Campanha de conscientização de funcionários

terça-feira, 5 de fevereiro de 2019

Campanha de conscientização de funcionários imagem

Hoje em dia está mais do que comprovado que o elo mais fraco na corrente de cibersegurança é o funcionário. São eles o objetivo principal da maioria das campanhas de engenharia social, sejam através de e-mails (phishing), chamadas telefônicas a um técnico de suporte (vishing) ou arquivos anexados que pareçam interessantes. 

Extensão na Chrome Web Store ativa há um ano rouba dados de cartão de crédito

terça-feira, 22 de janeiro de 2019

Detectamos uma extensão para o navegador Google Chrome, ainda ativa, que rouba dados de formulários nas páginas visitadas pelas vítimas. O complemento do navegador, que ainda se encontra disponível na loja de extensões do Chrome, está ativo desde fevereiro do ano passado. Ele, no entanto, não aparece nas buscas da web store e só pode ser acessado através de um link que os atacantes estão distribuindo por meio de injeções de JavaScript em páginas que direcionam o usuário para a extensão.

Chrome web store Javascript Segurança imagem



A frustração de reduzir a superfície de ataque em soluções open source

sexta-feira, 18 de janeiro de 2019

O desenvolvimento de softwares evoluiu muito ao longo dos últimos anos. É cada vez mais comum encontrar um cenário de desenvolvimento baseado em componentes, módulos e bibliotecas de terceiro que ajudam a resolver de forma efetiva certos problemas comuns dos projetos de software, agilizando de forma significativa os tempos de desenvolvimento.

As vantagens de utilização dos componentes são evidentes e não devem ser colocadas em dúvida, mas a realidade é que geram uma série de riscos de segurança que devem ser avaliados. O modelo de responsabilidade deve ser compartilhado em relação às vulnerabilidades e possíveis ataques, similar ao que encontramos no mundo Cloud e suas diferentes vertentes IaaS, PaaS e SaaS.

Buscando o “lado obscuro" das aplicações cliente/servidor

sexta-feira, 11 de janeiro de 2019

“lado obscuro das aplicações clienteservidor imagen

Hoje em dia quando avaliamos a segurança das empresas, encontramos dentro do pilar de vetores de ataque, tecnologias atuais como aplicações web, dispositivos de rede, apps móveis, IoT, VoIP, dentre outros. Nesse artigo, porém, não vamos tratar destas tecnologias, focaremos em uma utilizada há muito tempo e que segue operando em diversas empresas. 

Estamos falando das aplicações conhecidas como cliente/servidor, que também podem levar os nomes em inglês “fat client”, “heavy client", “rich cliente" ou “thick client”. Todas seguem, em geral, a arquitetura cliente/servidor com aplicações desenvolvida in-house ou por terceiros e implementadas pelas empresas nas estações de trabalho dos usuários. Por exemplo, uma pessoa da área de contabilidade utiliza um cliente instalado em seu computador para realizar processos contábeis que estão em frequente comunicação com o servidor central desse aplicativo. 

Uma breve e incompleta história sobre senhas: aliados e inimigos

sexta-feira, 4 de janeiro de 2019


OK, então como devem ser as nossas senhas para que sejam seguras? Devemos considerar alguns fatores. Em primeiro lugar, uma senha é um parâmetro, que passará por uma função para gerar um hash, que por sua vez será armazenado em uma base de dados. Um atacante pode usar funções que produzam o hash armazenado no banco de dados, através de tentativa e erro, adivinhando a senha definida pelo usuário. Portanto, senhas são um recurso valioso que influem diretamente na segurança ou resistência à ataques.