Palestras Disponibilizadas

Webinar Seginfo, veja aqui todas as palestras disponibilizadas sobre Segurança da Informação.

Workshop SegInfo XV Edição: saiba como foi o retorno do evento mais aguardado de segurança da informação (4/13/2023)

Em 30 de março de 2023, ocorreu a XV Edição do Workshop SegInfo. Após alguns anos, o evento organizado pela Clavis Segurança da Informação voltou a ser realizado de forma presencial e contou com a participação de mais de 100 pessoas. O local escolhido foi a Churrascaria Fogo de Chão, no Rio de Janeiro, onde os convidados puderam participar de um almoço descontraído antes das apresentações e de um happy hour, oferecido após o evento.

Nesta edição, a programação contava com palestras ministradas por membros da diretoria e gerentes da Clavis, além de convidados parceiros da empresa. Além das palestras com enfoque mais técnico e orientadas ao negócio das corporações, a XV edição contou com um ambiente descontraído com espaço aberto para a discussão de diversos temas, tanto da área de segurança, quanto de outras áreas da indústria.

Sobre o SegInfo

Criado em 2005, o Workshop SegInfo é um dos eventos mais tradicionais sobre Segurança da Informação do Brasil. Além da abordagem acadêmica, técnica e empresarial, o SegInfo tem como diferencial o tratamento de assuntos dos âmbitos técnico-científico, jurídico e social.

Ao longo da história do evento, palestraram personalidades do mundo científico, corporativo, jurídico e político, possibilitando aos participantes a construção de uma visão abrangente sobre os mais variados aspectos de Segurança da Informação.

Confira como foi a programação do Workshop SegInfo 2023

• Abertura com Victor Santos (CEO da Clavis) e convidados

Victor Santos, CEO da Clavis, ficou responsável pela abertura do evento, apresentando um panorama sobre o passado, presente e futuro da empresa e do mercado de cibersegurança, além de fazer um breve resumo sobre a programação a seguir. Este início de evento contou ainda com a participação de Leonardo Koifman, sócio da Koifman corretora, que fez uma breve abordagem sobre o tema Cyber Seguros e de Eduardo Bergonse Pereira, Sales Leader, Named e Strategic Accounts da Qualys. Eduardo comentou sobre o sucesso da parceria entre a Qualys e a Clavis para os convidados.

• Palestra: “Segurança como Serviço: uma estratégia ágil, abrangente e acessível para Segurança e Privacidade”

Raphael Machado iniciou sua apresentação situando os convidados no cenário da segurança atual, onde empresas lidam com os desafios da assimetria gerada entre ataque e defesa. E explicou uma das melhores estratégias a ser adotada para lidar com esse cenário: o modelo de Security as a Service (SECaaS). Raphael explicou também como a Clavis oferece esse serviço para seus clientes através de seu Centro de Operações de Segurança (SOC), com soluções e serviços acessíveis para empresas de todos os portes.

Para saber mais sobre o assunto, confira o webinar gratuito divulgado recentemente pela Clavis.

• Palestra: “Gestão contínua de vulnerabilidades: uma abordagem orientada a riscos”

Em complemento ao tema apresentado por Raphael, Leonardo Pinheiro apresentou o BART, o produto de gerenciamento de vulnerabilidades do Centro de Operações da Clavis (SOC). Os convidados tiveram a oportunidade de visualizar as novas funcionalidades e entender, como a ferramenta ajuda a identificar e priorizar vulnerabilidades baseado no risco de negócio.

• Painel: “Frameworks de Segurança e o Caminhos para a Certificação ISO/IEC 27001”

Carla Freitas liderou uma mesa redonda composta por três clientes da Clavis, que foram convidados para discutirem, através de cases, os benefícios e desafios de uma jornada de certificação ISO/IEC 27001. Motivações, diferencial competitivo, dificuldade em implementação de alguns processos, foram alguns dos pontos levantados. Entre os convidados estavam: Rodrigo Prado, Sócio Consultor da JCM; Mauro Ferraz, Head of Information Technology da Daniel Law e Diego Panaro, Analista de Melhoria de Processos da V360.

• Palestra: “Novos desafios da Segurança em Nuvem em ambientes AWS”

Rodrigo Montoro apresentou sua pesquisa sobre o modelo de responsabilidade compartilhada e os desafios de segurança na nuvem, em especial na AWS. Montoro apresentou alguns pontos de vulnerabilidades que precisam de maior atenção para que seja feita uma diminuição na superfície de ataque.

A pesquisa foi divulgada recentemente pela Clavis em um webinar gratuito, para acessá-lo, clique aqui.

Reconhecimento de Parceiros Clavis

O evento contou com uma cerimônia de entrega de placas de homenagem para alguns clientes parceiros. O objetivo foi agradecê-los pelos anos de lealdade e comprometimento com a Clavis.

A Clavis agradece a cada participante pela presença nesta XV Edição. Temos imensa satisfação em proporcionar encontros como esse e somos muito gratos pela confiança em nosso trabalho e pela parceria ao longo dos anos.

Acompanhe nossas redes sociais para ficar por dentro de todos os eventos da Clavis.

Sobre o Palestrante:

CEO e Co-Fundador da Clavis Segurança da Informação, possui mais de 18 anos de experiência, tendo atuado em na prospecção e na liderança de projetos de alta complexidade e de visibilidade global. É membro atuante dos principais ecossistemas de inovação da América Latina, palestrante assíduo em diversos eventos de tecnologia e participou da revisão técnica da tradução de best-sellers de segurança para língua portuguesa.

Sobre a palestrante:

Diretora de Clientes, responsável pelo encantamento e sucesso dos parceiros em sua Jornada na Clavis. Possui mais de 20 anos de experiência em segurança da informação e proteção de dados pessoais, atuando em projetos de diferentes complexidades, nacionais e internacionais. Especialista em Segurança da Informação, MBA em Liderança, Gestão e Inovação e com diversas certificações na área.

Sobre o palestrante:

Head of Threat & Detection Research / Security Content Lead na Clavis, tem 20 anos de experiência com implementação de sistemas de segurança open source (firewalls, IDS, IPS, HIDS, log management) e fortalecimento de sistemas. Autor de 2 tecnologias patenteadas envolvendo a descoberta de documentos digitais maliciosos e análises de tráfego HTTP malicioso.

Sobre o palestrante:

Líder de Pesquisa e Desenvolvimento e co-fundador da Clavis, possui mais de duas décadas de atuação na área de Segurança. Possui doutorado em Engenharia de Sistemas e Computação pela COPPE/UFRJ. Coordenou dezenas de projetos de P&D que deram origem, não-apenas, a mais de uma centena de artigos científicos, mas também, a ferramentas e métodos aplicados na prática em centenas de organizações.

Sobre o palestrante:

Diretor de Produtos da Clavis, possui mais de oito anos de experiência no mercado de tecnologia e desenvolvimento. Formado em Engenharia Elétrica pela Unicamp com especialização em data analytics pela Texas Tech University e em gestão de tecnologia pela FGV / Stanford. Já atuou em áreas de desenvolvimento de produtos digitais, implementação de CoEs de RPA, Engenharia de Dados, Business Intelligence e Analytics. Em seu trabalho na Boston Scientific Neuromodulation team em Los Angeles, parte do time de P&D, realizou a construção de um dispositivo que auxilia o controle do Mal de Parkinson.
Clavis Segurança da Informação é presença confirmada no evento The Developer’s Conference (TDC) de 2021 (6/7/2021)
A empresa Elastic terá uma sala gratuita todos os dias de evento, e a Clavis será uma da empresas palestrantes

Dos dias 08 a 10 de junho, será realizado o The Developer’s Conference (TDC), o maior evento relacionado a desenvolvimento de software no Brasil. O evento que será totalmente online, possui diversas salas simultâneas o dia inteiro e, uma das salas gratuitas é da Elastic, que contará com palestra da Clavis Segurança da Informação no dia 09 de junho às 15h.

O TDC é uma conferência dinâmica, que tem por objetivo apresentar os tópicos mais importantes de acordo com as necessidades locais e internacionais. Além de proporcionar a conexão entre palestrantes, empresas, patrocinadores e ouvintes em um único ambiente.

A Clavis Segurança da Informação será representada no evento pelo Diretor Comercial e um dos fundadores da empresa, Rafael Soares. No dia 09 de junho, às 15 horas (horário de Brasília), Rafael irá palestrar na sala da Elastic sobre como a Elastic Stack pode atuar no gerenciamento de ameaças à segurança da informação. Segundo o sócio fundador da Clavis, serão abordadas técnicas de análise que possibilitam a identificação de ameaças visando aumentar o nível de segurança cibernética, e muito mais.

