[Segurança] Frase interessante do Kevin Mitnick

Estava lendo uma reportagem sobre o Kevin Mitnick no site da Forbes ("Reformed Hacker Looks Back") quando vi uma frase muito interesante dele, quando respondeu a pergunta "What do you see as the biggest threats to cybersecurity today?":

Cybersecurity used to be about the network or operating system. Now it's more at the application layer. Companies and their contractors build their own applications hosted on a public Web site, and the people who write them aren't trained in secure coding. The mistakes they make can be leveraged to break the system.

Como ele diz, o foco dos principais ataques hoje em dia são as aplicações, e não mais as redes ou os servidores. Muitos desenvolvedores de aplicação não tem noções básicas sobre desenvolvimento de código seguro e, consequentemente, temos milhares de sites e aplicações vulneráveis.

[Segurança] Prêmio ISSA Brasil Awards

O capítulo brasileiro da ISSA, com o apoio da Daryus, está promovendo a primeira edição do ISSA Brasil Awards, uma iniciativa para contribuir com o desenvolvimento do setor e reconhecer os profissionais de Gerenciamento de Risco e de Segurança da Informação que mais contribuíram para a comunidade e para a sociedade em geral no ano de 2007.

O ISSA Brasil Awards é inspirado no ISSA Awards, uma premiação oferecida anualmente pela ISSA Internacional desde 1998. Esta é uma forma que encontramos para dar destaque às principais iniciativas no mercado de segurança da informação, em quatro categorias:

• Profissional do Ano
  
• Organização do Ano
  
• Publicação do Ano
  
• Contribuição à Sociedade

O site da premiação contém o regulamento do concurso e, através dele, os interessados podem se inscrever até o dia 30 de agosto. Os vencedores serão anunciados no dia 11/09, durante o 3o. Global Risk Meeting.

[Segurança] História das atividades Hacker

Há um artigo muito interessante na Wikipedia, chamado "Timeline of computer security hacker history", que conta os principais acontecimentos da história das atividades hacker/cracker e, de certa forma, a evolução da segurança da informação.

Para quem tem interesse em conhecer um pouco da história brasileira, sugiro uma lida no artigo "PHRACK INTERNATIONAL SCENE ON BRAZIL" publicado na Phrack há um tempinho atrás e, mais recente, ao artigo "Thirteen Years of Starting a Hacker Scene" publicado na revista 2600 pelo Derneval Cunha, o criador do Barata Elétrica.

[Segurança] ISSA Day de Agosto

No dia 28/08/2008 (quinta-feira) a ISSA capítulo Brasil/SP irá realizar mais um ISSA Day. Neste mês teremos o apoio da Future Security, que excepcionalmente estará trazendo duas palestras de grande interesse.

Além do mais, pelo terceiro ano consecutivo, contaremos com a apresentação dos officers da ISSA sobre quais foram as principais novidades que abalaram o mundo da segurança na recente edição da Black Hat e da Defcon 2008.

Agenda:

19:00 - 19:15 - Welcome Coffee
19:15 - 19:30 - Abertura ISSA
19:30 - 20:15 - Palestra internacional: "Como otimizar e tornar gerenciável as regras de Firewall" com David Goodman
20:15 - 20:45 - Palestra "Segurança com Inteligência" do Andre Diamand
20:45 - 21:45 - Palestra Novidades da BlackHat e Defcon 2008
21:45 - 22:30 - Coquetel de confraternização e sorteio de brindes

O evento é gratuito e as inscrições serão limitadas. Para se inscrever, favor enviar um e-mail para "presidencia arroba issabrasil.org" com o assunto "ISSA Day Agosto". Informar no corpo do e-mail seu nome completo, empresa e se é associado da ISSA Brasil (Sim / Não).

O ISSA Day será no Blue Tree Faria Lima: Av. Brig Faria Lima, 3989, São Paulo (SP).

[Cybercultura] Dependência de Internet

Lendo um artigo na Folha Online ("Viciados em Internet são atendidos em SP") recentemente, eu tomei conhecimento do site Dependência de Internet. Esta ação foi criada por uma equipe do Centro de Estudos de Dependência da Internet, pertencente ao Ambulatório Integrado dos Transtornos do Impulso, do Instituto de Psiquiatria do Hospital das Clínicas da FMUSP. A mídia trouxe esse assunto a tona depois da paralização da Internet por quase 2 dias em São Paulo, em virtude de um problema n backbone da Telefônica.

