Segurança da Informação

Segurança da Informação
Semana de Atualização Tecnológica FASE
27/01/11

Felipe Augusto Pereira
felipe@unu.com.br

Quem sou eu?
• Felipe Augusto Pereira
• Bacharel em Ciência da Computação (CIn/UFPE)
• Mestre e Doutorando em Administração
(PROPAD/UFPE)
• Pesquisador do grupo de Gestão da Inovação em Redes
de Operações
• Professor de graduação e pós-graduação de cursos de
gestão e tecnologia
• Sócio-diretor da Unu Soluções, empreendimento de TI e
Design Gráfico
• Coordenador dos cursos de Tecnologia da FASE

© UNU Soluções – www.unu.com.br 2

Quem são vocês?
• Atividades
• O que vem a sua mente quando
falamos de Segurança da Informação?


Sobre o que conversaremos
hoje?
• O que é e qual a importância da
segurança da informação?
• Quais as principais ameaças?
• Como se proteger?


O QUE É E QUAL A IMPORTÂNCIA
DA SEGURANÇA DA INFORMAÇÃO?

Definição
Cibercrimes
Estatísticas
Motivações


Confidencialidade

Segurança
Integridade da
Informação

Disponibilidade


Cibercrimes
• Prática que consiste em fraudar a
segurança de computadores e redes
empresariais ou utilizar meios
eletrônicos para a realização de
crimes
• Ex: SPAM, fraudes bancárias, violação
de propriedade intelectual,
pornografia, invasão de websites, etc.


Cibercrimes
Computadores como alvos de Computadores como
crime instrumento de crimes
• Violação da confidencialidade • Roubo de segredos comerciais
de dados protegidos • Cópia não autorizada de
• Acesso a sistemas software ou material com
computacionais sem autorização propriedade intelectual
• Acesso intencional a um registrada (artigos, livros,
computador protegido para músicas, vídeos, etc.)
cometer fraude • Ameaças ou assédio por e-mail
• Danos intencionais a um • Interceptação de comunicações
computador protegido eletrônicas
• Transmissão de software que • Acesso ilegal a comunicações
cause danos deliberados a um eletrônicas armazenadas
sistema • Armazenamento ou transmissão
de material de pedofilia


Cibercrimes no Mundo
• 1. Estados Unidos (23%)
• 2. China (9%)
• 3. Alemanha (6%)
• 4. Inglaterra (5%)
• 5. Brasil (4%)
• 6. Espanha (4%)
• 7. Itália (3%)
• 8. França (3%)
• 9. Turquia (3%)
• 10. Polônia (3%)
Fonte: BusinessWeek, 2009

Cibercrimes no Brasil
• Ranking de 2008
– Fração da atividade maliciosa no mundo: 4%
– Cibercrimes em geral: 5º lugar
– Códigos maliciosos: 16º lugar
– Zumbis para SPAM: 1º lugar
– Hospedagem de sites phishing : 16º lugar
– Bots (PCs controlados remotamente): 5º lugar
– Origem dos ataques: 9º lugar

Fonte: BusinessWeek, 2009


Incidentes reportados ao
CERT.br

Fonte: NIC.Br © UNU Soluções – www.unu.com.br 11

Motivações para Cibercrimes
• Inicialmente
– Ação individual
– Status e reconhecimento
• Atualmente
– Crime organizado
– Motivação financeira
– Ataques a usuários finais


Hackers
• Indivíduos que pretendem obter
acesso não autorizado a um sistema
computacional
• Cracker, black hat, white hat
• Algumas ações
– Invasão de sistemas
– Vandalismo
– Roubo de informações


QUAIS AS PRINCIPAIS
AMEAÇAS?

