Arquivo da categoria: Lua cheia

Partilha do simbolismo do círculo no que diz respeito à eternidade e força. Simboliza o amadurecimento e abundância.

Assuntos profissionais.

FISL 11 – Palestra: Desenvolvendo políticas de segunraça com qualidade

Publicado em por
Resposta

O palestrante foi Marcus Augustus Burghardt. Pra variar, cheguei atrasada e não sei de onde ele é. Ele fez uma longa descrição do que é necessário fazer para escrever políticas de segurança para uma organização. Segue abaixo um resumo.

Política de segurança: RFC 2196 formalizar regras, boas práticas com os recursos que disponibilizam dos recursos de uma organização.
RFC escrita em setembro de 1997. Possui uma base teórica interessante e fundamentada, porém alguns tópicos já não são válidos para atualidade: virtualização, opções entre políticas allow all e deny all, procedimentos completos na política, termos técnicos.

Utilidade da política de segurança: incrementar a segurança seguindo princípios da confidencialidade, integridade e disponibilidade; mitigar incidentes de segurança quem possam impactar negativamente nos negócios da organização; conscientizar os usuários das regras, boas prátias, riscos e responsabilidades ao utilizarem os recursos da organização; definir e melhorar continuamente as práticas e ferrametas para uma resposta ao incidente.

Somente isso? não… levar a segurança a sério na organização, possibilitando inclusive ações legais decorrentes do descumprimento das políticas.
Consolidar uma base para tomada de decisões e ações relacionadas à segurança, ou seja, que caminho seguir, justificar investimetnos em segurança da informação;

Por onde começar?
Quais os objetivos da organização, o que, de quem, por quem e como?
Identificação de ativos: informações críticas, equipamentos, softwares, pessoas, etc; quais os riscos que esses ativos sofrem e quais os impactos nos negócios? quais benefícios gamanhos mitigando esses riscos;
Qual a situação atual da organização? Optar por uma política mais permissiva ou mais proibitiva? quais assuntos abordar, armazenamento, emails, internet, dispositivos, instant messengers
Montar a equipe para iniciar a política. Analista de segurança, técnicos de ti, usuários chaves, departamento jurídico.

Dicas na fase inicial: segurança, disponibilidade, custo.

Networking: novas idéias; cabeça aberta; segmentação: usuarios, administradores, terceiros

Aos usuários: acessos a internet: sites, download, admissão e demissão de funcionários: acesso, arquivos; armazenamento: cotas, tipos de arquivos; autenticação; emails: anexos, cotas; dipositivos: pendrive;

Pivacidade: posso monitorar  tudo o que o usuário faz? e sele usa email particular; Quem pode monitorar os usuários? E se o usuário tiver trabalhando em algo confidencial? O usuário precisa saber que estou monitorando ele? Até onde posso aprofundar o monitoramento?

Aos sysadminis: linguagem mais técnica; politicas mais rigorosas; padrões de senhas; respostas a incidentes; responsabilidades; controles de acessos
divulgação de infomrações; gerenciamento de logs; usuario de teste; atividades criticas; alteracao de cadastros do usuário; engenharia social; documentação; amizade; etica; associar a politica de usuarios

Aos terceiros: as politicas direcionadas aos usuarios da organizaçaõ dificilmente cabem aos terceiros na empresa: consultores, programadores, visitantes; deve ser criada uma política separada para os terceiros que garanta os mesmos cuidados tomados com os usuários da organização; não podemos impedir o desempenho de trabalho do terceiro mas podemos dar todos os recusos necessários com segurança;

Erros comuns: politicas surreais. regras incabiveis e incontrolaveis; falta de embasamento tecninco e ferramentas para controle; prejudicar o desempenho dos usuários; falta de treinamento para mudanças de métodos e processos; não divulgação para todos os usuarios e dificultar o acesso; falta de clareza e uso de termos tecnicos; falta de respeito com todos os usuarios; falta de monitorameento constante; não cumprimento da politica “cair no esquecimento”; desacordo com termos legais e por ultimo confiança.

