Agora voce pode ter acesso a um anti-virus gratuito e de grande qualidade. Trata-se do ActiveVirusShield, uma iniciativa da AOL, utilizando o engine do Kaspersky. Basta fornecer um e-mail para receber alguns "e-mails marketing" e a chave de ativação. É um preço barato para um produto muito bom.
Já faz algum tempo (alias, muito tempo, pelo menos uns 6 meses) que eu, o Luiz Eduardo e o Nelson Murilo estamos com um projeto de fazer um podcast sobre segurança da informação, mas de forma descontraída e informal. Finalmente ontem, durante o GTS conseguimos gravar a edição zero do I Shot the Sheriff. Apesar de um certo improviso, o resultado final, modéstia a parte ficou bem legal. Confiram e comentem em www.naopod.com.br Aguardamos seus feedbacks por e-mail.
Dias 24, 25 e 26 de novembro, ou seja, sexta sábado e domingo ocorre a
terceira edição do H2HC- Hackers to Hackers Conference na FMU em São
Paulo, Av Liberdade 654
Apesar do termo "hacker" ser considerado pejorativo por muitas
pessoas, considere que este evento busca mostrar o que se convencionou
chamar de "hacking ético". São dois dias de palestras técnicas de alto
nivel, inclusive com alguns palestrantes internacionais e um dia
dedicado a um mini-curso da SANS.
Essa é a terceira edição do H2HC, que vem a cada ano ganhando
maturidade. Arriscaria dizer que este evento é o que temos de mais
próximo a eventos como Blackhat e Defcon em terras tupiniquins, sendo
que o conteúdo técnico não fica devendo em nada.
Segue a grade de palestras:
Sexta-Feira (24/11/2006)
08:30 - 09:00 Credenciamento e Abertura
09:00 - 10:00 Syscall Proxying || Pivoting
Rodrigo Rubira Branco - IBM
10:00 – 11:00 Process Infection
Carlos Barros
11:00 – 12:00 VOIP Insecurity
Luiz Eduardo - Aruba
12:00 - 13:30 Almoço
13:30 - 14:30 Lock picking
Eduardo Madeira Fleury / Artur Duque de Souza - IBM
14:30 - 15:30 Introducao a Engenharia Reversa
Maycon Maia Vitali
15:30 - 15:45 Intervalo Coffe Break
15:45 - 17:30 Iludindo as solucoes de IDS/IPS baseadas em pattern-matching
17:30 - 18:30
Palestrante Internacional
Polutin sys_execve
Federico Kirschbaum
Sábado (25/11/2006)
09:00 - 10:00 Old School Hacking
Julio Cesar Fort
10:00 – 12:00 Inseguranca em Web 2.0 e Pen-test em Aplicações Web
Wagner Elias (OWASP) e Tiago - N-Stalker
12:00 - 12:30 Hostile Wireless Ambients
12:30 - 13:30 Almoço
13:30 - 14:30 Rootkits kernel 2.6
Julio Auto
14:30 - 15:30 Playing with DDK (driver development kit for windows)
Rodrigo Carvalho Costa a.k.a. nibble
15:30 - 16:00 Intervalo Coffe Break
16:00 – 18:00
Palestrante Internacional
Shellcode {R}evolution
Itzik Kotler
18:00 – 18:30 Encerramento 2º Dia com batepapo com palestrantes e organizadores
Domingo (26/11/2006)
09:00 – 18:00
Treinamento SANS Cutting Edge Hacking Techniques
Rodrigo Rubira Branco
(Credenciamento e pagamento pelo site da SANS necessário para participar)
A Sysinternals, agora pertencente a MS lançou uma nova ferramenta que une funções do Filemon e Regmon. O Process Monitor, ou procmon para os intimos monitora em tempo real as atividades de arquivos, registros e processos de um sistema Windows.
Confiram
Eu sou apaixonado por aviação, mas mesmo quem não é merece ver este video de 4 Airbus A380 (aka o maior avião de passageiros do mundo) voando em formação sobre Toulouse, na França.
Faltando alguns dias para o segundo turno de nossa eleição, segue um artigo muito bem elaborado sobre como fraudar uma eleição hackeando votos. O texto em inglês foca no sistema americano, mas muitas vulnerabilidades se aplicam a nosso modelo também. Leitura excelente.
Enquanto isso, o diretor geral do Tribunal Superior Eleitoral, Sr. Athayde Fontoura Filho, continua afirmando que a urna tem "risco zero" e que a segurança das mesmas é de 100%.
Compare com este texto da cientista política Maria Helena Moreira Alves, que mostra como a tal "segurança 100%" é baseada na confiança que temos que ter nos diversos pontos de fragilidade do sistema.
Me engana que eu gosto....
Com o intuito de promover a cultura da segurança da informação, fomentar o estabelecimento de novos grupos de resposta a incidentes de segurança na América Latina e treinar os participantes dos CSIRTs existentes, a Rede Nacional de Ensino e Pesquisa (RNP) e seu Centro de Atendimento a Incidentes de Segurança (CAIS), em cooperação com o Fórum Internacional de Grupos de Resposta a Incidentes de Segurança (do inglês, FIRST), organizam a 2ª Colaris (Conferência Latino-Americana de Resposta a Incidentes de Segurança), que irá acontecer no Rio de Janeiro de 7 a 10 de outubro de 2006.
Um post interessante no slashdot sobre um incidente ocorrido a 23 anos atrás na Russia. Na ocasião, ainda na guerra fria, um coronel russo chamado Stanislav Petrov era responsável pelos sistemas de monitoração baseados em satélites na Russia. De lá ele podia detectar lançamentos de misseis nucleares do inimigo Estados Unidos e acionar o contra-ataque, segundo a doutrina militar do Mutual Assured Destruction.
Graças a desconfiança do padrão do ataque (misseis lançados em sequencia ao contrário de todos simultanemente), o coronel não retaliou e percebeu-se depois que se tratava de uma falha no sistema.
Este outro post cita 20 situações em que o mundo quase foi destruido. Grandes chances da humanidade acabar por causa de um falso positivo... bizarro...
