Então, Dale, como eu escolho um scanner de vulnerabilidade? Bem, existem literalmente centenas e centenas de pessoas por aí. Há tantas opções, tão pouco tempo, e tenho certeza que todos vão ter sua própria preferência. Se você está procurando seu primeiro escâner de vulnerabilidade, aqui estão algumas coisas que você pode querer levar em consideração. Em primeiro lugar, quantas vezes eles atualizam seu banco de dados, bem como seus plugins? Novamente, voltamos a essa afirmação de que os scanners de vulnerabilidade só sabem o que sabem. Portanto, ele não pode identificar a vulnerabilidade se seu plug-in não estiver disponível ou não tiver sido atualizado para uma nova vulnerabilidade. Assim, um fornecedor respeitável pode produzir atualizações e novos plugins diariamente, semanalmente, você escolhe. Quão seguro você se sente? Também eu estaria procurando scanners com esse recurso de atualização automática para que eu não tenho que se preocupar em baixá-los todos os dias. Pode ser apenas uma tarefa programada que ocorre. Também queremos dar uma olhada na qualidade versus precisão, porque se um scanner de vulnerabilidades encontrar uma vulnerabilidade, a questão está correta, encontrei 300 vulnerabilidades. Bem, quantos eram precisos? Significando que não eram falsos positivos. A precisão com que as vulnerabilidades críticas são identificadas é muito mais importante do que o número de vulnerabilidades verificadas porque a mesma vulnerabilidade poderia ser contada mais de uma vez pelo mesmo scanner. Você também vai querer olhar para a qualidade das opções de relatórios que estão disponíveis para você. Assim, um bom scanner de vulnerabilidades deve ter um mecanismo de relatório que deve lhe dar informações muito claras e concisas sobre como corrigir alguns dos problemas que você descobriu. Quando um administrador precisa executar exames de acompanhamento após fazer a varredura inicial ou se houver Alterações de configuração ou fazer comparações entre os resultados de uma verificação anterior e a verificação atual. Um scanner que tem uma ótima opção de relatório ou recurso com um banco de dados backend realmente agradável pode tornar sua vida muito mais fácil. Outra coisa que você pode querer considerar e que seria o processo de implantação. Então, se você colocar o scanner na frente do firewall ou atrás do firewall, ele vai, obviamente, ter um efeito sobre os resultados que você recebe. A varredura da rede interna do lado de fora do firewall só irá detectar se os serviços estão disponíveis para o usuário externo ou invasor, mas não olhará as vulnerabilidades de dentro do lado interno da rede. Isso não será visível para você por causa da proteção que o firewall fornece. Por outro lado, a digitalização das máquinas em sua DMZ de dentro pode não fornecer uma imagem completa de sua segurança, de modo a fim de obter uma imagem completa de sua segurança, certifique-se de fazer a sua varredura externa e internamente. Agora, quanto a intervalos de portas? Agora nós sabemos já que as portas abertas poderiam implicar que nós temos um ponto fraco da segurança em algum lugar ea varredura da porta é uma daquelas técnicas básicas do reconhecimento que nós damos uma olhada mais cedo. Assim, sabendo que é isso que os atacantes usarão, parte da varredura de vulnerabilidades deve incluir varredura de portas. Agora há alguns scanners de vulnerabilidade por aí que só realmente verificar as primeiras 15.000 portas, mas lembre-se, há mais de 65.000, portanto, certifique-se de verificar para descobrir quantas portas são digitalizadas nas configurações padrão. Muitas vezes você pode substituir essas alterações alterando as opções de configuração do scanner de vulnerabilidades. Você também vai querer passar e definir sua linha de base. O que a linha de base vai configurar para você, o que significa que você vai passar e você vai ter uma avaliação inicial do seu ambiente, então você tentar corrigir os problemas que você encontrar e, em seguida, acompanhar com uma reavaliação ou outra verificação. Agora, a fim de determinar novamente se você consertar as coisas, você tem que ter algo para compará-lo e isso é o que a linha de base é. Por isso, é realmente uma boa prática manter logs de arquivamento de todos os seus exames e comparar os resultados mais recentes com as linhas de base e, novamente, muitos dos scanners de vulnerabilidade por aí farão isso por você. Isto é o que você deve estar procurando novamente. Então, falamos sobre as práticas pós-digitalização, o que eu faço depois? Quando você obtém seus relatórios, é obviamente importante interpretar corretamente os resultados de digitalização para que você não esteja identificando vulnerabilidades que não estão realmente lá. Você também deve passar por e definir prioridades sobre as diferentes vulnerabilidades que você está descobrindo. Obviamente, uma vulnerabilidade em um servidor que é exposto totalmente à internet teria uma prioridade mais alta, em seguida, por exemplo, a máquina de Billy Bob para baixo no mailroom. Agora também é importante observar aqui que quando você recebe os service packs ou Patch Tuesday da Microsoft ou de qualquer outro fornecedor de software, a qualquer momento em que você aplicar novos patches, você deve executar novos exames imediatamente. Certifique-se de que o seu banco de dados foi atualizado, mas volte a pesquisar depois que esses patches foram aplicados.
Wednesday, March 8, 2017
Como funciona a varredura de vulnerabilidades
Então, a pergunta é: como é que uma varredura de vulnerabilidade realmente funciona? Agora, antes de falar sobre como eles realmente funcionam, queremos observar as limitações porque existem algumas desvantagens definitivas. A primeira é que o julgamento humano é realmente necessário. Esses scanners de vulnerabilidade só podem relatar as vulnerabilidades encontradas de acordo com os plugins instalados dentro do banco de dados. Eles não são projetados para determinar necessariamente se o resultado é um falso negativo ou um falso positivo, por isso sempre temos que ter alguém, nós humanos, envolvido para analisar os dados e analisá-lo após a digitalização concluída. É também uma nota que é estritamente instantânea. Um scanner de vulnerabilidades só olha para um sistema específico em um momento específico, portanto, você não pode apenas fazer uma varredura de vulnerabilidade e dizer que estou seguro, estou bem aqui! Nah, você tem que fazer isso continuamente. À medida que surgem novas vulnerabilidades ou se as pessoas estão fazendo alterações nas configurações, podemos realmente acabar introduzindo novos buracos de segurança. E outra limitação é que só sabe o que sabe. Um scanner de vulnerabilidades foi projetado para descobrir apenas as vulnerabilidades de que está ciente. Não é projetado para identificar outras ameaças de segurança, por isso é importante que você mantenha este menino ruim atualizado e quando eu digo atualizado, vou mostrar-lhe um site aqui em apenas alguns minutos que mostra todas as vulnerabilidades.
Tuesday, March 7, 2017
5 Perguntas críticas para pedir a uma empresa de segurança cibernética antes de contratá-los
Publicado em 16 de novembro de 2016
Tim Howard
Líder de pesquisa de capital humano e executivo
Existem centenas, senão milhares, de recrutadores e empresas de pesquisa lá fora, que querem recrutar profissionais de cibersegurança para você. Se você é um líder de segurança, você provavelmente recebe várias chamadas e e-mails por semana à procura de segurança "ordens de trabalho".
Embora eu esteja recrutando no espaço de tecnologia há mais de 15 anos e agora no espaço de segurança cibernética por cerca de 2,5 anos, descobri que há diferenças críticas entre as duas áreas. Portanto, como líder de segurança, se você não qualificar as empresas na frente, você pode desperdiçar uma enorme quantidade de seu tempo e pode resultar em não contratar o especialista em segurança que você precisa em sua equipe.
Como você sabe, encontrar o talento de segurança certo não é uma tarefa fácil. Há um monte de "charlatões de segurança" lá fora, que não sabem o seu material e exigiria treinamento significativo que você pode não ter o tempo ou recursos para concluir.
