Metodologia do Ataque

..::: Jornal Opção | On-Line:::..

Página 1 de 5

Goiânia, 15 de fevereiro de 2005

De: 13 a 19 de fevereiro de 2005 Informática

Orkut vs. Gazzag Vamos esperar para ver quem melhor atende o usuário final .:: Editorial

Adonai Andrade, [email protected] Os sites de relacionamento eclodem a todo o momento após o estrondoso sucesso do Orkut.

.:: Conexão .:: Ponto de Partida .:: Poderes .:: Bastidores .:: Reportagens .:: Entrevistas .:: Idéias .:: Economia .:: Dissonância .:: Licínio .:: Cartas .:: Laila .:: Imprensa .:: A Semana .:: Opção Cultural .:: Rural Business .:: Informática .:: Francisco Ludovico (+) listar mais .:: Edições Anteriores .:: Contato .:: Expediente

TELA DE PERFIL DO ORKUT

do Google.

Para quem ainda não conhece, o pioneiro Orkut foi criado pelo desenvolvedor Orkut Buyukkokten, que trabalha para o Google, como consta no site: “Um projeto independente e que não é parte do portfolio do Google” — apesar de a todos os instantes podermos ver a famosa logomarca “Google” nas mensagens de erro do site, e de ser claro que o site roda sobre o parque tecnológico

Para poder ser membro do Orkut ou Gazzag, é necessário receber um convite de alguma pessoa que já é membro dos sistemas. O Orkut chegou a ter convites anunciados e vendidos no Mercado Livre por 10 reais. Essa restrição deveria tornar os sites um verdadeiro sistema fechado onde, no final, um usuário sempre teria sido convidado por um “amigo”, tornando-se, assim, verdadeiramente uma central de relacionamentos. O que torna esse tipo de sistema um sucesso tão grande? Em primeiro lugar, a própria dificuldade em ser membro. Assim como a criança que é proibida de comer chocolate à noite — e por essa proibição o doce se torna ainda mais saboroso, assim o é com esse tipo de sistema. Na Internet, o usuário se acostumou a ter acesso praticamente a tudo de forma gratuita, e os raros serviços que não são gratuitos podem ser pagos — ou acessados de formas excusas. Aparece então um site que é gratuito, mas que o usuário não pode ter acesso se não for convidado por algum conhecido que já faça parte da rede. Ao receber o famoso convite para fazer parte da rede, o “precioso doce” tem um sabor inimaginável. Uma vez cadastrado e usuário desses sites, o serviço que mais chama a atenção, e até mesmo causa um pouco de surpresa, é a facilidade com que podemos localizar velhos amigos, achar comunidades de colégios onde estudamos na infância/adolescência, reatar velhas e boas amizades. Já experimentei alguns desses sites, mas até agora não havia visto motivo para um comparativo. O Gazzag surpreende, em primeiro lugar, pela língua padrão, que é o português, e em segundo pela velocidade — que tanto frusta os usuários do Orkut. Abaixo listo alguns tópicos que eu como usuário mais utilizo no Orkut e que por conseqüência me pareceram justos serem testados no Gazzag. Língua padrão Apesar de a língua inglesa ser muito bem difundida hoje, alguns usuários ainda apanham um pouco ao preencher a ficha de cadastro do Orkut. A ficha do Gazzag não é muito diferente, mas por ser em português facilita a vida de muita gente.

TELA DE PERFIL DO GAZZAG

Orkut 0 x 1 Gazzag. Velocidade Mesmo em alguns momentos de pico o Gazzag suporta bem a pressão. Ao contrário do Orkut, em que o raro é conseguir acessá-lo de forma rápida ou sem visualizar as comuns mensagens de erro. Orkut 0 x 2 Gazzag. Originalidade Nem tudo que veio primeiro é melhor do que o que surge depois. Mas mesmo assim o Orkut merece esse tópico no comparativo, pois foi o sucessor desse tipo de serviço e todos os outros almejam seu sucesso, oferecendo mais e mais serviços agregados, além de mais qualidade. Orkut 1 x 2 Gazzag. Busca por amigos Os dois sites têm os mesmos campos para procura: nome e sobrenome. O Gazzag, ao retornar o resultado da procura, traz ainda campos para selecionar se desejamos encontrar pessoas do sexo masculino ou feminino, país, localidade (e diversos outros itens), como os encontrados em sites de encontro pela rede. Apesar de ser mais completo neste quesito, o Gazzag possui ainda poucas pessoas cadastradas em sua base de dados, o que torna as pesquisas, na maioria das vezes, frustantes. Ao contrário do Orkut, que tem uma base

file://D:\BACKUP PEN DRIVE\Meus_Artigos\PUBLICAÇÕES_ARTIGOS\__ Jornal Op... 27/7/2007

..::: Jornal Opção | On-Line:::..

Página 2 de 5

gigantesca, mas tem lentidão, e nem todas as opções como do Gazzag. Empate técnico dessa vez. Orkut 2 x 3 Gazzag. Adicionar amigos No Orkut colocamos o nome, sobrenome e e-mail da pessoa que desejamos convidar, e o sistema se encarrega do resto. No Gazzag, podemos adicionar mais de uma pessoa de uma única vez, e ainda podemos escrever o texto que chega junto com o convite aos nossos amigos. Esse é um fator muito importante, pois, no caso do Orkut, já vi pessoas apagando as mensagens de convite por não entender do que se tratava aquele singelo texto em inglês em suas caixas de entrada. O Gazzag ainda permite importar os amigos do Orkut, mas para isso é necessário fornecer ao sistema seu nome de usuário e senha do Orkut, o que de forma nenhuma é apreciado por usuários mais exigentes. Orkut 2 x 4 Gazzag. Comunidades Os dois sites contam com o mesmo tipo de serviço para comunidades, com algumas pequenas diferenças, mas nada que influa positivamente ou negativamente em nenhum dos dois. Empate técnico. Orkut 3 x 5 Gazzag. Perfil Apesar do cadastro ser um pouco parecido, o Orkut tem uma melhor utilização dele. O fato de no Orkut podermos através do “karma” determinar o quanto achamos uma pessoa legal, confiável e sexy — e se somos fãs dessa pessoa, também é mais um ponto positivo. No perfil de uma pessoa no Orkut podemos ver os “testimoniais” deixados por seus amigos e os “scraps”. No Gazzag os amigos deixam mensagens em nosso “mural”. Orkut 4 x 5 Gazzag. Serviços agregados Todos os dois sites possuem um recurso para se adicionar fotos. No Gazzag, a pessoa que se cadastra já passa a ter um blog. O Gazzag possui ainda o “Gazzag Namoros” que, apesar de ser um serviço separado, está intimamente agregado. No Orkut temos o“orkut media”. Como o blog é uma ferramenta extremamente difundida e requisitada por grande parte dos usuários de Internet, o ponto vai para o Gazzag. Orkut 4 x 6 Gazzag. Visual Visualmente o Gazzag é mais atrativo, mas como esse é um ponto muito subjetivo, não considerarei o ponto. No final, por qualidade, velocidade e língua utilizada podemos dizer que o Gazzag é um produto talvez mais bem acabado que o Orkut, mas isso não sugere ou oferta que os usuários do Orkut deixem de utilizá-lo. Pelo contrário, o Orkut, apesar de todos os problemas, continua firme como o site de relacionamentos mais utilizado e procurado. Creio que em grande parte porque é difícil, após ter uma “vida” iniciada dentro do Orkut, tentar iniciar outra com o mesmo afinco e vontade em todos os sites que já apareceram — e que irão aparecer. Como disse no começo deste artigo, o doce que a criança brigou tanto para comer se torna mais saboroso e por isso mesmo mais valioso, mas isso em regra não quer dizer nada; passada a febre desses sites poderemos, sim, ver o que melhor atende o usuário final e ficar com ele até o fim. Por hora, ficar criando perfil em todos os sites que aparecerem me parece mais perca de tempo do que qualquer outra coisa.

Full Spectrum Warrior Ruas, avenidas e edifícios são o cenário do caos no lançamento da THG. O game da THQ que acaba de chegar ao Brasil traz os perigosos cenários da guerrilha urbana para a tela do micro. Nas ruas da capital de um pequeno país entre Afeganistão, China e Paquistão chamado Zekstão, a infantaria do exército dos Estados Unidos entra em ação para anular a ação de um grupo rebelde terrorista. O jogador, no papel de líder do esquadrão, deve coordenar as equipes Alpha e Bravo, baseando suas decisões nas táticas MOUT (sigla em inglês para Operações Militares em Terrenos Urbanos), desenvolvidas pelo exército americano. Em Full Spectrum Warrior a habilidade do jogador em planejar a ação armando emboscadas, surpreendendo o inimigo a todo instante e utilizando os detalhes do cenário a seu favor será o grande diferencial entre o sucesso e o fracasso da missão. A ação em tempo real e a avançada inteligência artificial dos soldados inimigos dão o tempero do jogo, em que um segundo de distração pode custar a vida de um soldado. Cenários muito interativos permeiam as missões com grande qualidade gráfica. Ao se esconder atrás de um muro para proteger-se do fogo inimigo, por exemplo, o jogador deve prestar atenção ao desgaste da proteção, que vai esfarelando conforme é atingida. Ou seja, o grupo deve agir rápido sob fogo inimigo para descobrir uma saída antes que seja tarde. A complexidade dos mapas permite que as equipes elaborem diversas táticas diferentes para atingir o mesmo objetivo, sendo possível também planejar e executar medidas de

file://D:\BACKUP PEN DRIVE\Meus_Artigos\PUBLICAÇÕES_ARTIGOS\__ Jornal Op... 27/7/2007

..::: Jornal Opção | On-Line:::..

Página 3 de 5

emergência, caso algo não saia como o planejado. As armas disponíveis são as mesmas que equipam os soldados da infantaria americana, incluindo as mais pesadas, como lançadores de granada e lança-foguetes. Com uma equipe bem equilibrada, é possível cumprir as mais diversas missões. Outro ponto positivo é a reprodução sonora de tiros, explosões e vozes no rádio, que intensificam a sensação de realismo e pressão de uma investida militar em zonas urbanas. Comandos simples e intuitivos, com uma distribuição inteligente entre teclado e mouse, eliminam a dificuldade de movimentar-se e agir no desenrolar da partida, permitindo ao jogador dividir suas atenções com o plano tático. O resultado é um jogo que mescla, com excelência, elementos de ação e tática, explorando recursos gráficos de última geração, alimentados por uma ótima inteligência artificial. No site de Full Spectrum Warrior é possível consultar diversas dicas de táticas e posicionamentos para as equipes, assim como assistir a vídeos que mostram como fazer abordagens, invasões e ataques em situações especiais. Gênero: tática e ação em primeira pessoa. Produtora: THQ. Distribuidora no Brasil: Moving Imagem e Editora. Requisitos mínimos do sistema: Pentium III 1 GHz, Windows 98/ ME/ 2000/XP, 256MB RAM, 1,5 GB livre no HD, sistema de vídeo compatível com DirectX 9.0, placa aceleradora GeForce 3 ou Radeon 8500. Preço sugerido: 69 reais e 90 centavos.

Novo pacote de correções da Microsoft é liberada A Microsoft liberou nesta terça-feira, 8, seu pacote mensal de correções, envolvendo um total de doze falhas de segurança que afetam várias versões do Windows e do Office, além da plataforma .Net. Das doze falhas de segurança corrigidas, a Microsoft classifica oito como críticas (permitem execução remota de código na máquina do usuário); três como importantes (dão acesso ao sistema, mas com menor gravidade); e uma como de risco moderado. Considerando o conjunto das correções, são afetadas todas as versões ativas do Windows, inclusive o XP e o Server 2003. O Office XP é o único citado. Dos aplicativos do Windows, estão na lista especificamente o Internet Explorer, o Windows Media Player e ainda o Windows Messenger.

Novo software impulsiona trocas via BitTorrent Um programa espião embutido e a dificuldade para baixar os arquivos foram os principais problemas da versão de testes do eXeem, novo programa para troca de arquivos criado pela equipe do portal Suprnova.org. Conhecido por manter enormes coleções de arquivos da rede BitTorrent , o Suprnova saiu do ar em dezembro do ano passado, supostamente cedendo à pressão de órgãos da indústria cinematográfica dos EUA, como a MPAA (Motion Picture Association). Com o lançamento do eXeem (grátis, em www.exeem.com/download.htm), pelo menos os últimos 1.000 arquivos publicados pelo Suprnova estão novamente disponíveis na Internet. Também utilizando a rede BitTorrent, o eXeem promete total privacidade aos seus usuários e oferece um sistema de busca como principal vantagem em relação aos outros programas que baixam arquivos torrent. Nos testes realizados pela Folha, a versão beta (experimental) 0.20 do programa se comportou de maneira instável. O sistema de busca apresentou um bom desempenho e tem opções úteis, como suporte a múltiplas pesquisas simultâneas e buscas por assuntos como games, filmes e música. Graças à estrutura descentralizada do programa, vários downloads foram interrompidos de forma inesperada e não puderam ser retomados. O problema mais grave, no entanto, foi a detecção de um programa espião, o Cydoor, que força a exibição de anúncios indesejados no micro. Para fugir desse problema é preciso usar programas como o Ad-aware, ou então instalar a versão alternativa do eXeem, batizada de eXeem Lite e disponível para download gratuito no endereço www.thefreehost.org/exlite/download.htm. Outra medida importante para tirar maior proveito do eXeem é baixar o pacote de atualizações eXeem Node List (www.myexeem.com). Fonte: Folha de S.Paulo

