Windows Admin Center

Olá Pessoal

Você já ouviu falar bastante do projeto Honolulu.

Pois é, ele ficou estável e se tornou Windows Admin Center.

Eu resolvi instalar em laboratório em um Windows 10 no Azure.

Entrei no site http://aka.ms/WACDownload

Na instalação resolvi escolher a porta 443 padrão https.

Muito parecido com a instalação do projeto Honolulu.

A instalação é muito rápida. Vamos abrir o Windows Admin Center.

Na instalação já veja o certificado de acesso, ou já compre um certificado valido caso sua empresa use um.

Como no Honolulu é bem parecido, mais rápido no caso.

Vamos testar.

Vamos acessar a maquina, no caso é Windows 10.

Imagina o que você fazia via gráfico do Windows, agora veja tudo isso via web podendo acessar com segurança da web.

Este claro foi instalado em uma maquina com Windows 10 e não tem todos recursos que o Windows Server tem.

NÃO ESQUEÇA DA LIBERAÇÃO DA PORTA 443 NO FIREWALL NO CASO SE TIVER USANDO AZURE.

VAMOS TESTAR?

No meu caso eu tenho um loadbalance fazendo NAT, então coloquei a porta 443 para acessar de fora.

Acessando de fora na sua máquina local você aceita o certificado e instala localmente para acessar o ambiente.

Acessando e gerenciando o Windows através do WAC Windows Admin Center.

Aproveitem.

Até o próximo post.

Anúncios

Azure Information Protection

Olá pessoal.

Apresentei no canal do Fabio FOL um overview do cenário Azure, Windows 10, EMS e Office 365 dando um foco no AIP.

Espero que vocês gostem.

Agradecimento ao Fabio FOL.

Seu canal no YouTube e o meu canal.

Projeto Honolulu – Gestão do Windows via web.

20180324_153614910216901548475097.jpg

Você terá a capacidade controlar totalmente a infraestrutura do servidor, permitindo que você os gerencie de qualquer lugar com o Microsoft Edge ou o Google Chrome. Vamos seguir passo a passo para implementá-lo.

O Projeto Honolulu ainda está em pré-visualização técnica (mas em breve!), Aqui estão as suas capacidades atuais:

  • Exibindo recursos e utilização de recursos
  • Gerenciamento de Certificados
  • Visualizador de eventos
  • File Explorer
  • Gerenciamento de Firewall
  • Configurando usuários e grupos locais
  • Configurações de rede
  • Exibindo / finalizando processos e criando despejos de processo
  • Edição do Registro
  • Gerenciando os Serviços do Windows
  • Ativando / desativando funções e recursos
  • Gerenciando VMs do Hyper-V e Comutadores Virtuais (Que vida)
  • Gerenciando Armazenamento
  • Gerenciando o Windows Update

Existem 3 opções para implantar o Microsoft Project Honolulu da seguinte forma:

101017_2308_STEPBYSTEPI2

Eu vou usar a opção 2 para implantar o Microsoft Project Honolulu. Projeto Honolulu requer recursos PowerShell que não estão incluídos no Windows 2012 e 2012 R2 Server, você precisa seguir as etapas para instalá-lo se você estiver usando o Windows 2012 e Windows 2012 R2 como um gateway de projeto Honolulu ou nó gerenciado.

Para Windows Server 2016 não requer os pacotes pois já fazem parte.

Este LAB é com Windows Server 2016.

Registre e baixe o software do Projeto Honolulu no seguinte link:

https://www.microsoft.com/pt-br/evalcenter/evaluate-windows-server-honolulu

honolulu01

3. Faça logon no servidor gateway.

4. Abra o PowerShell e execute o cmdlet a seguir para garantir que o Windows Management Framework 5 ou superior seja carregado.

honolulu02

Vamos instalar?

honolulu03

Na instalação ele vai gerar um certificado temporario a você ou se você tiver um certificado valido já pode instalar direto.

Certifique se a porta 443 é a ideal para você acessar de fora da sua rede, geralmente para acesso de fora usam NAT ou outra porta.