Ao se cadastrar na sala da Elastic, de forma gratuita, você terá acesso aos três dias de palestra e de atividade na sala. Também poderá acessar a Trilha Stadium – com palestras sobre as principais tendências do mercado -, a Trilha Carreira e Mentoria, e a Trilha Diversidade e Acessibilidade. Além da TDC Expo.

Confira abaixo o cronograma da Sala Elastic:

Terça 08/06:
- • 14h00 Security: Proteção unificada para todos em breve
- • 15h00 Como monitorar um cluster de Kubernetes com o Metricbeat
- • 16h00 Pesquisa global de processos com base em relevância
- • 17h00 Elasticsearch como Máquina de Busca
- • 18h00 Além da pesquisa textual – usando o Elasticsearch para BI
Quarta 09/06:
- • 14h00 Escalando uma infraestrutura para logs de aplicações de múltiplos clusters Kubernetes
- • 15h00 Gerenciando Ameaças com a Elastic Stack
- • 16h00 Encontrando o que o Usuário Procura: Como Liferay Busca por Informações em Centenas de Entidades com Elasticsearch
- • 17h00 Elastic Parking – Garanta sua vaga!
- • 18h00 Migrando um índice Elasticsearch sem downtime
Quinta 10/06:
- • 14h00 Eu não fazia idéia que o Elasticsearch fazia isso
- • 15h00 DevSecOps – Indo além do DevOps com Elastic (Observabilidade + SIEM)
- • 16h00 Sistema de Recomendação usando ElasticSearch
- • 17h00 Avançando em Queries no Elasticsearch
- • 18h00 Elastic Machine Learning
Para se cadastrar clique aqui!
Webinar #35 – Conhecendo o PCI DSS (6/18/2018)
A sua empresa precisa se certificar PCI DSS? Você está com dificuldade para entender o sopão de letrinhas formado por PCI DSS, CDE, QSA, ASV, RoC, AoC e SAQ? Quais são os benefícios para você e sua empresa?

Então assista o Webinar oferecido pela Clavis Segurança da Informação e apresentado por Rafael Barros, instrutor e consultor de GRC – Governança, Riscos e Conformidade da Clavis. Neste Webinar foram abordados os principais pontos relacionados à conformidade com o padrão PCI DSS e como adaptar os controles de segurança sem custos desnecessários com tecnologias “mágicas” e com resultados reais no curto prazo. Vejam abaixo os tópicos discutidos nesta sessão:
- O que é CDE?
- Como a Gestão de Riscos direciona o Projeto?
- Existe tecnologia “mágica” para atender aos requisitos PCI DSS?
- Onde sua empresa se encaixa na sopa de letrinhas?
- Por que atualizar os processos já existentes ao invés de reinventar a forma como a empresa trabalha?
Duração: Aproximadamente 40 minutos.

Além disso, nesta edição o consultor de segurança da informação e instrutor, Rafael Barros, apresentará o novo treinamento da Academia Clavis, o Conhecendo o PCI DSS. O curso aborda padrão PCI DSS em detalhes. A conformidade ao PCI DSS é requerida à qualquer organização que transmita, processe ou armazene dados de cartão de crédito. Organizações que sofram com vazamentos de tais dados podem ter que arcar com milhões de dólares em multas e custos de remediação, perder a confiança de seus clientes, e sofrer com danos duradouros em suas marcas.

Este curso é ideal para Pequenos e Médios Empresários, Gestores e Equipes de Segurança da Informação e Profissionais de TI que buscam entender como o PCI DSS se aplica ao negócio em que atua, como usá-lo para alavancar vendas, como adaptar os controles de segurança sem custos desnecessários com tecnologias “mágicas” e com resultados reais no curto prazo.

Com o propósito de capacitar profissionais, o curso segue e ensina as melhores práticas para redução do Escopo PCI, gestão dos riscos mapeados e utilização segura dos ativos que processam, armazenam e transmitem os dados do titular do cartão. Além disso, tem como objetivo desmistificar os controles exigidos pela Indústria de Cartões de Pagamento por apresentar os requisitos técnicos e operacionais através de linguagem simples, sem deixar de dar atenção aos detalhes.

Sobre o apresentador:

Rafael Luiz de Barros é tecnólogo em Gestão de TI, pós-graduado em Gestão de Negócios pelo IBMEC, certificado PMP desde 2012, profissional de segurança da informação desde 2006. Auditor Líder ISO 27001 pela Modulo Security, instrutor ISO 27001, CoBIT 5 e ITIL V3. Foi o analista responsável em diversas auditorias internas de segurança da informação e atuou nos planos de ação de diversos produtos, incluindo operações de bancos, cartões de crédito, planos de saúde e telefônicas. Suas áreas de atuação incluem Gestão de Segurança, Continuidade de Negócios, Gestão de Riscos, Governança de TI e Gestão de Projetos.
ISO 27001, PCI-DSS e GDPR: sopa de letrinhas dos padrões de segurança é destaque no 13o. SegInfo (4/16/2018)

Por André Machado

Combater ameaças e proteger de maneira contínua e em tempo real os ambientes corporativos num universo crescente de dados digitais, a grande maioria online, é fundamental para manter uma economia saudável, tanto virtual como fisicamente. Mas outra parte essencial desse processo é obedecer às normas e padrões internacionais de segurança e compliance, que homogeneizam e regulam o ambiente de negócios e permitem transações verificáveis e auditáveis. Na 13^a. Edição do SegInfo, no Rio de Janeiro, esse foi o assunto da apresentação de Rafael Barros, consultor da Clavis para normatização e compliance.

Barros começou enfatizando o papel dos executivos, os usuários número 1 das empresas e tomadores de decisão, para exercer uma governança definitiva sobre a segurança e conformidade das informações que trafegam por suas redes.

– Eles são nossos maiores aliados nesse processo, porque não é só de tecnologia que você precisa entender, é preciso ter o conhecimento sobre a cadeia de valor da empresa, saber onde estão suas prioridades e onde estão seus maiores riscos – explicou.

Nessa seara, evitar a burocracia nos processos é muito importante, bem como fazer uma análise preventiva das falhas nos ativos para garantir a continuidade do negócio.

– Para assegurar a conformidade com as normas e padrões, deve-se mapear os principais desafios, mostrar às pessoas as diferentes formas de proceder corretamente, e gerar evidências contínuas sobre o estado do ambiente corporativo. Tais evidências têm de ser perfeitamente auditáveis, e precisam ser apresentadas nos prazos definidos

Para ver mais fotos do evento, clique na imagem acima.

ISO 27001

Três normas cruciais foram abordadas no evento. A primeira, a ISO 27001, foi criada para estabelecer um modelo de implementação, operação e análise crítica dos sistemas de gestão de segurança da informação num ambiente corporativo.

– Em suma, é usada para certificação de boas práticas na área de gestão de segurança (o conjunto dessas boas práticas é definido na ISO 27002, sua “irmã”). A vantagem da ISO 27001 é que ela é mais genérica – explanou Barros. – Diz o que você deve fazer, mas não o obriga a seguir um procedimento específico. É mais aberta, serve para todo mundo e tem implementação mais versátil. Por exemplo, na gestão de incidentes, permite à empresa escolher se vai fazê-la com um SIEM (sistema de Gerenciamento de Informações e Eventos de Segurança) ou com um sistema mais simples.

A norma também diz que você deve ter uma política de melhoria contínua, mas o prazo para tal fim é o usuário corporativo que decide. E é aplicável a empresas de qualquer setor – tecnologia, varejo, e-commerce, defesa etc. É adaptável a todo tipo de indústria ou serviço.

PCI-DSS

Já a norma PCI-DSS é bem mais específica. Ela foi criada para proteger os dados de um portador de cartão de pagamento (débito ou crédito). A sigla significa, em inglês, Padrão de Segurança de Dados da Indústria de Cartões de Pagamento.

– Ela é bem concentrada nesse quesito de segurança, não nos demais. O mundo pode acabar, mas se os dados dos cartões estão seguros, tudo bem para a PCI-DSS – exemplifica Barros. – De modo que, para proteger esses dados tão sensíveis, a gestão de segurança da empresa precisa reduzir drasticamente o escopo de acesso a onde se guardam as informações relativas aos cartões… e então reduzir o escopo de novo. Deve-se eliminar tudo que não for essencial para resguardar esse local: tecnologias, transmissões, processos, acessos de pessoas etc.