Prezados associados e amigos,
O Capítulo Brasil-SP da ISSA convida a todos para o ISSA Day de Setembro:
Data: 27 de setembro de 2006
Local: Microsoft Informática Ltda - Avenida das Nações Unidas 12901 - Torre Norte - 31º andar - Centro Nações Unidas.
Horário: das 19h às 22h
Programação:
19:00 - 19:15 - Apresentação do ISSA
19:15 - 19:45 - Microsoft
19:45 - 20:45 - O Uso de Honeypots na Segurança de Redes – Dr. Antonio Montes, CenPRA/MCT
20:45 - 21:05 - Coffe Break patrocinado por Microsoft
21:05 - 21:50 - Riscos e vulnerabilidades em redes sem fio – Nelson Murilo de Oliveira Rufino
(veja abaixo mais detalhes sobre as palestras e os palestrantes)
Aos não associados, aproveitem a oportunidade para conhecer as vantagens do ISSA. Os eventos “ISSA Day” estarão abertos ao público somente nos próximos meses.
Inscrições: relacionamento@issabrasil.org
Aguardamos vocês lá,
Willian Okuhara Caprino
Vice Presidente
ISSA – Capítulo Brasil
O Uso de Honeypots na Segurança de Redes
Resumo: A tecnologia de honeypots, apesar de relativamente recente, vem demostrando grande utilidade na proteção de redes e sistemas. Nesta palestra, serão apresentadas formas de utilizações de honeypots e alguns resultados que vêm sendo obtidos no Consórcio Brasileiro de Honeypots.
Palestrante: Dr. Antonio Montes, CenPRA/MCT - Pesquisador Titular do Centro de Pesquisas Renato Archer (CenPRA/MCT). Chefe da Divisão de Segurança de Sistemas de Informação. Doutor em Física Computacional pela Universidade de Oxford em 1980, foi o criador e coordenador do curso de pós-graduação em Segurança de Sistemas de Informação da CAP/INPE, onde ainda leciona e orienta vários mestrados e doutorados. Coordenou o projeto e implantação da infra-estrutura de segurança física e lógica da AC-Raiz da ICP-Brasil. É coordenador do Projeto Honeynet.BR (www.honeynet.org.br) e do Consórcio Brasileiro de Honeypots (www.honeypots-alliance.org.br). Atua na área de detecção de intrusão, coleta e análise de inteligência sobre atividades maliciosas na Internet, análise de artefatos e ferramentas de ataque, desenvolvimento de metodologias e ferramentas para programação segura e auditoria de códigos.
Riscos e vulnerabilidades em redes sem fio
Resumo: Redes sem fio já são uma realidade, não podem ser negadas as vantagens de mobilidade e facilidade de acesso que elas proporcionam. Ambientes onde redes convencionais cabeadas são inviáveis, pode-se facilmente instar redes sem fio,
como campus universitários, prédios que são patrimônios históricos, por exemplo podem se beneficiar deste tipo de tecnologia. Por outro lado esta mesma facilidade de instalação e uso pode trazer problemas de segurança, pois o que antes tinha alguma proteção física, agora com as redes sem fio, trafega pelo ar.
Esta apresentação visa caracterizar os tipos de redes sem fio, discutir a eficácia dos checklists de segurança e identificar as falhas nos mecanismos atuais de proteção para redes Wi-Fi (WEP, 802.1x, WPA e WPA2), bem como identificar os perigos associados a redes no padrão Bluetooth.
Palestrante: Nelson Murilo de Oliveira Rufino - Atuação de na área de segurança de redes desde 1992. Participou da definição de Políticas de Segurança para órgãos do governo e empresas privadas. Autor dos livros "Segurança Nacional - Técnicas e ferramentas de ataque e defesa de redes de computadores” (2001) e “Segurança em redes sem fio” (2005). Foi coordenador Centro de Tratamento e Resposta a Incidentes Computacionais do Departamento de Polícia Federal. Promove certificação de segurança de ambientes (Testes de intrusão, indisponibilidades de serviços/servidores e acesso a informação não-autorizada), para bancos, órgãos financeiros, governamentais, de inteligência provedores de acesso e backbone. Profundos conhecimento em Analise Forense. Profundos conhecimento em Tokens/Smartcars e autenticação usando Biometria. Colaborador do Grupo de Segurança (GTS) do Comitê Gestor da Internet/BR, do grupo de resposta a incidentes brasileiro (CERT-BR, ex-NBSO) e CTIR-Gov. Desenvolve ferramentas de segurança em ambiente Unix/NT. Como chkrootkit e BTSearch. Atualmente montando um centro de resposta a incidentes em órgão de inteligência Federal.
This page contains a multitude of differing wireless security products, as we find time we will try and categorise them further and also provide a product listing at the top of this page.
read more | digg story
Imagine um sistema operacional que roda em qualquer browser. Voce pode acessar sua conta em qualquer lugar e ter acesso a diversas funcionalidades, como arquivos, processamento de textos, calendario, contatos, leitor de RSS e outras aplicações customizaveis. Esta é a proposta do eyeOS, um ambiente Desktop WEB Open Source. Vale a pena criar uma conta gratuita e testar.
Estão abertas as inscrições para o 6o. Simpósio Brasileiro de Segurança da Informação
e de Sistemas Computacionais, SBSeg 2006, evento promovido pela SBC e que se
realizará de 28 de agosto a 1 de setembro próximos no Mendes Convention Center,
em SANTOS. Esse ano o evento contará com diversas atividades, como sessões técnicas,
palestras de convidados estrangeiros e brasileiros, painéis de discussão, mini-cursos,
cursos da RNP (Rede Nacional de Ensino e Pesquisa).
Informações e inscrições pelo site http://www.unisantos.br/sbseg2006/
II SegInfo - Workshop de Segurança da Informação
---------------------------------------------------------------------------------------
Estão abertas também as inscrições para o Segundo SegInfo – Workshop de Segurança da
Informação – que acontece este ano juntamente ao SBSEG 2006 – Simpósio Brasileiro em
Segurança da Informação e de Sistemas Computacionais – da SBC, em Santos, São Paulo,
entre os dias 29 e 31 de agosto. O SegInfo abre espaço para a discussão do tema
Segurança da Informação nos âmbitos técnico-científico, jurídico, empresarial e
social.
