terça-feira, 31 de agosto de 2010

Será que isso é um recado?

Já tem pouco mais de um ano que resolvi voltar a fazer atividades físicas diárias. Devo ter passado uns 06 anos praticando o nadismo sem saber que o nadismo existia.

Bom, a primeira coisa que eu fiz foi comprar um cachorro. Desde então caminho 4 km por dia (2 pela manhã e 2 quando chego do trabalho).

Logo nos primeiros dias decidi que poderia complementar as caminhadas com exercícios na academia do condomínio. Chegando lá, todo equipado com tenis, meias, um calção estilo e uma camisa "mamãe sou malhador", bommmm!!! faltou energia. Além da academia ficar no escuro as máquinas não funcionam.


Como nunca gostei de idéia de levantar peso numa academia ou andar em esteiras e bicicletas sem sair do lugar, abandonei a idéia da academia.

De lá pra cá comecei a jogar volei e tenis. O volei tem uma turma legal, mas nem sempre vão todos. Já o tenis é muito legal, mas como a quadra não é coberta, no inverno fica complicado.

Na 6a passada, antevéspera de completar 35 anos, pensei em reativar o projeto academia. Combinei com minha esposa que na 2a estariamos na academia as 20:00 hs para malhar (mesmo no estilo hamster) e assistir o Jornal Nacional. Assistir TV é uma condição básica, já que vou ficar andando numa esteira sem sair do lugar durante 40 minutos.

Até aí tudo bem, lá fomos nós com a vestimenta quase ideal (dessa vez não fui com a camisa mamãe sou malhador), entro na sala ascendo as luzes e quando ligo a TV Bommmmmmmmmm! Apaga tudo. Dessa vez a culpa não foi da Celpe. Foi um curto ou qualquer coisa parecida que disparou o disjuntor.

Sai da academia pensando que isso pode ser um recado. Só não sei se ele diz para ficar com o tenis e o volei ou se para praticar o nadismo.

Blz pessoal, fico por aqui.

t+
saúde e paz

http://twitter.com/rodbramos

segunda-feira, 30 de agosto de 2010

Atrás de todo grande Sistema existe um grande Administrador

Lembro quando em 2001/2002 havia um grande debate sobre a segurança do sistema operacional.

Lembro que nas estatísticas de sites que divulgavam as pichações de sites, os sistemas operacionas da Microsoft estavam sempre em primeiro lugar.

Algumas pessoas afirmavam que este fato mostrava como os Windows eram inseguros. Esse argumento juntamente com as estatísticas dos sites devem ter convecido muita gente.

Nesse contexto, se deixarmos os códigos dos kernels dos sistemas operacionais de lado, suas interfaces, entre outras coisas, o que diferencia a segurança dos sistemas é o processo para instalação, configuração e administração.

Ao navegar nas informações atuais sobre as pichações disponíveis no site da Zone-H, você verá que muitos dos sites pichados estavam rodando em servidores Linux.

Mais uma vez voltamos para o mesmo pensamento "Não adianta investir no melhor sistema do mundo, sem investir nas pessoas que vão colocá-lo para funcionar e mantê-lo funcionando".

O sistema é apenas parte da solução de um problema. Sem uma boa adminsitração, o sistema passa a ser parte de um problema ou um novo problema.

Imagino quantos sistemas são rotulados como ruins somente porque não cairam nas mãos de um bom administrador.

Também não vamos acreditar que os administradores são mágicos e que conseguem tornar sistemas ruins em excelentes sistemas.

Fazendo uma analogia entre o Administrador de Sistemas e o Técnico de Futebol.....Por melhor que seja o técnico, ele não vai tirar o Santa Cruz da 4a divisão do campeontao Brasileiro de futebol com aquela equipe. Pobres dos meus amigos torcedores do Santinha. Bom, deixa isso pra lá.


Fico por aqui!

Mandem suas dúvidas e sugestões para rodrigo.ramos@triforsec.com.br

http://twitter.com/rodbramos

t+
saúde e paz

Sistemas das instituições financeiras

Muitas empresas realizam várias operações financeiras pela Internet.

O detalhe é que nem todos os sistemas oferecidos pelas instituições são seguros como poderiam ser.

Durante uma análise da segurança interna, que estamos realizando em um cliente, foi possível identificar em uma transação, o nome da instituição financeira, a agênica, a conta e a senha.

Fique de olhos abertos na segurança dos sistemas utilizados na sua empresa. Se for o caso chame o fornecedor para discutir o assunto.

Tô imaginando o estado do cliente quando receber o relatório com esse tipo de informação.

A frase a seguir não é minha, mas cai bem nessa situação. "Um falso senso de segurança é pior que insegurança".



Mande suas dúvidas e sugestões para rodrigo.ramos@triforsec.com.br

Fico por aqui.

t+
saúde e paz

http://twitter.com/rodbramos

quinta-feira, 26 de agosto de 2010

Continuando a reflexão

Qual é o índice de disponibilidade do servidor de arquivos na empresa?
Por que ele as vezes fica fora do ar?
Será que é sempre pelo mesmo motivo?


