem: Dados pessoais de mais de 80 milhões de clientes dessa empresa do setor de saúde;
• Ashley Madison: Em Julho deste ano, o grupo Impact Team divulgou dados e senhas de 37 milhões de usuários desse site de "relacionamentos", causando muito "bafafá" por aí...
• Office of Personnel Management (EUA): Vazaram os dados pessoais de 22 milhões de empregados do governo Americano. Foi utilizado um malware para implantar um backdoor através de credenciais roubadas de um terceiro;
• Experian: Foram acessados os dados pessoais de 15 milhões de clientes da T-Mobile, que estavam armazenados na Experian;
• MacKeeper: Foram roubados dados sensíveis referentes as contas de 13 milhoões de usuários do software MacKeeper;
• Premera: dados pessoais (nome, data de nascimento. endereço, números telefônicos, informações médicas e financeiras, etc) de 11 milhões de clientes;
• VTech Learning Lodge: Este fabricante de brinquedos tecnológicos foi hackeada e foram roubados dados de seus clientes: 5 milhões de adultos e 200.000 crianças, que entre outras coisas tiveram suas fotos divulgadas;
• Scottrade: Roubo de dados de 4,6 milhões de clientes;
• TalkTalk: Um adolescente de 15 anos de idade conseguiu roubar os dados pessoais e bancários de 4 milhões de clientes;
• Sanrio: Uma base de dados MongoDB da empresa japonesa, exposta na Internet, continha os dados de 3,3 milhões de fans da Hello Kitty, incluindo os dados de 186 mil crianças;
• Alliance Health: Uma base de dados mal configurada da empresa expôs na Internet 1.6 milhões de registros médicos de 1.5 milhões de clientes;
• CareFirst: Atacantes acessaram uma base de dados com registros pessoais de 1,1 milhões de clientes dessa empresa americana de plano de saúde e seguro médico;
• Seguro Social de Costa Rica: foram roubados os dados de 530.000 usuários;
• mSpy: Vazaram dados pessoais de 400.000 clientes desse fabricante de spyware, incluindo screenshots, dados de geolocalização, logs de bate-papo, etc;
• IRS: Registros de 330.000 contribuintes do Imposto de Renda americano;
• Hacking Team: Foram roubados 400 GB de dados internos, incluindo e-mails de executivos, lista de clientes, ferramentas e informações de zero days e exploits que a compania comercializava.

Desde o início de 2014 assistimos a "era dos mega roubos de dados", com invasões a diversos varejistas (lojas, supermercados) e restaurantes amercanos. Talvez o maior destaque na lista acima é que empresas do setor de Saúde começaram a se tornar alvo neste ano, como as americanas Anthem, Premera e CareFirst. Pior ainda, suspeita-se de que os ataques a Anthem e Premera foram realizados pelo mesmo grupo, o grupo Chinês de ciber espionagem conhecido como Deep Panda.

Em tempo: o portal CSO Online também criou uma lista com os 15 piores roubos de dados do século !!!

OBS:
Post atualizado em 21/12/2015, e 29/12.

[Geek] Tem um cabo de rede fora do lugar?

Quem nunca passou por isso?

Eu já tive a oportunidade de trabalhar em uma empresa aonde o data center era totalmente zoneado. Havia uma cascata de cabos de rede atrás de cada rack, e era impossível identificar quais cabos conectava o que aonde.

O resultado? Qualquer manutenção nos equipamentos era uma dor de cabeça. Quando um equipamento era desligado, a sua ponta do cabo era desconectada, mas muitas vezes a outra ponta permanecia lá, aumentando a bagunça. Diversas paradas aconteciam no ambiente e qualquer tentativa de consertar demorava horas.

Certa vez, todo um prédio do call center ficou sem trabalhar durante o dia inteiro porque alguém conectou um cabo de rede em loop e toda a rede parou. Demoramos o dia inteiro para achar o problema e identificar o maldito cabo. Imagina o prejuízo de uma empresa que fica um dia inteiro sem os sistemas do call center :(

Manter um ambiente de TI organizado e documentado é um esforço constante:

• todos os equipamentos tem que ser identificados e documentados;
• todos os cabos (de rede e de força) devem seguir o padrão e normas específicas, além de serem identificados e posicionados dentro das devidas canaletas;
• o diagrama de rede tem que ser atualizado a cada mudança.

Acredite, é muito menos trabalhoso manter o ambiente organizado a cada mudança do que tentar arrumar tudo depois.

[Geek] Drones

A Aeronáutica publicou recentemente novas regras para regulamentar o voo de drones no Brasil (também chamados de vants - sigla para "veículos aéreos não tripulados" e de "Aeronaves Pilotadas Remotamente"- que vira RPA, na sigla em inglês). O termo “drone” é apenas um nome genérico originado nos EUA, que vem se difundindo para caracterizar todo e qualquer objeto voador não tripulado. Ou seja, embora seja um termo aceito, não tem amparo técnico ou definição nas legislações existentes.

Estas regras aplicam-se ao uso profissional (é liberado o uso comercial dos drones), institucional e governamental, independente do tamanho do equipamento. A operação aérea de vants como lazer, hobby ou esporte se enquadra em regras voltadas ao aeromodelismo (definidas na Portaria DAC nº 207/STE). Ou seja, o governo considera o propósito do voo, independente do equipamento utilizado.

O registro do aparelho deve ser feito junto à Agência Nacional da Aviação Civil (Anac), e os pedidos para saírem do chão (decolagem) são de responsabilidade do Departamento de Controle do Espaço Aéreo (Decea), ligado ao Comando da Aeronáutica. Uma das premissas básicas das regras é que o voo de uma RPA não deve colocar em risco pessoas e/ou propriedades (no ar ou no solo), mesmo que de forma não intencional. As regras fixam altura mínima de 30 metros para que drones se manterem distantes de pessoas e edificações. A velocidade máxima pode ser de 55 km/h a 110 km/h, dependendo do peso da aeronave, sendo proibidos voos noturnos e acrobacias.

Os voos no interior de prédios e construções fechadas, mesmo que parcialmente (como ginásios, estádios e arenas a céu aberto - até o limite vertical da estrutura lateral) são de total responsabilidade do proprietário e deverão estar autorizados por estes, já que não são considerados “espaços aéreos” sob a responsabilidade do DECEA. Ainda assim, esse tipo de operação deve observar as regulamentações da ANAC e as responsabilidades civis em vigor. Não será autorizado o emprego de RPAs sobre áreas povoadas ou aglomeração de pessoas.

O site Defesanet detalhou bastante a nova regulamentação. O pessoal do G1, por sua vez, fez um infográfico resumindo as novas regras:

Enquanto isso, nos EUA, a Amazon divulgou a versão atual dos drones que ela planeja utilizar para fazer entregas, com o serviço batizado de "Amazon Prime Air".

[Segurança] Fatso, o responsável por responder a incidentes

Em Abril deste ano eu comentei sobre a dificuldade que muitas empresas tem em conhecer o seu ambiente e, consequentemente, em responder a incidentes. Na época eu comparei tais empresas com o urso Fatso, do desenho do Pica-Pau.

Felizmente eu vi um gif animado dele no Facebook, e resolvi fazer este post simplesmente para compartilhar ele ;)

Devemos agradecer a recente modinha do pessoal colocar gifs animados em seus posts no Facebook.

[Cyber Cultura] Vamos compartilhar nudes (dos outros)?

O Tribunal de Justiça de São Paulo (TJ/SP) decidiu que quem compartilha "nudes" (ou seja, email com fotos íntimas de outra pessoa) também deve pagar dano moral - independente de ter sido o responsável pelo vazamento original das imagens. Ou seja: a justiça entendeu que basta repassar as imagens para contribuir com a invasão de privacidade e com os danos morais causados a vítima.

Segundo a decisão do desembargador Walter Barone, “Ainda que o réu não tenha sido o criador das obscenas fotografias, como afirma, e mesmo que não tenha agido com dolo específico, a retransmissão das imagens a terceiros configura, por si só, a conduta lesiva, revelando culpa, porquanto patente no mínimo a sua imprudência ao contribuir para a difusão da ofensa”.

A decisão veio da 7ª Câmara de Direito Privado do TJ/SP como resultado de uma série de 45 ações propostas pela mesma vítima, que teve suas fotos de sexo explícito expostas ne Internet em 2009. A autora resolveu processar todo os envolvidos em uma corrente de e-mails que foram repassados entre várias pessoas. O título do email dava o nome da vítima e o banco onde trabalhava.

Segundo o Dr. Renato Opice Blum, mesmo quem apenas compartilha tais mensagens agravam o dano moral da vítima e tem responsabilidade sobre isso. O artigo 186 do Código Civil, diz claramente que...

"Aquele que, por ação ou omissão voluntária, negligência ou imprudência, violar direito e causar dano a outrem, ainda que exclusivamente moral, comete ato ilícito".

Esta decisão pode abrir precedentes para a culpabilidade não apenas de quem causou a invasão de privacidade e deliberadamente divulgou imagens íntimas de outra pessoa, mas também de quem as passa adiante. Espero que isso ajude a diminuir a grande quantidade de casos de pessoas que tem sua privacidade exposta na Internet.