Central de atendimento +55 (24) 2232-5850 - contato@future.com.br

Proteção

6 julho 2022
adm.future
0
Categories: Blog, Performance

Data Loss Prevention: o que é e como proteger os dados da empresa

Não é de hoje que a frase “dados são os ativos mais importantes de um negócio” é realidade. E é por isso que evitar problemas, como a perda ou roubo dessas informações é essencial — algo que o Data Loss Prevention pode realizar!

Já pensou no que poderia acontecer se os dados da sua organização fossem vazados? Os cenários são assustadores.

Para citar um exemplo, de acordo com o estudo Cost of a Data Breach Report 2020, o custo médio de uma violação de dados no Brasil foi de US$ 1,12 milhões. Pesado, concorda?

É por isso que compreender o que é, como funciona e o poder do Data Loss Prevention é necessário.

Além disso, conhecer uma empresa capacitada para aplicá-lo em sua operação, como a Future, é um passo essencial para blindar as informações corporativas.

Que tal entender tudo isso e muito mais? Preparamos um guia completo sobre Data Loss Prevention, com exemplos e dicas para a sua empresa melhorar o nível de proteção. Vamos lá?!

O que é Data Loss Prevention (DLP)? 

O Data Loss Prevention (DLP) é uma solução para proteção das informações que garante que as mesmas não podem ser transferidas sem autorização.

Vale dizer que o DLP não se resume a uma ferramenta ou conjunto de regras, mas a um guarda-chuva completo de softwares, diretrizes e boas práticas.

Assim, na prática, é possível classificar dados regulados, confidenciais e críticos de negócios, identificando violações conforme seu compliance interno (que normalmente é orientado por regulações como a LGPD no Brasil ou o GDPR na União Europeia).

E se o seu sistema de DLP identificar uma violação?

Bom, as ações posteriores dependem do software e das práticas empregadas, mas normalmente é definida uma ação de correção com alertas, uso de criptografia e outras formas de proteção para impedir que os usuários finais compartilhem dados de forma acidental ou maliciosa.

Além disso, falamos de um sistema capaz de monitorar e controlar as atividades relacionadas às informações, filtrando seus fluxos de dados em redes, bem como monitorando-os enquanto na nuvem.

E claro, o DLP também permite que a sua empresa emita relatórios completos que atendam aos mais criteriosos requisitos de conformidade e auditoria, possibilitando a rápida identificação de pontos fracos em seu ecossistema de dados e diminuindo o tempo de resposta.

Data Loss Prevention: como funciona

Na prática, o Data Loss Prevention depende de uma série de ações que visam proporcionar a profundidade adequada ao nível de proteção aos dados.

Uma vez que seu software detecte uma possível violação ou transmissão inadequada de informações, a própria solução age rapidamente, bloqueando dados em uso (endpoint), em movimento (em meio ao tráfego de rede) e em repouso (armazenados em seus equipamentos).

As organizações normalmente usam DLP para:

  • Cumprir requisitos básicos da LGPD e GDPR;
  • Obter maior visibilidade dos dados;
  • Proteger as informações de identificação pessoal;
  • Proteger a propriedade intelectual.

E a Future oferece o Data Loss Prevention como serviço. Esse processo é conduzido da seguinte maneira:

Proteção de informações e conformidade legal

Hoje, dados pessoais são os alvos de ataques cibernéticos — por isso, blindá-los é uma obrigação

A Future auxilia sua empresa nesse quesito, guiando seu negócio por toda jornada de adaptação às regulações e obrigações.

Proteção à propriedade cultural e intelectual

Se a sua empresa possui um produto ou serviço marcante, inovador ou com funcionalidades exclusivas, zelar pela proteção à propriedade cultural e intelectual é um tiro certeiro.

Com a Future, você tem total segurança de que seus dados corporativos mais confidenciais fiquem seguros de usuários não autorizados.

Visibilidade dos dados

De nada adianta driblar seus dados da vista de todos — é preciso ter visibilidade para melhor gerenciá-los.

A Future pode implementar um sistema que auxilia no controle do fluxo de dados, possibilitando ainda a emissão de relatórios completos.

Análise estratégica

Com valiosos insights em mãos, fica mais fácil realizar uma análise estratégica da sua operação, identificando pontos fracos e oportunidades de melhoria.

Como a Future pode ajudar na prevenção e proteção dos dados da sua empresa? 

A Future oferece o serviço de Data Loss Prevention, unindo toda nossa expertise com os métodos, sistemas e as boas práticas do mercado.

Desse modo, podemos proteger e resguardar as informações do seu negócio, protegendo sua infraestrutura de situações como roubos, ataques cibernéticos e falhas no sistema.

Neste pilar, aplicamos o modelo de defesa em profundidade, fortalecendo cinco diferentes camadas de interação com os dados, sendo:

  • Proteção dos Usuários: proteção aos colaboradores, clientes e parceiros comerciais que utilizam seus sistemas de informação.
  • Proteção dos Meios de Comunicação: proteção que vai além da rede tradicional, mas se aplica à nuvem, redes WiFi, OT e IoT.
  • Proteção das Informações: proteção às informações mais críticas de um negócio, onde quer que elas estejam, durante todo seu ciclo de vida.
  • Proteção dos Dispositivos: proteção para todos os dispositivos, fortalecendo seu modelo de trabalho remoto, híbrido e BYOD.
  • Proteção das Aplicações: proteção que se estende às aplicações utilizadas em seu negócio (SaaS, PaaS e IaaS).

Simulação: veja a aplicação na prática de Data Loss Prevention ao seu negócio

Afinal, como o serviço de Data Loss Prevention da Future ajuda sua empresa na prática? Criamos uma simulação simples para você entender.

Imagine que a empresa X esteja adotando o modelo híbrido e Renato, gestor de marketing, trabalhe de casa nos próximos dias.

Sem um apoio de DLP, a empresa X sofreria em todos os pontos de contato de Renato e deixaria os dados da empresa ligados a: uma rede fraca, um data center desguarnecido e endpoints vulneráveis.

Assim, caso em seu tempo livre Renato, sem querer, pesquisasse algo no Google e clicasse em um link indevido (em um site sem protocolo de segurança, por exemplo), o notebook poderia ser infectado por um ransomware.

Esse malware se infiltraria em todas as brechas possíveis daquele dispositivo — incluindo a rede de dados do seu negócio.

Com uma solução de DLP, você poderia facilmente proteger os dados de ataques à rede.

Falamos de uma solução que investiga e-mails, mensagens, interações em redes sociais e muito mais.

Percebeu a diferença? Assim, Renato e qualquer outro funcionário pode trabalhar em qualquer lugar, sem se preocupar com o vazamento de dados.

Proteja sua empresa com a Future

A Future tem a expertise, as soluções e tudo que a sua empresa precisa para proteger os dados do seu negócio.

Que tal contar com nosso serviço de DLP e ver, na prática, como uma operação mais segura permite maior tranquilidade para ser produtivo e crescer em um mercado tão competitivo?

Entenda como a Future pode ajudar sua empresa: marque uma reunião com nossos especialistas, prontos para proteger os sistemas mais críticos do seu negócio!

27 junho 2019
adm.future
0
Categories: Blog, Dicas, Segurança

Por que a LGPD deve orientar a tomada de decisão dos CIOs

Sancionada em agosto de 2018, a Lei Geral de Proteção de Dados (LGPD) é mais do que uma lei de alcance federal, com escopo de aplicação ao poder público e em empresas do setor privado. Os requisitos foram criados como instrumento para fortalecer a privacidade dos consumidores e exige consentimento explícito para coleta e uso dos dados, além da apresentação de opções para o usuário visualizar, corrigir e excluir as informações coletadas.

Essa evolução dos mecanismos de controle tem como base e motivação o Regulamento Geral de Proteção de Dados (GDPR, na sigla em inglês), da União Europeia, os constantes e recorrentes vazamentos de dados pessoais após inúmeros ataques cibernéticos aos bancos de dados de todos os tipos de organizações, aliados ao fato de vivermos em uma economia cada vez mais baseada em dados, com o uso de Big Data, Internet das Coisas (IoT) e inteligência artificial.

A partir de agosto de 2020 a lei entra em vigor e até essa data as empresas devem se adequar e repensar como os dados estão sendo tratados desde o momento da coleta das informações até a disposição final conforme definido pela lei. Trata-se de uma lei rigorosa que pode alcançar multas diárias de até R$ 50 milhões aos negócios que registram informações dos clientes sem sua autorização, ou que os repassem, armazenem sem necessidade comprovada, ou que tenham esses dados vazados de alguma forma.