Qual é o índice de disponibilidade do servidor de banco de dados na empresa nos últimos dois anos? Quais os motivos de suas paradas?

Por que a "Internet cai" lá na empresa?
Será que é sempre pelo mesmo motivo?
Dessas tantas quedas quais foram culpa da operadora?

Será que os problemas que ocorrem nos servidores da empresa estão relacionados ao gerenciamento, hardware, sistema operacional ou aos serviços e aplicações?

Bom, para ter todas essas respostas e muitas outras informações referentes a disponibilidade de uma forma geral, você precisa ter no seu time pessoas que saibam impĺementar e gerenciar as ferramentas corretas.

Hoje em dia é extremamente importante conhecer todos os índices de disponibilidade dos serviços providos pela TI aos seus clientes (investidores, sócios, funcionários, parceiros, ...). Logicamente estes índices precisam fazer parte de relatóriso que apontam as causas da indisponibilidade.

Enviem suas dúvidas e sugestões para rodrigo.ramos@triforsec.com.br


http://twitter.com/rodbramos



t+
saúde e paz

quarta-feira, 25 de agosto de 2010

Algumas perguntas para reflexão

1 - Quantas tentativas de acesso indevido à minha rede foram identificadas nos últimos 02 dias?

1.1 - Dessas tentativas alguma foi bem sucedida?

2 - Será que alguém tem essas informações para mim?

3. Será que existe algum tipo de sistema instalado na minha infraestrutura que pode me mostrar alguma informação referente a minha segurança?

4 - Será que minhas informações estão seguras?

5 - Será que existe alguém responsável pela segurança de minha rede e de minhas informações?


5.1 - Esse alguém dorme? Ele consegue fazer tudo sozinho?

6 - Será que......É melhor parar de pensar nisso.



Em caso de não ter as respostas esperadas, por favor, tome um copo com água, um suco de maracujá e em seguida procure uma boa empresa que possa te ajudar.

Obs.:
Não esqueça que não adianta comprar os roteadores, switches, servidores, softwares, appliances mais caros e renomados, se não tiver alguém competente e comprometido com a segurança.

Tenho um amigo que comprou um roteador de uma marca famosa por < $$.$$$,$$. e pediu para alguém de sua equipe instalar e colocar em produção. Lembro que ele falou "Esse bicho é muito bom! Faz tudo...é possível gerenciar isso ....."


Uns 20 dias depois eu disse a ele para trocar a senha padrão.

Não culpo o técnico porque não sei se ele estava apto para executar a demanda.


http://twitter.com/rodbramos

t+
saúde e paz

terça-feira, 24 de agosto de 2010

Post para mostrar Posts

Seguindo uma orientação de meu Pai, estou trazendo nesse Post alguns links para outros Posts, no Blog de amigo Jamildo

Jamildo, Brigadão pela força de sempre.

29/06/2009 - Política de destruição de dados

05/01/2009 - Assim como no mundo real

29/12/2008 - Só depois do carnaval é coisa do passado

22/12/2008 - Falta de visão gera indisponibilidade

15/12/2008 - Eles querem nossas informações

29/09/2008 - Transportando informações com segurança

22/09/2008 - Política de segurança da informação

12/09/2008 - Privacidade Zero


Espero que gostem!

http://twitter.com/rodbramos

t+
saúde e paz

segunda-feira, 23 de agosto de 2010

Segurança é requisito básico em aplicações

A idéia aqui não é montar um documento com várias sugestões de requisitos necessários para a encomenda de uma aplicação for web.

Com base na minha experiência na área de segurança da informação, achei que seria legal citar um dos pontos importantes que deve ser levado em consideração quando pensamos em um software, seja ele desenvolvido em casa, encomendado ou comprado pronto.

Este ponto é a Segurança da solução como um todo. Neste post vamos levar em consideração que há uma aplicação que fala com um banco de dados. Este é um cenário super-hipper-ultra comum em hoje em dia.

Normalmente, quando idealizamos uma solução nos apegamos as questões visuais e funcionais.

O Cliente -
"Precisamos uma aplicação que será usada para .......e deve fazer o seguinte: ...,....,....,....,..., é necessário utilizar esse padrão de cor para seguir a identidade visual da empresa...Detalhe: Preciso disso para ontem. Tô passando para seu email um documento explicando tudo"

O Fornecedor -
"Tudo bem. Podemos fazer sim. Sem problemas. O pessoal pediu x dias, levantou algumas sugestões de melhorias e o investimento é de R$...."

Bom, com certeza a solução sairá do papel. Depois de alguns ajustes o cliente ficará satisfeito (se tinha certeza do que queria) e o fornecedor também. Os dois lados com menos cabelos, mas tudo bem. Faz parte do processo.

Ninguém aí falou em segurança. Acredito que o Cliente imagina que o Fornecedor leva em consideração que o código da solução foi concebido levando em consideração a Confidencialidade, Integridade e Disponibillidade de se mesmo e dos dados tratados pela solução. O que não sempre acontece.

Alguns possíveis motivos:
Falha na formação acadêmica
Falha na formação não acadêmica
Falta de Profissionalismo
Inocência
Preguiça + Acomodação = Falta de pesquisas + estudos => Desatualização
Ignorância = Medo de cobrar mais caro, por ter que capacitar a equipe ou contratar uma empresa especializada em segurança de aplicações, e perder concorrências.
.....

Podemos listar mais alguns, mas não vem ao caso.

O que importa é:
Usem filtro solar, escutem seus sistemas e coloquem a Segurança da Aplicação como requisito básico antes de implementar uma nova solução.

Boa semana para todos!

t+
saúde e paz
http://twitter.com/rodbramos

sexta-feira, 20 de agosto de 2010

A bronca não é só o peso

O pessoal, aqui onde moro, entendeu que todo cão acima de 10kg deve ser eliminado do condomínio em 6 meses.

Tenho um labrador fêmea que não gera problemas para ninguém porque vive em casa. Só sai para caminhar acompanhada, na coleira.

Alguns vizinhos têm pequenos cães, que vivem soltos e incomodando quem passa, latindo e tentando morder as pessoas.

Sei que que alguns vizinhos têm juntos pelo menos 3 Labradores e 01 Xauxau (não sei a forma correta de escrever o nome dessa raça, mas é assim que se pronuncia.). Não conheço nenhum sinístro causado por eles.

Se é para filtrar os cães, vamos filtrar então por aqueles que têm e os que não têm dentes.

Conheço mais de uma pessoa aqui do condomínio que já foi mordida pelos pequenos e leves cães, incluindo minha esposa.

Se os tubarões do Recife fossem banguelos poderiam ser criados em aquários e as pessoas poderiam voltar praticar esportes aquáticos.

Nunca liguei muito para o tamanho do cachorro. Normalmente minha preocupação maior é com os dentes.

Sei não.....acho que minha cachorra vai entrar de dieta e afiar os dentes.

http://twitter.com/rodbramos

t+
Saúde e paz

quinta-feira, 19 de agosto de 2010

Linux!? Não se questiona mais

Trabalho com projetos envolvendo Linux desde 1999. Alejandro Mick Jagger Flores desde 1995 (inclusive ele é bem mais velho que eu).

Uma coisa legal de ter escolhido esse sistema operacional para trabalhar desde quando ele ainda era muito novo, foi poder acompanhar sua evolução e as discussões que vinham em paralelo.

Lembro da minha primeira instalação de um linux em casa e de todos os passos necessários antes de iniciar a instalação. Era necessário anotar vários detalhes sobre a configuração de drives, do vídeo, ... para informar durante a configuração do Linux. Ele ainda não reconhecia muita coisa. Normal para uma criança.

Hoje em dia a instalação é tranquila. Lembro da instalação do Ubuntu em um laptop Dell que tive. Foi um sucesso. Ele reconheceu tudo, incluindo teclas de atalho para volume e etc.

É interessante ver que hoje, em agosto de 2010, ninguém mais me pergunta se o Linux é bom, se funciona, se é legal mesmo, se é fácil ou difícil, se aguenta carga....

As empresas nos chamam para falar de seus projetos sem questionar a eficácia do Linux para executar os serviços necessários para o sucesso do projeto.

Todas essas dúvidas foram extintas, resolvidas, superadas com a grande quantidade de pesquisas, servidores implementados pelo mundo todo e milhões de cases de sucesso.

O apoio da comunidade e de grandes empresas como a RedHat, Canonical, ... foi e é fundamental para este sucesso. Veja esse comercial lançado pela IBM em Setembro de 2003, que já mostrava e acreditava no desenvolvimento do Linux.

Para não dizer que não há mais um questionamento se quer, em 2005 ou 6 eu falei para os amigos de trabalho, que eu não acreditava no domínio do mercado de desktops pelo Linux nos próximos 10 anos. Eles não pensavam assim. Mesmo com a chegada do Ubuntu, que é maravilhoso para desktops, eu não acredito nesse possível domínio por mais uns 10 anos.

A questão do suporte da vizinhança é algo muito forte e que a Microsoft domina muito bem. Chamo de Suporte da Vizinhaça o fato de que praticamente todas as casas/apartamentos da vizinhança tem alguém que pode ajudar a tirar alguma dúvida básica sobre o Windows ou sobre o Office, por exemplo.

Tenho que me despedir dizendo que não sou um radical xiita do software livre.

Prefiro o Linux para trabalhar porque ele atende todas as minhas necessidades, assim como as necessidades dos nossos clientes daqui da Triforsec.

http://twitter.com/rodbramos

t+
saúde e paz

Doutor, estou sentindo uma dor

É interessante como tem gente que ou é ou se faz de doida.

Eu duvido que alguém chegue em um médico e diga "Doutor, estou com uma dor", e não especifique o lugar.

É incrível como tem gente que entra em contato com nosso Time de Suporte a Servidores e diz algo do tipo "O Serviço X não tá funcionando".

