O documento discute a importância crescente da segurança da informação no mercado de tecnologia. Ele também resume 11 tópicos da norma ISO/IEC 17799:2005 relacionados à segurança e explica como hackers e especialistas constroem ferramentas tanto para atacar quanto defender sistemas, ilustrando potenciais vulnerabilidades. Finalmente, sugere que a empresa Dextra crie uma equipe focada em segurança para cuidar dos próprios sistemas e serviços.

1. SEGURANÇA DA INFORMAÇÃO No desenvolvimento de aplicações Dextra 31/08/2011

7. Crises versus Oportunidades

8. Mentalidade (Modelo)

9. Segurança também pode ser vista por 11 tópicos da ISO/IEC-17799:2005 • 1. Política de segurança Este tópico descreve a importância e relaciona os principais assuntos que devem ser abordados numa política de segurança.

10. ISO/IEC-17799:2005 • 2. Segurança organizacional Este tópico aborda a estrutura de uma gerência para a segurança de informação, assim como aborda o estabelecimento de responsabilidades incluindo terceiros e fornecedores de serviços.

11. ISO/IEC-17799:2005 • 3. Classificação e controle de ativos de informação Este tópico trabalha a classificação, o registro e o controle dos ativos da organização

12. ISO/IEC-17799:2005 • 4. Segurança em pessoas Este tópico tem como foco o risco decorrente de atos intencionais ou acidentais feitos por pessoas. Também são abordados a inclusão de responsabilidades relativas a segurança na descrição dos cargos, a forma de contratação e o treinamento em assuntos relacionados a segurança.

13. ISO/IEC-17799:2005 • 5. Segurança ambiental e física Este tópico aborda a necessidade de se definir áreas de circulação restrita e a necessidade de proteger equipamentos e a infraestrutura de tecnologia de Informação.

14. ISO/IEC-17799:2005 • 6. Gerenciamento das operações e comunicações Seção especial onde se aborda os procedimentos operacionais e respectivas responsabilidades, homologação e implantação de sistemas, gerência de redes, controle e prevenção de vírus, controle de mudanças, execução e guarda de backup, controle de documentação, segurança de correio eletrônico, e outras.

15. ISO/IEC-17799:2005 • 7. Controle de acesso Este tópico aborda o controle de acesso a sistemas, a definição de competências, o sistema de monitoração de acesso e uso, a utilização de senhas, dentre outros assuntos.

16. ISO/IEC-17799:2005 • 8. Desenvolvimento e manutenção de sistemas Neste item são abordados os requisitos de segurança dos sistemas, controles de criptografia, controle de arquivos e segurança do desenvolvimento e suporte de sistemas.

17. ISO/IEC-17799:2005 • 9. Gestão de incidentes de segurança Esta seção, incluída na versão 2005, apresenta dois itens: Notificação de fragilidades e eventos de segurança da informação e Gestão de incidentes de segurança da informação e melhorias.

18. ISO/IEC-17799:2005 • 10. Gestão da continuidade do negócio Esta seção reforça a necessidade de se ter um plano de continuidade e contingência desenvolvido, implementado, testado e atualizado.

19. ISO/IEC-17799:2005 • 11. Conformidade A seção final aborda a necessidade de observar os requisitos legais, tais como a propriedade intelectual e a proteção das informações de clientes.

20. Mas Hackers/Crackers não se importam com normas e burocracia

22. Para defender

23. Mais recentemente para ilustrar potenciais vulnerabilidades em sistemas

25. CoreImpact (concorrente do nessus)

26. Backtrack (distribuição Linux para testes de invasão)

27. Metasploit (framework para desenvolver exploits, para invasão)

28. WebScarab (proxy de interceptação de app web)

29. Gruyere

30. WebGoat

31. Hacme Books, Hacme Bank, Hacme Casino

33. Especialistas atentos a esse fenômeno criaram comunidades apenas para tratar de segurança do ponto de vista da aplicação...

34. OWASP – The Open Web Application Security Project

36. Disponibiliza informações e ferramentas

37. Ferramenta didática WebGoat (mostra as principais falhas em uma aplicação web)

38. Lista Top10 de vulnerabilidades

40. A2: Cross-Site Scripting (XSS)

41. A3: Broken Authentication and Session Management

42. A4: Insecure Direct Object References

43. A5: Cross-Site Request Forgery (CSRF)

44. A6: Security Misconfiguration

45. A7: Insecure Cryptographic Storage

46. A8: Failure to Restrict URL Access

47. A9: Insufficient Transport Layer Protection

48. A10: Unvalidated Redirects and Forwards

51. SQL Injection

52. XSS

53. DoS

55. Já temos especialistas em múltiplos tópicos (bastamos focarmos em segurança)

58. Produtos (Sistemas integrados de permissões e acessos)

59. Treinamentos

60. Constroem ferramentas Perguntas, Críticas & Sugestões ??

61. Constroem ferramentas Obrigado !!!