SAS
Riscos e Ameaças
Analise de Riscos


Análise de riscos é a análise das ameaças, impactos e
vulnerabilidades das informações e das instituições de
processamento das mesmas e da probabilidade de
sua ocorrência.
O gerenciamento de risco é o processo de
identificação, controle e minimização ou eliminação
dos riscos de segurança que podem afetar os sistemas
de informação a um custo aceitável (ISO/IEC
17799:2000).
Analise de Riscos


Muitas vezes o termo risco é utilizado como sinônimo de
ameaça ou da probabilidade de uma ameaça ocorrer.
Na verdade, risco é uma combinação de componentes,
tais como ameaças, vulnerabilidades e impactos em um
determinado ambiente, de forma a proporcionar
adoção de medidas apropriadas tanto às necessidades
de negócio da instituição ao proteger seus recursos de
informação, como aos usuários que precisam utilizar
esses recursos, levando em consideração justificativas
de custos, nível desproteção e facilidade de uso.
Analise de Riscos


A análise de risco é o ponto chave da política de segurança
englobando tanto a análise de ameaças e vulnerabilidades
quanto a análise de impactos, a qual identifica os
componentes críticos e o custo potencial aos usuários do
sistema.
Para tomar as devidas precauções, é preciso inicialmente
identificar as ameaças e os impactos, determinar a
probabilidade de uma ameaça se concretizar e entender os
riscos potenciais, classificando-os por nível de importância e
severidade da perda, e os custos envolvidos na sua
prevenção ou recuperação. Se combater uma ameaça for
mais caro do que seu dano potencial, talvez não seja
aconselhável tomar quaisquer medidas preventivas neste
sentido.
Analise de Riscos



Os riscos podem apenas ser reduzidos, já que é
impossível eliminar todos.
A quebra de segurança sempre poderá ocorrer.
Conhecer com antecedência as ameaças aos
recursos informacionais e seus impactos pode
resultar em medidas efetivas para reduzir as
ameaças, as vulnerabilidades e conseqüentemente
os impactos.
Riscos Externos

Relacionados a seguir estão alguns tipos de riscos
externos aos quais freqüentemente as organizações
estão sujeitas:
Vírus, Worms e Trojans
 Segundo
o CSI/FBI Computer Crime and Security Survey,
os vírus estão em primeiro lugar entre as principais
ameaças à segurança da informação no ano de 2001.
 Os vírus podem ser inofensivos (apenas mostram uma
mensagem ou tocam uma música), ou nocivos apagando
ou modificando arquivos do computador. Podem ser
inseridos por hackers que entram no sistema e plantam
o vírus, através de e-mails ou
 Mídias contaminados.
Vírus, Worms e Trojans


Os códigos de vírus procuram entre os arquivos dos
usuários, programas executáveis sobre os quais os
usuários têm direito de escrita.
Ele infecta o arquivo colocando nele parte de um
código. Quando um arquivo de programa está
infectado com vírus é executado e o vírus
imediatamente assume o comando, encontrando e
infectando outros programas e arquivos.
Vírus, Worms e Trojans

A seguir estão algumas características de um vírus:
 Consegue
se replicar;
 Precisa de um programa “hospedeiro” portador’;
 É ativado por uma ação externa; e
 Sua habilidade de replicação é limitada aos sistema
virtual
Vírus, Worms e Trojans

Na mesma categoria dos vírus, estão os warms, que são
programas projetados para replicação e possuem as
seguintes características, algumas das quais os
diferenciam dos vírus.
Eles se replicam, assim como os vírus;
 São entidades autônomas, não necessitam se atracar a um
programa ou arquivo “hospedeiro”, ao contrário dos vírus;
 Residem, circulam e se multiplicam em sistemas multi-tarefa;
 Para worms de rede, a replicação ocorre através dos links de
comunicação.

Vírus, Worms e Trojans


O Trojan (Cavalos de Tróia) é um código escondido
em um programa, tal como um jogo ou uma tabela
que tem a aparência de seguro, mas possui efeitos
escondidos.
Quando o programa é rodado, parece funcionar
como o usuário esperava, mas na verdade está
destruindo, danificando ou alterando informações
por trás. É um programa em si mesmo e não requer
um “hospedeiro” para carregá-lo. Geralmente são
espalhados por e-mails.
Intercessão



Eavesdropping e Packet Sniffing - São intercessões de
pacotes no tráfego para leitura por programas de
usuários não legítimos.
O sniffer pode ser colocado na estação de trabalho
conectada à rede, bem como em roteadores ou
gateways.
Este método é utilizado para intercessão de logins e
senhas de usuários, números de cartões de crédito e
direcionamento das trocas de e-mails estabelecendo as
relações entre indivíduos eorganizações.
Intercessão

Snoofing e Downloading - São intercessões do mesmo
tipo do sniffer sem modificação do conteúdo dos
pacotes embora a ação seja diferente, pois o
atacante se apossa de documentos que trafegam
na rede, fazendo download para a sua própria
máquina, interceptando e-mails e outros tipos de
informações.
Modificação e Fabricação




Tampering ou Data Diddling. Esta categoria trata da
modificação não autorizada de dados.
Com um software instalado em um sistema o
atacante modifica ou apaga arquivos.
Entre as vítimas estão bancos, autarquias fiscais,
escolas, e outros tipos de bancos de dados.
Na Web há inúmeros exemplos de home pages
invadidas para colocação de slogans ou marcas de
presença.
Modificação e Fabricação

A utilização de cavalos de Tróia está dentro desta
categoria para tomar controle remoto dos sistemas
vítimas. Entre os programas mais comuns estão o
Back Orifice e o NetBus, que são camuflados com
esta finalidade
Modificação e Fabricação



Spoofing - Esta técnica consiste em atuar em nome de
usuário legítimo para realizar tarefas de tampering
ou snoofing.
Uma das formas pode ser o envio de e-mail falso em
nome da vítima, invasão de outros computadores ou
até um terceiro, ou ainda outros de forma que
oculte sua identidade.
Esta forma de looping torna muito difícil a sua
identificação. A base desta atuação é tomar posse
do logins e senhas das vítimas.
Interrupção


Jamming ou Flooding. São interrupções do
funcionamento do sistema através da saturação de
dados, pode ser espaço de um disco ou envio de
pacotes até a saturação do tráfego da rede vítima
impossibilitando-a de receber os pacotes legítimos.
O atacante satura o sistema com mensagens de que
querem estabelecer conexão através de vários
computadores com a vítima e ao invés de indicar a
direção do IP dos emissores estas direções são
falsas.
Interrupção



O sistema responde as mensagens, mas como não
recebe as respostas acumula o buffer com
informações em aberto, não dando lugar às conexões
legítimas.
Outros ataques comuns são “ping da morte” e a
saturação de e-mails.
Bombas Lógicas - O ataque consiste em programas
sabotadores introduzidos nas máquinas das vítimas
com intuito de destruir as informações ou paralisálas.
Engenharia Social



Este mecanismo de recolhimento de informações é uma
das formas mais perigosas e eficientes utilizada pelos
hackers.
Um bom exemplo de ataque de engenharia social é o
de ligar para um setor de informática de uma
corporação, dizendo ser um novo funcionário de um
determinado setor e dizer que precisa de um username
e senha para acesso ao sistema.
Muitas vezes o hacker, consegue através deste
telefonema, o username e a senha necessários para o
início de seu ataque.
Engenharia Social



Uma forma mais fácil ainda é de ligar para o setor de
informática dizendo ser “o fulano de tal” que esqueceu a
senha, e gostaria que a senha fosse trocada. Claro que
desta forma, o hacker tem que conhecer o nome de um
usuário do sistema que esteja há muito tempo sem utilizá-lo.
Variando muito de organização para organização, a
obtenção de informações através de engenharia social
ainda é utilizada com muito sucesso em diversas
organizações e seu sucesso depende exclusivamente do
conhecimento do pessoal em assuntos de redes e
computadores.
A melhor defesa contra este ataque é o treinamento dos
funcionários e usuários de redes e computadores.
Riscos Internos


Os riscos internos são decorrentes de duas fontes
principais, desastres naturais e pessoas.
Não se podem prever ou evitar os desastres
naturais tais como enchentes, raios, ou inc êndios,
que podem causar sérios danos aos sistemas de
computação. Contudo, é necessário implementar
defesas contra eles. A melhor ação a ser tomada é
ter em vigor um plano de recuperação de
desastres.
Riscos Internos


Os riscos pessoais podem ser causados por
empregados insatisfeitos ou apenas descuidados.
Os empregados insatisfeitos podem tentar sabotar
o sistema de informação, das seguintes formas:
 Modificando
ou apagando dados;
 Destruindo dados ou programas com bombas lógicas;
 Derrubando os sistemas;
 Destruindo os equipamentos ou instalações; e
 Inserindo dados incorretamente.
Riscos Internos

Os empregados descuidados geralmente não tem
intenção de causar nenhum dano ao sistema, mas
podem apagar arquivos importantes, estragar um
computador pelo mal uso, acessar informações
indevidas e entrar informações incorretas no
sistema.
Analise de Ameaças


Antes de decidir como proteger um sistema é
necessário saber contra o que ele será protegido.
Segundo CSI/FBI Computer Crime and Security
Survey, as principais ameaças à segurança da
informação foram:
 1o.
lugar: Vírus de computador
 2o. lugar: Uso interno indevido do acesso à rede
 3o. lugar: Roubos de notebooks
 4o. lugar: Acesso interno não autorizado
 5o. lugar: Penetração externa no sistema.
Analise de Ameaças

Segundo Claudia Dias (Dias, 2000) a análise das
ameaças e vulnerabilidades do ambiente de
informática deve levar em consideração todos os
eventos adversos que podem explorar as fragilidades
de segurança desse ambiente e acarretar danos.
Analise de Ameaças

Alguns conceitos importantes para se realizar uma análise de
ameaças são:






Recurso: componente de um sistema computacional, podendo ser recurso
físico, software, hardware ou informação;
Vulnerabilidade: fraqueza ou deficiência que pode ser explorada por uma
ameaça. Pode ser associada à probabilidade da ameaça ocorrer;
Ataque: ameaça concretizada;
Impacto: conseqüência de uma vulnerabilidade do sistema ter sido
explorada por uma ameaça. É o resultado da concretização de uma
ameaça;
Probabilidade: chance de uma ameaça atacar com sucesso o sistema
computacional;
Risco: medida de exposição a qual o sistema computacional está sujeito.
Depende da probabilidade de uma ameaça atacar o sistema e do impacto
resultante deste ataque.
Analise de Ameaças

Ameaça é tudo aquilo que pode comprometer a
segurança de um sistema, podendo ser acidental
(falha de hardware, erros de programação, desastres
naturais, erros do usuário, bugs de software) ou
deliberada (roubos, espionagem, fraude,
sabotagem,invasão de hackers, entre outros).
Analise de Ameaças

independentemente do tipo, as ameaças consideradas
mais comuns em um ambiente informatizado são:
Vazamento de informações (voluntário ou involuntário) –
informações desprotegidas ou reveladas a pessoas não
autorizados;
 Violação de integridade - comprometimento da consistência
de dados;
 Indisponibilidade de serviços de informática - impedimento
deliberado de acesso aos recursos computacionais por
usuários não autorizados; e
 Acesso e uso não autorizado - um recurso computacional é
utilizado por pessoa não autorizada ou de forma não
autorizada.

Bibliografia


Fonte: TCC UNEB - PROPOSTA PARA UMA
POLÍTICA DE SEGURANÇA DE DADOS APLICADA
ÀS SECRETARIAS DE RECEITA
2001 Brasilia
Questões



O que são ameaças externas ? explique 3
exemplos de ameaças deste tipo
O que são ameaças internas ? Explique 3 exemplos
de ameaças deste tipo
O que é analise de ameaças e como ela pode
diminuir a vulnerabilidade das organizações