Resolvendo Todos Os Problemas Do Windows E Outros Programas

SANS: erro humano é a principal preocupação de segurança

O SANS Institute tem alguns conselhos controversos para profissionais de segurança de computador que procuram bloquear suas redes: spear-phish seus funcionários.

Isso é o que a Academia Militar dos EUA em West Point fez em 2004 para um grupo de 512 cadetes, selecionados aleatoriamente para um teste chamado Carronade. Os cadetes receberam um e-mail falso que parecia ter vindo de um coronel chamado Robert Melville, que afirmava trabalhar no Gabinete do Comandante da academia. O Robert Melville identificado como o remetente do e-mail é fictício; o verdadeiro Robert Melville ajudou a inventar um canhão naval de curto alcance chamado Carronade há quase 250 anos.



'Houve um problema com o seu último relatório de notas', dizia o e-mail, instruindo os destinatários a clicarem em uma página da Web e 'seguirem as instruções para ter certeza de que suas informações estão corretas.'



Mais de 80% dos cadetes clicaram no link, segundo relato do experimento. Pior ainda, mesmo depois de horas de instrução de segurança de computador, 90% dos cadetes calouros ainda clicavam no link.

Os ataques de spear-phishing contêm esse tipo de informação direcionada para parecerem mais confiáveis, mas seu objetivo é o mesmo que uma exploração normal de phishing: induzir o usuário a fazer algo que ele não deveria, como fornecer informações confidenciais.



Como esses ataques dependem da cooperação de suas vítimas, é difícil evitá-los, disse Alan Paller, diretor de pesquisa do SANS Institute. 'A única defesa contra o spear phishing é fazer experimentos com seus funcionários e envergonhá-los', disse ele.

erro 11001

A organização de Paller compila um relatório anual sobre as principais vulnerabilidades de segurança da Internet. Este ano, as 'vulnerabilidades humanas' farão sua primeira aparição em uma lista que normalmente é composta de produtos de software como o Internet Explorer, bancos de dados e aplicativos de compartilhamento de arquivos.

Isso porque o fator humano está sendo explorado em um número crescente de ataques direcionados à medida que mais e mais cibercriminosos ficam online na Europa Oriental e na Ásia, disse Paller.



Embora o sistema operacional Windows da Microsoft Corp. seja há muito o alvo principal dos atacantes online, o fornecedor de software intensificou suas práticas de segurança nos últimos anos.

Mas isso não impediu os atacantes, disse Paller. Na verdade, 2006 testemunhou um surto de ataques que aproveitam vulnerabilidades não corrigidas em novos tipos de programas, como aplicativos de escritório, reprodutores de mídia, software de backup e servidores de voz sobre IP, disse Paller.

'Fingimos que o problema iria embora à medida que a Microsoft melhorasse, mas esquecemos que todas as outras empresas escreviam software com tão pouco cuidado com sua segurança quanto a Microsoft', disse ele.

Mudanças no sistema operacional Windows impediram que ataques de worm recentes se propagassem amplamente, mas os usuários da Internet não estão mais seguros do que eram durante o tempo de Sasser e Slammer, disse Paller.

“O usuário médio é significativamente menos seguro”, disse ele. 'E não é porque os fornecedores pioraram; é porque o número de bandidos explodiu. '

O SANS revelará as 20 principais vulnerabilidades de segurança da Internet de 2006 em conjunto com o Centro de Coordenação de Segurança de Infraestrutura Nacional do Reino Unido.