Vírus cria janela com formato de iPad para roubar senha bancária

Vírus cria janela com formato de iPad para roubar senha bancária.

Praga brasileira tenta convencer usuário a fornecer dados.

Programa malicioso chega por e-mail.

O especialista citou o exemplo da Copa do Mundo, que virou tema de golpes em 2010. Outros temas de grande repercussão usados por criminosos brasileiros foram o caso do goleiro Bruno, a gripe suína e as eleições.

Leia Mais

Não roubamos, só queremos fazer barulho, diz hacker brasileiro

Na tarde da última quinta-feira, o site da Câmara dos Deputados saiu do ar e permaneceu offline durante pelo menos sete horas. A informação oficial é de que problemas técnicos derrubaram o site, mas o grupo de hackers Drwxr afirma que a página do governo saiu do ar em uma ação promovida por eles. Um dos integrantes do grupo conversou com o Terra e disse que a intenção era protestar contra a votação para o aumento de 61,8% do salário dos deputados.

Leia Mais

Hackers fazem empréstimos em nome de Lula

URUGUAIANA, Rio Grande do Sul – A invasão por hackers ao sistema de informática da Previdência Social resultou em empréstimos bancários consignados ilegais em nome do presidente Luiz Inácio Lula da Silva. As investigações pela Policia Federal de Brasília, iniciadas em 2007, apontaram que o delito aconteceu via internet, porém sem ser possível identificar o IP ( identidade do computador ) da máquina que provocou a fraude.

Leia Mais

Ativistas hackers defendem WikiLeaks

Um grupo de ativistas hackers chamado Anonymous atacou sites que atuaram  contra o WikiLeaks. Eles estão repetindo ataques similares aos que vem sendo direcionados ao site, cujo fundador, Julian Asange foi preso hoje acusado de estupro. Os alvos dos ativistas incluem o banco suíço PostFinance, que congelou as contas de Asange, e o PayPal, que parou de receber doações direcionadas ao WikiLeaks.

Leia Mais

Recomendações da OWASP

logo_owasp_orgA Open Web Application Security Project (OWASP) é uma entidade sem fins lucrativos e de reconhecimento internacional, que contribui para a melhoria da segurança de softwares aplicativos reunindo informações importantes que permitem avaliar riscos de segurança e combater formas de ataques através da internet.

Os estudos e documentos da OWASP são disponibilizadas para toda a comunidade internacional, e adotados como referência por entidades como U.S. Defense Information Systems Agency (DISA), U.S. Federal Trade Commission, várias empresas e organizações mundiais das áreas de Tecnologia, Auditoria e Segurança, e também pelo PCI Council.

O trabalho mais conhecido da OWASP é sua lista “The Top 10 Most Critical Web Application Security Risks”, que reúne os riscos de ataque mais críticos exploráveis a partir de vulnerabilidades nas aplicações web. Atualizada periodicamente, a versão original (em inglês) publicada em abril de 2010 por ordem de criticidade é a seguinte:

» A1: Injection Flaws

Injection flaws, such as SQL, OS, and LDAP injection, occur when untrusted data is sent to an interpreter as part of a command or query. The attacker’s hostile data can trick the interpreter into executing unintended commands or accessing unauthorized data

» A2: Cross Site Scripting (XSS)

XSS flaws occur whenever an application takes untrusted data and sends it to a web browser without proper validation and escaping. XSS allows attackers to execute scripts in the victim’s browser which can hijack user sessions, deface web sites, or redirect the user to malicious sites.

» A3: Broken Authentication and Session Management

Application functions related to authentication and session management are often not implemented correctly, allowing attackers to compromise passwords, keys, session tokens, or exploit other implementation flaws to assume other users’ identities.

» A4: Insecure Direct Object References

A direct object reference occurs when a developer exposes a reference to an internal implementation object, such as a file, directory, or database key. Without an access control check or other protection, attackers can manipulate these references to access unauthorized data.

» A5: Cross-Site Request Forgery (CSRF)

A CSRF attack forces a logged-on victim’s browser to send a forged HTTP request, including the victim’s session cookie and any other automatically included authentication information, to a vulnerable web application. This allows the attacker to force the victim’s browser to generate requests the vulnerable application thinks are legitimate requests from the victim.

» A6: Security Misconfiguration

Good security requires having a secure configuration defined and deployed for the application, frameworks, application server, web server, database server, and platform. All these settings should be defined, implemented, and maintained as many are not shipped with secure defaults. This includes keeping all software up to date, including all code libraries used by the application.

