Telefónica Tech Boletim semanal de Cibersegurança 29 Abril – 5 Maio Vulnerabilidade crítica nos firewalls Zyxel O fabricante de equipamentos de rede Zyxel lançou patches de segurança para uma vulnerabilidade crítica que afeta seus firewalls. A vulnerabilidade, que foi descoberta e relatada...
Telefónica Tech Boletim semanal de Cibersegurança 15 – 21 Abril Google corrige duas novas vulnerabilidades de 0-day exploradas ativamente O Google emitiu novos avisos de segurança sobre a identificação de vulnerabilidades de 0-day que afeta o navegador Chrome que está...
Por que seus projetos atrasam? E o que você pode fazer para remediar esse erroElevenPaths 11 junio, 2019 «Qualquer pessoa que cause danos com suas previsões deve ser tratada como um tolo ou mentiroso. Alguns desses videntes causam mais danos à sociedade do que criminosos».Nassim Taleb. El cisne negro, 2007 Em 1957, a Casa de Ópera de Sydney foi orçada em 7 milhões de dólares, com prazo de execução de quatro anos. Ao final do projeto, o custo total foi de 102 milhões de dólares e 14 anos se passaram até a sua conclusão. Um custo extra de 1.400%! Possivelmente, um dos maiores da história. Os custos extras e atrasos são uma constante nas obras de engenharia, por exemplo: o Canal do Panamá, a nova Sede do Banco Central Europeu, os túneis da estrada M-30, o trem Madrid-Barcelona, o terminal T4 do aeroporto de Barajas, linha 9 do metrô de Barcelona… A lista não tem fim. Depois de estudar centenas de obras em 20 países nos últimos 70 anos, o especialista em políticas de infraestrutura e professor da Universidade de Oxford, Bent Flyvbjerg, chegou à conclusão de que 90% dos projetos não conseguiram manter o orçamento planejado. Não é apenas nas grandes obras civis que isto ocorre, mas também projetos de engenharia: o Airbus A400M, o australiano F-100 ou o projeto Galileo para substituir o GPS, que acumulou 10.000 milhões de euros de custo extra e 15 anos de atraso. E seus projetos? Custam mais do que eles são estimados? Levam mais tempo para serem concluídos do que o esperado? Porque somos tão ruins em estimar custos e prazos: a tensão entre a visão interna e a visão externa. Que jogue a primeira pedra quem nunca não tenha sido excessivamente otimista em estimar quanto custaria completar algo considerando tempo e recursos! Os psicólogos Daniel Kahneman e Amos Tversky cunharam o termo falácia do planejamento, para se referir a esse fenômeno paradoxal: embora todos nós tenhamos falhado miseravelmente, várias vezes, ao estimar o prazo e o orçamento da execução de todos os tipos de projetos pessoais e profissionais nos quais nos propusemos a trabalhar, ainda veremos acontecer na próxima vez que estivermos envolvidos no planejamento de algo que nossos planos são absurdamente otimistas! Em seu livro «Pense rápido, pense devagar», Daniel Kahneman explica como você pode abordar um problema usando uma visão interna ou visão externa: Quando você usa uma visão interna, você se concentra em suas circunstâncias específicas e procura evidências em suas experiências similares anteriores, incluindo evidências anedóticas e percepções falaciosas. Imagine cenários fantasiosos onde tudo acontece conforme o planejado. Agora, além de todas as variáveis que você está embaralhando em sua mente, há um volume incalculável de variáveis desconhecidas e indetermináveis: doenças, acidentes, incidentes de segurança, colapsos, desentendimentos entre a equipe, outros projetos mais urgentes, demissões, esgotamento imprevisto de fundos, greves, são tantas coisas imprevisíveis que podem acontecer! Infelizmente é impossível se antecipar a todos estes possíveis incidentes, o que está claro é que a probabilidade de algo dar errado aumenta quanto mais ambicioso o projeto é. E desta forma, subestimamos o que não sabemos. Por outro lado, ao adotar um ponto de vista externo, você verá par além de si mesmo: além da sua experiência passada e além dos detalhes do atual problema em particular, para prestar atenção a informações objetivas adicionais como, por exemplo, a taxa básica. Em vez de acreditar que seu projeto é único, você procura projetos semelhantes para ter dados prévios sobre seu orçamento e duração média de projetos similares. Infelizmente, você tende a descartar e até desprezar a visão externa. Quando as informações estatísticas de casos semelhantes entrarem em conflito com sua percepção pessoal, você descartará os dados que te incomodam. Afinal, esses projetos duraram e custaram tanto porque foram executados por outros, mas você é diferente e consegue superar e fazer melhor o que os outros fizeram de errado no passado, certo? Não? Então vamos ver esta questão de uma outra forma, usaremos