[Segurança] Metodologias de análise de risco

Li hoje uma mensagem do Marcello Mezzanotti na lista CISSP-BR sobre uma página com informações básicas sobre as principais metodologias de análise de risco:

http://ismspt.blogspot.com/2005/11/metodologias-de-anlise-de-risco.html


Uma opção que não está citada neste documento é o "Guia de Gerenciamento de Riscos de Segurança" da Microsoft. É um material bem interessante e extenso.

[Segurança] Material sobre CISSP

Hoje recebi uma dica legal pela lista CISSP-BR, sobre um material muito bom, da Shon Harris (autora do livro All-In-One), disponibilizado livremente pela Internet:

Security School: Training for CISSP certification
Hone the skills necessary to pass (ISC)2's CISSP exam with our free Security School taught by author and security expert Shon Harris.
http://go.techtarget.com/r/37833/4999425

Neste site iremos encontrar, para cada domínio do CISSP, um texto com o resumão do assunto, entitulado "Domain Spotlight" e, após o preenchimento de um cadastro, é possível acessar também um webcast sobre o domínio.

De volta

Estou de volta após um tempinho sumido. Viajei para a sede da VeriSign (em Mountain View, bem no vale do silício) durante um pouco mais de uma semana e isto me consumiu bastante tempo (antes, durante e depois). A propósito, coloquei algumas fotos da viagem em meu fotolog.

Mas, após muito trabalho, estou de volta.

Só para aquecer, quero transcrever abaixo uma frase legal do Bruce Schneier que passaram hoje na lista de discussão do CISSP Forum:

"Any company that won't discuss its algorithms or protocols has something to hide. There's no other possible reason."

[Segurança] Microsoft

O Ricardo Banffy, com quem trabalhei em 96 no BOL, escreveu um artigo bem legal na Web Insider com nome de "Falha de segurança no Windows? Não é comigo".

Oras bolas, quando nos conhecemos, o Banffy era um Microsoftiano. Ou seja, ele é uma pessoa que conhece, utiliza e convive com os produtos Microsoft no dia-a-dia há muitos anos. Mas ele não se limitou ao mundo Microsoft. Nós tínhamos servidores Linux no BOL em uma época em que ninguém sabia o que era Linux (e os que tinham ouvido falar eram contra). Por isso mesmo, considero este material muito bom: ele conhece tecnologia, viveu essa evolução recente que tivemos desde os primórdios da Internet e seu artigo reconhece que o ambiente Windows representa um risco de segurança (pelo histórico de problemas que temos até hoje), ao mesmo tempo que a mudança para outro ambiente não é algo trivial.

A Microsoft melhorou muito a sua postura com relação aos problemas de segurança que temos enfrentado de forma exponencial desde o surgimento da Internet. De um ou dois anos para cá ela deixou de lado uma postura reativa (se limitando a lançar hotfixes conforme iam surgindo vulnerabilidades) para uma posição preventiva, facilitando o processo de atualização dos equipamentos (o Windows Update), divulgando conceitos e cuidados de segurança entre os profissionais (www.microsoft.com/security para o público em geral e a Technet), correndo atrás de soluções de personal firewall, anti spyware, etc (mesmo que não sejam consideradas as melhores do mercado, representam um avanço para um ambiente mais seguro para os usuários leigos em geral).

Feliz 2006 para todos !!!!

Poizé, Feliz ano novo para todos.

Este ano foi muito bom para mim, não posso reclamar: ganhei um afilhado lindo (o Felipe, filho do meu irmão), a Boopie (minha cadela) teve 4 filhotinhos nos últimos dias do ano, fiz este blog, troquei de emprego (comecei em setembro na VeriSign, que está sendo óoootimo) e tirei uma excelente certificação profissional: CISSP (que deu muito trabalho, mas deu tudo certo).

Do ponto de vista profissional, um artigo da IDG Now! resumiu os principais acontecimentos de segurança neste ano: o aumento do crime online (phishing, pharming, rootkits, etc), a busca de vulnerabilidades em CISCO pelo Lynn (ex-ISS, atual Juniper), a discussão sobre o rootkit da Sony e a gigante Microsoft trabalhando pesado para garantir mais segurança em suas ferramentas e, principalmente, divulgando ações e informações sobre segurança.

Poizé, que venha 2006!!!
:)

[Cultura] Documentário sobre a Rede Globo

Em 1993 foi produzido um documentário pela tv inglesa Channel Four chamado "Beyond Citizen Kane" ("Além do Cidadão Kane"), que conta a história da Rede Globo de Televisão e seu poder de manipulação das notícias e fatos.

Este filme foi proibido no Brasil graças a uma ação judicial. Na época, entretanto, algumas cópias circulavam clandestinamente e eu assisti o filme no centro acadêmico da faculdade (nesta época eu participava do CAMAT - IME/USP) pois uma colega conseguiu uma cópia para fazermos 2 apresentações.

Hoje recebi um link através de um amigo (dum_dum) que conta a história deste documentário:
http://pt.wikipedia.org/wiki/Beyond_Citizen_Kane

Vale a pena dar uma olhada !!! Principalmente para as pessoas que acreditam em tudo o que vêem na mídia (TV, rádio, jornal, etc) ou acham que não somos manipulados diariamente.

Feliz Natal !!!

Ok, ok... sei que o Natal foi ontem.

Mas não posso deixar passar a data sem fazer três comentários:

Veja Papai Noel voando na noite de Natal

O pessoal do Norad, o centro de vigilância aérea do governo Americano, monitora todo o vôo do Papai Noel a partir do momento que ele parte do polo Norte na noite de Natal. Acompanhe o vôo e veja os vídeos no site deles: http://www.noradsanta.org .
Isto é possível pois os satélites deles conseguem acompanhar o nariz vermelho da rena Rudolph.
Este site existe há vários anos (a primeira vez que vi acho que foi em 98), e esta iniciativa deles comemorou 50 anos (veja notícia no site do Norad).