» A7: Insecure Cryptographic Storage

Many web applications do not properly protect sensitive data, such as credit cards, SSNs, and authentication credentials, with appropriate encryption or hashing. Attackers may steal or modify such weakly protected data to conduct identity theft, credit card fraud, or other crimes.

» A8: Failure to Restrict URL Access

Many web applications check URL access rights before rendering protected links and buttons. However, applications need to perform similar access control checks each time these pages are accessed, or attackers will be able to forge URLs to access these hidden pages anyway.

» A9: Insufficient Transport Layer Protection

Applications frequently fail to authenticate, encrypt, and protect the confidentiality and integrity of sensitive network traffic. When they do, they sometimes support weak algorithms, use expired or invalid certificates, or do not use them correctly.

» A10: Unvalidated Redirects and Forwards

Web applications frequently redirect and forward users to other pages and websites, and use untrusted data to determine the destination pages. Without proper validation, attackers can redirect victims to phishing or malware sites, or use forwards to access unauthorized pages.

End 

{accordionfaq faqid=accordion1 faqclass=”plus”}

A OWASP utiliza uma metodologia baseada na classificação do risco (Risk Rating Methodology) para priorizar sua lista Top 10, que é mantida atualizada periodicamente a partir de pesquisas e estatísticas sobre ataques identificados em todo o mundo.

Além de identificar os ataques de maior risco, a OWASP faz várias recomendações de segurança para que cada um daqueles ataques sejam evitados a partir das etapas do desenvolvimento das aplicações.

Para orientar o uso de critérios de segurança desde a codificação, a OWASP também recomenda adotar uma metodologia para modelagem de risco (Threat Risc Modeling) desde a fase de desenho da aplicação web, evitando assim desperdício de tempo, dinheiro, recursos e de controles inúteis, para que haja foco no mapeamento dos riscos reais já identificados.

O Sistema RedeSegura foi desenvolvido para testar e identificar vulnerabilidades nas aplicações web que representam risco de ataque em conformidade com a OWASP Top 10, além de outros padrões de segurança customizáveis. Para mais informações acesse o site oficial http://www.owasp.org, e saiba mais sobre o OWASP Top 10 Project.

Características Exclusivas N-Stalker

Estes são os recursos especiais que fazem do N-Stalker Web Application Security Scanner a melhor solução de mercado para avaliar a segurança de suas aplicações web:


» Dispositivos HTTP Fingerprinting & Server-side technology discoverer

Depender exclusivamente de “banner strings” não é uma opção confiável para se identificar servidores da web e tecnologias do lado do servidor.

A N-Stalker implementou uma tecnologia própria de identificação HTTP fingerprinting para descobrir plataformas de servidor da web e criar verificações de segurança eficazes.

» Mecanismo Automático de Prevenção de Falsos Positivos

O grande número de diferentes configurações entre plataformas de Servidores da Web terminou criando um ambiente no qual é difícil avaliar Aplicativos Web sem ficar suscetível a falsos positivos. A ferramenta N-Stalker aborda o problema sob uma diferente perspectiva, sendo capaz de criar suas próprias regras de filtragem de falsos positivos automaticamente, sem interferência manual. Utilizando um sistema próprio de indexação (“hashing”), mesmo páginas geradas dinamicamente podem ser inspecionadas para a geração automática de regras.

» Web Crawler orientado para componentes e Mecanismo de Escaneamento

Os Aplicativos da Web estão se tornando mais e mais complexos a cada dia. Proxies reversos podem obscurecer múltiplas plataformas e tecnologias por trás de uma simples URL. O Escaneador N-Stalker navegará através do Aplicativo da Web do usuário utilizando uma perspectiva orientada para componentes. Para cada componente encontrado disponível, a ferramenta N-Stalker explorará seu relacionamento dentro do aplicativo e o usará para criar verificações customizadas e mais eficazes.

» Análise de Segurança orientada para Conformidade com Legislação

A maioria das legislações vigentes em diferentes países requer que os Aplicativos da Web adotem determinadas ações para estejam em conformidade. O software N-Stalker fornece uma interface de configuração com políticas para configurar uma grande variedade de verificações de segurança, incluindo vazamento de informações e análise de informações acionadas por eventos (por exemplo: presença de notes de copyright, classificação de conteúdo, referência a políticas de privacidade em páginas de formulários na web).

» Escaneamento de Segurança em Aplicativo da Web acionado por política de escaneamento

O software N-Stalker Web Application Security Scanner funciona aplicando políticas de escaneamento em Aplicativos da Web alvos. Criando suas Políticas de Escaneamento para o usuário ele obterá resultados de escaneamento padronizados por um determinado período de tempo e proverá a utilização de metodologias de escaneamento em conformidade, tais como OWASP Top 10, PCI Compliance, SOX, Privacy Policy Acts, etc.

