Blog do Laboratório » Curiosidades
Archivo para la Categoria 'Curiosidades'
A segurança da informação nos canais de comunicação.
fevereiro, 28, 2013 11:21 am	Vamos dar um olhar ao que a série de normas ISO 27000 tem a respeito da gestão dos sistemas de comunicação e o estabelecimento de procedimentos de operação além de opções para implementar os controles sugeridos.
Precisamente um dos 10 pilares básicos da norma ISO 27001 enfoca-se nos mecanismos que deveria adotar uma organização para assegurar a operação correta e segura dos recursos sobre os quais manipula-se a informação corporativa. Por sua vez devem ficar claras as responsabilidades e os procedimentos para a gestão e operação destes recursos. Cabe dentro da gestão, os procedimentos para a resposta ante incidentes e os procedimentos de configuração e operação segura de aplicações.
Na página da Agência Nacional de Segurança (NSA) dos Estados Unidos há um parágrafo onde proveem uma série de guias de configuração segura para uma série de aplicações de código aberto e licenciadas. Além disso podem-se encontrar outra série de guias para manejar de forma segura a informação, inclusive até como destruí-la de forma segura. Deveriam-se documentar e manter os procedimentos de operação e colocá-los à disposição de todos os usuários que o necessitem.
Contudo a correta configuração dos sistemas é importante que as tarefas e as áreas vinculadas nestes temas tenham uma adequada segregação de funções, com o objetivo de diminuir a possibilidade de que apresente um uso mal intencionado ou não autorizado dos ativos de informação da organização.
Dentro deste domínio de controle, também sugere-se estabelecer procedimentos periódicos para garantir um adequado respaldo da informação em cópias de segurança, incluindo as provas que garantem seu correto funcionamento. Estas implementações de backup devem satisfazer todos os requerimentos legais. Por exemplo, para o setor financeiro, tem implementções específicas e as expectativas próprias do negócio no qual opera a empresa. Isto consegue-se com uma adequada análise de riscos, que permita focar os esforços nos ativos de informação mais relevantes para o negócio.
Com respeito a infraestrutura de comunicação, deve-se manter a segurança da informação não somente que troca-se dentro da empresa como também daquela que saia de uma entidade externa. Esta segurança deve partir de uma política onde fiquem estipulados os acordos de intercambio de qualquer informação, sejam física ou eletronicamente. Isto inclui os canais alternativos que devam utilizar-se no caso de uma contingência. Pontualmente a norma ISO/IEC 27010, proporciona controles específicos para implementar, manter e melhorar a segurança da informação nas comunicações dentro da organização e feita ao exterior.
Para a proteção da integridade do software e portanto da informação que maneja-se é necessário prevenir que os sistemas sejam atacados por algum código malicioso, ja sejam nos equipamentos de escritório, equipamentos portáteis ou móveis. Para este caso os controles tecnológicos de uma solução de segurança como ESET Endpoint Security devem permitir a detecção, prevenção e recuperação contra malware. Estas medidas tecnológicas devem combinar-se com medidas que incluem a educação e formação dos usuários. Desde ESET Latinoamérica contamos com recursos gratuitos que neste ponto podem ajudar as empresas com a Plataforma Educativa ESET.
Destaca ainda neste domínio de controle, a recomendação da norma de cuidar da informação que inclui-se nas mensagens de e-mail. Pontualmente ter muito cuidado com a informação que deixa-se nos metadados, já que muitas vezes este tipo de informação podem conter dados frágeis como por exemplo nomes de usuários ou rotas nos servidores. É conveniente utilizar ferramentas para eliminar os metadados antes de compartilhar ou publicar documentos.
Lembre-se que a segurança da informação tem êxito através da integração de diferentes medidas de segurança. Não serve muito ter unicamente o último em tecnologia, é necessário complementar com a educação dos usuários e adoção das medidas de gestão mais indicados segundo o negócio.
H.Camilo Gutiérrez Amaya
Categories: Corporativo, Curiosidades No Comments »	Dicas essenciais para manter os dispositivos móveis seguros
fevereiro, 19, 2013 12:04 pm	De acordo com um estudo conduzido pela ESET, em parceria com a Harris Interactive, uma em cada dez pessoas, já ficou sem um dispositivo móvel por roubo ou perda, significando que contactos, fotografias, documentos e outras informações confidenciais podem estar a circular livremente na Internet.
