Fórum de Segurança e Auditoria de Sistemas by Alex Porto dos Santos https://padlet.com/alexporto2200/forum_seguranca_e_auditoria_de_sistemas Mural criado para a disciplina de Segurança e Auditoria de Sistemas da Unopar. Com o objetivo de compartilhar informações a respeito do tema. en-us 2021-11-04 05:18:52 UTC 2026-02-16 22:15:12 UTC hello@padlet.com https://padlet-uploads.storage.googleapis.com/1439068701/8570ca85a014050c3597c5a74950bccc/security_system_1724166_1464005.webp NBR ISO 9001 alexporto2200 https://padlet.com/alexporto2200/forum_seguranca_e_auditoria_de_sistemas/wish/1866651960 Este documento foi criado pelo Comitê Técnico Quality Management and Quality Assurance (ISO/TC 176), e seu resultado é uma revisão da ABNT, de 2008.  Este documento pretende certificar a gestão de qualidade e definir quais são os requisitos para a implantação do sistema. Este documento contempla as ferramentas para padronização de um modelo seguro de gestão de qualidade. Qualquer empresa pode obter uma certificação com base na ISO 9001, independente do ramo. 


]]> 2021-11-04 05:30:44 UTC https://padlet.com/alexporto2200/forum_seguranca_e_auditoria_de_sistemas/wish/1866651960 NBR ISO 9001: PDCA(Plan-Do-Check-Action) alexporto2200 https://padlet.com/alexporto2200/forum_seguranca_e_auditoria_de_sistemas/wish/1866653749 O famoso framework conhecido como Ciclo PDCA (Plan-Do-Check-Action) ou seja, planejar, fazer, checar e agir. Planejar, para conhecer os objetivos e quais os resultados esperados, seguindo os requisitos do cliente e as políticas da organização. Fazer, desenvolvimento e implantação dos processos. Verificar, monitorar e verificar o resultado do desenvolvimento a fim de relatar os resultados. E Agir, reagir na verdade, aos resultados obtidos, a fim de melhorar continuamente o produto.
Existem também alguns princípios de qualidade: foco no cliente, liderança, abordagem de processo, abordagem sistêmica para gestão, envolvimento das pessoas, melhoria contínua, abordagem factual para tomada de decisões, benefícios muitos nas relações com os fornecedores.
]]> 2021-11-04 05:32:20 UTC https://padlet.com/alexporto2200/forum_seguranca_e_auditoria_de_sistemas/wish/1866653749 CMMI: Capability Maturity Model Integration alexporto2200 https://padlet.com/alexporto2200/forum_seguranca_e_auditoria_de_sistemas/wish/1866659519 que significa Modelo de Capacidade e Maturidade Integrado. Foi desenvolvido pelo SEI (Software Engineering Institute).  Trata-se de um modelo de práticas com a meta de alcançar os objetivos estabelecidos e com isso aumentar a maturidade da do software ou da empresa. 
Com o CMMI pode-se destacar três visões: desenvolvimento, serviços e gestão de fornecedores. Desenvolvimento, demonstra as melhores práticas, para assim desenvolver as melhores soluções. Serviços, demonstra as melhores práticas para assim, desenvolver os melhores serviços. E gestão de fornecedores, demonstra as melhores práticas para assim, adquirir os melhores produtos e serviços.
Alguns benefícios que podemos levantar sobre o CMMI: Cumprimento de prazos e custos, conforme planejados, gerenciamento da produção, maior qualidade no produto desenvolvido, com processos melhores definidos, e menor dependência da empresa com seus especialistas. Isso além da busca pela melhoria contínua, ou cíclica.


]]> 2021-11-04 05:37:02 UTC https://padlet.com/alexporto2200/forum_seguranca_e_auditoria_de_sistemas/wish/1866659519 CMMI: níveis de maturidade alexporto2200 https://padlet.com/alexporto2200/forum_seguranca_e_auditoria_de_sistemas/wish/1866662236 O CCMI tem alguns níveis que podem ser vistos em sua documentação:
  • Nível 1: Inicial:  nível de caos, devido a não existência ou cumprimento dos padrões.
  • Nível 2: Gerenciado: Os processos são definidos. Neste nível os projetos são planejados, realizados, medidos e controlados.
  • Nível 3: Definido: Os processos já estão claramente definidos, e é possível prever a aplicação nos projetos.
  • Nível 4: Gerenciado quantitativamente: Já é possível ter previsibilidade nos processos, uma vez que são controlados. Assim é possível entender a estabilidade do projeto e os impactos na qualidade das entregas.
  • Nível 5: Otimização: Nível maior de maturidade, onde procura-se melhoria contínua nos processos, de forma flexível, capaz de entender as mudanças e oportunidades.
]]> 2021-11-04 05:39:23 UTC https://padlet.com/alexporto2200/forum_seguranca_e_auditoria_de_sistemas/wish/1866662236 Teste de caixa branca ou White Box alexporto2200 https://padlet.com/alexporto2200/forum_seguranca_e_auditoria_de_sistemas/wish/1866664279 são testes onde o pentester (pessoa, time ou empresa realiza os testes), têm conhecimento da infraestrutura interna, o que auxilia a encontrar pontos fracos, e planejar o ataque focado nesses pontos. Com tudo, é um procedimento muito detalhado, e vai entregar um relatório mais completo de todos os pontos da infra estrutura da empresa, e dos softwares. 
Esse tipo de exploração, pode demonstrar vulnerabilidades externas e internas. 
Estes testes também podem ser estender a aplicação, analisando o código fonte e configuração da infraestrutura, com ferramentas de análise dinâmica e estática (DAST e SAST), procurando por vulnerabilidades comuns como: Controle de acesso quebrado, falhas de criptografias, injeção de sql e comandos. O Teste de White box pode ser realizado junto com o desenvolvimento, garantindo que no lançamento a ferramenta seja segura.


