[segurança] Um artigo interessante sobre Carreira em Segurança

Foi publicado recentemente, no número 10 da revista Insecure Magazine, um artigo muito interessante sobre a carreira em segurança chamado "Climbing the security career mountain: how to get more than just a job".

Este artigo complementa muito o que já foi publicado sobre a carreira do profissional do SI (em especial, veja o artigo do Eduardo Neves e meu post aqui). Eu gostei muito da forma como ele descreve a "Montanha de Segurança", isto é, como ele posiciona o crescimento dentro da carreira.

Em tempo, todos os números desta revista estão disponíveis para download gratuitamente: um material de excelente qualidade, muito conteúdo e muito bem acabado.

[Segurança] Artigo sobre a aplicação da pirâmide de Maslow no BCP

O grande amigo e excelente profissional Fernando Fonseca disponibilixou em seu blog o artigo que escreveu entitulado "Aplicando a pirâmide de Maslow ao Business Continuity Plan". Para nosso orgulho, ele teve seu artigo publicado na edição de Maio da revista ISSA Journal.

A idéia dele foi bastante original: apresentar como um plano de continuidade de negócios deve se preocupar com o fator humano de sua equipe, com base nas necessidades mais básicas do ser humano (necessidades fisiológicas e de segurança). No evento de uma catástrofe de grande dimensão, que afete direta ou indiretamente as instalações da empresa, muitas vezes pecamos por não prever como isto poderia afetar a disponibilidade dos funcionários - ou mesmo o lado psicológico deles. Ignorando estes fatos, mesmo o melhor PCN pode fracassar.

Excelente artigo: muito bem escrito, franco, direto e com uma abordagem muito criativa.

[Internet] Estatísticas sobre Internet no Brasil

A Nic.br divulgou recentemente o relatório da 2ª pesquisa sobre uso da Tecnologia da Informação e da Comunicação no Brasil, a TIC 2006.


O arquivo em PDF de 322 páginas com a pesquisa completa pode ser abaixado diretamente do site do "Centro de Estudos sobre as Tecnologias da Informação e da Comunicação" (CETIC.br) ou consultada online (com páginas específicas sobre os dados referentes a domicílios e empresas).

Algumas estatísticas interessantes deste estudo:

• 54,35% da população brasileira nunca utilizou o computador e 66.68% nunca usou a Internet;
  
• Somente 14,49% dos domicílios brasileiros possuem acesso a Internet;
  
• Em 2006, apenas 14% dos brasileiros que já tiveram acesso á Internet declararam ter adquirido bens e serviços por meio da rede pelo menos uma vez;
  
• Dentre os problemas de segurança mais freqüentes, o campeão de reclamações foi o ataque de vírus com perda de informação ou acesso não autorizado à maquina (20,3%).

[Segurança] Segurança no mundo Microsoft

Hoje achei o site "winsec.org", que possui diversos artigos, tutorias e várias novidades sobre segurança para o mundo Microsoft (produtos, ferramentas, etc).

Tem links para várias ferramentas e sites da Microsoft relacionados a segurança (alguns da Technet), muitos artigos sobre o Vista, algumas ferramentas para Windows, e, digno de nota, alguns artigos muito interessantes do Fernando Cima.

[Segurança] Guerra Cibernética vira realidade

Se alguém ainda pensava que uma "guerra cibernética" ("Cyberwar") fosse coisa de ficção científica, a Estônia mostrou recentemente que isto já é realidade.

Nas duas primeiras semanas de maio vários sites do governo, jornais e bancos da Estônia sofreram ataques de DDoS, deixando o governo e o povo da Estônia com grandes dificuldades para ter acesso online, uma vez que estes serviços são muito avançados e difundidos neste país. O site do parlamento, da presidência da República, dos ministérios e dos serviços de saúde e tecnologia também foram afetados.

A Estônia vive uma crise diplomática com a Rússia desde que decidiu retirar uma estátua de bronze de um soldado soviético de uma praça em Tallin, capital do país. E, aparentemente, isto motivou os ataques DDoS ("Distributed Deny of Service"). Segundo o governo da Estônia, os técnicos de TI identificaram que os endereços IP que originaram os ataques pertencem a computadores de agências governamentais russas. A Rússia negou o ataque, mas a União Européia e a Otan foram acionadas para ajudar nas investigações.

