[Segurança] Palestras no TED sobre segurança

Eu sou grande fã das palestras do TED: normalmente encontramos um conteúdo excelente, apresentado de forma rápida, objetiva e com um grande cuidado visual e didático. Normalmente as palestras tem apenas 15 minutos, então podem ser assistidas rapidamente.

Há diversas palestras de segurança (e "cyber security") que já foram apresentadas no TED e que eu acho bem interessante - algumas eu já comentei aqui no Blog. Veja abaixo uma lista das palestras que eu já assisti e achei mais interessantes. Eu não listei todas que vi, pois algumas eu não gostei e vi outras que tinham informação imprecisa ou repetida (afinal, todo mundo adora falar do Stuxnet).

A lista abaixo não está em nenhuma ordem específica, embora eu tenha intencionalmente colocado no começo as palestras do Bruce Schneier e do Mikko Hypponen, minhas preferidas ;)

• "The security mirage", Bruce Schneier, Oct/2010
  
  
  
  
• "Fighting viruses, defending the net", Mikko Hypponen, Jul/2011 (meu post)
  
  
  
  
• "Three types of online attack", Mikko Hypponen, Nov/2011
  
  
  
  
• "How the NSA betrayed the world's trust -- time to act", Mikko Hypponen, Out/2013 (meu post)
  
  
  
  
• The Internet is on Fire, Mikko Hypponen, Dec/2014
  
  
  
  
• "Here's how we take back the Internet", Edward Snowden, Mar/2014 (meu post)
  
  
  
  
• "Why privacy matters", Glenn Greenwald, Out/2014 (blog post)
  
  
  
  
• "Cracking Stuxnet, a 21st-century cyber weapon", Ralph Langner, Mar/2011 (blog post).
  
  
  
  
• "All your devices can be hacked", Avi Rubin, Out/2011
  
  
  
  
• "Swimming with sharks - security in the internet of things", Joshua Corman, Jan/2014
  
  
  
  
• "Confessions of a Cyber Spy Hunter", Eric Winsborrow, Fev/2016
  
  
  
  
• "Hire the hackers!", Misha Glenny, July/2011
  
  
  
  
• "A vision of crimes in the future", Marc Goodman, Jun/2012 (blog post)
  
  
  
  
• "Why good hackers make good citizens", Catherine Bracy, Set/2013
  
  
  
  
• "Hackers: the Internet's immune system", Keren Elazari, Março/2014 (meu post)
  
  
  
  
• "What’s wrong with your pa$$w0rd?", Lorrie Faith Cranor, Mar/2014
  
  
  
  
• "This is what happens when you reply to spam email", James Veitch, Dez/2015 (meu post)
  
  
  
  
• "Cyberwar", Amy Zegart, Jun/2015
  
  
  
  
• "Top hacker shows us how it's done", Pablos Holman (TEDx Midwest), Ago/2012 - palestra meio bobinha, aonde ele mostra alguns ataques de forma bem superficial, obviamente para impressionar a platéia, mas não fala muito de útil.
  
  
  
  
• "Why I teach people how to hack", Ýmir Vigfússon (TEDx Reykjavík)
  
  
  
  
• "Where is cybercrime really coming from?", Caleb Barlow, Nov. 2016
  
  
  
  
• "Hacking: uma História", Anderson Ramos (TEDxMauá), Maio 2017
  
  
  
  
• "Everyday cybercrime -- and what you can do about it", James Lyne (TEDxMauá), Set. 2013 - Dá uma visão geral das ameaças, com foco principalmente em ataques de malwares.
  
  
  
  
• "The art of misdirection", Apollo Robbins (TED Global 2013), Sep 13, 2013 - Não é uma palestra exatamente sobre segurança da informação, mas é uma palestra sensacional que mostra como é fácil distrair uma pessoa e, com isso, conseguir roubá-la. A palestra é bem divertida e vale a pena assistir!
  
  
  
  
• "Cyber Self-Defense", Paul Carugati (TEDx Spokane), Nov. 24, 2015 - O que me chamou a atenção nessa palestra foi o foco em "ciber defesa", ou seja, na importância de treinar os usuários a tomarem os cuidados básicos de segurança. Para isso, o palestrante dá uma visão rápida e didática dos ataques mais comuns que afetam os usuários no dia-a-dia, incluindo engenharia social, phishing e credential harvest. Ao final, ele cita algumas regras (dicas) de "cyber self-defense".
  
  
  
  
• "State Sanctioned Hacking - The Elephant in the Room", Frank Heidt (TEDxMidwest), Jan. 6, 2014 - Palestra interessante e bem humorada, que foca em discutir aspectos de ciber espionagem entre EUA e China.
  
  
  
  
• "Privacidade e Proteção de Dados no Brasil", Carlos Affonso Souza (TEDx Petrópolis), 12 de Junho de 2019 - Palestra excelente sobre privacidade, com uma visão histórica e prática sobe o tema. (NOVO)
  
  
  
  

Ok, ok... eu andei pensando e vou começar a fazer também uma lista das palestras que, na minha opinião, não valem muito a pena assistir...

• "The secret world of cybercrime", Craig Gibson (TEDxMauá), Fev. 2019 - Palestra recente, meio chata (para ser sincero - quase parei o vídeo quando o palestrante soletrou "phishing"), que dá uma pequena visão de como o ciber crime funciona, do ponto de vista de fraude na indústria de telecomunicações, com o crime de vishing. É uma palestra no TEDxMississauga, no Canadá, uma edição do TEDx bem pequena e com infra-estrutura bem simples.
  
  
  
  
• "How the IoT is Making Cybercrime Investigation Easier", Jonathan Rajewski (TEDxBuffalo), Dez. 2016 - Eu achei a palestra péssima. Ele tenta mostrar como um investigador forense pode utilizar os dados extraídos dos dispositivos IOT em uma residência para investigar um crime. Mas ele enrola demais no decorrer da história e, pior ainda, ele encerra a palestra sem apresentar uma conclusão. É uma grande perda de tempo!
  
  
  
  
• "Open & Back Doors: Why Cyber Crime is a Growing Threat", Dorothy Denning (TEDx Santa Catalina School), Nov. 2015 - Palestra bem sem graça, que fala mais do mesmo. Para piorar, a palestrante tem uma voz e postura que transmite uma sensação de tédio.
  
  
  
  
• "The Cyber Skills Gap", Chris Silvers (TEDxElonUniversity), Jun. 2017 - Palestra bem chata. Se você quiser realmente assistir essa palestra, comece no minuto 12:50, quando ele começa a falar sobre o "cyber skills gap" - mas não espere grande coisa. Aos 16:00 minutos ele dá uma dica interessante: para trabalhar com tecnologia, temos que "aprender como aprender" ("learn how to learn") para não ficarmos desatualizados. (NOVO)
  
  
  
  

No final das contas, algumas palestras também merecem a categoria "não cheira nem fede", ou seja, não são ruins, mas não agregam muita coisa.

