Hoje eu tive a oportunidade de participar de um painel sobre segurança de Cloud Computing durante o SICGov 2010, o IV Congresso de Segurança da Informação e Comunicações para Governo, realizado em Brasília/DF durante esta semana.
Como eu dividi o palco com mais dois painelistas, os senhores Cezar Taurion da IBM e Raimundo Nonato da Costa, da Microsoft, eu optei por preparar um material bem curto que sintetizasse os principais pontos que julgo serem os mais importantes quando consideramos as vantagens e os riscos de segurança relacionados a computação em nuvem. Por isso, eu acabei criando uma apresentação aonde destaquei os seguintes pontos:
A Computação em Nuvem nos oferece vários benefícios do ponto de vista de segurança da informação, na medida em que facilita a resolução de alguns problemas clássicos, como a disponibilidade das aplicações, atualização de versões e aplicação de patches (o que pode ser gerenciado pelo provedor de Cloud Computing), a segregação de ambientes (uma vez que fica fácil e barato levantar versões de testes e homologações de suas aplicações) e a implementação de um plano de recuperação de desastres (pois isto pode estar embutido na oferta de Cloud Computing ou a empresa pode utilizar a nuvem para hospedar versões de contigência para suas aplicações existentes, criando um "datacenter virtual").
A discussão sobre os riscos da Computação em Nuvem deve, necessariamente, começar com uma análise de riscos baseada nas necessidades de negócio, para que a empresa ou o órgão de governo identifique suas necessidades, riscos e controles de segurança que necessitará adotar ou exigir do provedor de Cloud Computing. Isto nada mais é do que um processo de análise de riscos que deveria ser natural para a empresa ou entidade, independente de tratarmos de Computação em Nuvem ou qualquer outro serviço ou tecnologia.
Embora a Computação em Nuvem herde vários riscos associados às tecnologias que utiliza e ao seu modelo de negócio (como, por exemplo, riscos associados ao controle de acesso, virtualização, modelo de terceirização, etc), ela também apresenta um conjunto específico de novos riscos que tornam a análise de riscos mais complexa, e diferente do que as empresas e entidades estão acostumados, como, por exemplo, os riscos associados as suas novas características e paradigmas.
Eu considerei importante exemplificar o que eu considero como sendo os "novos riscos" que a Computação em Nuvem traz para as empresas, e por isso utilizei o último slide da minha curta apresentação para listar apenas alguns deles, como por exemplo, a necessidade de preocupação com a localização geográfica de seus dados (para evitar que sua aplicação ne Nuvem e seus dados estejam, fisicamente, em um país com controles legais ou cenário de ameaças distinto do que a empresa esteja acostumada) e, o mais interessante, o fato de que a facilidade de contratação dos serviços de Cloud Computing representa um risco, uma vez que as áreas de negócio podem facilmente contratar uma nova aplicação de um fornecedor externo sem o conhecimento e a anuência das áreas de Tecnologia da Informação (TI) e de segurança da empresa.
O painel foi excelente, pois o Cezar Taurion apresentou os principais conceitos e os principais passos para adoção da computação em nuvem, enquanto o Raimundo Nonato destacou as estratégias e cuidados que os governos e órgãos públicos devem considerar ao utilizar o Cloud Computing. Ao final tivemos algumas perguntas interessantes da platéia, como a preocupação em como auditar um provedor de Cloud Computing e a existência de padrões e normas para tal (o que, a propósito, está sendo discutido na ABNT).
No decorrer do painel, surgiram vários comentários que eu considerei interessantes, como os pontos abaixo. Eu aproveitei e publiquei vários comentários no Twitter durante o painel, para permitir uma participação do público remoto.
Segundo o Cezar Taurion, a Computação em Nuvem representa uma mudança de visão e entendimento do que é TI atualmente, e daqui a 10 anos vai parecer algo natural. eu complementei este comentário lembrando que daqui a 10 anos, os principais executivos serão pessoas que, provavelmente, já nasceram no mundo Internet e conhecem tecnologia desde pequenos.
Gostei também de outra frase do Cezar Taurion: "nós superestimamos a adoção de Cloud Computing a curto prazo e subestimamos o seu impacto no longo prazo."
O Raimundo Nonato, da Microsoft, apresentou fotos do datacenter modular que é utilizado atualmente, que consiste em conjunto de equipamentos montado dentro de um container, e que pode ser facilmente adicionado a vários existentes para ampliar a capacidade total de processamento.
Foi concenso entre os painelistas que a adoção de Cloud Computing pelas empresas deve ser feita aos poucos e seguindo uma cuidadosa estratégia. Por exemplo, a empresa ou o órgão de governo deve começar escolhendo aplicações menos críticas.
Outro ponto interessante foi a questão da auditoria e confiabilidade no provedor. Neste ponto, ambos o Cezar Taurion e o Raimundo Nonato destacaram a importância em selecionar uma empresa grande e confiável para fornecer os serviços de Cloud Computing.
Ao final, eu destaquei que Cloud Computing representa uma ótima oportunidade para que as pequenas e médias empresas tenham acesso a tecnologia e a soluções de negócio sem a necessidade de grande investimentos. Ela também facilita o acesso dos usuários a tecnologia, mesmo nos casos de usuários ou escritórios remotos - o que pode ser crucial para uma empresa pequena ou de médio porte.
O SICGov 2010 foi organizado e realizado pelo Gabinete de Segurança Institucional da Presidência da República, por intermédio do Departamento de Segurança da Informação e Comunicações (DSIC).
Entre os dias 25 e 30 de Novembro, São Paulo recebe a sétima edição da Hackers to Hackers Conference (H2HC), uma das mais tradicionais e importantes conferências de segurança do Brasil e da América Latina.
A H2HC reúne centenas de profissionais de segurança e pesquisadores, além de palestrantes internacionais e profissionais renomados. O evento é um grande disseminador da cultura de segurança da informação no Brasil e, principalmente, é um grande incentivador da pesquisa em segurança. O evento tem crescido muito em termos de infra-estrutura e de maturidade nos últimos anos. É uma oportunidade única para reunir os profissionais que atuam no mundo corporativo, os grupos de pesquisa em segurança e a comunidade underground.
A H2HC tem dois dias intensos de palestras, nos dias 27 e 28 de Novembro (Sábado e Domingo), além de quatro dias com treinamentos técnicos em diversos tópicos relacionados a segurança da informação. Eu terei a honra de apresentar uma palestra durante o evento, entitulada “Urgente: Hackers causaram a erupção do vulcão Eyjafjallajokull”, onde irei discutir alguns aspectos técnicos e não-técnicos da segurança de empresas no setor de infra-estrutura crítica e dos sistemas SCADA. Também irei apresentar um treinamento no dia 25/11 sobre Cyber Inteligência, um treinamento que nós, da equipe de inteligência da iDefense, estamos desenvolvendo e vamos apresentar pela primeira vez na H2HC.
Além das palestras e treinamentos, o evento também conta com um painel de debate no dia dia 24 de novembro, chamado de H2CSO (Hackers to CSO). O debate visa discutir com gestores a importância de promover pesquisas em segurança dentro das organizações. O H2CSO será realizado em parceria com a Decision Report, e por isso ele acontecerá dentro do evento Security Leaders e pode ser acompanhado ao vivo e gratuitamente pela Internet.
A H2HC conta com vários patrocinadores (como a iDefense) e várias entidades apoiando, como a ISSA Brasil e o capítulo brasileiro da Cloud Security Alliance (CSA BR).
A Hackers to Hackers Conference ocorrerá no auditório do Hotel Novotel Morumbi em São Paulo (na Rua Ministro Nelson Hungria, 450), nos dias 27 e 28 de novembro de 2010. Para maiores informações sobre a H2HC e inscrições, visite o site do evento: http://www.h2hc.com.br
Facebook, Blogspot e MySpace são os sites mais visitados por menores de 18 anos.
24 dos 25 maiores jornais estão experimentando queda de circulação, pois a notícia chega primeiro aos usuários em outros formatos.
Em um levantamento por amostragem de 2.884 pessoas em 14 países, 90% dos participantes conhecem pelo menos um site de rede social e 72% estão ativos em pelo menos 1 site de relacionamento (os três países no topo foram o Brasil com 95%, os EUA com 84% e Portugal com 82%). Em média, os usuários fazem login duas vezes por dia em sites de redes sociais e tem cerca de 195 amigos.
O Facebook é a maior rede social do munco, com mais de 500 milhões de usuários. Se o Facebook fosse um país, seria o terceiro maior país do mundo, atrás apenas da China e Índia.
Em média, os usuários do Facebook estão ligados a 80 páginas de comunidades, grupos e eventos, e criam 90 peças de conteúdo a cada mês.
O YouTube recebe mais de 2 bilhões de espectadores a cada dia, sendo que a cada minuto os usuários publicam 24 horas de vídeos.
Os vídeos de música representam 20% de uploads no YouTube.
Para assistir todos os vídeos no YouTube atualmente, uma pessoa teria que viver por cerca de 1.000 anos.
Existem mais de 181 milhões de blogs.
Um em cada cinco blogueiros publicam atualizações de seus blogs diariamente (infelizmente eu não faço parte dessa estatística).
80% das companhias usam o LinkedIn como uma ferramenta de recrutamento.
73% dos usuários da Wikipedia editam o site porque querem compartilhar conhecimento, e 69% dos usuários o fazem para corrigir erros.
O mau tempo resulta normalmente em um maior número de atualizações na Wikipédia.
Recentemente eu estava pesquisando algumas notícias sobre crimes cibernéticos e fraudes de cartão de crédito no Brasil e achei um artigo muito interessante no Jornal de Uberaba, entitulado "No Brasil, o crime compensa", onde o autor, Carlos Paiva, discute como funciona o crime cibernético no Brasil, além de questionar a eficiência das autoridades e discutir os motivos e falhas institucionais que fomentam o crime.
"O homem foi à lua, mas não consegue acabar com as fraudes bancárias envolvendo cartões." Carlos Paiva
Em um determinado momento, o artigo descreve muito bem as principais características do crime cibernético no Brasil, que eu transcrevo abaixo, misturado com algumas observações e comentários meus:
Não existe lei específica para os crimes cibernéticos, e por isso o bandido sabe que o risco de ser preso é baixo e compensa, pois as penalidades também são insignificantes. Devido a falta de leis específicas, geralmente os criminosos cibernéticos são enquadrados com base em crimes tradicionais que sejam semelhantes, como furto ou estelionato. Isto acaba por complicar o processo de acusação e o julgamento, pois todo o processo fica dependendo da habilidade dos advogados em traçar o paralelo entre o crime real e o virtual, além de depender da correta interpretação do juiz.
O capital para iniciar no cyber crime é insignificante perto dos lucros. O autor dá um exemplo: o criminoso pode investir cerca de R$ 5 mil e no final do mesmo dia pode obter facilmente três vezes este valor, ou mais. Este é o custo médio de um equipamento chupa-cabra, utilizado para clonar cartões em caixas eletrônicos ou em lojas, que pode ser adquirido no mercado negro ou feito em casa. Este é um negócio onde o lucro é real, fácil e não existe risco nem impostos.
A descrição do perfil dos cyber criminosos que o autor apresenta é similar com a descrição apresentada pelas principais autoridades. Em sua maioria, os especialistas em fraude eletrônica são jovens, inteligentes, e muitas vezes de classe média. É comum a polícia divulgar fotos destes criminosos muito bem vestidos, com bebidas caras e veículos imponentes. Conforme descreve o autor, alguns cyber criminosos se apresentam como pequenos comerciantes, empresários ou como profissionais liberais, e em alguns casos usam negócios de fachada para lavar dinheiro.
O autor também discute como poderia ser fácil para a polícia identificar os criminosos virtuais devido ao alto movimento de dinheiro ilícito, e eventualmente condená-los ao menos por fraude fiscal e enriquecimento ilícito. O autor, em vários momentos, critica a ineficiência dos bancos e das autoridades policiais (tanto a polícia federal quanto as polícias estaduais), mas nesse ponto eu discordo totalmente do artigo. Na minha opinião, e pelo o que eu tenho acompanhado até hoje, os bancos e as autoridades policiais tem se esforçado muito em combater o crime virtual. Infelizmente, temos a impressão de que isso não acontece, e acredito que essa sensação de impotência e ineficiência é causada por vários fatores, dentre os quais eu destaco a ineficiência na condenação dos criminosos (principalmente devido ao nosso sistema legal falho, na minha opinião), a falta de unidades de polícia especializadas em crimes cibernéticos em vários estados e a grande quantidade de criminosos - afinal, é muito fácil entrar no cyber crime. Há notícias de criminosos e quadrilhas especializadas em fraudes eletrônicas presas pela polícia quase diariamente, em várias cidades do país. Recentemente, por exemplo, policiais prenderam dois membros de uma quadrilha especializada em fraude de cartão de crédito atuando no Acre, conforme mostra a reportagem abaixo:
Um ótimo exemplo do cenário atual é o caso do criminoso Rodines Miranda Peres, que foi preso recentemente. Ele, na verdade, é considerado o primeiro criminoso cibernético identificado no Sul do país, em 1999, e embora tenha sido preso e condenado (em 2004), continuava na ativa até hoje - 11 anos depois de começar sua carreira no crime. Segundo outra notícia, ele foi condenado a dois anos e oito meses de prisão por estelionato e tem outra condenação de sete anos de prisão, mas conseguiu o direito de responder em liberdade.
Atualização em 10/11/2010:
Após eu publicar este artigo, vi a notícia de que hoje a Polícia Federal realizou uma operação contra uma grande quadrilha especializada em crimes cibernéticos, que era baseada no Ceará. A operação, chamada "operação Firewall", incluía a execução de 15 mandados de prisão e 19 de busca e apreensão. As autoridades estimam que o grupo roubou cerca de R$ 3 milhões no período de aproximadamente um ano, através de Trojans bancários (os programas que espionam os computadores das vítimas para roubar as senhas e dados pessoais) distribuídos por e-mails de phishing. A operação é resultado de uma parceria firmada entre a Caixa Econômica Federal (CEF) e a PF, o que mostra o interesse claro dos bancos e das autoridades policiais em combater o cyber crime.
Além disso, o jornal Pantanal News, de Campo Grande, divulgou que 16 pessoas foram à Polícia denunciar golpes em caixas eletrônicos em um único dia, naquele estado. É um número assustador, que mostra a grande quantidade de crimes e de vítimas.
As fraudes eletrônicas (que inclui fraudes em contas de Internet Banking, caixas eletrônicos e clonagem de cartões de crédito e débito) estão espalhadas por todo o Brasil. Por isso, precisamos ter muito cuidado quando utilizamos a Internet ou realizamos pagamento com cartões.
Recentemente saiu uma reportagem sobre Guerra Cibernética no jornal Correio Brasiliense, que também foi replicada no Diário de Pernanbuco que dá destaque ao assunto e ao recente investimento do exército em treinamento para capacitar seus membros em guerra cibernética. A reportagem foi parcialmente baseada em uma entrevista que dei para a repórter sobre o tema durante o CNASI em virtude da palestra que ministrei lá no evento.
“A guerra cibernética é a mais limpa e barata que existe. Eu sou civil, mas consigo imaginar qual o custo de lançar um míssil” (Eduardo D’Antona, Panda Security)
A ciberguerra pode se tornar mais uma ferramenta da guerra comum. “Na década de 1980, as nações discutiam se haveria guerra no espaço, assim como já ocorria na terra, no mar e no ar. (...) a internet vai se tornar mais um domínio para os conflitos, assim aconteceu com o espaço”.
A reportagem menciona o Stuxnet, e o define como sendo "o vírus mais sofisticado de todos os tempos, [que] se infiltrou em usinas nucleares do Irã." A sofisticação do Stuxnet é, sem dúvida, algo sem precedentes: entre outras coisas, ele explora quatro vulnerabilidades complexas para se infectar, classificadas como "zero days", utiliza dois certificados digitais falsos para se instalar no micro infectado, usa uma rede peer-to-peer para se comunicar com outras máquinas invadidas, e exige muito conhecimento do sistema industrial para o qual foi direcionado. Mas não podemos nos esquecer que o fato do alvo principal ser uma usina nuclear do Irã ainda é especulação. Muitos consideram como algo altamente provável, mas ainda é especulação.
O Stuxnet resume algumas das principais características das armas virtuais, e que foram apresentadas no artigo, como, por exemplo:
As armas cibernéticas são altamente sofisticadas e exigem o esforço de uma equipe de especialistas bem treinados. No caso do Stuxnet, “esse tipo de vírus afeta o sistema que controla as máquinas. Ele poderia, até mesmo, parar uma turbina” (André Carraretto, Symantec).
A grande dificuldade de saber a origem de um ataque virtual, devido a facilidade de se camuflar a origem de um ataque sofisticado. "Além disso, as diversas formas de camuflar a origem da ameaça complicam as investigações."
Em um ataque virtual, é muito difícil restringir a sua ação e evitar efeitos colaterais, atingindo países ou sistemas inocentes - e até mesmo aliados. No caso do Stuxnet, mais de 50 mil computadores foram infectados, e provavelmente só um computador representa o seu alvo final.
Também pode ser difícil identificar o alvo de um ataque virtual. Embora muitos computadores no Irã tenham sido infectados, a Índia também foi.
Há alguns meses atrás nós começamos a juntar um grupo de profissionais de segurança interessados no assunto de Cloud Computing (Computação em Nuvem) e, em maio deste ano, iniciamos o capítulo brasileiro da Cloud Security Alliance, uma entidade americana formada por empresas e profissionais voluntários que se interessam em pesquisar e compartilhar informações sobre a segurança da Computação em Nuvem.
Nesta semana nós tornamos público os primeiros frutos do nosso trabalho:
Criamos uma conta no Twitter (@csabr) para facilitar e agilizar a nossa comunicação;
E, principalmente, lançamos a versão traduzida para o português do principal e mais completo material da CSA, o "Guia de Segurança para Áreas Críticas Focado em Computação em Nuvem" (é possível também fazer o download direto no site da CSA). O guia é uma excelente referência para quem deseja apreender sobre segurança de Computação em Nuvem.
O Guia de Segurança para Áreas Críticas Focado em Computação em Nuvem é organizado em três seções com um total de 13 domínios, dos quais o primeiro domínio descreve os principais conceitos sobre Cloud Computing e os demais correspondem a distintas categorias de risco que devem ser consideradas. O guia aborda as diferentes arquiteturas de computação em nuvem, aspectos de governança e de operação para a implantação de um projeto de computação em nuvem com segurança, que incluem compliance, gestão de riscos, regulamentações legais, gerenciamento de acesso, virtualização, criptografia e proteção das aplicações na nuvem, entre outros. A tradução foi um trabalho meticuloso que consumiu 32 pessoas durante alguns meses. Acreditamos que esse documento vai permitir que muitos profissionais brasileiros se interessem e possam se aperfeiçoar neste assunto.
O lançamento do guia foi realizado oficialmente no dia 21 de outubro durante o CNASI, o Congresso Latinoamericano de Auditoria de TI, Segurança da Informação e Governança, com uma palestra do Leonardo Goldim, presidente do capítulo. Alguns sites como a Convergência Digital, ComputerWorld e o site baguete divulgaram o lançamento.
Atualização (18/09/2026): 16 anos depois de publicado, a Google, de forma arbitrária, resolveu suspender esse post!!! Sim, fui acusado de violar as políticas do Blogger: "Your content has been evaluated according to our Malware and Viruses policy. Please visit our Community Guidelines page linked in this email to learn more.". Caro Google, este é apenas um artigo que, desde 2010, destaca as notícias públicas, de fontes públicas e confiáveis, relacionadas a guerra cibernética. Não há qualquer conteúdo malicioso aqui! Dear Google, this is just an article that, since 2010, has highlighted public news,from public and reliable sources, related to cyber warfare. There are no malicious content here!
Nesta semana eu irei participar do Congresso Latino Americano de Auditoria de TI, Segurança da Informação e Governança (CNASI), onde vou apresentar uma palestra sobre Guerra Cibernética no dia 20 de outubro e também vou ministrar um curso sobre os riscos de Cloud Computing, no último dia do evento. O CNASI acontece de 19 a 21 de outubro no Centro de Convenções Frei Caneca, em São Paulo.
A guerra cibernética nada mais é do que a adaptação da doutrina de guerra para a Internet, ou seja, uma evolução natural do comportamento bélico do ser humano, que se adapta de acordo com o surgimento de novas tecnologias e novas fronteiras. A internet é considerada, hoje em dia, como o quinto "domínio" da guerra, após a terra, o mar, o ar e o espaço.
Durante a palestra "Prepare-se para a Guerra Cibernética", eu vou apresentar os principais conceitos sobre o assunto e vou comentar sobre as estratégias dos principais governos ao redor do mundo para enfrentar esta nova ameaça e dentro de um cenário que eu e alguns outros especialistas na área chamamos de "Guerra Fria Cibernética". Hoje, vários países estão investindo em desenvolver uma capacidade de ataque e defesa voltado para o cyber espaço, ao mesmo tempo que algumas instituições, como a ONU e a OTAN, estão discutindo a necessidade de se criar tratados de proteção e cooperação específicos para este cenário. Esta apresentação é uma evolução do debate que eu e minha amiga Kristen Dennesen preparamos para a edição do ano passado da Hackers to Hackers Conference (H2HC).
Há excelentes materiais e artigos online que ajudam a explicar o conceito de guerra cibernética, e quero listar a seguir alguns deles que tenho utilizado como base para minhas apresentações.
Sites especializados sobre o tema (ou melhor, sites que também abordam a guerra cibernética):
A McAffee lançou no ano passado um relatório muito completo sobre guerra cibernética, chamado "In the Crossfire: Critical Infrastructure in the Age of Cyber War", que aponta sete países que tem desenvolvido capacidades de guerra cibernética, principalmente os Estados Unidos, França, Rússia, Israel e China
No início de 2012 a McAfee e a empresa Security & Defence Agenda (SDA) lançaram um relatório conjunto chamado "Cyber-security: The Vexed Question of Global Rules " em que divulgam um ranking sobre como os principais países estão preparados para se defenderem de ciber ataques. O press release está disponível no site da McAffee e o relatório completo pode ser abaixado do site da SDA.
A Symantec publicou um excelente relatório detalhado sobre o vírus Stuxnet, chamado "Stuxnet dossier"
Série de reportagens do Washington Post "Top Secret America" sobre espionagem no governo americano
Extensa reportagem da rede CBS, que ficou famosa por aqui ao afirmar que o Brasil sofreu apagões causados por hackers (fato até hoje não comprovado e refutado pelo governo) "Cyber War: Sabotaging the System - 60 Minutes"
Relatório Global Cyber Warfare Market 2013-2023, que estima o crescimento no investimento de soluções ofensivas e defensivas para ciber guerra, o que deverá elevar o mercado global de cyber warfare para US$ 16.96 bilhões em 2013
White House National Security Strategy (Fevereiro/2015): O documento considera, a todo o momento, 4 "espaços compartilhados" por todas as nações: o ciber espaço, o espaço sideral, o ar e os oceanos. No que diz respeito a segurança cibernética, na página 13 o documento diz: "As the birthplace of the Internet, the United States has a special responsibility to lead a networked world. Prosperity and security increasingly depend on an open, interoperable, secure, and reliable Internet. Our economy, safety, and health are linked through a networked infrastructure that is targeted by malicious government, criminal, and individual actors who try to avoid attribution. Drawing on the voluntary cybersecurity framework, we are securing Federal networks and working with the private sector, civil society, and other stakeholders to strengthen the security and resilience of U.S. critical infrastructure. We will continue to work with the Congress to pursue a legislative framework that ensures high standards. We will defend ourselves, consistent with U.S. and international law, against cyber attacks and impose costs on malicious cyber actors, including through prosecution of illegal cyber activity. We will assist other countries to develop laws that enable strong action against threats that originate from their infrastructure. Globally, cybersecurity requires that long-standing norms of international behavior—to include protection of intellectual property, online freedom, and respect for civilian infrastructure—be upheld, and the Internet be managed as a shared responsibility between states and the private sector with civil society and Internet users as key stakeholders."
O artigo "Cyber war: Modern warfare 2.0" tem um trecho interessante, que diz "To be in a legal state of war, you must formally declare war," e por isso o artigo prefere utilizar o termo "cyber conflict" para os acontecimentos de hoje em dia, uma vez que "no two nations are formally at cyber war"
"The Asymmetrical Online War", do New York Times, apresenta um resumo dos principais acontecimentos recentes relacionados a guerra cibernética e hacktivismo, uma vez que hoje em dia mesmo um pequeno grupo de ativistas podem causar um grande impacto atacando governos e empresas via a Internet.
Este artigo de 2007 traz uma abordagem interessante, discutindo a participação de indivíduos e os limites entre hacktivismo e cyber warfare: "People's Information Warfare Concept"
Artigo http://money.cnn.com/2013/01/07/technology/security/cyber-war um pouco alarmista da CNN, que ecoa algumas previsões de que em 2013 os ciber ataques entre países vão se intensificar e podem chegar até mesmo a causar mortes. Destaca que 12 das 15 maiores potências militares em todo o mundo estão criando programas de guerra cibernética.
O artigo "It’s Time to Write the Rules of Cyberwar" discute o processo de criar regras globais para guerra cibernética e contém uma pequena linha do tempo com os principais incidentes entre países, alguns relacionados a guerra cibernética
Artigo "Mysterious ’08 Turkey Pipeline Blast Opened New Cyberwar Era", que descreve um ciber ataque realizado em 2008 que causou uma grande explosão em um oleoduto na Turquia, interligando o Mar Caspio com o Mar Mediterrâneo, e passando pelo Azerbajão e pela Georgia. O oleoduto tinha sensores e câmeras de monitoramento em toda sua extensão, e os atacantes infectaram o servidor Windows que gerenciava a rede de alarmes com um malware para desativar os alarmes, cortar as comunicações e aumentar a pressão de óleo a ponto de provocar a explosão. Foi explorada uma vulnerabilidade no software de comunicação das câmeras de vigilância para obter acesso a rede da empresa. O governo Russo é o principal suspeito.
"Report: Mercenaries Behind APT Attacks": Artigo sobre o crescimento de ciber ataques por mercenários (chamado de "Espionage as a Service"), que roubam informações para revendê-las a governos.
"The Age of Modern Warfare" - embora o artigo não fale sobre guerra cibernética, a leitura é interessante pois ele passa um overview da evolução das táticas de guerra, culminando com o uso atual de pequenos grupos de ataque especializados, treinados e com inteligência, aonde a próxima grande guerra pode ser um cenário de conflito "global mas não total", uma junção de cenários que, na minha opinião, cai como uma luva para as táticas de guerra cibernética
"9 cyber security predictions for 2019" - No final de 2018, várias empresas incluíram a guerra cibernética entre as suas previsões para 2019. O CSO Online, por exemplo, previu que "8. Nations will make an effort to establish cyberwarfare rules - (...) 'Digital boundaries are being tested, and some nation states are starting to push back. Expect there to be a Geneva Convention for digital warfare coming soon.' Rules or no rules, some nations will continue to push boundaries when it comes to cyber warfare"
"When the United States first fired a missile from an armed Predator drone at suspected Al Qaeda leaders in Afghanistan on November 14, 2001, it was clear that warfare had permanently changed. During the two decades that followed, drones became the most iconic instrument of the war on terror. Highly sophisticated, multimillion-dollar US drones were repeatedly deployed in targeted killing campaigns."
Alemanha, a muralha da ciberdefesa global - trecho: "As Forças Armadas ganharam em abril uma quarta divisão, dedicada à guerra cibernética e não subordinada às outras três, o KdoCIR (Comando do Ciberespaço e Informação)."
Recentemente saíramváriosartigos sobre um investimento recente que o Exército Brasileiro fez em uma parceria com a Panda Security, para fornecer licenças de antivírus, treinamento e análise de códigos maliciosos. Este assunto foi coberto muito bem no artigo "Brasil prepara centro de guerra cibernética".
No dia 27 de dezembro de 2012 o Ministério da Defesa aprovou a "Política Cibernética de Defesa", que define formalmente as estratégias de defesa cibernética do país.
E-Ciber (Estratégia Nacional de Segurança Cibernética) (notícia) - A Estratégia Nacional de Segurança Cibernética (E-Ciber) foi aprovada pelo Decreto 10.222, de 5 de fevereiro de 2020, identificando os rumos que o governo federal considera essenciais para que o País, sua sociedade e suas instituições, se tornem seguros e resilientes no uso do espaço cibernético
Chile: No final de Junho de 2012 o governo Chileno lançou sua Estratégia Nacional de Defesa, que cita a necessidade de investir em segurança no ciber espaço: notícia aqui; documento original aqui
China:
Dois artigos que discutem a prática de cyber espionagem do governo Chinês, na NPR e no The Wall Street Junior.
