XML Firewall

Muito tem se falado sobre XML Firewall devido a abundância de aplicações na web utilizando webservice/xml, um trabalho publicado por Don Patterson no SANS Institute dá uma visão da solução : XML Firewall Architecture and Best Practices for Configuration and Auditing.



Para os desenvolvedores web eu recomendo fortemente os excelentes artigos, Charset e Encoding e XHTML Media Types escrito por Henrique C. Pereira do Revolução Etc e Entendendo um pouco mais sobre o protocolo HTTP escrito por Nando Vieira do Simples Idéias.

BCI x DRII

Calma, não é nenhuma comparação ou defesa de um time ou outro, sim, as vezes parece que os profissionais tem um time de futebol e não uma base de informações e estudos para desenvolver um plano de continuidade de negócios.

Estou afirmando isso pois, ultimamente tenho visto atitudes no mínimo questionáveis de players de mercado. Ontem levantavam a bandeira do DRII (Disaster Recovery Institute International) e por motivos puramente comerciais começam a levantar a bandeira do BCI (Business Continuity Institute).

Ok, escolhas são escolhas! E quando não se aplica escolhas?

O DRII e BCI são as duas principais escolas sobre continuidade de negócios e ambas tem a mesma filosofia e práticas, com um único objetivo que é garantir a continuidade. Continuidade no sentido amplo da palavra, pois, a ciência se aplica a tudo não apenas a negócios.

Nunca vamos saber se as atitudes são devido a incapacidade intelectual ou falta de ética, mas, cabe a profissionais neutros e que atuam deixar claro questões como essa: BCI é continuidade e DRI é Recuperação de Desastres!

Eu começo com uma simples pergunta: você conhece as dez práticas profissionais do DRI e o The BCI Guide?

Se o profissional que faz tal afirmação estudasse um pouco mais essas duas fontes ele iria encontrar essas informações:

Professional Practices - DRII

1 - Project Initiation and Management
2 - Risk Evaluation and Control
3 - Business Impact Analysis
4 - Developing Business Continuity Strategies
5 - Emergency Response and Operations
6 - Developing and Implementing Business Continuity Plans
7 - Awareness Programs and Training
8 - Maintaining and Exercising the Business Continuity Plans
9 - Crisis Communications
10 - Coordination with External Agencies

Qualquer profissional que tenha um pouco de boa vontade identificaria as práticas número 3 - Business Impact Analysis; Developing and Implemententing Business Continuity Plans; e Maintaining and Exercising the Business Continuity Plans. Essas três práticas só por seu enunciado já desmistificam tal afirmação feita por profissionais que desconhecem os institutos e a ciência continuidade de negócios.

Se não bastasse uma simples análise superficial ainda podemos identificar também nos enunciados do guide do BCI a sinergia entre os institutos.

Good Practices Guideline 2007 - BCI

1 - BCM Policy and Programme Management
2 - Understanding the organisation
3 - Determining BC Strategies
4 - Developing and Implementing a BCM Response
5 - Exercising, Maintenance and Review

O capítulo um do guide tem o mesmo propósito da primeira prática do DRI, que é basicamente definir um escopo para o desenvolvimento do plano e estabelecer um comitê de continuidade de negócios, além dos cuidados para implementação de um processo em uma organização.

O capítulo dois do guide tem o mesmo propósito das práticas 2 - Risk Evaluation and Control e 3 - Business Impact Analysis (aqui também temos sérios problemas de conceito, mas, isso fica para um outro post) do DRI, que é avaliar os riscos e identificar os principais processos de negócios que servirão como principal análise para a seleção de estratégia.

O Capítulo três do guide tem o mesmo propósito da prática 4 - Developing Business Continuity Strategies do DRI, que define que deve-se identificar e implementar soluções para atender os principais processos em situações adversas.

O Capítulo quatro do guide tem o mesmo propósito da prática 6 - Developing and Implementing Business Continuity Plans do DRI, que tem como objetivo implementar a cultura, processo de continuidade de negócios na organização.

O Capítulo cinco do guide tem o mesmo propósito da prática 8 - Maintaining and Exercising the Business Continuity Plans do DRI que tem como objetivo testar e exercitar o processo de continuidade e atualizar o plano mediante a novas demandas do negócio.

Bom, acho que consegui deixar as coisas mais claras por aqui. Sugiro que todos os interessados estudem as 10 práticas profissionais do DRI e o The BCI Guide para ter mais informações e não cometer gafes como essas.

