Todos os posts do Ellias Anderson :3

VAI SER EM ORDEM DO ÚLTIMO AO PRIMEIRO

[OFF]
2021, china a maior potência econômica do mundo!

Rússia se tornou a maior potência bélica.

Estados Unidos, inicia o seu imperialismo.

2º Guerra Fria.

Estados Unidos e Europa VS Russia e China.

Guerra cibernética.

Corrida Armada se chamara "Corrida Cibernética", aonde ambos os países vão usar de meios maliciosos para conseguir o maior número de Botnets e defender o seu sistema.

Hackers e Crackers formam um time de resistência, e os anonymous volta com força.

Dólar bate R$5,00

Prejuízo no primeiro ano beira a quase 1 trilhão com vazamentos de dados e malwares.

Mesmo ano o Bitcoin dispara e muitas pessoas vão comprar.

2022, China tenta tirar o Bitcoin do mercado.

Brasil se tornou uma das maiores exportadoras do Mundo.

Hackers e Crackers do Brasil entra em ação.

Nova potência econômica ocupando a 5º Posição.

Brasil fecha acordo com os Estados Unidos.

China sofre pressão da Rússia para desfazer os negócios com o Brasil.

Novo Ransomware norte-coreano infecta 2 milhões de computadores.

A área da segurança da informação está em alta, sendo a corrida da defesa cibernética.

Facebook sendo usado para influenciar eleições ao redor do Mundo.

Apple vale 2 trilhões de dólares.

Dólar Bate R$5,40

2023, Bitcoin estoura a bolha em 1000% e concebe uma crise mundial.

Bolsa de valores vai a loucura.

Protestos mundiais.

Hacktivistas fazem ataques cibernéticos no mundo inteiro.

A inteligência artificial está sendo usada como arma.

O índice de desempregados aumentou em 50% em número recorde no mundo inteiro.

A população bate 10 bilhões.

Africa entra em estado de crise.

Países socialistas falindo.

Cuba se rende ao imperialismo americano.

Dólar Bate R$6,00

A Guerra já deu um prejuízo de 4 trilhões.

2024, O mundo em colapso total em uma crise desenfreada.

Estados Unidos volta a ser a potência mundial.

China desfaz acordos com a Rússia.

A própria Russia fecha um acordo com os Países da Europa e com próprio Estados Unidos.

Brasil fica entre as 5 maiores potências.

Real bate o Dólar.

E a crise foi se curando.

Ou seja, essa brisa basicamente foi para informar que a próxima guerra não será mais em armas e sim em teclados. Você está preparado?

[OFF]
Vou falar algumas coisas aleatórias aqui, não liguem!

Mr. Robot é uma série que puxou a bancada dos profissionais de segurança, a bancada dos Hacktivistas, a bancada dos Kiddies e o pessoal que assistiu Black Mirror e foi assistir Mr. Robot imaginando se era a mesma coisa.

Mas podemos analisar a seguinte questões sobre Mr. Robot, que é o tapa que ele da na sociedade seja pela segurança da informação, ou seja pela manipulação que a mesma sofre.
Essa série ela puxa a questão do Hacktivismo como forma de se resolver todas as questões, porém a consequência que se tem ao concretizar os seus objetivos, o quão você vai chegar longe para que seus ideais sejam implementados e quantas pessoas sofreram para que isso ocorra.

Perceba que Elliot ele é individuo reservado anti social, isso não é uma característica de superioridade ou genialidade, mesmo os grandes intelectuais sendo reservados como o próprio Einstein, isso é uma característica de fraqueza e não sou eu dizendo e sim grandes psicoanalistas como Augusto Cury que em um dos seus livros "O código da inteligência" fala em suma importância sobre a Gestão das emoções.
Se você dominar essa questão acredito que o seu desempenho no âmbito universal em qualquer área Filosófica, Socióloga e Histórica, você vai se dar bem.

Então a série não é relacionado só a Hacking, a Crise social e sim em questões do seu interior ao qual ele coloca um personagem com Depressão, esquizofrenia e que enxerga a sociedade como todo uma idiotice, algo inútil e que deve ser mudado e assim ignorando o belo que tem por trás dela.

Vou falar e se der ruim eu apago: Não é só #elenãno #elesim que vai mudar o rumo de determinadas coisas, isso significa que você está depositando fé em homens que nada pode, ou seja, você considera-os como seus salvador como seu "deus" e não como um simples homem que vai ser eleito para implementar regras que você vai seguir, no fim você só é mais um diante de milhões. Então em vez de depositar fé em outros para resolver questões simples, por que não começar a desenvolver o seu intelectual para solucionar os próprios problemas? Digo, algumas questões são necessários os políticos, mas pare de perder tempo vendo qual presta ou não! Afinal ninguém presta!
Exemplo: Vocês me conhecem? NÃO! pq nunca mostrei o meu rosto, vocês talvez possa achar eu um cara bacana, só que eu posso ser dono de uma rede de tráfico humano e vocês nunca vão saber até o dia de eu ser preso!
Pense bem, quando você sai na rua tu já se perguntou da onde sai tantas pessoas diferentes? É difícil você sempre ver as mesmas pessoas todo santo dia, então pense que ao dar bom dia a alguém aquela pessoa possa ser que você tenha salvado uma vi, as vezes a pessoa só espera um Bom dia de alguém.
Mas entra a questão do senso crítico do quão você vai se apegar aquela pessoa, mesmo ela sendo um assassino você não tem nada haver caso não seja a vítima, porém não devemos condenar de imediato sem levantar todas as informações, vai que você esteja condenando alguém que tenha matado para salvar vidas? É isso que hoje a sociedade briga, não estou dizendo que você deve passar a mão em ninguém, e sim analisar antes de julgar.

Elliot mesmo sendo um cara que falava FUCK SOCIETY, o que ele queria? Em um episódio da 2 temporada mostrou exatamente!
Ele queria se reunir numa mesa de jantar com os amigos e pedir desculpa para aquele cara que ele humilhou na empresa, perceba que ele até tentou pedir desculpa só que a outra mente dele o MR. ROBOT não o deixou, porque ele colocou os ideais dele acima de outros, e qual a consequência disso? O quanto você vai julgar alguém pelo seu caráter sem levantar as informações?

Analise essas questões, falei muito já

OBS: Não manjo muito sobre essa questão, porém li muitos livros sobre e recomendo a todos!

[OFF]
Quero tirar a Certificação Ethical Hacking da EC-COUNCIL, porém não sei o que devo estudar, o que eu faço?

Vou colocar aqui as anotações que eu fiz na época que eu estava estudando o CEH e assim você pode usar até mesmo como cronograma de estudos.

Antes só queria pedir pra curtir a página da Cyber Security UP falta pouco pros 1k
OBS: Caso o ADM permita né, se não eu removo essa parte,
https://www.facebook.com/cybersecup

1) Ética e Legalidade
Entenda a terminologia de hacking ético
Definir o papel do trabalho de um hacker ético
Entenda as diferentes fases envolvidas no hacking ético
Identificar diferentes tipos de tecnologias de hackers
Listar os 5 estágios de hacking ético
O que é hacktivismo?
Listar diferentes tipos de classes de hackers
Definir as habilidades necessárias para se tornar um hacker ético
O que é pesquisa de vulnerabilidade?
Descrever as formas de conduzir hacking ético
Entenda as implicações legais do hacking
Entenda 18 U.S.C. § 1030 Lei Federal dos EUA >> https://www.law.cornell.edu/uscode/text/18/1030

2) Foot Print (Reconhecimento ou Pegadas)
Definir o termo footprinting
Descrever a metodologia de coleta de informações
Descrever inteligência competitiva
Entenda a enumeração de DNS
Entenda Whois, pesquisa ARIN
Identificar diferentes tipos de registros DNS
Entenda como o traceroute é usado na pegada
Entenda como o rastreamento de e-mail funciona
Entenda como as aranhas da web funcionam
Entenda as técnicas de falsificação de IP.

3) Scanning (Escaneamento)
Defina os termos varredura de porta, varredura de rede e varredura de vulnerabilidade
Entenda a metodologia de varredura da CEH
Entenda as técnicas de varredura de ping
Entenda os switches de comando do nmap
Entender as verificações SYN, Stealth, XMAS, NULL, IDLE e FIN
Listar tipos de sinalizadores de comunicação TCP
Entenda as técnicas de discagem de guerra
Entenda as técnicas de captura de banner e fingerprinting
Entenda como os servidores proxy são usados no lançamento de um ataque
Como funcionam os anonimizadores?
Entenda as técnicas de tunelamento HTTP
Entenda as técnicas de falsificação de IP.

4) Enumeração
O que é enumeração?
O que se entende por sessões nulas?
O que é a enumeração SNMP?
Quais são as etapas envolvidas na execução da enumeração?

5) Invadindo Sistemas
Noções básicas sobre técnicas de quebra de senha
Entendendo diferentes tipos de senhas
Identificando várias ferramentas de quebra de senha
Entenda a escalação de privilégios
Noções básicas sobre keyloggers e outras tecnologias de spyware
Entenda como ocultar arquivos
Noções básicas sobre rootkits
Entenda as tecnologias de esteganografia
Entenda como cobrir suas trilhas e apagar provas.

6) Trojans e Backdoors
O que é um Trojan?
O que significa canais explícitos e ocultos?
Listar os diferentes tipos de Trojans
Quais são as indicadores de um ataque de cavalo de Tróia?
Entenda como o Trojan “Netcat” funciona
O que significa “embrulhar ou embaralhar”?
Como funcionam os Trojans de conexão reversa?
Quais são as técnicas de contramedidas na prevenção de Trojans?
Entenda as técnicas de evasão de cavalos de Tróia.

7)Sniffers (Farejadores)
Entenda o protocolo suscetível para sniffers
Entenda sniffing ativo e passivo
Entenda o envenenamento por ARP
Entenda os filtros de captura e exibição do Ethereal
Entenda o MAC flooding
Entenda as técnicas de falsificação de DNS
Descrever contramedidas em relação a Sniffers

8)DoS e DDoS (Negação de serviço)
Entenda os tipos de ataques DoS
Entenda como funciona o ataque de DDoS
Entenda como os BOTs / BOTNETs funcionam
O que é um ataque "Smurf"?
O que é inundação "SYN"?
Descrever as contramedidas DoS / DDoS.

9) Engenharia Social
O que é engenharia social?
Quais são os tipos mais comuns de ataques?
Entenda o mergulho no lixo
Entenda a engenharia social reversa
Entenda os ataques internos
Entenda o roubo de identidade
Descrever ataques de phishing
Entenda golpes on-line
Entenda a ofuscação de URL
Contramedidas de engenharia social

10) Sequestro de Sessão
Entenda spoofing vs. sequestro
Listar os tipos de sequestro de sessão
Compreender a previsão de sequência
Quais são as etapas na execução do seqüestro de sessão?
Descrever como você evitaria o seqüestro de sessão.

11) Invadindo Servidores Web
Listar os tipos de vulnerabilidades do servidor da web
Entenda os ataques contra servidores da web
Entenda as explorações do Unicode do IIS
Entenda as técnicas de gerenciamento de patch
Entenda o Web Application Scanner
O que é o Metasploit Framework?
Descrever os métodos de fortalecimento do servidor da Web.

12) Vulnerabilidades em Aplicação Web
Entendendo como funciona um aplicativo da web
Objetivos do hacking de aplicação da web
Anatomia de um ataque
Ameaças de aplicativos da Web
Entenda o Google Hacking
Entenda contramedidas de aplicativos da web.

13) Técnicas de Brute Force baseado em Web
Listar os tipos de autenticação
O que é um cracker de senha?
Como funciona um cracker de senha?
Entenda ataques de senha - classificação
Entenda contramedidas de quebra de senha.

14) SQL Injection (Injeção de SQL)
O que é injeção de SQL?
Entenda as etapas para conduzir a injeção de SQL
Entenda as vulnerabilidades do SQL Server
Descrever contramedidas de injeção SQL

15) Wireless Hacking
Visão geral do WEP, sistemas de autenticação WPA e técnicas de quebra
Visão geral de sniffers sem fio e SSID, falsificação de MAC
Entenda os pontos de acesso falso
Entenda técnicas de hacking sem fio
Descrever os métodos de proteção de redes sem fio.

16) Vírus e Worms
Entenda a diferença entre um vírus e um worm
Entenda os tipos de vírus
Como um vírus se espalha e infecta o sistemas
Entenda as técnicas de evasão de antivírus
Entenda os métodos de detecção de vírus.

17) Segurança Física
Incidentes de violação de segurança física
Entendendo a segurança física
Qual é a necessidade de segurança física?
Quem é responsável pela segurança física?
Fatores que afetam a segurança física.

18) Linux Hacking
Entenda como compilar um kernel Linux
Compreender os comandos de compilação do GCC
Entenda como instalar módulos LKM
Entenda os métodos de fortalecimento do Linux

19) Evasão de IDS, IPS, Firewall e Honey POT
Evitando IDS, Honeypots e Firewalls
Listar os tipos de sistemas de detecção de intrusão e técnicas de evasão
Listar técnicas de firewall e evasão de honeypot.

20) Buffer Overflow
Visão geral dos estouros de buffer baseados em pilha
Identifique os diferentes tipos de estouro de buffer e métodos de detecção
Visão geral das técnicas de mutação de buffer overflow.

21) Visão geral de criptografia e as técnicas de criptografia
Descrever como chaves públicas e privadas são geradas
Visão geral dos algoritmos MD5, SHA, RC4, RC5 e Blowfish.

22) Metodologias de um Pentest
Visão geral das metodologias de teste de penetração
Listar os passos do teste de penetração
Visão geral do quadro jurídico do teste da caneta
Visão geral dos entregáveis do teste de caneta
Listar as ferramentas de teste de penetração automatizada.

Essa é a lista, você pode optar por pesquisar e se aprofundar em cada tópico ou escolher algum e estudar, existe até pdfs relacionados ao CEH que foram disponibilizados.

Antes de tudo, esse cronograma é em relação ao CEH v9 o v10 pode ter tido modificações.

É só pesquisar que você acha todo esse conteúdo.

[OFF]

Estou um pouco enfermo então vou falar umas merdas aqui.

Introdução ao Hardening básico.

Vamos começar a estudar um pouco de Blue team? Já pegou um servidor Debian ou Ubuntu e emulou em um VMWARE OU VIRTUAL BOX?

https://www.youtube.com/watch?v=HVMOj1UTIoQ

1) Após instalar o servidor a primeira coisa a se fazer é:
- Desinstalar os pacotes desnecessários usando ferramentas de gerenciamento.
https://e-tinet.com/linux/7-gerenciadores-de-pacotes-linux/
https://www.vivaolinux.com.br/…/Livrandose-dos-pacotes-orfa…
- Proteger contra mudanças nas configurações de Hardware (BIOS)
http://web.mit.edu/…/rhel-sg-pt_b…/s1-wstation-boot-sec.html
- Coloque uma senha forte com nome maiúsculo e minusculo, números, caracteres especiais.
- Configure sua rede em conformidade.

2) Depois de efetuar essas 3 opções agora vamos para os serviços:
- Desabilite serviços desnecessários que você não irá usar.
https://www.vivaolinux.com.br/perguntas/verPergunta.php…
- Remova contas de usuários padrões.
- Atualize os serviços principais que você roda.
- Limite os recursos usados para cada usuário.
https://www.vivaolinux.com.br/…/Como-gerenciar-usuarios-e-g…

3) Configurações preventiva:
- Efetue Backup diariamente, e um semanalmente só que a diferença é que um é para salvar os dados modificados naquele dia e o outro é mais completo.
https://www.tecmint.com/linux-system-backup-tools/
- Utilize criptografia em seus arquivos importantes.
https://elias.praciano.com/…/como-encriptar-um-arquivo-no-…/
- Realize auditoria em seu sistema operacional.
http://www.100security.com.br/aide-auditoria-no-linux/
- Cuidado ao realizar reparos remotamente, não se esqueça de desconectar por completo.

