A Engenharia Social

Por Jorge Paulino

Engenheiro Eletricista e de Produção

Republicação do artigo escrito em 05/08/2010

A Engenharia Social é a técnica que consiste na obtenção de informações de caráter sigiloso ou a habilidade de enganar pessoas objetivando violar os procedimentos de seguranças, o termo vem do inglês “social engineering”, que designa a arte de contornar dispositivos de segurança, podemos também defini-la como uma técnica de roubo de informações importantes por descuido, persuasão de pessoas ou despreparo da equipe técnica e/ou funcionários.

É a habilidade em obterem-se informações através de manipulação, obtenção de dados ou informações privilegiadas / sigilosas por acesso indevido a determinado ambiente ou sistemas - Organogacionais ou Computacionais. Os Principais alvos de um ataque e as Estratégias de Proteção Com todo os aparatos de segurança disponíveis e várias empresas especializadas, dificilmente encontraremos alguma empresa ou organização que não tenha sido vítima de um ataque de engenharia social. No nosso próprio dia a dia, quem nunca se viu questionado sobre um assunto e, acabou falando dados sem a percepção do conteúdo dito. Quem nunca falou sobre algum emprego, vaga e oportunidades de compra e, alguém da nossa relação acaba se beneficiando dessa informação e nos questionamos - mas como ele sabia? Imagina isso em grandes organizações, empresas, órgãos do governo, instituições financeiras, militares e etc... São situações idênticas, porem envolvem pessoas preparadas, e as formas de ataque são cada vez mais audaciosas e altamente eficazes, e dificilmente deixam rastros, ou quando o deixam é de difícil rastreabilidade que acabam dificultando as ações de combate e a mensuração dos dos prejuízos.

Área de Risco	Técnica de Ataque	Estratégia de Segurança
Portarias	Acesso físico de pessoas não autorizadas	Treinar os funcionários envolvidos na área de segurança para não permitirem o acesso de pessoas sem o crachá de identificação ou autorizados e ainda checarem a informação
Prédios	Livre acesso às dependências do prédio inclusive as de caráter restrito	Os visitantes deverão estar sempre acompanhados por um funcionário da empresa; nunca digitar senhas na presença de pessoas estranhas ao setor. Manter todos os documentos ou relatórios longe do alcance de pessoas não autorizadas e de preferência em envelopes lacrados.
CPD, Informática (suporte/manutenção), Central Telefônica e Call Centers	Instalação de programas espiões e analisadores de protocolo para conseguirem burlar a segurança e obter informações confidenciais como senhas da Internet ou Intranet; remoção de equipamentos; roubo de senhas de acesso a linhas telefônicas.	Criar senhas fortes e fazer uso consciente da mesma, alterando-a periodicamente. Manter CPD e sala dos servidores sempre trancadas, e no caso de necessidade restringir o acesso aos técnicos da área, manter o inventário de equipamentos atualizado; controle de acesso às linhas telefônicas; desenvolver uma política de constante alteração das senhas e emitir constantes alertas aos funcionários para manterem em sigilo as suas senhas e evitarem o transito de informações confidenciais por telefone.
Depósito de lixo	Vasculhar o lixo buscando de informações privilegiadas, por descartes simples sem a observância de medidas de segurança.	Guardar o lixo da empresa em lugar seguro, triturar todo documento, e destruir todo o tipo de mídia magnética descartada.

Como ocorre a Engenharia Social:

1- Os Estudos Preliminares - O engenheiro social, busca as mais diversas informações dos usuários como, por exemplo, o número de CPF, data de nascimento, nomes dos pais, manuais da empresa, etc.; informações estas, que ajudarão no estabelecimento de uma relação com alguém da empresa ou indivíduo visado. 2- A abordagem inicial - Exploração de um relacionamento – O engenheiro social procura obter informações da vítima ou empresa como, por exemplo, senha, agenda de compromissos, dados de conta bancária ou cartão de crédito a serem usados no ataque. O ser humano costuma se agradar e sentir-se bem quando elogiado, ficando mais vulnerável e aberto a dar informações, sem perceber o conteúdo da sua fala. 3- O Planejamento – com base nas informações coletadas, são exploradas todas as variáveis possíveis e construído todo um planejamento através dos dados obtidos. 4- A Simulação do Ataque – O Engenheiro Social testa a eficiência do plano, a execução ocorre até a completa assimilação de todos os envolvidos. 5- A ação – com base na estratégia de ação, são analisados os fatores humanos, psicológicos e físicos da estratégia, e a partir daí são colocados em práticas os movimentos iniciais da ação. As formas de prevenção e proteção A melhor estratégia de proteção à Engenharia Social é a utilização do bom senso, as empresas investem na manutenção de sistemas, em novas tecnologias, porem esquece de investir em palestras e treinamentos dos funcionários. As palestras e treinamentos devem ser extensivos a toda a empresa e de forma hierarquizada, de acordo com o seu grau de envolvimento, porem em comum é o fato de quando houver indícios de “ataque”, deverá haver um alerta imediato. Principais Medidas para a Prevenção e Proteção