Sempre que isso acontece eu me pergunto como é que esse indivíduo explica ao médico o seu problema. O mais interessante de tudo é que nossos clientes são estagiários ou profissionais de TI das empresas que nos contratam. Sendo assim, não deveriam simplesmente dizer "O Serviço X não tá funcionando".

Quando ele vai ao médico, muito provavelmente ele sabe dizer que tá com uma forte dor de garganta já tem alguns dias, que quando anoitece piora e que pode ser influência de uma obra que está sendo executada na casa dele, que está levantando muita poeira. Antes de ir ao médico, ele provavelmente já diz em casa para limparem tudo após os serviços do dia para ele não ficar tão ruim.

Pois bem, imagine a situação de quem vai atender um chamado aberto através de um sistema na web, que diz "Não consigo enviar emails."

A pessoa terá que:
1 - Verificar se o servidor está online e acessível;
2 - Verificar se o serviço está rodando;
3 - Verificar se tem alguém enviando emails;
4 - Verificar se os emails externos estão chegando e sendo encaminhados para os usuários;

Dependendo das respostas, ela vai tomar um caminho ou outro.

Agora imagine se o chamado já fosse aberto assim:
"Não consigo enviar emails.
Já verifiquei que o servidor está online, consigo baixar emails normalmente e vi que outras pessoas estão na mesma situação".

Acho que um médico seguiria a mesma linha quando fosse relatar um problema de saúde para outro médico.

Ainda não acabou. Tem a parte mais desagradável.

Meses depois de alguns chamados abertos e resolvidos, um certo dia você é chamado para uma reunião onde o cliente (Presidente, Executivo, Dono, Gerente de TI, ....) te diz que o atendimento é lento em algumas situações e que é necessário melhorar porque a produtividade da empresa está sendo afetada.


Hummm!!! É uma onda mesmo. Dependendo do clima de uma reunião como essas, você sai de lá desejando ser um primo distante de Bin Laden.

Bom, ainda tem outros casos como aqueles que solicitam um suporte para análise do comportamente estranho de um servidor. O detalhe é que quem abre o chamado esquece de falar que houve uma queda de energia e que o nobreak não segurou.

Será que esse mesmo indivíduo, estando com uma forte dor de cabeça, esqueceria de dizer ao médico que bateu com a cabeça na porta do carro!?

Também tem aqueles amigos (daquela onça) que a gente pede para eles executarem alguns passos enquanto monitoramos os logs para identificar o problema e eles nem executam e ainda asseguram que executaram.

Será que essa ..... (espécie indefinida) faria a mesma coisa durante um tratamento de saúde?

Bom, tem doido para tudo, principalmente para trabalhar com TI.

Abração gente!


http://twitter.com/rodbramos

t+
saúde e paz

quarta-feira, 18 de agosto de 2010

Amigo da onça (se ela for doida)

Ainda em 2000 um amigo meu, Augusto Cezar acacs, foi trabalhar montando projetos de cabeamento para uma operadora de tv a cabo. Nessa época ele já falava que a operadora tinha projeto para fornecer acesso à Internet para seus clientes.

Conversando com Alejandro chegamos a conclusão de que deveriamos chamar os caras da tv a cabo para conversar para apresentar nossa solução de VPN baseada em Linux. Naquela época VPN era uma novidade. As operadoras de telecom falavam no serviço de VPN na TV, em comercias antes de programas importantes como a cobertura da Fórmula 1.

Consegui o contato e mandei um email para uma pessoa da área comercial do grupo que ficava em Minas Gerais. Como resposta recebemos uma ligação onde essa pessoa demonstrava total interesse em nossa solução para seus clientes corporativos.

A idéia era que se um mesmo cliente tivesse várias unidades remotas com link Internet, a gente poderia interligar todas elas via VPN para que ele pudesse compartilhar servidores, sistemas, ....

Naquele período não tinha muita gente montando VPNs com Linux e o caminho era utilizar roteadores de marcas com Cisco, que custavam uma boa grana e inviabilizava o negócio da VPN para pequenas empresas.

Bom, o camarada veio à Recife, adorou o negócio e ficou de enviar um engenheiro para validar tudo com a gente.

Para esta etapa nós pedimos dois links para montar o circo. Montamos tudo e a apresentação foi um sucesso.

Aí!!!! Bom, quando fomos falar em negócios, decidimos chamar um amigo com mais experiência para nos ajudar.

Resumo do final dessa história:

Esse amigo levou o cliente para ele, faturou dezenas de milhares de reais por mês e a gente ficou ......

Sabe Deus onde estariamos hoje com toda aquela grana no começo da década para investir na empresa. Adoramos investir na empresa.

Quando acabar, o Biz Stone, fundador do Twitter, diz que as pessoas não roubam idéias dos outros. hahahaha Bom, ele poderia dizer que a idéia não foi roubada, e sim,  o negócio. Aí a gente teria que filosofar na beira da práia de Porto de Galinhas, tomando um "iogurte".

Em certos casos é melhor se abraçar com uma onça do que com um amigo.

Fico por aqui.

Tô no http://twitter.com/rodbramos

t+
saúde e paz

terça-feira, 17 de agosto de 2010

Escute seus sistemas

No mundo da TI existe uma forma de comunicação que poucas empresas exploram.

Muitos sistemas geram logs, registros de eventos que ocorrem nos sistemas. Os logs são uma forma de comunicação dos sistemas. Cabe a nós procurar ouvir e entender o que eles estão nos dizendo.

Por exemplo:
Quando eu ligo meu desktop são gerados vários logs;
Quando eu me autentico no desktop outros logs são gerados.

Segue algumas linhas de logs gerados quando eu ligo meu desktop, com alguns comentários:

# Informações referentes a versão do meu sistema operacional
Linux version 2.6.30.10-105.2.23.fc11.i686.PAE (mockbuild@xb-01.phx2.fedoraproject.org) (gcc version 4.4.1 20090725 (Red Hat 4.4.1-2) (GCC) ) #1 SMP Thu Feb 11 07:05:37 UTC 2010

# CPUs suportadas pelo meu kernel
KERNEL supported cpus:
  Intel GenuineIntel
  AMD AuthenticAMD
  NSC Geode by NSC
  Cyrix CyrixInstead
  Centaur CentaurHauls
  Transmeta GenuineTMx86
  Transmeta TransmetaCPU


# Algumas informações sobre a CPU
CPU0: Intel Pentium(R) Dual-Core  CPU      E5200  @ 2.50GHz stepping 0a
checking TSC synchronization [CPU#0 -> CPU#1]: passed.
Brought up 2 CPUs
Total of 2 processors activated (9972.28 BogoMIPS).
sizeof(vma)=88 bytes
sizeof(page)=32 bytes
sizeof(inode)=348 bytes
sizeof(dentry)=132 bytes
sizeof(ext3inode)=504 bytes
sizeof(buffer_head)=56 bytes
sizeof(skbuff)=180 bytes
sizeof(task_struct)=3220 bytes
CPU0 attaching sched-domain:
 domain 0: span 0-1 level MC
  groups: 0 1
CPU1 attaching sched-domain:
 domain 0: span 0-1 level MC
  groups: 1 0

#Informações sobre PCI
PCI: Found Intel Corporation 945G/GZ/P/PL Express Memory Controller Hub with MMCONFIG support.
PCI: MCFG configuration 0: base e0000000 segment 0 buses 0 - 255
PCI: Not using MMCONFIG.
PCI: PCI BIOS revision 3.00 entry at 0xf0031, last bus=3
PCI: Using configuration type 1 for base access
Esse arquivo é grande, detalhado e é gerado toda vez que ligo a máquina.

# Quando eu me autentico no sistema como root (administrador) ele registra a linha abaixo
Aug 17 11:36:38 zeroone su: pam_unix(su-l:session): session opened for user root by rodrigo.gatao(uid=20016)


# Quando eu encerro a seção ele registra a linha abaixo
Aug 17 11:36:43 zeroone su: pam_unix(su-l:session): session closed for user root

Além disso, toda vez que eu instalo um sofware, inicio um programa, adiciono um usuário, o sistema operacional gera um registro.

A mesma coisa acontece com muitos sistemas. Eles usam os logs para informar o que eles andam fazendo, o que não estão conseguindo fazer, o que andam fazendo com eles, quem fez, que horas fez, etc.

Além dos registros padrão, pode ser possível solicitar que o sistema gere outros logs, de acordo com a necessidade do ambiente.

Grande parte do nosso trabalho aqui na Triforsec, na área de suporte e gestão de servidores,  é feito com base nas informações contidas nos logs.

Se um cliente não consegue se autenticar, a gente monitora os logs do sistema operacional referentes a autenticação;

Se um cliente diz que não está conseguindo acessar a Internet, a gente monitora os logs da camada de rede para saber se o indivíduo está chegando no servidor de Internet ou está sendo barrado antes de chegar nele;

Se um cliente diz que o servidor está lento, agente verifica o status dos recursos do servidor (Memória RAM, CPU, Interface de rede...);

Se um arquivo "desaparece", a gente verifica os logs lá do sistema de arquivos para saber quem foi o engraçadinho que apagou, renomeou ou removeu o bendito arquivo.



Nesse ponto do texto com certeza você já sabe que é importante ouvir o que os sistemas têm a dizer.

O outro lado da moeda:

Não é simples ouvir e correlacionar tudo o que  vários sistemas operacionais, serviços e aplicativos têm a dizer. Quando falo em sistemas operacionais, estou falando dos sistemas dos servidores, switches, roteadores, centrais telefônicas e etc.

Existem alguns servidores de logs que são usados para centralizar e correlacionar todos os logs da empresa.

Ser o último a saber no mundo real não é legal. Siga esse raciocínio e evite ser o último a saber também no mundo virtual.


Se conselho fosse bom ....... Use filtro solar e escute seus sistemas.

Tô no Twitter: http://twitter.com/rodbramos

t+
saúde e paz

segunda-feira, 16 de agosto de 2010

Apagando tudo e fazendo amigos!

Acabo de falar com um amigo que conheci numa dessas missões inesperadas.

Era uma 6a-feira de 2000 e pouco quando recebemos uma ligação de uma empresa. Achei estranho pois o cliente não queria adiantar qual era o trabalho por telefone.

Pensei comigo mesmo "Não saiu com mulheres dos outros, nem tenho amigo na máfia....relaxa cara".

Bom, chegando lá, entro na sala de reunião e logo escuto a demanda. "Precisamos apagar todos os disco rígidos das estações e servidores da empresa".

Acertamos os detalhes técnicos e financeiros e partimos para a missão no começo da noite.

Praticamente começamos a trabalhar na 6a e acabamos na 2a. O delay foi decorrente do próximo para apagar bem apagado, dos backups de algumas estações e dos servidores.

Lá pela madrugada eu pergunto a uma outra pessoa que tava na operação: "Por que será que estamos fazendo isso" Resposta: "Sei lá!" Daí eu perguntei "Se for alguma bronca e a justíça chegar aqui" Resposta "A gente diz que tá aqui para ajudar hahahah".

Depois disso eu relaxei e fui até malhar nas salas e corredores, entre uma máquina e outra. Foi que aí que esse amigo apareceu e ainda hoje ele comenta com a turma que sou meio pirado porque tava fazendo marinheiro/flexão às 3:00 horas da manhã, dentro de uma empresa.

Na sua opinião escolha a melhor opção:
A) Sou normal
B) Sou meio pirado.
C) Nesse mundo tem 2 tipos de pessoas, os doidos e os que pensam que não são.
D) NDR

Tô no http://twitter.com/rodbramos

t+
saúde e paz!

Você fala TCP/IP?

Ainda lembro como se tivesse ouvido ontem Alejandro e Afonso me dizendo "Você precisa mergulhar no TCP/IP. Só assim você vai entender o que acontece aqui embaixo"

Até 1999 eu sabia que o TCP/IP era utilizado nas configurações das placas de rede para viabilizar as comunicações entre computadores.

Esse conceito básico foi alterado quando comecei a mergulhar (como curioso) nas missões de Alejandro e Afonso. Eu havia acabado de assistir Matrix e ainda tinha na memória aquela tela preta com as letras verdes descendo. De repente eu estava vendo algo muito semelhante num terminal Linux e ainda acompanhado dos comentários da dupla.

Eles estavam rodando o tcpdump para analisar o tráfego e identificar onde estava o problema.

É lógico que depois disso eu comecei a estudar TCP/IP o tempo todo. Estudava as especificações de cada protocolo através de suas RFCs, mergulhava nas opções do tcpdump, comprava livros, o google se tornou meu melhor amigo.

Lembro de quando conheci os projetos de ferramentas que possibilitavam a criação de pacotes customizados, onde eu podia jogá-los na rede para ver como cada sistema operacional ou sistema de segurança reagia.

Um marco na minha vida de pesquisador desse mundo, foi quando em 2001 eu consegui identificar o padrão de um vírus que estava infernizando os clientes e a empresa onde eu e Alejandro Mick Jagger Flores trabalhávamos. Fui ao delírio....Romário fazendo um gol na copa de 94. hahaha

Depois que identifiquei o padrão do tráfego do miserável, capturei alguns, abri e estudei seu conteúdo (payload) e monteu uma assinatura no Snort. O mais legal foi fazer tudo isso e depois saber que eu tinha saído na frente das gigantes dos antivírus, utilizando ferramentas gratuitas e minha nova língua TCP/IP.

O tempo foi passando e começamos a chegar nos clientes para apresentar nossas soluções. Eu achava incrível como os profissionais das empresas não conheciam TCP/IP e ficavam impressionados quando nós rodávamos o tcpdump para resolver um problema.

Infelizmente grande parte do mundo que nos é oferecido em muitos cursos, é um mundo repleto de botões, com telas coloridas, que quando está verde significa que está tudo ok.

Nas minhas visitas sempre encontro todo tipo de profissional. Muitos deles com muita base e preparados para encarar qualquer problema. Por outro lado, também encontro muitos profissionais com muita força de vontade, mas sem base e as empresas não têm capacidade, muitas vezes intelectual, para entender a necessidade de investir em seus profissionais.

Infelizmente as empresas ainda não descobriram a importância de TI. Isso rende outro post.

Na minha humilde opinião, se uma pessoa decide trabalhar com redes, ela precisa falar TCP/IP. Fugir disso é como tentar ser colunista em um jornal na Inglaterra sem falar Inglês.

Uma outra dica é o conhecimento em Linux. Montar uma máquina repleta de ferramentas para analisar uma rede com Linux não custa nada.

Bom, por enquanto é só.

Também tô no http://twitter.com/rodbramos

t+
saúde e paz

sexta-feira, 13 de agosto de 2010

A confiança não elimina a pesquisa

Acabo de chegar de um possível cliente indicado por uma operadora de telefonia.


Essa empresa estava procurando uma central telefônica com diversas funções e com um módulo para call center. Alguém falou para o diretor que o Asterisk seria a solução perfeita e ele acreditou. Até aí tudo bem.

O problema foi que ele não procurou nenhuma empresa em Recife para fazer o projeto, correndo logo para uma empresa lá do sul, mais especificamente do Rio de Janeiro.

Talvez ele tenha confiado na indicação e acreditado que vindo de lá só poderia ser bom.

Resultado: O Asterisk não fuincionou, o call center está parado e o stress tá pipocando.

A mesma coisa aconteceu com um cliente da Triforsec (empresa onde trabalho que tem foco em segurança da informação) que decidiu implementar um Asterisk e entrou em contato com o pessoal que já tomava conta de sua central telefônica, de uma marca internacionalmente famosa. O raciocínio foi correto.

Quando o cliente me falou eu concordei na mesma hora com o raciocínio dele, que disse: "A Triforsec continua tomando conta dos servidores e a empresa X continuará tomando conta da telefonia".

Depois de dois meses ele entrou em contato comigo dizendo que a telefonia da empresa estava completamente parada. Foi aí que ele perguntou em quanto tempo a DialTelecom (outra empresa onde também trabalho) faria a implementação.

Nos dois casos o problema aconteceu porque as duas empresas decidiram não fazer uma pesquisa para conhecer outros projetos já implementados pelos fornecedores.

O primeiro caso ainda foi pior (na minha opinião) porque a empresa nem sequer fez uma pesquisa aqui mesmo em Recife, onde com certeza tem  empresas fazendo e executando projetos de telefonia envolvendo o Asterisk.

Abram o olho com essas novas tecnologias. O mercado tem muito picareta dizendo que sabe fazer tudo que vocẽ imaginar.

Outro detalhe importante é que o fato de instalar e funcionar não quer dizer que suportará uma carga maior de utilização.

Simmmmm. Alejandro acaba de me lembrar de uma outra empresa de Pernambuco que foi buscar um parceiro da Red Hat lá em São Paulo e depois ficou doida quando soube que a Triforsec é parceira oficial da Red Hat, assim como mais umas duas outras empresas daqui.

Não sou contra a busca por profissionais em outros estados ou países. Estou falando sobre não pesquisar para saber se tem alguém em sua região que possa te oferecer um serviço de qualidade de nível mundial.

Tô no twitter em
http://twitter.com/robramos

Bom, por hoje é só.
t+
saúde e paz

A Internet e os novos "organismos vivos"

É interessante como tem programas soltos sem controle na Internet. Parece até que eles são organismos vivos.

Já deve ter quase uns 10 anos que parei para estudar os Projetos Honeypot e Honeynet. Resumidamente falando, esses projetos têm como objetivo o estudo da forma com que as máquinas são invadidas, sondadas, atacadas, ... quando colocadas na Internet.

Ainda em 2001/2002 eles já publicavam vários textos com logs explicando todas as fases do comprometimento de uma máquina com um sistema operacional qualquer, sem as devidas camadas de proteção.

Lembro-me de um texto chamado "Worms at War" muito interessante que detalhava o comprometimento de uma máquina Windows por um worm e que em um outro momento, um segundo worm analisava a máquina, removia o worm e se instalava. Daí o nome "Worms at war - Worms em guerra".


Na grande maioria das vezes esse, tipo de programa é desenvolvido e colocado na Internet para procurar por uma vulnerabilidade específica, entrar e informar a outro programa que obteve sucesso em sua missão.
Esse outro programa recebe a informação de êxito e .....

Imagine, tudo isso sem a intervenção humana. Nós humanos criamos uma "vida", soltamos no mundo virtual e ela seguirá por um longo período de tempo até um dia morrer.

Quando acontece essa "morte"? Vamos pensar num worm desenvolvido para procurar e atacar máquinas com uma vulnerabilidade específica. No dia em que essa vulnerabilidade ou o sistema com a possível vulnerabilidade sumir, o worm "morrerá".

Bom, por enquanto é só. Tenho que ir para uma reunião.

t+
saúde e paz

quinta-feira, 12 de agosto de 2010

Projeto "Missão Impossível"

Tem alguns anos que uma empresa nos lançou o seguinte desafio: Montar um datacenter externo para hospedar alguns servidores (uns 20), com tudo totalmente criptografado e com um sistema de desligamento das máquinas em caso de entrada não autorizada. Sim, é claro que a gestão da segurança da rede e da infra seria nossa.

Olhei para Alejandro e perguntei "e aí, Mick Jagger?" Resposta: "Tranquilo, vamos fazer"

Com Alejandro Mick Jagger Flores é assim. Pode ser trabalhoso, mas nunca impossível. As vezes ele viaja nos prazos....ou será o contrário?

Metemos bronca, montamos tudo e ainda fizemos o controle de acesso integrado aos nossos celulares.

Se o indivíduo entrasse na sala de servidores sem os nossos celulares, tudo era desligado automaticamente em poucos segundos.

Quando o cliente perguntou o que mais poderiamos fazer para melhorar a segurança física, eu perguntei o que ele achava de deixar dois pitbulls na antesala. Ele apenas riu.

Bom, a sala funcionou durante 3 anos e foi desativada já tem mais de um ano.

