Postagem em destaque

Como iniciar a sua carreira de Segurança da Informação?

Planejamento para se tornar um Analista de Segurança da Informação. Monte o Seu. Após um pouco de pesquisa sobre o tema e conversad...

Site da empresa de segurança Site Blindado é invadido por crackers

Invasores postaram mensagem na página e acusaram a empresa de "enganar os clientes", já que não é capaz de garantir a própria segurança

O site da empresa Site Blindado, que fornece um "selo de segurança", foi invadido na madrugada de sábado (27). De acordo com informações do Linha Defensiva, crackers identificados apenas por "jbz" e "phobz" deixaram uma mensagem acusando a empresa de "enganar os clientes". Uma cópia da invasão está disponível no zone-h.

Os invasores disseram ser "hackers do bem" no texto. "Não temos o minimo interesse em vandalizar na internet, como outros grupos de crianças, vem fazendo", disseram.

Eles disseram que não queriam prejudicar a empresa. "Tentamos contactar o administrador deste portal de todas maneiras, sobre as falhas, e que eles não trabalhavam corretamente. No entanto não poderiam garantir a segurança de outros sites, pois sequer não tinham a capacidade de manter a propria empresa segura", diz o texto. "Como eles nao tomaram providencias, resolvemos da nossa maneira".

Além da "pixação" na página, os invasores trocaram o selo "Site Blindado", exibida nos clientes da empresa de segurança.

UPDATE: Em comunicado ao IDG Now!, a empresa admite o que chama de "incidente de segurança" em um dos servidores. "Identificamos que alguns de nossos selos de clientes tinham sido trocados por imagens estáticas e alteradas, não geradas pelos nossos sistemas automatizados. Neste momento, alteramos a classificação para incidente crítico de segurança e implantamos as rotinas de emergência", diz o texto, assinado pelo CEO da empresa, Gustavo Souza.

Ele afirma que a empresa está executando auditoria no servidor afetado para coletar dados e evidências do ataque, "para tomarmos todas as medidas nas esferas tecnológicas, criminal e civil".

Fonte: IDGNOW

Cinco coisas que você precisa saber sobre gerenciamento de riscos

Veja como ser um gestor de risco inteligente, capaz de ajudar sua organização sabiamente tomar os riscos em oportunidades lucrativas.

Faz tempo que a gestão de riscos deixou de ser uma novidade para os líderes empresariais. Nunca se falou tanto em riscos no ambiente corporativo e já é bastante  improvável encontrar um tomador de decisão que não tenha pelo menos noção dos estragos  que possam ser causados à sua corporação por um tratamento inadequado de situações  potencialmente perigosas, sejam de natureza financeira, operacional ou estratégica.

Espionagem comercial. Conformidade. Pouco tempo. Swaps de crédito (credit-default swap, ou CDS). Riscos estão em toda parte e se você está apenas tentando minimizá-los dentro em TI, você está perdendo o foco.

Em vez disso, aprenda a ser um  gestor de risco inteligente, capaz de ajudar sua organização sabiamente tomar os riscos em oportunidades lucrativas.

1. Coloque a  casa em ordem primeiro

Você certamente identifica e planeja os eventos que podem afetar a sua capacidade de fornecer uma infraestrutura tecnológica estável, disponível, protegida e recuperável. Mas você tem que olhar além do risco que invade diretamente a sua seara, tais como violações de rede ou violações de dados, e ver de forma mais ampla onde a tecnologia pode desempenhar um papel na proteção - ou exposição - dos ativos da organização. "Muitos departamentos de TI só gerenciam os riscos de perímetro, ou perdas de violações de dados, mas ninguém está fazendo nada sobre a propriedade intelectual", diz Brian Barnier, um conselheiro de risco e principal analista da ValueBridge Advisors, em Norwalk, Connecticut.

2. Não pense só em cumprir a sua obrigação

Sim, a conformidade com as leis setoriais e uma série de outros regulamentos é, obviamente, um pedaço do quebra-cabeça de gestão de risco. Mas não deixe que ela conduza a sua abordagem. "Quando falamos de inteligência de risco, estamos falando que o CIO deve considerar como o núcleo de tecnologia da informação pode contribuir para a garantia de um crescimento sustentável da organização, e entender todas as coisas que a põem em risco", diz Bill Kobel, da Deloitte & Touche LLP. Pergunte se você tem os profissionais necessários para fazer a  tecnologia ficar à frente em seu mercado e não apenas estar compliance. A inteligência em  riscos pressupõe estabelecer uma correlação direta  entre os riscos que a organização considera aceitável assumir e os seus objetivos de negócios.

