Segurança de Redes

Prévia do material em texto

SISTEMAS DE
 INFORMAÇÕES 
 GERENCIAIS
Copyright © Todos os direitos desta obra são da Escola Superior Aberta do Brasil.
www.esab.edu.br
Diretor Geral
Nildo Ferreira
Secretário Geral:
Aleçandro Moreth
Diagramadores
Felipe Silva Lopes Caliman
Rayron Rickson Cutis Tavares
Produção do Material 
Didático-Pedagógico
 Escola Superior Aberta do Brasil
www.esab.edu.br 3
Sumário
1. Apresentação..........................................................................04
2. Conceituação de Segurança de Segurança e Ameaças 
Organizacionais ..................................................................... 05
3. Segurança Continuada .......................................................... 21
4. Port Scanning ........................................................................ 39
5. SNMP......................................................................................54
6. Plano de Contingência .......................................................... 66
7. Resumo ................................................................................. 75
8. Apresentação 2 ..................................................................... 76
9. NBR ISO/IEC de Segurança ................................................. 77
10. Medidas, Monitoramento e Riscos na Segurança ................. 92
11. Componentes de Segurança: Firewal ................................. 104
12. Gateway de Aplicação ......................................................... 120
13. Arquitetura e Projeto de Firewal .......................................... 132
14. Resumo 2 ............................................................................ 146
15. Apresentação 3 .................................................................. 147
16. NIDS e HIDS........................................................................148
17. IDS e Padronização..............................................................161
18. Fundamentos e Aprofundamento Sobre VPN......................170
19. Chaves Criptográficas ......................................................... 182
20. Autoridade Certificadora e Certificados ............................... 192
21. Resumo 3..............................................................................211
22. GLOSSÁRIO ....................................................................... 212
23. BIBLIOGRAFIA .................................................................... 213
www.esab.edu.br 4
Neste Eixo conceituaremos segurança, ameaças e o nome dos 
principais atacantes, Segurança Continuada, Conceituação de 
Segurança e Ameças e instruir como adotar uma política de 
segurança e contingência e Conhecer o universo de Riscos e 
Planejamento.
www.esab.edu.br 5
INTRODUÇÃO
 Atualmente, as organizações por estarem acessíveis através 
da Web tornou-se vital e vantagem competitiva perante o concorrido 
mercado globalizado. Neste novo cenário, a informação torna-se 
o ativo mais importante da organização, pois é através de sua 
manipulação de forma rápida e precisa que milhares de pessoas 
realizem negócios em tempo real, provando a realização de 
transações comerciais a partir de um único clique. Para muitos o 
mundo atual é um sonho para conseguir acessar lugares distantes 
através de uma rede de computadores. Nem mesmo os inventores 
do TCP/IP e Internet poderiam imaginar a extensão deste projeto, 
bem como seu uso nos mais diversos segmentos mundiais, que 
causou em todo o mundo a propagação de uma nova cultura 
digital.
 Tecnicamente, alcançamos a era digital sem termos 
acoplados os conceitos de segurança para esta grande rede, pois 
o que seria apenas uma pequena rede militar tornou-se a grande 
rede mundial. Os protocolos não foram criados para serem 
utilizados em tão larga escala em termos de segurança, pois 
apresentam diversas vulnerabilidades. É complicado mudá-los, 
pois é um padrão mundial. Se de um lado, temos a necessidade 
das organizações em dispor seus negócios de forma rápida, fácil 
e acessível, de outro temos estes problemas técnicos. O objetivo 
desta matéria não é esgotar ao máximo o tema e, sim, fornecer 
conceitos importantes de segurança para serem aplicados em 
paradigmas do mundo real, como soluções a serem implantadas 
nos mais diversos níveis da Internet, para que de acordo com o 
www.esab.edu.br 6
valor dispensado a esta meta, seja feito o melhor aproveitamento 
possível da verba, direcionando os esforços a uma maior segurança 
das informações. Este esforço vem contrário aos objetivos da 
Internet, que é interligar todas as redes do mundo, porém, sem 
este trabalho teríamos receio de acessar a Web e disponibilizar 
informações pessoais ou comerciais. Este é um campo em 
ascensão e ainda muito restrito, porém promete grandes 
oportunidades para os que almejam atuar nesta área.
CONCEITOS BÁSICOS DE SEGURANÇA
 Não adianta uma organização estar atuando 
virtualmente se as informações que alimentam o sistema 
estiverem vulneráveis. Da mesma forma que este é um fator 
diferencial para a globalização, a vulnerabilidade pode 
conduzir ao fracasso uma empresa.
 A Era da Informação trouxe consigo uma série de problemas 
pertinentes a vulnerabilidades de sistemas operacionais e 
protocolos, como o Code Red, que causou em torno de 2,9 bilhões 
de dólares de prejuízo por causar lentidão na rede devido aos 
sistemas operacionais Windows NT e 2000, e os diversos ataques 
a sites, como Yahoo, Amazon, CNN, UOL, entre outros. Também, 
a perda de privacidade de diversos clientes da CD Universe, 
devido a ataque no site bem-sucedido, onde foram roubados os 
números de cartão de crédito dos clientes. Porém, os maiores 
ataques que causam prejuízos às organizações não são os 
externos, mas os internos que ocorrem a partir da própria rede. 
Para complicar este cenário, antes queríamos que as pessoas 
externas a organizações não conseguissem enxergar as redes 
corporativas. Atualmente, o grande desafio das organizações é a 
disponibilização de serviços através das redes externas, Internet, 
www.esab.edu.br 7
como se os parceiros comerciais estivessem dentro da empresa, 
e para isto ocorre o acesso à rede interna.
A Tecnologia da Informação (TI) no mercado globalizado
Primeiramente, é preciso definir três palavras:
•	 Dado: característica qualquer de um objeto, como um nome, 
data de nascimento de alguém ou a cor dos olhos de uma 
pessoa. Em informática, é uma seqüência qualquer de bits 
armazenados.
•	 Informação: ao associarmos o nome a uma pessoa 
específica, com sua cor de olhos e pele, data de nascimento, 
temos uma informação, pois os dados começam a ter 
sentido.
•	 Conhecimento: ao termos um conjunto de informações, 
dados pessoais, comerciais e religiosos de alguém, por 
exemplo, podemos traçar um melhor perfil da pessoa e 
dependendo deste conjunto de informações posso atuar de 
diferentes formas. Este agir diferente é o conhecimento, pois 
agrega valor ao ser humano e a organização, podendo trazer 
vantagem competitiva.
 Nas décadas 1970-1980, temos a informática como 
ferramenta de proteção da confidencialidade dos dados. É a época 
marcada pela chegada dos mainframes, das empresas com muitos 
funcionários que tinham dificuldades em realizar até mesmo a 
folha de pagamento e contabilidade. Nas décadas 1980-1990, 
com a chegada das redes corporativas, a TI é utilizada para 
guardar não mais dados, mas informações consistentes e 
processadas. A informática avança na administração e é parte da 
estratégia da empresa para minimizar seus custos. O importante 
é a integridade da informação.
 A partir da década de 1990, temos uma nova preocupação: 
disponibilidade. Temos as redes IP, tornando-se essencial aos 
negócios e são armazenadas nos sistemas informatizados não 
www.esab.edu.br 8
mais informações, mas conhecimentos – o objeto a ser protegido 
nos computadores. Atualmente, o mundo globalizado exige uma 
nova postura das empresas: alta competitividade na disputa de 
novos mercados. Mas, como conseguir atingir omaior número de 
mercado e ser mais eficiente do que o concorrente, oferecer um 
melhor produto, com maior eficiência e manter um bom 
relacionamento? Através de sistemas interligados via rede, que 
conseguem atingir clientes nos mais diversos pontos geográficos, 
com sistemas que provêem esta nova visão mercadológica e 
globalizada.
 Diante do exposto, para qualquer organização é necessário 
observar alguns requisitos, como infra-estrutura em 
telecomunicações e sistemas informatizados capazes de prover 
as necessidades do mundo atual, tornando a informática um 
acessório de auxílio na execução de atividades de forma 
centralizada e mais rápida e, principalmente, parte do negócio da 
organização que possibilita sua posição diante do cenário mundial. 
Desta forma, surge a necessidade da criação dos chamados 
ambientes corporativos, que nada mais é do que a interação de 
terceiros dentro da empresa, para que os parceiros de negócios 
consigam atuar de forma mais rápida e eficiente, maximizando o 
tempo entre a necessidade e o fechamento do negócio entre 
empresas, tornando-se, muitas vezes, peça fundamental e seletiva 
entre empresas. Como exemplo, citamos as montadoras de 
automóveis do Brasil.
 Ao ser solicitado um carro, todas as peças são solicitadas 
on-line aos parceiros comerciais, que as entregam dentro do prazo 
esquematizado, pois seguem um padrão de fabricação dependendo 
da demanda, e faz com que na data prometida o carro solicitado 
seja entregue ao cliente. Isto tudo oferece muitas vantagens às 
empresas, principalmente porque não é mais necessário trabalhar 
com grandes estoques. A tecnologia oferece ainda a possibilidade 
de dispor de acessos remotos a clientes externos e internos, 
www.esab.edu.br 9
usuários móveis e comunicação entre filiais.
Do ponto de vista da segurança, temos algumas preocupações:
•	 Diversidade de tecnologia: apesar da maioria das 
organizações utilizarem o TCP/IP, cada uma possui suas 
peculiaridades: cultura, políticas internas, perfil de usuário, 
que precisam ser estudadas com cuidado, pois extrapolam 
o lado técnico e operacional.
•	 Preservação das informações: é vital para as organizações 
que possuem este tipo de transação, a confiabilidade na 
proteção das informações, especialmente em casos onde 
existe grande interação entre empresas, para que uma não 
consiga obter dados não permitidos, nem da própria empresa 
nem das empresas parceiras.
•	 Acesso de informação: quanto mais níveis de acesso têm as 
informações disponíveis, maior é o custo e a complexidade 
do gerenciamento.
 Agora iremos refletir como poderemos minimizar estes 
impactos negativos dentro da organização, através de técnicas, 
metodologias e tecnologias de segurança.
Ambiente corporativo – Diversidade de conexões
Por que se proteger?
 A proteção de uma organização em TI não é apenas 
contra hackers, vírus e funcionários maliciosos, mas como 
www.esab.edu.br 10
uma garantia de que os negócios da empresa estarão 
disponíveis de forma fácil e flexível, favorecendo e 
concretizando as diversas tendências da globalização, como 
B2B (Business to Business), B2C (Business to Consumer) 
entre outros. Como exemplo, citamos o caso da Ford no Brasil 
que no ano de 2000, através do B2C, conseguiu realizar transações 
no valor de 3.311,00 milhões de dólares e do Banco do Brasil, que 
obteve o valor de transações on-line na ordem de 4.077,40 bilhões 
de dólares. Com valores tão expressivos, podemos mensurar o 
quanto é importante à instabilidade dos sistemas informatizados 
para estas e muitas empresas mundiais. Esta é uma das 
preocupações que temos que ter quando falamos em segurança.
 Outros dados que 
precisamos saber é que de acordo com pesquisas realizadas nos 
Estados Unidos (Computer Security Institute e FBI), temos um 
aumento substancial em incidentes de segurança, sendo que 70% 
envolvem a Internet, 31% sistemas internos e 18% acessos 
remotos. De acordo com Information Security, os números de 
servidores que sofreram ataques entre 2000 e 2001 dobraram e 
estão distribuídos da seguinte forma: 48% sofreram ataques, 39% 
ficaram indisponíveis e 32% ataque tipo overflow, podendo ter 
resultado em perda de confidencialidade. Apesar destes dados 
estatísticos, os ataques que mais atingem as organizações são os 
vírus, worms e Cavalo de Tróia, que chegou a um percentual de 
89%. Estes dados estatísticos vêm reforçar a idéia da necessidade 
da segurança, pois em qualquer tipo de incidente, existem grandes 
probabilidades dos clientes não conseguirem realizar negócios 
devido à falta ou lentidão da instabilidade dos sistemas 
www.esab.edu.br 11
informatizados. Isto para a organização é perda de dinheiro e 
credibilidade, fator muito importante e buscado com afinco em 
empresas que oferecem este tipo de serviço.
AS AMEAÇAS ORGANIZACIONAIS
São divididas em cinco:
•	 Ameaças físicas.
•	 Ameaças lógicas.
•	 Ameaça ocupacional.
•	 Ameaça à confidencialidade.
•	 Ameaça ambiental.
Ameaças Físicas
 São aquelas que os recursos materiais utilizados no 
ambiente de informação estão expostos, colocando em risco 
a integridade operacional da organização. Infelizmente, em 
muitas empresas, se gasta muito em segurança das informações 
e terminam se esquecendo de proteger o patrimônio. Exemplos:
•	 Catástrofes (momento de intensa e descontrolada 
distribuição): desabamento, explosões, incêndios, 
inundações, paralisações, sabotagem, espionagem, roubo; 
furtos, terrorismo, acidente, furacão, entre outros.
•	 Supressão de serviços: infra-estrutura operacional da 
tecnologia vigente falha ou deixa de existir causando 
interrupção ou descontinuidade às organizações.
•	 Falha de energia.
•	 Falha de equipamentos: defeito de fabricação, má revisão, 
uso inadequado, tempo de vida útil do equipamento.
•	 Temperatura do equipamento.
•	 Queda de comunicação: por acidente natural ou erro 
operacional.
www.esab.edu.br 12
Ameaças lógicas
 Ocorrem quando acontece uma modificação da capacidade 
funcional devido a dolo, acidente ou erro de recursos:
•	 Hacker ou usuários que conseguem acesso e usam de forma 
ilegais sistemas corporativos.
•	 Alteração e distribuição de dados de forma ilegal e destrutiva, 
através do uso intencional de programas maliciosos. De 
ponto de vista da segurança, este ato é tão criminoso quanto 
à destruição de bens tangíveis.
•	 Vírus: São programas que se ocultam dentro de outros.
•	 Vermes: Agem de forma independente, gerando cópias dele 
mesmo em outros sistemas. De modo geral, sua atuação 
consiste em distribuir programas e interromper o 
funcionamento da rede e sistemas computacionais.
•	 Roubo de equipamentos portáteis, devido a informações 
restritas a organização.
•	 Pirataria de software.
Ameaças ocupacionais
 Ocorrem quando há uma desestabilização de recursos 
humanos, modificando a capacidade funcional da organização:
•	 Espaço físico.
•	 Layout.
•	 Temperatura.
•	 Iluminação.
Ameaça à confidencialidade
 Ocorre quando intencional ou acidentalmente alguém 
consegue acesso a um recurso que não tem autorização de 
possuir. A privacidade é atingida por coletas ou mal uso de dados, 
como o recebimento de e-mails, propaganda indesejáveis, como 
convite ao uso de cartão de crédito em compras, tornando-se um 
grande problema quando acontece em excesso.
www.esab.edu.br 13
Ameaça ambiental
 Acontece quando se aplicam os quatro itens anteriores à 
infra-estrutura do ambiente, ou seja, a rede de computadores:
•	 Destruição de informação ou de outros recursos.
•	 Modificação ou deturpação da informação.
•	 Roubo, remoção ou perda da informação ou de outros 
recursos.
•	 Revelação de informações.
•	 Interrupção de Serviços.
 As ameaças podem ser acidentais, ou intencionais, podendo 
ser ambas ativas ou passivas:
•	 Ameaças acidentais: não estão associadas à intenção 
premeditada, como os bugs de software e hardware.
•	 Ameaças intencionais: estão associadas à intenção 
premeditada, como a observação de dados com ferramentas 
simples de monitoramento deredes e alteração de dados, 
baseados no conhecimento do sistema.
•	 Ameaças Passivas: quando realizadas não resultam em 
qualquer modificação nas informações contidas em um 
sistema.
•	 Ameaças Ativas: envolvem alterações de informações 
contidas no sistema, ou modificações em seu estado ou 
operação.
www.esab.edu.br 14
OS ATACANTES
CONHECENDO OS ATACANTES
 
O Objetivo dessa unidade é fazer com que você tenha c
onhecimento dos tipos de atacantes, seu perfil, 
como atacam e exemplos de incidentes ocorridos. Antes de 
conhecer como defender as organizações é preciso conhecer um 
pouco dos tipos de atacantes e ataques que as organizações 
estão sujeitas.
De quem preciso me proteger?
 Hacker significa pessoas que utilizam seus 
conhecimentos para invadir sistemas de computadores, com 
intuito de desafiar suas habilidades. Esta definição possui 
denotação diferente daquela que muitas vezes empregamos: 
hacker é aquele que invade sistemas computacionais visando 
causar transtornos às vitimas. Podemos dizer que a maioria dos 
hackers são pessoas que colocam o conhecimento em informática 
como algo de destaque em suas vidas, uma forma de poder. Em 
geral, são excelentes programadores de linguagens de alto nível, 
como C, juntamente com assembler (que apesar de ser de baixo 
nível apresenta compatibilidade e versatilidade) e, conhecem 
muito bem redes de computadores.
 Antigamente, somente existiam hacker e cracker – aqueles 
que causavam danos a sistemas e roubavam informações – e, 
como curiosidade, os hackers não gostavam, pois acabavam 
sendo incorporados a eles esta característica. Atualmente, esta 
classificação foi alterada e de acordo com estudos realizados, 
temos diversas outras classificações para os diversos tipos e 
www.esab.edu.br 15
níveis de hacker. Os mais conhecidos:
•	 Hackers.
•	 Full Fledged ou 
Crackers.
•	 Script kiddies ou 
Newbies.
•	 Lammers.
•	 Wannabe.
•	 Cyberpunks.
•	 Carders.
•	 Phreakers.
•	 Insiders.
•	 Coders.
•	 White hat.
•	 Gray hat.
•	 Cyberterrorista.
Hackers: no mundo da Ciência da Computação ou Ciência da 
Informação, os hackers são analistas de sistemas que são 
especialistas em segurança e auditoria. Com técnicas estudadas 
e algumas próprias, eles procuram brechas e possíveis falhas no 
sistema, e relatam o que foi achado e se existe uma forma para 
consertar. Infelizmente este conceito de hacker mudou depois de 
Kevin Mitinick, que utilizava estas técnicas para roubar informações 
vitais principalmente do governo americano. Depois que Mitnick 
foi preso, a mídia mundial o chamou de hacker, e o termo ficou 
assim conhecido por todos como sendo a pessoa que invade e 
rouba informações de sistemas.
 Com a nova economia gerada pelos computadores e pela 
Internet, é comum que as empresas guardem suas informações 
em formato digital, e também é comum a contratação de hackers 
por outras empresas, para espionagem industrial. Um hacker não 
age somente na Internet. Para descobrir informações que possam 
levá-lo a conseguir completo controle sobre o sistema, faz um 
verdadeiro trabalho de detetive. Um livro que ilustra muito bem 
esta situação é “A Arte de Enganar”, do Kevin Mitnick. Hoje, ele é 
proibido de acessar qualquer computador e presta consultoria de 
segurança para diversas organizações mundiais, conforme a 
liberação do governo americano. No livro, ele narra vários episódios 
www.esab.edu.br 16
de acesso a informações sigilosas. Ele não diz que foi ele quem 
obteve o acesso, mas muita gente acredita que sim. Pelo sim ou 
pelo não, é válido ler para verificar como podemos ser enganados 
facilmente.
Full Fledged ou Crackers: utiliza suas habilidades para invadir 
sistemas e roubar informações secretas das empresas, sendo os 
verdadeiros terroristas da Internet, com intuito de roubar e destruir 
dados. Não medem conseqüências, contanto que consigam o que 
querem. Não são de confiança e costumam ser desprezados pelos 
próprios hackers. É comum vender as informações para a própria 
vítima, ameaçando a divulgação do roubo, no caso da empresa 
não negociar. Este ato é chamado de blackmail. Citamos o exemplo 
da CD Universe que teve um cracker em seus sistemas. Ele 
capturou os dados de cartão de crédito dos clientes e exigiu 100 
mil dólares para não divulgar. A CD Universe não atendeu a 
solicitação e houve a divulgação dos mesmos.
Script kiddies ou Newbies: ou “novatos” são os principiantes e 
apesar de muitos descartarem este tipo, trazem diversos problemas 
para as empresa. Em geral, são pessoas inexperientes, que 
possuem conhecimento médio sobre como navegar na Internet, e 
utilizam pequenos programas para tentar invadir computadores 
(normalmente de usuários domésticos) disponíveis na Internet. 
Eles não entendem o que estão fazendo, nem o que significa o 
programa. São freqüentadores de salas de chat, onde procuram 
trocar informações com pessoas mais experientes. São perigosos 
para as organizações que não possuem uma política de segurança 
adequada, por isso apresentam algumas vulnerabilidades, como 
atualização de patch em servidor, sistemas operacionais e banco 
de dados. Porém, foi devido a este tipo de hacker que as 
organizações começaram a perceber o valor da segurança e 
realizarem procedimentos que minimizem os efeitos deste tipo de 
ataque, pois uma imensa maioria na Internet e também é o que 
www.esab.edu.br 17
mais causa incidente. Um fator interessante é que pelos 
conhecimentos dos scripts kiddies serem limitados, muitas vezes 
servidores Windows sofre ataques com comandos Unix.
Lammers: são script kiddies que estão começando a entender 
como o programa de invasão funciona, e descobrem locais onde 
podem trocar informações e aprender alguma técnica de 
hackerismo. Gostam de falar em salas de chat que conseguem 
invadir sistemas, querendo se apresentar a Internet. Às vezes, em 
chat fazem “flood” (ou inundação de informações). Felizmente, 
para cada grupo de Lammers que aparecem hoje na Internet, 
somente uns poucos conseguem chegar a se tornar hackers 
propriamente ditos.
Wannabe: são lammers que conseguiram invadir computadores 
com o uso de um programa ou parar os sistemas de um provedor 
pequeno ou empresa utilizando alguma técnica. O nome “Wannabe” 
surgiu devido ao número crescente de lammers, que “querem ser” 
hackers, e possuem algum conhecimento para isto. São aprendizes 
e se bem orientados, podem se tornar bons hackers. É comum 
escutar notícias de sites na Internet pichados pelos wannabe.
Cyberpunks: são hackers que se dedicam à invasão por 
divertimento e desafio. Possuem profundos conhecimentos e 
preservam sua privacidade, utilizando criptografia em suas 
comunicações. Eles acreditam que o governo tenta captar as 
informações das pessoas na Internet, tornando-se um grande 
inimigo. São os mais extremistas que acreditam e divulgam as 
teorias de conspiração que, muitas vezes, encontramos na Web.
Por terem um bom conhecimento e serem muito desconfiados, 
conseguem descobrir diversas vulnerabilidades em sistemas, 
serviços e protocolos, ajudando à comunidade e aos distribuidores 
a corrigir estes problemas. Infelizmente, as grandes empresas 
distribuidoras contam com esta ajuda externa e não adotam a 
www.esab.edu.br 18
política do desenvolvimento com segurança, caso contrário, não 
teríamos tantas correções em nossos sistemas computacionais.
Carders: são especialistas em roubar números de cartões de 
crédito e utilizar estes números para comprar via Internet. Como 
os crackers, os carders são hackers que, ou conseguiram invadir 
um sistema de uma operadora de cartões de crédito, ou trabalhavam 
no setor de Informática de uma operadora. Este tipo de hacker 
costuma causar grandes prejuízos as operadoras e empresas, 
obrigando estas a revisar a segurança constantemente.
Phreakers: são especialistas em telefonia e informática, com 
conhecimento suficiente para invadir um sistema utilizando o 
sistema de telefonia de um país, diferente daquele que está 
localizado.
Insiders: são os responsáveis pelamaioria dos incidentes graves 
nas organizações. Este tipo de ataque é originário da própria 
organização, podendo ser realizado a partir da engenharia social 
ou até mesmo relação de funcionário com o chefe, através da 
espionagem industrial e suborno.
 Uma nova modalidade do crime organizado é a espionagem 
industrial, atribuída aos insiders. E a demanda para estes hackers 
é grande, pois vivemos numa sociedade baseada no conhecimento 
e informação. Muitas pessoas nas organizações não sabem do 
valor que possuem em suas mãos. Os ataques internos, apesar 
de ser em menor quantidade, apresentam maiores prejuízos às 
organizações. É o que diz uma pesquisa realizada pela Computer 
Crime and Security Survey – Computer Security Institute. A 
pesquisa mostra que os hackers são os maiores atacantes a 
empresas (81%) contra os funcionários internos (76%). Porém, o 
ataque realizado por funcionários internos resulta em maiores 
perdas financeiras, sendo o roubo de propriedade intelectual da 
organização.
 O valor do prejuízo por roubo destas informações 
correspondeu a 151 milhões de dólares e o segundo colocado – a 
www.esab.edu.br 19
fraude financeira – a 93 milhões de dólares. Os funcionários são 
as maiores ameaças para a empresa por possuírem fácil acesso 
a informações, por conhecer pessoas de outros setores, ou seja, 
a fonte de informações importantes e ter acesso a diversas 
informações da empresa. Insiders geralmente são funcionários 
insatisfeitos com a empresa ou chefe, pois são mais fáceis de ser 
manipulados por concorrentes, que sabem como persuadir as 
pessoas que se encontram neste tipo de situação.
 Os terceiros podem constituir um grave risco, por conhecerem 
a rotina da organização, informações sigilosas, hábitos e pontos 
fracos da empresa. É possível que aceitem suborno para 
transmissão destas informações, a fim de obter segredos 
industriais. Outro controle importante é das pessoas da limpeza e 
manutenção predial, pois possuem acessos a diversas áreas 
restritas. A engenharia social pode ser utilizada nestas pessoas 
para a obtenção de diversas informações importantes.
Coders: são os hackers que compartilham seus conhecimentos 
escrevendo livros, ministrando palestras e seminários sobre sua 
experiência. É uma atividade lucrativa para os coders. Kevin 
Mitnick, mais uma vez, é um exemplo.
White hat: “hackers do bem”, “hackers éticos”, samurais ou 
sneakers, são os que utilizam seus conhecimentos para descobrir 
vulnerabilidades nos sites, aplicando as correções necessárias. 
Trabalham de forma legal dentro da organização, exercendo a 
função de assegurar a segurança organizacional.
 Em suas atividades estão os testes de invasões, para que 
se possa mensurar o nível de segurança da rede, porém deve-se 
limitar este processo, para que dados sigilosos a empresa não 
sejam expostos. O serviço de um white hat é importante, mas 
deve-se tomar cuidado para que o mesmo não queira cobrar a 
mais do que o combinado a fim de aplicar a correção à 
www.esab.edu.br 20
vulnerabilidade. Infelizmente, é preciso constantemente realizar 
esta atividade, pois a cada nova implantação podemos estar 
disponibilizando novas brechas de segurança.
Gray hat: são os black hats que fazem papel de white hats, 
exercendo função na área de segurança, tendo conhecimento em 
hacking. Empregar um gray hat é perigoso para a organização, 
pois muitas vezes provocam incidentes para ajudar na resolução 
– e receber por isto. Existem casos de gray hats que foram 
contratados para encontrar e corrigir vulnerabilidades, porém o 
serviço não foi feito.
Cyberterrorista: são aqueles que realizam ataques a um alvo 
direcionado, escolhido cuidadosamente por questões religiosas, 
políticas ou comerciais, derrubando a comunicação entre a Internet 
e a empresa, principalmente com ataques DoS (Denial of Service). 
Podemos citar o ataque no site da SCO e Microsoft no ano de 
2003, que devido a ataque coordenado ficou indisponível e obteve 
na mídia grande destaque.
Vídeode segurança de redes:
https://www.youtube.com/watch?v=XAsFhWIcA1I 
https://www.youtube.com/watch?v=XAsFhWIcA1I 
www.esab.edu.br 21
Segurança Continuada
 O mundo da segurança, seja pensando em violência 
urbana ou em hackers, é peculiar. Ele é marcado pela evolução 
contínua, no qual novos ataques têm como resposta novas 
formas de proteção, que levam ao desenvolvimento de novas 
técnicas de ataques, de maneira que um ciclo é formado. Não 
é por acaso que é no elo mais fraco da corrente que os ataques 
acontecem. De tempos em tempos os noticiários são compostos 
por alguns crimes “da moda”, que vêm e vão. Como resposta, o 
policiamento é incrementado, o que resulta na inibição daquele 
tipo de delito. Os criminosos passam então a praticar um novo tipo 
de crime, que acaba virando notícia. E o ciclo assim continua. Já 
foi comprovada uma forte ligação entre seqüestradores e ladrões 
de banco, por exemplo, na qual existe uma constante migração 
entre as modalidades de crimes, onde o policiamento é geralmente 
mais falho.
 Esse mesmo comportamento pode ser observado no mundo 
da informação, de modo que também se deve ter em mente que a 
segurança deve ser contínua e evolutiva. Isso ocorre porque o 
arsenal de defesa usado pela organização pode funcionar contra 
determinados tipos de ataques; porém, pode ser falho contra 
novas técnicas desenvolvidas para driblar esse arsenal de defesa. 
Veja alguns fatores que devem ser considerados para a 
preocupação com a segurança contínua:
a. Entender a natureza dos ataques é fundamental: é preciso 
entender que muitos ataques são resultados da exploração de 
www.esab.edu.br 22
vulnerabilidades, as quais passam a existir devido a uma falha no 
projeto ou na implementação de um protocolo, aplicação, serviço 
ou sistema, ou ainda devido a erros de configuração e administração 
de recursos computacionais. Isso significa que uma falha pode ser 
corrigida, porém novos bugs sempre existirão;
b. Novas tecnologias trazem consigo novas vulnerabilidades: 
é preciso ter em mente que novas vulnerabilidades surgem 
diariamente. Como novas tecnologias e novos sistemas são 
sempre criados, é razoável considerar que novas vulnerabilidades 
sempre existirão e, portanto, novos ataques também serão sempre 
criados. As redes sem fio (wireless), por exemplo, trazem grandes 
benefícios para as organizações e os usuários, porém trazem 
também novas vulnerabilidades que podem colocar em risco os 
negócios da organização;
c. Novas formas de ataques são criadas: a própria história 
mostra uma evolução constante das técnicas usadas para ataques, 
que estão cada vez mais sofisticadas. A mistura de diferentes 
técnicas, o uso de tecnologia para cobrir vestígios a cooperação 
entre atacantes e a criatividade são fatores que tornam a defesa 
mais difícil do que o habitual;
d. Aumento da conectividade resulta em novas possibilidades 
de ataques: a facilidade de acesso traz como conseqüência o 
aumento de novos curiosos e também da possibilidade de disfarce 
que podem ser usados nos ataques. Além disso, novas tecnologias, 
principalmente os novos protocolos de comunicação móvel, 
alteram o paradigma de segurança. Um cenário onde os usuários 
de telefones celulares são alvos de ataques e usados como porta 
de entrada para ataques a uma rede corporativa, por exemplo, é 
completamente plausível;
www.esab.edu.br 23
e. Existência tanto de ataques direcionados quanto de ataques 
oportunísticos: apesar de a maioria dos ataques registrados ser 
oportunística, os ataques direcionados também existem em grande 
número. Esses ataques direcionados podem ser considerados 
mais perigosos, pois, existindo a intenção de atacar, a estratégia 
pode ser cuidadosamente pensada e estudada, e executada de 
modo a explorar o elo mais fraco da organização. Esses são, 
geralmente, os ataques que resultam em maiores prejuízos, pois 
não são feitos de maneira aleatória, como ocorre com os ataques 
oportunísticos. Isso pode ser observado também pelo nível deagressividade dos ataques. Quanto mais agressivo é o ataque, 
maior é o nível de esforço dispensado em um ataque a um alvo 
específico. É interessante notar também que a agressividade de 
um ataque está relacionada com a severidade, ou seja, maiores 
perdas;
f. A defesa é mais complexa do que o ataque: para o hacker, 
basta que ele consiga explorar apenas um ponto de falha da 
organização. Caso uma determinada técnica não funcione, ele 
pode tentar explorar outras, até que seus objetivos sejam atingidos. 
Já para as organizações, a defesa é muito mais complexa, pois 
exige que todos os pontos sejam defendidos. O esquecimento de 
um único ponto faz com que os esforços dispensados na segurança 
dos outros pontos sejam em vão. Isso acaba se relacionando com 
uma das principais falácias do mundo corporativo: a falsa sensação 
de segurança. É interessante notar que, quando o profissional não 
conhece os riscos, ele tende a achar que tudo está seguro com o 
ambiente. Com isso, a organização passa, na realidade, a correr 
riscos ainda maiores, que é o resultado da negligência. Isso 
acontece com os firewalls ou com os antivírus, por exemplo, que 
não podem proteger a organização contra determinados tipos de 
ataques.
www.esab.edu.br 24
g. Aumento dos crimes digitais: o que não pode ser subestimado 
são os indícios de que os crimes digitais estão se tornando cada 
vez mais organizados. As comunidades criminosas contam, 
atualmente, com o respaldo da própria Internet, que permite que 
limites geográficos sejam transpostos, oferecendo possibilidades 
de novos tipos de ataques. Além disso, a legislação para crimes 
digitais ainda está na fase da infância em muitos países, o que 
acaba dificultando uma ação mais severa para a inibição dos 
crimes.
DICA
O que é assinatura digital.
http://www.jf.jus.br/cjf/tecnologia-da-informacao/
identidade-digital/o-que-e-assinatura-digital
http://www.jf.jus.br/cjf/tecnologia-da-informacao/identidade-digital/o-que-e-assinatura-digital
http://www.jf.jus.br/cjf/tecnologia-da-informacao/identidade-digital/o-que-e-assinatura-digital
www.esab.edu.br 25
TIPOS DE ATAQUES E CLASSIFICAÇÃO
CONHECENDO OS TIPOS DE ATAQUE
Como os hackers agem para conseguirem invadir sistemas em 
ambientes cooperativos?
Existe algum tipo de planejamento antes de um ataque?
Se sim, quais os pontos que são monitorados?
Qual é o pior tipo de ataque e o que mais compromete a 
disponibilidade da organização? Estas e outras perguntas serão 
respondidas neste capítulo.
Como os hackers agem para conseguirem invadir sistemas 
em ambientes cooperativos?
 Há duas formas de um hacker conseguir informações de 
uma empresa: através da engenharia social e utilização de 
invasões técnicas. Ambas exploram as deficiências no projeto do 
sistema ou de seu gerenciamento. Inclusive, o gerenciamento de 
sistemas vem sendo algo muito pesquisado e está aumentando 
oportunidades de se trabalhar nas organizações nesta atividade. 
O maior problema para as organizações é que os softwares 
adquiridos não estão sendo desenvolvidos para atender o quesito 
segurança, mas por estratégia de marketing, que diz que o produto 
realiza determinada tarefa e irá estar disponível no mercado em 
determinada data, minimizando o tempo de desenvolvimento e 
teste. Construir sistemas seguros exige maior disponibilidade de 
www.esab.edu.br 26
tempo e uma metodologia que propicie este comportamento. 
Diversos testes devem ser realizados, mas a maior parte das 
organizações sequer testa suas aplicações devidamente, sistemas 
operacionais e ferramentas para gerenciamento. É fácil afirmar 
pela quantidade de atualizações que são necessárias no decorrer 
da vida útil dos softwares que utilizamos.
Os hackers tentam explorar algumas condições:
•	 As vulnerabilidades na implementação e no designer do 
sistema operacional, serviços aplicativos e protocolos.
•	 Utilização de senhas de fácil dedução que podem ser obtidas 
através de capturas (packet sniffing).
•	 Uso impróprio de ferramentas para gerenciamento, como 
sniffing – que serve para diagnosticar problemas na rede – e 
por scanning – identifica portas ativas do sistema, e serviços 
por porta.
•	 Configuração, administração ou manutenção imprópria de 
sistemas coordenados por componentes de segurança, o 
que salienta a necessidade de se realizar as configurações 
dos componentes de forma apropriada. Ter um Firewall na 
rede não significa que a rede está protegida, e se aplica aos 
Sistemas de Detecção de Intrusão (IDS) mal configurados.
 A maior parte dos hackers na Internet são os newbies ou 
script kiddies e seus ataques são os mais simples (atacam 
vulnerabilidades do sistema operacional ou parecido, através de 
programas disponíveis da Web). Ao menos, este tipo de ataque 
deve não comprometer a continuidade dos negócios da empresa. 
As ferramentas de defesa, monitoração de rede, planos de 
contingência e política de respostas a incidentes vem a combater 
os hackers constantemente, porém é complicado disponibilizar 
defesas a novos tipos de ataques, por isso é importante que 
existam políticas e administradores de redes voltados à segurança.
www.esab.edu.br 27
Existe algum tipo de planejamento antes de um ataque?
 Os motivos que levam um hacker a invadir um site são 
diversos. Os script kiddies nem sabem o que estão fazendo, mas 
querem realizar ataques. Os insiders ou black hats têm um perfil 
diferente, realmente querem roubar informações sigilosas e invadir 
sistemas causando prejuízos às vitimas, causando os maiores 
transtornos aos sites. Os cyberterroristas também são perigosos 
para seus alvos, pois podem comprometer a infra-estrutura até 
mesmo de uma nação. Se um hacker com a experiência deles 
decidem invadir algum sistema obtendo primeiramente a maior 
quantidade de informações de seu alvo.
 Após conseguir o levantamento dos dados, eles utilizam os 
seguintes recursos:
•	 Monitoração de rede.
•	 Penetração no ambiente corporativo.
•	 Inserção de códigos prejudiciais e/ou informações falsas no 
sistema.
•	 Envio de muitos pacotes com a finalidade de derrubar o 
sistema.
 As conseqüências são diversas, pois depende da segurança 
implementada na rede atacada. Exemplos:
•	 Monitoração por parte dos hackers na rede corporativa.
•	 Roubo de informações confidenciais a empresa.
•	 Alteração em sistemas corporativos, especialmente em base 
de dados e servidores.
•	 Negação de serviços a usuários com permissão de acesso.
•	 Fraudes e perdas financeiras.
www.esab.edu.br 28
•	 Perda da credibilidade perante o mercado.
•	 Trabalho extra e indisponibilidade para clientes devido à 
recuperação dos recursos.
 Salienta-se o fato de que os hackers tentam esconder suas 
evidências de ataque, alterando logs do sistema operacional, 
trocando arquivos de configuração, entre outros procedimentos. 
Entretanto, existem formas de não permitir estes processos, 
através dos Sistemas de Detecção de Intrusão.
Etapas básicas para a metodologia de ataque Extraído do site 
www.microsoft.com
Tipos de Ataques
 O sucesso do ataque de um hacker está em obter informações 
de um sistema sem ser percebido. Relacionaremos os principais 
tipos de ataques e as técnicas utilizadas para obtenção de 
informações confidenciais, dividindo-os nos seguintes tipos:
•	 Ataques para obtenção de informações.
•	 Ataques físicos.
•	 Ataques de negação de serviços ou Denial Of Service (DoS).
http://www.microsoft.com
www.esab.edu.br 29
•	 Ataques ativos contra o protocolo TCP.
•	 Ataque no nível de aplicação.
•	 War Dialing.
Ataques para obtenção de informações:
a. Dumpster diving ou trashing: várias empresas desconhecem 
o valor do lixo de sua empresa, ao contrário de um hacker 
que examina os lixos em busca de informações importantes 
para o ataque, e conseguem na maioria das vezes. No livro 
“A Arte de Enganar”, Kevin Mitnick mostra muitas situações 
semelhantes. No Brasil, esta técnica é muito utilizada pelos 
hackers, pois nossa cultura é menosprezar o valor do lixo. 
Para amenizar esterisco, é importante distribuir 
fragmentadoras de papéis, pra evitar que o cruzamento das 
informações, que constam em papéis descartados no lixo, 
sejam cruzadas e transformadas em acesso a informações 
de clientes ou usuários. Esta prática deve ser incorporada à 
política da empresa.
b. Engenharia social: é a técnica que explora as fraquezas 
humanas e sociais, ao invés da tecnologia, com objetivo de 
persuadir as pessoas, enganando e empregando falsas 
identidades, a fim de obter informações como senhas, ou 
dados que sejam importantes para invadir o sistema. Muitas 
vezes, é utilizado termos da própria organização para obter 
êxito neste processo. De forma clássica, o hacker se passa 
por alguém da alta hierarquia da empresa e consegue as 
informações que precisam, ou usa novos funcionários 
contratados para conseguirem dados que de outra forma 
não conseguiriam.
Exemplos:
1: Um desconhecido liga para a sua casa e diz ser do suporte 
técnico do seu provedor, e que sua conexão com a Internet está 
www.esab.edu.br 30
apresentando algum problema e, então, pede sua senha para 
corrigi-lo. Caso você entregue sua senha, este suposto técnico 
poderá realizar uma infinidade de atividades maliciosas, utilizando 
a sua conta de acesso a Internet e, portanto, relacionando tais 
atividades ao seu nome.
2: Você recebe uma mensagem via e-mail, dizendo que seu 
computador está infectado por um vírus. A mensagem sugere que 
você instale uma ferramenta disponível em um site da Internet, 
para eliminar o vírus de seu computador. A real função desta 
ferramenta não é eliminar um vírus, mas permitir que alguém tenha 
acesso ao seu computador e a todos os dados nele armazenados.
3: Você recebe uma mensagem via e-mail, onde o remetente é o 
gerente ou o departamento de suporte do seu banco. Na mensagem 
é mencionado que o serviço de Internet Banking está apresentando 
algum problema e que tal problema pode ser corrigido se você 
executar o aplicativo que está anexado a mensagem. A execução 
deste aplicativo apresenta uma tela análoga àquela que você 
utiliza para ter acesso à conta bancária, aguardando que você 
digite sua senha. Na verdade, este aplicativo está preparado para 
furtar sua senha de acesso à conta bancária e enviá-la para o 
atacante.
 Os discursos apresentados nos exemplos mostram ataques 
típicos de engenharia social que procuram induzir o usuário a 
realizar alguma tarefa e o sucesso do ataque depende única e 
exclusivamente da decisão do usuário em fornecer informações 
sensíveis ou executar programas. Citamos o exemplo ocorrido à 
AOL em outubro de 1998, que através da engenharia social, um 
hacker conseguiu alterar o DNS e direcionar todo o tráfego para 
um outro servidor, que não era do provedor.
www.esab.edu.br 31
Ataques físicos
 É caracterizado por roubo de equipamentos, softwares ou 
fitas magnéticas e é dos métodos de ataques mais comuns. 
Citamos o exemplo do famoso Kevin Poulser, que roubou diversos 
equipamentos do provedor de acesso de diversas organizações, 
quebrando o sigilo e confidencialidade de diversas empresas. 
Informações livres e disponíveis na Internet: distribuídas livremente 
na Internet e consideradas não intrusivas são valiosas para 
ataques direcionados.
 Citamos o exemplo das consultas ao DNS, análise de 
cabeçalhos de e-mail e busca de informações em lista de 
discussões. Baseado nestes tipos de dados é possível descobrir 
detalhes sobre sistemas, topologia e dados de usuários que 
podem servir num ataque, mesmo de forma inconsciente para 
quem o fornece. Citamos também as listas de discussões que 
muitas vezes constam informações da pessoa, como cargo e 
setor, e dos superiores em caso de mensagens mal formadas de 
ausência. Outros exemplos são os protocolos Simple Network 
Management Protocol (SNMP) e o Netbios, e serviços como finger, 
ruses, systat, netstat, todos os casos disponibilizam informações 
do tipo de sistema operacional e sua versão.
 Packet Scanning ou eavesdropping: consiste na captura de 
pacotes que trafegam pela rede. Diversos softwares realizam esta 
tarefa, como snoop do Solaris, tcpdump do Linux, utilizados para 
resolução de problemas de rede. As informações obtidas pelos 
sniffers são referentes a pacotes que trafegam pelo segmento que 
o software esta funcionando. Disponibilizam diversas ferramentas 
de filtros, que auxiliam na detecção de problemas e identificação 
de transações. Fazer sniffer na rede é muito importante para os 
administradores, porém em mãos de hackers é um grave problema 
para a organização. Para minimizar este problema, é recomendável 
segmentar a rede, através de switch ou roteadores, pois este 
procedimento dificulta o entendimento do tráfego.
www.esab.edu.br 32
 Outros tipos de informação capturada através de sniffers 
são as senhas sem criptografia, ou seja, que trafegam com FTP, 
Telnet ou Pop. Os e-mails também perdem sua confidencialidade 
através dos sniffers. Como medida de segurança, é recomendável 
o uso de criptografia, como SSH ou IPSec, ao invés do Telnet. É 
importante também, o uso de criptografia nos e-mails. Há técnicas 
diversas para descobrir se um sniffer está sendo executado. Um 
deles e mais simples é verificar se existe, em cada equipamento 
da rede, seu processo em execução, porém é comum que os 
hackers o inibam da lista, dificultando a percepção dos 
administradores. O mesmo ocorre com a verificação de 
equipamentos em execução de modo promíscuo.
 Uma forma de amenizar o problema de execução de sniffer 
por hackers é a utilização de tráfego com senha. A identificação do 
hacker é feita quando o mesmo tentar acessar recursos com uma 
senha não válida, porém ele consegue efetuar algumas transações 
de forma legítima, inclusive com os dados do usuário que ele 
roubou. . O Mac Detecction é uma forma de o hacker aproveitar a 
vulnerabilidade do endereço IP em equipamentos que não estão 
implementados o TCP/IP corretamente, utilizando um MAC 
Address falso, onde o IP não confere com o MAC Address de 
equipamentos em modo promíscuo.
 O DNS Detecction utiliza a característica de alguns sniffers 
de realizar o DNS Reverso onde um tráfego com endereço falso é 
colocado na rede e, o sniffer captura o tráfego e tenta resolver o 
nome através do DNS. O DNS consegue saber quantos sniffers 
estão na rede, porém não consegue localizar os segmentos.
 O Load Detecction é a detecção a partir do comportamento 
de um equipamento quanto a tempo de resposta, levando em 
consideração que o equipamento onde está sendo executado 
sniffer possui um tempo de resposta maior do que o normal. Em 
geral, é enviado um pacote teste para realizar a análise estatística. 
Entretanto, esta técnica não funciona com eficiência em redes de 
www.esab.edu.br 33
muito tráfego e banda considerável, pois torna-se semelhante o 
tempo de resposta com e sem sniffer.
 Um caso prático: Como proteger sua senha contra Sniffers: 
se o usuário possui uma senha adequada, a troca é realizada com 
certa regularidade e um dia é surpreendido por uma invasão em 
sua conta, por exemplo. As evidências indicam que invasões a 
contas de terceiros partiram de sua conta e você não tem a menor 
idéia do que está acontecendo. Isto é, alguém pode ter feito uso 
de sua conta e realizou estes atos como sendo você. Como isso 
pode ter acontecido? Uma forte possibilidade é que você tenha 
sido vítima de um ataque de sniffer. Mas, o que é isso?
 Sniffers são programas que permitem a um atacante roubar 
sua senha e assim utilizar a sua conta como se fosse você. Estes 
tipos de ataques são comuns. É muito importante que você, como 
usuário Internet, tenha consciência de como suas senhas são 
vulneráveis e como tomar medidas apropriadas para tornar sua 
conta mais segura. Selecionar uma boa senha e regularmente 
trocar de senha ajuda bastante, mas também é muito importante 
que se conheça quando se está vulnerável a sniffers e como lidar 
com eles.
 Os sniffers são programas que permitem monitorar a 
atividade da rede registrando nomes (username esenhas) sempre 
que estes acessam outros computadores da rede. Atuam 
monitorando o fluxo de comunicação entre os computadores. 
Estes programas ficam monitorando o tráfego da rede para 
capturar acessos a serviços de redes, como serviço de e-mail 
remoto (IMAP e POP), acesso remoto (telnet, rlogin, etc), 
transferência de arquivos (FTP), etc., com objetivo de obter a 
identificação de acesso à conta do usuário, caso esteja nas mãos 
de um hacker. Cada um destes serviços utiliza um protocolo que 
define como uma sessão é estabelecida, como sua conta é 
identificada e autenticada e como o serviço é utilizado, e ao ser 
disponibilizado solicita uma autenticação, usuário e senha, neste 
www.esab.edu.br 34
momento o hacker obtém sucesso na sua tentativa de saber dados 
alheios, ou seja, os dados que mais interessam no snifffer, neste 
caso, são os do inicio da sessão.
 A figura seguinte mostra o processo de “conversação” entre 
duas máquinas remotas, onde a identificação do usuário passa 
“abertamente” pela rede de uma máquina para outra.
Transferência de arquivos via FTP
 A máquina A inicia a conexão com a máquina B, que solicita 
identificação do usuário. Este ao se autenticar na máquina remota 
B tem sua senha capturada pelo sniffer. Para entender como um 
“sniffer” funciona é preciso saber que cada computador em uma 
LAN compartilhada pode visualizar todos os pacotes de dados 
que transitam de um computador a outro desta LAN. Assim, cada 
computador desta rede pode executar um programa sniffer que 
verificará os pacotes, podendo os salvar em um arquivo.
 Basicamente, os seguintes passos são executados por 
atacantes:
Passo 1: O atacante, ao penetrar em sua rede, quebrando uma 
determinada máquina.
Passo 2: Instala um programa sniffer.
Passo 3: Este programa monitora a rede em busca de acesso a 
www.esab.edu.br 35
serviços de rede, as capturas são realizadas e registradas em um 
log file.
Passo 4: Em seguida, o arquivo de log é recuperado pelo atacante.
 Existem diversas razões que levam pessoas a roubar 
senhas, desde para simplesmente para perturbar alguém, desafiar 
conhecimentos ou praticar atividades ilegais (invasão em outros 
computadores, roubo de informações, etc). Um atrativo para os 
hackers é a capacidade de utilizar a identidade de terceiros nestas 
atividades. Uma das principais razões que atacantes tentam 
quebrar sistemas e instalar sniffers é poder capturar rapidamente 
o máximo de contas possível, a fim de ocultar seus ataques. 
Parece desesperador dizer tudo o que um sniffer pode fazer para 
uma rede, em mãos erradas. Mas, o importante é saber onde 
estão os riscos e tentar se proteger de forma adequada.
 Quando você tem seu cartão de crédito roubado ou desconfia 
que alguém pode estar utilizando-o indevidamente, você cancela 
o cartão e solicita outro. Da mesma forma, como senhas podem 
ser roubadas, é fundamental que você a troque regularmente. 
www.esab.edu.br 36
Esta precaução limita a quantidade de tempo que uma senha 
roubada possa ser utilizada por um atacante. Nunca compartilhe 
sua senha com outros. Este compartilhamento torna difícil saber 
onde sua senha está sendo utilizada (e exposta) e é mais difícil 
detectar uso não autorizado.
 Nunca forneça sua senha para alguém alegando que precisa 
acessar sua conta para corrigir algum problema ou quer investigar 
uma quebra do sistema. Este truque é um dos métodos mais 
eficazes de hacking, conhecido como “engenharia social”. Outro 
aspecto que você deverá levar em consideração é o nível de 
segurança da rede que você utiliza ou administra. Se você estiver 
viajando e necessita acessar computadores de sua organização 
remotamente. Por exemplo, pegar algum arquivo em seu home 
directory e você tem disponível um cybercafé ou uma rede de 
outra organização. Você tem certeza que pode confiar naquela 
rede? Você tanto pode estar sendo monitorado com sniffers quanto 
pode ter algum trojan fornecendo suas informações a algum 
hacker.
 Se você não tiver nenhuma alternativa para acesso remoto 
seguro e só tem disponíveis recursos como Telnet, por exemplo, 
você pode minimizar o efeito negativo trocando a senha ao final 
de cada sessão. Lembre-se que somente os primeiros pacotes 
(200 a 300 bytes) de cada sessão carregam informações de seu 
login. Portanto, ao trocar sempre sua senha antes de encerrar a 
sessão, esta não será capturada e a senha anterior que esteve 
exposta à rede não será mais válida. É claro que é possível se 
capturar tudo que passar pela rede, mas atacantes não tem 
interesse de lotar o sistema de arquivo rapidamente e com isso 
ser facilmente descobertos.
 As redes continuam vulneráveis a sniffers devido a diversos 
fatores. Podemos dizer que a maior parte do problema é que as 
empresas tendem a investir mais em novos recursos do que em 
adicionar segurança. Novas funcionalidades de segurança podem 
www.esab.edu.br 37
deixar os sistemas mais difíceis de configurar e menos convenientes 
para utilizar. Outra parte do problema está relacionada a custos 
adicionados por switches Ethernet, hubs, interfaces de rede que 
não suportam o modo especial promiscuous que sniffers podem 
utilizar.
 Os sniffers são aplicações passivas, não geram nada que 
possa ser sentido facilmente pelos usuários e/ou administradores. 
Em geral, não deixam rastros. Uma forma de detectar um sniffer é 
verificar todos os processos em execução. Isto não é totalmente 
confiável, mas é um bom ponto de partida. Comandos para listar 
processos em execução variam de plataforma para plataforma. 
Se você estiver em uma máquina Unix, o sniffer aparecerá em 
uma lista do comando ps, a menos que este ps seja um trojan 
(programa implementado pelo atacante que aparentemente 
funciona como o esperado, mas efetuar funções desconhecidas 
pelo usuário). No Windows, basta verificar na lista de processos 
em execução e para isto, basta teclar <CTRL><ALT><DEL>.
 Outra alternativa é procurar por um sniffer conhecido. Existe 
uma grande chance de o atacante estar utilizando uma versão 
freeware. Obviamente, existe a possibilidade de o atacante ter 
escrito o seu próprio sniffer e neste caso a busca fica mais difícil. 
É preciso gastar mais tempo em analisar o que pode ter sido 
alterado pelo atacante. Por exemplo, comparar backup de dias 
diferentes ou utilizar alguns programas que possam ajudá-lo nesta 
atividade, como TripWire, ATP e Hobgoblin que são programas 
interessantes para checagem da integridade do sistema e arquivos.
 Os sniffers podem ser disfarçados na listagem do ps (o 
próprio ps como a maioria dos programas também pode). Basta 
trocar o argumento do seu argv[0] (o primeiro argumento) para um 
nome qualquer e não parecerá ser um programa suspeito que 
esteja em execução. Alguns utilitários permitem identificar se o 
seu sistema encontra-se em modo promíscuo e levá-lo a encontrar 
uma máquina suspeita.
www.esab.edu.br 38
Muitas organizações que estão atentas a este problema utilizam:
•	 Placas de redes que não podem ser colocadas em modo 
promíscuo. Assim, os computadores não podem ser 
transformados em sniffer.
•	 Normalmente, a interface Ethernet passa somente pacotes 
até o protocolo de nível mais alto que são destinados a 
máquina local. De modo promíscuo esta interface permite 
que todos os pacotes sejam aceitos e passados para a 
camada mais alta da pilha de protocolos, permitindo que a 
seleção do que se deseja.
•	 Nos pacotes em trânsito pela rede, os dados são 
criptografados, evitando assim que senhas trafeguem às 
claras.
 Considerando o último item, a prática de utilizar criptografia 
em sessões remotas, ajuda a manter a segurança das informações 
e senhas. Porém, para uma segurança mais efetiva somente 
quando implementado em todos os computadores que você utiliza 
em sua empresa ou casa e nas organizações fora de sua empresa 
que eventualmente tenha conta. Uma das tecnologias de 
criptografia bastante comum atualmente na comunicação segura 
entre máquina remota é SSH (Secure Shell). O SSH encontra-se 
disponívelpara diferentes plataformas. O seu uso não impede que 
a senha seja capturada, mas como esta se encontra criptografada 
não servirá para o atacante. O SSH negocia conexões utilizando 
algoritmo RSA. Depois que o serviço é autenticado, todo o tráfego 
subseqüente é criptografado utilizando tecnologia IDEA. Este tipo 
de criptografia é bastante forte.
www.esab.edu.br 39
 PortScanning: é um conjunto de ferramentas utilizadas 
para obter informações dos serviços executados por um 
equipamento, através do mapeamento de portas, pelo qual 
portas ativas para um endereço IP são identificadas. Cada 
porta é designada para uma aplicação específica (SMTP 25, SSH 
22, etc). Para um hacker, o port scanning favorece a redução de 
esforço quanto a ataques através de portas que não estão 
disponíveis nenhum serviço, podendo atacar de forma mais 
direcionada, conforme o serviço disponível e porta.
Vídeo de scanner de porta:
https://www.portalgsti.com.br/2013/06/41-video-aulas-de-
seguranca-da-informacao-gratis.html
https://www.portalgsti.com.br/2013/06/41-video-aulas-de-seguranca-da-informacao-gratis.html
https://www.portalgsti.com.br/2013/06/41-video-aulas-de-seguranca-da-informacao-gratis.html
www.esab.edu.br 40
Pesquisar e instalar um port scanner (não blues ou nmap) - 
Método
 O nmap é o port scanning mais utilizado, sendo empregado 
em auditorias de Firewall ou IDS, além de determinar falhas na 
pilha TCP/IP, que podem ser exploradas em ataques do tipo DoS. 
Através do método fingerpriting, ele consegue identificar o sistema 
operacional dos equipamentos scanneados. Existe ainda, a 
possibilidade de informar a seqüência de pacotes TCP, o que esta 
sendo feito em cada porta, por usuário, o nome DNS e se o 
endereço pode se tornar uma vítima do smurf.
www.esab.edu.br 41
 “Uma característica muito utilizada do nmap é o scanning 
paralelo que auxilia na detecção de estado de hosts pelos pings 
paralelos, filtragem de portas, decoy scanning, fragmentação de 
pacotes e flexibilidade na especificação de portas e alvo. Outra 
informação útil, é que o nmap informa o status de cada porta 
aberta, se aberta (aceita conexões), filtrada (o Firewall impede 
que seja especificado o estado da porta) e não filtrada. Muitos 
Firewalls podem protegê-lo contra o port scanning. O Firewall é 
um programa que monitora conexões de entrada e saída para o 
seu computador. Um Firewall pode abrir todas as portas do seu 
sistema de forma a interromper efetivamente o scan (varredura) 
de mostrar qualquer porta. Embora essa abordagem funcione em 
muitos casos, port scan avançou com novas técnicas como “ICMP 
port scan inacessível” e “Null scan”. Assim como é melhor tentar 
filtrar todas port scans para o seu computador, também é importante 
estar ciente de que qualquer porta que está aberta e na escuta 
precisa ser investigada.”
•	 Scanning de vulnerabilidades: realiza diversos testes na 
rede, tanto em protocolos, serviços, aplicativos ou sistemas 
operacionais.
 Se o hacker conseguir realizar o port scanning, conseguirá 
direcionar melhor seu ataque, na porta e serviço disponibilizado 
correto, além de ter identificado o sistema operacional do alvo, 
diminuindo o tempo gasto para causar o incidente de segurança. 
Através do scanner, que examina roteadores, Firewalls, sistemas 
operacionais e outras entidades IP, são detectados alguns riscos 
existentes na rede:
•	 Compartilhamento de arquivos não protegidos por senha.
•	 Configuração incorreta de roteadores, Firewall, navegadores 
ou serviços.
•	 Software com atualizações faltantes.
•	 Número de pacote TCP com facilidade de hackers descobrir.
www.esab.edu.br 42
•	 Buffer overflow em serviços, softwares e sistemas operacionais.
•	 Falhas de protocolos utilizados na rede.
•	 Roteadores mal configurados que expõe a rede.
•	 Checagem de trojans.
•	 Verificação de senhas fáceis de deduzir.
•	 Possibilidade de ataque de negação de serviço, ou Denial of 
Service (DoS).
 O scanner consegue diagnosticar diversas vulnerabilidades 
de sistema, e é uma ferramenta poderosa para a análise de riscos, 
segurança e auditoria. Ele vem alertar a organização de suas 
fragilidades para que medidas de segurança sejam tomadas. Todo 
scanning resulta num relatório, que deve ser avaliado pelos 
administradores de rede ou segurança, para diagnosticar a 
existência de “falsos-positivos” (dedução do scanner de ataque 
quando na verdade não é). Outro fator é a necessidade de se 
atualizar constantemente com assinaturas de novos ataques, para 
que o scanning seja o mais preciso possível. Vê-se que através do 
scanning podemos obter dados importantes da rede. Isto é válido 
para administradores e para hackers. Por isso, é vital que exista 
na rede Sistema de Detecção de Intrusão (IDS) para não permitir 
www.esab.edu.br 43
que hacker exerça esta atividade.
•	 Firewalking: O firewalking é um analisador de pacotes 
similar ao traceroute, que obtém informações de redes 
remotas protegidas por Firewall, através do protocolo ICMP.
 Obtém informações sobre uma rede remota protegida por 
um firewall, e tem o funcionamento similar ao traceroute. Os 
pacotes analisados são registrados mesmo que passem via 
gateways, permitindo o mapeamento dos roteadores antes dos 
Firewalls. Através destas informações, é possível gerar a topologia 
da rede e obter informações sobre filtragens de pacotes no Firewall.
 Uma das formas de se proteger contra o firewalking é 
proibindo o tráfego de pacotes ICMP na rede, utilização de proxy 
ou Network Address Translation – NAT no Firewall (o NAT faz com 
que um certo IP externo tenha receba uma tradução dentro da 
rede interna, outro IP e vice-versa).
•	 IP Spoofing: é uma técnica onde o endereço real do atacante 
é mascarado, evitando do mesmo ser encontrado. É bem 
www.esab.edu.br 44
utilizado em sistemas autenticadores e em ataque de 
negação de serviço ou Denial of Service (DoS), nos quais os 
pacotes de respostas não são esperados.
 O IP Spoofing não consegue entregar a resposta das 
requisições, pois o IP na realidade não existe.
Ilustração de ataque IP Spoofing (http://www.las.ic.unicamp.br/
edmar/Palestras/UFV/Seguranca_Vulnerabilidades.pdf)
 Um administrador pode proteger a rede corporativa 
restringindo as interfaces de rede, através de filtros de acordo com 
o endereço utilizado na rede externa. Citamos o exemplo de que 
se a empresa tem endereços 200.246.200.0 disponíveis 
externamente, o Firewall deve negar conexão onde a origem é 
200.246.200.0. O Land pode auxiliar na pesquisa da vulnerabilidade 
TCP/IP, fazendo com que a origem e destino tenham a mesma 
porta, caso estejam dentro da rede corporativa, evitando o IP 
Spoofing de endereços internos a rede.
http://www.las.ic.unicamp.br/edmar/Palestras/UFV/Seguranca_Vulnerabilidades.pdf
http://www.las.ic.unicamp.br/edmar/Palestras/UFV/Seguranca_Vulnerabilidades.pdf
www.esab.edu.br 45
Ilustração de ataque IP Spoofing (http://www.las.ic.unicamp.br/
edmar/Palestras/UFV/Seguranca_Vulnerabilidades.pdf)
Ataques de negação de serviços ou DoS
 SYN flood ou ataque SYN é uma forma de ataque de negação 
de serviço (também conhecido como Denial of Service – DoS) em 
sistemas computadorizados, na qual o atacante envia uma 
seqüência de requisições SYN para um sistema-alvo e, ao 
http://www.las.ic.unicamp.br/edmar/Palestras/UFV/Seguranca_Vulnerabilidades.pdf
http://www.las.ic.unicamp.br/edmar/Palestras/UFV/Seguranca_Vulnerabilidades.pdf
www.esab.edu.br 46
atingirem um alvo, deixam o sistema indisponível os usuários 
legítimos. Na maioria das vezes, realizam o Syn Flood enviando 
grande número de conexões que não são completadas, somente 
para aumentar o uso dos recursos aos equipamentos alvos. Um 
exemplo, é o envio de Smurfs, que causam interrupção nos 
serviços.
 A condição propícia para este tipo de ataque está no mau 
desenvolvimento de aplicações, sistemas operacionais e 
protocolos, que fornecem brechas de segurança que podem ser 
exploradas. Citamos como exemplo, os servidores Unix e Linu, 
que aoreceberem um grande número de conexões sem conseguir 
responder, seu processo sobe para o total de 1500, causando uma 
parada no servidor. Do Windows, podemos citar o caso do 
mapeamento de DLL, que ao ser acessado, pode referenciar outra 
DLL, com o mesmo nome, podendo exercer atividade diferente.
•	 Syn Flood: é o envio de conexões (Syn) em quantidade 
capaz de fazer com que o servidor não consiga responder. A 
pilha da memória sofre overflow, desprezando as requisições 
legítimas dos usuários. Pode ser evitado com a comparação 
com o número de conexões novas e em aberto, alertando 
quando o valor padrão for ultrapassado.
 Outra vulnerabilidade é o controle dos pacotes que trafegam 
pela rede e sua seqüência, que devem estar no padrão esperado. 
Para evitar este ataque deve-se aumentar a fila de conexões e 
diminuindo o time-out handshake. Esta opção não elimina, mas 
minimiza o problema. Fragmentação de pacotes: é preciso 
entender porque o protocolo IP permite a fragmentação de pacotes. 
Se o tamanho do pacote > MTU do meio, então ocorre fragmentação.
 É possível sobrescrever cabeçalhos durante a remontagem 
dos pacotes a fim de driblar as regras de filtragem do firewall. Existe 
a capacidade máxima de cada tipo de meio físico de tráfego de dados, 
denominada Maximun Transfer Unit ou MTU. A rede Ethernet limita a 
transferência a 1500 octetos e a FDDI a 4770 octetos, por exemplo.
www.esab.edu.br 47
 
Como existem informações maiores que este tamanho, o endereço 
IP especifica que é permitido fragmentar em pacotes as mensagens 
com tamanho maior que o MTU, afim de que as mesmas atinjam 
o destino. Neste caso, o pacote é fragmentado de um tamanho 
que possa trafegar pela rede, após negociação entre os hosts, de 
forma que no host destino seja remontado.
Existem alguns problemas neste processo:
•	 O primeiro é que o pacote pode alterar a porta de conexão 
no meio da transmissão, facilitando o acesso a sistemas que 
não são permitidos ao usuário.
•	 O segundo é que se o reagrupamento de pacotes for maior 
do que o permitido ocorre o chamado buffer overflow – 
causando indisponibilidade e travamento no sistema, um 
DoS. No fim de 1996, ocorreu o Ping O´Death que nada 
mais foi do que a exploração desta vulnerabilidade. Era 
enviado ping de tamanho grande, que gerava o travamento 
de sistemas. O problema é resolvido através de patch, que 
corrigiram o que fazer quando acontece overflow no kernel.
•	 O terceiro é que por ser processado no host, é complicado 
saber se é um ataque ou não, para um Firewall ou sistema 
de detecção de intrusão, por melhor configurado que seja.
•	 O quarto é que os filtros de pacotes não podem restringir a 
fragmentação. Usar NAT não resolve estes problemas, pois 
o mesmo encontra-se vulnerável a este ataque.
www.esab.edu.br 48
 Teardrop é uma ferramenta que explora a fragmentação de 
pacotes IP, auxiliando os administradores para a defesa de ataque 
por fragmentação de pacotes.
•	 Smurf e fraggle: Smurf é uma técnica que gera tráfego na 
rede através de broadcast de ping (ICMPecho) na rede, a 
partir de um IP falsificado (IP Spoofing). Desta forma, a rede 
tenta responder à requisição e não consegue, afetando o 
seu desempenho. O fraggle seria a mesma técnica, porém 
utilizando o UDP echo.
Ataque Smurf e fraggle (http://www.las.ic.unicamp.br/edmar/
Palestras/UFV/Seguranca_Vulnerabilidades.pdf)
 Para resolver este problema, o administrador deve configurar 
os roteadores a não permitirem broadcast, não permitindo desta 
forma o uso de ping na rede. Outra forma de minimizar problemas 
http://www.las.ic.unicamp.br/edmar/Palestras/UFV/Seguranca_Vulnerabilidades.pdf
http://www.las.ic.unicamp.br/edmar/Palestras/UFV/Seguranca_Vulnerabilidades.pdf
www.esab.edu.br 49
com Smurf é o egress filtering. O método consiste em somente 
aceitar requisições de ping da rede corporativa, evitando que 
endereços desconhecidos trafeguem pela rede. A filtragem se 
torna fundamental, especialmente para ataques coordenados.
Ataques ativos contra o TCP
 Uma conexão TCP é definida por quatro informações 
básicas:
•	 Endereço de IP do cliente.
•	 Porta de TCP do cliente.
•	 Endereço de IP do servidor.
•	 Porta de TCP do servidor.
 Todo byte enviado é identificado por uma seqüência de 32 
bits, diferente em cada conexão e de forma seqüencial, que é 
reconhecida pelo receptor da mensagem. Aproveitando a 
desincronicidade do protocolo TCP, que não garante que a sequência 
ser preservada após estabelecida a conexão, dois hosts começam 
a trocar informações, então, um terceiro host (do hacker) coloca a 
seqüência certa em seus pacotes, interferindo no meio da 
comunicação, enviando pacotes válido, ocasionando o ataque 
chamado man-in-the-middle. O problema deste ataque é a 
quantidade de TCP ACK, pois ao receber um ACK invalido a 
seqüência é enviada a outro host sucessivamente, até que alguém 
o negue. Existem dois métodos que auxiliam na desincronização de 
conexões: early desyncronization (interrompe conexão e forma 
outra internamente com nova sequência) e null data desyncronization 
(envio de grande quantidade de dados para o servidor e clientes, de 
forma que os mesmos não percebam).
Ataques coordenados ou DDoS
 Modalidade de ataque onde existem vários hosts que são 
coordenados por um hacker para atacar determinado site ou 
servidor. É muito eficiente, pois normalmente a vítima não tem 
como minimizar a situação, por não saber identificar a origem 
do ataque.
www.esab.edu.br 50
Ataque DdoS (http://www.las.ic.unicamp.br/edmar/Palestras/UFV/
Seguranca_Vulnerabilidades.pdf)
 Os primeiros ataques DDoS utilizavam quatro níveis 
hierárquicos. O hacker coordena diversos servidores master. 
Através das vulnerabilidades de sistemas conhecidas nestes 
servidores, através de scannings, é instalado daemons – programas 
que irão atacar as vítimas. Este tipo de ataque utiliza alta tecnologia, 
inclusive de criptografia entre servidores master e daemons. A 
instalação de daemons é realizada de modo dinâmico e são 
implementadas diversas formas de se esconder as evidencias do 
ataque. Como exemplo de ferramentas utilizadas para ataques 
DDoS, podemos citar:
•	 Trinoo: é um ataque DDoS para o protocolo UDP. Ele utiliza 
um reduzido número de servidor máster e grande número 
de daemons, instruídos para atacar certos IP’s. O trinoo não 
utiliza IP Spoofing e o tráfego com os servidores masters 
requerem senhas. Em 1999, este tipo de ataque tornou 
indisponível o site da Universidade de Missota. Porém, este 
tipo de ataque possui assinatura que pode ser colocada no 
IDS para sua detecção, além de outros pontos falhos que 
podem ser diagnosticados, mas existe aumento de 
complexidade de gerenciamento.
•	 TFN: é um ataque DDoS para o protocolo TCP e implementa 
o IP Spoofing, TCP SYN Flooding e ICMP . O processo é 
http://www.las.ic.unicamp.br/edmar/Palestras/UFV/Seguranca_Vulnerabilidades.pdf
http://www.las.ic.unicamp.br/edmar/Palestras/UFV/Seguranca_Vulnerabilidades.pdf
www.esab.edu.br 51
acionado quando o hacker dá especificação aos masters 
para iniciar o ataque através dos daemons. Neste tipo de 
ataque, as origens e os pacotes podem ser alterados de 
forma aleatória. Existe assinatura que ajudam sua detecção 
na rede para IDS.
Ataque no nível de aplicação
 Exploram as brechas de seguranças dos protocolos, 
servidores e aplicativos, no nível de aplicação. Tipos mais comuns:
•	 Buffer Overflow.
•	 Ataque através de gateways da rede.
•	 Vulnerabilidades no protocolo FTP e SNMP.
•	 Vírus.
•	 Trojans.
•	 Worms.
•	 Buffer Overflow: é um ataque onde o hacker envia mais 
dados do que o tamanho do buffer, preenchendo o espaço 
da pilha, com intuito de que os dados sejam perdidos devido 
a falha na camada de aplicação, sendo possível a execução 
de comandos que podem dar permissão, até mesmo de 
administradores do sistema, reescrevendo o código na pilha 
do sistema. É um dos ataques mais utilizados por hackers.
Frames no cache da pilha (www.inf.ufrgs.br)
http://www.inf.ufrgs.br
www.esab.edu.br52
 Um exemplo prático que pode acontecer é um hacker enviar 
uma string na URL com tamanho superior ao manipulável. Se a 
aplicação não estiver tratando esta situação, é possível acontecer 
pane no sistema, ajudando a acontecer um ataque buffer overflow. 
Por este ataque ser característico de cada aplicação sua prevenção 
é muito complicada – em geral, está resumida à correção em 
aplicativos. A maior parte destas correções são geradas a partir 
dos incidentes ocorridos, de forma reativa. É o famoso 
desenvolvimento voltado à venda e não a segurança, conforme 
expomos nesta disciplina. Há uma técnica que pode auxiliar neste 
processo, que na realidade vem localizar de forma aleatória o 
buffer overflow, não permitindo que o hacker venha a gravar as 
informações da maneira que lhe é interessante (seqüencialmente) 
e com conhecimento de sua localização na pilha. Um produto que 
oferece este recurso é o Secured da Memco.
•	 Ataques a gateways da rede: é um ataque que se aproveita 
das vulnerabilidades de bugs em servidores, navegadores 
de Internet, Common Gateway Interface (CGI) e Active 
Server Pages (ASP).
Ataques mais comuns:
•	 Web defacement: alteração em conteúdo das paginas por 
hackers, chamadas “pixações” de sites.
•	 Poison null: possibilita a visualização do conteúdo dos 
diretórios, muitas vezes permitindo a alteração e consulta 
através de servidores Web, utilizando o mascaramento dos 
comandos de checagem de segurança CGI (null byte – 
pacote de dados não detectados pelo scriptCGI).
•	 Upload Bombing: ataque direcionado a sites com upload, 
cuja finalidade é enviar arquivos que preencham o disco 
rígido da vítima, já que não é realizada a checagem de 
espaço em disco disponível.
•	 Web Spoofing ou Hyper Spoofing: são as famosas páginas 
falsas que muitas vezes são sugeridas por links em e-mails. 
www.esab.edu.br 53
Neste ataque, as pessoas pensam estar numa página 
legitima de uma organização, quando, na verdade, está 
fornecendo seus dados pessoais a um hacker.
Como dica de segurança é sempre melhor a pessoa escrever a 
URL no browser, e não clicar em links – caso clicar, verificar se a 
página que está aparecendo é a que realmente ela pensa estar. 
Desabilitar o Javascript é bom, pois os scripts podem alterar 
características da página, porém muitos sites perderão 
funcionalidades.
Conectividade
http://www.linorg.cirp.usp.br/Guias_Conectiva/
Guias_V.10.0/servidor/pt_BR/ch14.html
DICA
http://www.linorg.cirp.usp.br/Guias_Conectiva/Guias_V.10.0/servidor/pt_BR/ch14.html
http://www.linorg.cirp.usp.br/Guias_Conectiva/Guias_V.10.0/servidor/pt_BR/ch14.html
www.esab.edu.br 54
 Problemas com protocolo SNMP: o Simple Network 
Management Protocol (SNMP) fornece informações, como 
sistema, tabelas de rotas, tabela ARP (Address Resolution 
Protocol), conexões UDP e TCP, entre outras informações 
para gerenciamento de rede.
Funcionamento do SMTP
 O problema deste protocolo é que existem muitas 
vulnerabilidades de segurança, principalmente quanto à facilidade 
de obter informações do sistema, motivo que é altamente 
recomendável este tipo de sistema estar devidamente protegido. 
O SNMP não possui mecanismo de travamento de senhas após x 
tentativas, possibilitando a hackers utilizar programas de senhas 
para conseguir acesso, sem ser percebido. É também um ponto 
de falha para softwares de segurança, como o TCP Wrapper. No 
entanto, o SNMP é um protocolo útil para o gerenciamento e na 
maioria das organizações são utilizados. Para minimizar os efeitos 
das vulnerabilidades, são adotados alguns procedimentos:
•	 Habilitação somente de daemons e serviços específicos do 
SNMP, pois quanto maior o número de serviços e daemons 
disponíveis, maior a probabilidade de ataques – isto é valido não 
só para este protocolo, mas para qualquer tipo servidor e serviço.
www.esab.edu.br 55
•	 Os nomes da comunidade devem ser manipulados como 
senhas, adotando políticas de senhas, para que hackers 
não consigam prever as mesmas e acessar informações 
secretas.
•	 Permitir que somente hosts específicos consiga obter 
informações SNMP, com usuários específicos, como o 
administrador.
•	 Vírus e Worm: os vírus de computador são programas 
altamente sofisticados e desenvolvidos em linguagens 
específicas de programação para infectar e alterar sistemas. 
Normalmente eles possuem tamanhos reduzidos e são 
projetados por programadores extremamente hábeis, 
visando afetar de forma adversa o seu computador. Portanto, 
não os subestime. Os worms se diferem dos vírus somente 
por se espalharem rapidamente, sem interação dos usuários.
 
A prevenção é a melhor vacina para se evitar a contaminação de 
computadores por qualquer tipo de vírus. Uma das posturas 
preventivas a ser adotada é estar sempre alerta com documentos 
ou arquivos que são transmitidos pela Internet. Manter sempre 
cópias de segurança dos arquivos mais importantes é outro 
procedimento recomendável em qualquer situação, pois pode ser 
o último recurso para salvaguardar informações. Não existe 
computador, principalmente que esteja conectado à Internet, 
imune aos vírus.
 Centenas de novos vírus são detectados mensalmente. 
Portanto, é importante atualizar o programa de antivírus 
periodicamente, aumentando as chances de estar protegido dos 
vírus já conhecidos. Porém, quanto aos vírus recém criados, existe 
www.esab.edu.br 56
o perigo de ser atacado sem ter vacina disponível, mesmo com 
antivírus atualizado. Salienta-se que sua segurança perfeita está 
no seu hábito de prevenção. Os poucos minutos perdidos por dia 
podem valer horas, dias ou até meses de trabalho.
•	 Trojans ou Trojan Horses: trojans são programas que 
são furtivamente instalados no computador sem o 
conhecimento do usuário. Geralmente, o usuário instala o 
programa no computador, sem saber, enquanto pensa estar 
instalando outro software que deseja.
 
Com a disseminação da Internet, os trojans começaram a vir como 
anexos em e-mails, ao abrir o anexo automaticamente o usuário 
instala o programa em seu computador. Já existem trojans mais 
sofisticados que podem ser instalados sem ação do usuário, 
através de scripts em páginas web, aproveitando-se, principalmente 
das propriedades do ActiveX (em ambiente Microsoft).
 A origem do nome vem da mitologia grega, mais precisamente 
da odisséia de Ulisses, que para vingar-se dos Troianos, com 
quem já batalhavam por dez anos e resgatar sua amada Helena 
que por eles havia sido raptada, mandou construir um gigantesco 
cavalo de madeira para presentear os troianos. No interior do 
cavalo, soldados gregos entraram em Tróia e assaltaram a cidade. 
O elemento surpresa foi fundamental para o sucesso grego. Aliás, 
esta história deu origem à expressão “presente de grego”.
 Similarmente, os trojans se alojam no micro do incauto 
usuário que pensa estar acessando algo de seu interesse. Os 
trojans são programas que podem ter ações das mais variadas, 
dependendo apenas do código escrito pelo seu autor. Muitos 
podem danificar o sistema, apagar arquivos e causar outros danos 
maiores. Um tipo de trojan muito utilizado pelos crackers é o 
www.esab.edu.br 57
Backdor Trojan ou Remote Access Trojan (RAT’s). Este tipo de 
trojan executa ações que preparam o computador da vítima para 
ser invadido remotamente, através de programas que permitem 
uma conexão no sistema do micro onde se instalam que passa a 
funcionar como servidor do micro invasor que executa o programa 
cliente. Eles também podem conter programas keystroke-logging, 
para capturar senhas e outras informações confidenciais.
Os mais famosos trojans são:
•	 Back Orifice, NetBus (RAT);
•	 K2pS (RAT+Keystroke-logging);
•	 Portscan, Xitame: Busca portas abertas no micro.
 O motivo para o surgimento de tantos trojans é a facilidade 
e rapidez de sua criação, principalmente se comparado aos vírus, 
e não exigirem tanto conhecimento técnico para desenvolvê-los. A 
grande maioria é desenvolvida em linguagens de alto nível, como 
Visual Basic ou Delphi. Além disto, os trojanspodem ser utilizados 
para objetivos mais concretos, como espionagem industrial. Os 
trojans não ficam circulando pela Internet, o que dificulta sua 
captura para análise e criação de vacinas pelas empresas 
especializadas. Outro fator que torna os trojans mais perigosos é 
que um vírus pode ser detectado pelas alterações que causa no 
sistema, enquanto um trojan pode estar em atividade no computador 
sem que o usuário sequer perceba. Por esta razão não bastam os 
antivírus para se proteger dos trojans. É necessário também que 
se utilize programas anti-trojans, programas de detecção de 
intrusão, analisador de conteúdos, analisador de vulnerabilidades, 
programas que chequem as chaves de inicialização do sistema 
verificando os programas que iniciam automaticamente, aplicar as 
correções de falhas de sistema fornecidas pelos fabricantes 
(Patchs) e, sobretudo, ter uma conduta adequada, não abrindo 
anexos de e-mail antes de analisá-los, não utilizar programas 
piratas ou baixados de redes p2p como KaZaa, ou iMesh.
www.esab.edu.br 58
•	 War Dialing: ferramenta utilizada para verificar as 
informações dos números dos modens na rede, que em tese 
não devem existir na rede, pois aumenta as probabilidades 
de ataque, pois o tráfego não passa pelo Firewall.
 É útil para a auditoria e nas mãos de hackers podem causar 
sérios problemas para a organização, pois eles identificarão as 
maiores vulnerabilidades da rede.
SPAM
 Não é propriamente um ataque, mas é algo que acarreta o 
aumento de tráfego na rede e deve ser prevenido por todos. É 
uma forma de muitas vezes, usuários acessarem páginas falsas, 
entre outros problemas.
 
O termo SPAM, longe do mundo virtual, é, na verdade, a marca de 
um presunto enlatado americano (http://www.spam.com/), que 
não tem relação com o envio de mensagens eletrônicas não 
solicitadas, exceto pelo fato de que, na série de filmes de comédia 
do Monty Python, alguns Vikings desajeitados pediam repetidas 
vezes o referido presunto.
 No ambiente da Internet, SPAM é considerado um abuso e 
se refere ao envio de um grande volume de mensagens não 
solicitadas, ou seja, o envio de mensagens indiscriminadamente a 
vários usuários, sem que estes tenham requisitado tal informação. 
http://www.spam.com/
www.esab.edu.br 59
O conteúdo do SPAM pode ser propaganda de produtos e serviços, 
pedido de doações para obras assistenciais, correntes da sorte, 
propostas de ganho de dinheiro fácil, boatos desacreditando o 
serviço prestado por determinada empresa, dentre outros.
 Com certa freqüência, os e-mails de SPAM são chamados 
de junk e-mails, ou seja, lixo. Seguindo com a terminologia, quem 
envia SPAM é chamado de spammer. O modo mais formal de se 
referir a SPAM é UBE, Unsolicited Bulk E-mail. Pode-se também 
usar o termo UCE, Unsolicited Comercial E-mail, quando se trata 
de SPAM contendo propaganda de modo geral. Tipos mais comuns 
de SPAM, considerando conteúdo e propósito:
•	 Boatos e correntes.
•	 Propagandas.
•	 Outras ameaças e brincadeiras.
 Boatos e correntes: tanto boatos como correntes na Internet 
pedem para serem enviados a todas as pessoas que você conhece. 
Tais e-mails se apresentam com diversos tipos de conteúdo, sendo 
na maioria das vezes histórias falsas ou antigas. Para atingir seus 
objetivos de propagação, os boatos e correntes apelam para 
diversos métodos de engenharia social. Ainda dentre os boatos 
mais comuns na rede, pode-se citar aqueles que tratam de código 
malicioso, como vírus ou cavalos de tróia. Neste caso, a mensagem 
sempre fala de vírus poderosíssimos, capazes de destruir seu 
computador e assim por diante. Um dos mais famosos é o 
GoodTimes, que circulou pela rede durante anos e, de vez em 
quando, ainda aparece um remanescente enviado por internautas 
desavisados. Para maiores informações sobre boatos e vírus, 
consulte o site Computer Virus Myths no site http://www.vmyths.
com/.
•	 Propagandas: com o intuito de divulgar produtos, serviços, 
novos sites, enfim, propaganda em geral, os SPAMs têm 
ganhado cada vez mais espaço nas caixas postais dos 
http://www.vmyths.com/
http://www.vmyths.com/
www.esab.edu.br 60
internautas. O objetivo não é discutir a legitimidade da 
propaganda por e-mail, mas sim discutir SPAM, e muitas 
empresas têm usado este recurso para atingir os 
consumidores. Isto sem contar a propaganda política que 
inundou as caixas postais no último ano. Ressalta-se que, 
seguindo o próprio conceito de SPAM, se recebemos um 
e-mail que não solicitamos, estamos sendo vítimas de 
SPAM, mesmo que seja um e-mail que nos interessa.
 O maior problema com a propaganda por SPAM é que a 
Internet se mostra como um meio fértil para divulgação de produtos 
atinge um grande número de pessoas e a baixo custo, sendo que 
na verdade, quem paga a conta é quem recebe a propaganda, 
como discutido anteriormente.
•	 Outras ameaças, brincadeiras, etc: alguns SPAMs são 
enviados com o intuito de fazer ameaças, brincadeiras de 
mau gosto ou apenas por diversão, como casos de ex-
namorados difamando ex-namoradas, e-mails forjados 
assumindo identidade alheia e aqueles que dizem: «olá, 
estou testando uma nova ferramenta spammer e por isto 
você está recebendo este e-mail”, constituem alguns 
exemplos.
 Não há legislação específica para casos de SPAM. No 
entanto, podem-se enquadrar certos casos nas leis vigentes no 
atual Código Penal Brasileiro, como calúnia e difamação, falsidade 
ideológica, estelionato, etc.
•	 Alguns artifícios usados pelos spammers: são muitos os 
artifícios usados pelos spammers para convencê-lo de ter 
recebido um e-mail válido e não um SPAM.
 O One-time e-mail são aqueles que dizem que serão 
enviados somente uma vez e que você não precisa se preocupar, 
pois não será importunado novamente. Trata-se de SPAM e é bem 
provável que você receba outras cópias do mesmo tipo de e-mail. 
“Caso não tenha interesse em continuar recebendo este tipo de 
www.esab.edu.br 61
mensagem, por favor, solicite sua retirada de nossa lista de 
distribuição, enviando e-mail para remove-me-from-list@...”. Esta 
é outra categoria de disfarces usada em SPAM são as que pedem 
para serem removidos ou ignorados, caso não sejam de seu 
interesse. Neste caso, antes de removê-lo, reclame. Simplesmente 
deletar e não reclamar, ignorando o SPAM pode torná-lo conivente, 
pois o spammer continuará atuando tranqüilamente. “Você se 
cadastrou em nosso site e, portanto, está recebendo esta 
mensagem. Caso queira sair de nossa lista de divulgação...”. Uma 
variação do tipo remove-me. Alguns SPAMs se utilizam dos 
recursos válidos de cadastro on-line de determinados sites para 
dar legitimidade ao e-mail. Novamente, não responda e reclame. 
Não se deve ignorar o recebimento de SPAM, pois encoraja cada 
vez mais este tipo de prática, devendo reclamar. Em se tratando 
do usuário final, recomenda-se contactar o administrador de sua 
rede, notificando o SPAM, enviando o e-mail recebido com o 
header completo. Caso o usuário final decida reclamar ele próprio, 
então deve seguir as orientações a seguir.
 Com relação ao administrador de rede, é responsabilidade 
deste reclamar dos SPAMs recebidos pelos usuários, assim como 
tomar providências em caso de uso de seu servidor de e-mail 
como replay ou ainda, em casos de SPAMs enviados por usuários 
de sua rede. 
Para reclamar de um SPAM recebido, deve-se:
•	 Enviar a notificação ao administrador ou contato técnico da 
rede origem do SPAM, nunca diretamente ao spammer. 
Deve ser enviada também para abuse@dominio_spammer 
e para os grupos de segurança responsáveis pelas redes 
vítima e spammer.
•	 Anexar à reclamação, o header completo do e-mail de 
SPAM, peça principal a ser investigada num SPAM, analise-o 
cuidadosamente, identificando a rede origem e eventuais 
servidores usados como replay. Esta é a parte mais 
www.esab.edu.br 62
complicada, pois o header de SPAM não é confiável e pode 
ter sido forjado em vários níveis.
Algumas dicas sobre análise de header:
•	 Desconfie dos campos FROM e TO,pois podem conter 
usuários inválidos, domínios inválidos ou “spoofados”, isto 
é, os domínios usados no FROM e no TO podem ser 
inexistentes, ou ainda não serem, de fato, a origem do SPAM. 
Este recurso é usado para confundir e distrair a atenção do 
administrador ao tentar identificar a origem do SPAM, ou em 
outros casos para difamar o domínio “spoofado”.
•	 Examine todos os números IP e domínios que aparecem no 
header, tente resolvê-los pelo DNS.
•	 Estude, detalhadamente. Se conhecer a sintaxe dos headers 
gerados, maiores serão as chances de sucesso no processo 
de análise de headers de SPAM.
•	 Cuidado com ferramentas de análise automática de headers, 
pois podem gerar resultados falsos e originar reclamações 
incoerentes.
•	 Anexar à reclamação, o conteúdo da mensagem de SPAM, 
somente se incluir informações relevantes para uma eventual 
investigação.
•	 Em caso de uso de relay, deve-se copiar a reclamação para 
o administrador ou contato técnico pela rede que hospeda o 
servidor usado como relay, para abuse@domínio_relay e 
para o grupo de segurança responsável pela rede em 
questão.
•	 Opcionalmente, pode-se encaminhar a reclamação com 
cópia para o MAPS através do e-mail relays@mail-abuse.
org, incluindo, no corpo da mensagem, a diretiva: 
www.esab.edu.br 63
Relay:<IP-do-servidor-com-relay>, este procedimento é um 
tipo de denúncia automática.
 Se o administrador receber denúncias de SPAM partindo de 
sua rede, as recomenda-se:
•	 Identificar o usuário que enviou o SPAM.
•	 Advertir ou punir o usuário spammer de acordo com as 
AUPs.
•	 Responder ao reclamante.
 Caso a notificação seja de uso do servidor de e-mail como 
relay, o administrador deve tomar as providências para corrigir o 
problema o mais rápido possível, sob pena de ser conivente com 
o envio de SPAM, enquanto não solucionar a questão e responder 
aos reclamantes. No caso de notificação recebida da ORBs, é 
necessário ainda solicitar a remoção do número IP do servidor da 
base mantida pela entidade. Atualmente os Servidores da 
UFSCarNet instalados na Secretaria Geral de Informática, 
trabalham com filtragem de e-mail para barramento de vírus, e 
uma lista de controle de “spammers” conhecidos. Sua ajuda é 
valiosa no combate a esta prática, na qual solicitam a colaboração 
de todos. Para colaborar, basta enviar o e-mail SPAM de modo 
completo (com todos os cabeçalhos, ou como um anexo na 
mensagem) para os endereços citados e para o controle, como 
spam@power.ufscar.br ou abuse@power.ufscar.br.
Vídeo invasão de redes públicas:
https://www.youtube.com/watch?v=Dy5g8XZOEsE
DMZ - Demilitaryzed Zone
 É uma área de serviços da empresa que não é protegida, 
como por exemplo, serviços externos de correio eletrônico e vários 
outros servidores www, ou seja, são servidores públicos é uma 
estratégia utilizada para enganar e detectar intrusos. Serve 
https://www.youtube.com/watch?v=Dy5g8XZOEsE
www.esab.edu.br 64
também para tentar detectar invasões onde alguns equipamentos 
são posicionados propositalmente sem proteção, ou seja, atrás do 
Firewall, esses equipamentos são isolados da rede interna e 
monitoram tentativas de ataques. A DMZ se posiciona como uma 
sub-rede entre a rede local e a Internet, conhecida como zona 
desmilitarizada, onde não é permitido o tráfego direto entre a rede 
local e a internet. Ambas podem apenas acessar a sub-rede, 
normalmente através de um bastion host entre esta e a rede 
privada.
 Existe um filtro de pacotes entre a Internet e a sub-rede, e 
outro entre esta e a rede privada. O primeiro tem como função 
impedir o tráfego direto entre a rede privada e a Internet. Já o 
segundo tem por objetivo proteger a rede privada em caso de 
comprometimento do bastion host. Isto pode ser feito limitando o 
acesso deste à rede local. O conceito de zona desmilitarizada 
também pode ser obtido através de Firewalls de terceira geração 
que agregam a capacidade de filtrar pacotes e proxies específicos 
numa única caixa ou equipamento. Tais elementos podem tanto 
ser implementados puramente em software ou através de 
roteadores comerciais.
 Atualmente é comum o desenho de topologias de rede no 
modelo Internet/DMZ/Rede Interna. Afinal de contas, é um modelo 
simples e de baixo custo de implementação. Em poucos dias a 
empresa desloca todos os servidores que precisam ser acessados 
por usuários na Internet para a rede DMZ, normalmente 
implementada através de uma terceira placa no Firewall, e com 
isso corta todo o acesso direto da Internet para sua rede interna. 
 Os mais cuidadosos implementam servidores de relaySMTP 
e até mesmo um Proxyhttp para evitar o acesso direto das estações 
à Internet também. Se forem consultados, os especialistas em 
segurança provavelmente dirão que é uma rede segura. Um 
desenho como este dificulta a invasão da rede interna através de 
um ataque aos servidores da DMZ. Se o Firewall for bem 
www.esab.edu.br 65
configurado e esses servidores forem constantemente atualizados, 
a possibilidade de invasão por este caminho torna-se realmente 
muito pequena.
Exemplo de arquitetura de rede desmilitarazida
www.esab.edu.br 66
POLÍTICA DE SEGURANÇA E DE CONTINGÊNCIA
 Conhecemos nossos atacantes e como nos atacam. Mas, 
como posso preparar a organização para não deixar que os 
hackers a invadam? E se formos atacados, como proceder? 
Preocupação mundial, e no Brasil temos normas que prevêem 
este tipo de incidentes. A realidade é que não existe se formos 
atacados, mas quando.
Plano de Contingência: o que fazer quando os riscos se 
concretizam?
 É necessário retornar no tempo para melhor entender o 
destaque que atualmente em nossa sociedade se faz à 
segurança da informação e conseqüentemente a se ter um 
Plano de Contingência. Desde o início da civilização humana há 
uma preocupação com as informações e com os conhecimentos 
agregados a elas. Visto que, ao longo da História, a vitória ficou 
nas mãos de quem estava na vanguarda do conhecimento. Hoje, 
vivemos na Era da Informação, uma época onde a comunicação e 
troca de experiência ganham seu lugar e passam a ser o diferencial 
nos negócios. Fontes de riquezas deixam de ser físicas e a 
informação passa ser mais do que uma base do negócio e sim, 
em muitos casos, o próprio negócio.
 Com a chegada dos primeiros computadores, com o 
surgimento das máquinas de tempo compartilhado, até chegar 
aos dias atuais, onde a economia encontra-se interligada por 
redes eletrônicas em tempo real, a questão de segurança das 
informações torna-se cada vez mais importante e crucial. 
Independente do porte ou setor de atividade de uma empresa, sua 
estratégia de operação visará ter vantagens competitivas. Para 
www.esab.edu.br 67
tanto, deve agregar cada vez mais valor aos seus produtos e/ou 
serviços. Neste cenário globalizado, a informação, em conjunto 
com os meios e formas de comunicá-las produtivamente, revela-
se uma arma poderosa de gestão empresarial. Contudo, esta 
maior comunicação gera visibilidade, o que também pode significar 
vulnerabilidade. Sendo assim, garantir a segurança da informação 
torna-se um diferencial estratégico, proporcionando vantagem 
competitiva e até mesmo a sobrevivência de uma empresa.
 É desnecessário dizer a importância de uma área de TI para 
as empresas, tornando para seus gestores uma obrigação o 
reconhecimento e o gerenciamento de riscos através de ações 
preventivas e pró-ativas, pois, por melhor que seja um sistema, 
nenhum é imune de falhas. E é por isso que as empresas devem 
estar preparadas caso algo venha a acontece. A adoção de um 
Plano de contingência é uma forma de amenizar os riscos em TI, 
ou até mesmo de reduzi-los a um nível mínimo. Quando se fala 
em Plano de Contingência, muito mais do que pensar em pura e 
simplesmente em tecnologia, se fala em definir prioridades e 
regras de negócio. Deve-se pensar além, focar no sucesso dos 
negócios da empresa. Podemos então definir Plano de Contingência 
em TI como sendo um plano elaborado, escrito, divulgado, testado, 
mantido atualizadoque objetiva manter o negócio contínuo, 
mesmo que haja situações de risco, ou um sinistro que afete áreas/
equipamentos/serviços de TI.
 O Plano deve ser bem mais do que um documento formal 
que defina diretrizes e normas em relação a procedimentos a 
serem seguidos (por toda a empresa sem exceções) quando da 
situação de risco. Deve agregar segurança física e lógica aos 
dados e ao capital intelectual da empresa.
Importância do Plano de Contingência
 Com o aumento crescente e a ampla utilização de tecnologias 
informatizadas nos ambientes organizacionais, sejam quanto a 
formas para armazenamento de dados, sistemas operacionais, 
www.esab.edu.br 68
ERP’s, comércio eletrônico, Intranet e Internet, sistemas 
interligados em redes locais e mundiais, expomos a organização 
a uma série de vulnerabilidades, como:
•	 Falta de energia por mais tempo do preventivo.
•	 Sabotagem.
•	 Fraudes eletrônicas.
•	 Espionagem.
•	 Vandalismo.
•	 Danos com o servidor central ou pontos.
•	 Vírus.
•	 Invasores (hackers).
•	 Tráfego de dados interrompidos.
•	 Problemas com fornecedores de software, hardware e 
serviços.
•	 Imprevisibilidade e catástrofes.
 Um plano de contingência trata de manter uma estrutura 
para solucionar os problemas, que não foram detectados e ou 
resolvidos nos sistemas de segurança e preventivos da empresa. 
É quase inevitável, que em algum momento, um destes fatos, ou 
outras forças, danifiquem os dados da empresa, podendo ocasionar 
desde pequenas paradas, até uma perda total de dados e serviços, 
e consequentemente custos para restabelecê-los e prejuízos nos 
casos de sistemas com relação direta ao negócio da empresa. É 
de extrema relevância um plano de contingência, que aponte os 
pontos críticos do processo da empresa, permitindo uma rápida 
solução do problema, garantindo a continuidade, de uma forma 
imperceptível aos usuários e clientes, minimizando os impactos 
www.esab.edu.br 69
negativos, em custos e prejuízos. Deve garantir a operacionalidade 
do processo, em todos os níveis, contando com profissionais que 
façam os reparos no menor tempo possível.
 Dependendo da área de atuação da empresa, o plano de 
contingência também pode ter a abrangência, prevendo possíveis 
alterações fiscais e legais e quebras de fornecimento por causas 
diversas, tais como greves, etc. Com um plano de contingência, 
bem definido, revisado e testado regularmente, a empresa pode e 
deve renegociar com as companhias de seguro um melhor custo, 
pois esta estaria se prevenindo contra estes problemas.
Segurança Física
 Ameaças sempre presentes, nem sempre lembradas: 
incêndios, desabamentos, relâmpagos, alagamentos, problemas 
na rede elétrica, acesso indevido de pessoas no CPD, treinamento 
inadequado de funcionários, e etc. Medidas de proteção física, 
como serviço de guarda, uso de no-breaks, alarmes e fechaduras, 
circuito interno de televisão e sistemas de escuta, são realmente 
uma parte da segurança de dados. As medidas de proteção física 
são freqüentemente citadas como “segurança computacional”, 
visto que têm um importante papel na prevenção dos problemas 
citados no parágrafo anterior.
 O ponto-chave é que as técnicas de proteção de dados, por 
mais sofisticadas que seja, não têm serventia nenhuma se a 
segurança física não for garantida. Por mais seguro que seu 
ambiente seja, ele não estará 100% seguro se a pessoa que 
deseja invadir seu sistema tiver acesso físico ao mesmo.
Segurança Lógica
 Várias ameaças lógicas aos computadores foram criadas 
por pessoas inescrupulosas denominadas crackers, script kidies e 
lamers, a diferença está no nível de conhecimento de cada um. 
Os crackers são os que têm o maior nível de conhecimento, 
portanto são os mais perigosos, sabem desenvolver vírus, cavalos 
www.esab.edu.br 70
de tróia e worms, além de dominar técnicas avançadas de invasão 
de sistemas e engenharia reversa. Script kidies são aspirantes a 
crackers, sabem fazer basicamente scripts maliciosos e invasões 
a sistemas desprotegidos. Os lamers são apenas uns idiotas com 
um mínimo de conhecimento para invadir sistemas com cavalos 
de Tróia e outras “ferramentas”, uma das principais armas dos 
lamers é simplesmente a “habilidade” de convencer iniciantes a 
executarem cavalos de Tróia.
 Um recurso muito utilizado para se proteger dos 
“bisbilhoteiros” da Internet é a utilização de um programa de 
criptografia que embaralha o conteúdo da mensagem de modo 
que ela se torna incompreensível para aqueles que não sejam o 
receptor ou emissor da mesma. A Segurança Lógica requer um 
estudo maior, pois envolve investimento em softwares de segurança 
ou elaboração dos mesmos. Tão importante quanto à segurança 
física, ou seja, o controle de acesso, nesse caso menos é mais, se 
um empregado não precisa de acesso ao arquivo X o mesmo não 
pode ter acesso a ele, aumentando assim a segurança dos dados.
Especificação do Plano de Contingência
•	 Para iniciar a lista de riscos (na fase de iniciação):
 Reúna a equipe do projeto (que, nesta etapa, deverá ser bem 
pequena; se ela tiver mais de cinco ou sete integrantes, limite o 
processo de avaliação de riscos aos líderes de atividade). Quando 
identificamos riscos, consideramos ‘o que pode dar errado’. É claro 
que, em termos gerais, tudo pode dar errado. A questão é não 
atribuir uma visão pessimista ao projeto. No entanto, queremos 
identificar possíveis barreiras ao seu êxito, para que possamos 
reduzi-las ou eliminá-las. Para obter mais informações, consulte 
Diretrizes: Lista de Riscos. Mais especificamente, estamos 
procurando os eventos que podem diminuir a probabilidade de 
liberarmos o projeto com as características corretas, com o nível de 
qualidade exigido, no prazo estabelecido e dentro do orçamento.
www.esab.edu.br 71
 Usando técnicas de brainstorming, peça a cada membro 
para identificar um risco do projeto. Perguntas de esclarecimento 
são permitidas, mas os riscos não deverão ser avaliados nem 
comentados pelo grupo. Pergunte a todos no grupo até identificar 
o número máximo de riscos. Envolva todas as partes no processo 
e não se preocupe muito com a forma ou repetições; você poderá 
limpar a lista posteriormente. Use grupos de pessoas homogêneos 
(clientes, usuários, equipe técnica e assim por diante). Isso facilita 
o processo de coleta de riscos; os indivíduos ficam menos inibidos 
na frente de seus pares (em especialidade e hierarquia) do que 
em um grupo maior heterogêneo.
 Deixe claro aos participantes que apontar um risco não é o 
mesmo que se oferecer para resolvê-lo. Se as pessoas acharem 
que apontar um risco resultará na responsabilidade pela sua 
resolução, elas não identificarão nenhum risco (ou os riscos que 
apontarem serão triviais). Para dar o estímulo inicial, comece 
pelas listas de riscos genéricas, como Assessment and Control of 
Software Risks de Capers Jones [JON94] ou Taxonomy-Based 
Risk Identification estabelecida pelo Instituto de Engenharia de 
Software [CAR93]. Circule a lista de riscos: ver o que já foi 
identificado costuma ajudar as pessoas a apontar mais riscos.
•	 Para atualizar a lista de riscos (em fases posteriores): 
você pode solicitar informações conforme identificado 
anteriormente. No entanto, com base no exemplo da lista 
existente, novos riscos costumam ser identificados pelos 
membros da equipe e capturados na Avaliação de Status 
regular do projeto. Consulte Atividade: Avaliar Iteração.
 Identificar Estratégias de Contingência: tem como finalidade 
desenvolver planos alternativos.
 Para cada risco, independentemente de você ter ou não um 
plano para diminuí-lo ativamente, decida quais ações deverão ser 
executadas em determinado momento ou se o risco se materializar, 
ou seja, se ele se tornar um problema, um ‘sinistro’ no termo de 
www.esab.edu.br 72
seguros, chamado de “plano ‘B’” ou plano de contingência. 
Necessário quando houve falhas na prevenção e na transferência 
de riscos, a diminuição de riscos não obteve o êxito esperado e 
agora é necessário enfrentar orisco. Esse costuma ser o caso de 
riscos indiretos, ou seja, os riscos sobre os quais o projeto não 
tem controle, ou quando as estratégias de diminuição são caras 
demais para serem implementadas.
 O plano de contingência deverá considerar:
Risco Indicador Ação
Qual é o 
risco?
Como você saberá que 
o risco se concretizou? 
Como o ‘sinistro’ será 
reconhecido?
O que deverá ser feito para 
resolver o ‘sinistro’ (como 
você poderá conter o 
prejuízo?)
 Identificar Indicadores de Risco: é possível monitorar alguns 
riscos com o uso de métricas do projeto e a observação de 
tendências e limites; por exemplo:
•	 Retrabalho restante excessivo.
•	 Quebra restante excessiva.
•	 Gastos reais muito acima do planejado.
 É possível monitorar alguns riscos com base nos requisitos 
do projeto e resultados de testes, como por exemplo, tempos de 
resposta uma ordem de grandeza acima do exigido.
Alguns riscos estão associados a eventos específicos:
a. Componente de software não liberado no prazo por um 
terceiro: existem muitos outros indicadores “mais flexíveis”, 
nenhum dos quais diagnosticará totalmente o problema. Por 
exemplo, há sempre um risco de o ânimo diminuir (na 
verdade, em determinadas etapas do projeto, isso é quase 
(previsível). Existem diversos indicadores, como 
reclamações, “humor negro”, prazos não cumpridos, 
qualidade precária e assim por diante. Nenhuma dessas 
“medidas” é um indicador preciso; as brincadeiras sobre a 
futilidade de um produto liberado específico podem ser uma 
forma saudável de aliviar o stress. No entanto, se elas 
www.esab.edu.br 73
persistirem, podem indicar que a equipe tem uma sensação 
cada vez maior de fracasso iminente.
Fique atento a todos os indicadores sem julgá-los. É fácil 
rotular o portador de ‘más notícias’ como alguém que 
apresenta uma atitude incorreta; por trás do cinismo, há 
geralmente um fundo de verdade. Em geral, o ‘portador de 
más notícias’ está atuando como a ‘consciência do projeto’. 
A maioria das pessoas deseja o êxito do projeto e fica 
frustrada quando o ânimo está levando o projeto na outra 
direção.
b. Identificar Ações contra “Perdas” ou o “Plano B”: em casos 
simples, o plano de contingência enumera soluções 
alternativas. O impacto costuma ser custos e atrasos para 
se desfazer da solução atual e implementar a nova solução.
No caso de outros riscos “mais flexíveis”, não costuma existir 
apenas uma ação a ser executada quando há uma perda, 
mas várias. Quando o ânimo diminui, por exemplo, é melhor 
reconhecer a condição e unir-se como um grupo para discutir 
as atitudes predominantes do projeto. Ouça as questões, 
identifique problemas e, em geral, deixe as pessoas 
extravasarem. No entanto, após determinado período de 
extravasamento, comece a abordar as causas de interesse. 
Use a lista de riscos como uma forma de focar a discussão. 
Transforme as questões em um plano de ação concreto, 
redefinindo a prioridade de riscos e reformulando os planos 
de iteração para resolver os principais riscos de forma 
sistemática. Ações positivas têm um efeito mais intenso do 
que palavras positivas (mas vazias).
 Apesar do ânimo no momento, a ocorrência de perda tem 
um lado positivo: ela força uma ação. Muitas vezes, o grupo poderá 
adiar riscos facilmente ignorando-os, levado à complacência pela 
calmaria aparente. Quando perdas ocorrem, é preciso agir, pois o 
risco deixa de ser um risco e não há mais nenhuma dúvida sobre 
www.esab.edu.br 74
a sua ocorrência. Porém, uma ocorrência de perda também é uma 
falha para evitar ou diminuir riscos. Deverá forçar uma reavaliação 
da lista de riscos para determinar se a equipe do projeto pode ter 
algumas deficiências sistemáticas. Tão difícil quanto a auto-
avaliação sincera, poderá evitar outros problemas posteriormente.
Reavaliar Riscos Durante a Iteração: tem como finalidade 
assegurar que a lista de riscos se mantenha atualizada ao longo 
do projeto. A avaliação de riscos é, na verdade, um processo 
contínuo, e não um processo que ocorre apenas em intervalos 
específicos durante o projeto. No mínimo, você deverá:
•	 Reavaliar a lista semanalmente para verificar as mudanças.
•	 Permitir que todo o projeto visualize os dez itens mais 
importantes e insistir que sejam tomadas providências sobre 
eles. Em geral, é possível anexar a lista de riscos atual aos 
relatórios de Avaliação de Status.
Reavaliar Riscos no Final da Iteração: tem como finalidade 
assegurar que a lista de riscos se mantenha atualizada ao longo 
do projeto. No final de uma iteração, restabeleça o foco nas metas 
da iteração com relação à lista de riscos:
•	 Elimine os riscos que foram diminuídos ao máximo.
•	 Apresente novos riscos descobertos recentemente.
•	 Reavalie a magnitude da lista de riscos e reorganize-a.
 Não se preocupe muito se descobrir que a lista de riscos 
cresce durante as fases de iniciação e elaboração. À medida que 
desenvolve o trabalho, os membros do projeto percebem que algo 
considerado trivial na verdade contém riscos. No início da 
integração, você poderá encontrar dificuldades que estavam 
ocultas. No entanto, os riscos deverão diminuir uniformemente à 
medida que o projeto chega ao fim da elaboração e durante a 
construção. Caso contrário, talvez você não esteja administrando 
os riscos apropriadamente ou o seu sistema seja muito complexo 
ou impossível de ser construído de forma sistemática e previsível. 
Para obter mais informações, consulte Diretrizes: Lista de Riscos.
www.esab.edu.br 75
Conhecer o universo de estudo, Conceituação de Segurança e 
Ameças e Conhecer o mundo e o nome dos principais atacantes; 
Conhecer os tipos de Segurança Continuada e Conhecer alguns 
tipos de ataques mais comuns e suas consequência; Conhecer o 
universo de estudo, Conceituação de Segurança e Ameças e 
Instruir como adotar uma política de segurança e contingência que 
venha a ajudar as empresa em situações catastróficas ou de 
incidentes de segurança e Conhecer o universo de Riscos e 
Planejamento.
www.esab.edu.br 76
Neste Eixo veremos as normas e órgãos normatizadores e as 
áreas de controle do ISO 17799. Conheceremos as medidas de 
segurança, de monitoramento e riscos e as Políticas, Regras e 
Estatísticas de Investimentos. Conheceremos a funcionalidade, 
composição e filtros dos componentes de segurança e seu 
funcionamento e conheceremos a Arquitetura e projeto de Firewall 
e os Sistemas de Detecção de Intrusão, seus objetivos e 
características.
www.esab.edu.br 77
 É a versão internacional da BS7799, homologada pela 
International Standartization Organization em dezembro de 
2000, e a versão brasileira da norma ISO, homologada pela 
ABNT em setembro de 2001. ISO (International Standartization 
Organization) trata-se de uma organização internacional formada 
por um conselho e comitês com membros oriundos da maioria dos 
países. Seu objetivo é criar normas e padrões universalmente 
aceitos sobre como realizar as mais diversas atividades comerciais, 
industriais, científicas e tecnológicas. IEC (International Engineering 
Consortium) é uma organização voltada para o aprimoramento da 
indústria da informação. Uma associação entre as duas instituições 
produz normas e padronizações internacionais. Informações que 
são protegidas com a implantação da norma NBR ISO IEC 17799:
•	 Dados armazenados nos computadores.
•	 Informações transmitidas por meio de redes.
•	 Conversações telefônicas.
•	 Informações impressas ou escritas no papel.
•	 Informações enviadas por fax.
•	 Dados armazenados em fitas, discos ou microfilmes.
•	 Introdução: os gerentes de segurança vem há muito tempo 
esperando por alguém que produza um conjunto razoável 
de padrões de segurança de informações reconhecido 
globalmente. Muitos acreditam que um código de prática 
ajudaria a suportar os esforços dos gerentes de TI. E, 
também influenciariam decisões, aumentariam a cooperação 
entre os vários departamentos em nome do interesse comum 
pela segurança e ajudaria a tornar a segurança, uma das 
prioridades organizacionais.www.esab.edu.br 78
 Desde o seu lançamento pela Organização de Padrões 
Internacionais (International Standards Organization) em dezembro 
de 2000, o ISO 17799 se tornou o padrão de segurança mais 
reconhecido em todo o mundo. É definido como “um abrangente 
conjunto de controles formado pelas melhores práticas em 
segurança de informações”.
•	 As origens do ISO 17799: por mais de 100 anos, o British 
Standards Institute (BSi) e o International Organization for 
Standardization (ISO) vêm fornecendo referências globais 
para padrões operacionais, de fabricação e de desempenho, 
mas não tinham ainda proposto era um padrão para a 
segurança de informações.
 Em 1995, o BSi lançou seu primeiro padrão de segurança, 
BS 7799, criado com a intenção de abranger assuntos de segurança 
relacionados ao comercio eletrônico, ou e-commerce. Nesse 
mesmo ano, problemas como o Y2K e EMU tornaram-se 
precedentes sobre todos os outros assuntos. Para piorar, o BS 
7799 foi considerado inflexível e não foi adotado globalmente. O 
momento não era correto e questões de segurança não 
despertavam grande interesse naquele tempo. Quatro anos mais 
tarde, maio de 1999, o BSi tentou novamente, lançando a segunda 
versão do BS 7799, uma enorme revisão da versão anterior. Essa 
edição continha vários aperfeiçoamentos e melhoras desde a 
versão de 1995. Foi nessa época que o ISO identificou a 
oportunidade e começou a trabalhar na revisão do BS 7799.
 Em dezembro de 2000, o ISO adotou e publicou a primeira 
parte do BS 7799 como seu próprio padrão, chamando-o ISO 
17799. Nessa mesma época, de um modo formal de credenciamento 
e certificação de compatibilidade com os padrões foram adotadas. 
O Y2K, EMU e outras questões foram concluídas ou reduzidas no 
ano 2000, e a qualidade geral do padrão melhorou dramaticamente. 
A adoção do BS 7799 Parte 1 (o critério padrão) pelo ISO foi mais 
aceitável por um eleitorado internacional, e foi nessa época que 
www.esab.edu.br 79
um conjunto de padrões de segurança finalmente recebeu 
reconhecimento global.
•	 Uma estrutura de recomendações: O padrão ISO 17799 
elimina a segunda parte do BS 7799, que abrange 
implementação.
 O ISO 17799 é uma compilação de recomendações para 
melhores práticas de segurança, que podem ser aplicadas por 
empresas, independentemente do seu porte ou setor. Foi criado 
com a intenção de ser um padrão flexível, não guiando seus 
usuários a seguir uma solução de segurança específica ao invés 
de outra. As recomendações do ISO 17799 continuam neutras 
com relação à tecnologia e não fornecem nenhuma ajuda na 
avaliação ou entendimento de medidas de segurança já existentes. 
Por exemplo, discute a necessidade de Firewalls, mas não 
aprofunda nos tipos de Firewalls e como devem ser usadas. Isso 
leva alguns opositores a dizer que o ISO 17799 é muito vago e 
pouco estruturado para ter seu valor realmente reconhecido. A 
flexibilidade e imprecisão do ISO 17799 são intencionais, pois é 
muito difícil criar um padrão que funcione para todos os variados 
ambientes de TI, e que seja capaz de crescer com a mutante 
paisagem tecnológica atual. Ele simplesmente fornece um conjunto 
de regras, em uma indústria onde elas não existiam.
•	 Dez áreas de controle do ISO 17799:
1. Política de Segurança: necessário para determinar as 
expectativas para segurança, o que fornece direção e 
suporte ao gerenciamento. Deve também ser usada como 
uma base para revisões e avaliações regulares.
 Tem como objetivo é prover à direção uma orientação e 
apoio para a segurança da informação. Convém que a direção 
estabeleça uma política clara e demonstre apoio e comprometimento 
com a segurança da informação através da emissão e manutenção 
de uma política de segurança da informação para toda a 
organização. O documento da política deve ser aprovado pela 
www.esab.edu.br 80
direção, publicado e comunicado, de forma adequada, para todos 
os funcionários. Convém que este expresse as preocupações da 
direção e estabeleça as linhas-mestras para gestão da segurança 
da informação. No mínimo, convém que as seguintes orientações 
sejam incluídas:
a. Definição de segurança da informação, resumo das metas e 
escopo e a importância da segurança como um mecanismo que 
habilita o compartilhamento da informação.
b. Declaração de comprometimento da alta direção, apoiando as 
metas e princípios da segurança da informação.
c. Breve explanação das políticas, princípios, padrões e requisitos 
de conformidade de importância específica para organização, 
por exemplo:
•	 Conformidade com a legislação e cláusulas contratuais.
•	 Requisitos na educação de segurança.
•	 Prevenção e detecção de vírus e software maliciosos.
•	 Gestão da continuidade do negócio.
•	 Conseqüências das violações na política de segurança da 
informação.
4. Definição das responsabilidades gerais e específicas na gestão 
da segurança da informação, incluindo o registro dos incidentes 
de segurança.
5. Referências à documentação que possam apoiar a política, por 
exemplo, políticas e procedimentos de segurança mais detalhado 
de sistemas de informação específicos ou regras de segurança 
que convém que os usuários sigam.
 A política deve ser comunicada através de toda a organização 
para os usuários na forma que seja relevante, acessível e compreensível 
para o leitor em foco.
2. Organização da Segurança: sugere que uma estrutura de 
gerenciamento seja determinada dentro da empresa, explicando 
quais os grupos são responsáveis por certas áreas de segurança 
e um processo para o gerenciamento de respostas a incidentes.
www.esab.edu.br 81
 Empresas de todos os setores dependem de regulamentações 
e padrões definidos por associações como a Associação Médica 
Americana (American Medical Association – AMA) ou o Instituto 
de Engenheiros Elétricos e Eletrônicos (Institute of Electrical and 
Electronics Engineers – IEEE). As mesmas idéias valem para a 
segurança da informação. Muitas consultorias e fabricantes da 
área de segurança concordam com o modelo de segurança padrão 
conhecido, como CIA ou Confidentiality, Integrity, and Availability 
(Confidencialidade, Integridade e Disponibilidade). Esse modelo 
de três pilares é um componente geralmente aceito para avaliar 
riscos às informações delicadas e para estabelecer uma política 
de segurança:
3. Confidencialidade: informações delicadas devem estar 
disponíveis apenas para um conjunto pré-definido de 
indivíduos. A transmissão ou o uso não autorizado de 
informações devem ser restritos. Citamos como exemplo, a 
confidencialidade da informação garante que as informações 
pessoais ou financeiras de um cliente não sejam obtidas por 
um indivíduo não autorizado para propósitos maldosos como 
roubo de identidade ou fraude de crédito.
4. Integridade: as informações não devem ser alteradas de 
modo a torná-las incompletas ou incorretas. Usuários não 
autorizados devem ter restrições para modificar ou destruir 
informações delicadas.
5. Disponibilidade: as informações devem estar acessíveis a 
usuários autorizados sempre que precisarem. A 
disponibilidade é a garantia de que aquela informação pode 
ser obtida com uma freqüência e periodicidade pré-definidas. 
Isto é freqüentemente medido em termos de porcentagens e 
definido formalmente nos Acordos de Nível de Serviço 
(Service Level Agreements – SLAs) usados por provedores 
de serviços de rede e seus clientes corporativos.
www.esab.edu.br 82
 Tem como objetivo orientar à necessidade da criação de 
uma estrutura de gerenciamento para iniciar e controlar a 
implementação de segurança da informação dentro da organização. 
Incentiva a criação de fóruns apropriados de gerenciamento com 
liderança da direção sejam estabelecidos para aprovar a política 
de segurança da informação, atribuir as funções e coordenar a 
implementação da segurança através da organização. Se 
necessário, é recomendado a criação de uma fonte especializada 
em segurança da informação seja estabelecida e disponibilizada 
dentro da organização.
 São recomendadoscontatos com especialistas de segurança 
externos, para se manter atualizado com as tendências do 
mercado, monitorar normas e métodos de avaliação, além de 
fornecer o principal apoio, durante os incidentes de segurança. 
Convêm que um enfoque multidisciplinar na segurança da 
informação seja incentivado, tais como o envolvimento, cooperação 
e colaboração de gestores, usuários, administradores, projetistas 
de aplicações, auditores, equipes de segurança e especialistas 
em áreas como seguras e gerenciamento de risco.
Tópicos mais importantes desta norma:
•	 Gestão do fórum de segurança da informação.
•	 Coordenação da segurança da informação.
•	 Atribuição das responsabilidades em segurança da 
informação.
•	 Processo de autorização para as instalações de 
processamento da informação.
•	 Consultoria especializada em segurança da informação.
•	 Cooperação entre organizações.
•	 Análise crítica independente de segurança da informação.
•	 Segurança no acesso de prestadores de serviços.
•	 Terceirização.
 Classificação e Controle do Patrimônio: exige um inventário 
do patrimônio de informações da empresa e, com esse 
www.esab.edu.br 83
conhecimento, garante que o nível de proteção apropriado seja 
aplicado.
3. Tem como objetivo manter a proteção adequada dos ativos 
da organização. Convém que todos os principais ativos de 
informação sejam inventariados e tenham um proprietário 
responsável. O inventário dos ativos ajuda a assegurar que 
a proteção está sendo mantida de forma adequada. Convém 
que os proprietários dos principais ativos sejam identificados 
e a eles seja atribuída a responsabilidade pela manutenção 
apropriada dos controles.
 A responsabilidade pela implementação dos controles pode 
ser delegada, mas a responsabilidade pela prestação de contas é 
recomendada que fique com o proprietário nomeado do ativo.
•	 Ativos de informação: base de dados e arquivos, 
documentação de sistema, manuais de usuários, material 
de treinamento, procedimentos de suporte, planos de 
continuidade, procedimentos de recuperação, informações 
armazenadas.
•	 Ativos de software, aplicativos, sistemas, ferramentas de 
desenvolvimento e utilitários.
•	 Ativos físicos.
•	 Serviços: computação e serviços de comunicação, 
iluminação, eletricidade.
4. Segurança dos Funcionários: indica a necessidade de 
educar e informar os funcionários atuais ou potenciais sobre 
a expectativa da empresa para com eles, com relação a 
assuntos confidenciais e de segurança, e como sua função 
na segurança se enquadra na operação geral da empresa. 
Tenha um plano de relatórios de incidentes.
 Tem como objetivo reduzir os riscos de erro humano, roubo, 
fraude ou uso indevido das instalações. É recomendada que 
responsabilidades de segurança sejam atribuídas na fase de 
recrutamento, incluídas em contratos e monitoradas durante a 
www.esab.edu.br 84
vigência de cada contrato de trabalho. Os candidatos potenciais 
devem ser devidamente analisados, especialmente para trabalhos 
sensíveis, que todos os funcionários e prestadores de serviço, 
usuários das instalações de processamento da informação, 
assinem um acordo de sigilo.
Este acordo deve constar:
•	 Segurança nas responsabilidades do trabalho.
•	 Seleção e política de pessoal.
•	 Acordos de confidencialidade.
•	 Termos e condições de trabalho.
•	 Treinamento do usuário.
•	 Educação e treinamento em segurança da informação.
•	 Respondendo aos incidentes de segurança e ao mau 
funcionamento.
•	 Notificação dos incidentes de segurança.
•	 Processo disciplinar.
5. Segurança Física e Ambiental: aborda a necessidade de 
proteger áreas seguras, equipamentos de segurança e 
controles gerais.
 Tem como objetivo prevenir acesso não autorizado, dano e 
interferência às informações físicas da organização. É 
recomendável que os recursos e instalações de processamento 
de informações críticas ou sensíveis do negócio sejam mantidos 
em áreas seguras, protegidas por um perímetro da segurança 
definido, com barreiras de segurança apropriadas e controles de 
acesso. Convém que estas áreas sejam fisicamente protegidas de 
acesso não autorizado, dano ou interferência.
ÁREAS DE CONTROLE DO ISO 17799
6. Gerenciamento de Operações e Comunicações: tem como 
objetivos:
•	 Garantir instalações para a operação correta e segura do 
processamento de informações.
www.esab.edu.br 85
•	 Minimizar o risco de falhas dos sistemas.
•	 Proteger a integridade do software e/ou das informações.
•	 Manter a integridade e disponibilidade do processamento de 
informações e comunicações.
•	 Garantir a proteção das informações em redes e da infra-
estrutura de suporte.
•	 Evitar danos ao patrimônio e interrupções nas atividades da 
empresa.
•	 Prevenir perdas, modificações ou uso inadequado das 
informações trocadas entre empresas.
 Tem como objetivo garantir a operação segura e correta dos 
recursos de processamento da informação. Convém que os 
procedimentos e responsabilidades pela gestão e operação de 
todos os recursos de processamento das informações sejam 
definidos. Isto abrange o desenvolvimento de procedimentos 
operacionais apropriados e de respostas a incidentes.
•	 Procedimentos operacionais recomendados:
•	 Documentação dos procedimentos de operação.
•	 Controle de mudanças operacionais.
•	 Procedimentos para o gerenciamento de incidentes.
•	 Segregação de funções.
•	 Separação dos ambientes de desenvolvimento e produção.
•	 Gestão de recursos terceirizados.
 Verifica-se a existência do planejamento e aceitação dos 
sistemas onde, as preparações prévias são requisitos para garantir 
a disponibilidade adequada da capacidade e recursos. As projeções 
da demanda de recursos e da carga de máquina futura devem ser 
www.esab.edu.br 86
feitas para reduzir o risco de sobrecarga dos sistemas.
Alguns itens sobre o planejamento:
•	 Planejamento da Capacidade.
•	 Aceitação dos Sistemas.
•	 Proteção contra o software malicioso.
•	 Housekeeping.
•	 Cópias de Segurança.
•	 Registro de operação.
•	 Registro de falhas.
•	 Gerenciamento de Rede.
•	 Controle da Rede.
•	 Gerenciamento de mídias removíveis.
7. Controle de Acesso: identifica a importância da monitoração 
e controle do acesso a recursos da rede e de aplicativos, 
para proteger contra abusos internos e intrusões externas.
8. Manutenção e Desenvolvimento de Sistemas: reforça os 
esforços de TI, tudo deve ser implementado e mantido com 
a segurança em mente, usando os controles de segurança 
em todas as etapas do processo.
 Tem como objetivo garantir a segurança seja parte integrante 
dos sistemas de informação. Isto incluirá infra-estrutura, aplicações 
do negócio e aplicações desenvolvidas pelo usuário. O projeto e a 
implementação dos processos do negócio que dão suporte às 
aplicações e aos serviços podem ser cruciais para segurança. Os 
requisitos de segurança devem ser identificados e acordados 
antes do desenvolvimento dos sistemas de informação. Convém 
que todos os requisitos de segurança, incluindo a necessidade de 
www.esab.edu.br 87
acordos de contingências, sejam identificados na fase de 
levantamento de requisitos de um projeto e justificados, acordados 
e documentados como parte do estudo de caso de um negócio 
para um sistema de informação.
9. Gerenciamento da Continuidade dos Negócios: recomenda 
que as empresas se preparem com maneiras de neutralizar 
as interrupções às atividades comerciais, e protejam os 
processos comerciais cruciais, no evento de uma falha ou 
desastre.
 Tem como objetivo não permitir a interrupção das atividades 
do negócio e proteger os processos críticos contra efeitos de 
falhas ou desastres significativos. O processo de gestão da 
continuidade deve ser implementado para reduzir, para um nível 
aceitável, a interrupção causada por desastres ou falhas da 
segurança, através de combinações de ações de prevenção e 
recuperação.
 É importante que as conseqüências de desastres, falhas de 
segurança e perda de serviços sejam analisadas, recomenda-se 
que os planos decontingência sejam desenvolvidos e 
implementados para garantir que os processos do negócio possam 
ser recuperados dentro da requerida escala de tempo. É importante 
que tais planos sejam mantidos e testados de forma a se tornarem 
parte integrante de todos os outros processos gerenciais. A gestão 
da continuidade do negócio deve incluir controles para a 
identificação e redução de riscos, a limitação das conseqüências 
dos danos do incidente e a garantia da recuperação tempestiva 
das operações vitais.
Tópicos importantes dentro da continuidade do negócio:
•	 Processo de gestão da continuidade do negócio.
•	 Análise do Impacto.
•	 Documentando e Implementando planos de continuidade.
www.esab.edu.br 88
•	 Estrutura do plano.
•	 Testes, manutenção dos planos de continuidade.
10. Compatibilidade: instrui as empresas a observar como 
a sua compatibilidade com o ISO 17799 se integra ou não 
com outros requisitos legais como o European Unions 
Directive on Privacy (Diretivas da União Européia sobre 
Privacidade), Health Insurance Portability and Accountability 
Act (Decreto de Responsabilidade e Portabilidade de Seguro 
de Saúde, HIPAA) e o Gramm-Leach-Bliley Act (GLBA). 
Essa seção exige também uma revisão da política de 
segurança e compatibilidade técnica, além de considerações 
a serem feitas com relação ao sistema do processo de 
auditoria, para garantir que cada empresa se beneficie o 
máximo possível.
Instrui as empresas a observar como a sua compatibilidade com o 
ISO 17799 se integra ou não com outros requisitos legais como o 
European Union’s Directive on Privacy (Diretivas da União Européia 
sobre Privacidade), Health Insurance Portability and Accountability 
Act (Decreto de Responsabilidade e Portabilidade de Seguro de 
Saúde, HIPAA) e o Gramm-Leach-Bliley Act (GLBA).
Benefícios do ISO 17799:
 Com o certificado ISO 17799 uma empresa pode fazer mais 
negócios do que aquelas sem certificação. Se um cliente em 
potencial estiver escolhendo entre dois serviços diferentes, e a 
segurança for uma preocupação, eles geralmente selecionarão a 
opção certificada. Além disso, uma empresa certificada oferecerá:
•	 Segurança corporativa aprimorada.
•	 Planejamento e Gerenciamento de segurança mais efetivo.
•	 Parcerias e e-commerce mais seguros.
•	 Confiança aprimorada do cliente.
www.esab.edu.br 89
•	 Auditorias de segurança mais seguras e precisas.
•	 Redução de responsabilidades legais.
Status do ISO 17799:
 O ISO está atualmente revisando o 17799 para torná-lo mais 
aceitável pelo seu público global. Determinou o primeiro padrão e 
suas recomendações principais e idéias serão criadas e expandidas 
de acordo com as necessidades futuras. Até então o ISO 17799 é 
o padrão a ser seguido. Se a sua empresa não possui um programa 
de proteção de informações, o ISO 1779 pode fornecer as diretrizes 
para a criação de um. Mesmo que você não queira se tornar 
certificado, o ISO 17799 pode servir como um guia para a criação 
da postura de segurança da sua empresa. Você pode pensar 
nesse padrão como uma boa diretriz de segurança a ser usada 
pela sua empresa. Porém, você poderá descobrir que os benefícios 
da certificação podem ser muito abrangentes.
Avaliação e Riscos de um Plano de Contingência
 Riscos inerentes às atividades da empresa devem ser 
identificados, avaliados e gerenciados de modo a evitar a 
ocorrência de acidentes e/ou assegurar a minimização de seus 
efeitos.
Requisitos:
•	 Implementação de mecanismos que permitam, de forma 
sistemática, identificar e avaliar a freqüência e as 
conseqüências de eventos indesejáveis, visando a sua 
prevenção e/ou máxima redução de seus efeitos.
•	 Implementação de mecanismos para priorização dos riscos 
identificados, bem como a documentação, a comunicação e 
o acompanhamento das medidas adotadas para controlá-
los.
•	 Incorporação de processos de avaliação de risco a todas as 
www.esab.edu.br 90
fases dos empreendimentos e produtos, incluindo os 
relacionados à proteção da força de trabalho, comunidades 
vizinhas e consumidor final.
•	 Realização de avaliações de risco periódicas ou à medida 
que se identifiquem mudanças nos processos.
•	 Implementação de gestão de riscos de acordo com sua 
natureza e magnitude, nos diversos níveis administrativos.
Introdução
 A grande maioria das empresas que operam no Brasil espera 
enfrentar algum tipo de problema de segurança virtual (Oitava 
Pesquisa Nacional de Segurança da Informação, realizada pela 
empresa Módulo). Segundo o estudo, 82% dos entrevistados 
esperam enfrentar mais problemas, enquanto 43% das companhias 
reconheceram ter sofrido ataques aos seus sistemas de segurança, 
sendo que 24% desses eventos ocorreram nos últimos seis meses.
 A pesquisa revela que, embora a grande maioria dos 
pesquisados reconheça que a tendência de crescimento desse 
problema seja real, somente 49% dessas empresas têm algum 
plano de ação formalizado em caso de ataques. A preocupação 
com a segurança, no entanto, entrou definitivamente na pauta dos 
investimentos dos empresários: 77% admitem gastar mais neste 
item em 2003, com duas tendências claras: 81% vão investir na 
capacitação técnica de pessoal e 76% pretendem implementar 
uma política de segurança. Neste sentido, 75% dos entrevistados 
reconhecem serem conscientes para a necessidade das empresas 
realizarem análises de riscos. Segundo um balanço realizado pela 
Modulo, os hackers são os principais responsáveis por 48% dos 
ataques e invasões no ano passado, representando um aumento 
de 15% com relação ao ano de 2001. Empregados das próprias 
empresas saltaram de 24% para 31%; e ex-funcionários somam 
8% e os concorrentes saíram do 1% para 4%.
 A Oitava Pesquisa Nacional de Segurança da Informação 
www.esab.edu.br 91
ouviu, entre março e agosto deste ano, 547 profissionais – o triplo 
dos entrevistados em 2001 – ligados às áreas de tecnologia e 
segurança da informação de todos os segmentos econômicos, 
abrangendo mais de 30% das mil maiores empresas do País, 
revelou a Módulo. Na verdade, a TI representa apenas um 
componente das operações de negócios com as quais as pessoas 
têm de se preocupar. Embora as ameaças cibernéticas aumentem 
diariamente, o perigo de danos causados por desastres naturais e 
por indivíduos está sempre presente, e não deve ser subestimado.
 As empresas devem contar com medidas implementadas 
que protejam todos os aspectos de seus negócios, desde a 
segurança física até emergências de segurança da TI e dos 
negócios em geral. Os eventos catastróficos de 11 de setembro 
de 2001 mostraram ao mundo a importância crucial do planejamento 
contra desastres e veio a dar maior impulso a continuidade de 
negócios em todos os segmentos organizacionais, aumentando a 
necessidade de se ter redundância e os chamados Discovery 
Recovery.
 Um sistema de segurança eficiente ocorre quando a 
administração compreende suas prioridades e continua a avaliar 
a segurança para ir ao encontro aos interesses da empresa 
protegendo sua rede contra falhas na segurança, e ainda ficar 
aberto o suficiente para que as funções principais dos negócios 
sejam conduzidas com eficiência.
www.esab.edu.br 92
Medidas de Segurança
O que são Medidas de Segurança? São esforços como 
procedimentos, software, configurações, hardware e técnicas 
empregadas para atenuar as vulnerabilidades com intuito de 
reduzir a probabilidade de ocorrência da ação de ameaças e, 
por conseguinte, os incidentes de segurança. Como tudo 
envolve custo, antes de decidir pela estratégia a ser adotada, é 
importante atentar para o nível de aceitação dos riscos. Este deve 
definir os níveis de investimentos das medidas de segurança que 
serão adotadas pela empresa.
 Qual a melhor medida de segurança? Muitos acreditam 
que possa existir um modelo ideal de segurança pronto e que seja 
encontrado em livrarias, supermercados, ou quem sabe em lojas 
de conveniência! Seria muito bom se isso fosse verdade!
 Longe desta realidade, modelos de segurança devem ser 
preparados porprofissionais especializados na área, segundo 
diversos fatores como tipo de negócio, estratégia, ambiente 
operacional, cultura da empresa, entre outros. Muitas vezes, a 
combinação de várias estratégias pode ser a saída para que a 
www.esab.edu.br 93
empresa consiga atingir o nível de segurança desejado e que é 
requerido em função de seu tipo de negócio. Existem algumas 
estratégias que podem ser aplicadas em um ambiente 
computacional. A seguir, apresentamos três estratégias de 
segurança que podem ser utilizadas, como Medida Preventiva, 
Detectiva e Corretiva.
a. Medida Preventiva: estratégia com foco na prevenção da 
ocorrência de incidentes de segurança. Todos os esforços 
estão baseados na precaução e, por esta razão, o conjunto 
de ferramentas e/ ou treinamentos estão voltados para esta 
necessidade. As ações preventivas devem estar previamente 
orçadas, contratadas, acompanhadas e atuantes em pré-
ocorrências do risco. Podem se restringir a uma ação 
puramente técnica controlada internamente ou pode requerer 
uma ação externa (fornecedores, terceiros, etc.).
b. Medida Detectiva: estratégia utilizada quando se tem a 
necessidade de obter auditabilidade, monitoramento e 
detecção em tempo real de tentativas de invasão. Exemplos:
o Monitoramento.
o Monitoração de ataques.
o Controle sobre os recursos.
o Controle das atividades de usuários.
o Auditoria.
o Trilhas.
o Documentação.
o Log.
www.esab.edu.br 94
c. Medida Corretiva: são ativadas pós-ocorrência do risco. 
Pode ser o último estágio antes do acionamento de um Plano 
de Contingência. Ações corretivas em demasia podem ser o 
resultado de um planejamento ou operações inadequadas 
ou mesmo a falta deles. Muitas das vezes, ocorrem de forma 
emergencial, sem planejamento e dependendo do 
procedimento e das ferramentas adotados podem ser mais 
nocivas para o ambiente de TI do que benéficas. Podem ser 
evitadas caso haja ações Preventivas.
Definição de Incidente de Segurança
 A questão não é “se”, mas “quando”, ou seja, em algum 
momento teremos um incidente de segurança em nossa rede com 
um maior ou menor nível de gravidade, desta forma, faz-se 
necessário definirmos claramente o que é um incidente de 
segurança. Esta definição deve estar contida em nossa política de 
segurança, mas de forma genérica podemos classificar como 
incidente de segurança: “Invasões de computador, ataques de 
negação de serviços, furto de informações por pessoal interno e/
ou terceiros, atividades em redes não autorizadas ou ilegais”· 
Desta forma, além de termos claramente definidos o que é um 
incidente de segurança devemos estabelecer medidas de pré e 
pós-incidente, ou seja, devemos estar preparados para a ocorrência 
de um incidente.
Medidas pré-incidentes:
•	 Classificação dos recursos a serem protegidos.
•	 Implementação de mecanismos de segurança.
•	 Definição de equipe multidisciplinar para atuar em caso de 
incidentes.
•	 Classificação dos incidentes quanto ao nível de gravidade.
www.esab.edu.br 95
•	 Elaboração da estrutura administrativa de escalonamento 
do incidente (do operador, passando pelos gerentes até o 
presidente).
•	 Montagem de kit de ferramentas para atuar em incidentes 
em plataforma diversas.
•	 Definição de procedimentos a serem adotados.
Entre as medidas pós-incidentes podemos incluir:
•	 Procedimentos de coleta e preservação de evidências.
•	 Procedimentos de recuperação dos sistemas afetados.
•	 Procedimentos de rastreamento da origem.
•	 Elaboração de processo legal contra o causador do incidente.
Avaliação de Riscos
 Talvez seja a parte mais complexa da segurança. Nesta 
fase, sua empresa deve determinar a força e vulnerabilidade de 
sua rede. Você deve priorizar os recursos comerciais e avaliar se 
estes recursos chaves estão protegidos pelas soluções de 
segurança atuais. É fundamental a segurança centralizar-se em 
capacitar um sistema a manter dados particulares confidenciais, 
proteger a integridade da informação quando esta for enviada de 
um ponto a outro, e assegurar-se da identidade dos usuários.
 Ainda não há um sistema totalmente seguro. Falhas nos 
computadores são inevitáveis. Desde que as arquiteturas de rede 
são complexas e o ambiente da computação está sempre 
mudando, existem sempre novos riscos e exposições para a rede. 
O assunto a ser enfocado é se as vulnerabilidades de uma empresa 
- os riscos que ela corre – são administráveis ou não. Uma dica 
neste estágio é priorizar os ativos da empresa e destacar os mais 
cruciais que requerem atenção imediata em caso de evento 
inesperado. Passos para seguir nesta fase:
PASSO 1: Identificar onde existe a vulnerabilidade: avaliar a 
www.esab.edu.br 96
arquitetura e a política de acesso da rede, o uso das soluções 
como Firewalls e codificação, usando sistemas de verificação 
como um software de detecção de intrusos, filtros de e-mail e 
antivírus.
PASSO 2: Analisar as vulnerabilidades: deve ser incluída uma 
análise da relação custo-benefício para os riscos nas 
vulnerabilidades. Para fazer isto, você deve ter um senso claro 
das informações das propriedades dos negócios.
PASSO 3: Reduzir os Riscos: conforme as redes de computadores 
vão se tornando mais complexas, a avaliação também precisa 
reduzir os riscos. Classifique este aspecto respondendo a 
perguntas sobre soluções e políticas de segurança interna, por 
exemplo, senhas utilizadas, compartilhamento de informações, 
entre outros. De modo a auxiliar no processo de mapeamento e 
pontuação do grau de criticidade dos recursos, devem-se observar 
alguns pontos:
•	 Identificação dos ativos a serem protegidos: dados (quanto 
a confidencialidade, integridade e disponibilidade), recursos 
(quanto à má utilização, indisponibilidade, outros) e reputação 
(imagem, credibilidade, outros).
•	 Identificação dos possíveis atacantes: concorrentes, 
funcionários, ex-funcionários, pessoal terceirizado, 
visitantes, vândalos, espiões.
•	 Identificação dos tipos de ataque: Denial of Service (Negação 
de Serviço), roubo de informação, erros ou acidentes.
•	 Classificação dos ativos: quanto ao grau de impacto para o 
negócio, caso seja comprometido.
•	 Elaboração da documentação da rede e arquitetura atual: 
sistemas operacionais utilizados, versão do sistema 
operacional, fornecedor, serviços habilitados, responsáveis 
www.esab.edu.br 97
pelo sistema, etc.
•	 Definição de diretivas: quanto ao monitoramento da rede e 
sistemas (e-mail, sites acessados, programas utilizados).
•	 Definição de diretivas: referentes à propriedade intelectual;
•	 Identificar instituições: federais, internacionais e os 
profissionais especializados, bem como estabelecer acordo 
de cooperação, como FAPESP, RNP e DPF, EMBRATEL, 
TELECOM em geral, entre outras.
•	 Definir uma estratégia: de proteção dos ativos conforme o 
grau de criticidade do mesmo para a instituição. Uma regra 
universal para definição dos investimentos é “o valor investido 
na proteção do ativo não deve ser maior que o valor do 
mesmo”, na definição dos valores deve-se considerar 
fatores, como tempo de recuperação, impacto ao negócio 
entre outros.
Monitorando Sistemas e Brechas
 O monitoramento da segurança deve ser classificado de 
acordo com o quanto ele é sensível, registra e reage ao uso 
ou mau uso da rede, e como cuida de novos problemas e 
soluções disponíveis a partir de uma comunidade de peritos.
•	 Leve em conta seus parceiros: a sua empresa trabalha com 
e depende de outras empresas para a execução de algumas 
funções essenciais aos seus negócios. Certifique-se de que 
seus principais fornecedores e parceiros comerciais também 
tenham planos contra desastres implementados.
•	 Compromisso ao nível executivo: assim como acontece com 
qualquer outra iniciativa de segurança que envolva tempo e 
recursos, os seus planos de contingência e de recuperação 
de desastre terão de ser financiados pela empresa. Isso 
www.esab.edu.br 98
poderá requerer um compromisso por parte dos executivos 
de sua organização, a fim de demonstrara necessidade de 
tal plano, e de testar tais planos regularmente, estando 
preparado para fornecer à administração análises e 
documentação demonstrando o risco de possíveis perdas 
financeiras caso um desastre ocorra e sua empresa não 
possa se recuperar.
•	 Teste o plano: a fim de provar o seu compromisso com o 
planejamento de recuperação de desastres, é preciso que 
você teste completamente o seu plano. Não espere até que 
um incidente ocorra para descobrir se seus planos são 
efetivos. Encare isso como um treinamento de incêndio – é 
possível que um incêndio nunca aconteça, porém é 
importante que todos saibam o que fazer, e que o equipamento 
seja testado, nesse caso detectores de fumaça e de alarme, 
caso um incêndio real aconteça. A freqüência com que você 
testa a integridade de seu sistema deveria ser uma parte 
abrangente de suas conquistas nessa área. Como parte do 
monitoramento, um sistema de segurança faz verificações 
periódicas nos arquivos chaves do sistema, e as gravações 
dessas verificações podem ser então comparadas 
detectando assim, invasões ou alterações indesejadas. Este 
processo ajuda a estabelecer uma visão detalhada dos 
pontos fracos e fortes das redes. A TI pode criar políticas de 
segurança e soluções baseadas nesses resultados.
•	 Atualize o plano: ao alterar elementos importantes em seu 
plano de negócios, a eficácia do plano é afetada, portanto é 
hora de revisá-lo. As alterações em sua estrutura operacional, 
tais como novos softwares, novos parceiros de negócios ou 
a adição de redes sem fio podem indicar que é hora de 
revisar o plano e atualizá-lo para que reflita as mudanças. 
Mesmo que a empresa classifique a infra-estrutura de 
segurança como excelente neste momento deve, num curto 
www.esab.edu.br 99
espaço de tempo, reavaliá-la a fim de prevenir novas 
ameaças à rede por ataques de hackers e vírus que se 
tornarão cada vez mais complicados à medida que a Internet 
for se integrando aos seus negócios. A capacidade crescente 
do comércio eletrônico aumenta a vulnerabilidade da rede 
aos vírus e invasores. Uma segurança eficiente irá requerer 
reavaliação constante no modo como sua empresa avalia, 
monitora, planeja, e testa a segurança das redes.
 Juntamente com os principais executivos das áreas centrais 
de negócios, os gerentes de TI são as pessoas mais indicadas 
para avaliar a qualidade e os métodos do plano de segurança. 
Eles podem determinar melhor quais recursos da rede são 
considerados mais valiosos para os objetivos da empresa, 
construindo um plano claro e sólido, identificando os pontos com 
maiores vulnerabilidades e essenciais à empresa. Em intervalos 
regulares, eles também são as pessoas mais indicadas para 
reavaliar e classificar o plano de segurança e seu desempenho. 
Entretanto, eles não devem ser os únicos preocupados com a 
segurança, este plano deve ser bem conhecido pelos funcionários 
e deve deixar bem claro quem deve ser o primeiro contatado para 
que possa responder e tomar decisões.
A Organização e os Riscos
Após a identificação de um possível incidente devemos:
•	 Confirmar a ocorrência do mesmo, de forma a evitar esforço 
desnecessário, ou seja, distinguir entre o “falso-positivo” e 
incidente real.
•	 Registrar todas as ações tomadas.
•	 Definir o nível de criticidade do incidente.
•	 Identificar sistemas atingidos direta ou indiretamente.
www.esab.edu.br 100
•	 Observar se o incidente continua em curso.
•	 Acionar os especialistas necessários para a resposta ao 
incidente.
•	 Notificar a gerência quanto ao estado do sistema, tempo 
estimado de recuperação e ações de contra-resposta.
•	 Isolar os sistemas atingidos até a recuperação do mesmo e 
coleta das evidências.
•	 Devemos notar que ações de contra-resposta não significam 
bombardear a origem do ataque, caso tenhamos identificado 
a mesma, mas sim os procedimentos de preservação das 
evidências, e recuperação do sistema. Esta questão é 
fundamental, pois realizar uma ação de «ataque» contra o 
agressor não é uma medida muito inteligente visto que:
o Seu tempo será gasto com uma ação que poderá 
complicá-lo.
o Você mostra ao agressor que o mesmo foi descoberto.
o Estará utilizando os recursos de sua instituição de 
forma incorreta.
o Estará contribuindo para a elevação do nível de lixo na 
Internet como um todo.
 Recomenda-se os procedimentos discrição e ações para 
identificação da técnica utilizada para comprometer o sistema. 
Somente as pessoas certas devem ser notificadas, com 
informações claras do ocorrido, as ações que devem ser tomadas 
e o tempo estimado para normalização do sistema. Montar uma 
equipe de resposta a incidente não é tarefa fácil, desta forma 
devemos identificar dentro da instituição profissionais com 
diferentes perfis e acioná-los no caso de intrusão. É necessário 
que passem por treinamento para familiarização dos procedimentos 
www.esab.edu.br 101
de resposta a incidentes e entendimentos das ações e hierarquias 
a serem respeitadas, ou seja, podemos ter uma equipe 
relativamente pequena de profissionais altamente especializados 
em resposta a incidentes, sendo que esta equipe sabe que pode 
acionar outros interlocutores internos ou até mesmo externos, no 
processo de resposta a um incidente de segurança.
 A equipe deve contar com profissionais multidisciplinares e/
ou com especialidade tais como: criptografia, banco de dados, 
TCP/IP, Firewall, sistema de detecção de intrusão ou IDS, 
elementos de conectividade, plataformas variadas, estenografia, 
estrutura de arquivos, e outras especializações. Em conjunto com 
outros setores a equipe de resposta a incidente deve classificar os 
mesmos quanto gravidade, prioridade, valor do ativo, técnica 
utilizada, entre outros quesitos.
 Salienta-se a todos os envolvidos no processo da hierarquia 
de escalonamento, que no caso da ocorrência de um incidente de 
segurança, deve-se ter um interlocutor entre a equipe de resposta 
e a direção da instituição, em nenhum momento membros da 
equipe devem comentar as ações com outras pessoas, sobre o 
risco de comprometer a continuidade dos trabalhos, pois o 
incidente pode ter origem interna. É importante lembrar que uma 
equipe de resposta a incidente deve ter direito de acesso a setores, 
recursos e dados de forma a poder executar seu trabalho.
POLÍTICAS, REGRAS E ESTATÍSTICAS DE INVESTIMENTOS 
EM CONTINGÊNCIA DE GRANDES EMPRESAS
Política de Segurança de Senhas
 Uma senha fácil de deduzir é a causa mais comum dos 
problemas de segurança. Alguns critérios que devem ser seguidos 
por todo para a troca de senha:
•	 Nunca criar senhas tomando por base o próprio nome, 
mesmo que seja o seu nome de trás para frente.
www.esab.edu.br 102
•	 A senha não pode ser fácil de adivinhar, como o nome do 
marido ou da mulher, do namorado ou namorada, do seu 
cão, a placa do carro, a rua onde mora, a data do nascimento 
ou outra informação conhecida. Os hackers costumam usar 
os programas e dicionários on-line para adivinhar expressões 
como, por exemplo, “dedicação”.
•	 A dica é ser criativo, utilizando, por exemplo, frases, como: 
“Até que a morte nos separe querida” e utilizando a primeira 
letra de cada palavra “aqamnsq”. Dessa forma, a senha não 
é propriamente uma palavra, mas é fácil de lembrar e difícil 
de adivinhar. É aconselhável combinar palavras com 
números.
•	 Nunca crie uma senha somente com números, pois é muito 
fácil adivinhar.
Regras:
 Existem algumas regras recomendáveis para a criação de 
usuários e senhas, que podem ser utilizadas para minimização 
com problemas de senhas. Quanto aos usuários:
•	 Não usar a conta do superusuário ou administrador para 
outros setores/funcionários.
•	 Criar grupos por setores/áreas afins.
•	 Criar contas dos usuários de acordo com seus nomes, dentro 
dos grupos..
•	 Como sugestão de senhas, não utilizar:
o Mesmo nome de usuário, nome de login.
o Senha em branco.
o Palavras óbvias, como senha, pass ou password.
www.esab.edu.br 103
o A mesma senha para diversos usuários.o Primeiro e último nome do usuário.
o Nome da esposa/marido, pais ou filhos.
o Informação sobre si mesmo, como placa do carro, data 
de nascimento, telefone, CPF, etc.
o Palavra com menos de seis caracteres.
Quanto a senhas, podemos sugerir o uso de:
•	 Letras maiúsculas e minúsculas.
•	 Palavras com caracteres não alfabéticos como números ou 
sinais.
•	 Fácil de lembrar para não ter que escrever.
•	 Fácil de digitar, sem ter que olhar o teclado.
Vídeo Hackers do bem:
https://noticias.r7.com/domingo-espetacular/videos/hackers-do-
bem-dao-preciosas-dicas-para-se-proteger-de-ataques-
virtuais-21022018
https://noticias.r7.com/domingo-espetacular/videos/hackers-do-bem-dao-preciosas-dicas-para-se-proteg
https://noticias.r7.com/domingo-espetacular/videos/hackers-do-bem-dao-preciosas-dicas-para-se-proteg
https://noticias.r7.com/domingo-espetacular/videos/hackers-do-bem-dao-preciosas-dicas-para-se-proteg
www.esab.edu.br 104
FIREWALL
 Um dos principais componentes de segurança de uma 
empresa, como também o mais conhecido e antigo. Significa 
“barreira de fogo”, que nas organizações é implantado para que 
os usuários da Internet não acessem dados das Intranets, 
restringindo a visibilidade das informações, conforme as 
permissões de cada um, ou seja, entre duas redes ele é a barreira 
que permite ou não o acesso de dados. Um Firewall é, portanto, 
um software ou hardware que verifica informações que entra em 
PC pela internet ou por uma rede ele bloqueia ou permite que 
estas informações entre em sua máquina, dependendo de como 
esta configurado seu PC.
 Um Firewall pode ajudar a impedir que hackers ou softwares 
mal-intencionados (como worms) obtenham acesso ao seu 
computador através de uma rede ou da Internet. É utilizado para 
evitar que o tráfego não autorizado possa fluir de um domínio de 
www.esab.edu.br 105
rede para o outro. “Firewall é um ponto entre duas ou mais redes 
no qual circula todo o tráfego. A partir deste tráfego é possível 
controlar e autenticar o tráfego, além de registrar por meio de logs, 
todo o tráfego da rede, facilitando sua auditoria. É um dos maiores 
destaques para hackers, pois se o mesmo conseguir acessá-lo 
pode alterar suas permissões e alcançar o bem mais valioso das 
empresas – a informação” (Bill Cheswick e Steve Bellovin, em 
Firewall and Internet Security: Reppeling the Wily Hackers).
 “Firewall é um componente ou conjunto de componentes 
que restringe o acesso entre uma rede protegida e a Internet, ou 
entre conjuntos de redes” (Chapman). Na Internet, define-se 
Firewall com o intuito de restringir o acesso que a Internet 
possibilita, quebrando o paradigma da “conectividade sem limites”. 
Porém, possuir um Firewall não resolve os possíveis problemas 
de segurança, pois o componente sozinho não é uma barreira, 
mas suas configurações é que faz esta função ser atingida.
 Os primeiros Firewalls foram implantados em roteadores, no 
final da década de 80, por estarem em posição privilegiada – 
conectando redes distintas. As regras de filtragem eram baseadas 
na origem, destino e tipo de pacote. Com a chegada da Web, foi 
necessário separar as funcionalidades do Firewall dos roteadores. 
Assim, Para atender as questões de segurança, houve aumento 
de complexidade, surgindo as mais diversas tecnologias, como 
filtro de pacote ou estado, proxies, híbridos e adaptativos. Outras 
funcionalidades foram implementadas, como o Firewall reativo e 
individual. Atualmente, existe uma tendência a serem adicionados 
mais serviços aos Firewalls, mesmo não estando diretamente 
associado à segurança, como por exemplo, gerenciamento de 
banda, balanceamento de cargas, servidor de e-mail ou Proxy, 
entre outros. Este capítulo irá ilustrar o funcionamento dos 
principais tipos de Firewalls, tecnologias, arquiteturas, principais 
produtos comerciais e componentes integrantes na arquitetura.
www.esab.edu.br 106
A funcionalidade do Firewall e sua composição
 Um Firewall é um sistema ou grupo de sistemas que reforça 
uma política de segurança de dados existente entre uma 
organização e eventuais usuários situados fora da mesma, 
especialmente os de origem na Internet, criando uma barreira 
inteligente através da qual só passa o tráfego autorizado. A solução 
certa para a construção de um Firewall é raramente constituída de 
uma única técnica. É, ao contrário, um conjunto balanceado de 
diferentes técnicas para resolver diferentes problemas. Os 
problemas que devem ser resolvidos dependem de quais serviços 
a organização pretende tornar disponíveis e de quais riscos esta 
considera aceitáveis. As técnicas a serem empregadas para a 
solução destes problemas dependem do tempo, recursos 
financeiros e conhecimento técnico disponível na organização.
 O objetivo de qualquer Firewall é criar um perímetro de 
defesa projetado para proteger os recursos internos de uma 
organização. Para tal, deve atender a alguns requisitos:
•	 Deve ser parte integrante da política global de segurança da 
organização, de modo a evitar contornar facilmente por 
meios disponíveis a qualquer dos usuários internos.
•	 Todo o tráfego de dados para dentro ou para fora da rede 
corporativa deve passar obrigatoriamente pelo Firewall, para 
poder ser inspecionado.
www.esab.edu.br 107
•	 Deve permitir apenas a passagem do tráfego especificamente 
autorizado (política conservadora “o que não for 
expressamente permitido é proibido”), bloqueando 
imediatamente qualquer outro.
•	 Deve ser imune à penetração, uma vez que não pode 
oferecer nenhuma proteção ao perímetro interno uma vez 
que um atacante consiga atravessá-lo ou contorná-lo.
 Um Firewall age como uma barreira que controla o tráfego 
entre duas redes. O mais seguro de todos os tipos seria aquele 
que bloqueasse todo o tráfego com o mundo exterior, mas isto 
derrubaria o propósito de fazer conexões com redes externas. O 
degrau seguinte na escala seria permitir tráfego com o mundo 
exterior, mas manter severo controle sobre ele, de modo seguro. 
Assim, o Firewall pode ser encarado como um par de mecanismos: 
um existe para bloquear tráfego e o outro existe para permiti-lo. A 
definição do equilíbrio entre estas duas políticas será sempre 
baseada numa política global de segurança da organização.
Firewall típico
 Como o Firewall gerencia todo e qualquer acesso entre a 
rede interna e a Internet, sem ele cada componente do sistema na 
rede interna estaria exposto a ataques externos e, portanto, 
deveria possuir capacidades de segurança acentuada. Além disso, 
www.esab.edu.br 108
o nível de segurança geral da rede interna seria delimitado, por 
baixo, pelo elemento mais “fraco” desta rede. A existência do 
Firewall permite ao administrador da rede definir um ponto de 
controle único, através do qual pode impedir acessos não 
autorizados, proibir que serviços e dados potencialmente 
vulneráveis saiam da rede interna e fornecer proteção contra 
diversos tipos de ataques, pela concentração de esforços e 
tecnologias de forma consolidada neste único ponto. Outra 
vantagem do uso de um Firewall é a possibilidade de monitoração 
centralizada e geração de alarmes de invasão. De modo geral, 
pode-se dizer que, para uma organização que mantém conexões 
permanentes com a Internet, a questão não é se os ataques 
ocorrerão, mas sim quando ocorrerão.
 Os administradores de rede devem dispor de ferramentas 
adequadas para gerar relatórios de segurança e verificar o estado 
de suas defesas. Se o administrador de rede não tiver meios de 
saber que houve uma tentativa de invasão e se foi ou não bem 
sucedida, não precisaria ter um Firewall. Outro benefício do uso 
de Firewalls é que tornou-se locais ideais para a colocação de 
Tradutores de Endereços de Rede (NAT – Network Address 
Translators), essenciais para aliviar a crescente escassez de 
endereços IP registrados. Assim, a organização necessita ter 
apenas um endereço IP conhecido e fornecido por um ISP (Internet 
Service Provider), sendo os demais criados internamente e geridos 
pelo NAT.
 
O Firewallé composto por diversos componentes, que isoladamente 
são responsáveis por algum tipo de serviço específico, que de 
acordo com o tipo disponível, vai definir o papel do Firewall e seu 
www.esab.edu.br 109
nível de segurança.
 De acordo com a divisão clássica temos quatro tipos de 
funcionalidades de Firewall:
1. Filtros.
2. Proxies.
3. Bastion Hosts.
4. Zonas Desmilitarizadas.
 Por apresentarem o mesmo papel, porém de forma mais 
atualizada, atores modernos incluem nesta lista os seguintes itens:
•	 NAT – Network Address Translation.
•	 VPN – Virtual Private Network.
 As aplicações de Firewall abrangem desde a camada de 
rede (camada 3 no modelo OSI, ou camada IP, no modelo TCP/IP) 
até a camada de aplicação (camada 7 no modelo OSI, ou camada 
5 no modelo TCP/IP). Os Firewalls que operam no nível da rede 
geralmente baseiam suas decisões nos endereços de origem e 
destino e nas portas contidas em pacotes IP individuais. Um 
roteador simples é a forma mais típica de um Firewall operando no 
nível da rede. Um roteador não é capaz de decisões sofisticadas 
sobre o conteúdo ou a origem de um pacote. Por outro lado, este 
tipo de Firewall é bastante rápido e transparente para os usuários. 
No outro extremo, Firewalls que atuam no nível da aplicação, são 
geralmente computadores executando servidores proxy, que não 
permitem fisicamente a existência de tráfego entre redes, e que 
efetuam elaboradas operações de verificação nos dados que por 
eles trafegam. Além disso, Firewalls deste tipo são excelentes 
também como tradutores de endereços de rede (NAT), já que o 
tráfego “entra” por um lado e “sai” por outro, depois de passar por 
uma aplicação que efetivamente mascara a origem da conexão 
www.esab.edu.br 110
inicial. Este tipo de Firewall é certamente menos transparente para 
os usuários e pode até causar alguma degradação no desempenho.
Filtros
 São os responsáveis por rotear pacotes de forma seletiva, 
aceitando ou descartando, através da analise de cabeçalho. Esta 
seleção é definida a partir da política de segurança adotada pela 
organização. Existem dois tipos de filtros:
1. Filtros de Pacotes: tipo mais antigo e comum é colocado 
entre uma rede confiável e outra não confiável. Opera na 
camada de Rede e Transporte, toma suas decisões baseado 
no endereço IP e nos campos dos pacotes, permite ou proíbe 
o forward do pacote usando informações contidas nos 
Headers dos pacotes, como Endereço IP fonte ou de destino, 
portas TCP/UDP de destino ou de origem, por protocolos 
(ICMP, TCP, UDP, SNMP, etc..), etc. Pode ser dividido em 
três tipos:
2. Filtragem Estática: implementado na maioria dos roteadores. 
Suas regras devem ser alteradas manualmente.
a. Filtragem Dinâmica: modifica suas regras de acordo 
com o comportamento do tráfego, como por exemplo, 
www.esab.edu.br 111
só faz o forward de conexões ssh caso ela tenha sido 
iniciada por um host dentro da rede ou ainda, só 
permite pacotes ICMP type 8 (echo request) a uma 
taxa de 3 pacotes por segundo, passando disso ele 
nega o tráfego desse protocolo.Filtragem por Status: 
muito semelhante a filtragem dinâmica, só que agrega 
uma profundidade maior na análise do pacote. Um 
exemplo seria permitir o forward entre hosts 
dependendo do status da conexão, permitir conexões 
apenas com status de established e related.
b. As filtragens Dinâmicas e por Status, mantêm uma 
tabela de estados que é atualizada de acordo com 
eventos. O filtro de pacotes é caracterizado por realizar 
filtros, baseados no cabeçalho do pacote, quanto à 
origem, porta de origem, destino, porta de destino e 
direção de conexões. Para configurar, são relacionados 
os filtros com IP ou serviço (TCP, UDP, etc) permitindo 
ou proibindo o tráfego. Estes filtros são estáticos, por 
isso este tipo de tecnologia também é conhecido por 
static packet filtering. Para pacotes ICMP, o filtro é 
realizado a partir de código ou mensagem de erro.
Firewall de filtro de pacotes
Principais vantagens em utilizar esta tecnologia:
www.esab.edu.br 112
•	 Por exercer sua função na camada de rede e transporte, a 
tecnologia é mais flexível, barata e fácil de ser implementada.
•	 Os roteadores, que atuam como gateway, podem ser 
configurados para exercer esta função.
•	 Proporciona baixo overhead/alto throughtput.
•	 É transparente para o usuário.
•	 Melhor desempenho, comparado aos proxies.
Algumas desvantagens:
•	 O grau de segurança é menor, pois se pode criar pacotes 
que passem pela filtragem.
•	 Não consegue distinguir entre pacotes verdadeiros ou falsos.
•	 É preciso configurar o sentido dos pacotes para que não 
ocorra IP spoofing, para determinar se o pacote vem da rede 
interna ou externa. Isto impossibilita o IP spoofing de 
máquinas internas, mas os endereços externos ficam 
vulneráveis neste caso.
•	 Também é preciso configurar corretamente para a rede não 
sofrer port scanning, fingerpriting ou outros ataques.
•	 Existe dificuldade no gerenciamento.
•	 Problemas com protocolos que utilizam portas dinâmicas, 
como RPC, X11 e H.323, pois somente o cabeçalho não 
fornece todos os dados necessários.
•	 O primeiro pacote fragmentado é validado e os demais não 
são totalmente verificados, expondo a rede a uma grave 
brecha de segurança.
FILTROS E GATEWAYS
 
www.esab.edu.br 113
Funcionamento do Filtro de Pacote: realizado de forma seletiva 
por Firewalls que funcionam com sistemas de filtragem de pacotes 
entre computadores internos e externos à rede corporativa. Um 
roteador é um dispositivo que recebe pacotes de uma rede e os 
envia a outra rede. Um roteador com filtragem de pacotes é 
conhecido como screening router (ou roteador examinador).
 Tem como objetivo decidir se aceita/recusa o tráfego de 
cada pacote que recebe, examinando cada datagrama para 
determinar se atende a alguma de suas regras de filtragem de 
pacotes. Estas regras baseiam-se na informação contida nos 
cabeçalhos dos pacotes, que consiste nos seguintes itens:
•	 Endereço IP da origem.
•	 Endereço IP do destino.
•	 Protocolo encapsulado (TCP, UDP, ICMP ou IP Túnel).
•	 A porta de origem TCP/UDP.
•	 A porta de destino TCP/UDP.
•	 O tipo de mensagem ICMP.
 Se houver coincidência nas informações e a regra permitir a 
entrada do pacote, este é encaminhado de acordo com a informação 
da tabela de roteamento. Se, por outro lado, houver coincidência, 
mas a regra exigir a rejeição do pacote, este é descartado. Se 
www.esab.edu.br 114
não, um parâmetro padrão determinará se haverá rejeição ou 
aceitação do pacote.
Algumas regras típicas de filtragem:
•	 Permitir entrada de sessões Telnet somente para determinada 
lista de computadores internos.
•	 Permitir entrada de sessões FTP somente para determinada 
lista de computadores internos.
•	 Permitir saída de todas as sessões Telnet.
•	 Permitir saída de todas as sessões FTP.
•	 Rejeitar todas as conexões de sistemas externos à rede 
corporativa, exceto para conexões SMTP (para a recepção 
de e-mail).
•	 Rejeitar todo tráfego de entrada e saída oriundo de 
determinadas redes externas.
 Para entendermos como funciona a filtragem de pacotes é 
preciso saber a diferença entre um roteador comum e um screening 
router. Um roteador comum simplesmente observa o endereço de 
destino de cada pacote e decide qual o melhor caminho para 
enviar o pacote ao seu destino. Então, a decisão de como tratar o 
pacote é baseada somente no endereço de destino. Existem, 
então, duas possibilidades: ou o roteador sabe como enviar o 
pacote ao seu destino, e o faz, ou não sabe, e retorna-o à origem, 
com uma mensagem ICMP para o destino inalcançável.
 Um screening router, por outro lado, observa as características 
do pacote mais detidamente. Além de determinar se pode ou não 
rotear o pacote ao seu destino, também determina se deve fazê-
lo, de acordo com as regras de segurança que o roteador deve 
fazer cumprir. Observamos a seguir a posição típica de um 
screening router num sistema.
www.esab.edu.br 115
Usando um screening router paraa filtragem de pacotes
 A maioria dos sistemas Firewall existentes em conexões à 
Internet baseiam-se em um screening router, uma decisão 
motivada principalmente pelo baixo custo desta solução, já que a 
filtragem de pacotes é uma característica incluída como parte 
integrante dos softwares que acompanham qualquer roteador. 
Além disso, mesmo que o screening router não seja a única 
ferramenta de proteção, certamente estará presente mesmo em 
arquiteturas mais elaboradas, já que a filtragem de pacotes no 
nível do roteador fornece um grau de segurança inicial muito bom, 
numa camada baixa da rede (a camada 3).
Posição da filtragem de pacotes usando um screening router, 
como vista pelo modelo de camadas TCP/IP
 Embora seja possível ter apenas um screening router como 
www.esab.edu.br 116
medida de segurança entre a rede interna e a Internet, isto coloca 
grande responsabilidade neste dispositivo, já que é a única medida 
de proteção da rede. Se falhar, toda a rede interna estará exposta. 
Além disso, não é capaz de modificar serviços ou de proteger 
operações individuais dentro de um serviço, podendo apenas 
negá-lo ou permiti-lo, o que exige normalmente o uso de arquiteturas 
mais complexas.
Filtros de Pacotes por estado:
 Buscando suprir as deficiências do filtro de pacotes, foi 
criado o filtro de pacotes por estado como uma evolução, com o 
desenvolvimento do dynamic packet filter ou stateful packet filter 
– que filtra os pacotes a partir das informações dos pacotes e sua 
tabela de estado. Um Firewall que utiliza esta metodologia verifica 
as informações do primeiro pacote, de acordo com a filtragem – 
como no filtro de pacotes. É alimentada a tabela de conexões com 
a entrada deste pacote, juntamente com suas informações e 
estado da conexão, sendo a única diferença entre o filtro de 
pacotes, mas que corrige o problema da fragmentação de pacotes. 
É importante ressaltar, que a tabela de conexões gera um log para 
posteriores pesquisas. As principais vantagens são:
•	 Bom desempenho, por trabalhar no nível de transporte e 
rede.
•	 Log de conexões abertas ou não.
•	 Abertura temporária da rede.
•	 Baixo overhead e alto throughtput
•	 Compatibilidade com quase todos os tipos de protocolos.
 As principais desvantagens são:
•	 Permite conexão direta para máquinas internas da rede 
externa.
www.esab.edu.br 117
•	 A autenticação é somente realizada via gateway de aplicação 
(application gateway).
•	 Apesar de divulgarem que o filtro de pacotes por estado atua 
na camada de aplicação é necessário, na maioria dos 
Firewalls, outros softwares para realizar esta atividade.
Proxies
 O Proxy nada mais é do que um tradutor de endereços de 
aplicações. Trabalha tanto na camada de sessão, transporte e 
aplicação.
 Seu objetivo é não permitir que estações internas se 
comuniquem a servidores externos sem reendereçamento, 
promovendo assim, uma maior segurança dentro da rede, já que 
externamente o endereço interno está mascarado. Um Proxy 
funciona como um daemon e não utiliza um mecanismo único para 
controle do tráfego, sendo necessário um código especial para 
cada tipo de aplicação. Sua implementação é simples, minimizando 
ataque no mesmo. Por possuir um sistema de alarme, é possível 
registrar todo o tráfego da rede, tanto interno quanto externo.
 Existem dois tipos de proxys, os gateways de circuito e de 
aplicação. Sua principal diferença está na camada TCP na qual 
atua. O primeiro atua como relay entre cliente e servidor externo, 
não verificando os serviços executados. Este procedimento pode 
causar problemas de segurança, pois o gateway de pacote não 
sabe diferenciar os serviços, permitindo sua entrada na rede. Por 
exemplo, pode-se utilizar a porta 80 (http), para trafegar outro tipo 
www.esab.edu.br 118
de informação, sem a percepção do Firewall. O segundo realiza 
esta verificação, fazendo com que o payload dos pacotes sejam 
filtrados.
Gateway de Circuito:
 É uma função especializada que pode ser realizada por um 
gateway de aplicação (uma estação segura – um computador – 
que permite aos usuários se comunicarem com a Internet através 
de um servidor Proxy, código especial que aceita ou recusa 
características ou comandos específicos de certas aplicações, ou 
mesmo aceita ou recusa a própria aplicação). Este tipo de Firewall 
opera na camada de sessão do modelo OSI (camada 4), ou 
camada de transporte, no modelo TCP/IP, usa as conexões TCP/
IP como Proxy, pois um circuito proxy é instalado entre o roteador 
da rede e a Internet. É este Proxy que se comunica com a Internet, 
em lugar da própria rede local, e só o seu endereço IP é tornado 
público na Internet.
A posição de um Firewall baseado em um gateway de circuito, 
como vista pelo modelo de camadas TCP/IP
 Os gateways de circuito monitoram a troca de informações 
entre pacotes para determinar se uma determinada sessão que 
está sendo requerida é legítima ou não. As informações passadas 
a um computador remoto através de um gateway de circuito 
parecem ser originárias do próprio gateway. Com isto, omitem-se 
www.esab.edu.br 119
informações mais detalhadas sobre a rede interna. Entretanto, 
este tipo de Firewall ainda não realiza qualquer filtragem ou 
processamento de pacotes individualmente. Suas aplicações 
típicas são as conexões de saída, quando os usuários internos 
que as utilizam são considerados “confiáveis”. Desta forma, uma 
configuração bastante utilizada é um computador (o bastion host, 
um sistema especificamente configurado e protegido para resistir 
aos ataques externos, como será detalhado mais adiante) que 
opera como gateway de aplicação para conexões entrando no 
sistema e como gateway de circuito, para as que saem. Isto torna 
o sistema Firewall mais transparente e fácil de usar para os 
usuários internos que desejam acesso direto à Internet, enquanto 
provê as funções necessárias à proteção da rede interna contra o 
tráfego que vem da Internet.
 A figura a seguir ilustra a operação de uma típica conexão 
Telnet através de um gateway de circuito. Este simplesmente 
transmite as informações, sem nenhum exame ou filtragem dos 
pacotes. Todavia, como a conexão parece, aos usuários externos, 
gerada e gerenciada no gateway de circuito, informações sobre a 
rede interna não estão disponíveis. Só o endereço IP do gateway 
é conhecido.
Uma conexão Telnet através de um gateway de circuito
www.esab.edu.br 120
Gateway de Aplicação:
 Um gateway no nível (ou camada) de aplicação permite 
ao administrador de redes implementar uma política de 
segurança muito mais restritiva do que um roteador. Ao invés 
de contar com uma ferramenta genérica de filtragem de pacotes 
para gerenciar o fluxo de serviços da e para a Internet, uma 
aplicação especial (servidor Proxy) é instalada no gateway para 
cada serviço desejado.
 Se o servidor Proxy para uma dada aplicação não for 
instalado, o serviço não estará disponível e os pacotes 
correspondentes não atravessarão o Firewall. Além disso, o 
servidor Proxy pode ainda ser configurado para permitir que 
apenas algumas características da aplicação sejam oferecidas, a 
critério do administrador. A filtragem de pacotes num servidor 
Proxy continua, então, sendo efetuada, com a diferença de que, 
como o servidor examina intensivamente os pacotes recebidos no 
nível da aplicação (camada 7 do modelo OSI, ou camada 5 do 
modelo TCP/IP), pode filtrar comandos específicos desta, o que 
seria impossível para um roteador. Assim, por exemplo, um serviço 
http pode estar sendo oferecido, mas determinados comandos, 
como http:post e http:get, podem ser bloqueados.
www.esab.edu.br 121
A posição da filtragem de pacotes usando um gateway de aplicação, 
com vista pelo modelo de camadas TCP/IP
 A figura a seguir esquematiza e esclarece a posição ocupada 
pelo servidor Proxy na filtragem de pacotes, no qual não há 
comunicação direta entre a rede interna e a Internet; a rede interna 
conecta-se ao computador que age como um gateway (ou portão 
de acesso) e este conecta-seà Internet, o que reduz as chances 
de um ataque externo e ainda permite a inspeção dos dados que 
passam através do Firewall. Este computador é muitas vezes 
conhecido por bastion host, ou bastião, porque é o sistema 
especificamente projetado para suportar ataques externos.
Um servidor proxy entre a Internet e a rede interna
www.esab.edu.br 122
 Um bastion host apresenta características de projeto bem 
específicas, com a finalidade de prover segurança por restrição de 
acesso, como:
•	 A plataforma de hardware do bastion host executa uma 
versão segura do sistema operacional, especialmente 
projetada para protegê-lo das vulnerabilidades do sistema 
operacional típico.
•	 Somente os serviços considerados essenciais são instalados 
no bastion host, pois um serviço não disponível não pode 
ser alvo de ataques.
•	 Exigência de autenticação de usuário para acesso aos 
serviços Proxy.
•	 Somente um subconjunto de comandos do conjunto padrão 
de uma aplicação é disponibilizado aos usuários autenticados.
•	 Somente os computadores que gerenciam determinado 
serviço estão disponíveis aos usuários autenticados.
•	 Cada servidor Proxy é independente dos demais operando 
no bastion host, de modo a impedir que vulnerabilidades 
específicas afetem a segurança como um todo.
 Os gateways de aplicação oferecem aos administradores de 
redes completo controle sobre cada serviço individual, porque o 
servidor Proxy limita os serviços disponíveis, os comandos 
disponíveis dentro de cada serviço e os computadores conectados 
para atenderem às requisições de serviço. Simplificam igualmente 
www.esab.edu.br 123
a negação de serviço, bastando não disponibilizar um servidor 
Proxy para a aplicação.
 Outras duas vantagens inerentes a este arranjo são a 
possibilidade de ocultar os nomes dos computadores internos e a 
viabilidade de analisar os conteúdos dos pacotes para verificar se 
são “apropriados” e seguros, como rejeitar e-mails que contenham 
certas palavras). A principal limitação de gateways de aplicação é 
a exigência de modificação nos modos de conexão de usuários 
aos serviços, ou seja, a falta de transparência para os usuários.
Stateful Multi-Layer Inspection Firewalls
 Esta tecnologia de Inspeção de estado multi-camada, 
considerada a terceira geração dos Firewalls, permite examinar 
cada pacote em todas as suas camadas do modelo OSI, desde a 
rede (camada 3) até a aplicação (camada 7), sem a necessidade 
de processar a mensagem.
Posição da Inspeção de Estado Multicamada, como vista pelo 
modelo de camadas TCP/IP
 Com a tecnologia SMLI, o Firewall usa algoritmos de 
verificação de dados da camada de aplicação ao invés de executar 
servidores Proxy específicos para cada aplicação, otimizados 
para altas velocidades de inspeção, enquanto os pacotes são 
simultaneamente comparados a padrões conhecidos de pacotes 
amigáveis. Por exemplo, ao ter acesso a algum serviço externo, o 
Firewall armazena informações sobre a requisição de conexão 
www.esab.edu.br 124
original, tais como o número da porta, o endereço de destino e o 
de origem. No retorno da informação, o Firewall compara os 
pacotes recebidos com as informações armazenadas, para 
determinar se serão admitidos na rede interna. Desta forma, a 
SMLI oferece a velocidade e a transparência ao usuário típicas de 
um filtro de pacotes, aliadas à segurança e à flexibilidade de um 
gateway de aplicação. A principal limitação desta tecnologia é que 
ela expõe os endereços IP das máquinas internas à rede, já que 
permite que os pacotes internos alcancem a Internet. Esta limitação 
pode ser contornada com a adição de servidores Proxy em 
conjunto, o que eleva ainda mais a segurança.
Bastion Hosts
 São os equipamentos que prestam serviços à Internet. É a 
sua presença pública na Internet. Imagine a recepção de um 
prédio, onde estranhos podem não ter permissão de subir as 
escadas nem utilizar os elevadores, mas podem vagar livremente 
pela recepção e se informarem do que necessitam. Como numa 
recepção de edifício, os Bastion Hosts são expostos a possíveis 
elementos hostis, que tendo ou não permissão, precisam 
inicialmente passar pelo Bastion Hosts antes de alcançarem a 
rede interna. Quando mais simples forem, mais simples será 
mantê-lo seguro.
 Por estarem em contato direto com conexões externas, 
devem estar protegidos da melhor forma possível. Isso significa 
que deve executar somente os serviços e aplicativos essenciais, 
bem como ter a ultima versão de atualizações e patches de 
segurança instalados em sua configuração, assim que 
www.esab.edu.br 125
disponibilizado ao mercado. O bastion host é a ponte de interação 
com a zona desmilitarizada, pois os serviços disponíveis à DMZ 
devem ser impreterivelmente instalados nestes equipamentos 
protegidos.
DMZ – Zonas Desmilitarizadas
É uma rede que fica entre a rede interna e externa.
 Esta segmentação garante que caso algum equipamento 
bastion host seja atacado na rede DMZ, a rede interna continuará 
sua operacionalidade de forma intacta e segura. Usualmente 
encontrada como sendo uma rede entre a Internet e a intranet da 
empresa.
NAT, VPN E LIMITAÇÕES NO USO DE FIREWALL
NAT - Network Address Translation
www.esab.edu.br 126
 É uma das soluções que existem para a economia de 
endereços IP. É um tradutor de endereços de rede que visa 
minimizar a escassez dos endereços IP, pois o crescimento da 
Internet tem sido grande e, para que uma máquina tenha acesso 
à rede, é preciso ter um endereço IP válido. 
Para o tradutor funcionar, é preciso usar endereços IP privados, 
note que, tais endereços só podem ser utilizados em redes 
corporativas, pois, não são propagados pela Internet. A tradução 
pode ocorrer de forma estática, onde se estabelece uma relação 
entre endereços locais e endereços da Internet ou dinâmica, onde 
o mapeamento de endereços locais e endereços da Internet é 
feito conforme a necessidade de uso. As traduções estáticas são 
úteis quando disponibilizamos serviços na rede interna, como um 
site Web. Nesse quadro, quando o pedido de conexão chega ao 
roteador, o NAT consulta a tabela de endereços e transcreve para 
o IP interno correspondente, permitindo assim, que seja possível 
fazer uma conexão no sentido da Internet para a rede interna. 
 As traduções dinâmicas são úteis quando se pretende dar 
acesso aos computadores no sentido da rede corporativa para 
Internet. Funciona da seguinte forma: o computador da rede 
corporativa faz uma requisição que passa pelo roteador e ele, 
aloca em sua tabela, o endereço da máquina interna que requisitou 
a informação e o endereço Internet configurado no roteador (esse 
endereço pode ser único ou uma faixa de endereços), e quando 
os dados retornam da Internet, o NAT consulta a tabela de 
traduções e responde a máquina que fez a requisição. Mostraremos 
www.esab.edu.br 127
agora a tabela de endereços IP reservados, inválidos ou privativos, 
descritos no RFC 1918: 10.0.0.0/8 a 10.255.255.255 (máscara 
255.255.255.0) 172.16.0.0 a 172.31.255.255 /12 (máscara 
255.240.0.0) 192.168.0.0 a 192.168.255.255 /16 (máscara 
255.255.255.0). O NAT está definido na RFC 1631.
VPN - Virtual Private Network
 Rede Privada Virtual é uma rede construída sobre a infra-
estrutura de uma rede pública, normalmente a Internet, ou seja, 
utiliza-se a infra-estrutura da Internet ao invés de se utilizar links 
dedicados ou redes de pacotes (como Frame Relay e X.25) para 
conectar redes remotas.
 Motivada pelo lado financeiro, onde os links dedicados são 
caros, e do outro lado está a Internet, que por ser uma rede de 
alcance mundial, tem pontos de presença espalhados pelo mundo. 
As conexões com a Internet podem ter um custo mais baixo que 
links dedicados, principalmente quando as distâncias são grandes, 
esse tem sido o motivo pelo qual, as empresas cada vez mais 
utilizam a infra-estrutura da Internet para conectar a rede privada.
 A utilização da Internet como infra-estrutura de conexão 
www.esab.edu.br 128
entre hosts da rede privada éuma ótima solução em termos de 
custos, mas não em termos de privacidade, pois a Internet é uma 
rede pública, onde os dados em trânsito podem ser lidos por 
qualquer equipamento. Então como fica a questão da segurança 
e a confidencialidade das informações da empresa?
 Criptografia é a resposta. Incorporando criptografia à 
comunicação entre hosts da rede privada de forma que, se os 
dados forem capturados durante a transmissão, não possam ser 
decifrados. Os túneis virtuais habilitam o tráfego de dados 
criptografados pela Internet e esses dispositivos, são capazes de 
entender os dados criptografados formando uma rede virtual 
segura sobre a rede Internet. Os dispositivos responsáveis pelo 
gerenciamento da VPN devem ser capazes de garantir a 
privacidade, integridade, autenticidade dos dados.
Limitações no uso de Firewall
 Um Firewall não pode proteger uma rede interna de ataques 
que não passem por ele. Se o uso de canais de discagem por 
parte dos usuários da rede for irrestrito, usuários internos poderão 
realizar conexões diretas dos tipos PPP (Point-to-Point Protocol) 
ou SLIP (Serial Line Internet Protocol), que contornam as barreiras 
de segurança do Firewall e oferecem significativo risco de ataques 
por trás.
www.esab.edu.br 129
Conexão SLIP contornando o Firewall
 O Firewall não pode prover proteção contra usuários internos 
agindo de má fé ou por ignorância. Usuários podem remover dados 
confidenciais por meio de disquetes, cartões de notebooks, ou 
serem vítimas de hackers fazendo-se passar por administradores 
de sistemas e solicitando que revelem uma senha, por exemplo. O 
mesmo se pode dizer quanto à proliferação de vírus de computador: 
as organizações devem dispor de softwares anti-vírus em toda a 
rede interna, para sua proteção. Outra forma de ataque contra a 
qual os Firewalls não são totalmente eficazes são ataques acionados 
por dados. Nestes casos, dados aparentemente inofensivos são 
introduzidos no interior da rede interna, seja através de e-mail, seja 
por cópia de arquivos. Neste caso, a execução de um programa 
determinado pode disparar alterações significativas em arquivos 
relacionados à segurança do sistema, tornando-o vulnerável.
Deficiências do SLIP (Serial Line Internet Protocol):
 Há vários recursos que muitos usuários gostariam que o 
SLIP disponibiliza-se. Falhas mais comuns notadas no protocolo 
SLIP:
www.esab.edu.br 130
•	 Endereçamento: em uma ligação SLIP ambos os computadores 
necessitam conhecer outros endereços IP para possibilitar o 
roteamento. Ao usar SLIP para hosts ligados por linha discada 
a um roteador, o esquema de endereçamento pode ser 
completamente dinâmico e o roteador pode necessitar 
informar ao host que discou o seu endereço IP de host. O 
SLIP atualmente fornece mecanismos para hosts comunicarem 
informações de endereçamento sobre uma conexão SLIP.
•	 Identificação de Tipos: o protocolo SLIP não possui um campo 
de tipo. Assim, somente um protocolo pode percorrer a 
conexão SLIP, então em uma configuração que ligue dois 
computadores que usem outro protocolo além do TCP/IP 
somente este poderá usar a linha, não havendo esperança 
de compartilhar a linha entre os protocolos.
•	 Detecção/Correção de Erros: linhas telefônicas ruidosas 
afetarão pacotes em trânsito. Se a linha for muito lenta 
(2400bps) a retransmissão de pacotes será muito dispendiosa. 
A detecção de erros em nível de SLIP não é absolutamente 
necessária, pois as aplicações IP detectarão os danos nos 
pacotes (checksums de cabeçalho IP, TCP e UDP), embora 
aplicações como “NFS” usualmente ignorem o checksum e 
dependam do meio da rede para detectar os danos. Por isto, 
seria melhor que o SLIP fornecesse um método próprio de 
correção de erros.
•	 Compressão: por serem as linhas discadas muito lentas 
(2400bps), a compressão de pacotes causará grande melhoria 
no throughput dos pacotes. Usualmente, o fluxo de pacotes 
em uma conexão TCP simples possui poucos campos 
alterados nos cabeçalhos IP e TCP, então um algoritmo de 
compressão simples poderá enviar apenas as partes 
diferentes dos cabeçalhos em vez dos cabeçalhos completos.
www.esab.edu.br 131
 Algum trabalho para solucionar algum ou todos esses 
problemas vem sendo feito por vários grupos de trabalho para 
projetar e implementar um sucessor para o SLIP.
www.esab.edu.br 132
Decisões básicas de projeto para Firewalls
 No projeto de Firewalls para proteção de redes corporativas 
durante conexões à Internet, algumas questões devem ser 
abordadas pelo administrador de sistemas:
•	 A orientação do Firewall quanto à passagem de dados.
•	 A política global de segurança da organização.
•	 O custo da solução escolhida.
•	 Os blocos componentes do sistema Firewall.
 A orientação do Firewall quanto à passagem de recursos 
pode ser resumida duas a posições diametralmente opostas:
•	 Tudo o que não for especificamente permitido é proibido: 
posição que determina que o Firewall deva bloquear todo e 
qualquer tráfego e que cada serviço ou aplicação desejada 
deve ser implementada caso-a-caso, sendo esta a mais 
segura e recomendada. Sua desvantagem é dar à questão 
da segurança maior peso que à questão da facilidade de uso.
•	 Tudo o que não for especificamente proibido é permitido: 
posição que determina que o Firewall deva permitir a 
passagem de todo e qualquer tráfego, e que serviços ou 
aplicações potencialmente perigosas devem ser desabilitadas 
caso-a-caso, criando um ambiente mais flexível, oferecendo 
mais serviços aos usuários, mas sua desvantagem é colocar 
a facilidade de uso num patamar de importância maior que a 
segurança.
www.esab.edu.br 133
•	 O Firewall é parte integrante de uma determinada política de 
segurança da organização, fator que define os parâmetros e 
os requisitos do que denominamos defesa do perímetro. Por 
outro lado, o terceiro fator que determinará qual a solução 
técnica a ser adotada é, sem dúvida, o custo. Este determinará 
qual a complexidade e a abrangência da proteção a ser 
oferecida.
 Levando-se em conta os três fatores acima, uma organização 
pode definir os itens integrantes do sistema Firewall. Um sistema 
típico poderá conter um ou mais dos seguintes blocos componentes:
•	 Roteador com filtragem de pacotes.
•	 Gateway em nível de aplicação (ou servidor Proxy).
•	 Gateway em nível de circuito.
Exemplos de arquiteturas de Firewall:
 O sistema mais comum de Firewall consiste em nada mais 
que um roteador com filtragem de pacotes, colocado entre a rede 
interna e a Internet, executando as tradicionais funções de rotear 
o tráfego de pacotes entre redes e usar regras de filtragem para 
aceitar ou recusar este tráfego. Neste arranjo, os computadores 
da rede interna têm acesso direto à Internet, enquanto os externos 
só dispõem de acesso limitado à rede interna. A política de 
segurança mais adotada nesta arquitetura é “tudo o que não for 
especificamente permitido é proibido”.
Roteador com filtragem de pacotes
www.esab.edu.br 134
Vantagens:
•	 Baixo custo.
•	 Transparência para os usuários
Desvantagens:
•	 Exposição a ataques por configuração inadequada dos 
filtros.
•	 Exposição a ataques perpetrados através de serviços 
permitidos (já que não há exame do conteúdo dos pacotes).
•	 Necessidade de segurança adicional e autenticação de 
usuários para cada computador acessível a partir da Internet.
•	 Exposição da estrutura da rede interna (já que a troca de 
pacotes entre usuários internos e externos é permitida, há a 
exposição dos endereços IP internos).
•	 Se o roteador for atacado, toda a rede interna fica 
desprotegida.
 O segundo exemplo de arquitetura emprega a filtragem de 
pacotes, que aliada a um computador especificadamente projetado 
e protegido contra ataques externos, o bastion host. Esta arquitetura 
provê maior grau de segurança porque implementa tanto a 
filtragem de pacotes, em primeira instância, quanto o fornecimento 
de serviços através de servidores Proxy (aplicações com finalidades 
especiais, instaladas no bastionhost, intermediando a comunicação 
entre os meios interno e externo, impedindo a direta troca de 
pacotes entre eles). Neste esquema, um roteador com filtragem 
de pacotes é colocado entre o bastion host e a Internet. As regras 
de filtragem de pacotes só permitem que o tráfego externo tenha 
acesso ao bastion host; o tráfego dirigido a qualquer outro 
computador da rede interna é bloqueado.
www.esab.edu.br 135
 Como os sistemas internos residem na mesma rede que o 
bastion host, a política de segurança determina se os sistemas 
internos terão acesso direto à Internet ou se deverão utilizar os 
serviços de Proxy concentrados no bastion host, o que pode ser 
reforçado pelo bloqueio de todo o tráfego de saída que não se 
origine no bastion host. As vantagens deste arranjo são:
•	 Um servidor público (que forneça serviços Web ou FTP) 
pode ser colocado no mesmo segmento da rede situado 
entre o bastion host e o roteador, permitindo acesso direto 
de usuários externos sem comprometer a rede interna 
(protegida pelo bastion host).
•	 O mesmo servidor pode situar-se após o bastion host e estar 
disponível apenas através de serviços Proxy, tanto para 
usuários internos quanto externos.
Screened host Firewall (Single-homed bastion host)
 Um arranjo ainda mais seguro, visto na seguir, pode ser 
construído com um bastion host que apresenta duas interfaces de 
rede: uma com a rede interna e outra com a Internet, passando 
pelo roteador. Neste arranjo, conhecido por dual-homed bastion 
host, não há mais nenhuma possibilidade de acesso direto entre 
os sistemas da rede interna e a Internet; todo o tráfego é bloqueado 
no bastion host e o uso dos serviços de proxy passa a ser 
www.esab.edu.br 136
compulsório mesmo para os usuários internos. Deve-se, entretanto, 
evitar que usuários externos tenham a possibilidade de efetuar um 
login diretamente ao bastion host, sob pena de comprometer a 
segurança obtida com este arranjo.
Screened host Firewall (Dual-homed bastion host)
 Este arranjo emprega ainda um bastion host e um roteador 
para acesso à Internet, mas adiciona um segundo roteador interno 
(na interface bastion host-rede interna), criando o que se 
convencionou chamar de “zona desmilitarizada”, ou DMZ. Este 
arranjo é o que de mais seguro se pode conceber em termos de 
arquiteturas de Firewall, pois aplica conceitos de segurança desde 
a camada de rede até a de aplicação, além de restringir o acesso 
a tudo o que é público (bastion host, servidores públicos, modems, 
etc.) a uma área restrita, a zona desmilitarizada. Esta funciona 
como se fosse uma pequena rede isolada, situada entre a Internet 
e a rede interna. O tráfego direto através desta é proibido e os 
sistemas, tanto os internos quanto os externos, só têm acesso 
limitado à zona desmilitarizada.
 Para o tráfego externo, o roteador mais externo oferece 
proteção contra os ataques externos mais comuns, bem como 
gerencia o acesso da Internet à sub-rede DMZ. Somente o bastion 
host (ou, às vezes, o servidor público, dependendo da rigidez da 
www.esab.edu.br 137
política de segurança deste) está disponível para acesso. Já o 
roteador interno provê uma segunda linha de defesa, gerenciando 
o acesso da sub-rede DMZ à rede interna, aceitando somente o 
tráfego originado no bastion host.
 Para o tráfego de saída, as regras são semelhantes. Os 
sistemas internos à rede privada somente têm acesso ao bastion 
host, através do controle exercido pelo roteador interno. E as 
regras de filtragem do roteador externo exigem o uso de serviços 
Proxy para o acesso à Internet, ou seja, só permite o tráfego 
externo que se origina do bastion host. Este arranjo traz diversos 
benefícios importantes: três níveis de segurança (roteador externo, 
bastion host e roteador interno) separam a Internet do meio interno; 
somente a sub-rede DMZ é conhecida na Internet, de modo que 
não há meio de se conhecerem rotas de acesso à rede interna; da 
mesma forma, somente a sub-rede DMZ é conhecida para a rede 
interna e não existem rotas diretas para o acesso à Internet.
SISTEMAS DE DETECÇÃO DE INTRUSÃO
IDS – SISTEMAS DE DETECÇÃO DE INTRUSÃO (INTRUSION 
DETECCTION SYSTEM)
www.esab.edu.br 138
 É um conjunto de técnicas e métodos usados para detectar 
atividades suspeitas na rede e no host. São divididos em duas 
técnicas de detecção:
1. Baseado em assinatura e sistemas de detecção de 
anomalias, em que intrusos tem assinaturas, como vírus de 
computadores, podem ser detectados usando-se software. 
Tenta-se achar pacotes de dados que contenham quaisquer 
assinaturas conhecidas relacionadas a intrusos ou anomalias 
relacionadas a protocolos de Internet.
2. Baseado em um conjunto de assinaturas e regras, o sistema 
www.esab.edu.br 139
de detecção pode achar atividades suspeitas e gerar alertas. 
Detecção de intrusos baseadas em anomalias geralmente 
dependem de anomalias nos pacotes presentes nos 
cabeçalhos dos pacotes, podendo produzir resultados 
melhores comparados aos IDS baseados em assinaturas. 
Geralmente, IDS capturam dados da rede e aplicam suas 
regras a esses dados ou detectam anomalias neles. Os 
sistemas de detecção de intrusão é um componente muito 
importante para detecção de ataques, portanto torna-se 
essencial para ambientes cooperativos. Uma vez que, aos 
termos este tipo de ambiente favorece entrada aos sistemas 
internos a terceiros. O IDS é importante, mas é preciso 
definir com cuidado sua localização para que sua 
funcionalidade seja realizada adequadamente.
 OS primeiros IDS’s surgiram no início dos anos 80. Um bom 
estudo foi conduzido por Stanfort Research Institute, de julho de 
1983 a 1986 – o Project 6169: Statistical Techniques Development 
for Audit Trail System.
Objetivos e características de um IDS
 O Firewall é um componente de segurança que bloqueia ou 
não acessos entre redes,
 
www.esab.edu.br 140
exercendo uma função de segurança nas bordas por sua principal 
tarefa ser liberar ou não acessos. O IDS vem complementar os 
componentes de segurança, pois tem como principal objetivo 
monitorar e acompanhar as atividades internas ao sistema ou 
rede. Em outras palavras, o IDS tem finalidade de verificar se os 
acesso liberados aos bolsões de segurança (extranet e redes 
desmilitarizadas que tem como característica a interconexão de 
organizações) estão sendo realizados da forma esperada, ou 
estão sendo uma brecha de segurança. Deve monitorar não 
apenas estes bolsões, como também a própria Internet e sistemas 
internos, pois muitas pesquisas demonstram que ataques internos 
são os maiores responsáveis por perdas financeiras.
 Desta forma, IDS é um detector de anomalias, atividades 
impróprias ou incorretas de sistemas corporativos, através de 
verificação de portas e usuários que são permitidos a realizar 
acesso a informações. O Firewall nega o acesso e o IDS tem poder 
de verificar se o acesso é legitimo e de rastrear requisições que 
foram barradas pelo Firewall. Pode alarmar aos responsáveis dos 
problemas ocorridos e, dependendo do caso, reconhecer o 
problema.
 Principais características de um IDS, conforme a HAL 98, 
SAN 99-2 e BEC 99:
•	 Monitoração e análise das atividades dos usuários e 
sistemas.
•	 Avaliação de integridade de sistemas e dados.
•	 Analise estatística do comportamento de sistemas e de 
padrões de ataque.
www.esab.edu.br 141
•	 Detecção de erros de configuração de sistemas.
•	 Fornecimento de informações em tempo real.
•	 Resposta apropriada a cada ocorrência apontada com 
anomalia.
•	 Identificação de origem e destino do ataque.
•	 Capacidade de registro dos ataques para aprendizagem.
•	 Flexibilidade de resposta.
•	 Configuração apropriada para evitar “falso-positivos”.
Cada empresa adota uma política após a detecção de ataque.
•	 Exemplos [GRA99][BE 99]:
•	 Reconfiguração do Firewall.
•	 Aviso SNMP para sistemas como Tívoli, Open View ou 
Spectrum.
•	 Registro no Event Viewer.
•	 Geração de log no Syslog.
•	 Comunicação aos responsáveis por e-mail ou Pager.
•	 Gravaçãodas informações de ataque e evidências, para 
aprendizagem.
•	 Execução de programas que manipulam eventos.
Tipos de IDS
•	 Sistemas baseados em estação ou Host-Based Intrusion 
Detection (HIDS).
•	 Sistemas baseados em redes ou Network-Based Intrusion 
www.esab.edu.br 142
Detection (NIDS).
•	 Hybrid IDS ou IDS híbrido.
 Existem, ainda, os honeypots, que apesar de não serem 
IDS, podem ser utilizados por administradores de sistemas para 
aprender as formas de ataques, detectando e armazenando seus 
tipos.
Sistemas baseados em estação ou Host Based intrusion 
detection (HIDS)
 Realiza o monitoramento através de arquivos de logs ou 
agentes de auditoria, podendo monitorar acessos e alterações em 
arquivos de sistemas, privilegio de usuários, processos, programas 
executados, uso de CPU, entre outras informações. Citamos como 
exemplo um sistema de coleta de dados que seria um sistema de 
registros (logs), responsáveis pelo armazenamento de ocorrências 
em aplicações que rodam na estação. As aplicações estão 
configuradas para enviar seus registros para este sistema e ele é 
o encarregado de armazená-los em uma série de arquivos. Um 
eventual sistema de análise usaria essa base de registros do 
sistema comparando-a com padrões pré-estabelecidos com o 
objetivo de detectar intrusões.
www.esab.edu.br 143
Arquitetura de um sistema de registros
 O checksum é uma das formas de realização da checagem 
de integridade dos arquivos de sistema. Isto é interessante para 
detecção de backdoors, por exemplo, pois em geral são ferramentas 
cujo arquivo é corrompido. Um exemplo de IDS que realiza estas 
atividades é o Tripwire. Para analisar logs, o IDS verifica com 
excelência os ataques de força bruta, ou seja, aqueles com 
maiores direcionamentos de máquinas para determinados 
serviços. Ataques mais sofisticados são mais difíceis de serem 
identificados através do IDS. Um exemplo de software é o Swatch. 
Ele envia alerta quando é detectado um comportamento suspeito 
do serviço ou equipamento, ou seja, quando o mesmo apresentar 
um padrão diferente do definido como padrão.
 Para monitoração de portas, ou seja, verificação de tentativas 
de ataques e acesso a portas não utilizadas pelo sistema, 
caracterizado por um servidor tentar se logar ou realizar atividade 
em diversas portas de um servidor. O Portsentry, Abacus Project 
faz este tipo de verificação. Através das informações fornecidas e 
com o auxílio de ferramentas como o TCP Wrapper, pode-se 
alertar os administradores do sistema por meio de e-mail, Pager e 
até mesmo a interação com o Firewall na colocação de regras de 
filtragem. Porém, particularmente, não recomendo este 
procedimento. Faz-se necessário que alguma pessoa responsável 
por a segurança verifique o caso e tome as medidas cabíveis. Se 
deixar por responsabilidade do IDS, é perigoso fechar portas, 
serviços ou IP que não devem ser fechados indisponibilizando os 
www.esab.edu.br 144
serviços da organização, maior objetivos dos hackers. 
Maiores vantagens do HIDS:
•	 Verificação de tentativas de ataques, baseadas em logs, em 
tempo real.
•	 Monitoração de acesso a arquivos, modificações em 
permissões de arquivos ou usuários, logs de usuários no 
sistema, funções de administrador.
•	 Ataques centrados em servidor (keyboard attack) podem ser 
detectados facilmente – muitas requisições para o mesmo 
servidor.
•	 Garantia de verificação de ataques, mesmo se forem 
trafegados dados criptografados, pois o sistema operacional 
os decifra antes da analise do HIDS.
•	 É independente da topologia de redes, podendo estar 
associados entre hubs ou switches.
•	 Em geral, fornece pouco “falso-positivos”.
•	 Não necessitam de hardware adicional, somente softwares.
Desvantagens:
•	 Difícil gerenciamento e configuração nos hosts monitorados.
•	 É dependente do Sistema Operacional, já que cada um 
possui um sistema de log diferente.
•	 Não e capaz de detectar ataques de rede, como scanning 
de rede ou smurf – somente de servidores isolados.
•	 Caso o HIDS seja atacado, as informações são perdidas.
www.esab.edu.br 145
•	 Necessita de grande disponibilidade de espaço em disco 
para os registros do sistema.
•	 No Windows 98 não é muito eficiente, pois registra poucos 
logs do sistema e auditoria.
•	 Os hosts monitorados apresentam queda de desempenho.
www.esab.edu.br 146
 
Conhecer as normas e órgãos normatizadores e Conhecer as 
áreas de controle do ISSO 17799; Conhecer as medidas de 
segurança, de monitoramento e riscos e Conhecer as Políticas, 
Regras e Estatísticas de Investimentos; Conhecer a funcionalidade, 
composição e filtros dos componentes de segurança e Conhecer 
solução econômica de IP, redes sobre a infra-estrutura de uma 
rede pública e as limitações do Firewall e Conhecer a Arquitetura 
e projeto de Firewall e Conhecer os Sistemas de Detecção de 
Intrusão, seus objetivos e características.
www.esab.edu.br 147
Neste Eixo conheceremos os Sistemas baseados na Rede e 
Sistema de Detecção de Intrusão híbrido e configurações de 
proteção contra intrusos. Conhecer os métodos, localização e 
padronização de IDS e as implicaçoes, características e protocolos 
de segurança. Conhecer os fundamentos da criptografia, alé de 
conhecer Ataques a sistemas criptográficos, conhecer os 
certificados e órgãos certificadores e as formas de autenticação.
www.esab.edu.br 148
Sistemas baseados na Rede (SDIR) ou Network-Based 
Intrusion Detection System (NIDS)
 Realiza o monitoramento através do tráfego do segmento 
de rede, atuando de forma promíscua. Sua análise é realizada 
a partir dos cabeçalhos e conteúdos dos pacotes, comparando 
com os padrões estabelecidos. Os sistemas baseados na rede 
ou Network-based Intrusion Detecction System funcionam da 
seguinte forma: os pacotes são capturados e é feita uma análise 
em cada um deles para verificar se este está dentro de padrões 
pré-determinados ou não, indicando respectivamente tráfego 
normal ou uma tentativa de ataque. Em um meio compartilhado de 
difusão, os pacotes passam livremente e todas as interfaces a ele 
conectadas recebem estes pacotes. Dependendo do endereço de 
destino do nível de enlace do pacote, a interface o passa para o 
barramento interno da máquina para processamento posterior. 
Mas, a princípio, todas as interfaces recebem todo o tráfego. 
Sendo assim, é necessário posicionar o SDIR na rede que se quer 
proteger para que ele possa receber os pacotes necessários para 
sua análise.
Detecção de intrusão em uma rede local de difusão
 Salienta-se que estações de trabalho conectadas à rede 
também podem receber pacotes destinados a outras estações. 
Para que uma interface de rede consiga receber pacotes não 
www.esab.edu.br 149
destinados a ela, é necessária que ela trabalhe em um modo 
especial, chamado modo promíscuo. Existem basicamente dois 
modos de operação em uma interface de rede:
•	 Normal: cada interface de rede verifica o endereço de destino 
do nível de enlace, também chamado endereço MAC 
(Medium Access Control), ou ainda endereço físico. O 
endereço do pacote é idêntico ao endereço da interface, o 
pacote é repassado para processamento interno.
•	 Promíscuo: a verificação feita no modo anterior é 
completamente ignorada e todos os pacotes são repassados 
para processamento. Esse processo também é chamado de 
sniffing na rede e pode trazer problemas tanto para a estação 
de trabalho, que pode não suportar o processamento de 
todos os pacotes de uma rede local (seria necessário verificar 
o endereço de destino da camada de rede por software), 
quanto para a segurança da rede, que pode ficar 
comprometida devido à exposição de dados sigilosos, como 
autenticações.
 Os NDIS ou SDIRs precisam trabalhar em modo promíscuo 
para que mesmo os pacotes não destinados a ele possam ser 
analisados. Tendo todas as informações que trafegam pela rede, 
é possível ao sistema, por exemplo, detectar varreduras de portas, 
monitorar conexões ou datagramas maliciosos, que caracteriza 
um ataque antigo aoIIS (no pacote com destino ao servidor web) 
ou ainda verificar ataques de negação de serviço (através da falta 
de resposta de um servidor a uma requisição de um serviço). Em 
redes comutadas, cada máquina recebe o tráfego que corresponde 
somente a ela, ou seja, uma máquina A não receberia tráfego 
destinado a máquina B e vice-versa. Isso se deve ao conhecimento 
da localidade física de onde está conectada cada estação pelo 
comutador, ou seja, em qual porta está qual máquina, e ao fato da 
análise do endereço de destino do cabeçalho da camada de enlace. 
 Para detectar intrusões em redes desse tipo, seria necessário 
www.esab.edu.br 150
algum tipo de artifício no comutador com o objetivo de fazer com 
que todo o tráfego que passa por ele seja enviado, além da porta 
do destinatário, para a porta onde está conectado o SDIR. Esse 
artifício é chamado de espelhamento de portas e tem objetivo de 
refletir o tráfego de outras portas para uma porta específica. O 
modo como ele é feito é mostrado na figura a seguir na estação A 
passa um quadro para a estação B e este é refletido na porta do 
SDIR.
Detecção de intrusão baseado em espelhamento de portas no 
comutador
 Ao contrário do HIDS, é muito eficiente contra ataques de 
portscanning, IP spoofing e SYN flooding, detectando buffer 
overflow e ataques a um determinado servidor. 
Vantagens:
•	 Por ser analisado pacotes, a monitoração e válida para 
diversas plataformas.
•	 Ataques de port scanning, IP spoofing e SYN flooding são 
detectados.
•	 Pode ser configurado para monitorar atividades suspeitas 
em portas conhecidas.
•	 Identifica ataque em tempo real, permitindo ao administrador 
responder o mais breve possível ao evento.
•	 Registra os ataques e tentativas.
•	 É difícil para um hacker conseguir apagar os rastros num 
www.esab.edu.br 151
NIDS, caso o mesmo consiga invadir o equipamento.
•	 O hacker tem dificuldade de saber se existe ou não um 
NIDS.
•	 Não causa queda de performance na rede.
Desvantagens:
•	 Perda de pacotes quando a rede esta saturada.
•	 Dificuldade de compreensão de alguns tipos de protocolos, 
como o SMB.
•	 Não consegue decifrar pacotes criptografados.
•	 Dificuldade de utilização em redes segmentadas por 
switches.
•	 Para amenizar o problema da segmentação de redes com 
switches, tendência natural das redes modernas, os 
administradores de redes vêm utilizando técnicas como:
o Utilizações de IDS incorporadas ao switch, porém é 
limitada sua capacidade de detecção e poder de 
processamento.
o Utilização de porta para monitoração nos switches, 
porém recebe uma velocidade menor que causa perda 
de pacotes monitorados.
o Utilização de HIDS e NIDS em conjunto.
 Existem algumas técnicas utilizadas por hackers para não 
serem monitorados pelo NIDS.
•	 Envio de pacotes fragmentados devido a alguns NIDS não 
serem capazes de tratar.
•	 Ataques a portas não convencionais, como do DNS (53), 
www.esab.edu.br 152
para envio de backdoors.
•	 Slow Scan – Ataque de forma pausada para que o IDS não 
perceba o ataque. Para evitar este tipo de atitude com 
sucesso, é preciso configurar o IDS apropriadamente.
•	 Ataques por diferentes origens ou coordenados, ficando 
mais difícil a caracterização de ataque.
•	 Através do IP spoofing ou proxy mal configurado, o hacker 
pode executar o ataque e não ser identificado.
•	 Mudança nos padrões do IDS, para que o ataque não seja 
reconhecido.
•	 Para manter o NIDS é preciso algumas precações, pois é 
grande o volume de informações que são armazenadas no 
sistema.
•	 Quanto maior o armazenamento das conexões TCP, maior a 
probabilidade de detecção de ataques. Para isto, é preciso 
mais memória nos equipamentos.
•	 Para solucionar o problema da fragmentação, é preciso que 
seja utilizada a memória para montagem deste tipo de 
pacote.
•	 Para o caso scanning, slow scan, o IDS deve armazenar o 
máximo de tempo possível às informações.
 A maioria das organizações utiliza um sensor ou agente de 
segmento para monitoração, que captura os pacotes e os tratam 
antes de enviar a console, utilizando criptografia, principalmente o 
algoritmo assimétrico RSA para formação de um canal seguro.
HIDS – Hybrid Intrusion Detection System
www.esab.edu.br 153
 O IDS híbrido tem como objetivo agregar as vantagens 
do NIDS e HIDS, de forma a melhorar a detecção de tentativas 
de ataques e intrusões. A medida que os HDIS atuam somente 
em estações críticas, o NDIS atua analisando todo o tráfego de 
rede, inclusive aquele para estações que não contem um sistema 
de detecção rodando. Uma configuração bastante comum seria a 
de um SDIR para a rede local e SDIEs rodando nos servidores 
principais.
Detecção de intrusão híbrida
 O IDS híbrido, como o NIDS, captura o tráfego da rede, 
processa, detecta e responde a ataques. Porém, a estratégia que 
ele utiliza é diferente: existe o processamento a partir dos pacotes 
do próprio sistema, como o HIDS, eliminando o problema do 
desempenho. Porém, existe o problema da escalabilidade. É 
necessário instalar em cada estação para que seja efetuada a 
monitoração.
www.esab.edu.br 154
HIDS x NIDS ( http://web.tagus.ist.utl.pt/~carlos.ribeiro/slides/
3-3-42-Firewalls.pdf)
Breves considerações sobre a Criminalidade Informática e 
a Legislação Penal no Brasil
http://revista.grupointegrado.br/revista/index.php/
discursojuridico/article/viewFile/163/60
DICA
http://revista.grupointegrado.br/revista/index.php/discursojuridico/article/viewFile/163/60
http://revista.grupointegrado.br/revista/index.php/discursojuridico/article/viewFile/163/60
www.esab.edu.br 155
HONEYPOT E METODOLOGIA
Honeypot
 É uma forma de aprender a partir de intrusões e ataques. Os 
sistemas de detecção aprendem a partir das ocorrências e padrões 
definidos, mas o honeypot é uma experiência ao vivo e a cores de 
um ataque. É também conhecido por sacrificial lamb, decoy, booby 
www.esab.edu.br 156
trap, lures ou fly-traps. O honeypot é uma armadilha onde existem 
em um ou mais equipamentos que estão, em geral, em uma rede 
separada que aparentemente contém informações importantes da 
empresa para que os hackers os acessem. Um estudo detalhado 
das técnicas utilizadas e do ataque está em estudo, podendo estar 
associado a um sniffer, para identificar os hackers – nem sempre 
utilizado devido à dimensão da coleta, e o IDS – para aprender a 
partir das técnicas empregadas no ataque. É recomendado que o 
honeypot esteja em uma rede em paralelo por questões de 
segurança, pois é mais fácil chegar em máquinas com aplicações 
normais se estiverem na mesma rede, pois a partir da máquina a 
pessoa consegue ter maior visibilidade. Independente da solução 
a ser adotada no caso, é preciso preservar a rede de ataques a 
partir do honeypot. Como curiosidade, na Internet existe um projeto 
com oito honeypots que fornecem informações sobre tentativas 
de ataques, a título de aprendizagem. É o HoneynetProject. 
Existem diversas plataformas (Windows, Solaris, Linux) e as 
www.esab.edu.br 157
estatísticas das tentativas são compartilhadas, gratuitamente, na 
Internet.
Vantagens:
•	 Como Honeypot é isolado, o fluxo de informações para 
análise é pequeno comparado com a uma rede de produção.
•	 Firewall e IDS não são sobrecarregados com grande tráfego.
•	 Exige poucos recursos.
Desvantagens:
•	 Visão limitada de tráfego.
•	 Risco de ser invadido e utilizado para prejudicar outros 
sistemas.
Localização de Honeypot
Metodologia
 Existem dois tipos de abordagem que os IDS utilizam para 
detecção de intrusão ou ataque.
Knowledge-Based Intrusion Detection.
Behavior-Based Intrusion Detection.
www.esab.edu.br 158
Knowledge-Based Intrusion Detection
 Este tipo de detecção de ataque atua como um antivírus, 
utilizando um conjunto de assinatura conhecido e armazenado em 
uma base de dados. As assinaturas são tipos de conexões e 
tráfegos que indicam um ataque, tendo uma taxa de acertos boa. 
Porém, não são reconhecidas como ataque as assinaturas que 
não estiverem na basede conhecimento. Para adotar este tipo de 
IDS e o mesmo atuar de forma eficaz, é preciso manter atualização 
constante na base.
 A atualização da base depende do sistema operacional, 
versão, plataforma e aplicações utilizadas na rede, que a partir 
das vulnerabilidades dispõe de assinatura para identificação. O 
alarme disparado no caso de identificação de ataque, no 
Knowledge-Based Intrusion Detection é chamado do burlar alarm. 
Seu funcionamento é semelhante a um alarme residencial, 
disparando conforme eventos e momentos definidos e da forma 
que o administrador da rede configurar, ou seja, adequado a 
Política de Segurança da organização.
Vantagens:
•	 Apresenta poucos “falso-positivos”, o que aumenta a 
credibilidade do componente e diminui o tempo de verificação 
dos administradores, lembrando que muitos alarmes falsos, 
dependendo da rede, inviabilizam o trabalho.
www.esab.edu.br 159
•	 Os administradores podem criar sua própria assinatura para 
refinar os “falsos-positivos”, fazendo scripts para atingir este 
objetivo.
Desvantagens:
•	 Não consegue detectar ataques que não estão armazenados 
no banco de dados sua assinatura – semelhante aos 
antivírus.
•	 Caso algum hacker coloque espaços em branco em partes 
da assinatura, ele não reconhece o ataque, já que o processo 
dele está associado à identicidade da base de dados.
•	 Necessidade de alta disponibilidade de recursos 
computacionais, especialmente em ataque distribuído 
coordenado, já que muitas vezes existem grandes volumes 
de pacotes a serem avaliados e pela detecção ser em tempo 
real. Exigiria menos recurso se fossem avaliados os logs ou 
pacotes de rede, porém o ataque não seria detectado em 
tempo real.
 Existem assinaturas que detectam falhas de conexões TCP 
em diversas portas, identificando assim scanning na rede. Este 
tipo de assinatura é dividido em três:
•	 String: realiza uma avaliação se é possível ser um ataque. 
Normalmente, é necessário realizar algum tipo de 
procedimento com a string a fim de refiná-la ou utilizar 
assinatura composta (mais do que uma assinatura) para 
identificar o ataque. No Unix ou Linux é comum utilizar o “cat 
“ ++ “>;.rhosts”, para refinar pesquisa e utilizar assinaturas 
compostas, como cgi-bin, IFS e aglimpse para detectar 
intrusão, sem gerar muitas falsos positivos.
•	 Portas: verifica as tentativas de conexão na porta.
•	 Cabeçalho: rastreia por combinações sem lógica ou perigosa 
nos cabeçalhos dos pacotes. Como exemplo temos a 
www.esab.edu.br 160
identificação de pacotes com SYN e FIN, significando que o 
cliente deseja iniciar e finalizar uma conexão ao mesmo 
tempo, o que normalmente não acontece, demonstrando 
claro indicio de ataque.
www.esab.edu.br 161
Behavior-Based Intrusion Detection
 Este tipo de detecção é baseado através de desvios 
normais de comportamento dos usuários ou sistemas. Existe 
uma classificação do modelo da normalidade por os administradores, 
que devem estudar e conhecer a normalidade para que o ataque 
seja detectado, comparando constantemente com a situação 
andamento. A decisão de 
ser um ataque é realizada de forma estatística ou heurística, 
apontando comportamentos diferentes quanto ao tráfego, 
utilização de CPU, atividade de disco, logon de usuários e horários, 
acesso a determinado disco, entre outros.
Principais vantagens:
•	 Mesmo que não esteja definida uma assinatura, o IDS irá 
identificar o ataque por a mudança de comportamento, 
detectando a intrusão até mesmo de novos tipos de ataques.
•	 Este IDS é independente de plataforma ou sistema 
operacional.
www.esab.edu.br 162
Principais aspectos negativos:
•	 Geração de “falsos-negativos” (ataque que não causa 
mudança significativa na medição do tráfego), ou seja, é um 
ataque e não é alarmado.
•	 Grande número de “falsos-positivos” (alterações perceptivas 
que não são ataques), podendo ser bug no sistema de 
monitoramento ou erro na analise de medição.
•	 Existem projetos de inteligência artificial para sanar estes 
tipos de problemas, com redes neurais e lógicas fuzzy.
A padronização dos IDS
 A padronização dos IDS’s ainda está em andamento e tem 
como finalidade a criação de formatos e procedimentos para 
compartilhamento de informações entre sistemas. Este trabalho 
vem sendo realizado por a IETF (Internet Engineering Task Force). 
O nome do projeto é Intrusion Detection Exchange Format (IDWG) 
[IET 01].
Principais objetivos:
•	 Definição de formatos de dados e procedimentos para troca 
de resposta.
•	 Definição de formatos de dados e procedimentos para 
compartilhamento de informações
•	 Definição de métodos de gerenciamento dos sistemas que 
necessitarem interagir com outros.
•	 Depois da criação do projeto, é esperado que seja definida 
uma forma única (linguagem comum a todos os IDS’s) de 
formatos de dados e procedimentos, para comunicação 
entre IDS e exigências que os equipamentos devem se 
preocupar, tanto para gerenciamento quanto para troca de 
www.esab.edu.br 163
informações. Outro resultado esperado é a obtenção de um 
melhor protocolo para comunicação entre IDS’s.
Existem alguns documentos que já foram criados:
•	 Intrusion Detection Exchange Protocol (IDXP).
•	 Utilização de XML para troca de mensagens de intrusão.
•	 Túnel que passa entre o Firewall, utilizando o gerenciamento 
do IDS.
Onde deve estar localizado o IDS na rede
 Na realidade, o IDS pode ser colocado em qualquer lugar 
dentro da rede, mas cada lugar possui um tipo de proteção 
específico.
Localização de IDS
 Se utilizarmos um IDS na entrada dos acessos da Internet 
na rede corporativa, estaremos detectando possíveis ataques e 
intrusões contra toda a rede da organização, até mesmo aqueles 
que não teriam nenhum efeito contra servidores protegidos. Este 
tipo de IDS é bem utilizado, pois fornece uma rica fonte dos tipos 
de tentativas de intrusão, auxiliando ate mesmo os administradores 
a reconhecerem assinaturas e atualizarem as bases dos HIDS.
 Se utilizarmos um IDS próximo de um Firewall, principalmente 
os que possuem o core-business, outro tipo comum de localização, 
www.esab.edu.br 164
conseguimos identificar ataques contra o Firewall, e como já foi 
explicado, pode ser configurado para que regras sejam aplicadas 
bloqueando o acesso. Outro ponto também importante é próximo 
a DMZ, que identifica o tráfego de empresas coligadas que podem 
estar sendo usadas como ponte para alcançar a organização, ou 
até mesmo elas próprias. O mesmo se aplica a VPN. Com a 
chegada dos bolsões de segurança e o acesso a recurso interno 
cada vez maior, é interessante colocar IDS dentro do ambiente 
cooperativo também. Porém, não é uma prática muito comum nas 
empresas devido ao custo.
VPN E CARACTERÍSTICAS
REDE PRIVADA VIRTUAL OU VPN
 Virtual Private Network é uma rede de comunicações privada 
normalmente utilizada por uma empresa ou um conjunto de 
empresas e/ou instituições, construída em cima de uma rede de 
comunicações pública (como a Internet). O tráfego de dados é 
levado pela rede pública utilizando protocolos padrão, não 
necessariamente seguros.
O que é VPN?
 Uma rede privada nada mais é do que computadores 
interligados, por hubs ou switchs, compartilhando informações ao 
grupo que formam. Observamos que esta solução vem resolver 
problemas de redes com equipamentos no mesmo local, com o 
mínimo de segurança.
Conexão VPN entre duas redes interligadas (http://www.
www.esab.edu.br 165
clubedasredes.eti.br)
 Quanto maior a rede privada maior seu custo, pois 
precisaremos utilizar fibra ótica, por exemplo, para conseguirmos 
conexão. Esta é solução para diversas empresas que são grandes 
e possuem uma infra-estrutura que suporta este tipo de medidas, 
como bancos. Vivemos num mundo globalizado, onde muitas 
empresas são virtuais ou pequenas e representadas em diversas 
partes do mundo. Como estas empresas devem se comunicar é a 
constante preocupação, pois soluções como fibra ótica, possuem 
um alto custo que não corresponde à realidade das mesmas.
 Arede pública que temos é a Internet, onde tudo é 
compartilhado e existe conexão entre diversos equipamentos, 
pessoas e serviços do mundo. Porém, não existem regras de 
propriedade e segurança, muito menos administradores dos 
computadores interconectados. Pensando na rede pública e 
privada trabalhando juntas, surgiu o VPN, um estudo onde o que 
se quer é ter uma rede privada de segurança dentro da rede 
pública, a fim de minimizar custos, porém com a segurança de 
uma rede privada.
 Esta solução vem sendo cada vez mais empregada devido 
à expansão das intranets, onde não é necessário adquirir novos 
produtos para manipular suas informações, somente o browser. 
Os funcionários possuem uma visão da organização que lhe é 
necessária através dos sistemas, com suas permissões, 
centralizando as informações em servidores, que distribuem as 
informações, banco de dados e arquivos. Para associar todas 
estas vantagens on-line, em qualquer lugar, surgem mais uma vez 
a necessidade de tomada de decisões, sem estar necessariamente 
dentro da organização. Como fazer com que o acesso a intranet 
seja feito via rede pública e de forma confiável? A VPN vem a ser 
uma solução, mais simples e barata, de alcançar este objetivo.
www.esab.edu.br 166
A proteção da VPN
 A segurança depende do valor do que se quer proteger. 
Quando falamos de bens materiais, tomamos por base os preços 
de mercado. Porém, quando o assunto é informação digital, é 
preciso que os responsáveis pelo dado consigam mensurar, tanto 
em quantidade quanto em qualidade, quais são as informações 
que mais precisam ser protegidas. Esta análise é baseada em 
quanto à organização pode perder em caso de roubo da informação.
 É preciso saber visualizar as informações da empresa de 
forma macro, ter percepção, para identificar o nível de segurança 
apropriado, pois se sermos extremistas, podemos ver necessidade 
de colocar autenticação por retina em salas de servidores. Esta é 
uma atitude certa do ponto de vista da segurança, porém, em 
termos econômicos, não é decisão viável em muitos casos.O ideal 
na formação de VPN corporativa é conseguir analisar as 
necessidades da organização como um todo, e subdividi-las 
conforme os grupos que necessitam do mesmo tipo de informação, 
ou seja, é recomendado fazer uma divisão em subgrupos dentro 
da rede corporativa.
 A partir do momento que temos esta divisão, é preciso 
identificar quais grupos terão um nível de segurança maior, de 
acordo com o tipo de informação manipulada e os prejuízos que 
podem ocorrer em caso de perda da confidencialidade. 
Considerando que a informação será trafegada pela Internet, 
sendo fragmentada em pacotes visíveis pela rede, o túnel VPN 
possui algumas premissas que visam fazer com que as informações 
transmitidas tenham segurança, como se estivesse em rede 
privada.
•	 Privacidade.
•	 Integridade.
www.esab.edu.br 167
•	 Autenticidade.
•	 Não-repúdio.
•	 Facilidade.
Privacidade
 Deve garantir que somente as informações ao grupo de VPN 
do usuário estejam disponíveis para o acesso dele, como se 
estivesse numa rede corporativa. Outro ponto importante, é que 
apesar de utilizar a Internet como conexão, qualquer pessoa que 
consiga capturar as informações não consiga identificá-las. Para 
resolver este problema, é preciso utilizar técnicas de criptografia 
algoritmos matemáticos que visam dificultar o entendimento dos 
pacotes e para conseguir decifrá-los seria necessário muito tempo 
e esforço para descobrir o algoritmo reverso.
Integridade
 A mensagem enviada deve ser idêntica à mensagem 
recebida. A integridade de dados é obtida através da função hash. 
Se for utilizada a função hash no documento ou mensagem antes 
www.esab.edu.br 168
de trafegar via Web e durante sua transmissão não ter nenhuma 
tentativa de alterar os dados, a mesma função hash conseguirá 
abrir a mensagem no destino. Caso contrário, o resultado será 
diferente e o destino saberá que houve alguma interrupção no 
caminho.
Autenticidade
 É necessário ter certeza que as informações enviadas foram 
entregues ao destinatário. Esta garantia é dada pelo uso da Infra-
estrutura de Chave Pública, na forma da assinatura digital. 
Calcula-se o hash da mensagem cifrando-o com a chave privada 
da origem. É a chamada assinatura digital que é adicionada ao 
final da mensagem. Quando o destinatário recebe a mensagem, 
usa a chave pública da origem para decifrar a assinatura digital. A 
partir deste momento, descobre-se o hash, que permite descobrir 
se houve ou não alteração na mensagem. A chave privada é de 
uso exclusivo do autor, garantindo que não há como outra pessoa 
utilizá-la, fazendo com que a premissa da autenticidade seja 
validada. A assinatura digital possui valor legal, na legislação 
brasileira.
Não-repúdio
 O não-repúdio está na afirmação que determinado usuário 
realizou determinada tarefa e não pode ser negado posteriormente, 
devido a registros. A assinatura digital consegue garantir o não-
repúdio juntamente com a autenticidade.
Facilidade
 É a premissa que possui menos aspectos técnicos e maior 
entendimento entre os componentes da empresa. É preciso que 
todos os envolvidos estejam conscientes da política de segurança 
www.esab.edu.br 169
e consigam acessar as informações de forma simples, independente 
do nível de conhecimento do usuário. Quanto mais fácil o ambiente, 
maior a aderência dos usuários.
DICA
Algoritmo Criptográfico Posicional
http://revista.pcs.usp.br/n2/r002a004.pdf
http://revista.pcs.usp.br/n2/r002a004.pdf
www.esab.edu.br 170
Implicações da VPN em termos de segurança
 Os conceitos acima se referem a uma tecnologia perfeita ou 
pelo menos, ideal. Na realidade, nem sempre temos disponível a 
assinatura digital em redes VPN. Através da VPN, informações 
são trafegadas na Web, sofrendo grandes riscos de perderem sua 
confidencialidade.
Pessoas não autorizadas podem bisbilhotar o conteúdo de 
mensagens
 Caso a VPN não estiver utilizando uma arquitetura de 
criptografia, como a PKI, são necessários alguns cuidados 
adicionais com ataques e dados recebidos da Internet. Como 
exemplo de ataque, citamos o packet sniffing, onde qualquer 
indivíduo consegue capturar os dados trafegados, destruindo a 
confidencialidade, caso não esteja devidamente protegido. Ataque 
contra conexões TCP é outro tipo de problema que a integridade 
pode ser comprometida, Existe ainda o IP Spoofing, no caso de 
um usuário passar por outro, causando problemas de autenticação 
www.esab.edu.br 171
e autorização.
Fundamentos da VPN e criptografia
 A VPN é fundamentada na criptografia para que possa 
garantir a autenticidade, confidencialidade, integridade e não-
repúdio das conexões. Por estar na camada três do modelo OSI, 
a criptografia é independente da rede ou aplicação. Outro 
fundamento da VPN é o tunelamento. Ele permite a comunicação 
entre diversos protocolos, através da criação de um túnel virtual 
entre a origem e destino da conexão.
Cabeçalho IP mais os cabeçalhos de extensão (www.redes.unb.
br)
 Os túneis VPN podem ser criados tanto na rede corporativa, 
quanto na estação do próprio usuário, procedimento comum em 
acesso remoto. Para usuários dentro da rede corporativa, a VPN 
é como se a rede externa fosse interna, de forma transparente, 
chamado gateway-to-gateway. Para caso de usuários isolados, é 
necessário que seja iniciado o processo de conexão ao túnel, a 
partir do próprio equipamento, não sendo tão transparente quanto 
na rede corporativa, chamado client-to-gateway, pois é realizado 
http://www.redes.unb.br
http://www.redes.unb.br
www.esab.edu.br 172
através de um software no cliente.
Criptografia na camada de enlace, na de rede e na aplicação 
(www.gta.ufrj.br)
Acesso remoto e VPN
 Salienta-se a importância do acesso remoto para as 
organizações atualmente. Porém, se as informações das empresas 
perderem sua confidencialidade, este recurso torna-se 
desnecessário e sua necessidade torna-se questionada.
http://www.gta.ufrj.br
www.esab.edu.br 173Exemplo de ambiente para proteger o acesso remoto (http://www.
microsoft.com/brasil/security/guidance)
 Algumas situações que devem ser revisadas quando 
disponibilizamos este tipo de serviço:
•	 A segurança de conexões tem como base o protocolo IPSec, 
que tem demonstrado segurança em VPN, sendo que a 
integridade, autenticação e confidencialidade são negociadas 
por ele. Entretanto, é necessário saber implementá-lo, caso 
contrário, pode-se comprometer a segurança, principalmente 
quanto a algoritmos criptográficos.
•	 Os arquivos do certificado digital e chave assimétrica, bem 
como parâmetros para a geração do túnel, são armazenados 
em um arquivo que deve ser importado pelo cliente, causando 
um incidente em caso de roubo do equipamento ou captura 
do arquivo, caso um hacker o obtenha. Neste caso, o hacker 
necessitaria também da chave de importação do arquivo. 
Daí, a importância da implantação e exigência destes dois 
fatores na conexão VPN.
•	 Inclusão na política de segurança da necessidade de cuidado 
ao envio de notebooks para assistência técnica, onde alguém 
http://www.microsoft.com/brasil/security/guidance
http://www.microsoft.com/brasil/security/guidance
www.esab.edu.br 174
pode copiar os dados e informações necessárias a VPN, ou 
empréstimo destes equipamentos.
•	 É recomendável inserir senhas de acesso a VPN no cliente 
e estudar a melhor forma de armazená-la bem como será 
criptografada para envio ao servidor.
Protocolos de tunelamento
 O tunelamento é um pilar da VPN, e pode ser realizadas nas 
camadas dois e três do modelo OSI, com vantagens e desvantagens.
Esquema de um túnel VPN (www.abusar.org)
 Como exemplo de protocolos na camada dois, temos: Point-
to-Point Tunneling Protocol (PPTP), Layer 2 Forwarding (L2F), 
Layer 2 Tunneling Protocol (L2TP), entre outros. Na camada três 
temos o IP Security (IPSec) ou Mobile IP.
Vantagens dos protocolos na camada dois:
•	 Simplicidade.
•	 Compressão e codificação completa.
•	 Inicialização bidirecional de túnel.
Vantagens dos protocolos da camada três:
•	 Estabilidade.
•	 Segurança.
•	 Confiabilidade.
http://www.abusar.org
www.esab.edu.br 175
 O tunelamento nível dois (ou seja, aquele que utiliza protocolo 
na camada dois) é mais indicado para redes de acesso discado ou 
acessos que associam tráfego à utilização.
Desvantagens:
•	 Padronização em desenvolvimento.
•	 Baixa preocupação com escalabilidade.
•	 Segurança.
•	 Confiabilidade.
PPTP x L2TP (www.abusar.org)
Desvantagens do tunelamento de nível três:
•	 Poucos fabricantes (apesar de muitos fabricantes estarem 
implementando o IPSec).
•	 Maior complexidade no desenvolvimento.
 Apesar disto, vem se tornando o padrão mais aceito em 
redes VPN.
http://www.abusar.org
www.esab.edu.br 176
Controle de Tráfego e Gerenciamento
 O controle de tráfego para uma VPN é essencial para garantir 
a qualidade do serviço disponibilizado. É obtido através do 
gerenciamento de banda, que determina a dimensão da banda 
que cada protocolo pode utilizar (IP Sec, FTP, http, entre outros), 
para que a VPN tenha um bom desempenho e não gaste seus 
recursos somente em um tipo de protocolo. Tem como finalidade, 
integrar a política de segurança da organização (de forma 
centralizada local ou remota), aumentando a escalabilidade da 
solução. Existem softwares no mercado que oferecem serviços 
de monitoramento, detecção e solução de problemas. Existem 
provedores de VPN que a partir de ferramentas contabilizam o 
acesso e o valor a ser pago pela organização. Em caso de seguir 
o caminho de contratação deste serviço, é preciso estar ciente 
dos fatores a seguir:
•	 Área de cobertura.
•	 Acesso.
•	 Desempenho.
•	 Segurança.
•	 Gerenciamento.
•	 Largura de banda.
•	 Garantia de qualidade de serviços.
www.esab.edu.br 177
CRIPTOGRAFIA
Extraída de http://www-asc.di.fct.unl.pt/sd1/aulas-teoricas-0506/
materiais/cap4-0506-6pp.pdf
 Palavra de origem grega e significa a arte de escrever 
em códigos de forma a esconder a informação na forma de 
um texto incompreensível. A informação codificada é chamada 
de texto cifrado. O processo de codificação ou ocultação é 
chamado de cifragem, e o processo inverso, ou seja, obter a 
informação original a partir do texto cifrado chama-se decifragem. 
Ambos são realizados por programas de computador chamados 
de cifradores e decifradores, e além de receber a informação a ser 
cifrada ou decifrada, recebe um número chave que é utilizado para 
definir como o programa irá se comportar. Os cifradores e 
decifradores se comportam de forma diferente para cada valor da 
chave. Sem o conhecimento da chave correta não é possível 
decifrar um dado texto cifrado. Assim, para manter uma informação 
secreta, basta cifrar a informação e manter em sigilo a chave.
O que é criptografia?
 A criptografia vem para garantir a privacidade no mundo 
virtual. De acordo com diversos estudos, é complicado impedir 
todas as formas que pessoas consigam capturar pacotes que 
trafegam pela rede. Já que é muito difícil garantir via infra-estrutura, 
a criptografia vem como uma forma de garantir a privacidade das 
http://www-asc.di.fct.unl.pt/sd1/aulas-teoricas-0506/materiais/cap4-0506-6pp.pdf
http://www-asc.di.fct.unl.pt/sd1/aulas-teoricas-0506/materiais/cap4-0506-6pp.pdf
www.esab.edu.br 178
informações, embaralhando-a de forma eficiente, através de 
algoritmos específicos para esta finalidade.
(http://www.di.ufpe.br/~flash/ais98/cripto/Image3.gif)
 A importância da criptografia vem crescimento gradativamente 
dentro das organizações, garantindo a confidencialidade, 
integridade, autenticação, certificação e não-repúdio. Estas 
características estão presentes em protocolos com Secure Shell 
(SSH) e IP Security (IPSec), sendo um ponto importante dentro de 
Rede Privada Virtual (VPN – Virtual Private Network) ou Infra-
Estrutura de Chave Publica (PKI – Public Key Infrastructure).
 Criptografia significa estudo de códigos e cifras. Sua origem 
é do grego kryptos significa oculto e graphen significa escrever. A 
www.esab.edu.br 179
palavra saphar significa dar números, motivo que a maioria das 
criptografias estão associadas a algoritmos matemáticos. A 
criptografia não é moderna, como muitos pensam. Em V a.C., os 
espartanos já utilizam a criptografia no exército. Eles cifravam e 
ocultavam as mensagens usando um bastão de madeira. A 
mensagem era escrita num papel ou pano e era enrolada no 
formato do bastão. O destinatário recebia a mensagem e caso 
não se encaixasse dentro do bastão que tinha, idêntico ao que foi 
utilizado para enrolar a mensagem, era porque alguém leu a 
mensagem e tentou adulterá-la.
 A criptografia por substituição foi inventada pelo imperador 
Julio César, a mais ou menos, 2000 anos atrás. Ele enviava 
mensagens trocando as letras do alfabeto por três letras 
subseqüentes (A -> D, B -> E, e assim sucessivamente). O segredo 
da criptografia está em como as partes saberão criptografar e 
descriptografar a mensagem, ou seja, nas chaves e não no 
algoritmo empregado. Os melhores sistemas criptográficos são os 
de domínio públicos, pois diversos cientistas os analisam e validam 
quanto a falhas ou vulnerabilidades. Quando falamos em 
criptografia, temos dois tipos diferentes de chaves: chaves 
simétricas, (secretas), e as chaves assimétricas (públicas).
Tipos de Chaves
Criptografia Simétrica Criptografia Assimétrica
 No universo de sistemas criptográficos, um método é seguro 
se atender a dois quesitos:
•	 O algoritmo deve ser conhecido e testado laboriosamente 
www.esab.edu.br 180
pelos cientistas, aumentando assim, sua estabilidade quanto 
a falhas de segurança.
•	 A chave deve ser um segredo difícil de descobrir, mesmo 
com tentativas exaustivas de processamento.
 A seguir constam os principais tipos de chaves (pública e 
privada) e como elas atuam para alcançar este objetivo.
Chaves Simétricas ou Secretas
 A chave simétrica surgiu em 1972 pela IBM e depois foi 
revista em 1977, pelo Nacional Institute of Standards (NIST),Federal Information Processing Standards (FIPS-46-1) e American 
Nation Standards Institute (ANSI X9.32), com o nome de Data 
Encryption Standard ou DES. O padrão criado utiliza uma chave 
com 64 bits, sendo 56 para chave e 8 de paridade. Para a época 
foi um grande avanço, pois se acreditava que somente em 228 
milhões de anos (com testes a cada 100ms) o algoritmo poderia 
descobrir a chave.
 Uma curiosidade quanto aos 56 bits de tamanho da chave 
simétrica é que esta foi uma imposição de restrição do governo 
americano. O uso de chaves maiores só é permitido para fins 
militares. Entretanto, os cientistas anunciaram a quebra da DES 
por volta de 1997, fazendo com que os que utilizam esta chave 
tenham receio. Foram implementadas algumas variantes da DES, 
por exemplo, a 3DES, que nada mais é do que o uso de três 
chaves DES que embaralhadas formam a mensagem. Até agora 
a 3DES vem sendo mais utilizada e não foi quebrada, pelo menos 
por enquanto.
 A característica das chaves simétricas é que a chave é 
conhecida na origem e destino, sendo a mesma. O grande 
problema é conseguir que o emissor e receptor consigam conhecer 
a chave, somente eles, da mesma forma que as alterações que 
ocorram na chave sejam conhecidas em ambas as partes. Para 
isto, é preciso ter uma comunicação segura entre o receptor e 
www.esab.edu.br 181
emissor. A maior vantagem no uso de chaves simétricas é sua 
velocidade, principalmente se comparada a chaves assimétricas. 
Porém, existem algumas desvantagens que devem ser analisadas:
•	 Constante troca de chave secreta: o segredo de uma chave 
é compartilhado por duas organizações que precisam 
interagir para obter as chaves para comunicação, antes que 
seja efetuada a transação, de forma não digital, 
preferencialmente. Este detalhe eleva o custo da solução 
em alguns casos, além de ser um processo lento. Por ser de 
forma não digital, pessoas não autorizadas podem ter acesso 
a este material, colocando em perigo a confidencialidade, 
portanto se faz necessário constantemente à troca de chave.
•	 Difícil gerenciamento de chaves em larga escala: se 
considerarmos os fatores de quantidades de entidades que 
a empresa se comunica e multiplicarmos por chaves, teremos 
uma enorme quantidade. Se juntarmos ainda, as trocas 
feiras regularmente, teremos um processo critico para 
gerenciar.
•	 Problemas na troca de chave inicial: muitas vezes, é 
complicado saber com quem estamos lidando na Internet, 
ou se a pessoa que receber a chave terá a idoneidade de 
utilizá-la corretamente, sem divulgar a terceiros. Para este 
problema, surgiram os Centros de Distribuição de Chaves 
(KDC – Key distribution Center). São os responsáveis pela 
distribuição de chaves para usuários desconhecidos, por 
isso é necessário estar sempre on-line. Deve ser um foco de 
atenção aos administradores, pois um ataque neste ponto 
único desestrutura a empresa na distribuição das chaves. 
Outro tópico importante é a gerencia do servidor para 
usuários externos a organização.
•	 Não permitem a assinatura e certificação digital.
www.esab.edu.br 182
Chaves Assimétricas
 Na criptográfica com chave assimétrica temos um 
segredo dividido em duas partes relacionadas 
matematicamente, por dois números primos grandes 
fatorados entre si. Uma parte da chave é distribuída livremente 
– a chave pública – e a outra é conhecida somente da pessoa que 
a gerou – a chave privada. A chave assimétrica demonstra 
segurança maior do que a simétrica devido aos recursos 
computacionais disponíveis atualmente, que não conseguem em 
centenas de anos descobrir quais os números primos que 
originaram a chave.
 Em vias normais, a chave privada é armazenada usando a 
chave simétrica AES, pois aumenta a segurança na parte mais 
importante do processo. A chave privada é a garantia que somente 
quem tem a chave publica utilizada ira descobrir a mensagem 
enviada. Ao enviarmos uma mensagem, usamos a nossa chave 
privada e a chave pública do destinatário para criptografar os 
dados. Para abrir a mensagem de um destinatário, utilizamos a 
nossa chave privada para descriptografar a mensagem original.
 Uma necessidade das chaves assimétricas é um repositório 
onde as pessoas que precisam se comunicar busque a chave 
publica para criptografar e enviar os dados ao destinatário. Neste 
caso, este repositório deve ser confiável ou esta irá ser uma grande 
falha, pois ao buscar uma chave você precisa ter certeza que está 
criptografando para a pessoa certa descriptografar. Por isso, é 
recomendável os cuidado a seguir:
www.esab.edu.br 183
•	 Estabelecimento de relação de confiança no repositório de 
chaves públicas.
•	 Encontrar formas de confiar na integridade da informação 
recebida.
 Para estabelecer esta relação de confiança, surgiu o 
Certificado Digital, que será explicado em outro tópico deste 
capítulo.
Comparando as chaves
 Como escolher o modelo mais apropriado de criptografia? 
Em primeiro lugar, é preciso esclarecer as principais diferenças:
Criptografia Simétrica Criptografia Assimétrica
Processamento rápido Processamento lento
Gerenciamento e distribuição 
de chaves complicadas
Gerenciamento e distribuição 
de chaves de forma simples
Relacionamento com entidades 
desconhecidas de forma não 
digital ou em servidores 
centralizadores
Facilidade em estabelecer 
relacionamento com entidades 
desconhecidas
Não suporta assinatura digital Suporta assinatura digital
 Em segundo lugar, os modelos de criptografias podem ser 
combinados. Existem casos onde se opta pelas mensagens serem 
enviadas via chave simétrica, por ser mais rápida a transmissão, 
e a distribuição das chaves através das chaves assimétricas. Tudo 
irá depender da arquitetura e nível de segurança das informações. 
Os seguintes protocolos aceitam o sistema de criptografia híbrido: 
IPSec, SSL e TLS, PGP, S / MIME, Set, X.509.
Algoritmos
 Vários algoritmos matemáticos foram implementados para suprir 
as necessidades para atender os serviços das chaves assimétricas ou 
simétricas. A seguir, temos os principais e seus objetivos.
www.esab.edu.br 184
Diffie-Hellman
 Baseado no problema do logaritmo discreto, e o criptosistema 
de chave pública mais antiga ainda em uso. O conceito de chave 
pública foi introduzido pelos autores deste criptosistema em 1976. 
Contudo, ele não permite nem ciframento nem assinatura digital. 
O sistema foi projetado para permitir a dois indivíduos entrarem 
em um acordo ao compartilharem um segredo tal como uma 
chave, muito embora eles somente troquem mensagens em 
público. Este algoritmo tem o nome de seus inventores Whitfield 
Diffie Martin Helann. O objetivo deste algoritmo é prover de forma 
rápida e eficiente a troca de chaves (pública e privada) entre 
sistemas, baseadas nas duas partes da chave de cada usuário.
 Apesar de apresentar-se de forma simples, possui uma 
desvantagem: no momento de trafegar a chave pública do outro 
usuário, a comunicação é realizada de forma insegura. Outro 
usuário pode se passar pelo destinatário. Isto se deve a 
preocupação do algoritmo ser somente na criptografia e não incluir 
a autenticação.
RSA
 É um algoritmo de encriptação proposto por Ron Rivest, Adi 
Shamir e Leonard Adleman, pesquisadores do MIT em 1977 e 
fundadores da atual empresa RSA Data Security, Inc. É um dos 
mais velhos algoritmos de criptografia de chaves públicas, porém 
utiliza-se da eficiência da multiplicação de grandes números 
www.esab.edu.br 185
primos e retorno de tempo não hábil para a operação reversa. 
Algoritmo, até a data (2008), é a mais bem sucedida implementação 
de sistemas de chaves assimétricas, e fundamenta-se em Teorias 
Clássicas dos Números. É considerado dos mais seguros, já que 
mandou por terra todas as tentativas de quebrá-lo. Foi também o 
primeiro algoritmo a possibilitar encriptação e assinatura digital, e 
uma das grandes inovações em criptografia de chave pública.
Pode ser utilizado em diversos contextos:
•	 Criptografar e descriptografar dados.
•	 Assinar e validar uma assinaturadigital.
•	 Estabelecimento de chaves públicas e privadas entre 
sistemas.
•	 Garantia da integridade de informações.
DAS
 Outro algoritmo de chave pública utilizado para 
gerenciamento de chaves. Sua matemática difere da utilizada 
no RSA, mas também é um sistema comutativo. O algoritmo 
envolve a manipulação matemática de grandes quantidades 
numéricas. Sua segurança advém de algo denominado problema 
do logaritmo discreto. Assim, o ElGamal obtém sua segurança da 
dificuldade de se calcular logaritmos discretos em um corpo finito, 
o que lembra bastante o problema da fatoração. O DAS é uma 
proposta padrão de assinatura digital baseada no algoritmo de 
Schnorr e ElGamal. Em seu lançamento, foi muito atacado e 
considerado um algoritmo perigoso. Diversas questões técnicas 
foram questionadas, principalmente pelo fato do padrão 
reconhecido ser o RSA. Atualmente, é explicitamente recomendado 
para autenticação de assinatura digital, ou seja, integridade das 
informações- não podendo ser utilizado para criptografia ou troca 
de chaves. Para complementar as funções do DAS, sugere-se o 
Digital Signiture Scheme (DSS).
www.esab.edu.br 186
ECDSA (Elliptic Digital Signiture Algorith) e ECDH (Elliptic 
Curve Diffie-Helman)
 Em 1985, Neal Koblitz e V. S. Miller propuseram de forma 
independente a utilização de curvas elípticas para sistemas 
criptográficos de chave pública. Eles não chegaram a inventar um 
novo algoritmo criptográfico com curvas elípticas sobre corpos 
finitos, mas implementaram algoritmos de chave pública já 
existentes, como o algoritmo de Diffie e Hellman, usando curvas 
elípticas. Assim, os sistemas criptográficos de curvas elípticas 
consistem em modificações de outros sistemas (o ElGamal, por 
exemplo), que passam a trabalhar no domínio das curvas elípticas, 
em vez de trabalharem no domínio dos corpos finitos. Eles 
possuem o potencial de prover sistemas criptográficos de chave 
pública mais segura, com chaves de menor tamanho.
 Muitos algoritmos de chave pública, como o Diffie-Hellman, 
o ElGamal e o Schnorr, podem ser implementados em curvas 
elípticas sobre corpos finitos. Assim, fica resolvido um dos maiores 
problemas dos algoritmos de chave pública: o grande tamanho de 
suas chaves. Porém, os algoritmos de curvas elípticas atuais, 
embora possuam o potencial de serem rápidos, são em geral mais 
demorados do que o RSA.
 O ECDSA e ECDH, na realidade, não são algoritmos, mas 
uma forma de implementação que altera a forma que funcionam, 
para curvas elípticas. Alterando os algoritmos para trabalharem de 
forma elíptica, o algoritmo se torna mais seguro e tem um menor 
tamanho, resolvendo um dos maiores problemas dos algoritmos 
de chave pública. Porém, o tempo de processamento é maior do 
que o RSA.
www.esab.edu.br 187
Funções hash
www.esab.edu.br 188
Funções Descrição
MD5
É uma função de espalhamento unidirecional 
inventada por Ron Rivest, do MIT, que também 
trabalha para a RSA Data Security. A sigla MD significa 
Message Digest. Este algoritmo produz um valor 
hash de 128 bits, para uma mensagem de entrada de 
tamanho arbitrário. Foi inicialmente proposto em 
1991, após alguns ataques de criptoanálise terem 
sidos descobertos contra a função Hashing prévia de 
Rivest: a MD4. O algoritmo foi projetado para ser 
rápido simples e seguro. Seus detalhes são públicos, 
e têm sido analisados pela comunidade de criptografia. 
Foi descoberta uma fraqueza em parte do MD5, mas 
até agora ela não afetou a segurança global do 
algoritmo. Entretanto, o fato dele produzir um valor 
hash de somente 128 bits é o que causa maior 
preocupação; é preferível uma função Hashing que 
produza um valor maior.
SHA-1
O Secure Hash Algorithm, uma função de 
espalhamento unidirecional inventada pela NSA, 
gera um valor hash de 160 bits, a partir de um tamanho 
arbitrário de mensagem. O funcionamento interno do 
SHA-1 é muito parecido com o observado no MD4, 
indicando que os estudiosos da NSA basearam-se 
no MD4 e fizeram melhorias em sua segurança. De 
fato, a fraqueza existente em parte do MD5, citada 
anteriormente, descoberta após o SHA-1 ter sido 
proposto, não ocorre no SHA-1. Atualmente, não há 
nenhum ataque de criptoanálise conhecido contra o 
SHA-1. Mesmo o ataque da força bruta torna-se 
impraticável, devido ao seu valor hash de 160 bits. 
Porém, não há provas de que, no futuro, alguém não 
possa descobrir como quebrar o SHA-1.
www.esab.edu.br 189
MD2 e 
MD4
O MD4 é o precursor do MD5, tendo sido inventado 
por Ron Rivest. Após terem sido descobertas algumas 
fraquezas no MD4, Rivest escreveu o MD5. O MD4 
não é mais utilizado. O MD2 é uma função de 
espalhamento unidirecional simplificada, e produz 
um hash de 128 bits. A segurança do MD2 é 
dependente de uma permutação aleatória de bytes. 
Não é recomendável sua utilização, pois, em geral, é 
mais lento do que as outras funções hash citadas e 
acredita-se que seja menos seguro.
 A assinatura digital precisa de um mecanismo para seu 
adequado emprego, devido a lentidão dos algoritmos assimétricos, 
ou seja, devido ao tamanho das mensagens, torna-se inviável 
utilizar somente chaves assimétricas por causa do tempo 
necessário para realizar a criptografia. A função hash tem como 
objetivo calcular um valor de tamanho fixo baseado na mensagem 
que se deseja assinar, chamado de Digest ou valor hash. Esta 
função fornece maior agilidade e integridade confiável. Com a 
alteração de qualquer bit dentro da mensagem, ocorre a alteração 
do valor hash, que indica a mudança da origem ao destino da 
mensagem. Alguns exemplos de função hash são SHA-1, MD5, 
MD4 e MD2, sendo a mais utilizada e considerada mais segura a 
SHA-1.
Comparação de algoritmos
Tanto o DH quanto o DSS apresentam algumas desvantagens quanto ao 
RSA:
•	 Os dados criptografados com RSA apresentam a metade do 
tamanho.
•	 O limite da padronização da assinatura DSS é de 1024, enquanto a 
RSA utiliza chaves de 2.048 ou 4.096, dependendo da implementação.
•	 Maior tempo de processamento do algoritmo DH ou DSS comparado 
ao RSA.
www.esab.edu.br 190
Principais vantagens do uso de DH ou DSS:
•	 Não possuem patentes e podem ser utilizados universalmente.
•	 ElGamal é considerado com melhor desempenho em 
criptografia do que o RSA.
•	 Serviços separados, garantindo a revogação de chaves sem 
comprometer assinaturas relacionadas.
ATAQUES A SISTEMAS CRIPTOGRÁFICOS
Ataques a sistemas criptográficos
http://www.redegalega.org/synapsis/091/criptogr.gif
Basicamente são quatro tipos de ataques a sistemas criptográficos:
•	 Ataque só com texto criptografado: o criptoanalista conhece 
todos os textos criptografados que se transmitem.
•	 Ataque com texto original conhecido: o criptoanalista 
conhece algumas parelhas texto original - texto criptografado.
•	 Ataque com texto original escolhido: o criptoanalista pode 
obter o texto criptografado de qualquer texto original que 
introduza.
•	 Ataque com texto criptografado escolhido: o criptoanalista 
pode obter o texto original de qualquer texto criptografado 
http://www.redegalega.org/synapsis/091/criptogr.gif
www.esab.edu.br 191
que introduza.
 
 Ao contrário dos componentes de segurança, os ataques a 
sistemas criptográficos, em sua maioria, não ocorrem pelo testes 
de chaves possíveis, ou força-bruta, mas através da exploração 
de falhas no projeto, implementação e instalação dos sistemas. O 
perfil do atacante de sistemas criptográficos é diferente dos de 
rede. É preciso possuir um ótimo conhecimento matemático para 
conseguir encontrar alguma vulnerabilidade e explorá-la.
 Os ataques que mais preocupam são os que procuram 
descobrir informações como tempo, consumo de energia e 
radiação de dispositivos de tokens ou smartcard. São os chamados 
side-channel attack. Outro ataque é o failure analysis, que forçam 
diversos erros durante a operação visando derrubar a segurança 
dos smartcard.
 Os sistemas criptográficos podem ser decifrados se 
acontecer uma análise detalhada do comportamento do sistema e 
comoas diferentes chaves se relacionam, sem quebrar o algoritmo, 
mesmo o RSA. São os chamados timings attack e fazem análise 
do comportamento e tempo de criptografia. É utilizado para obter 
chaves privadas RSA, obter a seqüência de tokens, smart card e 
atingir servidores de comércio eletrônico.
www.esab.edu.br 192
Certificados Digitais
 Um certificado digital é um documento (eletrônico) 
contendo a chave pública de um usuário (ou processo) e 
dados de identificação do mesmo. Este documento deve ser 
assinado por uma autoridade confiável, a Autoridade Certificadora, 
atestando sua integridade e origem. Usualmente, certificados 
digitais são utilizados para garantir a integridade e origem de 
chaves públicas depositadas em bases de dados de acesso 
público. O padrão mais comumente utilizado para certificados 
digitais é denominado X-509, o qual prevê, entre outras informações 
possíveis, os seguintes dados de identificação:
•	 Chave pública do usuário.
•	 Nome do usuário proprietário da chave.
•	 Nome da organização associada.
•	 Data de emissão do certificado.
•	 Período de validade da chave.
 Obtendo-se uma chave pública de um usuário associado a 
tal certificado, confiando-se na autoridade certificadora e 
verificando-se sua assinatura no certificado, pode-se ter certeza 
www.esab.edu.br 193
de que a chave realmente pertence ao alegado usuário, e que, 
pretensamente, somente ele dispõe da correspondente chave 
secreta que o capacita a decifrar mensagens cifradas com aquela 
chave pública, ou assinar documentos com a correspondente 
chave secreta.
 Os certificados digitais são a resposta tecnológica atual para 
o problema de autenticação de usuários na crescente demanda 
por segurança nos serviços oferecidos via Internet, desde home 
banking, passando por compras on-line, indo até serviços de 
informação por assinatura. Eles podem ser vistos como um 
passaporte eletrônico, onde estão contidas as informações e 
garantias necessárias sobre a identidade do portador, além de 
sua chave pública. Exemplos semelhantes a um certificado são o 
RG, CPF e carteira de habilitação de uma pessoa, cada um contém 
um conjunto de informações que identificam a pessoa e alguma 
autoridade (para estes exemplos, órgãos públicos) garantindo sua 
validade.
Algumas das principais informações encontradas em um certificado 
digital são:
•	 Dados que identificam o dono (nome, número de identificação, 
estado, etc.).
•	 Nome da Autoridade Certificadora (AC) que emitiu o 
certificado.
•	 O número de série do certificado.
•	 O período de validade do certificado.
•	 A assinatura digital da AC.
•	 O objetivo da assinatura digital no certificado é indicar que 
uma outra entidade (a Autoridade Certificadora) garante a 
veracidade das informações nele contidas.
O que é Autoridade Certificadora (AC)?
www.esab.edu.br 194
 Autoridade Certificadora (AC) é a entidade responsável 
por emitir certificados digitais. Estes certificados podem ser 
emitidos para diversos tipos de entidades, como pessoa, 
computador, departamento de uma instituição, instituição, etc. Os 
certificados digitais possuem uma forma de assinatura eletrônica 
da AC que o emitiu. Graças à sua idoneidade, a AC é normalmente 
reconhecida por todos como confiável, fazendo o papel de “Cartório 
Eletrônico”.
Exemplos do uso de certificados digitais:
•	 Quando você acessa um site com conexão segura, como o 
acesso a sua conta bancária pela Internet é possível checar 
se o certe apresentado é realmente da instituição que diz 
ser, através da verificação de seu certificado digital.
•	 Quando você consulta seu banco pela Internet, este tem 
que assegurar-se de sua identidade antes de fornecer 
informações sobre a conta.
•	 Quando você envia um e-mail importante, seu aplicativo de 
e-mail pode utilizar seu certificado para assinar “digitalmente” 
a mensagem, de modo a assegurar ao destinatário que o 
e-mail é seu e que não foi adulterado entre o envio e o 
recebimento.
 Autoridades de certificação, como Verisign, Cybertrust e 
Nortel, assinam certificados digitais garantindo sua validade. Uma 
www.esab.edu.br 195
CA também tem a responsabilidade de manter e divulgar uma lista 
com os certificados revogados (Certificate Revocation List – CRL). 
Certificados nesta lista podem ter sido roubados, perdidos ou, 
simplesmente, estar sem utilidade. As CAs podem estar 
encadeadas em hierarquias de certificação, onde a CA de um nível 
inferior valida sua assinatura com a assinatura de uma CA mais 
alta na hierarquia.
AUTENTICAÇÃO
Autenticação
 É a capacidade de se garantir que a pessoa de fato é 
quem diz ser, dentro de um contexto. Definir um contexto é 
importante, pois uma pessoa pode ser autêntica numa situação e, 
em outra não. Citamos como exemplo um passaporte, que é válido 
somente dentro de um país. Para autenticar alguém, o autenticador 
necessita de informações de autenticação que podem ser:
•	 Algo que definimos como usuário é senha, da forma mais 
insegura, apesar de ser a mais conhecida e utilizada.
•	 Algo físico que possuímos como cartão de banco, passaporte, 
entre outros.
www.esab.edu.br 196
•	 Algo que somos como impressões digitais, retina, 
reconhecimento de voz, rosto e padrão de assinatura.
•	 Componentes baseados em localização geográfica, como 
GPS.
 Desta forma, a identificação é a função declarada pelo 
usuário, citadas acima, e a autenticação é a verificação da 
veracidade das informações fornecidas.
Autenticação baseada em definições
 Tipo de autenticação mais utilizada, por apresentar o custo 
mais reduzido e a maior parte dos sistemas aceitarem este tipo de 
autenticação de forma simplificada. Podemos associar a este tipo 
de autenticação as senhas, chaves criptográficas ou chave privada 
da assinatura digital (somente quem as gerou é quem sabe – 
apesar de ser recomendável o uso de sua gravação em outro 
dispositivo).
Senhas
 Mesmo sendo as mais utilizadas, são as que mais possuem 
vulnerabilidades, sendo considerado o elo mais fraco da cadeia 
de segurança, vindo após dos seres humanos. A maior desvantagem 
deste método é que a manutenção e confidencialidade da senha 
estão nas mãos de quem a utiliza, podendo ser quebrada através:
•	 Adivinhação.
•	 Observação por pessoas mal intencionadas na introdução 
de senhas.
•	 Quebra de confidencialidade, através da própria pessoa, na 
divulgação de sua senha, ou engenharia social.
•	 Monitoração e captura de pacotes através de snnifers.
•	 Acesso a arquivos de senhas em servidores.
www.esab.edu.br 197
•	 Ataques utilizando forca bruta.
•	 Processos de logging spoofing realizado por hackers, que 
capturam tudo o que a pessoa digitar em seu micro.
•	 Entre outros.
 Uma forma de minimizar os efeitos negativos do uso de 
senha é a utilização das mesmas uma única vez, sendo trocada a 
cada novo acesso. Porém, o usuário não se sentirá confortável 
nesta situação. Mesmo desta forma, existem ataques que podem 
ser realizados pelos hackers:
•	 Man-in-the-middle: o hacker se coloca entre o usuário e o 
servidor, captura pacotes, modifica e responde para os dois 
lados da comunicação.
•	 Race: aproveita a vulnerabilidade dos protocolos que 
trafegam byte a byte, porém são poucos. O hacker controla 
o envio dos bytes e antes do envio da última série tenta se 
conectar no lugar do usuário.
Autenticação baseada em objetos
 É dividida em dois tipos de dispositivos: de memória ou 
inteligente. Os dispositivos de memória são conhecidos como 
memorytokens, armazenando informações e não as processando. 
Quando utilizado em conjunto com senhas, forma a chamada 
autenticação forte – combinação de mais de um método de 
autenticação.
Principais desvantagens:
•	 Alto custo, de implementação e dos próprios dispositivos.
•	 Dificuldade de administração.
•	 Possibilidade de perda ou roubo.
www.esab.edu.br 198
 Os dispositivos inteligentes são os memory tokens que 
possuem capacidade de processamento, ou os chamados 
smarttokens. Resolve o problema das senhas comuns, através dacriptografia ou geração dinâmica de chaves. Em geral, os smarts 
tokens geram a cada novo acesso uma nova sequência 
sincronizada com o servidor de autenticação, que juntamente com 
o PIN (senha comum), permite ou não a autenticação do usuário 
ao recurso, minimizando as chances de colocação de senhas 
inapropriadas. As principais desvantagens são iguais aos 
dispositivos de memória.
Autenticação baseada nas características físicas
 Considerada a mais segura, por somente depender de 
fatores humanos, senhas ou perda de objeto, sendo sua principal 
vantagem. É baseado na biometria que através das características 
físicas ou comportamento do individuo, verifica sua autenticação, 
baseada nas informações armazenadas que devem ser idênticas 
as do individuo. Ao ser concedida, é transmitido o perfil da 
autorização. É importante que as informações de cada usuário 
sejam criptografadas em seus servidores para que, em mãos 
erradas, não aconteçam problemas a organização.
Exemplos:
•	 Composição química de odor corporal.
•	 Características faciais.
•	 Emissões técnicas.
•	 Retina.
•	 Íris.
•	 Impressão digital.
www.esab.edu.br 199
•	 Geometria das mãos.
•	 Poros da pele.
•	 Analise de assinaturas.
•	 Padrões de escrita.
•	 Voz.
 São diversas as formas de autenticação com biometria, 
conforme visto, porém somente duas, segundo pesquisas, são 
únicas: íris dos olhos e impressão digital.
Algumas desvantagens da biometria são:
•	 Pessoas acreditarem que os equipamentos biométricos não 
são higiênicos (os que coletam a impressão digital precisam 
ser limpos a todo o momento) ou podem provocar problemas 
na saúde (caso do laser na íris).
•	 As informações dos usuários em servidores devem ser 
criptografadas
Single Sign-On (SSO)
 É um método de identificação e autorização de usuário que 
utiliza autenticação única e transparente, para diversos sistemas 
corporativos, facilitando a administração de senhas – tanto por 
parte dos usuários quanto por parte dos administradores de 
sistema. Esta solução pode utilizar qualquer metodologia de 
autenticação, desde certificados digitais, até tokens, smartcards 
ou senha.
www.esab.edu.br 200
(http://support.citrix.com/article/html/images/CTX108095-1.gif)
Principais vantagens:
•	 Combinação única de usuário e senha.
•	 Centralização das atividades administrativas de sistemas.
•	 Integração de autenticação nas aplicações corporativas.
•	 Acesso mais fácil a recursos disponíveis e autorizados ao 
usuário.
•	 Possibilidade de padronização de nome de usuário e senhas, 
conforme política de segurança da empresa.
•	 Minimização de custos com suporte técnico de produtos e 
help desk para usuários.
Principais desvantagens:
•	 É necessário manter bom nível de segurança nas sessões 
de logon e armazenamento das informações dos usuários.
•	 A identificação única permite que se ocorrer alguma quebra 
de confidencialidade, o hacker poderá acessar varias 
aplicações.
•	 O servidor de armazenamento é um ponto de invasão visado, 
http://support.citrix.com/article/html/images/CTX108095-1.gif
www.esab.edu.br 201
pois com este ataque o hacker conseguirá acessar todas as 
informações da organização.
•	 O serviço de autenticação é um ponto de falha considerável. 
Em caso de instabilidade, todos os sistemas ficam 
comprometidos.
Os protocolos de autenticação
 Estaremos comentando dois protocolos, o Radius e o 
Kerberos, que são geralmente utilizados na autenticação de 
acesso remoto nas organizações:
Protocolo Radius
(http://www.nisled.org/wiki/images/c/c8/Figura1.jpg)
 Baseado em um modelo de segurança distribuída 
previamente definido pela (IETF), o Radius provê um sistema de 
segurança Cliente/Servidor aberto e escalonável. O servidor 
Radius pode ser adaptado facilmente para trabalhar com produtos 
de segurança de terceiros ou em sistemas de segurança 
proprietário. Qualquer mecanismo de comunicação, software ou 
um hardware que utilize o protocolo cliente Radius pode se 
comunicar com um servidor Radius.
 Como funciona? O Radius autentica através de uma série 
de comunicações entre o cliente e o servidor. Uma vez que o 
usuário é autenticado, o cliente proporciona a ele, o acesso aos 
serviços apropriados. O protocolo Radius é adequado em sistemas 
de serviços remotos discados. O Radius autentica através de uma 
série de comunicações entre o cliente e o servidor. Uma vez que 
o usuário é autenticado, o cliente proporciona a ele, o acesso aos 
http://www.nisled.org/wiki/images/c/c8/Figura1.jpg
www.esab.edu.br 202
serviços apropriados. Passos envolvidos no processo de 
autenticação no Radius:
PASSO 1: O PortMaster cria um pacote de dados com as 
informações e o chamado pedido de autenticação. Este pacote 
inclui a informação que identifica o PortMaster específico que 
envia o pedido de autenticação, a porta que está sendo usada 
para a conexão de modem, identificação do usuário e a senha. 
Para proteger os dados de hackers que possam estar escutando 
a conexão, o PortMaster age como um cliente Radius e codifica a 
senha antes que seja enviada em sua jornada ao servidor Radius.
PASSO 2: Quando um pedido de autenticação é recebido, o 
servidor de autenticação valida o pedido e então decifra o pacote 
de dados para ter acesso a identificação do usuário e senha. Esta 
informação é passada para o sistema de segurança apropriado.
PASSO 3: Se o usuário e senha estiverem corretos, o servidor 
envia um reconhecimento de autenticação que inclui informação 
sobre o usuário e as exigências dos serviços. Por exemplo, o 
servidor Radius contará para o PortMaster que um usuário precisa 
do Protocolo PPP (ponto-a-ponto) para se conectar à rede. O 
reconhecimento pode também, conter filtros, com informações 
sobre os limites de acesso do usuário para os recursos específicos 
na rede. Se o usuário e a senha não estiverem corretos, o servidor 
Radius envia um sinal ao PortMaster e o usuário terá o acesso 
negado a rede.
PASSO 4: O servidor Radius envia uma chave de autenticação, 
ou assinatura, se identificando para o cliente Radius e permitindo 
então, a configuração necessária para que os serviços de envios 
e recepções personalizados funcione para o usuário autenticado.
Protocolo Kerberos
www.esab.edu.br 203
(http://www.nisled.org/wiki/images/6/68/Figura2.jpg)
 O Kerberos possuirá uma chave secreta associada a 
cada cliente e cada serviço, sendo conhecidas como chave 
de cliente e chave de serviço respectivamente. Essa chave é 
obtida a partir da senha fornecida pelo cliente/serviço no momento 
de seu cadastramento. Sendo assim, apenas o próprio cliente/
serviço conhece sua chave secreta, além do Kerberos.
Passo 1: Quando um cliente deseja acessar um serviço qualquer 
protegido pelo Kerberos, antes de conseguir acessá-lo, ele deverá 
autenticar-se. Nesse momento, o cliente envia uma requisição de 
autenticação para o SA, que verifica os dados fornecidos pelo 
cliente (identificação do cliente e uma identificação do tipo da 
mensagem), busca em sua base de dados as chaves secretas 
correspondentes ao cliente (origem da requisição) e ao TGS (onde 
o cliente deseja autenticar-se), e cria uma chave de sessão que 
será utilizada por ambos, cliente e TGS. O SA responde ao pedido 
de autenticação do cliente, quando a validação de seus dados é 
http://www.nisled.org/wiki/images/6/68/Figura2.jpg
www.esab.edu.br 204
positiva, enviando-lhe um ticket que permite acessar o TGS. Esse 
ticket é composto da seguinte forma: nome do cliente, nome do 
TGS, tempo corrente, tempo de vida do ticket, IP do cliente e a 
chave de sessão. Antes de ser enviado, o ticket é criptografado 
utilizando-se a chave de serviço que apenas o próprio serviço e o 
Kerberos conhecem. Além disso, tanto o ticket, já criptografado, 
quanto a chave de sessão, são criptografados utilizando-se a 
chave de cliente.
Passo 2: Ao receber a resposta do SA, o cliente deve descriptografar 
a mensagem utilizando sua chave secreta. No entanto, para que 
isso seja possível, a senha de acesso será solicitadaao cliente. 
Somente a senha correta será capaz de gerar a chave secreta 
válida para que o processo de descriptografia tenha êxito. Uma 
vez que a senha correta tenha sido informada, o cliente terá acesso 
ao ticket e a chave de sessão, enviados pelo SA. O ticket permitirá 
ao cliente comunicar-se com o TGS, e assim finalmente, obter um 
novo ticket para o serviço que deseja acessar. É importante 
ressaltar, que a senha do cliente só foi solicitada durante o processo 
de autenticação uma única vez. Sendo que mesmo nesse 
momento, não foi necessário enviá-la através da rede, onde ela 
poderia ser capturada alguém sem autorização. A chave secreta 
do cliente, obtida através da senha, é apagada da memória após 
ter sido utilizada. Não é possível obter a chave secreta sem o 
conhecimento da senha do cliente.
Passo 3: O cliente deve enviar a requisição ao TGS. Na requisição 
deverão constar: um autenticador, o ticket enviado pelo SA, 
devidamente criptografado com a chave secreta do serviço, e a 
identificação do serviço requisitado. O autenticador é uma 
mensagem onde constam, uma identificação do cliente (nome + 
IP) e uma identificação do tipo de mensagem, semelhante a 
utilizada na requisição feita no Passo 1. O autenticador é 
criptografado utilizando-se a chave de sessão fornecida pelo SA.
Passo 4: Ao receber a requisição, o TGS utiliza sua chave secreta 
www.esab.edu.br 205
para descriptografar o ticket, e utiliza a chave de sessão que 
acabou de receber, na própria requisição, para descriptografar o 
autenticador. No final desse processo, o TGS utiliza os dados que 
obteve para validar a requisição do cliente. Os nomes do cliente, 
os IPs obtidos e o tempo corrente, tanto do ticket quanto do 
autenticador, são comparados. Sendo todos os dados comparados, 
válidos, uma nova chave de sessão é criada pelo TGS. Um novo 
ticket é criado, dessa vez contendo as informações referentes ao 
cliente e serviço. A chave de serviço é utilizada para criptografar o 
ticket. Em seguida, a chave de sessão e o ticket, já criptografado, 
são criptografados juntos utilizando-se a chave de sessão enviada 
pelo próprio cliente. Finalmente, a mensagem de resposta é 
enviada para o cliente.
Passo 5: A partir de agora, o cliente será capaz de utilizar o serviço 
que deseja. Porém, antes disso, é preciso descriptografar a 
mensagem utilizando a chave de sessão. Terminado esse 
processo, o cliente tem em “mãos” o ticket que lhe permitirá 
acessar o serviço, e também, a nova chave de sessão que será 
utilizada para estabelecer a comunicação entre os dois. Para 
finalizar o processo de autenticação, o cliente deve criar um 
autenticador, contendo seu nome, IP e tempo corrente. Criptografar 
esse autenticador com a chave de sessão, e junto com ticket 
fornecido pelo TGS, formar uma requisição que será enviada 
diretamente para o serviço que se deseja acessar. Só resta agora 
que o serviço verifique a requisição recebida. Com sua chave 
secreta o serviço consegue descriptografar o ticket recebido. 
Dentre outras informações, consta no ticket a chave de sessão 
criada pelo TGS, que o permitirá descriptografar o autenticador 
enviado pelo cliente. Os nomes do cliente, os IPs obtidos e o 
tempo corrente, tanto do ticket quanto do autenticador, são 
comparados. Considerando os dados válidos, o serviço tem 
certeza quanto a veracidade da identidade do cliente e a 
autenticação é finalizada. A comunicação entre o cliente e o serviço 
www.esab.edu.br 206
poderá ser feita de três formas diferentes:
•	 Normal: apenas a autenticação inicial é exigida. A partir daí, 
não é feita mais nenhuma autenticação e as mensagens 
também não são criptografadas.
•	 Safe Messages: todas as mensagens são autenticadas, 
porém não são criptografadas.
•	 Private Message: é a forma mais segura e também a mais 
custosa. Todas as mensagens são criptografadas e 
autenticadas.
 O protocolo Kerberos é um serviço de autenticação distribuído 
que permite que um cliente, através de um usuário, provê sua 
identidade a um servidor de autenticação, passando em seguida 
por um verificador de sessão, para que então, estabeleça a 
transferência das informações com o host destino, evitando assim, 
a violação da conexão estabelecida. Esse protocolo foi desenvolvido 
no meado dos anos oitenta como parte do Projeto de MIT Athena. 
Hoje em dia, é uma das soluções aos problemas de segurança em 
rede, pois fornece ferramentas de autenticação e criptografia para 
trabalhos em redes públicas como a Internet. Pode ser utilizado 
através de qualquer tipo de conexão, a autenticação e um dos 
pontos forte na segurança de qualquer sistema, pois tem a 
finalidade de atravessar os mecanismos de segurança para 
autenticar o usuário, autorizando ou não a sua conexão.
 Muitos dos protocolos usados na Internet não provêem 
segurança. Ferramentas que varrem senhas fora da rede são 
usadas em brechas de sistemas. Assim, aplicações que enviam 
senha sem criptografia pela rede Internet são extremamente 
vulneráveis. Contudo, em muitas aplicações cliente/servidor que 
são desenvolvidas e implementadas, não é dada a devida atenção 
sobre os aspectos aqui mencionados. Alguns administradores 
tentam usar Firewalls para resolver os problemas de segurança 
de rede. Infelizmente, os Firewalls assumem que os acessos ruins 
www.esab.edu.br 207
estão todos do lado de fora, o que freqüentemente, é uma 
suposição não muito boa, pois usuários e colaboradores em 
trânsito ficam restringidos de usar a rede interna, pois os 
mecanismos de segurança vão descartar suas tentativas de 
acesso.
 O sistema Kerberos usa ingressos eletrônicos para autenticar 
um usuário para um servidor. Um ingresso só é bom para um único 
servidor e um único usuário durante certo período de tempo e 
para uma mensagem codificada que contém o nome do usuário, o 
seu servidor, o endereço da rede do servidor do usuário, um selo 
de tempo e uma chave de sessão. Uma vez que o usuário adquire 
este ingresso, ele pode usar isto para ter acesso ao servidor 
quantas vezes forem necessárias até que o ingresso se expire. O 
usuário não pode decifrar o ingresso, mas pode apresentá-lo ao 
servidor. Com isso, escutas clandestinas não podem violar o 
ingresso quando este estiver em curso na rede Internet. O protocolo 
Kerberos envolve dois servidores: um de autenticação e o outro 
(TGS) que concede os ingressos.
Passos no processo da autenticação do protocolo Kerberos
www.esab.edu.br 208
(http://www.linhadecodigo.com.br/artigos/img_artigos/bruno_
spinelli/Kerberos_1.jpg)
Passos que representam a autenticação com o protocolo Kerberos:
PASSO 1: Obter um ingresso para um servidor designado. O 
usuário primeiro pede ao servidor de autenticação Kerberos um 
ingresso para o Kerberos TGS. Este pedido leva a forma de uma 
mensagem que contém o nome do usuário e o nome do TGS 
(pode haver vários).
PASSO 2: O servidor de autenticação verifica o usuário em seu 
banco de dados e então gera uma chave de sessão para ser usada 
entre o usuário e o TGS. Kerberos codifica esta chave de sessão 
que usa a chave de segredo do usuário (processo de uma só 
direção com senha do usuário). Então cria um TGT (ingresso que 
concede ingresso) para o usuário apresentar ao TGS e codifica o 
TGT usando a chave de segredo do TGS (que só é conhecido 
pelo servidor de autenticação e o servidor TGS). O Servidor de 
Autenticação envia de volta as mensagens codificadas ao usuário.
PASSO 3: O usuário decifra a primeira mensagem e recupera a 
chave de sessão. Logo, o usuário cria um autenticador que consiste 
em seu nome, seu endereço de rede e um selo de tempo, tudo 
codificado com a chave de sessão gerada pelo servidor de 
autenticação Kerberos. O usuário envia o pedido então ao TGS 
para fazer ingresso a um servidor designado. Este pedido contém 
http://www.linhadecodigo.com.br/artigos/img_artigos/bruno_spinelli/Kerberos_1.jpg
http://www.linhadecodigo.com.br/artigos/img_artigos/bruno_spinelli/Kerberos_1.jpg
www.esab.edu.br 209
o nome do servidor, o TGTKerberos (que foi codificado com o a 
chave de segredo do TGS), e o autenticador codificado.
PASSO 4: O TGS decifra o TGT com sua chave secreta e então 
usa a chave de sessão incluída no TGT para decifrar o autenticador. 
Compara a informação do autenticador com a informação do 
ingresso, o endereço da rede do usuário com o endereço foi 
enviado no pedido e o tempo estampado com o tempo atual. Se 
tudo se emparelhar, permite a continuação do pedido. O TGS cria 
uma chave de sessão nova para o usuário e o servidor final com 
esta chave em um ingresso válido para o usuário apresentar ao 
servidor. Este ingresso também contém o nome do usuário, 
endereço da rede, um selo de tempo, e um tempo de vencimento 
para o ingresso codificado com a chave de segredo do servidor 
designado e o seu nome. Também codifica a nova chave de sessão 
designada que vai ser compartilhada entre o usuário e o TGS. 
Envia ambas as mensagens de volta ao usuário.
PASSO 5: O usuário decifra a mensagem e a chave de sessão 
para uso com o servidor designado. O usuário está agora pronto 
para se autenticar com o servidor. Ele cria um autenticador novo 
codificado com a chave de sessão de usuário e servidor final que 
o TGS gerou. Para pedir acesso ao servidor final, o usuário envia 
junto ao ingresso recebido de Kerberos (que já é codificado com a 
chave de segredo do servidor designado) o autenticador codificado. 
O autenticador contém o texto plano codificado com a chave de 
sessão, prova que o remetente sabe a chave. Da mesma forma 
que é importante, codificar o tempo para prevenir que intrometidos 
que venham registrar o ingresso e o autenticador, possam tentar 
usar as informações em futuras conexões.
PASSO 6: O servidor designado decifra e confere o ingresso e o 
autenticador e também confere o endereço do usuário e o selo de 
tempo. Se tudo confirmar, o servidor sabe agora que o usuário é 
que esta reivindicando o acesso é realmente ele, e podem usar a 
chave de criptografia para comunicação segura. Como só o usuário 
www.esab.edu.br 210
e o servidor compartilham esta chave, eles podem assumir que 
uma recente mensagem codificou aquela chave originada com a 
outra chave anterior.
PASSO 7: Para aplicações que requerem autenticação mútua, o 
servidor envia para o usuário uma mensagem que consiste no 
selo de tempo mais 1, codificada com a chave de sessão. Isto 
serve como prova ao usuário que o servidor soube da sua chave 
secreta de fato e pôde decifrar o ingresso e o autenticador.
DICA
Criptografia Posicional: Uma solução para Segurança de 
Dados
http://143.54.31.10/reic/edicoes/2001e2/cientificos/
CriptografiaPosicional.pdf
http://143.54.31.10/reic/edicoes/2001e2/cientificos/CriptografiaPosicional.pdf
http://143.54.31.10/reic/edicoes/2001e2/cientificos/CriptografiaPosicional.pdf
www.esab.edu.br 211
 
Conhecer os Sistemas baseados na Rede e Sistema de Detecção 
de Intrusão híbrido e Conhecer configurações de proteção contra 
Intrusos; Conhecer os métodos, localização e padronização de 
IDS e Conhecer o universo de estudo, Conceituação de Segurança 
e Ameças; Conhecer as implicaçoes, características e protocolos 
de segurança e Conhecer os fundamentos, funcionamento e 
caracterisiticas da criptografia; Conhecer as chaves e 
diferenciamento e Conhecer Ataques a sistemas criptográficos e 
Conhecer os certificados e órgãos certificadores e Conhecer as 
formas de autenticação.
www.esab.edu.br 212
Port Scanner (rastreador de portas): num reconhecimento 
hacker, um rastreamento de portas é a tentativa de se conectar a 
todas as 65536 portas de uma máquina para determinar se há 
alguém ouvindo uma destas portas. R
RAT: uma Ferramenta de Administração Remota (Remote 
Administration Tool - RAT) é um que, enquanto estiver rodando, 
possibilita que um atacante possa controlar remotamente a 
máquina através de um “cliente” na máquina do atacante e de um 
“servidor” na máquina da vítima. R
Trojan (cavalo de tróia): qualquer programa com um propósito 
escondido. Os trojans são um dos líderes na invasão de máquinas. R
Cracker (quebrador): quebrador ou desabilitador de sistemas de 
proteção de programas de software ou sistemas de rede ou bancos 
de dados. Obtém senhas, números de série e outros dados de 
registro, desbloquear travas e habilitar funções bloqueadas.R
www.esab.edu.br 213
ARCON. Como monitorara a segurança do ambiente de TI? 
Disponível em: <https://www.arcon.com.br/blog/como-monitorar-
a-seguranca-do-ambiente-de-ti>. Acesso em: 05 de agosto de 
2018.
BARWINSKI, Luísa. Oque é proxy?. Disponível em: <https://www.
tecmundo.com.br/navegador/972-o-que-e-proxy-.htm>. Acesso 
em 05 de agosto de 2018.
CARLOS, Éder Sabino. Conceitos de proteção e segurança da 
informação. Disponível em: <centraldefavoritos.com.br/2016/11/19/
conceitos-de-protecao-e-seguranca-da-informacao-parte-1/>. 
Acesso em: 05 agosto de 2018.
CCM. IDS - Sistemas de detecção de intrusão. Disponível em: 
<https://br.ccm.net/contents/164-ids-sistemas-de-deteccao-de-in-
trusao>. Acesso em: 05 de agosto de 2018.
CELESTE. Thallita. FIREWALL, NIDS, HIDS, IDS e IPS. Disponível 
em: <https://thallitaceleste.blogspot.com/2015/03/firewall-nids-
hids-ids-e-ips.html>. Acesso em: 05 de agosto de 2018.
CISCO. O que é um firewall? Disponível em:<https://www.cisco.
com/c/pt_br/products/security/firewalls/what-is-a-firewall.html>. 
Acesso em: 05 de agosto de 2018.
CLUBE DO HARDWARE>. Sistema de filtro, controle de acesso 
em LAN sem gateway. Disponível em: <https://www.
clubedohardware.com.br/forums/topic/501833-sistema-de-filtro-
controle-de-acesso-em-lan-sem-gateway/>. Acesso em: 05 de 
agosto de 2018.
https://www.arcon.com.br/blog/como-monitorar-a-seguranca-do-ambiente-de-ti
https://www.arcon.com.br/blog/como-monitorar-a-seguranca-do-ambiente-de-ti
https://www.tecmundo.com.br/navegador/972-o-que-e-proxy-.htm
https://www.tecmundo.com.br/navegador/972-o-que-e-proxy-.htm
http://centraldefavoritos.com.br/2016/11/19/conceitos-de-protecao-e-seguranca-da-informacao-parte-1/
http://centraldefavoritos.com.br/2016/11/19/conceitos-de-protecao-e-seguranca-da-informacao-parte-1/
https://br.ccm.net/contents/164-ids-sistemas-de-deteccao-de-intrusao
https://br.ccm.net/contents/164-ids-sistemas-de-deteccao-de-intrusao
https://thallitaceleste.blogspot.com/2015/03/firewall-nids-hids-ids-e-ips.html
https://thallitaceleste.blogspot.com/2015/03/firewall-nids-hids-ids-e-ips.html
https://www.cisco.com/c/pt_br/products/security/firewalls/what-is-a-firewall.html
https://www.cisco.com/c/pt_br/products/security/firewalls/what-is-a-firewall.html
https://www.clubedohardware.com.br/forums/topic/501833-sistema-de-filtro-controle-de-acesso-em-lan-s
https://www.clubedohardware.com.br/forums/topic/501833-sistema-de-filtro-controle-de-acesso-em-lan-s
https://www.clubedohardware.com.br/forums/topic/501833-sistema-de-filtro-controle-de-acesso-em-lan-s
www.esab.edu.br 214
DIMARZIO, J. F. Projeto e Arquitetura de Redes. Editora Campus. 
São Paulo, 2001.
FURMANKIEWICZ, Edson; FIGUEIREDO, Joana (Trad.). 
Anonymous: Segurança máxima para Linux. Rio de Janeiro: 
Campus. 2000.
GUERRA, Raísa. O que é spam?. Disponível em: <https://www.
tecmundo.com.br/spam/223-o-que-e-spam-.htm>. Acesso em: 05 
de agosto de 2018.
ICAPTOR. Diferenças entre API Gateway ou API Manager. 
Disponível em: <http://www.icaptor.com.br/diferencas-entre-api-
gateway-ou-api-manager/>. Acesso em: 05 de agosto de 2018.
KIQUOLIS, Linas. O que é um cavalo de tróia e como removê-lo. 
Disponível em: <https://semvirus.pt/um-cavalo-de-troia/>. Acesso 
em: 05 de agosto de 2018.
NAKAMURA, Emilio Tissato; GEUS, Paulo Lício. Segurança de 
redes em ambientes cooperativos. São Paulo: Berkeley, 2002.
NMPAP. Fundamentos do Escaneamento de Portas. Disponível 
em: <https://nmap.org/man/pt_BR/man-port-scanning-basics.
html>. Acesso em: 05 de agosto de 2018.
ROUSE, Margaret. DMZ (networking). Disponível em: <https://
translate.google.com/translate?hl=pt-BR&sl=en&u=https://
searchsecurity.techtarget.com/definition/DMZ&prev=search>.Acesso em: 05 de agosto de 2018.
https://www.tecmundo.com.br/spam/223-o-que-e-spam-.htm
https://www.tecmundo.com.br/spam/223-o-que-e-spam-.htm
http://www.icaptor.com.br/diferencas-entre-api-gateway-ou-api-manager/
http://www.icaptor.com.br/diferencas-entre-api-gateway-ou-api-manager/
https://semvirus.pt/um-cavalo-de-troia/
https://nmap.org/man/pt_BR/man-port-scanning-basics.html
https://nmap.org/man/pt_BR/man-port-scanning-basics.html
https://translate.google.com/translate?hl=pt-BR&sl=en&u=https://searchsecurity.techtarget.com/defini
https://translate.google.com/translate?hl=pt-BR&sl=en&u=https://searchsecurity.techtarget.com/defini
https://translate.google.com/translate?hl=pt-BR&sl=en&u=https://searchsecurity.techtarget.com/defini
www.esab.edu.br 215
SANTOS, Marcelo Cristofani. Servidores Proxy - Segurança da 
Informação. Disponível em: <https://www.vivaolinux.com.br/artigo/
Servidores-Proxy-Seguranca-da-Informacao>. Acesso em 05 de 
agosto de 2018.
SEGURANÇA DA INFORMAÇÃO. Criptografia. Disponível em: 
<http://seguranca-da-informacao.info/criptografia.html>. Acesso 
em: 05 de agosto de 2018.
SILVA, Lino Sarlo da. VPN: Public key Infrastruture (PKI). São 
Paulo: Novatec, 2004.
________. VPN: Virtual Private Network. São Paulo: Novatec, 
2003.
STRONG SECURITY. Importância de monitorar a segurança da 
informação para sua gestão ?Disponível em: <https://www.
strongsecurity.com.br/importancia-de-monitorar-a-seguranca-da-
informacao-para-sua-gestao/>. Acesso em: 05 de agosto de 2018.
TREZUB, Maurício. Guia de Prevenção a Fraudes: Ecommerce 
para Lojistas. 2004. Disponível em: http://www.camara-e.net/
seminario2005/images/novas/guia_fraudes.pdf. Acesso em: 05 de 
agosto de 2018.
TURBAN, Efraim; McLEAN, Ephraim; WETHERBE, James. 
Tecnologia da Informação para Gestão: Transformando os 
Negócios na Economia Digital. 3. ed. São Paulo: Bookman, 2004. 
Cap. 15, p. 535-563.
UFRJ. Funcionamento de Firewalls. Disponível em: <https://www.
gta.ufrj.br/grad/00_2/bruno/newpage2.htm>. Acesso em 05 de 
agosto de 2018.
https://www.vivaolinux.com.br/artigo/Servidores-Proxy-Seguranca-da-Informacao
https://www.vivaolinux.com.br/artigo/Servidores-Proxy-Seguranca-da-Informacao
http://seguranca-da-informacao.info/criptografia.html
https://www.strongsecurity.com.br/importancia-de-monitorar-a-seguranca-da-informacao-para-sua-gestao
https://www.strongsecurity.com.br/importancia-de-monitorar-a-seguranca-da-informacao-para-sua-gestao
https://www.strongsecurity.com.br/importancia-de-monitorar-a-seguranca-da-informacao-para-sua-gestao
http://www.camara-e.net/seminario2005/images/novas/guia_fraudes.pdf
http://www.camara-e.net/seminario2005/images/novas/guia_fraudes.pdf
https://www.gta.ufrj.br/grad/00_2/bruno/newpage2.htm
https://www.gta.ufrj.br/grad/00_2/bruno/newpage2.htm
www.esab.edu.br 216
ULBRICH, Henrique César; Della Valle, James. Universidade 
Hacker. São Paulo: Digerati, 2002.
WESTCON, Brasil Blog. O que é um plano de contingência de TI 
e como colocá-lo em prática? Disponível em: 
<a href=’https://blogbrasil.westcon.com/o-que-e-um-plano-de-
contingencia-de-ti-e-como-coloca-lo-em-pratica’>. Acesso em: 05 
de agosto de 2018.
https://blogbrasil.westcon.com/o-que-e-um-plano-de-contingencia-de-ti-e-como-coloca-lo-em-pratica
https://blogbrasil.westcon.com/o-que-e-um-plano-de-contingencia-de-ti-e-como-coloca-lo-em-pratica
	_GoBack
	_GoBack
	_GoBack
	_GoBack
	_GoBack
	_GoBack
	_GoBack
	_GoBack
	_GoBack
	_GoBack
	_GoBack
	_GoBack
	_GoBack
	_GoBack
	man-port-scanning-basics
	_GoBack