Portanto, aqui estão algumas perguntas que você deve estar perguntando a qualquer recrutador ou empresa de pesquisa antes de contratá-los para trabalhar em funções de segurança críticas:
Quantos engenheiros de segurança / arquitetos você entrevistou nos últimos 6 meses? Se esta é uma empresa de recrutamento maior, pergunte quem será designado para o seu recrutamento e quantos colocações de segurança que essa pessoa realizou? Só porque uma empresa nacional colocou profissionais de segurança, não significa que a pessoa designada para você saberá o domínio de segurança. Peça referências de seus clientes e dos profissionais de segurança que colocaram.
Eles são membros ativos de organizações de segurança como ISSA, ISACA, InfraGard, etc.? Profissionais de Segurança muitas vezes evitam postar seus detalhes para LinkedIn, placas de trabalho e redes sociais. Para encontrar os candidatos altamente desejados, incorporados, uma empresa deve participar ativamente e construir a confiança dentro da comunidade de segurança.
Eles participam de conferências de segurança cibernética? Mais uma vez, os profissionais de segurança trabalham com pessoas que confiam e sabem. Eles são inerentemente suspeitos (caso contrário, eles não seriam bons no que fazem). Uma empresa de busca que é uma fonte confiável será capaz de atrair os candidatos passivos e alavancar uma forte rede de referência dentro da comunidade.
Como eles qualificam os candidatos de segurança? Pergunte ao recrutador quais perguntas de qualificação eles pediriam para uma variedade de domínios de segurança.
Qualificar os engenheiros de firewall versus os analistas de ameaças contra os desenvolvedores SIEM é muito diferente. Recrutadores que não podem falar a língua ou qualificar adequadamente o talento vai perder seu tempo e não ser capaz de atrair o talento que você deseja contratar.
Quantas posições de segurança atuais você está recrutando agora? Eles são um "wannabe" recrutador de segurança? Eles têm uma fila atual de profissionais de segurança com quem estão trabalhando ou essa busca começará do zero? Seus postos de trabalho do site vai contar a história real. Revise suas posições postadas existentes. Eles são um generalista ou um que eles realmente trabalham em papéis de segurança?
Recrutar especialistas em segurança é um processo muito diferente do que contratar pessoal de suporte ou desenvolvimento de TI. A maioria dos recrutadores dependem fortemente de LinkedIn e placas de emprego, como Monster e Career Builder. Considerando que, a maioria dos profissionais de boa segurança desprezam essas plataformas e só publicará informações de perfil limitado. Além disso, raramente responderão a postagens de emprego. Eles sabem que estão em alta demanda. Se eles querem uma nova posição, que muitas vezes alavancar sua rede de segurança.
Portanto, para ser bem sucedido em uma pesquisa de segurança, os recrutadores sabem muito bem este domínio e voltar a "caça cabeça", onde eles construir relacionamentos confiáveis de longo prazo e redes de referência. Então, quando um papel apropriado vem longitudinalmente, é muito mais fácil começar profissionais de uma segurança levantar sua mão no interesse. Como eu digo a nossa equipe de recrutamento, "Não é quem está procurando por nós, é quem estamos procurando." Isso é o que leva a pesquisas bem sucedidas.
Author: Tim Howard é o fundador da Fortify Experts (nacionalmente topo classificado Cybersecurity empresa de busca por Cybersecurity Ventures), que ajuda as empresas a encontrar excepcional talento cibernético através de pesquisa de executivos, colocação permanente e consultores de projeto. Howard foi líder equipes de pessoal de tecnologia há mais de 15 anos e é o fundador de três outras empresas de tecnologia e pessoal. Ele tem diplomas de Texas A & M University em Distribuição Industrial e Marketing.
Sunday, March 5, 2017
Glossary Cybersecurity
Anonymous: A loose collective group of cyber hackers who espouse Internet freedom and often attack websites that they consider symbols of authority.
botnet: A network of computers controlled by an outside actor who can give those computers orders to act in a coordinated manner, much like orders to a group of robots.
Comprehensive National Cybersecurity Initiative (CNCI): The broad federal strategy for fostering cybersecurity in America. When first drafted in 2008, it was classifi ed. An unclassified version was publicly released in 2010.
Cyberspace Policy Review: In May 2009, one of the first actions of the Obama administration was the development and release of a broad-based cyberspace policy review. This review has guided federal strategy since then.
denial-of-service attack: An attack in which a malicious actor repeatedly sends thousands of connection requests to a website every second. The many malicious requests drown out the legitimate connection requests and prevent users from accessing the site.
distributed denial of service (DDoS): A DDoS attack is related to a denial-of-service attack, but in a DDoS attack, the attacker uses more than one computer (often hundreds of distributed slave computers in a botnet) to conduct the attack.
domain name system (DNS): The DNS is the naming convention system that identifies the names of various servers and websites on the Internet. In any web address, it is the portion of the address after http://www. One example would be microsoft.com.domain name system security extension (DNSSEC): A proposed suite of security add-on functionalities that would become part of the accepted Internet protocol. New security features will allow a user to confirm the origin authentication of DNS data, authenticate the denial or existence of a domain name, and ensure the data integrity of the DNS.
Einstein: Intrusion detection and prevention systems operated by the federal government, principally to protect federal networks against malicious intrusions of malware.
encryption: The act of concealing information by transforming it into a coded message.
firewalls: Computer security systems designed to prevent intrusions.
hacktivist: A combination of the words “hacker” and “activist.” The term denotes a hacker who purports to have a political or philosophical agenda and is not motivated by criminality.
Information Sharing and Analysis Center (ISAC): A cooperative institution chartered by the federal government that brings together sector-specifi c private-sector actors to share threat and vulnerability information.
There are ISACs for the financial sector, the chemical industry, the IT sector, and most other major private-sector groups.
Internet Corporation for Assigning Names and Numbers (ICANN): A nonprofi t organization that sets the rules for creating and distributing domain names. Originally chartered by the U.S. government, it now operates on a multilateral basis from its headquarters in California.
Internet Criminal Complaint Center (IC3): The IC3 is a unit of the U.S. Department of Justice. It serves as a central collection point for complaints of criminal cyber activity and provides estimates of criminal effects.
Internet Engineering Task Force (IETF): A self-organized group of engineers who consider technical specifi cations for the Internet. The IETF sets voluntary standards for Internet engineering and identifies “best current practices.” Though the organization has no enforcement mechanism, IETF
standards are the default for all technical Internet requirements.
Internet protocol (IP) address: An IP address is the numeric address that identifies a website on the cyber network. Typically, it looks like this: 172.16.254.1. Using the IP address, information can be communicated from one server to another. One of the critical functions of the DNS is to translate
domain names (which appear in English) into numerical IP addresses.
Internet Systems Consortium (ISC): A nonprofi t 501(c)(3) corporation that produces open-source software to support the infrastructure of the Internet. Its work is intended to develop and maintain core production-quality software, protocols, and operations.
intrusion detection system: A computer security system that detects and reports when intrusions have occurred and a firewall has been breached.
keylogger: As the name implies, a keylogger program is one that records all the keystrokes entered on a keyboard (such as the letters and numbers in a password) and then reports those keystrokes to whoever installed the program.
letters rogatory: Formal letters of request for legal assistance from the government of one country to the courts of a foreign country. This is the mechanism by which mutual legal assistance treaties are implemented.
logic bomb: A program that tells a computer to execute a certain set of instructions at a particular signal (a date or a command from outside, for example). Like many bombs or mines, the logic bomb can remain unexploded and buried for quite some time.
malware: Short for “malicious software.” A general term describing any software program intended to do harm.
microblogs: Systems, such as Twitter, that allow blogging on the Internet but only on a “micro” scale. Twitter, for example, is limited to 140 characters per post.
mutual legal assistance treaty (MLAT): An agreement between nations to exchange information in support of investigations of violations of criminal or public law.
