Virtualização: VMware ou VirtualBox no Ubuntu 9.04 com kernel 2.6.29-11

Atualmente muito vem se falando de virtualização, não apenas em servidores, mas de aplicações desktop também. É muito mais tranquilo virtualizar um outro SO para rodar uma determinada aplicação que precisamos do que rodar em dual boot. Para isso, temos o VMware que é o mais utilizado em desktop, dentre outras ferramentas (VirtualBox, XEN, QEMU e etc).

Essa semana decidi baixar e instalar o Ubuntu 9.04. Qual não foi minha surpresa ao encontrar imensa dificuldade em instalar o VMware? Coisa tão tranquila no Ubuntu 8.04 (mas pelo que sei, também não instalava tão bem assim no 8.10).

Utilizei a versão VMware Server 2.0 (que é gratuita) para testar a instalação e virtualizar algumas aplicações do "Windoze" e uma outra distribuição Linux (BackTrack BETA 4). Para baixar o VMware: http://www.vmware.com/download/server/

Segui os seguintes passos, começando pela verificação de meu kernel:

# uname -a

Que retornou "Linux server 2.6.29-11"


Daí comecei a instalação dos headers do kernel:

# apt-get install linux-headers-2.6.29-11


Depois disso, foi necessário instalar o conjunto de compiladores básicos:

# apt-get install build-essential


No Ubuntu, precisei criar manualmente o link "/usr/src/linux" (coisa que muito provavelmente não precise fazer em outras distribuições), apontando para a pasta referente à versão instalada. Para isso, acessei a pasta "/usr/src" e rode o comando "sudo ln -sf linux-headers-2.6.*-* linux", como em:

# sudo ln -sf linux-headers-2.6.29-11-server linux


Nesse ponto, foi necessário instalar um conjunto de bibliotecas que o VMware precisa para a parte gráfica:

# apt-get install libx11-6 libxtst-dev libxt-dev libxrender-dev libxtst6 libxt6 libxrender1 libxi6 libdb3


Pronto, tudo o que preciso (nesse momento pelo menos) está instalado.

Baixei, depois de tudo isso, os seguintes arquivos:

- VMware-server-2.0.0-122956.i386.tar.gz
- vmware-update-2.6.27-5.5.7-2.tar.gz (http://www.insecure.wa/warehouse/vmware-update-2.6.27-5.5.7-2.tar.gz)


Nesse ponto foi onde comecei a instalação propriamente dita:

# tar -zxvf VMware-server-2.0.0-122956.i386.tar.gz
# cd vmware-server-distrib
# ./vmware-install.pl

Segui instalando normalmente, respondendo "yes" à todas as perguntas. E quando cheguei na seguinte mensagem:

Before running VMware Server for the first time, you need to configure it by invoking the following command: "/usr/bin/vmware-config.pl". Do you want this program to invoke the command for you now? [yes]


Digitei "no" para interromper a instalação.

Após isso, precisei fazer o seguinte:

# cd /usr/lib/vmware/modules/source
# tar -zxvf vmmon.tar
# vi source/vmmon-only/include/compat_kernel.h

E nesse ponto foi necessário realizar a alteração do arquivo que abri no vi. As alterações são as seguintes:

De:

#define __NR_compat_exit __NR_exit
static inline _syscall1(int, compat_exit, int, exit_code);

Para:

#define __NR_compat_exit __NR_exit
#if LINUX_VERSION_CODE < KERNEL_VERSION(2,6,29)
static inline _syscall1(int, compat_exit, int, exit_code);
#endif


Salvei o arquivo e saí do vi (:wq). E então executei os seguintes comandos para reconstruir o pacote:

# mv vmmon.tar vmmon.origin.tar
# tar cvf vmmon.tar vmmon-only


Então, retornei ao diretório onde estava meu arquivo vmware-update-2.6.27-5.5.7-2.tar.gz e executei os seguintes comandos:

# tar -zxvf vmware-update-2.6.27-5.5.7-2.tar.gz
# cd vmware-update-2.6.27-5.5.7-2
# ./runme.pl


Prossegui com a instalação normalmente, informando tudo o que foi solicitado (normalmente as opções default são as corretas) e então o script compila a biblioteca vmmom que alterei, já com as informações corretas.

