Gbitten

Marcadores: Controle

postado por Gustavo Araujo Bittencourt  # 5:50 PM

• Daniel Accioly
• Nelson Biagio Junior
• Rafael Hashimoto

Marcadores: Blog

postado por Gustavo Araujo Bittencourt  # 11:49 AM

• Tarados e pedófilos em sites de relacionamento

Marcadores: Comportamento

postado por Gustavo Araujo Bittencourt  # 7:29 PM

Jeff Jones publica com frequência comparativos de vulnerabilidade entre plataformas, principalmente entre o Windows e o Linux. Não entrando no mérito se esses comparativos foram realizados de forma imparcial, tenho a opinião que o número de vulnerabilidades de um SO é menos importante do que como essas vulnerabilidades são tratadas.

Utilizo o Windows XP e o Ubuntu no meu dia a dia. E tanto o Ubuntu quanto a Microsoft possuem um processo bastante adequado para tratamento de vulnerabilidade (excetuando a escorregadela que a Microsoft deu com o WGA). O Firefox é outro software que tem respondido com bastante agilidade as novas vulnerabilidades. Por sua vez, a Oracle, extremamente criticada até então, reviu seu processo de patch management recentemente.

Contudo, além da comparação entre os SOs, o último estudo do Jeff apresenta uma visão interessante de como as vulnerabilidades tem evoluido nos últimos anos.

• 2006 January through September Vulnerability Trends

Marcadores: Artigo, Linux, Windows

postado por Gustavo Araujo Bittencourt  # 4:43 PM

Conscientização permite usuários com mais consciência de segurança (brilhante dedução), contudo não necessariamente os estimulam a praticarem mais segurança. Talvez devessemos seguir o conselho do Marcus Ranum (lá vem bomba de fumaça), ensiná-los através da dor e da humilhação.

Marcadores: BombaDeFumaça

postado por Gustavo Araujo Bittencourt  # 11:29 AM

Gadi Evron propõem utilizar o monitoramento de tráfego nos ISPs com QoS para reduzir o impacto das Botnets. Me parece um recurso similar ao que alguns ISPs estão utilizando para limitar tráfego P2P. Receio que um controle deste tipo penalize o usuário comum devido a ocorrência de falsos-positivos, ao mesmo tempo que seja ineficiente contra os botnets que buscarão formas de contorná-lo.

• QoS and bot traffic

Marcadores: Botnet

postado por Gustavo Araujo Bittencourt  # 6:21 PM

Este estudo mapeia como o usuário avalia se um site é legítimo ou não.

Marcadores: Artigo

postado por Gustavo Araujo Bittencourt  # 3:52 PM

Os problemas de fraude em InternetBank tomaram conta da lista CISSPBR (de forma até exagerada) e de alguns blogs esta semana. Muito se falou de quem deve arcar com a fraude, o cliente ou o banco. Pode-se analisar a questão de muitos ângulos e em todos existem dilemas difíceis de resolver.

Olhando pela ótica do négocio de InternetBank, existem para os bancos duas opções:

1. Colocar a responsabilidade da fraude no cliente, correndo o risco de desacreditar o canal de negócio mais lucrativo que possui, ou
2. Assumir e arcar com as fraudes, arriscando-se a inviabilizar o InternetBank caso as fraudes continuem crescendo de forma acelerada.

Pela ótica jurídica, também temos um dilema:

1. Responsabilizar o cliente, mesmo que apesar de ter o ónus da prova, o Banco não tem como provar que a transação dita fraudulenta é responsabilidade do cliente por negligência, imperícia ou imprudência, ou
2. Responsabilizar o banco, mesmo que a fraude aconteça, na maioria absoluta das vezes, no equipamento do cliente.

O cliente por sua vez pode:

1. Utilizar o InternetBank, mesmo sabendo que pode ser vítima de fraude e arcar com o prejuízo desta, ou
2. Não utilizar o InternetBank, e com isso perder a agilidade e facilidade deste serviço.

E finalmente, pela ótica da segurança, onde o dilema é definir como tratar a ameaça:

1. Por meio de conscientização do usuário/cliente,
2. Por meio de software anti-malware,
3. Através de esquemas de autenticação "mais seguros",
4. Através de sistemas operacionais e softwares melhor desenhados e codificados em termos de segurança,
5. Através da punição dos fraudadores,
6. Ou todas a respostas acima?

Conscientização talvez funcione no ambiente corporativo. Contudo, não acredito que funcione em um meio difuso e heterogênio que representa o universo de clientes de um banco. As campanhas de conscientização, por vezes, me parecem um forma de demostrar que o cliente foi de alguma forma alertado e assim expirar a responsabilidade do banco.

Softwares de antivírus e similares definitivamente não são a solução. Eles ajudam, mais estão longe de resolver.

Da mesma forma, os esquemas de autenticação pretensamente mais seguros não resolvem, pois a questão não é de autenticidade mas sim de confiabilidade.

SO e softwares mais seguros e com menos falhas de design são um caminho interessante, porem isto está longe de acontecer. Espero que o Vista contribua para esta questão.

Apesar de algumas prisões, a impunidade ainda reina entre os fraudadores. Provavelmente falta recursos (humanos e materiais) às nossas polícias para obter mais sucesso nesta empreitada. Some-se a isto, um país onde o crime organizado mostra-se muito competente :(

Como pode-se ver, a solução para este problema não é fácil, mas se fosse fácil não seria um dilema. Uma coisa posso arriscar a prever, os bancos não irão mais pagar essa conta e os conflitos por causa disso irão se multiplicar.

Marcadores: InternetBanking

postado por Gustavo Araujo Bittencourt  # 8:40 PM

   333:   if (Math.abs(dragSpeedX) + Math.abs(dragSpeedY) > 4) {
                // TODO putaquepariuquegambiarradaporra
                rotator.spin(dragSpeedY / 5, -dragSpeedX / 5);

Marcadores: Fun

postado por Gustavo Araujo Bittencourt  # 12:03 PM

• Insegurança no Internet Banking?

Marcadores: Artigo

postado por Gustavo Araujo Bittencourt  # 9:38 AM

• PHR (Professional in Human Resources)
• SPHR (Senior Professional in Human Resources)
• GPHR (Global Professional in Human Resources)

postado por Gustavo Araujo Bittencourt  # 7:24 PM

COM o intuito de promover a cultura da segurança da informação, fomentar o estabelecimento de novos grupos de resposta a incidentes de segurança na América Latina e treinar os participantes dos CSIRTs existentes, a Rede Nacional de Ensino e Pesquisa (RNP) e seu Centro de Atendimento a Incidentes de Segurança (CAIS), em cooperação com o Fórum Internacional de Grupos de Resposta a Incidentes de Segurança (do inglês, FIRST), organizam a 2ª Colaris (Conferência Latino-Americana de Resposta a Incidentes de Segurança), que irá acontecer no Rio de Janeiro de 7 a 10 de outubro de 2006.

Marcadores: Evento

postado por Gustavo Araujo Bittencourt  # 9:43 AM

Marcadores: Forense

postado por Gustavo Araujo Bittencourt  # 9:33 AM