Nesse final de ano, reencontrei uma série de conhecidos que ainda possuem alguma participação ou que ainda tocam os seus provedores (hoje, empresas de hosting). Grandes parte está acompanhando as tendências de mercado e oferecendo serviços como WebHosting e Cloud Computing – produtos mais do que manjados por muitos, mas que garantem uma boa lucratividade.

Falamos sobre vários assuntos, discutimos sobre milhares de outros, mas dois pontos foram unânimes:

A primeira em dizer que me odeiam por eu estar indicando novas e animalescas ferramentas para testes de segurança e que, no final, na avaliação deles, causa uma série de problemas, dores de cabeças e madrugadas sem fim trabalhando para parar a molecada. 🙂

Eu não os culpo, mas também sou favorável à disseminação do conhecimento e não sou responsável pelos atos dos outros. Como já disseram, quem mata não são as armas, mas sim as pessoas.

O segundo e último consenso foi que os ataques DDoS/DoS aumentaram, e muito, nos últimos anos. Eles são os responsáveis por mais da metade de seus outages, quer dizer, das  paradas não programadas e, consequentemente, o pagamento de multas aos clientes mais espertos e exigentes dos pequenos e médios datacenters.

Hoje, qualquer morador de bairros da cidade de São Paulo, como Vila Mariana, Saúde e Jardins, pode executar uma avalanche de ataques DoS/DDoS com um alto poder de fogo. Isso porque conexões internet acima dos 10Mb/s chegando a 100Mb/s não são mais novidade e nem um absurdo para muitos.

Lembram do teste que foi feito no Web Security Forum, em que o CID, dono do blog NaoSalvo.com.br, solicitou que os seus milhares de seguidores acessassem o meu blog ao mesmo tempo?

O resultado não foi só a queda do blog, mas também a queda de boa parte dos servidores que estavam conectados no mesmo firewall – hehe Foi mal, KingHost.

Como deter todo esse poderio bélico que cresce de forma exponencial graças aos maciços investimentos das grandes operadoras? Complicado.

Sabemos que bloquear um ataque DDoS não é uma das coisas mais simples do mundo, até porque já está virando covardia – 100Gb/s de ataque contra uma empresa que possui 2Gb/s de link é %oda…

Os ataques também subiram de camada, quero dizer, da camada 4 para camada 7. Vocês veem isso nas últimas ferramentas publicadas para realização de ataques DDoS. Praticamente todas são focadas nos protocolos HTTP e HTTPS.

Isso até tem justificativa. Parar um site dá mais status para molecada que deixar de pingar um server :), e a dor de cabeça de quem trabalha com a oferta de webhosting só aumenta.

Empresas de WebHosting têm a mania de colocar mais de 100 sites/portais em um mesmo servidor – tudo pelo lucro $$$. Se um site for atacado, todos os outros sites hospedados na mesma máquina sofrerão danos. Isso é batata e já aconteceu comigo.

Logo, eu fiz a seguinte pergunta: “como é que vocês estão contendo esses ataques, sejam eles camada 4 ou camada 7” ?

Sei que ataques camada 4 são difíceis e caros de ser contidos – colocar uma solução Arbor Networks não é para qualquer um. Já ataques Camada 7 conseguem ser mitigados utilizando soluções simples e muitas delas saem de graça. Exemplo: trocar um Apache ou IIS por um Nginx+Varnish, ou se não, utilizar um mod_noloris, mod_qos e mod_security.

Todos foram categóricos em dizer que já fazem isso, mas falta uma coisa, mão de obra especializada, alguém que queira assumir o projeto e tenha capacidade de concluí-lo.

Praticamente todo o mercado de TI está assim, sem profissionais capacitados e pensantes. Vale lembrar que um profissional que pensa é mais caro que um que digita. E não podemos nos esquecer que SI é uma das áreas que precisam de mais seres pensantes.

 

Compartilhar:

Este post tem 16 comentários

  1. É a coisa está feia

  2. Cara concordo plenamente “a area de TI precisa de profissionais pensantes” muito bom o artigo. Abraços

  3. Por essas e outras que sou do time que ataca por pura e simples anarquia. Trabalho numa empresa em que dão fod****se para a segurança. Sendo que me propus a sanar e tomar conta do problema: resposta da empresa: é muito caro!!!! Não consideram que cada dia parado aqui custa alguns milhares de reais. Não sei se é burrice ou usura. Só sei que cada vez mais, resolvi estudar até o talo e sair dispersando o caos, como protesto.

  4. Concordo plenamente com o seu ponto de vista, principalmente em relação aos “profissionais pensantes” que quase não existem

  5. Caralho!!!! o artigo ficou muito FODA!!!!
    abraço Gustavo, Valeu!!!!

  6. Em relação a profissionais pensantes realmente está complicado, mas acho que há um problema tão grande quanto:

    Muitos “profissionais” querem receber um salário de 15K mesmo antes de sair faculdade. Vira e mexe eu escuto uma frase deste tipo: “Pra ganhar X mil reais eu prefiro ficar em casa”, só que quando você da uma rápida olhada nas mídias sociais do cara tem lá um post terça feira as 20:00: Buteco do Seu João, quarta as 21:30: Churrasquinho da Neide e o resto da semana do mesmo nipe.

    Ai eu me pergunto, faltam profissionais pensantes ou eles não querem pensar? Concordo que as vezes o salario é ingrato, mas foi como eu disse, grande parte quer ganhar muito simplesmente como a “experiencia academia de buteco” das faculdades, e todos vocês sabem muito bem que a vida real é bem diferente.

  7. Essa realidade não é só na área de TI, mas em todas as profissões…

    Claro que como o Dan Geer já falou: ” Security is perhaps the most difficult intellectual profession on the planet. ” o que só dificulta ainda mais…

    O problema é que como as pessoas tem preguiça de pensar e se dedicar a algo ficam só no basicão do conhecimento de suas áreas e o resultado é termos especialistas formados pelo google.

    O Brasil não tem pesquisadores e pouco desenvolvemos aqui dentro, só consumimos o que importamos….nesse sentido da vergonha de ser brasileiro…

  8. Por outro lado temos profissionais “pensantes” mas que não acham respaldo em nenhuma empresa. A maioria dos gerentes de TI de pequenas e médias empresas pensam como “donos de padaria” da década de 70…. Investimento em pesquisa é o que mais faz falta. E é algo que poderia ser feito dentro da empresa mesmo com baixo investimento. O Brasil é isso: a maioria dos que “pensam” segurança tem seu laboratório em casa, gasto do bolso, pela simples paixão pelo conhecimento. Nossa realidade ainda é e pelo jeito sempre será diferente da dos gringos.

  9. Gustavo, uma dúvida

    Ataque DDoS/DoS usa download ou upload?

  10. Não ta faltando nada nesse site não? Tipo uns botões “sociais” pra gente divulgar??

  11. Crash e Hijak Skank, faço suas palavras as minhas! Concordo em gênero, número e grau com vocês.

    O que acontece também com essa geração, e a total falta de vontade de aprender… sede por conhecimento. O que eles querem, é “receitas de bolo” e só.

    Estudar (pensar) que é bom, nada!
    Montar um lab em casa então… Isto é muito raro.

  12. Crash você está certo… Contudo todos nós somos seres humanos a vida é para ser vivida…
    Mas realmente tem gente que não tem senso curte balada todos os dias… Mas qualificação nem sempre é tudo para ser uma pessoa pensante.

  13. curte das informações k eu encontri

Deixe uma resposta

Fechar Menu