Abin aula 01-1

RESUMÃO DE TI (ÁREA: SUPORTE A REDE DE DADOS) P/ ABIN
PROFESSORES: PATRÍCIA LIMA QUINTÃO E ALEXANDRE LÊNIN CARNEIRO
AULA 1: SEGURANÇA DA INFORMAÇÃO E ALTA DISPONIBILIDADE
Olá pessoal, nossos cumprimentos!!!
Sejam bem-vindos à primeira aula do RESUMÃO para o cargo de OFICIAL DE
INTELIGÊNCIA (SUPORTE A REDE DE DADOS) / ABIN.
O nosso objetivo foi criar um material diferenciado, voltado para o concurso
público da ABIN, de forma a prepará-lo para os pontos com maior
probabilidade de serem cobrados na prova.
Esperamos que este material seja de grande valia para o seu sucesso, rumo
à aprovação.
Tópicos da aula:
SEGURANÇA DA INFORMAÇÃO
Vulnerabilidades e ataques a sistemas computacionais. Algoritmos de
criptografia simétricos e assimétricos; assinatura e certificação digital; VPN e
VPN-SSL; Firewall; prevenção de intrusão; Proxy; filtro de conteúdo WEB;
combate a códigos maliciosos; norma ABNT NBR ISO/IEC 27002:2005
(Análise/Avaliação e tratamento dos riscos, política de segurança da
informação, gestão de ativos, segurança física e do ambiente,
gerenciamento das operações e comunicações, controle de acessos,
aquisição, desenvolvimento e manutenção de sistemas de informação,
gestão de incidentes de segurança da informação e gestão da
continuidade do negócio).
ALTA DISPONIBILIDADE
RAID; soluções de armazenamento SAN e NAS; clusters de servidores;
balanceamento de carga; contingência e continuidade de operação.
www.pontodosconcursos.com.br 1/75
Grande abraço,
Patrícia e Lênin.

1.SEGURANÇA DA INFORMAÇÃO
Conceitos de Segurança da informação
O que significa Segurança?
A segurança é uma palavra que está presente em nosso cotidiano e
refere-se a um estado de proteção, em que estamos “livres” de perigos e
incertezas.
A Tecnologia da informação só se torna uma ferramenta capaz de
alavancar verdadeiramente os negócios, quando seu uso está vinculado às
medidas de proteção dos dados corporativos, para assegurar a
sobrevivência da empresa e a continuidade dos negócios da organização.
Segurança da informação é o processo de proteger a informação de
diversos tipos de ameaças externas e internas para garantir a continuidade
dos negócios, minimizar os danos aos negócios e maximizar o retorno dos
investimentos e as oportunidades de negócio.
Soluções pontuais isoladas não resolvem toda a problemática associada à
segurança da informação. Segurança se faz em pedaços, porém todos eles
integrados, como se fossem uma corrente.
Isso reafirma o ditado popular, muito citado pelos especialistas em
segurança, que diz que nenhuma corrente é mais forte do que o seu elo
mais fraco. De nada adianta uma corrente ser a mais resistente de todas se
existe um elo que é fraco. É claro que a resistência da corrente será a
resistência do elo mais fraco e não dos demais. Se a corrente passar por um
teste de esforço, certamente o elo que partirá será o mais fraco.
Essa mesma ideia aplica-se ao contexto da informação. Quando precisamos
garantir a segurança da informação, precisamos eliminar os “elos fracos” do
ambiente em que a informação está armazenada. Já que eliminar, neste
contexto é sempre difícil, então buscamos sempre reduzir ao máximo os
riscos de que a segurança da informação seja violada.

A segurança da informação não deve ser tratada como um fator isolado e
tecnológico APENAS, mas sim como a gestão inteligente da informação em
todos os ambientes, desde o ambiente tecnológico passando pelas
aplicações, infraestrutura e as pessoas.
Segurança se faz protegendo todos os elos da corrente, ou seja, todos os
ativos (físicos, tecnológicos e humanos) que compõem seu negócio. Afinal, o
poder de proteção da corrente está diretamente associado ao elo mais
fraco!
Em uma corporação, a segurança está ligada a tudo o que manipula direta
ou indiretamente a informação (inclui-se aí também a própria informação e
os usuários!!!), e que merece proteção. Esses elementos são chamados de
ATIVOS, e podem ser divididos em:
• tangíveis: informações impressas, móveis, hardware (Ex.:impressoras,
scanners);
• intangíveis: marca de um produto, nome da empresa, confiabilidade de
um órgão federal etc.;
• lógicos: informações armazenadas em uma rede, sistema ERP (sistema de
gestão integrada) etc.;
• físicos: galpão, sistema de eletricidade, estação de trabalho etc.;
• humanos: funcionários.
Os ativos são os elementos que sustentam a operação do negócio e estes
sempre trarão consigo VULNERABILIDADES que, por sua vez, submetem os
ativos a AMEAÇAS.
Quanto maior for a organização maior será sua dependência com relação à
informação, que pode estar armazenada de várias formas: impressa em
papel, em meios digitais (discos, fitas, DVDs, disquetes, etc.), na mente das
pessoas, em imagens armazenadas em fotografias/filmes...
Nesse sentido, é propósito da segurança proteger os elementos que fazem
parte da comunicação, são eles:
• as informações;
• os equipamentos e sistemas que oferecem suporte a elas;
• as pessoas que as utilizam.

Figura. Elementos que a Segurança da Informação Busca Proteger
Princípios de segurança da informação
Ao estudarmos o tema, deparamo-nos com alguns princípios norteadores,
segundo os padrões internacionais. Dentre estes princípios, podemos
destacar a tríade CID – Confidencialidade, I ntegridade e Disponibilidade.
Estes três atributos orientam a análise, o planejamento e a implementação
da segurança da informação nas organizações.
Segundo a norma ABNT-ISO-IEC 27001, “adicionalmente outras propriedades,
tais como autenticidade, responsabilidade, não repúdio e confiabilidade,
podem também estar envolvidas”. Estudemos, primeiramente, as três
propriedades que fazem parte do conceito de segurança da informação.
• Confidencialidade: preocupa-se com quem acessa as informações.
Dizemos que existe confidencialidade quando somente as pessoas
autorizadas possuem acesso à informação. Quando contamos um
segredo a alguém - fazemos uma confidência - estamos dando
acesso à informação. Mas não queremos que outras pessoas tenham
acesso ao segredo, exceto à pessoa a quem estamos contando. Em
outras palavras, a confidencialidade protege as informações de uma
eventual revelação a alguém não autorizado. Observe que esta
proteção não se aplica apenas à informação em sua forma digital;
aplica-se a quaisquer mídias onde a informação esteja armazenada:
CD, DVD, mídia impressa, entre outros. Além disso, nem mesmo uma
pequena parte da informação poderá ser violada. A informação deve
ser completamente protegida contra acessos indevidos. Se pensarmos,
como exemplo, na Internet, onde os dados trafegam por vários
caminhos e passam por diversas redes de computadores até
chegarem ao destino, a confidencialidade deve garantir que os
dados não serão vistos nem copiados por agentes não autorizados
durante todo o percurso que realizarem na grande rede mundial.

• Integridade: a informação deve manter todas as características
originais durante sua existência. Estas características originais são as
estabelecidas pelo proprietário da informação quando da criação ou
manutenção da informação (se a informação for alterada por quem
possui tal direito, isso não invalida a integridade). Existem vários
exemplos de ataques feitos à integridade da informação: alteração
em mensagens que trafegam na rede; modificação de sites da
Internet; substituição de textos impressos ou em mídia digital etc.
Em resumo, a Integridade é o princípio da proteção da informação
contra a criação ou modificação não autorizada. A violação da
integridade pode estar relacionada com erro humano, por atos
dolosos ou não. Esta violação pode tornar a informação sem valor ou,
até, perigosa, especialmente se a violação for uma alteração da
informação, o que pode levar a decisões equivocadas e causadoras
de prejuízos.
• Disponibilidade: garante que a informação esteja sempre disponível
quando um usuário autorizado quiser acessar. A informação está lá
quando for necessário recuperá-la. Claro que não consiste em uma
violação da disponibilidade as interrupções dos serviços de acesso de
forma autorizada ou programada, como nos casos de manutenção
preventiva do sistema. A disponibilidade aplica-se à informação e aos
canais de acesso a ela.
Veja o quadro seguinte. Resumimos os três princípios básicos em segurança
da informação.
Segurança da Informação
Princípio básico Conceito Objetivo
Confidencialidade
Propriedade de que a
informação não esteja
disponível ou revelada
a indivíduos, entidades
ou processos não
autorizados.
Proteger contra o
acesso não autorizado,
mesmo para dados em
trânsito.
Integridade
Propriedade de
salvaguarda da
exatidão e completeza
de ativos
Proteger informação
contra modificação sem
permissão;
garantir a fidedignidade
das informações.

Disponibilidade
Propriedade de estar
acessível e utilizável
sob demanda por uma
entidade autorizada
Proteger contra
indisponibi-lidade dos
serviços (ou
degradação);
garantir aos usuários
com autorização, o
acesso aos dados.
O que a segurança da informação pretende é diminuir o risco de sofrer
qualquer perda do valor da informação. A ideia é evitar a ocorrência de
incidentes de segurança da informação que, segundo a ABNT, é “um simples
ou uma série de eventos de segurança da informação indesejados ou
inesperados, que tenham uma grande probabilidade de comprometer as
operações do negócio e ameaçar a segurança da informação”.
Já um evento é “uma ocorrência identificada de um estado de sistema,
serviço ou rede, indicando uma possível violação da política de segurança
da informação ou falha de controles, ou uma situação previamente
desconhecida, que possa ser relevante para a segurança da informação”.
Para a norma ISO 27001, um risco para a segurança da informação é uma
combinação de fatores. De um modo geral, é a combinação de uma
ameaça (temos aqui um agente) e uma vulnerabilidade (temos aqui uma
fraqueza). Daí, combinando um agente com uma fraqueza, temos o risco. É
um conceito mais geral para a ideia de risco.
Cuidado para não pensar que as vulnerabilidades são apenas ligadas aos
sistemas de informação em si. Lembre-se de que existem os aspectos físicos e
os aspectos lógicos. Existem os acontecimentos naturais que podem resultar
em incidentes de segurança: incêndio, terremotos, inundações etc. Sem
esquecermos dos incidentes com causa humana: negligência, imperícia,
imprudência, vingança, terrorismo etc.; e, claro de fatos puramente
técnicos: equipamentos com defeito, ruídos etc.
Nesse sentido, uma ameaça é qualquer coisa que possa afetar a operação,
a disponibilidade, a integridade da informação. Uma ameaça busca
explorar uma vulnerabilidade – fraqueza – por meio de um ataque (técnica
para explorar a vulnerabilidade).
Do outro lado estão as contramedidas ou os mecanismos de defesa, que são
as técnicas para defesa contra os ataques ou para reduzir as
vulnerabilidades.
As principais origens das vulnerabilidades residem em falhas de projeto de
hardware ou software, falhas na implantação (configuração errada, falta de
treinamento), falhas de gerenciamento (problemas de monitoramento,
procedimentos inadequados ou incorretos).

Vulnerabilidades de Segurança
Um conceito bastante comum para o termo vulnerabilidade:
trata-se de falha no projeto, implementação ou configuração de software ou
sistema operacional que, quando explorada por um atacante, resulta na
violação da segurança de um computador.
Em outras palavras,
vulnerabilidade é uma fragilidade que poderia ser explorada por uma
ameaça para concretizar um ataque.
O conhecimento do maior número de vulnerabilidades possíveis permite à
equipe de segurança tomar medidas para proteção, evitando assim
ataques e conseqüentemente perda de dados. Não há uma receita ou lista
padrão de vulnerabilidades. Esta deve ser levantada junto a cada
organização ou ambiente em questão. Sempre se deve ter em mente o que
precisa ser protegido e de quem precisa ser protegido de acordo com as
ameaças existentes.
Podemos citar como exemplo inicial, uma análise de ambiente em uma sala
de servidores de conectividade e Internet com a seguinte descrição: a sala
dos servidores não possui controle de acesso físico!! Eis a vulnerabilidade
detectada nesse ambiente.
Outros exemplos de vulnerabilidades:
• uso de senhas não encriptadas, mal formuladas e mal utilizadas;
• ambientes com informações sigilosas com acesso não controlado;
• software mal desenvolvido;
• hardware sem o devido acondicionamento e proteção;
• falta de atualização de software e hardware;
• falta de mecanismos de monitoramento e controle (auditoria);
• ausência de pessoal capacitado para a segurança;
• inexistência de políticas de segurança.

A seguir serão citadas as vulnerabilidades existentes em uma organização,
segundo classificação própria da área:
Vulnerabilidades Físicas
Presentes em ambientes onde se armazenam as informações, como:
• instalações prediais fora do padrão;
• ausência de recursos para combate a incêndios;
• CPDs mal planejados;
• disposição desorganizada de fios de energia e cabos de rede;
• ausência de controle de acesso físico etc.
Vulnerabilidades de Hardware
Compreendem possíveis defeitos de fabricação, erros de configuração ou
falhas nos equipamentos. Como exemplos citam-se erros decorrentes da
instalação, desgaste, obsolescência ou má utilização do equipamento etc.
É importante observar detalhes como o dimensionamento adequado do
equipamento, ou seja, se sua capacidade de armazenamento,
processamento e velocidade estão compatíveis com as necessidades, de
modo a não sub ou super dimensioná-lo.
Vulnerabilidades de Software
São possíveis falhas de programação, erros de instalação e configuração,
que podem, por exemplo, causar acesso indevido, vazamento de
informações, perda de dados etc. Sistemas operacionais são altamente
visados para ataque, pois através deles é possível ter acesso ao hardware do
computador. Ataques como estes são de alta gravidade, e podem
comprometer todo o sistema.
Um grande número de empresas, ao identificarem alguma vulnerabilidade
em seus softwares, lançam boletins informativos a fim de alertar os usuários, e
normalmente disponibilizam pacotes de atualização, denominados Service
Packs, para correção desta vulnerabilidade.
Vulnerabilidades de Armazenamento
Relacionadas com a forma de utilização das mídias (disquetes, CD-ROMs,
fitas magnéticas, discos rígidos dos servidores etc.) em que estão
armazenadas as informações, como armazenamento de disquetes em local
inadequado etc.

Vulnerabilidades de Comunicação
Relacionadas com o tráfego de informações, independente do meio de
transmissão, podendo envolver ondas de rádio, satélite, fibra ótica etc.
Podem, por exemplo, permitir acesso não autorizado ou perda de dados
durante a transmissão de uma informação.
A escolha do meio de transmissão e das medidas de segurança é de suma
importância, pois a informação poderá ser interceptada antes de chegar ao
destino. Uma opção de segurança nesse contexto envolveria por exemplo o
uso de criptografia.
Vulnerabilidades Humanas
Relacionadas aos danos que as pessoas podem causar às informações e ao
ambiente tecnológico que as suporta, podendo ser intencionais ou não.
Podem ocorrer devido a desconhecimentos das medidas de segurança,
falta de capacitação para execução da tarefa dentro dos princípios de
segurança, erros e omissões.
Ciclo da Segurança
Como mostrado na figura seguinte os ativos de uma organização precisam
ser protegidos, pois estão sujeitos a vulnerabilidades. Se as vulnerabilidades
aumentam, aumentam-se os riscos permitindo a exploração por uma
ameaça e a concretização de um ataque.
Se estas ameaças crescem, aumentam-se ainda mais os riscos de perda da
integridade, disponibilidade e confidencialidade da informação podendo
causar impacto nos negócios.
Nesse contexto, medidas de segurança devem ser tomadas, os riscos devem
ser analisados e diminuídos para que se estabeleça a segurança dos ativos
da informação.

Ativos
Medidas de
Segurança diminui
sujeitos
×
limitados
°
aumenta Vulnerabilidades
Impactos no
negócio

causam
aumenta
Riscos

Confidencialidade
Integridade
Disponibilidade
perdas
aumenta
Ø permitem
aumenta
Ameaças
protege ¬
Ciclo da
segurança
Figura - Ciclo da Segurança da Informação
Fonte: (MOREIRA, 2001)
As políticas de segurança da informação devem fornecer meios para
garantir que as informações de uso restrito não serão acessadas, copiadas
ou codificadas por pessoas não autorizadas. Uma das maneiras de se evitar
o acesso indevido a informações confidenciais é através da codificação ou
cifragem da informação, conhecida como criptografia, fazendo com que
apenas as pessoas às quais estas informações são destinadas consigam
compreendê-las.
Ataques a Sistemas Computacionais
Ataque é uma alteração no fluxo normal de uma informação que afeta um
dos serviços oferecidos pela segurança da informação. Ele é decorrente de
uma vulnerabilidade que é explorada por um atacante em potencial.
A figura seguinte representa um fluxo de informações e quatro ameaças
possíveis para a segurança de um sistema de informação:
Interrupção: ataque na transmissão da mensagem, em que o fluxo de
dados é interrompido. Um exemplo pode ser a danificação de
componentes de hardware ou a queda do sistema de comunicação
por sabotagem.
Interceptação: este é um ataque sobre a confidencialidade. Ocorre
quando uma pessoa não autorizada tem acesso às informações
confidenciais de outra. Um exemplo seria a captura de dados na rede
ou a cópia ilegal de um arquivo.
Modificação: este é um ataque à integridade da mensagem. Ocorre
quando uma pessoa não autorizada, além de interceptar as
mensagens, altera o conteúdo da mensagem e envia o conteúdo
alterado para o destinatário.

Fabricação: este é um ataque sobre a autenticidade. Uma pessoa não
autorizada insere mensagens no sistema assumindo o perfil de um
usuário autorizado.
Figura - Exemplos de ataques contra um sistema de informação
Os principais tipos de ataque são:
• Engenharia Social
É o método de se obter dados importantes de pessoas através da velha
“lábia”. No popular é o tipo de vigarice mesmo pois é assim que muitos
habitantes do underground da internet operam para conseguir senhas de
acesso, números de telefones, nomes e outros dados que deveriam ser
sigilosos.
A engenharia social é a técnica que explora as fraquezas humanas e
sociais, em vez de explorar a tecnologia. Guarde isso!!!
A tecnologia avança e passos largos mas a condição humana continua
na mesma em relação a critérios éticos e morais. Enganar os outros deve
ter sua origem na pré-história portanto o que mudou foram apenas os
meios para isso.
Em redes corporativas que são alvos mais apetitosos para invasores, o
perigo é ainda maior e pode estar até sentado ao seu lado. Um colega
poderia tentar obter sua senha de acesso mesmo tendo uma própria, pois
uma sabotagem feita com sua senha parece bem mais interessante do
que com a senha do próprio autor.
• Phishing (também conhecido como Phishing scam, ou apenas scam)
Phishing é um tipo de fraude eletrônica projetada para roubar
informações particulares que sejam valiosas para cometer um roubo ou
fraude posteriormente.

O golpe de phishing é realizado por uma pessoa mal-intencionada
através da criação de um website falso e/ou do envio de uma
mensagem eletrônica falsa, geralmente um e-mail ou recado através
de scrapbooks como no sítio Orkut, entre outros exemplos.
Utilizando de pretextos falsos, tenta enganar o receptor da mensagem e
induzi-lo a fornecer informações sensíveis (números de cartões de crédito,
senhas, dados de contas bancárias, entre outras).
As duas figuras seguintes apresentam “iscas” (e-mails) utilizadas em golpes
de phishing, uma envolvendo o Banco de Brasil e a outra o Serasa.
Figura. Isca de Phishing Relacionada ao Banco do Brasil
Figura. Isca de Phishing Relacionada ao SERASA
A palavra phishing (de fishing) vem de uma analogia criada pelos
fraudadores, em que “iscas” (e-mails) são usadas para “pescar” informações
sensíveis (senhas e dados financeiros, por exemplo) de usuários da Internet.
Atualmente, este termo vem sendo utilizado também para se referir aos
seguintes casos:

• mensagem que procura induzir o usuário à instalação de
códigos maliciosos, projetados para furtar dados pessoais e
financeiros;
• mensagem que, no próprio conteúdo, apresenta formulários
para o preenchimento e envio de dados pessoais e financeiros
de usuários.
• Pharming
O Pharming é uma técnica que utiliza o sequestro ou a "contaminação"
do DNS (Domain Name Server) para levar os usuários a um site falso,
alterando o DNS do site de destino. O sistema também pode redirecionar
os usuários para sites autênticos através de proxies controlados pelos
phishers, que podem ser usados para monitorar e interceptar a digitação.
Os sites falsificados coletam números de cartões de crédito, nomes de
contas, senhas e números de documentos. Isso é feito através da exibição
de um pop-up para roubar a informação antes de levar o usuário ao site
real. O programa mal-intencionado usa um certificado auto-assinado
para fingir a autenticação e induzir o usuário a acreditar nele o bastante
para inserir seus dados pessoais no site falsificado.
Outra forma de enganar o usuário é sobrepor a barra de endereço e
status de navegador para induzi-lo a pensar que está no site legítimo e
inserir suas informações.
Os phishers utilizam truques para instalar programas criminosos nos PCs dos
consumidores e roubar diretamente as informações. Na maioria dos
casos, o usuário não sabe que está infectado, percebendo apenas uma
ligeira redução na velocidade do computador ou falhas de
funcionamento atribuídas a vulnerabilidades normais de software. Um
software de segurança é uma ferramenta necessária para evitar a
instalação de programas criminosos se o usuário for atingido por um
ataque.
• Ataques de senhas
A utilização de senhas seguras é um dos pontos fundamentais para uma
estratégia efetiva de segurança. As senhas garantem que somente as
pessoas autorizadas terão acesso a um sistema ou à rede. Infelizmente
isso nem sempre é realidade. As senhas geralmente são criadas e
implementadas pelos próprios usuários que utilizam os sistemas ou a rede.
Palavras, símbolos ou datas fazem com que as senhas tenham algum
significado para os usuários, permitindo que eles possam facilmente
lembrá-las. Neste ponto é que existe o problema, pois muitos usuários
priorizam a conveniência ao invés da segurança. Como resultado, eles
escolhem senhas que são relativamente simples. Enquanto isso permite
que possam lembrar facilmente das senhas, também facilita o trabalho
de quebra dessas senhas por hackers. Em virtude disso, invasores em
potencial estão sempre testando as redes e sistemas em busca de falhas

para entrar. O modo mais notório e fácil a ser explorado é a utilização de
senhas inseguras.
A primeira linha de defesa, a utilização de senhas, pode se tornar um dos
pontos mais falhos. Parte da responsabilidade dos administradores de
sistemas é garantir que os usuários estejam cientes da necessidade de
utilizar senhas seguras.
Isto leva a dois objetivos a serem alcançados: primeiro, educar os usuários
sobre a importância do uso de senhas seguras; e segundo, implementar
medidas que garantam que as senhas escolhidas pelos usuários são
efetivamente adequadas.
Para alcançar o primeiro objetivo, a educação do usuário é o ponto
chave. Já para alcançar o segundo objetivo, é necessário que o
administrador de sistemas esteja um passo à frente, descobrindo senhas
inseguras antes dos atacantes. Para fazer isso é necessária a utilização
das mesmas ferramentas utilizadas pelos atacantes.
As duas principais técnicas de ataque a senhas são:
• Ataque de Dicionário: nesse tipo de ataque são utilizadas
combinações de palavras, frases, letras, números, símbolos, ou
qualquer outro tipo de combinação geralmente que possa ser
utilizada na criação das senhas pelos usuários. Os programas
responsáveis por realizar essa tarefa trabalham com diversas
permutações e combinações sobre essas palavras. Quando
alguma dessas combinações se referir à senha, ela é considerada
como quebrada (Cracked).
Geralmente as senhas estão armazenadas criptografadas utilizando
um sistema de criptografia HASH. Dessa maneira os programas utilizam
o mesmo algoritmo de criptografia para comparar as combinações
com as senhas armazenadas. Em outras palavras, eles adotam a
mesma configuração de criptografia das senhas, e então criptogra-fam
as palavras do dicionário e comparam com senha.
• Força-Bruta: enquanto as listas de palavras, ou dicionários, dão
ênfase na velocidade, o segundo método de quebra de senhas se
baseia simplesmente na repetição. Força-Bruta é uma forma de se
descobrir senhas que compara cada combinação e permutação
possível de caracteres até achar a senha. Este é um método muito
poderoso para descoberta de senhas, no entanto é extremamente
lento porque cada combinação consecutiva de caracteres é
comparada. Ex: aaa, aab, aac ..... aaA, aaB, aaC... aa0, aa1, aa2,
aa3... aba, aca, ada...

• Sniffing
É o processo de captura das informações da rede por meio de um
software de escuta de rede (sniffer), que é capaz de interpretar as
informações transmitidas no meio físico. Para isso, a pilha TCP/IP é
configurada para atuar em modo promíscuo, ou seja, desta forma irá
repassar todos os pacotes para as camadas de aplicação, mesmo que
não sejam endereçados para a máquina. Esse é um ataque à
confidencialidade dos dados, e costuma ser bastante nocivo, uma vez
que boa parte dos protocolos mais utilizados em uma rede (FTP, POP3,
SMTP, IMAP, Telnet) transmitem o login e a senha em aberto pela rede.
Importante
Sniffers (Farejadores ou ainda Capturados de Pacote): Por padrão, os
computadores (pertencentes à mesma rede) escutam e respondem
somente pacotes endereçados a eles. Entretanto, é possível utilizar um
software que coloca a interface num estado chamado de modo
promíscuo. Nessa condição o computador pode monitorar e capturar os
dados trafegados através da rede, não importando o seu destino
legítimo.
Os programas responsáveis por capturar os pacotes de rede são
chamados Sniffers. Eles exploram o fato do tráfego dos pacotes das
aplicações TCP/IP não utilizar nenhum tipo de cifragem nos dados. Dessa
maneira um sniffer pode obter nomes de usuários, senhas ou qualquer
outra informação transmitida que não esteja criptografada.
A dificuldade no uso de um sniffer é que o atacante precisa instalar o
programa em algum ponto estratégico da rede, como entre duas
máquinas, (com o tráfego entre elas passando pela máquina com o
farejador) ou em uma rede local com a interface de rede em modo
promíscuo.
Em outras palavras, para reforçar o conceito.......
Sniffers (farejadores): são programas que agem na rede farejando
pacotes na tentativa de encontrar certas informações, como senhas de
acesso, nomes de usuários, informações confidenciais, etc. Foram
desenvolvidos como ferramentas auxiliares de diagnóstico em redes e
posteriormente alterados para fins ilícitos.

• Spoofing – Falsificação de Endereço
Spoofing é a modificação de campos de identificação de pacotes de
forma que o atacante possa atuar se passando por outro host.
Pode ser considerado como sendo uma técnica utilizada por invasores
para conseguirem se autenticar a serviços, ou outras máquinas,
falsificando o seu endereço de origem. Ou seja, é uma técnica de
ataque contra a autenticidade, uma forma de personificação que
consiste em um usuário externo assumir a identidade de um usuário ou
computador interno, atuando no seu lugar legítimo.
A técnica de spoofing pode ser utilizada para acessar serviços que são
controlados apenas pelo endereço de rede de origem da entidade que
irá acessar o recurso específico, como também para evitar que o
endereço real de um atacante seja reconhecido durante uma tentativa
da invasão.
Essa técnica é utilizada constantemente pelos Hackers, sendo que
existem várias ferramentas que facilitam o processo de geração de
pacotes de rede com endereços falsos.
• IP Spoofing (Falsificação de endereço IP)
A falsificação de endereço IP não é exatamente um ataque, ela na
verdade é utilizada juntamente com outros ataques para esconder a
identidade do atacante. Consiste na manipulação direta dos campos do
cabeçalho de um pacote para falsificar o número IP da máquina que
dispara a conexão.
Quando um host A quer se conectar ao B, a identificação é feita através
do número IP que vai no cabeçalho, por isto, se o IP do cabeçalho
enviado pelo host A for falso (IP de um host C), o host B, por falta de outra
forma de identificação, acredita estar se comunicando com o host A.
Através desta técnica, o hacker consegue atingir os seguintes objetivos:
obter acesso a máquinas que confiam no IP que foi falsificado, capturar
conexões já existentes e burlar os filtros de pacotes dos firewalls que
bloqueiam o tráfego baseado nos endereços de origem e destino.
• Denial of Service (DoS)
Os ataques de negação de serviço (denial of service - DoS) consistem em
impedir o funcionamento de uma máquina ou de um serviço específico.
No caso de ataques a redes, geralmente ocorre que os usuários legítimos
de uma rede não consigam mais acessar seus recursos.
O DoS acontece quando um atacante envia vários pacotes ou
requisições de serviço de uma vez, com objetivo de sobrecarregar um
servidor e, como conseqüência, impedir o fornecimento de um serviço
para os demais usuários, causando prejuízos.