É um trabalho muito interessante e muito relacionado ao grande fenômeno que é o uso massivo da Internet no nosso dia-a-dia e a dependência que ela acaba causando a (quase) todos nós. Esse problema não afeta somente profissionais de tecnologia, acostumados a ficarem conectados quase que 24hs através de seus (viciantes) smart fones. Mesmo crianças, adolescentes e adultos podem acabar se viciando no uso de computadores e da Internet, transferindo para o mundo online muito de suas amizades e interações diárias com amigos, escola e trabalho. O que à primeira vista pode parecer um passatempo, quando usado de forma descontrolada pode trazer sérios prejuízos para o indivíduo.

Este grupo tem como missão oferecer orientação e tratamento à indivíduos que desenvolveram alguma forma de dependência tecnológica, a ponto de causar prejuízo na vida cotidiana e no seu dia-a-dia. Paralelamente, eles também desenvolvem pesquisas de novas terapias para tratar as pessoas que sofram deste mal.

Segundo a reportagem da Folha, em três anos de funcionamento o centro já atendeu 30 pessoas e também cita que o vício em Internet pode ser caracterizado como uma doença mental. Também alertam que não existe idade para se tornar um viciado em Internet: isso pode acontecer com qualquer um de nós.

O site possui um pequeno teste para as pessoas identificarem se possuem os sintomas de um dependente de Internet.

E aí, qual foi o seu resultado?

[Segurança] Nova diretoria da ISSA Brasil

A cada 2 anos a ISSA capítulo Brasil/SP elege seu board de officers. Conforme anunciado no site da ISSA Brasil, a apuração dos votos mostrou que os associados aprovaram os resultados que alcançamos na gestão de 2006 a 2008: nossa chapa obteve todos os 30 votos computados.

A eleição representou para nós a oportunidade para avaliar nossa atuação, revisando nossos objetivos e criando novos planos para o próximo período. Também nos motivou a buscar a renovação dentro do corpo de officers, trazendo novos colaboradores (profissonais com os mesmos interesses e aspirações que trouxeram com eles novas idéias e uma disposição renovada) e nos permitiu reavaliar a posição que cada officer ocupava dentro da associação, adequando os novos cargos às atividades que cada um se julga mais apto a contribuir.

Mais do que uma troca de gestão, o processo democrático de eleição permite aos associados manifestarem sua opinião (seu contentamento ou descontentamento) através do voto.

E o que nos leva adiante?

A maioria de nós já tem dificuldades em conciliar a vida profissional com a vida pessoal, então não parece insano dedicar um pouco do nosso tempo livre para mais uma atividade profissional?

Todos os officers possuem trabalho que nos consomem quase que integralmente durante a semana, como é comum hoje em nossa indústria. Viagens a trabalho são comuns. Alguns ainda arranjam tempo para dar aula. E a família? Praticamente todos tem filhos (ou terão nos próximos meses), sem contarmos nas esposas ou namoradas e os parentes.

O que nos move, e acho que falo por todos, é a paixão pela profissão e o desejo de compartilhar o conhecimento e os conceitos éticos que apreendemos e que consideramos necessários no dia-a-dia. É o ideal de contruir uma associação que represente os profissonais e traga benefícios palpáveis para os nossos interesses e necessidades. É, também, a incontrolável vontade de arregaçar as mangas e correr atrás dos nossos sonhos, realizando tudo aquilo que achamos ser possível.

E quais são nossos próximos passos?

Agora estamos preparando o planejamento de ações para o próximo biênio. Estou propondo a todos os membros que criem um plano de metas anual para que tenhamos objetivos claros pela frente. Além de manter as atividades correntes, estamos também fazendo a transição interna das atividades, uma vez que vários officers trocaram de posição.

Vamos agora dar continuidade ao trabalho realizado até o momento, com foco no fortalecimento da associação (isto envolve consolidar sua imagem e trazer estabilidade jurídica e financeira) e na preocupação central no associado, que se traduz pela busca permanente por novos benefícios e por representar seus interesses junto a sociedade. Continuamos fixos no princípio que a ISSA deve ser a Voz da Segurança da Informação.

[Segurança] Eleição na ISSA Brasil

A cada 2 anos a ISSA capítulo Brasil/SP elege seu board de officers. Estamos chegando ao fim da gestão da diretoria atual e a data e o processo de eleição já foram anunciados aos associados. A eleição ocorrerá em 15/07/2008, das 0:00hs até as 23:59 e elegerá a gestão para o próximo período, que corresponde a 07/2008 a 07/2010.

Confiantes nos bons resultados que alcançamos na gestão de 2006 a 2008, a atual diretoria decidiu se candidatar a reeleição e dar continuidade ao trabalho realizado até o momento. Concorreremos com uma chapa formada pelas mesmas pessoas da atual gestão (com algumas trocas de função) e com mais alguns colaboradores, que passaram a fazer parte do grupo pela similaridade com nossos ideais.