4) Configurações Corretivas.
- Realize um Pentest em seu servidor.
- Configure regras avançadas no Firewall EX: IPTABLES
https://e-tinet.com/lin…/tabelas-do-iptables-firewall-linux/
- Use um IDS E IPS
http://www.friendsti.com.br/tutorial-instalando-e-configur…/
- Coloque tempo de uso do terminal root.
https://www.linuxquestions.org/…/slack…/root-timeout-232433/
- Teste o seu Backup sempre!
- Desabilite as permissões de Root via SSH ou outro tipo de conexão.
https://www.linux.com/learn/5-ssh-hardening-tips

Por enquanto é só isso.

BÔNUS: https://www.linuxdescomplicado.com.br/…/30-ferramentas-que-…

[OFF]
Vou falar algumas merda aqui, então pode me xingar kkkk

Como eu posso ser um Elliot?

Basicamente todos sonham ser um Elliot da vida, mas não conseguem por desanimar no caminho ou não ter uma base para aonde começar, só que eu vou dar algumas dicar para você se tornar um Elliot da vida.

"NÃO QUE EU SEJA UM ELLIOT NADA DISSO!"

Vamos para algumas dicas:

1) Base/fundamentos: Decida qual área você vai iniciar antes de estudar qualquer coisa. "aaaaaaaaaaaaaaainnn ELLIAS seu retardado, que área eu devo começar seu burro!!!!!!" Então meu amiguinho se você não tem conhecimento em nada, eu recomendo estudar o principio básico da computação, pois não adianta começar na área da programação se nem sabe nem diferenciar CPU de GABINETE. Então pegue apostilas, cursos free que tem por ai ou videos no youtube e estude informática básica. Mas se eu já sei a diferença de CPU pra Gabinete, por onde eu começo?
Vejamos, você precisa saber Programação e Redes de Computadores tendo isso como base o resto fica fácil, afinal é atrelado a esses 2 pilares, então investir em conhecimento gerais na área de TI é bom só que é necessário ter os 2 pilares em mente para efetuar um Pentest ou configurar dispositivos de segurança como Firewall/IDS/IPS/HIDS e assim vai.

Mas tenha uma base sólida, estude atrelado a outras questões como a Programação atrelada a Redes, Pentest atrelado ao Hardening e assim vai.

"AAA Mais isso eu sei, só que eu quero iniciar em Pentest e não em Programação e Redes" É amiguinho se tu quer começar em Pentest, primeiro saiba que o NMAP não é só rodar, e se tiver um Firewall por trás, como tu vai saber o melhor SCAN para efetuar uma evasão naquele firewall ou IDS?

Entenda que a base ela não é opcional e sim obrigatória, quando você vai fazer uma faculdade tu vai adquirir uma base pra você se aprofundar e a sua base é o principio, ou seja, se tu não sabe nada de TI porque diabos tu vai querer testar um sistema se tu não sabe a diferença de um servidor debian do red hat? Não venha me falar que é o nome! Então ter os conceitos ou a base sobre o que é um sistema operacional, vai ajudar você a saber diferenciar um UNIX do Linux e o Windows do Macintosh e assim vai.

Por exemplo: Não adianta eu aprender Buffer Overflow se nem programar eu sei, como você irá desenvolver um exploit? Como tu vai explorar uma falha se não sabe como programar? Entenda que o Pentest não é só rodar ferramentas e já era! Aposto que muitos sabem rodar o Metasploit e explorar uma máquina, mas efetuar uma pós exploração, elevar privilégio, fazer um pivoting é pra poucos...

Outro exemplo mais fácil de entender é o SQLi, se tu sabe SQL tu vai conseguir explorar uma vulnerabilidade de SQLi facilmente.

2) Estudos: Não adianta tu querer estudar diversas coisas de uma vez só que tu não vai conseguir absorver, uma hora tu ta estudando python e ai bate o autismo e começa a estudar Java, e ai do nada vai pro C e ai começa a estudar Redes e depois pentest e ai quando você perceber tu não absorveu nada!

Então tenha um cronograma de estudos, defina um tempo em seu dia de Domingo a Domingo pelo menos 2 horas, pra estudar o conteúdo que você iniciou e troque de conteúdo só quando você dominar, seja louco! Finja que você irá apresentar um TCC na faculdade relacionado aos seus estudos e se alguém perguntar o por que de você falar sozinho, mande a pessoa ir a merda! (MENOS OS SEUS PAIS!!) e faça isso com conteúdos dificil como Buffer a Engenharia reversa e Analise de Malware que o pessoal quebra mais a cabeça kkkkk, então monta o teu cronograma a cada semana estudar algo e se estiver na faculdade monte 2 cronogramas o da faculdade você joga como revisão no fim do dia e o que você realmente quer estudar coloca como prioridade, porém não deixe a faculdade de lado! Agora se o conteúdo que você está estudando seja o mesmo da faculdade ai é melhor ainda!

3) Prática: Ficar na teoria não dá certo só vai te deixar com "RANÇOOO KKKKK" e vai te desanimar nos estudos, então eu recomendo você jogar na prática também, ou seja, você vai aprender Python só anote o principal e jogue tudo na prática eu mesmo aprendi a programar usando comentários, a cada linha de código eu colocava uma explicação e assim me ajudou muito!

Porém a sua prática tem que ser desafiadora, não adianta você desistir de começo se tu não conseguir programar um código, busque conteúdos sobre só que a resolução deixa por último as vezes você acaba fazendo totalmente diferente da resolução.

Agora se tu for aprender conteúdos que pareça só teórico, tente procurar exemplos práticos, exemplo: Vou estudar cabeamento estruturado só que você não tem um servidor e vários CAT5! Então veja um vídeo prático e reveja várias vezes até entender.

Uma outra coisa é compartilhar o conhecimento, tu vai acabar criando um grupo de estudos que vai ajudar tanto você como os outros!

Monte laboratórios e treine até ficar craque, mesmo que já saiba resolver você pode tentar outros métodos.

4) Leitura: Acho que a melhor maneira de você ser um cara com grande conhecimento é lendo, seja uma reportagem, livro ou artigo, ambos vão te ajudar com seu conhecimento só que a leitura repetitiva é essencial, não adianta só ler e já era tente compreender o que está sendo dito, pois uma coisa vai puxando as outras e até mesmo um debate já ajuda nessa questão, porém não leia só sobre TI foque em outras coisas também!

5) Analista: O Elliot ele é um ótimo engenheiro social por ser um bom analisador e um cara que levanta muitas informações sobre a vítima antes de fazer algum movimento, além de sua linguagem corporal o seu jeito de falar e a sua personalidade, ele também observa as pessoas que ficam ao seu redor e por que ele aceita essas pessoas ao seu redor, então saia da sua caixinha e entre para o infinito, ou seja, saiba criticar o por que das coisas e adquira um pensamento critico em relação a tudo pense em que nada está certo que tua mente vai levantar muitas informações (PORÉM, NÃO GARANTO QUE A DEPRESSÃO NÃO VENHA COMO CONSEQUÊNCIA).

6) Diploma: Acho que os diplomas são algo que hoje em dia não deveriam ser mais exigidos nas empresas, porém quebraria a acadêmia nesse aspecto kkkkk e as empresas vinculadas a universidades não permitiriam, mas não julgue um diploma por sua instituição e sim pela pessoa que o porta, além disso faça jus ao seu diploma ou certificação, não adianta só ter o papel e não se aprofundar nele, como assim? Vou explicar; Vamos supor que você tirou a CEH certo?
Então você tem a certificação, mas você não é completamente um CEH ainda, pois não é só ter o papel o objetivo da certificação é comprovar que você está se dedicando a conhecer os conceitos do Hacking ético e que tem uma organização que contribui com isso, seja ela a EC-COUNCIL, ISC², ISACA, COMPTIA OU EXIN, tu vai representar alguém e as pessoas vão querer saber como é um CEH o conhecimento que ele tem e se tu não demonstra tu suja o nome da organização e recomendo não renova-lá, então fica a dica ao tirar uma certificação porque não é só ter certificação e já era, a um contrato que tu precisa cumprir e os outros espera que você o cumpra.

7) Eventos: Acho que a principal maneira de adquirir conhecimento é por meio dos eventos, dos networkings e das competições hackers que vão te ajudar em questões de pressões e até mesmo em conhecimento, então participe dos eventos seja de Segurança ou de outras áreas.

[off]

Existe uma questão muito complexa relacionada a segurança da informação e as outras áreas.

Veja bem, a maioria das faculdades em seus cursos de graduação em TI já tem sua ementa de segurança, mas essa ementa não se encaixa na prática ou fica algo com brechas, afinal o programador iniciante nunca vai se preocupar em defender seu código ou até mesmo aquele que já está a um tempo não vai querer se preocupar com as vulnerabilidades do código, porque ele já está ganhando o seu salário e ele acha que nunca será atacado por conta dos ativos da empresa as vezes não tem valor.

E ai entra o trabalho que os cursos de graduação deve ter, que é investir em segurança da informação em todo o curso, não criar uma ementa de 160 Horas e sim toda a ementa como Programação em Java ou Configuração de servidores, ter segurança envolvida.

Afinal, a segurança ela é onipresente é seu "deus" e sem ela você vai ter prejuízos enormes. Então você que está estudando e não liga pra segurança, começa a estudar pra tu garantir o seu emprego e se destacar no mercado.

VLW FLW

[OFF]
Não tem nenhum lugar pra ir? Vai ficar o dia todo jogando ou programando? É solitário que nem eu?
Que tal ver umas palestras sobre segurança?

CASO TENHA ASSISTIDO TODAS ESSAS PALESTRA JÁ, RECOMENDO MARATONA DE MR. ROBOT OU BLACK MIRROR.

[OFF]
Só pra descontração.

Estava discutindo com alguns amigos, qual seria o currículo do Elliot, então em minha opinião ele possui o seguinte currículo:

Sabemos que o mesmo antes de entrar na allsafe ele trabalhou como Ethical Hacking em uma outra empresa, mas foi demitido porque Mr. Robot destruiu os servidores da empresa;

- Faculdade:
Graduado em Ciência da Computação (Provavelmente em Stanford, Mit ou Cambridge);
Pós graduação em Cyber Security;

- Certificação:
Ethical Hacking (EC-COUNCIL)
OSCP (Offensive Security)
CISSP (ISC²)

- Experiência Profissional:
Hacker ético (Cyber Security Specialist);
Engenheiro de Cibersegurança;
Analista de Segurança da Informação;

- Competências:
Sabe programar em Python, C, C++, PHP, Ruby, Java, Java Script e Assembly;
Conhecimentos em pentest, forense, analise de malware e redes de computadores;
Especializado em coleta e observação de informações e em engenharia social;
Especialista em Linux;

- Complemento sobre ele
Curte um Kali Linux;
GNOME
Seu computador é Dell Optiplex GX280;

Essa foi minha brisa de hoje kkkkk

[OFF]

Quais são as suas referências?

Acredito que todos aqui tenham alguém ao qual se inspire ou que acha uma referência na área de segurança da informação, tem aqueles que não possuem referência ou nenhuma e acha algo inútil. Mas devemos analisar antes que a referência é por a pessoa ter um grau de conhecimento na área e usa isso para contribuir, porque muitos confundem essa questão com puxar saco, afinal o cara não contribuiu com nada e você o considera como referência por ser uma pessoa que você goste por ele ter uma opinião parecida ou algo do tipo.

Porém devemos considerar aqueles que a cada dia cria conteúdos ou ajuda a outros com seu conhecimento mesmo que seja o minimo, pois é melhor dividir o pouco por gostar de ajudar, do que dividir o muito para ganhar popularidade. Então nunca troque conhecimento por reconhecimento, sim é algo maravilhoso ser reconhecido, só que o melhor reconhecimento é aquele que você não espera e isso faz com que você melhore cada vez mais.

Pensem nisso!

[OFF]

Quero trabalhar com segurança, mas nem preencho os requisitos mínimos, e agora? Tenho que investir em uma outra faculdade? Pagar cursos caros? Investir em certificações de todos os produtos como CISCO, AVAYA, FORTINET/FORTIGATE, TRENDMICRO, MACAFFE e etc..?

A Resposta é simples, você não precisa se preocupar em fazer uma outra graduação, em investir em milhões de certificação sem necessidade. Se for tirar certificações em algum produto, tire da qual você tem mais contato seja CISCO, AVAYA e etc.
A questão é estudar o mercado e ver quais são os produtos que as empresas estão mais usando, será que as empresas usam muito AWS? Muito Zabbix? Então porque não pagar um curso barato que ensine os fundamentos?
Muita das vezes não é necessário investir milhões em cursos sobre tal ferramenta, afinal, o mercado não pede algum curso e sim preenchimento de requisitos, se você possui um certificado vai contribuir e ajudar a ficar na frente dos demais.

Existe maneiras de você conseguir preencher alguns requisitos na área, sem precisar gastar muito dinheiro e sim o seu tempo estudando.

Então vou deixar alguns cursos de algumas tecnologias que o mercado sempre vem investindo.

DEVO NEM EXPLICAR QUE O INGLÊS É NECESSÁRIO NE?

[OFF]

Pra que faculdade?

Mas uma coisa eu te falo, hoje nas universidades existe a diferença de Aluno pra Estudante, o aluno é o que assiste a aula faz as lições só que não vai afundo, o estudante além de assistir as aulas ele procura e pesquisa por conta própria, então não é porque um auto-didata sabe mais que uma graduação é de se jogar fora, afinal muitas empresas ainda exigem um superior e preferem um graduado em vez de um auto-didata e isso vai ser difícil de mudar pelas pequenas e médias empresas, pois vejo muitos falando que Graduação é perca de tempo e que prefere buscar por conta própria e não está errado nessa questão só que deve considerar algumas questões antes de fazer uma faculdade.

1) Faculdade não é só para você ter um diploma, e sim para absorver uma base de conhecimento para que você consiga decidir uma área de atuação.

2) Se você faz uma faculdade e não está contente com resultado ou o curso que você faz não é pra você, ou pode ser culpa da didática do professor, mas não adianta reclamar se ao chegar na universidade só quer ficar de boa como se fosse o ensino médio que é só copiar e pedir pro professor dar um autografo no caderno.

3) Faculdade não é tudo, FATO! tem pessoas que não tem e trabalha na área, e outras até mesmo são as mais ricas do mundo como Zuckerberg, só que se a faculdades não fosse necessária deveríamos fechar a metade cerca de 180 faculdades e deixar umas 30 pelo Brasil, afinal a faculdade veio pra te dar uma base de conhecimento.

4) Sem as universidades obviamente você não teria o acesso fácil a educação, afinal são alunos que pagam por cursos e que disponibilizam conteúdos que são pesquisados pelos mesmos, vejo muita gente dizendo que quem faz superior está perdendo tempo, mas esquece que o conhecimento que você adquire sozinho veio na maioria das vezes pessoas com superior no currículo.
E outra você só perde tempo se tu faz algo que não goste e pega DP por vacilar mesmo, afinal só pega DP quem quer

5) Se você não quer fazer superior escolha sua, para você é perca de tempo só que a universidade ela existe pra formar pessoas em suas respectivas áreas, é basicamente pegar diversos cursos da Udemy e colocar em 2,3,4 ou 5 anos e além disso ter uma organização por trás pra te ajudar nas suas pesquisas, isso que muitos esquecem acha que a faculdade é só pagar ou se matar em um vestibular e já era, mas existe muitos benefícios por trás.