Rafael Barros

O padrão verifica todos os locais por onde o dado do cartão trafega, daí ser necessário restringir esse trajeto ao máximo. Barros conta que muitas vezes é preciso reorganizar toda a forma de a empresa trabalhar para que fique em conformidade com a PCI-DSS.

– Certa feita precisamos criar uma segunda empresa, bem mais enxuta, só para abrigar os dados de cartões, enquanto as outras formas de pagamento ficavam na empresa original – lembra. – Nesse padrão, ou você está 100% compliant ou não está. Não há “jeitinho”. Diferentemente da ISO 27001, ele lhe diz exatamente o que fazer e como fazer. E a segregação de funções no ambiente ligado a esses dados tem que ser total.

GDPR

Por sua vez, a GDPR, norma programada para entrar em vigor no dia 25 de maio de 2018, estabelece padrões para proteger a privacidade de dados de cidadãos da União Europeia. (A sigla quer dizer Regulamento Geral de Proteção de Dados, em inglês).Portanto, qualquer empresa brasileira cujos negócios envolvam operações na Europa estará sujeita a ela.

– A GDPR dá poder às pessoas para decidirem o que deve ser feito com suas informações privadas – disse Barros. – E é extremamente detalhada, cobrindo desde endereços, telefones, dados profissionais e outros até afiliações religiosas e gastos pessoais. Gere inclusive o direito de ser esquecido, a permissão de uso de dados por terceiros e assim por diante.

As empresas precisam se preparar para a nova norma, que, se desobedecida, poderá gerar multas de até 20 milhões de euros, alerta o especialista. Precisarão adaptar suas relações com os cidadãos europeus, permitindo que controlem o uso de suas informações pessoais pela rede da empresa. E devem estabelecer prazos para que possam cumprir as diretrizes dessas pessoas.

De acordo com Barros, não será fácil a adaptação para as empresas brasileiras, porque a GDPR (assim como a PCI-DSS) exige a segregação de funções para sua implementação correta: ou seja, diferentes pessoas dedicadas a diferentes grupos de processos.

– Por exemplo, quem autoriza não pode executar, quem executa não pode auditar – exemplifica. – Isso, para a cultura das empresas brasileiras, é bem complicado, porque estamos acostumados a ser multitarefa: chutamos, cabeceamos, fazemos o passe e defendemos. É da nossa natureza, uma característica cultural. Para seguir as normas, será preciso pensar bem o orçamento e os investimentos. Sistemas precisarão ser reescritos, readaptados, para perguntar ao usuário europeu o que deseja fazer com seus dados.

E nem adianta pensar em terceirizar os trabalhos para cumprir as exigências do GDPR: mesmo que eles sejam delegados a uma empresa parceira, a empresa original a quem os dados foram confiados será responsabilizada por qualquer perda ou vazamento.

A metodologia da Clavis ajuda a preparar o ambiente corporativo para ficar em conformidade com todos os padrões, fazendo análises do ambiente, adequando processos, qualificando pessoas e definindo as tecnologias certas para cada caso. Com testes e ajustes, explica Barros, é possível eliminar redundâncias na gestão do ecossistema de segurança e obter integração entre os padrões – prevendo como e quando deverão ser utilizados.

– Fazemos treinamentos operacionais e temos apoio de hackers éticos, que nos ajudam a otimizar o processo. Com isso, garante-se o compliance e o retorno dos investimentos.

Rafael Barros (Esquerda), Rafael Soares (Meio), Davidson Boccardo (Direita)

A palestra de Rafael Barros, a última do dia, gerou muito interesse dos presentes, que procuraram se informar sobre os padrões, especialmente o GDPR. Foi um encerramento auspicioso, que prenuncia novas oportunidades de atualizações nas próximas edições do SegInfo.

Para saber mais detalhes sobre a 1ª Parte do SegInfo 2018, acesse nosso artigo Décima-terceira edição do SegInfo apresenta as últimas novidades e tendências de segurança nas empresas.

Para saber mais detalhes sobre a 2ª Parte do SegInfo 2018, SIEM e gerenciamento contínuo de vulnerabilidades: carros-chefes do 13º SegInfo, no Rio.
SIEM e gerenciamento contínuo de vulnerabilidades: carros-chefes do 13º SegInfo, no Rio (4/9/2018)

Por André Machado

Dois temas importantes foram abordados na 13ª Edição do Workshop SegInfo, apresentado pela Clavis Segurança da Informação: a evolução dos sistemas de SIEM (Gerenciamento de Eventos e Informações de Segurança, na sigla em inglês) e a necessidade de gerenciamento contínuo de vulnerabilidades no mundo moderno.

SIEM: A EVOLUÇÃO

O primeiro tema foi tratado com profundidade por Victor Santos, diretor de serviços da Clavis, logo na primeira palestra do dia. Segundo Santos, um sistema de SIEM coleta, gerencia e correlaciona dados de segurança, sendo fundamental para todos os ambientes corporativos.

Antigamente, quando se tratava de monitorar dispositivos ou mesmo nos anos iniciais da internet comercial, até era possível ter um SIEM mais tradicional. O conceito de perímetro de segurança era aplicável. Hoje, com o advento da mobilidade, da computação em nuvem e do big data, as fronteiras desse perímetro se alargaram e ficaram quase impossíveis de definir.

– Em outros tempos, capturavam-se dados de dispositivos, mas hoje esses fatores (big data, cloud computing, pessoas acessando dados de qualquer lugar) transformaram a identidade do novo perímetro de segurança – disse Santos. – É preciso examinar comportamentos de acesso, hábitos, navegações e assim por diante.

Não admira que a vigilância sobre os dados seja cabal. Estudo da consultoria americana Domo estabelece que 90% de todos os dados criados hoje surgiram nos últimos dois anos e meio. Seriam 2,5 quintilhões de bytes por dia (2,5 exabytes). Outro estudo, da We Are Social em conjunto com a HootSuite, aponta que já há mais de 4 bilhões de usuários de internet no mundo, sendo 3,1 bilhões ativos em redes sociais. Atualmente, 15 milhões de mensagens de texto são enviadas a cada minuto. Só nos EUA, diz a Domo, os internautas consomem ou mexem com 2,65 milhões de dados online por minuto.

– E espera-se um aumento de 42% nos dados gerados pela internet até 2020 – afirmou Santos. – Assim, as ameaças estão cada vez mais avançadas e persistentes e exigem essa análise constante de comportamento. E o próprio sistema de SIEM precisa ser mais dinâmico. Hoje só 10% dos aplicativos instalados numa rede corporativa são de fato geridos pela equipe de segurança. Há muito software fora do escopo.

A tendência do BYOD (Bring Your Own Device, ou traga seu próprio aparelho), bem como do home office, só torna tudo isso mais difícil. Segundo Santos, não é mais possível basear o monitoramento em regras de assinaturas de ameaças. O SOC (Centro de Operações de Segurança) da empresa deve ser orientado à inteligência em tempo real, não só a eventos.

Um SIEM tradicional procura atuar contra ameaças fazendo relatórios sobre atividades nos dispositivos, emitindo alertas básicos, gerando provas de conformidade para auditorias, centralizando eventos e correlacionando dados. Mas isso não é suficiente nos dias de constantes mudanças que vivemos na seara digital atual.

– As principais desvantagens do SIEM tradicional são seu alto custo, sua complexidade e sua falta de personalização. Ele é engessado e “barulhento”, ou seja, gera alertas em excesso e não customizados – explicou Santos. – Suas regras rígidas não combatem a segurança de forma efetiva.

Segundo Bruno Salgado, diretor da Clavis e anfitrião do SegInfo, as soluções de SIEM sempre foram historicamente caras.

– E o cliente gastava muito em licenças de software, mas tentava economizar ao implementar a solução, o que acabava não gerando um resultado satisfatório. Ou seja, para a realidade brasileira, trata-se de algo caro e muito amarrado, engessado, não permitindo facilmente a personalização, a customização.

Foi assim que a Clavis começou a procurar uma solução mais versátil, um novo modelo de SIEM. E, em parceria com as poderosas ferramentas de busca e analytics da holandesa Elastic, criou o Octopus SIEM, capaz de trabalhar em diversas frentes e facilmente adaptável a diferentes ambientes corporativos.

– Ele é altamente escalável e personalizável – afirmou Santos. – Um ecossistema de análises em tempo real que combina várias fontes de dados. Assim, o monitoramento é orientado à inteligência e obtém resultados mais rápidos e eficazes.

Segundo Salgado, no Octopus a economia com licenças é de 80%, se comparada com os sistemas tradicionais, e a implementação exige apenas 20% do investimento usual. O sistema integra e centraliza fontes de dados, detecta atividades suspeitas ou maliciosas em tempo real, correlaciona de forma inteligente os eventos de segurança e faz uma análise comportamental de usuários e entidades envolvidos na rede da empresa. O machine learning (aprendizado de máquina) é um diferencial que torna todo o processo ainda mais personalizado, inteirando-se sobre as características inerentes ao uso da rede.

– O Octopus é uma plataforma de código-fonte aberto e totalmente auditável, com um dashboard (painel) online personalizável e regras claramente especificadas. O monitoramento é contínuo – resumiu Santos. – Trabalhamos junto com os times de políticas de segurança, de governança, de modo que o tempo de identificação e análise de ataques é menor, assim como a resposta, que fica mais ágil.

Para ver mais fotos do evento, clique na imagem acima.

DADOS INSERIDOS NUM CONTINUUM

O segundo tema, o gerenciamento contínuo de vulnerabilidades, foi explorado na palestra de Davidson Boccardo. Ele explicou que a natureza dos ataques digitais mudou muito nos últimos tempos. Se antes eram voltados para a infraestrutura e as empresas em si e seus produtos, hoje o foco são as aplicações corporativas e pessoas aleatórias.

– A proteção hoje precisa ser baseada em gestão de segurança corporativa, pois os ataques seguem a lógica criminosa: reduzir o risco de ser descoberto e maximizar o ganho da melhor forma possível – disse Boccardo.

Entre os meios de invasão mais usados, 81% se dão por meio de senhas roubadas ou fracas, 62% exploram vulnerabilidades e 51% se valem de malware.

– Hoje se conhecem 100 mil trojans voltados para bancos, e as vulnerabilidades em sistemas móveis aumentam 153% a cada ano – comentou Boccardo. – O básico do gerenciamento ainda não está sendo feito. É preciso estudar as vulnerabilidades de infra e aplicação, desenvolver software mais seguro, fazer análise de código e testes de invasão. E definir o ferramental para ajudar a empresa na análise automatizada dessas falhas.

De acordo com o especialista, muitas empresas ainda se limitam a fazer alguns testes, mas não procuram proceder à gestão abrangente de seus ativos.

– O movimento dentro das empresas ainda é muito reativo. Deve-se fazer varreduras periódicas em todo o parque computacional, priorizar os ativos de acordo com o negócio, remediar as vulnerabilidades e informar todo o time de segurança, auditores e gerentes. Tudo de forma contínua e permanente – contou Boccardo.

Para Rafael Soares Ferreira, diretor-presidente da Clavis, tais procedimentos são fundamentais para se chegar à maturidade de mitigação dos problemas.

– O ambiente estar sempre atualizado é algo básico nesse ciclo perene de monitoramento e gerenciamento. Mas não só isso: procurar ativamente pelas falhas é essencial (inclusive falhas na configuração e implementação), bem como corrigi-las o mais rápido possível, evitando uma janela de exposição.

A Clavis trabalha o gerenciamento contínuo de vulnerabilidades por meio de sua solução BART, que realiza rotinas periódicas de escaneamento e descoberta de falhas no sistema corporativo. Os ativos são organizados segundo a estrutura do core business da empresa, e as varreduras constantes, controladas e visualizadas por classes de usuários (diversos perfis de acesso). As correções de vulnerabilidades são acompanhadas, bem como a emissão de boletins periódicos sobre novas falhas detectadas pela comunidade internacional de segurança.

Os ativos da empresa são mapeados e monitorados, e as informações são centralizadas num dashboard que permite tomar decisões de maneira mais ágil.

O BART – sigla para Baselines, Análises de Riscos, Testes de segurança – também se beneficia da parceria da Clavis com a Elastic, cujas ferramentas open-source de busca e análise permitem rápida implementação e agilidade ao longo do processo.

Ambas as soluções – Octopus e BART – são homologadas como Produtos de Defesa pelo Ministério da Defesa, e usadas pelas Forças Armadas (em especial a Marinha) para proteger seus ativos.

– Temos a trilha de desenvolvimento tanto do Octopus como do BART, mas é essencial frisar que os adaptamos às necessidades do cliente – concluiu Bruno Salgado. – Ajudamos a montar planos de segurança, estabelecer prioridades, analisar cada ambiente conforme suas especificidades. É fundamental a proximidade com os executivos para auxiliá-los na tomada de decisão, e nos pautamos por isso.

Segundo Salgado, o gerenciamento contínuo dos dados de segurança gera um volume de 2 terabytes a 3 terabytes diários, devidamente armazenados para futuras consultas. Se fizermos uma comparação, 3 terabytes de dados equivalem a 255 milhões de páginas de documentos Microsoft Word ou 930 mil fotos.

Para saber mais detalhes sobre a 1ª Parte do SegInfo 2018, acesse nosso artigo Décima-terceira edição do SegInfo apresenta as últimas novidades e tendências de segurança nas empresas.
Décima-terceira edição do SegInfo apresenta as últimas novidades e tendências de segurança nas empresas (4/2/2018)

Por André Machado

A 13ª edição do workshop SegInfo, capitaneada pela Clavis Segurança da Informação no último dia 21 de março, trouxe valiosas informações sobre o setor de segurança de TI em concorridas palestras ao longo do dia, num salão exclusivo na churrascaria Fogo de Chão, em Botafogo, no Rio.

O workshop recebeu mais de 80 executivos e líderes na área de segurança da informação, e teve como objetivo aproximar as empresas das últimas novidades e tendências na área de segurança.

– Procuramos nos concentrar cada vez mais nos gestores e líderes do setor, fomentando-o com palestras sobre os principais problemas e soluções – afirmou Bruno Salgado, sócio-fundador e diretor da Clavis, anfitrião do evento. – Buscamos promover integração entre gestores de empresas privadas e públicas e ajudá-los a poupar tempo em suas estratégias de defesa de seus ativos.

Para ver mais fotos do evento, clique na imagem acima.

O evento ocorre desde 2005 e já gerou mais de 2.500 notícias em seu website oficial (SegInfo) e 2 milhões de pageviews, além de 53 SegInfocasts abordando várias tendências de proteção corporativa ao longo dos anos. Na introdução das palestras, Salgado destacou que a Clavis, tendo recebido investimentos do Fundo Aeroespacial em 2016, é hoje classificada como Empresa Estratégica de Defesa. Dois de seus principais sistemas, o Octopus e o BART, também foram homologados como Produtos de Defesa pelo Ministério da Defesa. O Octopus é uma ferramenta de SIEM (Gerenciamento de Eventos e Informações de Segurança, na sigla em inglês) e o BART, de gerenciamento contínuo de vulnerabilidades. A sigla BART quer dizer Baselines, Análises de Riscos e Testes de segurança. Ambos os sistemas se beneficiam da parceria da Clavis com a multinacional Elastic, de soluções avançadas de busca corporativa open-source. A Elastic foi uma das parceiras deste SegInfo, junto com a CyberArk, gigante que se concentra na proteção de credenciais críticas para a segurança de redes corporativas.

Além das palestras, houve várias oportunidades de networking no SegInfo. Ao chegarem, os convidados recebiam o livro “Fundamentos de Segurança da Informação”, baseado nos padrões de compliance ISO 27001 e 27002, lançado no evento – uma compreensiva obra de consulta sobre as melhores práticas de proteção nas empresas –, e se dirigiam a um café da manhã. Mais momentos de relaxamento e troca de informações se sucederam durante o almoço, com o tradicional churrasco da Fogo de Chão, e num coquetel no final da tarde, com vista para a enseada de Botafogo e o Pão de Açúcar. Como brinde ao final do evento, os convidados receberam um pack de carregadores “mobile” e respectivos conectores para smartphones.

Lembrando que no último ano a Clavis teve crescimento médio de 42% (com seu faturamento subindo de R$ 7,5 milhões em 2017 para uma previsão estimada de R$ 11 milhões em 2018), Bruno Salgado contou que a empresa, hoje com 60 colaboradores, atua principalmente no eixo Rio-São Paulo-Brasília (Salgado responde pelo Rio e o diretor-presidente Rafael Soares Ferreira, também sócio-fundador da Clavis, pela capital federal e pela capital paulista).

– Temos forte integração com a academia, de onde saem muitos projetos, e atuamos de forma diferente de outras empresas de segurança de TI – afirmou Salgado. – Todo cliente tem um de nossos sete diretores como responsável direto para garantir uma entrega de maior qualidade nas demandas de segurança. E todos os produtos que desenvolvemos nasceram de problemas reais de nossos clientes.