Aqui irei manter a porta 443.

honolulu04

Prossiga com a instalação

honolulu05

Como estamos com uma maquina virtual no Azure libere para acesso externo no NSG (Network Security Group).

honolulu06

Porta liberada vamos la

honolulu07

Finalizado a instalação vamos as configurações.

Você vai acessar https://localhost ou http://127.0.0.1 ou https://iplocaldamaquina

Para instalação via Powershell:

msiexec /i <HonoluluInstallerName>.msi /qn /L*v log.txt SME_PORT=<port> SSL_CERTIFICATE_OPTION=generate

Com certificado próprio:

msiexec /i <HonoluluInstallerName>.msi /qn /L*v log.txt SME_PORT=<port> SME_THUMBPRINT=<thumbprint> SSL_CERTIFICATE_OPTION=installed

honolulu08

Que lindo já esta no ar.

 

honolulu09

Liberamos a porta 443 no Azure, de fora ele pedira autenticação oviamente pelo administrador local cadastrado na instalação do Windows.

honolulu10

Veja que só tem a maquina que eu instalei, mas é possivel como server manager gerenciar as maquinas da sua rede ou datacenter.

Realmente a Microsoft se superou com o Porjeto Honolulu.

Para Windows Server 2012 tem alguns passos a mais

  1. Faça o download e instale o WMF 5.1 para o Project Honolulu Gateway ou o nó gerenciado (é necessário o servidor de reinicialização).

Faça o downloads do pacote abaixo para que instale o pacote do honolulu https://www.microsoft.com/pt-br/download/details.aspx?id=54616

 

honolulu11

Para acessar a maquina ele irá pedir as credenciais. Se você tiver Domain Controle, faça a autenticação com o usuário do domínio.

honolulu12

Veja que praticamente o que você fazia via RDP via web você fará com muita facilidade.

Eu vejo que uma das grande vantagens é gestão de maquinas do Hyper-V, tudo isso via Web.

Um projeto legal é instalar um servidor com Honolulu e ele ser o JumpServer por Network ou por barramento de network. Isso melhora a segurança dos acessos e a concessão mais centralizada.

Em compliances de auditoria e segurança da informação melhora as não conformidades pois você não acessara o servidor no sistema operacional.

honolulu13

Veja do que o Honolulu é capaz.

Pessoal espero que eu tenha contribuído com as comunidades com este post.

Não esqueçam do MVPConf dia 06 e 07 de Abril aqui em https://www.mvpconf.com.br/

 

 

 

Microsoft MVP Conference – #mvpconf

Olá pessoal,
Nos dias 6 e 7 de Abril desde ano, acontecerá na UNIP Taubaté São Paulo o maior evento presencial de experts Microsoft do Brasil – www.mvpconf.com.br, vou tentar enumerar as 5 razões de qualificar como o maior evento de expects e impulsar sua curiosidade para realizar sua inscrição agora:

1. Da comunidade para a comunidade técnica: Primeiro evento técnico presencial organizado por MVPs do Brasil – ainda não sabe o que é MVP? dá uma clicada aqui;

2. Networking: São mais de 70 MVPs do Brasil envolvidos nesse evento, teremos 7 profissionais da Microsoft no Keynote. Já imaginou se conectar pessoalmente com todos presencialmente? Veja quem são:

KEYNOTES:

image

PALESTRANTES:

Palestrantes_mvpconf

3. Ajudar o próximo diretamente: Talvez seja, se não o primeiro evento com taxa de inscrição 100% doada para APAE que você participa diretamente com sua contribuição;

4. Dev e Infra no mesmo evento: São 10 diferentes trilhas, você poder interagir com profissionais de diferentes áreas de atuação. Essa é a transformação digital que todas as empresas estão buscando, como falar com desenvolvedores, profissionais de IT e entender como sinergia dessas áreas em Cloud é fundamental;

palestras_blog

5. Sério que você ainda precisa de uma 5ª razão? ok, a 5ª razão é ‘UP na sua carreira’, pense na sua carreira e o quão é importante o aprendizado constante + razão n.2  – foi em eventos assim que eu comecei minha jornada e você como começará a sua?;

FAÇA SUA INSCRIÇÃO PELO SYMPLA: https://www.sympla.com.br/microsoft-mvp-conference__246657

Post gentilmente cedido pela MVP Sara Barbosa em https://sarabarbosa.net/2018/03/20/microsoft-mvp-conference-mvpconf/

Sincronização manual AAD Connect

Adivinha o que? Isso não é diferente para a versão 1.1 lançada recentemente da ferramenta do Azure AD Connect (AAD Connect), que, a propósito, tem várias alterações e aprimoramentos significativos.