Já estão confirmadas as presenças dos seguintes palestrantes (em ordem de apresentação):
Luis Carlos de Almeida Serpa (Polícia Federal)
Renato Opice Blum (Opice Blum Advogados Associados)
Mauricio Gaudêncio (Cisco Systems)
Ivo Peixinho (CAIS/RNP)
Marinês Gomes (Microsoft)
Marcio Moreira da Silva (Marinha do Brasil)
Guilherme Vênere (CAIS/RNP)
Ricardo Kléber Martins Galvão (NARIS/UFRN)
Danilo Dias (Banco Central)
Wilmar Antônio C. Peixoto (TV GLOBO)
Francimara Teixeira G. Viotti (Banco do Brasil)
Maiores informações sobre o evento, palestrantes e suas palestras poderão ser
encontradas no site: www.seginfo.ufrj.br. As inscrições também podem ser feitas pela
internet. Mais informações podem ser encontradas em www.unisantos.br/sbseg2006
O SegInfo é organizado pelo Grupo de Resposta a Incidentes de Segurança do
Departamento de Ciência da Computação do Instituto de Matemática da Universidade
Federal do Rio de Janeiro- GRIS, pelo Departamento de Ciência da Computação da
Universidade Federal do Rio de Janeiro, pelo Núcleo de Computação Eletrônica da
Universidade Federal do Rio de Janeiro, pela Universidade Católica de Santos –
Unisantos, pelo Simpósio Brasileiro em Segurança da Informação e de Sistemas
Computacionais da Sociedade Brasileira de Computação e pela Clavis Segurança da
Informação.
O SegInfo conta com o patrocínio do Banco do Brasil e da Cisco Systems, e conta com
o apoio do Centro de Atendimento e Tratamento de Incidentes de Segurança da
Universidade Federal do Rio de Janeiro - Cenatis/UFRJ, e conta com o apoio da
Universidade Federal do Rio de Janeiro - UFRJ.
Cursos Rede Nacional de Ensino e Pesquisa -RNP
-----------------------------------------------------------------------------------------
Estão também abertas as inscrições para o cursos da RNP a serem realizados no
SBSeg2006 no dia 29 de agosto de 2006. Os cursos serão ministrados pelos analistas
de segurança do CAIS/RNP, Guilherme Vênere e Ivo Peixinho.
Título I: "Análise Forense em Sistemas Windows"
Este curso visa familiarizar o aluno com os conceitos de análise forense, e
apresentar as várias metodologias e ferramentas utilizadas no processo de coleta de
evidências. O curso é eminentemente prático incluindo atividades laboratoriais, com
duração de 4 horas.
Título II: "Análise de Malware"
Curso introdutório ao processo de análise de código malicioso ("malware"). Os alunos
são apresentados a um sistema comprometido a fim de identificar a presença de
arquivos maliciosos e realizar o processo completo de análise dos mesmos, incluindo
a identificação das suas funcionalidades básicas. Para tal, deverão utilizar os
conceitos adquiridos no curso de Análise Forense em Sistemas Windows, previamente
ministrado.
Mais informações poderão ser encontradas em http://www.unisantos.br/sbseg2006/?arquivo=cursosrnp.php
Faz tempo que eu não posto nada. Alias, até esqueci de falar do ISSA Day, que foi muito bom. Mas segue um link com uma lista "Hall of Fame" dos problemas de vazamento de informação. Crédito do blog do Schneier.
Cada vez mais nota-se uma tendencia de aumento de ataques em camadas acima ou abaixo do sistema operacional (aplicações e device drivers). Uma explicação para isso é a melhora da segurança do S.O., o que fez os atacantes mudarem o foco para regiões mais descobertas. O MS Office parece ser a bola da vez mais perigosa, já que todo mundo usa e troca arquivos por e-mail de forma automática e despreocupada. No link abaixo, o assunto é comentado e cita a apresentação feita na BlackHat Briefings semana passada, onde pesquisadores da empresa de segurança Matasano acharam diversas vulnerabilidades em sistemas de apoio do Windows, como update e schedulle backup, além de problemas com drivers de wireless do Mac. A administração de patches tende a ficar mais complexa, priorizando estes ítens também.
read more | digg story
Artigo interessante sobre mitos relativos a senhas (especialmente senhas no ambiente Windows,mas algumas genéricas também). Bom para quebrar paradigmas. From digg.
read more | digg story
This page generates a high security password for wireless networks or anything. Just reload the page for ultra high security passwords
read more | digg story
Hoje é sexta feira e vamos a um momento fun: O que fazer se seu vizinho resolve usar a sua conexão wireless sem sua autorização ? Bem, esta página tem uma boa sugestão. Mais uma dica do Sp0oker.
O pessoal das antigas sabe o que é um "demo". Trata-se, a grosso modo de um software, feito em assembly, com o objetivo de demonstrar as capacidades de um computador. Misto de técnica e arte digital, essa atividade tem "cenas" no mundo todo. Isso começou na década de 80, nos micros 8 Bits, como o Commodore 64 e evoluiu para o Amiga e posteriormente PC. A mais famosa competição de demos (chamadas de "DemoParties") ocorre anualmente na Finlandia. Nesta 15ª edição, a Assembly traz um desafio patrocinado pela F-Secure. O Objetivo é fazer a engenharia reversa de alguns softwares produzidos pelo staff deles e descobrir dados ocultos. Os premios são IPods e um Sony PSP. Não é necessário estar na Finlandia para participar, a competição estará aberta para qualquer pessoa.
Bruce Schneier postou no seu blog aquilo que já discutimos calorosamente por diversas vezes na CISSPBR: Há excelentes profissionais não certificados, assim como também há profissionais certificados que são medíocres. Então, para que serve a certificação ?
Apesar de suas deficiencias, os processos de certificação vem melhorando. E para o tipo de profissional que o mercado precisa, as certificações são muito benéficas, pois ao estudar para a certificação a pessoa aprende aquilo que necessita para desempenhar sua função na prática.
