A frustração de reduzir a superfície de ataque em soluções open source

sexta-feira, 18 de janeiro de 2019

O desenvolvimento de softwares evoluiu muito ao longo dos últimos anos. É cada vez mais comum encontrar um cenário de desenvolvimento baseado em componentes, módulos e bibliotecas de terceiro que ajudam a resolver de forma efetiva certos problemas comuns dos projetos de software, agilizando de forma significativa os tempos de desenvolvimento.

As vantagens de utilização dos componentes são evidentes e não devem ser colocadas em dúvida, mas a realidade é que geram uma série de riscos de segurança que devem ser avaliados. O modelo de responsabilidade deve ser compartilhado em relação às vulnerabilidades e possíveis ataques, similar ao que encontramos no mundo Cloud e suas diferentes vertentes IaaS, PaaS e SaaS.

Buscando o “lado obscuro" das aplicações cliente/servidor

sexta-feira, 11 de janeiro de 2019

“lado obscuro das aplicações clienteservidor imagen

Hoje em dia quando avaliamos a segurança das empresas, encontramos dentro do pilar de vetores de ataque, tecnologias atuais como aplicações web, dispositivos de rede, apps móveis, IoT, VoIP, dentre outros. Nesse artigo, porém, não vamos tratar destas tecnologias, focaremos em uma utilizada há muito tempo e que segue operando em diversas empresas. 

Estamos falando das aplicações conhecidas como cliente/servidor, que também podem levar os nomes em inglês “fat client”, “heavy client", “rich cliente" ou “thick client”. Todas seguem, em geral, a arquitetura cliente/servidor com aplicações desenvolvida in-house ou por terceiros e implementadas pelas empresas nas estações de trabalho dos usuários. Por exemplo, uma pessoa da área de contabilidade utiliza um cliente instalado em seu computador para realizar processos contábeis que estão em frequente comunicação com o servidor central desse aplicativo. 

Uma breve e incompleta história sobre senhas: aliados e inimigos

sexta-feira, 4 de janeiro de 2019


OK, então como devem ser as nossas senhas para que sejam seguras? Devemos considerar alguns fatores. Em primeiro lugar, uma senha é um parâmetro, que passará por uma função para gerar um hash, que por sua vez será armazenado em uma base de dados. Um atacante pode usar funções que produzam o hash armazenado no banco de dados, através de tentativa e erro, adivinhando a senha definida pelo usuário. Portanto, senhas são um recurso valioso que influem diretamente na segurança ou resistência à ataques.

Honeypotting: ouvindo o que a internet tem a dizer

sexta-feira, 30 de novembro de 2018

Honeypotting: ouvindo o que a internet tem a dizer imagen

A técnica chamada Honeypot nos permite escutar a internet para monitorar as últimas ameaças digitais em curso. Através dela, podemos registrar e analisar os passos preliminares de um atacante (seja ele um bot ou humano) antes que ele inicie a infecção de sistemas. A técnica é utilizada desde o meio da década de noventa como a ponta de lança na descoberta de novos vetores de ataque.

Atualmente, os honeypots são uma importante ferramenta de acesso a dados que facilitam o trabalho de investigação e desenvolvimento de soluções orientadas a mitigar ameaças de segurança. Além disso, nos permitem criar um sistema que facilite ou complemente o trabalho de detecção de invasões nos sistemas de defesa das empresas.

Perfis profissionais de segurança da informação

sexta-feira, 23 de novembro de 2018

Perfis profissionais de segurança da informação imagen


Quais são os perfis profissionais necessários para garantir a segurança da informação em sua empresa? Hoje em dia, qualquer empresa, pequena ou grande, se encontra em pleno processo de transformação digital. Essa digitalização não afeta somente os ambientes corporativos, mas também todos os âmbitos da nossa vida, criando a necessidade de novos perfis profissionais que devem estar diretamente ligados à proteção destes ambientes.

Algumas empresas, conscientes e preocupadas em relação ao aumento de ameaças que afetam seus processos de transformação digital, confiam na segurança da informação para reduzir riscos digitais. E não é para menos, para o ano de 2020 se estima que os incidentes de segurança representarão um custo global de mais de 2 trilhões de dólares. Mesmo assim, muitas empresas ainda desconhecem os problemas e riscos criados pela ausência de profissionais de segurança qualificados.