Gbitten

But the big issue, as we've said in response to this kind of question before, is that the emphasis is on CONTROLS not on SECURITY. The same question with the same set of answers can have a different 'correct' answer in the CISSP and CISA exams. They are looking for different things. **THAT** is why I said, first and foremost, that experience in Internal Audit, which will give you 'control not security' mind-set, is so important, more important that the CRM or Q&A books.

postado por Gustavo Araujo Bittencourt  # 8:51 PM

• A iniciativa "Mais Segurança Itaú"
• Um excelente artigo sobre EFS
• Um estudo sobre como implementar um port scanner via javascript. Simples e genial, vale a pena ler e testar a prova de conceito.

postado por Gustavo Araujo Bittencourt  # 5:11 PM

Marcadores: BombaDeFumaça

postado por Gustavo Araujo Bittencourt  # 1:07 PM

• 25 of the best extensions for Firefox - Have It Your Way!
• Bug or Conspiracy? Digg users go CRAZY modding down comments!

postado por Gustavo Araujo Bittencourt  # 12:54 PM

ou quase todos os males de segurança do Windows.

Aplicar o princípio do Least Privilege é simples no ambiente Unix|Linux|BSD, porem é um pesadelo no Windows. Aaron Margosis vem a anos evangelizando o Least Privilege para o sistema operacional da empresa de Redmond, este seu artigo é um belo apanhado dos problemas e das soluções para implantar o Least Privilege.

• Problems of Privilege: Find and Fix LUA Bugs

Marcadores: Windows

postado por Gustavo Araujo Bittencourt  # 9:00 PM

Nevertheless, the author of Gpcode refused to throw in the towel. On 7th June 2006, Gpcode.ag was downloaded to thousands of Russian computers from an infected site. This latest variant used a 660 bit key, the longest key which has ever been broken. According to estimates, it would take at least 30 years using a 2.2 GHz computer to break such a key. But luck was on our side - our analysts were able to add decryption routines for files which had been encrypted using this key to antivirus databases within a single day. I won’t go into details here; suffice it to say this particular decryption will go down as a milestone in computer virology.

postado por Gustavo Araujo Bittencourt  # 8:07 PM

There are people who will try anything to lose weight except diet and exercise. There are people who will try anything to secure their networks except designed correctly, control the access level within them, segment their networks, understand their traffic and monitor things closely.

Porem em condições normais de temperatura e pressão, o basicão de segurança é suficiente. Para servidores por exemplo, hardening, patch management, backup e monitoramento de log resolve grande parte das necessidades. Em muitos lugares contudo mal fazem o básico, e ainda sim, resolvem colocar IDS de Rede, IDS de Host, IPS, Firewall, Proxy Reverso, HonyPots, etc.

Marcadores: BombaDeFumaça

postado por Gustavo Araujo Bittencourt  # 5:23 PM

However, the actual reason why the top selling antivirus applications don't work is because malware authors are specifically testing their Trojans and viruses to make sure they can bypass these applications before releasing them in the wild.

postado por Gustavo Araujo Bittencourt  # 2:02 PM

For example, if someone wanted to hire me to lock down an ULTRIX 3.1d system, I'm eminently qualified. But I'd be at a loss when presented with today's confusing plethora of Linux "distros"--I'd need months of studying and experimenting before I'd be ready to work on one of them. But if I had a certification, maybe someone would hire me by mistake, thinking I was qualified, and then I could do that retraining on the company's nickel. If someone asked one of my peers who they'd recommend for a Linux project, I'm sure my name wouldn't come up. But if the job called for a "senior curmudgeon," well, that would be another story entirely.

The bottom line is that, regardless of whether a candidate is certified, a smart interviewer needs to know enough to judge if a candidate is the right person for the job. In fact, a smart employer is always going to check references and evaluate a candidate based on past accomplishments--only one of which may be successfully cramming for an exam.

Marcadores: BombaDeFumaça

postado por Gustavo Araujo Bittencourt  # 5:52 PM

Se o certificado parece ser um diferencial, o que acontecerá se ou quando todos os profissionais forem certificados? Aliás essa é uma forma perversa de seleção, visto que os certificados têm custo alto e pessoas com boa experiência mas com menor poder aquisitivo são postas automaticamente fora da disputa por uma vaga.

postado por Gustavo Araujo Bittencourt  # 11:19 AM

I think the root of the problem is the concept that the CISSP somehow measures technical competence. The CISSP in no way measures technical skills. Rather, it should measure knowledge of security principles. It does not meet that goal, either. At this point we are left with a certification that only provides a code of ethics. That brings us back to my original point.

postado por Gustavo Araujo Bittencourt  # 11:02 AM

Profiling based on security certifications is the easiest way for an organization to make a good hiring decision, and the easiest way for an organization to train its existing employees. And honestly, that's usually good enough.