Fontes de Vulnerabilidade dos Sistemas
SPAM, Malwares, Scanning, Invasão, Scam, Spoofing, Phishing,
Hoaxes, Fakes, Sniffing, Ataques DoS, Ciberterrorismo, Funcionários,
Falhas de software, Falhas físicas


Fontes de Vulnerabilidade
dos Sistemas
• Usuários
• Linhas de comunicação
• Servidores corporativos
• Sistemas corporativos


SPAM
• Envio de e-mails não solicitados
• Problemas
– Redução da produtividade
– Sobrecarga da infraestrutura de
comunicação
– Porta para malwares e outras ameaças
– Inclusão do servidor em listas de
bloqueio


Malwares
• Malicious Software = software malicioso
• Vírus, worms, backdoors, cavalos de tróia,
spywares, etc.
• Software mal intencionado
• Normalmente disseminados através de
websites, e-mails e pen drives


Malwares
• Ações
– “Benignas”: exibição de mensagem ou imagem
– Malignas: destruição de programas e dados,
alteração do funcionamento de programas,
keyloggers, bots


Vírus
• Programa de computador que se propaga
através de auto-cópia e infecção de outros
programas
• Depende da execução do programa ou
arquivo hospedeiro
• Podem ficar “incubados” sem manifestação


Worms
• Programa de computador que se propaga
através de auto-cópia, mas não infecta
outros programas e se propaga através de
vulnerabilidades existentes
• Costumam consumir muitos recursos
(redes, disco, etc.)


Cavalos de Tróia
• Programa que executa funções maliciosas
além de outras para as quais aparentemente
foi projetado
– Protetor de tela, jogos, etc.
• Pode instalar keyloggers, screenloggers,
backdoors, furtar senhas, números de cartões
de crédito, alterar ou destruir arquivos
• Por si só, não infecta outros arquivos nem se
auto-copia
• Precisa ser executado para entrar em ação

Adware e Spyware
• Podem ou não ser legítimos
• Adware: apresenta propagandas
• Spyware: monitora comportamento
– URLs visitadas
– Alteração da página inicial do browser
– Varredura de arquivos
– Captura de senhas e números de cartões
de crédito


Backdoor
• Permitem o retorno de invasores por
método diferente do utilizado para a
invasão original
• Podem ser resultado de programas de
acesso remoto mal configurados ou
de cavalos de tróia


Keyloggers e screenloggers
• Keylogger: grava teclas digitadas
• Screenlogger: quando o mouse é
clicado, grava a tela completa ou a
área próxima ao cursor
• Dados são enviados para terceiros
• Normalmente, são provenientes de
cavalos de tróia ou spywares


Bots
• Programa semelhante ao worm (com auto-
cópia, se propaga através de
vulnerabilidades existentes), mas
controlado remotamente pelo invasor
• Bots podem enviar e-mails de phishing,
SPAMs, desferir ataques, roubar dados, etc.
• Uma rede de bots é chamada botnet


Rootkits
• Permitem esconder e assegurar a presença
em computadores comprometidos
• Atividades ficam escondidas do usuário do
computador
• Podem instalar backdoors, remover
registros em logs, realizar sniffing, etc.


Scanning
• Varredura de redes de computadores à
procura de vulnerabilidades


Invasão
• Força Bruta
• Exploração de falhas conhecidas
• Suscetibilidade de computadores com
banda larga (IP constante alta
velocidade e longo tempo de conexão)
• Conexões sem fio


Scam
• Golpe que normalmente objetiva vantagem
financeira
– Site de vendas ou leilão com preços muito
abaixo do mercado, que não serão entregues ou
servirão para furto de dados financeiros
– E-mail recebido em nome de uma instituição
financeira solicitando atuação como
intermediário de uma transferência
internacional mediante adiantamento


Spoofing
• “Disfarce” de pessoas ou programas através da
falsificação de informações
• Empresas com material com copyright divulgam
materiais distorcidos em redes de
compartilhamento para desencorajar o uso
• E-mail spoofing
– Alteração do remetente de e-mails
• Spoofing em ligações
– Alteração de informações de quem está originando a
ligação


