Gestão da Segurança da Informação - Aula 13

Prévia do material em texto

@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
Gestão da segurança da 
informação
Professor: Denis Viana
U
n
id
ad
e IV
Aula 13
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Na última aula...
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
O que é 
certificado 
digital?
O certificado digital funciona como 
uma assinatura digital para pessoas 
físicas e jurídicas. 
Com essa autenticação é possível para 
as empresas realizarem uma série de 
transações fiscais obrigatórias.
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Como garantir a segurança 
em processos digitais?
 Para isso, é necessário que nesses 
processos exista uma entidade 
terceira, com a responsabilidade 
de verificar a identidade do 
proprietário de uma chave pública, 
assinando digitalmente sua 
comprovação.
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Autoridades 
certificadoras
Uma autoridade certificadora é uma entidade 
responsável pela emissão dos certificados digitais. 
Popularmente, eles são conhecidos como a versão 
eletrônica de documentos importantes como o CPF 
ou o CNPJ, e têm a função de representar e verificar 
virtualmente a identidade de pessoas e empresas. 
Com eles, é possível assinar digitalmente diversos 
tipos de documentos.
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Anatomia do 
certificado 
digital
Assinatura digital da empresa que é a 
autoridade certificadora confiável.
Uma chave pública associada ao CPF ou 
CNPJ cadastrado.
Informações da pessoa ou da empresa.
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
ITI – Instituto 
Nacional de 
Tecnologia da 
informação
 Autoridade Certificadora Raiz.
 Certificadora raiz do processo de Infraestrutura de chave pública 
do Brasil.
 É uma cadeia hierárquica de confiança.
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Autoridade de Registro -
AR
 Autoridade responsável por registrar o 
usuário que deseja obter um certificado 
digital.
 O usuário vai presencial até essa entidade 
onde são conferidos a veracidade da sua 
documentação.
 Se tudo estiver correto a autoridade de 
registro envia essa documentação para uma 
Autoridade de certificação vinculada à ela.
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Certificado digital
Principais informações
 Chave pública do titular.
 Dados do titular (nome, e-mail).
 Período de validade do certificado.
 Nome da autoridade certificadora 
–AC.
 Número de série.
 Assinatura digital da AC.
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Vírus de computador
 Uma das ameaças mais antigas 
de computador, os vírus são 
malwares desagradáveis que 
sequestram os recursos do seu 
computador para se replicar, se 
espalhar e causar caos.
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Worms
 O worm é um tipo de malware mais 
perigoso que um vírus comum, pois sua 
propagação é rápida e ocorre sem controle 
da vítima. 
 Assim que ele contamina um computador, 
o programa malicioso cria cópias de si 
mesmo em diferentes locais do sistema e 
se espalha para outras máquinas, seja por 
meio de Internet, mensagens, conexões 
locais, dispositivos USB ou arquivos. 
 O objetivo do golpe, em geral, é roubar 
dados do usuário ou de empresas.
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Cavalo de troia
 Um Cavalo de Troia oculta um malware em um 
arquivo aparentemente normal. 
 Há uma grande variedade de vírus Cavalo de Troia 
online, que podem executar inúmeras tarefas. 
 A maioria dos Cavalos de Troia tem como objetivo 
controlar o computador de um usuário, roubando 
dados e inserindo outro malware no computador de 
suas vítimas.
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Spyware
 Spyware, como indica o termo em inglês, é um software 
espião que costuma ser instalado no celular ou no 
computador sem o consentimento do usuário. 
 Uma vez no computador, o programa monitora as 
atividades online, o histórico e os dados pessoais, para 
repassar as informações para terceiros. 
 Esse tipo de malware é um dos mais perigosos, pois ele 
busca informações confidenciais que podem ser usadas 
para diversos fins, inclusive para roubo de senhas 
pessoais, informações bancárias ou de cartões de crédito.
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Phishing
 Phishing é um termo originado do inglês (fishing) que em 
computação se trata de um tipo de roubo de identidade 
online.
 Essa ação fraudulenta é caracterizada por tentativas de 
adquirir ilicitamente dados pessoais de outra pessoa, 
sejam senhas, dados financeiros, dados bancários, 
números de cartões de crédito ou simplesmente dados 
pessoais.
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Engenharia 
social
 Engenharia social é uma técnica usada por criminosos 
virtuais para induzir usuários desavisados a enviar dados 
confidenciais, infectar seus computadores com malware 
ou abrir links para sites maliciosos.
 Nos crimes virtuais, esses golpes geralmente atingem 
pessoas desavisadas ou sem muita experiência no mundo 
virtual. 
 As vítimas podem ter desde seus dados roubados até 
mesmo seus computadores infectados com vírus. 
 Além disso, os ataques podem acontecer tanto online 
quanto por telefone ou outros tipos de comunicação.
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Hoaxes
 Hoax é o nome das mensagens 
alarmistas com conteúdo falso 
que frequentemente lotam as 
caixas de e-mails ou invadem as 
redes sociais e outros sites na 
Internet. 
 Além de sensibilizar os usuários 
com mensagens emocionalmente 
apelativas, os hoaxes solicitam 
determinada ação (geralmente 
seu compartilhamento).
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Spam
 spam é o termo usado para se referir às mensagens 
eletrônicas que são enviadas para você sem o seu 
consentimento — e que, geralmente, são 
despachadas para um grande número de pessoas.
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Antivírus
 São aplicativos que detectam programas 
maliciosos, capazes de removê-los ou colocá-los em 
quarentena. Normalmente agem de forma preventiva, 
detectando ameaças antes mesmo que elas sejam 
instaladas e comecem a agir, mas também são capazes 
de remediar os problemas após a infecção.
 Um antivírus roda constantemente no computador, 
sempre atento aos arquivos que são baixados da 
internet e ao uso de dispositivos como pendrives, dois 
dos principais caminhos pelos quais os programas 
maliciosos se propagam.
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Uso de 
criptografia
 A criptografia tem dois propósitos principais: impedir que 
dados armazenados sejam lidos e permitir que dados sejam 
transmitidos de forma segura por um canal inseguro.
 Isso significa manter a confidencialidade, integridade e 
identidade desses dados.
 A criptografia tem dois propósitos principais: impedir que 
dados armazenados sejam lidos e permitir que dados sejam 
transmitidos de forma segura por um canal inseguro.
 Isso significa manter a confidencialidade, integridade e 
identidade desses dados.
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Senhas 
seguras
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Boas práticas 
de uso
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Questão 01
@denis_viana (85) 99657-6633denisvianafilho www.denisviana.com.br
UNIDADE IV
Questão 
02
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Questão 
03
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Questão 04
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Questão 
05
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Questão 06
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Questão 
07
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Questão 08
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Questão 
09
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Questão 10
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Unidade IV
Resposta a incidentes.
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Resposta a 
incidentes 
 Diante das responsabilidades da 
área de segurança da informação 
dentro do ambiente corporativo, a 
resposta a incidentes tem papel 
fundamental na eficácia do 
processo de gestão dos ativos de 
informação.
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
O que são eventos e incidentes de segurança da 
informação?
 Evento é uma ocorrência observável a respeito de um sistema de informação, a 
exemplo de um e-mail, um telefonema, o travamento de um servidor (crash).
 Incidente é um evento ou uma cadeia de eventos maliciosos sobre um sistema de 
informação que implica o comprometimento ou tentativa de comprometimento 
da segurança.
 Em resumo, trata-se de tentativa ou quebra de segurança de um sistema da 
informação (confidencialidade, integridade ou disponibilidade), violação da 
política de segurança, tentativa ou acesso não autorizado, modificação, criação ou 
remoção de informações sem o conhecimento do gestor.
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Exemplos de 
eventos e 
incidentes:
 Evento: Usuário informa que pode ter sido contaminado por vírus.
 Incidente potencial: Seu sistema apresenta características típicas 
de contaminação de vírus.
Exemplo de eventos e incidentes, em ataque de software malicioso:
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Exemplos de 
eventos e 
incidentes:
 Evento: Usuário informa que não consegue acessar um serviço.
 Incidente potencial: Muitos usuários informam o mesmo 
problema.
Exemplo de eventos e incidentes, em ataque DoS (Deniel of Service
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Exemplos de 
eventos e 
incidentes:
 Evento: administrador imagina que seu sistema foi invadido.
 Incidente potencial: administrador envia log e trilhas de auditoria 
indicando atividades suspeitas.
Exemplo de eventos e incidentes, para invasões
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Exemplos de 
eventos e 
incidentes:
 Evento: proxy indica que um usuário tentou acessar um site 
pornográfico.
 Incidente potencial: proxy indica que um usuário tentou acessar 
vários sites pornográficos.
Exemplo de eventos e incidentes, uso não autorizado
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Computer Incident Response 
Team
 Time de resposta a incidentes computacionais:
 Uma das camadas de segurança que as empresas adotam 
para gerenciar o risco de segurança é a criação de um CIRT 
(Computer incidente Response Team).
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Dica:
 Quando uma organização tem a intenção de criar um CIRT 
(Computer Incident Response Team), normalmente 
procura verificar como o processo ocorreu em outras 
empresas, além de estabelecer requerimentos que devem 
ser atendidos nesse time.
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
E quem são os 
profissionais 
de segurança?
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Analista de segurança cibernética
 É o responsável pela proteção das redes e dados da 
empresa. Além disso, o analista também gerencia 
todas as medidas de segurança em 
andamento, responde às violações de segurança e 
protege os computadores dos funcionários e 
o hardware da empresa.
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Engenheiro de segurança
 Os engenheiros de segurança são responsáveis por 
planejar e executar a estratégia de segurança da 
informação de um negócio. Em alguns casos, 
também podem ser os responsáveis pela 
documentação da postura de segurança da empresa 
ou quaisquer outras medidas de segurança tomadas 
sob sua supervisão. Os engenheiros de segurança 
são mais defensivos do que os analistas.
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Consultor de segurança
 É o responsável pela avaliação da postura de 
segurança de uma empresa. O consultor tem como 
base um contrato, atuando como consultor para 
outros funcionários de TI. O seu objetivo é o 
gerenciamento de ameaças cibernéticas. Ou 
seja, planeja, testa e gerencia – com frequência – as 
interações iniciais dos protocolos de segurança da 
empresa. Por esse motivo, os consultores tendem a 
estar fora da organização, enquanto os analistas são 
internos.
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Analista avançado de ameaças
 É a área responsável pelo monitoramento dos 
computadores e tem o objetivo de impedir o acesso 
não autorizado a sistemas e arquivos. Os analistas 
avançados e ameaças também fornecem relatórios à 
liderança sênior que envolvem as 
capacidades técnicas de defesa da empresa.
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Avaliador de segurança da 
informação
 O avaliador analisa e faz recomendações sobre a 
postura de segurança da companhia. Essa análise é 
feita por meio de entrevistas com funcionários da TI 
e da observação da segurança da rede. Além disso, 
testa as vulnerabilidades da 
mesma e analisa as políticas e procedimentos de 
segurança da empresa.
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Pentest
 Nesta função, o especialista é contratado 
para hackear as redes de computadores da 
empresa com permissão legal. Dessa forma, é 
possível obter informações sobre quais são 
as vulnerabilidades, para que sejam 
feitas as recomendações que ampliem a segurança 
da mesma.
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Gerente de segurança da 
informação
 O gerente é quem irá desenvolver políticas e 
procedimentos que possam proteger a rede da 
empresa. Sendo também o responsável por 
supervisionar os analistas, bem como garantir que a 
empresa esteja de acordo com os padrões e normas 
de segurança da informação. E, por serem 
gestores, são responsáveis por contratar e treinar 
novos profissionais.
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Diretor de segurança da 
informação
 Por ser uma posição executiva de nível médio, muitas 
vezes, representa o objetivo final na carreira 
de cibersegurança. Este é o 
profissional responsável pela supervisão do plano 
geral de segurança da empresa. Mas ele 
também cuida das violações de segurança de rede e 
trabalha em conjunto com outros executivos da 
empresa, sempre garantindo que as outras 
áreas cumpram os padrões de 
segurança estabelecidos.
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Acionamento do CIRT 
(Computer Incident
Response Time)
 O acionamento do CIRT deve ser 
realizado através de canais de fácil 
acesso, que devem ser 
disponibilizados pelo CIRT, tais 
como: um ramal telefônico 
exclusivo;um endereço de e-mail, 
páginas de webmail na intranet 
entre outros.
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Relatório de 
segurança
 Ao final do trabalho, ou mesmo durante sua execução, líder do 
CIRT (Computer Incident, Response Time) apresentará ao comitê 
de segurança um relatório que deverá conter:
 Descrição sucinta do incidente.
 Causa do incidente.
 Forma de identificação do incidente.
 Classificação se pode ou não haver consequências financeiras e de 
imagem avaliadas.
 Contra medidas tomadas.
 Plano de ação para a contenção de incidentes semelhantes.
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Importante:
A área de relações públicas poderá ser envolvida 
pelo líder do CIRT (computer Incident, Response 
Team) com o objetivo de orientar a melhor maneira 
de promover a comunicação com eles ou mesmo 
com a imprensa, caso seja necessário.
A área de relações públicas é acionada no caso de o 
incidente trazer a exposição da empresa perante 
seus clientes e parceiros de negócios. 
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Como 
construir um 
plano bem 
sucedido de 
resposta a 
incidentes?
1. Ter mapeada todas as soluções que a empresa possui, bem 
como ter definido os responsáveis pelo processo de resposta de 
cada área da companhia.
2. Identificando o incidente, qualificar a abrangência e o impacto 
nos negócios.
3. Fazer a contenção, isolando o incidente para que ele não se 
propague por toda a empresa.
4. Fazer a erradicação do problema, aplicando as correções 
levantadas e monitorando para se ter o resultado esperado.
5. Recuperação, que vai restabelecer o ambiente afetado.
6. Realizar o histórico das ocorrências do incidente, assim como 
documentar todos os processos de resposta que erradicaram o 
incidente, preparando a companhia para ataques futuros.
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Segurança física
 A segurança física cuida da 
proteção de todos os ativos 
valiosos da organização, por essa 
razão sua abrangência é extensa e 
vai desde as instalações físicas, 
internas e externas em todas as 
localidades da organização.
 A segurança física também cuida 
da proteção dos ativos quando 
estão sendo transportados como 
valores ou fitas de backup.
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Ameaças e 
vulnerabilidades 
no ambiente 
físico
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Barreiras 
perimetrais ou 
periféricas
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Componentesbásicos 
de sistemas CFTV
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Medidas de 
proteção para 
as mídias
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Melhores 
práticas para 
cabeamento 
(ISO IEC 27001)
@denis_viana (85) 99657-6633 denisvianafilho www.denisviana.com.br
UNIDADE IV
Próxima aula Unidade IV
Muito obrigado e até a próxima 
aula!!!