Mas espere ai? Está querendo me dizer que sou obrigado a fazer superior? Não! Estou falando que as pessoas que fazem superior elas optaram por facilitar os seus estudos e ter uma organização por trás para ajudar até mesmo em suas pesquisas.

Uma pós graduação ela serve tanto pra quem quer se aprofundar em uma área profissionalmente, para quem quer realizar pesquisas em uma determinada área, conheço analistas de redes que são mestres em Biomedicina só que não atua na área e sim só está pelas pesquisas que a universidade chega a financiar você. Então não julgue a pessoa pela sua universidade e sim pelo jeito de como ela leva a sério a questão dos estudos se a pessoa está na faculdade por sentir que é uma obrigação ter um superior, esquece, Faz outra coisa da vida só que não entra na universidade pra pegar DP e se estressar atoa como muitos fazem.

Então faculdade está além de perder tempo aprendendo algum assunto pra nem usar 50%, a faculdade veio pra ter dar uma base pra que se desejar fazer uma pós você decida qual fazer, caso só queira pro profissional só pro mercado você ter uma noção do que aquela área pode te proporcionar e escolher em que segmento ingressar.

[OFF]

Qual será o futuro da segurança da informação? O que diferenciou durante 2 décadas a segurança?

A área de segurança da informação pode parecer uma área mais atual, porém a existência dela já ultrapassa a mais de 5.000 anos quando os Egipcios usavam criptografia para esconder informações e segredos por intermédio de escritos nas paredes, e assim foi durante vários séculos aonde era usada a criptografia para que só aqueles que tinham conhecimento conseguisse ler e interpretar tal informação, e a preocupação com a defesa de bens ou alguma coisa importante já é antiga aonde as pessoas protegiam seus bens com grandes criptas, e ai percebemos que a segurança daquela época pra atual não muda muita coisa.

Se pararmos pra analisar hoje usamos sistemas de segurança para proteger os ativos de uma empresa para que ela continue operando, e isso não é diferente a séculos atrás aonde tínhamos uma continuidade de cultura por intermédio da proteção dos bens e assim alguém descobrindo e estudando sobre tal, poderíamos definir os crackers como aqueles que queriam invadir o território inimigo para ter os seus bens e as botnets sendo as pessoas que nela se encontravam.

Então hoje em dia se preocupamos em defender os dados da nossa empresa tanto no meio cibernético que é a mudança que ocorreu, pois com a chegada da internet entra a segurança tecnológica, mas ainda temos a segurança física que é desde proteger algum local com dispositivos de segurança a proteção de pessoas de alto cargos que contém as informações necessárias para a organização fluir e continuar.

Em grandes empresas os diretores não pegam os mesmos aviões, pois se um cair não a organização não caia junto e assim tendo a continuidade de negócio.

Podemos esperar que no futuro com aumento da tecnologia e a industria 4.0 e 5.0 batendo na nossa porta com robôs e a própria IA se aprimorando a cada dia mais, a segurança da informação entre em outro patamar e surgindo mais segmentos ou substituir outros segmentos e até mesmo ter a sua junção.

Portanto, invista em tecnologias do futuro e se atualize a cada dia porque a área da segurança da informação é uma área que você não pode pensar em deixar de estudar nenhum dia, pois a cada minuto uma tecnologia nova é inventada.

[OFF]

SOU UM MERDA NA ÁREA DE PENTEST, NÃO CONSIGO PROCEDER NA HORA DE TESTAR UM AMBIENTE REAL, E AGORA?

Ta tentando fazer um pentest, mas nem sai do lugar?

Já pensou em montar laboratórios? Se sim e continua com esse problema, isso pode significar uma coisa. FALTA DE FUNDAMENTOS!

Sempre falo de fundamentos em meus posts, porém devo ressaltar que sem fundamentos você não vai proceder em nada, já pensou você testa uma rede e compromete a máquina do cliente que é WIN 10 e não consegue efetuar escalação de privilégios? Testar a exploração é fácil o METASPLOIT faz tudo, agora escalar privilégio é mais dificil mesmo tendo os modulos auxiliares é necessário alguns conceitos.

Windows temos o CMD que é o principal a se conhecer, pois com ele tu modificar as configurações do sistema. E além dele temos o POWERSHELL que é necessário para automatizar e configurar sistemas via scripts e sabendo manusear essa ferramenta fica mais fácil invadir tanto Windows como Linux e MAC.

Agora se tu já estudou e não consegue aplicar, é porque você não investiu na prática que não adianta só fazer uma vez, você deve repetir até gravar em sua mente e anotar os erros para saber solucionar depois.

Existe muito conteúdo na internet temos a UDEMY E O YOUTUBE com cursos de até 25 R$, então invista em seu conhecimento e sempre assista uma aula de até mesmo um assunto que sabe pra reforçar, use canais com boas referências menos o nosso "CYBER SECURITYUP" use o do Professor Rodrigo, Ricardo Longatto ou Daniel Donda. Além disso veja palestras na Road Sec e XTREME SECURITY e a eSecurity também tem um conteúdo interessante em seu canal.

Tem dificuldade com a leitura por ter TDAH por exemplo? Tente pegar aquele conteúdo em video e assistir e não esqueça de aplicar na prática até gravar na mente e anote os pontos chaves.

Monte os seus laboratórios que fica fácil entender o ambiente real e nunca copie o tutorial sempre tente inovar e pesquise!

Estudo todos os termos gerais e pesquise e pesquise cada informação que aparecer e anote os principais conceitos.

E o resto é do seu esforço e das suas limitações!

[off] [opinião]

O que é ser hacker?

Muitos discutem o que é ser um Hacker, será que ser um Hacker é saber invadir computadores? Um hacker é só um programador?
Não! Na verdade a palavra Hacker é uma polissemia com vários significados que você pode definir, talvez um Hacker seja aquela pessoa com um grau de conhecimento elevado sobre diversos assuntos na área de TI, ou aquela pessoa que realiza modificações ou melhorias por beneficio próprio ou para ajudar outras pessoas. Ao longos dos anos tivemos diversas modificações nessa palavra, sendo em seu princípio para designar a melhoria de um código, usado por Phreakers ou os Hackers da Telefonia até os invasores de computador. Então como você vai definir algo que muda constantemente? Não tem como, mas podemos ter certeza de que um Hacker é que tem um grau de conhecimento elevado sobre um assunto, hoje nós temos o Hacker do Marketing o Hacker da Mecânica e assim vai, afinal, são palavras que corresponde ao saber o conhecimento que você tem te torna um Hacker, muitos dizem que para você ser um Hacker a sociedade deve o reconhecer como um, porém o reconhecimento de burro (simbolicamente) não vale nada, como que o cara pode te definir Hacker se ele não tem conhecimento sobre computação, e isso é exemplificado pela hierarquia da faculdade, se tu faz Ciência da Computação tu não vai ser cientista assim quando você faz Engenharia tu não é engenheiro e assim vai, então não é porque você fez um cursinho de Hacker no Youtube ou fez o treinamento de fulano que tu vai ser Hacker, nem mesmo quem tem CEH, OSCP ou SANS pode ser considerado um ainda! É complicado ter uma definição exata, pois, na verdade você deve-se perguntar o que não pode ser Hacker hoje em dia? Por que essa palavra pode ser usada em todas as áreas do conhecimento e ai que ta a pegadinha na hora de chamar alguém de Hacker.

Essa sendo minha Opinião!

[OFF]

Como estudar para uma certificação?

Vou passar algumas dicas que eu usei para tirar as minhas certificações na área de TI

1) Escolha a certificação que deseja tirar e certifique-se que essa é a correta pra você, não adianta tu tirar a certificação Java se tu não trabalha e nunca trabalhara com Java, então saiba no que vai investir.

2) Procure cursos, repositórios e simulados para você ir estudando, e não dispense um livro sobre a sua certificação, pois, em diversos os casos os livros são mais completos que um curso.

3) Procure pessoas que já retiraram tal certificação para que eles possam lhe ajudar, afinal, nada melhor consultar alguém que já possui tal certificação e experiência.

4) Compre cursos que tenha uma boa ementa e que cobre tudo da grade da certificação que você vai retirar, de preferência faça o curso de instituições credenciadas pela própria organização certificadora.

5) Caso seja sua primeira certificação, retire uma fácil para que você se familiarize com uma prova de certificação, se tu começar tirando as mais difícil a chance de reprovação é maior não por falta de estudo e sim por nervosismo, desespero e ansiedade.

6) Grupo de estudos é essencial para você que deseja tirar alguma certificação.

7) Laboratórios são indispensáveis principalmente em certificação prática, detone todos os laboratórios disponíveis que você tem.

8) Gerir o seu tempo é essencial, nas 2 primeiras horas o nosso cerebro capita a mensagem facilmente, depois dessas 2 horas o nosso cerebro fica preguiçoso e já não grava direito, então é bom sair e relaxar a mente e diminuir o seu estresse.

9) Use a técnica de pomodoro me ajudou muito pra tirar a minha ultima certificação, você pode adaptar essa técnica conforme sua necessidade.

[OFF]

Vou dar algumas dicas para quem deseja Iniciar o seu negócio na área da Segurança da Informação principalmente na área de Pentest.

1) Tenha conhecimento na área, não adianta só rodar 1 ou 2 ferramentas e nem saber o que está fazendo, as empresas sérias contratam profissionais capacitados e que tem reconhecimento no mercado, ou seja, já tem uma certa experiência de carteira na área ou possui certificações que agrega valor e um portfólio ótimo!

2) É necessário cadastrar uma micro empresa, afinal, muitas das empresas atualmente, pedem assinatura e nota fiscal para caso aja algum problema.

3) Apresente metodologias se você for trabalhar com Pentest as metodologias são necessárias seja ela uma que você criou ou as de mercado como NIST, OWASP, PTES e entre outras.

4) Defina tabela de preços conforme mercado se você não tem noção de quanto é tal serviço, então você nem deve abrir uma empresa ainda, pois, o conhecimento no mercado é essencial para o sucesso.

5) Saiba investir, não gaste mais do que retorna e evite ficar no vermelho, o retorno, os clientes, o reconhecimento vai vim por divulgação um bom marketing (Nivel fraga) pra tu ganhar clientes.

6) Honestidade é essencial para você continuar, se você não sabe, não sabe, reconheça que você não tem conhecimento de tudo, porém tente se aprimorar no mercado nunca fuja dos seus princípios por causa de $$$.

7) Se você deseja começar sem investir quase nenhum centavo, visite sites de freelance aonde tu pode publicar o seu projeto gratuitamente, não conheço nenhum atualmente só que vai te ajudar muito a tu ganhar algum dinheiro sem precisar investir muito no começo.

8) Não confunda Bug Bounty com Serviço, não é porque você encontra vulnerabilidade em um site que você está apto a sair testando ambientes, afinal, você tem um escopo a seguir e tu tem o tempo todo pra encontrar a vulnerabilidade primeiro, e num teste de penetração em alguma empresa é por hora, se tu não fez nada em uma hora só ligando o kali ou resolvendo o problema no DPKG tu já perde moral, então diferencie os serviços que você faz de um serviço mais profissional ou como muitos dizem "FORMAL".

9) Tenha sempre um modelo próprio de relatório, e acrescente os mínimos detalhes no relatório técnico e seja direto no relatório não técnico, imagine que no não técnico a pessoa que tu vai apresentar é um cara que sempre fala que a internet dele é 5 GB em vez de MB ou que não sabe diferenciar um notebook do desktop.

10) Participe de eventos e faça parcerias com empresas do mesmo ramo se for possível, se tu fortalece o seu networking vai ser mais propenso de sua empresa crescer a cada dia que passa.

11) Tenha um relatório de linha de tempo pra que não aja problemas caso tenha uma queda no servidor e a pessoa te culpe por essa queda, sendo que você está testando as máquinas de um outro ambiente, nesses relatórios você coloca Hora, Data, O que estava fazendo, e alguns detalhes.

12) Siga o que foi pedido, não invete fazer mais do que foi pedido para você fazer, mesmo que você tenha a intenção de ajudar só que se o cliente pediu para fazer X coisa, faça só essa X coisa se for pra modificar algo coloque no relatório final.

13) A gramática e apresentação é essencial, a maioria repara a sua organização e se tiver com certeza ele vai contratar o seus serviços de novo ou até indicar.

14) Saiba os seus limites e até onde você pode chegar, evite desenvolver malware pra testar o sistema, fazer ataques MITM sem a permissão técnica e não técnica, ler o conteúdo de arquivos sigilosos e colocar no relatório e garanta a confidencialidade conforme a ISO 29147.

DUVIDAS?

[Dica]
Certificação Ethical Hacking

Para quem pensa em tirar a certificação Ethical Hacking da EC-COUNCIL vou dar algumas dicas básicas por que é muita coisa a se falar:

1- Oque você precisa estudar? Vamos lá! = A Ethical Hacking ela puxa um conhecimento teórico e prático e esse conhecimento é desde o levantamento de informação a exploração e pós exploração. Então você precisa saber: Quais são os Tipos de ataques, Scanning, FootPrint, Enumeration, System hacking, sniffers, trojans e backdoors, virus e worms, Ddos e Dos, Engenharia Social, Sequestro de sessão, Wireless Hacking, Sql injection, Hacking Web Servers, Web application vulnerability, Técnicas de Web password cracking, Buffer Overflows, IDS-IPS-FIREWALLS-HONEYPOT e Criptografia. Muitas coisa né? e Não só isso precisa conhecer diversas ferramentas. Por exemplo: Qual das seguintes opções é uma ferramenta passiva de descoberta sem fio?
A. NetStumbler
B. Aircrack
C. Kismet
D. Netsniff
(Se quiserem responder)
Perceberam não é só conhecer ataques e sim as ferramentas e o seus fundamentos também.

2- Como faço para estudar tudo isso? Tem curso? Posso estudar em casa? = Particularmente eu fiz um curso preparatório mais isso não significa que você não pode estudar em casa, lógico que pode! Como eu já passei o conteúdo que vai cair vocês podem ajuntar essas informações e correr atrás de apostilas e tutoriais no youtube lógico que o desempenho é mais lento. Só que tem o porém ao fazer um auto-estudo precisa provar que tem pelo menos 2 anos de experiência na área de segurança e a autorização do conselho da CE, agora se fizer o cursos que eles oferecem já se pula algumas etapas.

3- Detalhes = Antes de tudo vocês precisam saber alguns detalhes da certificação:

1)Número de perguntas: 125
Duração do teste: 4 horas
Formato de teste: escolha múltipla

2)Você deve mostrar 2 anos de experiência de trabalho em campo relacionado à segurança. Você também deve enviar um pedido de elegibilidade do exame CEH e obter uma autorização do Conselho da CE antes de tentar o exame. (ISSO NO CASO DO AUTO-ESTUDO)

3)Ao tirar a certificação = Parabéns por se tornar um CEH! Você se juntou a um grupo de profissionais de elite em todo o mundo. O seu próximo nível é tornar-se um Analista de Segurança Certified do Conselho da CE (E | CSA)

4)Ela precisa ser renovada de 4 em 4 anos.

5) Na hora do exame é proibido ter caderno com anotações, algo escrito na mão, acesso ao google, nada escrito nas paredes ao redor e ninguem por perto.

