Jordan Bonagura apresenta sobre segurança da informação e como as empresas podem melhorar seus processos de segurança. Ele destaca problemas comuns como visão "inbox" em vez de "outbox", pseudo-segurança e falhas no processo construtivo. Bonagura fornece exemplos de vulnerabilidades encontradas em diversos setores e conclui destacando a necessidade de melhor integração com hackers e visão "outbox" para políticas de segurança.

1. Jordan M. Bonagura
jobona@terra.com.br
Twitter- jbonagura
SegInfo - 2011, Rio de Janeiro

2. Quem sou eu
 Pesquisador Independente em Segurança
 Fundador do Projeto Stay Safe
 Membro do Projeto GNSS – INPE
 Membro Diretor do Cloud Security Alliance – Brasil
 Membro da Comissão de Crimes de Alta Tecnologia da OAB
 Docente na área de Segurança da Informação
 Organizador da Vale Security Conference

3. Agenda
 Valor da Informação;
 Problemática;
 Novo Modelo OSI;
 Exemplos;
 Impactos e
 Necessidades

4. Valor da Informação
Quanto vale as informações da sua empresa?

5. Valor da Informação
E se você não mais tiver essas informações...

6. Valor da Informação
Se estas informações estiverem nas mãos de seus concorrentes.
Uma fatia do mercado?

7. Valor da Informação
Então porque não cuidar?
É a sua fatia do mercado...

8. “Mas, nós cuidamos...”
Mecanismos Mecanismos Serviços
Físicos Lógicos
Fechaduras IDS / IPS Políticas - Normas
Kits LockPick Hackers/Crackers Usuários
* Os softwares e equipamentos aqui demonstrados são meramente ilustrativos...
O MSN não está estava logando.... #novidade

9. “Temos até um CSO...”

10. Então, resolvido ?
Infelizmente não....

11. Problemática
O Processo construtivo pelo qual
as empresas passam no momento
de criar e estruturar suas
políticas.

15. Problemática
Alguma semelhança entre as
imagens anteriores?

16. Processo Construtivo

17. Processo Construtivo
Portanto, processo construtivo #FAIL

18. Vamos analisar...

19. Visão “inbox” X “outbox”
NOVIDADE:
Os terceiros (Crackers) / Concorrentes não fazem parte
do SEU plano!!!

20. Pseudo Segurança
O nosso matador!!!

21. Problemática
Processo Construtivo
Visão “Inbox”
Pseudo Segurança

22. Novo Modelo OSI ?
Falha Humana
Aplicação
Apresentação
Sessão
Transporte
Rede
Enlace
Física

23. Por razões óbvias as URL’s e nomes foram omitidos,
preservando assim a imagem das instituições.

24. Casos Práticos

25. Exemplos
Restaurantes Corporativos
Instituição Financeira
Nada como começar com um:
“HELLO WORLD!”

26. Exemplos
Restaurantes Corporativos
Saúde

27. Exemplos
Saúde

28. Exemplos
Saúde

29. Exemplos
Restaurantes Corporativos
Instituição Financeira
Google
site:com.br
filetype:txt
banco

30. Exemplos
Restaurantes Corporativos
Instituição Financeira

31. Exemplos
Restaurantes Corporativos
Restaurantes Empresariais
Diretamente na Internet...
Vai dar Samba!
#piada_nerd

32. Exemplos
Restaurantes Empresariais

33. Exemplos
Restaurantes Empresariais
Criptografia?
Não precisa....

34. Exemplos
Editora
Construtora

35. Exemplos
Universidade

36. Exemplos
Jornalismo - Comunicação

37. Exemplos
Jornalismo - Comunicação
W.A.F.

38. Exemplos
Agronegócio
Mais fácil...

39. Exemplos
Agronegócio
Escolher SQL ou sh?

40. Exemplos
Agronegócio
Ok, sh

41. Exemplos
Franquias
Criptografia?

42. Exemplos
Franquias
E se ...

43. Exemplos
Franquias
...

44. Exemplos
Franquias

45. Franquias

46. Exemplos

47. Exemplos

48. Exemplos

49. Exemplos

50. Exemplos

51. Exemplos
Open Proxy?
Só??

52. Exemplos
Norma da Empresa:
Proibido entrar com notebook
“Celular” pode normalmente.

53. Exemplos

54. Exemplos

55. Impactos
 Falhas acessíveis para qualquer usuário pois exige pequeno grau de
conhecimento técnico;
 Escalação de Privilégio;
 Possibilidades de alterações de conteúdo (denigrir imagem);
 Alterações de informações, podendo gerar prejuízos financeiros.
Conhecimentos Riscos
Técnicos Corporativos

56. Calma! Nem tudo está perdido...

57. Pessoas que não vivenciem.
É mais fácil encontrar vulnerabilidades quando não se está no dia a dia da empresa.

58. Necessidades
 Melhor integração Hackers com CSOs;
 Visão outbox no desenvolvimento de políticas de segurança;
 Canais de Report mais específicos e claros.
Pentest!!!

59. E as SUAS informações? Estão Seguras?

60. Vale Security Conference
03 e 04 de Setembro
São José dos Campos - SP
www.valesecconf.com.br

61. Jordan M. Bonagura
jobona@terra.com.br
www.staysafe.com.br
Twitter - jbonagura

62. Jordan M. Bonagura
jobona@terra.com.br
www.staysafe.com.br
Twitter - jbonagura