No DoS o atacante utiliza um computador para tirar de operação um
serviço ou computador(es) conectado(s) à Internet!!
Como exemplo deste tipo de ataque tem-se o seguinte contexto: gerar
uma sobrecarga no processamento de um computador, de modo que o
usuário não consiga utilizá-lo; gerar um grande tráfego de dados para
uma rede, ocasionando a indisponibilidade dela; indisponibilizar serviços
importantes de um provedor, impossibilitando o acesso de seus usuários.
Cabe ressaltar que se uma rede ou computador sofrer um DoS, isto não
significa que houve uma invasão, pois o objetivo de tais ataques é
indisponibilizar o uso de um ou mais computadores, e não invadi-los.
CAIU EM PROVA (CESPE/2004/Polícia Federal)
Um dos mais conhecidos ataques a um computador conectado a uma
rede é o de negação de serviço (DoS – denial of service), que ocorre
quando um determinado recurso torna-se indisponível devido à ação de
um agente que tem por finalidade, em muitos casos, diminuir a
capacidade de processamento ou de armazenagem de dados.
• Distributed Denial of Service (DDoS) -> São os ataques coordenados!
Em dispositivos com grande capacidade de processamento,
normalmente, é necessária uma enorme quantidade de requisições para
que o ataque seja eficaz. Para isso, o atacante faz o uso de uma botnet
(rede de computadores zumbis sob comando do atacante) para
bombardear o servidor com requisições, fazendo com que o ataque seja
feito de forma distribuída (Distributed Denial of Service – DDoS).

No DDoS – ataque de negação de serviço distribuído - , um conjunto de
computadores é utilizado para tirar de operação um ou mais serviços ou
computadores conectados à Internet.
• SYN Flood
O SYN Flood é um dos mais populares ataques de negação de serviço. O
ataque consiste basicamente em se enviar um grande número de
pacotes de abertura de conexão, com um endereço de origem forjado
(IP Spoofing), para um determinado servidor.
O servidor ao receber estes pacotes, coloca uma entrada na fila de
conexões em andamento, envia um pacote de resposta e fica
aguardando uma confirmação da máquina cliente. Como o endereço
de origem dos pacotes é falso, esta confirmação nunca chega ao
servidor. O que acontece é que em um determinado momento, a fila de
conexões em andamento do servidor fica lotada, a partir daí, todos os
pedidos de abertura de conexão são descartados e o serviço inutilizado.
Esta inutilização persiste durante alguns segundos, pois o servidor ao
descobrir que a confirmação está demorando demais, remove a
conexão em andamento da lista. Entretanto se o atacante persistir em
mandar pacotes seguidamente, o serviço ficará inutilizado enquanto ele
assim o fizer.
• Ataques de Loop
Dentro desta categoria de ataque o mais conhecido é o Land. Ele
consiste em mandar para um host um pacote IP com endereço de
origem e destino iguais, o que ocasiona um loop na tabela de conexões
de uma máquina atacada. Para executar um ataque como este, basta
que o hacker tenha um software que permita a manipulação dos
campos dos pacotes IP.
• Ataques via ICMP
O protocolo ICMP (Internet Control Message Protocol) é utilizado no
transporte de mensagens de erro e de controle. Essencialmente é um
protocolo de transferência de mensagens entre gateways e estações.
Como todos os protocolos do conjunto TCP/IP, o ICMP não tem como ter
garantia se a informação recebida é verdadeira, e por este motivo, um
atacante pode utilizar o ICMP para interromper conexões já
estabelecidas, como por exemplo enviando uma mensagem ICMP de
host inacessível para uma das máquinas.
• Ping of Death
Ele consiste em enviar um pacote IP com tamanho maior que o máximo
permitido (65.535 bytes) para a máquina atacada. O pacote é enviado
na forma de fragmentos (porque nenhuma rede permite o tráfego de
pacotes deste tamanho), e quando a máquina destino tenta montar

estes fragmentos, inúmeras situações podem ocorrer: a maioria trava,
algumas reinicializam, outras exibem mensagens no console, etc.
• Dumpster diving ou trashing
É a atividade na qual o lixo é verificado em busca de informações sobre
a organização ou a rede da vítima, como nomes de contas e senhas,
informações pessoais e confidenciais. Muitos dados sigilosos podem ser
obtidos dessa maneira.
Ameaças aos Sistemas de Informação
Ameaça é algo que possa provocar danos à segurança da informação,
prejudicar as ações da empresa e sua sustentação no negócio, mediante a
exploração de uma determinada vulnerabilidade.
Em outras palavras, uma AMEAÇA é tudo aquilo que pode comprometer a
segurança de um sistema, podendo ser acidental (falha de hardware, erros
de programação, desastres naturais, erros do usuário, bugs de software, uma
ameaça secreta enviada a um endereço incorreto etc) ou deliberada
(roubo, espionagem, fraude, sabotagem, invasão de hackers, entre outros).
Ameaça pode ser uma pessoa, uma coisa, um evento ou uma ideia capaz
de causar dano a um recurso, em termos de confidencialidade, integridade,
disponibilidade etc.
Basicamente existem dois tipos de ameaças: internas e externas.
• Ameaças externas: são aqui representadas por todas as tentativas de
ataque e desvio de informações vindas de fora da empresa.
Normalmente essas tentativas são realizadas por pessoas com a intenção

de prejudicar a empresa ou para utilizar seus recursos para invadir outras
empresas.
• Ameaças internas: estão presentes, independentemente das empresas
estarem ou não conectadas à Internet. Podem causar desde incidentes
leves até os mais graves, como a inatividade das operações da empresa.
Malware - Um tipo de ameaça que deve ser considerado!!
Malware (combinação de malicious software – programa malicioso) é uma
expressão usada para todo e quaisquer softwares maliciosos, ou seja,
programados com o intuito de prejudicar os sistemas de informação, alterar
o funcionamento de programas, roubar informações, causar lentidões de
redes computacionais, dentre outros.
Resumindo,
malwares são programas que executam deliberadamente ações mal-intencionadas
em um computador!!
Os tipos mais comuns de malware: vírus, worms, bots, cavalos de troia,
spyware, keylogger, screenlogger, estão descritos a seguir.
• Vírus: são pequenos códigos de programação maliciosos que se
“agregam” a arquivos e são transmitidos com eles. Quando o arquivo é
aberto na memória RAM, o vírus também é, e, a partir daí se propaga
infectando, isto é, inserindo cópias de si mesmo e se tornando parte de
outros programas e arquivos de um computador.
O vírus depende da execução do programa ou arquivo hospedeiro para
que possa se tornar ativo e dar continuidade ao processo de infecção.
Alguns vírus são inofensivos, outros, porém, podem danificar um sistema
operacional e os programas de um computador.
Dentre os tipos de vírus conhecidos, podemos citar:
ƒ Vírus de boot: infectam o setor de boot dos discos rígidos.
ƒ Vírus de macro: vírus de arquivos que infectam documentos que
contém macros. Uma macro é um conjunto de comandos que são
armazenados em alguns aplicativos e utilizados para automatizar
algumas tarefas repetitivas. Um exemplo seria, em um editor de textos,
definir uma macro que contenha a sequência de passos necessários
para imprimir um documento com a orientação de retrato e utilizando
a escala de cores em tons de cinza. Um vírus de macro é escrito de
forma a explorar esta facilidade de automatização e é parte de um
arquivo que normalmente é manipulado por algum aplicativo que
utiliza macros. Para que o vírus possa ser executado, o arquivo que o

contém precisa ser aberto e, a partir daí, o vírus pode executar uma
série de comandos automaticamente e infectar outros arquivos no
computador. Existem alguns aplicativos que possuem arquivos base
(modelos) que são abertos sempre que o aplicativo é executado.
Caso este arquivo base seja infectado pelo vírus de macro, toda vez
que o aplicativo for executado, o vírus também será. Arquivos nos
formatos gerados por programas da Microsoft, como o Word, Excel,
Powerpoint e Access, são os mais suscetíveis a este tipo de vírus.
Arquivos nos formatos RTF, PDF e PostScript são menos suscetíveis, mas
isso não significa que não possam conter vírus.
ƒ Auto Spam: vírus de macro que enviam e-mails com arquivo infectado
para endereços captados no programa de e-mail. Um vírus
propagado por e-mail (e-mail borne virus) normalmente é recebido
como um arquivo anexado a uma mensagem de correio eletrônico. O
conteúdo dessa mensagem procura induzir o usuário a clicar sobre o
arquivo anexado, fazendo com que o vírus seja executado. Quando
este tipo de vírus entra em ação, ele infecta arquivos e programas e
envia cópias de si mesmo para os contatos encontrados nas listas de
endereços de e-mail armazenadas no computador do usuário. É
importante ressaltar que este tipo específico de vírus não é capaz de
se propagar automaticamente. O usuário precisa executar o arquivo
anexado que contém o vírus, ou o programa leitor de e-mails precisa
estar configurado para auto-executar arquivos anexados.
ƒ Vírus de programa: infectam arquivos de programa (de inúmeras
extensões, como .exe, .com,.vbs, .pif.
ƒ Vírus stealth: programado para se esconder e enganar o antivírus
durante uma varredura deste programa. Tem a capacidade de se
remover da memória temporariamente para evitar que antivírus o
detecte.
ƒ Vírus polimórficos: alteram seu formato (“mudam de forma”)
constantemente. A cada nova infecção, esses vírus geram uma nova
seqüência de bytes em seu código, para que o antivírus se confunda
na hora de executar a varredura e não reconheça o invasor.
ƒ Vírus de script: propagam-se por meio de scripts, nome que designa
uma sequência de comandos previamente estabelecidos e que são
executados automaticamente em um sistema, sem necessidade de
intervenção do usuário. Dois tipos de scripts muito usados são os
projetados com as linguagens Javascript (JS) e Visual Basic Script (VBS).
Segundo Oliveira (2008) tanto um quanto o outro podem ser inseridos
em páginas Web e interpretados por navegadores como Internet
Explorer e outros. Os arquivos Javascript tornaram-se tão comuns na
Internet que é difícil encontrar algum site atual que não os utilize. Assim
como as macros, os scripts não são necessariamente maléficos. Na
maioria das vezes executam tarefas úteis, que facilitam a vida dos

usuários – prova disso é que se a execução dos scripts for desativada
nos navegadores, a maioria dos sites passará a ser apresentada de
forma incompleta ou incorreta.
ƒ Vírus de celular: propaga de telefone para telefone através da
tecnologia bluetooth ou da tecnologia MMS (Multimedia Message
Service). O serviço MMS é usado para enviar mensagens multimídia,
isto é, que contêm não só texto, mas também sons e imagens, como
vídeos, fotos e animações.
A infecção ocorre da seguinte forma: o usuário recebe uma
mensagem que diz que seu telefone está prestes a receber um arquivo
e permite que o arquivo infectado seja recebido, instalado e
executado em seu aparelho; o vírus, então, continua o processo de
propagação para outros telefones, através de uma das tecnologias
mencionadas anteriormente.
Os vírus de celular diferem-se dos vírus tradicionais, pois normalmente
não inserem cópias de si mesmos em outros arquivos armazenados no
telefone celular, mas podem ser especificamente projetados para
sobrescrever arquivos de aplicativos ou do sistema operacional
instalado no aparelho.
F-Secure divulgou
reprodução de uma
mensagem infectada
Depois de infectar um telefone celular, o vírus pode realizar diversas
atividades, tais como:
ƒ destruir/sobrescrever arquivos,
ƒ remover contatos da agenda,
ƒ efetuar ligações telefônicas,
ƒ o aparelho fica desconfigurado e tentando se conectar via
Bluetooth com outros celulares,

ƒ a bateria do celular dura menos do que o previsto pelo
fabricante, mesmo quando você não fica horas pendurado
nele;
ƒ emitir algumas mensagens multimídia esquisitas;
ƒ tentar se propagar para outros telefones.
Já são contabilizados desde 2008 mais de 362 tipos de vírus. A maioria
deles (80%) são cavalos de troia. Spams e spywares, ao contrário do
que se possa imaginar, são minoria (4%). Na mira das pragas, estão os
celulares com tecnologia Bluetooth —responsável por 70% das
contaminações — e as mensagens multimídia (MMS).
• Worms (vermes): são programas parecidos com vírus, mas que na
verdade são capazes de se propagarem automaticamente
através de redes, enviando cópias de si mesmo de computador
para computador (observe que os worms apenas se copiam, não
infectam outros arquivos, eles mesmos são os arquivos!!). Além
disso, geralmente utilizam as redes de comunicação para infectar outros
computadores (via e-mails, Web, FTP, redes das empresas etc).
Diferentemente do vírus, o worm não embute cópias de si mesmo em
outros programas ou arquivos e não necessita ser explicitamente
executado para se propagar. Sua propagação se dá através da
exploração de vulnerabilidades existentes ou falhas na configuração de
softwares instalados em computadores.
Worms são notadamente responsáveis por consumir muitos recursos.
Degradam sensivelmente o desempenho de redes e podem lotar o disco
rígido de computadores, devido à grande quantidade de cópias de si
mesmo que costumam propagar. Além disso, podem gerar grandes
transtornos para aqueles que estão recebendo tais cópias.
Difíceis de serem detectados, muitas vezes os worms realizam uma série
de atividades, incluindo sua propagação, sem que o usuário tenha
conhecimento. Embora alguns programas antivírus permitam detectar a
presença de worms e até mesmo evitar que eles se propaguem, isto nem
sempre é possível.

• Bots: de modo similar ao worm, é um programa capaz de se propagar
automaticamente, explorando vulnerabilidades existentes ou falhas na
configuração de software instalado em um computador. Adicionalmente
ao worm, dispõe de mecanismos de comunicação com o invasor,
permitindo que o bot seja controlado remotamente. Os bots esperam por
comandos de um hacker, podendo manipular os sistemas infectados, sem
o conhecimento do usuário.
Nesse ponto, cabe destacar um termo que já foi cobrado várias vezes em
prova!! Trata-se do significado do termo botnet, junção da contração das
palavras robot (bot) e network (net). Uma rede infectada por bots é
denominada de botnet (também conhecida como rede zumbi), sendo
composta geralmente por milhares desses elementos maliciosos que
ficam residentes nas máquinas, aguardando o comando de um invasor.
Um invasor que tenha controle sobre uma botnet pode utilizá-la para
aumentar a potência de seus ataques, por exemplo, para enviar
centenas de milhares de e-mails de phishing ou spam, desferir ataques de
negação de serviço etc (CERT.br, 2006).
• Trojan horse (cavalo de troia): é um programa aparentemente inofensivo
que entra em seu computador na forma de cartão virtual, álbum de
fotos, protetor de tela, jogo etc, e que, quando executado (com a sua
autorização!), parece lhe divertir, mas, por trás abre portas de
comunicação do seu computador para que ele possa ser invadido.
Por definição, o cavalo de troia distingue-se de um vírus ou de um worm
por não infectar outros arquivos, nem propagar cópias de si mesmo
automaticamente.
O trojans ficaram famosos na Internet pela facilidade de uso, e por
permitirem a qualquer pessoa possuir o controle de um outro computador
apenas com o envio de um arquivo.
Os trojans atuais são divididos em duas partes, que são: o servidor e o
cliente. Normalmente, o servidor encontra-se oculto em algum outro
arquivo e, no momento em que o arquivo é executado, o servidor se
instala e se oculta no computador da vítima. Nesse momento, o
computador já pode ser acessado pelo cliente, que enviará informações
para o servidor executar certas operações no computador da vítima.