4- E por fim essa certificação não é facil e se estudar e parar de perder muito tempo com facebook, whatsapp, telegram, youtube e fica dando deface nos sites aleios tu passa tranquilo, eu fechei com 96% por que eu ralei pois não é de graça. Imagine tu paga 950 dolares e não passa?

No meu caso eu fiz curso preparatório, peguei conteúdo fora a parte eu ficava lendo o guia do exame não perdia tempo pra nada, a dica que eu dou e conversar com quem já fez com quem renova de 4 em 4 anos pois os caras já tem uma certa experiência e pode te ajudar, e assim faça o exame quando se sentir preparado não vai afobado de comprar o exame marcar uma data e estudar até essa data por que se não vai quebrar a cara, e no dia do exame durma bem e coma bem que vai ajudar.

E vou deixar alguns cursos não são preparatórios pro CEH alguns é pagos outros é free mais vão te dar noções básicas eu ja devo ter postado antes mais vale relembrar.

LINKS:
Um ótimo curso para você entender os fundamentos, esse na verdade é pro EHF mas pra agregar o conhecimento é bom = https://www.udemy.com/fundamentos-de-ethical-hacking

Curso ótimo para parte de wireless hacking = https://www.esecurity.com.br/…/teste-de-intrusao-em-redes-…/

2 cursos de pentest bons =
http://www.pentestprofissional.com.br/
https://www.esecurity.com.br/cur…/advanced-penetration-test/

2 Mega cheinho de conteúdo =
https://mega.nz/#F!hwVDTZiC!Toc9ScaKdJfYGTgYvclRYw!cxdBEKTL
https://mega.nz/#F!KIRE3DDS!RSwncUf5rVV_RZ_GLu-ccA!GYgRDYIT

Cursos free que ajudam também:
https://www.cybrary.it/course/advanced-penetration-testing/
https://www.cybrary.it/course/ethical-hacking/

ótimo conteúdo de buffer overflow:
https://www.youtube.com/watch?v=59_gjX2HxyA&t=1s

Tipos de ataques:
https://pt.wikipedia.org/wiki/Amea%C3%A7as_a_computadores

Scanning:
https://www.lynda.com/…/Ethical-Hacking-Scann…/476619-2.html
https://www.youtube.com/watch?v=tuJuI03BinQ

Footprint:
https://www.youtube.com/watch?v=7oYnBn_jbt8

System hacking:
https://www.lynda.com/…/Ethical-Hacking-Syste…/476620-2.html

Criptografia:
https://www.youtube.com/watch?v=cWld3rMD7Wk

SQL CURSO:
http://www.softblue.com.br/…/CURSO+DE+SQL+COMPLETO+BASICO+A…

Preparatórios:
https://www.trainning.com.br/…/curso-ceh-certified-ethical-…
http://www.softsell.com.br/ec-council/ceh/

Guia dos exame ethical hacking:
https://drive.google.com/…/1qNV7N4iFv0q0dA4h7ADozSPe439lWJzj:

Comprar o Exame:
https://store.eccouncil.org/product/ceh-vue-exam-voucher/

15 perguntas do exame de teste prático gratuito:
http://www.gocertify.com/quizzes/ceh/ceh1/Question-8.html

Informações do exame + treinamento:
https://www.eccouncil.org/pr…/certified-ethical-hacker-ceh/…

[OFF]
LinkedIn e seus beneficios.

O LinkedIn é uma rede social de negócios e empregos, é a maior rede social de negócios do mundo e sendo a principal no ramo.

E o linkedIn surgiu com a necessidade de facilitar as empresas a contratar pessoas e expandir os seus negócios, além de ser uma ótima rede para networking ela te possibilita atualmente fazer cursos e a descobrir as necessidades do mercado.

Mas, por que devo usar o linkedin?

O LinkedIn é essencial para nosso âmbito profissional, além de ajudar a crescer profissionalmente, vai nos ajudar também a fazer um Networking, arranjar emprego e entender as necessidades do mercado. E para isso quem deseja entrar na área de TI o linkedIn é essencial, pois, muitos recrutadores usam a rede para buscar profissionais, e o legal da rede que ele te conecta as pessoas que são do mesmo ramo que o seu, facilitando as coisas e eliminando aqueles contatos indesejados que não agrega nada, além de você escolher quem vai fazer parte da sua rede ou não.

Os artigos também são essencial lá, afinal a visibilidade será por parte de profissionais da área que tem bagagem.

Eu particularmente uso raramente o linkedIn, afinal perdi o meu kkkk, Mas é um bom começo para quem deseja entrar na área e agregar algum conhecimento.

Tenho um perfil que anda parado a muito tempo e preciso editar algumas coisas, mas quem quiser me colocar na sua rede o link é esse:

[OFF]

Vazamentos de dados? nunca nem vi!

Essa é uma frase bem famosa pelas empresas que tem seus dados vazados "NUNCA NEM VI", muitas desconhecem o risco em potencial de ter dados tanto da organização como de clientes vazados, muitos criam a mentalidade de que não é alvo de criminosos por ser uma empresa pequena, porém isso vai mais além, afinal, os criminosos preferem esse tipo de empresa para roubar dados sensíveis e vende-los no mercado negro.

Mas, você pode mudar essa situação por colocar em prática algumas questões:

1 - Conhecer sobre segurança da informação = Antes de tudo você deve possuir conhecimento na área da Segurança da Informação, ou seja, qual é a sua importância e porque é necessária todas as empresas ter.

2 - Classificação de Ativos = Os ativos são tudo o que gera renda o que da um retorno financeiro, e os ativos é o principal componente que a Segurança da Informação visa proteger.
Segundo a ISO 27001/27002 ela classifica a informação em 4 tipos:
Pública (todos podem ver a informação)
Uso interno (o mais baixo nível de confidencialidade)
Restrita (médio nível de confidencialidade)
Confidencial (o mais alto nível de confidencialidade)
Então entendo as classificações de ativo. você vai saber qual informação é prioridade na proteção e qual não precisa exigir muitos esforços, e você pode medir isso pelo valor dela, pensar o que aconteceria se você tivesse essa informação vazada.

3 - Dispositivos de Segurança = Investir em softwares e hardwares para a segurança é a melhor coisa.
Temos os IDS/IPS/NIDS/HIDS e os Firewalls que ajudam a mitigar os riscos e acessos não autorizados, fora o antivírus que impedem de ter os seus dados modificados por algum malware.
Além dessas coisas, podemos implementar catracas, biometria e até mesmo cartões de identificação para proibir acesso a determinados ambientes.

4 - Politicas de Segurança = Ter uma boa politica de segurança para conscientizar os usuários/funcionários e a melhor opção, impedindo até mesmo ataques de engenharia social. Um exemplo de politica é a da Mesa limpa que consiste em deixar o seu ambiente sem nenhum produto quimico, papeis desnecessários ou expostos com senhas de usuários.

[OFF]

O que é certificação e como ela veio pra bater de frente com os que se dizem profissionais na área?

Para muitos a certificação é algo inútil e que não serve para nada, ou é até mesmo um investimento insignificante. Mas essa afirmação está errada!

As primeiras certificações surgiram de departamentos do Governo como a própria ITIL que surgiu do departamento de telecomunicações e computação do Reino unido, essa certificação veio para definir as práticas numa organização ao uso da Tecnologia, ou seja, como essa organização iria usar a tecnologia no seu dia a dia e assim precisariam de um Gestor de TI.

Mas a história das certificações eu conto depois kkkkk.

Então as certificações ela veio tanto para mostrar que você tem conhecimento e que é apto para implementar ou testar tal coisa, e também veio para ajudar a diferenciar um profissional no mercado, então aquele que possui uma certificação significa que está se especializando na área e não parou apenas em uma faculdade ou curso, e além disso as certificações de normas como a ISO 27001, 27002 e entre outras é propriamente dito como certificações quase que obrigatórias.

No mercado profissionais que tem certificação eles ficam a frente em muitas questões, até mesmo se você trabalha terceirizado ao qual quem contrata os serviços vai pegar alguém certificado que tem conhecimentos em vez de alguém não certificado.

Só que nem todo profissional certificado é um profissional tem muitos ai que comprar certificação e por isso que é bom testar antes de sair pegando qualquer malandro que paga pra ter a certificação.

[OFF]

Desistindo do mercado de Tecnologia da Informação? Considere alguns pontos.

O mercado de Tecnologia da Informação está com defict de profissionais com qualificações em determinadas áreas e uma delas é Segurança da Informação e BIG DATA, apesar de você pensar que o mercado de Segurança tem muitos estudantes ou pessoas que trabalham na área, você está totalmente enganado o mercado de Segurança e Big Data está com desfalque de profissionais especializados na área aonde muitos acabam deixando de seguir a carreira ou acabam desistindo por """"ser estressante"""", mas será que isso é verdade???? Será que não tem nada a ser considerado ai? Por que o mercado ele é tão desfalcado? você deve está se perguntando agora, e eu vou responder.

Com meus poucos anos de experiência no mercado de Tecnologia da Informação, eu pude ter as respostas de diversas perguntas que foram sendo respondidas a cada empresa que eu trabalhei tanto na área de Segurança como em outras áreas também.

O que foi sendo respondido:

1) Por que temos apenas um funcionário para cuidar de 3 funções até mesmo distinta da área?
Resposta: Fácil, para o patrão é mais barato contratar uma pessoa que faça mais de uma função, ou seja, um generalista, pois, você paga menos e ele trabalha em várias áreas assim não precisando contratar talvez um Programador PHP ou alguém de Infraestrutura, e muitos patrões tem aderido isso em suas empresas, em vez de contratar alguém para cada função e por um Generalista e pagar um salário de alguma das funções que ele exerce.
Então tome cuidado com essas vagas ao qual você trabalha de suporte e te registram como Auxiliar administrativo na carteira.

2) Por que o mercado de TI é considerado competitivo?
Resposta: Todo mercado é competitivo o de TI para muitos é o mais competitivo em relação a muitos profissionais entrando na área, pois, segundo os mesmos profissionais (Velha Guarda ou Velha TI), acham que serão um Bill Gates ou Steve Jobs e com isso a nossa mídia pega o número de inscritos em faculdades de Tecnologia e equipará com competitividade, afinal se o mercado é competitivo o por que do desfalque? Veja a 3º pergunta.

3) Por que o mercado está em desfalque?
Resposta: Imagine que entre 100 profissionais numa empresa e em seguida desses 100, umas 70 pessoas é demitida por não mostrar produtividade, com isso sobra 30 e dessas 30 são só 5 profissionais que tem algo a mais como Certificação, Pós/MBA ou Especialização. Então essas 5 terão destaque enquanto as outras 25 só serão simples técnicos e analistas ao qual não terão futuro na empresa, e com isso gerá um desfalque não de profissionais e sim de conhecimento, afinal TI é uma das áreas que hoje em dia está sendo muito visada.
Vou exemplificar e isso é baseado em fatos reais, vou dar 2 exemplos e uma retirei de um workshop.

PRIMEIRO EXE: Certa empresa de Cyber Security uma das grandes em SP, abriu vagas para analistas de segurança (JR OU PL) para quem residia em tal estado, então foi algumas pessoas e na vaga era claro e objetivo, Monitoramento e Conhecimentos em Segurança da Informação. Então chega alguns cabras e vão na entrevista e com isso o próprio patrão entrevistou e perguntou as formações, e um disse que tinha curso de Pentest em uma escola ai, tranquilo! No currículo constava cursos desnecessários que não era pra área a mesma coisa o de Pentest, mas ai foi feita as seguinte perguntas:
Qual a função de um Roteador?
A Diferença de Dado pra informação?

Adivinha quem acertou? NINGUÉM!
Afinal se preocuparam tanto em estudar Pentest e esqueceram que a vaga não é pra Pentest e também que conhecimento básico, teórico, fundamental é essencial, não só rodar ferramenta, invadir a nasa se achar o foda colocar no currículo ser Aplaudido e achar que no mercado vai ser assim.

SEGUNDO EXE: Uma empresa já de finanças foi contratar alguns profissionais e nessa entrevista tinha pessoas que já palestraram, jogaram CTF, tinha curso de Pentest, mas ai na entrevista prática era ambiente BLUE TEAM, aonde você era testado a resolver questões de segurança, pois, você vai trabalhar com segurança da informação (proteção) o pentest é algo que você pode adquirir depois só que o essencial e a defesa. E nisso o que ocorreu, só acertou quem estudou pra vaga, pra pessoa que se especializou na vaga pedida, aaaaa mais joguei CTF (PORRA, LEGAL BACANA VOCÊ É UM MONSTRO, SIM, MAS NÃO ADIANTA RESOLVER FLAGS SE NA HORA DE UM DDoS não souber o que fazer, ou não se adaptar o mercado), afinal dar palestra não significa que o cara também sabe, já vi tanto palestrante robô que só decorou acho que se tivesse perguntas e respostas o cara estava lascado RSRS.
AAAA ELLIAS você está cagando pela boca, ao falar que CTF e PALESTRANTES são burros e que CTF é importante pra área de Segurança e que Palestrante tem conhecimento sim e blabla.

Calma cara, eu sei que você dar uma palestra de um assunto é por que você sabe, mas tem casos que alguns eventos necessitam de palestras ou alguém fingi ser o que não é, e com isso acaba ganhando espaço só que no fim a MASK cai né, ou você nunca teve ou conhece alguém que já teve aquele professor que chegava na sala sentava na cadeira, explicava pela metade e mandava você estudar por fora ou passava exercícios e mandava você virar? eu já tive e é chato e pior que o cara era Mestre, então não significa nada só dar palestra e no fim não saber o que faz.

No CTF é a mesma coisa, tem um pessoal que joga bem CTF resolve flags adoidados por ai, só que na hora do vamo ver no mercado aonde envolve Dinheiro e Reputação o cara se perde e não sabe o que fazer, pergunte algumas caracteristicas da ISO 27001, vai saber? Modelo Biba, Bell Lapadula ou Clark Wilson, são modelos importantes para integridade, então pense que segurança não é só CTF e sim CTF é segurança é uma maneira de testar o conhecimento na área, mas não gira entorno disso.

4) O que o mercado espera de mim?
Resposta: O Mercado não espera alguém que pare no tempo, e sim que se atualize conforme novas tecnologia vai sendo criadas, e que você se especialize por meio de certificação ou pós graduções e ficar a frente de muitos, e ser mais dinâmico e proativo sempre está disposto a tudo e não ser daqueles que fica relaxando em frente o computador.

5) Como posso mudar minha situação?
Resposta: Sua situação muda quando você já sabe a área que vai ingressar, aposto que muitos do grupo querem trabalhar em outra áreas só que é decidir bem cedo, pra que você comece a se especializar na área e chegue no mercado qualificado, e não ser daqueles que sai reclamando que o Patrão pega no pé, ou que a área de TI é difícil e blabla, se o cara se prostitui o problema e dele você não vai se prostituir pra se adaptar, é melhor ter um cliente fiel do que vários reclamão ao qual você cobra 20 faz o serviço CAGADO e o cliente enche o saco no telefone, cobre caro, pois, existe aquela frase: O barato sai caro.

Entendo que a faculdade não te dá base nenhuma, ela não pega você na mão e mostra as possibilidades que aquela faculdade pode te proporcionar, o professor só que ver você com DP e gastando dinheiro com prova e cursos desnecessários, a faculdade hoje em dia gira em torno do dinheiro e não de conhecimento.