• "Top Five Emerging Cybersecurity Challenges", Srini Sampalli (TEDxDalhousieU), Jul. 6, 2017 - Palestra simples e simpática, aonde ele apresenta o que considera serem as 5 principais desafios atuais de segurança. Para poupar 17 minutos do seu tempo, vou dar o spoiler: Mobile Technologies, Ransonware, IoT, Big Data e "The Human Factor". (NOVO)
  
  
  
  
• "Facets and realities of cyber security threats", Alexandru Catalin Cosoi (TEDxBucharest), May 31, 2017 - Palestra bem humorada e um pouco divertida, que fala um pouquinho do arroz com feijão: o que é hacker, o que é ciber criminoso, ransonware, Dark Web, IoT, DDoS, etc - fala até um pouquinho do Stuxnet.
  
  
  
  
• "Por que proteção de dados pessoais importa?", Bruno Bioni (TEDxPinheiros), 17 de Out. de 2018 - a palestra não é ruim, mas não agrega nada e não traz informações novas ou relevantes sobre o assunto. (NOVO)
  
  
  
  

Uma coisa que eu reparei fazendo esse levantamento de palestras do TED, é que o Mikko Hypponen é o "pop star de segurança no TED". Acima eu listei 4 palestras diferente dele. O Bruce Schneier também não fica muito atrás. Embora eu tenha listado apenas 1 palestra dele, eu achei pelo menos 3.

!Eu achei algumas outras palestras do TEDx que não assisti ainda:

• "Reconceptualizing Security", Bruce Schneier
• "Cyber security", Simon Mullis
• "The dark side of the web -- exploring darknets", Kyle Terry
• "The dark web", Alan Pearce (2014)
• "Your smartphone is leaking your information", Bram Bonné
• "Cybersecurity SME’s are the future", Abdul-Hakeem Ajijola
• "Cybersecurity: It’s All About the Coders", Dan Cornell
• "Information security", Anish Bhimani
• The Snowden files -- the inside story of the world’s most wanted man, Luke Harding (TEDxAthens, 2014)

Cada vez que eu assisto uma palestra do TED sobre segurança, vejo links para algumas outras que ainda não assisti. Estou começando a achar que eu nunca vou acabar de assistí-las.

Esse post foi inspirado por um artigo do portal CSO Online com as "10 palestras de seguança do TED que você não pode perder". E, para descontrair, aproveite e dê uma olhada nessa playlist: "The funniest TED Talks" :)

OBS: Pequena atualização em 02/03/2017 e incluí as palestras do Pablos Holman (TEDxMidwest), do Ýmir Vigfússon e do Caleb Barlow.

Nota (29/6/17): o site Infosec Conferences publicou uma lista com as "29 Amazing TED Cybersecurity Talks from 2008 - 2017".

Nota: Post atualizado em 17/07/2017.

Nota (13/09/2019): Veja também a lista publicada no artigo no portal CIO: "7 TED Talks sobre cibersegurança que profissionais de TI precisam assistir".

Nota: Post atualizado em 06/11 e nos dias 05, 20 e 30/12/2019. Atualizado em 14/01/2020 com a inauguração da lista dos "não cheira nem fede".

Nota (13/02/2020): Mais uma lista com as top TED talks sobre segurança: "The 10 Best Cybersecurity TED Talks For Practitioners".

Nota: Post atualizado em 23/06/2020.

[Segurança] Como foram os eventos de Segurança em 2015

Mais um ano vai, e se passaram algumas dezenas de eventos de segurança no primeiro e segundo semestres de 2015. Dando continuidade a minha pequena "tradição" iniciada em 2011, vou deixar aqui a minha opinião sincera, sarcástica e baba-ovo (quando merecido) sobre os principais eventos do ano.

Lembrete: Este texto reflete única e exclusivamente a minha opinião pessoal sobre os eventos citados.

Para começar este post, vou fazer comentários específicos sobre alguns dos eventos que tivemos este ano, e que eu acho que valem a pena ser comentados:

• Os grandes destaques e novidades
• Popularização dos eventos fora de São Paulo: É um prazer ver eventos independentes surgindo e se consolidando pelo Brasilzão afora. Incluo nessa lista a Nullbyte (em Salvador, BA), o Security Day (Natal, RN - em sua oitava edição, se não me engano), o Jampasec (João Pessoa, PB) e a terceira edição da BHack (em Belo Horizonte, MG);
• Roadsec: O RoadSec se consolidou como, sem dúvida nenhuma, o maior evento de segurança nacional e um dos maiores do mundo. Eles foram em nada menos do que 15 cidades brasileiras neste ano, com um público estimado de 10 mil pessoas (até aonde eu sei, eles não divulgaram o número exato de participantes, apenas o arredondado). O evento conta com palestras, várias oficinas bem legais e multidisciplinares e competições aonde destaca-se o Hack4Flag, a grande competição de Capture The Flag (CTF), patrocinada novamente pela Symantec. E novamente fizeram um super-hiper-mega-evento de encerramento em São Paulo, com um show sensacional e indescritível dos Titãs. Eles estão sempre de parabéns por levar conteúdo de qualidade pelo Brasil afora e pela grande revigorada nas competições de CTF. Me arrisco a dizer que, no Brasil, as competições de CTF se dividem em "antes do Roadsec" e "depois do Roadsec": antes elas eram raras e muitas vezes com poucos competidores, e agora existem competições com sucesso em vários eventos, com muita gente começando a entrar nesse mundo e apreendendo muito sobre segurança;
  
  
  
  
• Os melhores eventos de 2015
• Apesar do YSTS e da H2HC serem, tradicionalmente, os eventos mais importantes do mercado nacional, quando penso no que seria "o melhor evento do ano", há muito o que considerar. Por isso, meus votos vão para um evento novo, mas que nasceu grande (o Mind The Sec) atraindo os profissionais da área, e no outro extremo um evento pequeno, mas que atrai o público novo e velho de mercado, em pé de igualdade, com uma ótima grade de atividades e um ótimo ambiente (a BSidesSP):
• Mind The Sec - Evento da Flipside que surgiu em substituição do SecureBrasil, o evento bombou este ano com a presença do pop-star Bruce Schneier - sem desmerecer os demais palestrante da grade caprichada, mas o Schneier é o Schneier, né !? A galera de SI fazia tietagem e fila para conseguir um autógrafo em algum de seus livros. Certamente foi um daqueles eventos para ver e ser visto;
• Conferência O Outro Lado Security BSides São Paulo (Co0L BSidesSP) - Evento muito bem elogiado por todos que participam. Realizamos duas edições neste ano: em 13/4 (véspera do YSYS) e em 23/11 (próxima a H2HC). Lógico que eu gosto e sempre vou falar bem do evento, pois sou um dos organizadores, mas mesmo assim acredito que merecemos destaque por ser um evento gratuito, com um leque diversificado de temas e com diversas atividades de excelente qualidade acontecendo simultaneamente: palestras, oficinas, Lightning Talks e um churrasco gratuito para os participantes. Neste ano duas das principais novidades foram a BSides 4 Kids e a campanha "Bloody Hacker";
• As ótimas surpresas em 2015
• A Cryptorave voltou com força total, e foi parcialmente bancada pela comunidade, através de Crowdfunding :)
• O show dos Titãs no Roadsec São Paulo ;)
• RIP :(
• Tosconf - Evento pequeno, organizado pelo pessoal do Laboratório Hacker de Campinas (LHC), o hackerspace de lá. Foi cancelando faltando poucos dias para o evento, pois o principal organizador cansou de ter que tocar tudo sozinho e com pouco apoio;
• Black Hat São Paulo - Depois de duas edições em 2013 e 2014, a Black Hat resolveu pedir um tempo. Talvez volte neste ano ou em algum dia;
• Não cheirou nem fedeu
• GTS - Continua sendo um bom evento, com palestras técnicas de boa qualidade e uma infra-estrutura sensacional. É um evento gratuito que ocorre sempre duas vezes por ano, no 1o e no 2o semestre. Todas as palestras são transmitidas online e disponibilizadas posteriormente;
• Não valeu nem a visita
• CSO Summit - Evento novo, realizado pela primeira vez este ano, que prometeu muito e entregou quase nada. Com uma grade de atividades confusas (os participantes foram convidados a palestrar, mas faltando poucos dias do evento descobriram que participariam de painéis) e uma infra-estrutura simples, até mesmo o tipo de público desapontou: pequeno e formado principalmente pelos estudantes do Mackenzie - não tenho nada contra estudantes irem em eventos, mas quando um evento chama-se "CSO Summit" e anuncia que vai ter executivos da área, ficamos desapontados ao ter a impressão que 99% da platéia era formada por estudantes. A única coisa que salvou foi a qualidade dos palestrantes;
• Security Leaders: Todo ano eu repito a mesma coisa: este é um evento sem graça, formado por debates bem fracos e superficiais, com um palco lotado de participantes. O que salva é a área de exposição e o momento da premiação, que servem para babar no ovo de executivos que trabalham em grandes empresas;
• Micos e roubadas
• BHack Conference, em Belo Horizonte (MG) - embora bem intencionado e com um clima de camaradagem sensacional, o pessoal errou feio na organização do evento este ano, com atraso muito grande das palestras e uma grade de atividades confusa, com palestras mudando de local e horário sem ninguém saber. Mas valeu a visita assim mesmo, com ótimas palestras e excelente oportunidade de encontrar o pessoal mais influente na área de segurança;
• Hackers to Hackers Conference (H2HC) - A H2HC é o mais importante e mais tradicional evento brasileiro de pesquisa em segurança, mas continua atraindo muito menos público do que merecia. Novamente, falha feio por insistir na escolha do local: o Novotel Morumbi é longe de tudo, de difícil acesso, com poucas opções de lugares para comer em volta e com um espaço muito pequeno para o evento. A sala principal de palestras, então, é horrível: por ser longa e retangular, metade da sala fica longe do palco e o pessoal não consegue enchergar os slides do palestrante. Outro grande mico na H2HC este ano foi o famoso episódio do ataque a competição de CTF. Embora tenha tido alguns aspectos divertidos ao presenciar o bafafá na hora, o problema é que os competidores foram desrespeitados na medida que investiram seu tempo para participar mas foram impedidos por conta do incidente;
• Roadsec São Paulo - Até mesmo um evento sensacional e bem organizado como o Roadsec dá algumas poucas escorregadas - que em pouco comprometeram a qualidade geral do evento. O principal pecado foi montar uma área de alimentação pequena, que não dava conta de atender os participantes do evento (após enfrentar filas longas e demoradas, os Food Trucks abriram o bico e ficaram sem comida) - pior ainda porque os participantes não podiam sair do Audio Clube para comer fora. Neste ano se repetiu a confusão com as diversas pulseirinhas VIP. Ninguém, nem os seguranças, sabiam direito que pulseira dava acesso a qual área do evento. Pecaram também no final do evento, após o show dos Titãs: quem queria continuar no evento não tinha para onde ir, com informações confusas da casa sobre que espaço poderíamos ficar. Quem saía da área do show e dos camarotes era proibido de voltar, o tal show do DJ motherfoca estava deserto e a área externa de fumantes estava fechada;
  
  
• Não vi mas vou opinar assim mesmo
• You Shot the Sheriff (YSTS) - Um dos eventos de segurança mais importantes no Brasil, neste ano eles tentaram algumas mudanças que, aparentemente, não deram certo. Tentaram fazer o evento no meio da semana (5a feira), com a festa no mesmo dia, mas para 2016 já anunciaram a volta para o modelo dos demais anos, com o evento na segunda-feira. Pelo que eu vi no vídeo do evento, o local foi bem estranho também: parecia uma Igreja Evangélica !!!

Sem mais delongas... and the Oscar goes to...

Resumo
Melhor Evento Brasileiro	Roadsec e Mind The Sec
Melhor Evento do Universo	CCCamp
Melhor Novidade	Bloody Hacker e BSides 4 Kids (BSidesSP)
Maior Surpresa	Show do Titãs no RoadSec São Paulo
Maior Roubada	CSO Summit
Festa estranha com gente esquisita	O local do YSTS. Pelas fotos e vídeos, parece que o pessoal estava numa igreja evangélica.
Maior Mico	Derrubar os competidores no Capture The Flag da H2HC
Maior WTF?	Passar fome no Roadsec São Paulo
Maior Sem Noção	Discutir com o segurança do Roadsec se a sua pulseira VIP dá direito a entrar no camarote patrocinado pela sua empresa
Os Patrocinadores Pira	Babar no ovo do pessoal no Security Leaders
Alternativo	BSidesSP e Criptorave
Visual e infra Caprichados	GTS
Organização mais Caprichada	Flipside (MindTheSec e Roadsec)
Melhor Local	Audio Clube (Roadsec São Paulo)
Pior Local	Novotel do Morumbi (H2HC)
Fora do Eixo Rio-São Paulo	RoadSec, sem dúvida
Para Ver e Ser Visto	MindTheSec
Para Poucos e Bons	YSTS, sempre!!!
Para o Público Técnico	GTS e BSidesSP
Para o Público Ninja	H2HC e BHack
Para o Público Gerencial	MindTheSec
Para quem está começando	Co0L BSidesSP, Roadsec e H2HC University
Para competir no CTF	RoadSec
Para não competir no CTF	H2HC
Para ver os amigos	Roadsec SP, H2HC e BHack
Para Beber com os amigos	YSTS e BSidesSP
Para Babar o Ovo ou ser Babado	Security Leaders
Para ser VIP	Roadsec SP: tinha 3 (ou mais?) níveis diferentes de VIPs. Melhor ainda se você conseguisse pegar várias pulseiras, cada uma de uma cor, quase dava para fechar o braço
Para levar as crianças	BSidesSP
Para ver palestrante gringo e não entender nada do que ele fala	H2HC
Não fui mas queria ter ido	Ekoparty
Às Moscas	BHack :(
Palestrante mais pica grossa	Bruce Schneier, sem dúvida! (MindTheSec)
Melhor Palestrante Nacional	Alexos, Flavio Shiga (ambos da iBliss) e Diego Aranha
Melhor Palestrante de todos os tempos	Fernando Mercês continua imbatível
Em 2016 você deve ir para...	YSTS, H2HC, Roadsec, Mind The Sec, BSidesSP, Defcon, Ekoparty
Em 2016 eu quero ir na...	YSTS
Em 2016 eu quero viajar para...	Defcon, 8.8 (Chile), Eko e as BSides na América Latina - além da BSides Lisboa
Em 2019 eu quero viajar para...	CCC Camp
Não Pode Faltar no seu Evento	The Pirates Bar e uma competição de CTF organizada pelo CTF-BR
Patrocinadores "ponta firme"	Conviso e Trend Micro

