FISL 11 – Final de feira

O último dia do evento foi um tanto quanto vazio, se comparado a outros dias. Muita gente já tinha programado para voltar para suas cidades de origem durante o último dia ou logo que terminasse o evento. Muitas malas guardadas na recepção. Em geral, as palestras do último dia estavam bem vazias. Podia- se escolher calmamente qual palestra assistir. Enfim, sem muitas coisas para contar. Nesse dia, descobri que as pessoas passavam horas (sentido literal) na fila do estande da Caixa Econômica Federal para conseguir uma camiseta personalizada com sua caricatura… =/ Conclusões que eu posso tirar dessa experiência: um evento dito como internacional ainda possui algumas deficiências tais como wifi deficiente e falta de estrutura para que as pessoas fiquem com seus note/netbooks ligados full time. Vi muita gente pelos cantos procurando tomadas, inclusive eu. E muita gente com seus computadores nos corredores e arredores. Havia nerds de todos os tipos: estudantes, profissionais e simpatizantes. O nível das palestras em geral era bastante básico (pelo menos, das palestras que assisti) daria para a empresa onde trabalho enviar vários palestrantes, de todas as áreas de tecnologia: desenvolvimento, administração de sistemas, banco de dados, interface, qualidade; lá tem vários ‘cases’ que poderiam ser apresentados num nível bem mais elevado de quem estava lá. Mas é sempre bom saber o que outras organizações estão trabalhando. Acho que seria uma excelente oportunidade de divulgação da empresa também, como usuária e contribuidora do movimento de software livre, não só em palestras, mas também nos estandes, por que não? E quem sabe, encontrar algum talento novo. Ter o evento numa universidade, me fez sentir nostálgica, com saudades dos meus tempos de faculdade. Não tenho dúvidas de que o clima de uma boa univerdade renova qualquer ânimo. Ver pessoas diferentes é bastante interessante.

FISL 11 – Palestra: Desenvolvendo software na nuvem

Palestra feita por Bruno Souza (Javaman) e Fabiane Nardon.
O Javaman começou falando das vantagens do desenvolvimento de software na nuvem, que visa o alcance de mais pessoas e barateamento de custos.
Entre os motivos de fazer o cloud computing ele cita: 70% tempo de pequenas e médias empresas é gasto com gerenciamento de sistemas de TI; conhecimeno compartilhado na rede; infra-estrutura; 11% possui infra para trabalho remoto;
Depois a Fabiane citou ferramentas para desenvolvimento em cloud computing que vão desde issue tracker, controle de versão, integração contínua, gerenciamento de biblioteca.
A apresentação deles está disponível em http://prezi.com/nrdglitkkmli/desenvolvendo-software-na-nuvem e eles tem mais informações disponíveis em sua página no twitter @toolscloud.

FISL 11 – Palestra: Quer aprender a programar de verdade, pergunte-me como

O palestrante foi o Henrique Bastos. É a segunda palestra que eu assisto dele, consequentemente, os mesmos ‘causos’, mas mesmas frases de feito.
A primeira foi dele me explicando scrum “by the book”, com o seu surpreendente exemplo de que, usando scrum, uma equipe de 14 pessoas colocou um site no ar em 1 dia. Mas essa segunda foi interessante.
Ele começa explicando o início de carreira inial de um desenvolvedor: programando pascal na faculdade e fazendo um estágio formal. Segundo o palestrante, o ensino de computação é waterfall, mais do que em empresas.
Como técnicas para aprimoramento de desenvolvimento, ele citou o DojoRio (pares) e o ForkingRio (individual)
Dojo: um grupo se reúne, alguém propõe um problema lúdico, o grupo decide uma estratégia inicial, decide os papéis. Como papéis há o piloto e co-piloto, sendo que esse segundo não programa. Os papéis mudam a cada turno. São fases do Dojo: vermelho, piloto escreve o teste e o código, co-piloto ajuda o piloto e a plateia observa em silêncio; verde, execução de testes, todos, inclusive a platéia podem dar opiniões; refatoração: “organizar o código como se o próximo programador fosse um psicopata que sabe onde você mora”; retrospectiva.
Forking: feito normalmente para contemplar os finais de semana, o grupo decide o que estudar e o que implementar. Depois cada um vai para sua casa, fazer sua própria implementação. Na segunda se reúnem,depois é feito o merge, união das soluções e o diff, comparação das soluções implementadas.
Duas formas curiosas de formar um grupo de estudo 😉

Frases de efeito:
Arte e ciência são duas faces da mesma moeda (Donald Kunth)
Teoria e Prática são faces da mesma moeda (palestrante)