BCI x DRII

Calma, não é nenhuma comparação ou defesa de um time ou outro, sim, as vezes parece que os profissionais tem um time de futebol e não uma base de informações e estudos para desenvolver um plano de continuidade de negócios.

Estou afirmando isso pois, ultimamente tenho visto atitudes no mínimo questionáveis de players de mercado. Ontem levantavam a bandeira do DRII (Disaster Recovery Institute International) e por motivos puramente comerciais começam a levantar a bandeira do BCI (Business Continuity Institute).

Ok, escolhas são escolhas! E quando não se aplica escolhas?

O DRII e BCI são as duas principais escolas sobre continuidade de negócios e ambas tem a mesma filosofia e práticas, com um único objetivo que é garantir a continuidade. Continuidade no sentido amplo da palavra, pois, a ciência se aplica a tudo não apenas a negócios.

Nunca vamos saber se as atitudes são devido a incapacidade intelectual ou falta de ética, mas, cabe a profissionais neutros e que atuam deixar claro questões como essa: BCI é continuidade e DRI é Recuperação de Desastres!

Eu começo com uma simples pergunta: você conhece as dez práticas profissionais do DRI e o The BCI Guide?

Se o profissional que faz tal afirmação estudasse um pouco mais essas duas fontes ele iria encontrar essas informações:

Professional Practices - DRII

1 - Project Initiation and Management
2 - Risk Evaluation and Control
3 - Business Impact Analysis
4 - Developing Business Continuity Strategies
5 - Emergency Response and Operations
6 - Developing and Implementing Business Continuity Plans
7 - Awareness Programs and Training
8 - Maintaining and Exercising the Business Continuity Plans
9 - Crisis Communications
10 - Coordination with External Agencies

Qualquer profissional que tenha um pouco de boa vontade identificaria as práticas número 3 - Business Impact Analysis; Developing and Implemententing Business Continuity Plans; e Maintaining and Exercising the Business Continuity Plans. Essas três práticas só por seu enunciado já desmistificam tal afirmação feita por profissionais que desconhecem os institutos e a ciência continuidade de negócios.

Se não bastasse uma simples análise superficial ainda podemos identificar também nos enunciados do guide do BCI a sinergia entre os institutos.

Good Practices Guideline 2007 - BCI

1 - BCM Policy and Programme Management
2 - Understanding the organisation
3 - Determining BC Strategies
4 - Developing and Implementing a BCM Response
5 - Exercising, Maintenance and Review

O capítulo um do guide tem o mesmo propósito da primeira prática do DRI, que é basicamente definir um escopo para o desenvolvimento do plano e estabelecer um comitê de continuidade de negócios, além dos cuidados para implementação de um processo em uma organização.

O capítulo dois do guide tem o mesmo propósito das práticas 2 - Risk Evaluation and Control e 3 - Business Impact Analysis (aqui também temos sérios problemas de conceito, mas, isso fica para um outro post) do DRI, que é avaliar os riscos e identificar os principais processos de negócios que servirão como principal análise para a seleção de estratégia.

O Capítulo três do guide tem o mesmo propósito da prática 4 - Developing Business Continuity Strategies do DRI, que define que deve-se identificar e implementar soluções para atender os principais processos em situações adversas.

O Capítulo quatro do guide tem o mesmo propósito da prática 6 - Developing and Implementing Business Continuity Plans do DRI, que tem como objetivo implementar a cultura, processo de continuidade de negócios na organização.

O Capítulo cinco do guide tem o mesmo propósito da prática 8 - Maintaining and Exercising the Business Continuity Plans do DRI que tem como objetivo testar e exercitar o processo de continuidade e atualizar o plano mediante a novas demandas do negócio.

Bom, acho que consegui deixar as coisas mais claras por aqui. Sugiro que todos os interessados estudem as 10 práticas profissionais do DRI e o The BCI Guide para ter mais informações e não cometer gafes como essas.

Cross-Site Request Forgery

Como havia comentado em um post anterior, uma das novidades do Top10 2007 do OWASP é o CSRF (Cross-Site Request Forgery) vulnerabilidade que tem o conhecido XSS (Cross-Site Scripting) como vetor.

O CGIsecurity.com explica CSRF

Fuzzing Test

Fuzzing test é uma técnica que consiste em submeter à aplicação a todo tipo de input de forma estruturada buscando pelas mais variadas vulnerabilidades causadas por inputs indevidos.

