Ladrões usam pen drives para assaltar caixas eletrônicos

Eu li uma matéria na BBC Brasil que me chamou muito a atenção e precisamos ficar atentos para que esse tipo de ataque não seja “importado” pelos criminosos Brasileiros.

Os detalhes dos ataques, realizados contra caixas de um banco europeu cujo nome não foi divulgado, foram apresentados no congresso Chaos Computing, em Hamburgo, na Alemanha, que debateu crimes cibernéticos.

Os dois pesquisadores que detalharam os ataques pediram que seus nomes tampouco fossem divulgados.

Segundo eles, esse tipo de ataque começou a ser aplicado em julho, depois de o banco notar que vários de seus caixas eletrônicos estavam sendo esvaziados apesar do uso de cofres para proteger o dinheiro dentro das máquinas.

Depois de um aumento na vigilância, o banco descobriu que os criminosos estavam vandalizando as máquinas para usar os pen drives infectados com o malware (software destinado a se infiltrar em um computador).

Uma vez que o malware fosse transferido para a máquina, eles fechavam o buraco aberto para a entrada do pen drive. Desta forma, um mesmo caixa eletrônico poderia ser atacado várias vezes.

Códigos

Para ativar o código na hora em que quisessem, os criminosos digitavam uma série de 12 dígitos que lançava uma interface especial.

Análises do software instalado em quatro caixas eletrônicos atacados demonstraram que as máquinas infectadas mostravam não apenas a quantidade de dinheiro disponível em seu cofre, mas também quais as notas disponíveis e um menu com as opções de escolha das notas.

Segundo os pesquisadores, isso permitia que os criminosos pedissem a liberação das notas de valor mais alto para minimizar o tempo em que eles ficavam no caixa eletrônico, se arriscando a serem flagrados.

Os pesquisadores que revelaram esse novo tipo de crime cibernético também notaram outro aspecto: os criminosos que usam esse tipo de malware pareciam temer que membros da própria gangue agissem por conta própria.

Por isso, para a liberação do dinheiro no caixa eletrônico, o criminoso precisa digitar um segundo código, que varia a cada vez que o software é usado.

O criminoso só pode obter esse segundo código ligando para outro membro do grupo e descrevendo a ele os números que são mostrados na tela do caixa eletrônico no momento do crime.

Sem isso, o caixa eletrônico volta ao normal depois de três minutos, como se não tivesse sido atacado.

Os pesquisadores afirmaram que o código do malware usado nos caixas eletrônicos é muito difícil de analisar.

Fonte: BBC Brasil

O Risco de usar o e-mail como uma ferramenta única para recebimento e gerenciamento de pedidos na internet

O mercado de E-Commerce (vendas on-line) está crescendo e várias pessoas já visualizaram essa opção de trabalho como uma forma de renda definitiva, deixando para trás o clássico emprego assalariado com carteira assinada.

Entrar nesse ramo pode trazer satisfação pessoal, gerência dos seus próprios horários de trabalho e acreditar que a cada dia, com o esforço próprio, ter um retorno financeiro e pessoal com o resultado do seu trabalho em sua própria empresa.

Algumas pessoas nunca tiveram uma oportunidade de trabalho com carteira assinada, benefícios sociais e tudo o que tem direito um empregado dentro de uma corporação. Mas, independente disso, tiveram o espírito empresarial e colocaram em prática uma ideia, e passaram a utilizar a internet como ponto de partida nessa conquista pela independência econômica.

A internet realmente consegue alavancar e fazer com que muitos negócios sejam levados ao conhecimento de potenciais consumidores, ficando para trás aquela limitação regional do seu negócio, situação essa vivida por quem negocia os seus produtos unicamente em uma loja física, seja em um ponto comercial no centro da cidade ou dentro de um grande Shopping.

A questão é que devemos ter em mente que a internet tanto pode facilitar o comércio dos produtos como pode trazer alguns inconvenientes que se não forem bem planejados, leva o empreendedor ao fracasso e consequentemente, abandonar a utilização da tecnologia para aumentar os seus ganhos.

Um exemplo desse panorama é alguns empreendedores se arriscarem a usar o e-mail como a única ferramenta para recebimento dos pedidos de seus clientes e não possuir um sistema de informática próprio para gerir e tratar esses pedidos, mensurando os atrasos ou a falta de confirmação por parte do cliente em algumas situações.

Algumas pessoas acreditam que o envio do e-mail é equiparado ao envio de uma mensagem instantânea, onde o e-mail após enviado levará alguns segundos para chegar na caixa postal do destinatário. Nem sempre isso acontece, principalmente em dias de grande pico na internet, algumas operadoras de internet com problemas momentâneos ou problemas de roteamento podem fazer com que os e-mails demorem horas, dias e dependendo do problema, nem cheguem a tempo na caixa postal do empreendedor para conseguir atender o pedido do cliente.

