INFORMÁTICA: SEGURANÇA DA INFORMAÇÃO
Tudo se baseia na confiança! O objetivo principal da Segurança da Informação é a
confiança que o sistema vai inspirar nos seus usuários! Então se destaca a importância
relacionada à CONFIABILIDADE dos Sistemas de Informação: ela descreve a condição em
que um sistema de informações presta seus serviços com níveis de eficiência e eficácia
aceitáveis. Ou seja, um sistema de informações (um site, por exemplo) irá “desempenhar o
papel que foi proposto para si”.
Mas para que haja confiabilidade no Sistema é indispensável que o mesmo respeite
os princípios da segurança da Informação, são eles:
o DISPONIBILIDADE: é a garantia de que um sistema estará sempre disponível
quando necessário.
o INTEGRIDADE: é a garantia de que uma informação não foi alterada durante seu
trajeto do emissor para o receptor ou durante o seu armazenamento.
o CONFIDENCIALIDADE: é a garantia de que os dados só serão acessados por
pessoas autorizadas, normalmente detentoras de login e senha que lhes
concedem esses direitos de acesso.
o AUTENTICIDADE: é a garantia da identidade de uma pessoa (física ou jurídica)
ou de um servidor (computador) com quem se estabelece uma transação (de
comunicação, como um e-mail, ou comercial, como uma venda on-line).
o NÃO-REPÚDIO (Irretratabilidade): é a garantia de que um agente não consiga
negar (falsamente) um ato ou documento de sua autoria. Essa garantia é
condição necessária para a validade jurídica de documentos e transações
digitais.
o PRIVACIDADE: é a condição em que um componente do sistema (usuário) tenha
de controlar quem vê as informações sobre si e sob quais circunstâncias. Só se
consegue a privacidade se o sistema promove a confidencialidade e
autenticidade, ou seja, se há mecanismos para saber quem é quem
(autenticidade) e mecanismos para proibir que alguns “quem” tenham acesso às
informações de outros “quem” (confidencialidade).
AMEAÇAS AOS SISTEMAS DE INFORMAÇÕES
São componentes que podem prejudicar, de forma temporária ou permanente, o
funcionamento de um sistema de informação. As políticas e agentes de segurança têm
como principal objetivo evitar que tais componentes tenham sucesso.
o
o
o
DEFEITOS DE HARDWARE: infelizmente, não há como prever tais falhas. O que
se pode fazer para evitar que tais problemas sejam muito prejudiciais aos dados
do sistema é a realização periódica de cópias de segurança (backups). Note
bem: backups não evitam as falhas! Backups apenas garantem que poderemos
recuperar os dados em caso de algum sinistro com nossas máquinas.
HACKERS: usuários experientes (conhecedores a fundo) em sistemas de
informática. Os indivíduos denominados hackers não são necessariamente
ameaças, pois existem os “hackers do bem”. Apenas são conhecidos pelos seus
conhecimentos avançados em informática e, especialmente, redes de
comunicação. Alguns poucos indivíduos dessa categoria são capazes de
peripécias antológicas, como a invasão de sistemas de segurança da NASA e do
Pentágono; portanto, teoricamente, nada os pararia, mas a maioria dos que se
intitulam hackers não consegue ultrapassar um firewall bem configurado e um
sistema atualizado.
CRACKERS: usuários experientes que quebram sistemas de segurança (como
acesso) ou quebram sistemas de proteção a softwares (senhas e números de
série dos programas). São, em poucas palavras, necessariamente hackers do
mal!
Página 1
INFORMÁTICA: SEGURANÇA DA INFORMAÇÃO
o
o
o
o
o
o
PROGRAMAS DESATUALIZADOS: os sistemas operacionais e aplicativos
apresentam falhas diversas que, com o tempo, “caem na boca do povo”. Quando
uma falha é descoberta, os hackers (e os quase-hackers) de plantão saem à
procura de sistemas que ainda não foram atualizados e que, por isso, ainda
possuem tais falhas. Manter o Windows atualizado, bem como qualquer outro
programa de comunicação com a Internet, é exigência para se ter um sistema
menos suscetível a essas falhas.
SPAM: envio de mensagens de e-mail em grande número (sem autorização dos
destinatários).
USUÁRIOS DESCONTENTES/LEIGOS: podem causar problemas com/sem
intenção (respectivamente)
FRAUDES/GOLPES: técnicas que se utilizam da ingenuidade ou do emocional
dos usuários para permitir a obtenção de dados privados de suas vítimas ou para
convencê-los a realizarem operações que colocarão em risco a segurança do seu
sistema.