Portanto, de hoje em diante fique sabendo que você sempre pode sugerir um pitbull para melhorar a segurança física, se o nível de paranóia do cliente for mega-super-hipper-ultra alto.

t+
saúde e paz

TI + Telefonia = Muita gente pirada

Desde o final do ano passado decidimos levar para o mercado nossa experiência com o Asterisk.

Resumidamente falando, o Asterisk é um software que transforma um computador em uma central telefônica sensacional (vide http://www.asterisk.org).

Usávamos ele na empresa já tinha um bom tempo. (Depois eu conto como o Asterisk chegou até nós através de Marcelo Fernandes, da Fishy). Certo dia um cliente nos pediu para instalar o Asterisk na empresa dele depois de ver nossa solução em casa, e aí acabamos criando uma outra empresa só para cuidar dos projetos de telefonia.

De lá pra cá já instalamos o IPBX Asterisk utilizando diferentes arquiteturas e com diferentes objetivos. Entre as muitas lições que tenho aprendido nos projetos, vou compartilhar uma nesse post.

Vamos imaginar dois conjuntos: TI e Telefonia. Em muitas empresas eles não se falam de forma alguma.


Estamos caminhando para uma convergência onde haverá uma interseção dos elementos desses conjuntos. É justamente aí que o bicho pega, porque o pessoal de telefonia não fala TCP/IP e o pessoal de TI, normalmente, só sabe pegar o telefone pra efetuar ou receber ligações.


Nesse contexto o nosso papel é ser uma interface entre esses dois mundos, para conseguir montar um outro MUNDO, praticamente sem limites quando o assunto é Voz sobre IP + Aplicações diversar.

Outro dia um cliente (gerente de infraestrutura) falou que estava super satisfeito com a solução. O projeto foi um sucesso! Porém, ele estava perdido no meio de tantas possibilidades que vêm com tantas responsabilidades. Isso porque ele agora estava se tornando responsável pelo tráfego de voz da empresa, e não sabia para onde ir.

Inicialmente as empresas nos procuram pensando em fazer ligações gratuitas entre suas unidades remotas e executivos em viagens, assim como para poder utilizar um provedor VoIP para fazer ligações mais baratas. Após algumas reuniões eles descobrem que isso é 0,01% das possibilidades que terão diante de si.

Com isso cheguei a conclusão de que uma coisa é uma coisa e outra coisa é outra coisa, mas as vezes, as duas coisas se tornam a mesma coisa, sem perder suas características básicas por um período qualquer.

Independente da possível loucura do último parágrafo, vem aí muita demanda por serviços na área de VoIP. É uma área muito nova, carente de profissionais para elaborar e executar projetos de todos os tamanhos.

Imagine você montar um projeto que fará com que um sistema crítico ligue para várias pessoas as 3:20 AM em caso de problemas.

Falar ao telefone nunca mais será a mesma coisa.

Bom, vou escrever muito mais sobre os projetos de telefonia envolvendo Asterisk. Espero agradar.

t+
Saúde e paz!

Investimentos em TI. Avalie o todo.

Trabalhar prestando serviços em várias empresas, em várias regiões e em diferentes segmentos é muito legal porque me proporciona uma visão geral sobre muitas coisas dos mundos de TI e de negócios.

Tenho notado que a maioria das empresas do Nordeste estão investindo em disponibilidade. Já investiram em sistemas de gestão (que é um investimento eterno) e hoje, estão colocando seus reais em infraestrutura (hardware e software) para manter tudo o tempo todo no “ar”. A idéia é não parar.

Muitas vezes a idéia de investir na infra surge a partir de um fornecedor do ERP, ou de um fornecedor de hardware. Veja bem, nenhuma desses dois têm a capacidade de entender o que você está está precisando fazer para garantir a disponibilidade das informações em uma empresa.

Já ví empresas investirem muito dinheiro em um ERP, em seu Banco de Dados e não colocar meio tustão no resto da infraestrutura. Como será que o empresário imagina que o sistema dele vai atender aos clientes (usuários) sem haver conectividade, por não ter um switch que preste.

Outro dia eu estava em uma empresa que deve faturar perto de R$ 1bi por ano, com dois links Internet ligados diretamente na rede, sem passar por um firewall. Será que um firewall pode ser encarado como uma solução cara para esta empresa? Naquele momento eles estavam estudando que solução de firewall implementar.

É um engano pensar que se você investir R$ 1.000.000,00 em uma solução de alta-disponibilidade, você estará pronto para o que der e vier.

Muitos fatores contribuem para a indisponibilidade de um sistema. Podemos citar alguns?

Ataques de “hackers” internos ou externos;
Falha em dispositivos de rede;
Falha de código em sistemas;
Falta de espaço em disco;
Atualizações mal feitas em sistemas operacionais;
Mal dimensionamento da estrutura elétrica, incluíndo No-Break;
Falta de investimento na capacitação da equipe

Podemos listar um trilhão de motivos básicos.


Mandem seus email com dúvidas e sugestões.

t+
saúde e paz!