O cliente quando entra no site e quer adquirir um produto, principalmente se é comida, é porque naquele determinado momento, existem pessoas com fome e precisam saciar essa vontade em alguns minutos. Caso contrário, não estariam dispostas a entrar em contato com você pelo site para adquirir a comida com entrega domiciliar (Delivery).

A questão é: o cliente faz o pedido pelo site, preenche o formulário com os dados da refeição e ao final, clica em “enviar pedido”. O cliente até recebe um número (protocolo) de seu atendimento e o site informa o prazo considerado para a entrega. Entretanto, se esse pedido é enviado para a caixa postal do empreendedor, pode ser que esse pedido, não chegue aos olhos do atendente responsável pelo atendimento on-line.

Os motivos podem ser os mais variados: naquele momento o atendente não observou o e-mail que entrou e acabou “esquecendo” de mandar o pedido para a cozinha, congestionamento no provedor de internet que gera uma fila enorme de e-mails a serem enviados e outros vários motivos que podem levar ao atraso no recebimento do pedido do cliente enviado unicamente pelo e-mail.

Com certeza, o cliente vai ficar aguardando a entrega do produto que não vai ser enviado dentro do prazo devido à algum problema no recebimento do e-mail por parte da empresa que vendeu o produto. O cliente já deve ter passado o cartão de crédito e por fim, após uma espera considerável do pedido, vai ficar estressado em saber que o pedido dele nem foi processado conforme a informação durante a venda no site.

Além do cliente ficar insatisfeito pela demora, o empreendedor ficará mal visto por esse problema no atraso no recebimento do pedido enviado pelo e-mail, deixando de faturar pois provavelmente esse cliente vai solicitar o estorno do valor pago no cartão e cancelará a compra do produto, visto que a comida não foi entregue e você correrá um sério risco de ter o nome da sua empresa em um site de reclamação on-line pelo mal atendimento, que na verdade foi fruto de um atraso no recebimento do e-mail.

Com isso, é sempre importante trabalhar com vários meios de contato para que o consumidor consiga entrar em contato com a pessoa que está vendendo produtos no site para tirar um dúvida, cobrar a entrega ou até mesmo auxílio no procedimento da compra. Pode ser um telefone, um endereço físico da loja (se tiver) ou até mesmo um contato de mensagens instantâneas (skype, msn, etc).

Até a próxima!

O switch gerenciável e a sua utilidade dentro de um ambiente corporativo

O bom funcionamento de uma rede de computadores está ligado diretamente ao funcionamento dos ativos de redes, como roteadores, switch e modens adsl. Dependendo da criticidade ou do objetivo de uma rede, é necessário uma redundância desses equipamentos e assim, um trabalho dobrado ao gestor de tecnologia para monitorar e gerenciar o funcionamento de cada um deles.

Antigamente, era predominante a utilização de HUB’s nos projetos de rede de computadores que tinham a função de interligar os computadores de uma rede local. Com a evolução da tecnologia e a necessidade de atender a demanda de certas funções, ocasionou no surgimento do switch, que ao longo do tempo, foi o substituidor natural do hub.

A grande diferença do funcionamento de um hub para um switch está na falta da comutação entre as portas de comunicação no hub. Quando um computador quer “conversar” com outro computador, se ambos tiverem conectados por um HUB, o computador origem envia um pacote de dados e quando esse pacote chega no hub, a informação é transmitido para todas as portas do hub, ficando o computador destino com a obrigação de responder ao computador origem que a informação chegou até ele.

Dessa forma, se existirem outros computadores conectados em outras portas do hub, “escutarão” o pacote do computador origem para não responderão pois as informações não são destinados a eles. Com isso, existia um problema de captura de dados em rede utilizando programas de computador do tipo “sniffer” que capturava todos os pacotes de dados que passavam pelas portas do hub, ficando a comunicação entre os computadores envolvidos na comunicação (origem e destino) vulneráveis quanto à privacidade.

Com o advento do switch, a comutação entre as portas fez com que os pacotes de dados vindo de um computador de origem não mais são replicados em todas as portas do switch em busca do computador destino e sim, somente é transmitido para a porta específica onde o computador destino está conectado fisicamente no switch, evitando assim, uma “escuta” clandestina dos fuçadores de informação nas demais portas do equipamento.

Contudo, no switch gerenciável, é possível realizar um monitoramento do tráfego de dados que esteja passando em uma determinada porta do switch, utilizando o recurso disponível conhecido como mirror. É a possibilidade de se “espelhar” os dados que passam por uma porta e copiar as informações, transmitindo uma cópia de todas as informações de uma porta para outra porta determinada pelo administrador do switch.

Dessa forma, por exemplo, quando um administrador de rede necessitar monitorar um tráfego de dados em uma determinada porta, ele faz o mirror da porta 1 do switch para a porta 2 e assim, rodando um sniffer (como o wireshark – aplicativo modo gráfico ou um simples tcpdump – ferramenta modo texto) obter as informações de tudo o que se passa na porta 1 do ativo de rede.

Em um ambiente corporativo, esse recurso disponível no switch gerenciável pode ajudar ao especialista em TI a resolver alguns problemas relacionado ao tráfego em si ou até mesmo servir como um recurso para monitoramento dos empregados dentro da empresa pois como todo o tráfego de dados será recebido pela porta espelhada (mirror), as conversas de chat, msn, navegação na internet, envio de e-mails e vários outras informações serão conhecidas pelo gestor de TI, a exceção daquelas informações que trafegam pela rede de forma criptografada (o que ainda é uma exceção em nosso cotidiano).

Outros benefícios também pode ser utilizados com um switch gerenciável dentro de uma empresa, como por exemplo, a criação e o roteamento entre VLAN’s, verificação de throughput, consulta de tabela ARP e muito mais.

Até a próxima!

A importância de se realizar com qualidade a fase de análise dos requisitos dentro de um projeto de desenvolvimento de sistema

Desenvolver um sistema de computador não é uma atividade tão simples como pode parecer, até mesmo para os programadores mais experientes do mercado. É necessário se manter atualizado com as novas tecnologias na área, saber lidar com o cliente e acima de tudo, entender o que o seu cliente necessita e colocar em forma de um programa de computador tudo aqui se seja pedido (dentro os limites tecnológicos viáveis atuais).

A cada novo sistema de computador criado é um novo projeto a ser desenvolvido e executado pelo profissional de tecnologia. É fundamental para quem vai desempenhar o papel de analista de sistemas, dentro de um projeto, descobrir realmente o que o usuário final do programa quer com o sistema.

Durante a fase de análise do projeto é crucial investigar o problema a ser resolvido e fazer com que o programa a ser criado possa atender as necessidades pontuais do empresário, que vão desde as telas básicas de cadastros até a emissão de relatórios gerenciais que vão auxiliar o cliente nas decisões estratégicas da empresa.

Para que a etapa de análise dos requisitos seja realizada em um menor tempo possível e com uma maior precisão, deve-se ter um bom método de trabalho para evitar algum tipo de problema nessa fase que, no futuro, possa impactar na qualidade e no funcionamento do sistema quando colocado em produção dentro do ambiente corporativo do cliente.

A qualidade do processo de análise do levantamento dos requisitos é importante porque se existir um erro na concepção da ideia em que o cliente relata e o desenvolvimento do sistema seguir um rumo diferente que não vá suprir uma necessidade relatada, esse erro não detectado nessa etapa terá um custo não planejado para realizar as devidas correções no sistema no final do projeto.

A diferença entre o sucesso de um projeto e o fracasso de um projeto está no momento de se detectar a disparidade entre o que se pediu e o que se fez. Ou seja, quanto mais rápido for detectado um entendimento equivocado pelos responsáveis pelo projeto sobre a necessidade que um cliente precisa e não foi bem entendido, menor será o custo de reparação no projeto. Com isso, realizar com qualidade a fase de análise dos requisitos evita-se um custo desnecessário na fase de implantação do sistema.

O momento de se levantar os requisitos está associado ao processo de descobrir quais são as operações que o sistema deve realizar para atender as necessidades da empresa cliente, quais as restrições que o programa deve ter e nas fases seguintes, garantir que essas premissas sejam verdadeiras e testadas durante o processo de desenvolvimento do sistema.

É importante salientar que diversos tipos de requisitos devem ser levados em conta nessa fase de análise como, por exemplo, descobrir quais são os requisitos de usuários necessários para possibilitar a criação do programa. Nesse tipo de requisito estão as declarações, em linguagem natural, de quais serviços são esperados do sistema e as restrições sob qual ele deve operar (usuário).

Contudo, para que o projeto possa caminhar respeitando o cronograma planejado, é importante escolher os profissionais que estarão empenhados no projeto e a responsabilidade de cada um nas diversas etapas do processo de desenvolvimento do sistema, garantindo assim um certo controle nas ações desenvolvidas em cada fase do projeto e a qualidade final do programa que será entregue ao cliente.

Até a próxima!

A Internet como fonte primária para a realização de investigações sociais

O processo de aquisição de um novo funcionário em uma empresa privada ou pública é caracterizado por diversas etapas necessárias para que um candidato a uma vaga em aberto possa ser avaliado e, se aprovado, conquistar o seu espaço no mercado de trabalho.

Os documentos necessários para se candidatar a uma oportunidade de emprego, os requisitos básicos ou outras exigências são ditadas pelas empresas e cada uma segue o roteiro de ações a serem praticadas da forma que bem entender.

Não é necessário lembrar que a cada ano que passa, o número de candidatos por vaga tem crescido vertiginosamente e isso tende a ser ainda maior a partir do momento que a cada ano, novos profissionais são formados nas diversas áreas de atuação e que a demanda de vagas abertas não acompanha o número de novos profissionais formados pelas faculdades brasileiras.

Entretanto, ignorando o fator candidato x vaga, observamos um aumento do uso da internet por parte dos empresários (recrutadores) para fins de pesquisa social sobre os interessados nas vagas abertas. Com o passar do tempo e com a popularização da grande rede de computadores, é possível imaginar que a grande maioria dos futuros empregados estejam de alguma forma conectados na internet, e assim, é um caminho fundamental para se levantar determinadas informações pessoais que poderão ser a chave final para o tão sonhado emprego.

Nas oportunidades de trabalho em que se oferece um cargo estratégico e, principalmente os de confiança, em que algumas atividades centrais da jornada de trabalho é gerenciar pessoas e processos internos, é fundamental uma pesquisa mais profunda nos meios sociais sobre a pessoa que se interessou pela vaga. Essa busca pela informação deve priorizar, no primeiro momento, aprofundar nos antecedentes profissionais do candidato para traçar em quais empresas ele trabalhou e confirmar se as informações inseridas no currículo, entregue durante o processo de seleção, são realmente verdadeiras.

No segundo momento, é prudente que se levante o perfil social do candidato nas redes sociais e fazer um comparativo com o perfil social que a empresa busca no processo de recrutamento. Em determinadas ocasiões, é nessa hora de se utilizar a internet como fonte primária da investigação social é que a empresa descobre certos fatos que foram omitidos pelo candidato que já poderia ter o eliminado no processo de seleção.

Todavia, checar o resultado das informações obtidas por uma consulta nas redes sociais ainda é o melhor caminho para se evitar problemas ou enganos sobre uma conduta realizada na internet e que pode ser muito bem explicado pelo candidato.

Contudo, as pessoas que buscam uma oportunidade de emprego devem ficar cientes que cada vez mais, a internet está fazendo parte do processo seletivo dos futuros empregados de uma empresa ou instituição. Deve-se efetivamente separar o perfil pessoal do perfil profissional nas redes sociais e sempre pensar antes de publicar uma nova foto ou um pensamento, se aquilo pode influenciar no futuro quando tentar uma vaga de emprego.

Geralmente, os jovens de hoje não estão pensando no amanhã (momento de se procurar uma vaga de trabalho e no processo de seleção) e sim, só querem saber do dia de hoje (tentando emplacar um vídeo engraçado na internet dançando o “quadradinho de oito” e virar um sucesso na internet).

Até a próxima!

Perito Judicial: os obstáculos para se fazer da Computação Forense uma profissão

No seriado americano CSI é possível ver peritos esclarecendo crimes através de ferramentas forenses, técnicas de investigação e muito ação nas ruas. Logicamente, no seriado temos uma grande pitada de sensacionalismo dramático com as investigações de homicídio que nada se parecem com os processos de investigação de crimes eletrônicos realizados aqui no Brasil.

Entretanto, o ato da investigação e da busca permanente de evidências utilizando-se de ferramentas forenses já não são exclusividades dos seriados estrangeiros. O perito judicial quando se depara com uma lide processual em que precisa responder aos quesitos (perguntas) das partes e do juízo, necessita de conhecimento técnico para realizar o seu trabalho de perícia e já dispõe de vários softwares forenses para realizar o seu trabalho.

Não basta ler um livro específico de computação forense ou realizar um curso específico de algumas horas em sua carga horária se o futuro perito não tiver uma base educacional em tecnologia. O que percebemos no judiciário é que há uma enxurrada de laudos periciais sendo contestados por bons advogados que, com a ajuda de verdadeiros assistentes de perito e formados em tecnologia, conseguem neutralizar um trabalho investigatório em favor do seu cliente utilizando meramente os conhecimentos de tecnologia para respaldar os argumentos que derrubam um laudo pericial.

Os peritos nomeados pelo juízo, nesses laudos periciais contestados e muitos até anulados, são realizados por pessoas de “confiança” do juízo mas sem o preparo técnico para tal. São administradores de empresa, engenheiro civil e outros profissionais de diversas áreas que só participaram no processo como perito pois fizeram em algum momento de suas vidas, uma especialização em tecnologia que, a princípio, daria um respaldo técnico em ser nomeados pelo juízo.

Contudo, sabemos que muitos peritos judiciais são indicados para realizar um laudo pericial devido a aproximação com o titular do Fórum, da Comarca e do próprio Tribunal. Precisamos levar em conta que esse tipo de atitude só afasta os bons peritos que poderiam dar uma melhor contribuição ao judiciário, trazendo repostas fundadas e esclarecedores para auxiliar na decisão final de uma sentença no processo.

