Blog do Miranda

O jogo FarmVille, muito popular entre usuários do Facebook, é colocado pela Cisco Systems Inc. como um importante fator de risco para empresas, por ser uma porta de acesso para hackers à rede interna das corporações.

De acordo com o relatório semestral da Cisco, publicado esta semana, foi descoberto que 7% de uma mostra populacional que utiliza o Facebook passa em média 68 minutos por dia jogando FarmVille. A lista segue com os jogos Mafia Wars e Café World como segundo e terceiros colocados, respectivamente, no ranking de mais jogados.

O estudo ainda discute mais questões de segurança em mídias sociais, virtualização, computação em nuvem e aparelhos móveis. Além disso, a corporação dá dicas para outras empresas sobre como controlar melhor o acesso de seus funcionários a conteúdos que oferecem risco.

A Cisco Systems trabalha no desenvolvimento de equipamentos de segurança para redes e sistemas e lembra da importância de um controle das páginas visitadas pelos funcionários, que estão sempre tentando – e conseguindo – driblar as restrições da empresa a certas páginas, principalmente as de redes sociais.

Fonte: Terra Notícias

Barnaby Jack fez com que máquinas despejassem notas e ainda obteve dados de cartões de crédito de pessoas que já as haviam utilizado.

Barnaby Jack conseguiu um jackpot na Black Hat (conferência de segurança digital) na última quarta-feira (28/07). Duas vezes. Ao explorar falhas em duas máquinas ATM (caixas eletrônicos) diferentes, o pesquisador da IOActive foi capaz de extorquir dinheiro dos aparelhos e obter dados dos cartões de créditos de clientes que a utilizaram.

O hacker demonstrou sua habilidade em dois dispositivos adquiridos por conta própria – daqueles usualmente encontrados em bares e lojas de conveniência. Criminosos já vêm utilizando tal tática há anos, contratando profissionais para descobrir senhas de cartões ou, às vezes, simplesmente roubando as máquinas  a fim de levá-las a um local mais seguro onde a mesma ação será colocada em prática.

Segundo Jack, no entanto, existe uma maneira ainda mais fácil para explorar o sistema: delinquentes podem se conectar ás máquinas simplesmente contatando-as com um telefone. Ele acredita que grande número delas pode ser controlada remotamente a partir de um simples telefonema.

Depois de experimentar com seus próprios aparelhos, Jack desenvolveu um método para derrubar o sistema de autenticação remota e instalar uma praga virtual também feita por ele. Batizada de Scrooge, ela torna possível a substituição do firmware do dispositivo. Mas, Jack não parou por aí: ele construiu um software de gerenciamento online, que lhe permitia manter contato com as máquinas infectadas, de modo a continuar a coletar os dados das pessoas que as utilizavam.

Criminosos poderiam encontrar caixas eletrônicos vulneráveis a partir do software open-source desenvolvido, fazendo com que ele ligasse para inúmeros aparelhos e apenas esperando a reposta daqueles que já estariam infectados. É uma tática parecida com aquela já utilizada para entrar, a partir da internet, no sistema de computadores responsáveis por transações comerciais.

Causa nobre
De acordo com Jack, sua demonstração foi só uma forma de provar o quão vulneráveis são os caixas eletrônicos. “O objetivo de meus atos é iniciar uma discussão sobre as melhores formas para corrigir o problema”, afirma. “Chegou a hora desses dispositivos serem atualizados. As companhias que os fabricaram não são a Microsoft; elas não sofreram dez anos de ataques contínuos”.

As máquinas as quais Jack infectou, no entanto, são baseadas em um sistema operacional da gigante dos softwares, o Windows CE.

Em uma convincente performance durante sua palestra na Black Hat, o hacker se conectou a um caixa eletrônico e executou o programa denominado Jackpot. O que se viu a seguir foi uma quantidade significativa de notas saindo do aparelho ao mesmo tempo que a palavra “Jackpot” era exibida em sua tela.

Na segunda parte, Jack caminhou até o dispositivo, invadiu seu sistema com uma senha obtida na internet e instalou seu firmware. Ele diz que uma simples chave pode abrir diversos caixas eletrônicos, ou seja, mais um problema de segurança dos mais preocupantes.

O curioso é que Jack havia planejado a palestra para a conferência do ano passado, mas, foi convencido por vendedores de caixas eletrônicos a adiar suas revelações. Eles pensavam que, com mais tempo, poderiam corrigir as falhas descobertas pelo hacker.

Fonte: IDG Now

Segundo a Barracuda, líder do setor apresenta 69% de seus resultados com algum tipo de código malicioso. Yahoo vem em segundo, seguido do Bing.

