Postagem em destaque

Como iniciar a sua carreira de Segurança da Informação?

Planejamento para se tornar um Analista de Segurança da Informação. Monte o Seu. Após um pouco de pesquisa sobre o tema e conversad...

Mostrando postagens com marcador Dicas. Mostrar todas as postagens
Mostrando postagens com marcador Dicas. Mostrar todas as postagens

Dez comportamentos de risco do consumidor digital no Brasil

Na semana da BlackFriday, “Mapa de Risco do Consumo Digital no Brasil” mostra os hábitos mais inoportunos no varejo eletrônico

Segundo dados da consultoria Conversion, especializada em otimização de sites, a BlackFriday no Brasil, marcada para o dia 27 deste mês, terá participação de 28% de compradores que nunca se interessaram pela data. Às vésperas do evento, a empresa acaba de lançar um estudo que revela alguns comportamentos de risco do consumidor digital no Brasil.

29 novos cursos de TI e Analytics, alguns gratuitos

Algumas das novas especializações foram desenvolvidas com a participação de grandes corporações, como Google, Amazon e IBM

O Coursera anuncia o lançamento de quase 30 novas especializações nas áreas de negócios, ciência da computação e big data/aprendizado de máquinas. O programas reúnem diversas disciplinas complementares sobre uma mesma área de estudo, e contemplam a elaboração de um projeto de conclusão.

Um dos destaques é o módulo “Desenvolvimento e Design de Aplicativos para iPhone e iPad” elaborado pela Unicamp. Composto por quatro aulas, o curso aborda os fundamentos do desenvolvimento iOS, incluindo programação em Swift, design de interfaces, e implementação e publicação de um aplicativo.

Levantamento do Coursera mostra que mais da metade dos alunos registrados estão buscando especificamente conhecimentos e habilidades que tenham aplicação prática nas suas carreiras, principalmente nas áreas de negócios e tecnologia. Dessa forma, o anúncio dos novos cursos atende perfeitamente a essa demanda.

Algumas das novas especializações foram desenvolvidas com a participação de grandes corporações, como Google, Amazon e IBM, que ajudaram em diferentes aspectos, como a elaboração do conteúdo didático ou a definição dos temas do Projeto de Conclusão, de forma a promover aptidões e conteúdos muito procurados no mercado de trabalho. 

Curso gratuito de autodefesa hacking. Aprenda como se faz e proteja-se

A Computerworld e a empresa de treinamento online Pluralsigh criaram um curso de 9 horas para ensinar os segredos dos ciberinvasores. Aproveite

Se você não consegue pensar como um hacker será mais difícil defender-se deles. Essa é a premissa do curso gratuito online de hacking ético criado pela Computerworld nos EUA junto com a empresa de treinamento online Pluralsight.

O curso pode ser acessado por qualquer pessoa de qualquer lugar do mundo e é dividido em nove partes. Requisito fundamental: saber inglês. Vantagem: você vai conhecer as técnicas e as ferramentas usadas por cibercriminosos e aprender a usá-las a seu favor.

O curso aborda a segurança do ponto de vista do atacante, levando em conta que o ponto de entrada típico é o acesso à internet via browser. Eles têm um website para o qual querem testar as vulnerabilidades e riscos de segurança e você vai aprender como se faz. Essa forma de abordagem está voltada para os gestores de TI e suas equipes, desenvolvedores e outros profissionais da área.

O curso tem duração de 9 horas e 25 minutos e inclui exercícios, transcrições das aulas e discussões online entre alunos e instrutores. Você vai aprender sobre proteção transport-layer , produção de scripts cross-site, cookies, falsificação de parâmetros, SQL injection, ataques cross-site attacks e gestão de contas.

Como construir uma estratégia de segurança digital

Executivos devem parar de tentar proteger exageradamente sua organização e invistam em estratégias de detecção e resposta, afirma o Gartner

A transformação digital amplia fronteiras e muda a forma como as empresas devem se posicionar para proteger seus ativos. O Gartner sugere que as organizações construam uma abordagem adaptável para conseguir barrar o avanço de cibercriminosos.

John Wheeler, diretor de pesquisas da consultoria, lista que é fundamental que os executivos de segurança atuem como facilitadores, trabalhem aspectos de detecção e resposta, invistam em pessoas, compreendam fluxos de informações, criem uma filosofia baseada em riscos e desenvolvam planos de mirem retornos ao negócio.

