-A Arte de Enganar Segurança da Informação-

Recado do Mitnick

Se um estranho lhe fizer um favor e depois pedir outro em troca, não faça nada sem

antes pensar cuidadosamente naquilo que ele está pedindo

- A Arte de Enganar Segurança da Informação-

A história de Janie Acton

O Ataque Direto: Simplesmente Pedindo

Janie Acton era atendente do serviço ao cliente da Hometown Electric Power, em Washington, D.C.,

há pouco mais de três anos. Ela era considerada como uma das melhores atendentes, inteligente e

conscienciosa.

Era a semana de Ação de Graças quando esta ligação foi recebida. O interlocutor disse: 

-A Arte de Enganar Segurança da Informação-

Recado do Mitnick 

O treinamento de segurança com relação à política da empresa criada para proteger o ativo de informações precisa ser aplicado a todos que trabalham na empresa, e não apenas ao empregado que tem acesso eletrônico ou físico ao ativo de TI da empresa.

-A Arte de Enganar Segurança da Informação-

Recado do Mitnick

Os trapaceiros de informações experientes não têm escrúpulos em ligar

para os governos
federal, estadual ou municipal para saber os procedimentos da aplicação das leis.
Com tais informações em mãos, o engenheiro social pode contornar as verificações de
segurança padrão da sua empresa.

-A Arte de Enganar Segurança da Informação-

Recado do Mitnick

É da natureza humana confiar em nossos colegas, particularmente quando a solicitação

passa no teste como sendo razoável. Os engenheiros sociais usam esse conhecimento

para explorar suas vitimas e atingir seus objetivos.

Kevin Mitnik

-A Arte de Enganar Segurança da Informação-

Como diz o ditado; até mesmo os verdadeiros paranoicos provavelmente têm inimigos. 


Devemos assumir que cada empresa também tem os seus — os atacantes que visam a infra-estrutura da rede para comprometer os segredos da empresa. 

Não acabe sendo uma estatística nos crimes de computadores; está mais do que na hora de armazenar as defesas necessárias implementando controles adequados por meio de políticas de segurança e procedimentos bem planejados. 

Os códigos contábeis dos grupos de trabalho e deparamentos, bem como as cópias do diretório corporativo (uma cópia impressa, um arquivo de dados ou uma lista eletrônica de telefones na intranet) são alvos freqüentes dos engenheiros sociais. 

Cada empresa precisa ter uma política escrita e bem divulgada sobre a revelação desse tipo de informação. 

As salvaguardas devem incluir a manutenção de um registro de auditoria que estabelece os casos em que as informações sigilosas são divulgadas para as pessoas de fora da empresa. 


 • Informações, tais como um número de empregado, por si só, não devem ser usadas como nenhum tipo de autenticação. 
Todo empregado deve ser treinado para verificar não apenas a identidade do solicitante, como também a necessidade que o requisitante tem de saber 

 • No seu treinamento de segurança, você deve pensar em ensinar essa abordagem aos funcionários: sempre que um estranho pedir um favor, saiba primeiro como negar educadamente até que a solicitação possa ser verificada. Em seguida, antes de ceder ao desejo natural de ser o Sr ou a Sra. Ajuda, siga as políticas e os procedimentos da empresa com relação a verificação e divulgação das informações não públicas. Esse estilo pode ir contra a nossa tendência natural de ajudar os outros, mas um pouco de paranóia saudável pode ser necessária para evitar ser a próxima vítima do engenheiro social. 

 Kevin Mitnik

-A Arte de Enganar Segurança da Informação-

Mitnick Recado do Capítulo 2 

Quando as Informações  São Inofensivas  teoricamente é  obtenção de informações aparentemente não sigilosas e o seu uso como uma ficha de pôquer para ganhar a confiança de curto prazo. 

Cada um dos empregados precisa ter consciência de que o falo de um interlocutor ter conhecimento dos procedimentos da empresa, da linguagem e dos identificadores internos não dá de maneira nenhuma a forma ou a autenticação para o solicitante, nem o autoriza a ter a necessidade de saber as informações. 

Um interlocutor pode ser um ex-empregado ou contratado com as informações internas requisitas. Da mesma forma, cada corporação tem a responsabilidade de determinar o método apropriado de autenticação a ser usado quando os empregados interagem com as pessoas que eles não conhecem pessoalmente ou pelo telefone. 

A pessoa ou as pessoas que têm o papel e a responsabilidade de criar uma política de classificação de dados devem examinar os tipos de detalhes que parecem inofensivos e podem ser usados para obter o acesso dos empregados legítimos, mas esses detalhes podem levar a informações sigilosas. 


Embora você nunca daria os códigos de acesso do seu cartão eletrônico, diria a alguém qual servidor você usa para desenvolver produtos de software para a empresa?