Estratégias de Segurança	Abordagem
Treinamentos e Palestras	Conscientização dos funcionários do valor e da responsabilidade da informação que elas tem acesso, tanto as de aspecto pessoal quanto as institucionais.
Política de Segurança Patrimonial	Dispor de funcionários de segurança treinados a fim de monitorar entrada e saída da organização e com os controles de acesso as dependências do prédio.
Política de Segurança de Informações/ Controles de Acesso à Internet/intranet	Estabelecer procedimentos que eliminem quaisquer trocas de senhas. Estimulo ao uso de senhas de difícil descoberta evitando as óbvias e imediata remoção das contas de usuários que não mais façam parte da instituição. Criação de mecanismos de controle de acesso e restrição de acessos evitando privilégios a mínimos a usuários, de acordo com a sua área/setror - a fim de que estes possam realizar suas atividades. Criar o controle de acesso restringindo a permissão de usuários que possam criar/remover/alterar contas e instalar software danosos à organização.

A engenharia social explora as vulnerabilidades, e grande parte dos incidentes tem como fator predominante a intervenção humana. Muitas vezes, os investimentos em segurança não acompanham o crescimento das empresas, a segurança tem a ver com atualizações tecnológicas, de pessoas e dos processos. É recomendável uma política de segurança centralizada, investimentos no fator humano e nas atualizações tecnológicas e em casos de ataque, possuir um plano de contingência (o Plano B)-evitando em casos de ataque a descontinuidade dos processos. Fontes: A Arte de Enganar , Kevin D. Mitnick e William L. Simon Engenharia Social - Um Perigo Eminente, Marcos Antonio Popper e Juliano Tonizetti Brignoli, Monografia (Conclusão de Pós-Graduação – ICPG -Gestão Empresarial e Estratégias de Informática da Universidade da Região de Joinville. Sugiro o excelente vídeo A Arte de Enganar com a Engenharia Social - Palestra realizada por Marcos Flávio Araújo Assunção, onde ele apresenta os principais tipos de golpes e fraudes realizados pelos chamados Engenheiros Sociais, disponível no Canal Engenharia ver em http://engenharianodiaadia.blogspot.com/p/engenharia-em-videos.html. Autorizada a reprodução total ou parcial deste Artigo, desde que citada a fonte. Vedada a memorização e/ou recuperação total ou parcial, bem como a inclusão de trechos ou partes, em qualquer sistema de processamento de dados.

A Importância da Gestão Estratégica de Custos

Imagem disponível em: http://flaviavivacqua.wordpress.com/

Por Jorge Paulino

Engenheiro Eletricista e de Produção

Hoje, as empresas avaliam a sua forma estratégica não somente dentro da sua atividade, mas também dentro do conceito de sua manutenção em um mercado competitivo.

A avaliação é feita em todas as suas atividades operacionais, identificando e mensurando as atividades que agregam ou não valor na sua cadeia logística.

Inicialmente pela contratação de insumos e serviços diretos e indiretos com os fornecedores, terminando com entrega dos produtos aos clientes/consumidor final, dessa forma, a integração da logística com uma gestão de serviços, dará um upgrade nas relações comerciais melhorando o “nível de serviço”, sendo uma importante variável à estratégia nas relações de negócios das empresas.

A logística integrada (supply chain), é hoje uma variável estratégica nas relações de negócios das empresas, principalmente quando utilizada para um melhor nível de serviço principalmente por meio das trocas compensatórias (trade-offs).

Em um ambiente cada vez mais competitivo-principalmente pela globalização dos mercados e dos capitais, os propósitos das empresas e sua estratégica empresarial tornaram a busca da vantagem competitiva através da otimização dos processos e de um eficiente controle dos custos em toda sua cadeia de valor, controle na qualidade do produto final e dos serviços, fiel cumprimento dos prazos, como forma de se converter em vantagem competitiva.

É evidente que qualquer alteração ao padrão de atendimento do nível do serviço criam-se novos custos, mas também novos desafios para os gestores formularem estratégias para aumentar a rentabilidade com custo menor.

Autorizada a reprodução total ou parcial deste Artigo, desde que citada a fonte. Vedada a memorização e/ou recuperação total ou parcial, bem como a inclusão de trechos ou partes, em qualquer sistema de processamento de dados.

Método Delphi – Uma Ferramenta de apoio ao Planejamento nas Empresas

Imagem Disponível em:http://pt.dreamstime.com/setas

Por Jorge Paulino Engenheiro Eletricista

Mas o que é o método Delphi?

Podemos defini-lo como uma técnica usada quando existe uma descontinuidade e/ou total ausência de dados históricos ou ainda, quando pretendemos estimular a criação de novos conceitos, idéias etc. Originalmente, Metodologia Delphi é uma técnica para a busca de um consenso de opiniões de um grupo de especialistas a respeito de eventos futuros, a técnica passou a ser usada no início dos anos 60, desenvolvida pelos trabalhos dos pesquisadores da Rand Corporation, Olaf Helmer e Norman Dalker. O Delphi é uma técnica muito útil principalmente quando se quer realizar uma análise qualitativa do mercado, pois permite que se projetem tendências futuras tais como descontinuidades tecnológicas, mudanças sócio-econômicas ou ainda em planejamentos e eventos futuros. A formula é bem simples, o Administrador/Gestor através do pressuposto que o consenso coletivo, bem definido e parametrizado, é mais eficiente e completo que as idéias individuais, aproveitando toda a sinergia do grupo de discussão. Mas existem características que são fundamentais na metodologia, o anonimato; a interação e feedback controlado e dados conclusivos bem parametrizados. Definem-se inicialmente as etapas preliminares, na seqüência abaixo: 1- O contexto e os prazos para o tema em estudo. 2- A equipe; os Técnicos, os Peritos, o Moderador. 3- O método, os objetivos e os passos do processo. Para a realização da Metodologia, existem várias fórmulas, porém conceitualmente todas seguem um mesmo padrão. 1- Movimento inicial 1.1 O Contexto – os temas/ os projetos/ a abrangência/ os prazos 1.2 A escolha do Moderador/Gestor e da equipe técnica/peritos/especialistas 2- A Primeira Etapa – Escolhidos os Contextos e a Equipe de Trabalho, o Moderador, faz a minuta do Problema/Projeto/Tema. Os Especialistas da área ou partes interessadas formulam o 1º Questionário, sem um script, estabelecendo quais os focos mais importantes para a abordagem inicial e todos os eventos e tendências que acontecerão no futuro relacionado, fazem uma análise e uma síntese que resultarão em um conjunto de eventos para o segundo movimento. 3- A Segunda Etapa - uma nova rodada, com as principais ocorrências ou acontecimentos que depois de respondidos, serão devolvidos ao moderador, para nova análise estatística das previsões de cada evento. 4- A Terceira Etapa - nova rodada, é pedido que façam novas projeções. Em caso de existência de um intervalo fora dos quartis inferior e superior, deverão ser justificadas as previsão/prognósticos. Importante - todos os questionários deverão ser novamente analisados, o Moderador, organiza a argumentação apresentada, indicando as previsões fora dos intervalos interquartis. Será gerada uma análise estatística e um resumo dos argumentos, sendo gerada a base para a quarta etapa. 5- A Quarta Etapa - todos serão convidados a fazer previsões/prognósticos, com base na análise estatística e no resumo dos argumentos - as divergências surgidas no questionário poderão ser questionadas. O Moderador, quando receber os questionários, realizará uma análise mais profunda e resumindo os argumentos utilizados. 6- A Quinta Etapa – a elaboração da argumentação final e a conclusão do relatório, indicando as datas calculadas a partir da análise das respostas dos especialistas e as opiniões, porém em caso de divergências, ou posições muito distantes na etapa anterior, o Moderador, deverá comparar os diversos argumentos para ver se existe algum erro no processo ou se ainda há divergências no Problema/Projeto/Tema. 7- Movimento Final - Final do Trabalho, apresentação dos resultados e implementação das ações. Em caso de existência de divergências novas rodadas deverão ser realizadas.