Uma pesquisa feita pela empresa de segurança Barracuda Networks sobre as segurança dos buscadores na internet demonstrou que o Google, líder deste mercado, é o mais utilizado para a distribuição de códigos maliciosos. Ou seja, quanto mais acessado, mais um site de pesquisas é usado para ataques de crackers.

O estudo focou no rastreamento dos resultados oferecidos por Google, Yahoo, Bing e Twitter para 25 mil termos populares, com análises de páginas em busca de malwares. E 69% dos resultados do Google traziam algum tipo de código escondido, contra 18% do Yahoo, 12% do Bing e 1% do Twitter.

Em resposta à pesquisa, o Google afirmou que vem trabalhando arduamente para identificar sites com malwares ou que tragam armadilhas que venham a prejudicar a qualidade de seus produtos de qualquer outra forma.  A empresa afirma ainda que, assim que são detectados, tais ameaças são imediatamente apagadas das listas de busca.

Fonte: IDG Now

As represálias de ex-funcionários contra seus empregadores são o motivo de maior preocupação para 75% dos gerentes de TI. É o que aponta o 12° estudo anual da Ernst & Young sobre Segurança da Informação.

A pesquisa, realizada com 1,9 mil empresários e diretores da área de comunicação de mais de 60 países, inclusive o Brasil, mostra que, dos 75% citados, 42% estão trabalhando para entender melhor os potenciais riscos que esta situação traz e 26% já estão tomando atitudes que possam minimizar a ameaça.

Apenas 7% disseram que o risco existia, mas medidas já foram tomadas e o risco foi mitigado, enquanto que 1/3 dos entrevistados afirmou estar “muito preocupado” com essa questão.

Além disso, 44% dos entrevistados disseram ter um sistema de gestão de segurança da informação ou estar implementando um, enquanto 32% estão avaliando a possibilidade de adotar uma solução dessa natureza.

Quando questionadoss como a gestão de riscos vem sendo tratada pelas empresas, 50% responderam que estão gastando mais verbas, enquanto 39% estão gastando o mesmo. Apenas 5% gastaram menos verba no setor, sendo que 6% não responderam.

Das empresas entrevistadas, 41% notaram um aumento nos ataques externos em seus sistemas, e 25% observaram aumento nos ataques internos – aqueles provocados por seus próprios funcionários, como abuso de privilégios e roubo e venda de informação.

No entanto a maior percentagem é ainda de empresas que não viram alterações nos números de ataques, 44%.

No Brasil, a tendência é similar à observada no restante do mundo: os respondentes brasileiros destacaram aumento das ameaças, sejam elas de origem externa (ataques aos sites, phishing) e ou interna (roubo de dados, abuso de privilégios, etc).

Devido ao aumento da ocorrência de vazamento de dados, a proteção de implementar ou aprimorar tecnologias nesse sentido é a segunda maior prioridade nos próximos 12 meses, destacada por 40% dos respondentes como um dos três temas centrais.

De acordo com a consultoria, um dos dados mais interessantes da pequisa se refere ao fato de que poucas companhias estão criptografando dados dos laptops: apenas 41%.

A pesquisa completa está disponível no link relacionado abaixo.

– Ernest e Young

Fonte: Site Baguete

Por muito tempo, a segurança de TI foi encarada como uma preocupação fácil de ser resolvida. Afinal, basta colocar sistemas de bloqueio perimetral e as informações estavam seguras dentro de casa, não é verdade? Isto significava que bastava bloquear o acesso e nada iria vazar. Mas o mundo hoje é 2.0. As pessoas e empresas passaram a valorizar a interação, a agilidade do tempo real e a mobilidade. E o que fazer com sites de relacionamento, blogs, webmails, gravadores de CD, ou mesmo pen drives. E como fica a mobilidade dos colaboradores?

Chegar a um ponto de equilíbrio é uma das tarefas mais difíceis do CIO. E ainda, ele tem que acompanhar o ritmo com que a tecnologia evolui, muda e se atualiza.

Existem inúmeras novas ofertas em segurança. Por isso, vejo no curto e médio prazo um grande aumento da procura por serviços de consultoria. A busca por especialistas que poderão avaliar e indicar as melhores soluções para cada realidade, porque há um mar de opções que são uma verdadeira sopa de letrinhas: SGSI, DLP, GRC, Cloud Computing, Serviços Gerenciados, SOC, entre outros.

A mais famosa, que tem inundado os noticiários, é cloud computing ou computação em nuvem. Trata-se de uma tecnologia que permite que por meio da internet os consumidores não precisam se preocupar com aquisição de equipamentos de alta performance e tampouco necessitam comprar licenças de software. Mas se os arquivos e aplicativos ficam na “nuvem” como garantir que as informações não serão extraviadas?