FISL 11 – Terceiro dia

Cheguei um pouco mais tarde que os outros dias e, consequentemente, perdi o mayor do foursquare para o rapaz da globo.com.
Desisti de assistir palestras mas técnicas. As que eu assisti eram muito básicas, e eu sempre chegava no final com um pequeno sentimento de frustração. Passei o dia procurando palestras aleatórias, apenas para ouvir os seus ‘cases’.
Nessa leva, assisti Scott Chacon repetindo o mesmo mantra de outros, que é bom participar de comunidades open source, recomenda escrever um código decente pois outros desenvolvedores irão analisar esse código, falou um pouco de desenvolvimento com times pequenos (scrum??). Teve uma outra apresentação (Por que sou fanático por testes e você é umbundão), uma espécie de teatro que dá ênfase na importancia dos testes em todo o desenvolvimento. Teve também a apresentação de Jared Smith, da Red Hat, apresentando em linhas gerais o desenvolvimento open source do Fedora. Não sou tão fã assim de Linux, então não assisti a apresentação do Maddog, sorry people.
Depois de garimpar as palestras, dei uma nova volta pelos estandes e comprei uma jaqueta com o logo do FISL. Por conta disso fui chamada de nerd (vejá só… o sujo falando do mal lavado) mas fazer o quê…
O local dos estandes costumavam servir de ponto de encontro do pessoal da firma. Abaixo uma fotinha da turma reunida no final do dia (foto by Chui)

Nessa noite fomos jantar junto com o pessoal o iG, os antigos coleguinhas de trabalho. O pessoal do estande da firma também estava na mesma churrascaria, aliás… houve um certo atrito por causa desse jantar. Como fui convidada pela turma do iG, foi com eles que fui jantar…

FISL 11 – Palestra: Desenvolvendo políticas de segunraça com qualidade

O palestrante foi Marcus Augustus Burghardt. Pra variar, cheguei atrasada e não sei de onde ele é. Ele fez uma longa descrição do que é necessário fazer para escrever políticas de segurança para uma organização. Segue abaixo um resumo.

Política de segurança: RFC 2196 formalizar regras, boas práticas com os recursos que disponibilizam dos recursos de uma organização.
RFC escrita em setembro de 1997. Possui uma base teórica interessante e fundamentada, porém alguns tópicos já não são válidos para atualidade: virtualização, opções entre políticas allow all e deny all, procedimentos completos na política, termos técnicos.

Utilidade da política de segurança: incrementar a segurança seguindo princípios da confidencialidade, integridade e disponibilidade; mitigar incidentes de segurança quem possam impactar negativamente nos negócios da organização; conscientizar os usuários das regras, boas prátias, riscos e responsabilidades ao utilizarem os recursos da organização; definir e melhorar continuamente as práticas e ferrametas para uma resposta ao incidente.

Somente isso? não… levar a segurança a sério na organização, possibilitando inclusive ações legais decorrentes do descumprimento das políticas.
Consolidar uma base para tomada de decisões e ações relacionadas à segurança, ou seja, que caminho seguir, justificar investimetnos em segurança da informação;

Por onde começar?
Quais os objetivos da organização, o que, de quem, por quem e como?
Identificação de ativos: informações críticas, equipamentos, softwares, pessoas, etc; quais os riscos que esses ativos sofrem e quais os impactos nos negócios? quais benefícios gamanhos mitigando esses riscos;
Qual a situação atual da organização? Optar por uma política mais permissiva ou mais proibitiva? quais assuntos abordar, armazenamento, emails, internet, dispositivos, instant messengers
Montar a equipe para iniciar a política. Analista de segurança, técnicos de ti, usuários chaves, departamento jurídico.

Dicas na fase inicial: segurança, disponibilidade, custo.

Networking: novas idéias; cabeça aberta; segmentação: usuarios, administradores, terceiros

Aos usuários: acessos a internet: sites, download, admissão e demissão de funcionários: acesso, arquivos; armazenamento: cotas, tipos de arquivos; autenticação; emails: anexos, cotas; dipositivos: pendrive;

Pivacidade: posso monitorar  tudo o que o usuário faz? e sele usa email particular; Quem pode monitorar os usuários? E se o usuário tiver trabalhando em algo confidencial? O usuário precisa saber que estou monitorando ele? Até onde posso aprofundar o monitoramento?

Aos sysadminis: linguagem mais técnica; politicas mais rigorosas; padrões de senhas; respostas a incidentes; responsabilidades; controles de acessos
divulgação de infomrações; gerenciamento de logs; usuario de teste; atividades criticas; alteracao de cadastros do usuário; engenharia social; documentação; amizade; etica; associar a politica de usuarios

Aos terceiros: as politicas direcionadas aos usuarios da organizaçaõ dificilmente cabem aos terceiros na empresa: consultores, programadores, visitantes; deve ser criada uma política separada para os terceiros que garanta os mesmos cuidados tomados com os usuários da organização; não podemos impedir o desempenho de trabalho do terceiro mas podemos dar todos os recusos necessários com segurança;

Erros comuns: politicas surreais. regras incabiveis e incontrolaveis; falta de embasamento tecninco e ferramentas para controle; prejudicar o desempenho dos usuários; falta de treinamento para mudanças de métodos e processos; não divulgação para todos os usuarios e dificultar o acesso; falta de clareza e uso de termos tecnicos; falta de respeito com todos os usuarios; falta de monitorameento constante; não cumprimento da politica “cair no esquecimento”; desacordo com termos legais e por ultimo confiança.