Após terminada a instalação, não havendo nenhum erro, executei:

# vmware



E como o comando foi executando corretamente, entrei no navegador (já que achei estranho não haver o vmware-console, como nas versões anteriores). No navegador digitei https://localhost:8333/

O mesmo solicitou o nome do usuário e senha: usuário root e senha [senha-do-root].

Lembrando que o Ubuntu não define a senha de root por padrão, bastando digitar no terminal:

# passwd root

e então redefinir a senha de root.


Pronto! Agora consegui acesso ao gerenciador remoto de máquinas virtuais! Criei duas máquinas virtuais e qual não foi minha surpresa ao ver o seguinte erro no console remoto ao carregar minhas máquinas virtuais: "Failed to initialize monitor device".

Bem, depois disso tudo, consegui descobrir que o vmware-server-2.0 só possui console remoto (nesse ponto, sua versão anterior é mais tranquila, pois você trabalha com o console local, instalando o vmware-server-console), e que no kernel mais atual o vmware, na versão 2.0 tem problemas com o módulo vmmon do kernel. Foi um trabalho para chegar até aqui e ainda tenho que descobrir como resolver a questão do módulo vmmon!

Enquanto isso, decidi fazer um teste para não ficar órfão. Como já tinha usado o VirtualBox no Windoze antes, decidi testá-lo no Linux; o problema é que no windoze tive problemas na conexão de rede entre as máquinas virtuais. Porém, qual não foi minha surpresa em descobrir que no VirtualBox para Linux o modo bridge de rede é padrão?! Isso facilitou demais minha vida, sem contar que a instalação foi super tranquila.

Baixei a versão .deb para o Ubuntu 8.10 aqui: http://download.virtualbox.org/virtualbox/2.1.4/virtualbox-2.1_2.1.4-42893_Ubuntu_intrepid_i386.deb

Já no tamanho vemos a diferença: 32mb do VirtualBox contra mais de 500mb do VMware Server.

Depois de baixar, bastou dar dois cliques no pacote .deb e a instalação foi realizada, de forma simples e indolor!

Bem, no momento estou usando o VirtualBox, feliz da vida, mas ainda com um gosto amargo na boca, resquício da luta com o VMware. Mas aguardem, em breve resolvo o problema do módulo vmmon e posto aqui a solução!

Vamos à luta!

Resenha do livro "Praticando a Segurança da Informação"

"Praticando a Segurança da Informação - Orientações práticas alinhadas com Norma NBR ISO/IEC 27002, Norma ISO/IEC 27001, Norma NBR 15999-1, COBIT, ITIL", de Edison Fontes - Editora Brasport

Atualmente, a Segurança da Informação é um termo tão em voga, que muitas pessoas falam sobre o assunto, e no entanto não possuem arcabouço técnico e vivencial para aprofundar-se no mesmo e realizar uma digressão com segurança e maestria. Com mais de dez anos de prática na área de TIC, poucas vezes vi um livro tão profundo e pragmático no campo da Segurança da Informação como o "Praticando a Segurança da Informação", de Edison Fontes - Editora Brasport.

O que é mais interessante, é que o autor não se atém única e exclusivamente à teoria da Segurança em TI, mas procura propor formas de implementação de políticas de segurança, alinhadas às normas NBR ISO/IEC 27002 e 27001. NBR 15999-1, COBIT e ITIL, facilitando o processo através da utilização das ferramentas de boas práticas que tais normas oferecem ao ambiente de gestão organizacional.

Esses motivos apresentados acima darão a entender, resumidamente, os motivos que me levaram a escolher esse livro para escrever uma resenha. Além dos já citados, confesso que tenho dificuldades em encontrar no mercado editorial, bons livros em português acerca do assunto, ainda mais um que aborda a teoria e a prática da implementação de políticas de segurança concomitante as normas com maior reconhecimento no mercado de TI em todo o mundo.

A organização dos temas no livro segue uma lógica bem estruturada, que permite o leitor compreender os fundamentos da SI (Segurança da Informação), os parâmetros que definem suas aplicações, instrumentos de controle e aferição, além das normas citadas acima e os planos de continuidade do negócio. A estrutura dos temas nos oferece uma leitura tranquila, compreensível e sem jargões que dificultam a compreensão do iniciante na área ou uma abordagem superficial que frustraria o leitor mais experiente.

No início de cada capítulo, o autor faz referência às Normas ISO, COBIT e ITIL que possuem ligação com o conteúdo do referido capítulo. Como as normas dizem apenas o que fazer, mas não ensinam como, o autor nos dá em todos os capítulos do livro ferramentas que possibilitam a execução prática do que as normas se referem.

Tudo isso possibilita facilitar as atividades de quem é responsável pela implementação, gestão e manutenção dos processos da segurança da informação.

Nos três primeiros capítulos, o autor Edison Fontes, aborda a questão da Gestão da Segurança da Informação, parceiros e processos de apoio, onde os aspectos básicos e os que estão ao derredor dos processos de gestão da segurança da informação são delineados e suas correlações ficam mais claras, facilitando a compreensão do modo como um afeta o outro.

No quarto capítulo, a questão levantada é a continuidade do negócio. Frente às emergências, desastres e indisponibilidade do negócio e processos envolvidos, o profissional precisa ser capaz de lidar com as contingências de forma que o elo de disponibilidade da segurança da informação seja restabelecido. Nesse capítulo, o autor faz colocações acerca da necessidade de haver um plano de continuidade do negócio e sua constante reavaliação através de testes periódicos para descobrir se o mesmo permanece atual, de acordo com a política de segurança e as necessidades da organização.

Os capítulos de 5 ao 10 são dedicados às questões sobre a privacidade das pessoas, a pessoa como parte integrante do processo de implementação, manutenção e gestão da política de segurança da informação, classificação e o acesso à informação. O aspecto da privacidade de um membro da organização sujeita a uma política de segurança da informação, é um tema discutido em todo o mundo, pois as facetas legais envolvidas são variadas. Até que ponto deve existir a privacidade e onde a empresa pode e deve implantar controles que são essenciais para a política de segurança? Essa discussão leva-nos, também, às situações de empresas e organizações que utilizam os dados pessoais dos indivíduos que interagem com a mesma. Tudo isso é abordado no quesito privacidade. A continuidade do assunto é justamente a necessidade da conscientização das pessoas para os perigos, aspectos e necessidade dos processos de segurança, e até que ponto o indivíduo é responsável e precisa atuar em conjunto com a organização para mitigar os riscos e auxiliar na gestão da política.

E quando fala sobre conscientização, o autor também aborda a classificação das informações, a validação e autenticação. Quem pode acessar o quê, quem não pode, o que é confiável e o que não é, são assuntos importantes que toda organização deve controlar, para que os pilares de integridade e confidencialidade não sejam conspurcados, atrapalhando processos e gerando dúvidas quanto a capacidade organizacional de manter suas informações e de seus clientes à salvo de acesso e alterações não autorizadas.

Um auxílio encontrado no capítulo 9, por exemplo, é a orientação para aqueles profissionais que repentinamente encontram-se nomeados para um cargo que não pensavam ocupar ou que possuem pouca experiência no assunto: Information Security Officer. Nesse capítulo, estão delineadas as funções básicas do cargo, são elas:

• Fazer acontecer a segurança;
  
• Buscar soluções adequadas à realidade da organização;
  
• Estruturar o processo de segurança;
  
• Trabalhar em paralelo com a auditoria;
  
• Saber por onde começar.

E aborda também as ações que devem ser seguidas na atuação profissional:

• Conhecer teoria e conceitos fundamentais;
  
• Não se frustrar por não conhecer tudo;
  
• Saber que o objetivo é a organização;
  
• Não ser o responsável pela segurança;
  
• Estar em conexão com o mundo;
  
• Unir ética com responsabilidade;
  
• Buscar associações de profissionais.

É justamente nas mãos desse profissional que recaem as responsabilidades da gestão da segurança da informação, e algumas das ações que o autor coloca como importantes para serem tomadas visando o sucesso são:

• Definição e implantação de um processo;
  
• Existência do processo de segurança por causa do negócio;
  
• Identificação do nível adequado de segurança;
  
• Consideração dos ambientes de tecnologia e convencional;
  
• Comprometimento do usuário;
  
• Patrocínio explícito e verdadeiro da direção;
  
• Responsabilidade pelo processo de segurança da informação.

No capítulo 11, encontramos informações sobre os riscos inerentes à existência de qualquer organização, e que nós, como gestores de segurança da informação, seremos confrontados cotidianamente. É justo nesse capítulo onde encontramos maior motivação para a implementação de processos de segurança, pois compreendemos a real necessidade dos mesmos e vemos as consequências possíveis em casos onde esses processos não existiam e não havia planejamento para lidar com contingências.

No capítulo seguinte, o autor nos traz uma explicação, com comentários e considerações sobre as normas ISO/IEC 27002 e NBR 15999-1, explicando seus escopos e deixando explícito que tais normas não são documentos completos em si, mas pontos de partida para discussões e criação de normas, processos e políticas de segurança da informação.

E nos dois últimos capítulos, 13 e 14, são apresentados o QBASI (Questionário Básico de Avaliação de Segurança da Informação) e exemplos de elaboração de políticas e regulamentos de segurança. Essas ferramentas são o corolário do livro, apresentando as possibilidades da implementação dos processos de segurança tão vitais hoje em dia para a proteção e gerenciamento correto das informações existentes em determinada organização.

O livro, como um todo, é um aliado indispensável para todo profissional que atue no segmento de gerenciamento, gestão, implantação e manutenção de normas, políticas, regulamentos e processos de segurança da informação. Nele encontramos os princípios teóricos básicos, que nos levam desde a análise inicial das necessidades da organização à implantação das políticas de segurança e posterior avaliação do funcionamento das mesmas. E o fato de todas as abordagens do livro estarem alinhadas às normas internacionais como COBIT, ITIL por exemplo, já é um grande ponto à favor para profissionais que trabalham com as mesmas em suas organizações e tinham dificuldade de encontrar meios para a implementação dos princípios técnico explanados por tais normas.

Finalizando, considero o livro "Praticando a Segurança da Informação" como uma ferramenta alinhada às necessidades atuais de toda e qualquer organização que precisa implantar controles e políticas de segurança, pois no mercado editorial vemos muitas publicações que abordam a teoria ou visam única e exclusivamente certificações.

No entanto, o livro citado nos apresenta aspectos práticos, aliados a teoria necessária para sua compreensão e posterior implementação dos princípios apresentados pelo autor, pessoa capacitada e experiente na área da segurança.

Dicas úteis de contra Inteligência

A fim de ampliar o nível de segurança das informações que circulam dentro de um ambiente sensível, sugerimos a adoção das seguintes recomendações:

1. É importante que alguém de confiança acompanhe reformas físicas no prédio bem como as manutenções de redes, principalmente em se tratando de computadores, ou central de telefones.

2. Programas e arquivos sigilosos devem ter acesso controladas por senhas ou outros métodos.

3. Assuntos sigilosos devem ser tratadas pessoalmente. Evite o uso do correio eletrônico ou telefone para estas finalidades.

4. A tecnologia da contra inteligência é cara, mas indispensável, bem como uma equipe bem treinada e de confiança.

5. Acredite sempre na possibilidade de você se confrontar com um espião mais experiente que você ou sua equipe.

6. Ao conversar assuntos sigilosos pessoalmente, considere sempre as possíveis vulnerabilidades do ambiente ou as intenções do seu interlocutor. Cheque também se o seu telefone celular não foi ligado acidentalmente.

7. Peça identificação aos profissionais que trabalham nos postes próximos da sua residência ou local de serviço. Alguns espiões conseguem identificarem-se próprios a si e seus veículos como sendo, por exemplo, da companhia telefônica. Por isto, sempre confirme a identificação com a companhia que o suspeito diz trabalhar.

8. Desenvolva programas de conscientização de funcionários para não saírem falando para os amigos tudo o que sabem sobre a empresa. Alguns espiões podem aproximar-se de empregados descuidados.

9. Verifique constantemente janelas, portas, quadros de chaves, trancas, quadros de DGs (telefones) e etc.

10. Procure por possíveis sinais de invasão durante a sua ausência. Uma caneta fora de posição na mesa pode ser sinal de que alguém este revirando-a na sua ausência.

11. Simule vazamentos de informações de maneira controlada. De acordo com as notícias que vierem à tona, você saberá quem são as pessoas em que pode confiar.

12. Escuta em ramais de centrais telefônicas eletrônicas é de difícil interceptação a partir da central do usuário para fora, porém é conveniente lembrar que a linha do interlocutor externo pode ser escutada e/ou gravada.

13. Os telefones com linhas diretas (analógicas) possibilitam fácil identificação de seus pares de fios correspondentes, logo, podem ser "grampeados" no ambiente que estiverem instalados, nas caixas distribuidoras dentro do prédio do usuário, na central telefônica do edifício (central do usuário), armários externos ou na empresa telefônica local (concessionária). Portanto, o seu privilégio em usar linhas diretas facilita o trabalho de quem deseja interceptar suas ligações.

14. Nos telefones digitais, apesar das dificuldades técnicas de interceptação no percurso entre o usuário final (interlocutor ao telefone) e a central do usuário, ainda assim, é de relativa facilidade a implementação de aparelho de escuta dentro do próprio aparelho telefônico digital, se ele é de fácil acesso e manuseio por outros.

15. Apesar do usuário final possuir em sua sala somente aparelhos digitais em suas linhas diretas, é comum que o link entre a central do usuário e central da concessionária seja "não digital", o que o coloca praticamente na condição descrita no item anterior, evidenciando assim a vulnerabilidade das linhas diretas digitais ou não, já que muitas vezes a interceptação ocorre entre a central do usuário e a central da concessionária local.

16. O uso do telefone celular deve ser apenas para assuntos de domínio público. A telefonia celular opera via radiotransmissão entre o aparelho celular e a torre da concessionária sendo possível interceptar seus sinais por meio de receptores de varredura como os scanners (não se esqueça que mesmo um aparelho celular "digital" pode temporariamente funcionar no modo "analógico".

17. O mesmo fundamento utilizado no item anterior, vale para o caso dos telefones sem fio, variando-se aqui apenas o fato de que a radiotransmissão ocorre entre o monofone (a parte do aparelho que o usuário utiliza para falar) e a base do aparelho.

18. Existem grampos que se utilizam de sofisticações tecnológicas e são implementados de tal forma que a sua detecção por meios eletrônicos se torna quase impraticável.

19. Os meios reprográficos associados à negligência no manuseio de documentos são meios de vazamento de informações, freqüentemente confundidos com escuta telefônica.

20. Lembre-se que seu interlocutor pode estar gravando o diálogo, telefones com secretárias eletrônicas possuem geralmente esse recurso disponível.

21. Papel carbono utilizado e não destruído é fonte de informação, assim como minutas de documentos e sobras de testes mecanográficos.

22. Após o expediente, deve-se guardar documentos em locais que possam ser trancados com chaves ou cadeados. Isto também vale para os documentos em sua bolsa.

23. Máquinas fotográficas, em fração de segundos, registram documentos deixados de forma descuidada sobre as mesas, assim como câmeras de vídeo.

24. A escuta ambiental pode ser implementada através de fonocaptadores ligados a gravadores ou a transmissores que modulam o sinal para que o mesmo seja transmitido via radiofreqüência para posterior recepção/ demodulação em outro ponto, ou mesmo modulado em baixa freqüência e enviado via rede elétrica local para que em outro ponto desta rede seja recepcionado/demodulado.

25. Habitue-se a exigir credenciais das pessoas antes de terem acesso à sua empresa ou residência.

26. Almoços executivos, onde assuntos são tratados e discutidos, podem funcionar como pontos vulneráveis para vazamento de informações; são oportunidades que podem ser usadas por jornalistas ou outras pessoas interessadas na informação.

27. O uso de máquinas fragmentadoras (picotadoras de papéis) em escritórios/gabinetes é fator de segurança contra vazamento de informações.

28. Pessoas que apresentam vulnerabilidade no caráter - jogadores inveterados, tomadores de empréstimos compulsivos, alcoólicos, viciados em drogas, etc, podem ser compelidos a se tornarem "informantes".

29. Evite ser metódico com relação a pontos de encontros. A escuta ambiental geralmente é planejada em função de hábitos e preferência do alvo (pessoa sob vigilância), que são "mapeados" previamente.

30. Mesmo no recinto do lar podem haver informantes. Sempre que possível deixe para o ambiente de trabalho os assuntos a ele relacionados.

