[segurança] Estatísticas de segurança

A Symantec divulgou recentemente algumas estatísticas de segurança, durante a conferência mexicana bSecure:

• O volume de SPAM cresceu quase 200% entre 2007 e 2008
  
• Em 2008 a Symantec identificou 5.471 vulnerabilidades, 80% das quais são muito fáceis de se explorar.
  
• 90% dos incidentes não teriam acontecido se existisse um controle de segurança relativamente fácil de se implementar - como, por exemplo, troca de senhas.
  
• 90% dos incidentes envolveram o crime organizado.
  
• 81% das empresas afetadas não cumpriam com os padrões de segurança do mercado, como o PCI.
  
• 67% dos incidentes podem ser associados a negligência.
  
• 285 milhões de registros roubados en 2008, comparado com 230 milhões entre 2004 e 2007. Um aumento de 400%.
  
• 32% desses registros estavam a venda no mercado negro.
  
• A perda de propriedade intelectual é estimada em 600 milhões de dólares.

Além disso, a ABES estima que a pirataria de software causa prejuízo de US$ 1,645 bilhão.

Aniversário de 5 anos do Blog

Há exatos 5 anos atrás, no dia 08 de junho de 2005, eu publiquei o primeiro post deste blog.

Este blog nasceu da vontade de ter um lugar onde eu pudesse guardar e compartilhar o meu conhecimento e, principalmente, compartilhar com o mundo as coisas que apreendi. Desde o começo eu optei que o meu blog seria uma coletânea de informações sobre os principais assuntos relacionados a segurança da informação. Muitas vezes eu publiquei aqui notícias, textos e links para sites que possam ser consultados a qualquer momento e servir como referência em uma necessidade futura.

Estou contente em completar 345 posts, distribuídos nesses últimos 5 anos.

Cyber Cultura] Campanha da Globo contra o bullying

O apresentador Serginho Groisman está comandando uma campanha da Rede Globo contra o cyber bullying. No vídeo abaixo, o apresentador fala rapidamente que o bulling e o cyber bulling são inaceitáveis e causam sérias consequencias psicológicas em suas vítimas. Ele também recomenda que as pessoas discutam mais sobre esse assunto, inclusive pais e filhos.



Recentemente a revista Veja também publicou uma reportagem excelente sobre esse assunto, que eu fiz questão de comentar aqui no blog. O bulling é um termo relativamente novo para problema antigo, muito comum nas escolas. Acredito que todos nós conhecemos algum caso de um colega na escola que era perseguido ou que era alvo frequente de gozações ou apelidos ofensivos - seja porque era gordo (ou gorda), porque era magro(a), usava óculos, ou tinha aparelho nos dentes. Na verdade, qualquer coisa pode ser motivo para que um grupo de jovens comecem a humilhar algum colega, incluindo ciúmes ou diferenças sociais, de raça ou religião. Por outro lado, também é comum aquela imagem do grupinho dominante, ou do aluno mais violento que agride os mais fracos. Isso pode começar como uma brincadeira, mas pode acabar virando algo maior e causar sérios problemas psicológicos para a vítima.

A questão principal é que, atualmente, a Internet e as diversas ferramentas tecnológicas aumentam significativamente o impacto desse tipo de comportamento. Uma "brincadeira" que antes estava restrita aos muros da escola passa a ter um alcance global. A vítima pode ser importunada o tempo todo, seja através de comunidades online (é fácil achar no Orkut comunidades ofendendo uma pessoa), de mensagens ofensivas via comunicadores instantâneos ou SMS. Essas ofensas ficam expostas na "net", para que todos vejam. Além do mais, a vitima recebe estes ataques não só durante o período de aula, mas também em casa ou qualquer outro lugar.

O vídeo da Globo é bem curto, mas é apenas a ponta do iceberg. Segundo a entrevista que o Serginho Groisman deu sobre a campanha (exibida no vídeo logo abaixo), ele e a TV Globo pretendem apoiar diversas outras atividades para conscientizar as pessoas e as escolas sobre esse problema.



Deixo aqui os meus parabéns ao Serginho Groisman, a TV Globo e a revista Veja por abordarem esse assunto.

[Internet] Internet no Brasil completa 15 anos

No dia 31 de maio, o Comitê Gestor da Internet no Brasil completou 15 anos de existência. E, junto com ele, a Internet Brasileira.

Conforme divulgado pela entidade, a Portaria Interministerial nº 147, publicada no dia 31 de maio de 1995, definiu a criação do Comitê para coordenar e integrar todas as iniciativas de serviços Internet no país. Esta ação agregou os esforços de desenvolvimento da rede que estavam em desenvolvimento pela comunidade científica e tecnológica, pelo terceiro setor, empresas e Governo.

