CERT.br lança nova Cartilha de Segurança para Internet

O Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil (Cert.br) do Núcleo de Informação e Coordenação do Ponto BR (NIC.br) lançou a nova versão da Cartilha de Segurança para Internet, a 4.0.

A cartilha, feita em HTML5, agora contém ilustrações e inovações técnicas importantes, e é licenciada no Creative Commons (CC BY-NC-ND 3.0). Em breve também será possível acessá-la pelo formato de livro eletrônico.

Os assuntos tratam, entre outros, sobre golpes na web, malwares, SPAMs, segurança em dispositivos móveis, uso de senhas, etc. A cartilha está escrita de forma simples, sem o uso de termos técnicos ou de conceitos complexos. Dessa forma, facilita sua compreensão por pessoas com pouca “intimidade” com computadores.

A Cartilha de Segurança para Internet está disponível em cartilha.cert.br.

SOPA e PIPA – Entenda o que são os projetos de lei antipirataria

Essas semanas que passaram ouvimos muito duas palavras na Internet, principalmente nas redes sociais: SOPA e PIPA. Trata-se de dois projetos de lei que tramitaram no Congresso Norte Americano.

Festas de fim de ano: cuidado com as fraudes virtuais

Mais um ano passou (voando!) e 2011 chegou ao fim.

Natal é tempo de compras e não podemos esquecer que nessa época aumentam as fraudes virtuais.

Sabendo disso, devemos ficar atentos à e-mails de promoções Natalinas, cartões virtuais, filantrópicos e bancos. Devemos ficar atentos também a falsas notificações de redes sociais, como, por exemplo, Facebook e Twitter. Encurtadores de URL também são um perigo, pois mascaram sites com trojans.

Além desses cuidados, quem tem smartphone deve ficar atento. Criminosos podem criar um código de barras na Internet (qr-code), utilizado para promoções em folders de lojas.

A McAfee orienta os usuários de Internet a seguir as cinco dicas relacionadas abaixo para protegerem seus computadores e suas informações pessoais:

1. Nunca clique em links de e-mails: Vá diretamente ao site da empresa ou da organização beneficente, digitando o endereço ou utilizando um mecanismo de pesquisa. Nunca clique em links enviados em e-mails.

2. Use um software de segurança atualizado: Proteja seu computador contra malware, spyware, vírus e outras ameaças com suítes de segurança atualizadas.

3. Faça compras e transações bancárias em redes seguras: Verifique suas contas bancárias ou faça compras pela internet apenas em redes seguras em casa, no trabalho, sejam elas com ou sem fio. As redes Wi-Fi devem sempre ser protegidas por senha para que os hackers não possam acessá-las e espionar as suas atividades na internet. Além disso, não se esqueça de comprar apenas em sites que começam com https://, e não com http://, e procure sites de confiança contendo selos de proteção.

4. Use senhas diferentes: Nunca use as mesmas senhas para mais de uma conta na internet. Diversifique as senhas e use uma combinação complexa de letras, números e símbolos.

5. Use o bom senso: Se ficar em dúvida sobre a legitimidade de uma oferta ou de um produto, não clique. Os cibercriminosos estão por trás de muitos dos negócios aparentemente “ótimos” na Web. Portanto, tenha cuidado ao pesquisar e comprar.

Sigam as dicas e fiquem atentos!

BOAS FESTAS!!!

Hackerativismo, Anonymous, LulzSec: O que e quem são

Comecei a escrever esse texto semana passada. Um amigo disse: “Esse assunto já passou!”. Mas acho que não…

Foram tantas (ou são tantas) notícias sobre sites invadidos, emails “roubados”, dados que vazam. Esse assunto tomou conta do Brasil e do mundo nos últimos tempos.

Em todo o mundo, sites governamentais e de grandes empresas, como Sony, Visa, Martercard, CIA, Presidência do Brasil, Receita Federal, IBGE, entre outros, sofreram invasões, onde dados foram roubados ou tiveram suas páginas tiradas do ar por grupos de hackers (ou crackers).

Fonte: Vida de Programador. http://vidadeprogramador.com.br/2011/06/25/hackers/

Mas o que é hackerativismo? E quem são esses Anonymous e LulzSec?

O problema é que a impressa brasileira, por falta de conhecimento, colocou todo mundo no mesmo saco. E não é bem assim.

Hackerativismo

É o que, por exemplo, os Anomynous e LulzSec têm feito no Brasil: atacar sites do Governo pra deixá-los lentos ou tirá-los do ar, como forma de protesto. Esses ataques são feitos sem roubar qualquer tipo de informação e/ou dados. Certo ou errado? Não sei. Iríamos entrar na questão de liberdade de expressão, o que não é o caso.

Vandalismo (Defacers)

Esse tipo de ação tira do ar sites e colocam mensagens de ordem. Normalmente, esses ataques têm como objetivo propagar alguma mensagem política ou qualquer outro manifesto. Outro objetivo é a notoriedade do “pichador”. Falando em pichador, pode-se fazer uma comparação com pichação de muros.