Phishing
• Modalidade de spoofing em que há a tentativa de
obter informações importantes através de
elementos mascarados como de instituições
idôneas
• Modalidades
– E-mails com falsas informações atraindo para links
– E-mails com manipulação de links
– E-mails com formulários
– Redirecionamento a websites falsos na digitação de
endereços verdadeiros
– Phishing telefônico
– Utilização de popups solicitando informações no acesso a
sites verdadeiros

Phishings Comuns
Tema Texto da mensagem
Cartões virtuais UOL, Voxcards, Musical Cards, etc.
SERASA e SPC Débitos e restrições
Governo CPF/CNPJ cancelados, problemas com
imposto de renda ou eleições
Celebridades, fatos da mídia Fotos e vídeos
Relacionamentos Traição, convites para relacionamentos
Empresas de telefonia Débitos, bloqueio, serviços
Antivírus Atualizações
Lojas virtuais Pedidos, débitos
Negócios Solicitações de orçamentos, recibos
Promoções Vários
Programas Novidades, ofertas

Hoaxes
• Boatos com alarmes falsos enviados por
e-mail
• Podem espalhar desinformação ou ter
fins maliciosos
• Já houve casos de divulgação por meios
de comunicação


Hoaxes Comuns
• Envio de mensagem para n pessoas e
obtenção de benefício
• Auxílio a pacientes de doenças graves
através do envio de mensagens
• Produtos contaminados em empresas
conhecidas
• Seringa com AIDS
• Roubo de órgãos
• Morte por limão na cerveja


Catálogos de Hoaxes
• Hoaxbusters (http://hoaxbusters.ciac.org)
• QuatroCantos
(http://www.quatrocantos.com/LENDAS)
• Urban Legends and Folklore
(http://urbanlegends.about.com)
• Urban Legends Reference Pages
(http://www.snopes.com)
• TruthOrFiction.com (http://www.truthorfiction.com)
• Symantec Security Response Hoaxes
(http://www.symantec.com/avcenter/hoax.html)
• McAfee Security Virus Hoaxes
(http://vil.mcafee.com/hoax.asp)

Fakes
• Utilização de identidades falsas em
redes sociais e softwares de
comunicação instantânea
• Identidades de famosos ou
conhecidos
• Utilizado para acessar serviços sem se
identificar ou se fazer passar por
outros


Sniffing
• Programa espião que monitora os
dados transmitidos através de uma
rede
• Permite acesso a arquivos, senhas ou
conversações em tempo real


Ataques DoS
• Sobrecarga de servidor de rede ou
web com falsas requisições
• Servidor sobrecarregado não
consegue atender as solicitações
• Costuma usar bots
• Serviço atacado fica indisponível
• De 2% a 3% do tráfego de grandes
backbones é ruído de DoS

Ciberterrorismo
• Exploração das vulnerabilidades das redes
por terroristas, serviços de inteligência
estrangeiros ou outros grupos para criar
perturbações e prejuízos
• Acredita-se que vários países tenham ações
de ataque e defesa em desenvolvimento
para uma ciberguerra
• Preocupação de vários governos


Funcionários
• Tipos
– Ocorrências intencionais de funcionários
– Ocorrências intencionais de ex-
funcionários
– Engenharia social
– Falhas na operação de sistemas


Falhas de software
• Softwares comerciais apresentam falhas
frequentes
– Falhas descobertas são divulgadas e
aproveitadas por indivíduos mal intencionados
– Patchs são lançados para resolver tais falhas
• Softwares online podem apresentar falhas
através da manipulação de URL
– Não proteção de arquivos em servidores online
– Acesso a funcionalidades por usuários não
credenciados


Falhas Físicas
• Danos a equipamentos
• Invasão física
• Quedas e falta de energia
• Acidentes naturais