Segundo o site, em 1995 era preciso utilizar um modem convencional para acessar a Internet, que operava em uma velocidade máxima de 56 Kbps (quem viveu essa época sabe o quanto isso é lento, mesmo para os padrões daquela época). A world wide web tinha sido inventada havia somente quatro anos e os browsers ainda eram novidades. A maioria dos sites tinham poucas imagens e muito texto. Não havia como criar sites muito interativos, pois só contávamos com recursos muito básicos da linguagem HTML. Mesmo o "gif animado", foi surgir pouco tempo depois. O Google não existia.

O site também apresenta uma Cronologia do CGI.br, que eu vou tomar a liberdade de resumir e destacar alguns acontecimentos que considero mais importantes.

• 1989 – Criação e delegação do código de país (ccTLD) “.br” à FAPESP
• 1991 – Primeira conexão TCP/IP brasileira, realizada entre a FAPESP e a Energy Sciences Network (ESNet), nos Estados Unidos. Dois anos depois do domínio brasileiro ter sido criado !
• 1995 – Criação do CGI.br e do Registro.br
• 1996 – Início da automatização do registro de domínios e início do boom na Internet brasileira.
• 1997 – Criação do CERT.br
• 1999 – Início da produção de estatísticas sobre incidentes de segurança na Internet
• 2000 – Primeira edição da Cartilha de Segurança para Internet
• 2005 – Criação do NIC.br
• 2006 – Lançamento do site e da campanha Antispam.br. Os domínios “.br” atingem a marca de 1 milhão.
• 2008 – O domínio “com.br” é aberto para registro por pessoas físicas
• 2010 – Atingimos a marca de 2 milhões de domínios “.br”

[Segurança] A história do Hacking

O site Online MBA publicou um gráfico que sintetiza a história do hacking. O diagrama "A Short History on Hacking" mostra os principais fatos e estatísticas atuais que mostram como ocorreu a evolução das técnicas de invasão e pesquisa de segurança dos sistemas computacionais, desde a época do "phreacking", a invasão de sistemas de telefonia.


Via: Online MBA

Resumindo o diagrama acima, para que o leitor tenha uma tradução em português do mesmo, os principais fatos indicados são os seguintes:

1. O termo "hacking" foi criado pelo famoso matemático John Nash;
2. Uma das primeiras técnicas de hacking (o "phreacking") surgiu em 1972, quando John Drapper, conhecido como "Capitão Crunch", descobriu como hackear centrais telefônicas;
3. Ian Murphy foi o primeiro hacker condenado, após invadir a rede da gigante da telefonia AT&T e alterar os relógios internos das centrais telefônicas (assim, as pessoas podiam pagar tarifas noturnas, mais baratas, mesmo durante o dia);
4. Kevin Mitnick foi, durante os anos 90, o hacker mais procurado dos EUA. Ele chegou a ficar preso por 5 anos, aguardando seu julgamento.
5. Durante 2001 e 2002, Gary Mckinnon realizou as maiores invasões a sistemas militares da história. Ele invadiu sistemas da NASA, Departamentto de Defesa dos EUA. Marinha e outros, procurando informações sobre OVNIs.
6. Recentemente, o cyber criminoso Albert Gonzalez recebeu a maior sentença por hacking da história (20 anos de cadeia). Ele invadiu diversas empresas americanas e roubou cerca de 200 milhoes de dados de cartões de crédito.

Além destes fatos, o diagrama mostra várias estatísticas sobre cyber ataques no mundo. Por exemplo, os EUA, Índia e Brasil são os maiores emissores de SPAM do mundo. Além disso, 43% das empresas entrevistadas pela Symantec declararam que perderam propriedade intelectual através da ação de hackers.

O diagrama aborda a história da segurança da informação de uma forma bem simplificada, e com um foco muito claro em ações criminosas e na punição dos criminosos (que, a propósito, deveria ser chamados de "crackers", e não "hackers"). Muitos outros fatos marcaram esta área nos últimos 20 anos, mas ficaram de lado, como o surgimento dos ataques de negação de serviço distribuído (DDoS) no final do ano de 1999 e as grandes infecções por vírus no início deste século. Recentemente, por exemplo, o portal G1 publicou um artigo muito interessante, entitulado "Conheça os especialistas em ‘brincar’ com a telefonia, os phreakers". Este artigo, do excelente jornalista Altieres Rohr, conta com muito mais detalhes e mais precisão o início das atividades de phreacking nos Estados Unidos, que marcou o início da cultura hacker.