Roubo de dados (Carders e Bankers)

Carders são pessoas ou grupo de pessoas que agem na Internet com intuito de roubar dados de cartões de créditos para fraudes on-line. Um exemplo foi o ocorrido com a rede PlayStation Network da Sony, onde foram roubados dados de cartão de crédito dos usuários.

Há também um grupo denominado Bankers. Os Bankers são “especialistas” em roubo de informações bancárias. As informações roubadas são utilizadas para saques, compras, transferências indevidas da conta bancária das vítimas e laranjas. Geralmente utilizam ferramentas conhecidas como keylogger.

Quem são os Anonymous?

Anonymous é um grupo sem número exato de participantes e sem líder. Em teoria, todas as pessoas que queiram praticar algum manifesto, de qualquer natureza, podem usar o nome de Anonymous.

O nome do grupo faz referência a um termo genérico usado em postagens de fóruns para designar alguém que preferiu não se identificar. Esse termo ganhou força quando os participantes do fórum 4chan resolveram fazer ações coordenadas na web, identificando-se como Anonymous.

Utilizando a máscara de Guy Falkes – popularizada pelo filme V de Vingança, os Anonymous formaram um grupo altamente organizado e sua ação mais notável foi o suporte em massa dado para Julian Assange e a Wikileaks, servindo de uma forma não formal os interesses de ambos.

E quem são os LulzSec?

O LulzSec foi criado por desafetos dos Anonymous que acharam que as ideologias não eram mais as mesmas. Pode-se tentar traduzir LulzSec: Lulz > plural de LOL; Sec > Security. Ou seja… Bom, aí você traduz como quiser.

Esse grupo declarou guerra aos governos, bancos e grandes corporações, em todo mundo, em parceria com o Anonymous.

No Brasil, o grupo LulzSecBr, foi responsável por remover sites do Governo Brasileiro, além de divulgar dados pessoais de Dilma Rousseff e Gilberto Kassab, como números do CPF, PIS, data de nascimento, entre outras informações.

E depois de matar, por várias vezes, a língua portuguesa no Twitter, o grupo se despediu anunciando que encerraram suas atividades. Será? Pelo visto, uma nova onda de ataques dos ativistas do LulzSec e do Anonymous está por vir.

Profissionais de InfoSec, é bom ficarem atentos!

Bem, uma coisa pode-se tirar proveito desses movimentos dos grupos Anonymous e LulzSec: a necessidade de atentarmos para a Segurança da Informação.

Certificações em Segurança da Informação

Já escrevi aqui no blog posts sobre certificações de TI. Hoje, o objetivo é apresentar as principais certificações que o mercado oferece para os profissionais da área de Segurança da Informação.

Quando falamos na área de Segurança da Informação, profissionais certificados e com experiência satisfazem melhor às necessidades das organizações. Tal fato provocou o aparecimento de cursos específicos e especializações (pós-graduações, MBA) em produtos voltados para esse segmento da área de tecnologia.

Possuir ferramentas de proxy, firewall, IDS, entre outras, não basta se a empresa não tem um recurso humano capacitado para gerenciá-las.

Elaborei uma lista com as principais certificações da área de Segurança da Informação com um resumo e link de cada uma.

São elas:

CompTIA Security+
A certificação Security+ da CompTIA é uma certificação “vendor neutral”, ou seja, não pertence a nenhum player de mercado. Esta certificação permite aos profissionais adquirirem habilidades iniciais para se tornarem Profissionais em Segurança da Informação.

MCSO – Modulo Certified Security Officer
A Módulo Security é uma das mais importantes empresas da área de SI no Brasil, e uma das maiores da América Latina, sendo referência no mercado de Segurança da Informação e Gestão de Riscos do Brasil.
A certificação MCSO é a mais conhecida certificação em SI do mercado brasileiro. Ela atesta os conhecimentos em Segurança da Informação e Gestão de Riscos.

Auditor Líder ISO/IEC 27001
Essa certificação é destinada aos profissionais envolvidos com a implementação e o gerenciamento de Sistemas de Gestão da Segurança da Informação. Ela fornece os conhecimentos necessários sobre auditoria de segurança de sistemas de gestão da informação.

CCSP – Cisco Certified Security Professional
A certificação CCSP é uma certificação técnica voltada a produtos Cisco, onde valida o conhecimento avançado e habilidades necessárias que o profissional deve ter para proteger, gerenciar e reduzir ameaças de redes Cisco.
Para conhecer outras certificações de segurança da Cisco, clique aqui.

CCSE – Check Point Certified Security Expert
Projetada para profissionais de SI mais experientes, a CCSE é uma das mais reconhecidas e respeitadas certificações técnicas disponível no mercado. O profissional que possui a CCSE comprova, de forma avançada, suas habilidades e conhecimentos em gerenciamento e suporte de produtos da Check Point.
A Check Point possui outras certificações. Podemos conhecê-las clicando aqui.