De acordo com o especialista, esses pontos ajudam a estabelecer um ambiente de proteção mais efetivo e estabelecem alicerces para que a empresa seja resiliente em um mundo digital para que, mesmo atacado, seja possível manter as operações em funcionamento.

“Os episódios recentes, como o da Target, demonstraram que as empresas possuem fraquezas latentes nos últimos meses. Cada companhia atacada tem muitos mecanismos de segurança e, mesmo assim, falharam. Não há como prever brechas 100% do tempo”, ilustra Andrew Walls, diretor de pesquisa do Gartner.

Fundação Linux lança treinamento e exame de certificação em português

O System Administration (LFCS) e o Essentials of Linux System Administration (LFS201) têm como objetivo facilitar o acesso à certificação e impulsionar a carreira dos profissionais de TI

Pesquisas feitas com gestores de pequenas e médias empresas, grandes corporações, organizações governamentais e agências de recrutamento ­vêm seguidamente mostrando crescimento acelerado na demanda por profissionais Linux e a dificuldade entre os gestores de achar profissionais qualificados, com as habilidades específicas para administração de sistema. E no Brasil, essa realidade não é diferente. Pensando nisso, a Fundação Linux lança nessa terça-feira, 4/8, treinamento e exame para certificação de administração de sistemas Linux, em português.

Até hoje, só era possível fazer o exame em inglês, mas o aumento da demanda proveniente da América Latina (espanhol e português), orientou à necessidade de expansão para o melhor desempenho dos usuário. O treinamento em espanhol foi lançado em julho. Agora chegou a vez dos brasileiros terem acesso, no idioma natal, o exame de certificação ​System Administrator (LFCS) e o curso Essentials of Linux System Administration (LFS201).

"A Linux Foundation tem um trabalho contínuo de procurar meios para expandir o acesso a treinamentos Linux de qualidade para pessoas de todo o mundo. O lançamento do exame de certificação e o treinamento ​Essentials of System Administration em português e espanhol foi o nosso passo mais lógico, neste momento", diz Jim Zemlin, diretor executivo da Linux Foundation.

Violação interna de dados: você realmente está fazendo tudo o que pode?

Se você quer proteger seus dados você precisa primeiro observar o dia a dia, estabelecer qual é o comportamento considerado “normal” para cada usuário para, então, tentar identificar o que sai da normalidade. Como? Com o UBA!

Com o aumento progressivo das violações de dados, é natural a gente se perguntar o que deveríamos fazer que ainda não estamos fazendo. Tenho visto ultimamente mais pessoas falando sobre a análise do comportamento do usuário o que, certamente, é necessário e premente dentro de qualquer corporação que esteja interessada em manter-se longe de uma violação séria de dados.

Ao menos 75% das empresas que começaram a aplicar alguma técnica de análise de comportamento de usuário (em inglês, user behaviour analytics, ou UBA) descobriram alguma falha ou violação já em progresso. Quantas ainda não foram descobertas? Pior de tudo: elas são mais frequentes do que imaginamos.


O UBA utiliza técnicas de Big Data para mapear o comportamento do usuário interno e, assim, detectar qualquer anomalia. Basicamente o sistema primeiro identifica as atividades consideradas “normais”, para depois, identificar desvios no padrão de comportamento. A maior diferença desta tecnologia é o foco no usuário – ou seja, a questão imposta é se o usuário está agindo dentro do esperado, e não se um determinado evento está ou não dentro da rotina.

Slow and Low: a nova modalidade de ataques cibernéticos

"Slow and Low" não é apenas uma música famosa dos Beastie Boys. Também refere-se ao tipo de ataque, o preferido dos adversários atualmente, para atacar sem ser detectado
 
Marcelo Bezerra*
 
O cenário atual de ameaças é alimentado por invasores não mais motivados apenas pela notoriedade, mas sim pelo ganho econômico ou político. Com incentivos financeiros significativos para ataques bem-sucedidos, o ataque silencioso é agora a cartada do jogo. Os invasores estão mais proficientes, aproveitando-se discretamente das brechas na segurança para ocultar e dissimular a atividade maliciosa, e nós estamos conhecendo novas abordagens jamais vistas.
 
