Segurança Das Informações

INFORMÁTICA

Segurança das Informações

São os pilares nos quais se apóia a Segurança

dos sistemas de informação;

Os princípios da segurança são, simplesmente,

os pré-requisitos para que se considere um

sistema de informações seguro;

Formam a sigla CIDA (ou DICA, se preferir);

Princípios da Segurança...

Confidencialidade: é a garantia de que uma

informação não será acessada por pessoas não

autorizadas (ser confidencial, ser sigiloso);

Recursos que “encobrem” ou “escondem” a

informação (como a criptografia) e que limitam

acesso dos usuários (como senhas) objetivam a

confidencialidade.


Integridade: é a garantia de que uma

informação não será alterada sem autorização –

durante seu trajeto ou seu armazenamento, por

exemplo (manter-se íntegro);

Recursos que permitem que se saiba se a

informação foi, ou não, alterada, como o Hash,

são necessários para que se ofereça essa

garantia.


Disponibilidade: é a garantia de que um

sistema de informações estará sempre

disponível aos usuários quando requisitado (ser

disponível, estar lá sempre);

Recursos como geradores de energia,

computadores “reserva” e, claro, Backups das

informações, são importantes para esse objetivo.


Autenticidade: é a garantia de conhecer a

identidade de um usuário ou sistema de

informações com quem se vai estabelecer

comunicação (ser autêntico, ser quem diz ser);

Recursos como senhas (que, supostamente, só

o usuário sabe), biometria, assinatura digital e

certificação digital são usados para esse fim.


Confiabilidade: o “objetivo-mor” da Segurança é

esse! Garantir que um sistema vai se comportar

(vai prestar seu serviço) segundo o esperado e

projetado. (ser confiável, “fazer seu papel”);

Para atingir a “perfeição”, esse princípio deve ser

alcançado e, para ele, é necessário que se

respeitem todos os demais.


Privacidade: um princípio “secundário”,

determina que um usuário terá condições de

decidir quais informações estarão “disponíveis” e

quem terá o direito de acessá-las (ser privado,

ser publicado sob minha decisão);

Confidencialidade e a autenticidade são

princípios importantes para a Privacidade.


Não Repúdio (Irretratabilidade): é a garantia

de que o autor de uma informação (como um e-

mail) não poderá negar falsamente a autoria de

tal informação (não ser possível retratar-se);

Autenticidade e Integridade juntas garantem o

Não-Repúdio;

Condição necessária à validade jurídica das

informações digitais.


• Ameaças são todas as condições

(possibilidades) de dano aos sistemas de

informação, maculando as garantias

associadas aos princípios vistos.

• žAs ameaças podem ser convertidas em

sinistros (o dano em si, o “acidente”) por meio

de ataques (atos intencionais) ou falhas de

vários tipos.

Ameaças aos Sistemas...

Falhas de Hardware: são impossíveis de prever

e normalmente, impossíveis de consertar!

žOs Backups constantes e regulares são

importantes para que a perda de informações

causada pela falha em si não seja considerável;

žBackup não evita a falha! Mas permite recuperar

os dados perdidos.


Vulnerabilidades dos Programas: falhas de

desenvolvimento dos softwares usados no

cotidiano permitem que os conhecedores de tais

defeitos possam explorá-los para prejudicar o

sistema, invadi-lo à procura de dados ou

simplesmente torná-lo instável.

žAtualizar os programas com os patches

disponibilizados pelo fabricante minimiza os

riscos destas “brechas”.


Ataques: atos deliberados de usuários mal-

intencionados para prejudicar um sistema de

informações ou obter dados.

žHá vários tipos de ataques, que são

classificados por seus objetivos (o que fazer com

o alvo) ou por sua forma de execução (como

realizar o ataque).


Malware: É a designação genérica dos

programas desenvolvidos com a intenção de

causar danos a computadores ou usuários.

Backdoor: Brechas intencionais, não

documentadas, em programas legítimos, que

permitem o acesso ao sistema por parte de seus

criadores ou mantenedores.


Hackers: usuários avançados, que possuem um

exímio conhecimento em informática.

Crackers: usuários que quebram sistemas de

segurança de acesso a servidores. Os crackers

também burlam os sistemas anticópia e

antipirataria de alguns programas (criam

“cracks”).