MALWARE: são programas criados com o intuito de prejudicar usuários e
sistemas de informação. Existem vários tipos de malware, que serão
apresentados na seqüência.
ATAQUES: são atos deliberados de usuários a fim de invadir, destruir ou
simplesmente espionar sistemas de informação.
MALWARE – PROGRAMAS MALICIOSOS
o
o
o
o
o
VÍRUS: um vírus de computador é um programa (ou parte de um programa) de
computador, normalmente com intenções prejudiciais, que insere cópias de si
mesmo em outros programas e/ou arquivos de um computador, se tornando
parte destes.
MAS LEMBRE-SE: o fato de apenas copiar um arquivo com vírus para o
computador não fará acontecer nada, pois um vírus somente poderá replicar-se e
destruir se o arquivo for executado!
Os vírus precisam de hospedeiros.
WORMS: (um verme) é um programa capaz de se propagar automaticamente
através de várias estruturas de redes (como e-mail, web, bate-papo,
compartilhamento de arquivos em redes locais, etc.), enviando cópias de si
mesmo de computador para computador.
Os worms não são vírus, eles não precisam de hospedeiros. Um worm não
precisa ser executado para se propagar, ele só é executado uma vez: lá no
computador que iniciou a viagem.
CAVALOS DE TRÓIA (Trojan Horses): São programas, normalmente recebidos
de forma aparentemente inofensiva, como por exemplo, uma foto, um jogo, um
cartão de aniversário virtual, etc., que além de executar funções de fachada para
as quais foi aparentemente projetado, também executa outras operações sem o
conhecimento do usuário. “Lobo em pele de cordeiro!” isso é a definição de
trojan. O Cavalo de Tróia precisa ser executado pelo usuário.
Cavalos de tróia não são vírus nem worms! Os Trojans não infectam outros
arquivos. Eles não criam cópias deles mesmos autonomamente.
KEYLOGGERS E SCREENLOGGERS: Um Keylogger (algo como registrador de
teclas) é um programa que armazena todas as informações que um usuário
digitou em um micro infectado por esse tipo de programa. Um keylogger é um
“presente” muito comum em spywares. Por isto bancos solicitam senhas clicadas
com o mouse. Porém a galera do mal também evoluiu! Os “descendentes” dos
keyloggers são os screenloggers, ou “registradores de tela”, que armazenam
dados quando o usuário clica com o mouse. Mas nos teclados virtuais dos
Página 2
INFORMÁTICA: SEGURANÇA DA INFORMAÇÃO
o
o
o
o
o
o
bancos aparecem os asteriscos, não conseguindo capturar senhas, mas somente
o asterisco.
SPYWARE: é um termo que descreve uma grande gama de programas que
monitoram os hábitos de acesso e navegação dos usuários. Um Spyware não é
necessariamente um programa implantado “ilegalmente”. Algumas empresas
usam spywares nos micros dos seus funcionários (isso deve estar previsto,
óbvio, nos termos assinados pelos dois no momento do contrato) para saber
exatamente o que os funcionários andam fazendo nos micros da empresa.
Normalmente quando instalados de forma ilegítima, um spyware está associado
a uma série de ações que podem ser realizadas em um micro sem a autorização
do usuário, como: o monitoramente e armazenamento dos URLs de keyloggers e
screeloggers naquela máquina para a captura de tudo o que o usuário digita ou
clica; monitoramento e captura de informações inseridas em outros programas
(não só no navegador), como programas de texto e planilhas, entre outros.
ADWARE: São programas que fazem anúncios de propaganda em seu
computador.
BACKDOOR (“Porta dos Fundos”): Um programa que, colocado no micro da
vítima, permite que o invasor que o colocou possa facilmente “voltar” àquele
computador em um momento seguinte. Permite que o invasor possa se
comunicar com o computador a fim de controlá-lo à distância ou mesmo ler o
conteúdo do seu disco.
EXPLOITS: Programas que exploram falhas em sistemas de informação. São
programas prontos que os hackers constroem para os que “estão na escolinha de
Hacker”. Esses programas são criados para utilizar as falhas previamente
descobertas nos sistemas.
SNIFFERS (capturadores de quadros): São programas que capturam quadros
nas comunicações em uma rede local, armazenando tais quadros para que
possam ser analisados posteriormente por quem instalou o sniffer.
PORT SCANNERS: Programas usados para varrer um computador para saber
quais serviços estão habilitados naquele micro que se deseja invadir. Ao ato de
varredura, em si, chamado de Port Scan.
FRAUDES E GOLPES NA INTERNET
o
o
o
PHISHING ( ou Phishing Scam): é um golpe muito utilizado para ober dados de
usuários desavisados ou fazê-los abrir arquivos com programas maliciosos.
Consistem em enviar aos usuários (normalmente por meio de –mail – em algum
Spam) uma mensagem ilegítima que aparenta pertencer a uma instituição
conhecida, como um banco, ou um órgão do governo.
PHARMING: Uma técnica de golpe bem mais elaborada que o Phishing, mas
com objetivo semelhante a esse. No Pharming, o objetivo final é a obtenção de
dados de usuários, assim como no Phishing. O modus perandi de alguém que
prepara um golpe de Pharming é diferente nesse golpe, o atacante altera
(adultera) as configurações de um servidor DNS, fazendo com que um domínio
qualquer (como www.bb.com.br) aponte para um endereço IP de um servidor
ilegítimo, mas com um site visualmente idêntico ao do Banco do Brasil. Então é
necessário prestar atenção aos certificados de segurança dos sites verdadeiros e
conferi-los sempre quando acessar aqueles sites.
Essa técnica é também conhecida como DNS Poisoning (algo como
“envenenamento do DNS).
ENGENHARIA SOCIAL: é uma técnica na qual o golpista usa da persuasão,
muitas vezes abusando da ingenuidade ou confiança do usuário, para obter
informações que podem ser utilizadas em benefício próprio, normalmente para
ter acesso não-autorizado a computadores ou informações.
Página 3
INFORMÁTICA: SEGURANÇA DA INFORMAÇÃO
ATAQUES E TÉCNICAS CONTRA SISTEMAS DE INFORMAÇÃO
o
o
o
o
o
o
o
ATAQUES DoS (DENIAL of SERVICE): Não é um ataque apenas, mas uma
classificação de um gênero de ataques. Um ataque pertencente a esse grupo
tem como característica principal o objetivo de fazer o computador-alvo parar de
responder aos verdadeiros clientes que o solicitam.
BUFFER OVERFLOW (sobrecarga de Buffer): Este tipo de ataque se enquadra
na classificação de DoS. Seu objetivo, portanto, é fazer um computador-alvo
travar e não responder os clientes legítimos.
PING DA MORTE (Pingo of death): Um tipo de ataque que já foi muito comum.
Esse ataque está enquadrado na classificação de Buffer Overflow, ou seja, ele se
baseia na exploração de falhas no recebimento de dados por parte de alguns
servidores no que concerne ao protocolo ICMP.
SYN FLOODING: É uma técnica de ataque muito interessante que faz uso de
mecanismo de conexão TCP para fazer um servidor parar de responder.
Também é um ataque de DoS.
SPOOFING: Não é um ataque em si, mas uma técnica usada em conjunto com
qualquer ataque a ser realizado. O Spoofing consiste em esconder o endereço
real do atacante por meio de alteração no cabeçalho do pacote IP (IP spoofing)
preenchendo-o com endereços IP falsos ou por meio de alteração do cabeçalho
do quadro da rede (MAC spoofing) para que não se possa saber o endereço
MAC do atacante.
ATAQUE SMURF: Um ataque muito bem elaborado que visa tornar um micro
incapaz de responder por causa de uma sobrecarga momentânea de dados (é
um ataque DoS, portanto).
MAN-IN-THE-MIDDLE ( Homem no Meio): Técnica de espionagem e adulteração
de mensagens muito bem elaborada e, se executada, muito difícil de se detectar.
AGENTES DE SEGURANÇA
ANTIVÍRUS:
Programa residente na memória (fica sempre na memória RAM) que protege o
sistema contra infecções de vírus de computador (vírus “informático” é um nome atualmente
usado) e outros malware. Antivírus não são sistemas efetivos contra tentativas de invasão,
apenas contra malware.
FIREWALL:
Programa que cria uma “barreira” de proteção contra invasores (na verdade, contra,
especificamente, as tentativas de comunicação com o computador protegido). Um firewall
pode bloquear as comunicações por diversos critérios, previamente estabelecidos.
o FILTRO DE PACOTES: São firewall mais simples (nossos programas firewall pessoais
são assim) que normalmente atuam apenas na camada 3 (camada de rede), analisando
e filtrando pacotes do protocolo IP de acordo com informações específicas contidas em
seus cabeçalhos.
o FIREWALL DE ESTADO: Os Firewall de Estado (statefull firewall) são bem mais
elaborados que os filtros de pacote porque trabalham na camada de transporte
(analisando o tráfego TCP) e são capazes de detectar falhas não somente no nível dos
pacotes (camada de redes), mas no nível das conexões TCP.
o FIREWALL DE APLICAÇÃO: São filtros muito mais eficazes que os anteriores porque
trabalham na camada de aplicação, analisando regras mais complexas. O único
problema desse tipo de firewall é que, por ser muito complexo e cheio de recursos, ele
normalmente se apresenta como um programa bastante pesado, exigindo, na maioria
Página 4
INFORMÁTICA: SEGURANÇA DA INFORMAÇÃO
dos casos, um computador com capacidade muito grande para instalá-lo e usá-lo com
eficiência aceitável.
IDS:
Sistema Detector de Intrusos (IDS) é um conjunto de tecnologias (programas,
hardware) que objetiva descobrir, em uma rede, os acessos não-autorizados a ela que
podem indicar a ação de invasores.
ANTI-SPAM:
Programas que podem classificar as mensagens de e-mail recebidas como sendo
aceitáveis ou como sendo spam (indesejadas).
DMZ – ZONA DESMILITARIZADA
Consiste em uma rede auxiliar semiprotegida, separada da rede interna da empresa,
onde são hospedados os servidores daquela empresa que precisam ter acesso direto à
Internet (como os servidores de páginas, de e-mail e proxies).
BASTIONS HOST
Um computador “superprotetor” instalado na porta de uma rede para protegê-la de
todas as possíveis ameaças.
CRIPTOGRAFIA:
Processo matemático para embaralhar uma mensagem digital, tornando sua leitura
incompreensível por pessoas que não possuam a chave (código) para desembaralhar a
mensagem. A criptografia pode ser usada, atualmente, para manter os dados sigilosos
(privacidade) e para garantir a identidade do remetente de uma mensagem (autenticidade).
A criptografia pode ser simétrica e assimétrica. Criptografia Simétrica é a
criptografia de chave única (criptografia de chave secreta); ela utiliza uma única chave para
encriptar e decriptar os dados. Criptografia Assimétrica é a criptografia de chave pública,
pois a chave que encripta mensagens será distribuída livremente; mas por sua vez a chave
que decripta mensagens (chamada chave de decodificação criptográfica, ou chave de
decriptação) será armazenada secretamente com seu titular (dono); essa é a chave privada
ou chave secreta.
Em suma: todos os usuários terão de possuir um par de chaves: uma que deverá ser
mantida em segredo com cada um deles (a privada, para decifrar mensagens) e uma que
deverá ser publicada, ou, pelo menos, enviada a todos aqueles de quem o usuário deseja
receber mensagens sigilosas (a pública, para cifrar mensagens).
ASSINATURA DIGITAL
É um conjunto de dados colocados junto à mensagem mediante um cálculo
matemático feito com a chave privada do remetente em relação àquela mensagem.
O QUE SE OBTÉM COM A ASSINATURA DIGITAL?
1) Autenticidade: garante que foi realmente aquele usuário que enviou a mensagem.
2) Integridade: garante que a mensagem não foi alterada no meio do caminho.
3) Não repúdio: o usuário não poderá dizer que não foi ele quem escreveu aquela
mensagem.
Com a assinatura digital não se consegue a confidencialidade porque não há
criptografia dos dados, que seguem “abertos” pelo e-mail para qualquer um ver.
CERTIFICAÇÃO DIGITAL
Página 5
INFORMÁTICA: SEGURANÇA DA INFORMAÇÃO
É um processo que garante, de forma única, a identidade de uma pessoa(usuário de
e-mail por exemplo), ou de um computador(quando acessamos banco). A certificação digital
é garantida por um terceiro de confiança: uma instituição conhecida, normalmente, como
AC(Autoridade Certificadora – CA, em inglês). A Certificação Digital se baseia na existência
de documentos chamados Certificados Digitais para cada indivíduo a ser autenticado
(pessoa ou micro).
Verisign – um autoridade certificadora bastante conhecida, talvez o mais confiável
cartório digital, outras são: Caixa Econômica Federal, Receita Federal, Serasa, Serpro,
Certisign.
AR – Autoridade de Registro: ela que recebe os pedidos de emissão, revogação e
renovação de certificados, analisa, mas a AC responsável que o faz.
Quando uma transação eletrônica é feita com um certificado, tem-se a integridade da
realização da transação, a identidade do usuário(autenticidade) e isso com o aval de uma
instituição confiável (a Autoridade Certificadora). Por essa razão tem-se a garantia do não
repúdio (non-repudiation). Ou seja, o autor da transação não pode dizer que não foi ele
quem a realizou ou que ela não foi realizada.
Dados contidos na certificação digital: (1) nome completo do titular; (2) endereço de
e-mail do titular do certificado; (3) a chave pública do titular; (4) o nome da Autoridade
Certificadora; (5) assinatura da autoridade certificadora; (6) algumas informações
adicionais(CPF, Identidade, Titulo de Eleitor, PIS/PASEP, etc.).
POLÍTICA DE SEGURANÇA
É o conjunto de leis, regras e práticas que regulam como uma organização; gerencia,
protege e distribui suas informações e recursos.
Deve definir o que é ou não permitido em termos de segurança, durante a operação
de um sistema.
BACKUPS
O backup é uma ferramenta que permite a cópia de mais de um diretório ou todo o
conteúdo do computador para unidades externas de armazenamento. Como um disco rígido
possui maior capacidade de armazenamento do que um disquete, a ferramenta Backup
permite a divisão das informações em mais disquetes, em ordem seqüencial que a mesma
ferramenta Backup é capaz de copiar de volta para o disco rígido.
Backups não são feitos para guardar cópias dos programas que instalamos no HD!
A realização de Backups é feita para assegurar que arquivos importantes estejam
salvos, caso haja algum tipo de problema com o micro (infecção de vírus, ataques de
hackers, falhas no sistema, etc.) Os dispositivos para a realização de Backups são:
Fitas Dat (fitas magnéticas) => backup realizado nas empresas.
Gravadoras +CD-R, RW etc.
Zip Drive + discos zip.
Unidades de DVD.
Drive de disquetes + disquetes (com a restrição de pouco espaço para armazenamento).
TIPOS DE BACKUP
1) BACKUP NORMAL (OU GLOBAL): Quando o usuário seleciona uma pasta (ou várias
pastas) e aciona o Backup Normal, todos os arquivos selecionados (ou seja, contidos nas
pastas selecionadas) serão copiados para a fita.
2) BACKUP INCREMENTAL: Este tipo de backup complementa o Backup Normal. Quando
selecionamos algumas pastas para fazer backup e escolhemos, no programa de backup, a
realização de um incremental, nem todos os arquivos selecionados serão copiados. Apenas
Página 6
INFORMÁTICA: SEGURANÇA DA INFORMAÇÃO
serão copiados aqueles arquivos criados ou alterados desde o penúltimo backup (ou seja,
os arquivos que “precisam ser copiados”). Isso, claro, se refere aos arquivos que não têm a
marcação, ou, em se tratando de Windows, aqueles arquivos que têm o atributo de
arquivamento marcado.
3) BACKUP DIFERENCIAL: É semelhante ao Incremental no que se refere a “quem será
copiado”. Ou seja, esse backup também copia apenas os arquivos que precisam ser
copiados (aqueles que foram criados ou alterados desde o último backup). Mas o diferencial
simplesmente copia e não faz nenhum tipo de indicação que os copiou.
4) BACKUP DIÁRIO: São copiados para a fita apenas os arquivos que foram criados ou
alterados numa data específica (normalmente naquela data em que o backup está sendo
realizado). Ou seja, no momento da realização do backup, o programa pergunta ao usuário
qual a data em que ele quer que o backup seja feito.
EXERCÍCIOS PARA FIXAÇÃO DO CONTEÚDO
1)
2)
3)
4)
5)
O que é um Malware?
Quais os tipos de Malware? Descreva sucintamente cada um deles.
Como proteger os computadores dos programas maliciosos?
Qual a aplicação de um Firewall?
Defina criptografia e explique qual a sua importância em se tratando de segurança
dos Sistemas de Informação.
6) Descreva sucintamente cada um dos princípios de segurança da informação.
7) Quais os princípios de segurança da informação que se aplicam na Assinatura
Digital?
8) O que é uma Certificação Digital? Qual a sua importância quando se trata de
compras pela Internet?
9) Por que o Backup é importante?
10) Cite quatro tipos de Backup e descreva suscintamente cada um deles.
11) O que é um Spam? Como proteger-se em relação a eles?
Página 7