COMO SE PROTEGER?
Política de segurança, Plano de contingência, Controle de acesso,
Senhas, Suítes anti-malwares, Segurança em E-mails, Segurança na
navegação na Internet, Privacidade, Segurança em Comunicação
Instantânea, Segurança no Compartilhamento de Arquivos,
Segurança de redes sem fio, Criptografia, Mudanças de Padrões,
Denúncias, Segurança em software, Ações contra Danos Físicos,
Backups, Outras ações


Política de Segurança
• Normaliza, padroniza e estabelece critérios
mínimos para garantir a integridade,
confidencialidade e disponibilidade da informação
no ambiente computacional
• Requer apoio da alta gestão e todos os
funcionários
• É específica a cada organização
• Define regras de infraestrutura, utilização dos
equipamentos, redes, e-mails corporativos, acesso
à internet, senhas, etc


Plano de Contingência
• Define ações a serem tomadas na
ocorrência de grandes problemas
• Inclui ações para restauração dos
serviços de computação e
comunicação à normalidade


Controle de Acesso
• Conjunto de políticas e procedimentos
utilizados pela empresa para evitar acesso
indevido a informações
• Permissão
– Definição das restrições de acesso
• Autenticação
– Identificação da identidade de um usuário
– Senhas, cartões, tokens, biometria, etc.


Controle de Acesso
• O usuário root (administrador) só deve ser
utilizado quando necessário
• A estação deve ser bloqueada (ou logoff
realizado) no afastamento dos funcionários


Senhas
• Senhas longas
• Senhas com caracteres especiais
(!@#$%&*?<>)
• Caracteres repetidos, sequências do
teclado, palavras de quaisquer dicionários e
dados pessoais devem ser evitados
• A senha deve ser alterada periodicamente
(de 02 a 03 meses), com utilização de
senhas diferentes das anteriores


Senhas
• O uso da mesma senha em diversos
sistemas deve ser evitado
• Senhas não devem ser enviadas por
telefone, e-mail ou software de
comunicação instantânea
• Senhas não devem ser anotadas, exceto se
houverdificuldade para decorar (nesse caso,
a anotação deve ser mantida em local
seguro)


O que você acha dessas
senhas?
• senha • GAFANHOTO
• admsenha • asdfg
• A3Dkiu0! • 1qaz2wsx
• felipe • 1234567890
• pereira • 87654321
• 01081980 • AcDaz90!
• Lionfish • amanda


Suítes Anti-malwares
• Pacotes com soluções antivírus, anti-
SPAM e anti-spywares
• Verifica os sistemas em busca de
arquivos e processos possivelmente
infectados
• Devem ser atualizados diariamente


Segurança em E-mails
• Desativação recomendada
– Abertura e execução automática de anexos
– Execução de JavaScript e Java
– Modo de visualização de e-mails HTML
• Atenção a anexos suspeitos ou de
remetentes desconhecidos
• Atenção ao clicar em links em e-mails
suspeitos (digitar o endereço diretamente
no browser é preferível)


Segurança em E-mails
• SPAMs não devem ser respondidos (nem
solicitação de descadastramento)
• A divulgação de e-mails na Internet deve ser
feita com precaução


Segurança na Navegação na
Internet
• Atenção à execução de programas Java,
Activex e JavaScripts
• Popups devem ser bloqueados
• Procedência do site e uso de conexões
seguras ao realizas transações devem ser
conferidos
– Cadeado
– Validade e propriedade do certificado
• Websites de entretenimento de natureza
desconhecida são perigosos (ex: pornografia
e jogos)

Privacidade
• Atenção com os cookies
• Atenção com o bluetooth
• Informações não devem ser
desnecessariamente divulgadas online
(inclusive comunidades)


Segurança na Comunicação
Instantânea
• Convites de desconhecidos não
devem ser aceitados
• Atenção para a engenharia social
• Atenção para o recebimento de
arquivos


Segurança no
Compartilhamento de Arquivos
• Atenção à configuração de softwares
de compartilhamento de arquivos
(Kazaa, BitTorrent, Emule, etc.)
• Compartilhamentos de pastas devem
ser feitos com o uso de senhas


