Aqui está contida a proposta de trabalho que entreguei no dia 10 de julho.

Introdução:
Meu trabalho de formatura está se baseando em um estágio na empresa
Americanas.com. Estou trabalhando lá desde o dia 15 de Maio de 2000 atuando na
área de segurança.
Como o trabalho está relacionado à área de segurança, não posso
entrar em detalhes mais aprofundados sobre o que é feito na empresa, no entanto
tentarei disponibilizar o máximo de informação possível sem que a segurança
do site da Americanas.com seja comprometida.
A Empresa:
Algo à primeira vista muito curioso sobre a Americanas.com é que a
empresa não é uma subdivisão ou uma subempresa das Lojas Americanas S/A.
Embora as duas pertençam ao mesmo grupo, a Americanas.com é uma empresa
totalmente independente das Lojas Americanas. A Americanas.com foi fundada em
setembro de 1999 com o objetivo de explorar o comércio eletrônico no Brasil
através do uso de um nome já bem conhecido no mercado. Existe ainda uma certa
ligação entre as duas empresas no que diz respeito à coerência entre os preços
para produtos iguais, com o objetivo de não confundir o consumidor. Mas muitos
dos produtos que cada empresa vende são diferentes, já que cada uma atinge um
público diferente.
No escritório em que a empresa opera trabalham cerca de 70 pessoas nas
diversas áreas necessárias à manutenção do site como arte, conteúdo,
recursos humanos e sistemas. Existe também um centro de distribuição para
onde são encaminhados os pedidos e de onde saem os diversos itens para entrega.
O ambiente de trabalho bastante descontraído e os equipamentos de última
geração fornecidos aos funcionários tornam o trabalho ainda mais agradável.
Além disso, assim como fazem muitas empresas “pontocom” hoje em dia, a
Americanas.com não mantém regras rígidas nos horários de trabalhos de seus
funcionários. Para mim isso teve uma importância bastante significativa já
que ainda tenho que alocar tempo para as atividades relacionadas à faculdade.
A Equipe:
Pedro Donati, formado em Ciência da Computação no IME, lidera uma
equipe de 7 pessoas da qual eu faço parte. Fábio, Lílian e Mirian, recém
formados do IME, trabalham com a integração entre os sistemas da
Americanas.com com o de outras empresas. Nikolaj, Eliel e Luís Paulo trabalham
no gerenciamento dos bancos de dados. Apesar de pertencer a essa equipe, eu
trabalho sozinho na área de segurança.
O que eu faço:
De forma sucinta, minha função é, manter o site protegido contra
eventuais ataques de pessoas mal intencionadas, não necessariamente hackers,
mas também pessoas que tentam fazer compras de maneira fraudulenta, usando cartões
de crédito roubados, por exemplo.
Ultimamente tenho atuado mais na área de prevenção a ataques. Procuro
manter os sistemas atualizados com os mais recentes patches e atualizações de
modo a neutralizar as falhas de segurança que são freqüentemente encontradas
nos mais populares softwares como bind e ftpd.
Até agora já instalei e configurei algumas máquinas que permitem a
geração de logs mais detalhados e a monitoração da rede para a detecção de
possíveis ataques. Já cheguei até a escrever um programa que permite a detecção
de certos tipos de ataques DDoS (Distributed Denial of Service). Para isso foi
necessária uma boa quantidade de pesquisa sobre tais ataques e um pouco de
estudo sobre o funcionamento de uma rede em um nível mais baixo. Tive de
compreender com certo detalhe o funcionamento do protocolo TCP, por exemplo.
Através de relatórios de segurança sobre nossa rede gerados por
terceiros, aprendi bastante sobre falhas de segurança que já vêm ligadas por
default em alguns sistemas operacionais (principalmente Windows), com se fossem
“recursos” ao invés de falhas. A maior fonte de conhecimentos, no entanto,
ainda é a Internet. Existem inúmeros sites de segurança que explicam em
detalhe os bugs presentes em diversos daemons e como os hacker fazem para explorá-los.
Os sites mais divertidos são mesmo aqueles publicados para hackers por outros
hackers em que se fala, muitas vezes com deboche, de ferramentas de segurança
utilizadas em larga escala seguida por uma breve explicação de como fazer para
contornar tais obstáculos. Um exemplo disso é a ferramenta “tripwire” que
detecta alterações feitas em arquivos do sistema. Por incrível que pareça,
muitos administradores guardam os dados gerados pelo tripwire em partições
montadas como “read-only”, no próprio sistema, ignorando o fato de que, se
um hacker conseguir acesso de root na máquina, ele poderá montar a mesma partição
como “read-write”. É impressionante também ver como evoluem as ferramentas
utilizadas pelos hackers. Já estão
disponíveis na rede os chamados “rootkits” que são pacotes de programas
alterados que, uma vez que um hacker invade um sistema, basta rodar um script (já
incluído no pacote) para que todos os seus rastros sejam apagados
automaticamente e para que vários programas do sistema como “ps” e
“netstat” sejam substituídos por versões que escondem a presença do
hacker.
O Futuro:
Por mais que possa fazer ajustes na configuração de uma máquina para
que ela fique segura, ela dificilmente continuará segura por muito tempo. Todos
os dias descobrem-se novas vulnerabilidades que podem derrubar até mesmo os
mais bem protegidos sistemas do mundo. Pensando nisso, posso esperar que ainda
terei muito trabalho pela frente e muito mais a aprender sobre segurança.
No futuro imediato estarei aumentando minha área de atuação. Começarei
a entrar mais no mundo da detecção de fraudes de cartões de crédito. Para
esse propósito estou aprendendo a usar um sistema de banco de dados da Oracle,
e melhorando meus conhecimentos (ainda precários) de SQL.
Em breve também estarei estudando mais sobre IDS, Intrusion Detection
System. Ferramentas de IDS ajudam a detectar quando um sistema sofreu (ou está
sofrendo) algum tipo de invasão. Também estarei difundindo mais o uso de
criptografia dentro da empresa e padronizando documentos e especificações
criadas por funcionários de modo a incluir uma assinatura digital para que se
possa verificar autenticidade e garantir a integridade dos mesmos.
As maiores preocupações no momento são relativas à proteção contra
pessoas mal intencionadas de fora da empresa. À medida que a empresa cresce
também cresce a preocupação com a segurança interna. Algumas medidas já estão
sendo tomadas em relação à isso. Com uma visão um pouco mais à frente, está
sendo planejada a implantação de uma política de segurança interna.
Em relação ao meu futuro junto à empresa, pretendo continuar meu estágio
pelo menos até o fim do meu curso. Penso que hajam boas chances de efetivação
por lá e grandes oportunidades a serem tiradas de lá.