3. Gerenciamento de risco empresarial é uma oportunidade de carreira

O CIO está muito bem posicionado para dirigir uma empresa a partir de uma abordagem mais sofisticada para a gestão de risco. Especialmente em empresas que são muito dependentes de TI, o CIO geralmente tem o melhor acesso a  informações precisas sobre os pontos críticos do negócio e principalmente sobre o  modo como são administrados. "Quanto mais o CIO entende sobre os processos de negócio e as dependências que os negócios têm de TI, mais o CIO pode ser um verdadeiro advogado no board da gestão de risco inteligente", diz Barnier. As organizações que administram seus riscos com inteligência estão  percebendo que certos riscos podem ser tolerados, desde que conhecidos e monitorados pela organização. Essa abordagem pode ajudar o CIO pessoalmente e ajudar sua organização gerar receita mais rentável por assumir riscos onde fazem sentido.

4. Há folhas de fraude

O processo de gerenciamento de riscos deve estar suportado por  ferramentas que possibilitem o estabelecimento de critérios para classificar a natureza  do risco e a identificação de quais áreas da empresa ou que processos de negócios  abrigam esses riscos. Tudo isso implica a necessidade de um modelo de classificação e  mensuração. Existem várias estruturas e padrões que podem colocá-lo no caminho para as boas práticas. As mais importantes são a ISACA (o grupo é mais conhecido por COBIT) e a ISO 31000. Mas esteja consciente sobre como aplicá-las, adverte Kobel. Frequentemente, os especialistas de uma empresa entendem diferentes domínios de uma estrutura - como segurança, privacidade , continuidade de negócios, ou conformidade - e o quadro onde será aplicada determinada metodologia, mas negligenciam a forma como o negócio realmente funciona.

5. Os bandidos realmente sabem como se alinhar com o seu negócio

Se você não estiver conectando diretamente a gestão de riscos de processos de negócios, fique ciente de que seus adversários estão. Os caras maus estão sondando vulnerabilidades, olhando para o seu comportamento operacional, pontos fracos em seus produtos e serviços, diz Kobel. Precisam descobrir como atacar você, quer através de engenharia social ou através de sua infraestrutura. O mesmo vale para insiders: "Eles têm um conhecimento inato de determinados processos de negócio, ou um conjunto de atividades, e eles começam a navegar através das costuras, para burlar os controles internos e alcançar seus objetivos", acrescenta. "O que eles estão fazendo é visando o lado do negócio."

Fonte: CIO

Veja onde estão os melhores salários para gerentes em tecnologia

Área de segurança, sistemas e TI são as que melhor remuneram profissionais no eixo São Paulo/Rio/Campinas. Remuneração anual chega a R$ 260 mil

As áreas de TI, sistemas e segurança da informação são as vertentes do departamento de tecnologia da informação que melhor pagam seu nível de gerência no Eixo São Paulo/Campinas/Rio de Janeiro. Conforme pesquisa Guia Salarial 2012, elaborada pela multinacional de recrutamento e seleção Hays em parceria com o Insper Instituto de Ensino e Pesquisa, estes cargos chegam a ser remunerado em R$ 260 mil por ano, com este nível de pagamento sendo atingido na capital paulista e em Campinas.

Para a pesquisa foram consideradas remunerações médias anuais. Foram obtidas respostas de 700 entrevistados para o questionário de empresas e 3,5 mil para o de profissionais.

Quando se fala em gerente de TI, o pagamento anual parte de R$ 130 mil, no Rio de Janeiro. Por lá, o maior salário para esta categoria é de R$ 208 mil. Cerca de 500 quilômetros depois, em São Paulo, o pagamento inicial é 45% maior: partindo de R$ 182 mil até o teto, de R$ 260 mil. Em Campinas, este profissional tem salário-base intermediário: R$ 169 mil, mas o teto é idêntico ao de São Paulo.

Quando o cargo é gerente de sistemas, a remuneração média no Rio parte de R$ 122 mil e atinge R$ 224 mil, em Campinas fica de R$ 130 mil a R$ 221 mil e, em São Paulo, de R$ 156 mil a R$ 260 mil. A área cujo gerente tem a menor remuneração máxima nas comparações é a de Serviços/Consultoria/Outsourcing, com o recorde de R$ 208 mil sendo verificado na capital paulista.

Veja, abaixo, a lista completa:

Fonte: Hays/Insper São Paulo Campinas Rio de Janeiro
Gerência De Até De Até De Até
TI R$ 182 mil R$ 260 mil R$ 169 mil R$ 260 mil R$ 130 mil R$ 208 mil
Infra/ telecom R$ 143 mil R$ 247 mil R$ 143 mil R$ 221 mil R$ 130 mil R$ 195 mil
Sistemas R$ 156 mil R$ 260 mil R$ 130 mil R$ 221 mil R$ 122 mil R$ 224 mil
Segurança da Informação R$ 195 mil R$ 260 mil R$ 169 mil R$ 234 mil R$ 160 mil R$ 190 mil
Serviços/Consultoria/Outsourcing R$ 110,5 mil R$ 208mil R$ 104 mil R$ 195 mil R$ 109 mil R$ 205 mil
Projetos R$ 117 mil R$ 208  mil R$ 97,5mil R$ 195 mil R$ 117 mil R$ 169 mil
Projetos SAP R$ 130 mil R$ 234mil R$ 117 mil R$ 195 mil R$ 120 mil R$ 225 mil


