Notícias


A equipe de analistas de segurança da empresa russa Kaspersky, fornecedora de um dos mais eficientes e conceituados antivírus do mercado e outros produtos para segurança de computadores e redes, divulgou em 17 de fevereiro deste ano o boletim anual de segurança relativo a 2009.

O Kaspersky Security Bulletin 2009 é dividido em três partes:

  1. Malware Evolution 2009, por Eugene Aseev, Alexander Gostev e Denis Maslennikov. Analisa tendências dos últimos anos, análise de 2009 (aumento da sofisticação, epidemias, fraudes, malware para plataformas e dispositivos não usuais), previsões.
  2. Statistics, 2009, por Eugene Aseev e Alexander Gostev. As estatísticas abordam programas maliciosos na Internet (ataques via Web), e os Top 20 em 2009 para códigos maliciosos na Internet, países hospedando malware e países atacados.
  3. Spam Evolution 2009, por Elena Bondarenko, Darya Gudkova e Maria Namestnikova. Aborda uma visão geral do ano, spam no tráfego de correio, fontes de spam, categorias, fraudes (phishing, scam), tipos e tamanhos, métodos e truques dos spammers, spam nos sites de redes sociais, malware em email, e conclusões.

Os dados e informações, como sempre infelizmente, assustam.

Novos malwares por ano

Além do boom de novos malwares observados em 2008 — devido a fatores como rápida evolução da criação de virus na China, evolução das tecnologias de infecção de arquivos, e solidificação de vetores de ataque –, 2009 manteve taxa de surgimento de malware próxima a 2008 e ainda os programas maliciosos se tornaram significativamente mais complexos e sofisticados.

Com a evolução e popularização dos smartphones, observa-se um razoável movimento de surgimento de malware para dispositivos móveis. Embora o número absoluto de novos malwares em 2009 não pareça grande, 257, representa um aumento próximo a 80% em relação a 2008.

China aparece como hospedeiro de mais da metada de todo malware mundial (52,7%), seguida por Estados Unidos (19,02%). Em terceiro e quarto no ranking vem Países Baixos (5,86%) e Alemanha (5,07%). Brasil aparece em décimo-terceiro da lista, responsável por apenas 0,44%.

A China também é o maior alvo de ataques, 46,75% deles. EUA também são segundo como alvo, mas em apenas 6,64% do total. Rússia em terceiro (5,83%), Índia quarto (4,54%), seguidos por Alemanha (2,53%), Reino Unido (2,25%), Arábia Saudita (1,81%) e, em oitavo, Brasil (1,78%).

Softwares populares têm suas vulnerabilidades mais exploradas. Não por acaso, Microsoft (Office, serviços XML), Apple (QuickTime + iTunes), Adobe (Flash Player) e Sun (Java) fecham o ranking das 20 vulnerabilidades mais críticas que responderam por 90% dos arquivos/aplicações vulneráveis no ano.

Ranking de vulnerabilidades

Considerando a base instalada de programas, os aplicativos mais perigosos de 2009 foram, nessa ordem:

  1. Apple QuickTime
  2. Microsoft Office
  3. Adobe Flash Player

Percentual de spam no tráfego de email

Quantos aos insuportáveis spams, é muito triste constatar que mais de 80% de todo o tráfego de correio eletrônico no mundo é de lixo.

Países origem de spam

Tipos de spam

Estados Unidos (16%), Rússia (8,5%) e Brasil (7,6%) são as maiores origens de spam, proliferando a divulgação de medicamentos (“viagra” e afins), diplomas e outros lixos.

Fraudes em spam

No segundo semestre de 2009, quase 10% do spam envolveu mensagens fraudulentas, em phishing e scam. Eu apostaria que especificamente no Brasil, esse percentual deve ser bem maior, pela quantidade enorme de fraudes que vejo circular por aqui.

Fonte: Diretoria de Comunicação da FEBRABAN e Jornal do Comércio, 14/04/2010, Último Instante, 21/05/2010.