Com o AAD Sync e a versão 1.0 da ferramenta AAD Connect, você também pode simplesmente executar a tarefa agendada manualmente.

Com o AAD Connect 1.1, não temos mais uma tarefa agendada do Windows em execução a cada 3 horas. Agora a ferramenta possui um agendador embutido, que por padrão executa a sincronização delta a cada 30 minutos. Você pode alterar esse cronograma de intervalo, no entanto, tenha em mente que 30 minutos é o intervalo mais baixo suportado.

Embora uma sincronização agora seja executada a cada 30 minutos, pode haver ocasiões em que você ainda deseja forçar uma sincronização. Para fazer isso, você inicia o Windows PowerShell no respectivo servidor no qual o AAD Connect foi instalado e digita o seguinte para importar o módulo do AAD

Conecte no PowerShell:

Import-Module ADSync

Você verificar as configurações atuais para o novo agendador, você pode usar o novo Get-ADSyncScheduler como mostrado abaixo.

 

Para forçar uma sincronização delta, você pode usar o seguinte comando do PowerShell:

Start-ADSyncSyncCycle PolicyType Delta

 

Se você quiser forçar uma sincronização inicial (completa), use este comando:

Start-ADSyncSyncCycle -PolicyType Initial

 

Obviamente é para quem tem sincronização do AD local com Office 365.

Espero ter ajudado.

Bloqueando o tráfego de um único IP na AWS

Então aqui está um tutorial rápido para bloqueio de IPS por ACL no AWS.

  1. Abra o painel de controle do VPC


2. Abra a exibição “Network ACLs”


3. Abra o editor ACL

  1. Selecione a sub-rede à qual suas instâncias EC2 ou balanceadores de carga estão conectados.
  2. Clique em “Regras de Entrada”
  3. Clique em “Editar”


4. Adicionar uma regra para bloquear o tráfego

Agora você verá o editor ACL. Na última linha, você pode adicionar uma nova regra.


Veja como você deve preencher os campos:

Regra # Use qualquer número inferior a 100, que é o número da regra de aceitar-tudo padrão. Isso é importante porque as regras são avaliadas em ordem, e sua regra precisa ser apresentada antes do padrão.
Tipo Selecione “Todo o tráfego”
Protocolo Bloqueado para “ALL”
Fonte CIDR que deseja bloquear. Para combinar um único endereço IP, insira-o aqui e adicione /32 . Por exemplo, 200.200.200.200/32
Permitem negar Selecione “DENY”

Agora, clique em Salvar e você deve ver a tabela de regras atualizadas.

Facil né? Espero que tenha ajudado

Profissões em transformação

 

Olá pessoal.

Quando comecei a trabalhar em arquitetura tive muito contato com a área de desenvolvimento, programação e novas tecnologias.

Com a transformação digital na boca de cada pessoa de TI perpetuando e ecoando a até ficar chato de tanto ouvir umas das transformações que vi.

Antigamente chamavam de consultor, algumas empresas ainda chamam. Outras chamam de pré-vendas. Mas o que mas tem se falado. Veja abaixo:

Arquiteto: Um arquiteto de solução, de cloud ou de software ou de infraestrutura é o cara que necessariamente esteve na linha de frente de um desenvolvimento de software ou aruando em infraestrutura por muito tempo e naturalmente evoluiu na area, atua primariamente na construção de solucões baseadas nas necessidades do negócio, fazendo uso dos serviços e recursos tecnológicos já existentes na empresa. Outro objetivo é o de alinhar novas solucões aos princípios arquiteturais já definidos, respeitando os padrões e integrações da empresa. Ele é o elo entre a área de negócios e a área de implantação e projetos atuando no desenho do projeto. Em alguns casos ele atua em pocs (provas de conceitos) e atua captando melhorias contínuas.

