Cibersegurança – Pedro Fernandes

Eu comecei a trabalhar no Centro Nacional de Cibersegurança!

Estou feliz por anunciar que comecei a trabalhar no Centro Nacional de Cibersegurança (CNCS), parte do Gabinete Nacional de Segurança, em Lisboa, Portugal!

Este foi um dos meus objectivos já há vários anos, e é algo que finalmente alcancei!

Completei o curso: eID (Identificação Electrónica) e Certificação Eletrónica

Estou feliz por reportar que acabei de completar o curso eID e Certificação Eletrónica, do Instituto Nacional de Administração, em parceria com o Gabinete Nacional de Segurança.

Plano do Curso

Módulo 1 – O mundo digital
Módulo 2 – Segurança e Fiabilidade
Módulo 3 – Identificação Eletrónica (eID)
Módulo 4 – Serviços de Confiança
Módulo 5 – Casos nacionais
Módulo 6 – O antes e o depois do eIDAS

Certificado

Completei o curso: CSIRT in a Box: Capacitação Inicial de Equipas de Resposta a Incidentes

Estou feliz por reportar que acabei de completar o curso CSIRT in a Box: Capacitação Inicial de Equipas de Resposta a Incidentes

CSIRT = Computer Security Incident Response Team

Programa do Curso

Módulo 1 – O meu CSIRT
Módulo 2 – Resposta a Incidentes
Módulo 3 – Coordenação e Colaboração
Módulo 4 – Ferramentas
Módulo 5 – Treino
Módulo 6 – Auditoria e Análise Forense

Certificado

Eu completei a minha formação inicial na Microsoft!

Estou bastante satisfeito por ter completado a minha formação inicial na Microsoft, relativa ao Microsoft Defender for Endpoint (MDE), totalizando cerca de 70 horas!

Isto significa que em breve receberei casos reais de clientes!

Desejem-me sorte!

Certificado do teste de uma hora que acabei de passar.

O programa do curso é o seguinte:

MDE – Foundational Training – General

Foundational Training – Getting started
Internal Tools and Customer Communication
Initial Scoping

MDE Lab Creation

Create Your Azure Labs
Local Virtual Machines
Creating local VM’s – Hyper-V

Basic Portal overviews / General cross platform features

M365 Converged Portal
MDE – Threat and Vulnerability Management (TVM)
MDE Alerting
MDE – Tagging and Grouping
Defender Antivirus – Network Protection
MDE – Microsoft Threat Experts
MDE – Response Actions
MDE – Indicators
Microsoft Defender Endpoint licensing requirements & offering plans
Defender for Cloud Integration, Onboarding and Offboarding
Action Center
Device inventory and Timeline
Basic Connectivity Information
Defender AV (Compatibility with 3rd party AV)
Malware Submissions WDSI
Microsoft Defender for Office Integration
Live Response
Intune Integration
Advanced Hunting
Region Reset
Azure Permissions + MDE RBAC
Suppression Rules
Tenant Attach
Device Discovery
Contain Device
EDR Network Device Discovery
Device Health and Compliance Report
False Positives
MDE – Troubleshooting Mode

Windows – MDE Foundational

Microsoft Defender Antivirus
Microsoft Defender Antivirus
Antimalware Extension (IAAS)
MDE – Run Client Analyzer
MDE – Machine Isolation
MDE – Offboarding Machines
MDE – Client Analyzer II
MDE – Onboarding Machines
MDE – Indicators
Defender Antivirus – Exploit Protection
SCCM / SCEM Enrolment, Onboarding and Offboarding
Defender AV Updates
Defender AV – Log Collection
MDE – API Offboarding
Modern Unified Solution for 2012R2 / 2016
System Center Endpoint Protection logs
Troubleshooting SmartScreen
MDE – Web Content Filtering (WCF)
MSRT – Microsoft Safety Removal Tool
Defender Antivirus – Attack Surface Reduction (ASR)
Potentially Unwanted Applications (PUA)
MDE Security Configuration Management
Safety Scanner
Foundational – Controlled Folder Access (CFA)
MDE Troubleshooting Device Control for Windows
Troubleshooting Device Control for Windows
Automated Investigation and Response (AIR)
Host Firewall Reporting
Device Groups and Tags
EDR in Block Mode
Azure ARC (windows)
On / Offboarding with Group Policy