Boas praticas: sempre testar viabilidade tecnica de todas as politicas; amonizar segunrança. disponibilidade e custo; testar a clareza nas regras com usuarios; facilitar acesso e a consulta das politicas; alinhar todas as regras com um setor juridico; atualizar constantemente de acordo com as mudanças na organização de tecnologias; ficar atento a novidades; fazer analises constantes na eficacia; buscar apoio forte, dde cima para baixo

FISL 11 – Palestra: Sexo, Drogas e Software

Publicado em por
Resposta

O palestrante foi Alexandre Oliva, do FSF Latin America. Disparado, a apresentação mais engraçada que assisti no FISL. Usando frases bem humoradas a respeito de sexo e drogas, o objetivo de sua palesta era filosofar, fazendo comparações entre software livre e o bom do sexo e entre software pago (citando várias vezes a Microsoft) e as drogas. A palestra foi realizada numa das menores salas disponíveis no FISL e lotou, tinha muita gente assistindo a palestra em pé na porta da sala.

Segue o link da página pessoal do Oliva http://www.fsfla.org/~lxoliva/ e da sua apresentação no FISL http://www.fsfla.org/~lxoliva/fsfla/SDS.pt.pdf

Frase de efeito: “Software é como sexo, melhor quando é livre”

FISL 11 – Segundo dia

Publicado em por
Resposta

Uma curiosidade do primeiro dia que eu não citei: um tal de Rodrigo Kumpera fez uma apresentação no final do primeiro dia a respeito de scripting de jogos. Entrei na palestra 5 minutos para ver se reconhecia o cara. Olhando, não consegui reconhecer, somente quando ele começou falar na sua palestra =/
Virei major do FISL no foursquare… com apenas 2 checkins (ontem e hoje quando cheguei no local). =) Naturalmente não havia muita agente acessando lá, havia muitos estudantes, acho que dificilmente todos eles teriam conhecimento e condições o suficiente para usar essa ferramenta. Talvez num futuro, o foursquare possa ser usado nos eventos aqui do Brasil com um marcador de presença… tantas ferramentas de redes sociais caíram no gosto do brasileiro, por que não mais um?
Esse foi um dia de algumas pecularidades…
Uma palestra com o título “Mulheres e o software livre”… Uma mesa composta por quatro mulheres, apenas uma técnica pra valer (descobri que a palestrante do Google, que estava na mesa, chama-se Fernanda Weiden) e as demais eram educadoras ou de áreas mais administrativas, colocando seus pontos de vista a respeito da presença e influência das mulheres nas comunidades de software livre (e por que não dizer também, num mercado de trabalho essecialmente masculino).
Mark Surman, da Mozilla apresentando o projeto Drumbeat. O que é, de fato, não ficou muito claro, pareceu-me mais movimento para criar inovações usando o que ele chamou de ‘open web’ (algo livre, decentralizado e participativo) que une não somente desenvolvedores, mas também usuários ‘comuns’ de internet. Para incentivar o Drumbeat, existe a organização de eventos específicos, com premiações para os melhores projetos.
Palestra que trazia a explicação do scrum ‘by the book’, falava das vantagens do pair-programming. O palestrante explicou até o que é um post-it (aquele papelzinho com uma cola quem não cola nada… aff) !! Segundo o palestrante, usando scrum, uma equipe de 14 pessoas colocou um site no ar em 1 dia…
Foi o dia da palestra de Marden Neubert também, que trouxe um apanhado de várias ferramentas open source usadas pelo UOL e várias áreas, desde o gerenciamento de requisitos/backlog, desenvolvimento, teste, automação de deploy e monitoração.
No segundo dia, abriram-se os estandes para visitação. Muita muvuca, muita gente, fila em alguns estandes por conta de distribuição de brindes. Os mais cheios que eu reparei nesse dia eram o da Caixa por conta das camisetas caricaturadas; e do iG por conta da distribuição de brindes no prenchimento de um simples cadastro ou cadastro de currículo, ou das gincanas promovidas: code golf e maratona iG. fiz o meu cadastro e ganhei um botton.