De acordo com o blog do Mark, da Sysinternals, a Microsoft os adquiriu. Mark irá trabalhar na area técnica (Plataform and Services Division). Não há uma definição ainda sobre o futuro dos produtos da Winternals, mas certamente alguns continuarão com a marca Microsoft e outros serão agregados a produtos já existentes. Quanto aos excelentes freewares da Sysinternals, deverão ser mantidos por um tempo no site atual e depois integrados as comunidades da MS. Segundo o Mark, continuarão sendo "free to download".
Certamente é uma excelente notícia saber que um profissional que conhece muito do Windows esteja indo para a área de desenvolvimento do mesmo. Faço votos para que o Mark tenha muito sucesso neste novo desafio e espero que o desenvolvimento dos softwares da Sysinternals continue com a mesma qualidade que temos hoje.
H.D. Moore crafts an engine for finding malware.
read more | digg story
Here are five essential tools for securing Firefox by disabling JavaScript and Flash, sniffing out suspicious sites, foiling phishing, preventing peeks at private data, and preparing powerful passwords.
read more | digg story
Nos próximos dias 29 e 30 de agosto a ABNT estará proporcionando o SEMINÁRIO INTERNACIONAL SOBRE AS NORMAS ISO IEC 17799 E ISO IEC 27001 & WORKSHOP SOBRE ANÁLISE/AVALIAÇÃO E TRATAMENTO DE RISCOS DE SEGURANÇA DA
INFORMAÇÃO, no auditorio da Serasa em Sao Paulo - Al dos Quinimuras, 187.
Veja a programação:
29 de Agosto
Key notes
Ted Humphreys - Chairman do Grupo Internacional de usuários das normas ISO IEC 17799
e ISO IEC 27001
Visão Global-Experiências de Sistemas de Gestão da Segurança da
informação em outros países Japão:Koji Nakao- KDDI Setor de
Telecomunicações Alemanha:DQS Certificações na Alemanha
Visão Global- Experiências de Sistemas de Gestão da Segurança da
informação em outros países EEUU:Eva Kuiper - HP Services
França: Philip Bouchet - AXALTO Setor Financeiro Europa:Dra Angelika
Plate- Um panorama sobre as certificações na Europa (Áustria, Alemanha,
Itália, Holanda, Noruega, Polônia, Suécia e Inglaterra)
Painel 1:SGSI no Brasil – Chair Ted Humphreys
SERASA:Denise Menoncello
SAMARCO Mineração: Guilherme Jannotti
Módulo Security:Alberto Bastos
Painel 2: SGSI no Brasil – Chair Ariosto Farias Jr
SERPRO: Alice Vasconcellos
T-Systems:Marcos Freitas
30 de Agosto
Ameaças e riscos aos negócios
Ted Humphreys
As normas de SGSI
Dra Angelika Plate
Processo de certificação e Estudos de Casos
Painel de debates –Chair Mr Ted Humphreys e Dra Angelika Plate
INVESTIMENTO:R$1900,00
Inscrições feitas até 30/07/2006 terão 20% de desconto;
10% de desconto para cada inscrição adicional da mesma empresa;
20% de desconto para os associados da ABNT;
20% de desconto para os membros que participam efetivamente do ABNT/CB21/SC02
20% de desconto para os sócios da SUCESU
O seminário será realizado com tradução simultânea.
inscrições:eventos@abnt.org.br ou tel:11 3017 3611 ou fax:11 3017 3633.
Artigo interessante da CIO Insight sobre SOX. Isso está mesmo funcionando ?
Fuçando no Digg e achando algumas coisas que um dia podem ser úteis. Por exemplo, este artigo sobre senhas de BIOS
Artigo antigo, mas é um newbie guide para testes de penetração em roteadores Cisco. A parte 2 está aqui:
read more | digg story
Recentemente veio a tona novamente os velhos indicios de que o governo Norte Americano (provavelmente pela NSA) teria algum tipo de monitoração de meios eletrônicos, utilizando a infra-estrutura da AT&T.
Neste post do Kevin Poulsen, há um guia para newbies para detectar se a NSA está lhe espionando. Aprecie com moderação e de acordo com o seu nível de paranóia. Pessoalmente acho que isso deva mesmo ocorrer (algum tipo de monitoramento) e os norte-americanos são bastante cuidadosos (pelo menos é o que transparece) em relação a questões de privacidade. Nós aqui em terras tupiniquins não ligamos muito pra isso (ainda), mas é sempre bom ficar de olho nos movimentos...
This paper aims to provide a complete discussion on vulnerability and patch management.It looks first at the trends relating to vulnerabilities, exploits, attacks and patches. These trends provide the drivers of patch and vulnerability management.
(nao to com saco de traduzir, mas o paper me pareceu bem interessante e completo.)
read more | digg story
Link interessante para uma coleção de extensões simples e uteis.
read more | digg story
Prezados colegas,
Muitos de vocês devem ser associados à ISSA - Information Systems
Security Association, capítulo Brasil-SP. Nesta quarta-feira (28) será
realizada a eleição para os Officers do capítulo, e tenho o prazer de
representar uma das chapas que concorrem, a Chapa 2. A composição da
chapa é a seguinte:
Presidência: Augusto Q. Paes de Barros, CISSP-ISSAP, MCSO
Vice-Presidência: Willian Okuhara Caprino, CISSP, MCSO
Secretário Geral: Francisco Milagres, M.Sc., CISSP, MCSO
Diretor Financeiro: Dimitri Abreu, CISSP, MCSO
Diretor de Comunicações: Fernando Fonseca, CISSP, MCSO
Além destes, para as posições mínimas, também temos no grupo:
Anchises de Paula, CISSP, MCSO
Aylton Souza, CISSP
Luciano Barreto, CISSP
Luiz Firmino, CCNA, MCSO
Marlon Borba, CISSP
Sérgio Dias, CISSP, Microsoft MVP
Wagner Elias, CBCP
Gostaria de expor aqui algumas de nossas idéias e intenções para o
capítulo. Afinal, o que é a ISSA? De acordo com o site
http://www.issa.org:
The Information Systems Security Association (ISSA)(r) is a
not-for-profit, international organization of information security
professionals and practitioners. It provides educational forums,
publications and peer interaction opportunities that enhance the
knowledge, skill and professional growth of its members.