MDE Log Collection Methods

MDE Client Analyzer Logs
Defender Log Collection
ASR Log Collection
Linux and macOS Log Collection
Android and iOS Log Collection

Linux – MDE Foundational

MDE – Linux onboarding
MDE – Client Analyzer for Linux Servers / macOS
Configuring AV Exclusions on Linux
TVM on Linux
Running AV Scans on Linux
Cloud Protection – Linux
Managing Updates
Configuring AuditD Exclusions on Linux
Licensing – Linux
Configuring Network Protection on Linux
Deploying Defender for Linux

Mac – MDE Foundational

Internal Mac Test Machines
MDE – macOS Onboarding

Android / iOS – MDE Foundational

MDE for Android – Hands on lab
MDE for iOS – Hands on lab
Android / iOS Network Protection
Android / iOS Network Protection

Endpoint Protection Foundational assessment

The final exam

Falhas informáticas a nível global devido a uma atualização da CrowdStrike

Hoje assistimos a grandes interrupções na infraestrutura informática a nível global, afetando companhias aéreas, bancos, hospitais, serviços de emergência, empresas de telecomunicações, meios de comunicação, processamento de pagamentos, entre outros. [1] [2]

A causa raiz parece ser uma atualização defeituosa lançada pela CrowdStrike, uma empresa de cibersegurança, para o Falcon Sensor, a sua solução de proteção de Endpoints, que fez com que o muitos computadores bloqueassem e não ligassem corretamente, mostrando um erro ecrã azul (Blue Screen).

Numa situação não-relacionada, os serviços de Cloud do Microsoft Azure também tiveram problemas importantes durante o “problema CrowdStrike”, uma interrupção do Azure na região central dos EUA (ID: 1K80-N_8) – esses problemas com o Azure parecem já estar na sua maioria resolvidos. [3]

Solução para administradores de sistemas

Como os computadores não estão a arrancar, terão de ser intervencionados individualmente.

A solução parece ser:

1. Boot into Safe mode or the Windows Recovery Environment
2. Run the command:
 del "C:\Windows\System32\drivers\CrowdStrike\C-00000291*.sys"
3. Reboot

Conclusões principais

Os fornecedores de software e hardware têm uma grande responsabilidade e devem testar exaustivamente seus produtos – tanto com ferramentas automatizadas quanto manualmente
Os fornecedores devem fazer lançamentos graduais de atualizações de software, com monitorização em tempo real para detetar problemas e problemas relatados pelos clientes
Não lançar atualizações significativas a uma sexta-feira!
Os fornecedores devem fornecer opções ou ferramentas fáceis para controlar as atualizações: atrasar as atualizações por X dias e desactivar completamente as atualizações devem estar ser sempre opções disponíveis para administradores de TI
Para as empresas em geral, devem ter mecanismos para atrasar ou aprovar manualmente atualizações para toda a sua infraestrutura de TI – infelizmente isto nem sempre é fácil e depende em grande parte das opções fornecidas (ou não fornecidas) pelos Fornecedores.

Lembre-se que os 3 princípios básicos da Cibersegurança são Confidencialidade, Integridade e Disponibilidade, na procura pela segurança dos sistemas devemos atentos a questões como esta, que acabam por causar tantas interrupções quanto um grande Ciberataque.

Devemos também estar cientes de que a cibersegurança é, em grande parte, uma gestão de riscos e um ato de equilíbrio entre esses três pilares.

Declaração da CrowdStrike

Conselhos da Microsoft para resolver este problema

Pacote de livros sobre Cibersegurança, da Humble Bundle!

ATUALIZAÇÃO: Este pacote já não se encontra disponível!

Neste pacote de livros, da Humble Bundle, pode obter 18 livros relacionados com Cibersegurança, publicados pela Pearson, com tópicos como CompTIA Security+, Network Security, Zero Trust Architecture, Microsoft Sentinel e Microsoft Defender for Cloud.

Lista completa dos livros: