Gbitten

1. Encontre as 3 maiores ameaças de segurança ao negócio;
2. Defina controles para tratá-las;
3. Verifique a eficácia deles;
4. Retorne ao passo 1.

Marcadores: Ameaça, Risco

postado por Gustavo Araujo Bittencourt  # 8:00 AM

IDENTITY theft and identity fraud are terms used to refer to all types of crime in which someone wrongfully obtains and uses another person's personal data in some way that involves fraud or deception, typically for economic gain.

Existe muito oba-oba a respeito de incidentes de roubo de identidade, principalmente, ao roubo ou perda de grandes bases de dados contendo informações privadas de milhares de pessoas.

Essa lista das piores violações de segurança de 2007 é sintomática. As 19 violações de segurança da lista estão relacionadas com roubo de identidade. Contudo, apenas 1 violação relata o uso de informações roubadas para cometer fraudes.

É possível que boa parte destes incidentes não tinham como objetivo o roubo da base em si. Mesmo assim, é estranho é que, com exceção de fraudes de cartão de crédito, os impactos negativos causados por roubos de bases de dados de identidade geralmente passam desapercebidos.

Marcadores: Ameaça, Fraude

postado por Gustavo Araujo Bittencourt  # 10:58 PM

Hoje eu li um "post" muito interessante do Richard Bejtlich comentando que o "Modelo de Ameaça" da Microsoft é na verdade um "Modelo de Ataque". A consolidação de conceitos como ameaça e ataque é um assunto que me interessa profundamente. Confesso que não tenho certeza sobre este dois termos. Bejtlich, pelo seu background, deve basear sua opinião na terminologia militar, o que provavelmente é a coisa mais indicada pois os militares estão literalmente a alguns milênios de experiência na nossa frente. Se alguém souber alguma bibliografia sobre o assunto que possa recomendar, por favor se apresente.

Vale ressaltar o comentário do Fernando Cima na própria notícia do Bejtlich, informando de onde originou dentro da Microsoft o termo "Modelo de Ameaça".

• Threat Model vs Attack Model

Marcadores: Ameaça

postado por Gustavo Araujo Bittencourt  # 10:27 PM

Shadowserver é uma iniciativa de um grupo de voluntários contra a ameaça dos Botnets.

Marcadores: Ameaça, Botnet

postado por Gustavo Araujo Bittencourt  # 6:49 PM

Essa palestra ministrada pelo promotor-assistente do distrito de Maryland, Stuart A. Berman, no evento Café com Finanças é ao mesmo tempo interessante e inquietante.

Interessante por apresentar um cenário cada vez mais comum de crimes de manipulação de mercados através de meios eletrônicos como "Pump-and-Dump" e "Cybersmear". Berman descreve da seguinte forma estas práticas:

Pump-and-Dump - Identity lightly-traded stock - Buy low - Put false, positive information about the company (earnings increase, takeover) onto the Internet - When stock rises, sell - Truth comes out, stock falls

Cybersmear - Identity lightly-traded stock - Purchase options to “short-sell” (make money if stock goes down) - Put false, negative information about the company (earnings fail to meet goals, CEO under government investigation) onto the Internet - When stock falls, short-sell - Advanced criminals: buy more when price is low - Truth comes out, stock rises – sell for profit

Inquietante pelo panorama apresentado sobre o furto de identidade por meios eletrônicos nos EUA em 2005. Entre os principais casos Berman reporta:

- CardSystems: June 2005:40 million credit card accounts - CitiFinancial: June 2005: information on 3.9 million consumer lending customers - MCI: May 2005: 16,500 current and former employees - LexisNexis/Seisint: March 2005; 280,000 consumers. - University of California - Berkeley: March 2005; 98,000 students and prospective students. - Choicepoint: February 2005; 150,000 consumers. - Bank of America: February 2005; 1.2 million federal workers. - DSW: February 2005; 1.4 million customers.

Num total de 50 milhões de identidades furtadas. Com certeza, isso já ocorre no Brasil (ver), porem a dimensão deste problema é desconhecida, já que por aqui a preocupação sobre o assunto é bem menor que lá fora, além de não haver leis específicas como a lei californiana que obriga a empresa avisar ao cidadão quando um dado pessoal é furtado.

• Slide da palestra
• Áudio da palestra

Marcadores: Ameaça, Artigo

postado por Gustavo Araujo Bittencourt  # 11:08 AM