SPAM: envio em massa de mensagens de e-

mail não autorizadas pelos destinatários.

žScam(Golpe): uma série de técnicas para

enganar os usuários de sistemas de informação

no intuito de enviar-lhe um programa maléfico ou

simplesmente obter seus dados.


Malwares...

Um programa (ou parte de um programa)

que: žNecessita de um hospedeiro para existir

(um vírus se “anexa” ao conteúdo de um arquivo

para viver);

žConsegue se replicar (copiar) sozinho para

outros arquivos (hospedeiros);

Vírus de Computador...

Vírus de Boot: afetam o setor de boot do HD

para serem carregados sempre que o Sistema

Operacional for carregado.

žVírus de Macro: afetam os programas da

Microsoft que são baseados em VBA (Visual

Basic for Applications), como os documentos do

Microsoft Office (.DOC, .XLS)

Tipos de Vírus...

Vírus de Executável: afetam os arquivos

executáveis, como os que têm extensão .EXE ou

.COM

žVírus Stealth: escondem-se do Antivírus (por

exemplo, como BAD BLOCKS – falhas no

Disco).

žVírus Polimórficos: mudam de “assinatura” a

cada infecção para dificultar a sua detecção.

Tipos de Vírus...

Um programa que apresenta-se como algo

inofensivo (um jogo, um cartão de Natal etc.) e

que, na verdade, esconde objetivos maliciosos,

como apagar dados, roubar informações e, mais

comumente, abrir portas de comunicação para

que se possa invadir o computador que o

executou.

Cavalo de Tróia (Trojan Horse)...

Um programa que é instalado na máquina do

atacante e serve para capturar os quadros da

rede que chegam àquela máquina, mesmo os

que não estão oficialmente direcionados a ela;

A placa de rede passa a operar em “modo

promíscuo”, não rejeitando nenhum quadro que

chegou.

Sniffer...

Um programa que monitora e registra os

“hábitos” de navegação e acesso à Internet do

micro infectado.

žUm spyware pode conter keyloggers

(capturadores de teclado) e screenloggers

(capturadores de tela) para “copiar” o que o

usuário está fazendo no computador.

Spyware...

Um programa que fica “fazendo anúncios de

propaganda” no micro infectado.

žPode ser um programa lícito, acompanhando

outros programas como o MSN Messenger e o

Emule.

žFica “abrindo páginas” ou mostrando imagens e

links de cassinos, lojas etc.

Adware...

Um programa que vasculha um computador alvo

à procura de portas (serviços) abertas para que,

através delas, se possa perpetrar uma invasão

àquele micro.

žUm port scanner, na verdade, envia sucessivos

pacotes a várias portas diferentes, esperando

receber um pacote de resposta por uma delas.

Port Scanner...

Um programa construído para tirar vantagem de

alguma falha, ou vulnerabilidade, conhecida em

um sistema de informações.

žUm Exploit é construído por uma hacker (ou

cracker) para permitir que usuários menos

“conhecedores” possam invadir ou prejudicar o

funcionamento de computadores. É um

programa para “script kiddies” (amadores);

Exploit...

Um programa que apenas usa a estrutura das

redes para se copiar de micro em micro,

degradando a velocidade da comunicação nesta

estrutura;

Um WORM não precisa de hospedeiro, pois ele

próprio é o arquivo que se copia. O WORM não

precisa ser acionado pelo usuário, pois se utiliza

de falhas nos protocolos e serviços da rede para

se espalhar;

Worm...

DoS (Denial of Service): não é o nome de uma

técnica de ataque, mas de uma série delas.

žTodo ataque DoS tem como objetivo fazer o

computador vítima deixar de responder às

requisições verdadeiras, ou seja, atentar contra

a disponibilidade do sistema.

ž(Tirar o servidor da tomada é um exemplo de

ataque de DoS)

Técnicas e Ataques...

Phinshing: É um golpe para “pescar” (obter)

dados de usuários, como senhas de banco,

número de Cartões de Crédito, etc.

Pharming: É um golpe que consiste em alterar

os registros de Ips baseados em um servidor

DNS para que apontem para um determinado IP

que não é o real.


Engenharia Social (Hoax): É uma técnica que

consiste em enganar usuários usando técnicas

de persuasão eficazes (caô, 171, malandragem).

žAtravés deste recurso valioso, é possível ter

acesso a informações importantes para a rede,

como senhas de usuários, horários de realização

de operações específicas na rede...


Abaixo segue uma lista das mais cobradas em

concursos públicos:

•Antivírus;

•Firewall;

•DMZ;

•Backup;

•Criptografia;

•Assinatura Digital;

•Certificado Digital;

Ferramentas de Segurança.

São programas que protegem os sistemas de

informação contra vírus de computador.

žSão ferramentas preventivas e corretivas, que

detectam (e, em muitos casos, removem) vírus

de computador e outros programas maliciosos

(como spywares e cavalos de tróia).

Antivírus...

Programa que filtra o tráfego de entrada e saída

de dados em uma rede.

O firewall deve ser previamente configurado

para o que vai aceitar (deixar passar) e o que

vai bloquear.

Pode ser implementado tanto em software

quanto em hardware.

Firewall...

É uma rede intermediária, semiprotegida, que se

localiza entre a rede segura (a rede interna) e a

rede que não é segura (normalmente, a

internet).

A DMZ serve para hospedar aquelas máquinas

(servidores) que precisarão ser acessadas pela

Internet, sem expor as máquinas privadas da

rede.

DMZ...

DMZ...

É o ato deliberado de copiar os dados

importantes da empresa para outro local

(outrasmídias de armazenamento, como DVDs,

CDs ou Fitas).

žO objetivo é ter como recuperar tais dados em

caso de perda dos mesmos (falha de hardware,

apagamentos).

Backup...

Normal (Completo): Copia todos os arquivos

selecionados e depois disso, todos são

marcados como tendo passado por um backup,

ou seja, o atributo de arquivamento é

desmarcado.

De Cópia: Assim como no backup normal, todos

os arquivos selecionados serão copiados. A

diferença consiste no fato dos arquivos não serem

marcados como tendo passado pelo backup ao

término do processo.

Tipos de Backup...

Incremental: Copia somente os arquivos criados

e alterados desde o último backup normal ou

incremental e os marca como arquivos que

passaram por backup (o atributo de arquivo é

desmarcado).

Diferencial: Assim como o backup incremental,

copia somente os arquivos criados e alterados

desde o último backup normal ou incremental. No

entanto, não marca os arquivos como tendo

passado por backup, deixando-os intactos.

Tipos de Backup...

Diário: Copia os arquivos que foram criados ou

modificados no dia, independente de possuir ou

não a marca que sofreu backup.

Tipos de Backup...

É conjunto de técnicas matemáticas para

reescrever uma mensagem (ou arquivo) de

forma incompreensível por parte de pessoas

não autorizadas.

A criptografia deve ser possível de reverter para

os usuários que possuam o código específico

para esse fim (a chave criptográfica).

Criptografia...

Criptografia Simétrica (ou de Chave Secreta):

utiliza apenas uma chave criptográfica para o

processo de encriptar e para o processo de

decriptar (usa a mesma chave nos dois

processos!).

Se for usada em um processo de comunicação,

é necessário que a chave seja compartilhada

(todos os envolvidos devem conhecê-la).

Tipos de Criptografia...




Criptografia Assimétrica (ou de Chave

Pública): utiliza duas chaves diferentes, uma

somente para encriptar e a outra apenas para

decriptar.

A chave usada para encriptar é distribuída

(publicada) e a chave usada para decriptar é

mantida em segredo (pessoal e intransferível);


A chave pública (aquela que serve para

codificar, apenas) e a chave privada (a que só

decodifica) são criadas juntas, com base num

mesmo número escolhido aleatoriamente pelo

computador;

A chave de codificação poderá (e deverá) ser

distribuída para os demais usuários. A partir

dela, não é possível chegar à chave privada.





É recurso que permite associar, de forma

irrefutável, uma mensagem a um autor,

garantindo que se possa saber de onde a

mensagem é oriunda.

A assinatura digital também usa chaves

assimétricas (pública e privada), só que as

utiliza de forma diferente da criptografia.

Assinatura Digital...

É um recurso oferece níveis altos de

confiabilidade por meio da garantia prestada por

empresas de certificação.

Essas instituições, chamadas Autoridades de

Certificação (ou AC) são responsáveis por emitir,

revogar e renovar os certificados digitais dos

usuários do sistema.

Certificado Digital...

Documents

Segurança Das Informações