A primeira palestra do dia foi de Victor Batista Santos, diretor de serviços da Clavis. Ele apontou a necessidade, nos tempos atuais, de flexibilização dos sistemas de SIEM, que precisam ser mais versáteis num momento em que as fronteiras dos antigos perímetros de segurança do ambiente corporativo se tornaram indistintas com o advento do big data e da computação em nuvem (cloud computing).

– E essa massa de informações só tende a crescer – frisou Santos. – Pesquisas estimam um aumento de 42% nos dados gerados na internet até 2020 (ou seja, daqui a menos de dois anos). Por isso, o centro de operações de segurança de uma empresa deve ser orientado à inteligência em tempo real.

Daí o enfoque do Octopus, sistema de SIEM da Clavis, que por meio de seus diversos “tentáculos” abrange a análise e controle dos múltiplos eventos que ocorrem dentro de uma rede corporativa. Veja mais sobre a ferramenta em nosso último artigo sobre o Octopus.

Em seguida, Thiago Souza, engenheiro sênior da Elastic, fez uma demonstração de como funcionam as ferramentas de busca e detecção da empresa, baseadas no Elastic Stack (suíte de busca corporativa minuciosa e inteligente, gratuita e de código-fonte aberto) e no X-Pack, licenciável, que adiciona funcionalidades ao Stack. Tudo em tempo real. Os sistemas Octopus e BART, da Clavis, se beneficiam da parceria da empresa brasileira com a Elastic.

– Sessenta por cento de nossos clientes usam a busca inteligente do Elasticsearch em análise de métricas, enquanto 40% analisam logs em tempo real – contou Souza. – Só a operadora americana Verizon, de telefonia e internet, processa 4 terabytes de logs diariamente.

Depois da palestra da Elastic, o tópico final da manhã foi a proteção de supercredenciais críticas em redes corporativas, contas cujo acesso privilegiado as tornam alvos de hackers no mundo todo. Daniel Fioretti, engenheiro de vendas da empresa, destacou que todos que trabalham com segurança precisam ser capazes de se colocar no lugar dos “maus elementos” digitais.

– A superfície que pode ser alvo de ataques está em constante crescimento, por isso é preciso entender como pensa o atacante – afirmou Fioretti. – Ele quer encontrar contas privilegiadas expostas e evitar ser detectado no abuso do acesso privilegiado.

Após o almoço, Alan Oliveira de Sá, especialista da Marinha brasileira e tradutor dos livros “Fundamentos de Segurança da Informação” e “Contagem Regressiva até Zero Day”, falou sobre as obras com enfoque na aproximação da segurança da informação para os executivos.

– Se antes nosso foco era a segurança mais profunda, hoje procuramos chegar mais perto desses executivos que são usuários mais convencionais para ajudá-los a se inteirar das tendências de segurança – comentou Salgado. – A tradução do livro é um passo nessa direção.

As grandes tendências do ransomware – ataque hacker que sequestra os dados e ativos de pessoas ou empresas e pede resgate em dinheiro para liberá-los – foram o tema da palestra de Ricardo Salvatore, capitão-de-fragata da reserva da Marinha. Salvatore esmiuçou os três principais ataques do tipo nos últimos, o WannaCry, o Expetr e o Bad Rabbit, destacando que o segundo foi o pior de todos, por destruir os dados capturados sem sequer pedir resgate.

– Hoje no Brasil os bancos são as maiores vítimas dos ataques virtuais. O cibercrime é responsável por 95% de suas perdas – comentou. – Isso em parte se deve à alta adoção do internet banking por aqui, o que nem sempre é o caso em outros países. E o e-commerce vive uma crise de identidade, pois vazamentos de dados minam a confiança do consumidor.

Mais do que nunca, uma abordagem holística e abrangente da segurança se faz necessária. Como citou Salvatore, “o modo como os CIOs (Chief Information Officers) se envolvem na gestão dos riscos digitais pode ser um fator crucial para evitá-los”.

As palestras finais do dia ficaram a cargo de Davidson Boccardo e Rafael Barros, consultor da empresa na área de Governança, Risco e Compliance. O primeiro tratou do gerenciamento contínuo de vulnerabilidades no ambiente corporativo, e o segundo, dos padrões de segurança ISO 27001, PCI-DSS e GDPR, que serão abordados nos próximos artigos sobre o SegInfo.

Boccardo destacou entre outras coisas a necessidade de desenvolver software seguro sempre que possível, e, ao utilizar recursos open source para a gestão da segurança, avaliá-los e habilitá-los criticamente – “não adianta ter algo pronto, porém inseguro”.

– Parte-se da premissa que a segurança deve ser monitorada continuamente – sentencia Rafael Soares Ferreira. – No que diz respeito à gestão de vulnerabilidades, a verdade é que o processo é um ciclo permanente.

Por sua vez, Rafael Barros destacou que os executivos, os usuários corporativos são os grandes aliados para uma boa governança corporativa.

– Não se trata de uma questão de entender só de TI, mas de saber como é a cadeia de valor da empresa – disse Barros. – Conhecer seu fluxo e perceber onde estão os riscos.

Encerradas as apresentações, os convidados foram presenteados com o pack de carregadores móveis de energia e desfrutaram do coquetel de fim de tarde debatendo os temas abordados. Depois de um início de dia nublado, o sol saiu e brindou o momento de relax com toda a beleza da enseada de Botafogo e o Pão de Açúcar sob um céu azul. Pareceu que os esclarecimentos sobre o tema da segurança (tão importante para o Rio em todos os sentidos) também contribuíram para clarear o horizonte.
Veja o que rolou na edição 10ª do Workshop Seginfo (12/21/2016)

No último dia 23 de novembro aconteceu no Hotel Novo Mundo, no Flamengo, RJ, a décima edição do Workshop Seginfo, evento que surgiu em 2005 com a proposta de promover o diálogo entre os setores da sociedade impactados pelas questões envolvendo a segurança da informação. Pelo evento já passaram personalidades do mundo científico, corporativo, jurídico e político, trazendo uma visão ampla sobre o tema.

Confira abaixo algumas das apresentações deste ano e reserve um lugar na agenda para a 11ª edição, em 2017!

Adoção do padrão PCI no Brasil

Carlos Caetano, Associate Regional Director – Brazil na PCI Security Standards Council palestrou sobre a adoção do padrão no país. Sua apresentação traz informações sobre o PCI DSS, seus benefícios para a indústria de pagamentos em um cenário de aumento nas ameaças a essa indústria, especialmente entre os pequenos negócios.

A maldição do local admin

A Account Executive a CyberArk, Carol Bozza, falou sobre os desafios de balancear segurança e produtividade e sobre os benefícios da redução de privilégios locais, além de outras práticas que vêm sendo consideradas as “formas mais efetivas de defesa contra o malware”.

Big Data e Segurança da Informação

Rodrigo Montoro é pesquisador do SOC da Clavis Segurança da Informação, autor de duas pesquisas patenteadas na detecção de malware e já palestrou em eventos no Brasil, EUA e Canadá. No Workshop Seginfo ele apresentou um panorama sobre o Big Data versus Segurança da Informação e como a solução de SIEM Octopus pode auxiliar nesse desafio.

Análise de Código e Segurança de Malware

Finalmente, o doutor em Engenharia Elétrica e instrutor dos cursos de Forense, Testes de Invasão, Desenvolvimento Seguro e Proteção de Software da Academia Clavis, Davidson Boccardo, palestrou sobre análise de código e segurança de malware, lembrando que vulnerabilidades presentes em software são ubíquas e podem comprometer desde a identidade dos usuários até infraestruturas críticas e governos.
[IX SegInfo] Vídeo Palestra: Emprego de simulador para capacitação de recursos humanos na área cibernética (7/3/2014)
Na IX Edição do Workshop SegInfo, que aconteceu nos dias 11 e 12 de abril de 2014, Ten. Felipe Vasconcellos (CIGE – Centro de Instrução de Guerra Eletrônica do Exército) apresentou a palestra: “Emprego de simulador para capacitação de recursos humanos na área cibernética”.

Assista ao vídeo a seguir:

Veja outras palestras do SegInfo neste link.
[IX SegInfo] Vídeo Palestra: Certificação profissional e Segurança da Informação – Os desafios do mercado (7/1/2014)
Na IX Edição do Workshop SegInfo, que aconteceu nos dias 11 e 12 de abril de 2014, Marco Carvalho (Diretor CompTIA Brasil) apresentou a palestra: “Certificação profissional e Segurança da Informação – Os desafios do mercado”.

Assista ao vídeo a seguir:

Veja outras palestras do SegInfo neste link.
[IX SegInfo] Vídeo Palestra: Os desafios de segurança da Internet das Coisas (6/26/2014)
Na IX Edição do Workshop SegInfo, que aconteceu nos dias 11 e 12 de abril de 2014, Mariano Sumrell Miranda (Diretor de Marketing da WinCo) apresentou a palestra: “Os desafios de segurança da Internet das Coisas”.

Assista ao vídeo a seguir:

Veja outras palestras do SegInfo neste link.
[IX SegInfo] Vídeo Palestra: O Marco Civil e suas polêmicas (6/18/2014)
Na IX Edição do Workshop SegInfo, que aconteceu nos dias 11 e 12 de abril de 2014, Walter Capanema (Coordenador do Curso de Extensão em Direito Eletrônico na Escola da Magistratura do Rio de Janeiro e instrutor da Academia Clavis Segurança da Informação) apresentou a palestra: “O Marco Civil e suas polêmicas”.

Walter Capanema é advogado e instrutor do curso Direito para Peritos Forense , Pentesters e Administradores de Redes, ministrado pela Clavis Segurança da Informação.

Assista ao vídeo a seguir:

Veja outras palestras do SegInfo neste link.
[IX SegInfo] Vídeo Palestra: Uma verdade inconveniente: Quem é responsável pela insegurança das aplicações? (6/16/2014)
Na IX Edição do Workshop SegInfo, que aconteceu nos dias 11 e 12 de abril de 2014, Wagner Elias (Diretor Executivo da Conviso Application Security e instrutor da Academia Clavis Segurança da Informação) apresentou a palestra: “Uma verdade inconveniente: Quem é responsável pela insegurança das aplicações?”.

Wagner Elias é co-fundador e sócio da Conviso Application Security, onde atua como CTO (Chief Technical Officer), responsável pela gestão de pesquisa e desenvolvimento de projetos de consultoria em segurança de aplicações. Tem ampla experiência na condução de projetos em Application Security com projetos desenvolvidos em empresas dos mais diversos segmentos. Fundou o capítulo brasileiro da OWASP (Open Web Application Security Project); ocupou o cargo de diretor de conteúdo na gestão 2006-2008 e de eventos da gestão 2008-2010 do capítulo brasileiro da ISSA (Information System Security Association).

Assista ao vídeo a seguir:

Veja outras palestras do SegInfo neste link.
[IX SegInfo] Vídeo Palestra: A tempestade perfeita do roubo de dados – A invasão da rede da Target (Estudo de Caso) (6/10/2014)
Na IX Edição do Workshop SegInfo, que aconteceu nos dias 11 e 12 de abril de 2014, Ricardo Salvatore (Assessor de Arquitetura e Governança de TI do Departamento de Tecnologia da FAPES/BNDE) apresentou a palestra: “A Tempestade Perfeita do Roubo de Dados – A Invasão da Rede da Target (Estudo de Caso)”.

Ricardo Salvatore é oficial da reserva da Marinha do Brasil com mais de 10 anos de atuação na área de segurança da informação, mestre em Ciência da Computação pela NPS, Estados Unidos, com as certificações: GIAC Certified Enterprise Defender (GECD), Information Systems Security Professional, System Administration in Information Systems Security e Information Systems Security Officer (ISSO) do NSTISSI. Integrante dos grupos de trabalho do GSI-PR que desenvolveram o Livro Verde da Segurança Cibernética e Guia de Referência para Segurança das Infraestruturas Críticas da Informação. Professor colaborador do curso de Pós-Graduação de Segurança de Redes de Computadores da Universidade Estácio de Sá. Atualmente é assessor de Arquitetura e Governança de TI na FAPES-BNDES.

Assista ao vídeo a seguir:

Veja outras palestras do SegInfo neste link.
[IX SegInfo] Vídeo Palestra: Analisando Ataques Distribuídos de Indisponibilidade (6/9/2014)
Na IX Edição do Workshop SegInfo, que aconteceu nos dias 11 e 12 de abril de 2014, Rafael Soares (Diretor Técnico da Clavis Segurança da Informação) apresentou a palestra: “Analisando Ataques Distribuídos de Indisponibilidade”.

Rafael Soares Ferreira – É Sócio Diretor Técnico do Grupo Clavis Segurança da Informação. Profissional atuante nas áreas de testes de invasão e auditorias de rede, sistemas e aplicações, e de detecção e resposta a incidentes de segurança. Já prestou serviços e ministrou cursos e palestras sobre segurança da informação para grandes empresas nacionais, internacionais, órgãos públicos e militares, assim como em diversos eventos. Possui as certificações CEH (Certified Ethical Hacker), ECSA (EC-Council Certified Security Analyst), CHFI (Computer Hacking Forensic Investigator), CompTia Security+ e SANS SSP-CNSA.

Assista ao vídeo a seguir:

Veja outras palestras do SegInfo através deste link.
[VIII SegInfo] Vídeo Palestra: Principais Vulnerabilidades em Aplicações Web (10/28/2013)
Rafael Soares Ferreira, sócio diretor técnico do Grupo Clavis Segurança da Informação, apresentou na oitava edição do Evento SegInfo a palestra: “Principais Vulnerabilidades em Aplicações Web”.

O projeto OWASP Top 10 possui edições trienais e lista as falhas mais críticas encontradas em aplicações web, detalhando-as e sugerindo as correções necessárias. O objetivo da palestra é apresentar o que mudou nesses 3 últimos anos e quais pontos ainda continuam persistentemente vulneráveis no que tange aplicações web.

Rafael Soares Ferreira – É Sócio Diretor Técnico do Grupo Clavis Segurança da Informação. Profissional atuante nas áreas de testes de invasão e auditorias de rede, sistemas e aplicações, e de detecção e resposta a incidentes de segurança. Já prestou serviços e ministrou cursos e palestras sobre segurança da informação para grandes empresas nacionais, internacionais, órgãos públicos e militares, assim como em diversos eventos. Possui as certificações CEH (Certified Ethical Hacker), ECSA (EC-Council Certified Security Analyst), CHFI (Computer Hacking Forensic Investigator), CompTia Security+ e SANS SSP-CNSA.

Veja o vídeo da palestra a seguir:
[VII SegInfo] Vídeo Palestra: Defesa em Profundidade e Monitoração (7/3/2013)
Ricardo Salvatore, profissional com mais de 10 anos de atuação na área de Segurança da Informação, apresentou na sétima edição do Evento SegInfo a palestra: “Defesa em Profundidade e Monitoração“.

A palestra relacionou a arquitetura de defesa das informações com a realidade das organizações e a monitoração das defesas implementadas. Com uma visão gerencial das 6 camadas de defesa propostas pelo SANS Institute e os 20 controles críticos para Segurança da Informação acordados pelos governos dos EUA, Austrália e Grã-Bretanha.

Ricardo Salvatore é oficial da reserva da Marinha do Brasil com mais de 10 anos de atuação na área de segurança da informação, mestre em Ciência da Computação pela NPS, Estados Unidos, com as certificações: GIAC Certified Enterprise Defender (GECD), Information Systems Security Professional, System Administration in Information Systems Security e Information Systems Security Officer (ISSO) do NSTISSI. Integrante dos grupos de trabalho do GSI-PR que desenvolveram o Livro Verde da Segurança Cibernética e Guia de Referência para Segurança das Infraestruturas Críticas da Informação. Professor colaborador do curso de Pós-Graduação de Segurança de Redes de Computadores da Universidade Estácio de Sá. Atualmente é assessor de Arquitetura e Governança de TI na FAPES-BNDES.

Veja o vídeo da palestra a seguir:

Veja outros palestras da sétima edição do Workshop SegInfo em http://www.seginfo.com.br/category/videos-palestras/
[VII SegInfo] Vídeo Palestra: Reverse engineering client-side bugs in the APT age (4/10/2013)
Nelson Brito, pesquisador de segurança e entusiasta, apresentou na sétima edição do Evento SegInfo a palestra: “Reverse engineering client-side bugs in the APT age”.

O termo APT vem sendo utilizado por empresas, departamentos de marketing e mídia para descrever um vetor de ataque contra as empresas, os governos e, pior ainda, infraestruturas críticas.

De acordo com as estatísticas, os usuários finais são os principais alvos desses ataques. Sendo que esse não é um alvo privilegiado, muitos cibercriminosos usam também esses usuários finais a fim de executar fraudes bancárias, criação de botnets, vazamento de informações, etc.