O volume de dados gerados pela população mundial é de 2,5 quintilhões de bytes diariamente, de acordo com uma publicação realizada pela revista Forbes no primeiro trimestre de 2018. Diante dessa quantidade de dados e um cenário regulador cada vez mais rigoroso, as organizações devem realizar uma análise de risco contextual para identificar quais são as atividades em seus processos que requerem uma adequação e ou implementação da lei. Sendo necessário considerar os processos, sistemas e ferramentas para avaliar como os dados pessoais de seus clientes/usuários são tratados, reforçando a proteção, com responsabilidade e transparência.

Caminhando na direção da economia e na sociedade digital, atualmente 75% dos CIOs de todo mundo consideram que um dos aspectos que mais exige e ocupa suas agendas está em torno do planejamento, execução e monitoramento de mecanismos de segurança cibernética, de acordo com a pesquisa CIO Survey 2019 realizada pela Grant Thornton. Ainda neste detalhado e técnico levantamento, conclui-se que 83% dos líderes dos departamentos de tecnologia incrementaram seus investimentos e gastos em segurança digital.

Casos emblemáticos e recentes de ataques cibernéticos e sequestro de dados à grandes corporações e organizações públicas configuram claramente uma nova preocupação não somente no âmbito da privacidade do indivíduo, mas sobretudo em questões de segurança pública e internacional. Tal cenário vem influenciando não somente aos chefes de estados a se debruçarem cada vez mais sobre segurança digital, como também grandes e médias organizações vêm aumentando seus investimentos em capital humano e financeiro nas áreas de Tecnologia da Informação e compliance.

Quer adequar sua empresa a LGPD? Conte com a Future! Preencha o formulário abaixo e entre em contato conosco.

Fonte: CIO.

Read More
18 junho 2019
adm.future
0
Categories: Blog, Notícias, Segurança

O que o vazamento de dados da Operação Lava Jato pode ensinar às empresas?

Garantir a proteção dos dados, tanto pessoais, quanto corporativos, é uma preocupação constante. E por bons motivos. Segundo dados da IDC, só no Brasil os ataques de hackers, vírus e ransomwares, entre outras pragas virtuais, geraram cerca de US$ 10 bilhões em prejuízo no ano passado, o que explica o fato de as empresas da América Latina terem aumentado seus investimentos em segurança da informação em 12% no último ano.

O recente vazamento de conversas entre o ex-juiz e atual ministro da Justiça Sérgio Moro e contatos como o promotor Deltan Dallagnol, entretanto, traz à tona outro viés, muitas vezes, negligenciado pelas empresas: a segurança das comunicações via dispositivos móveis e aplicativos, como WhatsApp e Telegram, protagonistas do caso envolvendo a alta cúpula da Justiça brasileira.

O fato, amplamente noticiado, leva a um debate importante, mas é preciso, antes de tudo, ressaltar que a brecha ocorreu não porque não havia segurança na Operação Lava Jato, mas sim porque os dispositivos corretos não foram utilizados. O então juiz Sérgio Moro não usou o TCS, telefone fornecido pela Abin (Agência Brasileira de Inteligência) e dotado de recursos avançados no que tange à privacidade das informações trafegadas. Assim como o presidente da República, Jair Bolsonaro, Moro optou por utilizar outro smartphone em suas comunicações, e, com isso, acabou ficando tão vulnerável à ação de hackers quanto um empresário comum.

Ou seja, não se trata de um ataque realizado a um dispositivo altamente seguro, de um hacker que quebrou controles militares de segurança dos quais civis não disporiam. Trata-se, antes, de autoridades que, apesar de terem à disposição recursos fortes de cibersegurança, optaram por fazer uso de soluções comuns.

Nada que justifique, vamos deixar muito claro que toda invasão é criminosa, errada, e não deveria jamais ser realizada. Isto posto, e sem tomar qualquer viés político, uma lição básica fica clara a partir deste caso: a segurança dos dados vai muito além dos sistemas internos das empresas, atinge a esfera dos dispositivos pessoais ou compreendidos em estratégias BYOD (Bring Your Own Device) e CYOD (Choose Your Own Device), e este é um caminho sem volta.

No caso da Lava Jato, o vazamento envolveu mensagens do Telegram, app russo conhecido por sua criptografia e segurança. Os desenvolvedores do aplicativo chegaram a se pronunciar na imprensa, alegando que não houve qualquer invasão ou ataque hacker sobre o sistema.

Em sua conta no Twitter, o aplicativo Telegram informou que “não há evidência de nenhum hack” no caso e que o mais provável é que o vazamento das conversas tenha se dado “por malware” ou pelo fato de “as pessoas não usarem sistema de verificação em dois passos”.

A explicação do Telegram não chega a ser uma surpresa. Um estudo da Flipside aponta que 58% dos ataques sofridos por empresas brasileiras são causados por falhas humanas, como cliques em malware, não verificação de senhas, uso de senhas fracas, entre outros erros.

É por isso que, além da tecnologia, as empresas também devem investir em políticas e práticas de segurança especializadas e comandadas por profissionais, com vistas a evitar ataques comportamentos de risco que possam ameaçar seus dados, seus clientes e seus negócios.

E quando se fala em gestão profissional de segurança, não se está falando de uma pessoa, especificamente, mas de equipes multidisciplinares, que somem conhecimento para assegurar que, de ponta a ponta, redes, sistemas, dados e operações estejam protegidos. Privacidade, proteção e conformidade de informações passam por um compilado de capacidades e tecnologias para se tornarem, de fato, efetivas.

A proteção de dados precisa se tornar parte da cultura organizacional, o que inclui trazer ferramentas como o WhatsApp e Telegram para dentro da estratégia. Por mais que aplicativos como estes possuam seus sistemas de criptografia, isso de nada adiantará se os usuários forem descuidados na gestão dos dispositivos, clicando em links suspeitos, aceitando contatos desconhecidos ou agindo de “N” outras maneiras que podem abrir a porta para ataques maliciosos cujos resultados nunca serão aprazíveis.

Tecnologia, gestão especializada de segurança, treinamento, adoção de uma cultura voltada à proteção dos dados. Este é o cenário ideal para toda empresa, privada ou pública. A segurança da informação deve estar no cerne das estratégias de negócio e isso vai do data center aos smartphones, sem pular nenhuma etapa, nenhuma pessoa, nenhum equipamento, sistema ou conteúdo.
Não é preciso temer os aplicativos – WhatsApp, Telegram e afins estão aí para facilitar a comunicação, e cumprem esta missão muito bem. Mas é necessário, sim, redobrar o cuidado ao tratar de informações potencialmente críticas. Agir de forma preventiva e contar com um excelente plano de reação, comandado por quem realmente domina o assunto, caso o pior aconteça.

Segurança da informação é compromisso de todos, o tempo inteiro, sem exceção.

A Future possui uma Solução de Conscientização Sobre Segurança da Informação. Para conhecê-la clique aqui!

Fonte: CIO.

Read More
17 junho 2019
adm.future
0
Categories: Blog, Dicas, Segurança

Cooperação é a melhor estratégia de segurança!

De acordo com o Instituto Ponemon, o custo médio de violação de dados no Brasil é de R$ 1,24 milhão por empresa. E o custo financeiro não é o único prejuízo. Hoje, qualquer empresa, de qualquer tamanho, enfrenta um desafio que cresce a cada dia: segurança.

Uma falha na segurança cibernética tem efeitos que não terminam com a divulgação e solução do problema. Essa violação causa danos, muitas vezes irreparáveis, na reputação da empresa; e com a LGPD mostrando sua cara no horizonte, as consequências financeiras podem chegar a milhões de reais.

E a verdade é uma só: não existe uma solução que impeça todas as ameaças. Existem soluções que alertam sobre possíveis brechas e ajudam as empresas a consertá-las e, dessa, forma, evitá-las.
Como controlar todos os pontos de entrada simultaneamente e saber que basta uma única brecha para todo esse trabalho ter sido jogado fora? Esse é um dos maiores desafios de qualquer equipe de segurança da informação.

Em um país como o Brasil, considerado pelo Instituto Ponemon, o que mais representa risco de violações, investir em melhores práticas de proteção de dados é o único caminho possível. Contar com uma equipe de segurança da informação e ter um plano de respostas a incidentes são medidas urgentes e prioritárias e é nesse ponto que um outro desafio aparece: a falta de talentos em segurança.