um trecho de uma conversa qualquer entre pais: – Vou mandar meu filho para a escola tal. – Está certo disto? É uma escola muito elitista. A probabilidade de entrar nessa escola é muito baixa, apenas 8%. – Pois bem, há a probabilidade do meu filho estará perto de 100%, ele tem excelentes notas sempre. O pai, pensando somente em seu filho, pensa que a probabilidade do mesmo entrar na tal escola é muito alta, pois a criança é inteligente e tem excelentes notas, assim como centenas de outras crianças que solicitam a matrícula nessa escola todos os anos, das quais apenas 8 de cada 100 filhos são admitidos. Veja que o pai usa apenas sua visão interna para avaliar a situação. Para sua surpresa, a estimativa da probabilidade de seu filho entrar continua sendo a de 8,8%, ou seja, o fato de seu filho ser inteligente não altera a probabilidade, não altera a taxa base. Resumindo, a visão externa busca situações similares que possam proporcionar uma base estatística para assim poder se tomar uma decisão. Outros já enfrentaram problemas semelhantes no passado? O que aconteceu? Qual foi o resultado? Naturalmente, perceba que este modo de pensar, esta visão externa é um modo de raciocinar incomum, para nós humanos é mais fácil acreditar que nossa situação é única. Kahneman afirma “Na luta entre visão interna e externa, a visão externa não tem chance”. Bem-vindo ao Lago Wobegon, onde todas as crianças são superiores à média. Temos que reconhecer uma característica humana, a de que nossa percepção de eventos é assimétrica. Segundo vários experimentos psicológicos você: Atribui seus sucessos às suas habilidades e suas falhas à sua má sorte, exatamente o oposto de como você entende os sucessos e fracassos dos outros.Se considera mais inteligente que os outros.Acha que é um motorista melhor que os outros.Acredita que seu casamento durará mais que os outros. Ou seja, você crê que é especial, mas isso é um erro que a psicologia chama de “pensamento do cego otimista”. Este viés de percepção é intimamente ligado à ilusão de superioridade de cada um de nós que, em nosso íntimo, acreditamos sem diferentes quando, em realidade, somos muito similares. «Sob a influência da falácia do planejamento, gerentes tomam decisões baseadas em um otimismo delirante e não em uma ponderação racional de ganhos, perdas e probabilidades. Eles superestimam os benefícios e subestimam os custos. Involuntariamente tecem cenários de sucesso e ignoram o potencial de falhas e de erros de cálculo. Como resultado, seguem iniciativas e vias que dificilmente levarão os projetos a saírem dentro do orçamento ou dentro do prazo, ou que ainda produzirão os retornos esperados «. Nem tudo é culpa do nosso pensamento imperfeito O otimismo dos gerentes e das tomadas de decisão não é a única causa desses aumentos e atrasos no custo de projetos. Kahneman aponta outros fatores: «Erros nos orçamentos iniciais nem sempre são inocentes. Os responsáveis por planos irrealistas são freqüentemente movidos pelo desejo de ter seu plano aprovado por seus superiores ou por um cliente. Eles têm a confiança de que os projetos raramente serão abandonados antes de sua conclusão só porque os custos aumentaram ou os prazos não foram cumpridos.« Com o afinco de conseguir finalizar o projeto a todo custo, acaba sendo normal exagerar os possíveis benefícios de um projeto e menosprezar os riscos e custos. Bent Flyvbjerg fornece uma fórmula que enfatiza essa espiral sinistra em que os projetos mais bem vistos no papel são aqueles que obtêm mais financiamento: Custos Subestimados + Benefícios Sobrestimados = Financiamento Afinal não se avalia projetos reais, mas sim versões idealizadas com benefícios superestimados, custos e prazos escondidos debaixo do tapete. O que você pode fazer para planejar melhor seu próximo projeto? Informações estatísticas sobre projetos semelhantes podem nos salvar de falácias no planejamento. Não importa o quão otimista você seja, você deve esperar encontrar, em média, dificuldades semelhantes àquelas enfrentadas pelas equipes de outros projetos. Bent Flyvbjerg propôs o método conhecido como previsão por classe de referência para eliminar o viés otimista, prevendo a duração e o custo dos projetos. O método requer três passos para um projeto em particular: Identifique uma classe de referência relevante de projetos anteriores. A classe deve ser ampla o suficiente para ser estatisticamente significativa, mas restrita o suficiente para ser verdadeiramente comparável ao seu projeto. Claro, este passo será mais difícil quanto mais raro for o problema que você tenha entre as mãos. No caso de decisões comuns (pelo menos para os outros, mas não para você), a identificação