[Segurança] Mini-site sobre Ameaças da Symantec

A Symantec, que neste ano completa 25 anos, lançou com bastante divulgação na mídia um mini-site chamado "Relatório de Ameaças" para divulgar as descobertas de ameaças globais e regionais na internet que são publicadas em seu relatório semestral Internet Security Threat Report (ISTR).

O site, que pode ser meio demorado para carregar na primeira vez, é um resumão do relatório, apresentando as principais estatísticas sobre ameaças, vulnerabilidades, ataques e códigos maliciosos. São dados bem interessantes, apresentados de uma forma bem simples e fácil de entender.

A página sobre o Mercado Negro merece destaque, por apresentar uma visão rápida sobre o funcionamento do mercado negro de informações e ameaças digitais.

No site também é possível abaixar o relatório Internet Security Threat Report (ISTR) em partes ou completo (134 páginas). O relatório é bem extenso e com muita informação valiosa. Há vários anos ele tem sido produzido e já se tornou uma boa referência no mercado.

[Segurança] DISI 2007 - Dia Internacional de Seguranca em Informatica

O Computer Security Day (CSD) é uma data comemorada desde 1988, no dia 30 de novembro, com objetivo de aumentar a conscientização sobre segurança em TI e, portanto, ser uma forma de lembrar aos usuários a importância de manter seus computadores seguros. No Brasil esta data é chamada por muitos de "Dia Internacional de Segurança em Informática"

A RNP (Rede Nacional de Ensino e Pesquisa), através do Centro de Atendimento a Incidentes de Segurança (CAIS), está organizando pelo terceiro ano consecutivo o Dia Internacional de Segurança em Informática - DISI 2007 e está aproveitando esta data para comemorar o aniversário de 10 anos do CAIS.

O evento é direcionado aos usuários finais e visa divulgar informações sobre segurança e boas práticas, com uma linguagem acessível e de forma gratuita. Neste dia acontecerão palestras abertas ao público (no Rio de Janeiro) das 08h30 até as 12h30h. Pode-se participar do evento presencialmente ou pela Internet.

A FIESP e 3º CTA do Exército também realizarão um evento nesta data, chamado de CSD.SP.BR-2007 com palestras muito interessantes do Dr. Renato Ópice Blum, Edison Fontes e Andrew Cushman, diretor de internacional da Microsoft, que poderão ser assistidas ao vivo pela Internet.

Esta é uma data que todas as empresas podem utilizar para realizar atividades internas de conscientização de seus usuários. Muitas empresas já o fazem.

No site www.computersecurityday.org foram disponibilizados alguns posters para download gratuitamente. O site do CAIS também tem muita informação. No site do CSD.SP.BR-2007 foi colocada uma "Lista de ações de A - Z" - muito criativo e bem feito !!!

[Cybercultura] Cartoons bem legais

O Site Savage Chickens tem uns cartoons bem legais. A proposta é de piadinhas baseado em um conjunto de personagens (os principais são umas galinhas e um robozinho) em várias situações engraçadas.

O interessante é que a proposta é de "fazer uma piada em um post-it", ou seja, os cartoons são simples e com um único quadro.

Bem bolado !!!

[Segurança] ISSA Day Novembro: Riscos e Direito Digital

O ISSA Day de novembro ocorrerá na próxima segunda-feira, dia 26/11/07, Neste dia teremos uma palestra da CLM sobre risco operacional e a palestra da Dra. Patrícia Peck sobre aplicações do direito digital nas empresas.

O evento é organizado pela ISSA Brasil.

O ISSA Day é um encontro mensal, onde sempre trazemos assuntos de destaque no mercado de segurança da informação. Nosso objetivo é garantir um encontro diversificado e de grande interesse, por isso cada mês abordamos temas atuais e sempre buscamos realizar o encontro em novos parceiros. O encontro é um meio de promover a atualização profissonal e o networking entre os profissionais de segurança. Normalmente o encontro é realizado em São Paulo, que concentra a maioria dos profissionais da área, mas já realizamos uma edição no Rio de Janeiro e outra em Belo Horizonte.

O ISSA Day de novembro será patrocinado pela CLM Software e contaremos com a presença da Dra. Patricia Peck. A agenda do encontro segue abaixo:

19:00 ~ 19:15 - Recepção
19:15 ~ 19:30 - Apresentação da ISSA
19:30 ~ 20:15 - Apresentação CLM: "Convergência entre Segurança da Informação e Risco Operacional", Francisco Camargo, CEO
20:15 ~ 20:45 - Coffee-break e networking
20:45 ~ 22:00 - Palestra "Direito Digital e Gestão do Risco Eletrônico nas Empresas", Dra. Patricia Peck e Dr. Diego Camargo Fuschini

O encontro será no Sonesta Ibirapuera (Av. Ibirapuera, 2534, Moema) e as inscrições, gratuitas, devem ser feitas através do site da ISSA Brasil.