E o Project Cyber Security UP criado por Joas Antonio e por mim vai mudar essa situação, não vamos prometer emprego, não vamos prometer que você será um ELLIOT afinal até o ELLIOT precisou decidir a área que ia entrar e se especializar, para que depois ele só se aprimora-se nas outras. Então nosso projeto é focado em Segurança, mas procure networkings com pessoas que amam a área e não que reclame que o mercado é difícil e que TI não é pra todos, na verdade ninguém nasce sabendo, a pessoa desenvolve seus talentos com base do seu intelecto e força de vontade.

6) Não é uma pergunta e sim afirmação: Trabalho em EQUIPE!

Saiba trabalhar em equipe e suportar o seu colega, as vezes um tem um raciocínio mais rápido então a explicação será necessária, pois, com trabalho em equipe as coisas andam, não tente se destacar sozinho ou querer subir em cima dos outros, pois, tudo que sobe, desce.

by: Ellias Anderson

É ISSO FUTURAMENTE O PROJETO CYBER SECURITY UP VAI ESTÁ EM ANDAMENTO E INCLUIREMOS TODOS QUE DESEJAM ENTRAR NA ÁREA DE SEGURANÇA!
SÓ SEREMOS MAIS UM DE PROJETOS QUE JÁ EXISTEM, MAS O IMPORTANTE É AJUDAR E NÃO SE ACHAR O MELHOR.

*Mais detalhes do projeto em breve* na nossa page:

https://www.facebook.com/Cyber-Security-UP-645461542512853/

DÚVIDAS? PERGUNTEM!

[OFF]

Mercado ta difícil vou desistir

Sempre vejo por ai o pessoal reclamando que o mercado ta difícil e que vai desistir, mas na verdade não é o mercado que ta difícil em si, é você que não faz nada pra mudar a situação, a maioria das pessoas que reclamam podem ter razão, pois, a situação do país ta critica mesmo com 13 milhões de desempregados, porém a área de TI abre muitas vagas por ano e você pode mudar essa situação se começar desde de cedo e saber o que o mercado ele vai querer de você, então eu vou falar em um termo geral, pois, sempre falo de Segurança e sei que muitos aqui não vão trabalhar com Segurança.

Então vou listar alguns itens para que você comece desde já a focar.

1) Qual área você quer ingressar? = Antes de tudo decida a sua área o seu segmento para que você focar, não adianta você querer por exemplo: Quero ser programador Python e tu só estuda linguagem de marcação

ai não dá, foque na sua área primeiro que o resto será consequência de aprendizagem.

2) Frameworks = Estude as frameworks que o mercado pede, desde aplicações web a frameworks para desenvolvimento de software, então procure no mercado qual está mais em alta e estude.

3) Inglês = O inglês é a nossa segunda língua, então atrelar os seus estudos com o inglês é o melhor método para você aprimorar a sua gramática e a sua conversação, muitos profissionais não conseguem ingressar no mercado não por falta de conhecimento, as vezes por não ter o inglês pelo menos intermediário, e como eu sempre digo, numa seleção o inglês já elimina vários.

4) Freelances = Enquanto não entra no mercado, porque não fazer alguns serviços e aumentar o seu portfólio? As oportunidades podem surgir com o freelance, mas para isso você precisa correr atrás.

5) Gramática = Não foque só em seus estudos na área de TI, vá ler um livro ou escrever uma redação, pois, no mercado de trabalho ter uma boa gramática na hora de escrever um relatório é essencial!

6) Fundamentos = Foque nos fundamentos, sem eles você não vai conseguir chegar muito longe, em vez de começar já na prática, comece antes nos fundamentos tenha a base em sua mente e o resto será fácil.

É isso!

[OFF]
Algumas considerações sobre a Certificação CISSP.

O que é CISSP?

Certificação Profissional de Segurança de Sistemas de Informação distribuída pela ISC2, possui mais de 138.000 membros e ela foi a pioneira das certificação, ou seja, a primeira certificação de Segurança da Informação e a CISSP é ideal para profissionais experientes de segurança, gerentes e executivos interessados em provar seu conhecimento através de uma ampla gama de práticas e princípios de segurança, incluindo aqueles nas seguintes posições:
- Chief Information Security Officer
- Chief Information Officer
- Diretor de Segurança
- Diretor / Gerente de TI
- Engenheiro de Sistemas de Segurança
- Analista de Segurança
- Gerente de segurança
- Auditor De Segurança
- Arquiteto de segurança
- Consultor de Segurança
- Arquiteto de Redes
Além disso essa certificação tem como objetivo avaliar o profissional de segurança se ele está nos critérios julgados pela própria ISC2, mas vamos considerar algumas coisas?

1) CISSP não é para todos
Como assim? O CISSP não é a melhor opção para todos os profissionais de segurança cibernética. Antes de iniciar o seu caminho de certificação, certifique-se de que você não está perdendo a oportunidade de buscar uma certificação mais alinhada com suas metas imediatas de carreira. Então antes de tirar a CISSP começa com as certificações que se adéqua a sua área.

2) Existe 8 domínios que são:
Domínio 1. Segurança e Gerenciamento de Risco
Domínio 2. Segurança de Ativos
Domínio 3. Arquitetura e engenharia de segurança
Domínio 4. Comunicação e Segurança de Rede
Domínio 5. Gerenciamento de identidade e acesso (IAM)
Domínio 6. Avaliação e teste de segurança
Domínio 7. Operações de Segurança
Domínio 8. Segurança do Desenvolvimento de Software

3) Nível de experiência para tirar a certificação CISSP
Para se qualificar para esta certificação de segurança cibernética, você deve passar no exame e ter pelo menos cinco anos de experiência de trabalho acumulada e paga em dois ou mais dos oito domínios

4) Código de ética ISC2
Concordar com o (ISC) ² Código de Ética

Todos os profissionais de segurança da informação certificados pelo (ISC) ² reconhecem que tal certificação é um privilégio que deve ser obtido e mantido. Todos os membros do (ISC) ² são obrigados a comprometer-se a apoiar totalmente (ISC) ² Código de Cânones de Ética :

-Proteger a sociedade, o bem comum, a confiança e confiança públicas necessárias e a infra-estrutura.
-Aja honrosa, honesta, justa, responsável e legalmente.
-Fornecer serviço diligente e competente aos princípios.
-Avance e proteja a profissão.

5) Ter a certificação CISSP não te torna um CISSP ainda.
Qualquer certificação que você tirar você já não se torna aquilo, exemplo: Retirei o Ethical Hacking (EC-COUNCIL), isso me torna um Hacker? NÃO! Afinal, ao tirar a certificação isso demonstra que você está buscando se especializar na área e que você está apto para fazer algumas funções, mas exige um treinamento não é só tirar a certificação e parar por ai, como um amigo meu disse: "Tirar o CISSP significa que você está iniciando em uma nova jornada de conhecimento, e como se você estivesse ingressando em algo e o CISSP é a prova para dizer se você está apto para entrar ou não, e a partir dai se houver a aprovação começara a sua jornada."

6) Se eu tirar a CISSP as outras certificações não é necessária?
Na verdade é necessária sim, tirar a CISSP não significa que vai cobrir todas as áreas, eu não possuo a CISSP ainda, mas já comecei a Estudar pra que pelo menos em 2019 eu entre com essa certificação no Currículo, mas não significa que o CEH, CISM, OSCP, ISO 27K2, LPI1, EHF, COMPTIA etc... são invalidas, pois, cada um tem sua características e foca alguma área da Segurança da Informação, além disso essa certificação é necessárias para que você aprimore o seu conhecimento e prove que tu está a cada dia mais investindo na área.

[OFF]
Será que compensa trabalhar com TI, o mercado ta exigindo 30 linguagens de programação, exigindo conhecimento em todas as frameworks, exigindo todas as certificações e por ai vai?
Muitos desistem do mercado de TI porque o mercado exige muito de cada profissional, mas será que devo me desanimar mesmo?

1)A Maioria dos recrutadores não sabe oque é TI e acha que dominar linguagens de programação é mais fácil que contar ate 10.

2)Muitas das vagas que geralmente exigem várias linguagens, mas se você chegar lá ou é para formatar máquinas e instalar software e mexer com HTML ou ficar fazendo planilha e redigir textos, então as vezes o pessoal do RH que faz a vaga não sabe de merda nenhuma o patrão pede um cara que domine programação e como muitos não sabem as linguagens pesquisa no Google "Linguagens de programação de mercado" e da um CTRL+C e CTRL+V e pronto.

3)Não tem como um profissional fazer de tudo em TI isso sobrecarrega e a produção será menor, muitas das vezes as funções que se encontra na vaga você não faz só 2 ou 3 e tenho experiência própria nisso.

4) A maioria das entrevistas o cara ele só quer ver seu desenvolvimento e as vezes deixa a prática de lado, e geralmente nessas empresas oque conta mais é seu diploma se você tiver diploma e ter conhecimento em 2 ou 3 requisitos você entra na fila, e lembre-se que o inglês é a porta de entrada as vezes só por você ter um inglês intermediário o mercado já se abre pra você, mas nunca minta tem empresas que fazem a entrevista em inglês pra testar o funcionário.

5)Evite empresas de salário baixos que exigem muito do empregador, compare vagas de empresas que tem setores de Tecnologia como empresas grandes e até mesmo empresas só de Tecnologia com as vagas que são conhecidas como "Arrombadas".

[INFO]
O mercado de trabalho não está competitivo.
Há vagas sobrando. O que falta é profissional.
Eu converso o tempo todo com recrutadores e eles estão procurando pessoas, aos quais, não acham.
Eu resumo em algumas considerações sobre os principais erros comportamentais:

1. Curriculo não é SPAM. Vc precisa deixar a preguiça de lado e montar seu Curriculo de acordo com a vaga. Colocar curso de Photoshop para uma vaga de recepcionista é besteira.

2. Sua gramática é sua porta de entrada no mundo digital. Desenvolver um puta curriculo e depois mostrar que é analfabeto funcional, não irá te ajudar. Leia livros e passe menos tempo em redes sociais.

3. Expor a sua vida nas redes sociais não irá te ajudar, principalmente se nela vc reclama muito da vida. O mercado não procura perdedores.

4. Vc está formando sua carreira, não queira ser coordenador ou gerente logo de cara.

5. Se os seus amigos não indicam vc, saiba que a imagem que vc passou a eles é de que vc é incompetente. Reverta isso.

6. O primeiro passo para resolver um problema é identifica-lo. Colocar a culpa no cenário atual do País é provar a sua incompetência. Coloque na sua cabeça que você não teve competência para arrumar um emprego e isso pode acontecer por diversos motivos, a principal é a preguiça. Não significa que você será sempre incompetente. Assuma isso a você mesmo e vire o jogo. TODOS, principalmente EU, já fui e só deixei de ser qdo reconheci que o erro era eu mesmo.

7. O mundo capitalista elimina automaticamente os fracos. Acostume-se, pois o mundo nunca foi justo. O senso de justiça é algo criado pelo homem. Pense que o mundo é uma selva, sobrevivem os mais fortes e os mais espertos.

8. Percebe que os países mais frios, são geralmente os mais ricos? Seus moradores precisam trabalhar muito para compensar o frio, assim como os animais que hibernam, precisam trabalhar muito na época boa. Nesses países os fracos deixaram de existir.

9. Vc não ganha o quanto quer, vc ganha o quanto merece. Há um abismo muito grande entre querer e merecer.
10. Se já tem um emprego mas não gosta dele, você então não vive, vc sobrevive. Tente mudar isso.

11. Não espere que alguém fique com pena de vc qdo diz que não há vagas e por isso não trabalha.
12. Pense como será sua vida daqui 10 anos se tudo estiver como realmente está. Sem que um milagre aconteça na sua vida.

13. Vc passa mais tempo no facebook e whatsapp do que estudando. Isso prova a sua falta de competência, não é o mercado de trabalho.

Alan Sanches

[OFF]
Por onde começar meus estudos no Hacking?

PS:Existe uma diferença entre Hacking e Pentest e muitos confundem isso, o Pentest seria os testes de intrusão aonde seu foco séria conhecimentos em Invasão e nada mais, agora o Hacking é um estudo mais aprofundado e amplo nessa questão, que já foge de ferramentas e questões relacionadas a Pentest que também é um termo dado para designar uma função na área de segurança da informação.

Agora por onde devo começar a estudar? Muitos que estão começando agora tem essa dúvida e até mesmo quem está na área possui essa dúvida.

Primeiramente devemos saber que, Hacker é um termo designado para alguém que consegue solucionar problemas e modifica-los para facilitar muitas questões, e isso entrou em conflito na década de 90 tendo seu termo modificado e ampliado para diversas áreas do conhecimento, um exemplo é o GROWTH HACKER que seria o Hacker do MARKETING ou Bruno Fraga pros mais achegados, então você já percebe que um Hacker não é os Anonymous que fazem ataques para querer implantar uma Anarquia (Seguindo a ideia inicial do grupo, inspirada pelo filme V de Vingança..)

Agora o que eu devo estudar para começar?

Não existe uma ordem certa se parar pra analisar muitos tem suas necessidades e você vai estudar conforme elas, os requisitos minimo são:
1) Saber ligar um computador
2) Saber usar a Internet (Generalizando)
3) Saber usar os grupos e evitar de perguntas coisas do tipo; Como instalar o Cali Linuques, Meu SQLMAP apareceu um aviso vermelho. HELP!!!, Como invadir facebook e outros serviços, Qual melhor sistema pra Haskiar (Sim é uma pergunta babaca), Alguém me ensina a usar tal ferramenta e por ai vai.
4) Saber o básico de Hardware e Software
5) Humildade (Aprendeu coisas novas ou guarda pra tu ou faz um artigo, mas nunca pague de Hackudão)
6) Ética (Se for usar a ideia de alguém ou editar um script de alguém, sempre deixa os créditos da pessoa mesmo que ela seja um gringo, não é porque o conhecimento é livre que tu vai ter o direito de sair roubando ideias por ai não meu FILHO!)
7) Tenha um Bom Senso e evite ficar brincando no site dos outros, sabemos que a Lei do Brasil é fraca só que se alguém quer te ferrar ele ferra com você rapidinho, não importa se você é Hacker ou não aqui não é o Mr. Robot que tu vai ter suporte de Hackudões e grana pra lidar com processos, e isso não sou eu dizendo são peritos vou até deixar uma live sobre essa questão:
https://www.youtube.com/watch?v=W5uJE8LsBxM

"Tem outras coisas só que vai ficar chato o resto é usar o Bom Senso com pitadinha de Ética e Moral"

Após preencher esses requisitos você deve decidir o que vai estudar, mas como?
Defina o que você quer estudar primeiro se tu quer invadir um Rede ou Quebrar WI-FI, comece com a base de tudo pra depois a prática. É CHATO? EU SEI SÓ QUE SEM A BASE TU VAI SER UM ROBÔ REPETINDO COMANDOS QUE O GOOGLE ENSINA. Então aprenda a base se tu quebrar um WI-FI saiba o que é WEP, WPA, WPA2, TKIP, HANDSHAKE, AES, OR/AND/XOR, ASSIMETRIA E SIMETRIA, TUDO QUE FOR SSID NO NOME, FREQUÊNCIAS, CANAIS E POR AI VAII se for numerar aqui vai dar ruim.
Mas aprenda a base os fundamentos sem isso tu não vai pra frente tu pode até aprender umas coisinhas, mas não é fácil saber os fundamentos e depois rodar os comandos? Porque no Google é só fazer uma rápida pesquisa e mostra 500 ferramentas e comandos para tu quebrar um WI-FI uma rede Wireless.
O que adianta explorar um SQL Injection e não saber criar um Banco de Dados ou como ele funciona, explorar uma falha em um servidor FTP e não saber o que é FTP, ou pior ainda tu não saber a diferença de Dado ou Informação!
Entenda que os fundamentos é essencial para seu desenvolvimento pessoal e profissional, as vezes é chato aprender fundamentos? PRA CACETE! só que sem a base como que tu vai se virar? conhecer é diferente de saber e pra tu saber tu deve conhecer as funções de alguma coisa pra tentar saber como usar e aplicar ela em algo.

