Microsoft Security Essentials “De igual a igual ” Com Antivirus Pagos!
O Microsoft Security Essentials 1.0, software de proteção básica para sistemas informáticos desenvolvido para sistemas Windows, é uma das melhores soluções de segurança que existem no mercado, pelo menos é o que se conclui com os testes realizados pela AV-Comparatives. Os testes, que foram desenhados para perceber os níveis das defesas pro-ativas nos produtos antivírus, revelam que o software da Microsoft apresente um desempenho superior ao realizado por outras aplicações, incluindo soluções pagas.
A AV-Comparatives realizou os testes em Fevereiro, março, abril e maio, com as respectivas atualizações e confrontou os produtos com diversos tipos de malware, que surgiram no inicio do ano e analisou os comportamentos das aplicações de segurança de forma a perceber como reagiam a ameaças para as quais ainda não tinham sido preparados.
O Microsoft Security Essentials 1.0, conhecido com o nome de código Morro, conseguiu detectar 59% das ameaças, e apenas 3 conseguiram ter melhor comportamento : Panda Antivírus Pro 2010 com 63%, e G DATA Antivírus 2010 com 61%. O Kaspersky Antivírus 2010 detectou a mesma porcentagem que o antivirus da Microsoft, 59% dos malwares.
Enquanto o Microsoft Security Essentials apresentou um comportamento, sem dúvida, um comportamento muito bom, ficando apenas atrás de 3 soluções de segurança que são, ainda por cima, pagas. Outras aplicações, umas pagas outras gratuitas, ficaram atrás do produto desenvolvido pela Microsoft: AVIRA AntiVir Premium 9 (apresentou 53% de taxa de detecção), ESET NOD32 Antivírus 4.0 e F-Secure Antivírus 2010 (ambos com 52% de detecção), BitDefender Antivírus 2010 (50%), Symantec Norton Antivírus 2010 (43%), McAfee Antivírus Plus 2010 (38%), AVG Antivírus 9.0 (34%), Sophos Antivírus 9.0 (32%), avast! Free Antivírus 5.0 (29%), etc.
Mas o comportamento do Microsoft Security Essentials 1.0 é ainda mais surpreendente por ter detectado um numero muito baixo de falsos positivos. MSE 1.0 não detectou apenas 3 das ameaças, tal como aconteceu com o BitDefender e ESET. Por sua vez os produtos da Panda e da McAfee detectaram, erradamente, 15 falsos positivos…
Visualizar : AV-Comparatives [Maio 2010]
Baixar o Microsoft Security Essentials em http://www.microsoft.com/security_essentials/
Como nos proteger do SQL Injection?
Categoria: Dicas Geral, Informações WebinHost, Segurança, Tutoriais
Hoje vou falar um pouco sobre como funciona o SQL Injection e como podemos proceder para que nós não sejamos pegos por este tipo de vulnerabilidade.
O que é SQL Injection?
SQL Injection é uma técnica de injeção de código que explora uma vulnerabilidade de segurança localizada na camada de banco de dados (database layer) do site. Na prática é utilizada por hackers (ou não) para ter acesso ao banco de dados do site da vítima sem que ele precise de um login ou uma senha efetivamente para fazê-lo.
Como funciona o SQL Injection?
Para entendermos melhor como funcionam os ataques via injeção de códigos SQL (SQL Injection), vou utilizar um caso bem comum entre os programadores para que vocês se familiarizem com mais facilidade.
Pense em um formulário para login no sistema e uma consulta na base de dados para verificar se determinado usuário e senha existe em na base de dados.
Exemplo
SELECT usuario,senha FROM usuarios WHERE usuario = ‘igorescobar’ AND senha=’123456′
O ataque acontece justamente no ponto, aonde o usuário preenche o usuário e a senha no formulário de login do site. Se você não filtra todos os dados que vem de FORA para DENTRO da sua aplicação, você corre o risco de ser atacado.
Na prática o código fica algo parecido com isso:
SELECT usuario,senha FROM usuarios WHERE usuario = ‘$usuario’ AND senha=’$senha’;
Estas variáveis ($usuario e $senha) estão vindo do $_POST do seu formulário e o servidor iria interpretar assim:
SELECT usuario,senha FROM usuarios WHERE usuario = ‘igorescobar’ AND senha=’123456′;
Agora imagine que eu sou um usuário mal intencionado e desejo logar no servidor de vocês sem ser autorizado.
No campo senha vou inserir o seguinte conteúdo:
123456′ OR ‘a’='a
Vamos ver como fica?
SELECT usuario,senha FROM usuarios WHERE usuario = ‘igorescobar’ AND senha=’123456′ OR ‘a’='a’;
Quer outro exemplo? …
Agora no campo senha eu vou inserir o seguinte conteúdo:
123456′; DROP TABLE usuarios; –
Vamos ver como fica?