]]> 2021-11-04 05:41:06 UTC https://padlet.com/alexporto2200/forum_seguranca_e_auditoria_de_sistemas/wish/1866664279 Teste de caixa preta ou Black Box alexporto2200 https://padlet.com/alexporto2200/forum_seguranca_e_auditoria_de_sistemas/wish/1866666844 Este também é conhecido como Teste cego, o que significa que o pentester não terá acesso a nenhuma informação privilegiada do software e da infraestrutura. Com tudo este teste se assemelha muito com o que um possível atacante malicioso faria. Este teste pode ser realizado de forma externa e interna, mas partindo do ponto de acessos públicos, ou acessos que pessoas externas à empresa fariam. 
Este teste pode ser realizado de duas maneiras: Blind e Double-Blind. A Blind, a empresa ou sistema que vai receber o ataque, sabe das metodologias e horários que serão realizados. A Double-Blind, a empresa ou sistema que vai receber o ataque não sabe como nem quando o ataque. As duas formas são boas, porém a Double-Blind é mais similar ao que um atacante malicioso real faria. 
É necessário profissionais experientes e com  conhecimento de técnicas de desenvolvimento e intrusão, além de criatividade para testar com esse modelo.


]]> 2021-11-04 05:43:31 UTC https://padlet.com/alexporto2200/forum_seguranca_e_auditoria_de_sistemas/wish/1866666844 Teste de caixa cinza ou gray box alexporto2200 https://padlet.com/alexporto2200/forum_seguranca_e_auditoria_de_sistemas/wish/1866668024 É o teste que faz uma mescla entre o teste de caixa preta e caixa branca. Neste caso, o pentester tem acesso parcial às informações do ambiente. Um exemplo de teste de graybox é um usuário que possui uma credencial no software, tentar escalar os privilégios na plataforma ou encontrar vulnerabilidades.
Estes testes são muito comuns para aplicações web (que são a maioria dos business de hoje). Neste modelo existe a comunicação entre o atacante e o atacado, para sanar dúvidas antes e durante o processo de teste.


]]> 2021-11-04 05:44:43 UTC https://padlet.com/alexporto2200/forum_seguranca_e_auditoria_de_sistemas/wish/1866668024 Podcast: Segurança da informação alexporto2200 https://padlet.com/alexporto2200/forum_seguranca_e_auditoria_de_sistemas/wish/1866672040 2021-11-04 05:48:20 UTC https://padlet.com/alexporto2200/forum_seguranca_e_auditoria_de_sistemas/wish/1866672040 Podcast: Observabilidade alexporto2200 https://padlet.com/alexporto2200/forum_seguranca_e_auditoria_de_sistemas/wish/1866675577 Monitorar ambientes para melhor controla-los]]> 2021-11-04 05:51:13 UTC https://padlet.com/alexporto2200/forum_seguranca_e_auditoria_de_sistemas/wish/1866675577 Podcast: LGPD na prática alexporto2200 https://padlet.com/alexporto2200/forum_seguranca_e_auditoria_de_sistemas/wish/1866679276 Podcast quinzenal sobre a LGPD, lei que regulamenta o uso e tratamento de dados pessoais do Brasil.]]> 2021-11-04 05:54:25 UTC https://padlet.com/alexporto2200/forum_seguranca_e_auditoria_de_sistemas/wish/1866679276 Vídeo: Canal Fabio Akita - Segurança alexporto2200 https://padlet.com/alexporto2200/forum_seguranca_e_auditoria_de_sistemas/wish/1866688194 A principal falha de segurança é o ser humano]]> 2021-11-04 06:01:17 UTC https://padlet.com/alexporto2200/forum_seguranca_e_auditoria_de_sistemas/wish/1866688194 Vídeo: Canal Fabio Akita - Criptografia 1 alexporto2200 https://padlet.com/alexporto2200/forum_seguranca_e_auditoria_de_sistemas/wish/1866696708 Entendendo segurança e criptografia básica, para desenvolvedores]]> 2021-11-04 06:08:10 UTC https://padlet.com/alexporto2200/forum_seguranca_e_auditoria_de_sistemas/wish/1866696708 Vídeo: Canal Fabio Akita - Criptografia 2 alexporto2200 https://padlet.com/alexporto2200/forum_seguranca_e_auditoria_de_sistemas/wish/1866704615 Entendendo segurança e criptografia básica, para desenvolvedores]]> 2021-11-04 06:14:12 UTC https://padlet.com/alexporto2200/forum_seguranca_e_auditoria_de_sistemas/wish/1866704615