Essas informações poderiam ser usadas por uma pessoa que finge ser outra que tem acesso legítimo a rede corporativa? 


O simples conhecimento da terminologia interna pode fazer com que um engenheiro social pareça assumir autoridade e
conhecimento. 

O atacante quase sempre usa esse erro comum de conceito para fazer com que suas vítimas colaborem. 

Por exemplo, um ID de Comerciante é um identificador que as pessoas do departamento de Contas Novas de um banco usam todos os dias. 

Mas tal identificador é exatamente igual a uma senha. 

Se cada um dos empregados entender a natureza desse identificador — o qual é usado para autenticar positivamente um solicitante —, 

eles poderão tratá-lo com mais respeito. 

Nenhuma empresa — bem, pelo menos muito poucas — dá os números dos telefones diretos de seus CEOs ou diretores. 

A maioria das empresas, porém, não se preocupa em dar os números de telefones da maioria dos departamentos e grupos de trabalho da organização — particularmente para alguém que é ou parece ser um empregado. 

Uma medida de contra-ataque possível seria implementar uma política que proíbe a divulgação dos números internos de funcionários, contratados, consultores e temporários para as pessoas que não são da empresa. 

O mais importante é desenvolver um procedimento passo a passo para identificar positivamente se um interlocutor que está pedindo os números de telefone é de fato um empregado.

-A Arte de Enganar Segurança da Informação-

EVITANDO A TRAPAÇA

A sua empresa tem a responsabilidade de informar os empregados sobre como pode ocorrer um erro sério quando informações não públicas são tratadas da forma errada. 

Uma política de segurança

bem desenvolvida, combinada à educação e treinamento adequados, aumenta bastante a consciência do empregado sobre o tratamento correto das informações comerciais corporativas. Uma política de classificação de dados ajuda você a implementar os controles adequados para a divulgação das informações. 

Sem uma política de classificação de dados, todas as informações internas devem ser consideradas confidenciais, a menos que seja especificado o contrário.

Use estas etapas para proteger a sua empresa contra a divulgação de informações aparentemente inofensivas:

• O Departamento de Segurança das Informações precisa realizar o treinamento da conscientização, o qual detalha os métodos usados pelos engenheiros sociais.

- Kevin Mitnik -

Recado do Mitnick

- A Arte de Enganar Segurança da Informação -

A moral da história é: não dê nenhuma informação pessoal ou interna da empresa, nem identificadores para ninguém, a menos que a sua voz seja conhecida e o solicitante tenha necessidade de saber a informação. 

 Kevin Mitnik

- A Arte de Enganar Segurança da Informação -

Jargão

QUEIMAR A FONTE Diz-se que um atacante queimou a fonte quando ele permite que

uma vitima reconheça que ocorreu um ataque. 

Após a vítima tomar conhecimento e notificar

os outros empregados ou a direção sobre a tentativa, fica muito difícil explorar

a mesma fonte em ataques futuros.













Kevin Mitnik - Personalidades - História da Informatica-Frases Tilosofia:

- A Arte de Enganar Segurança da Informação -

 Kevin Mitnik - Personalidades - História da Informatica-

Como observou o consultor de segurança Bruce Schneier, "a segurança não é um produto, ela é
um processo". Além disso, a segurança não é um problema para a tecnologia — ela é um problema
para as pessoas e a direção.

Kevin Mitnik

Livros - A Arte de Enganar Segurança da Informação

Muitos profissionais da tecnologia da informação (TI) conservam a idéia errada de que tomaram suas empresas imunes ao ataque porque usaram produtos de segurança padrão — firewalls, sistemas de detecção de intrusos (Intrusion Detection Systems) ou dispositivos avançados de autenticação, tais como tokens baseados no tempo ou cartões biométricos inteligentes. Todos que acham que os produtos de segurança sozinhos oferecem a verdadeira segurança estão fadados a sofrer da ilusão da segurança, Esse é o caso de viver em um mundo de fantasia: mais cedo ou mais tarde eles serão vítimas de um incidente de segurança. Kevin Mitnik

A Arte de Enganar Segurança da Informação

O cientista mais respeitado do mundo 

no século XX, 

Albert Einstein, disse: "Apenas duas 

coisas são infinitas: o universo 

e a estupidez humana, e eu não

tenho certeza se isso é verdadeiro sobre o primeiro".

Trecho descrito no livro a  Arte de Enganar.

Kevin Mitnik 

O Elo Mais Fraco da Segurança

Uma empresa pode ter adquirido as melhores tecnologias de segurança que o dinheiro pode comprar,

pode ter treinado seu pessoal tão bem que eles trancam todos os segredos antes de ir embora

e pode ter contratado guardas para o prédio na melhor empresa de segurança que existe.