Fonte: ITWEB

3º Seminário de Defesa Cibernética do Ministério da Defesa

Evento ocorre nos dias 24 , 25 e 26 de Outubro em Brasília

A evolução tecnológica acelerada e a busca de soluções para as questões cotidianas da segurança e defesa cibernéticas, por meio da cultura digital tem crescido de importância  em  todos  os setores. O século XXI  se caracteriza pela concretização  de conceitos  que possibilitem  a administração das ameaças que  se  apresentam  neste novo ambiente. A criação de órgãos incumbidos de coordenar e integrar os esforços  e vetores  vocacionados para a  defesa e segurança cibernética  é   uma tendência presente na administração dos países que desejam proteger-se destas ameaças e ocupar posição representativa neste novo campo de batalha, o virtual.

CONTAGEM REGRESSIVA PARA O INÍCIO DO SEMINÁRIO

O Ministério da Defesa inicia a contagem regressiva para o 3º Seminário de Defesa Cibernética. Atualmente em sua terceira edição, o evento é realizado anualmente na capital federal e tem como objetivo reunir e fomentar a discussão, reflexão e troca de experiências entre instituições públicas, organizações civis e integrantes do ambiente acadêmico, tanto nacional, quanto internacional, que tenham relação com os assuntos inerentes ao setor de defesa cibernética.

A novidade para este ano será a participação de palestrantes internacionais. Até o momento já estão confirmados representantes do Reino Unido e Estados Unidos. A estimativa é de que sejam recebidos 500 pessoas por dia do evento que terá duração de três dias.

Integrantes do ambiente acadêmico dedicados a pesquisa de temas do setor também são esperados na participação das palestras e painéis. Instituições de destaque internacional, como Universidade de São Paulo e Universidade de Brasília, já confirmaram sua participação.

Outra novidade será a apresentação de painéis com as empresas que participaram das atividades de Segurança Cibernética na Conferência das Nações Unidas para o Desenvolvimento Sustentável, Rio+20, ocorrida em junho deste ano na cidade do Rio de Janeiro.


INFORMAÇÕES IMPORTANTES

LOCAL: Teatro Pedro Calmon, no Quartel-General do Exército QGEx( Setor Militar Urbano - SMU, BRASÍLIA / DF.)

PARTICIPANTES:

1- MILITARES DAS FORÇAS SINGULARES E AUXILIARES;
2- CIVIS, PARTICULARMENTE DAS ÁREAS ACADÊMICAS, EMPRESARIAL E GOVERNAMENTAL.

UNIFORME E TRAJE:

1- MILITARES: 3° D1 (OU CORRESPONDENTE), SEM COBERTURA;
2- CIVIS CONVIDADOS E PTTC: PASSEIO COMPLETO;
3- CIVIS INSCRITOS: PASSEIO.

Mais informações Visite : http://www.3cibermd.eb.mil.br/

Cibercrime: tipo de ataque muda conforme o país

Especialista da Eset explica principais tendências da Rússia, China, Brasil, Europa, Estados Unidos e América Latina

A cultura influencia diretamente na forma como interagimos na vida pessoal e no modelo de negócio das empresa e essa regra não é diferente quando o assunto é cibercrime. Em entrevista exclusiva ao IT Web, Raphael Labaca, especialista em educação e pesquisa do laboratório de segurança da Eset na América Latina, explicou os aspectos regionais dos ataques – ou, ao menos, tentativas de ataque – no mundo cibernético.

Sobre diversidade cultural, Labaca entende bem. Filho de uruguaios, o brasileiro (sim, brasileiro), já morou na Alemanha e está sediado, atualmente, na Argentina. Dividido entre os países, o jovem executivo vê, de perto, o movimento das ameaças no mundo. Sua visita de outubro ao Brasil, por exemplo, ocorreu exatamente para a apresentação em universidades de métodos de segurança na web.

No caso da América Latina, Labaca explica que a principal dificuldade ainda é em relação à punição dos envolvidos. “A região não é muito exemplo”, comentou, explicando que o processo investigativo está mais apurado do que o punitivo, já que não há um código penal que tipifique cibercrime. A Câmara Federal brasileira, por exemplo, aprovou em maio último projeto de lei que tipifica crimes de internet, o Projeto de Lei 2793/11. O documento ainda precisa passar por outras instâncias, até chegar à sanção presidencial, para se tornar lei, mas já foi tido, por especialistas, como desatualizado.

Abaixo, a lista de “etiqueta” dos crimes cibernéticos, conforme a região:

    Rússia: um crime muito comum na Rússia é o sequestro de computadores. Hackers invadem as máquinas e tomam seu domínio e exigem um pagamento em dinheiro para conceder à vítima uma senha que lhe permitirá fazer o login no PC e acessar novamente seus arquivos. “A senha é enviada por SMS”, explicou Labaca. Segundo o executivo, esse crime é comum naquela região por conta da interação entre os países após a extinção da União Soviética, em 1991.