Os ataques “slow and low” (“Lento e baixo”) usam o tráfego lento, que parece legítimo em termos de regras e taxas de protocolo, para atingir uma falha da segurança. Por não violar qualquer política padrão de rede ou de segurança, eles passam despercebidos, voando abaixo do radar das estratégias tradicionais de mitigação. 
 
Aqui estão cinco técnicas do tipo "slow and low" que os criminosos cibernéticos utilizam para ganhar acesso às redes e cumprir a sua missão, e que os profissionais de segurança precisam entender para defender, de forma mais eficaz, suas organizações.

5 minutos por semana que podem mudar sua carreira positivamente

O maior recurso na evolução profissional não é um currículo cheio de floreios, mas as pessoas que você conhece ao longo da jornada

O maior recurso na evolução profissional não é um currículo cheio de floreios, mas as pessoas que você conhece ao longo da jornada

 O começo de ano é sempre um bom momento para refletir sobre o futuro profissional: em que estágio estou, para onde ir e como chegar lá? É sempre um período em que pessoas como eu – analistas de indústria e consultores – usam para tentar prever as habilidades demandas e que lhe ajudarão a impulsionar sua carreira no futuro. Obviamente que, se essa evolução fosse tão simples quando muitas vezes tentamos fazer parecer, todo mundo seria CEO de alguma empresa.

Por que inserir monitoramento de rede nos projetos de TI?

Há pelo menos duas razões: garantir os serviços, além de descobrir problemas e identificar soluções, o que gera novas oportunidades

A tecnologia é a espinha dorsal dos negócios, seja para uma startup, PME ou empresa de grande porte. Por isso, falhas nos sistemas não são apenas irritantes, mas um problema capaz de trazer grandes prejuízos. Prevenir incidentes é essencial. Se a sua empresa é uma provedora de serviços de TI e, portanto, desenvolve, implementa e/ou integra projetos em companhias de vários portes, você deve considerar o "monitoramento de redes" como um aliado.

Há pelo menos três razões para isso: primeiro a certeza de poder garantir os seus próprios serviços e infraestrutura. Segundo, porque favorece a expansão dos negócios, pois o monitoramento também pode ser oferecido aos clientes atuais e futuros, o que irá proporcionar aos provedores de TI uma visão aprofundada da infraestrutura dos clientes e assim, eventualmente descobrir problemas e identificar soluções, o que gera novas oportunidades. E terceiro, o monitoramento é uma ferramenta útil para todas as empresas, independente do ramo de atuação.

Para a maioria dos clientes, a prioridade é monitorar a estrutura clássica de TI que consiste em componentes de hardware, ambientes virtualizados, aplicações e serviços. E no geral, os fabricantes de equipamentos já integram recursos básicos de monitoramento em seus produtos. Então, como convencer o cliente da necessidade do serviço de monitoramento?

Segurança da informação: mais que técnica, deve ser uma cultura empresarial

É indiscutível que poucas são as pessoas que conseguem sobreviver sem um endereço de e-mail, visitar seu perfil nas redes sociais, acessar a Internet para ver o seu saldo bancário ou pagar contas.

No mundo dos negócios, mais ainda, a internet se tornou uma ferramenta de trabalho tão banal quanto um editor de texto, uma planilha eletrônica ou um software de CAD. Essa banalidade é o grande problema para a segurança das informações.


Existem basicamente três tipos de empresas: as que já possuem uma verba para segurança do ambiente computacional (normalmente já sofreram alguma perda por ataque), as que implantaram alguma forma de segurança e mantém apenas com equipe interna (são muitas) e, finalmente, as que acreditam que gastar dinheiro com segurança é custo e não investimento (infelizmente é a maioria). Nesse terceiro tipo de empresa, temos ouvido as mais variadas desculpas, mas, com certeza, a mais comum é que são tão pequenas que ninguém tem interesse em atacá-las. Esses dois últimos tipos cometem o maior erro que um administrador pode cometer: achar-se seguro.