[Segurança] A Polícia e a perícia digital

Conforme o colega blogueiro Luiz Rabelo colocou em seu blog "brazil forensics blog", o Jornal Nacional mostrou uma reportagem interessante sobre como a polícia de São Paulo utiliza a tecnologia para investigar diversos crimes que envolvem o uso de computadores e celulares. Diz o repórter no início da entrevista:

"Sem lupa, sem luvas. Quando a prova do crime está em bites e bytes, a perícia convencional dá lugar a uma investigação digital."

A reportagem "Investigação de computadores ajuda polícia de São Paulo" (veja o vídeo abaixo) foi ao ar no Sábado, dia 08/05/2010. A Globo mostra como a tecnologia já faz parte da investigação dos policiais, através de equipamentos forenses específicos para análises de aparelhos móveis e computadores. Estes equipamentos podem revelar as ligações e as mensagens em um celular, ou vasculhar todos os arquivos de um computador, inclusive os apagados. Por exemplo, a reportagem mostra um vídeo que a polícia recuperou do computador de um criminoso, que mostrava os clientes de um caixa eletrônico digitando suas senhas.



Segundo dados do Instituto de Criminalística apresentados na reportagem, o número de perícias digitais em São Paulo subiu de 535 em 2000 para 2.876 em 2009, um aumento de mais de 437% nos últimos dez anos. Afinal, os computadores e celulares já fazem parte da vida de todos nós (incluindo as vítimas e os criminosos). A reportagem termina lembrando que a Polícia espera aumentar o número de casos resolvidos com o uso da tecnologia.

[Cybercultura] VEJA sobre o Cyberbullying

A edição desta semana da revista Veja traz uma reportagem muito interessante sobre o Cyberbulling, um problema muito atual que afeta 1 em cada 6 jovens brasileiros.

O "cyberbulling" é o termo utilizado em inglês para descrever quando um grupo de adolecentes começa uma onda de ameaças e intimidações contra um determinado colega. Esse é um fenômeno muito comum nas escolas há muitos anos (quando um grupo "pena no pé" de um colega, criando apelidos, fazendo piadas, etc), talvez "desde sempre", mas que toma uma forma muito mais perigosa atualmente, com a popularização da Internet e dos celulares. Ameaças online e mensagens ofensivas via SMS torturam milhares de adolescentes.

A reportagem, sob o título "A tecnologia a serviço dos brutos", explica o que é o problema e traz depoimentos de alguns jovens brasileiros que foram vítimas de seus colegas de escola. Ou seja: o problema é real e afeta nossos jovens! Também destaca a falta de interesse e de apoio de alguns colégios, que deveriam ajudar a reprimir estas iniciativas.

Uma pesquisa recente divulgada pela ONG SaferNet, descobriu que 38% dos jovens entrevistados declararam que foram vítimas, ao menos uma vez, de cyber bullying. Diferentemente da violência física, os jovens que partem para a agressão online acreditam que ficarão impunes devido ao anonimato e as vítimas acabam sofrendo muito mais do que no caso de uma agressão física, pela dimensão que o ato pode alcançar em termos psicológicos e até mesmo pelo alcance: o mundo inteiro (inclusive familiares e amigos) pode ver esse tipo de agressão.

O problema do cyber bulling ganhou muita repercussão recentemente quando uma adolescente americana, Phoebe Prince de 15 anos, cometeu suicídio após uma campanha incansável de intimidação que durou meses. Seis alunos são acusados de promover agressões verbais e ameaças de agressões físicas através do Facebook e mensagens de texto.

A reportagem da Veja também cita alguns casos de escolas que resolveram encarar este problema de frente e conscientizar os alunos sobre o uso correto da Internet, como é o caso do Colégio Bandeirantes, em São Paulo, que criou aulas específicas para orientar os alunos sobre o bom uso da Internet como evitar o cyberbullying.

O site digizen.org divulgou um material excelente para ajudar no combate a este problema. Além de alguns guias e entrevistas, o site publicou um vídeo de conscientização muito lrgal, chamado 'Let's Fight it Together'.

[Segurança] Mais novidades sobre Cloud Computing

A comunidade de segurança da informação está amadurecendo cada vez mais a discussão sobre "Cloud Computing", a "Computação em Nuvem".

Hoje, por exemplo, a Cloud Security Alliance (CSA) disponibilizou um material chamado "Cloud Controls Matrix V1", uma matriz que auxiulia os gestores a identificar e mapear os riscos de segurança relacionados a Cloud Computing. Para cada um dos 98 controles sugeridos, a matriz indica se ele se aplica ao fornecedor de serviços ("service provider") ou ao cliente, e relaciona este controle às principais regulamentações existentes (COBIT, HIPAA, ISO/IEC 27002-2005, NIST SP800-53 e o PCI DSS).