Essa notícia foi publicada na revista VEJA de 23 de maio de 2007 (Edição 2009) e também consta em vários noticiários no Brasil e no mundo:

• "Estônia acusa Rússia de ataque hacker" no site Info Online
• "Russia accused of unleashing cyberwar to disable Estonia" no Guardian
• "Estonia hit by 'Moscow cyber war'", no site da BBC News
• "Cyberwar: Russia vs Estonia"

Hoje, em seu Blog, Bruce Schneier comentou que este tipo de ataque não é novidade (não é mesmo!) e aproveita a oportunidade para dar sua definição de "Cyberwar", "Cyberterrorism", "Cybercrime" e "Cybervandalism" - que aproveito para transcrever abaixo:

• Cyberwar: Warfare in cyberspace. This includes warfare attacks against a nation's military -- forcing critical communications channels to fail, for example -- and attacks against the civilian population.
• Cyberterrorism: The use of cyberspace to commit terrorist acts. An example might be hacking into a computer system to cause a nuclear power plant to melt down, a dam to open, or two airplanes to collide.
• Cybercrime: Crime in cyberspace. This includes much of what we've already experienced: theft of intellectual property, extortion based on the threat of DDOS attacks, fraud based on identity theft, and so on.
• Cybervandalism: The script kiddies who deface websites for fun are technically criminals, but I think of them more as vandals or hooligans. They're like the kids who spray paint buses: in it more for the thrill than anything else.

Como ele diz mais adiante, hoje os governos e militares levam a possibilidade de guerra cibernética a sério: tanto como meio de ataque como necessidade de defesa. Neste caso, técnicas de ataque podem ser utilizadas, num cenário de "cyberwar", para desabilitar serviços online e partes das infra-estruturas específicas de um país, preferencialmente em um "ataque cirúrgico". Ou seja, é mais interessante invadir ou derrubar determinados sites estratégicos do que simplesmente tirar um determinado país do ar.

E a guerra cibernética é mais do que simplesmente atacar a infra-estrutura de rede de um determinado país: envolve também a espionagem, a "guerra de informações" (divulgar informações falsas ou enviar informações para o povo de um determinado país, a contra-gosto do seu governo - como os EUA faziam ao jogar panfletos encorajando os soldados iraquianos a se renderem), ataques em guerrilha e ataques surpresa.

Não podemos negar também que este é um novo campo de atuação dos profissionais de segurança: criar técnicas de ataque ou defesa para cenários de guerra tecnológica. E, para lembrar o que já foi dito, as empresas, e não somente apenas os governos, também podem sofrer ataques motivados por disputas políticas entre nações, grupos étinicos e grupos terroristas. Agora as empresas tem a Estônia como exemplo da importância de incluir a possibilidade de guerra cibernética e de cyber-terrorismo em suas análises de risco.

[segurança] Carreira em Segurança - enfim uma referência

O Eduardo V. C. Neves acabou de publicar em seu blog um excelente artigo entitulado "O Perfil do Profissional de Segurança da Informação" onde aborda profundamente a carreira, o perfil e formação do profissional de segurança.
Um trecho que gostei muito foi quando ele fala das competências necessárias, e as divide em competências individuais, específicas (relacionadas diretamente a área - e cita o CKB do ISC2) e organizacionais.
Ele também descreve maravilhosamente bem alguns perfis profissionais para analistas júnior/pleno/sênior em segurança de redes e de processos.
O que ele chama em seu artigo de "analista de segurança de redes de dados" é o que eu considero como o profissional que atua na área de segurança de um ponto de vista técnico. Neste caso, temos não somente profissionais focados em rede - embora a maioria deles se foquem neste campo. Como ele mesmo cita, são os que trabalham com desenvolvimento e/ou auditoria de código seguro, profissionais focados em segurança de aplicações ou profissionais especializados em algumas tecnologias de segurança.
Excelente artigo !

[Cultura] Star Wars faz 30 anos

Hoje toda a cultura "Guerra nas Estrelas" completa 30 anos. Em 25 de maio de 1977 George Lucas lançou o primeiro filme da série de sucesso "Guerra nas Estrelas" ("Star Wars"). A primeira trilogia começou com o filme "Guerra nas Estrelas: Episódio IV - Uma Nova Esperança", depois "O Império Contra-Ataca" (correspondente ao "episódio V" de toda a série e que foi lançado em 1980) e "O Retorno de Jedi" (Episódio VI) em 1983.

Os três últimos filmes-seqüência da saga mostram o surgimento do Império e do Darth Vader e foram lançados recentemente: "A Ameaça Fantasma" em 1999 (o episódio I), "O Ataque dos Clones" (em 2002) e "A Vingança dos Sith" em 2005. Todos os filmes foram sucesso de bilheteria.

Mais do que um sucesso cinematográfico, todos os filmes foram inovadores e criaram toda uma cultura e um mercado ao seu redor. O Darth Vader é considerado por vários críticos o pior vilão da história do cinema.

Neste blog eu já coloquei vários posts telacionados ao tema, incluindo um mostrando diversas paródias do Star Wars no YouTube e outro com as frases mais famosas da Filosofia Jedi.

O Terra colocou no ar um especial sobre os 30 anos do Star Wars, com as principais informações sobre a saga.

[Cybercultura] Material de Domínio Público disponivel

O Ministério da Educação disponibiliza centenas de livros, músicas, vídeos e imagens de domínio público através do Portal Domínio Público.

O site foi lançado em novembro de 2004 (com um acervo inicial de 500 obras), com objetivo de disponibilizar informações e conhecimentos de forma livre e gratuita. Entre outras coisas, o portal possui disponíveis para download imagens (pequenas) de quadros de Vincent van Gogh e Leonardo da Vinci, livros de Fernando Pessoa em pdf, obras Machado de Assis, publicações sobre educação, teses e dissertações da CAPES e hinos brasileiros em mp3.

[Geek] Os 25 boatos mais famosos da Internet

A revista PCWorld publicou recentemente uma lista com as mais populares mentiras divulgadas na Internet até hoje. Os boatos estão listados em ordem de popularidade, e arrisco dizer que todos nós já recebemos a maioria deles por e-mail.

Aqui segue a lista dos que acho mais legais (pulei alguns senão esse post ficaria muito grande). A lista completa e a descrição de cada um deles, as vezes com fotos, está no artigo:

• O turista acidental (2001) - aquela foto do homem no topo do WTC no exato momento em que um dos aviões estava prestes a colidir com o prédio no ataque de 11 de setembro. Foi muito popular e algumas versões hilárias surgiram depois.
  
• Criança doente precisa de sua ajuda (1989) - já surgiram centenas de variações (de crianças e de doenças)
  
• Bill Gates distribui dinheiro (1997) - essa e outras variações prometem dinheiro para quem reenviar a mensagem para dezenas de pessoas.
  
• Imposto de cinco centavos por e-mail (1999)
  
• Golpes nigerianos (2000) - um tipo de crime virtual que existe até hoje: enviam uma história prometendo uma comissão a quem ajudar o remetente a receber um dinheiro que está num banco da nigéria, ou variações com outros países.
  
• Roubo de órgãos (rim) e a banheira de gelo (1996) - já foi promovido a Urbam Legend !
  
• You've Got Virus! (1999 em diante) - as famosas mensagens que você foi invadido pelo vírus mais destrutivo do mundo, e nem a NASA, nem o Mestre Yoda podem te proteger. Estes são os tradicionais "boatos", ou "hoaxes"em inglês.
  
• O gato gigante (2001) - lembro da versão do "Kitty Cat", que era um gato criado dentro de uma garrafa para ser como uma peça de decoração - era mentira também !
  
• Vídeo da Autópsia de um Alien em Roswell, New Mexico (1995)
  

[Geek] Projeção da Luz do Sol na Terra

No site "World Sunlight Map" é possível visualizar como está a diferença entre dia e noite no mapa da terra: quais são as regiões que, no momento que você vê, estão escuras (noite) ou iluminadas pelo sol (dia).



O site é bem caprichado: é possível dar zoon nas imagens (clicando nelas) e visualizar vários tipos de mapa da terra: Mercator (a mais tradicional), Peters, Mollweide ou retangular. Segundo o site, o mapaé gerado por computador, porém as formações das nuvens no mapa são retidadas de dados de satélites.

Eles também tem uma versão com as fases da lua !