No site do iG, encontrei vários ex-coleguinhas de trabalho. E trabalhando a todo o vapor, o estande ficou cheio.
O estande do UOL era de dois produtos: PagSeguro e UOLHost, mais voltado para negócios. Diz a lenda que um nerd foi pergutar para a modelete do estande se o PagSeguro usava JSP…
Tinha também alguns estandes nada elaborados, perdidos no meio da feira…

FISL 11 – Palestra: Ferramentas Livres para Testes de Invasão

Publicado em por
Resposta

O palestrante foi Luis Vieira. Cheguei quando a palestra já tinha começado, então não sei de onde ele é.
Ele falou brevemente do que se trata um teste de invasão, falou um pouco da oportunidade de carreira que esse tópico pode oferecer, citou as categorias, fases, técnicas comuns e, finalmente, as ferramentas para executar esses testes de invasão.
Teste de invasão avalia o modelo de segurança da organização como um todo, revela principais consequências de um ataque real.
O profissional que faz esse levantamento é conhecido como Pentester. Ele se diferencia de um atacante por não ser mal intencionado, ou seja, suas tentativas de encontrar vulnerabilidades são para ajudar a empresa e não fazer mal a ela. Ele pode atuar como consultor de segurança, pesquisador de vulnerabilidades, compliance em metodologias, executor de testes personalizados, analista de segurança. Um ponto importante ressaltado pelo palestrante, é que um Pentester normalmente precisa de recomendações para ter seu trabalho ser considerado como confiável, porém não há um reconhecimento (financeiro) compatível com esse perfil. Mas que é uma grande tendência para o mercado futuro.
Como categorias de testes de invasão ele citou: externo, informações que estão disponíveis no site e que eventualmente podem ser usadas para algum tipo de malfeito; e internas, feito a partir de pontos de acesso a rede, elas ainda foram classificadas em black box (zero conhecimento da rede), grey box (conhecimento parcial) e white (conhecimento total).
São fases de uma invasão: Aquisição de informações, varredura, manter o acesso e apagar rastros. As técnicas mais comuns são: pesquisa passiva, monitoramento de atividades publicadas, mapeamento de rede e OS, sproofing, sniffing de rede, trojam, força bruta, análise de vulnerabilidades e análise de cenário.
O palestrante citou várias ferramentas, de acordo com algumas técnicas de teste de invasão:
– Aquisição de informações: Maltegro, Binging, Whois, Dnsenum, Dig, Ping, Traceroute;
– Varredura e enumeração: Nmap, Xprobe-2, Amap, Hping, Fping, AutoScan, Cheops, Lanmap
– Scanners: vulnerabilidades: Nessus, NeXpose, Metasploit, OpenVAS, SARA; Aplicação: W3AF, Nikto, SamuraiWTF, webscarab, Paros;
– Análise de tráfego: TCPDump, Ettercorp, Wireshark, DSniff;
– Exploração: Metasploit framework, Social engineer toolkit;
– Wireless: AirCrock-NG Suite, AiroScript-NG, OSWA, WifiZoo, AirSnarf;
– Distribuições:PHLACK, Backtrack, Katara, Samurai;
– Avaliação de Aplicações: BurpSuite, WebSecurify, CAT;
– Análise de senhas: Ophcrack, John the ripper, THC-Hydra, Rainbow Crack;

FISL 11 – Palestra: Automação de Datacenter

Publicado em por
Resposta

Essa palestra foi realizada por velhos conhecidos que hoje estão no iG, Bruno Marcondes e Eduardo Scarpellini.
Não assisti, porque no mesmo horário era a palestra de Marden Neubert. Mas achei os slides interessantes, taí pra quem quiser ver.

http://ignofisl.ig.com.br/2010/07/22/material-da-palestra-sobre-automacao-de-datacenter/

FISL 11 – Palestra: As informações descriptografadas de hoje são os dados vazados de amanhã.