Frase do Papa sobre o Natal

Neste ano o Papa disse uma frase que representa o que infelizmente acontece nesta data: "Na atual sociedade de consumo, este período sofre infelizmente uma espécie de 'contaminação' comercial que pode alterar seu autêntico espírito, caracterizado pelo recolhimento, pela sobriedade e por uma glória não exterior, mas íntima". (Fonte: UOL)

Papai Noel existe?

Eu vi este texto no portal Saúde Animal e vou transcrevê-lo aqui, pois ele passa a magia que é o Natal, uma época que deveríamos valorizar mais as pessoas, os amigos, a família, as boas ações, etc:

Virginia O'Hanlon Douglas, filha de um médico de Nova York, escreveu para o jornal The Sun (o grande jornal da época nos USA) perguntando: "Papai Noel Existe?" Isto foi em 1887. O jornal publicou a carta e a resposta do editorialista Francis Church. Ambas tornaram-se imediatamente famosas na imprensa mundial e o The Sun reproduziu-as anualmente, por ocasião do Natal, até o seu último número, em 1949. Depois, o texto acabou sendo publicado sob a forma de livro e batendo vários recordes de venda nos Estados Unidos. Abaixo, a carta e a resposta que comoveu milhões de pessoas.

Prezado Editor:
Tenho oito anos. Alguns de meus amiguinhos dizem que Papai Noel não existe. Papai sempre diz: "Se está no The Sun, é verdade". Por favor, conte-me a verdade: Papai Noel existe?

RESPOSTA:
Virgínia, seus amiguinhos estão errados. Foram contaminados pelo ceticismo de uma época cética. Só acreditam no que vêem. Eles pensam que não pode existir nada que não seja compreensível por seus pequenos cérebros.

Todas as mentes, Virgínia, de adultos ou de crianças, são estreitas. Nesse nosso enorme universo, o intelecto do homem é como o de uma formiga, tanto comparado ao mundo enorme e infinito que está acima dele, quanto diante da inteligência capaz de alcançar toda a verdade e conhecimento.

Sim, Virgínia, Papai Noel existe. Ele existe tão certamente quanto a generosidade, o amor e a devoção, e você sabe que há tudo isso em abundância, dando à vida as mais elevadas alegrias e belezas.

Ah! como seria triste o mundo se não houvesse Papai Noel. Seria tão triste quanto se não houvesse as Virginais.

Não haveria, então, a fé infantil, a poesia e o espírito de aventura que tornam a existência tolerável. Não teríamos prazer além dos sentidos. A luz eterna, com a qual inunda o mundo, estaria extinta.

Não acreditar em Papai Noel seria o mesmo que não acreditarem fadas. Você poderia fazer seu pai contratar homens para vigiar todas as chaminés e pegar Papai Noel na Noite de Natal. Mas,mesmo se eles não virem Papai Noel descendo, o que isso provaria? Ninguém vê Papai Noel, mas isso não quer dizer que Papai Noel não exista.

Alguma vez você já viu fadas dançando na grama? Naturalmente que não, mas isso não é uma prova de que elas não estejam lá. Ninguém pode conceber ou imaginar todas as maravilhas invisíveis e imperceptíveis do mundo. As coisas mais reais do mundo são aquelas que nem as crianças nem os adultos podem ver...

Você pode arrebentar em pedaços o guizo da boneca e ver o que faz o barulho lá dentro, mas há um véu cobrindo o mundo invisível que nem mesmo a força conjunta de todos os homens fortes que já viveram, poderia rasgar em pedaços, Virgínia.

Só a fé, a fantasia, a poesia, o amor, a aventura, podem abrir essa cortina, observar e descrever toda a beleza e a glória celestiais. Tudo isso é real? Ah, Virgínia, em todo este mundo não há nada mais real e duradouro.

Não existir Papai Noel! Graças a Deus ele vive e viverá para sempre. Daqui a mil anos, Virginía - não, dez vezes mil anos, ele continuará a fazer feliz o coração da infância.

[Segurança] Teste da "mesa limpa"

Quando falamos em segurança para os usuários finais da empresa, um tópico que sempre é abordado é o que chamamos de "Mesa Limpa". Ou seja, o cuidado em se manter o ambiente de escritório organizado e, principalmente, que o funcionário não deixe documentos e materiais confidenciais e importantes em cima da mesa, de modo que possam ser facilmente vistos ou furtados por pessoas mal intencionadas (ex: disquetes, relatórios, documentos em geral).

Tem uma página muito legal, no site do CSO Online, que tem um teste chamado "The Clean Desk Test". Você pode ver exemplos de coisas que não devem ficar "jogadas" em cima da mesa e clicar nos ítens que tem na sua mesa de trabalho. Se sua mesa se parece com esta do teste, então você deve tomar mais cuidado !

[Segurança] Relatório "Internet Security Intelligence Briefing"

A VeriSign disponibiliza periodicamente um relatório chamado "Internet Security Intelligence Briefing", que é bem interessante pois contém um resumo dos principais fatos referente a Internet e Segurança ocorridos nos últimos meses.

[Segurança] Animação com exemplo de ataque SQL

No site http://scoobygang.org/magicsql/ há uma animação bem legal sobre o uso de uma ferramenta de exploit chamada Automagic SQL Injector para invasão de um servidor de banco de dados.
O exemplo é bem legal e intuitivo. A página da ferramenta também.
Mostra claramente como o ataque contra servidores de banco de dados pode ser feito facilmente.
Recebi a dica dessa animação do Lindolfo. Obrigado !!!