Prezados leitores, o Modelo de questionário e o Modelo de Método Delphi (fluxograma), poderão ser obtidos por email ou solicitação através dos comentários. Autorizada a reprodução total ou parcial deste Artigo, desde que citada a fonte. Vedada a memorização e/ou recuperação total ou parcial, bem como a inclusão de trechos ou partes, em qualquer sistema de processamento de dados.

Apresento um excelente Case em que foi usado a Metodologia Delphi , na Dissertação de Mestrado submetida a PUC-PR de Paulo Henrique Pierin Pacheco – “ Análise do processo de previsão de demanda B2B: O caso de um fornecedor do mercado Empresarial “

Disponível em: http://www.biblioteca.pucpr.br/tede/tde_arquivos/5/TDE-2009-04-07T151030Z-1064/Publico/Paulo%20Henrique%20Pierin%20Pacheco.pdf"> Página 67 – sobre um estudo feito na Furukawa Industrial S.A Produtos Elétricos.

A Engenharia Social

Por Jorge Paulino

Engenheiro Eletricista e de Produção

A Engenharia Social é a técnica que consiste na obtenção de informações de caráter sigiloso ou a habilidade de enganar pessoas objetivando violar os procedimentos de seguranças, o termo vem do inglês “social engineering”, que designa a arte de contornar dispositivos de segurança, podemos também defini-la como uma técnica de roubo de informações importantes por descuido, persuasão de pessoas ou despreparo da equipe técnica e/ou funcionários.

É a habilidade em obterem-se informações através de manipulação, obtenção de dados ou informações privilegiadas / sigilosas por acesso indevido a determinado ambiente ou sistemas - Organogacionais ou Computacionais.

Os Principais alvos de um ataque e as Estratégias de Proteção

Com todo os aparatos de segurança disponíveis e várias empresas especializadas, dificilmente encontraremos alguma empresa ou organização que não tenha sido vítima de um ataque de engenharia social.

No nosso próprio dia a dia, quem nunca se viu questionado sobre um assunto e, acabou falando dados sem a percepção do conteúdo dito.

Quem nunca falou sobre algum emprego, vaga e oportunidades de compra e, alguém da nossa relação acaba se beneficiando dessa informação e nos questionamos - mas como ele sabia?

Imagina isso em grandes organizações, empresas, órgãos do governo, instituições financeiras, militares e etc...

São situações idênticas, porem envolvem pessoas preparadas, e as formas de ataque são cada vez mais audaciosas e altamente eficazes, e dificilmente deixam rastros, ou quando o deixam é de difícil rastreabilidade que acabam dificultando as ações de combate e a mensuração dos prejuízos.

Área de Risco	Técnica de Ataque	Estratégia de Segurança
Portarias	Acesso físico de pessoas não autorizadas	Treinar os funcionários envolvidos na área de segurança para não permitirem o acesso de pessoas sem o crachá de identificação ou autorizados e ainda checarem a informação
Prédios	Livre acesso às dependências do prédio inclusive as de caráter restrito	Os visitantes deverão estar sempre acompanhados por um funcionário da empresa; nunca digitar senhas na presença de pessoas estranhas ao setor. Manter todos os documentos ou relatórios longe do alcance de pessoas não autorizadas e de preferência em envelopes lacrados.
CPD, Informática (suporte/ manutenção), Central Telefônica e Call Centers	Instalação de programas espiões e analisadores de protocolo para conseguirem burlar a segurança e obter informações confidenciais como senhas da Internet ou Intranet; remoção de equipamentos; roubo de senhas de acesso a linhas telefônicas.	Criar senhas fortes e fazer uso consciente da mesma, alterando-a periodicamente. Manter CPD e sala dos servidores sempre trancadas, e no caso de necessidade restringir o acesso aos técnicos da área, manter o inventário de equipamentos atualizado; controle de acesso às linhas telefônicas; desenvolver uma política de constante alteração das senhas e emitir constantes alertas aos funcionários para manterem em sigilo as suas senhas e evitarem o transito de informações confidenciais por telefone.
Depósito de lixo	Vasculhar o lixo buscando de informações privilegiadas, por descartes simples sem a observância de medidas de segurança.	Guardar o lixo da empresa em lugar seguro, triturar todo documento, e destruir todo o tipo de mídia magnética descartada.