Ainda assim, mesmo que o profissional de TI tenha uma qualificação especial para proporcionar um cadastro inicial no fórum como perito judicial, temos que lembrar que a frequência de nomeação como perito nos processos não é de intensa ocorrência. Resumindo: dependendo da comarca, mesmo que você esteja devidamente qualificado para se tornar um perito judicial, pode ser que seja nomeado umas três vez no ano para auxiliar o judiciário com os préstimos de seu conhecimento forense. E quando é nomeado!

Dependendo da esfera que pretenda “encarar” o exercício da computação forense, como a justiça trabalhista, os honorários possuem uma referência mediana e o valor máximo pago por cada perícia realizada para o Judiciário pode não ser atraente para o candidato a perito forense. Em determinados Estados da federação, é lastimável o valor irrisório que é pago para realizar um laudo pericial e ainda pior é o momento de receber: ao final do processo, quando recebe.

O Mercado está aquecendo para a computação forense mas a demanda de cursos pelo Brasil ainda é tímida. Não existem um número expressivo de cursos de pós-graduação em computação forense. Alguns cursos divulgam uma oportunidade para se especializar em computação forense mas quando se analisa a ementa e a grade curricular, muita matéria é de segurança da informação e poucas são realmente de computação forense.

Não estou aqui desiludindo ninguém a não querer trabalhar como perito forense ou com a computação forense mas veja as possibilidades ao seu redor antes de abandonar um real emprego no momento para decidir querer viver de renda do trabalho de perito forense.

Sugiro realizar atividades e serviços de conhecimento forense de forma particular, através de consultorias nas empresas ou até mesmo atuando como assistente de perito que é pago pelas partes para acompanhar o trabalho do perito judicial. Nesse caso, o pagamento do assistente é mais tranquilo e certo de se receber com menor tempo de espera.

A computação forense tem o seu “glamour” devido ao desconhecimento por grande parte dos profissionais de TI assim como as suas ferramentas forenses. Entretanto, temos que ter pés no chão e encarar o trabalho de um perito forense como qualquer trabalho honesto e duro de se executar.

Diante do exposto, incentivo a todo interessado em aprender um pouco mais sobre computação forense e quem sabe, trabalhar nessa área. Só precisa ter um pouco de interesse, dedicação nos estudos e uma boa sorte nos seus processos investigatórios.

Quem sabe não teremos no futuro bons investigadores forenses dominando o judiciário Brasileiro?

Até a próxima!

Espionagem na Tecnologia: a sua vida está sendo “monitorada” há muitos anos

As revelações bombásticas de ex-analista contratado pela NSA (Agência de Segurança Nacional dos EUA), Edward Snowden, que deixou o EUA e foi-se refugiar na Rússia trouxe a discussão em todo o mundo a respeito do tema: Espionagem.

Já sabemos que o conhecimento é o ativo mais importante de uma empresa, assim como as pessoas que trabalham dentro dela. Uma informação sigilosa mal guardada, é passível de levar a quebra de uma empresa. Basta que um determinado projeto revolucionário seja de conhecimento do concorrente que pronto, o estrago já está feito.

Imagina então quando informações sigilosas de uma sociedade inteira está disponível para um determinado Governo? E pior, sem o consentimento e nem de conhecimento dos coitados cidadãos que acreditam que possuem algum tipo de privacidade nos dias de hoje, que tanto nos esbarramos nos verdadeiros “Big Brothers” nas ruas e nos estabelecimentos comerciais.

Não é a toa que diversos países e autoridades mundiais ficaram em uma saia justa quando determinados documentos oficiais foram divulgados para o mundo, principalmente através da organização, sem fins lucrativos, WikiLeaks. Diversos problemas diplomáticos surgiram com a divulgação de informações secretas. Espionagem?!

Vamos nos remeter ao nosso cotidiano e verificar se também não estamos passíveis de espionagem tecnológica sem ao menos termos noção desse “monitoramento” diário. Antes de tudo, posso afirmar com total convicção: se você usa a tecnologia no seu cotidiano, nem que seja para receber ou realizar ligações de celular, desculpe mas… você está sendo monitorado.

A telefonia de celular, pelo próprio nome que caracteriza a forma de funcionamento do serviço móvel de telecomunicação, que se utiliza de antenas transmissoras de sinal de celular (as chamadas ERB – Estações Rádio Base) para levar o sinal da telefonia ao seu aparelho telefônico.

É a comunicação do seu celular com as várias antenas de celular em sua cidade que permite você se deslocar entre os bairros e municípios, falando no celular sem que a ligação seja interrompida (conhecido como Roaming). Quando isso acontece (a queda de sinal e é um gerador de reclamação nos Procons Estaduais) é porque uma determinada região está fora da área de cobertura de uma dessas antenas.

Mas o que tem a ver o sistema de telefonia celular com a espionagem tecnológica? Vou explicar: o seu celular enquanto passa de antena a antena para garantir que tenha sinal eu seu aparelho, existe uma comunicação entre as antenas ERB e o seu celular. Com isso, todo os seu percurso e trajeto dentro da cidade, fica registrado no sistema informatizado da operadora de telefonia por onde você passar, por onde passou e onde você está nesse momento. Em qual antena ERB, qual latitude e longitude (geolocalização).