    China: a nação, conhecida por exportar toda a sorte de produtos com produções em alta escala, mantém, de certa forma, o comportamento quando o assunto é malware. “A China é um grande fabricante de malware, mas o curioso é que os ataques não são voltados, normalmente, para usuários chineses”, contou. O especialista explicou que o idioma é um dos motivadores deste movimento: quase que exclusivamente é preciso ser chinês, ou ao menos compreender o mandarim, para conseguir criar uma ameaça para esse público. Porém, basta saber inglês para atingir qualquer usuário do mundo, independentemente de sua localização. Os ataques em inglês, portanto, acabam por ser mais efetivos. “Isso não significa que não há ataques na China. Há sim, e muitos. Mas vemos essa particularidade por lá.” É importante lembrar, ainda, que a identificação da origem dos ataques se dá pelos servidores contaminados. E que, apesar de eles estarem na China, não significa que foram criados por chineses.

    Brasil: a população bancarizada do Brasil é maior do que o número total de habitantes de muitos países do continente. Por esse motivo, nada mais natural do que haver um grande número de ameaças voltadas especificamente para o setor bancário no País. Desta forma, um grande mercado para o cibercrime, no Brasil, é o financeiro. Ele pode vir de duas formas: via spam, onde o usuário recebe um e-mail, teoricamente de seu banco, pedindo que ele atualize diversas de suas informações cadastrais, sob risco, em caso negativo, de ter sua conta cancelada, ou via um cavalo de troia, um malware instalado dentro do computador que redireciona a URL quando a pessoa digita no browser o endereço do banco. Em ambos os casos, a pessoa é levada a um ambiente fantasma, idêntico ao seu bankline. Fica a dúvida: as pessoas ainda caem no golpe do e-mail do banco? “Não é porque algumas pessoas, especialmente as que lidam sempre com tecnologia, já conhecem essa ameaça, que todas conhecem. Existe no Brasil uma parcela muito grande da população que começa agora a entrar na internet”, lembrou Labaca.

    Europa: muito comum nos países da Europa são os falsos antivírus. Conhecidos como Rogues, são gifs que aparecem no browser durante a navegação informando que seu computador esta infectado. O usuário aceita fazer uma verificação em sua máquina para entender qual o seu nível do problema. “É muito fácil de desconfiar dele: ele faz o ‘scan’ em sua máquina em um período muito rápido, cerca de 15 segundos. Impossível”, contou o analista. Após identificar, por exemplo, que 70% do computador está infectado, o sistema oferece ao usuário corrigi-los, mediante a compra de um serviço. O serviço, claro, não existe, e a pessoa paga por nada.

    América Latina: ataques bancários também são algo comum na AL. Diferentemente dos casos direcionados do Brasil, que tem uma grande população, a facilidade aqui está na língua. Se um banco está presente em diversos países da região, com a língua espanhola como idioma oficial, fica fácil ter um retorno grande se o ataque for direcionado dentro desse perfil. Além disso, a criação de botnets (redes zumbis de computadores) a partir de pendrives infectados são ações extremamente comuns em países como Chile, Peru e Argentina. Brasil foi analisado em separado porque, além de ser uma das maiores economias da região, é o único país a região que fala português. E o domínio é uma das principais ferramentas dos ataques.

    Estados Unidos: grande e plural, os Estados Unidos abrem espaço para todo tipo de ameaça. Cavalos de Troia, invasões financeiras, Rogues… toda sorte de ataque ocorre por lá. O motivo é o tamanho da economia e, claro, a alta penetração da internet na população.

Labaca deixou claro que o fato de cada país despontar uma tendência mais comum de ataque não restringe o tipo de ocorrência. O malware as a service, por exemplo, que é a modalidade de pay per use para o aluguel de botnets com intenção de ataques de spam e DDOS (distributed denial-of-service). “Não é possível restringir, mas com certeza existe um comportamento mais comum”, finalizou.

Fonte: ITWEB

II Semana Acadêmica de Tecnologia (IESB-OESTE)

O IESB TEC CEILÂNDIA (Câmpus OESTE) irá promover no período de 16 a 19 de Outubro de 2012, a II Semana Acadêmica de Tecnologia, envolvendo os seus 3 (três) Cursos Superiores de Tecnologia em Redes de Computadores, Segurança da Informação e Análise e Desenvolvimento de Sistemas.

A temática de 2012, para esse marco anual da história dos cursos de Tecnologia do Campus Oeste, é bastante ampla e focada em Tecnologia da Informação (TI) e o mercado de trabalho. A organização do evento buscará aproximar os alunos das novas soluções e tecnologias empregadas no mercado de trabalho, perpassando o contexto de segurança, redes e desenvolvimento de software.

O objetivo da semana de tecnologia é propiciar a integração entre estudantes, professores, profissionais do mercado e empresas. Pretende-se estabelecer a trocar e atualização de conhecimentos na área das Tecnologias da Informação buscando elementos capazes de subsidiar a discussão das tecnologias e o mercado de trabalho na atualidade.

A edição de 2012 contará com minicursos, palestras e mostras de tecnologia e o sorteio de muitos brindes.