Os Astrólogos de Segurança da Informação

O sistema de crenças que mais fragiliza do que protege as organizações

Durante a era Reagan, muitas das decisões tomadas na Casa Branca tinham a influência de uma especialista não muito comum em assuntos políticos. Os rumos do governo americano passavam pelo crivo da astróloga Joan Quigley, falecida no ano passado com 87 anos. A senhora Quigley era constantemente requisitada pela primeira dama Nancy Reagan (quem realmente mandava naquela casa) para consultar aos astros e orientar o presidente sobre quais riscos evitar. A atividade da astróloga foi um dos segredos mais bem guardados durante quase toda administração Reagan e a história somente se tornou pública em 1988 por meio de um ex-funcionário do governo que achava aquilo tudo um absurdo. Lógico que a astróloga faturou muito com o vazamento da história.

O mais interessante é que o mundo vivia um dos momentos mais bizarros da guerra fria. O próprio governo Reagan tinha o objetivo de implementar uma base de misseis nucleares no espaço. A “Strategic Defense Initiative (SDI)” que tinha o apelido de “Guerra nas Estrelas” se baseava no princípio teórico chamado de “Mutual Assured Destruction – MAD” o que de modo bem simples quer dizer: se o seu adversário possui um determinado poder de fogo, incremente o seu poder de modo que tanto ele quanto você sejam destruídos no caso de um ataque e se mostre disposto a usar tudo. Assim você desestimula o seu inimigo a atacá-lo.

Os acadêmicos do MAD conseguem provar isso com equações complicadas e realmente houve uma ocasião, poucos anos depois da crise dos mísseis em Cuba em que a MAD foi usada, o mundo quase acabou e quase ninguém ficou sabendo.

A astrologia já guiou vários líderes na história. Mas embora muita gente acredite nisso eu não consigo considerar plausível que a posição dos planetas no firmamento quando eu nasci possa guiar as minhas características pessoais. O universo é muito grande e se isso fosse mesmo verdade teríamos que considerar muitos outros astros nessa dança gravitacional. Prefiro ficar com a definição de Carl Sagan de que a astrologia “desenvolveu-se para uma disciplina estranha: uma mistura de observações cuidadosas, matemática e manutenção de registros com um pensamento indistinto e uma fraude devotada”.

Penso que a astrologia, assim como outras pseudociências ou terapias holísticas, oferece um tipo de conforto para a escolha de um caminho dentre diversos outros. Algo que conecta o nosso poder de decisão ao universo, de maneira que caso o caminho dê errado, é mais fácil transferir a responsabilidade para esse ente maior que coordena o fluxo da existência.

O astrólogo acaba sendo uma pessoa que possui um discurso generalizante, de modo a abarcar os mais variados tipos de pessoas e ao mesmo tempo se utiliza de técnicas com o objetivo de dar um ar personalizado a essas mensagens, para aqueles que o pagam.

Usando esse raciocínio como uma analogia, considero que muitas das decisões tomadas no dia a dia daqueles que atuam em segurança da informação seguem esse fluxo astrológico. Ou seja, muitos dos que lidam com essa disciplina dedicam tempo, esforço e muito dinheiro seguindo astrólogos que lançam modismos sem cessar, sendo que a maioria não resulta na proteção das informações.

Sem refletir, esses profissionais acabam mergulhando em um sistema de crenças e caso algo dê errado a salvação está em alegar que se seguiu as “melhores práticas do mercado”. Tenho muitas reservas a essas crenças e pretendo apontar abaixo algumas das suas contradições.

É possível obter Segurança da Informação?

Francisco Ramírez
Diretor de Segurança da Cisco para América Latina

Como representante de uma das empresas de Tecnologia  que mais trabalha a questão da Segurança da Informação e conhecedor de muitos detalhes que implicam nesse tema, frequentemente me perguntam: “por que os invasores continuam tendo sucesso em um mundo no qual, aparentemente, são adotadas cada vez mais medidas de segurança?”.

A palavra "aparência" acaba por ser o cerne da questão. Basta verificar o Relatório Anual de Segurança da Cisco de 2015, cuja conclusão é que há uma diferença significativa entre a percepção e a realidade em relação à Segurança da Informação nas empresas. E o que é ainda mais revelador: é uma brecha que está crescendo expressivamente.

Cinco princípios da virtualização

A empresa que não souber identificar eventuais fraquezas vai perder a capacidade de colher benefícios da infraestrutura virtual, limitando o sucesso das migrações

Os conceitos tecnológicos da virtualização e da computação em nuvem fizeram com que as questões de gerenciamento de serviços se tornassem tão importantes para os departamentos de TI quanto a própria tecnologia. No pacote, vem o envolvimento mais estreito com as aplicações e as unidades de negócios que trabalham com a infraestrutura.