Então se você quer começar a estudar veja o que tu quer conhecer primeiro se é Programação, estude a lógica pra tu depois não ter problema nenhum mais pra frente e conseguir resolver erros lógicos, e invista numa linguagem que tu se identifica seja ela C, PYTHON, C#, C++ ou JAVA é focar em uma e depois partir pra outras.
Se tu quer começar no Hacking tu precisa se aprofundar em algo, pois, as áreas elas vão se complementando se tu aprender Redes mais pra frente vem a Programação vem os Testes de Intrusão a Segurança da Informação o conhecimento em Hardware e por ai vai.

Muitos colocam como ponto de partida a Programação que foi o inicio de tudo, então se for começar por programação comece com os fundamentos e vai subindo os infinitos degraus até chegar no ponto que você precise aprender sobre outras coisas e acredite que esse degrau é facilmente alcançado, então conforme você estuda na programação as outras coisas são acrescentadas como Redes de Computadores ou Segurança da Informação.

Caso seu ponto de partida seja diretamente no Pentest, foque em uma coisa primeira se tu usa muito NMAP conheça sobre Redes os protocolos e serviços que existem, toda a base de Redes de computadores que na hora de usar o NMAP tu vai usar com outro pensamento e vai ficar bem fácil pra você.

Crie sempre ambientes para você testar seus conhecimentos e faça networking, não exite em conversar com pessoas que tem o mesmo conhecimento e pergunte caso tenha dúvidas, se tu leu esse post e ficou com dúvida em algo não exite em perguntar e isso vale pros comentários, ambos a pessoa que ensina e aprende vão adquirir conhecimento e até mesmo gerar um networking legal, a troca de conhecimento é essencial.

Entender talvez uma falha nova ou algum sistema novo é sempre bom, isso te deixa informado e vai facilitar mais pra frente pra você.

Iniciar seus estudos no Hacking tu irá precisar criar um cronograma de estudos que é essencial pra tu não perder o foco de alguma coisa e sair aprendendo várias coisas ao mesmo tempo.

Um cronograma que muitos indicam é:
- Programação
- Sistemas operacionais (Linux, Windows e Outros)
- Redes de Computadores
- Segurança da Informação

A questão do sistema tu vai usar o que te deixar mais confortável, mas é sempre recomendado aprender outros sistemas após estudar o sistema que você estava usando, e isso vai desde a tela gráfica a shell do sistema.

Então se for iniciar os estudos, comece pelo que você sente mais necessidade de aprender e tenha foco, e conforme for seu aprendizado tu vai testando e aplicando no dia a dia com uso de laboratórios pra te ajudar, e sempre tente soluções diferentes pra cada tentativa e faça anotações, e nunca invista muito o seu tempo porque isso pode gerar problemas sérios de saudes sempre separe o tempo de estudos e lazer.

Qualquer dúvida perguntem!

[Info]
Já fiz um post parecido mas pra tirar a dúvidas de muitos.

Faculdade para trabalhar com Segurança informação?

A maioria tem vontade de trabalhar com segurança da informação e acha que fazendo uma Graduação na área garante mais rápido. ERRADO! Entrar na área de segurança não precisa se graduar em segurança necessariamente pois você vai perde 2 a 2 anos e meio do seu tempo "EXPERIÊNCIA PRÓPRIA" sou Graduado em Segurança da Informação (Uninove) Aprendi merda nenhuma só Básico de Hardening, Gestão de Vulnerabilidades, Gestão de Projetos, Gestão de TI, Criptografia, Configuração de ambientes entre outros, só que ai peguei esse básico e coloca um professor que só segue o Slide e não explica merda nenhuma "TRISTE NÉ?" Então caso for fazer uma faculdade escolha uma que vai te dar conhecimento e que você tem vontade de fazer pois se tu pega "DP" só vai ser mais um inferno na sua vida, faça a faculdade que você quer pois querendo ou não vai de 2 a 5 anos de faculdade.
Agora numa pós graduação ai sim vale a pena na área de Segurança, além de te colocar na frente de vários no mercado, vai te dar o conhecimento necessário em 1 ano, só recomendo que na hora da pós escolha uma faculdade que tem Nome e uma boa nota, pois não vai valer de nada fazer uma UNICAMP e uma pós sei lá na Uninove, Cruzerio do Sul ou Castelo Branco.

[DICAS] HARDENING DOMÉSTICO
Como proteger meu ambiente doméstico contra invasores?

PT 1

Protegendo seu WI-FI = Como posso proteger minha rede contra invasores?

Primeiro: deve se conscientizar na hora de definir uma senha, nunca coloque senha com Nome de alguém, Data de nascimento, Time favorito, Super heroi favorito, número de telefone e por ai vai. Hoje em dia tem softwares para celulares Android (ROOT/SEM ROOT) que consegue quebrar um WI-FI rapidamente se o atacante souber alguns detalhes sobre a vítima, então coloque senhas sem conectivo algum como Dolynhocachaceiro e joga no formato Kiddie que vai substituir letras por simbolos e por ai vai.
Uma dica para lembrar a sua senha é sempre colocar uma sem conectivo, mas que ninguém imagina e na hora de definir os caracteres especiais, colocar em lugares estratégicos.

Segundo: na hora de configurar um roteador a primeira coisa a se fazer é Desativar o WPS e colocar o WPA2 só com AES retire o TKIP, pois, é uma criptografia semelhante ao WEP e atualmente é fácil de ser quebrada, apesar de que o AES pode ser quebrado por meio de Força Bruta, mas quanto maior a senha for forte melhor ainda.

Terceiro: mude a senha padrão do roteador retire o admin admin e adicione uma senha forte e um login forte também.

Quarto: ative o firewall do seu roteador caso tenha assim garante uma forte proteção.

Quinto: procure vulnerabilidades em seus roteadores, pelo modelo da para se saber e é mais fácil usar um exploit do que Força Bruta.

Sexto: Desative o SSH do seu roteador e só ative quando for necessário, assim evita do atacante invadir seu roteador e fazer ataques como MITM.

[Dica]

Mercado de segurança da informação PT 1

Vou falar um pouco sobre a profissão Analista de Segurança da informação e o que é exigido na área de segurança o que você deve saber, meu intuito é ajudar a quem vai ingressar no mercado de segurança, pois segurança da informação não é só Pentest como muitos pensam.

O que faz um Analista de Segurança da informação?

O Analista ele trabalha de acordo com seu nível hierárquico e tudo depende da empresa e como ela demanda na informação pois cada empresa tem uma demanda diferente. Por exemplo uma empresa como contabilidade e finanças mexem muito com dinheiro então essa é uma das preocupações dela, outro exemplo é um restaurante que tem uma ótima "lasanha" e guarda a receita em um computador então a preocupação dela é de proteger esse computador e ai é de cada empresa.

E o trabalho do Analista é pôr em prática as diretivas de uma empresa para a manutenção da segurança da informação da mesma, prevenindo ataques, reduzindo vulnerabilidades e impedindo que dados sensíveis sejam recolhidos por invasores.

A capacitação e o nível de conhecimento é um diferencial para o aumento de salário de um Analista de segurança.
E os salários vai variar de 1.800 R$ A 9.000 R$

Certificações, treinos, experiência de mercado e formação acadêmica, são os principais motivos para o aumento salarial.

Níveis Hierárquicos:

Analista de Segurança da Informação JR ainda está em fase de aprendizado e irá se preocupar geralmente com os seguintes itens:
- Apoio à equipe de SegInfo na aplicação e elaboração de políticas de Segurança
- Análise básica de Servidores e aplicação de correções
- Hardening Básico
- Administração e Aplicação de patches de Segurança
- Administração de Firewall
- Configuração de Conexões seguras, tais como: VPN
- Controle de Backup
- Administração de Antivírus
- Instalação e Configuração de HIDS e NIDS
- Monitoramento de Firewall/IPS/IDS

Analista de Segurança da informação PL já é um profissional formado, porém, ainda em fase de aprendizagem sobre Segurança e geralmente possui as seguintes funções:
- Apoio à equipe de SegInfo na aplicação e elaboração de políticas de Segurança
- Análise básica de Servidores e aplicação de correções
- Hardening Intermediário
- Análise de Vulnerabilidades
- Administração e Aplicação de patches de Segurança
- Administração e configuração básica de Firewall
- Configuração de Conexões seguras, tais como: VPN
- Controle de Backup
- Administração e configuração de servidores de Antivírus
- Configuração e Manutenção de Certificados Digitais
- Monitoramento e manutenção de Firewall/IPS/IDS

Analista de Segurança da informação SR além de ser formado é experiente na área de Segurança da Informação e possui geralmente as seguintes responsabilidades:
- Desenvolvimento de Políticas de Segurança
- Controle de Ataques
- Desenvolvimento de sistemas de monitoramento.
- Hardening Avançado
- Controle de Fluxo de Dados de Rede
- Análise básica de Código e Scripts
- Testes de Intrusão
- Análise avançada de Vulnerabilidades
- Controle de Patches de correção
- Análise de Banco de Dados
- Desenvolvimento de Controles de Acesso
- Implementação de Controle de Versões
- Monitoramento avançado de Acesso
- Configuração e Aplicação de Firewall/WAF/IDS/IPS/HIDS e NIDS

O especialista é um profissional raro no mercado de trabalho, ele conhece além do que é necessário e explora todos os recursos dos sistema que domina.
Geralmente possui bons conhecimentos em Sistemas Operacionais, Linguagens de Desenvolvimento, Políticas de Segurança, Forense e Mobile.
- Análise de Malware
- Análise de Código (Code Review)
- Desenvolvimento de Plano de Continuidade de Negócio
- Análise de Assinaturas de Antivírus, Patches, Firewalls, IDSs e afins.
- Desenvolvimento de Certificados Digitais
- Testes de Intrusão
- Participante do Time de Respostas à Incidentes de Segurança
- Analisar e Implementar melhorias nas ferramentas de Segurança
- Prevenção contra fuga de Informação.

Como você já viu nos níveis hierárquicos são esses os conteúdos a se aprender mais existe para cada função uma ferramenta um software para ajudar e vou falar os softwares de mercado de alguns requisitos.

Firewall =
-PaloAlto Firewall
-Cisco Firewall
-Pfsense
-Iptables
-Fortinet Firewall

Clouding =
-IBM
-Openstack cloud
-Box
-Amazon Cloud Drive
-OneDrive
-Vmware

IDS & HIDS =
-Snort
-OSSEC
-Alienvault
-Cisco
-Fortinet
-Juniper

IPS =
-McAffe
-Cisco
-Checkpoint
-Fortinet
-Juniper
-Suricata

Anti-vírus =
-Kaspersky
-Bitdefender
-Avira
-Avast
-McAffe

Webfilter =
-Fortinet
-Fortiguard

Anti Spam =
-comodo
-spamfence
-spamexpert

Monitoramento de rede =
-zabbix
-sentry
-zennos
-observium
-Dash
-Cacti
-Alerta

Esse foram algumas ferramentas, obviamente você não vai estudar todas mais é bom ficar ligado no que o mercado mais pede e estudar, no youtube, udemy e google em conteúdo de sobra.

Qualquer dúvida só perguntar.

[OFF]
Mentiram para mim sobre a "DeepWeb"

1)DeepWeb é o inferno da Internet.
Errado! A DeepWeb não é o inferno da Internet e sim uma parte não indexada dela, ou seja, nenhum motor de busca como Google, Yahoo, Baidu, Bing e entre outros, consegue filtrar as informações ou trazer aquele determinado site.

Por exemplo: Imagine que você vá numa festa e ao entrar tem um segurança na porta e ele pergunta What's Your Name? ai tu fala My Name is Orkut ai o segurança checa a lista e acha o seu nome e anota o número de convidados para que o anfitrião saiba quantos foram, porém com descuido do segurança entrou 1 a mais só que ele não está na lista, mas ele sabe que tem 1 pessoa a mais ali, podemos definir a DeepWeb nessa forma.

Outra forma é uma festa só que a outra é conhecida e tem seus convidados o Google, Facebook, Orkut e o Youtube. E na outra temos como convidados o Silk Road, Black Market, Hidden Wiki e por ai vai.

Então basicamente a DeepWeb é isso todo conteúdo que não foi indexado por nenhum mecanismo de busca, ou seja, não é só sites com conteúdos bizarros que não são indexado.

2)Como é acessar a DeepWeb?
Acessar a DeepWeb não é lá a suas grandes coisas, óbvio que exige um conhecimentos altos em Redes como P2P, Proxy, Intranet e Extranet e protocolos principalmente os criptografados como SSH e FTPs e por ai vai. Porém acessar a deepweb é que nem você acessar a Surface (A internet normal) só que com um conteúdo maior e com total liberdade sem nada de Marco Civil sem essa de ONU de DH e por ai vai, lá não tem mimimimi como aqui na internet tem e as discussões são 10x melhores (Dependendo do Forúm acessado e isso já explico) na deepweb se coloca algo proibido na surface então vai ter apoiadores do Nazismo vão ter satanistas e diversas outras coisas.

*Nota: Veja qual é a diferença de DarkNet e Deepweb, eu vou falar só Deepweb para que o pessoal mais leigo compreenda só que eu recomendo ler esse post:https://cybersecurityup.blogspot.com.br/…/conheca-um-pouco-…

Voltando: Acessar a deepweb pode se tornar uma experiência boa, só que a um erro que muitos cometem.

3)A DeepWeb é só rede TOR?
Não a deepweb está além do TOR na verdade sempre esteve, pois na verdade o TOR é uma rede padrão que garante anonimato na sua navegação tendo o seu principal DNS o .onion que é um pseudo-top-level (Não participa no grupo oficial de DNS) quem ai não conhece o .onion? Mas sinto muito que o TOR é só o começo da sua jornada na verdade o TOR é o básico do básico para quem quer acessar a deepweb e explorar os 4 cantos dela, para vocês terem ideia o TOR já não é tão grande coisa que muitos estão migrando para outras redes, por conta do FBI e a CIA ter grampeado a maioria dela não demorando que seu site caia se eles quiserem, mas não podemos Menosprezar o TOR por causa disso por conta de ser um meio de navegação anonima mais fácil de se configurar e muito usada hoje em dia e te garante a liberdade de expressão só não garante os seus fetiches. Mas jaja falo sobre outras redes.

4)Navegando posso achar o quê?
Ai vai depender se tu procura coisa Boa vai achar se não está a procura de coisa Boa e sim de merda, tu acha também, só que com a facilidade de criar um site na .onion apenas 4 comandos tu já cria o seu DNS fica fácil montar um site com Gore, Snuff Movie e outras bizarrices, então não se surpreenda por qualquer coisa, pois a maioria é Fake ou retirada do Próprio Google, e eu mesmo navegando achei um site com imagens retiradas do Google mesmo era só pesquisar "Ed Gein" que aparecia as imagens que se encontrava naquele site. Então a maioria dos sites é feito por alguns muleques ai só para trollar mesmo.
Conteúdo que vocês podem achar caso perguntem: "TUDO" só imaginar que tem GORE, SNUFF MOVIE, CP, PDFL, DROGAS, ARMAS, ZOOFILIA, TUTORIAIS INTERESSANTES, VIDEOS "ESCROTOS", CANIBALISMO, PORN SNUFF, PORN GORE, SATANISMO, HISTÓRIAS VERDADEIRAS SOBRE ALGUNS ASSUNTO QUE A MIDIA ESCONDE, BIOLOGIA CRAZY, CIÊNCIA CRAZY, FILMES BANIDOS, HORROR, FILMES DE TERROR DE BAIXA PRODUÇÃO, SCRIPTS DE FILMES FAMOSOS, DADOS DE PESSOAS DO GOVERNO, DOCUMENTOS CONFIDENCIAS, QUEM MATOU PRESIDENTE KENNEDY E POR AI VAI.