Mesmo assim essa empresa ainda estará vulnerável.

Os indivíduos podem seguir cada uma das melhores práticas de segurança recomendadas pelos

especialistas, podem instalar cada produto de segurança recomendado e vigiar muito bem a configuração

adequada do sistema e a aplicação das correções de segurança.

Esses indivíduos ainda estarão completamente vulneráveis.

Por quê? Porque o fator humano é o elo mais fraco da segurança.

Kevin Mitnik

Livros - A Arte de Enganar

Segurança da Informação

Naquela época usávamos o termo hacker para descrever uma pessoa que passava grande parte do tempo mexendo com hardware e software, seja para o desenvolvimento de programas mais eficientes, seja para eliminar etapas desnecessárias e fazer um trabalho mais rapidamente. 

O termo agora se tornou pejorativo com o significado de "criminoso malicioso". 

Uso o termo como sempre o usei seu sentido mais antigo e benigno.

Kevin Mitnik

Livros - A Arte de Enganar Segurança da Informação

Alguns hackers destroem os arquivos ou unidades de disco inteiras das pessoas. Eles são chamados de Crackers ou vândalos. 

Alguns hackers novatos não se preocupam em aprender a tecnologia; eles apenas querem baixar as ferramentas dos hackers para entrar nos sistemas de computadores, Esses são chamados de script kiddies. 


Os hackers mais experientes, com habilidades em programação, desenvolvem programas para hackers e os postam na Web e nos sistemas de bulletin board. 


Em seguida, temos os indivíduos que não têm nenhum interesse em tecnologia,

mas que usam o computador apenas como uma 

ferramenta que os ajuda a roubar dinheiro, bens ou serviços.

Kevin Mitnik

TILOSOFIA Frases:

------------------------------------------------
TILOSOFIA Frases:  De pessoas que não conheço

“O problema não é se as máquinas pensam, mas se os homens fazem.”
B.F. Skinner, autor e psicólogo, no livro Contingencies of  Reinforcement, de 1969.

Nota:__________________________________________________________
É importante lembrar que nem sempre é possível atestar a
veracidade de certas afirmações.

A Arte de Enganar

Prefácio escrito por  Steve Wozniak do livro A Arte de Enganar Escrito por Kevin Mitnick

Nós nascemos com um impulso interno de explorar a natureza daquilo que nos cerca. Como

todos os jovens, Kevin Mitnick e eu éramos muito curiosos sobre o mundo e ansiosos para

testar a nós mesmos. Quase sempre fomos recompensados pelas nossas tentativas de aprender

coisas novas, solucionar quebra-cabeças e ganhar jogos. 

Mas ao mesmo tempo, o mundo ao nosso redor nos ensinou regras de comportamento que restringiam nossa necessidade de exploração livre.

Para os nossos ousados cientistas e empreendedores tecnológicos, bem como para pessoas como Kevin Mitnick, seguir essa vontade traz as maiores emoções e permite que realizemos coisas que os

outros acreditam que não podem ser feitas.

Kevin Mitnick é uma das melhores pessoas que conheço. Pergunte e ele responderá de forma direta que aquilo que ele fazia — a engenharia social — era trapacear as pessoas. Mas Kevin não é mais um engenheiro social. 

E mesmo quando o era, o seu motivo nunca foi enriquecer ou causar danos às outras pessoas. Isso não quer dizer que não existam criminosos perigosos e destrutivos que usam a engenharia social para causar danos reais. Na verdade, foi exatamente por esse motivo que Kevin escreveu este livro — para avisá-los sobre eles.

Este livro mostra como somos vulneráveis — o governo, as empresas e cada um de nós — às invasões do engenheiro social. Nessa era de conscientização sobre a segurança, gastamos somas imensas em tecnologia para proteger nossas redes de computadores e nossos dados. 

Este livro mostra como é fácil enganar quem trabalha nessas áreas e burlar toda essa proteção tecnológica.

Trabalhando em empresas ou no governo, forneço aqui um mapa para ajudá-lo a entender como

os engenheiros sociais trabalham e o que você pode fazer para frustrá-los. Usando histórias fictícias

que são divertidas e elucidativas, 

Kevin e Bill Simon dão vida a técnicas do submundo da engenharia

social. Após cada uma das histórias, há orientações práticas que o ajudam a se proteger contra as

invasões e ameaças descritas.

A segurança tecnológica deixa grandes lacunas que pessoas como Kevin podem nos ajudar a

fechar. Leia este livro e você finalmente perceberá que todos nós precisamos recorrer aos Mitnicks

que há entre nós para obter orientação.

— Steve Wozniak