Ataques deixam site da Presidência fora do ar

Monica Campi, de INFO Online
Segunda-feira, 03 de janeiro de 2011 - 10h58

SÃO PAULO – Um dia após a posse da presidente Dilma Rousseff, o site da Presidência da República ficou fora do ar durante boa parte do domingo (02).


Embora o governo tenha afirmado que o problema na página ocorreu devido a uma falha técnica, um grupo de crackers chamado “Fatal Error Crew” assumiu a responsabilidade pelos ataques através de sua página no Twitter.

De acordo com o grupo, o site sofreu uma onda de ataques de negação de serviço (DDoS), que deixou a página inacessível desde a manhã de domingo até o início da noite.


O grupo promete realizar mais ataques durante o dia de hoje apontando o Portal Brasil como próximo alvo. Os ataques, porém, não trazem nenhuma explicação da motivação para os mesmos.

Grampos de dados em provedores de Internet podem ser alvo de hackers

Por Network World/EUA
Publicada em 30 de julho de 2010 às 15h24

Diretor da IBM revela que roteadores da Cisco usados para grampos autorizados pela Justiça podem facilitar ação de bisbilhoteiros infiltrados.

O mecanismo embutido que permite a muitos provedores de Internet grampear as comunicações para colaborar com investigações policiais está sujeito a abusos de pessoas infiltradas que trabalham para esses mesmos provedores.

Isso poderia resultar na invasão das comunicações por pessoas e organizações que não têm a aprovação judicial necessária, alertou Tom Cross, diretor de pesquisas da divisão X-Force Research da IBM, durante a conferência de segurança Black Hat 2010.

Os roteadores da Cisco que exploram as redes internas do provedor têm uma fraqueza: eles não criam armadilhas quando passwords inválidas são experimentadas de forma contínua, como seria o caso se alguém tentasse encontrar uma senha usando força bruta. Isso deixa a máquina aberta a ataques e não fornece qualquer aviso aos administradores de rede.

Além disso, os logs que seriam gravados pelo roteador quando este recebesse tráfego de uma armadilha podem ser desligados. Dessa forma, não haveria rastro para auditar, pois não seriam feitos registros do grampo efetuado, disse o diretor da IBM.

Sem rastros
“Para mim, isso é bizarro”, argumentou Cross, porque assim fica impossível demonstrar que alguém grampeou as comunicações ilegalmente. Ele disse entender que as autoridades queiram o recurso porque ela previne que pessoas internas ao provedor verifiquem os logs para identificar o que a polícia estaria grampeando para, a seguir, avisar as pessoas e empresas sob investigação. Mas ele insiste: “Não há como ver se uma pessoa está mentindo se ela disser que não grampeou uma linha”.

Outra fraqueza é que o roteador pode enviar os dados grampeados para qualquer lugar, não apenas para o aparelho mediador da rede do provedor que supostamente seria utilizado para receber os dados grampeados, disse.

Ter acesso aos roteadores-chave é difícil a quem está de fora das redes do provedor de serviço, mas as pessoas com acesso à rede do provedor poderiam fazê-lo relativamente fácil, disse. “É meio caminho andado para os hackers”, disse Cross. “é um caminho mais fácil e barato de se eusar e o mais provável de ocorrer”, disse.

O problema é mais complexo, completou o executivo, porque muitos dos aparelhos usados em esquemas de grampo não são abertos para avaliação pública. Cross disse que ganhou conhecimento sobre a implementação da Cisco porque a empresa o apresentou para avaliação pública quando o submeteu como um padrão ao IETF, a força-tarefa de engenharia da Internet. Outros aparelhos não têm de atingir padrões e o modo como funcionam é mantido em segredo, disse.

(Tim Greene)

Curso no RJ certifica ‘hackers do bem’

Por Redação do IDG Now!
Publicada em 31 de março de 2010 às 15h51

Treinamento em segurança apoia-se em certificação reconhecida pelo Departamento de Defesa dos EUA.

O Rio de Janeiro receberá entre os dias 3 e 8 de maio um curso voltado para “hackers do bem”, isto é, pessoas que estejam interessadas em conseguir uma certificação internacional de segurança da informação.

O curso será baseado no Certified Ethical Hacker (CEH), uma certificação reconhecida pelo Departamento de Defesa dos Estados Unidos e que identifica profissionais com habilidades de encontrar vulnerabilidades e fraquezas de um sistema.

Os participantes aprenderão a escanear, testar e proteger sistemas, além de conhecer abordagens de detecção de invasões, criação de políticas de segurança, engenharia social, ataques DDoS e criação de vírus.