Assim eu terei a honra de encabeçar a chapa, formada por um grupo de excelentes profissionais que, a custo de muito suor, trabalho e ética, estão obtendo destaque em nossa área. A chapa será composta conforme abaixo:

Officers Estatutários:
Presidente: Anchises Moraes G. de Paula, CISSP
Vice-Presidente: Willian Okuhara Caprino, CISSP, MCSO
Diretor de Comunicação: Fernando Fonseca, CISSP
Diretor Financeiro / Parcerias / Relacionamento: Dimitri Abreu, CISSP, MCSO
Secretario: Paulo Teixeira, CISSP

Officers de Apoio:
Diretor de Afiliações: Sergio Dias, CISSP, QSA
Diretor de Comitês: Rodrigo Montoro
Diretor de Educação e Conteúdo: Ronaldo C. de Vasconcellos, GAWN, GCIH
Diretor de Eventos: Wagner Elias, CBCP
Diretor Jurídico: Dr. Renato Ópice Blum
Diretor da Regional Sul: Eduardo V. de Camargo Neves, CISSP
Diretora Adjunta de Comunicação: Lucimara Desiderá, MSc, CISSP
Diretor Adjunto de Parcerias e Relacionamento: Eduardo Cabral, CISSP, MCSO
Diretor Adjunto Jurídico: Rony Vainzof

Esperamos dar continuidade ao trabalho iniciado em 2006, mantendo nossos princípios de independência, transparência e valorização do associado e da associação. Nós pretendemos pautar nossa atuação frente ao Capítulo Brasil-SP da ISSA dos pelos seguintes objetivos:

• Setor Público e Privado: Auxiliar Empresas, Governo, órgãos públicos em geral e órgãos de pesquisa e ensino em suas necessidades de entendimento dos desafios de segurança da informação, na construção da consciência em segurança da informação e na valorização do profissional em SI, expandindo as atividades do capítulo para além da Grande São Paulo, fomentando iniciativas locais.
  
• Sociedade: Auxiliar a sociedade em geral a se conscientizar sobre os riscos advindos do uso cada vez maior da tecnologia em seu dia-a-dia, através da parceria com os movimentos de democratização e de popularização da informática (Telecentros, PC Conectado e outros) e com os meios de comunicação em massa.
  
• Comunicação Editorial: Estimular a produção e intercâmbio de conteúdo original sobre Segurança da Informação entre os associados.
  
• Educação e ensino: Auxiliar entidades e iniciativas de ensino quanto a conscientização e aprendizagem em Segurança da Informação e impulsionar treinamentos, eventos especializados, grupos de estudo e orientações para certificações. Formar parcerias com instituições de ensino públicas e privadas.
  
• Associados: Criar novos benefícios para os associados de alto valor agregado e inovadores, incluindo parcerias para descontos na aquisição de livros especializados e treinamentos, a divulgação de oportunidades profissionais e a troca de experiências entre os associados em eventos periódicos, para integração social e profissional, dentre outros. Fomentar a participação de novos associados através da expansão das regionais e criação de comitês de trabalho.

Os últimos dois anos participando da ISSA foram muito intensos, que demandaram muito trabalho. É um esforço que nos obriga a sacrificar um pouco do nosso tempo livre e de nossa vida pessoal, mas que foi muito gratificante graças aos ótimos resultados que obtemos. Nesses dois anos conseguimos dar um destaque maior a associação e aproximá-la ainda mais dos associados, das empresas e da sociedade em geral.

[Internet] O dia em que a Internet parou (continuação)

A pane no backbone Internet da Telefônica foi notícia de capa em vários jornais, o que certamente causou um enorme prejuízo de imagem para a empresa. O sistema foi estabelecido e hoje também surgiram algumas explicações para o problema: o presidente da companhia no Brasil, Antonio Carlos Valente, informou em entrevista coletiva que a pane no acesso Internet teve origem nos equipamentos responsáveis pelo roteamento de rede, mais precisamente em um roteador na região de Sorocaba. "O problema estava no roteamento dinâmico, que faz com que as máquinas se atualizem", disse.

Isso pode indicar uma falha de configuração dos equipamentos, a propagação acidental de uma rota errada ou mesmo problemas na atualização das rotas, que geralmente em diversas redes é feito pelo protocolo Spanning Tree (STP) - há uma animação no site da CISCO que mostra como o protocolo funciona. Embora muito utilizado para controlar o roteamento dinâmico em redes, o Spanning Tree protocol normalmente não é recomendado para grandes redes, justamente porque ele tem a fama de demorar muito para se atualizar. Além do mais, sua configuração é complexa.

O presidente da Telefônica não descartou a hipótese de falha humana mas não acredita na possibilidade de ter sofrido ataque de "hackers".

Também há notícias na imprensa que, com a falha na Telefônica, outros backbones ficaram congestionados. Ou seja, num cenário onde a fornecedora de quase 70% do tráfego Internet sai do ar, as outras empresas certamente ficam sobrecarregadas.

Se tem uma coisa que eu aprendi assistindo os programas do Discovery Channel (e vejo sempre no dia-a-dia) é que nenhum grande acidente acontece em função de uma única causa. Normalmente, vários eventos colaboram para causar uma tragédia de grande proporção. E o que temos visto até agora sobre este caso? Monopólio de mercado, plano de demissões e de terceirização de pessoal (logo, funcionários descontentes e necessidade de manter o conhecimento durante a troca de equipes), ambiente tecnológico complexo, sistema no gargalo e com contingência insuficiente (há notícias que no final de 2007 o Instituto de Defesa do Consumidor fez um estudo segundo o qual o Speedy estava com problemas de estabilidade).



Outras referências:

• Provedores desmentem Telefônica e dizem que problema de conexão continua
  
• Telefônica diz que equipamentos de roteamento geraram pane
  
• Problema em roteador da região de Sorocaba causou pane na Internet, diz Telefônica
  
• Presidente da Telefonica não descarta falha humana em pane na Internet

[Internet] O dia em que a Internet parou (em São Paulo)

Já é capa de vários noticiários: devido a um problema complexo, inexplicável e, convenhamos, injustificável da Telefônica, diversas empresas, órgãos do governo e usuários domésticos em todo o Estado de São Paulo estão enfrentando sérias dificuldades para acessar a Internet.

Bancos e serviços públicos (como delegacias, CET e o PoupaTempo) estão com seus serviços comprometidos desde ontem (02 de julho), quando o problema começou. A Telefônica fornece links de conexão para a rede do governo do estado de São Paulo (Intragov) e para o acesso ao data center do governo do estado (mantido pela Prodesp). O problema afetou empresas, usuários domésticos do Speedy, cerca de 1,3 mil distritos policiais (segundo a Secretaria de Segurança Pública do estado), as 18 unidades do Poupatempo (central de serviços públicos do governo responsável pelas emissões de diversos documentos para a população), a Companhia de Processamento de Dados do Estado (Prodesp), a Companhia de Engenharia de Tráfego (CET) e o Detran. Estes órgãos ficaram sem acesso a Internet e aos sistemas hospedados no data center da Prodesp - na prática, muitos serviços públicos ficaram fora do ar.

A Telefônica classificou o ocorrido como um "evento técnico complexo e raro" que aparentemente atingiu a sua rede MPLS ("Multiprotocol Label Switching") e os sistemas de redundância - no caso da Telefônica isto se refere ao seu backbone principal (o centro de sua rede) e, por isso mesmo, o problema está afetando clientes corporativos de acesso dedicado e também os usuários finais, clientes do Speedy (o serviço de banda larga da Telefônica).

"A suspensão de diversos serviços, muitos de utilidade pública, revela que gerenciamento de risco e plano de contingência não são uma realidade apesar de haver uma massificação do uso da Internet no dia-a-dia dos negócios. No governo de São Paulo, o estrago é grande". (Convergência Digital)

Em entrevista à Rádio CBN, o presidente da Telefônica (Antonio Carlos Valente) disse que o problema é "complexo, raro e ao que parece é a primeira vez que acontece mundialmente".

Diversas reportagens na mídia descrevem o impacto do problema, mas todas elas são unânimes em afirmar que a causa é desconhecida.

• Telefônica alega que "problema é raro e ainda não tem sem solução"
  
• Falha em rede atinge conexão à Internet no Estado de SP
  
• Problemas em serviços da Telefônica dificultam acesso à Internet
  
• Pane atinge metade da rede do governo do Estado de SP
  
• Pane provoca "apagão" na rede de Telefônica em São Paulo
  

[Cybercultura] Imagens gratuitas na Web

O site Stock.XCHNG é um enorme repositório de imagens gratuitas. Ele permite que seus usuários disponibilizem e tenham acesso a milhares de fotos gratuitamente (quase 370 mil atualmente). São fotos de excelente qualidade, categorizadas e com um mecanismo fácil de busca, que podem ser utilizadas em apresentações, trabalhos, e tudo mais que você precisar.

A maioria das imagens estão disponibilizadas sob licença "Royalty free", que em poucas palavras permite o uso livre em websites, apresentações e materiais que não serão comercializados. O site exige que seja criado um cadastro (gratuito) para permitir o download das imagens.

O site também possui uma área de tutoriais, com vários textos muito úteis sobre fotografia e edição de imagens que são escritos pelos usuários.