Importante: As opiniões apresentadas aqui são minhas somente e não refletem a opinião dos organizadores nem dos demais participantes dos eventos citados. Eu também só estou comentando sobre os eventos que considero serem os mais relevantes. Se algum evento não foi citado, ou é porque eu esqueci (pouco provavel) ou porque considero que nem vale a pena escrever sobre ele.

OBS: Post atualizado em 21/01 para incluir uma pequena nota sobre a Black Hat São Paulo e referência a BSides Lisboa.

[Segurança] Eventos de Segurança no Segundo Semestre de 2015

O segundo semestre é, normalmente, mais lotado de eventos da área. Neste ano não será diferente, com o calendário tomado pelo excelente Roadsec, que está se expandindo cada vez mais pelo Brasil e, neste ano, também lançou o Roadsec Pro, a versão do evento para profissionais da área (com dinâmica e temática um pouco diferente). Outra novidade neste ano é a ausência da Black Hat São Paulo, após dois anos de edição brasileira.

A lista abaixo é dos eventos na área de segurança que eu considero que merecem a visita. Salvo indicação em contrário, estes eventos acontecem em São Paulo.

• Julho/2015
• 04/07: RoadSec Recife (twitter @roadsec): O pessoal do Roadsec não descansa. O evento itinerante organizado caprichosamente pela Flipside inaugura o segundo semestre em Recife (PE). Promete um sábado repleto de palestras, oficinas e competições, com alguns palestrantes previamente selecionados em conjunto com palestrantes locais. Destaque também para a competição de CTF, a HackaFlag;
• 18/07: RoadSec Vitória (twitter @roadsec): A mesma Roadsec de sempre: ótimas palestras, oficinas e competições para o público Capixaba;
• 31/07: RoadSec Pro Belo Horizonte (twitter @roadsec): Versão "profissional" do Roadsec, com palestras direcionadas para o público corporativo, realizado em um local específico na véspera do evento tradicional;
• Agosto/2015
• 01/08: RoadSec Belo Horizonte (twitter @roadsec): Neste dia o Roadsec aterrisa em Belo Horizonte (MG);
• 18 e 19/08: VII Congresso de Crimes Eletrônicos - Evento organizado pela Fecomércio/SP que reúne especialistas, advogados, empresários, autoridades, peritos e juristas envolvidos no combate ao crime eletrônico. Inclui palestras e e debates sobre soluções e tendências. Evento gratuito e de boa qualidade;
• 26 e 27/08: Mind The Sec - Mega-evento organizado pela Flipside, que substitui o antigo SecureBrasil, que era realizado em parceria com o (ISC)². Serão 2 dias de evento e 3 trilhas de palestras (divididas em gestão, tecnologia e soluções), além da presença do mega-hiper guru Bruce Schneier como keynote speaker. Evento direcionado aos principais profissionais de segurança do mercado;
• 28/08: Dia Internacional de Segurança em Informática (DISI) (Brasília) - evento realizado anualmente pelo pessoal da RNP para educar e conscientizar usuários finais sobre segurança na Internet. O DISI deste ano será realizado junto com o Fórum RNP (em Brasília), com atividades de conscientização gratuitas, abertas ao público e transmitidas online, em tempo real;
• Setembro/2015
  • 02/09: Security Leaders Forum Belo Horizonte - Versão "mini-me" do Security Leaders, com apenas um dia. Segue a receita dos painéis de debates transmitidos ao vivo com palco cheio e conteúdo vazio, além de uma área de exposição para os patrocinadores;
  • 11 e 12/09: Global Risk Meeting 2014 - Evento focado principalmente em gestão de riscos. Realizado desde 2005 pela Daryus, o evento chega em sua décima edição com dois dias de atividades com foco mais gerencial;
  • 11 e 12/09: RoadSec Rio de Janeiro (twitter @roadsec): Roadsec na cidade maravilhosa !!! No dia 11/09 será realizado o RoadSec Pró, e o dia 12 está reservado para o RoadSec "tradicional";
  • 15 e 16/09: CNASI São Paulo - O mais antigo evento de segurança, organizado pelo IDETI há mais de 20 anos, é direcionado ao público corporativo nas áreas de segurança, governança e compliance. O Congresso Latinoamericano de Segurança da Informação, Auditoria e Governança (CNASI) possui palestras, mini-cursos e paineis de debate com foco em gestão e pouco conteúdo técnico. Será realizado no centro de exposições do shopping Frei Caneca, com uma grande área de exposições para os patrocinadores;
  • 24/09: Security Leaders Forum Porto Alegre - Mini Security Leaders, com um dia de debates lotados de painelistas, transmitidos ao vivo, e com uma área de exposição;
  • 26/09: RoadSec Florianopolis (twitter @roadsec): Roadsec em Floripa;
• Outubro/2015
• 03/10: RoadSec Porto Alegre (twitter @roadsec): edição gaúcha do Roadsec, em Porto Alegre (RS);
• 08/10: Security Leaders Forum Recife - Um dia de painéis de debates em Recife (PE);
• 17/10: RoadSec Curitiba (PR);
• 17 e 18/10: Conferência O Outro Lado BSides São Paulo (Co0L BSidesSP) (Página no Facebook; twitter @bsidessp) - Esta será a décima segunda edição da Co0L BSidesSP, acontecendo no final de semana anterior a H2HC. A conferência é gratuita, com foco técnico em segurança e cultura hacker em geral (incluindo hardware hacking) diversas atividades simultaneas: palestras, oficinas, debates, diversas competições (CTF, competição de robótica e algumas outras), a BSides 4 Kids, Brazilian Arsenal, Hacker Job Fair e, além disso tudo, um churrasco gratuito para os participantes;
• 19 e 20/10: CNASI Rio de Janeiro - Mini CNASI no Rio de Janeiro, com dois dias de palestras e painéis de debates sobre gestão, auditoria de TI, governança e segurança da informação. O evento também tem uma pequena área de expositores;
• 22 e 23/10: Sacicon - Evento de segurança que tem como principal diferencial o fato da língua oficial ser o Inglês. ou seja, palestrantes e visitantes extrangeiros são bem-vindos. Além do mais, o evento começa na noite de 22/10 com uma festa e continua no dia seguinte com palestras após um "hangover brunch";
• 24 e 25/10: Hackers to Hackers Conference (H2HC) (twitter @h2hconference) - A H2HC é sem dúvida nenhuma o maior, mais importante e mais tradicional evento brasileiro sobre pesquisa em segurança, hacking, pesquisa de vulnerabilidades e novos ataques;
• Novembro/2015
  • 09 e 10/11: CNASI Recife - Edição regional do CNASI em Recife (PE), com dois dias de palestras, painéis de debates e uma pequena área de expositores;
  • 09 a 12/11: XV Simpósio Brasileiro em Segurança da Informação e de Sistemas Computacionais (SBSeg) - Este é o principal evento acadêmico sobre Segurança no Brasil, promovido anualmente pela Sociedade Brasileira de Computação (SBC), a cada ano em uma cidade distinta. Conta com sessões técnicas, minicursos, palestras, workshops, e tutoriais. A edição deste ano será realizada em Florianópolis (SC), organizada pela Universidade Federal de Santa Catarina (UFSC) e pela Universidade do Vale do Itajaí (UNIVALI);
  • 12/11: RoadSec São Paulo - Mega-evento de encerramento do RoadSec. Evento com duas trilhas de palestras, oficinas, fru-frus (food trucks, stands patrocinados, lojas, pinballs, fliperamas, DJs e pocket shows) e, principalmente, com a final do campeonato de CTF (Hackflag) e um super hiper mega show de encerramento com a banda Titãs;
  • 18 e 19/11: Security Leaders - Evento formado por diversos painéis de debates transmitidos ao vivo e com uma área de exposição para os patrocinadores. É um evento baba-ovo, direcionado a atrair gestores de segurança (gerentes, diretores, CSOs, etc) que só aparecem para participar do debate ou receber medalha. Os painéis tem conteúdo fraquíssimo, pois a organização coloca alguns gestores convidados e representantes de fornecedores, sem que necessariamente tenham conhecimento no assunto. Felizmente (ou não) eles lotam o painel com muita gente (sete ou mais participantes!), e assim cada um tem poucos minutos para falar (o que pode ser um alívio). Apesar da baixa qualidade dos painéis, é um evento que atrai muitos patrocinadores;
  • 21/11: Nullbyte Security Conference (Salvador/BA): Segundo ano do evento destinado a movimentar a cena do hacking na capital Baiana. Palestras de excelente qualidade técnica.
• Dezembro/2015
  • 10 e 11/12: GTER e GTS - Eventos tradicionais, organizado pelo Nic.br, que tem um foco bem técnico. O GTS (Grupo de Trabalho em Segurança de Redes) e o GTER (Grupo de Trabalho de Engenharia e Operação de Redes) são gratuitos e vão acontecer em conjunto com a V Semana da Infraestrutura da Internet no Brasil (7 a 11 de dezembro de 2015) em São Paulo. Ambos os eventos acontecem em São Paulo e são transmitidos online.