Apesar do grande número de ferramentas para realizar o teste de fuzzing, não lembro de ter visto nenhum desenvolvedor utilizar tal recurso. Felizmente tal teste é comum em fontes de informações relacionadas a segurança no desenvolvimento de aplicações.

Inicialmente eu associava a baixa utilização a dificuldade de encontrar ferramentas e conteúdo relacionado, mas, pesquisando melhor e acompanhando algumas listas de discussão eu encontrei inúmeras ferramentas open source e bons tutoriais.

Segue algumas referências:

• Uma análise do ciclo de vida do desenvolvimento da segurança na Microsoft

• The Art File Format Fuzzing

• Using Fuzzers in Software Testing

Cross-Site Request Forgery

Como havia comentado em um post anterior, uma das novidades do Top10 2007 do OWASP é o CSRF (Cross-Site Request Forgery) vulnerabilidade que tem o conhecido XSS (Cross-Site Scripting) como vetor.

O CGIsecurity.com explica CSRF

Fuzzing Test

Fuzzing test é uma técnica que consiste em submeter à aplicação a todo tipo de input de forma estruturada buscando pelas mais variadas vulnerabilidades causadas por inputs indevidos.

Apesar do grande número de ferramentas para realizar o teste de fuzzing, não lembro de ter visto nenhum desenvolvedor utilizar tal recurso. Felizmente tal teste é comum em fontes de informações relacionadas a segurança no desenvolvimento de aplicações.

Inicialmente eu associava a baixa utilização a dificuldade de encontrar ferramentas e conteúdo relacionado, mas, pesquisando melhor e acompanhando algumas listas de discussão eu encontrei inúmeras ferramentas open source e bons tutoriais.

Segue algumas referências:

• Uma análise do ciclo de vida do desenvolvimento da segurança na Microsoft

• The Art File Format Fuzzing

• Using Fuzzers in Software Testing

Google Information Leakage

Eu já comentei aqui no blog algumas vezes, os problemas com o "excesso" de informação publicada na internet.

• Google

• Imagens no Google

Pelo Jeito tem muita gente que ainda não percebeu os problemas, o site undergoogle postou uma notícia do digg sobre algumas pessoas que estão "publicando" números de licenças de software no google por um simples erro, deixar disponivel relatórios gerados pelo Belarc.

Talvez esse artigo ajude os desavisados!

Google Information Leakage

Eu já comentei aqui no blog algumas vezes, os problemas com o "excesso" de informação publicada na internet.

• Google

• Imagens no Google

Pelo Jeito tem muita gente que ainda não percebeu os problemas, o site undergoogle postou uma notícia do digg sobre algumas pessoas que estão "publicando" números de licenças de software no google por um simples erro, deixar disponivel relatórios gerados pelo Belarc.

Talvez esse artigo ajude os desavisados!

Business Continuity Plan, not Bullshit Compliance Plan

Algumas pessoas me perguntaram porque questionar tanto o profissionalismo e conteúdo disponibilizado em "terra brasilis" sobre BCP. Simples, para espetar e incentivar as pessoas a sairem da simples "rodinha de hamster" do BCI (Business Continuity Institute). A explicação para tantos profissionais utilizarem é uma só: o The BCI Guide descreve de forma simples os passos para a implementação de um processo de continuidade de negócios. Excelente documentação que recomendo a todos como ponto de partida.



Conhecer o The BCI Guide me torna um especialista em BCP? Não. Um especialista se faz do senso crítico e muito estudo e dedicação a vários temas que envolvem determinada ciência. Assim como The BCI Guide, qualquer outra fonte de informação como: 10 práticas profissionais; NIST 800-34; CISSP-CBK; e outras, deve servir como base para seu entendimento e implementação, não como características mandatórias e verdades absolutas.

O problema é tão sério que esses dias me deparei com uma notícia em português e na hora me perguntei: eu já li essa notícia! E realmente eu tiha razão (as vezes eu ainda tenho memória), a notícia havia saído no continuitycentral e os "autores" brasileiros haviam publicado a notícia sem a decência de divulgar a fonte. Sem contar os livros nacionais sobre o tema, não passam de um plano de projeto com MDM (Mesmo do Mesmo).

Me perdoe a sinceridade, mas, existem profissionais e profissionais, eu poderia citar vários nomes de profissionais competentes e que realmente buscam entender o tema, agora poderia também afirmar que 90% dos profissionais envolvidos com BCP não acrescentam nada ao tema e vivem de carteirada: "Já fiz mais de 20 projetos"; "Já escrevi um livro"; "Sou certificado"; "Trabalho com BCP a 20 anos".