As palestras/oficinas tem duração de 3 horas ou 1 hora. Os minicursos podem ter duração de 3 horas. Diariamente teremos três atividades paralelas.

A PRESENÇA NAS ATIVIDADES SERÁ CONTROLADA E CERTIFICADA.

VEJA A GRADE DE ATIVIDADES:
Nesta edição não teremos local de inscrição para as palestras, minicursos ou mostras de tecnologia. Cada evento possui um limite de vagas e a ordem de chegada é que irá definir se você poderá participar ou não do evento. Caso um evento já esteja cheio você deverá procurar outra sala com lugares disponíveis.

Segurança: prós e contras dos aplicativos sandbox

Sucesso da Adobe, Google e Apple em reduzir os privilégios com a técnica resultou em menor exploração em seus softwares, mas processo está longe de ser perfeito

Estatísticas recentes mostram que os aplicativos sandbox (para testes de segurança em ambiente isolados do PC, que são apagados automaticamente assim que o computador é reiniciado) em programas como o Adobe Acrobat e Google Chrome tiveram um grande impacto em reduzir a exploração de malwares. Mas o recurso está longe de ser a solução para acabar com as vulnerabilidades dos apps. Alguns especialistas acreditam que é apenas uma questão de tempo até a hora em que os criadores de vírus se atualizem e outros alertam que a indústria não deve se apoiar no recurso para substituir outros tipos efetivos de gerenciamento de vulnerabilidade.

“Sandbox, conteinerização e virtualização são apenas algumas técnicas para proteger acesso administrativo ao sistema operacional subjacente, ou acesso irrestrito aos dados. Apesar de ser uma grande técnica, o recurso é apenas uma peça do quebra-cabeças para garantir a segurança dos dados e dispositivos e minimizar o risco de exposição”, afirmou Lee Cooking, vice-presidente da estratégia corporativa para a Fixmo.

Uma rápida explicação de Sandbox

A ideia fundamental por trás do recurso é reduzir o risco ao limitar o ambiente no qual certos códigos são executados.

“A ideia central, não importa de qual sandbox estamos falando, é colocar alguém em um ambiente para que possa acessar algo fora do alcance da rede”, explicou Marcus Carey, pesquisador de segurança da Rapid7. Segundo David Hess, fundador do Trust Inn, como conceito, isso não é novo, e observa que a Java Applets foi o primeiro exemplo e o mais amplamente implantado. “Só agora, finalmente saímos da área de nicho – a rede – para a ampla adoção em todos os ambientes de aplicações”.

A mais notável nessa categoria é a Adobe, que usa a técnica para proteger os ambientes Acrobat e Flash, e o Google, que o faz com o Chrome. O recurso também é uma técnica importante no ambiente de aplicativos móveis e é amplamente usado pela Apple para os dispositivos iOS e pelo Google, apesar de com menor intensidade, para os apps Android.

Usuários experientes de tecnologia e administradores também usam máquinas virtuais como uma forma de sandbox, afirmou Scott Parcel, CTO da Cenzic. Esse tipo de sandboxing on-demand por meio de virtualização é adotado por inúmeros  produtos de segurança convencionais e de nicho, e são promissores segundo aqueles como Parcel que aponta a Bromium como um exemplo particularmente interessante nessa categoria. “Ela utiliza o que eles se referem como “microvirtualização” para executar centenas de micromáquinas virtuais, como sandbox em uma máquina. Essa é uma abordagem interessante para o problema e talvez permita um isolamento mais completo do que as outras abordagens do recurso”.

Mas essas máquinas virtuais ainda precisam se provar eficazes. Já os aplicativos sandbox já passaram no teste. Então, tendo como foco a simplicidade e para que todos fiquemos na mesma página, vamos limitar esta reportagem a este último tema.
Pró: sandbox é um bom contorno para os problemas de vulnerabilidade dos aplicativos

Humanos serão sempre imperfeitos. E por estarem por trás do desenvolvimento de aplicativos, seus códigos sempre serão vulneráveis, afirma Carey.

“Nunca conseguiremos eliminar todos os riscos de vulnerabilidade. Algumas pessoas criticam a técnica e dizem que é apenas um contorno do problema, mas penso que é a melhor abordagem dos últimos tempos. Se analisarmos quão difícil é desenvolver explorações, percebe-se como ela funciona”.

Carey e os defensores da tecnologia raramente argumentam que o recurso substitui outros esforços, mas funciona como um suplemento efetivo porque minimiza a superfície de ataque e deixa de quarentena suas atividades, afirmou Tim”TK” Keanini, diretor de pesquisa da nCircle.

“Essa estratégia é similar ao sistema imunológico que cria tumores benignos – essencialmente, as células colocam em ‘cápsulas’ as células disformes em uma sandbox”.

Contra: a técnica pode introduzir mais complexidade e falhas à mistura. Os céticos questionam se o  sandbox não seria um remédio pior do que a própria doença. “Devemos nos lembrar que isso apresenta uma nova superfície de ataque e que um modelo básico pode fazer mais mal do que bem para a segurança de um aplicativo”, afirma Tyler Borland, pesquisador de segurança da Alert Logic.