O velho e bom cara de ITPro tem se transformado.

Devops: É o novo e transformado ITPro. Além dele melhorar a produtividade automatizando ambientes tradicionais de virtualização ele é o cara que coda é desenvolve código para scripts e orquestração para subir ou realizar deploys de infra como serviço é plataforma como servico. Seja ela em AWS ou Azure ou Openstack ou Vmware ou HyperV ou Linux. Desde que orquestre, use serviços que automatize o ambiente que ele esteja proposto a fazer. Em resumo ele coda em infra.

DesignUX: User eXperience. É o cara que vai realizar os testes de experiência de um usuário. Exemplo: Ele vai pegar um celular e testar o App que foi desenvolvido e sentir o que o usuário sente e ver se ficou bom ou ruim. É um papel preponderante de o App vai ter sucesso ou não. Veja como é fácil de usar Whatsapp e Facebook. Um DesignUX realmente fez o teste antes de sair a atualização para a massa.

Developer Frontend: É o cara responsável pela interfaceweb. Ele projeta e constroi e otimiza toda frente de desenvolvimento. Em resumo HTML, Javascript, CSS, webstandard, aplicação de SEO (Search OFF Engine). Obviamente este cara tem que manjar de programação e ele tem facilidade em desenvolver com um viés de design.

Developer backend: É o cara por traz das “cameras”, ele que faz as ligações do que o Frontend projetou. Interage o que o é coletado recebendo os dados programando regras de negócios, api realizando scripts e códigos um pouco mais complexos com conexões para banco de dados e ligações tambem com outros sistemas e webservices.

Fullstack developer: Bem, este é o cara, ele trata tanto do frontend como também o que o backend faz. É o cara mais completo.

Hoje em ambiente Ágil tem se dividido muito as tarefas de desenvolvimento por isso que as tarefas de desenvolvedores ficaram mais segmentadas.

Empresas maiores estão nesta mudança. É também tem se dividido e segmentado justamente pela agilidade na entrega.

Uma pitada de segurança neste meio tem o tester ou robôs que analisam o codigo que o front e o back desenvolveram e aplicam na camada para achar vulnerabilidades para que os mesmos possam melhorar e entregar os projetos com seguranca.

As corporações contratam empresas pentesters ou sistemas baseados em OWASP.

Um dos meus favoritos é da Qualys. https://www.qualys.com/

Analista de Segurança da Informação: Este irei resumir bastante mas muito é uma peça chave. Ele analisa os riscos dentro de um compliance, garante a confidencialidade, a integridade e a disponibilidade dos dados da empresa.

Dentro de segurança da informação temos a área ativa onde a atuação pelo nome já se fala por si mesma, na atuação de firewalls, pentest, vulnerabilidades e atuação na segurança dos dados.

A segurança passiva é mais nos compliances da corporação garantindo a políticas, plano de continuidade e toda documento criada seja cumprida dentre os funcionários e fornecedores respeitem.

Claro que tudo que mencionei pode mudar daqui 3 ou 4 anos.

Os níveis de conhecimento garantem que o RH segmente salarios e beneficios de dentro das políticas de cargos Junior, pleno e sênior de cada corporação.

Espero que tenha esclarecido em minhas palavras as profissões em transformação.

Até mais pessoal

Blockchain! O que é? Já é o presente?

blockchain

O blockchain deve passar a atrair mais empresas em 2018. Principalmente por serem redes fechadas, em que a gestão da identidade digital é feita de forma mais segura. As provedoras das redes para diferentes setores precisarão hospedar seus dados em múltiplos locais, de forma distribuída, para garantir baixa latência. Este tipo de ambiente é encontrado dentro de ecossistemas como Datacenters e Nuvens com AZURE, AWS e Google. Cuja plataforma global pode dar suporte a redes distribuídas por todo o mundo.

O Azure oferece o serviço como AZURE BLOCKCHAIN SERVICES.
https://azuremarketplace.microsoft.com/pt-br/marketplace/apps/microsoft-azure-blockchain.azure-blockchain-service?tab=Overview

A AWS oferece através de parceiros.
https://aws.amazon.com/pt/partners/blockchain/

O que afinal é o Blockchain?