National Counterintelligence Executive (NCIX): Part of the Office of the Director of National Intelligence. The mission of the NCIX is the defensive
fl ip side of our own espionage efforts. It is charged with attempting to
prevent successful espionage against the United States by our adversaries.
peer-to-peer: Most Internet transmissions involve some routing by
intermediate servers that serve a controlling function. Peer-to-peer systems,
as the name implies, enable direct communications between two (or more)
endpoints without the need for intermediate routing and with no centralized
or privileged intermediary.
phishing: Phishing is a cyber tactic that involves dangling “bait” in front
of an unsuspecting user of the Internet. The bait may be an e-mail with an
attractive link to click on that takes the unwary user to a malicious site.
SCADA (supervisory control and data acquisition): SCADA systems
are used to control industrial processes, such as automobile manufacturing.
They can be, but are not necessarily, controlled by other computer operating
systems.
spear-phishing: A phishing attack that is targeted at a particular, specifi c
recipient; the name comes from the similarity of using a spear to catch a
particular fi sh.
Trojan horse: As the name implies, a computer program or message that, on
the outside, looks like an innocent piece of code. Contained within the code,
however, is a malicious piece of software.
United States Computer Emergency Readiness Team (US-CERT):
A component of the Department of Homeland Security. Its mission is to
serve as a central clearinghouse for information concerning cyber threats,
vulnerabilities, and attacks, collecting information from government and private-sector sources and then widely disseminating that information to all concerned actors.
virus: A piece of computer code that infects a program, much as a virus
infects a person, and replicates itself.
WikiLeaks: A website founded by Julian Assange. It accepts anonymous leaks of classifi ed, secret, and confi dential information and then posts the information in an effort to promote transparency. Controversial in operation, WikiLeaks’ most famous leak was of more than 250,000 classifi ed State
Department cables.
wiretapping: The interception of a message in transit by someone who is not the intended recipient. The term comes from the practice of attaching two clips to a copper telephone wire to intercept a phone call.
worm: A stand-alone program that replicates itself. It often hides by burrowing in and concealing itself amidst other program code, like a worm in dirt.
zero-day exploit: A vulnerability in a software program that has not previously been used or discovered. Because most vulnerabilities are quickly patched after they become known, zero-day exploits, which are not yet patched, are valuable to malicious actors. They leave systems open to
intrusions that will be successful on the “zeroth” day.
botnet: A network of computers controlled by an outside actor who can give those computers orders to act in a coordinated manner, much like orders to a group of robots.
Comprehensive National Cybersecurity Initiative (CNCI): The broad federal strategy for fostering cybersecurity in America. When first drafted in 2008, it was classifi ed. An unclassified version was publicly released in 2010.
Cyberspace Policy Review: In May 2009, one of the first actions of the Obama administration was the development and release of a broad-based cyberspace policy review. This review has guided federal strategy since then.
denial-of-service attack: An attack in which a malicious actor repeatedly sends thousands of connection requests to a website every second. The many malicious requests drown out the legitimate connection requests and prevent users from accessing the site.
distributed denial of service (DDoS): A DDoS attack is related to a denial-of-service attack, but in a DDoS attack, the attacker uses more than one computer (often hundreds of distributed slave computers in a botnet) to conduct the attack.
domain name system (DNS): The DNS is the naming convention system that identifies the names of various servers and websites on the Internet. In any web address, it is the portion of the address after http://www. One example would be microsoft.com.domain name system security extension (DNSSEC): A proposed suite of security add-on functionalities that would become part of the accepted Internet protocol. New security features will allow a user to confirm the origin authentication of DNS data, authenticate the denial or existence of a domain name, and ensure the data integrity of the DNS.
Einstein: Intrusion detection and prevention systems operated by the federal government, principally to protect federal networks against malicious intrusions of malware.
encryption: The act of concealing information by transforming it into a coded message.
firewalls: Computer security systems designed to prevent intrusions.
hacktivist: A combination of the words “hacker” and “activist.” The term denotes a hacker who purports to have a political or philosophical agenda and is not motivated by criminality.
Information Sharing and Analysis Center (ISAC): A cooperative institution chartered by the federal government that brings together sector-specifi c private-sector actors to share threat and vulnerability information.
There are ISACs for the financial sector, the chemical industry, the IT sector, and most other major private-sector groups.
Internet Corporation for Assigning Names and Numbers (ICANN): A nonprofi t organization that sets the rules for creating and distributing domain names. Originally chartered by the U.S. government, it now operates on a multilateral basis from its headquarters in California.
Internet Criminal Complaint Center (IC3): The IC3 is a unit of the U.S. Department of Justice. It serves as a central collection point for complaints of criminal cyber activity and provides estimates of criminal effects.
Internet Engineering Task Force (IETF): A self-organized group of engineers who consider technical specifi cations for the Internet. The IETF sets voluntary standards for Internet engineering and identifies “best current practices.” Though the organization has no enforcement mechanism, IETF
standards are the default for all technical Internet requirements.
Internet protocol (IP) address: An IP address is the numeric address that identifies a website on the cyber network. Typically, it looks like this: 172.16.254.1. Using the IP address, information can be communicated from one server to another. One of the critical functions of the DNS is to translate
domain names (which appear in English) into numerical IP addresses.
Internet Systems Consortium (ISC): A nonprofi t 501(c)(3) corporation that produces open-source software to support the infrastructure of the Internet. Its work is intended to develop and maintain core production-quality software, protocols, and operations.
intrusion detection system: A computer security system that detects and reports when intrusions have occurred and a firewall has been breached.
keylogger: As the name implies, a keylogger program is one that records all the keystrokes entered on a keyboard (such as the letters and numbers in a password) and then reports those keystrokes to whoever installed the program.
letters rogatory: Formal letters of request for legal assistance from the government of one country to the courts of a foreign country. This is the mechanism by which mutual legal assistance treaties are implemented.
logic bomb: A program that tells a computer to execute a certain set of instructions at a particular signal (a date or a command from outside, for example). Like many bombs or mines, the logic bomb can remain unexploded and buried for quite some time.
malware: Short for “malicious software.” A general term describing any software program intended to do harm.
microblogs: Systems, such as Twitter, that allow blogging on the Internet but only on a “micro” scale. Twitter, for example, is limited to 140 characters per post.
mutual legal assistance treaty (MLAT): An agreement between nations to exchange information in support of investigations of violations of criminal or public law.
National Counterintelligence Executive (NCIX): Part of the Office of the Director of National Intelligence. The mission of the NCIX is the defensive
fl ip side of our own espionage efforts. It is charged with attempting to
prevent successful espionage against the United States by our adversaries.
peer-to-peer: Most Internet transmissions involve some routing by
intermediate servers that serve a controlling function. Peer-to-peer systems,
as the name implies, enable direct communications between two (or more)
endpoints without the need for intermediate routing and with no centralized
or privileged intermediary.
phishing: Phishing is a cyber tactic that involves dangling “bait” in front
of an unsuspecting user of the Internet. The bait may be an e-mail with an
attractive link to click on that takes the unwary user to a malicious site.
SCADA (supervisory control and data acquisition): SCADA systems
are used to control industrial processes, such as automobile manufacturing.
They can be, but are not necessarily, controlled by other computer operating
systems.
spear-phishing: A phishing attack that is targeted at a particular, specifi c
recipient; the name comes from the similarity of using a spear to catch a
particular fi sh.
Trojan horse: As the name implies, a computer program or message that, on
the outside, looks like an innocent piece of code. Contained within the code,
however, is a malicious piece of software.
United States Computer Emergency Readiness Team (US-CERT):
A component of the Department of Homeland Security. Its mission is to
serve as a central clearinghouse for information concerning cyber threats,
vulnerabilities, and attacks, collecting information from government and private-sector sources and then widely disseminating that information to all concerned actors.
virus: A piece of computer code that infects a program, much as a virus
infects a person, and replicates itself.
WikiLeaks: A website founded by Julian Assange. It accepts anonymous leaks of classifi ed, secret, and confi dential information and then posts the information in an effort to promote transparency. Controversial in operation, WikiLeaks’ most famous leak was of more than 250,000 classifi ed State
Department cables.
wiretapping: The interception of a message in transit by someone who is not the intended recipient. The term comes from the practice of attaching two clips to a copper telephone wire to intercept a phone call.
worm: A stand-alone program that replicates itself. It often hides by burrowing in and concealing itself amidst other program code, like a worm in dirt.
zero-day exploit: A vulnerability in a software program that has not previously been used or discovered. Because most vulnerabilities are quickly patched after they become known, zero-day exploits, which are not yet patched, are valuable to malicious actors. They leave systems open to
intrusions that will be successful on the “zeroth” day.
Saturday, March 4, 2017
Clique aqui para matar todos
Com a Internet das Coisas, estamos construindo um robô de tamanho mundial. Como vamos controlá-lo?
No ano passado, em 21 de outubro, seu gravador de vídeo digital - ou pelo menos um DVR como o seu - derrubou o Twitter da internet. Alguém usou seu DVR, juntamente com milhões de webcams, roteadores e outros dispositivos conectados, para lançar um ataque que iniciou uma reação em cadeia, resultando em Twitter, Reddit, Netflix e muitos sites saindo da internet. Você provavelmente não percebeu que seu DVR tinha esse tipo de poder. Mas ele tem sim.
Todos os computadores são hackeáveis. Isso tem tanto a ver com o mercado de computadores como com as tecnologias. Nós preferimos nosso software cheio de recursos e barato, às custas de segurança e confiabilidade. Seu computador podendo afetar a segurança do Twitter é uma falha de mercado. A indústria está cheia de falhas de mercado que, até agora, têm sido amplamente ignoráveis. Como computadores continuam a permear nossas casas, carros, empresas, estas falhas de mercado não serão mais toleráveis. Nossa única solução será a regulamentação, e essa regulamentação será impingida a nós por um governo desesperado para "fazer algo" em face do desastre.
Neste artigo eu quero esboçar os problemas, tanto técnicos e políticos, e apontam para algumas soluções regulamentares. O regulamento pode ser uma palavra suja no clima político de hoje, mas a segurança é a exceção ao nosso governo ambíguo. E como as ameaças colocadas pelos computadores se tornam maiores e mais catastróficas, a regulamentação será inevitável. Então agora é a hora de começar a pensar nisso.
Também precisamos reverter a tendência de conectar tudo à internet. E se arriscarmos o dano e até mesmo a morte, precisamos pensar duas vezes sobre o que nos conectamos e o que deliberadamente deixamos sem conexão direta com computadores.
Se fizermos errado, a indústria de computadores vai se parecer com a indústria farmacêutica, ou a indústria aeronáutica. Mas se obtemos este direito, nós podemos manter o ambiente inovativo do Internet que nos deu tanto.
Não temos coisas com computadores incorporados nelas. Temos computadores com coisas ligadas a eles.
Seu refrigerador moderno é um computador que mantém as coisas frias. Seu forno, da mesma forma, é um computador que torna as coisas quentes. Um ATM é um computador com dinheiro dentro. Seu carro já não é um dispositivo mecânico com alguns computadores dentro; É um computador com quatro rodas e um motor. Na verdade, é um sistema distribuído de mais de 100 computadores com quatro rodas e um motor. E, claro, seus telefones tornaram-se computadores full-power em 2007, quando o iPhone foi introduzido.
Nós usamos computadores: rastreadores de fitness e dispositivos médicos habilitados para computador - e, claro, nós carregamos nossos smartphones em todos os lugares. Nossas casas têm termostatos inteligentes, aparelhos inteligentes, fechaduras de porta inteligentes, até mesmo lâmpadas inteligentes. No trabalho, muitos desses dispositivos inteligentes são conectados em rede com câmeras CCTV, sensores que detectam movimentos de clientes e tudo o mais. As cidades estão começando a incorporar sensores inteligentes em estradas, luzes de rua e praças de calçadas, também redes de energia inteligentes e redes de transporte inteligentes. Uma usina nuclear é realmente apenas um computador que produz eletricidade e, como tudo o que acabamos de listar, está na internet.
A internet não é mais uma web à qual nos conectamos. Em vez disso, é um mundo computadorizado, conectado em rede e interligado em que vivemos. Este é o futuro e o que estamos chamando de Internet das Coisas.
Em termos gerais, a Internet das Coisas tem três partes. Há os sensores que coletam dados sobre nós e nosso ambiente: termostatos inteligentes, sensores de rua e rodovia, e os smartphones onipresentes com seus sensores de movimento e receptores de localização GPS. Depois, há os "smarts" que descobrir o que os dados significa eo que fazer sobre isso. Isso inclui todos os processadores de computador nesses dispositivos e - cada vez mais - na nuvem, bem como a memória que armazena toda essa informação. E finalmente, existem os atuadores que afetam nosso ambiente. O ponto de um termostato inteligente não é para gravar a temperatura; É para controlar o forno eo ar condicionado. Os carros sem condutor recolhem dados sobre a estrada e o ambiente para orientarem-se em segurança para os seus destinos.
Você pode pensar nos sensores como os olhos e ouvidos da internet. Você pode pensar nos atuadores (The mechanism that moves the head assembly on a disk drive - O mecanismo que move a montagem da cabeça em uma unidade de disco) como as mãos e os pés da internet. E você pode pensar no material no meio como o cérebro. Estamos construindo uma internet que sente, pensa e age.
Esta é a definição clássica de um robô. Estamos construindo um robô de tamanho mundial, e nem sequer percebemos isso.
Com certeza, não é um robô no sentido clássico. Nós pensamos de robôs como entidades autônomas discretas, com sensores, cérebro e atuadores todos juntos em uma concha de metal. O robô de tamanho mundial é distribuído. Ele não tem um corpo singular, e partes dele são controladas de maneiras diferentes por pessoas diferentes. Ela não tem um cérebro central, e não tem nada nem remotamente assemelhando-se a uma consciência. Ele não tem um único objetivo ou foco. Não é mesmo algo que deliberadamente projetado. É algo que construímos, inadvertidamente, dos objetos cotidianos com que vivemos e tomamos por certo. É a extensão de nossos computadores e redes para o mundo real.
Este robô de tamanho mundial é realmente mais do que a Internet das Coisas. Trata-se de uma combinação de várias tendências computacionais de décadas de existência: computação móvel, computação em nuvem, computação permanente, enormes bancos de dados pessoais, Internet das Coisas - ou, mais precisamente, sistemas cibernéticos - autonomia e inteligência artificial. E, embora ainda não seja muito esperto, ficará mais inteligente. Vai ficar mais poderoso e mais capaz através de todas as interconexões que estamos construindo.
Também ficará muito mais perigoso.
Embora seja verdade que a segurança não fazia parte do design da Internet original, é algo que temos tentado alcançar desde o seu início.
Eu tenho trabalhado em segurança de computador por mais de 30 anos: primeiro em criptografia, em seguida, mais geralmente em segurança de computadores e redes, e agora em tecnologia de segurança geral. Tenho assistido computadores tornar-se onipresente, e ter visto em primeira mão os problemas - e soluções - de segurar estas máquinas e sistemas complexos. Estou dizendo tudo isso porque o que costumava ser uma área especializada de especialização agora afeta tudo. A segurança do computador é agora tudo segurança. No entanto, há uma diferença crítica: as ameaças se tornaram maiores.
Tradicionalmente, a segurança do computador é dividida em três categorias: confidencialidade, integridade e disponibilidade. Para a maior parte, nossas preocupações de segurança centraram-se principalmente na confidencialidade. Estamos preocupados com os nossos dados e quem tem acesso a ele - o mundo da privacidade e vigilância, de roubo de dados e uso indevido.
Mas as ameaças vêm em muitas formas. Ameaças de disponibilidade: vírus de computador que excluem nossos dados, ou ransomware que criptografa nossos dados e exige o pagamento para a chave de desbloqueio. Amenidades de integridade: os hackers que podem manipular entradas de dados podem fazer coisas que vão desde a mudança de notas em uma classe para alterar a quantidade de dinheiro em contas bancárias. Algumas dessas ameaças são muito ruins. Hospitais pagaram dezenas de milhares de dólares para criminosos cujo ransomware criptografou arquivos médicos críticos. JPMorgan Chase gasta meio bilhão em segurança cibernética por ano.
Hoje, as ameaças de integridade e disponibilidade são muito piores que as ameaças de confidencialidade. Uma vez que os computadores começam afetar o mundo de uma maneira direta e física, há riscos reais para a vida e propriedade. Há uma diferença fundamental entre travar seu computador e perder seus dados de planilha, e travar seu pacemaker e perder sua vida. Isso não é hipérbole; Recentemente pesquisadores encontraram sérias vulnerabilidades de segurança nos dispositivos cardíacos implantáveis St. Jude Medical. Dê a internet mãos e pés, e ele terá a capacidade de soco e chutar.
Dê um exemplo concreto: carros modernos, esses computadores sobre rodas. O volante não gira mais os eixos, nem o pedal do acelerador muda a velocidade. Cada movimento que você faz em um carro é processado por um computador, que faz o controle real. Um computador central controla o painel. Há outro no rádio. O motor tem cerca de 20 computadores. Todos estes estão interligados e cada vez mais autónomos.
Agora, vamos começar listando as ameaças de segurança. Não queremos que os sistemas de navegação automóvel sejam utilizados para a vigilância em massa, ou o microfone para espionagem em massa. Podemos querer que ele seja usado para determinar a localização de um carro no caso de uma chamada 911, e possivelmente para coletar informações sobre congestionamento rodoviário. Nós não queremos que as pessoas cortem seus próprios carros para contornar limitações de controle de emissões. Nós não queremos que fabricantes ou revendedores sejam capazes de fazer isso, também, como a Volkswagen fez por anos. Podemos imaginar querer dar à polícia a capacidade de remotamente e com segurança desativar um carro em movimento; Que faria de alta velocidade perseguições uma coisa do passado. Mas nós definitivamente não queremos que os hackers sejam capazes de fazer isso. Definitivamente não queremos que eles desativar os freios em cada carro sem aviso, à velocidade. À medida que fazemos a transição de carros controlados por motorista para carros com várias capacidades de assistência ao motorista para carros totalmente sem motorista, não queremos que nenhum desses componentes críticos seja subvertido. Nós não queremos que alguém possa acidentalmente acidente seu carro, muito menos fazê-lo de propósito. E igualmente, não queremos que eles sejam capazes de manipular o software de navegação para alterar sua rota, ou os controles de bloqueio da porta para impedir que você abra a porta. Eu poderia continuar. Ou os controles de trava da porta para impedir que você abra a porta. Eu poderia continuar. Ou os controles de trava da porta para impedir que você abra a porta. Eu poderia continuar.
Isso é um monte de requisitos de segurança diferentes, e os efeitos de obtê-los errado gama de vigilância ilegal para extorsão por ransomware morte em massa.
Nossos computadores e smartphones são tão seguros quanto são porque empresas como Microsoft, Apple e Google gastam muito tempo testando seu código antes de ser lançado e rapidamente corrigem vulnerabilidades quando são descobertas. Essas empresas podem apoiar grandes equipes dedicadas, porque essas empresas fazem uma enorme quantidade de dinheiro, direta ou indiretamente, de seu software - e, em parte, competem em sua segurança. Infelizmente, isso não é verdade para sistemas embarcados como gravadores de vídeo digital ou roteadores domésticos. Esses sistemas são vendidos em uma margem muito menor, e são muitas vezes construídos por terceiros offshore. As empresas envolvidas simplesmente não têm a experiência para torná-los seguros.
Em uma recente conferência de hackers, um pesquisador de segurança analisou 30 roteadores domésticos e conseguiu invadir metade deles, incluindo algumas das marcas mais populares e comuns. Os ataques de negação de serviço que forçaram sites populares como Reddit e Twitter na internet em outubro passado foram ativados por vulnerabilidades em dispositivos como webcams e gravadores de vídeo digital. Em agosto, dois pesquisadores de segurança demonstraram um ataque contra ransomware em um termostato inteligente.
Pior ainda, a maioria desses dispositivos não tem nenhuma maneira de ser corrigido. Empresas como a Microsoft e a Apple fornecem continuamente correções de segurança para seus computadores. Alguns roteadores home são tecnicamente patchable, mas em uma maneira complicada que somente um perito tentaria. E a única maneira de atualizar o firmware em seu DVR hackable é jogá-lo fora e comprar um novo.
O mercado não pode corrigir isso porque nem o comprador nem o vendedor se importa. Os proprietários das webcams e DVRs usados nos ataques de negação de serviço não se importam. Seus dispositivos eram baratos para comprar, eles ainda funcionam, e eles não conhecem nenhuma das vítimas dos ataques. Os vendedores desses dispositivos não se importam: eles agora estão vendendo modelos mais novos e melhores, e os compradores originais só se preocupavam com preço e recursos. Não há solução de mercado, porque a insegurança é o que os economistas chamam de externalidade: é um efeito da decisão de compra que afeta outras pessoas. Pense nisso como uma espécie de poluição invisível.
A segurança é uma corrida armamentista entre atacante e defensor. A tecnologia perturba a corrida armamentista, alterando o equilíbrio entre atacante e defensor. Compreender como esta corrida armamentista se desenvolveu na internet é essencial para entender por que o robô de tamanho mundial que estamos construindo é tão inseguro, e como poderemos protegê-lo. Para esse fim, eu tenho cinco obviedades, nascido do que já aprendemos sobre segurança de computadores e internet. Eles logo afetarão a corrida armamentista de segurança em todos os lugares.
Truísmo No. 1: Na internet, o ataque é mais fácil do que a defesa.
Existem muitas razões para isso, mas o mais importante é a complexidade desses sistemas. Mais complexidade significa mais pessoas envolvidas, mais partes, mais interações, mais erros no processo de design e desenvolvimento, mais de tudo onde inseguranças ocultas podem ser encontradas. Especialistas em segurança informática gostam de falar sobre a superfície de ataque de um sistema: todos os pontos possíveis que um atacante pode segmentar e que devem ser protegidos. Um sistema complexo significa uma grande superfície de ataque. O defensor tem de proteger toda a superfície de ataque. O atacante só tem de encontrar uma vulnerabilidade - uma avenida não segura para o ataque - e começa a escolher como e quando atacar. Simplesmente não é uma batalha justa.
Há outras razões, mais gerais, pelas quais o ataque é mais fácil do que a defesa. Os atacantes têm uma agilidade natural que os defensores muitas vezes não têm. Eles não precisam se preocupar com leis, e muitas vezes não sobre moral ou ética. Eles não têm uma burocracia para lidar com, e podem mais rapidamente fazer uso de inovações técnicas. Os atacantes também têm vantagem em primeiro lugar. Como uma sociedade, nós somos geralmente terríveis na segurança pró-ativa; Raramente tomamos medidas preventivas de segurança até que um ataque realmente aconteça. Assim, mais vantagens vão para o atacante.
Truísmo No. 2: A maioria de software mal escrito e inseguro.
Se a complexidade não é suficiente, agravamos o problema produzindo um software ruim. Software bem escrito, como o tipo encontrado na aviónica do avião, é caro e demorado para produzir. Nós não queremos isso. Para a maior parte, software mal escrito foi bom o suficiente. Nós todos preferimos viver com o software buggy do que pagar os preços que um bom software exigiria. Nós não nos importamos se nossos jogos travam regularmente, ou nossos aplicativos de negócios agem de vez em quando. Porque o software tem sido em grande parte benigno, não tem importância. Isso permeou a indústria em todos os níveis. Nas universidades, não ensinamos como codificar bem. As empresas não recompensam o código de qualidade da mesma forma que recompensam rápido e barato. E nós, os consumidores, não a exigimos.
Mas um software mal escrito está cheio de bugs, às vezes até um por 1000 linhas de código. Alguns deles são inerentes à complexidade do software, mas a maioria são erros de programação. Nem todos os bugs são vulnerabilidades, mas alguns são.
