Hackers, as empresas investem nesses profissionais?

  1. [b]A procura por Hackers é algo normal para algumas consultorias ? No Brasil isso é pouco divulgado !!!

[/b]

Atualmente a expressão “hacker” pode designar desde um suporte de rede até um cracker maldito. É complicado… :roll:

Colocar no jornal “A procura de Hacker” é perigo de vir gente pra entrevista armado com fuzil. :twisted:

[quote=Jeanioz]Atualmente a expressão “hacker” pode designar desde um suporte de rede até um cracker maldito. É complicado… :roll:

Colocar no jornal “A procura de Hacker” é perigo de vir gente pra entrevista armado com fuzil. :twisted: [/quote]

:arrow: Mas o Campo para esse profissional, existe nas empresas ? Essa mão de obra como é investida nas empresas Privadas, ao menos tenho conhecimento que a Polícia Federal tem a Area de Crimes Cybernéticos, aos quais são os Hackers concursados para área de segurança da informação.

Existem algumas empresas especializadas em Segurança da Informação (na hora de você procurar um emprego, você não é um “hacker” e sim um “analista de segurança de informação”).
Uma delas, muito famosa, é a Modulo (no RJ). Volta e meia eles fazem umas competições para provar que “os hackers deles são os melhores” ou coisas do gênero.

Exatamente.

[quote=thingol]Existem algumas empresas especializadas em Segurança da Informação (na hora de você procurar um emprego, você não é um “hacker” e sim um “analista de segurança de informação”).
Uma delas, muito famosa, é a Modulo (no RJ). Volta e meia eles fazem umas competições para provar que “os hackers deles são os melhores” ou coisas do gênero.
[/quote]
Po, nem pode chamar o cara de Engenheiro de Segurança da Informação? :twisted:

Eu tenho um colega que trabalha na Modulo, eles fazem um trabalho bem interessante de segurança.

As vezes para testar a segurança de uma empresa, eles avisam apenas o dono e inventam algumas situações para tentar roubar informações e mostrar como a empresa está vulnerável. E, segundo o meu colega, sempre conseguem roubar alguma informação importante.

Normalmente essas empresas contratam Hackers ou Crackers, e não script kiddies.

Cuidado que em algumas empresas “Analistas de segurança de informação” é um eufemismo para “administrador de rede”, ou seja, aquele cara que fica para lá e para cá instalando pela N-ésima vez o MS Office.

O filme abaixo:

Hackers 2 - Takedown : Caçada Virtual , Mostra uma situação onde Kevin Mitnick,que consegui decifrar os códigos de acesso aos arquivos do FBI e se tornou um dos mais procurados da lista do FBI.Em tempos de hoje em dia, isso ainda se tem a mesma vulnerabilidade ? As coisas estão muito mais difíceis, ou isso foi ficção ?

  1. Estão mais difíceis sim.
  2. O que é mais provável é o contrário - é a NSA saber tudo sobre você. Dê uma busca por “Echelon” para você saber sobre o que estou falando.
    (Uma das alegações é que o Echelon permitiu que a licitação do Sivam - aquele sisteminha simplesinho para vigilância aérea da Amazônia, nada muito caro, só alguns bilhões de dólares - fosse ganha por uma empresa americana, porque todas as comunicações foram monitoradas sobre a concorrência.)

[quote=thingol]1) Estão mais difíceis sim.
2) O que é mais provável é o contrário - é a NSA saber tudo sobre você. Dê uma busca por “Echelon” para você saber sobre o que estou falando.
(Uma das alegações é que o Echelon permitiu que a licitação do Sivam - aquele sisteminha simplesinho para vigilância aérea da Amazônia, nada muito caro, só alguns bilhões de dólares - fosse ganha por uma empresa americana, porque todas as comunicações foram monitoradas sobre a concorrência.)
[/quote]

[size=18]E contra isso o que fazer ?[/size]

Engenharia social, dentro da área de segurança de sistemas computacionais, é um termo utilizado para qualificar os tipos de intrusão não técnica, que coloca ênfase na interação humana e, freqüentemente, envolve a habilidade de enganar pessoas objetivando violar procedimentos de segurança. Um aspecto relevante da engenharia social compreende a inaptidão dos indivíduos manterem-se atualizados com diversas questões pertinentes a tecnologia da informação, além de não estarem conscientes do valor da informação que eles possuem e, portanto, não terem preocupação em proteger essa informação.