Blockchain, em sua essência, é simplesmente uma nova tecnologia de rede de distribuição de informações, com algumas propriedades especiais, como:

  1. Sem um único administrador, baseia-se em um modelo de confiança compartilhada entre usuários, totalmente descentralizado.
  2. Os registros não são atualizáveis, assim não há como alterar transações realizadas. Ele permite apenas inclusões.
  3. Tem um único esquema lógico (virtual) global que é armazenado por meio de várias cópias físicas distribuídas.

Redes públicas ou privadas?

A principal diferença entre o blockchain público e privado é o mecanismo de consenso. No público, os usuários não se conhecem, portanto, o nível de confiança é baixo, necessitando uma sobrecarga computacional maior. Assim, a verificação ou validação de cada transação é bastante alta e demorada.

Veja a arquitetura basica

blockchain_arquitetura_basica_de_entendimento

Já na conexão privada, a confiança é maior, pois é baseada na permissão de acesso. É possível fazer uso de algoritmos compartilhados mais simples e rápidos. Como resultado, em vez de algumas transações por segundo, é possível fazer milhares delas.

Além disso, em blockchains privados, os registros das transações podem ser criptografados e estão disponíveis apenas para as partes autorizadas, o que, por sua vez, ajuda a satisfazer os requisitos de privacidade dos participantes.

Como a tecnologia está sendo usada hoje?

O uso do blockchain vem sendo feito basicamente das seguintes formas:

  1. Como meios de distribuição de criptomoedas, como Bitcoin.
  2. Como uma plataforma (autorizada) para trazer benefícios de custo e eficiência nos processos de negócios das empresas.
  3. Como ferramenta para garantir integridade e segurança de dados. 

Quais os benefícios para os usuários?

Os usuários estão estudando seriamente a tecnologia blockchain em verticais como supply chain, trading e mercado financeiro, governo e no segmento de health care. Eis a razão:

  • Manutenção de registros inalteráveis: agências governamentais e empresas estão interessadas em manter o controle de dados, com a garantia de não serem alterados.
  • Utilização da ferramenta para denuncia de notícias falsas que circulam pela internet.
  • E- Voting: na Estônia, por exemplo, a tecnologia blockchain já é utilizada pelo governo para computar votos eletrônicos.
  • Desenvolvimento de um marketplace descentralizado, alimentado por um livro-caixa distribuído, escalável e em tempo real.
  • A adoção de criptomoedas está ganhando impulso à medida que mais empresas de grande porte passaram a aceitar criptomoedas. Uma das vantagens é a possibilidade de operar em nível de microcentavo, dispensando arredondamentos. No entanto, as redes de blockchain públicas apresentam problemas, como invasões, por exemplo.
  • Eliminação do intermediário: hoje, as transações financeiras que cruzam as fronteiras entre países passam por intermediários que acrescentam custos e retardam a circulação. O blockchain elimina intermediários, com transações mais rápidas, seguras e menos dispendiosas.

Então qual será o futuro?

“Varias empreas acompanham de perto as tecnologias blockchain e seu funcionamento para que seus clientes possam otimizar sua utilização dentro das operações de TI e modelos de negócios”. Inicialmente, o uso do blockchain pelas empresas tem acontecido com o intuito de completar os sistemas de TI existentes, sem, no entanto, adotá-lo em seus principais processos corporativos.

O CSA (Cloud Solution Architecth) Guru do Blockchain em Azure Rudnei Oliveira deu seu depoimento na integra.

Perfil do Rudney Oliveira https://www.linkedin.com/in/rudnei-r-oliveira-69443523/

Blockchain surgiu como tecnologia de base para cryptomoeda e logo perceberam que ela poderia ser extremamente poderosa para controle e fluxos de processos e aprovações, também chamado de “smart contracts”, pois remove a centralização do poder e descentraliza as operações. Isso tudo é fantastico, mas o mercado corporativo ainda está aprendendo a aplicar a tecnologia e tirar melhor proveito dela. No Brasil já há grandes Bancos testando a tecnologia e poucas empresas tentando colocá-la em prática nos negócios.