da classe de referência é imediata.Estabeleça uma distribuição de probabilidades para a classe de referência selecionada. Isto requer ter acesso a dados empíricos corretos, para um número suficiente de projetos, dentro da classe de referência para se obter conclusões estatisticamente significativas.Compare teu projeto com a classe de referência distribuída, para estabelecer um resultado mais provável ao seu projeto. Ao avaliar planos e prognósticos, temos a tendência de nos concentrar no que é diferente, ignorando que as melhores decisões geralmente se concentram no que é igual. Enquanto esta situação que você tem em suas mãos parece um pouco diferente, no momento da verdade, vê-se que é quase sempre a mesma. Mesmo que doa, temos que admitir que não somos tão diferentes assim, nem tão especiais. Aprenda com os antigos filósofos estoicos, pense primeiro sobre o que pode dar errado: faça uma análise pré-morte de seus possíveis projetos. Se atribui ao filosofo Séneca um exercício de meditação que os estoicos chamavam de Premeditatio Malorum, uma reflexão prévia sobre o que pode sair mal antes de se iniciar uma empreitada, projeto ou ideia. Por exemplo, antes de uma viagem ao mar, o que pode dar errado? Podemos encontrar uma tempestade, o piloto da embarcação pode adoecer, o barco pode ser atacado por piratas ou até mesmo naufragar! Pensando desta maneira nos preparamos para eventualidades e se, ao se deparar com elas, não pudermos fazer absolutamente nada, ao menos seremos pegos de surpresa. O psicólogo norte-americano Gary Klein retoma este antigo pensamento e recomenda realizarmos uma análise pré-morte do projeto em estudo, antes de nos lançarmos a aceitação do mesmo: «O pré-mortem em um ambiente de negócios ocorre no início de um projeto e não no final, assim o projeto pode ser melhorado em vez de se realizar uma autópsia quando ele falhar. Ao contrário de uma sessão típica de crítica, onde os membros da equipe do projeto são questionados sobre o que poderia dar errado, o premortem opera sob a suposição de que o «paciente» já morreu e, portanto, pergunta o que saiu de errado. A tarefa dos membros da equipe é identificar as razões que expliquem de forma plausiveil o fracasso do projeto” Se você deseja experimentar a ideia, tente aplicar o seguinte exercício à sua equipe: “Imaginem que já se passou um ano. Nós seguimos o planejamento do projeto ao pé da letra, passo-a-passo. Mas o resultado é um verdadeiro desastre. Escrevam nos próximos 5 minutos todas (e cada uma) das razões que possam vir a explicar este desastre. Em especial aquelas que normalmente não teríamos listadas como um problema em potencial”. As razões apontadas pela equipe te mostrarão como as coisas podem sair durante o processo de implantação do projeto. Saiba que um exame de pré-morte pode ser muito melhor do que um doloroso pós-morte do projeto. Falha no WhatsApp: grandes erros e conclusões piores aindaImplementando Cibersegurança desde o zero (parte 2)
Telefónica Tech Boletim semanal de Cibersegurança 11 – 17 Fevereiro Apple corrige 0-day explorado ativamente A Apple emitiu vários avisos de segurança para corrigir uma vulnerabilidade de 0-day explorada ativamente. A falha de segurança, listada como CVE-2023-23529, é uma confusão...
Telefónica Tech Boletim semanal de Cibersegurança 4 – 10 Fevereiro Vulnerabilidade crítica no Atlassian Jira A Atlassian emitiu um comunicado de segurança no qual lança correções para resolver uma vulnerabilidade crítica no Jira Service Management Server e no Data Center. De...
Telefónica Tech Boletim semanal de Cibersegurança 27 Janeiro – 3 Fevereiro LockBit Green: nova variante LockBit Pesquisadores da vx-underground detectaram recentemente que uma nova variante de ransomware, chamada LockBit Green, está sendo usada pelos manipuladores de ransomware LockBit. Esta nova variante seria...
Telefónica Tech Boletim semanal de Cibersegurança 21 – 27 Janeiro Killnet visando vítimas na Espanha Esta semana, o grupo hacktivista Killnet anunciou uma campanha de ataques contra a Alemanha, levando a ataques de Negação de Serviço Distribuído (DDoS) que tornaram...
Telefónica Tech Boletim semanal de Cibersegurança 14 – 20 Janeiro Vulnerabilidades críticas nos roteadores Netcomm e TP-Link Várias vulnerabilidades foram descobertas nos roteadores Netcomm e TP-Link. Por um lado, as falhas, identificadas como CVE-2022-4873 e CVE-2022-4874, são um caso de estouro de...
Telefónica Tech Boletim semanal de Cibersegurança 31 Dezembro – 6 Janeiro Cadeia de dependência do PyTorch é violada O PyTorch, uma popular estrutura de aprendizado de máquina de código aberto, alertou os usuários que instalaram o PyTorch todas as noites entre...