É importante salientar que, independente do hardware, software e plataforma utilizada, o elemento mais vulnerável de qualquer sistema é o ser humano, o qual possui traços comportamentais e psicológicos que o torna susceptível a ataques de engenharia social.

Materia Completa, site: http://www.espacoacademico.com.br/043/43amsf.htm

Olá

As empresas não costumam contratar crackers. Além dos problemas de colocar um bandidinho dentro da empresa há outra explicação: não existe o tal conhecimento especial que somente garotos nerds dominam.

É claro que existem no mundo gente que descobre vulnerabilidades mas estes geralmente já estão empregados nos sites de segurança.

Há muita gente que conhece redes a fundo. Gente que além de conhecer muito, assinam todas as listas e sites de segurança mantendo-se assim atualizado com qualquer vulnerabilidade que surge em qualquer canto do mundo.

Quando alguém consegue abrir alguma informação que deveria estar fechada, na maioria das vezes o software que guarda a informação contém uma vulnerabilidade já descoberta por alguém mas ainda não sanada pelo administrador de redes do site.

É por isto que quem administra um site precisa estar sempre atualizado e principalmente manter sempre atualizadas as aplicações abertas na Internet, o que na prática não acontece.

Sempre recomendo usar as últimas versões do kernel do Linux, do Java, Apache, Tomcat, JBoss, MySQL, Ruby, Rails, etc. porque muitas vezes a atualização se deu justamente para fechar uma vulnerabilidade.

[]s
Luca

Ainda existem outros canais de informações que ultrapassam só Updates de softwares e atualização de segurança, e que cercam esse profissional , se é que podemos chamá-lo, o HACKER de profissional.

O termo hacker, hoje em dia está relacionado a um profissional altamente especializado, e não mais a “alguém” mal intencionado afim de “segredos” corporativos. Ainda há de fato profissionais que utilizam seus conhecimentos para obter alguma vantagem, porém, com o endurecimento da fiscalização e rastreamento de possiveis ataques, tem caído de forma bastante significativa os golpes virtuais.
:wink:

Olá

Sim, há outros canais e vou falar abaixo de alguns deles.

Não sei quantas listas de segurança você assina ou quais canais de IRC você freqüenta, mas repito que só se consegue abrir a segurança de sites não atualizados ou mal administrados.

Há gente que é paga para escarafunchar código fonte, testar softwares e tentar brechas em sites. Quando um deste profissionais pesquisadores descobrem uma brecha, logo anunciam nos sites de segurança. Se o administrador de rede não é um profissional atento, não precisa de um hacker com conhecimentos para normais. Qualquer IMBECIL consegue furar a segurança de um site desatualizado.

É exatamente assim que funciona um script kiddie. Estes scripts ficam varrendo milhares de sites no mundo verificando versões de software e tentando logar quais não estão atualizados para determinada vulnerabilidade. O script roda dia e noite e gera uma listagem que a partir dela o “hacker” atua.

Mesmo os defaces só são permitidos em sites que se deixam “defacear”. Muitos sites rodam programinhas que ficam contando o CRC das páginas e assim que encontram qualquer diferença, substituem as páginas pelo backup. Estes programinhas às vezes custam caro mas para fazer são bem simples.

Atualmente há boas defesas contra os rootkits (uma espécie de vírus para Unixes pois anexados a ferramentas permitiam rodá-las com privilégio de root)

SQL injection não se pode chamar de desleixo do administrador de redes, é burrice do programador e o site merece mesmo ser invadido.