O Cavalo de Troia não é um vírus, pois não se duplica e não se dissemina
como os vírus. Na maioria das vezes, ele irá instalar programas para
possibilitar que um invasor tenha controle total sobre um computador. Estes
programas podem permitir:
• que o invasor veja e copie ou destrua todos os arquivos
armazenados no computador;
• a instalação de keyloggers ou screenloggers (descubra todas as
senhas digitadas pelo usuário);
• o furto de senhas e outras informações sensíveis, como números de
cartões de crédito;
• a inclusão de backdoors, para permitir que um atacante tenha
total controle sobre o computador;
• a formatação do disco rígido do computador, etc.
Exemplos comuns de cavalos de troia são programas que você recebe
ou obtém de algum site e que parecem ser apenas cartões virtuais
animados, álbuns de fotos de alguma celebridade, jogos, protetores de
tela, entre outros. Enquanto estão sendo executados, estes programas
podem ao mesmo tempo enviar dados confidenciais para outro
computador, instalar backdoors, alterar informações, apagar arquivos ou
formatar o disco rígido. Existem também cavalos de troia utilizados
normalmente em esquemas fraudulentos, que, ao serem instalados com
sucesso, apenas exibem uma mensagem de erro.
• Adware (advertising software): este tipo de programa geralmente não
prejudica o computador. O adware apresenta anúncios, cria ícones ou
modifica itens do sistema operacional com o intuito de exibir alguma
propaganda. Nem sempre são maliciosos! Um adware malicioso pode
abrir uma janela do navegador apontando para páginas de cassinos,
vendas de remédios, páginas pornográficas, etc. Um exemplo do uso
legítimo de adwares pode ser observado no programa de troca
instantânea de mensagens MSN Messenger.
• Spyware: trata-se de um programa espião (spy em inglês = espião). É um
programa que tem por finalidade monitorar as atividades de um sistema
e enviar as informações coletadas para terceiros.
• Keylogger: um tipo de malware que é capaz de capturar e armazenar as
teclas digitadas pelo usuário no teclado de um computador. Dentre as
informações capturadas podem estar o texto de um e-mail, dados
digitados na declaração de Imposto de Renda e outras
informações sensíveis, como senhas bancárias e números de cartões de
crédito. Em muitos casos, a ativação do keylogger é condicionada a uma
ação prévia do usuário, como por exemplo, após o acesso a um site
específico de comércio eletrônico ou Internet Banking. Normalmente, o

keylogger contém mecanismos que permitem o envio automático das
informações capturadas para terceiros (por exemplo, através de e-mails).
As instituições financeiras desenvolveram os teclados virtuais para evitar
que os keyloggers pudessem capturar informações sensíveis de usuários.
Então, foram desenvolvidas formas mais avançadas de keyloggers,
também conhecidas como screenloggers, capazes de:
• armazenar a posição do cursor e a tela apresentada no monitor,
nos momentos em que o mouse é clicado, ou
• armazenar a região que circunda a posição onde o mouse é
clicado.
Normalmente, o keylogger vem como parte de um programa spyware ou
cavalo de troia. Desta forma, é necessário que este programa seja
executado para que o keylogger se instale em um computador.
Geralmente, tais programas vêm anexados a e-mails ou estão disponíveis
em sites na Internet.
Existem ainda programas leitores de e-mails que podem estar
configurados para executar automaticamente arquivos anexados às
mensagens. Neste caso, o simples fato de ler uma mensagem é suficiente
para que qualquer arquivo anexado seja executado.
• Screenlogger: forma avançada de keylogger, capaz de armazenar a
posição do cursor e a tela apresentada no monitor, nos momentos em
que o mouse é clicado, ou armazenar a região que circunda a posição
onde o mouse é clicado.
• Ransomwares: são softwares maliciosos que, ao infectarem um
computador, criptografam todo ou parte do conteúdo do disco rígido. Os
responsáveis pelo software exigem da vítima, um pagamento pelo
"resgate" dos dados.
• Backdoors
Normalmente um atacante procura garantir uma forma de retornar a um
computador comprometido, sem precisar recorrer aos métodos utilizados
na realização da invasão. Na maioria dos casos, também é intenção do
atacante poder retornar ao computador comprometido sem ser notado.
A esses programas que permitem o retorno de um invasor a um
computador comprometido, utilizando serviços criados ou modificados
para este fim, dá-se o nome de backdoor.
A forma usual de inclusão de um backdoor consiste na disponibilização
de um novo serviço ou substituição de um determinado serviço por uma
versão alterada, normalmente possuindo recursos que permitam acesso
remoto (através da Internet). Pode ser incluído por um invasor ou através
de um cavalo de troia.

• Rootkits
Um invasor, ao realizar uma invasão, pode utilizar mecanismos para
esconder e assegurar a sua presença no computador comprometido. O
conjunto de programas que fornece estes mecanismos é conhecido
como rootkit. É muito importante ficar claro que o nome rootkit não indica
que as ferramentas que o compõem são usadas para obter acesso
privilegiado (root ou Administrator) em um computador, mas sim para
mantê-lo. Isto significa que o invasor, após instalar o rootkit, terá acesso
privilegiado ao computador previamente comprometido, sem precisar
recorrer novamente aos métodos utilizados na realização da invasão, e
suas atividades serão escondidas do responsável e/ou dos usuários do
computador.
Um rootkit pode fornecer programas com as mais diversas
funcionalidades. Dentre eles, podem ser citados:
• programas para esconder atividades e informações deixadas pelo
invasor (normalmente presentes em todos os rootkits), tais como
arquivos, diretórios, processos, conexões de rede, etc;
• backdoors, para assegurar o acesso futuro do invasor ao
computador comprometido (presentes na maioria dos rootkits);
• programas para remoção de evidências em arquivos de logs;
• sniffers, para capturar informações na rede onde o computador
está localizado, como por exemplo senhas que estejam trafegando
em claro, ou seja, sem qualquer método de criptografia;
• scanners, para mapear potenciais vulnerabilidades em outros
computadores.
Algoritmos de criptografia simétricos e assimétricos; assinatura e
certificação digital
Criptografia
A palavra criptografia é composta dos termos gregos KRIPTOS (secreto,
oculto, ininteligível) e GRAPHO (escrita, escrever). Trata-se de um conjunto
de conceitos e técnicas que visa codificar uma informação de forma que
somente o emissor e o receptor possam acessá-la. A criptografia é,
provavelmente, tão antiga quanto a própria escrita, sendo alvo constante
de extenso estudo de suas técnicas. Na informática, as técnicas mais
conhecidas envolvem o conceito de chaves, as chamadas "chaves
criptográficas". Trata-se de um conjunto de bits (unidade de medida de
armazenamento) baseado em um determinado algoritmo capaz de
codificar e de decodificar informações. Se o receptor da mensagem usar

uma chave incompatível com a chave do emissor, não conseguirá extrair a
informação.
Os primeiros métodos criptográficos existentes usavam apenas um algoritmo
de codificação. Assim, bastava que o receptor da informação conhecesse
esse algoritmo para poder extraí-la. No entanto, se um intruso tiver posse
desse algoritmo, também poderá decifrá-la, caso capture os dados
criptografados. Há ainda outro problema: imagine que a pessoa A tenha
que enviar uma informação criptografada à pessoa B. Esta última terá que
conhecer o algoritmo usado. Imagine agora que uma pessoa C também
precisa receber uma informação da pessoa A, porém a pessoa C não pode
descobrir qual é a informação que a pessoa B recebeu. Se a pessoa C
capturar a informação envida à pessoa B, também conseguirá decifrá-la,
pois quando a pessoa A enviou sua informação, a pessoa C também teve
que conhecer o algoritmo usado. Para a pessoa A evitar esse problema, a
única solução é usar um algoritmo diferente para cada receptor.
Terminologia básica sobre Criptografia:
• Mensagem ou texto é a informação que se deseja proteger. Esse texto
quando em sua forma original, ou seja, a ser transmitido, é chamado
de texto puro ou texto claro.
• Remetente ou emissor refere-se à pessoa que envia a mensagem.
• Destinatário ou receptor refere-se à pessoa que receberá a
mensagem.
• Encriptação é o processo em que um texto puro passa,
transformando-se em texto cifrado.
• Desencriptação é o processo de recuperação de um texto puro a
partir de um texto cifrado.
• Criptografar é o ato de encriptar um texto puro, assim como,
descriptografar é o ato de desencriptar um texto cifrado.
Importante!
Criptografia = arte e ciência de manter mensagens seguras.
Criptoanálise = arte e ciência de quebrar textos cifrados.
Criptologia = combinação da criptografia + criptoanálise.
Sistemas Criptográficos
Chave é a informação que o remetente e o destinatário possuem, e que
será usada para criptografar e descriptografar um texto ou mensagem.

Chaves criptográficas
Na criptografia, para proteger os dados é necessário um algoritmo
(método/processo), que para encriptar (criptografar) os dados necessita de
uma chave (número ou frase secreta).
Hoje, podemos afirmar que a criptografia computadorizada opera por meio
da utilização de chaves secretas, ao invés de algoritmos secretos. Se
protegermos os dados com uma chave, precisamos proteger somente a
chave. Se utilizarmos chaves para proteger segredos, podemos utilizar
diversas chaves para proteger diferentes segredos. Em outras palavras, se
uma chave for quebrada, os outros segredos ainda estarão seguros. Por
outro lado, se um algoritmo secreto for quebrado por um invasor, este terá
acesso a todos os outros segredos.
Com o uso de chaves, um emissor pode usar o mesmo algoritmo (o mesmo
método) para vários receptores. Basta que cada um receba uma chave
diferente. Além disso, caso um receptor perca ou exponha determinada
chave, é possível trocá-la, mantendo-se o mesmo algoritmo.
Você já deve ter ouvido falar de chave de 64 bits, chave de 128 bits e assim
por diante. Esses valores expressam o tamanho de uma determinada chave.
Quanto mais bits forem utilizados, maior será a chave e mais difícil de
descobrir o segredo por meio da força bruta (tentativa e erro) ou técnicas
automatizadas de quebra da chave. Assim, sendo maior a chave, mais
segura será a criptografia.
Explico: caso um algoritmo use chaves de 8 bits, apenas 256 chaves poderão
ser usadas na decodificação, pois 2 elevado a 8 é 256. Isso deixa claro que 8
bits é inseguro, pois até uma pessoa é capaz de gerar as 256 combinações
(embora demore), imagine então um computador. Porém, se forem usados
128 ou mais bits para chaves (faça 2 elevado a 128 para ver o que
acontece), teremos uma quantidade extremamente grande de
combinações, deixando a informação criptografada bem mais segura.
Primeiro, tenha em mente que o bit (Binary Digit) ou dígito binário é a menor
unidade de armazenamento na memória do computador. Ele pode
representar dois valores apenas. No caso da computação, ou armazena o
zero ou armazena o um (0-1). Para formar mensagens, é preciso agrupar os
bits. O padrão atual é o byte (Binary Term) ou termo binário, que é composto
por 8 bits. Isto não é ao acaso. Oito bits que podem valer 0 ou 1 cada,
permitem 256 combinações diferentes. Então, para representar os símbolos,
basta existir uma tabela com 256 posições e, em casa posição da tabela,
um símbolo. Assim, internamente ao computador temos uma sequência de 8
dígitos (zeros ou uns), que, associados a uma tabela, representam um
símbolo. Já ouviu falar da tabela ASCII (American Code for Interchange
Information)? Ela é o padrão para as tabelas de codificação de símbolos.
Nela temos desde as letras e dígitos, aos caracteres especiais e outras teclas

especiais. Por exemplo, a letra “A” é ocupa a casa de número 65 nesta
tabela (convertendo 65 para o sistema de numeração binário – zeros e uns –
temos 1000001). Bom, o interessante é que você pode armazenar símbolos
na memória por meio deste sistema de numeração e da tabela ASCII. Veja a
mensagem abaixo (texto = “PASSEI!”
Texto (símbolos) P A S S E I !
Tabela ASCII 80 65 83 83 69 73 33
Binário 1010000 1000001 1010011 1010011 1000101 1001001 100001
É essa a ideia. Cada símbolo do texto “PASSEI!” possui um número na tabela
ASCII. Este número é armazenado na memória do computador (em binário).
Então, falando em criptografia, estamos falando em fazer contas com estes
números para encontrar novos números que, quando associados à tabela,
ficam estranhos. Por exemplo, somemos 30 a cada número da tabela ASCII
que representa um símbolo do texto claro. Temos: 90, 75, 83, 83, 69, 73 e 43.
Usando a tabela, teríamos:
Texto (símbolos) P A S S E I !
Tabela ASCII 80 65 83 83 69 73 33
Binário 1010000 1000001 1010011 1010011 1000101 1001001 100001
Algoritmo = Ascii+10 90 75 93 93 79 83 43
Texto Cifrado Z K ] ] O S +
Na tabela acima, temos o texto cifrado como resultado da aplicação do
algoritmo: “some 10 ao código ASCII de cada símbolo do texto claro”. O
resultado é: “ZK]]OS+”. Assim, quem conseguir obter a mensagem não
conseguirá entendê-la, exceto se conhecer o algoritmo que cifrou a
mensagem.
Agora, imagine que o algoritmo fosse tal que ao invés de usar um valor
constante para calcular o novo caractere, usasse um valor fornecido pelo
usuário. Esta chave informada resultaria em textos diferentes, para chaves
diferentes. Neste caso, a chave deve ser conhecida pelos participantes do
processo, tanto o emissor quanto o receptor, além do algoritmo, é claro.
Além deste esquema, existe um que possui não uma, mas duas chaves. Uma
para cifrar e outra para decifrar.
Vamos estudar estes casos separadamente. Existem dois tipos de chaves:
simétricas e assimétricas.

Chave simétrica
Esse é um tipo de chave mais simples, em que o emissor e o receptor fazem
uso da mesma chave, isto é, uma única chave é usada na codificação e na
decodificação da informação.
Nas figuras acima, podemos observar o funcionamento da criptografia
simétrica. Uma informação é encriptada através de um polinômio
utilizando-se de uma chave (Chave A) que também serve para decriptar a
informação.
Na criptografia simétrica (ou de chave única) tanto o emissor quanto o
receptor da mensagem devem conhecer a chave utilizada!!
As principais vantagens dos algoritmos simétricos são:
• Rapidez: um polinômio simétrico encripta um texto longo em milésimos
de segundos
• Chaves pequenas: uma chave de criptografia de 128bits torna um
algoritmo simétrico praticamente impossível de ser quebrado.
A maior desvantagem da criptografia simétrica é que a chave utilizada para
encriptar é igual à chave que decripta. Quando um grande número de
pessoas tem conhecimento da chave, a informação deixa de ser um
segredo.
O uso de chaves simétricas tem algumas desvantagens, fazendo com que
sua utilização não seja adequada em situações onde a informação é muito
valiosa. Para começar, é necessário usar uma grande quantidade de chaves
caso muitas pessoas estejam envolvidas.
Ainda, há o fato de que tanto o emissor quanto o receptor precisa conhecer
a chave usada. A transmissão dessa chave de um para o outro pode não ser
tão segura e cair em "mãos erradas".

