Criptografia e segurança na comunicação

Prévia do material em texto

Princípios da Segurança da Informação
Segurança da informação
Existem três elementos em segurança da informação que precisam ser bem compreendidos e devem constar em todo o programa. São eles:
· Confidencialidade; A confidencialidade está relacionada com o segredo da informação, com a capacidade de garantir o nível necessário de sigilo, de forma que somente as pessoas autorizadas tenham acesso às informações. Monitoramento de rede, engenharia social e roubo de senhas são formas que os atacantes utilizam para burlar a confidencialidade.
· Integridade; A integridade trata de garantir que não ocorrerão modificações não autorizadas nos dados, ou seja, somente usuários previamente autorizados poderão modificá-los.
· Disponibilidade. Disponibilidade diz respeito à capacidade de executar e disponibilizar os dados de maneira adequada às necessidades da empresa. Garantir a disponibilidade impacta na produtividade das operações.
A criptografia é de grande importância no contexto da segurança da informação e uma grande aliada para alcançar os objetivos de confidencialidade e integridade.
Sistema Criptográfico
Um sistema capaz de criptografar e descriptograr dados é chamado de sistema criptográfico e pode ser criado por hardware ou software.
A base da maioria dos métodos de criptografia são as chaves. Elas são uma longa sequência de bits. Um algoritmo matemático utiliza as chaves para criptografar e descriptografar os textos.
Algoritmos Criptográficos
A segurança de tais algoritmos é baseada na chave, que deve possuir tamanho suficiente para não ser descoberta de maneira simples.
Uma chave pode ser um valor composto por uma grande sequência de bits aleatórios. Segundo Machado (2014, p. 147),
De maneira resumida, a chave criptográfica é um segredo utilizado para codificar e decodificar uma informação.
Existem dois tipos de codificação e eles se diferem pelo tipo de chave utilizada: simétrica ou assimétrica.
Criptografia simétrica
Na criptografia simétrica, emissor e receptor utilizam a mesma chave. A chave é representada por uma senha, usada tanto pelo remetente para codificar a mensagem em uma das pontas como pelo destinatário para decodificá-la na outra.
"no método de criptografia simétrica a segurança é completamente dependente da forma como os usuários protegem a chave".
Algoritmos de criptografia que utilizam chaves simétricas:
· 3DES;
· AES;
· Blowfish;
· RC4.
Criptografia assimétrica
Diferentemente do sistema de criptografia simétrica, aqui são utilizadas duas chaves: uma para realizar a codificação da informação e outra para decodificar a informação.
Esse método também é conhecido como criptografia de chave pública.
A chave pública codifica a mensagem e a chave privada decodifica.
As chaves públicas e privadas são relacionadas através de um algoritmo matemático, o que significa que uma mensagem cifrada com a chave pública só pode ser decifrada pela sua chave privada correspondente.
A respeito da criptografia assimétrica, o mais importante é não esquecer que a mesma chave nunca pode ser utilizada para codificar e decodificar, mas nada impede que:
Se uma informação for codificada pela chave pública, ela possa ser decodificada pela chave privada;
Se uma informação for codificada pela chave privada, ela possa ser decodificada pela chave pública.
Algoritmos de criptografia que utilizam chaves assimétricas:
· Diffie-Hellman;
· DSS;
· RSA.
Algoritmo RSA é atualmente o mais popular dos que utilizam criptografia assimétrica. O tamanho da chave utilizada pode variar entre 512 a 2.048 bits.
Funções Hash
É um método que, ao ser aplicado sobre uma informação, gera um resultado único e de tamanho fixo, chamado hash, que são strings semelhantes a 3b6d2c43e10a067b1a98005d6b1c13c1.
Funções hash podem ser utilizadas para:
· Verificação de integridade de arquivos armazenados em um computador;
· Verificação de integridade de backups;
· Verificação de integridade de arquivos provenientes de downloads. Alguns sites disponibilizam o arquivo para download e também o hash, para que o usuário possa verificá-lo ao término do download;
· Geração de assinaturas digitais.
Hash é considerado um método confiável, pois qualquer alteração na informação original produzirá um hash diferente.
Dois populares algoritmos de hash são o MD5 e SHA,SHS.
Algoritmo Resumo de Mensagem 5 (MD5):
· Foi desenvolvido em 1992 por Ron Rivest, um dos inventores do também algoritmo de criptografia RSA.
· MD5 realiza uma operação nos dados de entrada usando blocos de 512 bits e gera um valor hash de 128 bits como resultado.
Algoritmo de Hash Seguro (SHA, SHS):
· É conhecido como Algoritmo de Hash Seguro (SHA) ou Padrão de Hash Seguro (SHS).
· Foi desenvolvido pelo governo dos Estados Unidos.
· SHA realiza operações em blocos de 512 bits ou 1024 bits.
· Existem duas versões do algoritmo SHA. Os hashes SHA-1 têm 160 bits de comprimento, já os hashes do SHA-2, possuem 224, 256, 384 e 512 bits.
· O SHA-1 é considerado superior ao MD5.
Assinatura digital
A assinatura digital utiliza-se dos métodos de criptografia assimétrica e hash para garantir autenticidade e integridade.