A carga horária total é de 48 horas, divididas ao longo dos seis dias do evento. As inscrições podem ser feitas pelo site da Clavis, organizadora do curso. e custam cinco parcelas de 364,16 dólares (haverá descontos para matrícula antecipada e em grupo).

5 jogos sobre hacking

por James Della Valle

Sou fã de simulações. Coloque um Sim City 2000 na minha frente sou capaz de sumir por uma semana. Também gosto de segurança da informação. Seria épico se alguém criasse algo que pudesse misturar essas duas coisas em um único jogo…

A verdade é que eles existem e não são poucos. Basta perguntar ao Google e ele trará dezenas de resultados. A maioria são webgames no modelo “máfia” que surgiram pela rede, mas alguns são clássicos que merecem uma atualização (sim, são velhos).

Vamos ao meu turno no blog de listas:

5 – Deus EX

Um clássico que misturou o gênero FPS com RPG em um ambiente ciberpunk. Criado em 2000 pela Ion Storm Inc., e distribuído pela Eidos, o título não era exatamente um jogo sobre hacking, mas contem elementos que são utilizados na evolução do personagem durante a história. Invasão de terminais é um deles, por exemplo.

4 – Street Hacker

O título é de 2004 e inspirado no top desta lista. Ele traz mais recursos gráficos e opções um pouco mais avançadas que os seus irmãos. Você encarna um hacker pobretão que deve fazer o trabalho sujo para um executivo. Suas armas são vermes e cavalos de troia, utilizados para roubar informações e invadir sistemas.

3 – Hacker Evolution

Esse é mais recente de 2007. O problema é que ele não ficou tão marcado na memória das pessoas. Sua função aqui é evitar um desastre que pode acabar com o mundo. Um dos clichês mais utilizados no universo dos games. O jogadores têm que usar suas habilidades mentais para resolver situações complicadas. Sempre envolvendo a invasão da máquina alheia. Já tem uma versão mais recente por aí…

2 – DECKER

Épico. Podem reclamar dos gráficos toscos, mas essa variação futurística do gênero roguelike (invasão de masmorras e afins) é um clássico. Você recebe a missão, entra na máquina e completa seus objetivos.

Com o dinheiro, você compra programas e faz upgrade no equipamento. Simples e divertido. Você pode fazer upgrades nos itens que adquirir. Bem que alguém poderia fazer um remake com uma interface moderna…

1 – Uplink: Hacker Elite

O topo da montanha. A cereja do bolo. Uplink, feito pela Introversion em 2001, é uma ótima simulação sobre hacking. Os desenvolvedores de Hacker Evolution e Street Hacker se apropriaram de várias idéias e sistemas desse título, mas não mandaram tão bem na hora da execução.

Você é um hacker com um sistema que lembra mais um 386. Seu objetivo é ganhar dinheiro invadindo sistemas e roubando dados. Algumas missões pedem para que você altere as notas do filho de um figurão, fazendo o garoto passar de ano.

Para garantir que não será pego, você precisa melhorar sempre seus programas e hardware. Além disso, você pode utilizar vários pontos de conexão ao redor do mundo para despistar os especialistas e federais que querem te derrubar. Falhar dói no seu bolso.

Uma das partes mais engraçadas é que ele reconhece seu sistema operacional e reflete isso nos ícones que o representam no jogo.

Claro, existem outros jogos com hacking envolvido. Quem topa indicar algum?

Ford prepara sistema contra hacks

James Della Valle, de INFO Online
Segunda-feira, 15 de março de 2010 - 11h55

Edge virá com sistema de segurança digital

SÃO PAULO – A montadora Ford anunciou o desenvolvimento de um sistema para evitar que carros que utilizam a tecnologia Wi-Fi sejam hackeados.


Segundo o Dark Reading, o dispositivo deve acompanhar o Ford SYNC, que funciona como um centro de entretenimento desenvolvido em conjunto com a Microsoft.

A tecnologia deve aparecer até o final deste ano, junto com os novos modelos conhecidos como Ford Edge e MKX Lincoln. Eles utilizaram uma versão do Windows CE e um navegador customizado.


O SYNC trará um modelo de criptografia para sua rede sem fio (WPA2), além de firewalls que devem separar os sistemas de informações vitais para o carro dos programas de entretenimento. A medida deve garantir que um não afetará o outro em caso de invasão.


A interface MyFordTouch trará um serviço de proteção contra malware, responsável por barrar códigos maliciosos que tentem acessar o computador do veículo.