Nosso objetivo é justamente aplicarmos a definição da ISSA ao capítulo
local. Prover discussões educacionais, oportunidades de publicação e
interação com pares, além do crescimento profissional. Nosso grupo é
formado por pessoas que nos últimos anos conduziram ou participarem de
diversas atividades diretamente relacionadas a estes objetivos, como
os grupos de estudo para o CISSP, iniciativas locais do OWASP e Think
Security First, os encontros de integração, etc. Queremos utilizar
estas experiências e tentar fazer o mesmo pela associação, que é
reconhecida internacionalmente pela sua representatividade.
O texto abaixo é uma compilação de nossas propostas para a associação,
conforme pode ser verificado no site (http://www.issabrasil.com.br).
Um ponto que gostaria de ressaltar de nossas intenções é tornar a
associação com a ISSA uma vantagem real para o profissional. Por conta
disso, estamos abertos às sugestões dos associados e daqueles que
gostariam de se associar, mas ainda não viram valor suficiente para
isso.
Peço aos associados que quiserem apoiar a nossa proposta que
compareçam à votação na sede do capítulo (endereço no final da
mensagem), entre as 19:30h e as 23h do dia 28. Infelizmente não há
opções para o voto a distância.
Plano estratégico:
A Chapa 2 definiu alguns objetivos principais para sua atuação frente
ao Capítulo Brasil-SP da ISSA:
- Comunicação Editorial: Estimular a produção de conteúdo original
sobre Segurança da Informação entre os associados.
- Educação e ensino: Auxiliar entidades e iniciativas de ensino quanto
a conscientização e aprendizagem em Segurança da Informação e
impulsionar treinamentos, eventos especializados e orientações para
certificações.
- Setor Privado: Dar suporte ao setor privado em suas necessidades de
entendimento dos desafios de segurança da informação, expandindo as
atividades do capítulo para além da Grande São Paulo, incentivando
iniciativas locais .
- Setor público: Auxiliar Governo, órgãos públicos em geral e órgãos
de pesquisa e ensino na construção da consciência em segurança da
informação, da constituição de equipes e grupos de Segurança da
Informação e da estruturação de uma estratégia de segurança condizente
com as melhores práticas do mercado.
- Sociedade: Auxiliar a sociedade em geral a se conscientizar sobre os
riscos advindos do uso cada vez maior da tecnologia em seu dia-a-dia,
através da parceria com os movimentos de democratização e de
popularização da informática (Telecentros, PC Conectado e outros) e
com os meios de comunicação em massa.
- Associados: Aumentar os benefícios para os associados, incluindo
parcerias para descontos na aquisição de livros especializados e
treinamentos, a divulgação de oportunidades profissionais e a troca de
experiências entre os associados em eventos periódicos, para
integração social e profissional, dentre outros.
Para atingir tais objetivos, a Chapa 2 pretende executar as seguintes ações:
Atuar como consultoria para entidades de ensino. É notável a demanda
do mercado por novos profissionais de segurança da informação, assim
como o crescimento de oferta de cursos para formação dos mesmos. A
ISSA deve ter papel ativo na formulação dos programas dos cursos,
visando garantir que os requerimentos de ética e comportamento
profissional, bem como a formação de um corpo mínimo de conhecimentos,
entre outros, estão sendo tratados. Na Chapa 2 e em seu grupo de apoio
estão diversos profissionais que atuam como docentes em instituições
de ensino, o que deve facilitar a aproximação.
Também acreditamos que a ISSA deve oferecer apoio não-intrusivo,
colocando-se a disposição de entidades de ensino na apresentação de
seminários e palestras dentro das instituições para conscientizar os
jovens profissionais sobre os conceitos de segurança, seus papéis e a
importância na preservação da segurança da informação nas atividades
profissionais.
Além do apoio às próprias entidades, a proximidade com o segmento
acadêmico deve trazer as novas idéias que surgem no meio para o
ambiente de mercado, auxiliando na criação de novos produtos nacionais
e na valorização dos pesquisadores.
Ainda no tema "educação", o capítulo Brasil-SP da ISSA deverá apoiar
as ações existentes para divulgação do conhecimento sério em segurança
da informação, incluindo o surgimento de grupos de estudos e as
iniciativas de trazer, para o Brasil, outras entidades relacionadas à
segurança da informação, por exemplo, o OWASP (The Open Web
Application Security Project), dentre outros.
Criação de grupo editorial e suporte a publicação para artigos
escritos pelos membros da associação. Os membros da chapa entendem que
há muito conteúdo de qualidade sendo produzido, porém há dificuldade
em encontrar meios que estimulem sua divulgação, inclusive nas
publicações internacionais (entre ela, o ISSA Journal). O grupo
editorial deverá auxiliar na garantia de qualidade do conteúdo
produzido, além de dar maior apoio àqueles que estão produzindo boas
idéias mas que ainda não tem o hábito de escrever. Através de
voluntários, também será dado acesso a serviços de tradução para os
autores, viabilizando a publicação de artigos de autores brasileiros
no exterior. De acordo com a quantidade e freqüência de material
produzido, será produzida uma publicação própria do Capítulo
Brasil-SP.
Uma das maiores preocupações da Chapa 2 é o seu envolvimento com o
setor privado. Na formação da chapa, um cuidado especial foi tomado
para evitar que seus componentes atuais possuam ligação com empresas
que poderiam utilizar a entidade para seus próprios fins comerciais.
Contudo, a chapa reconhece o valor e a necessidade de aproximação com
este setor, responsável por uma grande parte das inovações e
investimentos na área. Por conta disso, serão estudados modelos de
apoio a empresas privadas, principalmente no âmbito de direcionamento
estratégico de segurança, de formação e atualização profissional e
questões de regulamentação e legislação.
No âmbito do setor público a ISSA Brasil-SP promoverá a aproximação do
setor público com as iniciativas do setor empresarial, incluindo a
troca de informações, o apoio em eventos de segurança e a busca pelas
melhores práticas de mercado que possam ser aplicadas ao setor;
incentivar a constituição e a formação de grupos de segurança da
informação não restritos a resposta a incidentes, enfatizar a
importância da visão holística da segurança da informação, não
limitada a ações de certificação digital.
