agosto 19, 2010

[Cidadania] Discriminação

O programa jornalístico "A Liga" da TV Bandeirantes levou ao ar no dia 16 de agosto de 2010 um programa muito interessante sobre discriminação e preconceito no Brasil.

O programa mostou como o povo brasileiro, em geral, é preconceituoso e não sabe respeitar as diferenças e as individualidades do próximo. e o preconceito no Brasil tem vários motivos: cor, raça, religião, condição social, opção sexual ou doença. De uma forma que as vezes era até até exagerada, o programa expunha pessoas comuns a situações em que elas naturalmente mostravam seu preconceito, e muitas vezes admitiam isso claramente.

"A maioria [das pessoas] manifesta [seu preconceito] de forma indireta e não tem consciência do seu grau de preconceito."

Gustavo Venturi, Professor de Sociologia


O programa, como disse, foi bem interessante e abordou vários casos reais, como do rapaz de cor que foi parado pela Rota em São Paulo quando voltava do serviço e levou dois tiros enquanto estava deitado no chão aguardando ser interrogado (o pior foi ele contando que, quando os policiais perceberam o erro, se questionaram o que fazer com ele - se o matavam ou não), do rapaz que foi barrado na porta da balada por não aparentar ser de classe média-alta, do casal homossexual que não pode se acariciar em público, do gerente de sistemas que foi demitido quando se descobriu portador do vírus HIV e da criança que não foi aceita na escola por ter síndrome de Down. Os exemplos foram vários (incluiu até mesmo um anão e um idoso), e tenho certeza que eles não tiveram dificuldade em achar tantas vítimas nem tantas situações em que o preconceito era tão evidente.

"Também não são raras situações discriminatórias com pessoas doentes, como as portadoras do vírus HIV. Ao acreditar em mitos, como a transmissão pelo ar ou através de um abraço ou aperto de mão, muitos adotam uma postura preconceituosa. Além de constrangimento, é um ato que gera sofrimento para o doente como para as famílias."


O programa também deixou claro que a raiz de tanta discriminação no Brasil é a falta de educação e de informação da população, que não sabe respeitar nem entender as diferenças.

"A falta de informação gera preconceito, que gera discriminação."


O interessante é comparar a situação no Brasil com os EUA, principalmente no que se trata do preconceito de raça. Lá, nos EUA, existe muito preconceito, com a diferença que aqui no Brasil a discriminação é mais velada, mais sutil, enquanto lá é mais explícito - embora o americano se esforce em passar uma imagem de tolerância, de "politicamente correto". Lá, existe segregação, e aqui existe o desrespeito e a intolerância. Lá existem os bairros dos negros e os bairros dos brancos, e não é tão comum encontrar casais inter-raciais quanto aqui.

Aí vai uma dica: antes de fazer algum comentário sobre outra pessoa, substitua a palavra que você for utilizar para se referir a ela por "negro" ou "minha mãe". Se o resultado parecer ofensivo, talvez seja melhor não abrir a boca e guardar o comentário para si. (Por exemplo, em vez de dizer que "viu um casal homossexual se beijando" ou "não gostaria que aquela criança deficiente frequentasse a aula com meu filho", pense na frase "vi um 'casal de cor' se beijando" ou "não gostaria que a 'minha mãe' frequentasse a aula com meu filho". As frases não ficaram mais ofensivas?).

julho 27, 2010

[Segurança] Segurança em Cloud Computing

Eu vou ter a honra de participar da primeira edição do CNASI Courses & Training, onde darei um curso de 8 horas sobre segurança em Cloud Computing.

Quero compartilhar com todos uma lista de sites e artigos interessantes sobre segurança em Cloud Computing. Eu preparei esta lista para o curso, mas quero compartilhar ela com todos os leitores do meu blog.



O CNASI Courses & Training acontecerá na semana que vem, de 03 a 05 de agosto em São Paulo, e meu curso, chamado "Cloud Computing - Conhecendo os Novos Riscos", será no dia 05, quinta-feira. O material do curso foi baseado em mais de um ano acompanhando a evolução da discussão sobre segurança em ambientes de Cloud Computing, e que me permitiu dar palestras sobre esse tema em alguns eventos desde o ano passado.

Eu disponibilizei no SlideShare os slides da palestra sobre riscos em Cloud Computing no GTS do ano passado.



Observação: adicionado um artigo em 24/08

julho 19, 2010

[Segurança] Quando profissionais de SI jogam futebol

A copa do mundo já acabou, mas neste ano teremos a primeira Hack Cup, que vai acontecer no dia 30 de Julho, em Las Vegas, junto com a Defcon.

A pergunta natural que vem na mente de todos deve ser: "ué, desde quando geek sabe jogar bola?". Como a resposta é óbvia ("Não, só no Playstation e olha lá"), vamos para a próxima: como seria uma seleção formada por profissionais de segurança?

Esta é uma ótima oportunidade para fazer uma divertida associação entre os diferentes tipos de profissionais de segurança da informação e os jogadores que normalmente vemos em uma partida de futebol. Na minha opinião (e graças também a uns comentários do amigo Rodrigo Montoro(Sp0oKeR) em uma lista de discussão recentemente), a escalação seria mais ou menos a seguinte:
  • Security officers e CSOs (CISSPs): são os técnicos e os cartolas, eles são responsáveis por projetar as jogadas de ataque e as estratégias de defesa
  • Os Analistas de Firewall são os goleiros do time
  • Os Pesquisadodes de Vulnerabilidades ficam no meio campo procurando os pontos falhos e armando as jogadas
  • Os PenTesters são os atacantes
  • Os Auditores CISA seriam os juízes
  • Os Analistas de IDS trabalham como bandeirinhas, alertando quando algo de errado acontece
  • O pessoal que trabalha com análise de logs e forense vão fazer bico na TV para mostrar o tira-teima
O complicômetro nessa brincadeira toda é que "regulamento" vai ser chamado de "Política Corporativa de Segurança" e o CISSP só vai jogar se a bola for certificada :)

Esta brincadeira mostra a diversidade de papéis e funções diferentes que existem na carreira em segurança da informação. Assim como no futebol, um time não está completo nem conseguirá vencer seus adversários se não contar com uma equipe diversificada, equilibrada e que saiba trabalhar em conjunto. Para isso, a empresa deve contar com um gestor competente, que saiba fazer uma escalação apropriada e diversificada, motivando os seus "jogadores" e sabendo explorar o papel específico de cada um. Por exemplo, não dá para esperar que um bom atacante vá ser um bom goleiro, da mesma forma que um profissional que sabe criar exploits e descobrir vulnerabilidades não será, necessariamente, a melhor pessoa para definir como a empresa deve se defender.

E aí, o que você achou dessa escalação?

junho 16, 2010

[segurança] Estatísticas de segurança

A Symantec divulgou recentemente algumas estatísticas de segurança, durante a conferência mexicana bSecure:

  • O volume de SPAM cresceu quase 200% entre 2007 e 2008
  • Em 2008 a Symantec identificou 5.471 vulnerabilidades, 80% das quais são muito fáceis de se explorar.
  • 90% dos incidentes não teriam acontecido se existisse um controle de segurança relativamente fácil de se implementar - como, por exemplo, troca de senhas.
  • 90% dos incidentes envolveram o crime organizado.
  • 81% das empresas afetadas não cumpriam com os padrões de segurança do mercado, como o PCI.
  • 67% dos incidentes podem ser associados a negligência.
  • 285 milhões de registros roubados en 2008, comparado com 230 milhões entre 2004 e 2007. Um aumento de 400%.
  • 32% desses registros estavam a venda no mercado negro.
  • A perda de propriedade intelectual é estimada em 600 milhões de dólares.


Além disso, a ABES estima que a pirataria de software causa prejuízo de US$ 1,645 bilhão.

junho 08, 2010

Aniversário de 5 anos do Blog

Há exatos 5 anos atrás, no dia 08 de junho de 2005, eu publiquei o primeiro post deste blog.