O cloud computing possui características únicas que exigem análise dos riscos, recuperação e privacidade, compliance e auditoria de dados. Para garantir ainda mais a tranqüilidade, os clientes devem saber muito bem que tipo de informação pode ser utilizada nesta tecnologia, em quem confiar como provedor deste serviço e quando é o momento certo de colocar dados na nuvem para resguardar sua segurança.

Outras ferramentas, ainda não tão famosas, devem ganhar cada vez mais destaque e irão impactar na gestão e no orçamento das companhias no próximo ano. Conheça um pouco mais sobre elas:

– SGSI ou Sistema de Gestão de Segurança da Informação: é o resultado de um conjunto de processos, diretrizes, políticas, procedimentos e outras medidas administrativas. Envolve a análise de riscos para a segurança da informação e identifica os pontos fracos e as falhas nos sistemas que deverão ser corrigidos, detectando e respondendo à incidentes de segurança e procedimentos para auditorias.

– DLP ou Data Loss Prevention: é um componente essencial na estratégia de segurança de todas as companhias. Este sistema é projetado para detectar e prevenir a utilização não autorizada e a transmissão de informações confidenciais. Ele identifica, monitora e protege os dados em uso, em movimento e em repouso por meio de inspeção de conteúdo. Sem a necessidade de um bloqueio indiscriminado de um tipo específico de arquivo.

– GRC ou Governança, Risco e Conformidade: gerir de forma unificada as vulnerabilidades e analisar a aderência aos regulamentos, políticas e normas – como SOX, ISO, Basiléia, PCI DSS, entre outras -, gera métricas e informações detalhadas dos processos de negócio, operações, frameworks e metodologias.

– SOC ou Centro de Operações de Segurança: tem a missão de administrar a análise de riscos por meio de recursos combinados como equipe de profissionais, hardware dedicado e software especializado, antecipando as ameaças e protegendo os clientes das suspeitas de ataques. O SOC consiste em monitorar a atividade de firewall, IDS – Intrusion Detection System –, antivírus, vulnerabilidades individuais e serviços de gestão de logs. Além disso, orienta os usuários a atenderem as principais regulamentações de segurança em vigor.

– Serviços gerenciados: possibilitam a definição de processos de relacionamento com terceiros e o gerenciamento das expectativas de entrega com métricas claras. Com isso, as equipes de TI são reduzidas e o serviço protege as informações vitais da empresa. Além disso, monitora e gerencia a rede mantendo o ambiente com níveis elevados de segurança, identificando e corrigindo vulnerabilidades.

Com todas essas novidades, o movimento de compra e venda de empresas da área de segurança vai continuar em 2010, segundo dados do Gartner. A consultoria estima que o mercado em 2010 ultrapasse a casa dos US$ 16 bilhões. Em compensação, neste ano, a receita mundial deverá ficar em US$ 14,5 bilhões, um aumento de 8% em relação a 2008.

Segurança da informação está deixando de ser um custo para se tornar um gasto consciente. Isto significa que mais e mais empresas percebem sua importância para a continuidade do negócio e estabelecem comitês cujos representantes respondam por diferentes áreas de uma organização, já que os riscos são iminentes a todos. Talvez, ainda haja um árduo caminho para que segurança seja encarado como investimento, mas já estamos dando os primeiros passos neste sentido.

Fonte: Site Baguete

 Procergs acaba de desenvolver um sistema de certificação digital com valor jurídico para ser utilizado pelo Instituto Geral de Perícias (IGP) que começa a ser utilizado na próxima semana pelo órgão.

A estrutura da autoridade certificadora e do sistema de repositório conhecido como RDA ou repositório de documentos assinados foi desenvolvido pela Procergs em parceria com a Autoridade Certificadora do Rio Grande do Sul (AC-RS).

Com a novidade, o governo do estado pretende, não ter mais necessidade de emitir documentos em papel, passando tudo para a mídia eletrônica gradualmente.

Fonte: Site Baguete

Por que a ação mais simples de ser tomada para contribuir efetivamente com a segurança da informação é ignorada por grande parte dos usuários (e administradores de rede)?

Alguns dias atrás o assunto era o vazamento das senhas de 30.000 contas dos usuários do Hotmail, Gmail e Yahoo. Esta notícia deixou em alerta os especialistas em segurança que puderam constatar através de uma pesquisa realizada pelo consultor Bogdan Calin que grande parte das contas invadidas, possuía senhas fracas, fáceis de serem descobertas por meio de softwares de força bruta.