Existem vários algoritmos que usam chaves simétricas, como o DES, o IDEA, e
o RC:
• DES (Data Encryption Standard): criado pela IBM em 1977, faz uso de
chaves de 56 bits. Isso corresponde a 72 quadrilhões de combinações
(256 = 72.057.594.037.927.936). É um valor absurdamente alto, mas não
para um computador potente. Em 1997, ele foi quebrado por técnicas
de "força bruta" (tentativa e erro) em um desafio promovido na
internet;
• IDEA (International Data Encryption Algorithm): criado em 1991 por
James Massey e Xuejia Lai, o IDEA é um algoritmo que faz uso de
chaves de 128 bits e que tem uma estrutura semelhante ao DES. Sua
implementação em software é mais fácil do que a implementação
deste último;
• RC (Ron's Code ou Rivest Cipher): criado por Ron Rivest na empresa
RSA Data Security, esse algoritmo é muito utilizado em e-mails e faz uso
de chaves que vão de 8 a 1024 bits. Possui várias versões: RC2, RC4,
RC5 e RC6. Essencialmente, cada versão difere da outra por trabalhar
com chaves maiores.
Há ainda outros algoritmos conhecidos, como o AES (Advanced Encryption
Standard) - que é baseado no DES, o 3DES, o Twofish e sua variante Blowfish,
por exemplo.
Chave assimétrica
Também conhecida como "chave pública", a técnica de criptografia por
chave assimétrica trabalha com duas chaves: uma denominada privada e
outra denominada pública. Nesse método, uma pessoa deve criar uma
chave de codificação e enviá-la a quem for mandar informações a ela. Essa
é a chave pública. Outra chave deve ser criada para a decodificação. Esta
– a chave privada – é secreta.
Para entender melhor, imagine o seguinte: O USUÁRIO-A criou uma chave
pública e a enviou a vários outros sites. Quando qualquer desses sites quiser
enviar uma informação criptografada ao USUÁRIO-A deverá utilizar a chave
pública deste. Quando o USUÁRIO-A receber a informação, apenas será
possível extraí-la com o uso da chave privada, que só o USUÁRIO-A tem.

Caso o USUÁRIO-A queira enviar uma informação criptografada a outro site,
deverá conhecer sua chave pública.
A criptografia de chaves pública e privada (criptografia assimétrica)
utiliza DUAS chaves distintas, uma para codificar e outra para decodificar
mensagens.
Entre os algoritmos que usam chaves assimétricas, têm-se o RSA (o mais
conhecido) e o Diffie-Hellman:
• RSA (Rivest, Shamir and Adleman): criado em 1977 por Ron Rivest, Adi
Shamir e Len Adleman nos laboratórios do MIT (Massachusetts Institute
of Technology), é um dos algoritmos de chave assimétrica mais usados.
Nesse algoritmo, números primos (número primo é aquele que só pode
ser dividido por 1 e por ele mesmo) são utilizados da seguinte forma:
dois números primos são multiplicados para se obter um terceiro valor.
Porém, descobrir os dois primeiros números a partir do terceiro (ou seja,
fazer uma fatoração) é muito trabalhoso.
Se dois números primos grandes (realmente grandes) forem usados na
multiplicação, será necessário usar muito processamento para
descobri-los, tornando essa tarefa quase sempre inviável. Basicamente,
a chave privada no RSA são os números multiplicados e a chave
pública é o valor obtido;
• ElGamal: criado por Taher ElGamal, esse algoritmo faz uso de um
problema matemático conhecido por "logaritmo discreto" para se
tornar seguro. Sua utilização é frequente em assinaturas digitais.

Existem ainda outros algoritmos, como o DSA (Digital Signature Algorithm), o
Schnorr (praticamente usado apenas em assinaturas digitais) e Diffie-
Hellman.
Exemplo:
Quando Alice quer mandar uma mensagem para Bob, ela procura a chave
pública dele em um diretório e usa esta chave para encriptar a mensagem.
Bob, ao receber a mensagem de Alice, usa a sua chave privada para
decriptar a mensagem e lê-la. Este sistema também permite a autenticação
digital de mensagens, ou seja, é possível garantir ao receptor a identidade
do transmissor e a integridade da mensagem.
Quando uma mensagem é encriptada com uma chave privada, ao invés
da chave pública, o resultado é uma assinatura digital: uma mensagem que
só uma pessoa poderia produzir, mas que todos possam verificar.
Normalmente autenticação se refere ao uso de assinaturas digitais: a
assinatura é um conjunto inforjável de dados assegurando o nome do autor
ou funcionando como uma assinatura de documentos. Isto indica que a
pessoa concorda com o que está escrito. Além do que, evita que a pessoa
que assinou a mensagem depois possa se livrar de responsabilidades,
alegando que a mensagem foi forjada (garantia do não-repúdio).
Sistemas de uma chave são bem mais rápidos, e sistemas de duas chaves
são bem mais seguros. Uma possível solução é combinar as duas,
fornecendo assim um misto de velocidade e segurança. Simplesmente usa-se
a encriptação de uma chave para encriptar a mensagem, e a chave
secreta é transmitida usando a chave pública do destinatário. NÃO
confunda a chave privada com chave secreta. A primeira é mantida em
segredo, enquanto que a segunda é enviada para as pessoas que
efetivarão a comunicação.
PGP – Pretty Good Privacy
Trata-se de um software de criptografia, de uso livre, criado por Philip
Zimmermman em 1991. A intenção de Zimmermman foi a de ajudar na
defesa da liberdade individual nos Estados Unidos e no mundo inteiro, uma
vez que ele percebeu que o uso do computador seria algo cada vez maior e
que o direito à privacidade deveria ser mantido nesse meio. Por ser
disponibilizado de forma gratuita, o PGP acabou se tornando uns dos meios
de criptografia mais conhecidos, principalmente na troca de e-mails.
No PGP, chaves assimétricas são usadas. Além disso, para reforçar a
segurança, o software pode realizar um segundo tipo de criptografia através
de um método conhecido como "chave de sessão" que, na verdade, é um
tipo de chave simétrica.

Assinatura e Certificacão Digital
O termo Certificação digital é utilizado para se referir ao processo que dá
suporte à implementação da assinatura digital. É o processo que dá garantia
de que a assinatura emitida é da entidade indicada na mesma.
A certificação digital realiza o registro das assinaturas e fornece informações
para que qualquer outra entidade possa conferir a sua autenticidade. A
implementação de assinaturas digitais depende desse processo. Afinal,
como seria possível confiar na assinatura de uma pessoa se não tivesse uma
estrutura para confirmar sua veracidade?
Um certificado digital é um documento eletrônico que identifica pessoas,
físicas ou jurídicas, URLs, contas de usuário, servidores (computadores)
dentre outras entidades. Este “documento” na verdade é uma estrutura de
dados que contém a chave pública do seu titular e outras informações de
interesse. Contêm informações relevantes para a identificação “real” da
entidade a que visam certificar (CPF, CNPJ, endereço, nome, etc) e
informações relevantes para a aplicação a que se destinam.
Um certificado de chave pública, normalmente denominado apenas de
certificado, é uma declaração assinada digitalmente que vincula o valor de
uma chave pública à identidade da pessoa, ao dispositivo ou ao serviço que
contém a chave particular correspondente.
Dentre as informações que geralmente compõem um certificado temos:
• Versão: indica qual formato de certificado está sendo seguido.
• Número de série: identifica unicamente um certificado dentro do
escopo do seu emissor.
• Algoritmo: identificador dos algoritmos de hash+assinatura utilizados
pelo emissor para assinar o certificado.
• Emissor: entidade que emitiu o certificado.
• Validade: data de emissão e expiração (prazo de validade do
certificado).
• Titular: nome da pessoa, URL ou demais informações que estão sendo
certificadas.
• Chave pública: informações da chave pública do titular.
• Extensões: campo opcional para estender o certificado.
• Assinatura: valor da assinatura digital feita pelo emissor.
O certificado fica armazenado em dispositivos de segurança, como por ex.:
Token ou Smart Card, ilustrados na figura a seguir.

Token
Smart Card
Figura. Ilustração de dispositivos de segurança
Para se fazer a certificação de uma assinatura digital, é necessária uma
infraestrutura que valide o certificado para as demais entidades. Para isso,
existem dois modelos de certificação que podem ser utilizados. São eles:
• Modelo de malha de confiança: baseado na criação de uma rede em
que as entidades pertencentes devem confiar umas nas outras. Cada vez
que um usuário obtém a chave pública de outro usuário, ele pode
verificar a assinatura digital da chave obtida por meio das demais
entidades, garantindo a certeza de que a chave é a verdadeira.
Nesse modelo, a confiança é controlada pelo próprio usuário. Além disso,
a confiança não é transitiva, ou seja, se uma entidade A confia em B e B
confia em C, isso não significa necessariamente que A confia em C. Esse
modelo é utilizado no software PGP, que faz a certificação de mensagens
eletrônicas.
• Modelo hierárquico: baseado na montagem de uma hierarquia de
Autoridades Certificadoras (ACs). As ACs certificam os usuários e existe
uma autoridade certificadora raiz (AC-Raiz) que faz a certificação de
todas as ACs de sua jurisdição. Nesse modelo, os certificados digitais
precisam da assinatura digital de uma AC para ser válido. Caso alguma
entidade duvide de sua validade, basta consultar na AC para verificar se
o certificado não foi revogado. Caso haja dúvida da validade do
certificado da AC, basta conferir na AC-Raiz, que, em regra, possui um
certificado assinado por si mesmo e é mantida por uma entidade
governamental. Esse é o modelo utilizado para a montagem de
Infraestruturas de Chaves Públicas (ICPs).
O padrão mais comum para certificados digitais no âmbito de uma
infraestrutura de Chaves Públicas (ICP) é o ITU-T X.509. O X.509, atualmente,
está na versão 3, e padroniza os formatos das chaves públicas e atributos
para os certificados, listas de revogação de certificados (certificate
revocation lists – CRL), e algoritmos para procura do caminho de validação.

O X.509 é um padrão derivado da família de padrões X.500, que definiram o
Directory Access Protocol - DAP (que originou o LDAP), e por isso, ele é
organizado por uma estrutura de diretórios em árvore, cujos elementos
podem ser identificados pelos Distinguished Names (DN).
A assinatura digital busca resolver dois problemas não garantidos apenas
com uso da criptografia para codificar as informações: a integridade e a
procedência. Ela utiliza uma função chamada one-way hash function,
também conhecida como: compression function, cryptographic checksum,
message digest ou fingerprint. Essa função gera uma sequência de símbolos
única (hash) sobre uma informação, se esse valor for o mesmo tanto no
remetente quanto destinatário, significa que essa informação não foi
alterada.
Mesmo assim isso ainda não garante total integridade, pois a informação
pode ter sido alterada no seu envio e um novo hash pode ter sido calculado.
Para solucionar esse problema, é utilizada a criptografia assimétrica com a
função das chaves num sentido inverso, onde o hash é criptografado
usando a chave privada do remetente, sendo assim o destinatário de posse
da chave pública do remetente poderá decriptar o hash. Dessa maneira
garantimos a procedência, pois somente o remetente possui a chave
privada para codificar o hash que será aberto pela sua chave pública. Já o
hash, gerado a partir da informação original, protegido pela criptografia,
garantirá a integridade da informação.
Conforme visto, a maior parte dos certificados de uso comum se baseia no
padrão de certificado X.509v31, aplicados em criptografia de chave pública
(criptografia assimétrica) - método de criptografia no qual duas chaves
diferentes são usadas: uma chave pública para criptografar dados e uma
chave particular para descriptografá-los.
Os certificados podem ser emitidos para diversos fins como, por exemplo, a
autenticação de usuários da Web, a autenticação de servidores Web, email
seguro, segurança do protocolo Internet (IPSec), segurança de camada de
transporte do protocolo TCP/IP e assinatura de código.
Um certificado só é válido pelo período de tempo nele especificado; cada
certificado contém datas Válido de e Válido até, que definem os prazos do
período de validade. Quando o prazo de validade de um certificado
termina, a entidade do certificado vencido deve solicitar um novo
certificado.
1 Versão 3 da recomendação X.509 da ITU (International Telecommunication Union) para formato e
sintaxe de certificado. É o formato de certificado padrão usado pelos processos com base em
certificados do Windows XP. Um certificado X.509 inclui a chave pública e informações sobre a
pessoa ou entidade para a qual o certificado é emitido, informações sobre o certificado, além de
informações opcionais sobre a autoridade de certificação (CA) que emite o certificado.

Se for preciso desfazer o vínculo declarado em um certificado, esse pode ser
revogado pelo emissor. Cada emissor mantém uma lista de certificados
revogados, que pode ser usada pelos programas quando a validade de um
determinado certificado é verificada.
Uma das principais vantagens dos certificados é que os hosts não têm mais
que manter um conjunto de senhas para entidades individuais que precisam
ser autenticadas para obterem acesso. Em vez disso, o host simplesmente
deposita confiança em um emissor de certificados.
Quando um host, como um servidor Web seguro, designa um emissor como
uma autoridade raiz confiável, ele confia implicitamente nas diretivas usadas
pelo emissor para estabelecer os vínculos dos certificados que emite. Na
prática, o host confia no fato de que o emissor verificou a identidade da
entidade do certificado. Um host designa um emissor como uma autoridade
raiz confiável colocando o certificado auto-assinado do emissor, que
contém a chave pública do emissor, no armazenamento de certificado da
autoridade de certificação raiz confiável do computador host. As
autoridades de certificação intermediárias ou subordinadas serão confiáveis
somente se tiverem um caminho de certificação válido de uma autoridade
de certificação raiz confiável.
A ICP-Brasil definiu os tipos de certificados válidos. Foram definidos 8 tipos
diferentes, divididos entre:
• Certificados de assinatura (só assina): A1, A2, A3 e A4;
• Certificados de sigilo (assina e criptografa): S1, S2, S3 e S4.
Quanto maior o número do certificado, maior o nível de segurança de seu
par de chaves.
VPN - Virtual Private Network
Uma Virtual Private Network (VPN) ou Rede Virtual Privada é uma rede
privada (rede com acesso restrito) construída sobre a estrutura de uma rede
pública (recurso público, sem controle sobre o acesso aos dados),
normalmente a Internet. Ou seja, ao invés de se utilizar links dedicados ou
redes de pacotes para conectar redes remotas, utiliza-se a infraestrutura da
Internet, uma vez que para os usuários a forma como as redes estão
conectadas é transparente.
Normalmente as VPNs são utilizadas para interligar empresas onde os custos
de linhas de comunicação direta de dados são elevados. Elas criam “túneis”
virtuais de transmissão de dados utilizando criptografia para garantir a
privacidade e integridade dos dados, e a autenticação para garantir que os
dados estão sendo transmitidos por entidades ou dispositivos autorizados e
não por outros quaisquer. Uma VPN pode ser criada tanto por dispositivos
específicos, softwares ou até pelo próprio sistema operacional.