Publicado em por
Resposta

O palestrante é Alberto J. Azevedo, da Security Experts (http://www.securityexperts.com.br). Ele apresentou formas para tornar privados vários tipos de dispositivos. Os tipos de dispositivos foram classificados da seguinte forma: móvel, grupo, P, M, G e GG. No final, por causa do estouro do tempo da apresetanção, ele acelerou e não conseguiu falar como gostaria da parte final da apresentação (tipo G e GG).
Privacidade móvel, pen drive, ele recomendou o uso dos comando cryptsetup-luks.
Privacidade em grupo, um dispositivo poder ser acessado por algumas pessoas, a recomendação foi o uso de GNUPGP + Seahouse.
Privacidade P, pastas criptografadas com senha, tem-se a ferramenta cryptkeeper.
Privadidade M, pasta home, a Ubuntu possui opção para criptografar a pasta home na criação de novos usuários.
Privacidade G, partição inteira, o palestrante citou a ferramenta truecrypt.
Privacidade GG, criptografia total de disco, a solução recomendada foi uma opção que aparece na instalação do Ubuntu com Alternate Installer.
Segundo o palestrante, o truecrypt foi a ferramenta utilizada pelo Daniel Dantas para manter a privaciade do conteúdo de seus computadores.
Frase de efeito do palestrante: “uma foto cair na internet é quem nem mijar na piscina”

FISL 11 – Primeiro dia

Publicado em por
Resposta

Imaginei que a fila do credenciamento seria muito grande no primeiro dia, mas foi tranquilo. Havia fila mas ela fluía rapidamente, o que foi muito bom, pois o balcão para retirar o crachá ficava na parte externa coberta por um toldo e chovia na hora que eu cheguei no local.

Crachá e pastinha na mão, era hora de escolher e assistir as palestras do dia. No geral, as palestras são bem genéricas, as que eu asssisti são baseadas em cases do local de trabalho dos palestrantes.
Assisti a uma palestra do iBatis, um framework de persistência, que era voltada para iniciantes por isso sem grandes novidades, e como já conhecia alguma coisa a respeito, não achei interessante.
Econtrei alguns temas bem pitorescos, como uma empresa que faz medição da qualidade da internet fornecida no Brasil http://simet.nic.br. Essa empresa dispõe de voluntários que instalam junto com o equipamento de rede, um aparelho próprio da empresa e a partir daí é feito diversas medições no tráfego de rede desse voluntário. Ele apresentou resultados de todo o Brasil, e a grande maioria trafega numa velocidade inferior a 2 megabits/segundo.
As outras apresentações do dia já deixei nos posts anteriores.
Como em toda boa concentração de nerds, a maioria dos participantes são homens. Uma grande quantidade de estudantes universitários, grande quantidade de profissionais da área de computação, educadores, curiosos e geeks por hobby. Em geral, muita gente jovem. Ah sim, claro, muitos conhecidos UOLers e ex-UOLers.
O evento ocupa o centro de eventos da PUC, e mais 4 prédios do campus. Aliás, o campus é enorme e muito bonito, me fez lembrar dos velhos e bons tempos da UEL.
Para o primeiro dia, achei o clima do evento muito bom, veremos como serão os próximos dias. 😉

FISL 11 – Palestra: Solução de combate às fraudes fazendo uso de IA e componentes de código aberto