Firefox, Mozilla e Opera têm falhas de segurança A empresa de segurança Secunia divulgou um relatório no qual aponta falhas de segurança

file://D:\BACKUP PEN DRIVE\Meus_Artigos\PUBLICAÇÕES_ARTIGOS\__ Jornal Op... 27/7/2007

..::: Jornal Opção | On-Line:::..

Página 4 de 5

nos navegadores Mozilla, Firefox e Opera. As brechas foram consideradas moderadamente críticas. As falhas atingem as versões Opera 7.x, Mozilla 1.7.x, Firefox 0.x e Firefox 1.x. e enganam os usuários. Normalmente o internauta é direcionado para um website falso. A Secunia construiu uma página de teste para identificar o problema nos navegadores. Para saber se o seu browser é afetado pela falha, visite o seguinte endereço: http://secunia.com/multiple_browsers_idn_spoofing_test/

De acordo com a Secunia, o problema é causado em um resultado da implementação do International Domain Name (IDN), que permite o uso de caracteres internacionais nos domínios dos nomes.

Metodologia do ataque O fator humamo como desafio iminente às políticas de segurança da informação dentro das empresas Inúmeros são os relatos provenientes das tentativas bem ou mal-sucedidas de ataques a servidores, ou computadores pessoais. Dotados dos chamados “sistemas dificultantes de entrada indevida”, mais conhecidos como firewall, antivírus, anti-spam, antiworms, enfim, todo o tipo de arquivo malicioso que venha a prejudicar a “saúde” do computador. Embora toda a atenção, ou pelo menos grande parte dela, esteja focada aos cuidados técnicos propriamente ditos, não adiantará se não estiver agregada à orientação de como manipular tais informações, também à conscientização do por que e de quanto cada funcionário em particular é importante no cumprimento responsável de seu papel dentro da organização. Em especial, quanto às informações que ali circulam dentro da empresa, mas sobretudo às informações específicas à função que se cumpre e é responsável. Em síntese, os fatores relacionados à gestão da segurança da informação, conjuntamente a algumas técnicas da engenharia social, serão abordadas.Utopias a parte, este artigo busca singelamente demonstrar que conseguir bons resultados até mesmo a curto prazo é possível. Introdução — Visto que a maior complexidade em resolver os problemas de segurança inerentes às informações não está na tecnologia empregada pela empresa e sim naqueles funcionários que nela trabalham, parte-se do princípio de que todos são responsáveis por todos. Ou seja, não é porque um determinado funcionário que trabalha no setor de limpeza, por exemplo, sabendo das condutas e práticas de segurança das informações poderá deixar de chamar a atenção de outro funcionário que trabalha no setor de contabilidade, percebendo alguma falha. Vale ressaltar que a conscientização é literalmente “a alma do negócio”, principalmente em se tratando de informações, sejam elas técnicas, táticas ou estratégicas. A maneira com que é entendida a informação perante os funcionários é tida como subjetiva. Essa mentalidade tem que ser mudada. Deve-se pensar como um todo. Independentemente de ser aquele ou outro funcionário de diferente setor. Como então moldar essa mentalidade a ponto de se chegar a uma conscientização quase que homogênea? Começando, por exemplo, com planos de divulgação interna na empresa, educando, conduzindo e habituando o funcionário a compreender a enorme importância dele naquele contexto. Resultados Analisando a FIGURA A — Estrutura de Ataque, pode-se perceber que o engenheiro social estipula seus ataques para chegar ao foco principal, que são as informações confidenciais da empresa, passando sempre pelo elo mais fraco, que é o fator humano; ou seja, a chamada vítima ativa (VA) ou vítima superficial (VS). Pode-se afirmar ainda que os ataques do engenheiro social ganhem mais força, ou conseguem atingir seus objetivos com mais eficiência, partindo-se do pressuposto de que a coleta FIGURA A — Estrutura de Ataque primeiramente das informações, a partir do fator externo, IGD + VS, leva a deduzir que será mais bem-sucedida a chegada às informações sigilosas da empresa (ISE), como também mais convincente a persuadir a vítima ativa (VA), fazendo IGC+VS+VA, para então finalmente chegar a essas informações confidenciais. Porém o engenheiro social poderá optar por direcionar seu ataque diretamente à vítima ativa (VA), almejando logo em seguida as informações sigilosas da empresa (ISE). Sendo este método considerado mais válido para aquele engenheiro social com maior experiência. Outro ponto a se destacar é a importância que a vítima superficial (VS) tem nesse papel das informações fornecidas. Dependendo da origem dessa vítima, como sobretudo à qualidade destas informações geradas ao engenheiro social, este, contudo, terá grandes possibilidades de já conseguir atingir seu objetivo. Assim como IGD + VS podem levar as informações confidenciais da empresa, também IGD + VA chegam ao objetivo final, mas com maiores dificuldades, devido a uma maior resistência que a própria VA pode oferecer, levando-se em conta a falta de credibilidade e confiança transmitida de que o engenheiro social deveria dispor. Isso devido a não-passagem pela coleta de informações com a vítima superficial (VS). Enfim, a “fórmula” ideal para uma maior garantia do sucesso desse ataque será, sem dúvida, passar por todas as etapas que um engenheiro social tem como recursos, ou seja: IGD + VS + VA ISE