Eu vou comentar sobre essa nova ferramenta na palestra que farei no Seminário Cloud Computing que a SUCESU-ES está organizando. O evento acontecerá no dia 29 de Abril, quinta-feira, em Vitória (ES). Vários palestrantes estão confirmados e o evento será bem interessante.

[Segurança] Mais casos de roubo de dados em caixas eletrônicos

Todos devemos ter muito cuidado quando utilizamos caixas eletrônicos. Uma fraude muito comum em todo o mundo é o uso de dispositivos específicos para copiar dados dos cartões de débito, que são criados de forma a serem encaixados na carcaça dos caixas eletrônicos. Aqui no Brasil, estes dispositivos são normalmente chamados de "chupa-cabra" (nos EUA, de "skimmers"). Só hoje eu li duas notícias sobre dispositivos "chupa-cabra" identificados em caixas eletrônicos (ATMs) em Fortaleza e no Rio de Janeiro.

Normalmente, os bandidos usam dois equipamentos: uma leitora falsa que copia a trilha magnética dos cartões e uma câmera (ou teclado falso) para capturar as senhas. A imagem ao lado mostra o detalhe do equipamento encontrado em um supermercado de Fortaleza, que incluía uma câmera digital fixada no caixa automático para gravar as senhas digitadas pelos clientes (através de um pequeno furo na carcaça falsa). O "chupa cabra" encontrado em uma agência em Copacabana (Rio de Janeiro) aparentemente também transmitia os dados remotamente para os criminosos (isso acontece quando os bandidos conectam um celular ou eventualmente um dispositivo wi-fi no "kit").

Mas este crime acontece em todo o mundo. A polícia Australiana prendeu ontem um jovem chinês utilizando um aparelho destes no aeroporto internacional australiano. Lá, o prejuízo com este tipo de golpe chega a 100 milhões de dólares por ano. Além disso, a ComputerWorld australiana disponibilizou um slideshow que mostra diversos tipos de dispositivos para captura de dados de cartão de crédito (segundo uma das imagens do site, um leitor simples pode custar pelo menos US$ 510). Entre as fotos, duas são de um dispositivo identificado há muitos anos atrás no caixa de um grande banco brasileiro.


Não custa nada repetir algumas dicas, baseado em um outro artigo que publiquei neste blog recentemente:

• Antes de utilizar os caixas eletrônicos, observe se eles aparentam estar funcionando normalmente.
• Veja se todos os equipamentos são semelhantes e se as peças parecem estar devidamente conectadas.
• Dê uma discreta "cutucada" no caixa eletrônico. Desconfie de peças aparentemente soltas ou que não estejam bem fixas.
• Desconfie se o equipamento pedir suas informações em uma uma ordem diferente do normal, ou se pedir dados a mais.
• Quando for digitar suas senhas, tente tampar a sua mão com algo, para evitar que alguém veja ou filme.
• Jamais aceite ajuda de estranhos. Se precisar de ajuda, entre na agência e procure um funcionário.
• O mais importante: se você suspeitar de um caixa eletrônico, seja discreto e saia imediatamente do local. Ligue para a polícia quando estiver bem longe. Não tente bancar o herói.

[Segurança] Entrevista ao podcast StaySafe

Recentemente eu tive a feliz oportunidade de ser entrevistado pelo Thiago Bordini e pelo Jordan Bonagura, que lançaram o podcast StaySafe.


Nesta, que foi a terceira edição do podcast, conversamos por quase uma hora sobre vários assuntos, incluindo o debate que irei comandar na próxima edição do YSTS, a conferência Blue Hat em Buenos Aires e o mercado de vulnerabilidades. Também falamos um pouco sobre como a Microsoft tem evoluído nos últimos anos em termos de segurança, sobre carreira e sobre o projeto HackerSpace em São Paulo.


Na próxima edição da conferência You Shot the Sheriff (YSTS 4.0) eu irei comandar um debate que chamamos de "InfoSec Arena". A intenção é aproveitar o final do evento para promover um debate sobre os principais temas relacionados ao nosso mercado, porém de uma forma inovadora: os temas serão sorteados no momento do debate, entre perguntas e sugestões enviadas pelo público do evento. Além disso, o debate será entre as pessoas do próprio público, escolhidas no momento em que cada tema for escolhido. Eu e os organizadores do evento esperamos, dessa forma, ver discussões animadas e interessantes, onde todos poderão participar igualmente. O YSTS 4.0 irá acontecer em São Paulo, no dia 17 de maio.