CEH – Certified Ethical Hacker
O programa de CEH é um programa de certificação mais técnica, onde certifica o profissional, especificamente, na disciplina do “Hacking Ético” em segurança de rede. Assim como a Security+, a certificação também é “vendor neutral”, ou seja, não enfoca uma tecnologia específica. O “Ethical Hacker” é um profissional com habilidades para encontrar as vulnerabilidades e fraquezas dos sistemas, utilizando os mesmos conhecimentos, ferramentas e metodologias empregadas por um ataque malicioso.

GIAC – Global Information Assurance Certification
As certificações GIAC, do SANS Institute – fundado em 1989, foram criadas para validar as competências técnicas dos profissionais de Segurança da Informação. O objetivo do GIAC é garantir que o profissional certificado em um de seus programas tenha o conhecimento e as habilidades necessárias como detecção de intrusões, resposta a incidentes, entre outras sub-áreas, além de certificar auditores e gerentes de Segurança da Informação.
O programa de certificação da GIAC é composto de várias fases. O profissional poderá atingir níveis como Silver Certification, Gold Certification e Platinum Certification, que é o top da certificação da GIAC.

CISM – Certified Information Security Manager
O CISM é uma certificação profissional desenvolvida pela ISACA – Information Systems Audit and Control Association. É focada em gerência de risco e tem por objetivo alinhar as perspectivas de auditoria de sistemas de informação e Segurança da Informação.
Para o profissional obter a certificação CISM, deverá comprovar, pelo menos, cinco anos de experiência em SI, com pelo menos três anos ligados à gestão da Segurança.

CISA – Certified Information Systems Auditor
Assim como o CISM, o CISA também é desenvolvida pela ISACA, sendo sua principal certificação. Desde 1978, o exame CISA mensura a excelência nas áreas de auditoria, controle e segurança de TI, e é globalmente aceita na comunidade de auditores de TI e profissionais de Segurança da Informação.
O mesmo critério para obter a certificação CISM é utilizado para o CISA. Ambos os exames são compostos por 200 questões e tem quatro horas de duração.

SSCP – Systems Security Certified Practitioner
O SSCP é o “irmão mais novo” do CISSP. Criada pelo (ISC)2 – International Information Systems Security Certification Consortium, organização focada em certificações de Segurança da Informação, que opera sob padrões internacionais e atesta conhecimento profundo em conceitos, metodologias e práticas.
O SSCP é ideal para profissionais que trabalham em cargos como Engenheiro de Segurança de Rede ou Analistas de Segurança.

CISSP – Certified Information Systems Security Professional
A certificação CISSP é, atualmente, um dos títulos mais valorizados na área de Segurança da Informação. Certificação “vendor neutral”, também é oferecida pelo (ISC)2, sendo sua principal certificação.
O (ISC)2 possui dezenas de milhares de especialistas credenciados em todo o mundo e projeta um crescimento no número de profissionais de segurança da informação, em todo mundo, de 2,7 milhões até 2012, número esse fornecido pelo GISWS – Global Information Security Workforce Study. No Brasil, o número de profissionais certificados é reduzido, o que abre um amplo e valorizado mercado de trabalho para profissionais interessados em obter essa certificação.
Para conquistar a certificação CISSP é preciso comprovar experiência mínima de cinco anos na área de SI, realizar um exame que cobre dez diferentes domínios de conhecimento da área de segurança da informação, divididos em 250 questões de múltipla escolha em língua inglesa que devem ser respondidas em até 6 horas, ser associado e aceitar o termo de ética do (ISC)2.

Não seria possível colocar aqui todas as certificações de Segurança da Informação disponíveis no mercado. A idéia foi apresentar os principais títulos.

Alcançar uma certificação, em qualquer área de TI, não é uma tarefa fácil. Na área de Segurança da Informação não é diferente, pois além de precisar dominar o assunto, é preciso, em algumas certificações, ter experiência comprovada na área, o que a torna ainda mais valorizada no mercado.

A área de Segurança da Informação é uma área muito interessante a qual pretendo me especializar cada vez mais. E para o profissional que tem o mesmo desejo, os passos são os mesmos para qualquer carreira: muito estudo, dedicação, humildade e muito trabalho.

Estudar é importante, aperfeiçoar-se é necessário.

Fontes:

(ISC)2 – http://www.isc2.org
BSI Brasil – http://www.bsibrasil.com.br
CheckPoint – http://www.checkpoint.com
CISCO – http://learningnetwork.cisco.com
CompTIA – http://www.comptia.org
EC-Council – http://www.eccouncil.org
GIAC – http://www.giac.org
ISACA – http://www.isaca.org
ISACA Brasil – http://www.isaca.org.br
Módulo Security – http://www.modulo.com.br
SANS – http://www.sans.org