Ou seja, se você tiver inimigos dentro da operadora de celular e alguém, mesmo que de forma ilícita, quiser saber onde você se encontra, basta acessar o sistema interno da operadora e te localizar em qual antena seu celular está “conectado”, ou melhor, recebendo o sinal de celular. Isso não é espionagem?

Não vamos muito longe. A navegação na internet é rica em rastros deixados no computador para indicar quando você acessou determinados sites, quais assuntos você frequentemente pesquisa no Google e assim, as empresas conseguem traçar o seu Perfil Econômico para divulgar produtos e serviços que tendem a se encaixar nas suas preferências.

Alguns vão falar que basta não aceitar os “cookies”, realizar a navegação privativa e outros recursos que dificultam essa “espionagem eletrônica”. Certíssimos! Mas convenhamos, esse procedimento de navegação é o padrão de todos internauta conectado na internet?

Claro que não! Você usa o gmail, hotmail, ou outro webmail gratuito? Já percebeu que os anúncios que aparecem em sua caixa postal ou dentro da plataforma do webmail, em forma de banners, são de produtos ou serviços que encaixam nas suas preferências pessoais ou profissionais?

Por exemplo, no gmail recebo anúncios de softwares, equipamentos de informática, ferramentas, etc. Como o gmail sabe disso? Bola de cristal? Nada, nesse caso, basta um algorítmico no webmail do gmail para percorrer os meus e-mails recebido e enviados e realizar uma indexação das palavras mais trocadas nos e-mails para se montar um perfil meu e assim, oferecer os produtos que mais tenho falado em meus e-mails.

O caso que mais chamou a atenção na mídia é os EUA gravarem todas as suas conversas que um dia você teve no Skype, MSN e outros meios. O servidor principal dessas plataformas ficam onde mesmo? Quando você loga, a sua base de dados com o seu cadastro na rede social está aonde? Em um servidor no Brasil? Claro que não. Está lá, na terra do Tio Sam.

Basta o Governo americano suspeitar de uma mensagem sua para você ser monitorado 24h. Se tiver conteúdo de terrorismo então, nem pense nas consequências. Aí que a espionagem acontecerá mesmo.

Ainda no Gmail, você pode perceber que as informações de quem acessa a sua conta e de qual IP você conectou o seu gmail, está tudo disponível para eles. Quer ver? Entre na sua conta do Gmail e ao final da página da caixa de entrada, no canto direito inferior da tela, procure por “Details” (“detalhes” para quem usa o tema em português – Brasil). Ficou surpreso? Olha a lista dos IP’s de onde você estava para entrar na sua conta, a data, a hora, a versão no navegador… Se você tem a informação é porque eles também tem. E pior, desde de quando você criou a sua conta.

Poderia dar inúmeros exemplos aqui mas eu só quero levar ao debate que não podemos nos surpreender quando alguém falar que estamos sendo espionados na internet. Já abrimos há muito tempo mão da privacidade em nome da comodidade (no casos de ter uma conta de e-mail sem pagar em troca do servidor saber o que eu gosto e o que eu ando fazendo).

Tem gente que se inscreve para determinados programas de televisão para expor toda a sua intimidade em troca de dinheiro. O que esperar então da tecnologia?

Só nos resta uma coisa: ter cuidado com aquilo que ainda temos controle porque de resto, o que você achava que era só seu, já faz parte da internet (e de todos) há muito tempo.

Até a próxima!

Algumas competências que todo profissional de Segurança da Informação deveria ter

Em um mercado competitivo e dinâmico, o profissional de tecnologia precisa se atualizar constantemente com as novas tecnologias que surgem para evitar ficar desatualizado e perder boas chances de trabalho por falta de qualificação técnica.

Entretanto, algumas competências profissionais não são necessariamente ligadas à tecnologia em si. São habilidades necessárias para um bom desenvolvimento do trabalho ligado a Segurança da Informação.

Por exemplo, é de suma importância que as pessoas que queiram trabalhar com segurança da informação saiba identificar o problema de segurança e tratá-los. Não adianta encontrar uma falha e não ter a menor ideia de como resolver. Encontrar a falha não quer dizer problema resolvido. Muitas pessoas passam com os olhos pelo problema e nem desconfiam qual é a origem da falha por simplesmente desconhecer alguns preceitos básicos da área, como atualizações, hotfix e fóruns especializados.

Nesse mercado, é importante resolver vulnerabilidades no menor tempo possível (logicamente quando as soluções são compatíveis com o que se espera) para evitar prejuízos maiores. Todavia, é necessário ter a competência de analisar se uma solução sugerida serve para determinadas falhas encontradas.