Minha opinião pessoal

Eu acredito que se fosse aplicados Blockchain como exemplo em cartórios, com validações de documentos, com a digitalização seria primordial e traria uma agilidade maior e integração com órgãos públicos como DETRAN.

A adoção do blockchain não envolve apenas integração da tecnologia à uma infraestrutura de TI, mas trata-se de um negócio que também está mudando processos internos. É preciso que a organização perceba o que a tecnologia pode fazer pelo seu negócio e o potencial do valor agregado. “Isso ainda pode consumir vários anos em um processo de tentativa e erro”.

É certo que, em breve futuro, as empresas estarão envolvidas em múltiplas redes de blockchain (por exemplo, supply chain, finanças etc.) e vão querer que seus negócios estejam localizados próximos de seus parceiros ou em Cloud Publica que dará  facilidade. Neste sentido, a alta densidade de rede e cloud da plataforma e marketplace serão importantes ferramentas para a adoção do blockchain, tanto para fornecedores, quanto para empresas.   Principalmente em um cenário em que empresas passem a atuar com diferentes modelos contratuais, mas queiram garantir a legitimidade do acordo entre ambas partes.

Fontes: Rudnei Oliveira (Microsoft), Laila Almeida (Impressi PNI).

Simularemos em Breve Blockchain no Azure.

Até mais pessoal

 

 

 

Zerodium premio de $45k

Zero-day

A empresa Zerodium está oferecendo US$ 45.000 para hackers dispostos encontrar vulnerabilidades de zero day no  Linux.

O programa de  exploração privada anunciou a recompensas no Twitter . Até 31 de março, a Zerodium está disposta a oferecer pagamentos de até US$ 45.000 para explorações locais de escalonamento de privilégios (LPE).

As vulnerabilidades de zero day, não relatadas, devem funcionar com instalações padrão do Linux, como as populares plataformas Ubuntu, Debian, CentOS, Red Hat Enterprise Linux (RHEL) e Fedora.

O Zerodium difere de muitas empresas que procuram ajuda externa para descobrir vulnerabilidades. Enquanto muitos fornecedores de tecnologia, incluindo Google, Apple e Microsoft, muitas vezes oferecem recompensas financeiras para relatórios de erros válidos, esses relatórios são usados ​​para corrigir o software e proteger os dispositivos do usuário de um compromisso.

A empresa adota vulnerabilidades em uma ampla gama de dispositivos e sistemas operacionais de destino – como o Microsoft Windows, o Google Chrome, o Android, o Apple OS X e vários servidores de e-mail – para vender essas informações de forma privada aos clientes; individualmente, ou através do feed de pesquisa do dia zero da empresa.

Os clientes podem incluir agências governamentais que exigem explorações para fins, incluindo quebra de criptografia de dispositivo ou realização de vigilância.

Dependendo da demanda do mercado, o vendedor de explorações ofereceu recompensas que atingiram mais de um milhão de dólares no passado. Em 2015, a empresa ofereceu US $ 1,5 milhão para explorar as façanhas do iOS 10.

Ao longo do ano passado, os governos pediram intervenções em portas de aplicativos criptografados e serviços de criptografia de ponta a ponta. Considerando esta mudança nas prioridades do governo, o Zerodium aumentou os pagamentos de recompensas em 2017 até US $ 500.000 para falhas de zero dias em aplicativos criptografados , como iMessage, Telegram e WhatsApp.

O aumento no preço das vulnerabilidades do Linux sugere que pode haver uma alta demanda no mercado no momento.

O Zerodium geralmente oferece até US $ 30.000 para uma vulnerabilidade do dia zero do Linux, mas para aumentar as submissões, isso agora aumentou em US $ 15.000 até o prazo.

A fonte é do site ZDNET

O que é OWASP?

Olá pessoal

OWASP_Poland_logo

Com uma conotação em segurança que é um assunto que esta começando a ficar na cabeça dos profissionais de tecnologia da informação.

É item obrigatório quando se fala de aplicações WEB.