Por isso eu, um jovem senhor de 27 anos, continuo estudando muito sobre o tema e questionando, críticando a postura de profissionais que não estudam, não compartilham conhecimento e trabalham para que o mercado seja refém de sua "expertise". Que por sinal foi adquirida a vários anos e está um pouco "enferrujada".

Um bom profissional se destaca pela sua competência, não por sua capacidade de esconder seus truques! Compartilhe conhecimento sempre, você tem muito a ganhar trocando experiências e informações. Com a maturidade você chegará a uma simples conclusão: quanto mais eu pesquiso e estudo, mais eu sei que nada sei.

BS 25999

Tem uma nova falácia no mercado que eu decidi que deveria escrever um post e não um dos tópicos do BCP FAQ. Simplesmente porque ela é um absurdo e mostra o despreparo de alguns profissionais sobre o tema.

Meu amigo e companheiro de trabalho há vários anos, Jeferson D'Addario, comentou que algumas pessoas o endagaram sobre a possibilidade do DRII (Disaster Recovery Institute International) perder sua "força".

Bom, aqui a coisa fica realmente feia, pois, estão comparando bananas com laranjas. O DRII não só vai permanecer da mesma forma, como vai ser muito melhor aproveitado. O DRII não possui nem mesmo uma metodologia, quem dirá uma norma. Ele possui uma base de conhecimento chamada de dez práticas profissionais, muito semelhante a iniciativa do PMI (Project Management Institute).

Uma norma como a BS 25999-1:2006 e muito em breve ISO 27006, só fortalece os propósitos do DRII, um instituto sem fins lucrativos que busca fomentar e capacitar profissionais do mundo todo sobre continuidade de negócios e gerenciamento de crises.

Business Continuity Plan, not Bullshit Compliance Plan

Algumas pessoas me perguntaram porque questionar tanto o profissionalismo e conteúdo disponibilizado em "terra brasilis" sobre BCP. Simples, para espetar e incentivar as pessoas a saírem da simples "rodinha de hamster" do BCI (Business Continuity Institute). A explicação para tantos profissionais utilizarem é uma só: o The BCI Guide descreve de forma simples os passos para a implementação de um processo de continuidade de negócios. Excelente documentação que recomendo a todos como ponto de partida.



Conhecer o The BCI Guide me torna um especialista em BCP? Não. Um especialista se faz do senso crítico e muito estudo e dedicação a vários temas que envolvem determinada ciência. Assim como The BCI Guide, qualquer outra fonte de informação como: 10 práticas profissionais; NIST 800-34; CISSP-CBK; e outras, deve servir como base para seu entendimento e implementação, não como características mandatórias e verdades absolutas.

O problema é tão sério que esses dias me deparei com uma notícia em português e na hora me perguntei: eu já li essa notícia! E realmente eu tinha razão (as vezes eu ainda tenho memória), a notícia havia saído no continuitycentral e os "autores" brasileiros haviam publicado a notícia sem a decência de divulgar a fonte. Sem contar os livros nacionais sobre o tema, não passam de um plano de projeto com MDM (Mesmo do Mesmo).

Me perdoem a sinceridade, mas, existem profissionais e profissionais, eu poderia citar vários nomes de profissionais competentes e que realmente buscam entender o tema, agora poderia também afirmar que 90% dos profissionais envolvidos com BCP não acrescentam nada ao tema e vivem de carteirada: "Já fiz mais de 20 projetos"; "Já escrevi um livro"; "Sou certificado"; "Trabalho com BCP a 20 anos".

Por isso eu, um jovem senhor de 27 anos, continuo estudando muito sobre o tema e questionando, criticando a postura de profissionais que não estudam, não compartilham conhecimento e trabalham para que o mercado seja refém de sua "expertise". Que por sinal foi adquirida a vários anos e está um pouco "enferrujada".

Um bom profissional se destaca pela sua competência, não por sua capacidade de esconder seus truques! Compartilhe conhecimento sempre, você tem muito a ganhar trocando experiências e informações. Com a maturidade você chegará a uma simples conclusão: quanto mais eu pesquiso e estudo, mais eu sei que nada sei.

BS 25999

Tem uma nova falácia no mercado que eu decidi que deveria escrever um post e não um dos tópicos do BCP FAQ. Simplesmente porque ela é um absurdo e mostra o despreparo de alguns profissionais sobre o tema.

Meu amigo e companheiro de trabalho há vários anos, Jeferson D'Addario, comentou que algumas pessoas o endagaram sobre a possibilidade do DRII (Disaster Recovery Institute International) perder sua "força".