Alguns aspectos negativos também devem ser considerados sobre a
utilização de VPNs:
• Perda de velocidade de transmissão: as informações criptografadas
têm seu tamanho aumentado, causando uma carga adicional na
rede.
• Maiores exigências de processamento: o processo de criptografar e
decriptar as informações transmitidas gera um maior consumo de
processamento entre os dispositivos envolvidos.
Para garantir a segurança das VPNs existem algumas tecnologias como o
Internet Protocol Security (IPSec), o Secure Socket Layer (SSL), entre outras.
As redes VPN-SSL não usam o protocolo IPSec para encriptar os dados, mas
sim o protocolo SSL/TLS. Também a VPN-SSL é baseada na Web e não exige
que os administradores pré-instalem um cliente em cada estação de
trabalho remota. Isso possibilita um nível maior de flexibilidade e um grau
mais amplo de acesso. Usando um navegador padrão, usuários remotos
ativam um portal da Web personalizado para acesso a e-mails, arquivos,
aplicativos e sites da Web internos, por exemplo.
Firewall
Basicamente, o firewall é um sistema para controlar o acesso às redes de
computadores, desenvolvido para evitar acessos não autorizados em uma
rede local ou rede privada de uma corporação. Pode ser desde um software
sendo executado no ponto de conexão entre as redes de computadores ou
um conjunto complexo de equipamentos e softwares.
A RFC 2828 (Request for Coments nº 2828) define o termo firewall como
sendo uma ligação entre redes de computadores que restringem o tráfego
de comunicação de dados entre a parte da rede que está “dentro” ou
“antes” do firewall, protegendo-a assim das ameaças da rede de
computadores que está “fora” ou depois do firewall. Esse mecanismo de
proteção geralmente é utilizado para proteger uma rede menor (como os
computadores de uma empresa) de uma rede maior (como a Internet).
Um firewall deve ser instalado no ponto de conexão entre as redes, onde,
através de regras de segurança, controla o tráfego que flui para dentro e
para fora da rede protegida. Pode ser desde um único computador, um
software sendo executado no ponto de conexão entre as redes de
computadores ou um conjunto complexo de equipamentos e softwares.

Deve-se observar que isso o torna um potencial gargalo para o tráfego de
dados e, caso não seja dimensionado corretamente, poderá causar atrasos
e diminuir a performance da rede.
Os firewalls são implementados, em regra, em dispositivos que fazem a
separação da rede interna e externa, chamados de estações guardiãs
(bastion hosts).
As principais funcionalidades oferecidas pelos firewalls são:
• regular o tráfego de dados entre uma rede local e a rede externa não
confiável, por meio da introdução de filtros para pacotes ou
aplicações;
• impedir a transmissão e/ou recepção de acessos nocivos ou não
autorizados dentro de uma rede local;
• mecanismo de defesa que restringe o fluxo de dados entre redes,
podendo criar um “log” do tráfego de entrada e saída da rede;
• proteção de sistemas vulneráveis ou críticos, ocultando informações
de rede como nome de sistemas, topologia da rede, identificações
dos usuários etc.
Prevenção de Intrusão
Em um sistema em segurança de redes de computadores, a intrusão é
qualquer conjunto de ações que tendem a comprometer a integridade,
confidencialidade ou disponibilidade dos dados ou sistemas.
Os intrusos em uma rede podem ser de dois tipos: internos (que tentam
acessar informações não autorizadas para ele); externos (tentam acessar
informações via Internet).
IDS (Intrusion Detection Systems) são sistemas de detecção de intrusos, que
têm por finalidade detectar atividades incorretas, maliciosas ou anômalas,
em tempo real, permitindo que algumas ações sejam tomadas.
• Geram logs para casos de tentativas de ataques e para casos em que
um ataque teve sucesso.

• Mesmo sistemas com Firewall devem ter formas para detecção de
intrusos.
• Assim como os firewalls, os IDSs também podem gerar falsos positivos
(Uma situação em que o firewall ou IDS aponta uma atividade como
sendo um ataque, quando na verdade não é).
As informações podem ser coletadas em redes, de várias formas:
• Sistemas de detecção de intrusão baseados em rede (NIDS)
Neste tipo de sistema, as informações são coletadas na rede,
normalmente por dispositivos dedicados que funcionam de forma similar
a sniffers de pacotes.
Vantagens: diversas máquinas podem ser monitoradas utilizando-se
apenas um agente (componente que coleta os dados).
Desvantagens: o IDS “enxerga” apenas os pacotes trafegando, sem ter
visão do que ocorre na máquina atacada.
• Sistemas de detecção de intrusão baseados em host (HIDS)
Coletam informações dentro das máquinas monitoradas, o que
normalmente é feito através de um software instalado dentro delas.
• Hybrid IDS
Combina as 2 soluções anteriores!!
• Baseados em Kernel (Kernel Based)
Cuidam basicamente de buffer overflow, ou seja, do estouro da
capacidade de armazenamento temporário. Sistemas de detecção de
intrusos baseados em Kernel são uma nova forma de trabalho e estão
começando a ser utilizados em plataformas mais comuns, especialmente
no Linux e outros sistemas Unix.
Cabe ressaltar que o IDS (Intrusion Detection Systems) procura por ataques já
catalogados e registrados, podendo, em alguns casos, fazer análise
comportamental.
O firewall não tem a função de procurar por ataques. Ele realiza a filtragem
dos pacotes e, então, bloqueia as transmissões não permitidas. O firewall
atua entre a rede externa e interna, controlando o tráfego de informações
que existem entre elas, procurando certificar-se de que este tráfego é
confiável, em conformidade com a política de segurança do site acessado.
Também pode ser utilizado para atuar entre redes com necessidades de
segurança distintas.

O IPS (Sistema de Prevenção de Intrusão) é que faz a detecção de ataques
e intrusões, e não o firewall!! Um IPS é um sistema que detecta e obstrui
automaticamente ataques computacionais a recursos protegidos. Diferente
dos IDS tradicionais, que localizam e notificam os administradores sobre
anomalias, um IPS defende o alvo sem uma participação direta humana.
Em outras palavras, os IDS podem ser classificados em:
• passivos: fazem a análise das informações recebidas, SEM interferir no
funcionamento da rede, comunicando os administradores em caso de
alerta;
• reativos: chamados de Intrusion Prevention Systems (IPS), pois, além de
emitir o alerta, podem tomar contramedidas, como resetar conexões
suspeitas e fazer reprogramações no firewall de acordo com a
situação detectada.
Caiu na prova (CESPE/2010/Bco Amazônia)
IDS e IPS são sistemas que protegem a rede de intrusões, diferindo no
tratamento dado quando uma intrusão é detectada. IDS limita-se a gerar
alertas e ativar alarmes, e o IPS executa contramedidas, como
interromper o fluxo de dados referente à intrusão detectada.
Um dos grandes desafios dos sistemas de detecção de intrusos é Minimizar
FALSOS POSITIVOS e FALSOS NEGATIVOS!
- Falso Positivo: o IDS gera um alarme de ataque na ocorrência de um
evento ou tráfego normal.
- Falso Negativo: o IDS não gera alarme na ocorrência de um evento ou
tráfego mal intencionado.
Cabe destacar que o falso positivo é um evento observável e relevante, que
é classificado pelo IDS como um evento intrusivo!!
Seu maior problema é a geração de um grande número de alertas, o que
dificulta a administração e a análise das informações do IDS.
A ocorrência de falsos positivos normalmente acarreta consequências
mais graves para as redes que utilizam IPS do que para aquelas que usam
IDS!!
As conseqüências mais graves ocorrerão com a utilização do IPS, já que
executa contramedidas, como resetar conexões suspeitas e fazer
reprogramações no firewall de acordo com a situação detectada.

Proxy
O Proxy atua como intermediário entre um cliente e outro servidor.
Normalmente é utilizado em empresas para aumentar a performance de
acesso a determinados serviços ou permitir que mais de uma máquina se
conecte à Internet. Proxies mal configurados podem ser abusados por
atacantes e utilizados como uma forma de tornar anônimas algumas ações
na Internet, como atacar outras redes ou enviar spam.
Um proxy, ao agir no lugar do cliente ou do usuário para prover acesso a
um serviço de rede, protege tanto o cliente quanto o servidor de uma
conexão direta.
Filtro de conteúdo WEB
Basicamente os filtros de conteúdos capturam as palavras dentro de
pacotes de dados e comparam com palavras-chave de listas de negação
(blacklists) e listas de liberação (whitelists) de acesso. Se há uma palavra-chave
numa das listas ele permite ou nega acesso a informação. Existem
listas intermediárias que liberam acesso vindos de um determinado grupo de
origem de requisição e nega para outros.
Para filtro de conteúdo web é de costume usar HTTP Proxy vinculado a outros
serviços e listas. Existem diversos proxies, como o Squid e o ISA Server, além
de listas de conteúdo frequentemente atualizadas como as gratuitas MESD,
Shalla's, e pagas de baixo custo, de menor eficácia, da URL Blacklist e de
custo moderado/alto com atualizações mais frequentes e eficazes como
Netfilter, SmartWeb, WebSense, OPSEC etc.
A organização pode criar sua própria lista para controle com base em
relatórios de acesso de usuários na empresa, porém para um grande número
de usuários isso se torna um trabalho árduo e dispendioso.
Também é possível usar filtragem de conteúdo com firewalls camada 7, mas
para grandes quantidades de filtros e palavras-chave é preferível o uso de
um proxy à parte para evitar overhead no firewall.
Combate a códigos maliciosos
O combate a códigos maliciosos poderá envolver uma série de ações,
como:
- instalação de ferramentas antivírus e antispyware no computador,
lembrando de mantê-las atualizadas frequentemente;
-não realizar abertura de arquivos suspeitos recebidos por e-mail;

-fazer a instalação de patches de segurança e atualizações corretivas de
softwares e do sistema operacional quando forem disponibilizadas (proteção
contra worms e bots); etc.
Norma ABNT NBR ISO/IEC 27002:2005
A ABNT NBR ISO/IEC 17799:2005 (renumerada para ABNT NBR ISO/IEC 27002)
estabelece diretrizes e princípios gerais para iniciar, implementar, manter e
melhorar a gestão de segurança da informação em uma organização. Os
objetivos definidos nesta norma provêem diretrizes gerais sobre as metas
geralmente aceitas para a gestão da segurança da informação.
Cabe ressaltar que não há certificação para
pessoas, somente para as empresas. E essa
certificação é baseada na ISO/IEC 27001 e não na
ISO/IEC 27002!!
A norma 27001 é usada para fins de certificação
(faz referência aos controles apenas para fins de
checagem para certificação). É a norma que
deve ser adotada como base para uma
organização que deseja implantar um Sistema de
Gestão de Segurança da Informação (SGSI).
É importante destacar que o grupo internacional
JTC1/SC27, formado pelas organizações ISO e IEC,
criou em 2000 a norma ISO/IEC 17799 baseada na
primeira parte da norma britânica BS 7799.
Esse grupo promoveu a revisão da ISO/IEC 17799,
renomeando-a para ISO/IEC 17799:2005. Posteriormente, a ABNT NBR ISO/IEC
17799:2005 foi renumerada para NBR ISO/IEC 27.002, conforme quadro a
seguir.

As principais seções da norma ABNT NBR ISO IEC 17799:2005 (renumerada
para ABNT NBR ISO/IEC 27002) são as seguintes:
0. Introdução
1. Objetivo
2. Termos e definições
3. Estrutura da norma
4. Análise/avaliação e tratamento de riscos
5. Política de segurança da informação
6. Organizando a segurança da informação
7. Gestão de ativos
8. Segurança em recursos humanos
9. Segurança física e do ambiente
10. Gerenciamento das operações e comunicações
11. Controle de acessos
12. Aquisição, desenvolvimento e manutenção de sistemas de informação
13. Gestão de incidentes de segurança da informação
14. Gestão da continuidade do negócio
15. Conformidade

Conforme visto na tabela seguinte, a norma contém 11 seções de controles
de segurança, totalizando 39 categorias principais de segurança e uma
seção introdutória que aborda a análise/avaliação e o tratamento de riscos.
Nº Seção Nome Objetivos de
Controle
(categorias)
Controles
5 Política de Segurança da
Informação
1 2
6 Organizando a Segurança da
Informação
2 11
7 Gestão de Ativos 2 5
8 Segurança em Recursos Humanos 3 9
9 Segurança Física e do Ambiente 2 13
10 Gestão das Operações e
Comunicações
10 32
11 Controle de Acesso 7 25
12 Aquisição, Desenvolvimento e
Manutenção de Sistemas de
Informação
6 16
13 Gestão de Incidentes de
Segurança da Informação
2 5
14 Gestão da Continuidade do
Negócio
1 5
15 Conformidade 3 10
Total 39 133
Ao todo, a norma apresenta 39 objetivos de controle (categorias) e 133
controles de segurança. A ordem das seções não segue um grau de
importância, ficando a cargo de cada organização identificar as seções
aplicáveis e a relevância de cada uma.
A seguir, destacamos os tópicos que devem ser estudados para o edital
ABIN/2010.
Î Análise/Avaliação e tratamento dos riscos
Alguns conceitos necessitam ser expostos para o correto entendimento do
que é risco e suas implicações.
Risco é a medida da exposição à qual o sistema computacional está sujeito.
Depende da probabilidade de uma ameaça atacar o sistema e do impacto
resultante desse ataque.

Sêmola (2003, p. 50) diz que risco é a “probabilidade de ameaças
explorarem vulnerabilidades, provocando perdas de confidencialidade,
integridade e disponibilidade, causando, possivelmente, impactos nos
negócios”.
Como exemplo de um risco pode-se imaginar um funcionário insatisfeito e
um martelo ao seu alcance; nesse caso o funcionário poderia danificar
algum ativo da informação. Assim pode-se entender como risco tudo aquilo
que traz danos às informações e com isso promove perdas para a
organização.
Risco: é medido pela probabilidade de uma ameaça acontecer e causar
algum dano potencial à empresa.
Existem algumas maneiras de se classificar o grau de risco no mercado de
segurança, mas de uma forma simples, poderíamos tratar como alto, médio
e baixo risco. No caso do nosso exemplo da sala dos servidores, poderíamos
dizer que, baseado na vulnerabilidade encontrada, a ameaça associada é
de alto risco.
Vamos ao entendimento das ações que podem ser realizadas na
identificação/análise/avaliação e tratamento dos riscos. Nesse caso, temos
que:
1)identificar os ativos dentro do escopo do SGSI e os proprietários destes
ativos;
2)identificar as ameaças a esses ativos;
3)identificar as vulnerabilidades que podem ser exploradas pelas ameaças;
4)identificar os impactos que as perdas de confidencialidade, integridade e
disponibilidade podem causar aos ativos.
5)realizar a análise e avaliação dos riscos;
6)identificar e avaliar as opções para o tratamento dos riscos. Possíveis ações
incluem:
6.1.aplicar os controles apropriados;
6.2.aceitar os riscos;
6.3.evitar riscos;
6.4.transferir os riscos associados ao negócio a outras partes, como
seguradoras etc.
A norma ABNT NBR ISO/IEC 17799:2005 (renumerada para ABNT NBR ISO/IEC
27002) trata a avaliação dos riscos como uma atividade fundamental para
ajuste das necessidades de controles. Assim, ANTES de se implementar
qualquer controle, deve-se fazer uma análise e avaliação dos riscos de
segurança.