Yishay Yovel, vice-presidente de marketing da Trusteer, concorda, afirmando que acredita que o recurso não ficará muito tempo no mercado. “Primeiro, é uma plataforma de software que tem vulnerabilidades que podem ser exploradas. Segundo, o recurso tipicamente precisa de uma rota para os usuário exportarem seu conteúdo para o dispositivo. Essa rota pode ser explorada”.

Falhas de segurança e de software são perigosos sempre que um aplicativo usa uma segunda camada de lógica para que suas funções limitem um comportamento, afirma Parcel. “Um lado negativo da segunda camada de lógica é que adiciona outra fonte de complexidade em usa interação com a lógica primária e consequentemente, os erros”.

Mesmo sem as falhas, a camada extra de abstração ainda tem potencial de eliminar o desempenho. “É uma escolha entre a funcionalidade e segurança. Apesar de uma sandbox restritiva ser melhor sob o ponto de vista de segurança, ela pode não se adequar às atuais exigências de funcionalidade”, observou Chris Valasek, pesquisador sênior de segurança da Coverity.

Pró: técnica mantém os privilégios baixos

A essência de maioria das abordagens é baixar os privilégios concedidos aos sistemas para o aplicativo, limitando assim o tipo de código que ele pode executar, mesmo quando as permissões do usuário são elevadas em outras partes da máquina. De acordo com Valasek, o modelo de permissões limitadas é um bloqueio efetivo para malwares que dependem de altos níveis de permissão.
Contra: É possível escapar da contenção

Mas isso não significa que o recurso resolve os problemas de vulnerabilidade e exploração: tudo o que um invasor precisa é encontrar uma vulnerabilidade que aumente os privilégios, o que permitirá mais funcionalidade de exploração, afirmou  Valasek. “As vulnerabilidades do Windows Kernel são populares por escalação de privilégios porque, se exploradas, dão ao usuário o controle de todo o sistema”.

O chamado “escaping” (escapar) neutraliza os benefícios de segurança do método. Os invasores podem criar ataques escaping para explorar vulnerabilidades ou por meio de engenharia social, caso as permissões estiverem sob o controle do usuário. Segundo Hess, qualquer desenvolvedor que dependa da sandbox terá que enfrentar ataques to tipo se quiser depender do recurso como controle efetivo.
Pró: até o momento,  estatísticas confiram o sucesso do recurso

Pesquisadores sustentam as alegações de sucesso do recurso com números que provam sua eficiência, com casos com o Adobe Reader e o Chrome. Por exemplo, o site www.cvedetails.com mostrou que  que no ano em que o Adobe implementou a técnica, ocorrem 68 vulnerabilidades. Neste ano, foram 30. Os pesquisadores da IBM também verificaram baixa nas vulnerabilidades e explorações nos produtos Adobe.
Contra: ainda em lua de mel

Yovel acredita que parte dessas estatísticas pode ser atribuída à tecnologia ainda se encontrar no período de lua de mel. “Ainda não foi amplamente implementado”.

Essa lua de mel pode estar perto do fim. Pesquisadores de segurança já acharam maneiras de explorar ambientes sandbox como o Adobe Acrobat X. Os pesquisadores Zhenhua Liu e Guillaume Lovet, da Fortinet, apresentaram uma exploração desse tipo no evento Black Hat Europe. “Como tudo em segurança da informação, estratégias de ataque e defesas evoluem juntas. Programas são projetados e deixados mais seguros com estratégias da técnica, depois são eventualmente explorados, fazendo com que sejam reprojetados para ficarem mais seguros. Uma nova exploração é criada e o ciclo é repetido ad infinitum”, finalizou Keanini.

Fonte: ITWEB

Após 5 anos, governo americano escolhe novo padrão para critptografia digital

Padrão 'Keccak' irá suceder a família de algoritmos SHA-2; protocolos são essenciais na comunicação segura de dados

Depois de uma concorrência pública que durou cinco anos, o NIST (National Institute of Standards and Technology) escolheu o chamado 'Keccak' para ser a mais nova pedra angular da arquitetura de segurança global: a função hash SHA-3.

A função hash é um algoritmo que, a partir de um determinado bloco de dados, gera um código de tamanho fixo, o valor hash. Isso é usado para criptografar informações transmitidas pela Internet, como logins e senhas. Sem o hash, a codificação de dados seria inútil - por isso, esse mecanismo de verificação é absolutamente fundamental para a segurança online.

Pronunciado como "catch-ack" (faz sentido em voz alta), o Keccak é invenção de um grupo de pesquisadores formado por Guido Bertoni, Joan Daemen e Gilles Van Assche, da STMicroelectronics, e Peeters Michal, da NXP Semiconductors.