[Segurança] Global Incident Map

Através da lista CISSPForum tomei conhecimento do site Global Incident Map, que apresenta de uma forma bem interessante uma relação atualizada de todos os incidentes de segurança e ações de terrorismo que estão ocorrendo mundialmente.

Na página principal, além do mapa mundi com indicação dos eventos, há a lista de todos os incidentes mais recentes (onde é possível clicar para ter acesso a notícia relacionada), além de um mecanismo de busca. O site apresenta notícias relacionadas a vários tipos de incidentes, tais como: acidentes na aviação, assassinatos e ataques de franco-atiradores, acidentes biológicos, explosões, ataques químicos, ameaças a infra-estrutura de óleo/gás, notícias relacionadas a terrorismo, etc.

Segundo o site, a coleta e avaliação das notícias é feita manualmente. Fiz uma busca pelos eventos ocorridos no Brasil e, apesar de constarem alguns eventos, senti a falta dos nossos recentes acidentes aéreos. Na busca por tipos de eventos, a maioria dos casos listados na categoria "Airport/Aviation Incidents" é relacionado a ações terroristas, criminosas ou suspeitas, mas possui também alguns casos de acidente aéreo). Por isso me parece que a cobertura aos eventos no Brasil é um pouco falha.

De qualquer forma, este site é bem interessante e pode ser utilizado por profissionais de segurança, de análise de risco ou do governo para acompanhar os principais eventos relacionados a segurança em todo o mundo.

[Mundo Corporativo] Frase do Dia

Essa eu acabei de ouvir e adorei:

"Se o cliente não pediu, não ofereça."

Ou seja, se você estiver desenvolvendo um produto e oferecer ao cliente uma funcionalidade que ele não pediu (ou sequer imaginou), ele vai exigir isso de você e não vai querer pagar a mais.

Na verdade, a melhor forma de encantar um cliente é apresentar uma funcionalidade nova quando ela já estiver pronta, entregando-lhe um produto final que vai além do que ele tinha como expectativa. Alimentar a expectativa do cliente com algo que você não tem e que vai ser custoso não é uma boa estratégia :o)

[Segurança] "Spear Phishing Attack"

Hoje vi que a família dos malwares (códigos maliciosos) ganhou há não muito tempo atrás um membro que eu desconhecia: o "Spear Phishing Attack".

Até agora pouco já tínhamos uma família bem numerosa, formada pelos famosos vírus, pelos vermes ("worms"), trojans (ou "cavalos de tróia"), keyloggers (os softwares de captura de teclado), rootkits (que atacam o sistema operacional para perpertuar e esconder uma invasão), os bots (ferramentas de ataque que misturam o pelhor - ou pior - dos trojans, keyloggers e rootkits, mais a acapacidade de efetuar ataques contra terceiros) e os ataques de "phishing".

Os ataques de "Spear Phishing" são ataques de e-mail, baseados no mesmo princípio do "phishing scam" (mensagens falsas que te induzem a repassar alguma informação ou fazer o download de algum arquivo), porém altamente direcionados para um determinado grupo de pessoas ou membros de um departamento de uma determinada empresa.

Da mesma forma que o termo "phishing" remete a imagem da "pescaria" de senhas, o "spear phishing" é a pesca mais especializada (na tradução literal, poderia ser a pesca com arpão).

Este tipo de ataque usa, por exemplo, características visuais que o fazem parecer com uma mensagem interna ou um e-mail corporativo. Poderia ser uma falsa comunicação corporativa pedindo dados pessoais ou solicitando que o usuário faça o download de um arquivo e/ou software. Ou uma mensagem aparentemente enviada por um colega de trabalho.

"Spear-phishing is a distilled and potentially more potent version of phishing." (NYT)

Geralmente este tipo de ataque, por ser bem direcionado, é difícil de ser detectado e é realizado por grupos "hackers" organizados, em busca de ganhos financeiros, roubo de dados e espionagem industrial ou militar.

Pesquisando na Internet achei algumas referências interessantes:

• Página na Microsoft sobre o tema: "Spear phishing: Highly targeted scams"
  
• Página similar, da Microsoft Brasil, em português: "O que é spear phishing?"
  