Segundo o analista da Forrester James Staten, se a virtualização tivesse parado em alguns servidores, a pressão para reorganizar a empresa teria acabado assim que alguns poucos administradores de sistemas tivessem aprendido a trabalhar com mais de um departamento ao mesmo tempo, além de gerenciar servidores virtuais.

Mas não parou. O mundo virtual é muito mais dinâmico que o físico e cruza várias fronteiras organizacionais tradicionais. “Sem repensar a estrutura organizacional e alinhá-la a uma infraestrutura virtual, a empresa não consegue se manter no compasso da tecnologia”, avalia o vice-presidente de pesquisa do Gartner Chris Wolf.

As lacunas podem passar despercebidas em um primeiro momento, acobertadas pelo aumento da eficiência técnica e do retorno sobre o investimento (ROI) que as empresas adquirem logo no começo. Mas à medida que mais servidores são virtualizados, a empresa que não souber identificar eventuais fraquezas vai perder a capacidade de colher benefícios da infraestrutura virtual, limitando o sucesso das migrações.

Para evitar esse quadro, alguns princípios consistentes da gerência de infraestrutura virtual podem ser implementados para evitar problemas.

Conheça 20 comportamentos de risco na web

Saiba quais são e como prevenir você e sua empresa de ameaças virtuais

Usuários da internet ainda desconhecem os riscos da web. A constatação é da empresa Scunna Network Technologies, especializada em segurança cibernética e performance de TI.

De acordo com o gerente da Scunna Network Technologies, Gustavo Pauletti Gonçalves, os principais riscos que o usuário pouco cuidadoso corre na internet são furto de identidade, vazamento de informações, invasão de privacidade, sequestro de informações, fraudes bancárias e fraudes no comércio eletrônico. Veja abaixo uma lista de 20 comportamentos de riscos na web, apontados pela fabricante.

ISO 27001 é a mais eficaz em segurança da informação

Considerada pelas corporações em todo o mundo como a melhor prática internacional em termos de gestão de segurança da informação, a certificação ISO 27001 consagrou-se como uma das mais poderosas armas na luta diária contra o crime cibernético. 

Dados publicados no final de fevereiro deste ano apontam que a ISO 27001 é classificada por 96% dos gestores como um agente fundamental no aumento da qualidade dos sistemas de defesa contra ataques virtuais.

De acordo com o novo levantamento, cerca de 70% dos entrevistados dizem que a melhoria da segurança da informação foi o  fator mais importante para implementação da ISO 27001. Em segundo lugar, vem a exigência de estar alinhado com as melhores práticas em segurança da informação (62%), seguido da busca por uma maior vantagem competitiva (57%).

Lições que a TI ocidental poderia aprender com os chineses

Sete pontos que podem servir de ensinamento para empresas e executivos de tecnologia "do lado de cá do mundo"

A China passa por um momento de aceleração no desenvolvimento tecnológico – e muitas empresas ao redor do mundo tentam fechar os olhos para isso. Ao contrário da percepção ocidental, algo como 680 milhões de chineses têm acesso tanto a laptops quanto a smartphones. Mais: aproximadamente 95% dos lares do país possuem conexão com a internet (de acordo com dados do governo chinês). 

A título de comparação, em 2013, pouco mais que 74% de todas as casas nos Estados Unidos declaram ter acesso a rede mundial de computadores – segundo dados do U.S. Census Bureau. Esse percentual considera famílias localizadas em zonas urbanas, suburbanas e rurais. 

A IDC prevê que o mercado chinês movimentará nada menos que US$ 465 bilhões com tecnologia da informação e telecomunicações em 2015. O montante representa o dobro do previsto para países como o Japão e mais da metade dos gastos verificados nos Estados Unidos. 

Na outra ponta, o governo chinês prepara um plano ambicioso (que deve ser lançado em 2016) para modernizar diversos setores da economia, dentre os quais finanças, educação e saúde, bem como o próprio Estado. A estratégia considera um movimento intenso de adoção de recursos tecnológicos, esforços sociais e incentivos ao ambiente digital.