Truísmo No. 3: Conectando tudo a outro através do Internet exporão vulnerabilities novos.
Quanto mais as coisas em rede, mais vulnerabilidades em uma coisa afetará outras coisas. Em 21 de outubro, as vulnerabilidades em uma ampla variedade de dispositivos incorporados foram aproveitadas para criar o que os hackers chamam de botnet. Esta botnet foi usada para lançar um ataque de negação de serviço distribuído contra uma empresa chamada Dyn. A Dyn forneceu uma função de Internet crítica para muitos dos principais sites da internet. Assim, quando Dyn caiu, todos os sites populares.
Essas correntes de vulnerabilidades estão em toda parte. Em 2012, o jornalista Mat Honan sofreu um corte maciço pessoal por causa de um deles. Uma vulnerabilidade na sua conta da Amazon permitiu aos hackers entrar na sua conta Apple, o que lhes permitiu entrar na sua conta do Gmail. E em 2013, a Target Corporation foi cortada por alguém roubando credenciais de seu contratado HVAC.
Vulnerabilidades como essas são particularmente difíceis de corrigir, porque nenhum sistema pode realmente estar em falta. Pode ser a interação insegura de dois sistemas individualmente seguros.
Truísmo No. 4: Todo mundo tem que parar os melhores atacantes do mundo.
Uma das propriedades mais poderosas da internet é que ele permite que as coisas a escala. Isso é verdade para a nossa capacidade de acessar dados ou sistemas de controle ou fazer alguma das coisas legais que usamos a internet para, mas também é verdade para os ataques. Em geral, menos atacantes podem causar mais danos devido à melhor tecnologia. Não é apenas que esses atacantes modernos são mais eficientes, é que a internet permite que os ataques para escalar a um grau impossível sem computadores e redes.
Isso é fundamentalmente diferente do que estamos acostumados. Ao garantir a minha casa contra os assaltantes, estou apenas preocupado com os assaltantes que vivem perto o suficiente para a minha casa para considerar roubando-me. A internet é diferente. Quando penso na segurança da minha rede, tenho de me preocupar com o melhor atacante possível, porque ele é quem vai criar a ferramenta de ataque que todos os outros usarão. O atacante que descobriu a vulnerabilidade usada para atacar o Dyn lançou o código para o mundo, e dentro de uma semana havia uma dúzia de ferramentas de ataque usando-o.
Truísmo No. 5: As leis inibem a pesquisa de segurança.
A Lei de Direitos Autorais do Milênio Digital é uma lei terrível que falha em seu propósito de impedir a pirataria generalizada de filmes e música. Para piorar as coisas, contém uma disposição que tem efeitos colaterais críticos. De acordo com a lei, é um crime ignorar os mecanismos de segurança que protegem o trabalho protegido por direitos autorais, mesmo que esse desvio seja legal. Uma vez que todo o software pode ser protegido por direitos autorais, é indiscutivelmente ilegal fazer pesquisas de segurança sobre esses dispositivos e publicar o resultado.
Embora os contornos exatos da lei são discutíveis, muitas empresas estão usando esta disposição da DMCA para ameaçar os pesquisadores que expõem vulnerabilidades em seus sistemas embutidos. Isso infunde medo nos pesquisadores e tem um efeito assustador na pesquisa, o que significa duas coisas: (1) Os vendedores desses dispositivos são mais propensos a deixá-los inseguros, porque ninguém vai notar e eles não serão penalizados no mercado, E (2) os engenheiros de segurança não aprendem a fazer melhor a segurança.
Infelizmente, as empresas geralmente gostam da DMCA. As disposições contra a engenharia reversa poupar-lhes o embaraço de ter sua segurança de má qualidade exposta. Ele também permite que eles criem sistemas proprietários que bloqueiam a concorrência. Agora, sua torradeira não pode forçá-lo a comprar apenas uma determinada marca de pão, mas por causa desta lei e de um computador embutido, sua cafeteira Keurig pode forçar você a comprar uma determinada marca de café.
Em geral, existem dois paradigmas básicos de segurança. Nós podemos tentar garantir algo bem na primeira vez, ou podemos tornar nossa segurança ágil. O primeiro paradigma vem do mundo das coisas perigosas: dos planos, dispositivos médicos, edifícios. É o paradigma que nos dá design seguro e seguro de engenharia, testes de segurança e certificações, licenciamento profissional, pré-planejamento detalhado e aprovações complexas do governo e longos tempos de mercado. É segurança para um mundo onde obtê-lo direito é primordial porque ficar errado significa que as pessoas morrem.
O segundo paradigma vem do mundo em rápido movimento e até hoje amplamente benigno de software. Neste paradigma, temos prototipagem rápida, atualizações on-the-fly e melhoria contínua. Neste paradigma, novas vulnerabilidades são descobertas o tempo todo e desastres de segurança acontecem regularmente. Aqui, destacamos a capacidade de sobrevivência, a capacidade de recuperação, a mitigação, a adaptabilidade e a confusão. Esta é a segurança para um mundo onde ficar errado está bem, desde que você possa responder com rapidez suficiente.
Esses dois mundos estão colidindo. Eles estão colidindo em nossos carros - literalmente - em nossos dispositivos médicos, nossos sistemas de controle de construção, nossos sistemas de controle de tráfego e nossas máquinas de votação. E embora esses paradigmas sejam extremamente diferentes e amplamente incompatíveis, precisamos descobrir como fazê-los trabalhar juntos.
Até agora, não fizemos muito bem. Nós ainda confiamos em grande parte no primeiro paradigma para os computadores perigosos em carros, aviões e dispositivos médicos. Como resultado, existem sistemas médicos que não podem ter remendos de segurança instalados porque isso invalidaria a aprovação do governo. Em 2015, a Chrysler lembrou 1,4 milhão de carros para corrigir uma vulnerabilidade de software. Em setembro de 2016, Tesla remotamente enviou um patch de segurança para todos os seus modelos S carros durante a noite. Tesla certeza soa como ele está fazendo as coisas direito, mas que vulnerabilidades este recurso remendo remoto abre-se?
Até agora, em grande parte deixamos a segurança do computador para o mercado. Porque o computador e os produtos de rede que compramos e usamos são tão ruins, surgiu uma enorme indústria pós-mercado em segurança de computadores. Governos, empresas e pessoas compram a segurança de que precisam para se protegerem. Nós temos confundido bem, mas as falhas de mercado inerentes na tentativa de proteger este robô de tamanho mundial em breve se tornará muito grande para ser ignorado.
Mercados sozinhos não podem resolver nossos problemas de segurança. Os mercados são motivados pelo lucro e metas de curto prazo à custa da sociedade. Eles não podem resolver problemas de ação coletiva. Eles não serão capazes de lidar com externalidades econômicas, como as vulnerabilidades em DVRs que resultaram no Twitter ficar offline. E precisamos de uma força contrabalançadora para o poder corporativo.
Isso tudo aponta para a política. Embora os detalhes de qualquer sistema de segurança de computadores sejam técnicos, obter as tecnologias amplamente implantadas é um problema que abrange a lei, economia, psicologia e sociologia. E obter a política correta é tão importante quanto obter a tecnologia certa porque, para que a segurança da Internet funcione, a legislação ea tecnologia precisam trabalhar juntas. Esta é provavelmente a lição mais importante das revelações de NSA de Edward Snowden. Nós já sabíamos que a tecnologia pode subverter a lei. Snowden demonstrou que a lei também pode subverter a tecnologia. Ambos falham a menos que cada trabalho. Não basta deixar a tecnologia fazer a sua coisa.
Qualquer mudança de política para proteger este robô de tamanho mundial significará uma regulamentação governamental significativa. Eu sei que é um conceito manchado no mundo de hoje, mas eu não vejo nenhuma outra solução possível. Vai ser especialmente difícil na internet, onde a sua natureza sem permissão é uma das melhores coisas sobre ele e as bases de suas mais inovadoras mudanças no mundo. Mas eu não vejo como isso pode continuar quando a internet pode afetar o mundo de uma maneira direta e física.
Tenho uma proposta: uma nova agência reguladora do governo. Antes de descartá-lo de mão, por favor, ouça-me.
Temos um problema prático quando se trata de regulação da Internet. Não há estrutura governamental para enfrentar isso a nível sistêmico. Em vez disso, há uma incompatibilidade fundamental entre a forma como o governo funciona ea forma como esta tecnologia funciona o que torna o tratamento deste problema impossível no momento.
O governo opera em silos. Nos EUA, a FAA regula os aviões. A NHTSA regula carros. A FDA regula dispositivos médicos. A FCC regula os dispositivos de comunicação. A FTC protege os consumidores diante de práticas comerciais "injustas" ou "enganosas". Pior ainda, quem regula os dados pode depender de como ele é usado. Se os dados são usados para influenciar um eleitor, é a competência da Comissão Eleitoral Federal. Se esses mesmos dados são usados para influenciar um consumidor, são os FTC's. Use essas mesmas tecnologias em uma escola, eo Departamento de Educação está agora no comando. Robótica terá seu próprio conjunto de problemas, e ninguém tem certeza de como isso vai ser regulamentado. Cada agência tem uma abordagem diferente e regras diferentes. Eles não têm experiência nestas novas questões,
Compare isso com a internet. A Internet é um sistema freewheeling de objetos e redes integrados. Cresce horizontalmente, derrubando velhas barreiras tecnológicas para que as pessoas e os sistemas que nunca antes se comunicaram agora possam. Já, aplicativos em um smartphone podem registrar informações de saúde, controlar seu uso de energia e comunicar com seu carro. Esse é um conjunto de funções que atravessa jurisdições de pelo menos quatro agências governamentais diferentes, e só vai piorar.
Nosso robô de tamanho mundial precisa ser visto como uma única entidade com milhões de componentes interagindo uns com os outros. Qualquer solução aqui precisa ser holística. Eles precisam trabalhar em todos os lugares, para tudo. Se estamos falando de carros, drones, ou telefones, eles são todos os computadores.
Isso tem muitos precedentes. Muitas novas tecnologias levaram à formação de novas agências reguladoras governamentais. Os trens fizeram, os carros fizeram, os aviões fizeram. Rádio levou à formação da Comissão Federal de Rádio, que se tornou a FCC. A energia nuclear levou à formação da Comissão de Energia Atômica, que eventualmente se tornou o Departamento de Energia. As razões eram as mesmas em todos os casos. As novas tecnologias necessitam de novos conhecimentos porque trazem consigo novos desafios. Os governos precisam de uma única agência para abrigar essa nova experiência, porque suas aplicações atravessam várias agências preexistentes. É menos que a nova agência precisa regular - embora isso seja muitas vezes uma grande parte - e mais que os governos reconheçam a importância das novas tecnologias.
A internet tem evitado a regulamentação formal, em vez disso adotando um modelo multi-stakeholder de acadêmicos, empresas, governos e outras partes interessadas. Minha esperança é que possamos manter o melhor dessa abordagem em qualquer agência reguladora, olhando mais para o novo Serviço Digital dos EUA ou para o escritório 18F dentro da Administração de Serviços Gerais. Ambas as organizações se dedicam a fornecer serviços governamentais digitais, e ambas coletaram conhecimentos significativos, trazendo pessoas de fora do governo, e ambos aprenderam a trabalhar em estreita colaboração com as agências existentes. Qualquer agência reguladora da Internet também precisará se engajar em um alto nível de regulamentação de colaboração - tanto um desafio como uma oportunidade.
Eu não acho que qualquer um de nós pode prever a totalidade dos regulamentos que precisamos para garantir a segurança deste mundo, mas aqui estão alguns. Precisamos do governo para garantir que as empresas sigam boas práticas de segurança: testes, remendos, padrões seguros - e precisamos ser capazes de responsabilizar as empresas quando não conseguem fazer essas coisas. Precisamos que o governo ordene fortes proteções de dados pessoais e limitações na coleta e uso de dados. Precisamos garantir que a pesquisa de segurança responsável seja legal e bem financiada. Precisamos reforçar a transparência no design, algum tipo de escrow do código no caso de uma empresa sair do negócio e interoperabilidade entre dispositivos de diferentes fabricantes, para contrabalançar os efeitos monopolísticos das tecnologias interligadas. Os indivíduos precisam do direito de levar seus dados com eles.
Eu não sou o único a falar sobre isso. Eu vi propostas para um Instituto Nacional de Saúde análogo para a cibersegurança. Ryan Calo, professor de Direito da Universidade de Washington, propôs uma Comissão Federal de Robótica. Eu acho que precisa ser mais amplo: talvez um Departamento de Política Tecnológica.
Claro que haverá problemas. Há uma falta de especialização nestas questões dentro do governo. Há uma falta da vontade no governo para fazer o trabalho regulador duro. A indústria está preocupada com qualquer nova burocracia: tanto que vai sufocar a inovação por regulamentar demais e que será capturado pela indústria e regulamentar muito pouco. Uma agência reguladora doméstica terá que lidar com a natureza fundamentalmente internacional do problema.
Mas o governo é a entidade que usamos para resolver problemas como este. Os governos têm o escopo, escala e equilíbrio de interesses para resolver os problemas. É a instituição que construímos para adjudicar interesses sociais concorrentes e internalizar as externalidades do mercado. Deixados a seus próprios dispositivos, o mercado simplesmente não pode. Que estamos atualmente no meio de uma era de baixa confiança do governo, onde muitos de nós não podemos imaginar que o governo faça algo positivo em uma área como esta, é em nosso detrimento.
Aqui está a coisa: Governos vão se envolver, independentemente. Os riscos são muito grandes, e as apostas são muito altas. O governo já regula sistemas físicos perigosos como carros e dispositivos médicos. E nada motiva o governo dos EUA como o medo. Lembre-se de 2001? Um presidente republicano nominalmente pequeno governo criou o Escritório de Segurança Interna 11 dias após os ataques terroristas: uma decisão precipitada e mal-pensada que temos tentado consertar por mais de uma década. Um desastre fatal também estimulará o nosso governo a agir, e é improvável que seja uma ação bem pensada e ponderada. Nossa escolha não é entre o envolvimento do governo e nenhum envolvimento do governo. Nossa escolha é entre um envolvimento mais inteligente do governo e um envolvimento mais estúpido do governo. Temos de começar a pensar sobre isso agora. Os regulamentos são necessários, importantes e complexos; E eles estão vindo. Não podemos ignorar essas questões até que seja tarde demais.
Também precisamos iniciar a desconexão de sistemas. Se não podemos assegurar sistemas complexos ao nível exigido pelas suas capacidades do mundo real, então não devemos construir um mundo onde tudo seja computadorizado e interconectado.
Existem outros modelos. Só podemos ativar comunicações locais. Podemos estabelecer limites para os dados coletados e armazenados. Podemos deliberadamente projetar sistemas que não interoperam uns com os outros. Podemos deliberadamente bloquear dispositivos, inverter a tendência atual de transformar tudo em um computador de uso geral. E, o mais importante, podemos avançar em direção a menos centralização e sistemas mais distribuídos, que é como a Internet foi inicialmente previsto.
Isso pode ser uma heresia na corrida de hoje para tudo em rede, mas grandes sistemas centralizados não são inevitáveis. As elites técnicas estão nos empurrando nessa direção, mas eles realmente não têm argumentos de apoio além dos lucros de suas corporações multinacionais cada vez mais crescentes.
Mas isso vai mudar. Ele vai mudar não só por causa de preocupações de segurança, ele também vai mudar por causa de preocupações políticas. Estamos começando a se irritar sob a cosmovisão de tudo que produz dados sobre nós e o que fazemos, e que os dados estejam disponíveis para governos e corporações. O capitalismo de vigilância não será o modelo de negócio da internet para sempre. Precisamos mudar o tecido da internet para que os governos malignos não tenham as ferramentas para criar um horrível estado totalitário. E embora as boas leis e regulamentos nas democracias ocidentais sejam uma grande segunda linha de defesa, elas não podem ser nossa única linha de defesa.