Quando um hacker torna-se popstar

Entrevista: Kevin Mitnick, ex-hacker e consultor de segurança
domingo, 31 de janeiro de 2010 15:17
por Jocely Auricchio

Kevin Mitnick foi um dos primeiros hackers a ganhar projeção. Passou 5 anos preso, um deles na solitária, depois de invadir redes corporativas, hackear telefones e clonar celulares. Solto em 2000, ganha a vida com livros, palestras e consultorias. Para Mitnick, a principal brecha de segurança está nas pessoas: uma simples entrevista para descobrir hábitos de consumo pode esconder iscas que ajudam o hacker a formar um perfil da vítima. Informações como o nome do cachorro dão dicas sobre senhas. Após palestra na Campus Party, Mitnick falou ao Link.



Você é um ícone para uma geração de hackers.

Isso acontece porque o governo americano violou meus direitos civis. Não que eu não devesse ser processado, mas virei bode expiatório. A solitária, a demora no julgamento, esse circo foi armado para aumentar a verba para lidar com ameaças digitais.



Você inspirou filmes, não?

Escritores pesquisam casos reais para escrever roteiros de filmes de hackers. Mas nenhum representou o que acontece. Hackers, A Rede e Senha: Swordfish são péssimos.



Na sua opinião, o que aconteceu no caso Google x China?

É apenas uma suposição, mas o que o Google sofreu foi um ataque "dia zero". Uma vulnerabilidade do software (o Internet Explorer 6) foi explorada. Para alguns membros da imprensa, isso foi espionagem industrial. E uma certa agência federal acredita que os chineses estão por trás disso, para afetar empresas como Cisco, Google e outras para roubar tecnologia. Há muitos rumores sobre intenções sombrias da China, mas vai saber. Eu posso me conectar a uma rede e fazer parecer que estou na China. O que me surpreende é que essas empresas ainda usem IE 6, quando estamos no IE 8, isso é mau gerenciamento de atualizações.



Esse tipo de ataque é a nova face do terrorismo?

Não. Terrorismo é explosão de avião, homem-bomba. Acredito que organizações terroristas usam a web para pesquisa e comunicação. O objetivo de ataques terroristas é assustar as pessoas...



Mas o Google ficou assustado.

O Google só ficou irritado. São negócios. A espionagem industrial é séria, mas não tão séria como a morte de inocentes.



Como foi a transição de hacker para consultor de segurança?

Quando fui solto em 2000, eu não podia tocar em nada tecnológico. Não podia nem ligar para uma empresa aérea e reservar uma passagem sem violar minha condicional. Depois de 2 anos, pude escrever meu primeiro livro, mas para isso eu tive uma permissão especial para usar um PC desconectado. Só tive liberação de uso em 2003 e pude abrir minha firma de segurança. As coisas mudaram. Quando eu era hacker, ninguém contava com firmas externas de segurança.



Há diferenças entre crackers e hackers?

Para mim, hackers exploram a tecnologia, modificam um computador para ter um desempenho melhor ou exploram falhas e vencem obstáculos. Cracker só rompe códigos de proteção de programas.



Existe hacker bom ou ruim?

Hackear é como construir uma casa usando um martelo. A mesma ferramenta pode ser usada para atacar alguém.

Mente hacker

Denny Roger é analista de segurança de redes

Publicada em 14 de dezembro de 2009 às 15h39Atualizada em 14 de dezembro de 2009 às 15h48

Governança corporativa
Investimentos para proteger a informação nem sempre freiam as ações dos crackers.
Somos dependentes da tecnologia da informação. Ela se tornou parte integrante do cotidiano da nossa vida privada e nos negócios. Utilizamos o internet banking para pagar contas, acessamos redes sociais para interagir com nossos amigos e clientes, publicamos informações corporativas e pessoais através do Twitter etc.

Embora ofereçam funcionalidades inéditas, essas novas tecnologias também introduzem novos riscos e um ambiente mais difícil de controlar e monitorar. Uma vulnerabilidade de segurança terá um grande impacto na vida pessoal e nos negócios corporativos.


Todos estão preocupados com a privacidade de suas informações e perdas nos negócios. Conseqüentemente, a segurança da informação hoje é parte da governança corporativa. Podemos constatar que os investimentos em segurança estão ligados ao risco real de uma vulnerabilidade impactar sua vida pessoal ou os negócios da sua empresa.


Hoje as pessoas estão preocupadas em ter um firewall pessoal, um bom antivírus e antispam instalados. As empresas realizam avaliação de risco para auxiliar os tomadores de decisão. Mas a segurança da informação exige uma melhoria contínua dos processos, e isso não está ocorrendo.

Vulnerabilidades

As empresas continuam com os mesmos problemas após investirem em tecnologias de segurança, tais como firewalls, antispam, sistema de detecção de intrusos, antivírus etc. Os hackers provaram que é possível acessar informações confidencias (pessoais ou corporativas) explorando vulnerabilidades nas aplicações, atropelando todas as tecnologias de segurança comentadas anteriormente.

Toda vez que especialistas mundiais em assuntos sobre segurança da informação discutem avaliação do Sistema de Gestão da Segurança da Informação (SGSI), a pergunta mais comum é: “como avaliar o nível de maturidade do SGSI em uma organização?.”


A realidade é que, na opinião de alguns especialistas que tentam utilizar alguma metodologia sobre níveis de maturidade para os processos focados na segurança da informação, tais modelos são subjetivos ou estão incompletos.


Sempre que a oportunidade se apresenta, diretores e gerentes de TI, bem como consultores e analistas de segurança da informação, costumam fazer precisamente essas perguntas sobre a avaliação do nível de maturidade do SGSI: como eu sei a situação atual da minha empresa em relação à segurança? Quais processos precisam de melhoria de acordo com a estratégia da organização? Os investimentos em segurança estão resolvendo os problemas? Os resultados obtidos estão na mesma proporção do que gastamos?

O objetivo da avaliação do nível de maturidade de segurança da informação pode ser definido como a soma de "melhores práticas" para diagnóstico e avaliação de maturidade do SGSI em uma organização.

Padrões


Dessa forma, a organização consegue mapear a situação atual, estabelecer e monitorar passo-a-passo as melhorias dos processos rumo à estratégia da organização e comparar com a situação das melhores organizações no segmento (benchmarking) e com padrões internacionais (por exemplo, ISO/IEC 27002).

Devem também desenvolver um plano de crescimento da maturidade estruturado em efetuar uma ligação entre o planejamento estratégico da empresa e a segurança da informação. Assim, os objetivos de segurança podem ser mais bem avaliados.


Embora existam muitos profissionais preocupados com essas questões, a mais proveitosa sempre foi identificar quais processos precisam de melhoria de acordo com a estratégia da organização.


Seja como for, é importante observar que a criação de um plano de crescimento a curto e longo prazos é indispensável para tornar os processos avaliados mais robustos e precisos.

É possível ainda registrar as dimensões presentes em cada nível de maturidade. Ou seja, a organização irá identificar a taxa de satisfação das necessidades de negócios e objetivos de segurança de acordo com o alinhamento estratégico, competência comportamental, estrutura organizacional, informatização, metodologia e competência técnica.

O assunto ganhou destaque há pouco tempo por meio de relatos críticos de organizações que necessitam de um guia para ações das melhorias dos processos de segurança da informação.


É importante comentar também que o diagnóstico e a avaliação do nível de maturidade de segurança da informação representa a metodologia mais adequada para demonstrar quão hábil uma organização está em relação à gestão dos processos de segurança da informação.

Denny Roger é diretor da EPSEC e da Associação Brasileira de Segurança da Informação (Abrasinfo), membro Comitê Brasileiro sobre as normas de gestão de segurança da informação (série 27000), especialista em análise de risco, projetos de redes seguras e perícia forense. E-mail: denny@epsec.com.br.

Inscrições abertas para Hackers no TSE

Sem nada para fazer? Que tal se inscrever no Tribunal Superior Eleitoral (TSE) para tentar atacar os sistemas que controlam as urnas eletrônicas brasileiras?


Isso mesmo. O TSE abriu nesta sexta-feira(11) inscrições para pessoas que queiram contribuir à segurança das próximas Eleições. Mas, não basta chegar ao orgão com a cara e a coragem e tentar hackear o equipamento.

Para ser um “investigador”, como o TSE chamará os voluntários, é necessário apresentar um plano de ação, em um formulário específico do tribunal, descrevendo todo os procedimentos e os equipamentos que pretende usar para quebrar a segurança das urnas. O plano será analisado e, se aprovado pelo Tribunal, poderá ser colocado em prática. O resultado dos planos aprovados pelo órgão sai no dia 26 de outubro, no Diário Oficial da União.

O “investigador” terá a disposição equipamentos fornecidos pelo TSE para realizar a operação como: material de escritório, máquinas com Linux e Windows, impressoras, ferramentas e softwares que não sejam proprietários. também será neecessário assinar um termo se comprometendo a repassar todos os detalhes do procedimento de tentativa de quebra da segurança da urna mesmo que não tenha obtido êxito na tarefa.

Segundo o TSE, as melhores contribuições serão premiadas.

Para mais informações acesse o site do TSE.