SegInfocast #39 – Teste de Carga e Desempenho

SegInfocast #39 – Faça o download aqui. (29:05 min, 20 MB)

Neste episódio eu recebi Rafael Soares, Diretor Técnico da Clavis Segurança da Informação, para uma conversa sobre testes de carga e desempenho.

seginfocast-logo-novo_150

Read more of this post

SegInfoCast #34 – Lançamento livro “Countdown to Zero Day: Stuxnet and the Launch of the World’s First Digital Weapon” de Kim Zetter

SegInfocast #34 – Faça o download aqui.

Neste episódio eu recebi pela primeira vez Alan Oliveira, um dos tradutores do livro Countdown to Zero Day: Stuxnet and the Launch of the World’s First Digital Weapon de Kim Zetter. No livro, a jornalista especializada em cibersegurança conta a história por traz do vírus que sabotou os esforços iranianos para criação de um programa nuclear, mostrando como sua criação inaugurou um novo tipo de guerra, em que ataques digitais podem ter o mesmo poder destrutivo de uma bomba física.

Do que trata o livro?

O livro trata do surgimento da primeira arma digital do mundo, o Stuxnet, desde suas origens nos corredores da Casa Branca  até a execução do ataque a uma usina atômica no Irã.

Sua existência começou a se tornar pública em 2010, após inspetores da Agência Internacional de Energia Atômica (IAEA) perceberem  que as centrífugas de uma usina iraniana de enriquecimento de urânio estavam falhando em um ritmo sem precedentes por razões absolutamente desconhecidas.

Cinco meses depois – em um evento aparentemente não relacionado -, uma empresa de segurança em Belarus foi chamada para solucionar problemas em computadores no Irã. Nesses computadores eles encontraram um malware que, inicialmente, pensaram se tratar de uma ameaça simples e rotineira; mas análises mostraram se tratar de algo misterioso, e de complexidade sem precedentes.

O livro cita em detalhes o trabalho realizado por analistas de segurança da informação e analistas de sistemas de controle industrial (SCADA) para dissecar e desvendar esse malware.

Além disso, “Countdown” fala sobre a Guerra Cibernética, seu desenvolvimento e o mercado de compra e venda de códigos maliciosos.

Você pode citar outros destaques do livro?

Para o ataque do Stuxnet ser bem sucedido, não poderia haver erros. O livro descreve suas etapas de criação com detalhes, desde a contratação de pessoal especializado em centrífugas de usinas nucleares, até a simulação em ambientes com centrífugas iguais às iranianas para que o código fosse lançado em campo com a máxima eficácia.

Além disso, nosso entrevistado conta como o livro revela detalhes desconhecidos do grande público sobre o mercado “cinza, obviamente não regulamentado, de vendas de códigos “maliciosos” para pessoas que agem em defesa da segurança nacional de diversos países. O preço desses códigos  é variável, dependendo da exclusividade e do programa, podendo chegar até U$ 200.000.

Alan finaliza a entrevista contando histórias reais sobre ataques cibernéticos que ocorreram em países como Estônia e Geórgia.

countdown

Quando o livro será lançado?

O lançamento do livro está previsto para novembro deste ano.

Alan Oliveira é Engenheiro, mestre em Engenharia Eletrônica na área de sistemas inteligentes. Atuou por 7 anos como oficial da marinha nas áreas de sistemas de armas e comunicações. Atualmente é professor na Marinha do Brasil, onde ministra as disciplinas de controle de sistemas, guerra eletrônica e sistemas de comunicação. Desenvolve em seu doutorado uma pesquisa voltada para a segurança de sistemas de controle e automação.

SegInfocast #32 – A importância de desenvolver sistemas seguros, do projeto à produção

seginfocast-logo-novo_150SegInfocast #32 – Faça o download aqui.

Neste episódio recebi novamente Davidson Boccardo, instrutor da Academia Clavis Segurança da Informação, para uma conversa sobre Desenvolvimento Seguro.

Qual a importância do desenvolvimento seguro desde a concepção dos sistemas?

Atualmente, nota-se uma mudança no pensamento por parte das empresas e governos sobre o tema segurança de software. Antes visto como um acréscimo durante o desenvolvimento do software, hoje é visto como uma estratégia para maximizar o retorno sobre o investimento. Neste podcast Davidson evidencia as vulnerabilidades mais exploradas nos dias de hoje e enfatiza a importância do treinamento e conscientização em práticas de codificação segura de software como forma de mitigá-las.

Como os conceitos básicos de desenvolvimento seguro podem ser aplicados na vida real?

Davidson cita um exemplo de comércio eletrônico, onde graças a adequada implementação de controles de Segurança da Informação, informações pessoais de clientes não são revelados,  valores de produtos não são alterados e o site permanece disponível a qualquer hora que o cliente queira acessá-lo, mesmo em períodos de grande quantidade de acessos.