A segurança de aplicativos e softwares de computadores é simplesmente uma das etapas mais importantes do planejamento para o desenvolvimento. Afinal, o nível de confiabilidade é o que determinará o sucesso dele, e isso se refletirá no número de usuários ativos no aplicativo, por exemplo. E não tem como falar em segurança sem mencionar o OWASP.

É fundamental que os profissionais seja fora da area de Segurança desenvolvimento ou TI combata às falhas de segurança, enjaular ou blindar sistemas , aplicativos e sistemas contra invasões não autorizadas e vazamento de informações sigilosas dos usuários e empresas. Isso torna essencial acompanhar e participar ativamente do OWASP.

Quer entender melhor o assunto? A seguir, veja o que é OWASP e por que ele é tão importante para a sua empresa!

O que é OWASP?

A sigla OWASP é a abreviação para “Open Web Application Security Project”. Trata-se de uma entidade sem fins lucrativos e com reconhecimento internacional, atuando com foco na colaboração para o fortalecimento da segurança de softwares em todo o mundo.

O OWASP mantém uma lista com as 10 falhas de segurança de aplicativos da Web mais perigosas, juntamente com os métodos mais eficazes para lidar com elas. Abaixo, listamos o top 10 OWASP por ordem de maior risco para o menor, até a data de postagem deste post. Acompanhe:

  1. injeção de código;
  2. quebra de autenticação e gerenciamento de sessão;
  3. cross-site scripting (XSS);
  4. referência insegura e direta a objetos;
  5. configuração incorreta de segurança;
  6. exposição de dados sensíveis;
  7. falta de função para o controle de níveis de acesso;
  8. cross-site request forgery (CSRF);
  9. utilização de componentes vulneráveis conhecidos;
  10. redirecionamentos e encaminhamentos inválidos.

Como funciona o OWASP?

Quem sustenta o projeto é composto por uma gama de especialistas em segurança na web espalhados por todo o mundo. Eles compartilham seus conhecimentos e experiências sobre as vulnerabilidades, ameaças, ataques e informações sigilosas que são passadas com experiências e testes feitos.

A ideia é reunir as informações mais importantes que permitam a avaliação dos riscos de segurança e as formas de combatê-las eficientemente.

Por que o OWASP é importante?

O OWASP é um projeto de comunidade de segurança gratuita e aberta, que fornece uma riqueza absoluta de conhecimentos, ferramentas para ajudar qualquer pessoa envolvida nos processos de criação, desenvolvimento, testes, implementação e suporte de uma aplicação web a garantir que a segurança seja constituída desde o início e que o produto final seja tão seguro quanto possível.

Entre os principais benefícios que o OWASP proporciona às empresas e profissionais de TI, podemos destacar as seguintes:

  1. ajuda a tornar as aplicações mais blindadas contra ataques cibernéticos;
  2. colabora para a redução do índice de erros e falhas operacionais nos sistemas;
  3. contribui para uma codificação (criptografias) mais forte;
  4. eleva o potencial de sucesso das aplicações;
  5. melhora a imagem da empresa desenvolvedora do software.

Se você ainda não segue ou colabora com o OWASP, essa pode ser uma grande oportunidade de começar!

Mostrar aos clientes que a sua empresa participa ativamente da comunidade, colaborando com as informações, ajudará a mudar a forma como enxergam o negócio e melhorará significativamente a imagem da sua aplicação, ou do seu negócio como um todo.

Espero que tenha ajudado.

Veja o site do projeto OWASP e veja como ajudar ou participar.

Eu estou participando. E você, é aficionado por segurança, é de IT ou DEV? participe.

Valeu pessoal

 

Escotilha Livre

Um canal para lançar as sementes do conhecimento, promovendo o uso de soluções livres.

simple Ula

I want to be rich. Rich in love, rich in health, rich in laughter, rich in adventure and rich in knowledge. You?

Junior Galvão - MVP - Data Platform

Select 'MVP | MCC | MSTC | MIE' As Awards

Keith Tenzer

Cloud Computing Platforms and Code

odelot stuff

Tech, Dev, Games and Life!

iCutsman

Technology Blog