Marcadores: BombaDeFumaça

postado por Gustavo Araujo Bittencourt  # 10:42 AM

Este blog concentra-se na busca de métodos, técnicas e ferramentas para alcançar a efetividade e a eficiência. O ideal é a cada dia conseguir agregar mais valor ao ambiente, de forma positiva e dispendendo menos esforço.

postado por Gustavo Araujo Bittencourt  # 10:03 AM

• HD Moore annoys both sides of the security aisle: Good for him
• Who really benefits from responsible disclosure?

• HD Moore and responsible disclosure

postado por Gustavo Araujo Bittencourt  # 4:09 PM

Essa matéria está cheia de erros, a começar pelo título. Hackers não aprendem com o open source, Hackers (no verdadeiro sentido da palavra), como Linus Torvalds, Richard Stallman, Theo de Raadt, Bruce Perens e Eric S. Raymond, inventaram o Open Source.

Além disso, a McAfee transfere para a comunidade Open Source e para o movimento Full-disclosure uma responsabilidade que não é deles, mas sim da própria indústria de anti-vírus. O fato é que o modelo de proteção utilizado pelos anti-vírus é um modelo fadado ao insucesso. O que ocorre agora, uma evolução tão rápida dos malwares que inviabiliza os software de decteção por assinatura, aconteceria mais cedo ou mais tarde.

UPDATE: Além dos Bots, os Rootkits não são problema de antivírus!

UPDATE2: Segundo a McAfee, a comunidade Open Source também encoraja os Rootkits!

postado por Gustavo Araujo Bittencourt  # 12:37 PM

Estes phishers são realmente criativos.

postado por Gustavo Araujo Bittencourt  # 11:24 AM

• Palestra sobre Análise de Risco

Marcadores: Risco

postado por Gustavo Araujo Bittencourt  # 9:16 AM

Pelo artigo sobre Jasper Rine na Wikipedia, sua tática não foi bem sucedida:

Rine gave a deadline to return the computer warning that the student's academic career was over and that, "I'm the only hope you've got of staying out of deeper trouble than you or any other student that I have ever known has ever been in." Later the university press office admitted that Rine's threats were "exaggerated." The deadline passed without the return of the computer or the purported stolen data.

postado por Gustavo Araujo Bittencourt  # 6:15 PM

No último dia 9 de maio, o juiz Maurício Sato, da 21ª Vara Federal de São Paulo, concedeu tutela assecuratória de direitos contra a ABNT — Associação Brasileira de Normas Técnicas a favor da empresa Target Engenharia e Consultoria, uma das maiores empresas de tecnologia da informação da América do Sul.

Art. 8º Não são objeto de proteção como direitos autorais de que trata esta Lei: I - as idéias, procedimentos normativos, sistemas, métodos, projetos ou conceitos matemáticos como tais;

• Quão dependente é a ABNT da receita gerada pela venda das NBRs?
• Qual a consequência da liberação destas normas em domínio público com relação a ISO, entidade de padronização internacional a qual a ABNT é filiada e de onde muitas NBRs são oriundas?

postado por Gustavo Araujo Bittencourt  # 6:12 PM

You are better off running as non-admin WITHOUT anti-virus than you are running as admin WITH anti-virus.

postado por Gustavo Araujo Bittencourt  # 5:28 PM

O ministro João Oreste Dalazen concluiu que o empregador pode exercer, “de forma moderada, generalizada e impessoal”, o controle sobre as mensagens enviadas e recebidas, com a finalidade de evitar abusos.

postado por Gustavo Araujo Bittencourt  # 10:24 PM

• https://mail.google.com/mail/

postado por Gustavo Araujo Bittencourt  # 4:21 PM

• África
• América Latina
• Asia
• Brasil
• Canadá
• EUA
• Europa
• Oceania

• The Best of Security Events (calendário estruturado por Ronaldo Vasconcellos)
• (ISC)² 2006 Resource Guide
• CERIAS: Infosec Events
• InfoSec events

postado por Gustavo Araujo Bittencourt  # 12:10 PM