Quais as vulnerabilidades mais predominantes no momento?

O entrevistado enfatiza a importância da conscientização e treinamento mencionando e explicando cada um dos tópicos abordados no curso Secure Programming Foundation da EXIN.

Se você ficou interessado sobre o tema, veja também o Webinar #28 – Exploração de Vulnerabilidades em Softwares InSeguros (Parceria EXIN e Clavis).

Para inscrição no curso oficial à distância da EXIN Secure Programming Foundation, com voucher para a prova, acesse o link.

Davidson Boccardo é Doutor em Engenharia Elétrica pela faculdade de Engenharia de Ilha Solteiro com período na Universidade de Louisiana e especialista em análise de código malicioso. Atualmente é docente permanente da pós graduação de metrologia e qualidade do Instituto Nacional de Metrologia, Qualidade e Tecnologia. Possui certificado CHFI pela EC-Council e Secure Programming pela EXIN. É instrutor da Clavis Security na trilha de forense computacional e do curso Secure Programming Foundation.

SegInfocast #30 – Contas, senhas e privilégios: onde atacarão e como se proteger

SegInfocast #30 – Faça o download aqui.

seginfocast

É com muita satisfação que comemoramos o terceiro ano do SegInfocast.

Neste episódio, eu recebi Geraldo Bravo, engenheiro de pre-vendas da Cyberark para uma conversa sobre contas, senhas e privilégios, dando continuidade aos assuntos abordados por Carolina Bozza no SegInfocast #27:

Qual a diferença entre gestão de identidade e contas privilegiadas?

Geraldo explica que a gestão de identidade é uma atividade –  tradicionalmente de implementação em longo prazo – que procura dar conta do gerenciamento e proteção dos mais variados tipos contas, desde aquelas usadas por pessoas com baixo nível de privilégio a sistemas, até as contas privilegiadas que possuem acesso a um número maior de componentes críticos. De acordo com ele, quando se foca no controle dessas contas há um retorno do investimento em menos tempo.

Quais são os riscos e ataques envolvendo contas privilegiadas?

As contas administrativas que são criadas por padrão em vários sistemas operacionais contribuem para tornar muito ampla a superfície de ataque. O uso da senha padrão, a reutilização de senhas em vários dispositivos ou programas, senhas embutidas em códigos e sistemas legados também facilitam e muito a vida de um atacante .

Exemplos de ataques e técnicas de invasão

O pass-the-hash (descoberta e uso indevido de um hash de senha) é um ataque muito usado para escalonamento de privilégios. Ameaças internas de um funcionário ou um terceiro também não devem ser ignoradas. Outro exemplo é o chamado golden ticket, que consiste em forjar um ticket Kerberos, que possui uma validade bem extensa, para obter credenciais administrativas.

Quais as novas tendências de proteção contra esses ataques?

Automatização da gestão de privilégios, controle de senhas, e monitoramento de comandos são algumas das mais novas tendências que podem proteger as empresas contra esses ataques.

Geraldo Bravo é engenheiro de pré-vendas da Cyberak com experiência de mais de 10 anos na área de redes e segurança da informação. Atuou em outras áreas como Gestão de Projetos e Gestão de Equipes e possui diversas certificações de segurança da informação.

 

SegInfocast #29 – YSTS (You Sh0t The Sheriff) 10ª Edição

SegInfocast #29 – Faça o download aqui.

seginfocast-logo-novo_150

Neste episódio eu recebi Willian Caprino, da área de Desenvolvimento de Novos Projetos na Clavis  para uma conversa sobre a 10ª edição do evento YSTS (You Shot The Sheriff). Os temas abordados foram:

O que é o YSTS (You Sh0t The Sheriff)?

Willian explica a história do evento, como surgiu o seu formato descontraído diferente dos demais eventos de segurança, curiosidades, palestrantes nacionais e internacionais, e muito mais.

O que esperar da edição de 2016?

O evento será realizado em 13 de junho deste ano, uma segunda-feira. Nosso convidado informa que a quantidade de palestras este ano será menor que os outros anos visando facilitar o networking entre os convidados. O CFP (Call For Papers) está aberto e o prazo final para submissões é o dia 01 de março.

Patrocinadores confirmados

Várias empresas já manifestaram interesse em patrocinar o evento, porém até o momento somente a Clavis está confirmada. Quem tiver interesse em patrocinar deve entrar em contato pelo email info[at]stsproducoes.com.br.

Willian Caprino tem experiência de mais de 20 anos na área de TI. É co-fundador da ioPublishing, empresa de produção de conteúdo para a Internet, organizou o livro “Trilhas em Segurança da Informação – Caminhos e Ideias para a Proteção de Dados” e também é um dos organizadores dos eventos de segurança da informação: You Shot The Sheriff e Silver Bullet.