Bom, aqui a coisa fica realmente feia, pois, estão comparando bananas com laranjas. O DRII não só vai permanecer da mesma forma, como vai ser muito melhor aproveitado. O DRII não possui nem mesmo uma metodologia, quem dirá uma norma. Ele possui uma base de conhecimento chamada de dez práticas profissionais, muito semelhante a iniciativa do PMI (Project Management Institute).

Uma norma como a BS 25999-1:2006 e muito em hoje ISO 15999, só fortalece os propósitos do DRII, um instituto sem fins lucrativos que busca fomentar e capacitar profissionais do mundo todo sobre continuidade de negócios e gerenciamento de crises.

wagnerelias.com

Estarei migrando todos os posts do http://wagnerelias.blogspot.com para o novo domínio: http://www.wagnerelias.com.

BCP FAQ 2

Como havia comentado na primeira versão desse FAQ, poderíamos escrever uma série de perguntas e respostas enorme com a quantidade de bobagem que é falado por aí. Como o feedback foi positivo e tenho umas pérolas que são a “última moda” no mercado, resolvi escrever a seqüência do FAQ.

1 - Realizar entrevista para coleta de informações sobre ativos é ultrapassado. As novas ferramentas possibilitam coletar automaticamente as informações.

Bom, se é um inventário de ativos que você precisa, as ferramentas já possibilitam isso há vários anos. Como BCP é Business Continuity Plan e não Bullshit Compliance Plan, não é um inventário de ativos que eu preciso. Uma entrevista com gestores dos ativos que suportam os processos serve para coletar informações que nenhuma ferramenta pode lhe oferecer de forma automatizada, Cenários de Falha; Tempo Estimado de Recuperação; Dependência de Ativos; Contratos de Níveis de Serviços; entre outras informações que são necessárias para desenvolver uma estratégia de recuperação que atenda a críticidade dos seus processos.

2 - Quero iniciar um trabalho de continuidade de negócios fazendo uma BIA de TI, você pode me atender?

Não. Impossível, uma BIA é uma Business Impact Analysis, ou seja, é uma análise quantitativa da críticidade dos processos de negócio. Qualquer análise realizada nos ativos que suportam os processos pode ser qualquer coisa, menos uma Business Impact Analysis. Essa talvez seja a maior bobagem que eu já ouvi durante o tempo que atuo em projetos de BCP, provavelmente é “vendida” pelos profissionais que utilizam a “metodologia” do DRI.

Se eu fosse o James Randi iria oferecer um milhão de dólares para qualquer um que mostrasse a eficácia de todas essas bobagens que estão virando padrão no mercado. Infelizmente em terra de cego quem tem olho é rei.

BCP FAQ 2

Como havia comentado na primeira versão desse FAQ, poderíamos escrever uma série de perguntas e respostas enorme com a quantidade de bobagem que é falado por aí. Como o feedback foi positivo e tenho umas pérolas que são a “última moda” no mercado, resolvi escrever a seqüência do FAQ.

1 - Realizar entrevista para coleta de informações sobre ativos é ultrapassado. As novas ferramentas possibilitam coletar automaticamente as informações.

Bom, se é um inventário de ativos que você precisa, as ferramentas já possibilitam isso há vários anos. Como BCP é Business Continuity Plan e não Bullshit Compliance Plan, não é um inventário de ativos que eu preciso. Uma entrevista com gestores dos ativos que suportam os processos serve para coletar informações que nenhuma ferramenta pode lhe oferecer de forma automatizada, Cenários de Falha; Tempo Estimado de Recuperação; Dependência de Ativos; Contratos de Níveis de Serviços; entre outras informações que são necessárias para desenvolver uma estratégia de recuperação que atenda a críticidade dos seus processos.

2 - Quero iniciar um trabalho de continuidade de negócios fazendo uma BIA de TI, você pode me atender?

Não. Impossível, uma BIA é uma Business Impact Analysis, ou seja, é uma análise quantitativa da críticidade dos processos de negócio. Qualquer análise realizada nos ativos que suportam os processos pode ser qualquer coisa, menos uma Business Impact Analysis. Essa talvez seja a maior bobagem que eu já ouvi durante o tempo que atuo em projetos de BCP, provavelmente é “vendida” pelos profissionais que utilizam a “metodologia” do DRI.

Se eu fosse o James Randi iria oferecer um milhão de dólares para qualquer um que mostrasse a eficácia de todas essas bobagens que estão virando padrão no mercado. Infelizmente em terra de cego quem tem olho é rei.