Embora provavelmente leve alguns anos para se difundir, o SHA-3 (Secure Hash Algorithm -3) é importante. Ele foi inventado para corrigir falhas teóricas na atual família SHA-2, usada como mecanismo de autenticação em assinaturas digitais, e os protocolos como (TLS e seu sucessor TSL), SSH, e IPSec, bem como em populares programas de  criptografia como PGP e Skype.

O NIST disse que Keccak foi escolhido entre 64 rivais por causa de seu bom desempenho em hardware - melhor do que o SHA-2 - além de sua capacidade de trabalhar em dispositivos com poder de computação variável.

"O Keccak tem a vantagem de não ser vulnerável como o SHA-2", disse o expert do NIST Tim Polk. "Um ataque que funcionaria contra o SHA-2 não atingiria o Keccak porque os dois algoritmos são projetados de modo diferente."

Mas o que é uma função hash e porque ela é importante?

A maneira mais fácil de explicar isso é usar um programa como o Skype como exemplo. O Skype codifica os dados que envia usando AES - este hash (na verdade, um dos vários da família SHA-2) é usado para garantir a comunicação segura de elementos como o login do usuário. 

Fonte: IDGNOW

Mapa-mundi da segurança online: veja,em tempo real, onde estão ocorrendo ataques

Ataques de cibercriminosos acontecem a cada segundo em diversas partes do planeta. Com base nesse fato, o Honeynet Project desenvolveu um site que monitora e apresenta em tempo real todos os ciberataques que estão acontecendo no mundo todo.

Cada ponto vermelho apresentado no mapa indica um novo ataque a um computador. Já os pontos amarelos, também conhecidos como honeypots, identificam a localização dos sistemas criados para registrar ataques. Na parte inferior da tela, os visitantes do site encontrarão uma caixa preta que mostra a origem de cada ataque e o seu horário.

Os dados apresentados no infográfico são fornecidos por membros da rede de sensores de ataques do Honeynet Project, que optaram por publicar esses dados. Nem todos os membros do projeto, que possui mais de 40 seções ao redor do mundo, optaram pelo envio dos dados e, por isso, grande parte dos pontos vermelhos são apresentados somente na Europa.

E se todos os ataques fossem realmente registrados, o mapa apresentaria uma quantidade muito maior de pontos vermelhos em diversas localidades. Mesmo apresentando apenas uma parcela de todos os ataques que acontecem no mundo, com o mapa podemos ter uma ideia de como os malwares estão ganhando espaço e afetando milhares de computadores.

Fonte: Canal Tech

Lançado programa gratuito que promete acabar com os antivírus

Segundo empresa, quando o ExploitShield detecta um aplicativo blindado sendo explorado, ele impede que o código malicioso seja executado

A startup ZeroVulnerabilityLabs tornou disponível um programa gratuito que, segundo a empresa, impede malwares de explorar uma ampla gama de vulnerabilidades de software, independentemente de essas falhas serem publicamente conhecidas ou não.

Disponível em versão beta para consumidores e organizações sem fins lucrativos (a versão corporativa requer uma licença), o ExploitShield Browser Edition foi projetado para ser "instalado e esquecido".

Uma vez instalado, o software identifica 17 aplicações como sendo protegidas - incluindo as mais comuns e problemáticas, como o Adobe Reader e Flash, Java, Microsoft Office, vários navegadores e uma série de players de vídeo. Outros podem ser adicionados no futuro.

Inovações de segurança surgem de tempos em tempos, e esta representa uma abordagem lateral para o que se tornou um dos maiores problemas - talvez o principal - para consumidores e empresas: como proteger PCs quando falhas de software surgem quase diariamente?

A esmagadora maioria dos malwares do Windows ataca falhas comuns e infectam seus alvos com kits de exploração e golpes enviados por meio de sites comprometidos. Liberar patchs para correção pode ser uma resposta, mas isso pode ser desgastante. O número de falhas tornou-se uma sobrecarga grave, mesmo para consumidores individuais.

Ao mesmo tempo, tornou-se evidente que softwares antivírus convencionais não impedem todos, ou mesmo a maior parte, deste tipo de malware, o que levanta uma questão óbvia: o que o ExploitShield está fazendo de diferente?

A empresa está mantendo segredo sobre a tecnologia utilizada, mas descreve a abordagem como "anti-exploit" ou "proteção de aplicativos", e alega que foi capaz de bloquear recentes ataques críticos zero-day que atingiram o Internet Explorer e o Java.

"Quando o ExploitShield detecta um aplicativo blindado sendo explorado, ele impede automaticamente que o código malicioso seja executado. Uma vez bloqueado, automaticamente encerarrá o aplicativo atacado", disse a empresa em seu site. "O ExploitShield não precisa fazer qualquer limpeza, porque evita que todas as infecções em primeiro lugar."

Fonte: IDGNOW

Apego ao notebook? Então é hora de ampliar o investimento em segurança

Intel oficializa, junto às parceiras McAfee, Symantec e Absolute Software, oferta de soluções de segurança e rastreamento para Ultrabooks; Serviço já está disponível no Brasil

Pensando no mundo conectado de hoje, qual seria, para você, o maior problema proveniente do roubo ou perda do seu notebook ou smartphone? Imagine perder seus documentos, fotos e músicas, e até mesmo arquivos que contam com senhas e informações importantes de sua vida. Outra pergunta: se você paga para ter um seguro de carro, visando proteção caso venha a perder o automóvel, por qual motivo essa lógica não pode ser transferida para o mundo dos bits e bytes?