Importante ressaltar que não há controles mínimos OBRIGATÓRIOS a serem
implementados, ou seja, nem todos os controles e diretrizes contidos na
norma podem ser aplicados. Além disto, controles adicionais e
recomendações não incluídos na norma podem ser necessários.
A ABNT NBR ISO/IEC 27002 NÃO é uma norma impositiva, ela faz
recomendações de segurança baseadas nas melhores práticas
relacionadas à segurança da informação, de forma que qualquer empresa
possa fazer a implementação e a adaptação da norma de acordo com a
sua conveniência ou necessidade.
O processo de gestão dos riscos de uma empresa passa pelas etapas
listadas a seguir.
=>Estabelecimento de contexto para avaliação dos riscos, que envolve:
1) identificar uma metodologia de análise/avaliação de riscos adequada ao
SGSI e aos requisitos legais, regulamentares e de segurança da informação
para o negócio;
2) desenvolver critérios para aceitação de riscos e identificar os níveis
aceitáveis de risco (risco residual).
=>Identificação dos riscos
De acordo com o contexto em que a entidade está inserida, é necessário
identificar os ativos dentro do escopo do SGSI e os seus proprietários, além
de identificar as ameaças a esses ativos, as vulnerabilidades que podem ser
exploradas pelas ameaças, os impactos que as perdas de
confidencialidade, integridade e disponibilidade podem causar à
organização.
=>Análise e mensuração dos riscos
Após a identificação dos riscos, é necessário:
1) avaliar os impactos para o negócio da organização que podem resultar
de falhas de segurança;
2) avaliar a probabilidade real da ocorrência de falhas de segurança, com
base nas ameaças e vulnerabilidades, nos impactos associados a estes
ativos, e nos controles atualmente implementados;
3) estimar os níveis de riscos e determinar se são aceitáveis ou não.
=>Tratamento dos riscos
O tratamento de riscos pode incluir as seguintes medidas:
1) aplicar os controles apropriados (mitigar riscos);
2) não fazer nada para combater o risco, desde que isso não viole as
políticas da organização (aceitar os riscos que se enquadrem no risco
residual);
3) evitar situações que aumentem os riscos(evitar riscos); e

4) transferir os riscos associados ao negócio a outras partes, por exemplo,
seguradoras e fornecedores (transferir riscos).
=>Monitoração e revisão dos riscos
O processo de gerenciamento dos riscos é contínuo, uma vez que o
contexto dos negócios em que uma entidade está inserida muda
constantemente. Dessa maneira, os riscos devem ser monitorados e revisados
periodicamente para se adequar às mudanças no contexto.
Î Política de segurança da informação
Esta seção possui 1 categoria:
- Política de segurança da informação.
Conforme Moreira (2001) a Política de Segurança é um conjunto de normas
e diretrizes destinadas à proteção dos ativos da organização, sendo
caracterizada pela tentativa de manter a confidencialidade, a integridade
e a disponibilidade da mesma, independentemente de onde ela esteja. A
Política de Segurança passa a ter uma importante função, visando à
proteção dos ativos para que os negócios não parem e o ambiente fique
seguro.
TCU (2007) destaca que a Política de Segurança de Informações é um
conjunto de princípios que norteiam a gestão de segurança de informações
e que deve ser observado pelo corpo técnico e gerencial e pelos usuários
internos e externos. As diretrizes estabelecidas nesta política determinam as
linhas mestras que devem ser seguidas pela organização para que sejam
assegurados seus recursos computacionais e suas informações.
A política de segurança da informação tem como objetivo prover uma
orientação e apoio da direção para a segurança da informação de acordo
com os requisitos do negócio e com as leis e regulamentações relevantes”
(ABNT NBR ISO/IEC 27002:2005).
Algumas observações:

• deve prever o que pode ou não ser feito na instituição e o que será
considerado inaceitável;
• atribui direitos e responsabilidades às pessoas que lidam com os
recursos computacionais de uma instituição e com as informações
neles armazenados.;
• tudo que descumprir a política de segurança é considerado um
incidente de segurança;
• na política estão definidas as penalidades às quais estão sujeitos
aqueles que não cumprirem a política.
Caiu na prova (CESPE/2010)
A política de segurança cumpre três principais funções: define o que e
mostra por que se deve proteger; atribui responsabilidades pela proteção;
e serve de base para interpretar situações e resolver conflitos que venham
a surgir no futuro.
Î Gestão de ativos
Segundo Sêmola (2003), ativo é tudo aquilo que tem um valor significativo
para a empresa. São os elementos que compõem e processam a
informação, incluindo ela mesma. O termo ativo tem origem na área
financeira, podendo ser descrito como um elemento de valor para um
indivíduo ou empresa, e, portanto, merece ser protegido. Exemplificando, os
ativos seriam as informações, equipamentos, usuários, aplicações e
processos de apoio.
Esta seção da norma ABNT NBR ISO/IEC 27002:2005 possui 2 categorias, que
são: responsabilidade pelos ativos; e classificação da informação.

A norma ABNT NBR ISO/IEC 27002, destaca vários tipos de ativos, como:
a) ativos de informação: base de dados e arquivos, contratos e acordos,
documentação de sistema, informações sobre pesquisa, manuais de usuário,
material de treinamento, procedimentos de suporte ou operação, planos de
continuidade do negócio, procedimentos de recuperação, trilhas de
auditoria e informações armazenadas;
b) ativos de software: aplicativos, sistemas, ferramentas de desenvolvimento
e utilitários;
c) ativos físicos: equipamentos computacionais, equipamentos de
comunicação, mídias removíveis e outros equipamentos;
d) serviços: serviços de computação e comunicações, utilidades gerais, por
exemplo aquecimento, iluminação, eletricidade e refrigeração;
e) pessoas e suas qualificações, habilidades e experiências;
f) intangíveis, tais como a reputação e a imagem da organização.
A organização só irá classificar seus ativos se o custo associado a essa
atividade for justificável em relação aos benefícios de segurança. A
classificação da informação não é obrigatória, e sim opcional!
Obs: essa foi uma das seções que sofreu modificação após a revisão
consolidada em 2005, através da incorporação de novos tipos de ativos, a
saber: -pessoas e suas qualificações, habilidades e experiências; -intangíveis,
tais como a reputação e a imagem da organização.
Î Segurança física e do ambiente
Esta seção da norma possui 2 categorias:
-áreas seguras; e
-segurança de equipamentos.

Î Gerenciamento das operações e comunicações
A norma destaca que a organização deve garantir a operação segura e
correta dos recursos de processamento da informação. Para isso, os
procedimentos e responsabilidades pela gestão e operação de todos os
recursos de processamento das informações devem ser definidos.
Convém que seja utilizada a segregação de funções quando apropriado,
para reduzir o risco de se ter um mau uso ou uso doloso dos sistemas da
organização.
Esta seção possui 10 categorias:
- Procedimentos e responsabilidades operacionais;
- Gerenciamento de serviços terceirizados;
- Planejamento e aceitação dos sistemas;
- Proteção contra códigos maliciosos e códigos móveis;
- Cópias de segurança;
- Gerenciamento da segurança em redes;
- Manuseio de mídias;
-Troca de informações;
- Serviços de comércio eletrônico;
- Monitoramento.

Î Controle de acessos
Esta seção possui 7 categorias:
-Requisitos de negócio para controle de acesso;
-Gerenciamento de acesso do usuário;
-Responsabilidades dos usuários;
-Controle de acesso à rede;
-Controle de acesso ao sistema operacional;
-Controle de acesso à aplicação e à informação;
-Computação móvel e trabalho remoto.

Î Aquisição, desenvolvimento e manutenção de sistemas de informação
Esta seção possui 6 categorias. São elas:
- Requisitos de segurança de sistemas de informação;
- Processamento correto nas aplicações;
- Controles criptográficos;
- Segurança dos arquivos do sistema;
- Segurança em processos de desenvolvimento e de suporte;
- Gestão de vulnerabilidades técnicas.

Î Gestão de incidentes de segurança da informação
Incidente de segurança da informação: é indicado por um simples ou por
uma série de eventos de segurança da informação indesejados ou
inesperados, que tenham uma grande probabilidade de comprometer as
operações do negócio e ameaçar a segurança da informação.
Exemplos de alguns incidentes de segurança da informação: invasão digital;
violação de padrões de segurança de informação.

Figura. Impacto de incidentes de segurança nos negócios
A Seção 13 da Norma ISO 17799:2005 intitulada Gestão de Incidentes de
Segurança da Informação, possui 2 categorias:
-Notificação de fragilidades e eventos de segurança da informação;
-Gestão de incidentes de segurança da informação e melhorias.
Anne Januári
Î Gestão da Continuidade do Negócio

Esta seção possui 1 categoria: aspectos da gestão da continuidade do
negócio, relativos à segurança da informação.
Caiu na prova (CESPE/2010/ANEEL)
A gestão de continuidade de negócios é complementar à gestão de
riscos e tem como foco o desenvolvimento de uma resposta a uma
interrupção causada por um incidente de difícil previsão, materializada
na forma de um plano de continuidade de negócios.
Os negócios da organização podem ser interrompidos por uma grande
variedade de incidentes, como falhas tecnológicas, atos de terrorismo etc.
No entanto, para a maioria desses incidentes, há como fazer uma previsão
e, portanto, tomar medidas preventivas para evitar que realmente se tornem
realidade. Nesse contexto temos a gestão de riscos!! Mas como a
organização precisa estar preparada para enfrentar situações não previstas
que atinjam seus recursos de informação, para os incidentes de difícil

detecção (que não foram previstos e que podem causar uma interrupção)
utilizamos a gestão de continuidade de negócios, com o objetivo de fazer
com que os negócios da organização não sejam interrompidos em virtude
do incidente.
O Plano de Continuidade de Negócios, nesse contexto, irá listar as medidas
de resposta ao incidente que devem ser realizadas de forma que a
organização continue trabalhando e, em seguida, volte à situação anterior
de normalidade.
Caiu na prova (CESPE/2007/TCU)
Um plano de continuidade de negócios distingue-se de um plano de
recuperação de desastres por vários aspectos, entre os quais a maior
ênfase no gerenciamento de riscos.
Planos de continuidade de negócios (PCNs) têm como propósito permitir que
uma organização recupere ou mantenha suas atividades em caso de uma
interrupção das operações normais de negócios.
Os PCNs são ativados para dar suporte às atividades críticas necessárias
para cumprir os objetivos da organização, e podem ser executados integral
ou parcialmente e em qualquer etapa da resposta a um incidente.
A fase de avaliação de riscos e análise de impactos no negócio compõe
uma das etapas de elaboração de um PCN e tem como objetivo levantar as
ameaças a que o negócio está exposto; uma inspeção física é realizada nos
sites onde há processamento de dados ou operação de processos
considerados críticos para o negócio, essa inspeção física busca controles
de segurança física nas instalações. De posse dessa análise, e através de
entrevistas com pessoas envolvidas com a manutenção e operação das
instalações é possível fazer uma análise de risco que será base para
implementação de controles que mitigam esses riscos e análise de uma
possível estratégia de contingência.
Já a Análise de Impactos nos Negócios é feita buscando identificar os
processos críticos que suportam a cadeia de valor, e qual impacto para o
negócio caso as ameaças mapeadas venham a se concretizar.
O plano de recuperação de desastres (também conhecido como Disaster
Recovery Plan) é um plano focado exclusivamente na recuperação de
ativos de TI danificados por uma catástrofe ou por uma falha de sistema.

Figura. Linha do tempo de um incidente
Conforme prescrito na norma ABNT NBR ISO/IEC 17799:2005 (renumerada
para ABNT NBR ISO/IEC 27002) os planos de continuidade do negócio devem
ser testados e atualizados regularmente, de forma a assegurar sua
permanente atualização e efetividade.
Nesse contexto diversas técnicas devem ser usadas para fornecer garantia
de que os planos funcionarão na vida real, como as listadas a seguir:
a) testes de mesa (faz-se a leitura em conjunto dos procedimentos de um
grupo/equipe discutindo os arranjos para recuperação);
b) simulações (particularmente para treinar pessoas em seus papéis de
gerenciamento pós-incidente/crise);
c) testes da recuperação técnica (garantindo que os sistemas de
informação podem ser restaurados eficientemente);
d) testar recuperação em um site alternativo (executando processos do
negócio em paralelo com operações de recuperação longe do site
principal);
e) testes das facilidades e serviços de fornecimento (garantindo que
serviços e produtos providos externamente satisfarão o compromisso
contratado);
f) ensaios completos (testando se a organização, pessoal, equipamento,
facilidades e processos conseguem lidar com interrupções).