As transferências de recursos financeiros entre bancos no Brasil ficaram ainda mais ágeis desde 21 de maio, quando o limite mínimo para a TED, ou Transferência Eletrônica Disponível, caiu para R$ 3 mil, conforme decisão da Federação Brasileira de Bancos – FEBRABAN.

A TED tem duas grandes vantagens em relação ao Documento de Crédito (DOC), principalmente para o destinatário. Primeiro, a rapidez: a TED é processada eletronicamente, de forma que o valor transferido de um banco para o outro fica disponível na conta destino no mesmo dia, em geral quase instantaneamente. E traz segurança já que a operação é irreversível, ou seja, não pode ser estornada ou sustada e só se realiza com recursos efetivamente disponíveis na conta do remetente — não existe, portanto, a possibilidade de uma TED sem fundos.

Transferências em apenas um dia nesse valor são raridade no mundo, o que torna o Sistema de Pagamentos Brasileiro (SPB) um paradigma de excelência mundial, não só pela agilidade e universalidade, como pela segurança que confere ao sistema financeiro e seus usuários.

Para transferências entre R$ 3 mil e R$ 5 mil, o usuário poderá optar entre a realização de uma TED ou de um DOC, de acordo com a tarifa mais vantajosa em cada caso. A TED continua obrigatória para transferências acima de R$ 5 mil.

Em março, a Câmara Interbancária de Pagamentos (CIP), responsável, no SPB, pelo processamento desse tipo de operação, realizou um total de 279 mil TEDs por dia. Com o novo limite de R$ 3 mil, estima-se que processará aproximadamente 335 mil TEDs diariamente.

Segundo a Federação Brasileira dos Bancos (Febraban), as TEDs contabilizaram, no ano de 2009, um total de R$ 10,4 trilhões, o equivalente a 2,4 vezes o Produto Interno Bruto (PIB) brasileiro no período.

Fonte: IT Web
Por Charles Babcock, InformationWeek EUA, 21/05/2010.

Secerno oferece firewalls para proteção externa para banco de dados.

A Oracle irá adquirir a Secerno, fornecedora de firewalls que trabalha para proteger sistemas de bancos de dados. O valor pago pela companhia de capita fechado sediada em Oxford (Inglaterra) não foi revela. A expectativa é de conclusão do negócio no final de junho.

A companhia já oferece uma série de soluções para proteção interna de seus sistemas. A Secerno acrescenta uma camada externa de proteção à solução, comentou Andrew Mendelsohn, vice-presidente-sênior de tecnologias para servidores de banco de dados.

O appliance de firewall Secerno DataWall inspeciona comandos e consultas nos bancos de dados para se certificar que não contêm comandos falsos ou representem alguma espécie de demanda inadequada.

Informação postada no site da empresa adquirida diz que a solução pode ser configurada para bloquear atividades com base no perfil de usuários, nome de domínio, aplicação ou origem de programa de comando.

Um relatório de dezembro de 2009 da Forrester Research diz que “o acesso inapropriado por funcionários sem privilégios continua a ser uma questão de segurança a ser considerada”.

A Oracle enxerga a compra como uma forma de reduzir riscos e incrementar níveis de segurança, pontos apontados como desafiadores no cenário atual. A tecnologia da companhia adquirida é tida como uma primeira linha de defesa.

Nas ondas da telefonia móvel e nos ares das companhias aéreas, duas fusões bilionárias ocorreram nesta virada de mês.

Dia 28 de abril a HP anunciou a aquisição da Palm por US$ 1,2 bilhão. As companhias anunciaram um acordo onde a gigante de TI pagará US$ 5,70 por ação da fabricante de smartphones.

Os grupos diretivos das duas empresas aprovaram a transação, que deve ser concluída até o final de julho, dependendo da aprovação pelas autoridades regulatórias nos Estados Unidos.

O principal executivo da HP, Mark Hurd, declarou que a compra agrega “valor extraordinário” à HP e elogiou em especial o fato da companhia tornar-se dona do sistema operacional WebOS.

A Palm foi precursora no mercado de smartphones, quando incorporou à sua popularidade em dispositivos móveis PDA, com seu maduro sistema operacional PalmOS, a conectividade da telefonia celular. A empresa porém viu sua liderança ser desmoronada por novos concorrentes que ganharam forte destaque e participação no mercado de smartphones: primeiro os BlackBerry, da RIM, depois o iPhone da Apple e mais recentemente os celulares com o sistema Android da Google.

O WebOS, utilizado no smartphone Palm Pre, lançamento recente da Palm, é um excelente sistema, mas a empresa não tem mais fôlego para impusioná-lo. Isso casa perfeitamente com a HP, potência empresarial do mercado mundial de TI, mas que ainda derrapava no segmento de celulares sustentando-se até hoje no inexpressivo sistema Windows Mobile.

Com informações da IT Web e da INFO Online.

Para saber mais:


Em 03 de maio United Airlines e Continental Airlines anunciaram que se unirão para criar a maior companhia aérea do mundo, em uma operação avaliada em mais de US$ 3 bilhões.

Segundo nota aos clientes, a nova companhia aérea terá o nome de United Airlines e oferecerá conexões internacionais para a Ásia, Europa, América Latina e Oriente Médio a partir de qualquer lugar dos Estados Unidos. Além de líder na otimização do uso de combustível, a Continental possui uma central de conexão em Nova York e rotas abrangentes na América Latina, que serão combinados com a excelente estrutura de pontos de conexão doméstica da United, suas rotas no Pacífico e sua marca global líder.

A nova companhia aérea terá dez pontos centrais de conexão (hubs), incluindo centrais nas quatro maiores cidades norte-americanas. Ela atenderá 144 milhões de clientes voando para 370 destinos em 59 países. Também continuaremos a prestar serviços a todo o público que a United e a Continental atendem atualmente, incluindo mais de 140 pequenas áreas metropolitanas.

As milhas atuais dos clientes em ambos nos programas de fidelidade de cada companhia continuam válidas e podem ser utilizadas de acordo com as regras vigentes do programa. Após a conclusão da fusão, prevista para ocorrer próximo ao final deste ano, o programa de fidelidade das duas companhias deve ser unificado na Star Alliance, líder do setor, com serviços para mais de 1.000 destinos e opções de conexão, flexibilidade para viajantes frequentes, acesso a salas VIP nos aeroportos e 24 outras companhias aéreas associadas em todo o mundo.

Para saber mais:

Dia 13 de abril a Adobe disponiblizou a atualização do Adobe Reader versão 9.3.2.

A atualização corrige uma vulnerabilidade de segurança considerada crítica no popular visualizador de documentos PDF da Adobe.

Para saber mais:

Estudo: 100% dos executivos reportam ciberataques, por Thomas Claburn, InformationWeek EUA, 2010-03-25, em IT Web. A matéria informa que Pesquisa conduzida pelo Ponemon Institute no Reino Unido mostra aumento na preocupação com a proteção de dados na alta gestão (o chamado C-level, do CEO, CIO, CTO, CSO, CFO etc.).

Tão interessante quanto a reportagem, para mim, foi descobrir o trabalho do Ponemon Institute Research, que conduz pesquisas independentes sobre Privacidade e sobre Proteção de Dados e Segurança da Informação. Boa parte dos resultados dos estudos estão livremente disponíveis para download.

Ponemon Institute também é a organização pai do Conselho RIM – Responsible Information Management (RIM) Council, órgão multinacional que promove a prática do gerenciamento de informação responsável nas empresas e instituições, bem como um modelo de trabalho baseado em ética e estratégicas de longo prazo para lidar com informações pessoais e sensíveis de colaboradores, clientes e do próprio negócio.

Uma rápida pesquisa na internet me mostrou várias matérias feitas a partir de estudos publicados pelo Ponemon Institute Research. Alguns exemplos:

Dia 22 de março passado foi lançada a atualização 3.6.2 do Mozilla Firefox. Baixe agora (Firefox 3.6.2, em Português do Brasil par Windows).