O que mais chama a atenção, não é apenas o fato destas empresas conceituadas admitirem a falha, pois são empresas visadas para este tipo de ação, e certamente há inúmeras outras tentativas onde os hackers não obtiveram êxito. O que assusta é a quantidade de usuários que não possuem a menor preocupação em criar e manter uma senha segura para acesso aos seus perfis pessoais, e-mails e demais serviços. De acordo com a pesquisa, das 10.000 contas analisadas, aproximadamente 9.800 eram válidas. Entre as principais características destas senhas estão repetição do nome do usuário na senha, seqüências numéricas óbvias entre seis a oito dígitos e a ausência de combinações de letras maiúsculas e minúsculas, números e caracteres especiais.

Agora, você imagina que isso ocorre apenas com as pessoas no seu uso pessoal e doméstico dos serviços da Internet? Engano!!!

Constantemente identificamos esse mesmo comportamento no ambiente corporativo, e isso não se restringe apenas a alguns funcionários de departamentos específicos, mas em todos os níveis, desde o operador de máquina no chão da fábrica, até aos altos executivos que possuem informações valiosas para os negócios da empresa, criando uma bolha de insegurança, muitas vezes com impactos não mensurados, caso haja uma violação de segurança.

A falta de uma política de segurança que determine formalmente as regras para criação e manuseio das senhas e de controles que obriguem os usuários a seguirem exatamente estes requisitos são as principais razões para a ocorrência deste tipo de violação que encontramos constantemente e abrem as portas para as mais diversas ameaças, que vão desde um acesso indevido a algum recurso da rede, até a manipulação de informações sensíveis aos negócios da empresa.

Elaborar políticas com os procedimentos para criação e uso das senhas em conjunto com controles que garantam a aplicação destas regras são passos fundamentais que devem ser estabelecidos pelo gestor da segurança da informação e a equipe de TI, mas sem o treinamento devido, a divulgação adequada e o apoio dos usuários, nenhum procedimento ou tecnologia será suficiente para impedir o avanço destas ameaças para dentro das organizações.

Portanto neste ano de 2010 com grandes expectativas de crescimento econômico para diversos setores de nosso país, que cada um colabore com sua empresa, nem que seja num ato simples como este: diG1T@nd0 uMa $eNh@ segura.

Fonte: Site Baguete

O Bradesco prepara-se para adoção de um sistema de biometria para identificação de clientes em terminais de autoatendimento, os chamados ATMs.

Com isso, será desnecessário o uso de senhas nos terminais: para usar os serviços, bastará o cliente se identificar pela palma da mão.

O método está em fase de testes e, segundo o vice-presidente de Tecnologia do Bradesco, Laércio Albino Cezar, já foi comprovado como “100% seguro”.

A biometria pela palma da mão já está em uso em 2038 agências da instituição financeira, que têm 10.340 máquinas com dispositivos compatíveis.

Cerca de 1,5 milhão de clientes já foram cadastrados no novo sistema, tendo realizado, só em novembro, três milhões de transações.

Fonte: Site Baguete

A Gold Lock, especializada no segmento de criptografia celular, acaba de anunciar o campeonato mundial de decriptação telefônica que premiará com US$ 100 mil em ouro e um cargo na companhia. 

O desafio propõe ao público fazer a transcrição de uma conversa por telefone, com duração de 10 minutos, gravada pela empresa.

Para participar, os interessados devem baixar a conversa decriptada acessando o link relacionado abaixo e enviar para a  empresa a transcrição até 01 de fevereiro de 2010.

O participante está livre para usar qualquer ferramenta ou tecnologia que tenha a disposição.

“Por cerca de oito anos, nós temos falado aos nossos clientes que os nossos algoritmos de criptografia são inquebráveis, essa é a chance de provar que estamos errados. Porém, estou 100% confiante de que o premio não será dado, não importando os seus níveis de habilidade”, afirma Noam Copel, CIO da empresa.

Fonte: Site Baguete

– Criptografia Gold Lock

A Microsoft confirmou uma vulnerabilidade no Windows 7, ainda não corrigida.

Através de um boletim de segurança, a empresa de Redmond reconheceu o problema no Server Message Block (SMB), que poderá ser usado por hackers para atacar tanto o Windows 7 quanto o Windows Server 2008 R2.

Tanto o SMBv1 como o SMBv2 são afetados pela falha. Windows Vista, Server 2008, XP, Server 2003 e 2000 estão fora de perigo.

Como solução provisória, a Microsoft sugere que os utilizadores bloqueiem as portas TCP 139 e 445.

Fonte: Site Baguete