file://D:\BACKUP PEN DRIVE\Meus_Artigos\PUBLICAÇÕES_ARTIGOS\__ Jornal Op... 27/7/2007

..::: Jornal Opção | On-Line:::..

Página 5 de 5

Agora, de acordo com o que é demonstrado na FIGURA B —, dinâmica da entrega de informações, no momento em que o engenheiro social faz o contato, interage ou comunica-se surge então a chamada distância de resistência, que existe com qualquer suposta vítima que o engenheiro social determina como alvo de seu ataque. Essa distância pode ser tanto maior ou menor (da vítima ao engenheiro social), dependendo do estudo que fora feito pelo próprio engenheiro social, na busca de uma gama maior de informações, a tal ponto de fazer com que o contato com o alvo seja, de certa forma, bem familiarizado. Dando a impressão realmente de que o atacante (engenheiro social) conhece muito bem aquele ambiente, tem a total segurança do que está falando, com quem quer falar e até onde chegar. Raio de conhecimento equivale ao conhecimento baseado nas políticas de segurança adotadas pela empresa, mais o conhecimento das técnicas utilizadas pelo engenheiro social. Ou seja, quanto maior for esse raio, menor será a probabilidade de se entregar informações valiosas ao engenheiro social. Conclusão

FIGURA B — Dinâmica da entrega de informações

Imbuído dos poucos conceitos mencionados, mas de concretas análises metódicas como visto, percebera-se o quão frágeis e despreparadas está a maioria das organizações hoje. Sem dúvida há muitas “lacunas” a serem fechadas pelas empresas. Uma análise “TopDow” já identifica tais lacunas. Um diagnóstico mais minucioso identificará não mais simples lacunas, mas sim “extensos buracos”. É lamentável como ainda muitas empresas de pequeno, mas principalmente de médio e grande porte, levam em conta que a implementação de determinadas ações e diretrizes sejam consideradas mais uma despesa e não um investimento; diga-se de passagem, muito benéfico e relevante, a evitar futuros agravantes aos ativos da empresa, conseqüentemente perda de capital. Contudo fica a lição de que, com toda a evolução que se perpetue ainda ao longo de muitos e muitos anos, a “tecnologia mais tecnológica” será sempre submissa ao “humano mais humanístico”. Mário César Pintaudi Peixoto, Bacharel em Ciência da Computação pelo Centro Universitário do Triângulo - UNITRI Analista de Suporte da Universidade de Uberaba – UNIUBE, [email protected]

© Copyright Jornal Opção. Todos os direitos reservados. É proibida a reprodução do conteúdo desta página em qualquer meio de comunicação, eletrônico ou impresso, sem autorização escrita do Jornal Opção.

file://D:\BACKUP PEN DRIVE\Meus_Artigos\PUBLICAÇÕES_ARTIGOS\__ Jornal Op... 27/7/2007