CRRF (Cross Site Reference Forgery) ou XSS (Cross Site Scripting) ocorre quando alguém falsifica o link e a aplicação aceita. Na maioria das vezes é desleixo do programador mas pode ser também vulnerabilidade do framework. É preciso que o próprio programador teste para ver se ocorre. Atenção pessoal com Flash e com Rails

Há outros meios de se tentar invasões mas os administradores de rede, que não comeram merenda durante as aulas na faculdade, conhecem todos eles. Trabalhei com um administrador de rede que era apenas estagiário. Duvido que alguém invada um site administrado por ele. Ele antes tinha trabalhado em um provedor. Aprendeu muito comigo mas eu também aprendi muito com ele. Os provedores em geral tem ótimos administradores de redes.

Resumo final: site que consegue ser invadido, é site mal administrado. Um site bem administrado e atualizado, é a prova de qualquer invasor (a menos que ele seja realmente um gênio do tipo 1 em 10 milhões)

[]s
Luca

[size=18] Entendendo e Evitando a Engenharia Social: Protegendo Sistemas e Informações[/size]

O link abaixo, merece muita atenção !!!

http://www.espacoacademico.com.br/043/43amsf.htm

Qualquer computador exposto na internet corre o risco de ter suas informações roubadas, tanto sistemas como servidores (incluindo computadores pessoais).

As brechas de segurança dos softwares são o básico do básico pra quem está nesta área de segurança, a pessoa que realmente quer uma informação ela não vai se limitar a fazer scan de portas(contra alguns sistemas é como dar um tiro no pé), vai fazer pesquisa por sql injection, vai procurar blogs de funcionarios, orkut e outros meios de comunicação para conseguir uma senha valida no sistema/servidor/etc.

O profissional de segurança da informação não pode ser considerado um hacker e sim um especialista em segurança, um cracker é alguem com intenção de destruir e um hacker é alguem com conhecimento, vontade e muita paciencia para dominar um assunto. Lembrem-se que hacker não é algo exclusivo da internet, existem hackers de todos os tipos na area da computação.

:arrow: Esse profissional o Hacker (se assim podemos chamar), é um tremendo expert em saber lidar com a mente das pessoas, pois além de ter que usar uma gama de técnicas intrusivas, também precisa saber de usar de persuassão.

:shock: “Talvez agente faça isso todo os dias inconcientemente, uma maneira de sobrevivemos à vender nossas idéias”

Só lembrem de uma coisa… muita das vezes, o Hacker utiliza mais engenharia pessoal do que engenharia da computação… o próprio Kevin Mitnick cansou de falar que a maioria das suas invasões foram motivadas por erro pessoal, e não tecnico… como a classica da Nokia (se não me engano) onde ele colocou um disquete no banheiro, etc… sem contar na caçada implacavel do Tsutomu Shimomura!!!

Lembrando que, independente se ser bom ou não, o cara é um criminoso… e vangloriar criminosos não é uma coisa muito boa…

[quote=rodrigoallemand]Só lembrem de uma coisa… muita das vezes, o Hacker utiliza mais engenharia pessoal do que engenharia da computação… o próprio Kevin Mitnick cansou de falar que a maioria das suas invasões foram motivadas por erro pessoal, e não tecnico… como a classica da Nokia (se não me engano) onde ele colocou um disquete no banheiro, etc… sem contar na caçada implacavel do Tsutomu Shimomura!!!

Lembrando que, independente se ser bom ou não, o cara é um criminoso… e vangloriar criminosos não é uma coisa muito boa…[/quote]

Nem todo hacker é criminoso, existem diversos que criam soluções apenas para agradar a comunidade e seu proprio ego, vide emuladores, firmwares alterados, desbloqueio de celulares.

Imagina se todos fossem criminosos.