Artigo bem interessante, que avalia os incidentes relacionados a guerra cibernética e sua relação com a China, acusando o país de ser "one of the world's worst state perpetrators of cyberespionage and malicious computer hacking": "China and Cyber-Espionage"
O artigo "Cyber Combat: Act of War" do Wall Street Joural analisa recente política do governo americano que prevê que cyber ataques possam ser considerdos "ato de guerra" e, portanto, poderiam causar uma retaliação através da guerra convencional
"Surprise! America Already Has a Manhattan Project for Developing Cyber Attacks": Artigo da Wired sobre a eventual possibilidade de criar tecnologias de defesa contra ciber ataques, em um grande esforço comparado com o "Projeto Manhattan". Algo que nunca deve acontecer, segundo o artigo. Por outro lado, desde 2001 os EUA já possuem um projeto super secreto para criar tecnologias ofensivas, algo que foi exposto ao mundo através das informações secretas vazadas por Edward Snowden.
Índia: Entre outros (este e este), recentemente saiu o artigo sobre os planos do governo indiano em criar seu exército especializado em guerra cibernética"India plans to raise own cyber army"
Inglaterra / UK:
Recentemente o governo inglês anunciou que vai investir um bilhão de libras em defesa cibernética para o governo e empresas do setor de infraestrutura: "UK government to spend £1bn on cybersecurity"
Artigo Military IT dependence could result in fatal cyber attacks sobre um estudo realizado pelo governo inglês que concluiu, entre outras coisas, que os militares estão tão dependentes dos sistemas de TI a ponto que eles podem ser fatalmente comprometidos em caso de ciber ataques
UK faces 10 cyber attacks a week as hostile states step up hacking: "It found that cyber attacks orchestrated by the GRU [the Russian intelligence agency] had included attempts to undermine the World Anti-Doping Agency, disrupt transport systems in Ukraine and destabilise democracies and target businesses."
"Israel Hacked Kaspersky, Caught Russian Spies Hacking American Spies, But..." - O governo israelense invadiu a rede da Kaspersky em 2015 e pegaram hackers do governo russo atacando os hackers do governo dos Estados Unidos com a ajuda do Kaspersky. Ou seja, a Kasperspy no meio de um furacão aonde todo mundo espiona todo mundo
Cyber Attacks Against Georgia - Apresentação do Ministério da Justiça da Georgia sobre os ciber ataques de 2008 e como o país se preparou após o ocorrido
Este artigo do jornal britânico Guardian, lançado na época em que o assunto dos ataques de espionagem ao Google estava no auge, tem um trecho interessante que diz “The United States and Nato have invested considerable resources in monitoring the defences of their major rivals, as well as non-state actors suspected of hostile intent. And Russia, China, India and Israel have been replying in kind. The Russian FSB's Department M maintains a close watch on all internet activity in collusion with the Russian military. China regularly mobilises its "netizen" army to probe the systems of perceived enemies beyond its borders. And Israel, in comparative terms, has by far the most sophisticated cyberintelligence on the planet.”
O artigo "Ciberpatriotas de 14 años" descreve como uma multinacional e uma ONG americanas tem investido na formação de jovens para se tornarem "soldados cibernéticos" através do programa Cyberpatriot.
Artigo "Estados Unidos se prepara para una ciberguerra" sobre revelações do Edward Snowden, publicados originalmente na revista alemã Der Spiegel, detalhando os planos do governo americano de se preparar para uma guerra cibernética.
Artigo "a guerra virtual… pra valer" comenta sobre recentes declarações do governo americano e inglês de que poderão responder a futuros ataques cibernéticos declarando guerra (real) aos atacantes.
O governo brasileiro também possui uma estratégia específica para tratar o assunto da guerra cibernética, desde que o Ministério da Defesa aprovou a "Estratégia Nacional de Defesa", que definiu três prioridades estratégicas para as forças armadas: o espaço (sob responsabilidade da Aeronáutica), a tecnologia nuclear (sob os cuidados da Marinha) e o Ciber Espaço, sob responsabilidade do Exército. A coordenação das estratégias de segurança está a cargo do Departamento de Segurança da Informação e Comunicações, em conjunto com as forças armadas, ABIN, Ministério da Justiça e Polícia Federal. O Exército Brasileiro está desenvolvendo um centro de guerra cibernética, chamado CDCiber (Centro de Defesa Cibernética), sob responsabilidade do "Centro de Comunicações e Guerra Eletrônica do Exército (CCOMGEX)", comandado pelo general Antonino dos Santos Guerra Neto.
Além do material citado acima, o Coronel João Rufino de Sales, do Exército Brasileiro, apresentou recentemente uma palestra excelente sobre o assunto, que está disponível online e reproduzo abaixo.
Atualizado em 23/11: O vídeo abaixo é bem interessante, mostra uma apresentação do security guru Bruce Schneier sobre guerra cibernética e cyber crime, onde ele comenta sobre as principais novidades e assuntos sobre o tema.
Atualizado na madrugada de 30/11: Eu achei no blog Café com Italo Adriano um vídeo curto, porém muito interessante, que mostra os cadetes da academia militar americana de West Point realizando um treinamento para Guerra Cibernética, junto com outras academias e a NSA. Os militares simulavam um um país sob cyber ataque e treinavam técnicas de defesa e identificação dos ataques realizados pelos especialistas da NSA. O vídeo é bem interessante:
Atualizado em 01/12/2010: Publiquei no SlideShare a minha apresentação utilizada no CNASI-SP em Outubro de 2010.
Atualizado em 09/06/2011, com doisartigos sobre os planos de lançar o Centro de Defesa Cibernética (CDCiber) Brasileiro no segundo semestre de 2011 e um artigo sobre o "centro de defesa cibernética Alemã"
Atualizado em 22/06/2011: A BT divulgou o vídeo abaixo, com um trecho curto de uma apresentação do security guru Bruce Schneier com pontos muito interessantes sobre guerra cibernética, ghostnet, wikileaks e afins. Gostei especialmente do trecho em que ele comenta se as pessoas devem ter mais medo de um ataque através de bombas e aviões ou de um ataque por pendrives ("USB sticks"). Também aproveitei para adicionar doisartigos recentes sobre a estratégia do governo brasileiro.
Atualização em 20/02:2017: eu vi dois vídeos interessantes (e curtos) no canal da RSA Conference sobre guerra cibernética:
Atualização em 02/03/2017: Incluí uma notícia sobre os esforços de guerra cibernética da Rússia. Eu gostei da palestra "Cyberwar", apresentada pela Amy Zegart no TEDxStanford em Junho de 2015 (abaixo), embora em alguns momentos ela misture um pouco de guerra cibernética com ciber ataques em geral. O slide abaixo resume os principais pontos da palestra.
Post atualizado em 15/05/2017. Atualizado em 19/06/2017 e aprovei para separar as notícias genéricas em português das notícias e reportagens específicas sobre a capacidade de guerra cibernética do Brasil. Atualizado em 08/07 e 18/07/17. Atualizado em 08/09/17. Nova atualização em 11 e 14/10/17.
Atualizado em 08/12/17. E em 11/03/18. Em 06/06/18 também.
Atualizado em 25/09/18. Atualização em 17/10/18, com mais alguns artigos e aproveitei para colocar todas as notícias específicas sobre os EUA em um bullet específico. Nova atualização em 21/11/18 e 14/12/2018.
Post atualizado em 29/12/18, para trazer aqui a nova Política Nacional de Segurança da Informação do governo Brasileiro (Decreto nº 9.637, de 26 de dezembro de 2018).
Post atualizado em 07/03/19, 02/05/19. Atualização em 09/05 para incluir a notícia do ataque de Israel em resposta a um ciber ataque do Hamas, e aproveitei para colocar um item específico para as notícias sobre Israel. Atualizado em 15/07/2019. Atualizado em 06, 07, 08, 09 e 14/01/2020.
Post atualizado em 22/01/2020 para citar o excelente verbete na Wikipedia sobre Cyberwarfare e o artigo sensacional da Wired "The WIRED Guide to Cyberwar". Ambos são muito completos e detalhados, leitura obrigatória. Atualizado novamente em 28/01, 18/04, 23/06 e 12/08.
Atualização em 13/08: A Compugraf criou um pequeno vídeo com uma timeline dos principais ataques relacionados a guerra cibernética e ciber espionagem. Eles também tem um pequeno vídeo que explica didaticamente o que é guerra cibernética.
Post atualizado em 09/02/2021, 12, 13, 25 e 30/04. Atualizado em 03 e 13/05, em 19/07, 24 e 26/08/2021. Atualizado em 21/03 e 01/04/2022. Atualizado em 06/09, em 06 e 14/10/2022, em 07/11 e em 14+20/12. Atualizado em 09 e 11/04/2023, em 10+12/06 e 24/07, 03/08, 01+12+20+29/09 e 27/11.
Atualização em 09/04/21: Essa tese do Mohan B. Gazula M.S. em Computer Science da Boston University, apresentada em 2017 no MIT, traz uma visão dos principais conflitos de guerra cibernética que já aconteceram: "Cyber Warfare Conflict Analysis and Case Studies".
Atualização em 06/09/22: Em 2022 o mundo presenciou um cenário de guerra cibernética associado ao conflito entre a Rússia e Ucrânia. Eu fiz um apanhado do assunto nesses posts, aqui no blog:
Atualização em 18/12/2023: Veja essa palestra do Mikko Hypponen, sobre a ciber guerra na Ucrânia: "Ctrl-Z".
Post atualizado em 09/01/2024. Atualizado em 28/01/2025 e 28/01/2026. Atualizado novamente em 14/02 e 10 e 11/03.
Atualização em 20/03/26: Acabamos de presenciar o início da guerra dos Estados Unidos e Israel contra o Irã, que tem sido acompanhada de um forte componente cibernético. Eu fiz um post sobre o assunto, que inclui uma coletânea de notícias e relatórios:
A propósito, você concorda com essa comparação entre armas cibernéticas e armas convencionais?
OBS (20/03/26): De repente, e sem nenhum sentido, não é que o Google resolve censurar esse post, alegando que ele fere a política da comunidade? Bizarro.
Post atualizado em 30 e 31/03, em 10/06, em 08/09.