5)Quais as outras redes que existem?
1- I2P
2- ZERONET
3- FREENET
4- TOR
5- INFINIT
6- TRIBLER
7- TWISTER
8- OSIRIS
9- HYPERBORIA
Entre outras!

Depois faço uma PT2 ensinando a navegar falar sobre os protocolos como Gopher e por ai vai.

[OFF]
Quer ingressar em alguma área?
Está em dúvida? Não sabe quais área a segurança da informação tem? Para você tudo se resume a Pentest e Hardening?

Então vamos analisar algumas áreas que estão em deficit de profissionais e que vão crescer cada vez mais aqui no Brasil, já aproveitar que o Renan Besserra deu a ideia para criar para falar quais áreas tem muito mercado e pouco profissionais, e quais áreas vão abrir no minimo 30 mil vagas.

Mas antes de começar eu vou listar uma boa parte das áreas que a segurança tem, cerca de 90% mais ou menos até eu lembrar as outras.

Data Protection Office (DPO)
Software Development Security
Security and Risk Assessment
Incident Handling and Analysis
Defensive Security
Intrusion Detection and Prevention
Privacy and Data Protection
Information Security Governance
Security Frameworks and Standards
Fraud Prevention
Legal and Regulations
Malware Analysis
Big Data Security
Operations Security
Vulnerability Management
Application Security
Hardware Hacking
Identity and Access Management
Threat Intelligence
Security Architecture and Design
Industrial Control Systems
Security Awareness
Advanced Cyber Analytics
Communications Security
Offensive Security
Physical Security
Cloud Security
Forensics
IoT Security
Biometrics
Business Continuity
Cryptography
IA Security
Cyber Security Engineer
Penetration Testing Engineer

Quais dessas estão em deficit ou são novas?

1) Cyber Security Framework: É uma área que está muito em deficit de profissionais atualmente, a função dela baseada segundo NIST é: Consiste em padrões, diretrizes e melhores práticas para gerenciar riscos relacionados à segurança cibernética. A abordagem priorizada, flexível e de baixo custo da Estrutura de Segurança Cibernética ajuda a promover a proteção e a resiliência da infraestrutura crítica e de outros setores importantes para a economia e a segurança nacional.
https://www.nist.gov/cyberframework
Então eu recomendo estudar a família ISO 27000, se familiarizar com Auditorias internas, Gestão de TI como ITIL e COBIT, e focar em certificações mais para gerenciamento.

2) IoT Security: A internet das coisas está crescendo cada vez mais, e as empresas estão implementado esse tipo de tecnologia para facilitar tanto a vida do patrão com Gastos como a vida do usuário, porém mesmo o IoT sendo muito conhecida hoje em dia os profissionais não estão se adequando a essa tecnologia e acabam dispensando estudar Pentest ou mitigação de risco relacionada a IoT, então eu recomendo aprender sobre IoT security que só tende a crescer.

3) Data Protection Office (DPO): Com a nova lei de Proteção de dados a LGPD, o profissional que focar nessa área vai ter mercado de sobra, afinal, é previsto 30 mil vagas a serem abertas só nessa área e eu recomendo investir na certificação que a Exin traz e focar nessa parte, pois é uma coisa que as empresas necessitam pra caramba hoje em dia!

4)Big Data Security: Proteger um conjunto grande de dados armazenados é um trabalho difícil, afinal muitos não conseguem nem proteger a conta do LoL contra invasores kkkkk, mas um profissional que tem esse conhecimento vai se dar muito bem no mercado, então investir nessa área e certificações relacionadas a segurança e big data é ótima ideia.

5) IA Security: Já imaginou a inteligência artificial atrelada a segurança? Pode ser até mentira, mas fora do Brasil já é uma área reconhecida e com a IA sendo integrada em diversas máquinas a necessidade de um segurança da informação pra proteger a tecnologia e usar a favor da organização é grande, acredito que 100 mil vagas serão abertas até 2040!
Então estude sobre IA e conceitos de Blue Team e Red Team para automatização e testes.

6) Desenvolvimento Seguro: Eita coisa problemática que é Dev Security, afinal imagine você criar uma aplicação e um cara achar uma vulnerabilidade critica? É chato não é? Então porque não aprender a desenvolver com segurança com boas práticas relacionadas a ISO 27000 e Técnicas de Blue team? O mercado necessita desses profissionais e você pode atrelar em qualquer linguagem de programação, sem necessidade de estudar JAVA por exemplo, só programar na linguagem que sabe com segurança!

7)Segurança em Comunicação: É uma área que pouco se reconhece que seria a proteção na hora de uma troca de informação, então para isso é implementação de protocolos de segurança, questão de equipamentos levados para casa, senhas e assim vai, tudo atrelado a VoIP e questões comerciais da empresa.

8) Segurança Fisica: A necessidade desse profissional é grande, afinal, não adianta ter o ambiente 100% configurado com as melhores práticas, se alguém invadir fisicamente a sua organização e sair com documentos pela porta da frente, então esse profissional é necessário para implementar a segurança fisica em meio estratégico.

9) Biometria: O profissional de biometria também é essencial para uma organização, afinal, evita acesso não autorizado em departamentos e locais ao qual o usuário não é cadastrado e assim evitando muitos incidentes de segurança, e esse profissional é responsável por auditar esses dispositivos também.

10) Continuidade de Negócio: Se a empresa pegar fogo? O prédio cair estilo 11 de setembro? Tsunami ou Terremoto acabar catando o local aonde sua empresa fica, o que você irá fazer? Então tem toda essa questão, um exemplo é: Temos 10 pessoas que vão viajar e são CTOS e Diretores, cada um tem um conhecimento sobre a organização e por isso eles vão em vôos separados, porque se 1 cair a empresa não morre junto e para isso que serve esse profissional.

11) Regulações e Legalidades: A burocracia do governo acaba dificultando a organização em diversas coisas e o LGPD é uma prova disso, então precisa de profissionais capacitados e formados em direito digital para essas questões e com conhecimentos econômicos também!

12) Hardware Hacking: É uma área que vem se expandindo a cada vez mais e as empresas estão contratando esse tipo de profissional para efetuar modificações e melhorias nos equipamentos, ou até mesmo usar embarcados para facilitar a organização como se fosse um automatizador só que na área da segurança.

13) Arquiteto e design de segurança: Esses profissionais é responsável por prevenir incidentes físicos e proteger os dados, por exemplo: implementar uma estrutura contra fogo na sala de arquivos e assim vai, além de ser responsável pela parte tecnológica também!

14) Controle de sistemas de industrias: Além de controlar o processo de industria o profissional ele automatiza e faz controle de questões relacionadas a industrias e sistemas que nela integra, assim prevenindo riscos para os que usam tal sistema.

15) Prevenção contra fraudes: As empresas sofrem muitas fraudes em relação a funcionários e até mesmo acordos comerciais, e esse profissional está responsável por manter a empresa protegida contra fraudes, por meio de implementação de códigos e entre outros.

16) Cloud Security: Proteção na nuvem é essencial, pois é uma tecnologia que muitas empresas estão optando como meio de backup e armazenamento de dados.
Saber auditar um ambiente e a proteger é uma ótima maneira de ingressar no mercado.

17) Identificação e gestão de controle: Uma área que necessita de profissionais para fazer o controle de acesso e identificação de pessoas para permitir o grau e até onde ela pode chegar, eu recomendo o investimento.

18) Direito Digital: Muitas empresas necessita de um advogado que conheça os processos legais para caso aja uma invasão ou incidente relacionada a tecnologia e que envolva principalmente a justiça, então esse profissional toma conta da papelada e da burocracia, além de se informar sobre as leis que vem sendo implementadas a cada ano.

19) Sistema de Inteligência contra ameças: O profissional eles trabalham com a inteligência, então eles se informam de novos ataques e explorações que estão sendo realizadas até mesmo em tempo real para prevenir ou conhecer tal tecnologia, então eles combatem os criminosos mano a mano e assim agindo muito mais rápido para com um incidente de segurança.

Então são essas áreas que estão ou vão estar em alta daqui alguns anos, que tal se especializar ou estudar alguma?

Desde já agradeço.

Caso deseja compartilhar: https://cybersecurityup.blogspot.com/…/conheca-as-areas-da-…

[OFF]
Um parceiro perguntou como é o dia dia de um segurança da informação, e muitos que querem ingressar na área também tem essa dúvida, vou separar por segmentos que trabalhei, porém é o meu caso cada profissional vai ter a sua situação e seu dia a dia.

1)Pentest = Vou começar com uma área que é a mais visada por todos, numa empresa trabalhar com pentest é mais cobrado do que um serviço em outras empresas, mas por que? Falhas sempre existiram ao sair de um serviço de pentest a responsabilidade não será mais sua e se no caso a empresa for invadida a culpa não será sua e sim da equipe que demorou para corrigir as vulnerabilidades, agora se for na empresa que você trabalha como CLT e outra coisa, pois, se houver invasão a culpa será tanto sua que não testou direito como a do cara responsável por arrumar a falha, agora entra a questão dos relatórios tanto o final como o de linha de tempo que vai falar quem foi incompetente da história. Mas o resto é quase parecido como um serviço externo tu testa e faz o relatório e ai repassa pra equipe responsável pelas correções ou tu mesmo corrige se for o seu trabalho também.

2)Hardening = O hardening é uma das áreas que trabalho atualmente é uma área ampla que consiste em você diminuir os riscos da empresa e configurar dispositivos de segurança como Anti-vírus, Firewall, IDS, IPS, NIDS, HIDS, HoneyPot, HoneyNet e por ai vai, cada empresa vai ter o seu Firewall seja ela Fortnite, Cisco, PFSense, iptables ou Windows Defender kkkk, eu mesmo faço o serviço em servidor então é privar permissões, configurar protocolos e serviços para ser o mais seguro possivel, fazer as implementações dos softwares com as configurações certa para que não tenha alguma brecha e por ai vai, até recomendo cada um estudar sobre o assunto que é bem interessante você pegar o metasploitable fazer o pentest e em seguida fazer o hardening.

3)Testar e aplicar patches de segurança = É bem chato essa parte e legal ao mesmo tempo, pois, tu realmente para pra ler os CVE e entender a vulnerabilidade essa que é a parte legal, agora a chata e tu testar esses patches para ver se não dá ruim em uma das máquinas, e ai que entra uma outra área que é

4)Sistemas de Backup = Cada empresa teu seu sistema, desde de Bare Metal a clouding, fita, cd/dvd, papel ou por ai vai kkkkk cada empresa implementa o seus sistema para fazer o Backup, porém uma área que trabalhei e digo que você vai ficar horas e horas porque além de fazer o backup precisa testa-los para ver se realmente funciona, porque ocorre casos que o cara faz o Backup e acontece um acidente o prédio pega fogo por exemplo e acaba perdendo todos os dados, pois, o backup não foi testado e ocorreu um erro quando foi baixar o backup, então tem os backups de semana aonde armazena os dados importantes e o backup das máquinas por completo de cada uma que está na rede, e isso é judiar do profissional kkkkk.

5)Resposta a Incidente = Participar no time de resposta a incidentes é bem legal, o que basicamente eles fazem? Quando a um ataque ou um problema de segurança ou outro problema o time vem e tenta minimizar o impacto, e os incidentes podem vim tanto interno como externo as vezes a equipe de TI pode causar esse incidente e ai que entra a questão da conscientização ou treinamento para que isso não ocorra, enfeitar a empresa com cartazes alertando os usuários e os funcionários em geral e assim por diante, na empresa que participei dessa equipe fizemos um vídeo que era passado toda seg e sex um para alertar os comportamentos dentro da empresa e outro fora da empresa pra não sair falando tudo da empresa.

6)Oficial de Segurança = Está bem relacionado com CSIRT(Resposta a incidentes), consiste em você montar politicas ou regras para os usuários e a equipe de TI, assim evitando algumas não conformidades ou incidentes e lógico que tudo tem que está conforme a Disponibilidade, Confidencialidade e Integridade, então você pega alguns da Equipe de TI, outros do RH e faz as politicas e pede a aprovação do RH e do Diretor para entrar em prática, e a discussão as vezes parece mesa redonda kkkkk mas é interessante.

7)Auditoria = É diferente do Pentest aonde você encontra falhas para corrigir, na auditoria você testa e vê se está tudo nos conformes e funcionando corretamente, um exemplo é auditoria de senhas, aonde você testa as senhas de cada usuário e vê se respeita os padrões lógico que pode ser usado engenharia social na auditoria só que não confunda com pentest, pois, o auditor está lá para avaliar e falar se aquele sistema implementado está bom ou não e o que pode ser feito.

Para os profissionais que trabalham na área, como é o seu dia a dia? muito puxado?

Depois eu faço uma PT 2.......

[OFF]
4 Competências que não pode faltar em nenhum profissional de Segurança da Informação.

1)Inglês = Obvio do Obvio que o inglês é necessário e isso em todas as áreas, o inglês ele deve estar presente em seu currículo mesmo que seja o intermediário ou técnico até mesmo Universidades com graduações na área de TI estão adicionando o inglês como ementa principal, porque hoje em dia a maioria dos softwares é inglês então saber essa linguagem kkk é essencial.

2)Redes TCP/IP = Conhecer redes de computadores é outra coisa que não pode faltar em seu currículo, pelo menos o básico do TCP/IP o modelo OSI, protocolos e serviços e conhecimentos em RDP que é essencial, muitas empresas colocam como diferencial isso também só que conhecer TCP/IP é desejável e se tiver duvida e só pesquisar qualquer vaga na área.

3)Gestão = Ter conhecimentos no padrão ISO 27K e algo que se tornou indispensável na área de segurança, muitas empresas exigem até mesmo a certificação ISO27K no currículo que não é difícil so basta ter o dinheiro, mas pelo menos saber sobre ela já é um diferencial mesmo que não tenha a certificação para comprovar o conhecimento. E uma outra certificação é a ITIL que também é cobrada em quase todas as áreas de TI não só Segurança da Informação.

4)Programação = Programar não é muito exigida na área só que é um grande diferencial, saber pelo menos 1 linguagem de alto nivel como Python ou C já vai te ajudar a desenvolver ferramentas que automatize trabalhos. Se colocarmos em desenvolvimento o SQL ele entra de cabeça, as empresas hoje mexem com Data Base e saber MySQL, Oracle ou MSSQL já vai te ajudar pra caramba até mesmo em vagas de Suporte de TI (fazer até um post exclusivo pra isso) as empresas pedem alguém que saiba SQL, e tendo esse conhecimento a chances aumenta em 6x, então estudar SQL é uma boa e recomendo.

Aonde posso estudar?
Youtube, PDFs (Tem vários posts aqui no grupo com links e repositórios) e a UDEMY que tem cursos nota 10 e que são validos no mercado, eu recomendo...

Foram 4 mas não significa que não existe mais áreas a ter mais atenção.