Boas praticas: sempre testar viabilidade tecnica de todas as politicas; amonizar segunrança. disponibilidade e custo; testar a clareza nas regras com usuarios; facilitar acesso e a consulta das politicas; alinhar todas as regras com um setor juridico; atualizar constantemente de acordo com as mudanças na organização de tecnologias; ficar atento a novidades; fazer analises constantes na eficacia; buscar apoio forte, dde cima para baixo

FISL 11 – Palestra: Sexo, Drogas e Software

O palestrante foi Alexandre Oliva, do FSF Latin America. Disparado, a apresentação mais engraçada que assisti no FISL. Usando frases bem humoradas a respeito de sexo e drogas, o objetivo de sua palesta era filosofar, fazendo comparações entre software livre e o bom do sexo e entre software pago (citando várias vezes a Microsoft) e as drogas. A palestra foi realizada numa das menores salas disponíveis no FISL e lotou, tinha muita gente assistindo a palestra em pé na porta da sala.

Segue o link da página pessoal do Oliva http://www.fsfla.org/~lxoliva/ e da sua apresentação no FISL http://www.fsfla.org/~lxoliva/fsfla/SDS.pt.pdf

Frase de efeito: “Software é como sexo, melhor quando é livre”

FISL 11 – Segundo dia

Uma curiosidade do primeiro dia que eu não citei: um tal de Rodrigo Kumpera fez uma apresentação no final do primeiro dia a respeito de scripting de jogos. Entrei na palestra 5 minutos para ver se reconhecia o cara. Olhando, não consegui reconhecer, somente quando ele começou falar na sua palestra =/
Virei major do FISL no foursquare… com apenas 2 checkins (ontem e hoje quando cheguei no local). =) Naturalmente não havia muita agente acessando lá, havia muitos estudantes, acho que dificilmente todos eles teriam conhecimento e condições o suficiente para usar essa ferramenta. Talvez num futuro, o foursquare possa ser usado nos eventos aqui do Brasil com um marcador de presença… tantas ferramentas de redes sociais caíram no gosto do brasileiro, por que não mais um?
Esse foi um dia de algumas pecularidades…
Uma palestra com o título “Mulheres e o software livre”… Uma mesa composta por quatro mulheres, apenas uma técnica pra valer (descobri que a palestrante do Google, que estava na mesa, chama-se Fernanda Weiden) e as demais eram educadoras ou de áreas mais administrativas, colocando seus pontos de vista a respeito da presença e influência das mulheres nas comunidades de software livre (e por que não dizer também, num mercado de trabalho essecialmente masculino).
Mark Surman, da Mozilla apresentando o projeto Drumbeat. O que é, de fato, não ficou muito claro, pareceu-me mais movimento para criar inovações usando o que ele chamou de ‘open web’ (algo livre, decentralizado e participativo) que une não somente desenvolvedores, mas também usuários ‘comuns’ de internet. Para incentivar o Drumbeat, existe a organização de eventos específicos, com premiações para os melhores projetos.
Palestra que trazia a explicação do scrum ‘by the book’, falava das vantagens do pair-programming. O palestrante explicou até o que é um post-it (aquele papelzinho com uma cola quem não cola nada… aff) !! Segundo o palestrante, usando scrum, uma equipe de 14 pessoas colocou um site no ar em 1 dia…
Foi o dia da palestra de Marden Neubert também, que trouxe um apanhado de várias ferramentas open source usadas pelo UOL e várias áreas, desde o gerenciamento de requisitos/backlog, desenvolvimento, teste, automação de deploy e monitoração.
No segundo dia, abriram-se os estandes para visitação. Muita muvuca, muita gente, fila em alguns estandes por conta de distribuição de brindes. Os mais cheios que eu reparei nesse dia eram o da Caixa por conta das camisetas caricaturadas; e do iG por conta da distribuição de brindes no prenchimento de um simples cadastro ou cadastro de currículo, ou das gincanas promovidas: code golf e maratona iG. fiz o meu cadastro e ganhei um botton.

No site do iG, encontrei vários ex-coleguinhas de trabalho. E trabalhando a todo o vapor, o estande ficou cheio.
O estande do UOL era de dois produtos: PagSeguro e UOLHost, mais voltado para negócios. Diz a lenda que um nerd foi pergutar para a modelete do estande se o PagSeguro usava JSP…
Tinha também alguns estandes nada elaborados, perdidos no meio da feira…

FISL 11 – Palestra: Ferramentas Livres para Testes de Invasão

O palestrante foi Luis Vieira. Cheguei quando a palestra já tinha começado, então não sei de onde ele é.
Ele falou brevemente do que se trata um teste de invasão, falou um pouco da oportunidade de carreira que esse tópico pode oferecer, citou as categorias, fases, técnicas comuns e, finalmente, as ferramentas para executar esses testes de invasão.
Teste de invasão avalia o modelo de segurança da organização como um todo, revela principais consequências de um ataque real.
O profissional que faz esse levantamento é conhecido como Pentester. Ele se diferencia de um atacante por não ser mal intencionado, ou seja, suas tentativas de encontrar vulnerabilidades são para ajudar a empresa e não fazer mal a ela. Ele pode atuar como consultor de segurança, pesquisador de vulnerabilidades, compliance em metodologias, executor de testes personalizados, analista de segurança. Um ponto importante ressaltado pelo palestrante, é que um Pentester normalmente precisa de recomendações para ter seu trabalho ser considerado como confiável, porém não há um reconhecimento (financeiro) compatível com esse perfil. Mas que é uma grande tendência para o mercado futuro.
Como categorias de testes de invasão ele citou: externo, informações que estão disponíveis no site e que eventualmente podem ser usadas para algum tipo de malfeito; e internas, feito a partir de pontos de acesso a rede, elas ainda foram classificadas em black box (zero conhecimento da rede), grey box (conhecimento parcial) e white (conhecimento total).
São fases de uma invasão: Aquisição de informações, varredura, manter o acesso e apagar rastros. As técnicas mais comuns são: pesquisa passiva, monitoramento de atividades publicadas, mapeamento de rede e OS, sproofing, sniffing de rede, trojam, força bruta, análise de vulnerabilidades e análise de cenário.
O palestrante citou várias ferramentas, de acordo com algumas técnicas de teste de invasão:
– Aquisição de informações: Maltegro, Binging, Whois, Dnsenum, Dig, Ping, Traceroute;
– Varredura e enumeração: Nmap, Xprobe-2, Amap, Hping, Fping, AutoScan, Cheops, Lanmap
– Scanners: vulnerabilidades: Nessus, NeXpose, Metasploit, OpenVAS, SARA; Aplicação: W3AF, Nikto, SamuraiWTF, webscarab, Paros;
– Análise de tráfego: TCPDump, Ettercorp, Wireshark, DSniff;
– Exploração: Metasploit framework, Social engineer toolkit;
– Wireless: AirCrock-NG Suite, AiroScript-NG, OSWA, WifiZoo, AirSnarf;
– Distribuições:PHLACK, Backtrack, Katara, Samurai;
– Avaliação de Aplicações: BurpSuite, WebSecurify, CAT;
– Análise de senhas: Ophcrack, John the ripper, THC-Hydra, Rainbow Crack;

FISL 11 – Palestra: Automação de Datacenter

Essa palestra foi realizada por velhos conhecidos que hoje estão no iG, Bruno Marcondes e Eduardo Scarpellini.
Não assisti, porque no mesmo horário era a palestra de Marden Neubert. Mas achei os slides interessantes, taí pra quem quiser ver.

http://ignofisl.ig.com.br/2010/07/22/material-da-palestra-sobre-automacao-de-datacenter/

FISL 11 – Palestra: As informações descriptografadas de hoje são os dados vazados de amanhã.

O palestrante é Alberto J. Azevedo, da Security Experts (http://www.securityexperts.com.br). Ele apresentou formas para tornar privados vários tipos de dispositivos. Os tipos de dispositivos foram classificados da seguinte forma: móvel, grupo, P, M, G e GG. No final, por causa do estouro do tempo da apresetanção, ele acelerou e não conseguiu falar como gostaria da parte final da apresentação (tipo G e GG).
Privacidade móvel, pen drive, ele recomendou o uso dos comando cryptsetup-luks.
Privacidade em grupo, um dispositivo poder ser acessado por algumas pessoas, a recomendação foi o uso de GNUPGP + Seahouse.
Privacidade P, pastas criptografadas com senha, tem-se a ferramenta cryptkeeper.
Privadidade M, pasta home, a Ubuntu possui opção para criptografar a pasta home na criação de novos usuários.
Privacidade G, partição inteira, o palestrante citou a ferramenta truecrypt.
Privacidade GG, criptografia total de disco, a solução recomendada foi uma opção que aparece na instalação do Ubuntu com Alternate Installer.
Segundo o palestrante, o truecrypt foi a ferramenta utilizada pelo Daniel Dantas para manter a privaciade do conteúdo de seus computadores.
Frase de efeito do palestrante: “uma foto cair na internet é quem nem mijar na piscina”