63% das empresas acreditam não ser possível evitar roubo de dados

Nova pesquisa do Instituto Ponemon indica grandes lacunas em segurança, falta de informação e baixa visibilidade de ataques

A Websense divulgou o primeiro relatório da pesquisa realizada pelo Instituto Ponemon "Expondo as Lacunas da Cibersegurança: Uma Perspectiva Global". O estudo mostra as deficiências e a falta de informação que desafiam os profissionais de segurança de TI. A nova pesquisa, que reúne informações de cerca de 5 mil profissionais de segurança de TI no mundo inteiro, aponta um déficit em sistemas de segurança corporativos, uma desconexão em como dados confidenciais são avaliados e visibilidade limitada das atividades de crackers. O relatório apresenta uma nova visão sobre por que os cibercriminosos conseguem ter uma base ampla de ataque nas empresas.

"Esse relatório global mostra que o setor de segurança virtual tem muito trabalho pela frente para enfrentar os ciberataques", disse John McCormack, CEO da Websense. "Os profissionais de segurança precisam de medidas efetivas e de inteligência elevada nas soluções para proteger suas organizações de ataques avançados e perda de dados. Essa necessidade é que impulsiona o compromisso da Websense em investir continuamente no desenvolvimento e inovação em segurança da solução TRITON."

Para o relatório foram entrevistados profissionais de segurança em TI, com uma média de dez anos de experiência, de 15 países: Austrália, Brasil, Canadá, China, França, Alemanha, Hong Kong, Índia, Itália, México, Holanda, Cingapura, Suécia, Reino Unido e Estados Unidos. Os resultados mostram um consenso global de que os profissionais de segurança precisam de acesso a mais informações sobre ameaças, além de defesas contra ataques.  

Descoberta mais uma falha grave de segurança na plataforma Android

Milhares de aplicativos disponíveis na Google Play contêm chaves de autenticação facilmente acessíveis para o roubo de dados corporativos e pessoais

Pesquisadores da Universidade de Columbia descobriram que os programadores de aplicações móveis disponíveis na Google Play - loja de apps da plataforma Android - geralmente alojam chaves de autenticação nesses apps que facilitam as ações de cibercriminosos interessados em roubar dados empresariais ou pessoais.

As chaves de autenticação são usadas ​​para estabelecer conexões seguras entre aplicações e servidores com os quais comunicam. Se os criminosos obtiverem as chaves, podem decifrar informações alojadas pelas aplicações em um servidor remoto, inclusive os pertencentes fornecedores de serviços de cloud computing como a Amazon Web Services ou o Facebook, dizem os pesquisadores.

“Se houver dados empresariais na plataforma de cloud, e uma empresa tiver uma aplicação com as chaves secretas, alguém poderá potencialmente roubar dados a partir da cloud”, considera Jason Nieh, co-autor da pesquisa.

Segurança Cibernética no Brasil – Um Manifesto por Mudanças

Acreditamos que o bem-estar econômico das empresas brasileiras  e os interesses do Governo estão em grave risco de  ataques  cibernéticos,  violações  e  vazamentos de dados. 

Perdas de propriedade intelectual e fraude generalizada já estão contribuindo para elevar os custos de produtos e  serviços.  Ataques invasivos  efetuados por cibercriminosos  procurando ganho financeiro, espiões de governos e particulares, ativistas e até mesmo terroristas podem produzir efeitos devastadores sobre as redes de telecomunicações, sistemas de redes elétricas e no sistema financeiro  do Brasil.

Reputações corporativas e governamentais também estão em risco. "Dúvidas", com evidente corolário comercial, podem ser suscitadas sobre a capacidade do Brasil de proteger os investimentos, a propriedade intelectual e o bem-estar de funcionários e cidadãos, como forma de reduzir ainda mais o nível  de investimento estrangeiro direto em nosso mercado.

Esta campanha visa  a estimular o apoio e a criar uma visão compartilhada de como podemos proteger melhor o Brasil de ataques cibernéticos, aumentando a consciência e a compreensão dos líderes empresariais e de governo, incluindo a cibersegurança como um dos princípios fundamentais de uma governança corporativa moderna e adequada.

Este é um desafio de longo prazo, que precisa começar a ser enfrentado desde já.

Como primeiro passo, estamos pedindo a gestores de segurança que se comprometam com este “Manifesto Cibernético”, como parte de sua estratégia operacional, e incentivando a inclusão das questões de cibersegurança no topo da agenda corporativa.

Não há uma solução única, e o problema não pode ser resolvido por um pequeno grupo de empresários e pensadores. Mas preferimos acreditar que pequenas  ondulações de ideias podem vir a formar gigantescas ondas de opiniões.

Estas são as quatro áreas-chave em que iremos nos concentrar:

Instituições de ensino superior aderem ao IPv6

A alocação de endereços IPv4 no Brasil entrou em “terminação gradual” segundo o recente anúncio feito pelo NIC.br e pelo LACNIC. Na prática, isso representa a indisponibilidade de novos acessos à internet e afeta significativamente o desenvolvimento digital de nosso país. Preocupante, principalmente se o único caminho para a solução não estivesse desenvolvido há mais de 10 anos: o IPv6.

Não é por acaso que muitos entusiastas do assunto dedicam-se ao IPv6, pois o esgotamento do IPv4 já ocorreu na Ásia, há três anos, e na Europa, há dois. Com estoque limitado a quatro bilhões de endereços, seu fim já era previsto no país.

Felizmente, temos evoluído no que diz respeito à adoção IPv6 no Brasil. Recentemente, a Akamai divulgou o tradicional estudo State of the Internet, com informações referentes ao 4T13 e que trouxe dados interessantes a respeito. Dentre eles, o material destaca as instituições de ensino superior – faculdades e universidades – como early adopters do IPv6.

No período analisado pelo material, o maior aumento foi de 50% na Universidade de Iowa State (EUA), que teve 53% de tráfego via IPv6. Na América do Sul, destaca-se a brasileira Universidade Federal de São Carlos (SP), com 26% de solicitações IPv6.

Embora esses sejam dados significativos no contexto acadêmico e de pesquisa, vale destacar que corporativamente estamos longe de uma estatística de adoção de IPv6 aceitável. Isso envolve não só as companhias de modo geral, mas também as operadoras de telecomunicações, que já deveriam prover serviços em IPv6 em larga escala.

Mas, afinal, por que as academias são pioneiras?

Esteganografia - Parte 4

Esteganálise

As técnicas de esteganografia estão longe de serem perfeitas. Nenhuma delas garante que as informações escondidas não serão detectadas e interceptadas por terceiros. Assim, abre-se um novo campo, chamado de esteganálise, o qual se baseia no estudo de métodos que visam detectar a esteganografia.

Normalmente, a esteganálise está concentrada em somente verificar a existência de informações escondidas, sem estar preocupada em saber o conteúdo da mensagem. Recuperar os dados adiciona um nível maior de complexidade ao processo de esteganálise, pois é necessário conhecer previamente o algoritmo de esteganografia utilizado. Além disso, a mensagem pode estar criptografada, o que aumenta consideravelmente o trabalho.

Muitas vezes, para o esteganalista, saber somente a existência da mensagem é suficiente. Ele não necessariamente necessita saber o seu conteúdo, e sim descobrir se há algo escondido para que a mensagem seja destruída. Ou seja, quem interceptou o meio não lerá o conteúdo, mas o receptor também não [WAYNER 2002]. Pode-se classificar esse tipo de esteganálise como esteganálise passiva [CHANDRAMOULI 2002]. Entretanto, somente detectar a mensagem escondida pode não ser suficiente para alguns esteganalistas, que podem querer também, por exemplo, ler as informações e/ou alterá-las de maneira que o receptor obtenha dados inconsistentes [KESSLER 2004]. Nesse caso, temos uma esteganálise ativa [CHANDRAMOULI 2002].

A esteganálise baseia-se em identificar alguma característica de uma imagem ou um arquivo de áudio que pode ter sido alterada por uma mensagem escondida; ou seja, baseia-se em verificar onde a esteganografia falhou em camuflar suficientemente essa mensagem. Porém, as técnicas de esteganálise possuem algumas limitações. Muitas delas, por exemplo, foram feitas especialmente para determinados algoritmos e softwares de esteganografia que já são previamente conhecidos; ou seja, quando essas mesmas técnicas são aplicadas aos resultados de outro algoritmo ou software, elas têm grande probabilidade de falhar [WAYNER 2002].

Esteganografia - Parte 3

Técnicas

No período que engloba os séculos XVI e XVII, já existia uma extensa literatura na área de esteganografia. Em seu livro Schola Steganographica, Gaspar Schott explica algumas das técnicas praticadas, entre elas, como informações podem ser escondidas através de partituras, onde cada nota representa uma letra, ou através de desenhos geométricos, usando pontos, linhas ou triângulos que em diferentes situações representam as diferentes letras [PETITCOLAS et al. 1999]. As técnicas empregadas na esteganografia vêm sendo desenvolvidas desde a antigüidade, como mostrado na Introdução.

Este trabalho está focado nas técnicas de esteganografia digital, como dito anteriormente, que se baseiam em algum meio digital para que a informação seja camuflada. Estas técnicas podem ser divididas de acordo com o critério utilizado para esconder o conteúdo que se deseja transmitir [WAYNER 2002]. Abaixo, são citados alguns desses critérios, que serão explicados adiante.

Esteganografia - Parte 2

Aplicações

A esteganografia teve sua origem diretamente relacionada a aplicações: o termo, como dito na seção anterior, deriva de “escrita escondida”, e é imediatamente relacionado a comunicações sigilosas ou privadas. No meio digital, o uso da esteganografia é amplo: abrange desde práticas comerciais a aplicações com fins militares.

Um autor de um documento, por exemplo, pode inserir mensagens escondidas de direitos autorais (copyright) de modo que, quando reveladas, demonstrem que a propriedade intelectual do documento lhe pertence. Se outra pessoa possuir acesso ao documento e clamar que ele é seu, o autor pode provar o contrário, já que só ele tem conhecimento de como readquirir a mensagem escondida. Este tipo de aplicação é conhecido como marca d'água digital ou watermarking [PETITCOLAS et al. 1999].

No caso de softwares ou mídias de fácil reprodução no meio digital, como músicas e vídeos, além de esconder mensagens de copyright, também é possível associar códigos seriais únicos a cada produto. Desta forma, caso uma mesma cópia seja distribuída (pela Internet, por exemplo), é possível identificar usuários que estão fazendo uso dela, eventualmente reprimindo-os. Este tipo de técnica é mais conhecida como impressão digital, ou fingerprinting [PETITCOLAS et al. 1999].

Esteganografia - Parte 1

Introdução

O termo esteganografia deriva do grego, em que estegano significa “esconder ou mascarar”, e grafia, “escrita” [PETRI 2004]. Assim, esse termo pode ser definido como a arte de esconder informações, tornando-as ocultas. Muitas técnicas esteganográficas, por exemplo, escondem dados dentro de arquivos. Seu principal objetivo é que esses dados não sejam percebidos por terceiros; ou seja, a presença de mensagens escondidas dentro de arquivos é simplesmente desconhecida [ARTZ 2001]. Somente o receptor da mensagem tem conhecimento de sua existência, assim como da maneira como extraí-la.

Muitos são os meios utilizados para a aplicação da esteganografia. Mensagens podem ser escondidas em imagens, por exemplo, utilizando-se de algumas técnicas específicas, como a do bit menos significativo, que será descrita mais adiante. Além de imagens, arquivos de áudio também podem ser usados para ocultar mensagens, de maneira que estas não sejam percebidas por quem estiver ouvindo o som. Outros métodos usam também arquivos de texto, arquivos HTML e pacotes TCP para esconder informações [ARTZ 2001].

A esteganografia possui inúmeras aplicações. No entanto, é relevante notar que as técnicas também possuem algumas restrições. Por exemplo, o tamanho das informações a serem escondidas é limitado pelo tamanho do próprio meio que será utilizado. Quanto menos essas informações degradarem a aparência dos arquivos, maior é o potencial das técnicas esteganográficas. Geralmente, mensagens muito grandes acabam ferindo a integridade do meio, o que corrobora para uma fácil detecção de que uma possível mensagem foi escondida no arquivo.