[OFF]
Montando uma Politica de Segurança da Informação PT1.
Ajudei por 1 ano e meio a equipe de Security Officer ajudando a criar politicas de segurança da informação, para muitos é um trabalho simples para outros é um trabalho que exige muito conhecimentos não só na área de Segurança mas também na área Juridica.

Uma politica de segurança da informação precisa está ligado a 3 pilares da segurança da informação.

1- Integridade = Garante que a informação chegue intacta sem nenhuma modificação até o destino.
2- Confidencialidade = Garante que a informação chegue até o destino autorizado, sem que nenhuma outra pessoa ter um pingo dessa informação.
3- Disponibilidade = Garante que a informação esteja disponivel para as pessoas autorizadas.

Com esses 3 aspectos na sua mente, você precisa montar uma politica de segurança da informação com base nesses 3 aspectos, então vamos lá.

Antes de começar a montar a politica você precisa saber quais informações devem ser protegidas. E assim pedir a autorização do Diretor da Empresa para começar a implementação da Politica.

Na hora de elaboração você vai criar as normas conformes utilização de softwares o acesso a internet e a computadores, uso de celulares, e-mail entre outras coisas vai depender da empresa.

Depois reuna todo esse conteúdo e debata com os CSO e o SOs. É padrão em qualquer local que você pesquisar ter alguns tópicos na politica de segurança como por exemplo:
Padrões de qualidade que esses sistemas devem possuir.
A classificação das informações de uso irrestrito, interno, confidencial e secretas.
Os princípios de supervisão constante das tentativas de violação da segurança de informações.
O plano de treinamento em segurança de informações.
Depois de levantar todas as informações ai entra a hora de documentar tudo isso e ou o Profissional de TI responsavel pelo documento se encarrega dessa tarefa ou fala com Departamento de Comunicação da empresa.

Depois disso vai ser preciso a aprovação do RH para ver se está conformes a leis trabalhistas, e depois passar por Gerente ou Diretor para eles também olharem e analisar e dar a palavra final.

E partindo disso é só elaborar um treinamento de conscientização para apresentar a Politica de segurança, e sempre mantenha em um local fácil para que todos possam consultar a politica de segurança um local que não passa despercebido. Sempre terá alguem responsável por monitorar a Politica de Segurança para ver se não a vulnerabilidades e mudanças na infraestrutura. E a cada Semestre sempre terá uma revisão da politica para ver se precisa de algumas melhorias ou mudanças.

Esse é os fundamentos para montagem de um PSI, qualquer dúvida perguntem..

[DICA]

Pentest

-Conhecimento & Estudos.

Que tipo de conhecimento um Pentester precisa ter? Existe curso para ajudar a ser um Pentest?

O Pentester basicamente é um profissional que conhece "Técnicas de invasão usada por verdadeiros hackers" para testar a infraestrutura da empresa e encontrar Não conformidades e até 0-DAY, para muitos o Pentester e o "Hacker" são diferentes sendo assim o Pentester tendo menos conhecimento que o "Hacker" e quando digo "Hacker" é o cara que manja mesmo não o que sabe criar um exploit ali uma ferramenta aqui e rodar o NMAP, pode sim ser verdade o "Hacker" tem grande conhecimento o Pentester ele faz as invasões com base em segurança da informação, diferente quando você contrata um "Hacker" mesmo que até deixar o seu servidor offline ele deixa (É tem uma diferença entre o Pentester e o Hacker) pode existir pentester com mesmo conhecimento de um "Hacker"? Concerteza um Pentester com mesmo conhecimento consegue ter nome na área.
Mas enfim vamos ao que interessa, o que o Pentester precisa estudar para se tornar um ótimo profissional?

Vamos lá:
1- Segurança da Informação = Não existe um bom pentester sem ter conhecimento em segurança e não digo o cara saber se defender, digo politicas de segurança, normas, firewall, ids, ips, waff, honeypot, honeynet, nids entre outras coisas. Esse é o principal não é atoa que para efetuar um Pentest empresas sérias querem um cara com experiência e atuação na área de segurança pois ele conhece limite de tudo.

2- Redes = Obviamente que precisa conhecer redes acho que em todas as área de TI o cara precisa saber o básico do TCP/IP um pentest precisa conhecer muito bem sobre redes em geral eu não vou citar o que vai ser estudado por que acho que sem conhecimento de redes o cara não vai para frente.

3- Programação = Conhecimento em programação é essencial as linguagem variam de Front end e Back end ambos se usa no Pentest se você domina uma linguagem Ótimo! não vou indicar linguagens por que vai do seu interesse.

4- Linux = Estudar linux é essencial não por que você vai usar o Kali Linux mais por que você uma hora vai lidar com ambiente linux e vai precisar dele uma hora ou outra.

5- Técnicas de Invasão = Estude as técnicas que os "Hackers" usam e se aprofunde existe muito conteúdo na internet é só parar pra pesquisar.

Ótimos cursos de pentest pagos e free!
Desec = Curso ministrado por Ricardo Longatto referência na área ele ensina pra você diversas técnicas para usar na hora de um pentest e tem um ótimo conteúdo de Buffer Overflow.
https://pentestprofissional.com.br/

eSecurity = Curso ministrado por Alan Sanches outra referência na área e ensina você fazer Pentest em diversos ambientes é um curso completo da área.
https://www.esecurity.com.br/cur…/advanced-penetration-test/

Fundamentos de Ethical Hacking = Curso ministrado por Marcos Flávio araujo outra referência na área de Pentest e autor de diversos livros como "Guia do Hacker Brasileiro" e "Segredos do Hacker ético" no curso vai aprender diversas técnicas e ajudar a você a tirar a certificação EHF (Ethical hacking foudation)
https://www.udemy.com/fundamentos-de-ethical-hac…/…/overview

Cybrary = Ótimo cursos gratuitos de Pentest com a Georgia weidman referência internacional na área de Pentest.
https://www.cybrary.it/course/advanced-penetration-testing/

Cybrary = Ótimo curso gratuito de Pentest intermediario com Leo dregier
https://www.cybrary.it/course/ethical-hacking/

Ótimos cursos de redes pago e free!
EADCCNA = Aprenda redes de computador com diversos cursos para área de infraestrutura.
http://www.eadccna.com.br/

DLTEC = Ótimo curso de redes gratuitos
http://site.dltec.com.br/curso/gratis

eSecurity = Ótimo curso gratuito de pentest em redes wifi que eu já vi ministrado por Alan Sanches você aprende técnicas que facilitam uma auditoria em redes wireless

https://www.esecurity.com.br/…/teste-de-intrusao-em-redes-…/

Ótimos cursos de Linux pago e free!
Udemy = Ótimo curso de preparatorio para certificação comptia linux + e LPIC-1 tu vai aprender muito bem os fundamentos do sistema operacional linux.
https://www.udemy.com/curso-online-certificacao-linux-lpic…/

Aulaead = Aqui possui ótimos cursos de LInux gratuito confira!
http://aulaead.thinkific.com/

4Linux = EMpresa focada em passar conhecimento sobre linux e aqui tem cursos gratuitos e pagos ótimos!
https://www.4linux.com.br/cursos

Ótimos cursos de programação pago e free!
Aulaead = aprenda algumas linguagem de programação gratuitamente http://aulaead.thinkific.com

Udemy = Aprenda algumas linguagem de programação gratuitamente e pago
https://www.udemy.com/courses/development/

MAIS CONTEÚDO:
Programação, Redes, Engenharia de Software, Tecnicas de Invasão, Criptografia, Quimica, Medicina e etc:
https://mega.nz/#F!hwVDTZiC!Toc9ScaKdJfYGTgYvclRYw!cxdBEKTL
https://mega.nz/#F!KIRE3DDS!RSwncUf5rVV_RZ_GLu-ccA!GYgRDYIT

Redes IPV6:
https://mega.nz/#F!9FtBVCrT!qIXB1mdazoD5zf33Z7bCNg!0R1WWKqS

Imagens de Sistemas Operacionais como Windows 7, Xp e Linux para laboratório:
https://mega.nz/#F!L01gBbhI!0rQjeFeMWPgD9NwwZnGhmw

Curso de inglês
https://mega.nz/#F!bkgH2YwY!kI4uMzHuD_nUpEn12zMZfA

Curso redes de computadores Gratuito:
https://www.udemy.com/redes-de-computadores-comeca…/learn/…/

Curso Redes de Computadores e Internet:
https://www.udemy.com/redes-de-computadores-e-a-internet/

Linux
https://mega.nz/#F!UJ8glBwb!tAipv9S9g4sZTljqD27FXA

Redes
https://mega.nz/#F!9FtBVCrT!qIXB1mdazoD5zf33Z7bCNg

Programação
https://mega.nz/#F!zIV0wAqa!NLQ1tL4MIXAvihXDzKhoNg

Segurança
https://mega.nz/#F!hdMykAiT!6SBQwivXCDWOY4EZDBL5WQ

Curso Lógica da Programação e ainda ensina C E C++:
https://www.udemy.com/c-e-c-fundamentos-para-logica-de-pro…/

Curso Lógica da Programação em Espanhol:
https://www.udemy.com/logica-programacion-aprende-programa…/

Ethical Hacking Buffer Overflow:
https://www.udemy.com/ethical-hacking-stack-buffer-overflo…/

Binário aulinha:
https://www.youtube.com/watch?v=-5Ekz7KgEp8

Hexadecimal aulinha:
https://www.youtube.com/watch?v=6bli5PKoP3o

Buffer Overflow Ricardo:
https://www.youtube.com/watch?v=59_gjX2HxyA

3 Faces do Crime Cibernético:
https://www.youtube.com/watch?v=W5uJE8LsBxM&t=1s

Aula de Criptografia:
https://www.youtube.com/watch?v=cWld3rMD7Wk

Curso iptables com Linux:
https://www.udemy.com/firewall-linux-com-iptables/

Curso de Linux pago 25 conto, mas vale a pena!
https://www.udemy.com/curso-online-certificacao-linux-lpic…/

VAMOS ESTUDAR!!!!
QUALQUER DÚVIDA SÓ PERGUNTA!!!

[OFF]
O que me falta para ser um bom profissional?

1) Não adianta saber se não conhecer = Rodar ferramentas todo mundo sabe agora conhecer como elas funciona é difícil, muitos deixam a teoria de lado e estuda só a prática e acabam deixando o conhecimento essencial pra trás, pois, se você conhece o conceito de algo o resto se tornará fácil vamos exemplificar: Vejamos o Nmap, todos aqui sabem rodar o nmap pelo menos o básico não é? agora você sabe como ele funciona? sabe quantos bytes cada scan do nmap envia? o que é socket, porta, serviço, dado, bytes, e por ai vai? se sua resposta for não é ai que entra a teoria, se você conhece o conceito de algo vai saber o exato momento em que se deve rodar um scan TCP, SYN, ACK, XMAS, UDP e por ai vai, também vai saber o quão barulhento é cada scan, o que deve ser feito depois de rodar a ferramenta e etc, um outro exemplo é as ferramentas de força bruta, você sabe qual serviço é mais rápido para quebrar? qual serviço te da mais problemas? quando o firewall pode me bloquear? quantas tentativas eu posso fazer? você sabia que os serviços tem uma proteção interna assim como SSH, FTPS e entre outros? então antes de começar a por a mão na massa estude os conceitos daquilo que está aprendendo assim tu não vai precisar se preocupar na hora de rodar a ferramenta porque o --help está ai pra ajudar.

2) Vontade de estudar = Será que eu tenho aquela vontade de correr atrás do conhecimento? será que não encho o saco dos outros e não descubro sozinho? Não estou dizendo que perguntar faz mal, lógico que não! mas já tentou resolver aquilo sozinho? aquele erro que deu no linux ou aquela ferramenta que não roda? então seja curioso e corra atrás da soluções.

3) Treino = Muitos tem aquela desculpa de que desaprendeu, mas não existe essa de desaprender tu pode esquecer só que o nosso cérebro tem a capacidade de lembrar conforme vamos colocando na prática tudo o que aprendemos, então montar laboratórios vai te ajudar a gravar aquilo que você aprendeu as vezes você montando o seu laboratório sem usar aqueles prontos vai te ajudar mais ainda e abrir muito mais a sua mente e o google ele te ajuda a montar laboratórios com vulnerabilidades que você quiser é só correr atrás.

4)Devagar se vai longe! = A maioria gosta de pegar algo para estudar e ficar o dia inteiro, e isso é legal, porém tudo que é bom se não tiver controle vai te fazer um mal grande, pois, seu cérebro precisa de um descanso e entretenimento para descontrair e evitar problemas de saúde, exemplo próprio, eu estudava demais sem ter controle que desenvolvi doenças como depressão e a falta de comer me trazia a imunidade baixa, então é algo sério um descanso e uma pausa nos estudos porque o conhecimento não é para demonstrar para os outros que você sabe, e para te ajudar na sua vida a fugir ou entrar em situações que vão te beneficiar ou te trazer maleficios e outra deixar de estudar 1 dia não vai matar ninguém é até bom, a dica que eu dou é anotar tudo em um caderno e fazer um resumo daquilo para depois botar em prática, você pode usar a tecnica de pomodoro que consiste em você estudar certo tempo e descansar certo tempo, por exemplo, estudar 30 minutos e descansar 5 ou 10 ai vai da sua necessidade, faça o seu cronograma de estudos.

5) Cronograma de estudos = Uma outra coisa que atrapalha muito o desenvolvimento é o estudo aleatório que muitos costuma fazer, as vezes muitos gostam de estudar 1 dia sobre redes e no outro sobre linux e no outro pentest e assim por diante, porém estudar dessa forma não vai te ajudar em nada e sim te atrapalhar, faça um cronograma e separa a semana para tal assuntos ou dias e sempre no último dia coloque tudo aquilo em prática e assim você vai memorizar, tenha foco nos estudos e não pare de estudar uma coisa porque alguém falou que estudar aquilo é melhor, por exemplo, você está estudando C e ai chega um amigo seu é diz que python é melhor e com isso tu deixa C de lado e começa python, obviamente que isso não vai te ajudar em nada porque se você domina um o outro será fácil e na programação se encaixa bem essa questão em muitos casos, então tenha foco e estude por sua necessidade e não porque alguém ta estudando aquilo ou isso.

Ellias Anderson

[info]
O que é ISO 27001? ou Gerenciamento de Segurança da informação?

Ajuda as organizações a manter ativos de informações seguras.

Usar esta família de padrões ajudará sua organização a gerenciar a segurança de ativos, como informações financeiras, propriedade intelectual, detalhes de funcionários ou informações confiadas a você por terceiros.

O ISO / IEC 27001 é o padrão mais conhecido na família que fornece requisitos para um sistema de gerenciamento de segurança da informação (ISMS).

O que é um SGSI?

Um ISMS é uma abordagem sistemática para gerenciar informações confidenciais da empresa para que ela permaneça segura. Inclui pessoas, processos e sistemas de TI, aplicando um processo de gerenciamento de riscos.

Pode ajudar pequenas, médias e grandes empresas em qualquer setor a manter ativos de informações seguros.

Certificação ISO / IEC 27001

Como outros padrões do sistema de gerenciamento ISO, a certificação para ISO / IEC 27001 é possível, mas não é obrigatória. Algumas organizações optam por implementar o padrão para se beneficiar da melhor prática que contém, enquanto outros decidem que também querem obter a certificação para garantir aos clientes e clientes que suas recomendações foram seguidas.

Dúvidas? podem pergunta!

Cyber Security UP

Pesquisar este blog

Todos os posts do Ellias Anderson :3

Comentários

Postar um comentário