Segurança de Redes sem Fio
• Alteração do SSID e senhas default
dos equipamentos
• Utilização de protocolos de
autenticação robustos (ex: WPA,
criptografia AES)
• Criação de redes virtuais (VLANs) para
visitantes


Criptografia
• Transformação de dados comuns em
dados cifrados para que sejam
conhecidos apenas pelo remetente e
destinatário
– Criptografia de dados armazenados
– Criptografia de dados trafegados
– Assinatura digital
– Certificado digital


Criptografia de Chave Única
• Uma única chave para codificar e
decodificar
– João codifica uma mensagem com uma chave X
– Maria recebe e decodifica com a mesma chave
X
• Maior desempenho
• Preocupação com o compartilhamento da
chave
• Mínimo de 128 bits (256 ou 512
dependendo dos fins)

Criptografia de chave pública
e privada
• Uma chave codifica e outra decodifica
• Uma chave é pública outra é privada
• Menor desempenho
• Chave pública pode ser livremente
distribuída
• Mínimo de 1024 bits (4096 ou 8192
dependendo dos fins)


Criptografia de chave pública
e privada
• Codificação (sigilo)
– João codifica uma mensagem com a chave
pública de Maria
– Maria decodifica com sua chave privada
• Assinatura digital (autoria)
– João codifica uma mensagem com a sua chave
privada
– Maria decodifica a mensagem com a chave
pública de João
• Pode-se assinar e codificar para garantir a
autoria e sigilo

Certificado Digital
• Arquivo eletrônico com dados de uma
pessoa (física ou jurídica)
• Armazenado no PC, token ou smart card
• Autoridade Certificadora = “cartório
eletrônico”


Firewalls
• Sistemas que protegem redes privadas de
acessos não autorizados
• Controle do fluxo de entrada e saída da
rede
• Baseado em filtros de pacotes, regras e
controles por endereço MAC, IP, etc.
• Hardware e/ou software
• Geração de logs
• Firewalls pessoais


Mudanças de Padrões
• Alteração de portas
• Alteração de usuários e senhas de
aplicações, redes, etc.
• Válido para softwares e hardwares


Denúncias
• SPAMs: rede do remetente e mail-
abuse@cert.br)
• Scams e phishing: rede do remetente e
cert@cert.br
• Invasões, tentativas, ataques DoS e outros
incidentes: rede originária do incidente e
cert@cert.br


Segurança em Software
• Aquisição
– Evitar pirataria
– Atualização constante dos patches
– Seleção de bons fornecedores
• Desenvolvimento
– Atualização das ferramentas e tecnologias de
desenvolvimento
– Qualificação da equipe
– Atenção a boas práticas de engenharia de
software


Backups
• Frequência depende da periodicidade
de atualização dos dados, do risco e
valor da perda
• Mídia a ser utilizada dever ser
analisada
• Atenção ao local de armazenamento


Ações contra Danos Físicos
• Espelhamento de discos
• Realização de backups
• No-breaks
• Segurança física dos ambientes
(computadores e demais dispositivos)


Outras Ações
• Treinamento com usuários
• O uso de computadores desconhecidos
deve ser moderado (dispositivos de
armazenamento móvel e dados
confidenciais)
• Configurações de segurança devem ser
feitas bloqueando tudo e liberando apenas
o necessário
• Tráfego de rede deve ser monitorado


Cartilha CERT
• http://cartilha.cert.br


Lembre-se
• A força de uma corrente é definida pelo seu
elo mais fraco!


Obrigado!

Felipe Augusto Pereira
felipe@unu.com.br
www.unu.com.br


Segurança da Informação

Recomendados

Recomendados

Más contenido relacionado

La actualidad más candente

La actualidad más candente (20)

Destacado

Destacado (8)

Similar a Segurança da Informação

Similar a Segurança da Informação (20)

Más de Felipe Pereira

Más de Felipe Pereira (20)

Segurança da Informação