• Página similar, do grupo Anti-Phishing da Nigeria, sobre "SPEAR PHISHING" (com várias informações adicionais sobre Phishing em geral)
  
• Reportagem do New York Times, de dezembro de 2005, sobre os ataques de Spear Phishing: "Gone Spear-Phishin'"
  
• Reportagem do site eWeek, também de dezembro de 2005, sobre os ataques de Spear Phishing contra o banco Credit Unions:
  "Spear Phishing Attack Targets Credit Unions"
  

Na página da Microsoft há algumas dicas sobre como se prevenir contra estes ataques. Basicamente, são as mesmas dicas válidas para se proteger dos tradicionais ataques de phishing e dos Spams: nunca acredite em nada que você receba por e-mail. suspeite de tudo e, principalmente, sempre tenha muito cuidado ao abrir arquivos anexados ou clicar em links. Sempre verifique muito bem a origem das mensagens que você recebe.

E desconfie de tudo que pareça minimamente suspeito.

[Segurança] ISSA Day - outubro

No próximo dia 31 de outubro (quarta-feira) o Capítulo Brasil/SP da ISSA realizará mais uma edição do ISSA Day, o encontro mensal aberto a todos os associados e profissionais interessados. Neste mês o evento será patrocinado e acontecerá nas dependências da Microsoft e contaremos com a uma palestra sobre Tendências em Fraudes de Henrique Takaki, Gerente de Segurança de Dados da Visanet.

As inscrições devem ser feitas no site da ISSA Brasil.

No mês passado, setembro, também realizamos um evento focado em fraudes, onde apresentamos as novas tendências de códigos maliciosos e as principais formas de defesa disponível. Nesta ocasião, contamos com um palestrante internacional: o Ralph Thomas, gerente do time de pesquisa de códigod maliciosos da VeriSign, apresentou com exclusividade para a ISSA as pesquisas que ele apresentou no ICCyber 2007 e ganhou o prêmio de melhor trabalho da conferência. em setembro contamos com o apoio da Daryus, que nos cedeu a infra-estrutura para o encontro.

[Segurança] DefCon XV - Novidades e Tendências

Em agosto deste ano aconteceu em Las Vegas a XV edição da Defcon, a maior e mais tradicional conferência de "hackers". Eu, e mais um grupo numeroso de brasileiros, tivemos a oportunidade de participar do evento e conhecer as principais novidades na área de segurança.

Os temas que dominaram a maioria das palestras e, portanto na minha opinião representam as principais tendências da área de segurança, são as seguintes:

• Information Warfare: A Guerra eletrônica, com nações combatendo e se espionando pela Internet, hoje já é realidade. Acontece na Guerra do Iraque (assisti uma palestra que falou superficialmente sobre os objetivos de uma divisão da Marinha americana especialista em guerra eletrônica) e neste ano ficou famoso o caso da Estônia, que teve seus sistemas governamentais on-line atacados por, aparentemente, grupos russos;
  
• O Mercado de Malware e bots está a pleno vapor: já existe todo um comércio underground de bots, que movimenta muito dinheiro e faz com que seja muito fácil cometer crimes eletrônicos;
  
• Ataques a/entre servidores virtuais: no momento em que o principal assunto da área de TI é a virtualização como forma de racionalizar os recursos das empresas, a comunidade hacker está atenta e estudando as principais brechas de segurança nas ferramentas de virtualização. E elas existem;
  
• Invasão através dos browsers: o foco principal agora é o ataque direto na camada de aplicação, no browser, afetando diretamente o usuário. Isto ocorre através de técnica de "SideJacking", do uso de arquivos de midia como vetor de infecção e, até mesmo, usando os recursos de "gadgets" (comuns no sidebar do Vista, igoogle, yahoo, etc) para criar pequenos trojans;
  
• A fragilidade das redes sociais: além de serem conhecidas como fonte de informação valiosa para Engenharia Social e alvo de recentes vírus e phishing scams, existe hoje diversas linhas de pesquisa onde estão buscando vulnerabilidades nestes sites. Já é fácil capturar senhas e roubar a seção de um usuário em alguns destes sites.

Em agosto promovemos um ISSA DAY na BRConnection onde eu, o Ferfon e o Willian apresentamos um rápido sumário das principais palestras do evento e discutimos estes pontos com a audiência.

[Administrativa] Longas Férias

Cometi o maior pecado que pode ocorrer no mundo on-line: fiquei meses sem atualizar este blog !!!
Peço desculpas aos meus visitantes (assíduos e esporádicos, curiosos e amigos).
Se é possível justificar o injustificável, então digo que a principal causa deste crime foi um período de férias em Julho, seguido de um ritmo incessante de viagens a trabalho (incluindo a DefCon em Las Vegas, visitas a clientes no México, Peru e Chile, e a Futurecom, na linda Floripa, no começo de outubro).