Finalmente, o grupo da Chapa 2 vê com grande preocupação o crescimento
de ataques e fraudes visando o usuário comum de sistemas de
informação, principalmente da Internet. Esforços já iniciados, como o
"Pense em Segurança Primeiro", serão integrados e conduzidos de forma
a gerar conteúdo de qualidade, consentâneo com a cultura e o
comportamento do cidadão brasileiro, e de fácil acesso para os
internautas brasileiros. Lembrando da existência de projetos de
democratização da informática, como o PC Conectado e os Telecentros,
será um dos focos desta iniciativa estabelecer contatos com os
responsáveis pelos projetos e promover iniciativas conjuntas para
levar os conceitos de segurança às camadas menos favorecidas da
população.
Além dos pilares de atuação da chapa citados acima, algumas ações
também foram identificadas como prioritárias para permitir um maior
desenvolvimento da Associação no país:
- Pleitear trilhas de conteúdo exclusivas para associados ISSA em
grandes eventos tradicionais de segurança (ex: Security Week, CNASI,
CSO Meeting, NIC.br GTS entre outros)
- Regularização da associação como Pessoa Jurídica
- Reformulação do ISSA Day, visando maior simplicidade e maior freqüência.
- Desenvolvimento de atividades fora da região de São Paulo
- Revisão do valor da taxa de associação específica do Capítulo
Tendo declarado estas iniciativas como sua linha mestra de atuação
frente à ISSA Brasil-SP, é importante destacar que desde já nos
declaramos abertos a negociações que objetivem suprir as expectativas
e dar continuidade as atividades já iniciadas pelos membros da mesma.
ENDEREÇO DA SEDE DO CAPÍTULO:
TS – Instituto de Tecnologia de SW
Rua Doutor Astolfo de Araújo, 521 - Parque Ibirapuera - São Paulo - SP
UPDATE: Nossa chapa venceu as eleições. Agora é arregaçar as mangas e mãos a obra. Cobrem-me !
Fyodor, pai do NMAP lançou sua nova lista das 100 melhores ferramentas de segurança de redes , conforme votação na lista nmap-hackers. A ultima versão era de 2003 e novos ítens, como o Metasploit surgiram no ranking. Por outro lado, o TCPDUMP, terceiro lugar nas votações anteriores, caiu para a oitava posição, enquanto que seu "sucessor", o Wireshark (antes conhecido como "Ethereal"), está em segundo lugar, atrás apenas do tradicional Nessus.
Destaque ainda para o novo dominio sectools.org e a organização da lista que permite selecionar por tipo de ferramenta. Divirtam-se !
"É necessário fazer as pessoas que são responsáveis pela segurança nas organizações conhecerem do assunto. Eles conhecem produtos, não de segurança. Ainda acham que basta montar o lego de Firewall+IDS+IPS+Antivírus e tudo está resolvido." - Augusto "Chuck Norris" Paes de Barros, em mais um daqueles artigos pra pendurar na parede.
Um artigo muito interessante do Noam Eppel, sobre como nós, profissionais de segurança da informação, estamos falhando na nossa função. Bom para reflexão.
Um amigo me lembrou desse texto dos bodes assassinos. Dá para dar uma boas risadas e ainda serve para voce mandar para alguma alma ingenua que ainda acredita nessas coisas....
-----
OS SETE TIPOS BÁSICOS DE CORRENTES:
CORRENTE No.1:
Agora, para você se sentir culpado, aqui o que eu vou fazer. Primeiro, se você não mandar essa mensagem para 5096 pessoas nos próximos 5 segundos, você vai ser atacado por um bode maluco e então atirado do topo de um prédio em um monte de bosta. É verdade! Porque, você sabe, esta corrente não é que nem todas aquelas outras falsas, esta é verdade!! Sério!!! Funciona assim:
- Mande esta carta para 1 pessoa: uma pessoa vai ficar braba com você por ter mandado uma corrente idiota.
- Mande esta carta para 2-5 pessoas: 2-5 pessoas vão ficar brabas com você por ter mandado uma corrente idiota.
- Mande esta carta para 5-10 pessoas: 5-10 pessoas vão ficar brabas com você por ter mandado uma corrente idiota.
- Mande esta carta para 10-20 pessoas: 10-20 pessoas vão ficar brabas com você por ter mandado uma corrente idiota.
- Mande esta carta para 20-674.951 pessoas: 20-674.951 pessoas vão ficar brabas com você por ter mandado uma corrente idiota.
Obrigado! Boa sorte!!
CORRENTE No.2
Olá, e obrigado por ler esta carta. Tem um garoto faminto em Baklaliviatatlaglooshen que não tem braços, não tem pernas, não tem pais, e não tem bodes. A vida deste menino pode ser salva, porque cada vez que você mandar essa mensagem, um dólar será doado para o Fundo Baklaliviatatlaglooshenense Para Garotos Pernetas Manetas Órfaos e sem Bodes. Lembre-se, nós não temos nenhuma maneira de contar quantas
cartas foram mandadas e isso é tudo bobagem; então, mande para 5 pessoas nos próximos 47 segundos.
Ah, um lembrete - se você mandar acidentalmente para 4 ou 6 pessoas, você morrerá instantaneamente. Obrigado!
CORRENTE No.3
Olá! Esta corrente existe desde 1897. Isto é absolutamente incrível pois naquela época não existiam e-mails e crianças de 8 anos que inventavam correntes.
Entao, funciona da seguinte maneira. Passe para 15.067 pessoas nos próximos 7 minutos ou alguma coisa horripilante acontecerá com você, como aconteceu com essas pessoas:
- História de Terror Idiota #1
Miranda Pinsley estava voltando do colégio a pé no sábado. Ela tinha recentemente recebido esta carta e a ignorou. Então ela tropeçou numa pedra solta na calçada e caiu dentro do esgoto, e morreu. Isso pode acontecer com você!!!
