Psicologia da Segurança
Muito além do Anti-Vírus
Qual a Tecnologia de invasão mais perfeito ?
Códigos complexos feitos para invadir falhas difíceis de achar em Kernel do Sistema Operacional ?
Normalmente limitamos a pensar assim ! Para ter um sistema seguro para nossa empresa, basta estar atualizado com os ultimos patchs do sosftwares rodando, uma equipe copetente e vigilante. Infelismente isto não basta, a sensação de segurança que alguem pode ter com um investimento pesado em
tecnologia baseada em códigos eficientes e atuais, não resolve o problema de segurança de qualquer instituição.
Um firewall exigente no servidor, gerenciando todas as estações não significam nada, se os usuários não tem uma disciplina de comportamento na Web, por mais exigente e fechado que seja um firewall, pelo menos a porta 80 (porta de navegação em páginas) estará aberta para que todos possam navegar em páginas pelo menos, e isto já basta para um invasão, qualquer usuário pode contaminar sua estação através da porta 80, e depois este programa nocivo pode atacar e dominar o servidor.
A segurança está muito além de um anti-vírus atualizado e um firewall fechado, na verdade, mesmo que o firewall chegue a fehar todas as portas e não permitir acesso algum ao mundo externo, mesmo ssim a rede está vulnerável a ataques e dominio externo.
MAS COMO ELES ENTRAM ? A Engenharia social é uma das formas de de invadir um sistema sem utilizar complexos códigos programados, uma equipe com alto extress também torna a rede vulnerável; funcionários em guerra com a empresa por motivos diversos; um chefe arrogante; um patrão que se recusa aumentar o inestimento por não enchergar que a empresa cresceu; todos vulneráveis a ataques e domínio de um hacker e pessoas mal intencionadas, munidos de muita criatividade e muitas vezes nenhum conhecimento tecnológico.
A ILUSÃO DA SEGURANÇA TOTAL POR SOFTWARE, Existe uma falsa segurança, uma situação que uma empresa contrata um funcionárionovo, e o insere no ambiente de trabalho, mais especificamente na frente de um PC ligado a rede, e normalmente como a empresa tem o anti-virus mais poderoso e atualizado, o melhor firewall e um superprotetor de Máquina Cliente, não há nada que um usuário poderia fazer afinal com tanta proteção assim ! Será ? qualuquer um pode danificar todoum sistema de redes, se inserir um pendrive contaminado, que possuindo um programa que explora falha no sistema por Exploit, possa se reproduzir por toda a rede e no servidor, sem que ninguém saiba de onde ele partiu.
CADA USUÁRIO É UMA PORTA PARA INVASÃO E não somente as portas como 80(navegacao) 110(POP) 25(SMTP), 21(FTP), etc.. Cada usuário é uma porta de entrada, se cada porta tem um cuidado especial para não permitir uma invasão, entnao cada usuário da rede também precisa de um tratamento especial, considerando que cada usuário da rede pode colocar a rede toda em risco considerável, ele precisa ter treinamento periodico, para que não tome atitudes que coloquem a rede em risco sem que ele mesmo saiba oque está fazendo; O comportamento de Risco nem sempre é intencional, na maioria das vezes é disparado por Stress, Falta de Conhecimento, etc..
O COMPORTAMENTO SEGURO nos remete não só aos estudos de Skinner, Deming mas nos estudos de Kant, sobre tudo no conhecimeno a “Priori“, essencial para prever o conteúdo externo para possiblitar invasão pelo processo “Exploit“, “SQL Injection“. Um comportamento não seguro é um chamariz para invasão e destruição da establlidade de um sistema seguro, não só possibilitando o vazamento de senhas para o mundo exterior, como adoecimento de partes da rede que irão expandir para todo o sistema colocando em risco todos os computadores e servidores. Treinamento e Estudo baseado em Behaviorismo pode garantar uma segurança sólida e estável do sistema.
MATURIDADE DA CORAGEM é oque poderia definir uma hacker ! Para um adulto, invadir um sistema iseguro, mesmo que ele saiba e tenhoa poderes de faze-lo, pode soar como crime, normalmente um adulto não invade um sistema da mesma forma que não rouba uma carteira dando sopa num balcão; mas epa ! Alguém pode fazer isto ! Mas a maioria não faz, por padrão o ser humano é honesto, e só uma pequena parcela roubaria aquela carteira dando sopa num balcão de supermercado; da mesma forma um adulto não invade um sistema vulnerável, esta é uma tarefa para adolecentes, sedentos por auto-afirmação, e realização de seus sonhos de “Hacker”; Ser chamado de “Hacker” é algo que estimula os neurônios de quem esta entrando nos 15 anos, é um status que um adolencente procura, e invadir um sistema iseguro é algo que lhe confere prazer, na verdade ele não encara como um crime (como faria um adulto) , ele encara como um Jogo, nada mais, e é por isto que a maioria dos web-sites sobre hackers estão cheios de meninos loucos para auto-afirmação e “poder”.
Ferramentas ? Existe sim e muita, fabricada por aqueles que não ficam invadindo.
MAIS sobre o assunto:
- Pessoas são maior desafio a segurança da Informação nas Empresas
- At the psychological skill of Social Engineering