Security is not TI

Problemas antigos de segurança estão cada dia mais em evidência atualmente. Confira as notícias da semana:

Caso 1 - Vazamento de Informação na operação de venda da Ipiranga

"No mesmo dia em que Petrobras, Braskem e Ultra confirmaram a compra do Grupo Ipiranga por cerca de US$ 4 bilhões, cresceram os indícios de vazamento de informação durante as negociações."



Caso 2 - Aeroporto de "Cãogonhas"

"E esta: cachorro invade pista e interdita Congonhas por meia hora. Então é o aeroporto de CÃOgonhas! Só faltou o cachorro mijar na torre. Por isso que se chama zona aérea. Tá uma puta zona!

Passageiros rumo ao caos, dirijam-se ao aeroporto de Congonhas! E ANAC quer dizer: Aviões Não Aterrissam em Congonhas! E o problema é que o ministro se chama Pires. Pires não tem asa. Muda pra xícara, que xícara tem asa e voa! Waldir Xícara. Ministro da Defesa do Palmeiras. Rarará! Aliás, peguei a gripe Congonhas: aquela que te deixa no chão! Rarará!"



Como segurança ainda pode ser tratada pela área de TI?

As análises dos fatos segundo um profissional de TI:

Caso 1
Talvez se fosse proibido o acesso ao MSN e aos e-mails pessoais poderia ter sido evitado o vazamento das informações!

Caso 2
Se houvesse um controle de acesso ou uma pista de contingência o aeroporto não teria parado!

Isso são pequenos exemplos. E quando o cara se apresenta como "da área de TI" e diz: "Eu nunca vi ninguém analisar os ativos que suportam os processos em um uma análise de riscos" ou "Treinamento e conscientização não é controle".

Security is not TI

Problemas antigos de segurança estão cada dia mais em evidência atualmente. Confira as notícias da semana:

Caso 1 - Vazamento de Informação na operação de venda da Ipiranga

"No mesmo dia em que Petrobras, Braskem e Ultra confirmaram a compra do Grupo Ipiranga por cerca de US$ 4 bilhões, cresceram os indícios de vazamento de informação durante as negociações."



Caso 2 - Aeroporto de "Cãogonhas"

"E esta: cachorro invade pista e interdita Congonhas por meia hora. Então é o aeroporto de CÃOgonhas! Só faltou o cachorro mijar na torre. Por isso que se chama zona aérea. Tá uma puta zona!

Passageiros rumo ao caos, dirijam-se ao aeroporto de Congonhas! E ANAC quer dizer: Aviões Não Aterrissam em Congonhas! E o problema é que o ministro se chama Pires. Pires não tem asa. Muda pra xícara, que xícara tem asa e voa! Waldir Xícara. Ministro da Defesa do Palmeiras. Rarará! Aliás, peguei a gripe Congonhas: aquela que te deixa no chão! Rarará!"



Como segurança ainda pode ser tratada pela área de TI?

As análises dos fatos segundo um profissional de TI:

Caso 1
Talvez se fosse proibido o acesso ao MSN e aos e-mails pessoais poderia ter sido evitado o vazamento das informações!

Caso 2
Se houvesse um controle de acesso ou uma pista de contingência o aeroporto não teria parado!

Isso são pequenos exemplos. E quando o cara se apresenta como "da área de TI" e diz: "Eu nunca vi ninguém analisar os ativos que suportam os processos em um uma análise de riscos" ou "Treinamento e conscientização não é controle".

Firefox Hacking

FireCAT (Firefox Catalog of Auditing Toolbox) segundo o Security Database Team é um framework que mapeia extensões do firefox que podem ser utilizadas para auditoria ou testes de segurança.



O mind map classifica as extensões pelos seguintes temas:

• Security Auditing;
• Editors;
• Information Gathering;
• Network Utilities;
• Proxying/Web Utilities; e
• Misc.

FireCAT (Firefox Catalog of Auditing Toolbox)

Firefox Hacking

FireCAT (Firefox Catalog of Auditing Toolbox) segundo o Security Database Team é um framework que mapeia extensões do firefox que podem ser utilizadas para auditoria ou testes de segurança.



O mind map classifica as extensões pelos seguintes temas:

• Security Auditing;


• Editors;


• Information Gathering;


• Network Utilities;


• Proxying/Web Utilities; e


• Misc.

FireCAT (Firefox Catalog of Auditing Toolbox)