Esse é um dos argumentos que a Intel tem ao lançar a oferta Anti-Theft ou Antirroubo, no bom e velho português, em parceria com a McAfee, Symantec e Absolute Software, que visa dar um amplo leque de escolhas aos usuários finais que buscam ampliar a segurança de seus dados, indo bem além do antivírus.

Antes que você se questione, por mais que a McAfee seja uma subsidiária da Intel, cada fabricante conta com sua própria oferta. “No nosso caso, vamos focar, principalmente, ampliar a segurança dos nossos Ultrabooks, que são o carro-chefe das nossas ofertas de mobilidade”, afirma Fernando Martins, presidente da Intel Brasil.

Então vamos por partes, começando pela proposta da fabricante de processadores. O Intel Antirroubo está embarcada nos Ultrabooks da Sony e Asus, mas Wanda Linguevis, gerente de produto da Intel para a América Latina, informa que todos os devices do gênero no Brasil já podem contar com o serviço, através de uma assinatura com um dos parceiros oficializados para a região. “Nós podemos disponibilizar o serviço diretamente para o consumidor, ou ele pode, também, buscar pelo contato com os nossos parceiros”, ressalta a executiva.

Como funciona a tecnologia?

O consumidor precisa entrar no sistema do fornecedor do serviço e se cadastrar, para que a solução seja ativada. A inteligência embarcada no device detecta ações que demonstram um roubo em potencial (várias tentativas de senhas erradas, por exemplo), o que aciona o Antirroubo, ou, também, caso o usuário seja, de fato, assaltado ou perca o dispositivo, o PC pode ser inutilizado com a “pílula de veneno” através da internet. “A máquina permanece inutilizada mesmo se o sistema operacional for reinstalado ou a BIOS for atualizada”, complementa Wanda.  O PC pode ser facilmente reativado pela internet ou senha local ou gerada pelo servidor.

Absolute Software

A fabricante canadense Absolute Software conta com três sistemas de antirroubo de máquinas, neste caso notebooks, ultrabooks e até mesmo smartphones, sendo que duas delas estão mais inclinadas à adoção por parte de corporações. “O que estamos trazendo para o usuário é o Lo/Jack, que é capaz de fazer a segurança de dados e do dispositivo, consegue localizar o gadget através da tecnologia de geolocalização, e através de parceiros de busca e até mesmo com departamentos de segurança locais, conseguimos recuperar as máquinas roubadas”, afirma  Marcelo Grandchamp, gerente-geral da NNOVAX, representante oficial da Absolute Software no Brasil.

O Lo/Jack conta com valores entre R$ 99 e R$ 229, sendo que a principal mudança para a justificar a variação de preços é o tempo de cobertura da assinatura, que é anual. As outras duas ofertas são o Absolute Computrace e o Absolute MDM Manage, como dito, voltado para gestões corporativas.

McAfee

O McAfee Anti-Theft foi exclusivamente desenhado para os Ultrabooks e foi desenvolvido, como você deve imaginar, em parceria com a Intel, exatamente pela possibilidade de tráfego entre profissionais nas duas companhias.

Como informa a companhia, todos os usuários que adquirirem um Ultrabook recebem a solução antirroubo da McAfee gratuitamente por 90 dias, e para continuar usufruindo do serviço, basta pagar R$ 79, em licença de um ano – sim, 12 meses, e não 9, descontando o período gratuito. No Brasil, os parceiros OEM da fabricante que estão disponibilizando o Anti-Theft são Login Informática, Megaware, N3 Computadores e Qbex, além, claro, dos fabricantes internacionais.

Em questões de funcionalidade, a solução da McAfee é bem parecida com os recursos disponibilizados de forma embarcada pela Intel.

Norton

No meu ponto de vista, a proposta da Norton é a mais completa de todas as que foram mostradas durante o lançamento da oferta da Intel e seus parceiros.

A solução da fabricante subsidiária da Symantec para PMEs, SoHo e usuários finais pode ser estendida para tablets, smartphones, notebooks e Ultrabooks. O Norton Anti-Theft conta com as mesmas funcionalidades que os outros apresentados acima, como o console web para gestão, bloqueio remoto, localizador, notificações de perda etc, mas tem maior escalabilidade nos valores, saindo de licença única de R$ 69, passando por uma assinatura expansível para três devices, por R$ 99, chegando até R$ 140, para até 10 licenças.

O serviço já está embarcado em máquinas da CCE (agora Lenovo) e Semp Toshiba, e pode ser contratado diretamente na loja online da fabricante, assim como no caso da McAfee e Absolute Software. Todas as soluções são capazes de encontrar aparelhos através de dados Wi-Fi, 3G ou GPS.

Fonte: ITWEB