Além dos eventos brasileiros, neste ano teremos vários eventos internacionais que valem a pena a visita, se sobrar tempo e dinheiro:

• Ago/2015: Black Hat e Defcon, eventos importantíssimos e gigantes que acontecem em Las Vegas (EUA) no início de agosto. A Black Hat (01 a 06/08) é um dos mais importantes eventos de segurança do mundo e a Defcon (06 a 09/08) é a maior conferência hacker do mundo, com dezenas de palestras e atividades simultâneas e ingresso a US$ 220;
• Ago/2015: Chaos Communication Camp (CCCamp): "Acampamento hacker" - ou seja, um evento realizado ao ar livre em formato de acampamento, que ocorre somente uma vez a cada 4 anos. A edição deste ano será nos dias 13 a 17 /10 em um parque formado a partir de uma antiga fábrica de tijolos, perto da cidade de Zehdenick - nos arredores de Berlin (Alemanha). Para quem está no pique, é uma ótima oportunidade de emendar com a viagem para a Defcon ;)
• Ago/2015: BSides Las Vegas, dias 04 e 05/08, na véspera da Defcon. É uma ótima opção para quem quer aproveitar a viagem para a Defcon mas não quer (ou não pode) bancar a inscrição caríssima da Black Hat. Diversas palestras em um clima descontraído, com inscrições gratuitas (no estilo "os primeiros que chegarem entram"). Foi a conferência pioneira no formato Security BSides;
• Set/2015: A BSides Colombia será nos dias 03 e 04 de setembro em Bogotá;
• Out/2015: BSides Chile: nos dias 13 e 14 de Outubro em Santiago;
• Out/2015: 8.8: Evento de segurança que acontece dias 22 e 23 de Outubro em Santiago, no Chile.
• Out/2015: Ekoparty (21 a 23/10) em Buenos Aires, Argentina. A Ekoparty é um excelente evento de segurança, o melhor da América Latina. Evento com foco principal em pesquisa em segurança e excelentes palestras técnicas;
• Dez/2015: CCC: evento gigantesco realizado na Alemanha na semana entre o Natal e o Ano-Novo, atraindo hackers de toda a Europa. Também tem foco em hacking, com palestras técnicas e uma pegada também política. É também o mais antigo evento da atualidade.

Além dos eventos citados acima, que na minha opinião são os mais importantes e relevantes no nosso mercado, recentemente surgiram alguns eventos menores oou focados em assuntos específicos, que estão buscando seu espaço:

• 01 e 02/09 - Conferência it-sa Brasil;
• 03/09 - CSO Summit: Um novo evento, também seguindo o formato de painéis com temas mais gerenciais, que será realizado na universidade Mackenzie, em São Paulo;
• 02 e 03/10 - JampaSec 2015: Novo evento de segurança da informação com foco bem técnico e palestras com temas muito interessantes, que acontece em João Pessoa (PB). Já nasse arretado, com 2 dias de palestras, encerrando cada dia com um painel;
• 09/11 - II Workshop de Tecnologia Eleitoral (WTE 2015) - Faz parte da programação do SBSeg, em Florianópolis (SC).

Para ver uma lista mais completa com todos os eventos de TI e de segurança no Brasil e os principais eventos no mundo, visite o site HackAgenda e a lista disponível em concise-courses.com. .

Se eu esqueci de algum evento brasileiro relevante sobre segurança da informação, me avisem.

Notas:

• Alguns eventos ainda estão sem data marcada: Sacicon, o Roadsec São Paulo e o GTS (evento que normalmente acontece em Dezembro).
• Post atualizado em 20/10 com a data da BSides Chile.
• Post atualizado em 02/09 com informações sobre a Co0L BSidesSP (17 e 18/10) e incluí uma pequena lista com alguns eventos novos na área de segurança, menos relevantes ou menos conhecidos.
• Atualização em 08/09 para incluir referência ao RoadSec Pró no Rio de Janeiro.
• Atualizado em 09/09 com a data do RoadSec São Paulo: 12/11 - data ainda não anunciada no site deles, neste exato momento. Incluí mais informações sobre o RoadSec São Paulo em 24/09.
• Atualização em 14/10, com as informações sobre a Sacicon, que ocorrerá nos dias 22 e 23/10.
• Post atualizado em 09/11 com informações sobre o GTS,

[Segurança] Eventos de Segurança no primeiro semestre de 2015

Seguindo a tradição dos últimos anos, abaixo eu fiz uma pequena lista com os eventos de segurança mais relevantes no primeiro semestre deste ano aqui no Brasil. Ou seja, esta lista mostra os eventos (pequenos ou grandes) que eu considero serem os mais importantes, pois trazem conteúdo de qualidade ou que, ao menos, merecem ser vistos.

O pessoal da Flipside é responsável pelas principais novidades deste ano: a entrada do Roadsec com força, prometendo realizar edições em diversas cidades, e o SecureBrasil sendo rebatizado para "Mind The Sec" e já anunciando o Bruce Schneier como Keynote Speaker. Além disso, os ratos de evento notarão que o pessoal do YSTS quebrou a tradição e, em vez de realizar a conferência em uma segunda-feira, neste ano farão o evento e a festa pós-evento no mesmo dia, na quinta-feira, dia 28 de Maio.

• Fevereiro/2015
  
  • 03/02 a 08/02: Campus Party (twitter @campuspartybra) - Embora a CPBR não seja um evento específico de segurança, já fazem algumas edições que ela mantém uma trilha temática dedicada a Segurança e Redes (batizada nese ano de Arquimedes). Esta trilha é organizada pelo pessoal do Nic.br e do CERT.br e traz palestras interessantes para o público do evento;
• Março/2015
  
  • 24/03: Security Leaders Forum Brasília (twitter @Security_Leader) - Versão "mini-me" do Security Leaders, realizada em algumas capitais e com apenas um dia de duração. Segue o formato original do evento em São Paulo, que agrada o público corporativo: uma série de debates moderados pela Graça Sermoud com conteúdo fraco e um palco lotado de gente. Inclui também uma pequena área de expositores;
  • 28/03: RoadSec Campo Grande (twitter @roadsec) - Campo Grande inaugura a agenda de 2015 deste evento itinerante organizado pela Flipside, que será realizado em diversas cidades brasileiras durante o ano. É uma ótima oportunidade para o publico local aproveitar um dia repleto de oficinas, competições e palestras com alguns palestrantes previamente selecionados e palestrantes locais, escolhidos por Call for Paper;
• Abril/2015
  
  • 11/04: RoadSec Brasília (twitter @roadsec) - A nossa capital federal também recebe o Roadsec, com diversas oficinas, competições e palestras;
  • 25/04: RoadSec Manaus (twitter @roadsec) - Manaus é uma das cidades que vão receber o Roadsec pela primeira vez. Oficinas, competições e palestras imperdíveis;
  • 24 e 25/04: CryptoRave 2015 (twitter @cryptoravebr) - Excelente evento gratuito focado em privacidade e criptografia, que acontece em 2 dias seguidos, vsarando a noite adentro. Os organizadores prometem mais de 37 atividades sobre segurança, criptografia, hacking, anonimato, privacidade e liberdade na rede. Além de música de qualidade a noite;
• Maio/2015
  
  • 07/05: Security Leaders Forum Rio de Janeiro - Os cariocas também recebem a versão "mini-me" do Security Leaders. Debates sem graça com uma pequena área de expositores, que faz a alegria do público corporativo;
  • 16/05: RoadSec Fortaleza (twitter @roadsec) - O Roadsec também passa pelo Nordeste, começando por Fortaleza. Troque a praia por excelentes oficinas, competições e palestras;
  • 24/05: Conferência O Outro Lado Security BSides São Paulo (Co0L BSidesSP) (twitter @bsidessp) - Mini-conferência sobre segurança da informação e cultura hacker que acontecerá no final de semana anterior ao You Sh0t the Sheriff. A conferência é gratuita, com diversas atividades programadas para acontecer simultaneamente: 2 trilhas de palestras, oficinas, competição de CTF e de robótica amadora, Brazilian Arsenal (ferramentas open source criadas por brasileiros), Hacker Carreer Fair e os participantes ainda contam com o nosso "churrascker" e com a presença do Pirates Bar (ambos também são gratuitos);
  • 28/05: You Sh0t the Sheriff (YSTS) (twitter @ystscon) - O YSTS continua sendo um dos eventos de segurança mais importantes no Brasil, "o evento" para ver e ser visto. Tem palestras de excelente qualidade e um clima descontraído, principalmente por conta do open-bar no período da tarde. Também contribui o clima de exclusividade, pois os convites são distribuídos somente pelos patrocinadores (mas em alguns anos os organizadores também colocam uma pequena quantidade de ingressos a venda);
  • 28 a 30/05: GTS-25 (RJ) - O Grupo de Trabalho em Segurança de Redes (GTS), do NIC.br é um evento gratuito, com um foco técnico. Ocorre duas vezes ao ano junto com o GTER - Grupo de Trabalho de Engenharia e Operação de Redes. O GTER-39 e o GTS-25 acontecem neste semestre no Rio de Janeiro, mas quem não comparecer presencialmente sempre pode assistir e interagir remotamente. O GTER acontece no dia 28/5 e o GTS no segundo dia, 29/05. Desta vez o Nic.br também ofereceu tutoriais de redes no sábado 30/05, abordando IPv6 Básico e Roteamento IPv4+IPv6;
  • 30/05: Tosconf  (twitter @tosconf) (Campinas) - a "conferência tosca" organizada todo ano pelo Laboratório Hacker de Campinas (LHC). É um evento com foco técnico em hacking e hardware hacking, que acontece na sede do LHC com palestras e oficinas. Não tem a pretensão de ser um grande evento, mas pela qualidade das palestras e pelo pessoal que frequenta, merece muito a visita. Imperdível.
  • 30/05: RoadSec Natal (twitter @roadsec) - Blá blá blá oficinas, competições e palestras imperdíveis na belíssima cidade de Natal (RN);
• Junho/2015
  
  • 13/06: RoadSec Aracaju (twitter @roadsec) - Blá blá blá Sergipe, oficinas, competições e palestras;
  • 15 e 16/06: CNASI Brasília - Edição regional do CNASI que ocorre em Brasília (DF). Possui duas trilhas de palestras com foco em auditoria, gestão e segurança, e inclui uma área com expositores;
  • 16 a 18/06: CIAB - O CIAB não é um evento de segurança, mas é um evento aonde todos os fabricantes vão. Este é um evento focado na venda de soluções tecnológicas para o mercado financeiro (ou seja, o pessoal que tem grana), variando desde segurança de TI até caixas aletrônicos, equipamentos para contagem de notas, segurança de agências, etc. O evento tem uma área de exposição enorme, com grandes stands e uma grade de palestras para atrair os bancos brasileiros. Presença é obrigatória para quem trabalha no setor financeiro ou em algum fornecedor de soluções de segurança;
  • 20/06: RoadSec Salvador (twitter @roadsec) - Quem disse que baiano só gosta de Axé? Salvador também recebe o Roadsec com, adivinhe... excelentes oficinas, competições e palestras ;)
  • 20 e 21/06: BHack Conference (Belo Horizonte) (twitter: @bhackconference) - Terceira edição deste evento de segurança mineiro, que inclui alguns cursos e um mix de palestras técnicas e gerenciais de excelente qualidade.

Falando em alguns dos eventos internacionais imperdíveis, nesse ano também teremos o CCCamp na Alemanha (13 a 17 de Agosto), evento que acontece apenas uma vez a cada 4 anos. E será uma semana depois da Defcon (que acontece em Las Vegas/EUA de 06 a 09 de Agosto). É uma ótima oportunidade para emendar as duas viagens ;)

Para quem tem vontade de ir em eventos aqui na América Latina, teremos 4 edições da BSides na região: BSidesBolivia (Twitter @BSidesBolivia - 29 Abril 2015), a BSidesPeru (@BSidesPeru - 06 de Maio), Porto Rico (@BSidesPR - 29 e 30 de Maio), a BSides Chile (@BSidesCL - 20 e 21 de Outubro) e a BSides Colombia (@BSides_CO). Além delas, em Portugal será realizada a segunda edição da BSidesLisbon (Twitter: @BSidesLisbon), no dia 3 de Julho.

Putz, parece muita coisa, né? E olha que eu excluí alguns eventos que eu considero que tem pouca relevância, pois não trazem nenhuma novidade em termos de conteúdo ou formato, ou simplesmente parecem não ter conteúdo de qualidade. Veja, por exemplo, os eventos abaixo e tende achar a diferença entre eles...

• No dia 31/03/15 a FIESP vai fazer o "Congresso Nacional de Segurança Cibernética"
• No dia 26/05 o Mackenzie vai fazer o "1º Seminário Nacional de Cyber Segurança" (um evento que promete ser formado por painéis, igual ao Security Leaders)

Passa o Google translator nos 2, troca seminário por congresso (ou vice-versa) e temos 2 eventos idênticos, e provavelmente cada um deles se acha a maior novidade no pedaço. Outro triste exemplo é a Conferência it-sa Brasil, a versão Brazuca de um mega-evento alemão que veio para cá em 2014, que recebe mais de 7000 participantes lá fora e que aqui, no ano passado, juntou apenas 100 (cem) pessoas.

Se você tiver a oportunidade de participar de algum evento neste semenstre, a minha recomendação é que não deixe de ir na Co0L BSidesSP, no YSTS e na BHack. Também vamos ficar de olho na agenda do GTS (que ainda não tem nem data anunciada). E, se possível, participe da Tosconf também, em Campinas. E vá também na CryptoRave 2015 !!!

Como normalmente o segundo semestre é lotado de eventos, já vou adiantar um pouquinho da agenda...

• 04/07: Roadsec Recife (PE)
• 18/07: Roadsec Vitória (ES)
• 01/08: Roadsec Belo Horizonte (MG)
• 13/08: Security Leaders Forum Belo Horizonte
• 25 a 27/08: Fórum RNP
• 26 e 27/08: Mind The Sec
• 12/09: Roadsec Rio de Janeiro (RJ)
• 15 e 16/09: CNASI São Paulo
• 24/09: Security Leaders Forum Porto Alegre
• 26/09: Roadsec Florianópolis (SC)
• 03/10: Roadsec Porto Alegre(RS)
• 08/10: Security Leaders Forum Recife
• 17/10: Roadsec Curitiba (PR)
• 19 e 20/10: CNASI Rio de Janeiro
• 24 e 25/10: H2HC
• 09 e 10/11: CNASI Recife
• 18 e 19/11: Security Leaders São Paulo

Para ver uma lista mais completa com todos os eventos de TI (e segurança) no Brasil e os principais eventos no mundo, eu recomendo o site HackAgenda e a lista disponível no site concise-courses.com. Além desses dois, o site Agenda TI e o site Security Phresh costumavam ser boas referências, mas aparentemente não são atualizados há alguns meses :(

Se eu esqueci de algum evento brasileiro importante, me avisem.

Notas:

• Exceto quando indicado em contrário, o evento é em São Paulo (por isso já dá para perceber como SP concentra uma grande quantidade de eventos!).
• Post atualizado em 19/03 com informações sobre a CryptoRave 2015 (dias 24 e 25/04), e as nossas BSides vizinhas: BSidesBolivia, BSidesPeru, Porto Rico, BSides Chile, a BSides Colombia e a BSidesLisbon, em Portugal.
• Atualização em 02/06: Correção na data do CNASI SP e incluão (póstuma) de informações sobre o GTS-25.

[Segurança] Heartbleed: o bug que faz o SSL sangrar...

De repente chegaram dezenas de mensagens nas listas de discussão, Twitter e até mesmo no Facebook sobre isso...

No dia 07/Abril foi divulgado um bug muito sério no OpenSSL, batizado de Heartbleed (CVE-2014-0160), que é causado por uma falha de implementação no TLS que permite ao atacante obter dados da memória do servidor.

Explorando essa vulnerabilidade, um atacante consegue obter vários blocos aleatórios da memória do servidor SSL, de 64 KB de tamanho cada, e assim remontar esses blocos de dados e ter acesso aos dados que estõa sendo tratados pelo servidor, tais como os dados criptografados na navegação do usuário (mensagens, senhas, etc) e até mesmo as próprias chaves de criptografia utilizadas pelo servidor.

O Bruce Schneier (pausa para babação de ovo) considerou o bug do Heartbleed como uma vulnerabilidade catastrófica ("de 0 a 10, merece 11").