Como ocorre a Engenharia Social:

1- Os Estudos Preliminares - O engenheiro social, busca as mais diversas informações dos usuários como, por exemplo, o número de CPF, data de nascimento, nomes dos pais, manuais da empresa, etc.; informações estas, que ajudarão no estabelecimento de uma relação com alguém da empresa ou indivíduo visado.

2- A abordagem inicial - Exploração de um relacionamento – O engenheiro social procura obter informações da vítima ou empresa como, por exemplo, senha, agenda de compromissos, dados de conta bancária ou cartão de crédito a serem usados no ataque. O ser humano costuma se agradar e sentir-se bem quando elogiado, ficando mais vulnerável e aberto a dar informações, sem perceber o conteúdo da sua fala.

3- O Planejamento – com base nas informações coletadas, são exploradas todas as variáveis possíveis e construído todo um planejamento através dos dados obtidos.

4- A Simulação do Ataque – O Engenheiro Social testa a eficiência do plano, a execução ocorre até a completa assimilação de todos os envolvidos.

5- A ação – com base na estratégia de ação, são analisados os fatores humanos, psicológicos e físicos da estratégia, e a partir daí são colocados em práticas os movimentos iniciais da ação.

As formas de prevenção e proteção

A melhor estratégia de proteção à Engenharia Social é a utilização do bom senso, as empresas investem na manutenção de sistemas, em novas tecnologias, porem esquece de investir em palestras e treinamentos dos funcionários.

As palestras e treinamentos devem ser extensivos a toda a empresa e de forma hierarquizada, de acordo com o seu grau de envolvimento, porem em comum é o fato de quando houver indícios de “ataque”, deverá haver um alerta imediato.

Principais Medidas para a Prevenção e Proteção

Estratégias de Segurança	Abordagem
Treinamentos e Palestras	Conscientização dos funcionários do valor e da responsabilidade da informação que elas tem acesso, tanto as de aspecto pessoal quanto as institucionais.
Política de Segurança Patrimonial	Dispor de funcionários de segurança treinados a fim de monitorar entrada e saída da organização e com os controles de acesso as dependências do prédio.
Política de Segurança de Informações/ Controles de Acesso à Internet/intranet	Estabelecer procedimentos que eliminem quaisquer trocas de senhas. Estimulo ao uso de senhas de difícil descoberta evitando as óbvias e imediata remoção das contas de usuários que não mais façam parte da instituição. Criação de mecanismos de controle de acesso e restrição de acessos evitando privilégios a mínimos a usuários, de acordo com a sua área/setror - a fim de que estes possam realizar suas atividades. Criar o controle de acesso restringindo a permissão de usuários que possam criar/remover/alterar contas e instalar software danosos à organização.

A engenharia social explora as vulnerabilidades, e grande parte dos incidentes tem como fator predominante a intervenção humana.

Muitas vezes, os investimentos em segurança não acompanham o crescimento das empresas, a segurança tem a ver com atualizações tecnológicas, de pessoas e dos processos.

É recomendável uma política de segurança centralizada, investimentos no fator humano e nas atualizações tecnológicas e em casos de ataque, possuir um plano de contingência (o Plano B)-evitando em casos de ataque a descontinuidade dos processos.

Fontes:

A Arte de Enganar , Kevin D. Mitnick e William L. Simon

Engenharia Social - Um Perigo Eminente, Marcos Antonio Popper e Juliano Tonizetti Brignoli, Monografia (Conclusão de Pós-Graduação – ICPG -Gestão Empresarial e Estratégias de Informática da Universidade da Região de Joinville.

Sugiro o excelente vídeo A Arte de Enganar com a Engenharia Social - Palestra realizada por Marcos Flávio Araújo Assunção, onde ele apresenta os principais tipos de golpes e fraudes realizados pelos chamados Engenheiros Sociais, disponível no Canal Engenharia ver em http://engenharianodiaadia.blogspot.com/p/engenharia-em-videos.html.

Autorizada a reprodução total ou parcial deste Artigo, desde que citada a fonte. Vedada a memorização e/ou recuperação total ou parcial, bem como a inclusão de trechos ou partes, em qualquer sistema de processamento de dados.