Site de Contingência (Backup site) Distância Regulamentar

Durante a implantação do Plano de Continuidade de Negócios surgiu o questionamento de qual seria a distância ideal para se manter um backup site.

    Recorri a diversas literaturas e diversos sites, mas não encontrei nada de concreto.

    A maioria das documentações existentes, não define uma distância mínima regulamentar ao menos não uma que possa ser levada em consideração.

    Alguns sites americanos falam em distâncias superiores a 100 km, evidentemente herança do medo nuclear, o que se tratando de Estado Unidos é bem justificável.

    No entanto aqui em “terra brasillis” o que seria o recomendável?

    Por definição o nosso Data Center de contingência tipo “warm site” fica a aproximadamente 10 km, medida que convencionou-se nos meios de Segurança de Informação e algumas vezes é tomada por referência.

    Ter um “Backup site” que vá além do Data Center ou seja com capacidade de sustentar as operações de uma empresa em caso de perda do site principal requer uma infra-estrutura semelhante a utilizada pela empresa porém com um contingente bem mais reduzido. Estou falando de pessoas.

    A chave está na análise dos riscos do site principal, geralmente feita durante a estruturação do Plano de Continuidade de Negócios. Uma análise bem feita leva em conta os riscos em potencial da região além dos da própria edificação.

    Uma vez estruturada e aprovada a análise de riscos do site principal, deve-se fazer o mesmo com o provável/atual site de contingência, se os riscos forem os mesmos é bom rever a localização desse site.

    Ter um site de contingência ao lado de um posto de gasolina pode ser tão arriscado quanto colocá-lo junto do site principal.

    Com o desenvolvimento do Plano de Continuidade de Negócios, particularmente durante as entrevistas de levantamento para a elaboração do BIA (Business Impact Analysis) o tempo máximo em que um processo pode ficar parado é determinado. Essa informação é extremamente importante para a determinação da localização do site.

    Tão importante quanto saber os riscos a que o site está exposto está a velocidade em que ele pode ser ativado. Sites backup próximos à sede geralmente tem um tempo de ativação relativamente rápido, quando bem estruturado e procedimentado, no entanto podem estar expostos aos mesmos riscos do site principal.

    Ter um site principal no centro de São Paulo e montar a contingência em Campinas pode ser arriscado, já que o tempo de ativação poderá ser superior ao previsto pelo Plano de Continuidade de Negócios para a ativação da operação em contingência, no entanto dificilmente o site estará exposto aos mesmos riscos.

    Faltou falar em custo.

Existem muitas empresas que oferecem espaço para o Data Center, mas poucas oferecem espaço para as pessoas. Em parte porque os custos de uma infra-estrutura robusta de Data Center podem ser rateados entre os clientes, em outras palavras, você precisa de um único super gerador para suportar diversos data centeres de diversos clientes, mas nem sempre um único espaço com mobiliário, banheiro, estacionamento e etc… é o suficiente para mais de um cliente, principalmente se houver a possibilidade de entrarem em contingência simultaneamente. Conseqüentemente o preço é elevado.

Nada mais justo do que custos elevados para aguçar a criatividade dos administradores. Quando esse cenário se concretizar, cabe a análise sobre a possibilidade de se montar a própria estrutura. Em um backup site distante o suficiente para não ser exposto ao mesmo risco, pode-se pensar em montar unidades de treinamento para os colaboradores. No caso da contingência a infra-estrutura estará toda montada e rapidamente pode ser ativada. E honestamente ninguém irá querer saber de treinamento quando o site principal acabou de arder em chamas.

Financeiramente falando, construir a própria instalação pode ter suas vantagens, uma vez que os gastos feitos na construção do site podem ser lançados como investimento e diferido ao longo do tempo. Mas aí cabe uma discussão mais detalhada com o financeiro.

Resumindo, a fórmula para se determinar a distância adequada para o Site Backup, é uma combinação de dois fatores importantes: os riscos do site devem ser diferentes do site principal e o tempo de acionamento não deve ser maior do que a operação que se quer garantir agüenta paralisada e por último um fator determinante, custo.

 

 

Cracks in WPA? How to continue protecting Wi-Fi networks

Artigo muito interessante sobre segurança em WPA. Vale a pena ler.

http://searchsecurity.techtarget.com/tip/0,289483,sid14_gci1344071,00.html?track=sy260

O que esperar do universo dos spams em 2009, segundo a SPAMfighter

O que esperar do universo dos spams em 2009, segundo a SPAMfighter

Por PC World/EUA

Publicada em 06 de janeiro de 2009 às 07h00

São Francisco – Empresa prevê estratégia profunda de e-mails não-solicitados em redes sociais e combinação inteligente de métodos.

Em 2008, houve uma “promissora” explosão de spams, os e-mails em massa não desejados que se acumulam nas caixas de entrada dos internautas. E para 2009, os spammers prometem novas formas de perturbar os usuários.

“Ganhamos algumas batalhas no ano passado, mas a luta ainda está longe de terminar”, afirma o co-fundador do SPAMfighter, Martin Thornberg. Segundo o executivo, por enquanto os spams só conseguiram se infiltrar em 22% do território em que poderiam atuar.

Há, no entanto, muito espaço para as mensagens indesejadas se infiltrarem. Baseado nas previsões da SPAMfighter, veja abaixo o que dominará o universo de spams em 2009.

- Mais spams relacionados a redes sociais. Os spammers aumentaram as formas com que se infiltram neste universo e aumentaram sua participação em 2008, e esta tendência deve aumentar rapidamente nos próximos meses.

- Redes mais complexas por trás dos esforços para o envio de spams. O fato de uma rede de botnets ter sido desligada em novembro teve efeito significativo: provocou queda de 41% no volume global de spams. No mesmo mês, porém, a rede foi religada.

Pesquisadores acreditam que cerca de 75% de todos os spams eram controlados nesta única rede e, por isso, a SPAMfighter acredita que os spammers serão mais espertos em 2009, criando menos sistemas centralizados.

- Maior combinação de métodos. Os spams combinarão táticas de spywares e phishings para criar “ameaças combinadas”.

- Aumento de phishings direcionados a grupos de interesses específicos. Estes podem incluir mensagens com design “oficial”, voltadas a funcionários de uma determinada empresa ou mesmo a integrantes de grupos online.

- Um aumento geral na criatividade. Em 2008, o SPAMfighter registrou tentativas de phishing disfarçadas de alertas contra phishings. Enquanto os internautas ficam mais espertos, os disfarces nos spams devem aumentar.

A equação do spam
Muitas precauções antispam parecem óbvias mas, é claro, muitos as ignoram. A boa notícia é que há poucos ingênuos. Segundo um estudo da Universidade da Califórnia, apenas um milhão em cada 12,5 milhões de spams são respondidos.

A má notícia é que esta pequena porcentagem é o suficiente para gerar lucro de 7 mil dólares por dia, ou 3,5 milhões de dólares por ano, para uma rede considerável de spams.

Além disso, o pior é que estas pessoas que caem nos contos dos spams geram 8.500 novos bots nestas redes a cada 24 horas.

Como se proteger?
Se você não está 100% seguro de suas táticas de proteção contra golpes enviados via spam, vale a pena dedicar alguns minutos ao plano de proteção abaixo, elaborado pela SPAMfighter.

- Pensou em responder uma mensagem não-solicitada? Uma oferta tentadora para remover seu e-mail da lista? Não o faça. E ponto.

- O mesmo comportamento vale para mensagens de “falha de envio”. Se você não se lembra de ter enviado o e-mail que não chegou, clique em “delete” e siga em frente.

- Evite oferecer seu endereço de e-mail principal em qualquer fórum ou blog que você não confie. Crie uma conta secundária para os possíveis lixos eletrônicos.

- Também não ofereça seu e-mail principal em seu próprio blog ou site. Os bots o encontrarão e o incluirão em suas listas. Para driblar os bots, apele a serviços que criam imagens a partir do seu endereço de e-mail, como o E-mail Icon Generator.

- Nunca envie dinheiro, seja para uma compra ou doação, para qualquer entidade que você conheceu por um e-mail não-solicitado.

- Esta dica é antiga, mas alguns ainda não a entenderam: JAMAIS clique em links de mensagens não-solicitadas. Se é um e-mail de seu banco pedindo para você clicar em confirmação de sua conta, ignore. Abra seu browser e digite a URL legítima manualmente, e então descubra se há algo para ser de fato resolvido.

Pesquisadores quebram segurança de site confiável

31/12/2008 – 15h57
A pequena imagem de um cadeado no canto dos navegadores não pode mais indicar certamente que uma conexão é segura. É o que mostrou uma nova pesquisa divulgada nesta terça-feira (30) no congresso de tecnologia 25C3, em Berlim.
Com testes, um time de pesquisadores do Centrum Wiskunde & Informatica (CWI), da Califórnia, e da Eindhoven University of Technology, da Holanda, conseguiu quebrar a segurança de um site confiável usando uma rede conectada de 200 consoles do videogame PlayStation 3.
Com o equipamento, eles demonstraram que é possível enganar o navegador caso o site use um antigo algoritmo de criptografia, chamado MD5. Ele é usado para embaralhar o conteúdo de uma mensagem –como uma senha, por exemplo– antes de enviá-la, para que somente o destinatário possa lê-la.
Quando um usuário visita um site cujo endereço começa com “https”, geralmente vê um cadeado fechado no canto do navegador, que indica que o site emprega um certificado digital lançado por uma autoridade confiável que opera na rede. O navegador verifica o certificado, usando algum algoritmo, incluindo, em alguns sites, o MD5.
Foi em um site usando este algoritmo que os pesquisadores conseguiram driblar a segurança. O procedimento, no entanto, durou três dias para ser completado, até que pudessem identificar o conteúdo da mensagem enviada em teste.
Se fosse usado apenas um computador normal, a tática usada poderia demorar cerca de 30 anos para alcançar o mesmo resultado, gerando dois falsos certificados.
Para muitos especialistas, mesmo que a quebra realizada pelos pesquisadores seja bastante difícil de conseguir, os resultados do teste –mostrados no congresso da 25C3 em Berlim– podem contribuir para que as conexões fiquem mais seguras.
Grandes empresas que desenvolvem navegadores, como a Microsoft e a Mozilla, por exemplo, já foram informadas da vulnerabilidade dos sistemas de criptografia que usam o MD5. Com isso, elas podem adaptar seus programas para indicar sites que usam o algoritmo vulnerável.
Um dos objetivos da pesquisa foi justamente alertar as autoridades que expedem os certificados para que não usem mais o sistema antigo e migrem para outros algoritmos alternativos e mais modernos, como o SHA-2.