Outro assunto interessante foi a conferência Blue Hat, organizada pela Microsoft em Buenos Aires. Foi a segunda vez que a Microsoft realiza a conferência fora dos Estados Unidos. Nesta edição, realizada em 18 de março, eles juntaram os melhores pesquisadores de segurança da América Latina e vários executivos (CSOs) da região, totalizando cerca de 100 pessoas. Os idiomas "oficiais" da conferência se misturavam: Inglês, espanhol e português. Até mesmo o "portunhol" era ouvido, falado e aceito por todos. Foi uma ótima oportunidade para integrar esses profissionais e promover a troca de idéias. As palestras foram muito interessantes, e abordaram temas tão diversos como Cloud Computing, segurança em aparelhos mobile e até mesmo um rápido debate entre vários pesquisadores. Eu e a Kristen Dennesen, minha colega da iDefense, tivemos a oportunidade de falar sobre o mercado global de vulnerabilidades e descrever como é o cenário latino-americano de segurança. O interessante é que nossa apresentação aconteceu alguns dias antes de sair a notícia de que o pesquisador de vulnerabilidades americano Jeremy Jethro foi condenado por vender um exploit para o Albert Gonzalez, um dos maiores ciber criminosos da história, que roubou milhões de dados de cartão de crédito de diversas empresas, como a TJX, 7-Eleven e a Heartland Payment Systems. Pela falha de "0-day" no Internet Explorer, Gonzalez pagou $ 60mil.


Hoje em dia os pesquisadores de segurança de todo o mundo tem a chance de ganhar dinheiro (licitamente ou não) quando descobrem vulnerabilidades em softwares. Embora a grande maioria dos fabricantes não remunerem quem lhes forneça essa informação, diversas empresas, governos (o "mercado cinza") e criminosos (que formam o "mercado negro") oferecem dinheiro em troca de receber informações exclusivas sobre a vulnerabilidade descoberta. Algumas empresas, como a iDefense e a Tipping Point anunciam publicamente seus programas de compra de vulnerabilidades, e se diferenciam das demais pelo compromisso de notificar os fabricantes sobre as vulnerabilidades descobertas. Este mercado é global, e percebemos que a maioria das empresas que trabalham com pesquisa em segurança já possuem alguma forma de presença na América Latina, principalmente no Brasil e na Argentina.

Um fator interessante e que diferencia a América Latina do resto do mundo é que as atividades criminosas na Internet estão quase que totalmente voltadas para a faude financeira, através de credenciais de acesso roubados através de esquemas de phishing. Por isso, os criminosos latino-americanos investem seu tempo em criar mensagens de phishing convincentes, e não tanto em criar trojans ou ferramentas que explorem vulnerabilidades desconhecidas (chamadas de "0-day"). Assim, o mercado negro de vulnerabilidades é muito pouco ativo na região, embora exista uma comunidade muito ativa de pesquisadores de segurança, e muitos deles altamente qualificados (principalmente na Argentina).

A Blue Hat mostra também o quanto a Microsoft amadureceu nesses últimos anos, quando o assunto é segurança. Se no passado a empresa tinha fama de demorar para reconhecer e corrigir as vulnerabilidades em seus produtos, hoje ela representa um modelo a ser seguido pelo mercado. Seus avanços incluem a criação de times específicos de resposta a incidentes como o Microsoft Security Response Center (que, em 2007 foi considerado um dos "10 piores empregos do mundo"), disciplina no processo de criação e divulgação de patches e o investimento em capacitação dos seus profissionais e, principalmente, dos seus times de desenvolvimento.

Finalmente, um projeto que tem me interessado recentemente é a criação do primeiro HackerSpace brasileiro, aqui em São Paulo. O Hackerspace é um local físico onde as pessoas podem se encontrar para desenvolver projetos de tecnologia (prefiro dizer que elas vão "brincar com a tecnologia"). É um espaço onde podemos resgatar o conceito original da palavra "hacker": um expert em tecnologia, autodidata na maioria das vezes, que gosta de "fuçar" e pesquisar para aumentar o seu conhecimento cada vez mais. Os diversos HackerSpaces existentes no mundo servem justamente como um ponto de encontro, onde os interessados podem trocar idéias e desenvolver projetos juntos. Os argentinos também estão montando um Hackerspace em Buenos Aires. Aqui em São Paulo, nós criamos um site que utilizamos para trocar idéias e planejar a criação do HackerSPace paulista, e que já conta com mais de 60 pessoas cadastradas (eu escrevi "nós criamos" mas o site já existia quando eu me juntei ao grupo).

Toda esta conversa está disponível no site do podcast StaySafe.