Sistemas de Informação
Prof. Ayala Borba
Segurança da Informação
• A segurança é necessária em qualquer computador
que esteja ou não acessando uma rede externa.
• A necessidade se explica pela dependência da
organização para com a estrutura de tecnologia da
informação.
• Com o aumento do uso das telecomunicações e
redes para as atividades empresariais, a segurança
tornou-se o segundo maior projeto das organizações.
Esquema de Segurança
A segurança é imposta para:
• Minimizar os prejuízos da organização por paralisações não esperadas; • Garantir a qualidade dos dados inseridos e das informações geradas; • Habilitar as informações a serem compartilhadas com proteção das
mesmas e do acesso aos Sistemas de Informações;
• Assegurar que não haja roubo ou a alteração dos dados sem
autorização;
• Prevenção de ataque externo pela rede extranet/internet; • Salvaguardar pessoas, instalações e recursos;
• Prevenir, detectar, deter e documentar ameaças; • Fornecer liberdade na criação de novos negócios;
• Implementar rastreabilidade no acesso e manutenção das
Critérios Fundamentais da Segurança
• Integridade;
• Disponibilidade;
• Confidencialidade;
“A informação certa comunicada às pessoas
certas (na hora certa) é de importância vital
para a empresa.”
Propriedades da Segurança da Informação
• Autenticidade: Atesta a origem do dado ou informação; • Não Repúdio: Não é possível negar o envio ou recepção; • Legalidade: Aderência de um sistema a legislação;
• Privacidade: Realizar ações sem que se seja identificado; • Auditoria: Transparência aos negócios;
Propriedades da Segurança da Informação
As propriedades quando combinadas de forma adequada:
• Aumenta a produtividade;
• Proporciona maior controle sobre os recursos; • Viabiliza o uso de aplicações de missão crítica;
Facilitam para que as empresas alcancem os seus objetivos:
• Ambiente padronizado; • Sistemas mais confiáveis;
Segurança – Conceitos Básicos
• Bem/recurso/ativo:
Corresponde a entidade objeto da função segurança; • Vulnerabilidade:
Característica de fraqueza de um bem; • Ameaças:
Ação, atitude ou situação em que a vulnerabilidade de um bem possa
acontecer;
• Agente agressor:
Entidade responsável, potencial ou concreta, pela realização da
Segurança – Conceitos Básicos
• Risco:
Mensuração da intensidade, possível ou real da ocorrência de uma
ameaça;
• Medida de Segurança:
Ação/atitude/providência operacionalizada para evitar as causas de
ameaças;
• Perímetro de Proteção:
Ambiente ou linha imaginária em que uma ameaça possa atingir um
bem;
• Plano de Segurança:
Conjunto de medidas de segurança adotadas para a diminuição da
A confidencialidade é dependente
da integridade, pois se a integridade
de um sistema for perdida, os
mecanismos que controlam a
confidencialidade não são mais
confiáveis.
Exemplo: Eliminação de registros
históricos (log).
Integridade x Confidencialidade
A integridade é dependente da
confidencialidade, pois se alguma
informação confidencial for perdida
os mecanismos de integridade
podem ser desativados.
Exemplo: Senha de administrador do
sistema.
Disponibilidade x Integridade/Confidencialidade
A disponibilidade é dependente da
integridade e confidencialidade,
pois:
• Se a confidencialidade for perdida
os mecanismos de disponibilidade podem ser desativados;
• Se a integridade for perdida, as
informações não podem ser consideradas confiáveis;
Auditoria x Integridade/Confidencialidade
A auditoria é dependente da
integridade e confidencialidade,
pois:
• Se a confidencialidade for perdida
os mecanismos de auditoria podem ser desativados;
• Se a integridade for perdida, as
informações não podem ser consideradas confiáveis;
Principais Ameaças para os S.I.
• Catástrofe;
• Supressão de Serviços;
• Comportamento anti-social;
• Ação criminosa;
Ameaças - Catástrofes
Momentos de intensa e descontrolada destruição.
• Desabamento:
Total ou parcial;
• Explosão:
Proposital ou acidental;
• Incêndio:
Espontâneo, provocado ou acidental;
• Inundação:
Ameaças – Supressão de Serviços
Momentos em que a infra-estrutura operacional falha
ou deixa de existir.
• Falta de energia;
• Queda de comunicações;
• Falha de equipamentos;
• Interrupção no abastecimento de água;
• Problemas no abastecimento de esgotos;
Ameaças – Comportamento Anti-Social
Agressões perpetradas por profissionais do ambiente interno ou externo às organizações.
• Paralisações:
Greves, sabotagem, displicência ou má vontade de funcionários;
• Motins populares e distúrbios:
Potencial agressão ao patrimônio físico e intelectual da organização;
• Invasão:
Por entidades, pessoas físicas e jurídicas, via atuação física como
ações de roubo ou furto;
• Piquetes:
Atuação de funcionários ou elementos de sindicato no sentido de
Ameaças – Ação Criminosa
Ação com características de interesse direto de pessoa física, no sentido de fazer prevalecer seus interesses.
• Terrorismo:
Ação de agressão ao patrimônio empresarial com a utilização de violência extrema;
• Seqüestros:
Ação de intimidação física concretizada contra pessoas físicas ou bens de extrema
importância;
• Roubos e furtos:
Supressão de bens materiais;
• Fraudes:
Ações de modificação, com conseqüente obtenção de vantagem pelo agente agressor;
• Sabotagens:
Modificação de máquinas, equipamentos, instalações das organizações;
• Espionagem industrial:
Vulnerabilidades
• Erros de software;
• Falta de pacotes de correção;
• Erros de configuração;
• Má utilização do software/hardware;
• Erros humanos;
• Subutilização de serviços;
• Metas não aplicadas;
Pontos Vulneráveis na Estrutura de T.I.
• Redes de comunicação;
• Sistemas operacionais dos equipamentos;
• Bancos de dados e aplicações;
• Servidores;
Tipos de Invasores
• Hackers;
Hackers; Lammers; Crakers; Phreakers; Carders;• Funcionários descontentes;
• Usuários mal treinados;
Maiores causas de problemas digitais
%
Funcionários autorizados
58%
Funcionários não autorizados
24%
Ex-funcionários
13%
Hackers e terroristas cibernéticos
13%
Concorrente
3%
Métodos de Imposição de Segurança
• Controle de acesso;
• Autenticação de usuário;
• Criptografia;
Controle de Acesso
Utiliza dispositivos de hardware e software que
permite o que pode ou não passar no perímetro
interno de comunicação da organização.
• Roteadores;
• Firewalls;
Autenticação de Usuário
• Obrigatoriedade de identificação de usuário, que
permite ou não a utilização de um computador ou
sistema;
• Uma senha (password) , devido ao seu caráter
pessoal e intransferível, serve para autenticar o
usuário, ou seja, é utilizada no processo de
verificação da identidade do usuário.
Composição de uma Senha
• Uma boa senha deve ter pelo menos oito caracteres (letras,
números e símbolos), deve ser simples de digitar e, o mais importante, deve ser fácil de lembrar.
• Normalmente os sistemas diferenciam letras maiúsculas das
minúsculas.EX. “pAraleLepiPedo” e “paRalElePipEdo” são senhas diferentes.
• Procure misturar letras maiúsculas, minúsculas, números e
sinais de pontuação.
• Por exemplo, usando a frase “batatinha quando nasce se
Criptografia
Criptografia é a ciência e arte de escrever mensagens em forma cifrada ou em código. É parte de um campo de estudos que trata das comunicações secretas, usadas, dentre outras finalidades, para:
• Autenticar a identidade de usuários;
• Autenticar e proteger o sigilo de comunicações pessoais e de transações comerciais e bancárias;
• Proteger a integridade de transferências eletrônicas de fundos.
Uma mensagem codificada por um método de criptografia deve ser:
• privada, ou seja, somente aquele que enviou e aquele que recebeu devem ter acesso ao conteúdo da mensagem.;
• Além disso, uma mensagem deve poder ser assinada, ou seja, a pessoa que a recebeu deve poder verificar se o remetente é mesmo a pessoa que diz ser e ter a capacidade de identificar se uma mensagem pode ter sido modificada;
Criptografia de Chave Única
• A criptografia de chave única utiliza a mesma chave
tanto para codificar quanto para decodificar
mensagens.
• é método ser bastante eficiente em relação ao
tempo de processamento, ou seja, o tempo gasto
para codificar e decodificar mensagens.
• tem como principal desvantagem a necessidade de
utilização de um meio seguro para que a chave possa
ser compartilhada entre pessoas ou entidades que
desejem trocar informações criptografadas.
Criptografia de Chaves Pública e Privada
• A criptografia de chaves pública e privada utiliza
duas chaves distintas, uma para codificar e outra
para decodificar mensagens.
• Neste método cada pessoa ou entidade mantém
duas chaves: uma pública, que pode ser divulgada
livremente, e outra privada, que deve ser mantida
em segredo pelo seu dono.
• As mensagens codificadas com a chave pública só
podem ser decodificadas com a chave privada
correspondente.
Protocolo SSL
• O protocolo SSL provê a privacidade e a integridade de dados entre duas aplicações que estejam se
comunicando pela Internet;
• Isto ocorre através da autenticação das partes envolvidas e da criptografia dos dados transmitidos
entre as partes;
• Esse protocolo ajuda a prevenir que intermediários entre as duas pontas da comunicação tenham
acesso indevido ou falsifiquem os dados sendo transmitidos;
• É um método de segurança das transações efetuadas via Internet;
• O standard SSL foi criado pela Netscape, em colaboração com Mastercard, Bank of América, MCI e
Silicon Graphics;
• Utiliza um método de criptografia por chave pública a fim de garantir a segurança da transmissão
de dados na Internet. O seu princípio consiste a estabelecer um canal de comunicação protegido (calculado) entre duas máquinas (um cliente e um servidor) após uma etapa de autenticação.;
• O sistema SSL é independente do protocolo utilizado, que significa que pode igualmente proteger
transações feitas sobre o Web pelo protocolo HTTP que conexões via o protocolo FTP, POP ou IMAP.
Protocolo TLS
• O protocolo TLS (Transport Layer Security) é
um protocolo de segurança de rede usado
para criptografar e transmitir dados HTTP e
IPP (Internet Printing Protocol) por uma rede
TCP/IP.
• Ele é baseado e similar ao protocolo SSL
(Secure Sockets Layer) desenvolvido pela
Netscape.
Protocolo SSH
• Trata-se de um protocolo que permite um
cliente (um utilizador ou mesmo uma
máquina) abrir uma sessão interativa sobre
uma máquina distante (servidor) a fim de
enviar pacotes ou arquivos de maneira
protegida.
• Os dados que circulam entre o cliente e o
servidor são calculados, que garante a sua
confidencialidade.
Protocolo PGP
• PGP (tm) utiliza a encriptação de chave
pública para proteger e-mail e arquivos de
dados.
• Pretty Good Privacy (PGP) é uma aplicação do
software criptográfico de alta segurança para
MS-DOS, Unix, VAX / VMS, e outros
computadores.
• PGP permite que as pessoas para trocar
arquivos ou mensagens com privacidade,
autenticação e conveniência.
Protocolo SET
• O padrão SET (Secure Eletronic Transactions) surgiu
da iniciativa de um consórcio de empresas formado
pela Visa, MasterCard, Netscape, IBM, Microsoft,
GTE, SAIC, Terisa Systems e Verisign como uma
alternativa para resolver os principais problemas
relacionados ao comércio eletrônico.
• O SET é um protocolo de segurança desenvolvido
para garantir a transmissão segura de informações
financeiras em redes públicas.
Certificado Digital
O Certificado Digital funciona como uma carteira de identidade virtual.
• Um documento eletrônico que contém dados do titular como nome, e-mail,
CPF, dois números denominados chave pública e privada, além do nome e da assinatura da AC (Autoridade Certificadora) que o emitiu.
ACs são órgãos autorizados a emitir Certificados Digitais.
• Serpro (Serviço Federal de Processamento de Dados);
• CertiSign, empresa privada especializada em certificação digital; • Serasa;
• IMESP (Imprensa Oficial do Estado de São Paulo);
• PRODEMG, empresa de tecnologia de informação do Governo de Minas Gerais; • Caixa Econômica Federal;
Tipos de Ataque
Engenharia Social:
• Nos ataques de engenharia social, normalmente, o atacante
se faz passar por outra pessoa e utiliza meios, como uma ligação telefônica ou e-mail, para persuadir o usuário a fornecer informações ou realizar determinadas ações.
• Exemplos destas ações são: executar um programa, acessar
uma página falsa de comércio eletrônico ou Internet
Banking através de um link em um e-mail ou em uma
Tipos de Ataque
Cavalo de Tróia:
• O cavalo-de-tróia, ou trojan-horse, é um programa
disfarçado que executa alguma tarefa maligna.
• Exemplo: o usuário roda um jogo que conseguiu na Internet.
O jogo secretamente instala o cavalo de tróia, que abre uma porta TCP do micro para invasão. Alguns trojans populares são NetBus, Back Orifice e SubSeven. Há também cavalos-de-tróias dedicados a roubar senhas e outros dados sigilosos.
Tipos de Ataque
Quebra de Senha
• O quebrador, ou cracker, de senha é um programa usado
pelo hacker para descobrir uma senha do sistema. O método mais comum consiste em testar sucessivamente as palavras de um dicionário até encontrar a senha correta.
Tipos de Ataque
Denial Of Service (DOS):
• Ataque que consiste em sobrecarregar um servidor com
uma quantidade excessiva de solicitações de serviços.
• É uma tentativa em tornar os recursos de um sistema
indisponíveis para seus utilizadores. Alvos típicos são servidores web, e o ataque tenta tornar as páginas hospedadas indisponíveis na WWW.
• Não se trata de uma invasão do sistema, mas sim da sua
Tipos de Ataque
Mail Bomb:
• É a técnica de inundar um computador com mensagens
eletrônicas. Em geral, o agressor usa um script para gerar um fluxo contínuo de mensagens e abarrotar a caixa postal de alguém. A sobrecarga tende a provocar negação de serviço no servidor de e-mail.
Tipos de Ataque
Phreaking:
• É o uso indevido de linhas telefônicas, fixas ou celulares. No
passado, os phreakers empregavam gravadores de fita e outros dispositivos para produzir sinais de controle e enganar o sistema de telefonia.
Tipos de Ataque
Scanners de Portas:
• Os scanners de portas são programas que buscam portas
TCP abertas por onde pode ser feita uma invasão. Para que a varredura não seja percebida pela vítima, alguns scanners testam as portas de um computador durante muitos dias, em horários aleatórios.
Tipos de Ataque
Spoofing:
• É a técnica de se fazer passar por outro computador da rede
para conseguir acesso a um sistema. Há muitas variantes, como o spoofing de IP. Para executá-lo, o invasor usa um programa que altera o cabeçalho dos pacotes IP de modo que pareçam estar vindo de outra máquina.
Tipos de Ataque
Smurf:
• O Smurf é outro tipo de ataque de negação de serviço. O
agressor envia uma rápida seqüência de solicitações de Ping (um teste para verificar se um servidor da Internet está acessível) para um endereço de broadcast.
• Usando spoofing, o cracker faz com que o servidor de
broadcast encaminhe as respostas não para o seu endereço, mas para o da vítima. Assim, o computador-alvo é inundado pelo Ping.
Tipos de Ataque
Sniffing:
• O sniffer é um programa ou dispositivo que analisa o tráfego
da rede. Sniffers são úteis para gerenciamento de redes.
• Nas nas mãos de hackers, permitem roubar senhas e outras
Tipos de Ataque
Phishing:
• É uma forma de fraude eletrônica, caracterizada por
tentativas de adquirir informações sensíveis, tais como senhas e números de cartão de crédito, ao se fazer passar como uma pessoa confiável ou uma empresa enviando uma comunicação eletrônica oficial, como um correio ou uma mensagem instantânea.
• Na prática do Phishing surgem artimanhas cada vez mais
sofisticadas para "pescar" (do inglês fish) as informações sensíveis dos usuários.
Tipos de Ataque
Scamming:
• Técnica que visa roubar senhas e números de contas de
clientes bancários enviando um e-mail falso oferecendo um serviço na página do banco.
Tipos de Ataque
Ataque de força bruta:
• Consiste em tentar todas os possíveis código, combinação,
ou a senha até encontrar o caminho certo.
• A dificuldade de um ataque de força bruta depende de
vários fatores, tais como:
Quanto tempo pode ser a chave?
Quantos possíveis valores de cada componente pode ter a chave? Quanto tempo vai demorar para tentar cada chave?
Existe um mecanismo que irá bloquear o atacante, após uma série
Tipos de Ataque
Ping Of Death:
• Consiste em se enviar um pacote IP com tamanho maior que
o máximo permitido (65535 bytes), para a máquina que se deseja atacar.
• O pacote é enviado na forma de fragmentos (a razão é que
nenhum tipo de rede permite o tráfego de pacotes deste tamanho) e quando a máquina destino tenta montar estes fragmentos, inúmeras situações podem ocorrer: a maioria das máquinas trava, algumas reinicializam, outras abortam e mostram mensagens no console, etc.
Tipos de Ataque
Ataque de replay:
• Forma particular de ataque em que parte de uma
transmissão de rede é gravada e reproduzida posteriormente.
• Normalmente, esse tipo de ataque está associado a uma
criptografia mal-estruturada.
• Exemplo: um mecanismo de autenticação transmite pela
rede uma credencial para um usuário.
Se a credencial for codificada sempre da mesma maneira, o
atacante poderá gravar a sequência criptografada e incorporá-la em uma transmissão realizada por ele mesmo.