SELECT usuario,senha FROM usuarios WHERE usuario = ‘igorescobar’ AND senha=’123456′; DROP TABLE usuarios; –’;
Ok, agora você já esta pronto para passar no RH
O como eu me protejo dos ataques SQL Injection ?
Primeiro: Separe sempre a exibição de erros em 2 ambientes, o ambiente de desenvolvimento e o ambiente de produção. O ambiente de desenvolvimento pode ter qualquer tipo de erro emitido na tela, afinal, você precisa ver os erros para tratá-los, no ambiente de produção omita qualquer tipo de erro, qualquer erro pode ser uma pista para o hacker descobrir detalhes sobre o seu ambiente.
Segundo: Filtre todo o tipo de variável dados que vem de urls ou inputs de formulário $_GET ou $_POST para que nenhum dos dados imputados pelo usuário possa ser interpretado como parte da instrução SQL.
Vale lembrar que o certo seria utilizarmos PDO que já tem uma proteção definitiva contra isso, pois ele tem o acesso ao modelo do seu banco de dados e pode fazer muito melhor do que uma simples filtrarem genérica nos campos, ele pode filtrar cada campo dependendo do tipo de cada campo o que é muito melhor.
Caso você não use PDO, você pode utilizar também uma função chamada mysql_real_escape_string que também cumpre o que promete.
Solução definitiva para o SQL Injection
Está solução é válida apenas para as pessoas que não utiliza nenhuma das 2 (duas) soluções citadas acima.
A importancia de gerar seu proprio Fullbackup
Muitas pessoas não sabem ou nao conhecem mais o proprio painel de controle de seus sites o Cpanel, o mesmo, já bem com uma ferramenta propria para gerar o backup de seus sites, esta ferramenta é importantissima, pois independente dos Backups gerados automaticamente por nossos servidores ou da WebinHost, é sempre bom gerar seus proprios backups, é sempre importante o cliente ter os dados de seu site guardados, por isso recomendamos que ao menos uma vez por mês (ideal uma vez por semana) Gere um backup de seu site e guarde no seu computador.
Todos os nossos clientes LINUX tem o Cpanel como seu painel de controle de seu site, e por ele mesmo pode gerar quantos backups desejar (ideal um por semana). Veja como prosseguir para cada uma delas:
A- Primeiramente, logue-se em seu painel usando o endereço www.seusite.com.br/cpanel (os dados de acesso foram enviados junto com o e-mail de boas vindas a WebinHost).
Uma vez logado dentro do Cpanel, procure a opção Backup:
B- A área de Backups se divide nas seguintes opções:
01 – FULL BACKUP
Clicando no link Generate/Download a Full Backup, o Cpanel irá gerar um Backup completo de tudo que houver em sua conta, incluindo arquivos, banco de dados, configurações de emmails, logs de acesso, etc. Enfim, o site inteiro será compactado em um único arquivo “.tar.gz” e poderá ser alocado em partes específicas de sua conta para ser baixado ou transferido integralmente pra outro servidor. A opção padrão Home Directory faz com que o arquivo fique na raíz da sua conta, acima da pasta “public_html”.
02 – HOME DIRECTORY
Clicando no link Download a home directory Backup, todo o conteúdo de sua pasta “public_html” será baixado. Lembrando que neste caso, apenas os arquivos comuns do seu site estarão presentes, nada de Banco de Dados ou outras configurações.
03 – DOWNLOAD A MYSQL DATABASE BACKUP
Abaixo desta opção estará sendo exibida a lista de seus Bancos de Dados atuais. Basta clicar em um deles para iniciar o backup.
04 – DOWNLOAD EMAIL DOMAIN FORWARDER OR FILTER BACKUP
Aqui temos duas opções:
Aliases – Inicia o download de suas contas de email.
Filters – Inicia o downoload de suas configurações de filtros para email.
05 – RESTORE A HOME DIRECTORY BACKUP
Se você criou um backup da opção “home directory”, aqui é possível restaura-la.
06 – RESTORE A MYSQL DATABASE
Mesma regra da opção acima, só que para os Banco de Dados.
07 – RESTORE AN EMAIL DOMAIN FORWARDER/FILTER
Por último, a opção de se restaurar backups das configurações de emails.
C – Geração do Backup:
Aqui no caso, é simples, basta clicar em Gerar fullbackup, aguardar a finalização e o mesmo proporcionará um link para você baixar o mesmo para seu computador. Lembrando que neste procedimento a geração do backup é em “FULL BACKUP” o seja, TODO o conteudo de seu site é salvo, desde o (os) banco de dados, contas de e-mails e todo o conteúdo do mesmo.
Agora e só guardar em segurança. Lembrando que o ideal é fazer este procedimento ao menos uma vez por semana.
Obs: Por questões de segurança e política de recursos de sistema, a nossa empresa só libera geração de fullbackups nos seguintes horários 00:01 (meia noite) até: 05:00 da manha.