Para dar resposta a este problema juntámos cinco dicas que poderão ajudar os utilizadores a estarem mais preparados e protegidos, para estas eventualidades.
1. Proteja os dispositivos por palavra-passe
Embora possa ser uma medida aparentemente óbvia, muitos usuários não colocam uma palavra-passe que impeça o acesso não autorizado aos seus dispositivos, quer se tratem de smartphones, computadores ou tablets. É algo simples de fazer e pode evitar grandes dores de cabeça.
Se estiver num sistema Android deverá deslocar-se às definições do sistema e posteriormente localizar a opção segurança. Escolha a opção pin ou palavra-passe, conforme for mais conveniente e introduza-as para ativar. Depois da introdução terá de confirmar e dar um clique em avançar. A partir deste momento quem não souber o pin ou a palavra-passe não poderá acessar aos seus contatos, mensagens, fotografias, entre outras informações.
Se estiver no iOS vá em Settings, depois em geral e localize a opção bloqueio por código. Ative-a introduzindo o código que pretende atribuir ao dispositivo para acessar ao sistema. Confirme-o e a partir desse momento, passa a ser necessário introduzir um pin para utilizar o iPhone ou o iPad.
2. Crie cópias de segurança
As cópias de segurança são algo que praticamente todos os utilizadores sabem que devem fazer, mas poucos passam da teoria à prática.
A primeira coisa que deve fazer é assegurar-se que tem as cópias de segurança ativadas. Para isso basta ir a definições e posteriormente acessar a cópia de segurança e reposição. Verifique se há o item Fazer uma cópia de segurança. Esta cópia de segurança funciona ao nível do próprio Google. Para além disso, existem ainda aplicações adicionais que podem ajudar. Um bom exemplo passa pelo Master Backup que está disponível em https://play.google.com/store/apps/details?id=com.BackMaster. É grátis e permite fazer uma cópia de segurança de praticamente todas as informações localizadas no telefone para o cartão SD.
O iTunes é a ferramenta essencial para fazer uma cópia total de todos os dados contidos no seu iPhone ou iPad. Tudo é tão simples como ligar o dispositivo ao computador e posteriormente no iTunes dar um clique no canto superior direito na opção iPhone ou iPad e posteriormente no separador sumário, escolher a opçãoFazer cópia de segurança agora. Não se esqueça de selecionar o local de destino, chamado, iCloud ou para o computador.
3. Utilize software de localização
Recuperar o seu dispositivo não é de todo impossível, especialmente se conseguir comunicar com ele de forma remota. A ESET possui, para sistemas Android, uma aplicação denominada ESET Mobile Security que permite bloquear remotamente o smartphone para impedir o acesso não autorizado aos dados e ainda localizá-lo remotamente.
4. Tenha os seus dispositivos debaixo de olho
Não deixe os seus dispositivos sem vigilância em locais públicos. Deixá-los em cima de uma mesa, no carro, no aeroporto ou num restaurante, mesmo que seja por alguns segundos, é pedir que os roubem. No estudo ESET / Harris Interactive, concluiu-se que um em cada cinco dispositivos foram furtados no carro e 12% em transportes públicos.
5. Utilize palavras-passe seguras
As palavras-passe embora fáceis de definir, são uma dor de cabeça para muitos cibernautas, dado que a utilização de uma expressão muito simples pode ser uma porta de entrada para muitos utilizadores mal intencionados e colocar em risco o seu e-mail, os seus dados pessoais e até contas bancárias. Para estar protegido com maior eficácia deverá utilizador diferentes classes de caracteres, como por exemplo, letras e números, escolher palavras e assuntos dos quais fala pouco e separar duas palavras por símbolos e números.
A ESET disponibiliza duas aplicações que o podem ajudar a estar mais protegido, quer no que diz respeito ao seu computador portátil, quer no caso do smartphone ou tablet Android.
Protecção para Mobile– ESET Smart Security
O sistema AntiFurto auxilia os utilizadores a localizarem os seus portáteis em falta, sendo possível a monitorização das atividades realizadas nos dispositivos. Tira fotografias de quem está na posse indevida do computador, através da câmara integrada e indica em um mapa onde o computador se encontra, utilizando para o efeito os dados recolhidos nas redes Wi-Fi que se encontram na área. Os dados recolhidos podem ser acessados com facilidade em http://my.eset.com.
Mais informações em http://www.eset.com/pt/home/products/smart-security/
Protecção para dispositivos Android – ESET Mobile Security
Protege todos os vetores do seu smartphone e combina a detecção robusta do nosso motor de análise com antispam avançado e funcionalidades antifurto para proteção em tempo real esteja onde estiver.
Saiba mais em www.eset.com.br
Categories: Curiosidades, Fuga de informação No Comments »	Mais de 58% dos usuários na América Latina tiveram furtado seu telefone celular
Categories: Curiosidades, Estatísticas, Sem categoria No Comments »	Informação critica exposta utilizando Google Hacking
janeiro, 7, 2013 2:20 pm	A informação confidencial relacionada com dados críticos de serviços e aplicações sobre os servidores web expõe-se cada vez mais devido a uma deficiente gestão dos administradores. Isto facilita o acesso de terceiros por meio de buscadores web.
Em publicações anteriores falamos sobre painéis de administração web e credenciais de acesso expostas. O problema levantado neste caso era sobre um painel web específico onde se gerava um arquivo contendo informação sensível que podia ser utilizada por um atacante para ingressar o próprio painel.
Tem-se descoberto que através de buscas específicas na Internet é possível acessar arquivos infinitos que contenham informação confidencial. Na continuação pode visualizar-se uma captura com os resultados de uma busca onde obtem-se dados sobre usuários e senhas de diversos websites em formato XLS (planilhas):
No caso anterior, obtiveram-se resultados que jogaram arquivos em formato XLS que contém informação confidencial como podem ser usuários e senhas de serviços ou qualquer outro tipo de dados críticos. Muitos destes arquivos são alojados em servidores web pelos próprios administradores com a crença que não serão visíveis por terceiros.Contudo os buscadores indexam a informação aos sites de forma recursiva ficando pública e acessível a partir de buscas com filtros específicos.
Assim mesmo, existe informação confidencial de outra natureza e origem que pode ser exposta. Muitas ferramentas utilizadas em servidores web geram relatórios e arquivos de forma automática que contém informação sensível. A modo de exemplo, um caso específico pode ser de certas ferramentas que trabalham sobre o protocolo FTP (porta padrão 21) o protocolo SSH (porta por defeito 22), onde é possível visualizar o nome do usuário e senha correspondente a uma grande quantidade de sites web. A continuação se une a uma captura com os resultados de uma busca específica:
É importante que este tipo de informação seja contemplada na hora de utilizar ferramentas que disponham destas características.
Que medidas podem ser tomadas para evitar o acesso a informação confidencial?
No caso que se utilizam planilhas ou outro tipo de arquivos com informação sensível dentro de um servidor web, na medida do possível, não se deve armazenar nos diretórios do servidor web de forma pública. Exceto no caso de estes arquivos somente serem acessíveis por certas pessoas onde o acesso deve realizar-se através de um mecanismo de validação. Outra alternativa é alojar-lo em diretórios privados, onde não sejam indexados pelos crawlers (robôs) dos buscadores.
No caso dos relatórios ou arquivos gerados automaticamente por distintas ferramentas, deve-se ter em conta previamente esta característica. Se não é necessário dispor de tais relatórios de arquivos, é recomendável desativar esta funcionalidade para evitar que os mesmos fiquem acessíveis por terceiros acidentalmente. Se devem-se dispor destes arquivos, devem contemplar para que os dados sejam guardados em locais seguros e não públicos.
Este tipo de incidente não é algo novo mas existe a possibilidade de evitá-lo. É por isso que a segurança deve ser gestionada. Desde a ESET Latinoamérica contamos com nossa unidade de ESET Security Services, onde ofertamos serviços orientados a autoridade de segurança, estabelecendo uma forma de avaliar qual é o estado atual da mesma e propor um plano de ação corretivo.
Analista de Segurança.
Categories: Alertas, Curiosidades, Fuga de informação No Comments »	O que fazer com tantas senhas?
junho, 19, 2012 10:19 am	Até agora, no mês de junho, já foram várias comunidades on-line que sofreram ataques, como as redes sociais LinkedIn e Last.fm, que através de suas contas de Twitter e outros meios, sugeriam a seus usuários que alterassem sua senha, já que esta informação poderia ter sido afetada pelos crackers. Mais uma vez vale a pena perguntar: quão segura é a nossa informação na rede?