A atualiza corrige uma vulnerabilidade crítica de segurança – MFSA 2010-08 (NVD CVE-2010-1028), descoberta pelo pesquisador de segurança Evgeny Legerov da empresa alemã Intevydis, e conserta mais diversas falhas de segurança adicionais e questões de estabilidade. A correção foi rapidamente disponibilizada, apenas quatro dias após a divulgação da falha e bem antes da previsão inicial.

A vulnerabilidade crítica em questão era um estouro de memória que pode ocorrer durante a rotina de descompressão de fonte Web Open Fonts Format (WOFF), que podia ser explorada por um atacante para corromper o navegador da vítima e executar código em seu sistema. O suporte ao formato de fonte baixável WOFF é novo no Firefox 3.6 (mecanismo Gecko 1.9.2), por isso a vulnerabilidade descoberta não afeta versões anteriores do Mozilla Firefox.

O navegador Mozilla Firefox na versão 3.5/3.6, segundo o teste Sunspider, tem desempenho duas vezes mais rápido que o Firefox 3 e dez vezes mais rápido que o Firefox 2. Com a correção da atualização 3.6.2, além de veloz ele permanece muito seguro.

Lançado novo Portal GRC Brasil, sobre Governança, Riscos e Conformidade (ou no original em inglês, Governance, Risk and Compliance), e com seções também sobre Pessoas e Referências Bibliográficas.

Entre os temas abordados, estão Carreira, COBIT, COSO, Gestão de Riscos, Governança Corporativa, Governança de TI, ISO 27001, ISO 38500, ITIL, Políticas de Segurança, ROI & TCO, Sourcing (Terceirização e Aquisições).

Dica do meu colega Luís Cláudio, autor do blog GR Tips.

Outras referências relacionadas ao tema:

A Módulo Education fechou uma parceria com a organização global EXIN (Examination Institute for Information Science), instituto internacional que oferece certificações em segurança e tecnologia da informação. A companhia é a primeira instituição da América Latina, e a sexta no mundo, credenciada pelo EXIN, com instrutores certificados pelo instituto, para ministrar os treinamentos e provas da linha de certificações “Information Security Based on ISO/IEC 27002″ do EXIN.

Com a parceria, a Módulo passa a oferecer inicialmente o curso preparatório para a certificação ISFS (Information Security Foundation Based on ISO/IEC 27002). As primeiras turmas começam já neste mês de abril.

“As certificações da EXIN vêm completar o portfólio de certificações da Módulo, encaixando-se perfeitamente em nosso framework de cursos”, declara Fernando Fonseca, Gerente de Conteúdo da Módulo Education.

Fonte: TI INSIDE Online, da Redação, segunda-feira, 22 de março de 2010, 19h45.

CISSP

Também o (ISC)² – International Information Systems Security Certification Consortium, instituição que mantém o (ISC)² CBK® (Common Body of Knowledge) [PDF], compêndio de tópicos relevantes para profissionais de segurança da informação, está ampliando sua atuação no Brasil quanto à realização da sua mundialmente reconhecida certificação Certified Information Systems Security Professional (CISSP).

A certificação CISSP já era realizada no Brasil desde 2004, trazida pela empresa Etek International (SP). Em 2010, a rede de afiliados educacionais para veiculação de treinamentos e certificações (ISC)² no país foi ampliada com mais três instituições: LanLink Informática (Nordeste, DF), Sec2b – Security to Business (RS), e Strong Security Brasil (SP).

Sugiro o portal GUIA CISSP, um Guia de Certificação CISSP independente em português, mantido pro Luciano Lima. Veja também o artigo Segurança certificada, por Aline Brandão, 28 de junho de 2007, na Revista TI Master.

A (ISC)² disponibiliza também seu Guia de Recursos para o Profissional de Segurança da Informação de Hoje (em inglês), disponível gratuitamente em PDF – Global Edition — com uma relação de centros educacionais, eventos do ano, publicações e recursos on-line relacionados a segurança da informação –, ou na versão (ISC)² Online Resource Guide.

Outras certificações

Outras reconhecidas certificações em segurança da informação são a de auditor CISA – Certified Information Systems Auditor e a de gerente CISM – Certified Information Security Manager, mantidas pela associação internacional ISACA – Information Systems Audit and Control Association, com presença no Brasil.

A própria brasileira Módulo também possui sua própria certificação MCSO – Modulo Certified Security Officer, para a qual oferece treinamentos divididos em dois módulos, MCSO I mais geral e conceitual, e MCSO II mais técnico abordando as ferramentas de segurança de TIC.

Veja também o artigo Certificação anticracker, por Viviane Zandonadi, fevereiro 2005, em INFO Online.

Revisei meu artigo introdutório PMBOK e Gerenciamento de Projetos, que não sofria alteração desde a primeira revisão em 6 de maio de 2007.

Atualizei um diagrama, incluí a citação de outro (com o devido crédito ao seu autor Mauro Sotille) e fiz constar a nova Quarta Edição do Guia PMBOK. Detalhes a seguir.

Diagrama das Áreas de Conhecimento

Quando concebi o diagrama que ilustra e interrelaciona as nove áreas de conhecimento abordadas pelo PMBOK, coloquei o Escopo no centro de um triângulo ladeado por Tempo, Custos e Qualidade. Minha crença até então era que o Escopo, ou seja, o que deve ser feito no projeto, era o elemento central que realmente interessava.

Hoje, transcorridos alguns anos e várias experiências em gerenciamento de projetos, vejo que o essencial é que todo projeto existe com um objetivo. Escopo é o que deve ser feito no projeto para atingir esse objetivo, mas não necessariamente se confunde com o objetivo em si.

Dependendo de restrições e condicionantes em fatores como disponibilidade de Prazo/Tempo, Orçamento/Custo, de Recursos Humanos e capacidade ou viabilidade de Aquisições, o Escopo pode ser afetado para se equilibrar com estes demais fatores, diminuindo ou mesmo aumentando, desde que o objetivo do projeto possa ser satisfatoriamente alcançado.

E aí ocorre a palavra chave: satisfatoriamente. A condição de satisfação do objetivo está essencialmente ligada à Qualidade.

A essência da qualidade pode ser entendida como o cumprimento satisfatório dos requisitos, restrições e definições de escopo, tempo e custo do projeto e também das necessidades e expectativas do patrocinador e demais partes interessadas.

Portanto, é a Qualidade que agora ocupa o centro da figura, pois ela em geral é decorrência do dimensionamento do triângulo Escopo – Tempo – Custos que a envolve, bem como dos insumos de RH e Aquisições. Ou então há a situação inversa e análoga: os requisitos de Qualidade necessários para a satisfação do objetivo do projeto determinam o dimensionamento dos outros fatores.

Os defensores da Qualidade Total e ISO 9000 também verão mais harmonia com “a qualidade no centro de tudo”.

Portanto, uma pequena mudança na figura, mas uma razoável evolução na compreensão e interpretação por trás dela.

Para saber mais:

Quarta Edição do Guia PMBOK

Em 31 de dezembro de 2008, o PMI lançou versões atualizadas de quatro de seus padrões globais, incluisive A Guide to the Project Management Body of Knowledge – PMBOK ® Guide — Fourth Edition. A versão em português brasileiro do Guia PMBOK 4ª Edição (Um Guia do Conhecimento em Gerenciamento de Projetos) foi publicada em outubro 2009 (o PDF já fora disponibilizado aos membros do PMI em junho).

Aproveito para resumir a seguir as principais diferenças da Terceira para a Quarta edições do PMBOK:

  1. Todos os nomes de processos agora estão no formato verbo-substantivo. Antes alguns nomes de processo seguiam este formato, como “Realizar o controle da qualidade”, enquanto outros usavam o substantivo da ação e foram padronizados, por exemplo: Planejamento da qualidade se tornou Planejar a qualidade, e assim por diante: “Controle” por “Controlar”, “Definição” por “Definir”, “Estimativa” por “Estimar” etc.
  2. O número de processos foi reduzido de 44 para 42. Dois processos foram excluídos, dois foram adicionados e seis foram reconfigurados em quatro processos na área de conhecimento em Gerenciamento das Aquisições do Projeto. A saber:
    • Eliminado 4.2 – Desenvolver a declaração do escopo preliminar do projeto, já que o termo de abertura do projeto contém vários dos objetivos preliminares e já que esses objetivos são elaborados na declaração de escopo.
    • O 4.7 – Encerrar o projeto foi renumerado e alterado para 4.6 – Encerrar o projeto ou fase.
    • 5.1 – Planejamento do escopo foi substituído por 5.1 – Coletar os requisitos.
    • 9.4 – Gerenciar a equipe do projeto mudou de um processo do grupo de Controle para o grupo de Execução.
    • Adicionado 10.1 – Identificar as partes interessadas.
    • 10.4 – Gerenciar as partes interessadas foi alterado para Gerenciar as expectativas das partes interessadas e passou do grupo de Controle para o de Execução.
    • 12.1 – Planejar compras e aquisições e 12.2 – Planejar contratações foram unificados como 12.1 – Planejar as aquisições.
    • 12.3 – Solicitar respostas de fornecedores e 12.4 – Selecionar fornecedores foram unificados como 12.2 – Realizar as aquisições.
  3. A fim de proporcionar maior clareza, uma distinção foi feita entre o plano de gerenciamento do projeto e os documentos do projeto usados para gerenciá-lo.
  4. Foi empregada uma abordagem padrão à discussão de fatores ambientais da empresa e de ativos de processos organizacionais.
  5. Foi empregada uma abordagem padrão à discussão de mudanças, ações preventivas e corretivas e reparos de defeitos.

Para saber mais:

Diagrama dos processos de gerenciamento de projeto

O artigo abordava resumidamente as nove áreas de conhecimento do PMBOK e os cinco grupos de processos do gerenciamento de projetos. Faltava porém fazer um breve visão geral dos processos em si, correlacionando-os com os grupos em que são organizados e com as respectivas áreas de conhecimento relativa a cada um.

Um diagrama do professor Mauro Afonso Sotille, da PM Tech Capacitação em Gerenciamento de Projetos, cumpre essa lacuna de forma simples, clara e brilhante. Assim, incluí a reprodução e referência de uma versão deste diagrama, já atualizada para a 4ª Edição do PMBOK. Muito obrigado e parabéns, caro Mauro!

Direitos autoriais e de uso

Contudo, termino este post com uma triste e indignada constatação de que os brasileiros na internet ainda não compreendem a seriedade e importância de respeito aos direitos autorais.

Há mais de 15 anos eu mantenho um web site onde escrevo e publico considerável volume de conteúdo, compartilhando conhecimento e informação com toda a internet.

Todo o material que crio em meu site e em meu blog está publicamente disponível, contudo, tanto no blog quando no rodapé de todos os artigos do site há uma simples e clara indicação dos direitos autorais e condições de uso:

© Márcio d’Ávila, mhavila.com.br, direitos reservados. O texto e código-fonte apresentados podem ser referenciados, distribuídos e utilizados, desde que expressamente citada esta fonte e o crédito do(s) autor(es).

A licença formal que escolhi para reger os direitos reservados é a simples e liberal Creative Commons BY-SA versão 2.5, cujos termos não são nada burocráticos, jurídicos ou incompreensíveis. Pelo contrário, são muito simples e claros em bom português:

Você tem a liberdade de:

  • Compartilhar — copiar, distribuir e transmitir a obra.
  • Remixar — criar obras derivadas.

Sob as seguintes condições:

  • Atribuição — Você deve creditar a obra da forma especificada pelo autor ou licenciante (mas não de maneira que sugira que estes concedem qualquer aval a você ou ao seu uso da obra).
  • Compartilhamento pela mesma licença — Se você alterar, transformar ou criar em cima desta obra, você poderá distribuir a obra resultante apenas sob a mesma licença, ou sob uma licença similar à presente.

E não é que ainda assim encontro na Internet reproduções de meus textos feitos com um descarado copiar-e-colar sem as duas coisas tão simples que peço: citar minha autoria e a referência à página original? Francamente!…

Só sobre este artigo, eis dois maus exemplos:

Próxima Página »