O objetivo desta apresentação é mostrar como obter um profundo entendimento em como os erros client-side são explorados – de uma forma didática será explicado como executar engenharia reversa para os erros client-side, através de um estudo de caso.

Veja o vídeo da palestra a seguir:
[VII SegInfo] Vídeo Palestra: Anti-Anti-Forensics Reloaded. Could Neo avoid Matrix’s Forensics Agents? (4/8/2013)
Tony Rodrigues, Pesquisador-Chefe e Investigador do Octane Labs, um time de pesquisa Open Source em Computação Forense; membro da Comissão de Direito Eletrônico e Crimes de Alta Tecnologia da OAB-SP; profissional certificado CISSP, CFCP, Security+, ACFCP e MCSD com mais de 20 anos de experiência em TI e 8 anos em Gestão de Segurança de Informações, apresentou na sétima edição do Evento SegInfo a palestra: “Anti-Anti-Forensics Reloaded. Could Neo avoid Matrix’s Forensics Agents?”.

Foram revisadas algumas das principais técnicas utilizadas para confundir investigadores e peritos em Computação Forense, e também quais técnicas podemos aplicar para mitigar os impactos da Anti-Forense nas investigações.

Veja o vídeo da palestra a seguir:
[VII SegInfo] Vídeo Palestra: Implementando Segurança em Desenvolvimento com a verdadeira ISO (4/3/2013)
Wagner Elias apresentou a palestra: “Implementando Segurança em Desenvolvimento com a verdadeira ISO” na sétima edição do Workshop SegInfo.

Em novembro de 2011 foi lançada a primeira parte, de seis previstas, da ISO 27.034, primeira norma desenhada para gestão de um sistema de Segurança em Desenvolvimento de Software. Muito se falou durante anos sobre outras normas e padrões como a ISO 15.408, porém nenhum destes padrões foi desenvolvido para tal prática.

A palestra apresentou uma visão geral do Road Map previsto e como ela pode ajudar sua organização no desenvolvimento dos controles e na implementação de um processo de Segurança em Desenvolvimento de Software.

Veja o vídeo da palestra a seguir:
[VII SegInfo] Vídeo Palestra: Mobile Snitch – Devices telling the world about you (4/2/2013)
Luiz Eduardo, Diretor na América Latina do Spiderlabs da Trustwave, e Rodrigo Montoro, também pesquisador do Spiderlabs, ministraram a palestra “Mobile Snitch – Devices telling the world about you” na 7a edição do Workshop SegInfo.

A natureza do comportamento do dispositivo móvel Wi-Fi, combinado com a falta de conscientização do usuário (ou atenção), poderia levar alguém não só a conhecer o aparelho que você usa, como também onde você esteve (e possível para onde está indo), onde você trabalha, e em alguns casos quem você é. Alguns usuários são cautelosos, mas ainda há um grande número de pessoas que usam um dispositivo móvel pessoal para verificar emails corporativos e outros recursos. Foi abordado como algumas aplicações em dispositivos móveis pode expor informações importantes sobre a sua privacidade. Esta apresentação irá apresentar a ferramenta Mobile Snitch como prova de conceito, que fornece acesso fácil a essa informação.

Veja o vídeo da palestra a seguir:
[VII edição Evento SegInfo] Vídeo Palestra: “Os desafios para o combate ao Cibercrime” (2/26/2013)
Walter Capanema, advogado, membro da Comissão Estadual de Crimes de Alta Tecnologia da OAB/SP e Instrutor da Academia Clavis Segurança da Informação, palestrou o tema “Os desafios para o combate ao Cibercrime”. O advogado cita o novo Código Penal Brasileiro e fala sobre o projeto de lei que trata das Lan houses que segue parado no Senado Federal, após ter sido aprovado pela Câmara.

O Código Penal não previu a questão da “proporcionalidade”, responsável por definir uma maior punição, conforme a gravidade do crime. A proposta, de acordo com Capanema, é branda e quase se torna um incentivo para se cometer um crime eletrônico. Dos quatro artigos sugeridos para regular e punir crimes na web, apenas dois efetivamente punem os infratores, sustenta o secretário-geral da Comissão de Direito e Tecnologia da OAB/RJ. Veja mais no sobre a palestra no vídeo abaixo:
[Vale a pena ver de novo] – Automated Malware Analysis – VI @SegInfo Palestra (11/20/2012)
Reveja a palestra do Gabriel Barbosa no VI Workshop de Segurança da Informação – SegInfo.

Boa palestra! =)
[Vale a pena ver de novo] Palestra “ENG++: Permutation Oriented Programming” – VI @SegInfo Palestra (11/19/2012)
Reveja a palestra do Nelson Brito no VI Workshop de Segurança da Informação – SegInfo.

Sobre a palestra

Exploit Next Generaiton® Methodology (ENG++) introduces a different and powerful approach / technique, which can be applied to almost all vulnerabilities and targets the vulnerability trigger. This new approach / technique is named: Permutation Oriented Programming.

ENG++ (pronounced /ěn’jĭn/ incremented) is neither a new obfuscation technique nor a new shellcode technique, instead, it is a methodology intended to change the behavior of exploit developers, and it provides a specific set of procedures for offering set based mutation of key aspects of an exploit to prevent simple Pattern Matching and ineffective Stateful Packet Inspection or Deep Packet Inspection by IDS and IPS solutions.

ENG++ works by deep analysis of a vulnerability and using all the acquired knowledge of this analysis to offer a variety of decision points targeting the actual triggering of the vulnerability (i.e., brand-new variants), rather than the shellcode that executes after the vulnerability. For ENG++ to be effective, it requires exploit developers to determine additional paths to execution beyond those that are available in a standard PoC or even in a standard Automated Penetration Testing Tool’s exploitation module.

For ENG++ to be effectively stopped, it requires that IDS and IPS vendors understand the traits of the vulnerability equally well, and can detect multiple paths of execution. In essence, it shows the frailty of signature based IDS and IPS solutions. If they are simply Pattern Matching, they will not match the pattern after mutation. If they are skipping paths to execution, their sigs will fail on the mutations. Only IDS and IPS solutions that are robust will catch all of the permutations.

Boa palestra! =)
[Vale a pena ver de novo] – A Miopia do CSO – VI @SegInfo Palestra (11/14/2012)
Reveja a palestra do Jordan M. Bonagura no VI Workshop de Segurança da Informação – SegInfo.

Sobre a palestra

A Miopia do CSO – Demonstrar a maneira como as empresas criam as suas políticas de SI e as falhas que existem neste processo de elaboração, importância de pentests entre outros importantes tópicos.

Boa palestra! =)
[Vale a pena ver de novo] – Palestra Atacando e Defendendo Aplicações Web – VI @SegInfo Palestra (11/12/2012)
Reveja a palestra do Rafael Soares Ferreira no VI Workshop de Segurança da Informação – SegInfo.

Boa palestra! =)
[Vale a pena ver de novo] Palestra “A Guerra Cibernética e o novo Hacktivismo” – VI @SegInfo Palestra (11/12/2012)

Reveja a palestra do Anchises M. G. de Paula no VI Workshop de Segurança da Informação – SegInfo.

Sobre a palestra

Empresas, governos e pessoas em todo o mundo estão totalmente dependentes dos serviços online e de suas informações em meios digitais. O que fazer quando a Internet, que trás tantos benefícios para a população e o mercado em geral, é ameaçada por governos, grupos políticos e até mesmo terroristas?

Diversos incidentes em 2010 e 2011 mostraram a fragilidade do mundo online frente a conflitos regionais e globais. Grupos terroristas, governos, agências de inteligência, militares e até mesmo o cidadão comum já perceberam esta fragilidade, o que popularizou termos como Guerra Cibernética e Hacktivismo além das fronteiras dos filmes de ação em Hollywood.

Nesta apresentação Anchises explora o turbilhão de eventos relacionados a Guerra Cibernética e ao Hacktivismo em todo o mundo, muitos deles envolvendo principalmente grandes empresas, governos e agências de inteligência. Entre as motivações para a palestra estão: Stuxtet, Wikileaks e os movimentos populares organizados pelo grupo Anonymous. Uma breve introdução a Guerra Cibernética, a nova face do Hacktivismo, Guerra Cibernética e outros assuntos.

Boa palestra! =)
[Vale a pena ver de novo] Palestra “Jogos de Ataque e Defesa Virtuais – O que aprender com eles?” – VI @SegInfo Palestra (11/7/2012)
Reveja a palestra do Rafael Soares Ferreira no VI Workshop de Segurança da Informação – SegInfo.

Título: “Jogos de Ataque e Defesa Virtuais – O que aprender com eles?”