- História de Terror Idiota #2
Dexter Bip, um garoto de 13 anos, recebeu uma corrente no seu e-mail e a ignorou. Mais tarde, no mesmo dia, ele foi atropelado por um carro e sua namorada também. Ambos morreram. As famílias dos dois estavam tão tristes que todos os seus parentes ficaram loucos e passaram o resto da vida num manicômio.
Isso pode acontecer com você!!! Lembre-se, você pode acabar como Pinsley e Bip. Simplesmente mande esta carta para todos os seus amigos fracassados, e tudo sairá bem.
CORRENTE No.4
Este é um poema que eu fiz. Mande para todos os seus amigos.
Amigos
Um amigo é alguém que está sempre ao seu lado,
Um amigo é alguém que gosta de você mesmo você sendo fedorento,
Um amigo é alguém que gosta de você mesmo você sendo horrivelmente feio,
Um amigo é alguém que te limpa depois que você se mijar nas calças,
Um amigo é alguém que fica com você toda noite enquanto você se lamuria sobre sua vida fracassada,
Um amigo é alguém que finge que gosta de você mesmo achando que você deveria ser atacado por um bode maluco e então ser atirado do topo de um prédio num monte de bosta.
Um amigo é alguém que limpa o seu banheiro, passa o aspirador, pega o cheque e vai embora. Não, desculpe, essa é a empregada.
Um amigo não é alguém que manda correntes porque ele quer que o seu desejo de ficar rico se realize.
Agora, passe isso adiante, senao você será comido por bodes selvagens.
CORRENTE No.5
Este e-mail é super legal! Ele começou pela Microsoft para testar seu programa de rastreamento de e-mail, porque, você sabe, uma empresa de software hi-tech grande como a Microsoft sempre manda seus programas novos e importantes para todos os idiotas que sabem operar um computador, certo?
E além do mais, ele fizeram uma parceria secreta com a Disney, que concordou em perder milhões de dólares para dar para todo mundo que ler este e-mail, passar adiante, olhá-lo, conhecer alguém que tenha lido, ser parente de alguém que seja amigo de alguém que o leu, UMA VIAGEM TOTALMENTE GRÁTIS para a Disneyland, DisneyWorld ou EuroDisney!
Então, passe isso para todos que você conhece que sejam ingênuos o suficiente para acreditar nisso. Mesmo que você perca todos os seus amigos porque eles estão cansados de receber de você cartas-corrente, você ainda tem a chance de ir pra Disney! E, caso você não mande esta carta, a Microsoft vai mandar seus bodes assassinos para destruir sua casa e comer sua família, entao MANDE ESTA CARTA!!!
CORRENTE No.6 AVISO DE VIRUS!!!!
Se você receber um e-mail entitulado "Badtimes", apague-o imediatamente. Não o abra! Aparentemente este é brabo. Ele não vai apenas apagar tudo que estiver no seu HD, mas também vai apagar todos os disquetes, CD-ROMs, Zip Disks e DVDs num raio de 20 metros de seu computador. Ele vai desmagnetizar todos os seus cartões de crédito, mudar sua senha no banco, estragar o tracking do seu videocassete e vai usar campos harmônicos sub-espaciais para arranhar todos os CD-s que você tentar ouvir. Ele vai mudar a temperatura do seu refrigerador para que seu sorvete derreta e seu leite talhe, e ele vai programar a discagem automática do seu telefone para que ele só ligue para sua sogra!
Muito cuidado! Passe isso para todos os seus amigos, parentes, vizinhos, família, inimigos, encanadores, lixeiros, acionistas, médicos, advogados, e quaisquer conhecidos! É para o próprio bem dele!
Obrigado!
CORRENTE No.7
Aqui está um lindo desenho que eu fiz:
(\ /)
( \ / )
( \ __ / )
( /<>\ )
(/ \/ \)
/ \ __
( ) ( )
~~~~
é um anjo decapitado. Mande ele para todos os seus amigos para iluminar o dia deles, assim como iluminou o seu! Se você nao mandar, bodes possuídos pelo demônio vão se mudar para sua casa e comer todas as suas meias, fazendo você pensar que alguma coisa está errada com sua máquina de lavar, porque suas meias sempre desaparecem. Tenha um bom dia!
Obrigado por ler!
Lembre-se, a moral da história é: se você receber uma corrente, ignore-a. Se for uma piada ou algo assim, mande-a, claro, mas se for fazer as pessoas sentirem-se culpadas (como o menino de Baklaliviatatlaglooshen) ou nervosas (como Miranda Pinsley que caiu no esgoto), simplesmente apague-a.
Faça um favor a si mesmo, a todos os outros habitantes do mundo, e diga:
"MORTE ÀS CORRENTES!!"
P.S. Vamos fazer uma corrente pedindo o fim das correntes! Mande esse e-mail para todo mundo que você conhece. Senão...olha o bode..."
Com o constante crescimento dos malwares para Windows, especialmente trojans que atacam contas bancárias no Brasil, tem se discutido sobre o uso indiscriminado de direitos administrativos nas instalações Windows em geral, até por que isso é default. Tem dois artigos interessantes do Mark Russinovich da Sysinternals. Um fala sobre rodar como um usuário limitado e o outro, sobre a elevação de privilégios quando o usuário está no grupo power users.
Este é um estudo interessante sobre quebra de senhas, comparando senhas de diversas complexidades com diferentes técnicas e poder de processamento para quebrá-las.
O OWASP ( Open Web Application Security Project) é uma iniciativa dedicada a encontrar e combater as causas do software inseguro, produzindo ferramentas, padrões e documentação gratuitas e open-source. Recentemente foi fundado o capítulo Brasil do OWASP que já conta com a participação de diversos profissionais da área. O capítulo está trabalhando inicialmente na tradução da documentação, incluindo o TOP 10 e o Guide. Quer participar ? Assine a mail list do capítulo e ajude a tornar o software mais seguro.
Foi lançado o site Antispam.br -- http://www.antispam.br/
O site é uma fonte de referência sobre o combate ao spam, suas implicações e formas de prevenção. Está dividido em duas áreas distintas, uma para usuários e outra específica para administradores de redes.