SegInfocast #21 – Lançamento do livro Guerra Cibernética

seginfo-cast-novoOla pessoal,

está disponível o SegInfocast 21, em que conversei com Davidson Rodrigo Boccardo, sobre o lançamento do Livro “Guerra Cibernética – A próxima ameaça à segurança e o que fazer a respeito” que teve a Clavis Segurança da Informação e a Editora Brasport trouxeram para o Brasil.

SegInfocast #21: Faça o download aqui.

Sobre o livro

guerra-cibernetica

Guerra Cibernética é uma das poucas obras já escritas com foco no assunto, e o principal texto internacional introdutório disponível sobre este tipo de conflito intangível, porém real. O autor da obra, Richard Clarke, apresenta um panorama convincente — no qual o uso de armas cibernéticas é uma questão concreta a ser considerada nas ações de defesa nacional.

Computadores e dispositivos computacionais controlam a maior parte das atuais infraestruturas civis e militares, incluindo sistemas críticos para o bem estar da sociedade e sistemas que suportam a adequada condução de ações militares. Ao usar armas computacionais que causam impacto em tais sistemas, o “inimigo da nação” pode comprometer o bom andamento de ações militares (ofensivas ou defensivas), e tem a possibilidade de realizar ações adicionais que causem impacto na população civil e no funcionamento da sociedade.

O autor mostra que ações desse tipo, envolvendo computadores e sistemas, são amplamente empregadas e caracterizadas como “ações de Estado”; seja em ‘tempos de paz” ou não. É necessário que entendamos as implicações diplomáticas desse novo tipo de arma, e estabeleçamos limites quanto a sua utilização; para defesa e para ataque.

Sobre edição brasileira

A tradução deste livro contou com o suporte de instituições de pesquisa e apoio à inovação no Brasil, com destaque para FINEP, CNPq e FAPERJ. Na edição brasileira, o obra conta com um artigo sobre “Segurança Ofensiva: um aliado no caminho para a defesa cibernética” – escrito pelos tradutores da versão nacional, o texto adicional apresenta essa ferramenta fundamental para estabelecer diagnósticos precisos de segurança da informação e de sistemas computacionais.

Sobre os autores

Richard A. Clarke – Chefe da segurança antiterrorista de quatro presidentes dos EUA (Reagan, George H. W. Bush, Clinton e George W. Bush) e um dos principais responsáveis pela criação do “C C b ” G A 2009, pelo presidente norte-americano Barack Obama para defender os EUA contra ataques pela Web.

Robert K. Knake, trabalha com assuntos internacionais no Conselho de Relações Exteriores. Possui mestrado em segurança internacional pela Harvard Kennedy School e escreve sobre questões de segurança.

Confira uma “degustação” gratuita do livro no Google books visitando o link.

Resultado sorteio vouchers de Certificação Office 365

Ola pessoal,

os ganhadores do sorteio dos 2 vouchers de certificação Office 365 foram:

xBrunox – @xVSFNlx

Douglas – @douglasfneves

Parabéns! Em breve faremos novos sorteios!

Podcast 26 – Histórias de TI

podcast26final

Pessoal,

Neste podcast sensacional consegui reunir um time de feras de TI para contar as histórias engraçadas que todos viveram ao longo de suas carreiras. Estiveram comigo Alexandro Prado, Carlos Finet, Carlos Lauff, Rafael Bernardes e Igor Humberto, todos com histórias hilárias e que valem a pena ouvir.

 

Participação na RadioCDH – Programa 38

radiocdhTive o prazer de participar do Programa 38 da RádioCDH, podcast do Clube do Hardware. Bati um papo com o Gabriel Torres, editor do site, a respeito das Certificações em TI, onde pude falar um pouco sobre a sua validez e aceitação no mercado, algumas dúvidas comuns e também recomendamos algumas. Recomendo a todos que ouçam, ficou bem interessante o podcast.

Para ouvir o Programa 38 acessem aqui.

SegInfocast #12 – Conversa sobre As Principais Vulnerabilidades em Aplicações Web – OWASP Top 10

seginfocast-12

 

Nesta  edição do SegInfocast, apresentamos o aúdio do Webinar #20 da Clavis Segurança da Informaçãocujo tema foi Principais Vulnerabilidades em Aplicações Web – OWASP Top 10.

A abordagem parte do OWASP Top 10, que lista as falhas mais críticas encontradas em aplicações Web, detalhando-as e sugerindo as correções necessárias. O objetivo do webinar foi mostrar a mudança desses 3 anos e quais pontos continuam persistentemente vulneráveis no que tange aplicações Web.

Para ouvir o podcast acesse aqui.