31. Ambientes utilizados para reuniões e tomadas de decisões devem ser vistoriados previamente e frequentemente.

32. Quando existirem fortes indicativos de que determinada linha telefônica esteja sob vigilância, é recomendável o uso de scrambler (misturadores de vozes) entre os dois pontos mais críticos relacionados ao tráfego de informações, ou ainda o uso de bloqueadores de grampos. Dê preferência aos equipamentos de contra inteligência de uma linha profissional.

33. Dentro das possibilidades, as cápsulas telefônicas e tomadas de paredes devem ser marcadas e, sempre que possível, submetidas a verificações inopinadamente.

34. Miolos de tomadas de energia, telefones, interruptores, etc, quando possível, devem ser vistoriados e marcados.

35. A varredura efetuada em determinada data garante a eficácia dos trabalhos apenas naquela data e considerando-se ainda os métodos e equipamentos utilizados.

36. Nada pode garantir que o espião, sabendo do agendamento da varredura, tenha retirado o grampo (ambiente ou telefônico) previamente, nem se pode garantir que após a execução do trabalho de varredura, "alguém" não vá colocar uma escuta no ambiente, por isso a valorização dos procedimentos básicos de segurança é essencial.

Race Condition

Em todos os sistemas que funcionam em rede, normalmente há um servidor que processa informações, permite o acesso e utilização de determinados serviços e responde a requisições.

Obviamente que, numa rede com um servidor, há mais de uma máquina cliente realizando requisições ao primeiro num mesmo período de tempo. Isso faz com que o servidor, em algum momento, tenha que realizar mais de uma operação simultaneamente, podendo em determinado ponto de seu processamento, ocorrer um conflite entre as operações simultâneas, já que para que tudo ocorra corretamente, as operações precisam ser processadas em determinada ordem.

Esse tipo de conflito não ocorre apenas em um sistema computacional, mas em todos os sistemas eletrônicos, onde uma operação para ocorrer depende de várias outras. Mas vamos nos ater ao escopo de TIC.

Em um computador, uma race condition pode ocorrer se requisições para ler ou alterar uma grande quantidade de dados são recebidas quase ao mesmo tempo, e o computador tenta sobrescrever parte ou todos os dados enquanto os dados antigos ainda estão sendo lidos. Os resultados podem ser os seguintes: travamento do sistema, “operação ilegal”, encerramento do programa, erros de leitura dos dados antigos ou erros na alteração dos novos dados.

Numa rede de computadores, uma race condition pode ocorrer se dois usuários tentam acessar a mesma linha de tráfego ao mesmo tempo e nenhum dos computadores recebem o sinal de que aquele canal está ocupado antes do sistema permitir o acesso.

Um atacante pode tirar vantagem desse tipo de falha – vulnerabilidade de race condition – e ganhar acesso não autorizado ao sistema. Esse tipo de vulnerabilidade também permite um atacante explorar o ataque conhecido como ARP Poisoning (pharming ou ARP Spoofing), onde o mesmo infecta o cache DNS do servidor redirecionando as requisições de determinado IP para um IP especificado pelo primeiro.

Até um tempo atrás, para realizar esse tipo de ataque o atacante precisaria realizar muitas tentativas para vencer a race condition e fazer com que sua requisição fosse processada ao mesmo tempo que uma requisição feita para o IP que seria redirecionado.

No entanto, Dan Kaminsky, um conhecido expert em DNS, descobriu uma falha nesse ano de 2008 que através de uma simples requisição, o atacante faria com que uma série de transações fossem realizadas pelo DNS para buscar o domínio requisitado, o que abriria uma janela de tempo que permitira que o atacante infectasse o cache DNS e redirecionasse o domínio requisitado para o IP de sua escolha. O atacante simplesmente venceu a corrida e infectou o servidor DNS.

Uma falha como essa é muito séria, razoavelmente fácil de explorar através da técnica de Man-In-The-Middle e só agora foi descoberta. Isso quer dizer que tem muito administrador por aí que ainda vai levar um tempo para instalar os devidos patches de segurança.

Resumindo, podemos dizer que uma race condition nada mais é do que uma corrida para ver qual a requisição chega primeiro no servidor e é processada. Sendo assim, é uma condição que pode ser explorada de diversas formas por um atacante habilidoso.