Essa comprovação é possível, pois apenas o dono conhece a chave privada e se ela realmente foi utilizada para codificar uma informação, somente a chave pública daquela pessoa será capaz de decodificá-la.
No contexto de criptografia, uma mensagem pode:
· ser criptografada, o que fornece confidencialidade;
· possuir um hash, o que fornece integridade;
· ser assinada digitalmente, o que fornece autenticação e integridade;
· ser criptografada e assinada digitalmente, o que fornece autenticação, confidencialidade e integridade.
Certificado Digital
Uma limitação dos algoritmos assimétricos é que não é possível confirmar se a chave pública pertence realmente à pessoa que se diz dona dela.
A solução encontrada para resolver esse problema é a utilização de certificados digitais, que são um certificado de chave pública. Uma organização de confiança, chamada Autoridade Certificadora, irá garantir a propriedade das chaves públicas. O certificado digital é um documento eletrônico que contém dados sobre a pessoa ou entidade que o utiliza para comprovação mútua de autenticidade.
Quiz
1 – Vazamento de dados de um site de comércio virtual, onde informações pessoais de usuários como nome completo, endereço, telefone, números de documentos e número de cartão de crédito se tornaram públicas.
Selecione a alternativa que representa corretamente o princípio da segurança da informação que será comprometido: A Confidencialidade está relacionada com segredo da informação, portanto esta é a alternativa correta. Está relacionada também com a capacidade de garantir o nível necessário de sigilo as informações e a prevenção contra a divulgação não autorizada, onde no caso do enunciado, só devem ser conhecidas pelo usuário e pelo site de comércio virtual.
2 – A criptografia é um importante recurso para garantir a segurança da informação, que possui três princípios fundamentais. Qual dos três princípios da segurança da informação a criptografia não pode apoiar diretamente? Assinale a alternativa que apresenta esse princípio.
A criptografia não pode apoiar diretamente a garantia da disponibilidade de sistemas. Esse tipo de garantia se alcança com planos de continuidade de negócios e redundância de equipamentos, por exemplo.
3 – Em relação ao uso de chaves, a criptografia pode ser dividida em simétrica e assimétrica. Cada uma possui vantagens e desvantagens, considerando o cenário de aplicação, e a escolha do melhor método de criptografia a ser utilizado depende da análise desse cenário. Analise as alternativas, a seguir, e assinale a que representa a afirmação correta a respeito de criptografia assimétrica. Normalmente, a chave pública é utilizada para codificar e a chave privada para decodificar, mas descobrimos nessa unidade de estudo que, para fins de autenticação, podemos usá-las de maneira invertida. O que não é permitido na criptografia assimétrica é usar a mesma chave para codificar e decodificar.
4 – A criptografiasimétrica é conhecida por fazer o uso de uma única chave para criptografar e descriptografar. Essa característica a torna um método muito rápido, mas também gera o desafio de manter em segredo a chave criptográfica. Analise as alternativas, a seguir, e assinale a que representa corretamente algoritmos de criptografia simétrica. Todos esses são algoritmos de criptografia simétrica, utilizam a mesma chave para cifrar e decifrar, ou seja, transmissor e receptor possuem chaves idênticas.
5 – Selecione a alternativa que representa corretamente o mecanismo capaz de garantir a veracidade do proprietário de uma chave pública. os certificados digitais são capazes de garantir a veracidade do proprietário de uma chave pública. No certificado, que deve ser emitido por uma Autoridade Certificadora, encontram-se os dados do proprietário.
Principais algoritmos de criptografia
· algoritmos de chave simétrica: AES, DES, Idea, RC4, RC5, RC6, Blowfish;
· algoritmos de chave assimétrica: RSA, Diffie-Hellman, DSS, El Gamal.
A escolha do método de criptografia (simétrica ou assimétrica) e do algoritmo específico se dá por meio da definição do cenário de aplicação.
A escolha correta do algoritmo para cada situação será determinante para o desempenho e segurança.
Cifradores de fluxo e de bloco
Basicamente, existem dois tipos de cifradores: de fluxo e de bloco.
Os cifradores de fluxo e bloco pertencem à família de algoritmos de chave simétrica, que é o tipo em que usamos a mesma chave para criptografar e descriptografar.
· na cifragem de fluxo, os algoritmos processam cada bit da mensagem separadamente (processamento bit a bit);
· algoritmos de chave simétrica: AES, DES, Idea, RC4, RC5, RC6, Blowfish;
· algoritmos de chave assimétrica: RSA, Diffie-Hellman, DSS, El Gamal.
Cifradores de fluxo
Geralmente, são mais rápidos que cifradores de blocos, pelo fato de operarem unidades menores de dados, normalmente bits.
As cifras de fluxo criptografam fluxos de bits com comprimento variável, e usam transformações variadas em cada bit. Combinam bits de texto sem formatação com um fluxo de bits de criptografia pseudoaleatórios com o uso da operação XOR (Ou-Exclusivo).
Os cifradores de fluxo também são conhecidos como cifras de estado, pois a criptografia de cada dígito depende do estado atual do mecanismo de codificação.