Manter um time que saiba lidar com adversidades não é uma tarefa fácil e mesmo que a empresa já conte com uma equipe bem formada, sempre haverá a necessidade de repor algum funcionário que tenha saído.

Antes de sair para o mercado atrás da peça ideal para montar uma equipe ou repor, é preciso entender quais habilidades e recursos são necessários que a equipe possa executar seu trabalho sem contratempos; se a área de TI tem a infraestrutura necessária para realizar os processos necessários para implementar e executar as medidas de segurança e até mesmo avaliar se esse trabalho pode ser feito internamente ou se não é melhor terceirizar.

Resolvido esse pequeno dilema, outro pode surgir. Muitas empresas mantêm a segurança cibernética e a TI separadas, quando deveriam andar juntas, sob o mesmo guarda-chuva, afinal, ninguém conhece melhor o ambiente de dados como a equipe que o criou e gerencia.

Equipes de segurança e TI devem trabalhar lado a lado para entender os requisitos de desempenho e para que os sistemas essenciais para os negócios se mantenham disponíveis durante todo o tempo. Uma medida de segurança não pode, em nenhuma hipótese, comprometer a disponibilidade.

Como a TI tem conhecimento prático do comportamento e interações dos sistemas de dados, seu papel, dessa forma, é vital para detectar ameaças precocemente.

Mas, para isso, é preciso que tenham as ferramentas necessárias e o entendimento do que deve ser monitorado. É nesse ponto que a cooperação entre as áreas se faz mais importante.

Lidar com falhas de conformidade também podem representar prejuízos significativos. Em um mundo cada vez mais regulamentado – LGPD, GDPR, HIPAA -, as empresas encontram-se obrigadas a atender normas cada vez rígidas de proteção de dados e privacidade, assim, o compartilhamento de informações e recursos entre as áreas de segurança e TI mostra-se uma estratégia inteligente e facilita o gerenciamento e manutenção dos processos de conformidade.

Compartilhar o conhecimento é imprescindível para a segurança da informação. Em um ambiente em que não é possível afirmar que algo seja 100% seguro, e com hackers cada vez mais motivados em encontrar novas e inovadoras formas de invasão, manter uma estratégia de segurança que priorize uma combinação de estruturas, equipes e sistemas garante uma vantagem substancial contra possíveis brechas de segurança.

Se a busca por novos talentos é complicada, promover a cooperação entre TI e segurança da informação é a melhor estratégia.

Quer melhorar a segurança na sua empresa? Conte com a Future! Clique aqui e conheça nossas soluções de segurança!

Fonte: CryptoID.

Read More
11 junho 2019
adm.future
0
Categories: Blog, Dicas, Segurança

O que tem em comum GDPR e LGPD?

A similaridade das leis GDPR e LGPD ultrapassam a grafia com siglas de quatro letras. Pioneira na regulamentação e proteção de dados, a General Data Protection Regulation (GDPR) é a lei europeia que entrou em vigor em maio de 2018. Seu objetivo é proteger todos os cidadãos da UE contra a violação de privacidade e dados.

Na América Latina, o Brasil é um dos países com a regulamentação mais atrasada. A Lei Geral de Proteção de Dados (LGPD), que entrará em vigor em dezembro de 2020, chega para fixar parâmetros do mesmo tema da lei européia. No Chile, a legislação de proteção de dados foi decretada em 1999 e, na Argentina, em 2000. Países como Colômbia e Uruguai também seguem avançados quando o assunto é a segurança da informação. Independente do local do decreto, as leis indicam que a proteção de dados é uma necessidade e tendência mundial.

Sobre ataques ou invasão de hacker nos sistemas das empresas, de acordo com a Wired, foi este ano que aconteceu a maior violação de dados da história. Apelidada de ”Coleção # 1” a invasão atingiu quase 800 milhões de emails e senhas, totalizando 2.692.818.238 linhas de milhares de fontes diferentes. A invasão, que foi relatada pelo Troy Hunt, especialista em segurança digital , apresentou mais de 12 mil arquivos, com 87 gigabytes de dados, postados em um fórum hacker. Ela envolveu 772.904.997 endereços de e-mail únicos, além de mais de 21 milhões de senhas únicas, superando os hacks dos vazamentos do Equifax e do Yahoo por uma margem extremamente significativa.

Casos como o relatado por Hunt, do Equifax e do Yahoo, de brechas de segurança, são mais frequentes do que imaginamos. Só em 2018, o site Business Insider publicou uma lista dos 21 maiores episódios de violações revelados, classificados de acordo com o número de usuários afetados.

Para as organizações brasileiras, com a LGPD, além de se adequar a uma nova realidade de segurança da informação, conhecer a legislação sobre consentimento e transparência será essencial. Por mais que pareça distante, dezembro de 2020 não é um prazo longo para que todas as obrigações e responsabilidades criadas sejam atendidas. Há bastante a ser realizado com a intenção de adequar-se às regras da nova lei brasileira.

Diferente da realidade europeia, que implantou a General Data Protection Regulation (GDPR) depois da criação de uma cultura de discussão entre organizações sobre o tema, o mercado brasileiro não terá muito tempo para se adequar ao mercado com nova regulação. Mesmo que a portas fechadas, há uma correria e uma preocupação de empresas com essa adaptação.

Se segurança da informação, brechas de segurança e LGPD ainda forem temas distantes para a sua empresa, calma. Listamos abaixo dois passos essenciais para você inserir no seu planejamento organizacional.

Primeiro passo

É preciso conhecer a legislação sobre consentimento e transparência presentes nas dinâmicas de segurança da informação. A LGPD traz algumas definições tais como:

  • Dado pessoal é a informação relacionada à pessoa natural identificada ou identificável;
  • Dados pessoais sensíveis são informações de origem racial/étnica, religiosa, política, filosófica, referentes à saúde, vida sexual, genética ou biométrica;
  • Titular é a pessoa natural a quem se referem os dados pessoais;
  • Controlador é a pessoa que toma decisões sobre o tratamento de dados pessoais;
  • Operador é a pessoa que trata dados pessoais em nome do controlador;
  • Tratamento é a coleta, processamento, armazenamento, eliminação, dentre tantos outros.

Segundo Passo

Para ajudar na educação digital da segurança da informação, é essencial que as empresas tenham parceiros confiáveis, com revisão de contratos, e acompanhamento diário da gestão dessas informações e adequação às novas regras.

É preciso garantir a conformidade com os regulamentos de privacidade e segurança, gerenciar e controlar ameaças cibernéticas com eficiência, assegurar a segurança e privacidade em toda a cadeia digital (serviços, aplicativos, dados, infraestruturas e terminais) e controlar os impactos de qualquer incidente de segurança ou violação de dados.

Falhas provam que até mesmo gigantes como Google, Microsoft e Facebook não estão a salvo de falta de segurança que podem expor os dados confidenciais de seus usuários.

Adeque-se às leis! Conte com a Future!!! Somos parceiros dos maiores fabricantes de soluções de Segurança, Disponibilidade e Performance do mundo! Preencha o formulário abaixo e entre em contato conosco.

Fonte: IT Forum 365.

Read More
10 junho 2019
adm.future
0
Categories: Blog, Dicas, Segurança

Como garantir segurança na nuvem? Especialistas mostram caminho das pedras!

A corrida em direção à nuvem de dados e serviços fez com que muitas empresas repensassem sua abordagem de cibersegurança. Elas precisam de uma estratégia de segurança na nuvem? O que há de diferente em uma estratégia de segurança na nuvem? Estudos recentes esclareceram como as estratégias de segurança estão mudando e, mais importante, como elas devem avançar.

Migrar mais infraestrutura de TI para a nuvem é, de certa forma, mais seguro do que tê-la localmente. Por exemplo, você pode estar razoavelmente seguro de que o sistema está executando a versão mais recente com as correções corretas. Provedores de serviços em nuvem também estão desenvolvendo novos recursos, como o uso de linguagem de máquina para detecção de anomalias. No entanto, isso também apresenta novos riscos, como aqueles gerados pelo falta de compreensão sobre como gerenciar a segurança na nuvem.

É importante saber como a estratégia de TI na nuvem de uma empresa – seja ela híbrida, privada ou pública – afeta sua estratégia de segurança cibernética e a execução tática dessa estratégia.

Quais dados confidenciais estão na nuvem?

No ano passado, a McAfee divulgou seu Relatório de Adoção de Nuvem e Riscos 2018. Essa pesquisa mostrou que o compartilhamento de dados confidenciais na nuvem aumentou 53% em relação a 2017 – um grande salto. Considerando todos os arquivos na nuvem, aproximadamente 21% contêm dados confidenciais, segundo a McAfee, sendo que 48% desses arquivos são compartilhados.

Os dados confidenciais incluem dados confidenciais da empresa (27%), dados de e-mail (20%), dados protegidos por senha (17%), informações de identificação pessoal (16%), dados de pagamento (12%) e dados pessoais de saúde (9%). O risco associado aos dados confidenciais na nuvem está crescendo, pois as empresas confiam cada vez mais na nuvem. Cerca de 28% a mais de dados sensíveis foram colocados na nuvem em relação ao ano anterior, indica a McAfee.

Com tantos dados críticos na nuvem e sendo compartilhados em cloud, o roubo por hackers não é o único risco. A McAfee descobriu que as empresas têm, em média, 14 instâncias de infraestrutura como serviço (IaaS) configuradas incorretamente, resultando em uma média de 2.200 incidentes de configuração incorreta por mês onde os dados são expostos ao público.

Qual é o risco de segurança da nuvem?

Os dados do provedor de segurança de nuvem Alert Logic mostram a natureza e o volume de riscos de cada tipo de ambiente na nuvem, em comparação a um data center on-premise (local). Ao longo de 18 meses, a empresa analisou 147 petabytes de dados de mais de 3.800 clientes para quantificar e categorizar incidentes de segurança. Durante esse período, a companhia identificou mais de 2,2 milhões de incidentes de segurança significativos. As principais descobertas incluem:

  • Os ambientes de nuvem híbrida tiveram o maior número médio de incidentes por cliente (977), seguidos por nuvem privada hospedada (684), data center on-premise (612) e pela nuvem pública (405).
  • De longe, o tipo mais comum de incidente foi um ataque via aplicação da web (75%), seguido por ataque de força bruta (16%), recon (5%) e ransomware do lado do servidor (2%).
  • Os vetores mais comuns para ataques a aplicações da web foram SQL (47,74%), Joomla (26,11%), Apache Struts (10,11%) e Magento (6,98%).
  • O WordPress foi o alvo mais comum (41%) de ataques de força bruta, seguido pelo MS SQL (19%).

Seja um ambiente de nuvem pública, privada ou híbrida, as ameaças de aplicações na web são dominantes. O que é diferente entre eles é o nível de risco que você enfrenta. “Como defensores, na Alert Logic nossa capacidade de proteger efetivamente a nuvem pública também é maior, porque vemos uma melhor relação sinal-ruído e perseguimos menos ataques ruidosos”, pontua Misha Govshteyn, cofundador da Alert Logic. “Quando vemos incidentes de segurança em ambientes de nuvem pública, sabemos que temos que prestar atenção porque eles são geralmente mais silenciosos”.

Os dados mostram que algumas plataformas são mais vulneráveis que outras. “Isso aumenta sua superfície de ataque, apesar de seus melhores esforços”, esclarece Govshteyn. Como exemplo, ele observa que “apesar da crença popular”, a pilha LAMP (Linux, Apache, MariaDB ou MySQL e PHP ou Python) tem sido muito mais vulnerável do que a pilha de aplicações da Microsoft. Ele também enxerga as aplicações PHP como um hotspot.

“Sistemas de gerenciamento de conteúdo, especialmente WordPress, Joomla e Django, são muito mais usados como plataformas para aplicações da web do que a maioria das pessoas percebe e eles apresentam inúmeras vulnerabilidades”, destaca Govshteyn. “É possível manter esses sistemas seguros, mas apenas se você entender quais frameworks e plataformas da web suas equipes de desenvolvimento tendem a usar. A maioria das pessoas de segurança mal presta atenção nesses detalhes e toma decisões com base em suposições ruins.”

Para minimizar o impacto das ameaças na nuvem, a Alert Logic fornece três recomendações principais:

  • Confie em aplicações whitelisting e bloqueie o acesso a programas desconhecidos. Isso inclui fazer avaliações de risco versus valor de aplicação usada na organização.
  • Entenda seu próprio processo de patching e priorize a implantação de patches.
  • Restrinja privilégios administrativos e de acesso com base nas tarefas atuais do usuário. Isso exigirá a manutenção de privilégios para aplicações e sistemas operacionais atualizados.

6 tipos de ameaças à nuvem

Em abril do ano passado, o provedor de plataforma de segurança na nuvem ShieldX descreveu seis categorias de ameaças à segurança na nuvem que acredita que possam emergir ao longo do ano. A maioria das organizações terá dificuldade em reduzir o risco dessas ameaças devido a uma lacuna entre suas defesas e a natureza das ameaças, lembra Manuel Nedbal, CTO e vice-presidente sênior da ShieldX.

“Há uma incompatibilidade entre o fator forma física do data center e o perímetro virtual. Controles de segurança tradicionais foram construídos para proteger o fator forma física, o que abre as portas para ameaças à segurança”, afirma.

Esses controles devem mudar à medida que as organizações fazem a transição para data centers virtualizados e “conteinerizados” em nuvens privadas e públicas. “A segurança precisa se adaptar a esses novos limites entre e dentro de infraestruturas virtuais”, afirma Nedbal. Ele acrescenta que as ferramentas de segurança na nuvem precisam ser “muito pequenas, muito dinâmicas, colocadas onde e quando necessárias e na escala correta.”

1. Ataque de nuvem cruzada

Com um ataque entre nuvens, um hacker pode, por exemplo, acessar sistemas on-premises e sistemas de nuvem privada por meio de uma nuvem pública. Workloads em uma nuvem pública que são tomadas por invasores podem levar à disseminação do ataque à nuvem privada.

O risco é minimizado se as defesas laterais corretas estiverem em vigor, mas ao migrar para as nuvens públicas, as organizações geralmente ignoram o fato de que o perímetro de segurança se estende para o novo ambiente. Porém, as nuvens públicas não oferecem os mesmos controles de segurança em comparação com as defesas on-premise e é difícil transformar a segurança tradicional. “A quantidade de ataques contra a nuvem está aumentando”, ressalta Nedbal.

Os hackers monitoram novas instâncias de nuvem. “Assim que houver um workload expondo os serviços publicamente, eles serão atacados e as defesas nas nuvens públicas serão mais fracas do que os controles tradicionais on-premise”. Além disso, se uma organização tiver diferentes conjuntos de controles para seus sistemas on-premise e na nuvem, poderia deixar lacunas que os hackers exploram.

2. Ataque entre data centers

Uma vez que um hacker viola uma localização no data center, o próximo passo é se espalhar lateralmente. A razão pela qual isso é possível é que as conexões entre os pontos de entrega (PoDs, da singla em inglês) em um data center são consideradas zonas confiáveis. Se um invasor comprometer um PoD, ele poderá se espalhar para outros data centers conectados.

Em um post no seu blog, Nedbal aconselhou o envio de todo o tráfego por meio de um sistema de defesa multicamadas com um conjunto similar de controles de segurança encontrados no perímetro.

3. Ataques entre inquilinos

Em um ambiente em que há vários locatários, os hackers podem explorar o tráfego de rede entre os usuários da nuvem. Os locatários podem supor que o provedor tenha garantido seus ativos na nuvem, mas, na verdade, eles são responsáveis pela implementação de grande parte das defesas. Novamente, o envio de tráfego por meio de um sistema de defesa em várias camadas com os controles apropriados reduzirá o risco dessa ameaça na nuvem, mas exigirá a capacidade de colocar esses controles na escala correta, onde e quando for necessário.

4. Ataque entre workloads

Workloads virtualizados e baseados na nuvem, bem como contêineres, podem se conectar facilmente a outros. Basta comprometer um workload para que um invasor possa acessar outros, seja em um desktop virtual, servidor da web virtual ou banco de dados. A defesa contra ataques cruzados de workloads, especialmente se forem executados no mesmo inquilino, é difícil. “Se você isolar tods os workloads uns dos outros, eles estarão seguros, mas não conseguirão executar a função para a qual foram projetados”, pondera Nedbal. Em um post, ele informou que os workloads com requisitos de segurança semelhantes devem ser colocados em uma zona que tenha controles apropriados para monitorar o tráfego, além da segmentação básica.

5. Ataques de orquestração

A orquestração em nuvem permite realizar muitas tarefas importantes, incluindo provisionamento, implantação de servidores, gerenciamento de armazenamento e de rede, gerenciamento de identidades e privilégios e criação de workloads.

Os hackers geralmente executam ataques de orquestração para roubar logins de contas ou chaves de criptografia privadas. Com eles, o invasor pode executar tarefas de orquestração para obter controle e acesso. “Uma vez dentro, [um invasor] pode criar workloads adicionais para seus próprios fins, como mineração de criptografia, ou remover workloads”, adverte Nedbal. Quanto maior o privilégio que puderem roubar, mais danos podem causar.

A maneira de se defender dos ataques de orquestração, indica Nedbal, é por meio do monitoramento do comportamento do administrador. “[A ameaça de orquestração] precisa de um novo tipo de monitoramento de segurança que não faça parte dos sistemas tradicionais de segurança de rede que procuram padrões incomuns de contas se comportando de maneira anormal”, ele garante.

6. Ataques sem servidor

As aplicações sem servidor permitem que as organizações criem rapidamente funções baseadas na nuvem sem precisar construir ou estender a infraestrutura. Desenvolvidas por meio das chamadas funções como serviço (FaaS), elas apresentam novas oportunidades para hackers e novos desafios para os defensores da rede. Uma nova função pode ter acesso a ativos sensíveis, como um banco de dados.

Se os privilégios para essa função estiverem configurados incorretamente, um invasor poderá executar várias tarefas por meio da função. Isso inclui acessar dados ou criar novas contas. Assim como os ataques de orquestração, a melhor maneira de detectar um ataque sem servidor é monitorando os comportamentos da conta, mas para ser eficaz, isso deve ser feito juntamente com a inspeção de tráfego de rede.

Como proteger a nuvem

De acordo com uma pesquisa realizada pela VansonBourne – e patrocinada pelo provedor de soluções de monitoramento de rede Gigamon, 73% dos entrevistados esperam que a maioria de seus workloads de aplicações estejam na nuvem pública ou privada. No entanto, 35% dos entrevistados esperam lidar com a segurança de rede exatamente da mesma maneira que já fazem com suas operações on-premise. O restante, apesar de relutante a mudanças, acredita que não tem escolha a não ser mudar sua estratégia de segurança para a utilização da nuvem.

Certamente, nem toda empresa está migrando dados sensíveis ou críticos para a nuvem, portanto, para essas, há menos motivos para mudar a estratégia. No entanto, a maioria das empresas está migrando informações críticas e proprietárias da empresa (56%) ou ativos de marketing (53%). Já cerca de 47% esperam ter informações pessoalmente identificáveis na nuvem, o que tem implicações devido a novas regulamentações de privacidade, como o GDPR da União Europeia.

As empresas devem se concentrar em três áreas principais para construir sua estratégia de segurança na nuvem, de acordo com Govshteyn:

Ferramentas

As ferramentas de segurança que você implanta em ambientes de nuvem devem ser nativas para a nuvem e capazes de proteger aplicações web e workloads na nuvem. “As tecnologias de segurança formuladas para a proteção de endpoint estão focadas em um conjunto de vetores de ataque não vistos comumente na nuvem e estão mal equipadas para lidar com as dez principais ameaças listadas pelo Projeto Aberto de Segurança em Aplicações Web (OWASP), que respondem por 75% de todos os ataques na nuvem”, enfatiza Govshteyn. O executivo observa que as ameaças de endpoint visam os navegadores da web e o software cliente, enquanto as ameaças de infraestrutura visam servidores e estruturas de aplicações.

Arquitetura

Defina sua arquitetura em torno dos benefícios de segurança e gerenciamento oferecidos pela nuvem, não em torno da mesma arquitetura que você usa em seus data centers tradicionais. “Agora temos dados mostrando que os ambientes públicos puros permitem que as empresas tenham taxas de incidentes menores, mas isso só é possível se você usar os recursos de nuvem para projetar uma infraestrutura mais segura”. Ele recomenda que você isole cada aplicação ou microsserviço em sua própria nuvem privada virtual, o que reduz o raio de explosão (blast radius) de qualquer invasão. “Grandes violações, como aconteceu com o Yahoo, começaram com aplicações da web triviais como o vetor de entrada inicial, portanto, as aplicações menos importantes muitas vezes se tornam o maior problema”.

Além disso, não corrija vulnerabilidades em suas implantações na nuvem. Em vez disso, implante uma nova infraestrutura de nuvem executando o código mais recente e desative sua infraestrutura antiga. “Você só pode fazer isso se automatizar suas implantações, mas obterá o nível de controle sobre sua infraestrutura que nunca conseguiria em data centers tradicionais”, evidencia Govshteyn.

Pontos de conexão

Identifique pontos em que suas implantações de nuvem estão interconectadas a data centers tradicionais que executam código legado. “Essas provavelmente serão sua maior fonte de problemas, pois vemos uma tendência clara de que as implantações de nuvem híbrida tendem a enfrentar a maioria dos incidentes de segurança”, conclui.

Mantenha-se protegido! Conte com a Future!!! Clique aqui e conheça nossas soluções ou preencha o formulário abaixo e entre em contato conosco.

Fonte: CIO.

Read More
7 junho 2019
adm.future
0
Categories: Blog, Dicas, Segurança

LGPD: controlador e operador devem estar em sintonia para mitigar riscos!

Você já deve ter ouvido falar da Lei nº 13.709, de 14 de agosto de 2018, também conhecida como Lei Geral de Proteção de Dados (LGPD), certo? Desde quando foi promulgada com o objetivo de proteger os direitos fundamentais de liberdade, bem como de privacidade das pessoas a partir dos seus dados pessoais, a LGPD tem despertado diferentes reações pelas partes que compõem a dinâmica.

Por um lado, nas pessoas naturais, essa garantia despertou um sentimento de proteção, haja vista a série de incômodos que sofrem diariamente com abordagens de terceiros que tiveram acesso aos seus dados pessoais de forma não autorizada.

Por outro, nas empresas, a sensação despertada ainda é o desconforto em função da alteração cultural que ela implica, assim como um mar de incertezas (como exemplo, a demora na conversão em lei da Medida Provisória nº869/18, que prorrogou a vigência da LGPD para agosto/2020). Isso suscita perguntas como “será que a lei vai pegar?”, que se tornam mais comum a cada dia.

Mas a grande questão é que, independentemente das inseguranças, fato é que o respeito à proteção dos dados não é passageiro. É mais do que tendência. É um fenômeno global que nasceu com bastante força e que veio para ficar.

No próprio Brasil, no final de 2018, um caso emblemático chamou atenção. Um banco digital que figura dentre os líderes do País acordou o pagamento de uma multa de R$1,5 milhão ao Ministério Público do Distrito Federal em função da perda de dados de clientes em um episódio que veio à tona em maio do mesmo ano.

Ou seja, estamos diante de um prazo desafiador para se adequar à uma realidade que propõe uma mudança sensível que passa por toda a operação de qualquer empresa, desde as internas (que abrange, por exemplo, não apenas os gestores, mas sim todos os colaboradores), até as terceirizadas e realizadas em parcerias em geral.

Uma organização que falha nas medidas de segurança adequadas pode ser responsabilizada por negligência, independente da esfera e do nível em que o problema ocorrer.

Em relação aos parceiros, destaca-se a figura do operador, que pode ser pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador (a quem competem as decisões referentes a tal tratamento).

Conforme disposição da LGPD, o operador responde solidariamente pelos danos causados quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador, hipótese em que o operador se equipara ao controlador. Ou seja, o titular dos dados pode acionar judicialmente um ou outro, conjunta ou isoladamente, para buscar responsabilização e o ressarcimento do que lhe foi causado em descumprimento à LGPD.

Ainda, o controlador que estiver diretamente envolvido no tratamento do qual decorram danos ao titular dos dados também responde de forma solidária junto com o operador pelo que for causado por esse último.

Temos aí um ponto sensível: a escolha e contratação da figura do operador, sendo recomendável que o controlador exija daquele comprovações de cumprimento à LGPD. Ou seja, aqueles que mais cedo estiverem em compliance com a legislação, mais oportunidades de negócios terão, pois poderão se destacar no mercado e trazer segurança aos potenciais parceiros na possível contratação.

Importante dizer que o tratamento de dados pessoais será irregular quando não atender as disposições da legislação ou quando não fornecer a segurança que o titular de dados pode esperar do referido tratamento, considerando o modo de realização do tratamento, o resultado e os riscos razoavelmente esperados, bem como as técnicas de tratamento de dados pessoais disponíveis à época de sua realização.Daí nascem dúvidas como seria necessário comprovar culpa ou dolo do controlador ou operador (responsabilidade subjetiva), ou bastaria ao titular de dados demonstrar uma ação ou omissão pelo controlador/operador que acarretou um dano ao titular dos dados (responsabilidade objetiva)?

Conforme o texto da LGPD, o controlador ou o operador apenas não serão responsabilizados se demonstrarem que: (a) não realizaram o tratamento de dados pessoais que lhes é atribuído; (b) embora tenham realizado o tratamento de dados pessoais que lhes é atribuído, não houve violação à legislação de proteção de dados; ou (c) o dano é decorrente de culpa exclusiva do titular dos dados ou de terceiro. A partir da análise das excludentes de responsabilidade do controlador e do operador, é possível concluir que essas acabariam por afastar,por completo,o nexo de causalidade entre a ação/omissão e o dano causado ao titular de dados, fato característico de quando está se tratando da responsabilidade objetiva.

Ainda assim, não há como negar que a excludente de responsabilidade de culpa exclusiva de terceiroacaba por alargar o rol de defesa do controlador e do operador em detrimento do titular de dados, ao permitir a discussão e prova quanto à configuração da culpa de terceiros estranhos à atividade.

Contudo, não parece de acordo com espírito trazido pela LGPDque a jurisprudência se incline no sentido de admitir qualquer responsabilidade de terceiro, sendo mais coerente que tal discussão apenas seja cabível em relação a riscos externos ao negócio, ou seja, quando não seria razoável esperarque o controlador ou o operador assumissem o referido risco, sendo tal ação/omissão de terceiro totalmente estranha, inevitável e imprevisível para o negócio.

A infração à LGPD pode acarretar penalidades de até R$50 milhões por infração, assim como a obrigação da empresa publicizar a ocorrência, trazendo inevitáveis problemasde reputação. Todo esse cenário ilumina então um aspecto fundamental no processo de adaptação: não basta conhecer os seus riscos, mas sim agir para mitigá-los, sendo tal mitigaçãotão importante quanto escolher o parceiro comercial que tenha em evidência a mesma preocupação e o mesmo propósito.

Quer se adequar a LGPD? Conte com a Future! Preencha o formulário abaixo e entre em contato conosco.

Fonte: Computer World.

Read More
5 junho 2019
adm.future
0
Categories: Blog, Notícias, Segurança

Batalha contra phishing ganha novos inimigos que superam autenticação 2FA

Pesquisadores desenvolveram duas ferramentas que automatizam ataques de phishing capazes de ignorar a autenticação de dois fatores 2FA. A maioria dos mecanismos de defesa existente não é suficiente para impedir esse tipo de ataque. Uma vez que as ferramentas tornam esses ataques muito mais fáceis de serem implantados, as organizações devem adaptar suas defesas anti-phishing para barrar essa nova armadilha.

O novo toolkit foi apresentado no mês passado na conferência “Hack in the Box” em Amsterdã, na Holanda, e foi lançado no GitHub dias depois. Ele abrange dois componentes: um proxy reverso transparente chamado Muraena e um contêiner Docker para automatizar instâncias headless do Chrome conhecido como NecroBrowser.

Um tipo de ataque “man-in-the-middle”

Os ataques tradicionais de phishing, com os quais a maioria das pessoas está familiarizada, consistem em páginas de login falsas hospedadas em servidores da web controlados por invasores e atendidas por domínios personalizados cujos nomes são semelhantes aos dos sites segmentados. No entanto, esses ataques estáticos não são eficazes contra serviços online que usam autenticação de dois fatores, pois não há interação com os sites legítimos para acionar a geração de códigos de uso único. Sem esses códigos, os hackers não conseguem fazer login com as credenciais falsificadas.

Para derrubar a autenticação de dois fatores, os invasores precisam ter seus sites de phishing funcionando como proxies, encaminhando solicitações em nome das vítimas para os sites legítimos e entregando respostas em tempo real. O objetivo final não é obter apenas nomes de usuário e senhas, mas tokens de sessão ativos, conhecidos como cookies de sessão, que os sites reais associam a contas logadas. Esses cookies de sessão podem ser colocados dentro de um navegador para acessar diretamente as contas com as quais estão associados, sem a necessidade de autenticação.

Essa técnica baseada em proxy, contudo, já é conhecida há muito tempo. Mas a aplicação desse ataque exige conhecimento técnico e envolve a configuração de várias ferramentas independentes, como a utilização do servidor web NGINX para ser executado como proxy reverso. Em seguida, o invasor precisa capturar manualmente os cookies da sessão roubada antes que eles expirem. Além disso, alguns sites usam tecnologias como Subresource Integrity (SRI) e Content Security Policy (CSP) para impedir o proxy, e alguns até bloqueiam navegadores automatizados com base em cabeçalhos (os “headers”).

Muraena e NecroBrowser foram desenvolvidos para derrotar essas proteções e automatizar a maior parte do processo. Isso significa que o lançamento de ataques de phishing que podem derrotar o 2FA agora pode ser feito por um número maior de invasores. As ferramentas foram criadas pelos pesquisadores Michele Orru, ex-desenvolvedor do Projeto de Estrutura de Exploração do Navegador (BeEF), e Giuseppe Trotta, um membro do projeto Bettercap.

Como Muraena e NecroBrowser funcionam?

Muraena é escrito na linguagem de programação Go, o que significa que ele pode ser compilado e executado em qualquer plataforma onde Go esteja disponível. Depois de implantado, o invasor pode configurar seu domínio de phishing e obter um certificado legítimo para ele – por exemplo, usando a autoridade de certificação gratuita Let’s Encrypt, oferecida pela Internet Security Research Group (ISRG).

A ferramenta contém um servidor da web mínimo que atua como proxy reverso e um rastreador que determina automaticamente quais recursos do site legítimo serão executados. O proxy reescreve de forma transparente os pedidos recebidos da vítima antes de transmiti-los.

O rastreador gera automaticamente um arquivo de configuração JSON, que pode ser ajustado manualmente para contornar várias defesas em sites mais complexos. O pacote inclui exemplos de arquivos de configuração para Google, GitHub e Dropbox. Quando a vítima chega a um site de phishing com o suporte de Muraena, o processo de login funciona exatamente como no site real. O usuário é solicitado pelo código 2FA. Uma vez que essas informações são fornecidas, a autenticação é concluída e o proxy rouba o cookie da sessão.

O token de sessão é normalmente armazenado pelo navegador dentro de um arquivo e é exibido em solicitações subsequentes. Isso permite que o site forneça automaticamente a esse navegador acesso a uma conta por um determinado período de tempo (duração da sessão) sem solicitar a senha de login novamente. O Muraena pode passar automaticamente os cookies de sessão coletados para o segundo componente, o NecroBrowser, que imediatamente começa a utilizá-los.

O NecroBrowser é um microsserviço que pode ser controlado por meio de uma API e configurado para executar ações por meio de instâncias headless do Chrome em execução nos contêineres do Docker. Dependendo dos recursos disponíveis do servidor, um invasor pode gerar dezenas ou centenas desses contêineres simultaneamente, cada um com um cookie de sessão roubado de uma vítima.

As ações executadas pelas instâncias do “navegador zumbi” podem ser totalmente automatizadas. Por exemplo, dependendo do tipo de conta, isso pode permitir tirar screenshots de e-mails, redefinir senhas, fazer o upload de senhas não autorizadas para o GitHub ou adicionar endereços de encaminhamento desonestos às caixas de correio. As instâncias do navegador também podem ser usadas para coletar informações sobre contatos e amigos em redes sociais e até enviar mensagens de phishing para esses amigos em um ataque do tipo “worm”.

Como se proteger contra ataques phishing automatizados

Infelizmente, poucas soluções técnicas bloqueiam completamente esses ataques de phishing no lado do servidor. O Muraena foi desenvolvido para mostrar que técnicas como SRI e CSP têm um efeito limitado e podem ser contornadas de maneira automatizada. Além disso, a ferramenta mostra que o 2FA não é uma solução à prova de balas.

Porém, o phishing baseado em proxy não pode derrotar algumas implementações do 2FA – aquelas que usam tokens de hardware USB com suporte para o padrão Universal 2nd Factor (U2F). Isso porque esses tokens USB estabelecem uma conexão “criptograficamente” verificada com o site legítimo por meio do navegador, que não passa pelo proxy reverso do invasor.

Enquanto isso, as soluções baseadas em códigos recebidos por SMS ou geradas por aplicativos móveis de autenticação são vulneráveis, porque as vítimas precisam inseri-las manualmente e podem fazê-lo nos sites de phishing.

Outra solução técnica pode ser a aplicação de uma extensão do navegador que verifica se o usuário está inserindo suas credenciais no site correto. O Google desenvolveu essa extensão para o Chrome, chamada Alerta de senha, que avisa aos usuários caso insiram suas credenciais do Google em qualquer site que não pertença ao Google.

Educar os usuários para serem vigilantes e certificarem-se de que estão se autenticando no site correto, com o nome correto de domínio, continua sendo muito importante. A presença de um indicador TLS/SSL e um certificado válido não são suficientes para considerar que um site é legítimo, pois agora os certificados podem ser obtidos gratuitamente, de modo que a maioria dos sites de phishing serão habilitados para HTTPS.

Conheça nossa Solução de Conscientização Sobre Segurança da Informação clicando aqui ou preencha o Formulário abaixo e entre em contato com a Future!

Fonte: CIO.

Read More
3 junho 2019
adm.future
0
Categories: Blog, Notícias, Segurança

Bancos e seus clientes são alvo de ataques cibernéticos?

Atualmente, os ataques cibernéticos não se concentram apenas nas grandes empresas. O setor bancário e seus clientes não estão excluídos dessas ameaças no mundo digital.

Novos “malwares”, que miram o mercado financeiro surgem cada vez mais sofisticados, colocando em risco as finanças e dados sigilosos dos consumidores.

Existem, por exemplo, aplicativos bancários falsos para dispositivos móveis com interfaces que imitam ser aplicativos bancários originais. No mundo todo, um em cada três consumidores foi vítima de plataformas fraudulentas.

Nestes casos, os cibercriminosos miram os consumidores finais, pois sabem que a maioria das informações confidenciais é armazenada em dispositivos móveis e em computadores pessoais usados para acessar serviços bancários online.

Também consideram esses usuários como pontos fracos, porque geralmente ignoram práticas de segurança que devem ser aplicadas.

De acordo com uma pesquisa da Avast, líder em produtos de segurança digital, globalmente, 58% dos entrevistados foram capazes de identificar que a interface do aplicativo bancário oficial era fraudulenta, enquanto 36% confundiram a interface falsa com a real.

No Brasil, os resultados mostraram que 68% detectaram a interface fraudulenta, enquanto 30% confundiram a falsa com a verdadeira.

A pesquisa mostrou ainda que todos os dias a preocupação do consumidor cresce com relação ao receio dos cibercriminosos roubarem dinheiro de suas contas; ou porque as suas redes sociais podem ser violadas se algum estranho tiver acesso às conversas pessoais.

No mundo, 72% dos entrevistados apontaram a perda financeira como a principal preocupação. No Brasil, 75% dos consumidores revelaram a mesma preocupação, enquanto na Rússia foram 54%.

Luis Corrons, Evangelista de Segurança da Avast, traz algumas dicas para que os consumidores evitem e combatam crimes cibernéticos: “Cuidado com trojans bancários em dispositivos móveis. Esses aplicativos tentam enganar os usuários para fornecerem detalhes de suas contas bancárias, fingindo ser um aplicativo bancário legítimo. Eles imitam uma tela ou geram uma seção genérica, com o logotipo do banco correspondente”, comenta.

Evite armadilhas de phishing

Phishing, ou phishing scam, é uma técnica de engenharia social usada por cibercriminosos para induzir as pessoas a fornecerem informações sigilosas, como detalhes de cartão de crédito e credenciais de login.

O phishing geralmente se apresenta na forma de um e-mail, que parece vir de uma organização legítima, dificultando seu reconhecimento e incluindo um link ou um anexo que direciona o usuário para sites maliciosos, quase idênticos ao site original. Uma vez acessado, o site fraudulento solicita o envio das informações pessoais da vítima.

Senhas: a chave do cofre

O uso de senhas seguras e exclusivas para cada conta e sua alteração regularmente é uma prática importante que os usuários devem levar em conta, para manter suas contas online protegidas, especialmente as bancárias.

“Recomendamos o uso de um gerenciador de senhas, como o Avast Passwords, para gerenciá-las já que a maioria das pessoas tem mais de 20 contas online, dificultando a criação e o registro de senhas seguras e únicas para cada uma das contas”, disse Luis Corrons.

Esses gerenciadores usam criptografia segura e geram senhas fortes para todas as contas. Os usuários não podem se lembrar de senhas tão longas, mas podem alterá-las com facilidade e frequência.

Caso as senhas não sejam alteradas, será difícil detectar violações e roubos de dados, e possibilitará que os cibercriminosos obtenham credenciais de login para cometer fraudes sem que ninguém perceba.

Instalação de uma rede segura

A instalação de um programa antivírus é obrigatório para qualquer dispositivo, mesmo que seja Mac, Windows ou Android. Um antivírus protege os usuários contra ameaças como spyware, ransomware, keyloggers e trojans.

“Independentemente de como as pessoas são cuidadosas, os cibercriminosos sempre encontram novas maneiras de acessar as contas de usuários. O antivírus atua como uma rede de segurança, que protege os dados a qualquer momento e em segundo plano, para que as pessoas possam usar os seus dispositivos sem preocupação”, Corrons esclarece.

Mantenha serviços bancários online em seus próprios dispositivos

“O usuário nunca deve fazer transações financeiras de um computador ou dispositivo móvel que não pertença a ele, pois não há segurança por parte de quem o utilizou no passado e conhecimento sobre o tipo de software em execução. O mesmo pode acontecer com redes Wi-Fi; os usuários devem evitar realizar transações financeiras conectando-se com redes públicas, já que os cibercriminosos podem espionar suas atividades e, se necessário, usá-las. Por isso, deve-se usar uma VPN (Rede Privada Virtual) para realizar operações“.

Protegendo a privacidade do usuário

É preciso prevenir que o cibercriminoso veja o que o usuário está digitando no dispositivo. O Modo Banco do Avast Secure Browser é um recurso de segurança que cria uma sessão isolada, como uma sala privada, para garantir que a digitação não seja registrada e que nenhum espião esteja observando as transações bancárias.

Assim, quando um usuário abre o navegador em um espaço de trabalho isolado, é criado um local seguro para proteger suas senhas, números de cartões de créditos e outros dados pessoais contra malware.

Entre outros recursos de privacidade, o Avast Secure Browser oferece: Modo Stealth, que não salva históricos de navegação dos usuários e elimina cookies de rastreamento ou caches web selecionados numa sessão de navegação; e, adicionalmente, ativa automaticamente o Anti Rastreamento para proteger a privacidade dos usuários, impedindo que os sites controlem as atividades online.

Mantenha-se protegido. Conte com a Future! Somos parceiros dos maiores fabricantes de soluções de segurança, disponibilidade e performance do mundo! Preencha o formulário abaixo e entre em contato conosco.

Fonte: CryptoID.

Read More
31 maio 2019
adm.future
0
Categories: Blog, Dicas, Segurança

12 segredos obscuros da criptografia

A criptografia está se tornando uma solução rápida para o desenvolvedor, seja qual for a privacidade de dados ou a preocupação com a segurança. Com medo de colocar seu cartão de crédito em um formulário web? Não se preocupe. Estamos usando criptografia. Não tem certeza se um site é autêntico? A criptografia está de volta. A boa notícia é que os algoritmos de criptografia funcionam algumas vezes. A matemática oferece alguma proteção contra a espionagem e uma base sólida para a confiança.

Mas toda a magia tem seus limites e a coisa complicada com a criptografia é que pode ser impossível ter certeza de onde esses limites estão. A matemática pode ser tão inspiradora que só podemos nos sentar e olhar boaquiaberto. É fácil se perder e apenas se resignar a confiar que tudo dará certo quando os cálculos forem muito complexos.

No final, com criptografia, o melhor que podemos fazer é gerenciar nossas expectativas e nossa compreensão. Não podemos viver sem criptografia, mas não podemos presumir que funcionará com a mesma facilidade ou confiabilidade que um interruptor de luz.

Então, aqui estão uma dúzia de segredos obscuros da criptografia para se ter em mente ao procurar soluções para problemas intratáveis em sua arquitetura de informações.

Nós não entendemos isso

A maior parte do poder da criptografia depende do fato de não sabermos o suficiente sobre a matemática envolvida para revertê-la. Sabemos como calcular as funções, mas não como invertê-las. Podemos multiplicar e multiplicar números grandes, mas não podemos calcular o logaritmo. Em outras palavras, não sabemos a matemática de trás para frente, só a conhecemos somente pela frente. Quando um grupo de pessoas inteligentes não consegue descobrir como retroceder, ficamos por aqui, damos de ombros e abraçamos os algoritmos. É o melhor que podemos fazer. O algoritmo mais comumente implementado depende do fato de que ninguém descobriu publicamente qualquer maneira de atacá-los.

Nossas estimativas são apenas estimativas

Alguns matemáticos encontraram algoritmos básicos para atacar as funções de criptografia conhecidas, mas eles são lentos demais para quebrar a criptografia com chaves reais. Os algoritmos funcionam apenas com números pequenos e sua velocidade aumenta exponencialmente com o tamanho do problema. Esses algoritmos geram todas essas estimativas surpreendentes sobre como seriam necessários bilhões de quatrilhões de quintilhões de bilhões de anos para serem quebrados. Isso soa tranquilizador, mas é como um golfista iniciante dizendo que pode levar bilhões de anos no golfe para acertar um buraco na primeira. Isso pode ser verdade para o iniciante, mas não para os profissionais que os atingem regularmente. No mundo da criptografia, somos todos iniciantes lançando estimativas.

As provas são parciais

Alguns dos cientistas e matemáticos mais dedicados trabalham duro para fornecer uma “prova” de seu algoritmo. Essas cadeias de etapas lógicas bem avaliadas nos ajudam a entender a força do algoritmo de criptografia, mas isso não é a mesma coisa que garantir que seus dados estarão seguros. As provas apenas iluminam algum trabalho, e sempre há monstros escondidos na escuridão. Na maioria dos casos (exceto códigos de uso único), as provas não cobrem tudo e dependem de suposições sobre como alguns problemas são realmente difíceis. Isso pode ser verdade no passado, mas isso não é garantia para o futuro.

Nós não podemos medir a força

As equipes de vendas de tecnologia de segurança gostam de usar termos como “grau bancário” ou misturar números como 1024 bits, mas a realidade é que não temos uma boa maneira de fazer mais do que adivinhar a força dos algoritmos. O dobro de 2048 bits é igual a 1024 bits? Ou a diferença é astronômica?

A pesquisa só começa a arranhar a superfície. Alguns dos ataques funcionam apenas em uma faixa estreita de mensagens e apenas quando um milhão de estrelas se alinham. Outros ataques tornam tudo acessível. Podemos ver como esses ataques funcionam no laboratório, mas é difícil estender a ação até quanto eles podem ameaçar nossos dados.

O futuro da computação é um mistério

Ninguém sabe se computadores quânticos serão construídos com energia suficiente para lidar com problemas significativos, mas sabemos que as pessoas estão tentando e divulgando comunicados à imprensa sobre como fazer progressos. Sabemos também que, se as máquinas quânticas aparecerem, alguns algoritmos de criptografia serão quebrados.

Muitos cientistas de criptografia estão trabalhando duro na construção de novos algoritmos capazes de resistir a computadores quânticos, mas ninguém sabe realmente a extensão dos poderes de um computador quântico. Será limitado aos algoritmos conhecidos? Ou alguém encontrará outra maneira de usar o computador quântico para quebrar todos os novos algoritmos.

Dados criptografados não são dados seguros

Às vezes, a criptografia funciona muito bem. Ele bloqueia os dados dentro de um cofre matemático e, de alguma forma, a chave desaparece. É fácil fazer backup de dados criptografados, mas é um desafio fazer backup de chaves e senhas. Se você for muito cuidadoso, poderá acabar bloqueando-se dos próprios dados. Se você morrer inesperadamente, ninguém poderá descobrir a senha ou a chave que falta. Dados criptografados não são os mesmos que dados seguros. Dados criptografados são frágeis.

A criptografia é fácil. O gerenciamento de chaves é difícil!

Alguns padrões de criptografia são bem confiáveis porque foram desenvolvidos por meio de um processo árduo de vários anos. É fácil conseguir um de uma biblioteca de código aberto e ter certeza de que a criptografia será segura. A parte difícil, no entanto, é distribuir as chaves entre todos que precisam delas. Sistemas simétricos como o AES exigem que a chave viaje separadamente por meio de um canal seguro, mas se tivéssemos um canal seguro, não precisaríamos de criptografia. Se planejarmos com antecedência, geralmente podemos obter as chaves certas para as pessoas certas.

Os sistemas de chave pública tornaram mais fácil para as pessoas configurar um caminho seguro sem se reunir antecipadamente, mas elas têm seus próprios problemas. Como você sabe que está usando a chave pública certa para uma pessoa? A autoridade de certificação é confiável? Ainda há necessidade de voto de confiança no sistema.

O código de suporte é frágil

A distribuição de chaves não é a única faceta que cria pesadelos para os desenvolvedores de criptografia. Muitas partes do algoritmo podem vazar informações, às vezes deliberadamente. É comum, por exemplo, misturar números aleatórios com uma mensagem, mas encontrar esses números aleatórios pode ser complicado. Alguns dos chamados geradores de números aleatórios têm falhas, que os tornam longe de serem aleatórios, e sua previsibilidade pode ser usada para adivinhar a chave e quebrar a mensagem. O algoritmo de criptografia é apenas parte do jogo.

Hardware compartilhado é perigoso

Ultimamente mais e mais códigos estão sendo executados na nuvem devido ao custo e flexibilidade. O problema é que ninguém sabe o que os vizinhos que estão compartilhando sua máquina estão fazendo. Existem inúmeras vulnerabilidades que permitem que um software espie a memória de outra peça no mesmo computador. Os desenvolvedores do sistema operacional tentam pará-lo, mas novas falhas como o RowHammer aparecem com frequência. Parece que há dezenas de possíveis ataques a computadores na nuvem e estamos apenas começando a perceber o quanto precisamos nos preocupar com isso.

É impossível detectar um hardware invadido

Você já viu os transistores em seus chips? Você já se certificou de que eles são leais a você, o desenvolvedor de software? Alguns hackers perspicazes fizeram engenharia reversa de um chip e descobriram que ele tinha um modo de deus oculto e não documentado, o qual era acionado por uma sequência aleatória de bytes. Quem os colocou ali? Ninguém tem pressa para levar o crédito.

Assinaturas digitais apenas mudam a responsabilidade

A matemática por trás de alguns dos melhores algoritmos de assinatura digital é encantadora e hipnotizante. Somente o proprietário da chave privada pode executar os cálculos que produzem uma assinatura digital legítima. Isso soa muito, muito melhor do que uma assinatura manuscrita, que geralmente pode ser forjada por um aluno da quarta série que precisa de um pai para assinar um teste ruim.

Mas será mesmo? As chaves privadas não estão vinculadas à pessoas. Uma assinatura digital só pode ser produzida por alguém com acesso à chave privada. Esse pode ser o dono legítimo, ou pode ser alguém que invadiu o computador ou usou uma senha ou inseriu um registrador de chaves ou encontrou uma maneira de obter a chave. Se a sua chave está no seu computador e o seu computador está na rede, poderia ser qualquer pessoa no mundo que também estivesse conectada à rede.

Os cientistas estão se esforçando para construir hardware seguro e soluções fortes, mas eles apenas dificultam o trabalho dos invasores. A matemática maravilhosa é facilmente minada por fragilidades comuns.

Nem todos falam

Alguns matemáticos e especialistas em criptografia gostam de falar publicamente sobre a tecnologia. Outros não dizem nada. Nós nem sabemos quantos silenciosos estão por aí.
É realmente um milagre que a sociedade tenha desenvolvido tanto conhecimento em códigos e cifras quanto nós. Quanto mais usamos a tecnologia, no entanto, maior o incentivo para ficar inquieto sobre qualquer fraqueza. Quando dinheiro real e segredos reais estão fluindo através dos tubos blindados de criptografia da internet, bem, o conhecimento sobre qualquer rachadura na armadura se torna mais valioso. Em outras palavras, quanto mais usamos criptografia, mais profundos e obscuros se tornam os segredos.

A Future é parceira dos maiores fabricantes de soluções de segurança, disponibilidade e performance do mundo! Preencha o formulário abaixo e entre em contato conosco.

Fonte: CIO.

Read More

Receba conteúdos exclusivos