Tecnologia 20 a 22/05/2017

Cibersegurança, uma responsabilidade compartilhada

As aparências, também na área de tecnologia, enganam. Dois vídeos aparentemente semelhantes, capturados por câmeras de monitoramento de origens diferentes, podem ser fundamentalmente distintos

Rodrigo Sanchez (*)

Apesar de registrarem uma mesma cena, eles podem ter níveis desiguais de segurança contra ataques cibernéticos – uma preocupação crescente para equipes de TI em órgãos governamentais e no setor Financeiro (devido à natureza confidencial de suas operações), indústrias (sobretudo preocupadas com sua propriedade intelectual) e hospitais (onde a privacidade dos pacientes é uma prioridade).
Nessas e em outras aplicações, a criação de redes mais seguras depende de um esforço contínuo e coletivo, envolvendo três eixos: o compromisso do fabricante, o know-how dos integradores e uma atitude preventiva por parte dos usuários.
Essa articulação é importante especialmente considerando-se os riscos associados a esses crimes. Quando falamos sobre ataques pela rede, podemos classificá-los em dois tipos principais:
Ataque oportunista: este ataque ocorre quando o invasor explora um ponto fraco conhecido para atacar as vítimas; se o vetor de ataque selecionado falhar, o invasor passará para a próxima vítima. Um ataque oportunista se concentra em usuários e em sistemas configurados de maneira inadequada.
Ataque direcionado: este ataque geralmente envolve um planejamento inteligente e ocorre quando um invasor seleciona um alvo específico para atingir um objetivo específico. O invasor se concentrará em usuários vulneráveis e em sistemas falhos ou mal protegidos.
O primeiro tipo de ataque é o mais frequente e fácil de executar, enquanto o segundo é sem dúvidas mais perigoso, pois os riscos são mais altos, como a apropriação e o cancelamento de dados confidenciais ou o roubo de material protegido por direitos autorais.

Como proteger um sistema de videovigilância
Para garantir o mais alto nível de proteção, é necessário que o sistema de vídeo (que faz parte da rede) atenda a determinados requisitos que farão com que ele atinja os níveis de proteção para a infraestrutura existente e a política de proteção definida pela pessoa responsável pela rede. O sistema também deve ter uma proteção adequada considerando o nível de risco previamente calculado para todos os seus componentes (servidores, clientes e dispositivos conectados à rede), com base em uma análise de risco preliminar de extrema importância.
Com relação à proteção do cliente, os especialistas de segurança cibernética da Axis recomendam proteger todos os “nós” da rede de acordo com as políticas de TI, através do uso de um firewall de gerenciamento e implementação de senha preciso e adequado, software antivírus e processos de criptografia. E, por fim, fornecer um gerenciamento preciso da manutenção do cliente com sistemas operacionais e aplicativos sempre atualizados.
Em linhas gerais, estas são as 10 principais recomendações de cibersegurança da Axis Communications:
1 Faça uma análise de risco de ameaças potenciais e os possíveis danos/custos se o sistema for invadido.
2 Adquira conhecimento em proteção de sistema e possíveis ameaças. Trabalhe proximamente de revendedores, integradores de sistema, consultores, fornecedores de produto. A internet é um recurso fantástico.
3 Proteja a rede. Se a proteção de rede for violada, aumenta o risco de intercepção à procura de informações confidenciais, invasão de servidores individuais e dispositivos de rede.
4 Use senhas fortes e individuais, e troque-as regularmente.
5 Não confie em uma configuração predefinida da fábrica de dispositivos de rede
• Altere senha predefinida.
• Habilite e configure serviços de proteção de dispositivos.
• Desabilite serviços que não estejam sendo usados.
6 Use conexões criptografadas, quando possível, mesmo em redes locais.
7 Para reduzir exposição de vídeos, não deve ser permitido a clientes acessar câmeras diretamente, a menos que seja exigido pelo sistema/solução. Clientes só devem acessar vídeos através de um VMS (Sistema de Gerenciamento de Vídeo) ou um media proxy.
8 Verifique registros de acesso regularmente para detectar tentativas de acesso não-autorizado.
9 Monitore dispositivos regularmente. Habilite notificações de sistema quando for adequado e justificado.
10 Use o firmware mais recente, já que pode incluir correções de segurança.
Para além dessas recomendações, faz todo o sentido que entidades governamentais e privadas adotem cautela em relação às origens dos dispositivos de videomonitoramento que irão conectar a sua rede. Na escolha de um sistema de videomonitoramento, deve-se observar o comprometimento de fabricantes com a identificação de vulnerabilidades e sua resolução de forma a minimizar danos. Por outro lado, a experiência dos integradores é fundamental para aumentar a segurança de seus clientes, e os próprios usuários devem assumir sua responsabilidade na proteção dos dispositivos que protegerão o que lhes é valioso.

(*) É engenheiro de Vendas da Axis Communications.

OPORTUNIDADE NA ÁREA DE HOSPEDAGEM DE SITES NO BRASIL

Segundo o Sebrae Nacional, há mais de 11 milhões de microempreendedores individuais, micro e pequenas empresas no Brasil. Por outro lado, de acordo com informações do Registro.br – órgão responsável pelo registro de sites .com.br – há cerca de 4 milhões de domínios registrados. Isso quer dizer que mesmo num cenário onde cada domínio represente uma empresa com site, ainda há aproximadamente 5 milhões de empresas sem uma página virtual. Ou seja, pelo menos, 7 em cada 10 empresas não tem site. 

Franquia x não-franquia
Uma pesquisa realizada pelo Sebrae aponta que enquanto 80% das micro e pequenas empresas fecham as portas nos cincos primeiros anos, no mercado de franquias o percentual é de 15%. Ainda no primeiro ano, a perspectiva de fechamento é de 30% para novos empreendimentos – 10 vezes mais do que os fechamentos de franquias. 
Um dos principais motivos dessa estatística é o fato de que o franchising oferece um sistema estruturado, fundado na experiência adquirida durante anos de trabalho. Na verdade, a ideia de transformar o empreendimento em franquia está no objetivo de querer ampliar e expandir negócio. Isso quer dizer que o empreendedor só terá interesse real em ampliar a sua empresa, quando houver uma solidez estrutural e financeira. 

Perfil do empreendedor de franquia 
O alto nível de desemprego, que atinge mais de 12 milhões de brasileiros, segundo dados do IBGE (Instituto Brasileiro de Geografia e Estatística), abriu as portas do mercado nacional para o segmento das microfranquias, que têm o investimento inicial médio de R$ 54.464. A maioria dos que optam por esse tipo de negócio (72%) garante um retorno do valor aplicado em até 18 meses, afirma um estudo divulgado pela ABF (Associação Brasileira Franchising). A associação afirma que o País tinha 557 marcas com unidades de microfranquias em 2016. 

Investimento inicial e retorno do investimento 
A taxa inicial de franquia no valor de R$ 17.500,00 é paga uma única vez. Ao longo de dois anos, vendendo e desenvolvendo dois clientes de Site Pronto WordPress por mês o franqueado terá uma carteira de 46 clientes e renda mensal estimada de R$ 5.300,00, com um lucro acumulado de R$ 78.000,00 em 24 meses. 
Nos pacotes combinados que incluem: a criação de sites, hospedagem e manutenção, a lucratividade fica entre 50% e 70% dependendo do preço que o franqueado operar, já descontando todas as taxas como impostos.

7 lições do WannaCry

Nestes últimos dias, uma nova ameaça cibernética ganhou notoriedade, o WannaCry. Trata-se de um tipo de código malicioso classificado como ransomware, daqueles que “sequestram” dados de computadores para exigir um dinheiro em troca de devolver o acesso ao seu dono. Ou seja, uma vez infectada a máquina, ele encripta os arquivos e mostra uma tela na qual exige um resgate em dinheiro, tipicamente na moeda eletrônica bitcoins que, assim como o dinheiro vivo, não deixa rastros quando se movimenta e permite circulação de valores entre criminosos.
Interessante é que o WannaCry explora uma vulnerabilidade do sistema operacional Windows conhecida há pelo menos dois meses e que permite execução remota de um código através de uma vulnerabilidade no serviço SMB (Service Message Block).
O que o episódio nos traz de lições?
1. Crescimento das ameaças cibernéticas: as ameaças crescem em termos de magnitude e agressividade. Com a crescente conectividade, cada nova ameaça tem o potencial de infectar mais equipamentos.
2. O cibercrime está crescendo: essa nova ameaça também nos recorda que o cibercrime está crescendo, pois cada vez mais as ameaças tem motivação financeira. Elas se tornam mais perigosas, porque as organizações criminosas que as orquestram têm cada vez mais recursos. Podem desenvolver “armas” sofisticadas e agir globalmente com elas.
3. Impacto real nos negócios: tornaram-se comuns nos últimos dias notícias de empresas que foram contaminadas e tiveram que sujeitar-se a pagar pelo resgate. Outras decidiram por desligar computadores. Nos dois casos, torna-se claro o impacto em termos de custo (seja pelo pagamento pelo resgate ou, pior, pela perda de produtividade).
4. Prevenção é fundamental e começa com pequenas coisas: a vulnerabilidade é conhecida há pelo menos dois meses, quando a Microsoft publicou um boletim recomendando atualização dos sistemas Windows para corrigi-las. Um trabalho de Gerenciamento de Patchs, complementado de Gerenciamento de Vulnerabilidades, teria evitado a dor de cabeça. Realizar cópias de segurança frequentemente é outra prática bastante corriqueira que ajuda em situações de ransomware. São conceitos simples, mas que precisam ser realizados de forma consistente, com processo, ferramentas e pessoal treinado.
5. Microssegmentar a rede: a utilização de ferramentas para microssegmentação reduz o estrago. Ao isolar sistemas por microssegmentos, a movimentação lateral realizada pelo malware é contida e ele não contamina uma grande quantidade de equipamentos na rede. Opte pela microssegmentação por software, focando inicialmente em sistemas mais críticos. Isso vai permitir adoção rápida, sem impacto na arquitetura da rede e com custo reduzido. Em médio e longo prazo a técnica vai aumentar a segurança e permitir a simplificação da rede ao reduzir complexidade de firewalls internos e segmentação via VLANs.
6. Monitoração de Comportamento de Malware: a cada momento surgirão novas ameaças, as quais serão desconhecidas por ferramentas tradicionais de segurança que trabalham com assinaturas e padrões de malware conhecidos. A utilização de ferramentas de correção de eventos é controle necessário, mas não suficiente. Preparar-se para o malware novo requer um SOC (Centro de Operações de Segurança) mais inteligente, que identifique comportamentos anômalos mesmo quando for um ataque novo com assinatura desconhecida. No caso do WannaCry, a comunicação pela porta do SMB, o comportamento de movimentar-se lateralmente dentro da rede, e o endereço de seu “mestre” que tenta contatar, são indícios típicos de algo estranho está acontecendo e que permitiram um SOC inteligente detectar a nova ameaça a tempo.
7. Resposta a incidentes: Uma vez detectada a nova ameaça, requer-se pronta resposta. Respostas automáticas ou manuais poderiam bloquear tráfego suspeito e eliminar da rede equipamentos contaminados. A utilização de uma Arquitetura de Segurança Adaptativa é recomendada para responder de modo dinâmico, mudando a arquitetura de subredes à medida que contaminações são identificadas. Um exemplo é colocar em quarentena os equipamentos contaminados e evitar que os mesmos contaminem outros.

(Fonte: Leonardo Carissimi é Diretor de Soluções
de Segurança da Unisys na América Latina).

A atitude é a alma do negócio

Marcelo Vianna (*)

Mesmo no mundo da TI, sorrir ao falar e cumprimentar de maneira confiante são posturas que têm mais chances de fechar um negócio que conhecimento sobre a última geração tecnológica de certo produto, por exemplo

Você tem sorriso na voz? Cumprimenta o porteiro da empresa pela manhã? As perguntas podem parecer um pouco estranhas ou exageradas, mas têm feito cada vez mais sentido no mercado de trabalho. Nunca antes o quesito ‘comportamento’ foi tão valorizado e comentado no mundo. O que há alguns anos era aceitável, devido ao conhecimento técnico, hoje não é mais tolerável. E já não era sem tempo, precisamos aprender a exercitar a nossa humanidade e resiliência; uma vez que cada dia mais as características antes inerentes a algumas profissões têm se expandido e tomado o lugar do que era dedicado ao ‘tecniquês’. Pensando nisso, vale a pena refletir sobre alguns conceitos que o mundo tem desenhado e podem te ajudar em uma oportunidade ou no seu atual emprego.

Como anda o seu CHA?
Dizem que somos contratados pelo nosso conhecimento e demitidos por conta da atitude. Faz sentido, especialmente tendo em vista que CHA é a sigla para Conhecimento, Habilidade e Atitude, e que é por meio da união desses termos que o seu caminho pode ser traçado. O Conhecimento é definido por aquilo que aprendemos ao longo da vida, estudos, cursos, aprofundamentos técnicos dentro de certo assunto, e tudo o mais que adquirimos de maneira teórica. A Habilidade pode ser desenvolvida, mas é fundamentada no conhecimento teórico, por outro lado, é um conceito bastante pessoal, uma vez que também diz respeito aos métodos que você mesmo desenvolveu para atuar em certa atividade, a conhecida aptidão. Já a Atitude diz respeito ao seu comportamento ante algumas situações, você é proativo? Como reage frente à pressão do dia a dia? A maneira como você trata a sua equipe ou seus colegas diz muito sobre você.

O perfil global
É esperado de alguém que trabalha com vendas a capacidade de se relacionar bem, que seja comunicativo e atencioso. Mas e quem trabalha com desenvolvimento de sistemas? O conhecido geek que geralmente está focado na frente do computador? Não é porque você trabalha de home office, ou porque atua nas áreas menos ‘movimentadas’ da empresa, que o seu skill de relacionamento não deve ser desenvolvido, ao contrário, para ganhar destaque precisa mostrar o rosto, ser mais do que apenas a assinatura do e-mail. Em todas as áreas da empresa, e não apenas nas que se esperam. Se a recepcionista precisa ter simpatia, por que o analista não pode ter um sorriso na voz? Ao vendedor, que conheça o time que desenvolve o seu produto, ao programador, que dê uma pausa aos códigos e busque os rostos dos seus colegas. Habilidades interpessoais são valiosíssimas, ou você pode ‘sumir’ dentro da empresa.

Respeito acima de tudo
Há pelo menos uns vinte anos, se você fosse o profissional que pressiona, grita e humilha, mas entregasse e fizesse os seus subordinados entregarem o resultado, estava tudo bem. Hoje, o nome disso é assédio. Mais do que tudo, o que se espera de um profissional é o respeito, e empatia é a palavra-chave nesse caso. Colocar-se no lugar do outro é uma maneira de engajá-lo, e sabemos que engajamento traz resultado, e resultados deixam o cliente e a empresa felizes. Além de humanizar o ambiente de trabalho e aproximar a equipe.
O mercado de trabalho não funciona mais com números, além de uma boa entrega, foi incluído à sua rotina um bom relacionamento e comportamento com a corporação. A validação das suas atividades tem muito mais chances de ser um sucesso, se o testemunho alheio confirmar isso. Afinal, a venda boca a boca sempre funcionou melhor, não?

(*) É sócio-diretor da Conquest One, empresa especializada em contratação de profissionais especializados em TI, e responsável pela área de Pessoas e Processos.