» Enhanced in-line HTTP Debugger

A interface do software N-Stalker Scanner fornece acesso interno ao Mecanismo de Spidering da Web, provendo a habilidade de depurar cada solicitação e mesmo modificar aspectos da própria solicitação antes que seja enviada ao Servidor da Web

» Registrador de Scripts de Navegação na Web Customizado

O usuário possui uma aplicação Web complexa que requer etapas de navegação customizadas para obter uma melhor experiência de escaneamento? O software N-Stalker fornece ao usuário uma interface de Navegador Web própria que permite ao usuário registrar scripts de navegação tais como procedimentos de preenchimento de dados de logon e formulários da Web. Este é um recurso importante para customizar o software N-Stalker Scanner para uma avaliação mais eficaz.

» Mecanismo de Escaneamento de Execução Múltipla para melhor desempenho

O N-Stalker Scanner software tem como base um mecanismo de execução múltipla que fornece uma experiência de escaneamento ampliada. Ao utilizar uma tecnologia própria que automaticamente escolhe o melhor tempo para aplicar o escaneamento de execução múltipla as verificações de segurança poderão ser conduzidas com segurança e mais rapidamente do que com os métodos tradicionais usados atualmente.

» O banco de dados mais completo do mercado, com 39.000 Assinaturas de Ataque Web

Ao herdar o mais completo banco de dados de assinaturas de ataques do mercado (“The N-Stealth Web Attack Database(TM)”), o software N-Stalker WAS inspecionará a infraestrutura contra mais de 39.000 assinaturas de diferentes tecnologias, partindo de pacotes de software de terceiros até fornecedores de servidores da web de renome no mercado.

» Solução Independente (não necessitando de banco de dados ou software de terceiros)

Nenhuma outra ferramenta de escaneamento é mais portátil e fácil de implementar do que o N-Stalker software. Não há necessidade de pacotes de software de terceiros e de banco de dados. Apenas é necessário que o usuário instale o N-Stalker Web Application Security Scanner em seu sistema operacional para iniciar sua experiência de escaneamento.

» Suporte para Esquemas de Autenticação Múltiplos

A solução N-Stalker suporta uma ampla variedade de esquemas de Autenticação na Web, incluindo solicitações de Formulários da Web, protocolo comum HTTP e autenticação certificada x.509.

» Compatibilidade CVE

Desde 2001 as Verificações de Segurança N-Stalker são compatíveis com os padrões CVE da Mitre Organization. As vulnerabilidades de segurança são exibidas com links CVE que permitem aos usuários obter referências externas como Suporte na avaliação de riscos e procedimentos de mitigação.

» Codificador de Solicitação de Evasão IDS

O software N-Stalker fornece um mecanismo de codificação HTTP que testará os sistemas de Detecção e Prevenção de Intrusões procurando vulnerabilidades de evasão. Isto é também útil para testes de penetração furtiva.

» Console Especial de Ataque para explorar vulnerabilidades

Quando uma vulnerabilidade for encontrada, o software N-Stalker provê acesso a um console de Ataques especial, onde o usuário poderá inspecionar solicitações e respostas brutas em diferentes vistas, do texto bruto à tabela hexadecimal. O ataque pode ser reproduzido em tempo real e o próprio usuário poderá ver a resposta.

» Geração de Relatórios Ampliada para comparação de escaneamento

A ferramenta N-Stalker fornece um mecanismo de criação de relatórios ampliado que dá ao usuário a habilidade de criar relatórios de análise de comparações e tendências de seus Aplicativos da Web, baseados em resultados de escaneamentos gerados em um determinado período de tempo.

» Formatos múltiplos de suporte aos Relatórios de Escaneamento (RTF, HTML, PDF)

Nosso mais recente mecanismo de relatórios de escaneamento é capaz de emitir Relatórios de Escaneamento completos utilizando três diferentes formatos, incluindo HTML, RTF e PDF. O software N-Stalker também fornece uma interface para configurar e distribuir de forma segura os relatórios em PDF do usuário, aplicando criptografia e dispositivos de controle de acesso.

End

{accordionfaq faqid=accordion1 faqclass=”plus”}

Todos estas características estão disponíveis também no Sistema RedeSegura, que utiliza o N-Stalker WAS como mecanismo (engine scan) para aplicar os testes de vulnerabilidades sobre aplicações web.