Segundo a ISO/IEC 17799:2005 (renumerada para ABNT NBR ISO/IEC 27002),
as técnicas podem ser usadas por qualquer organização e devem refletir a
natureza do plano de recuperação específico.
A seguir disponibilizamos um quadro resumo sobre tipos e métodos de teste
de estratégias de Gestão de Continuidade de Negócios.
Caiu na prova (CESPE/2009)
A identificação de eventos que podem causar interrupções aos processos
de negócio e das probabilidades e impactos de tais interrupções,
associada às consequências para a segurança de informação, constitui
atividade executada no âmbito da gestão de continuidade de negócios,
embora se constitua, mais especificamente, atividade de análise de risco.
Segundo a NBR 15999, os testes devem ser realistas, planejados
cuidadosamente e acordados com as partes interessadas, de modo que
haja um risco mínimo de interrupção dos processos de negócio, e de forma
a minimizar a chance de que ocorra um incidente como resultado direto do
teste.
Todo teste deve ter objetivos claramente definidos. Relatórios e análises que
demonstrem se os objetivos do teste foram alcançados devem ser
elaborados após o teste. Além disso, é importante que seja elaborado um
relatório pós-teste, que contenha recomendações juntamente de uma
previsão de tempo para a implementação destas.
A escala e a complexidade dos testes devem ser apropriadas aos objetivos
de recuperação da organização. O programa de testes deve considerar o

papel de todas as partes envolvidas, inclusive principais fornecedores,
parceiros terceirizados e outros que poderiam participar das atividades de
recuperação. A organização deve incluí-los nos testes.
2.ALTA DISPONIBILIDADE
RAID
RAID é um acrônimo para Redundant Array of Inexpensive Disks (Redundant
Array of Independent Disks / Matriz redundante de discos independentes).
Este arranjo é uma técnica em que os dados ficam armazenados em vários
discos para se obter um aumento na velocidade de acesso/gravação e/ou
para aumentar a redundância do sistema. A tecnologia envolvida nesta
teoria possui um princípio bem simples: através da combinação de uma
matriz de discos "pequenos", não muito caros, um administrador poderá
gravar dados com redundância para prover tolerância a falhas em um
servidor.
Em outras palavras, o RAID é uma tecnologia utilizada com o objetivo de
combinar diversos discos rígidos (como IDE, SATA, SCSI) para que sejam
reconhecidos pelo sistema operacional como apenas uma única unidade
de disco.
Existem vários tipos (chamados “modos”) de RAID, e os mais comuns são:
• RAID 0, RAID 1, e Raid 5.
RAID 0, também chamado de Stripping (Enfileiramento)
• Combina dois (ou mais) HDs para que os dados gravados sejam divididos
entre eles.
• No caso de um RAID 0 entre dois discos, os arquivos salvos nesse conjunto
serão gravados METADE em um disco, METADE no outro.
• Ganha-se muito em velocidade
o a gravação do arquivo é feita em metade do tempo, porque se
grava metade dos dados em um disco e metade no outro
simultaneamente (o barramento RAID é outro, separado, do
IDE).
o A leitura dos dados dos discos também é acelerada!

o Nesse RAID não há tolerância a falhas (segurança) porque de
um dos discos “pifar”, os dados estarão perdidos
completamente.
o Não se preocupa com segurança e sim com a velocidade!
RAID 1 - Mirroring (Espelhamento)
• Cria uma matriz (array) de discos espelhados (discos idênticos). O que se
copia em um, copia-se igualmente no outro disco.
• O RAID 1 aumenta a segurança do sistema, oferecendo portanto
redundância dos dados e fácil recuperação, com proteção contra falha
em disco.
• RAID 1 aumenta a velocidade de leitura dos dados no disco (não a de
escrita).
RAID 3
Exige no mínimo 3 HDs. O primeiro par de discos fica ligado em RAID 0,
aumentando a performance, e o terceiro HD guarda as informações de
paridade de dados (para garantir a reconstrução das informações no caso
de perda de um dos HDs de dados). Pode funcionar com mais de 3 HDs, mas
um deles sempre guardará as informações de paridade (detecção de erros).
RAID 4
Semelhante ao RAID 3, onde um dos HDs guarda dados de paridade
(informações sobre divisão dos blocos de dados entre os HDs principais). A
principal diferença entre eles é que no RAID 4, os blocos de paridade são
maiores, acelerando o processo de leitura dos dados nos HDs e aumentando
a segurança.
RAID 5
• Sistema tolerante a falhas, cujos dados e paridades são distribuídos ao
longo de três ou mais discos físicos.
• A paridade é um valor calculado que é usado para reconstruir dados
depois de uma falha.
• Se um disco falhar, é possível recriar os dados que estavam na parte com
problema a partir da paridade e dados restantes.
• Caso dois discos falhem, os dados serão todos perdidos.
Soluções de armazenamento SAN e NAS

SAN (Storage Area Network) poderia ser definida como uma rede de alta
velocidade, comparada à LAN (Local Area Network), que permite o
estabelecimento de conexões diretas entre os dispositivos de
armazenamento e processadores (servidores) centralizados à extensão
suportada pela distância das fibras óticas.
A SAN pode ser vista como uma extensão do conceito que permite que os
dispositivos de armazenamento sejam compartilhados entre servidores e
interconectados entre si. Uma SAN pode ser compartilhada entre servidores
ou dedicada a um servidor local ou remoto.
A SAN (Storage Area Network), basicamente, é uma arquitetura que permite
conectar dispositivos de armazenamento de dados remotos de diferentes
tipos, a servidores, de maneira a que os dispositivos pareçam que estão
ligados fisicamente ao servidor.
Outra definição diz que SAN são dois ou mais dispositivos se comunicando
via protocolo serial SCSI, tal como Fibre Channel ou iSCSI. Segundo essa
definição, uma LAN que trafega nada mais do que tráfego de storage não
pode ser considerada uma SAN.
O que diferencia uma LAN de uma SAN (ou de uma NAS) é o protocolo que
é usado. Assim, se o tráfego de storage trafega em uma LAN através do
protocolo iSCSI, então essa LAN pode ser considerada uma SAN. Entretanto,
simplesmente enviar dados de backup através de uma LAN dedicada não a
torna uma SAN. Enfim, uma SAN é uma rede que usa um protocolo serial SCSI
para transferir dados. A figura seguinte mostra uma visão geral de uma SAN
conectando vários servidores a vários sistemas de armazenamento:

As principais vantagens da SAN são:
• Aumenta a disponibilidade do sistema ao balancear a carga da rede,
permitindo transferências rápidas de grandes volumes de dados, reduz
também a latência de E/S;
• Possibilita acesso rápido à informação;
• Permite aos servidores fazerem o boot diretamente pelo SAN,
permitindo a rápida substituição de servidores defeituosos –
aumentando assim a disponibilidade do sistema, tão almejada nos
dias de hoje;
• Permite o processo de recuperação de dados, pois o SAN pode
replicar dados de vários servidores para uma área de armazenamento
secundária.
As principais desvantagens do SAN são:
• Elevado custo de implementação e de gestão;
• Falta de um “padrão”, para a sua implementação são necessários
vários produtos de software e de hardware de diferentes vendedores,
o que complica e aumenta o custo da implementação.
Finalizando, cabe ressaltar uma das vantagens da SAN, que permite
transferências rápidas de grandes volumes de dados, o que permite uma
REDUÇÃO da latência de E/S. A SAN pode ser usada para contornar os
conhecidos gargalos de rede, pois suporta diretamente altas velocidades de
transferência de dados entre os servidores e dispositivos de armazenamento,
nas seguintes formas: servidor para storage, servidor para servidor, storage
para storage.
O termo NAS (Network Attached Storage) refere-se, basicamente, a um
computador dedicado a compartilhamento de arquivos através de NFS, CIFS
ou DAFS (Direct Access Files). Cabe ressaltar que é um dispositivo dedicado
exclusivamente ao compartilhamento de arquivos, centralizando a
responsabilidade de servir os arquivos em uma rede e desse modo libera
recursos de outros servidores.
Um dispositivo NAS combina a tecnologia dos arrays de discos com a
inteligência de uma pequena unidade de processamento. Nesse sentido, é
possível adicionar armazenamento na rede sem ser necessário desligar o
servidor.
Em outras palavras, o termo NAS (Network Attached Storage) refere-se,
basicamente, a um servidor de discos capaz de exportar áreas por
protocolos como o NFS, CIFS ou até mesmo o HTTP. Para isto, é utilizada a
rede local, o que traz a vantagem de permitir que qualquer host da rede
tenha acesso a dados comuns, porém possui as desvantagens de
congestionar o tráfego da rede, bem como uma velocidade de acesso
pequena, se comparada à de uma SAN.

Uma outra grande vantagem da arquitetura NAS é que os dados podem ser
compartilhados entre diversos hosts, inclusive de sistemas operacionais
diferentes, enquanto em uma SAN os dados são dependentes do sistema
operacional.
A seguir um comparativo entre SAN e NAS, obtido em:
http://errorstream.wordpress.com/2009/02/20/san-vs-nas-principais-diferencas/.
SAN NAS
Utiliza fibra óptica nas ligações,
tendo uma rede própria separada
da rede local, possui uma grande
dimensão.
Utiliza ligações TCP/IP, está ligado
à própria rede local, pequena
dimensão.
Oferece apenas armazenamento
de dados, deixando o sistema de
arquivos a cargo do cliente.
Oferece armazenamento e
sistema de arquivos, oferece e
gere tudo que é necessário para a
correta disponibilização dos dados
de forma totalmente autônoma.
O acesso aos dados é de “baixo
nível”, pois o servidor pede blocos
de dados, é portanto “block-level”.
O acesso aos dados é de “alto
nível” pois os clientes pedem uma
porção de um determinado
arquivo abstrato em vez de um
bloco de dados de um disco, é
“file-level”.
Caro e complexo de implementar
e gerir, necessita de mão obra
especializada. Só justificada em
grandes organizações com
grandes redes de computadores.
Simples e barato, fácil de gerir,
normalmente é possível gerir um
sistema NAS por uma interface
WEB de forma simples e rápida.
Protocolo serial SCSI-3 Protocolo: TCP/IP, NFS/CIFS
Permite diferentes servidores
acessarem o mesmo drive de disco
ou fita de forma transparente para
o usuário final.
Permite diferentes usuários
acessarem o mesmo sistema de
arquivos ou até um mesmo
arquivo.
Clusters de servidores e balanceamento de carga
Um cluster nada mais é do que um grupo de servidores, ligados em rede,
que graças a um software qualquer, dividem entre sí as tarefas necessárias
para desempenhar uma tarefa qualquer, ou seja, vários servidores que
trabalham como se fossem um só.

Em rede de computadores, o balanceamento de carga é uma técnica para
distribuir a carga de trabalho uniformemente entre dois ou mais
computadores, enlaces de rede, CPUs, discos rígidos ou outros recursos, a fim
de otimizar a utilização de recursos, maximizar o desempenho, minimizar o
tempo de resposta e evitar sobrecarga. Utilizando múltiplos componentes
com o balanceamento de carga, em vez de um único componente, pode
aumentar a confiabilidade através da redundância.
Contingência e continuidade de operação
Sabemos que tanto em TI, quanto em outra área de negócio, as cópias de
segurança são imprescindíveis para a continuidade dos negócios.
As informações são o ativo mais importante para as organizações, por isso a
preocupação com a continuidade dos negócios deve ser uma constante.
Deve ser estabelecido um ambiente que garanta a continuidade
operacional de todos os processos críticos de TI e forme alta disponibilidade
na reposição de serviços e sistemas críticos ao negócio da empresa.
O objetivo é garantir que em casos de sinistros e falhas em ambientes
físicos/lógicos, as atividades não sejam interrompidas afetando os negócios
da organização. Em ambientes corporativos, devem ser estabelecidas
políticas de cópias de segurança (que devem ser constantemente testadas
e armazenadas em locais seguros e diferentes do local de origem).
A fusão dos planos de contingência e dos planos de recuperação de
desastres, formam a Gestão da Continuidade dos Negócios (GCN) que tem
por objetivo garantir a recuperação de um ambiente de produção,
independentemente de eventos que suspendam suas operações e de
danos nos componentes (processos, pessoas, softwares, hardware,
infraestrutura, etc.) por ele utilizados.
CONSIDERAÇÕES FINAIS
Bem, chegamos ao final da primeira aula do resumão de TI da área de
suporte a rede de dados.
Caso tenham dúvidas, não deixem de nos enviar pelo fórum do curso. O
retorno de vocês é de grande importância para que nossos objetivos
estejam alinhados! Fiquem com Deus, bons estudos e até a nossa próxima
aula!
Um forte abraço,
Patrícia Quintão e Alexandre Lênin

BIBLIOGRAFIA CONSULTADA
ABNT NBR ISO/IEC 27002:2005 – Tecnologia da Informação – Técnicas de
Segurança –Código de Prática para a Gestão de Segurança da Informação
(antiga 17799:2005).
ALBUQUERQUE, R.; RIBEIRO, B. Segurança no Desenvolvimento de Software.
Rio de Janeiro: Campus, 2002.
Apostila TCU. Disponível em: http://74.125.47.132/search?q=cache%3AX-
7rWT8IDOwJ%3Aportal2.tcu.gov.br%2Fportal%2Fpage%2Fportal%2FTCU%2Fco
munidades%2Fbiblioteca_tcu%2Fbiblioteca_digital%2FBOAS_PRATICAS_EM_SE
GURANCA_DA_INFORMACAO_0.pdf+plano+de+conting%C3%AAncia+%2B+t
cu&hl=pt-BR&gl=br.
ARIMA, C. H.; SCHMIDT, P.; J.L. Fundamentos de Auditoria de
Sistemas. Vol. 9.São Paulo: Atlas, 2005.
BAIO, C. ; L. Seu celular anda meio maluco? Cuidado, ele pode
estar com vírus. 2008. Disponível em:
http://tecnologia.uol.com.br/proteja/ultnot/2008/01/23/ult2882u34.jhtm.
CARUSO, Carlos A. A.; STEFFEN, Flávio D. Segurança em Informática e de
Informações. 2 ed., São Paulo, 1999.
CERTBR. Cartilha de Segurança para Internet. http://www.cert.br. 2006.
CHESWICK, W. R., BELLOVIN, S. M. e RUBIN, A. D. Firewalls e Segurança na
Internet: repelindo o hacker ardiloso. Ed. Bookman, 2ª Ed., 2005.
GIL, Antônio de L. Segurança em Informática. 2 ed. Atlas, São Paulo, 1998.
Guia de Estruturação e Administração do Ambiente de Cluster e Grid,
Brasilia, 2006.
A. G., LINS, R. D. e OLIVEIRA, R. Segurança com Redes Privadas
Virtuais (VPNs). Ed. Brasport, Rio de Janeiro, 2006.
Infowester. Disponível em: http://www.infowester.com.br.
IMONIANA, Joshua Onome. Auditoria de sistemas de informação. São Paulo:
Atlas, 2005.
José Carlos Cordeiro Martins. Gestão de Projetos de Segurança da
Informação
MÓDULO Security. Disponível em: http://www.modulo.com.br/.
NAKAMURA, E. T., GEUS, P.L. Segurança de Redes em Ambientes
Cooperativos. Ed. Novatec, 2007.
RAMOS, A.; BASTOS, A.; LAYRA, A. Guia oficial para formação de gestores em
segurança da informação. 1. ed. Rio Grande do Sul: ZOUK. 2006.

SÊMOLA, M. Gestão da segurança da informação. 2 ed. São Paulo: Campus
Elsevier. 2003.
TECHNET. Academia Latino-Americana da Segurança da Informação. 2006.
Disponível em: <http://www.technetbrasil.com.br/academia/>.
STALLINGS, W. Criptografia e Segurança de Redes: Princípios e Práticas. Ed.
Prentice-Hall, 4ª Edição, 2008.
ZWICKY, E. D., COOPER, S. e CHAPMAN, D. B. Building Internet Firewalls. Ed.
O’Rilley, 2ª Ed., 2000.
MENEZES, ALFRED J.; Oorschot, Paul C. van; Vanstone, Scott A. Handbook of
Applied Criptography.
Universidade Hacker, de Henrique Cesar Ulbrich e James Della Valle.

Abin aula 01-1

Mais conteúdo relacionado

Mais procurados

Semelhante a Abin aula 01-1

Último

Abin aula 01-1