Este site é uma iniciativa da Comissão de Trabalho Anti-Spam (CT-Spam), do CGI.br, que tem como missão propor e coordenar uma iniciativa nacional contra o abuso no envio de e-mails não solicitados, articulando um conjunto de ações que possa mobilizar os diversos atores relevantes envolvidos no tratamento desse problema.
O Comitê Gestor da Internet no Brasil (CGI.br) está iniciando junto com este site uma campanha: "Estimule o uso cada vez mais saudável, correto e seguro das redes ligadas à internet!".
Para participar basta ter um portal, site, blog ou intranet e colocar os banners da campanha com um link para http://www.antispam.br/. As informações para adesão estão disponíveis em: http://www.antispam.br/campanha/
Por trás de um grande software, sempre uma história interessante. A do Firefox não podia ser diferente. Confira neste blog do Ben Goodger, lead engineer do projeto.
Essa questão deve render algumas boas discussões: É possível criar um worm (ou um vírus) com propósitos benéficos ? Esta matéria da SecurityFocus traz o assunto a tona novamente. Recomendo antes a leitura desse texto de 1994, assinado pelo pesquisador de anti-vírus da universidade de Hamburg, Vesselin Bontchev. Na versão 2006, David Aitel da empresa Immunity, afirmou na conferência Black Hat Federal em sua apresentação "Nematodes" (disponível aqui) sobre a utilização de um worm para scanear redes corporativas além da sub-rede local, dando ao administrador desta rede a habilidade de transformar cada host em um scanner em potencial.
O colega Fernando Lima postou esta dica na CISSPBR:
A Módulo publicou em seu portal alguns artigos bem interessantes e didáticos sobre as normas ISO/IEC 17799 (versão 2005) e ISO/IEC 27001.
Mediamax: 25 Gigabytes de armazenamento, com limite de trafego mensal de 500Mb. Isso é gratis. Tem planos pagos para mais espaço ou mais tráfego. Boa !
Peguei este post no Digg: Uma compilação de papers sobre segurança em computadores, publicada no NIST. Veja a descrição original: "This list of papers was initially distributed on CD-ROM at NISSC '98. These papers are unpublished, seminal works in computer security. They are papers every serious student of computer security should read. They are not easy to find. The goal of this collection is to make them widely available. This list was compiled by the Computer Security Laboratory of the Computer Science Department at the University of California, Davis."
Como diz no texto, "todo estudante sério de segurança de computadores deve ler".
O Anti-Spyware Coalition, grupo composto pela McAfee, Symantec, Yahoo, F-Secure, Microsoft, Lavasoft, CA, HP, Dell, entidades academicas, etc, que tem como objetivo construir um consenso sobre o que é Spyware e quais as melhores práticas contra eles, publicou uma série de documentos para Modelagem de Risco, Definições, Glossário, Dicas de Segurança e Instruções para fabricantes que tem sido acusados de distribuir spyware para que possam limpar seu nome. Guarde no seu bookmark do del.icio.us para referencia :)
Adotei estas resoluções de ano novo, publicadas originalmente no BBspot
| 11. | I will not start playing any video game after 2 am. |
| 10. | I will read a book that's neither sci-fi nor fantasy. |
| 9. | I will only make insightful, relevant posts in forums. |
| 8. | I will spend more of my waking hours away from the computer than on it. |
| 7. | I will stop correcting friends when they refer to Star Trek as Star Wars and vice versa. |
| 6. | I will only patch my software when I need to. |
| 5. | I will not make any expensive hardware upgrades just to get a 5% performance increase. |
| 4. | I will not talk about my awesome computer system at non-geek social events. |
| 3. | I will only blame Bill Gates for things that are actually his fault. |
| 2. | I will always show tolerance for people who don't know the difference between memory and hard drive space. |
| 1. | I will not deface your website just because you disrespected my level 60 Night Elf druid. |
Ja pensou como seria o mundo sem internet ? Já pensou como seria a sua vida sem a internet ? Melhor talvez ? Confira esta fábula.
Donkey Kong, Space Invaders, 1942, Galaxian, Circus Charlie, Hyper Sport, Pacman, Green Beret, Frogger, Gun Smoke. Arcade, Nintendo e outros.. Quer mais ? Tem muito mais aqui. Emulação direto no seu browser, em Java.
Uma visão interessante e bem humorada da evolução das vulnerabilidades está no blog do colega Augusto Paes de Barros. Confira !
Feliz 2006. Começamos bem...
Tanto a F-Secure quanto SANS Internet Storm estão recomendando um procedimento a ser efetuado ASAP, antes do release do patch oficial, devido a gravidade da situação.
Maiores informações nos Links do Sans Internet Storm e no blog
da F-Secure, mas para os apressados, segue um resumo:
1. "des-registre" a DLL do windows para "Picture and Fax Viewer":
Start, Run, "regsvr32 -u %windir%\system32\shimgvw.dll" (sem as aspas)
Clique em OK
(Para *desfazer*, no futuro, utiliza o comando “regsvr32 %windir%\system32\shimgvw.dll” )
2. Aplique o patch nao oficial, feito pelo Ilfak Guilfanov, autor do IDA Pro e provavelmente um dos maiores experts no mundo programação baixo-nível em Windows.
Não subestime esse problema. Leia o histórico e aplique as recomendações imediatamente.
Já está disponível no site da ABNT a consulta nacional da futura norma ABNT NBR ISO/IEC 27001. Este processo é a ultima parte do Projeto de revisão de Norma, onde sugestões de correção podem ser enviadas pelo público em geral.
A ISO/IEC 27001 é a norma de Sistemas de Gestão de Segurança da Informação, e substitui a BS-7799 parte 2. Seu uso está diretamente relacionado a ISO/IEC 17799:2005, publicada em agosto de 2005 e que já pode ser adquirida no site da ABNT.
A ABNT é a única instituição nacional autorizada a representar a ISO no Brasil. O CB 21 é o comitê técnico para Computadores e Processamento de Dados e revisa diversas normas, entre elas a ISO 17799, ISO 15408 e a série ISO 27000, etc. O comitê se reune trimestralmente em São Paulo e está aberto a quem quiser colaborar. Caso você tenha interesse, me envie um e-mail para maiores informações.