Cifradores de bloco
Os cifradores desse tipo operam em grupos de bits (blocos) de comprimento fixo. Cada bloco deve ser cifrado de cada vez, e o conjunto de operações matemáticas envolvendo a chave é repetido a cada bloco. 
Quando um texto sem formatação de bloco de N bits, juntamente com a chave secreta, é fornecido como entrada para o mecanismo de codificação de bloco, ele produz o bloco de texto cifrado correspondente de N bits. O processo de descriptografia acontece da mesma maneira, usando o bloco de N bits de texto cifrado e a chave secreta como entrada para recuperar o bloco original de texto sem formatação de N bits.
Este tipo de cifrador é mais indicado para criptografar dados estáticos, em que já se conhece anteriormente o tamanho e se pode dividir em blocos de N bits.
· cifras de bloco usam a mesma transformação. Cifras de fluxo usam transformações variadas com base no estado do mecanismo de criptografia;
· cifras de fluxo são mais rápidas do que as cifras de bloco. Quando o texto original se encontra em quantidades variadas, como, por exemplo, em uma conexão wi-fi, as cifras de fluxo são recomendadas.
Duas das mais populares cifras de bloco são o DES (Data Encryption Standard) e o AES (Advanced Encryption Standard).
O AES (Advanced Encryption Standard)
O AES, que, traduzindo para português, significa padrão de encriptação avançada, trabalha com um bloco fixo de 128 bits e uma chave de tamanho variável de 128, 192 ou 256 bits, que recebe os nomes AES-128, AES-192 e AES-256, respectivamente.
O criptossistema RSA
É um sistema de criptografia que utiliza chaves assimétricas, ou seja, uma chave pública e uma chave privada. Dessa forma, o destinatário da mensagem criptografada não precisa ter relacionamento anterior com o remetente no sentido de compartilhar chaves.
Para encriptação e decriptação no RSA, é necessário criar chaves públicas e privadas que, por sua vez, são geradas a partir da multiplicação de dois números primos muito grandes, de 100 a 200 dígitos ou mais.
RSA é capaz de garantir confidencialidade e autenticidade. Devido à sua complexidade, é mais lento que algoritmos simétricos, como DES, e não é recomendado para a encriptação de grandes blocos de dados.
QUIZ
1 – A chave de criptografia deve ser previamente combinada entre dispositivos, roteador wireless e smartphone, por exemplo; Os dados trafegados possuem tamanho variável; Dentre as soluções abaixo, selecione a que atende corretamente aos requisitos definidos. O cifrados de fluxo atendem aos requisitos desejados, pois criptografam fluxos de bits com comprimento variável usando transformações variadas em cada bit. Além disso, pertecem a família de algorítmos de chave simétrica, o que irá permitir combinação prévia de chaves entre as partes.
2 – Servidores web utilizam criptografia para proteger as informações trafegadas entre o dispositivo do usuário e o próprio servidor. Eles disponibilizam uma chave pública para criptografar os dados e os descriptografar com a chave privada, que fica protegida dentro do servidor. Assinale a alternativa que representa corretamente o algoritmo de criptografia mais indicado para ser utilizado em servidores web. O algoritmo RSA é do tipo assimétrico, sendo o tipo corretamente empregado em servidores web, pois consiste em uma chave pública de amplo conhecimento para cifrar e uma chave privada que somente o servidor possui para decifrar as informações trafegadas. Dessa forma, ele é capaz de fornecer confidencialidade e autenticação, além de evitar os problemas relacionados a gerenciar um grande número de chaves.
3 – Selecione a alternativa que representa corretamente o tipo de cifrador que apresenta um problema de segurança relacionado à criação de padrões que podem ser identificados por atacantes. Nos cifradores de bloco, como a mesma chave é usada para cifrar cada bloco de dados, cada sequência repetida no texto sem formatação torna-se a mesma sequência repetida no texto cifrado, criando um padrão e simplificando o trabalho de um atacante.
4 – O algoritmo AES (Advanced Encryption Standard) foi criado a partir de uma competição lançada pelo Nist (National Institute of Standards and Technologies), em 1997, para suceder o DES. Selecione as alternativas corretas em relação aos pré-requisitos definidos na criação do algoritmo AES. 
Deveria ser uma cifra simétrica de bloco, Deveria ser disponibilizado livremente, Deveria ser projetado para que o tamanho da chave pudesse aumentar, 
Deveria ser implementável tanto em hardware quanto em software.
5 – Terada (2011) considerava um avanço científico significativo algoritmos de criptografia terem sua maneira de funcionar aberta ao público. Selecione as alternativas, a seguir, que representam corretamente os algoritmos que foram tornados públicos, voluntariamente, por seus criadores. AES. DES. RSA. Blowfish.
Criptossistema de curvas elípticas
Esse tipo de criptossistema utiliza a matemática das curvas elípticas para promover criptografia de chave pública.
Essas funções matemáticas são simples de calcular, mas muito difíceis de reverter, o que vai ao encontro do método escolhido para promover a segurança dos criptossistemas assimétricos:
· dificuldade de resolver problemas matemáticos.
Uma grande vantagem do ECDSA comparado ao algoritmo RSA é que ele oferece força criptográfica equivalente com tamanhos de chave muito menores.
Algoritmos que utilizam criptossistema de curvas elípticas oferecem desempenho semelhante a algoritmos de criptografia simétrica, conhecidamente mais rápidos.
Esquemas de estabelecimento de chaves
Em criptografia que utiliza curvas elípticas, a segurança é garantida pelo problema do logaritmo discreto para curvas elípticas, DLP (DiscreteLogarithm Problem).
Esse problema matemático é considerado impossível de ser resolvido computacionalmente, o que é perfeito para garantir a segurança dos dados criptografados, já que a chave não pode ser quebrada.
Protocolos seguros de comunicação e protocolos criptográficos
Pelo uso de determinados protocolos, podemos garantir autenticação de mensagens e privacidade diretamente às camadas de rede, de transporte e de aplicação. Uma arquitetura de segurança aplicada a múltiplas camadas fortalece a proteção contra-ataques maliciosos.
IPSec
O protocolo IPSec (IP Security) foi desenvolvido pelo IETF (Internet Engineering Task Force). Ele atua na camada de rede e oferece recursos de segurança a um pacote.
Pode atuar de dois modos: modo de transporte ou modo túnel.
· Modo de transporte
Atuando no modo de transporte, o protocolo protegerá as informações entregues da camada de transporte para a camada de rede, porém não há proteção do cabeçalho IP. Geralmente, esse modo é utilizado em comunicações host a host.
· Modo túnel
No modo túnel, diferentemente do modo transporte, o protocolo protegerá todo o pacote, inclusive o cabeçalho IP original.
Protocolos de segurança – AH e ESP
Com o objetivo de oferecer autenticação e/ou criptografia para pacotes no nível IP, o IPSec implementa o protocolo de cabeçalho de autenticação (Authentication Header – AH) e o protocolo de payload de segurança de encapsulamento (Encapsulating Security Payload – ESP).
AH – cabeçalho de autenticação
Tem o objetivo de autenticar o host de origem e garantir a integridade do payload transportado no pacote IP. Ele utiliza uma função hash e uma chave simétrica para criar um resumo de mensagem.
ESP – payload de segurança de encapsulamento
Como o AH não é capaz de fornecer privacidade, o ESP foi definido posteriormente pelo IPSec com o objetivo de oferecer recursos de autenticação de fonte, integridade e privacidade.
Serviços
AH e ESP oferecem vários serviços de segurança para pacotes na camada de rede. Vejamos no quadro a seguir.
o IPSec é suportado tanto por IPv4 quanto por IPv6.
Conexão SSL e Sessão SSL
Conexão SSL
· Uma conexão é tratada como um elemento de transporte que provê um tipo de serviço adequado.
· Em SSL, uma conexão é a relação ponto a ponto entre cada dispositivo se comunicando em uma rede.
· Ele entende que toda conexão é associada a uma única sessão.
Sessão SSL
· Uma sessão SSL é tratada como uma associação entre um cliente e um servidor.
· Em uma sessão, são definidos os parâmetros criptográficos de segurança que podem ser compartilhados entre várias conexões.
· Com o uso de sessões, não é necessário negociar novos parâmetros de segurança para cada conexão.
· As sessões são criadas pelo Protocolo de Apresentação (Handshake Protocol).
· Por exemplo, na comunicação entre um servidor web e um cliente pode haver várias conexões seguras.
HTTPS
HTTPS é sigla para HTTP sobre SSL. É a combinação do protocolo de aplicação HTTP e SSL para prover conexão segura entre um servidor web e um navegador web.
Quando utilizamos HTTPS, os seguintes elementos da comunicação são criptografados:
· A URL da página solicitada.
· O conteúdo da página.
· O conteúdo dos formulários enviados.
· Os cookies enviados do navegador ao servidor e do servidor ao navegador.
· O conteúdo do cabeçalho HTTP.
PGP
PGP é sigla para Pretty Good Privacy. É um protocolo de segurança utilizado principalmente para sistemas de e-mail.
Teia de confiança 
O conceito de teia de segurança, também chamada web-of-trust, é utilizado pelo PGP para resolver o problema de certificar que uma determinada chave pertence a um usuário, site ou empresa.
VPN
Site-to-Site
VPN do tipo Site-to-Site também pode ser conhecida por Gateway-to-Gateway. É estabelecida entre dois equipamentos, normalmente roteadores ou firewalls.
Geralmente, utiliza IPSec, criando um túnel seguro para proteger toda informação trafegada entre as localidades.
Client-to-Site
VPN do tipo Client-to-Site também pode ser conhecida por Remote Access. Caracterizada por conexões pontuais de usuários remotos à rede. Geralmente, utiliza SSL-VPN. Tratam de conexões remotas entre redes inteiras.
SSL VPN
Permite a criação de VPN sem a utilização de IPSec. Geralmente, é disponibilizada na forma de um portal web, através de um firewall, onde o usuário deve se autenticar.
Criptografia quântica
É importante ressaltar que a criptografia quântica engloba somente a troca segura de chaves. As trocas de mensagens continuam utilizando métodos clássicos. Devido a essa característica, a criptografia quântica também é conhecida (e mais corretamente chamada) por Distribuição Quântica de Chaves ou QKD (Quantum Key Distribution).
Utilizando fótons, permite que duas pessoas definam uma chave secreta que não pode ser quebrada por um algoritmo, pois não é gerada matematicamente, mesmo se utilizado um canal público e inseguro para a comunicação.
Dois algoritmos populares em computação quântica são:
Shor: realiza fatoração de números primos em tempo polinomial.
Grover: realiza pesquisa em lista não ordenada em tempo Raiz(n).
Os algoritmos quânticos são executados de forma paralela, permitindo alto ganho de desempenho.
A utilização de um protocolo chamado RPS, feito para distribuir chaves e pacotes de dados usando elementos quânticos. Esse protocolo é capaz de detectar erros na transmissão de dados se, por exemplo, um atacante estiver realizando leitura não autorizada deles. O protocolo é capaz de invalidar a chave utilizada e reiniciar o processo quantas vezes forem necessárias, até uma chave válida conseguir ser enviada com segurança.
QUIZ
1 – Devido a pandemia de Covid-19, uma empresa definiu que parte de seus colaboradores deverão desenvolver suas atividades profissionais em home office. Dentre os requisitos foram definidos que os dados e sistemas da empresa poderiam ser acessados de qualquer lugar que possua uma conexão com a internet, de que seria de fácil acesso sem necessidade de configuração de equipamentos, o tráfego de dados fosse criptografado e a solução escolhida fosse conhecida por baixos níveis de incidentes de segurança da informação.
VPN do tipo Client To Site com protocolo SSL-VPN. Correta! Esta é a solução que melhor atende a necessidade da empresa, pois as VPNs do tipo Client To Site geralmente usam protocolo SSL-VPN. Também podem ser conhecidas por Remote Access e permitem que os usuários acessem dados e sistemas remotamente utilizando um portal web que é disponibilizado através de um firewall, sem necessidade de configurações em equipamentos.
2 – O SSL (Secure Sockets Layer) é um protocolo que provê segurança nas comunicações em uma rede de computadores, como a internet, por meio da utilização de criptografia. Selecione a alternativa que representa corretamente a camada que o SSL fornece serviços de segurança.
Camada de aplicação. O SSL recebe dados da camada de aplicação e permite o envio de tráfego encriptado, garantindo, assim, o sigilo da comunicação.
3 – PGP (Pretty Good Privacy) é um protocolo de segurança inventado por Philip Zimmermann utilizado principalmente para sistemas de e-mail, que é um serviço constantemente utilizado e necessita de proteção a fim de evitar incidentes de segurança, como vazamento de dados ou infecção de um dispositivo. Selecione a alternativa que representa corretamente uma afirmação a respeito do PGP. Implementa um conceito chamado teia de segurança. A teia de segurança baseia-se em relações de confiança individuais que formam uma rede de confiança. De acordo com essa relação: se A confia em B e B confia em C, A confia em C.
4 – VPN (Virtual Private Network) permite a comunicação entre dispositivos utilizando uma rede considerada insegura, como a internet. Para criação de uma VPN, podem ser utilizados os protocolos IPSec ou SSL. Em relação ao tipo, uma VPN pode ser Site-to-Site ou Client-to-Site. Analise as sentenças, a seguir, e assinale a alternativa cujas afirmativas estão corretas.
II - Uma VPN Client-to-Site conecta um usuário ao escritório da empresa.
III - SSL VPN permitea criação de VPN sem a utilização de IPSec.
5 – A criptografia quântica é considerada um novo paradigma, pois não é baseada na solução de problemas matemáticos. Analise as sentenças, a seguir, e assinale a alternativa cujas afirmativas estão corretas. A criptografia quântica é considerada um novo paradigma, pois não é baseada na solução de problemas matemáticos. Analise as sentenças, a seguir, e assinale a alternativa cujas afirmativas estão corretas. 
II - Criptografia quântica engloba somente a troca segura de chaves.
IV - O primeiro protocolo de criptografia quântica foi proposto em 1984.
Gestão em segurança da informação
Análise de Riscos
O risco é presença constante, podemos concluir que a análise de riscos de TI é crítica para uma organização.
· Risco: É definido como a combinação da possibilidade de um determinado evento ocorrer e de suas consequências na organização.
· Evento: É definido como o relacionamento que ocorre entre ameaças, vulnerabilidades e consequências.
ISO 27005 - que é específica para a gestão de riscos de segurança da informação, define o processo da seguinte maneira:
É importante que a análise de riscos esteja sempre alinhada com os objetivos e o escopo de projetos que buscam fortalecer estratégicas e ações para a continuidade dos negócios da organização.
Objetivos de análise de risco:
1. Identificar a informação e seu valor.
2. Determinar as vulnerabilidades e ameaças.
3. Determinar quais ameaças podem se tornar um risco.
4. Determinar o custo/benefício do tratamento de um risco.
E, em relação ao tratamento de risco, podemos:
· mitigar;
· transferir;
· aceitar;
· evitar.
Uma das formas de apresentar o resultado de uma análise de riscos é por meio da ferramenta Matriz de Risco. Ela permite, de maneira fácil e visual, identificar quais são os riscos que devem receber mais atenção (CARLA, 2017).
Probabilidade
· Recomenda-se que a probabilidade seja medida em níveis, como muito baixo, baixo, moderado, alto e muito alto.
Impacto
· Os impactos também devem ser medidos em níveis, como muito baixo, baixo, moderado, alto e muito alto.
Algo que devemos considerar é que um risco pode ter duas faces: ameaça e oportunidade.
Política Nacional de Segurança das Informações
Em 13 de junho de 2000, o Presidente da República editou o Decreto nº 3.505, o qual instituiu a Política Nacional de Segurança das Informações.
Nesse contexto, destaca-se que, no decreto, as diretrizes da Política Nacional de Segurança da Informação faziam menção ao uso e ao desenvolvimento de equipamentos dotados de recursos criptográficos.
Instituto Nacional de Tecnologia da Informação (ITI)
Trata-se de uma autarquia federal vinculada à Casa Civil da Presidência da República.
Como ocupa a posição de primeira autoridade da cadeia de certificação, executa políticas de certificados e normas técnicas e operacionais aprovadas pelo Comitê Gestor da ICP-Brasil.
ICP-Brasil
A ICP-Brasil possui 25 ACs (Autoridades Certificadoras) de 1º Nível; 123 ACs (Autoridades Certificadoras) de 2º Nível; e 2.030 ARs (Autoridades de Registro).
Código de Defesa do Consumidor (CDC), Marco Civil da Internet e Lei Geral de Proteção de Dados (LGPD)
Além das leis mencionadas anteriormente, existem outras normas e boas práticas que devemos considerar em segurança da informação, as quais estão apresentadas na sequência.
· Payment Card Industry (PCI) - padrão para o manuseio de dados de pagamentos relacionados a cartões de crédito.
· Sarbannes-Oxley (SOX) - lei criada após os problemas apresentados nas contabilidades das empresas norte-americanas.
· BASEL III ACCORD - fornece orientação e visa tornar mais eficientes os esforços para o gerenciamento de riscos.
· Information Technology Infrastructure Library (ITIL) - é um modelo de referência para gerenciamento de serviços de TI e possui itens específicos que abordam a segurança da informação.
· Control Objectives for Information and Related Technologies (COBIT) - é um framework para governança de TI.
Auditoria de sistemas
A auditoria do ambiente de tecnologia da informação tem por objetivo revisar e avaliar os recursos comuns utilizados no processamento dos diversos sistemas de informação da empresa.
Em auditorias de TI, os controles internos mais observados estão relacionados à segurança da informação e ao desempenho. Para apoiar o processo de auditoria, tem-se utilizado a norma da Associação Brasileira de Normas Técnicas (ABNT) NBR ISO/IEC 27002, que trata do código de prática para a gestão da segurança da informação (ABNT, 2013a).
A seguir, cada uma das 14 seções da NBR ISO/IEC 27002.
1. Políticas de segurança da informação.
2. Organização da segurança da informação.
3. Segurança em recursos humanos.
4. Gestão de ativos.
5. Controle de acesso.
6. Criptografia.
7. Segurança física e do ambiente.
8. Segurança nas operações.
9. Segurança nas comunicações.
10. Aquisição, desenvolvimento e manutenção de sistemas.
11. Relacionamento na cadeia de suprimento.
12. Gestão de incidentes de segurança da informação.
13. Aspectos da segurança da informação na gestão da continuidade do negócio.
14. Conformidade.
Autenticação e Controle de acesso
Como controle de acesso entende-se o gerenciamento da visualização de informações e da utilização dos recursos digitais de uma rede de computadores, considerando as propriedades da segurança da informação, quais sejam: confidencialidade, integridade e disponibilidade.
Um correto controle de acesso evitará incidentes relacionados à visualização não autorizada dos dados, o que poderia comprometer a confidencialidade e, também, impedir modificações não autorizadas, ferindo a integridade.
O controle de acesso contempla dois pontos:
· identificar o usuário;
· verificar sua autenticidade.
Para autenticar, o usuário é solicitado a fornecer uma segunda peça para fechar o seu conjunto de credenciais de acesso. Existem três tipos de autenticação para um usuário: algo que ele saiba, algo que ele possua ou algo que ele seja. Pode ser uma senha, uma chave criptográfica ou uma informação gerada por token.
Senhas
A autenticação baseada em senha é o mecanismo mais comum utilizado. Uma senha é uma sequência de caracteres protegida. Muitos usuários não dão importância para manter senhas fortes, e as estatísticas a seguir mostram o quanto isso os torna vulneráveis.
Token
Trata-se de um dispositivo gerador de senhas. É um hardware separado do computador do usuário. Em intervalos de tempo, o token apresenta uma lista de caracteres diferente, a serem inseridos na aplicação, que deve ter sido desenvolvida para esse fim, pois somente ela é capaz de conhecer o significado dos caracteres.
Hash
A principal utilização de hash é comparar a integridade de dados. Dessa forma, os dados do usuário, como nome, matrícula, departamento, dentre outros, podem ser criptografados em uma função hash, criando uma assinatura digital.
Biometria
Esse tipo de identificação verifica um único atributo pessoal do usuário.
É considerada um método de verificação de identificação muito efetivo.
Autenticação de Dois Fatores
A autenticação de dois fatores é um recurso que acrescenta uma camada adicional de segurança para o login de contas, sendo oferecida por vários prestadores de serviços on-line.
Autenticação Centralizada
Pode-se implementar esse controle individualmente em cada sistema que o usuário utiliza, mas essa prática pode gerar problemas como a dificuldade no gerenciamento das credenciais de acesso, tanto para a equipe de TI quanto para o usuário.
Limite de tentativas de login
Como medida de segurança, uma boa prática é implementar limite de tentativas de login na rede ou em um sistema. Tentativas sucessivas de login podem ser evidências de um ataque de força bruta.
Monitoramento de controle de acesso
Trata-se de um método fundamental para controlar quem tenta acessar recursos em uma rede.
Apresenta-se como um mecanismo de detecção e pode, ainda, prevenir incidentes de segurança, demonstrando, como exemplo, o acesso de um usuário a sistemas para os quais ele não possui autorização, ou ainda acessosfora do horário de trabalho do usuário.
QUIS
1 – A norma da Associação Brasileira de Normas Técnicas (ABNT) NBR ISO/IEC 27002, que trata do código de prática para a gestão da segurança da informação, é utilizada para apoiar auditorias de TI. Quais seções das apresentadas, a seguir, fazem parte da norma?
- Segurança em Recursos Humanos.
Essa seção trata do antes da contratação, do durante a contratação e do encerramento e da mudança da contratação.
- Controle de Acesso.
Essa seção é responsável por requisitos do negócio para controle de acesso, gerenciamento de acesso do usuário, responsabilidades dos usuários e controle de acesso ao sistema e à aplicação.
- Gestão de Ativos.
Essa seção é responsável pela responsabilidade pelos ativos, pela classificação da informação e pelo tratamento de mídias.
- Segurança Física e do Ambiente.
Essa seção é responsável por áreas seguras e equipamento.
2 – A Análise de Riscos de TI pretende proteger o ambiente tanto quanto for possível, além de mitigar riscos até um grau aceitável. Para maximizar as chances de sucesso, uma análise de riscos deve estar alinhada com os objetivos e o escopo de projetos que buscam fortalecer estratégicas e ações para a continuidade dos negócios. Nesse sentido, qual norma ISO é específica para a gestão de riscos de segurança da informação? Assinale a alternativa correta.
ISO 27005. A norma ISO 27005 é específica para a gestão de riscos de segurança da informação. Ela foi elaborada para propiciar uma implementação eficaz da segurança da informação em qualquer tipo de organização.
3 – Analise o trecho, a seguir, e assinale a alternativa correspondente à classificação de dados criada pela Lei Geral de Proteção de Dados (LGPD).
"[...] dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou à organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural" (BRASIL, 2018, on-line).
Dado pessoal sensível. Qualquer dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou à organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural, é considerado dado pessoal sensível.
4 - O Marco Civil da Internet, criado em 23 de abril de 2014, pela Lei nº 12.965, estabelece princípios, garantias, direitos e deveres para o uso da internet no Brasil. De acordo com o Marco Civil da Internet, qual princípio impede que provedores limitem que seus clientes acessem alguns sites ou serviços? 
Princípio da preservação e garantia da neutralidade de rede. O princípio da preservação e garantia da neutralidade de rede proporciona um tratamento igualitário entre os consumidores, gerando conformidade com as suas expectativas de volume e velocidade de dados.
Boas práticas em segurança da informação
Aspectos tecnológicos da segurança da informação
Firewall
Um firewall pode e deve ser utilizado em redes de grandes e pequenas empresas, como também para usuários domésticos. Apesar de ser tratado como dispositivo, ele pode ser implementado em hardware ou software. No caso de software, pode ser, ainda, uma máquina virtual.
Os firewalls são dispositivos que podem atuar na camada 3 e/ou na camada 7 do Modelo OSI.
Filtro de conteúdo web
Uma parte considerável dos ataques que uma organização sofre tem origem na navegação em sites não confiáveis.
Sendo assim, a melhor forma de se prevenir desses ataques é impedir que os usuários naveguem nesses tipos de sites. O referido filtro realiza esse bloqueio.
Intrusion Prevention System – IPS
O IPS atua monitorando o tráfego de rede de servidores e demais equipamentos do ambiente de rede da organização. Então, durante a análise dos eventos, se ele identificar um comportamento suspeito ou qualquer sinal que possa indicar riscos à integridade ou à confidencialidade das informações armazenadas, entra em ação.
Data Loss Prevention – DLP
Pentest
Também é conhecido como teste de penetração. É a simulação de um ataque aos sistemas de uma organização a fim de identificar vulnerabilidades.
Firewall de Nova Geração – NGFW
Em um Firewall de Nova Geração, normalmente, encontramos os seguintes serviços de segurança:
· firewall camada 3;
· firewall camada 7 ou controle de aplicações;
· filtro de conteúdo web;
· filtro de Domain Name System (DNS);
· IPS;
· Gateway Antivírus;
· antispam.
Plano de continuidade do negócio
A segurança da informação possui três pilares: confidencialidade, integridade e disponibilidade.
Medição da disponibilidade
Atividade de análise de riscos que faz parte da construção do plano de continuidade de negócios deve considerar a taxa de falhas dos componentes e o tempo médio de conserto, que são medidos por:
· Tempo Médio entre Falhas (MTBF): tempo médio disponível para um sistema ou componente executar suas operações normais entre falhas;
· Tempo Médio de Conserto (MTTR): tempo médio necessário para consertar um componente com falha. O MTTR inclui o tempo preciso para detectar o problema, mobilizar a equipe de manutenção, diagnosticar o problema, obter os recursos para substituição, consertar, testar e continuar as operações normais.
Disponibilidade da informação = tempo ativo do sistema / (tempo ativo do sistema + tempo inativo do sistema).
Análise de impacto no negócio
O processo de análise de impacto no negócio provê um relatório que detalha os incidentes e seus impactos sobre as funções do negócio. Dessa maneira, um impacto pode ser demonstrado em termos de tempo ou dinheiro.
· Identificar os processos-chave do negócio que sejam críticos à sua operação.
· Determinar os atributos do processo de negócio em termos de aplicativos, bancos de dados e requisitos de hardware e software.
· Avaliar os custos da falha para cada processo de negócio.
· Calcular a máxima interrupção tolerável e definir o Tempo de Recuperação (RTO) e o Ponto de Recuperação (RPO) para cada processo empresarial.
· Estabelecer os recursos mínimos requeridos para a operação dos processos de negócio.
· Estabelecer as estratégias de recuperação e o custo de sua implementação.
· Otimizar a estratégia de backup e a recuperação do negócio com base nas prioridades comerciais.
· Analisar o estado atual da prontidão da Business Continuity (BC) e otimizar futuros planejamentos de Business Continuity (BC).
Ponto único de falha
Uma atividade fundamental é analisar o datacenter em busca de sistemas que sejam suscetíveis a um ponto único de falha e implementar, como redundância, mecanismos de tolerância a falhas.
Replicação de dados
Replicação de dados é uma solução para recuperação de falhas.
Ciclo de vida
Um plano de continuidade de negócios não deve ser estático, ele precisa possuir mecanismos de revisão, pois os requisitos do negócio, de clientes e de disponibilidade podem mudar ao longo do tempo.
estágio 1: estabelecer objetivos;
estágio 2: analisar;
estágio 3: projetar e desenvolver;
estágio 4: implementar;
estágio 5: treinar, testar, avaliar e realizar manutenção.
Boas práticas em segurança da informação
Devemos ter em mente também que não é viável definir um projeto de segurança da informação que atenda a todos os tipos de organizações ao mesmo tempo. Isso porque cada uma possui suas particularidades, como tipo de negócio, clientes, país de atuação, entre outras. Essas particularidades serão decisivas para escolher quais boas práticas são aderentes ou não a sua organização.
Segurança física
Para garantir a segurança física, devem ser observados os seguintes aspectos:
· proteção de localização;
· detecção de intrusão física;
· ataques ao hardware;
· intromissão;
· ataques físicos a interfaces.
Segurança da memória e sistema de arquivos
Os aspectos a serem observados devem ser:
· segurança da memória virtual;
· autenticação baseada em senha;
· controle de acesso e permissões de arquivos avançadas;
· descritores de arquivos;
· elos simbólicos e atalhos.
Segurançade aplicações
Investir na qualificação dos desenvolvedores é um ponto fundamental, mas a utilização de ferramentas de software para verificar o código-fonte pode ser de grande apoio e não deve ser descartada.
Programas Maliciosos (malwares)
O sucesso no combate a malwares, muitas vezes, depende de tratar vulnerabilidades, fragilidades as quais eles exploram e conseguem acesso ao ambiente. Na maior parte das vezes, as principais ações são:
· tratar vulnerabilidades específicas de sistemas operacionais e aplicativos através de atualizações;
· considerar os aspectos de segurança da informação durante o processo de desenvolvimento de uma aplicação;
· limitar o acesso de usuários a dispositivos móveis como pendrives;
· evitar que usuários executem programas com mais privilégios do que os necessários.
Segurança de redes
· Falsificação de Address Resolution Protocol – ARP
· Falsificação de Protocolo de Internet – IP (Internet Protocol)
· Espionagem de pacotes
· Sequestro de sessão Protocolo de Controle de Transmissão – TCP
· Ataques de negação de serviço
Modelos
A seguir, há uma série de modelos que abrangem: política, modelos e confiança, modelos de controle de acesso, padrões de segurança e avaliação, avaliação de vulnerabilidade de software, administração e auditoria, Kerberos e armazenamento seguro.
Tratamento de incidentes de segurança - E, quando incidentes acontecem, é necessário analisá-los, distribuir alertas e dar a devida resposta aos usuários do serviço, os impactos que poderão acontecer e as contramedidas.