Mas não é para menos, pois essa vulnerabilidade na biblioteca criptográfica do OpenSSL afeta milhões de servidores web em todo o mundo, uma vez que o OpenSSL é utilizado nos servidores Apache e nginx, dois dos softwares mais populares para servidores web: os dois juntos representam cerca de 66% dos sites ativos na Internet. Além disso, o OpenSSL é usado para proteger servidores de e-mail, é usado em redes privadas virtuais (SSL VPNs), e até mesmo em dispositivos de rede e diversos outros softwares. Segundo estimativas da Netcraft, 17,5% dos servidores SSL em todo o mundo estão vulneráveis ao bug, representando cerca de meio milhão de sites.

Oh! E agora, quem poderá nos defender?

• O pessoal do OpenSSL publicou um pequeno Advisory que indica quais são as versões vulneráveis: 1.0.1 e 1.0.2-beta, incluindo todas as versões até 1.0.1f e 1.0.2-beta1.
• Para corrigir o problema, deve-se fazer o upgrade para a versão 1.0.1g ou recompilar o seu OpenSSL com a opção -DOPENSSL_NO_HEARTBEATS
• Teste se a sua versão do OpenSSL é vulnerável
• O site do Heartbleed tem muita informação sobre o bug em formato de uma longa FAQ
• O Sandro Suffert publicou uma lista com vários detalhes e dicas

Pequeno update (24/4): a N-Stalker lançou uma ferramenta gratuita para testar se o servidor está vulnerável ao bug do Heartbleed.

[Segurança] Proteja as suas senhas!

Como fazer para memorizar as suas senhas?

A melhor forma de proteger suas contas online é utilizar senhas complexas, difíceis de serem adivinhadas, e usar senhas diferentes para cada serviço ou site que você usa. Entretanto, seguir uma boa política de senhas pode ser algo impraticável, devido a enorme quantidade de senhas que toos temos ue memorizar no nosso dia-a-dia.

Mas, não se desespere! Agora você pode contar com o "Internet Password Minder" por apenas 10 dólares:


Este vídeo do programa da Ellen DeGeneris faz uma boa sátira ao produto. Independente do Password Minder ser real ou não (na verdade, ele nada mais é do que uma agenda de telefones adaptada para os dias de hoje!), existem diversos softwares que fazem praticamente a mesma coisa: guardam suas senhas. São soluções como o Password Safe, criado há vários anos atrás pelo Bruce Schneier.

Você já fez as contas de quantas senhas guarda hoje em dia? Senhas do banco, dos seus e-mails, do Facebook, twitter, Linkedin, além das senhas da empresa? Senha do seu computador pessoal, iPad, celular, etc? É de pirar o cabeção... Ainda mais para o usuário comum.

Por isso, mesmo que pareça ridículo a primeira vista, de repente ter um caderninho com suas senhas anotadas pode ser uma solução. Ou usar um software específico para isso (e torcer para o software ou o computador que ele está instalado não darem problema). Ou criar uma política de senhas aonde você consiga criar senhas fortes e diferentes ao mesmo tempo. Há quem consiga fazer isso !

[Segurança] Futuro da área de segurança, segundo o Bruce Schneier

Foi divulgado, na CISSP-Forum, um artigo muito interessante publicado na TechDirt Daily, chamado "Security-As-A-Feature And The Economics of Abundance", onde o autor (Timothy Lee) faz análises em cima de algumas opiniões do guru Bruce Schneier. O que me chamou a atenção foi o trecho abaixo:

Security products are increasingly becoming commodities. Obviously the software ones - anti-virus tools, software firewalls, intrusion detection systems - have a marginal cost of zero, and even many of the hardware devices are built on commodity parts that get cheaper every month. What hasn't gotten cheaper is the expertise required to put the bewildering array of security tools together into a coherent system that's customized for a firm's particular business. Indeed, as security products have gotten more numerous and more complex, it has actually gotten harder to keep track of them all and know which security tools are the best ones to use in any given situation.

A cada dia, as soluções tradicionais de segurança começam a fazer parte da infra-estrutura operacional básica de uma empresa (ninguém imagina uma rede sem Firewall nem um computador sem anti-vírus). Ao mesmo tempo, as tecnologias tradicionais de segurança vão atingindo um grau cada vez maior de maturidade que torna-se difícil distinguir ferramentas de concorrentes distintos: todas cobrem as funcionalidades "básicas" e, quando alguma lança algum tipo de recurso "avançado", certamente os concorrentes o farão em um curto prazo. Assim, as tecnologias de segurança tornam-se "commodities", simples produtos de prateleira. Nessa hora é que entra a capacidade do profissional de segurança e indentificar, dentro de todo o leque possível de tecnologias, ferramentas e fornecedores, quais são as ferramentas de segurança que realmente agregam valor ao negócio.

Uma empresa não compra soluções de segurança porque quer. Compra porque precisa, porque sua infra-estrutura tecnológica, por si só, não é capaz de garantir a segurança necessária contra os riscos de negócio e contra os ataques e ameaças do dia-a-dia. As soluções de segurança funcionam como uma proteção preventiva: já que a rede não tem condições de se proteger sozinha, já que as aplicações tem bugs, vamos adicionar uma camada de proteção nelas. Outro trecho deste mesmo artigo mostra isso muito bem, do ponto de vista de negócio:

(...) non-security-focused software firms buying security firms to help bolster the security and reputation of their products. This may indicate that developers of other software products are recognizing that better security is one of the key features customers are demanding in their products.

A indústria tem se mostrado, historicamente, incapaz de fabricar um software seguro. Por outro lado, a empresa não quer comprar segurança: ela quer comprar o software, a aplicação que atende sua necessidade imediata de negócio (sua folha de pagamento, seu sistema contábil, seu site de comércio eletrônico). Uma solução dedicada de segurança existe justamente porque a empresa está buscando meios de trazer segurança ao seu negócio. Hoje a empresa tem que comprar dezenas de softwares e ferramentas de segurança (Firewall, IDS, IPD, anti-virus, personal firewall, criptografia, backup, etc) justamente porque a infra-estrutura de TI não consegue garantir sua disponibilidade, confidencialidade e integridade por si só.

[Segurança] Bruce Schneier na RSA Conference 2007

O nosso guru Bruce Schneier fez uma apresentação muito interessante na RSA Conference sobre "The Psychology of Security", onde ele abordou como a percepção humana de risco pode variar facilmente, sem que haja necessariamente alguma mudança envolvida.

A nossa percepção pode ser influenciada por diversos fatores, e foram apresentados resultados de várias pesquisas. Por exemplo, se você tivesse que decidir entre duas ações que poderiam salvar a vida de 600 pessoas - na primeira provavelmente poderia salvar 400 pessoas, e a segunda poderia causar a morte de 200 pessoas. Qual você escolheria? Embora os número sejam idênticos, a maioria das pessoas opta pela opção onde se fala em salvamento de vidas.

A palestra foi baseada em um artigo recente dele, colocado em seu site, e que vale a pena ser lido para começarmos a entender como a nossa mente lida com esse tipo de percepção em segurança.