Outra competência básica para um profissional de segurança da informação é ter conhecimento das normas/procedimentos que regem determinadas áreas, como ABNT, SOX, RFC, etc. Dependendo do mercado que o profissional irá atuar, a empresa como um todo tem que atender as exigências de uma determinada norma. Por exemplo, as empresas bancárias/financeiras para entrar na bolsa de valores americana, devem seguir a norma SOX (Lei Sarbanes-Oxley).

Nessa norma, exige-se a criação de mecanismos de auditoria e controle de segurança confiável nas empresas, incluindo a criação de comitês internos para minimizar os riscos aos negócio, mantendo um controle nas operações e atividades da empresa, garantindo a rastreabilidade de qualquer ação realizada em seus sistemas e processos internos.

Executar constantes testes de segurança nos sistemas internos da empresa e emitir um laudo sobre a situação atual é dever inerente para quem trabalha nessa área. É através dos relatórios do resultado de testes de vulnerabilidade é que o profissional poderá tomar determinadas ações ou pelo menos planejar como e quando agir.

Não se pode esperar pelo pior (como a invasão dos sistemas ou paralisação total dos serviços) para entrar em ação. A inércia é um fator determinante para o fracasso de uma organização em relação as questões de segurança da informação pois dependendo do problema encontrado, o trabalho para correção pode ser inviável e aí, as consequências negativas graves serão inevitáveis.

É necessário a criação de procedimentos de investigação e busca de evidências para situações que exijam uma intervenção mais técnica e profissional para levantar a autoria de determinadas situações, algumas delas até criminosas. O ato de um funcionário apagar arquivos sigilosos da empresa ou alguma informação ser repassada para terceiros (sem ter autorização ou mediante suborno), é necessário investigar e chegar na autoria desse crime.

Com procedimentos claros e objetivos, o tempo para executar o processo de investigação será menor pois as ferramentas, o “onde” e “como” procurar está todo descrito no procedimento e que o profissional de segurança da informação saberá exatamente como agir nesses casos.

Com isso, percebemos que não é só de tecnologia que devemos saber quando falamos sobre segurança da informação. Algumas competências intrínsecas ao perfil desse funcionário devem ser atendidas para que a real segurança da informação não fique apenas no nome do cargo, e sim, na atividade fim.

Até a próxima!

A Importância do uso de uma Real-Time Blackhole List dentro de uma organização corporativa

O desenvolvimento da informática faz com que as empresas se automatizem cada vez mais nos seus processos internos, trazendo inúmeros benefícios para os empresários e para os seus funcionários. Essa automatização tem um papel fundamental no sucesso do negócio pois a concorrência no mercado é tão grande que se o empresário não souber gerir direito o seu empreendimento, estará fadado ao fracasso financeiro ou perder grandes clientes por falta de agilidade e competência.

Agregado a otimização, a empresa necessita divulgar o seu produto/serviço no mercado para conseguir alcançar o consumidor final para que ele compre ou pelo menos tome ciência do que está sendo comercializado. Essa divulgação nada mais é do que a realização da publicidade do produto, uma técnica utilizada no marketing que tem como objetivo de criar ou mudar os hábitos do consumidor para levá-los a adquirir o que se está ofertando.

E com isso, podemos observar a utilização de uma das estruturas do Marketing (conhecidos como os 4 P’s – Produto, Preço, Ponto de Vendas e Promoção) que é a promoção do produto, um esforço persuasivo de comunicação a respeito da organização como forma de comunicação promocional comumente utilizada pelas empresas e organizações para se comunicarem com o seu mercado.

Entretanto, o que temos visto ultimamente é a utilização de ferramentas de promoção em massa que se contrapõe à venda pessoal, abusando excessivamente de envio de e-mails promocionais diários sobre o mesmo produto/serviço, ocasionando em um recebimento e envio de milhares de e-mails de divulgação para toda a parte do mundo.

A consequência imediata desse uso de divulgação em massa é o trânsito de milhares de mensagens virtuais trafegando na internet e muito desses e-mails acabam só fazendo volume desnecessários nas caixas postais dos destinatários, que nem sempre possuem o perfil do consumidor relacionado ao produto em questão.

Esses e-mails indesejáveis que acabam poluindo as caixas postais dos usuários são conhecidos como spam. Para uma empresa, é perda de tempo e produtividade ficar deletando esses spam pelos seus funcionários, que gastam minutos preciosos de produção para simplesmente limpar a sua caixa postal com mensagens virtuais promocionais. E o pior que o recebimento desse tipo de e-mail se repete todos os dias e se não tiver uma solução adequada, seria o mesmo que secar o gelo com toalha de papel.

Uma forma de minimizar esse impacto na organização, é fundamental que os profissionais de TI configurem em seus servidores de e-mail o uso do Real-Time Blackhole List, que são listas “negras” de IP (endereços ip de computador) gerados por organizações internacionais relacionando os computadores que geram spam na internet.