Publicado em por
Resposta

O palestra foi feita por Roberto Malheiro Costa Junior, gerente nacional de segurança da Caixa Economica Federal.
Ele apresentou o uso de software livre no case deles para construir um sistema para detectar fraudes bancárias, usando também Inteligência Artificial. Esse sistema é composto de duas partes, o palestrante fez uma comparação com o cérebro para ilustrar as duas partes: a parte lógica e objetiva, que são os sistemas especialistas; e a parte subjetiva e intuitiva, que são os sistemas de redes neurais.
Sistemas especialistas contemplam o seguinte cenário: criar base de regras, motor de inferência para processar conhecimento e resolução de problemas. A ferramenta utilizada para este cenário foi o Jboss Drools. Consiste numa plataforma unificada para regras, workflow e processamento de enventos. Permite a criação de vase de conhecimento executável, desenvolvimento em Java, inteface gráfica, permite múltiplas plataformas, repositório centralizado de base de conhecimento. Permite ainda controle de acesso com  perfis diferenciados, controle alteração e versionamento de regras, viabiliza não técnicos editarem regras em interface.
Redes neurais contemplam o seguinte cenário: generalização,coleta e seleção de dados, configuração de rede, treinamento do sistema, teste e integração. A ferramenta utilizada nesse cenário foi o Weka (Warkato Environment for Knowledge Analisys), agrega algoritimos provenientes das várias áreas de IA, possui uma biblioteca de classes java, interface gráfica, permite múltiplas plataformas.
Eles usaram também o Pentaho, uma plataforma de BI open source, que permite flexibilidade de independência de plataformas, análise de informações, geração de relatórios, monitoração de indicadores e data mining.
O palestrante citou como principais benefícios do uso de software livre neste projeto: automatização do processo de análise, diminuição do tempo de detecção de fraudes, satisfação do cliente, base de conhecimento mais sólida, retorno financeiro pela identificação de fraudes preventiva, conhecimento técnico adquirido e flexibilidade de custos.
A apresentação foi específica, no sentido de apresentar um case do uso de software livre e genérica, no sentido de fazer uma apresentação da tecnologia utilizada. Mas no final da apresentação, um engraçadinho resolve questionar o palestrante porque o internet banking da Caixa só pode ser acessado pelo IE, e um outro engraçadinho resolve re-questionar o uso do IE para o internet banking… “… para acessar o internet banking poderia ser feito um plug-in, mas plug-in me cheira a gambiarra…”

FISL 11 – Palestra: O caminho Ágil entre Requisitos e Testes

Publicado em por
Resposta

Apresentação de Cesar Vianna, do Serpro. O palestrante explicou, por meio do case “Serpro Expresso”, como trabalhar com práticas ágeis desde a gestão de requisitos até os testes. Trata-se de um software de comunicação, mais detalhes a respeito desse projeto em http://www.expressolivre.org.
Algumas dificuldades que eles tiveram durante o processo de desenvolvimento são: a inclusão do Serpro no meio do processo de desenvolvimento, pois eles tinha a necessidade de substituir o software de comunicação que era proprietário. Além disso, havia a falta de processo aderente ao desenvolvimento colaborativo, clientes indefinidos, requisitos vagos, desenvolvimento distribuído, diferenças de prioridade e falta de testes automatizados.
A proposta de gestão de desenvolvimento contemplava: técnicas flexíveis para gestão de requisitos, técnica ágil, gerenciamento automatizado. Para isso, usaram o processo Demoiselle, que faz uso da ferramenta ágil com o mesmo nome: http://demoiselle.sourceforge.net/process. Uma dos pontos enfatizados pelo palestrante foi que o analista de teste participa desde o início do processo de concepção do projeto, auxiliando na captação de requisitos. E que nos testes de aceitação, o próprio usuário navega no sistema para verificar se o requisito está OK.
Outras ferramentas de apoio utilizadas são: Ice Scrum para gestão de projeto (http://www.icescrum.org) e Selenium para automação de testes (http://seleniumhq.org).
Para trabalhos futuros: níveis de maturidade em desenvolvimento ágil, controle de versão distribuída, técnicas automatizadas para verificação de padrões, gestão de defeitos no desenvolvimento de software livre. Para esse último item, o palestrante comentou que não se trata de gestão de bugs, e sim de adequações para o projeto deles.