Nesse ínterim, os lideres de tecnologia chineses encontram-se em meio a um turbilhão de transformações rápidas que exige que suas empresas saltem ciclos tecnológicos. Alguns, em certos casos, são arremessados em um mundo de negócios cada vez mais virtual. Desenhado o cenário, aqui alguns pontos que executivos ocidentais poderiam prestar atenção e, eventualmente, tentar extrair algum ensinamento.  

Cinco resoluções de Ano Novo para os profissionais de TI

Qualquer que sejam os seus planos para o novo ano, suas resoluções devem ser simples e práticas

Chega a ser até um pouco clichê zombar de resoluções de Ano Novo. As pessoas geralmente fazem resoluções porque querem tornar a vida melhor. OK, muitas vezes não conseguem mantê-las, mas pelo menos tentam.

As pessoas com as quais realmente devemos ser cautelosos são as que desistem completamente, e parecem considerar a sua desesperança e falta de ambição uma espécie de distintivo de honra.

A indústria de TI pode ter seus defeitos, mas desistir diante do primeiro desafio não é um deles. Ao contrário. A tenacidade das pessoas deste setor chega mesmo a ser admirável. A maioria dos profissionais TI não entra em colapso a cada pequeno contratempo, e está realmente empenhada em fazer do mundo um lugar melhor (mesmo que, as vezes, inadvertidamente, criem o efeito oposto).

O único problema dos profissionais de TI é o fato de suas Resoluções de Ano Novo serem, geralmente, demasiado ambiciosas. O que, quase sempre, obriga a mudanças de hábitos. Não dá para deixar de fumar sem fazer grandes mudanças no estilo de vida, por exemplo.

A maioria das resoluções precisa de uma base sólida. Por essa razão, resoluções relacionadas com a indústria mais de TI precisam ser factíveis e realistas. E exigirem apenas uma nova funcionalidade, alguma praticidade e determinação. 

Aqui está a lista de itens que os profissionais de TI não vão querer ficar sem no novo ano.

Segurança: proteja a sua privacidade online enquanto navega na Internet

Aprenda algumas maneiras de proteger a sua privacidade enquanto navega online.

Em outra época isso soou como paranoia; agora soa mais como "senso comum". O leitor Steve me pediu sugestões de maneiras seguras e protegidas de acessar à Internet sem que seja rastreado por cibercriminosos, empresas e governos.

Não há qualquer tipo de proteção 100% perfeita, que irá assegurar a sua privacidade por completo. A vulnerabilidade Heartbleed deixou isso bem claro neste ano. Mas você pode "blindar" o seu acesso à Internet, tornando uma brecha de segurança menos provável.

Eu já falei sobre privacidade em e-mails, então irei concentrar minha resposta em navegação segura na web.

5 passos para reforçar a segurança em processos de consumerização

Segundo estudo recente da Forrester, 12% das empresas observaram aumento de produtividade com o fenômeno BYOD

Imagine a rotina de trabalho em uma empresa onde os funcionários trazem seus próprios dispositivos móveis e os utilizam para transferir e compartilhar arquivos e dados dentro ou fora do escritório.

Esse cenário define a consumerização de TI – resumida no uso de serviços e aplicações de terceiros pelos colaboradores das companhias – e que, até pouco tempo atrás, era encarada como uma tendência. Hoje, no entanto, a consumerização já pode ser tratada como realidade, pois ao mesmo tempo que traz benefícios – 12% das empresas observaram aumento de produtividade com o fenômeno BYOD (bring your own device), segundo estudo recente da Forrester – há desafios a encarar, grande parte deles relacionados à segurança dos dados.


Para aproveitar melhor esse fenômeno e, ao mesmo tempo, manter protegidas as informações de extrema relevância para as companhias, é preciso seguir alguns passos:

Segurança: saiba se proteger contra os golpes mais comuns no final de ano

Lista especial da McAfee explica como escapar das principais ameaças de fim de ano, quando aumentam as compras online.

O fim de ano significa grandes promoções  e um aumento no consumo online, o que também faz com que os cibercriminosos se aproveitem da situação para aplicar golpes.

Pensando nisso, a empresa de segurança McAfee divulgou nesta semana uma lista chamada “12 golpes de fim de ano” para orientar os internautas a se protegerem contra as ameaças online.

Confira a lista abaixo: