Serviços web são extremamente vulneráveis e não tem muito o que você possa fazer para mudar esse cenário. É triste, mas é a realidade da Internet. E parece que toda semana tem um serviço que foi comprometido com sucesso e quem acaba sendo mais prejudicado é você.

Seja por falta de conhecimento, tempo ou mesmo recursos suficientes o fato é que você nunca vai encontrar um serviço web que não tenha uma falha séria de segurança, não importa o tamanho da empresa que o mantém. Atacantes sabem disso e se aproveitam do fato para tentar roubar informações dos sites – incluindo seu endereço de e-mail e sua senha.

LinkedIn, Twitter, Evernote, Last.FM (note que não citei nenhum serviço “pequeno”, todos foram financiados com milhões de dólares), todos foram comprometidos recentemente e informações sensíveis de usuários foram roubados pelos atacantes sem muita dor de cabeça e em muitos casos a lista de senhas em texto claro junto com o endereço de e-mail acabou sendo distribuída gratuitamente na Internet, para quem quisesse ver.

Mas o que você, como um usuário final, pode fazer para tentar não ser tão afetado assim pelo erro do desenvolvedor do serviço que você usa? Neste post vou te mostrar algumas coisas que você pode fazer para tentar minimizar o impacto sobre você quando um serviço on-line que você usa é comprometido e senhas são roubadas.

Ler o resto do post »

Bom dia pessoal!

Estou escrevendo para contar mais uma novidade do blog. Agora temos também uma fan page no Facebook! O endereço dela é https://www.facebook.com/pedropereirasi.

Lá você vai continuar sendo avisado dos novos posts que eu posto aqui no blog e também vai receber muitas notícias de segurança da informação, dicas e tutoriais curtos que eu vou postar somente lá além de poder fazer perguntas sobre segurança diretamente para mim, sem precisar preencher um formulário. Além disso, vai também poder conhecer outros profissionais de segurança e aumentar a sua rede. ;)

Por isso, queria convidar você novamente a curtir a página https://www.facebook.com/pedropereirasi no Facebook.

Ah! E se você não gosta muito de Facebook, não se esqueça que eu também posto notícias e aviso sobre novos posts do blog no Twitter: http://twitter.com/pogao.

Ambas as opções ficam bastante ativas durante o dia, para te manter sempre bem informado com o que está acontecendo no mercado, tanto brasileiro quanto internacional.

É isso. Tem alguma sugestão ou crítica? Pode mandar para o Facebook ou Twitter ou mesmo colocar nos comentários aí embaixo que eu sempre leio!

Então, não se esqueça:

• Curta https://www.facebook.com/pedropereirasi
• Siga http://twitter.com/pogao

Abraços e muito obrigado pela colaboração!

Pedro Pereira.

Um firewall é a proteção mais básica que um cliente ou mesmo que um servidor deve ter e a primeira linha de defesa de qualquer rede. Sem empregar algum tipo de firewall, fica impossível isolar redes confiáveis de redes não confiáveis ou mesmo impedir que hosts indesejados conectem-se aos serviços disponibilizados pelos nossos servidores.

Da criação de sua primeira geração em 1988, por engenheiros da DEC (Digital Equipment Corporation), até hoje, os firewalls já evoluíram muito. Evoluíram a tal ponto que pouco lembram os primeiros filtros de pacotes que foram implantados em redes. Hoje em dia firewalls conseguem filtrar pacotes por porta, endereços IP, protocolo, conseguem interpretar protocolos e até mesmo os dados que estão dentro dos pacotes e só então tomarem uma decisão sobre o que fazer com eles, sempre obedecendo a política que você configurou nele. Além disso, firewalls mais atuais conseguem até bloquear determinados ataques tanto contra o sistema operacional quanto contra a aplicação hospedada pelo host (inclusive aplicações web!).

Neste post vou tentar expor toda a teoria que envolve um firewall. Quais os tipos, que proteções nos oferecem, como integrá-los à arquitetura da rede para um melhor nível de proteção, dicas para gerenciar suas políticas, etc. Enfim, tentei deixar o post o mais completo possível para que você consiga proteger melhor ainda a sua rede.

O meu objetivo aqui é complementar o post sobre IPS/IDS que fiz há alguns meses (Mega post IDS/IPS: detectando intrusos e respondendo a ataques). Assim, você vai ficar conhecendo as duas soluções mais utilizadas para a proteção de redes modernas e entender qual é o papel de cada um destes dispositivos em sua rede. Afinal de contas, pior que não usar um deles é usá-lo de forma errônea.

Este post não vai ser um tutorial de quais comandos rodar para fazer X coisas no firewall. O meu objetivo aqui é te explicar o que é um firewall em geral (sem focar em algum appliance ou software específico), o que ele pode fazer e como ele funciona e não te ensinar a trabalhar com IPtables, ASA, PF, Netscreen, etc. Se você está procurando este tipo de conteúdo, vai precisar ir para outro lugar. Mas, se quiser aprender um pouco mais sobre a teoria, continue lendo. Até porque, não adianta querer configurar alguma coisa que você simplesmente não entende.

Ler o resto do post »

O WordPress é talvez o CMS mais popular hoje em dia. Sendo usado por grandes empresas para gerenciarem seus blogs públicos ou mesmo seus websites, o WP atingiu uma popularidade incrível. E, como você com certeza já sabe, com a grande popularidade vêm também os crackers tentando explorar qualquer vulnerabilidade que apareça para a plataforma.

E com os ataques executados por eles (sejam um simples defacement ou mesmo roubo de informações) quem fica mal é você e a sua empresa. Não é incomoum ouvir histórias de empresas que passaram muita vergonha (perdendo valor de marca) ou mesmo outras que tiveram grandes prejuízos financeiros por causa de falhas em seus sites. Por isso, é muito importante que você proteja o seu site rodando WordPress da melhor maneira possível, usando todas as ferramentas disponíveis.

Neste post eu vou te dar algumas dicas para melhorar a segurança da sua instalação do WordPress. A maioria delas não se aplica se você usa o WordPress hospedado no www.wordpress.com, mas mesmo assim algumas informações disponíveis aqui podem acabar te ajudando.

Ler o resto do post »

A estrutura de diretórios do Linux é completamente diferente da estrutura presente no Windows, chegando ao ponto de não apresentar semelhança alguma com aquele sistema operacional. Porém, tal estrutura é bastante semelhante à da maioria dos outros sistemas *nix que você vai encontrar pela frente. Por estas e outras razões é muito importante que você saiba o papel exato de cada um dos diretórios e os use de acordo.

O objetivo deste post é dar uma breve explicação sobre o papel de cada um deles para que você tenha uma ideia do que vai encontrar neles ou mesmo para saber onde colocar os arquivos.

Ler o resto do post »

Você já parou pra pensar em quantas pesquisas faz no Google diariamente? Pesquisar a solução de um problema com seu servidor, o endereço de alguma empresa onde você precisa ir, uma alternativa para um software, tutoriais, receitas, qual a hora exata em um outro fuso-horário, etc. Praticamente qualquer coisa que você pergunte para o Google, ele vai saber responder. O problema é que nem sempre ele responde claramente e muito lixo vem junto com os resultados relevantes à sua pesquisa.

Muita gente vai pensar que este post não tem nada a ver com segurança da informação. Porém, não poderiam estar mais enganados.

Saber usar o Google corretamente, usando os comandos que ele oferece permite que você encontre muito mais informações sobre um alvo. Já vi muitos casos de empresas que não configuraram o robots.txt corretamente no site e permitiram que o Google indexasse arquivos ou mesmo páginas e aplicações web que revelavam muitas informações confidenciais. Usar o Google para esta finalidade chama-se Google Hacking. Além disso, conseguir informações de qualidade e rápido através desta excelente ferramenta de busca vai fazer uma diferença enorme na sua vida, mesmo que você não trabalhe com segurança da informação.

Vou tentar ser o mais completo possível em relação aos comandos oferecidos pelo Google para que você entenda como encontrar informações mais facilmente utilizando esta excelente ferramenta. Tenha em mente que nem todos estão aqui nesta lista, mas o que estão irão realmente fazer uma grande diferença em como você usa o Google e na qualidade dos resultados que você obtém.

Ler o resto do post »

Hoje nós vamos continuar com a série Fundamentos Linux para ensinar o básico do Linux para os novatos.

Neste post você vai conhecer vários comandos utilizados para tratar arquivos através da linha de comando. Vai aprender a copiar, renomear, mostrar o conteúdo, etc. Todas operações básicas que você vai usar muito no dia-a-dia.

O objetivo deste texto não é ser um guia completo para todos os comandos do Linux. Quero apenas ensinar o básico, algo como um empurrãozinho inicial para que você veja que o Linux não é nenhum bicho de sete cabeças e que com um pouco de estudo você já consegue ser muito produtivo usando a sua linha de comandos.

Ler o resto do post »

O hardening, na área de segurança, é o processo de se aumentar a segurança de um serviço ou servidor como um todo através de configurações finas do sistema. Esta é talvez a tarefa mais importante pela qual você é responsável como um administrador de redes ou sistemas e deve ser feita em novos servidores ou mesmo em servidores que já estão em produção para reduzir os riscos a que você está expondo os seus dados.

Todo sistema operacional e todo serviço rodando nele possuem configurações para melhorar a segurança (ainda que muito pouco). No post de hoje você vai aprender a melhorar a segurança do SSH, um dos serviços mais importantes e populares presente em 99% dos servidores Unix.

Ler o resto do post »

Existem algumas habilidades básicas que são necessárias a todos os usuários do Linux, sejam eles administradores de sistemas, usuários ou mesmo se você só quer aprender um pouco mais para ficar mais confortável ao usar alguma ferramenta que só está disponível para este sistema. Por isso, resolvi começar uma série de posts aqui no blog explicando vários aspectos básicos da linha de comando do Linux.

A minha ideia é começar uma série de posts bem básicos, passando o essencial do sistema para que quem está começando agora com o Linux tenha mais uma fonte de consulta bem objetiva. Toda sexta-feira vai ter um post novo explicando alguma coisa diferente.

Para começar esta nova série no blog, resolvi abordar os comandos necessários para gerenciar diretórios no Linux. Como o assunto é bem básico, o post vai ficar bem curto mais com um ar de dica do que de artigo.

Para um melhor entendimento, recomendo que você primeiro leia o post por completo e depois pratique cada um dos comandos em uma máquina virtual (ou mesmo na sua máquina física se tiver Linux instalado) para fixar bem o papel de cada um deles e também para ver como eles realmente funcionam.

Ler o resto do post »

Manter a privacidade na Internet é o tipo de coisa que não só criminosos desejam. Muitas pessoas, por mais que não estejam fazendo nada de errado, não gostam da ideia de que qualquer outra pessoas conectada à Internet pode rastreá-la e descobrir até a localização geográfica dela.

Com isso em mente vários projetos foram criados para tentar melhorar a privacidade na Internet, como o Tor. Embora eu ache o Tor um excelente projeto, neste post eu vou falar de uma outra ferramenta que eu gosto mais e acho mais versátil: o proxychains.

Neste post você vai aprender a teoria sobre o funcionamento do proxychains, como configurá-lo e usá-lo.

Ler o resto do post »