Referências

Kaminsky DNS Solution – www.ipam.nl/whitepapers/NitroSecuritys_Kaminsky_DNS_Solution.pdf

Kaminsky (finally) reveals gaping hole in internet - http://www.theregister.co.uk/2008/08/06/kaminsky_black_hat/

Segurança no Brasil. Qual é nossa realidade?

Trabalhando como consultor da área de segurança em TI, presenciei várias falhas, muitas vezes absurdas e primárias mesmo, em sistemas e redes, o que só mostra que o brasileiro ainda não está consciente dos riscos que corremos ao enfrentarmos um atacante com forte intenção maliciosa. Isso talvez seja devido ao fato de que a Internet só chegou no Brasil no meado dos anos 90, quando Kevin Mitnick já cumpria pena na prisão. A defasagem tecnológica que vivemos no início da era digital era muito grande, o que também afetou o desenvolvimento de metodologias e políticas de segurança. Tanto que a maioria das empresas não possui políticas de segurança bem definidas e nem procuram adquirir uma certificação ISO 27001 ou ISO 17799.

Um exemplo disso, é que só em 2008 o governo brasileiro decidiu liberar uma Instrução Normativa (a Instrução Normativa GSI nº1 - Disciplina a Gestão de Segurança da Informação e Comunicações na Administração Pública Federal, direta e indireta, e dá outras providências) que regula a adoção de políticas de segurança da informação em instituições públicas, sendo que nos EUA, por exemplo, essa é uma preocupação existente há muito anos.

Talvez, nossa nação não tenha a devida preocupação com tal necessidade, pelo fato de nunca ter presenciado ou participado de atividades que envolvessem furto de dados sigilosos que colocassem a segurança nacional em risco ou coisa do gênero, como já ocorreu em outros países (p. exemplo, EUA, URSS, Iraque, China e etc). E nem mesmo temos invasores maliciosos (crackers) com grandes conhecimentos técnicos, ou intenções, para causar grandes prejuízos ao governo. Talvez isso gere uma aparente sensação de segurança, onde achamos que vivemos em um ambiente inócuo e seguro. Lêdo engano, meus caros!

Não temos grandes ataques, mas temos pequenos roubos! Até aqui o jeitinho brasileiro de querer aproveitar-se em cima da ingenuidade dos outros prevalece. Mas se temos script kiddies que possuem conhecimento suficiente pra burlar sistemas bancários e financeiros, ou apenas enganar o usuário, em alguns anos poderemos ter atacantes profundamente perigosos, que vendem suas pilhagens para os concorrentes das empresas que invadiram. Esse é a paisagem que podemos vislumbrar se não conscientizarmos os usuários dos riscos que correm. Mas para isso, os administradores precisam se conscientizar em primeira mão.

Meu trabalho como articulista é basicamente esse: escrever sobre vulnerabilidades, técnicas e dar dicas sobre como um atacante age, ou como podemos criar sistemas robustos, mais difíceis de invadir. Pois nesse ponto tenho que concordar com Eugene H. Spafford, quando ele diz:

“O único sistema realmente seguro é aquele que está desligado, enterrado em um bloco de concreto e selado em uma sala cofre protegida por guardas armados.”

Como último exemplo desse artigo, vamos apenas testar o seguinte: digite na pesquisa do Google as palavras “Currículo + CPF”, sem aspas, e veja o resultado. Espantado? Então, imagine o que uma pessoa maliciosa, mesmo sem conhecimentos técnicos, poderia fazer com os dados das pessoas que aparecem nessa busca. E é justamente daí que surgem os laranjas.

Então, tenhamos mais cuidado, tanto com nossas informações pessoais, quanto profissionais.

Até a próxima!

Primeiro pensamento fora da caixa

Caros amigos, depois de algum tempo atuando e estudando na área de segurança em TI, decidi criar esse blog específico para discutir esse assunto através de artigos, dicas, resenhas de livros técnicos, indicações de cursos e aí por diante.

Procurarei manter uma periodicidade nas postagens, até pra que sempre tenham material atualizado em mãos para seus estudos e possam acompanhar esse assunto tão interessante que a segurança da informação.

Bem, é isso aí e vamos à nossa primeira matéria.

Sejam bem vindos à nossa trip virtual "thinking out of the box"!