Meu palpite é que em breve alcançaremos uma marca de alta margem de informatização e conectividade, e que depois tomaremos decisões conscientes sobre o que e como decidimos interconectar. Mas ainda estamos na fase de lua de mel da conectividade. Governos e corporações estão loucos por nossos dados, e a pressa de conectar tudo é impulsionada por um desejo ainda maior de poder e participação de mercado. Uma das apresentações lançadas por Edward Snowden continha o mantra da NSA: "Colecione tudo". Um mantra similar para a internet hoje pode ser: "Conecte tudo".
A reação inevitável não será impulsionada pelo mercado. Serão decisões políticas deliberadas que colocam a segurança e o bem-estar da sociedade acima das empresas e indústrias individuais. Serão decisões políticas deliberadas que priorizarão a segurança de nossos sistemas sobre as demandas do FBI para enfraquecê-los, a fim de facilitar seus trabalhos de aplicação da lei. Vai ser difícil política para muitos engolir, mas a nossa segurança vai depender dele.
Os cenários que eu esbocei, tanto as tendências tecnológicas e econômicas que estão causando-los e as mudanças políticas que precisamos fazer para começar a corrigi-los, vêm de meus anos de trabalho em tecnologia e política de segurança da Internet. Tudo isso é informado por um entendimento de tecnologia e política. Isso acaba por ser crítico, e não há pessoas suficientes que entendem ambos.
Isso me leva ao meu último apelo: Precisamos de mais tecnólogos de interesse público.
Ao longo das últimas duas décadas, vimos exemplos de como a política de segurança da Internet estava muito errada. Estou pensando no debate do FBI sobre a insistência de que dispositivos de computador sejam projetados para facilitar o acesso do governo, o "processo de equidade de vulnerabilidade" sobre quando o governo deveria divulgar e corrigir uma vulnerabilidade versus quando deveria usá-la para atacar outros Os sistemas, a debacle sobre as máquinas de votação sem tela touch-screen, eo DMCA que eu discuti acima. Se você assistiu a qualquer desses debates políticos, você viu decisores políticos e tecnólogos falando um do outro.
Nosso robô de tamanho mundial exacerbará esses problemas. A divisão histórica entre Washington e Silicon Valley - a desconfiança dos governos pelas empresas de tecnologia e a desconfiança das empresas de tecnologia pelos governos - é perigosa.
Temos de resolver isso. Conseguir a segurança da IOT depende dos dois lados trabalharem juntos e, ainda mais importante, ter pessoas que são especialistas em cada uma delas. Precisamos de tecnólogos para nos envolvermos em políticas e precisamos que os decisores políticos se envolvam na tecnologia. Precisamos de pessoas que sejam especialistas em fazer tecnologia e política tecnológica. Precisamos de tecnólogos nos quadros do Congresso, dentro de agências federais, trabalhando para ONGs e como parte da imprensa. Precisamos criar uma carreira viável para os tecnólogos de interesse público, assim como já há um para os advogados de interesse público. Precisamos de cursos e programas de graduação em faculdades, para pessoas interessadas em carreiras em tecnologia de interesse público. Precisamos de bolsas de estudo em organizações que precisam dessas pessoas. Precisamos de empresas de tecnologia para oferecer benefícios para tecnólogos que desejam seguir este caminho. Precisamos de um ecossistema inteiro que apoie as pessoas a superar a lacuna entre tecnologia e direito. Precisamos de uma carreira viável que assegure que, mesmo que as pessoas neste campo não fariam tanto quanto em um start-up de alta tecnologia, terão carreiras viáveis. A segurança de nosso futuro computadorizado e em rede - o que significa a segurança de nós mesmos, famílias, lares, empresas e comunidades - depende dela.
Este argumento é maior do que a segurança, na verdade. Quase todos os principais debates políticos deste século terão um grande componente tecnológico. Quer se trate de armas de destruição em massa, robôs afetando drasticamente o emprego, mudanças climáticas, segurança alimentar, ou a crescente ubiquidade de drones cada vez menor, a compreensão da política significa entender a tecnologia. Nossa sociedade precisa desesperadamente de tecnólogos trabalhando na política. A alternativa é má política.
O robô de tamanho mundial é menos concebido do que criado. Está vindo sem qualquer premeditação ou arquiteturas ou planejamento; A maioria de nós está completamente inconsciente do que estamos construindo. Na verdade, não estou convencido de que possamos realmente projetar qualquer um desses. Quando tentamos projetar sistemas sociotécnicos complexos como esse, ficamos regularmente surpresos com suas propriedades emergentes. O melhor que podemos fazer é observar e canalizar essas propriedades da melhor forma possível.
O pensamento de mercado às vezes nos faz perder de vista as escolhas humanas e a autonomia em jogo. Antes de sermos controlados - ou mortos - pelo robô de tamanho mundial, precisamos reconstruir a confiança em nossas instituições de governança coletiva. Direito e política pode não parecer tão legal como tecnologia digital, mas eles também são lugares de inovação crítica. Eles são onde nós coletivamente trazemos o mundo em que queremos viver.
Enquanto eu poderia soar como uma Cassandra, estou realmente otimista sobre o nosso futuro. Nossa sociedade tem abordado problemas maiores do que este. É preciso trabalho e não é fácil, mas acabamos encontrando nosso caminho livre para fazer as escolhas difíceis necessárias para resolver nossos problemas reais.
O robô de tamanho mundial que estamos construindo só pode ser gerenciado de forma responsável se começarmos a fazer escolhas reais sobre o mundo interconectado em que vivemos. Sim, precisamos de sistemas de segurança tão robustos quanto o cenário de ameaças. Mas também precisamos de leis que regulam eficazmente essas tecnologias perigosas. E, de forma mais geral, precisamos tomar decisões morais, éticas e políticas sobre como esses sistemas devem funcionar. Até agora, nós largamente deixamos a internet sozinhos. Demos aos programadores um direito especial de codificar o ciberespaço como eles achavam conveniente. Isso estava bem porque o ciberespaço era separado e relativamente sem importância: ou seja, não importava. Agora que isso mudou, não podemos mais dar aos programadores e às empresas que trabalham para esse poder. Essas decisões morais, éticas e políticas precisam, de alguma forma, ser feitas por todos. Precisamos vincular as pessoas com o mesmo zelo que estamos atualmente vinculando máquinas. "Conectar tudo" deve ser combatido com "conectar-nos a todos".
Categorias: Informática e Segurança da Informação
Wednesday, March 1, 2017
Curso Profissional sobre Wireshark
Comece sua primeira captura, use os recursos do Wireshark para entender os dados e analisar a comunicação em rede.
Este curso abrangerá o processo de realização da análise do protocolo. Isso servirá como uma base para uma série de diferentes profissões. A análise de protocolo é a técnica de aprofundar nossa visão sobre o que está acontecendo ou o que aconteceu em uma rede. Isso é usado por analistas de Centro de Operações de Segurança, bem como por pesquisadores forenses de rede.
Vamos pegar arquivos de captura estática que você está sendo fornecido nos recursos do curso e mostrar como analisá-los dentro da ferramenta Wireshark. Você vai aprender maneiras de identificar rapidamente qualquer coisa que seja anormal dentro de uma captura de pacotes de rede. Isto irá fornecer-lhe as habilidades iniciais para análise de intrusão, e também monitoramento de malware e monitoramento em geral.
-O curso prepara o aluno para a compreensão de análise de protocolo de rede
Após o término do curso você terá as habilidades iniciais para a segurança ou hacking - podendo avançar com a combinação de outras ferramentas a seu querer.
Público
- Qualquer pessoa que queira compreender a base das habilidades de segurança e tenha vontade de aprender a analisar o tráfego da rede, bem como potenciais intrusões, se beneficiará deste curso.
Subscribe to:
Posts (Atom)
.png)