Author Archives: Marcelo Souza

Feliz Ano Novo… e a Velha “Lista de Previsões”

Mais um ano vem, outro ano vai, e para não perder o costume centenas de listas de previsões surgem na Internet com “new ultra super duper stuff” para o ano que vem, “tendências quentes” e afins.

Em SegInfo não é diferente. Mas a pergunta que fica: será que vale à pena segui-las? Na minha humilde opinião, não. Tais  previsões normalmente são extremamente enviesadas na tentativa de (des)favorecer tecnologias/soluções/fabricantes.

Como sei que estou chovendo no molhado, percebi pelo menos um bom proveito a ser tirado destas listas: diversão. Vamos tentar nos divertir um pouco?

Nomes típicos de listas de previsões em SegInfo

Alguns nomes comumente usados por autores destas listas:

  • Tendências de segurança para <insira o ano>: simples assim.
  • Top <insira o número de itens da lista> previsões em <insira seu tema preferido sobre SegInfo> para <insira o ano>: o autor tem muitas previsões a fazer, mas preferiu colocar só algumas.
  • Ameaças mais perigosas para <insira o ano>: cheiro de FUD no ar!
  • Qual será a maior ameaça ano que vem? : o autor não tem tanta certeza, então prefere dar uma lista.
  • Etc, etc…

Como dectar FUD em listas de previsões

Veja alguns indicativos de estratégia do “medo, incerteza e dúvida” nestas listas. E não se surpreenda se praticamente todas listas se basearem em variações de:

  • “A plataforma X será alvo de um grande número de ataques”
  • “Ausência de solução Y em dispositivos ABC fará com que estes sejam fortes vítimas neste novo ano”
  • “Surto na quantidade de cyber incidentes provenientes dos grupos Z”

Previsões criativas, pra não dizer o contrário

A criatividade não é necessariamente um ponto forte entre os autores destas listas. O óbvio impera, como podemos ver:

  • “Malware para plataformas móveis irá crescer”: com certeza, se algum sistema/dispositivo passa a ser mais adotado, essa é a tendência natural.
  • “Sistemas de automação industrial voltarão a ser alvo”: para compor a lista, basta usar algo que já ocorreu no passado e/ou ainda ocorre e colocar novamente como previsão.
  • “Sistemas e dispositivos de saúde serão alvos de ataques”: vamos pegar carona em outra norma, pois PCI e SOx deixaram de ser cool.
  • “Pelo menos mais um grande incidente envolvendo vazamento de informações pessoais”: assim fica fácil…

Por fim…

…espero que todos tenham tido alguns segundos de diversão com um assunto tão comum nessa época do ano. E que me permitam fazer uma previsão para 2012: teremos mais artigos neste blog ano que vem! ;-)

Feliz 2012 a todos!

Como criar um SOC – parte 1 de …

Hoje eu volto a ativa com o meu (novo) velho blog. E para reinaugurar em grande estilo, nada como falar sobre um dos assuntos que mais me atraem profissionalmente: SOC, ou Security Operations Center.

Vou começar de leve, com o primeiro de uma série de artigos que pretendo escrever sobre o assunto. Ou talvez nem tão de leve assim, pois o tema é delicado: Como criar um tão aclamado Centro de Operações de Segurança?

Afinal, o que é um SOC?

Ainda me lembro do tempo em que, prestando serviço a uma das operadoras mais bem preparadas tecnologicamente no país, fui incumbido da tarefa de operar e administrar uma ferramenta de SIEM em seu SOC. Naquela época (por volta de 2006), SOC no Brasil era vanguarda. Acho que nem mesmo a Wikipedia tinha definição para o termo. Felizmente hoje existe, então posso copiar a definição do termo e colar aqui:

Um Security Operations Center (SOC), em português Centro de Operações de Segurança, é um termo genérico que descreve parte ou a totalidade de uma plataforma cujo objetivo é prestar serviços de detecção e reação a incidentes de segurança.

Continue reading →

Blog de cara (e casa) nova!

Reformulei um pouco a idéia do blog, e a partir de agora ele vai tratar apenas sobre SegInfo.

O tema também mudou, como vocês podem ver. Além de estar hospedado no WordPress.com (o bolso pediu…).

Daqui a pouco tem post novo no ar!

Modelo de Maturidade para Segurança de Software

Como já se sabe, a (in)segurança no desenvolvimento de software tem sido o ponto fraco de praticamente todas as organizações direta ou indiretamente ligadas a este ramo. A quantidade de vulnerabilidades e incidentes de segurança relacionados comprova esta fraqueza histórica.

Uma razão para a persistência deste cenário é que não existem padrões efetivos para o desenvolvimento de software seguro, ou melhor, não existem processos bem definidos visando este objetivo. Na verdade, apesar dos problemas, boa parte das organizações nem mesmo discute esta necessidade.

Continue reading →

Convergência em Telecomunicações

Recentemente, numa das disciplinas do meu curso de MBA em Telecomunicações, fui instruído a escrever uma resenha sobre Convergência em Telecomunicações, baseado no artigo “Your Television is Ringing”, da edição de Outubro de 2006 da revista The Economist.

Apesar do artigo ser um pouco antigo, o assunto anda muito em voga. E, mesmo não apresentando muitas novidades de fato, resolvi fazer um “self promotion” e postá-lo aqui. Boa leitura!

Continue reading →

CERT.br – Estatísticas de incidentes em 2008

O CERT.br divulgou hoje as estatísticas consolidadas de incidentes reportados no ano de 2008.

Alguns pontos importantes na análise das estatísticas (adaptados do anúncio do CERT.br na lista certbr-anuncios):

  • O total de notificações recebidas em 2008 foi de 222.528, o que representa um aumento de 39% em relação a 2007.
  • As notificações de tentativas de fraude, em 2008, totalizaram 140.067, correspondendo a um aumento de 209% em relação a 2007.
  • O aumento das tentativas de fraudes está relacionado, principalmente, ao crescimento nas notificações de quebra de direitos autorais através da distribuição de material pirata em redes P2P. Em 2008 este tipo específico chegou a 108.242, correspondendo a um crescimento de 600% em relação a 2007;
  • Em 2008 houve um aumento, em relação a 2007, de 124% no número de notificações de casos de páginas falsas de bancos (phishing tradicional). Este aumento intensificou-se no segundo semestre de 2008, quando as notificações cresceram 104% em relação ao primeiro semestre.
  • O crescimento no número de páginas falsas de bancos concentrou-se, principalmente, em páginas de bancos brasileiros, com aumento de 266% no ano em relação a 2007.
  • Em 2008 ocorreu um aumento, nas notificações de ataques a servidores Web, de 149% em relação ao ano anterior. Estes ataques exploram vulnerabilidades em aplicações Web e, em alguns casos, visam a hospedagem de cavalos de tróia utilizados em fraudes ou de páginas falsas de instituições financeiras.

Segurança em Mac OS X

Em homenagem aos 25 anos de Macintosh (sim, sou um mac-maníaco), dedico este post.

Seguem abaixo meus comentários e uma coletânea de links sobre segurança em Mac OS X:

  • A lista de features de segurança do Leopard (Mac OS X 10.5) é bem vasta, e como usuário da plataforma posso dizer que a Apple conseguiu mantê-lo seguro e “usável” ao mesmo tempo.
  • O sistema a princípio é mais imune a malware do que o seu concorrente de Redmond, porém sabemos que isso não passa de (in)segurança por obscuridade. A Apple chegou a divulgar a necessidade de uso de anti-vírus no final do ano passado, mas voltou atrás após “perceber” que isso estava indo de encontro à sua estratégia de marketing. Sugiro a instalação de anti-vírus e correlatos, no mínimo como medida preventiva, e já pensando nas prováveis ameaças futuras.
  • Recomendo acompanhar o SecureMac e The Mac Security Blog. Este último, apesar de ser de uma empresa que desenvolve software de segurança para Macs, traz artigos interessantes, tais como uma compilação completa de notícias de 2008 sobre o tema.
  • Recomendo também a leitura dos excelentes guias de segurança escritos pela Apple.

Pretendo escrever mais sobre o tema. Portanto, até o próximo post!

[ 26/01/2009 15:40 - Atualização ]

Não tinha percebido antes, mas o especialista em segurança Pedro Bueno, handler do ISC, postou recentemente o artigo Identifying and Removing the iWork09 Trojan. Leitura recomendada para quem ainda acha que anti-vírus no Mac é bobagem.

Como ser um idiota em segurança da informação

Devo admitir que sou fã de artigos que ressaltam os erros de certas “iniciativas” de segurança da informação em empresas. Naturalmente, é muito fácil seguir recomendações ou previsões de outros sobre aquilo que “deve” ser feito, mas sem dúvida nenhuma é muito mais proveitoso confiar em “lessons learned”, pois, como já dizia o ditado: é errando que se aprende.

Muito tempo depois do memorável artigo de Marcus J. Ranum, entitulado The Six Dumbest Ideas in Comupter Security, Lenny Zeltser publica mais uma grande contribuição: How to Suck at Information Security. Continue reading →