Este blog nasceu da vontade de ter um lugar onde eu pudesse guardar e compartilhar o meu conhecimento e, principalmente, compartilhar com o mundo as coisas que apreendi. Desde o começo eu optei que o meu blog seria uma coletânea de informações sobre os principais assuntos relacionados a segurança da informação. Muitas vezes eu publiquei aqui notícias, textos e links para sites que possam ser consultados a qualquer momento e servir como referência em uma necessidade futura.

Estou contente em completar 345 posts, distribuídos nesses últimos 5 anos.

Cyber Cultura] Campanha da Globo contra o bullying

O apresentador Serginho Groisman está comandando uma campanha da Rede Globo contra o cyber bullying. No vídeo abaixo, o apresentador fala rapidamente que o bulling e o cyber bulling são inaceitáveis e causam sérias consequencias psicológicas em suas vítimas. Ele também recomenda que as pessoas discutam mais sobre esse assunto, inclusive pais e filhos.



Recentemente a revista Veja também publicou uma reportagem excelente sobre esse assunto, que eu fiz questão de comentar aqui no blog. O bulling é um termo relativamente novo para problema antigo, muito comum nas escolas. Acredito que todos nós conhecemos algum caso de um colega na escola que era perseguido ou que era alvo frequente de gozações ou apelidos ofensivos - seja porque era gordo (ou gorda), porque era magro(a), usava óculos, ou tinha aparelho nos dentes. Na verdade, qualquer coisa pode ser motivo para que um grupo de jovens comecem a humilhar algum colega, incluindo ciúmes ou diferenças sociais, de raça ou religião. Por outro lado, também é comum aquela imagem do grupinho dominante, ou do aluno mais violento que agride os mais fracos. Isso pode começar como uma brincadeira, mas pode acabar virando algo maior e causar sérios problemas psicológicos para a vítima.

A questão principal é que, atualmente, a Internet e as diversas ferramentas tecnológicas aumentam significativamente o impacto desse tipo de comportamento. Uma "brincadeira" que antes estava restrita aos muros da escola passa a ter um alcance global. A vítima pode ser importunada o tempo todo, seja através de comunidades online (é fácil achar no Orkut comunidades ofendendo uma pessoa), de mensagens ofensivas via comunicadores instantâneos ou SMS. Essas ofensas ficam expostas na "net", para que todos vejam. Além do mais, a vitima recebe estes ataques não só durante o período de aula, mas também em casa ou qualquer outro lugar.

O vídeo da Globo é bem curto, mas é apenas a ponta do iceberg. Segundo a entrevista que o Serginho Groisman deu sobre a campanha (exibida no vídeo logo abaixo), ele e a TV Globo pretendem apoiar diversas outras atividades para conscientizar as pessoas e as escolas sobre esse problema.



Deixo aqui os meus parabéns ao Serginho Groisman, a TV Globo e a revista Veja por abordarem esse assunto.

junho 03, 2010

[Internet] Internet no Brasil completa 15 anos

No dia 31 de maio, o Comitê Gestor da Internet no Brasil completou 15 anos de existência. E, junto com ele, a Internet Brasileira.

Conforme divulgado pela entidade, a Portaria Interministerial nº 147, publicada no dia 31 de maio de 1995, definiu a criação do Comitê para coordenar e integrar todas as iniciativas de serviços Internet no país. Esta ação agregou os esforços de desenvolvimento da rede que estavam em desenvolvimento pela comunidade científica e tecnológica, pelo terceiro setor, empresas e Governo.

Segundo o site, em 1995 era preciso utilizar um modem convencional para acessar a Internet, que operava em uma velocidade máxima de 56 Kbps (quem viveu essa época sabe o quanto isso é lento, mesmo para os padrões daquela época). A world wide web tinha sido inventada havia somente quatro anos e os browsers ainda eram novidades. A maioria dos sites tinham poucas imagens e muito texto. Não havia como criar sites muito interativos, pois só contávamos com recursos muito básicos da linguagem HTML. Mesmo o "gif animado", foi surgir pouco tempo depois. O Google não existia.

O site também apresenta uma Cronologia do CGI.br, que eu vou tomar a liberdade de resumir e destacar alguns acontecimentos que considero mais importantes.
  • 1989 – Criação e delegação do código de país (ccTLD) “.br” à FAPESP
  • 1991 – Primeira conexão TCP/IP brasileira, realizada entre a FAPESP e a Energy Sciences Network (ESNet), nos Estados Unidos. Dois anos depois do domínio brasileiro ter sido criado !
  • 1995 – Criação do CGI.br e do Registro.br
  • 1996 – Início da automatização do registro de domínios e início do boom na Internet brasileira.
  • 1997 – Criação do CERT.br
  • 1999 – Início da produção de estatísticas sobre incidentes de segurança na Internet
  • 2000 – Primeira edição da Cartilha de Segurança para Internet
  • 2005 – Criação do NIC.br
  • 2006 – Lançamento do site e da campanha Antispam.br. Os domínios “.br” atingem a marca de 1 milhão.
  • 2008 – O domínio “com.br” é aberto para registro por pessoas físicas
  • 2010 – Atingimos a marca de 2 milhões de domínios “.br”

maio 31, 2010

[Segurança] A história do Hacking

O site Online MBA publicou um gráfico que sintetiza a história do hacking. O diagrama "A Short History on Hacking" mostra os principais fatos e estatísticas atuais que mostram como ocorreu a evolução das técnicas de invasão e pesquisa de segurança dos sistemas computacionais, desde a época do "phreacking", a invasão de sistemas de telefonia.

The History of Hacking
Via: Online MBA

Resumindo o diagrama acima, para que o leitor tenha uma tradução em português do mesmo, os principais fatos indicados são os seguintes:
  1. O termo "hacking" foi criado pelo famoso matemático John Nash;
  2. Uma das primeiras técnicas de hacking (o "phreacking") surgiu em 1972, quando John Drapper, conhecido como "Capitão Crunch", descobriu como hackear centrais telefônicas;
  3. Ian Murphy foi o primeiro hacker condenado, após invadir a rede da gigante da telefonia AT&T e alterar os relógios internos das centrais telefônicas (assim, as pessoas podiam pagar tarifas noturnas, mais baratas, mesmo durante o dia);
  4. Kevin Mitnick foi, durante os anos 90, o hacker mais procurado dos EUA. Ele chegou a ficar preso por 5 anos, aguardando seu julgamento.
  5. Durante 2001 e 2002, Gary Mckinnon realizou as maiores invasões a sistemas militares da história. Ele invadiu sistemas da NASA, Departamentto de Defesa dos EUA. Marinha e outros, procurando informações sobre OVNIs.
  6. Recentemente, o cyber criminoso Albert Gonzalez recebeu a maior sentença por hacking da história (20 anos de cadeia). Ele invadiu diversas empresas americanas e roubou cerca de 200 milhoes de dados de cartões de crédito.
Além destes fatos, o diagrama mostra várias estatísticas sobre cyber ataques no mundo. Por exemplo, os EUA, Índia e Brasil são os maiores emissores de SPAM do mundo. Além disso, 43% das empresas entrevistadas pela Symantec declararam que perderam propriedade intelectual através da ação de hackers.

O diagrama aborda a história da segurança da informação de uma forma bem simplificada, e com um foco muito claro em ações criminosas e na punição dos criminosos (que, a propósito, deveria ser chamados de "crackers", e não "hackers"). Muitos outros fatos marcaram esta área nos últimos 20 anos, mas ficaram de lado, como o surgimento dos ataques de negação de serviço distribuído (DDoS) no final do ano de 1999 e as grandes infecções por vírus no início deste século. Recentemente, por exemplo, o portal G1 publicou um artigo muito interessante, entitulado "Conheça os especialistas em ‘brincar’ com a telefonia, os phreakers". Este artigo, do excelente jornalista Altieres Rohr, conta com muito mais detalhes e mais precisão o início das atividades de phreacking nos Estados Unidos, que marcou o início da cultura hacker.

maio 10, 2010

[Segurança] A Polícia e a perícia digital

Conforme o colega blogueiro Luiz Rabelo colocou em seu blog "brazil forensics blog", o Jornal Nacional mostrou uma reportagem interessante sobre como a polícia de São Paulo utiliza a tecnologia para investigar diversos crimes que envolvem o uso de computadores e celulares. Diz o repórter no início da entrevista:
"Sem lupa, sem luvas. Quando a prova do crime está em bites e bytes, a perícia convencional dá lugar a uma investigação digital."

A reportagem "Investigação de computadores ajuda polícia de São Paulo" (veja o vídeo abaixo) foi ao ar no Sábado, dia 08/05/2010. A Globo mostra como a tecnologia já faz parte da investigação dos policiais, através de equipamentos forenses específicos para análises de aparelhos móveis e computadores. Estes equipamentos podem revelar as ligações e as mensagens em um celular, ou vasculhar todos os arquivos de um computador, inclusive os apagados. Por exemplo, a reportagem mostra um vídeo que a polícia recuperou do computador de um criminoso, que mostrava os clientes de um caixa eletrônico digitando suas senhas.



Segundo dados do Instituto de Criminalística apresentados na reportagem, o número de perícias digitais em São Paulo subiu de 535 em 2000 para 2.876 em 2009, um aumento de mais de 437% nos últimos dez anos. Afinal, os computadores e celulares já fazem parte da vida de todos nós (incluindo as vítimas e os criminosos). A reportagem termina lembrando que a Polícia espera aumentar o número de casos resolvidos com o uso da tecnologia.

maio 02, 2010

[Cybercultura] VEJA sobre o Cyberbullying

A edição desta semana da revista Veja traz uma reportagem muito interessante sobre o Cyberbulling, um problema muito atual que afeta 1 em cada 6 jovens brasileiros.

O "cyberbulling" é o termo utilizado em inglês para descrever quando um grupo de adolecentes começa uma onda de ameaças e intimidações contra um determinado colega. Esse é um fenômeno muito comum nas escolas há muitos anos (quando um grupo "pena no pé" de um colega, criando apelidos, fazendo piadas, etc), talvez "desde sempre", mas que toma uma forma muito mais perigosa atualmente, com a popularização da Internet e dos celulares. Ameaças online e mensagens ofensivas via SMS torturam milhares de adolescentes.

A reportagem, sob o título "A tecnologia a serviço dos brutos", explica o que é o problema e traz depoimentos de alguns jovens brasileiros que foram vítimas de seus colegas de escola. Ou seja: o problema é real e afeta nossos jovens! Também destaca a falta de interesse e de apoio de alguns colégios, que deveriam ajudar a reprimir estas iniciativas.

Uma pesquisa recente divulgada pela ONG SaferNet, descobriu que 38% dos jovens entrevistados declararam que foram vítimas, ao menos uma vez, de cyber bullying. Diferentemente da violência física, os jovens que partem para a agressão online acreditam que ficarão impunes devido ao anonimato e as vítimas acabam sofrendo muito mais do que no caso de uma agressão física, pela dimensão que o ato pode alcançar em termos psicológicos e até mesmo pelo alcance: o mundo inteiro (inclusive familiares e amigos) pode ver esse tipo de agressão.

O problema do cyber bulling ganhou muita repercussão recentemente quando uma adolescente americana, Phoebe Prince de 15 anos, cometeu suicídio após uma campanha incansável de intimidação que durou meses. Seis alunos são acusados de promover agressões verbais e ameaças de agressões físicas através do Facebook e mensagens de texto.

A reportagem da Veja também cita alguns casos de escolas que resolveram encarar este problema de frente e conscientizar os alunos sobre o uso correto da Internet, como é o caso do Colégio Bandeirantes, em São Paulo, que criou aulas específicas para orientar os alunos sobre o bom uso da Internet como evitar o cyberbullying.

O site digizen.org divulgou um material excelente para ajudar no combate a este problema. Além de alguns guias e entrevistas, o site publicou um vídeo de conscientização muito lrgal, chamado 'Let's Fight it Together'.

Creative Commons License
Disclaimer: The views expressed on this blog are my own and do not necessarily reflect the views of my employee.