Cada órgão tem o seu critério para inserir ou remover da lista os endereços IP suspeitos de enviar spam pela internet. Quando queremos que o nosso servidor de e-mail, dentro da empresa, consulte uma dessas lista para verificar se o IP de origem é um spam conhecido, o servidor tem que está configurado para buscar o ip do servidor de origem na Blacklist (lista negra) informada nas configurações de nosso servidor corporativo. Caso esteja cadastrado, o seu servidor de e-mail irá ignorar a conexão e assim, sua caixa postal corporativa não receberá o tal temível spam.

Agora, se você quer utilizar uma outra forma de controlar o recebimento de spam (e que dá mais trabalho) é fazer com que, por padrão (default), o seu servidor de e-mail negue todas as conexões de servidores de origem e somente receberá o e-mail origem após o seu servidor de e-mail consultar uma Whitelist (lista branca) onde constará o IP dos servidores de e-mail de origem que não são conhecidos como spam.

Eu não aconselho utilizar a técnica do whitelist porque basta uma oportunidade do servidor “legítimo” que se encontra nesse tipo de lista branca enviar um spam para que a sua empresa receba o e-mail indesejável. Se você pesquisa em uma lista negra antes de receber um e-mail, é mais provável a recusa de um servidor que você nunca teve contato pois esse servidor de spam basta entrar na lista negra que automaticamente o seu servidor de e-mail começará a recurar o recebimento de e-mails dessa origem.

Já na lista branca, um servidor que antes não era classificado como spam e agora passa a ser, você como administrador de TI vai ter que retirar da lista branca manualmente para que impeça o recebimento de e-mails.

Portanto, a importância no uso de uma lista de consulta em tempo real de possíveis servidores como spam, torna o processo de recebimento de e-mails mais otimizado e diminui o risco das caixas postais corporativas ficarem repletas de mensagens indesejáveis. Claro que alguns desses e-mail vão ser entregues mas como sabemos, nada na informática é possível ter 100% de êxito.

Segue abaixo alguns exemplos de listas RBL para se configurar no seu servidor de e-mail:

Você também pode pesquisar manualmente se um determinado IP está em alguma lista negra. Acesse o link abaixo e digite o IP suspeito:

Até a próxima!

A Influência da Tecnologia na Vida Profissional e Social

O mercado de trabalho na área de tecnologia está sempre em busca de profissionais de TI para suprir a demanda das empresas e algumas pesquisas indicam que sobram vagas e faltam pessoas especializadas para as oportunidades de trabalho.

Mas como justificar a sobra de vagas no mercado de trabalho se existem diversos profissionais de TI qualificados com graduação, especialização e até mesmo certificação em tecnologias específicas? Uma das respostas para essa situação no mercado pode está relacionado a uma palavra: comportamento.

Alguns sites de rede social profissional, como o LinkedIn, tem como objetivo que as pessoas criem sua rede (networking) profissional para ser um referência de trabalho no mercado. Desse modo, os profissionais podem ir em busca de oportunidade de emprego e apresentar o seu currículo no formato digital, bastando indicar o link de seu perfil profissional para que o empregador tenha como se embasar na decisão de contratar ou não o candidato ao cargo.

Entretanto, nada disso adianta se o profissional de TI que está em busca de oportunidades não tiver um comportamento adequado nas redes sociais. Não é de hoje que observamos pessoas perdendo emprego, sendo processadas ou até mesmo sendo hostilizadas na internet devido a um comentário ou uma opinião postada em uma rede social com cunho racista ou criminosa.

As empresas estão cada vez mais pesquisando na internet o perfil dos candidatos às vagas ofertadas para saber qual é o perfil de cada pretendente. E é nessa hora que os profissionais dão conta que as suas ações no passado nas redes sociais vão refletir no mercado de trabalho.

A nova geração, a conhecida “geração y” (os nascidos a partir da década de 90), está hoje mais preocupada em virar uma celebridade virtual e esses jovens fazem de tudo para ter o maior número de acessos em seus vídeos engraçados postados no youtube, mas não pensam que esse mesmo vídeo de hoje, pode ser o fator eliminador de uma futura vaga dentro de uma empresa.

É normal dentro das empresas, que em determinadas fases de um processo de contratação de novos funcionários, que os candidatos tenham a sua vida social consultada pelas redes sociais.

Entretanto, quem souber aproveitar, vai utilizar a tecnologia como uma ferramenta alavancadora para o seu sucesso profissional. A velocidade com que as informações são transmitidas, tecnologias sendo discutidas, legislação necessária para atender a demanda da sociedade… tudo isso são fontes enriquecedoras para criar formadores de opinião e não para criar artistas virtuais momentâneo.

Segue abaixo, um vídeo muito enriquecedor com um debate em uma mesa redonda sobre a influência da tecnologia na vida profissional e social:

A Influência da Tecnologia na Vida Profissional e Social – Parte 1

A Influência da Tecnologia na Vida Profissional e Social – Parte 2