Resumo: O objetivo da apresentação é demonstrar a utilização de ambientes simulados para aprendizado de técnicas de ataque e defesa de ambientes computacionais, assim como para pesquisa em segurança da informação.

A palestra visa apresentar utilizações de simuladores de ambientes computacionais, sua arquitetura e funcionalidades. Serão demonstradas casos de sucesso onde tais simuladores foram utilizados para aprendizagem de técnicas de ataque e defesa, pesquisa e até jogos.

Boa palestra! =)
Vídeo e matéria disponíveis – Polícia Federal: Avalanche de inquéritos exige Justiça ágil contra o cibercrime (via @convergencia) (11/7/2012)

O Departamento de Polícia Federal, órgão vinculado ao Ministério da Justiça, se estrutura para enfrentar uma avalanche de inquéritos abertos sobre crimes cibernéticos, adverte o delegado Clayton da Silva Bezerra. O especialista vai além: sustenta que o país precisa, urgentemente, capacitar juízes e advogados para as novas tecnologias, como forma de agilizar o processo de avaliação jurídica das solicitações que são feitas para investigação policial dos criminosos.

Clayton Bezerra participou do 7º Seginfo – Workshop de segurança da Informação, realizado entre os dias 31 de agosto e 1º de setembro, no Rio de Janeiro. Para o delegado, há uma tendência de vir acontecer um grande acúmulo de processos contra cibercriminosos, caso alguns procedimentos não venham a ser implementados para assegurar a investigação policial online.

Somente a PF, segundo ele, já tem um volume de 90 mil processos em investigação, sendo a maior parte deles voltados para fraudes bancárias (Internet Banking e cartões de crédito). Clayton Bezerra adiantou, porém, que esse volume é pequeno, diante daquilo que ainda deverá ser encaminhado em breve pelos bancos e operadoras de cartões à instituição. De acordo com o delegado, apenas uma operadora revelou que, em um ano, impediu 203 milhões de tentativas de fraude com cartões (clonagem).

O delegado da Polícia Federal ainda lembrou que a Caixa Econômica Federal registra anualmente 160 mil tentativas de fraude e que somente a sua Superintendência, no Rio de Janeiro, teria 36 mil inquéritos abertos aguardando conclusão. A CDTV do Portal Convergência Digital gravou os principais trechos da apresentação do delegado. Assistam.

http://convergenciadigital.uol.com.br/cgi/cgilua.exe/sys/start.htm?infoid=31793&sid=18
Vídeo e matéria disponíveis – Falta estrutura para combate ao cibercrime no Brasil (via @convergencia) (11/6/2012)

Ao participar da sétima edição do seminário segurança da Informação (Seginfo), realizada no Rio de Janeiro, de 30/08 a 01/09, o delegado da Polícia Civil do Rio Grande do Sul, Emerson Wendt, criticou duramente a atual estrutura criada no país para combate aos crimes cibernéticos.

Segundo ele, faltam, entre outros problemas, delegacias especializadas,compartilhamento de informações e recursos humanos e financeiros. A situação, pondera ainda o delegado, só tende a se agravar, uma vez que novos usuários estão acessando a Internet.

Wendt também criticou a falta de interação entre os organismos públicos e as empresas especializadas em antivírus, as quais, segundo o delegado, poderiam fornecer relatórios sobre novas atividades dos cibercriminosos. Assim, elas poderiam contribuir para uma maior compreensão sobre o modo de agir dessas quadrilhas especializadas em crimes na Internet.

Da mesma forma, entende que as delegacias estaduais deveriam estar agindo conjuntamente, de forma a compartilhar informações sempre que uma nova quadrilha iniciasse operação num determinado Estado. De posse desses dados, os demais organismos estaduais poderiam se preparar para lançar ações preventivas de combate ao crime.

Essa ação conjunta, salientou ainda Wendt, também ampliaria a capacidade de atuação dos organismos de segurança contra os criminosos, uma vez que o cibercrime não tem fronteira.

O delegado, que trabalha num dos estados mais preocupados com a questão, lamentou ainda a falta de investimentos de outras unidades da federação no combate aao cibercrime. E o problema passa não apenas na ausência de delegacias especializadas, mas principalmente na falta de pessoal qualificado para realizar investigações. O desconhecimento técnico, adverte Wendt, prejudica o trabalho de apuração e pode chegar mesmo a destruição das provas.

CDTV do portal Convergência Digital participou do 7º Seginfo e publicou uma série de reportagens sobre o tema. Assistam a apresentação do delegado Emerson Wendt, da Polícia Civil do Estado do Rio Grande do Sul.

http://convergenciadigital.uol.com.br/cgi/cgilua.exe/sys/start.htm?infoid=31750&sid=18
Vídeos e Cobertura especial da VII edição do Evento @SegInfo (parceria c/ @convergencia) (9/13/2012)

O Convergência Digital está fazendo uma cobertura especial do SegInfo 2012 !

No portal reservado para a cobertura já temos duas matérias e dois vídeos do evento. A primeira matéria cita a palestra do Emerson Wendt, delegado da Polícia Civil do Rio Grande do Sul, cujo tema foi “Os desafios das Policias Judiciarias estaduais na investigação do cibercrime”. Na matéria temos o vídeo da palestra dada no evento, onde o delegado critica a ausência de uma política integrada entre os organismos responsáveis pelo combate ao cibercrime e adverte: a tendência é que os problemas se agravem com o maior uso da Internet.

A segunda matéria cita o novo Código Penal Brasileiro e fala sobre o projeto de lei que trata das Lan houses que segue parado no Senado Federal, após ter sido aprovado pela Câmara.

A cobertura foi feita pelo Luiz Queiroz (queiroz[at]convergenciadigital.com.br) que esteve presente em todo o evento. Ele é jornalista e editor especializado em Tecnologia da Informação, Telecomunicações, Economia e Política. Trabalhou nos jornais Correio Braziliense, O Globo, Jornal do Brasil e nas Agências de Notícias JB e Folhanews. No setor de TI trabalhou como repórter, em Brasília, do Computerworld e do Caderno de TI da Gazeta Mercantil. Recebeu o Prêmio Embratel 2002 por Equipe no Computerworld Online e em 2006 o Prêmio ABDI de Política Industrial.
Veja os vídeos das palestras da última edição do Workshop @SegInfo (5/28/2012)
Se você ainda não teve a oportunidade de comparecer no Evento SegInfo – Workshop de Segurança da Informação, terá agora a oportunidade de assistir às palestras da última edição, o VI Evento SegInfo, realizada nos dias 12 a 19 de novembro de 2011.

E isso é só para dar um gostinho do nível das palestras do VII SegInfo. Não deixe de conferir a lista de palestrantes confirmados. (;

P.S.: Este é o milésimo trecentésimo trigésimo sétimo (1337º) post do Blog SegInfo 😉
Palestras V SegInfo – Fotos, estatísticas, slides, certificado e muito mais! (12/10/2010)
Conforme combinado, no decorrer dos próximos dias teremos um post especial para cada um dos dias e temáticas presentes na quinta edição do SegInfo – Workshop de Segurança da Informação. Esse é o post especial sobre as palestras deste ano.

E as palestras, como foram?

No dia 03 de novembro de 2010, no auditório Paulo Freire da Universidade Federal do Estado do Rio de Janeiro – UNIRIO, aconteceram as palestras do V SegInfo. As palestras deste ano reuniram mais de 150 participantes, e contaram com apresentações de 8 renomados profissionais do cenário nacional relacionado à segurança da informação.

Mais fotos sobre o evento podem ser vistas no flickr ou no facebook.

As apresentações do evento podem ser assistidas novamente no slideshare.

Ainda não peguei meu certificado. Como devo proceder?

Simples! Basta acessar http://www.certificados.seginfo.com.br/evento2010/ e pegar seu certificado de participação nas palestras e/ou wargames.

O evento recebeu boas notas de avaliação dos seus participantes, recebendo a nota final avaliação em 8,5. Os destaques para este ano ficam para conteúdo e qualidades das palestras(avaliado na média em 8,7), para a organização do evento (avaliado também em 8,7) e para o ágil e rápido processo de inscrição (avaliado em 9,2). O ponto destacado pelos participantes para melhoria para o próximo ano foi a divulgação do evento, avaliada em 7,5.

Para finalizarmos os itens relativos ao V SegInfo, ainda teremos mais dois post em breve:
- Treinamentos realizados entre os dias 08 e 15 de novembro, estatísticas, fotos e outros detalhes relacionados;
- VI SegInfo – Divulgação do local e data do evento de 2011.
Até o próximo post!