PLANO DE AUDITORIA DE SISTEMAS AMPARADO EM TESTES DE INVASÃO COM FOCO ESPECÍFICO PARA A ORGANIZAÇÃO SELECIONADA E DEVIDAMENTE ALINHADO AO PLANO DE NEGÓCIOS DA ORGANIZAÇÃO

Prévia do material em texto

16
UNIVERSIDADE PAULISTA – UNIP EaD 
Projeto Integrado Multidisciplinar
 Curso Superior de Tecnologia em Segurança da Informação
PLANO DE AUDITORIA DE SISTEMAS AMPARADO EM TESTES DE INVASÃO COM FOCO ESPECÍFICO PARA A ORGANIZAÇÃO SELECIONADA E DEVIDAMENTE ALINHADO AO PLANO DE NEGÓCIOS DA ORGANIZAÇÃO.
PIM VII
UNIP 
2021
UNIVERSIDADE PAULISTA – UNIP EaD
Projeto Integrado Multidisciplinar
Curso Superior de Tecnologia em Segurança da Informação
PLANO DE AUDITORIA DE SISTEMAS AMPARADO EM TESTES DE INVASÃO COM FOCO ESPECÍFICO PARA A ORGANIZAÇÃO SELECIONADA E DEVIDAMENTE ALINHADO AO PLANO DE NEGÓCIOS DA ORGANIZAÇÃO.
PIM VII
Nome completo do aluno: 
RA: 
Curso: Segurança da Informação
Semestre: 3° semestre
UNIP 
2021
RESUMO
No trabalho será falado sobre como é a organização de uma empresa de paintball, quem é o executivo, subgerentes e funcionários e será falado qual a função de cada integrante do trabalho. O diretor executivo terá que fazer plano de negócio, precisará saber se o projeto que ele deseja abrir realmente é algo promissor, para isso terá que fazer análise de mercado observando possíveis concorrentes, calculando valores, plano de marketing e também um plano de funcionamento. Também será visado dois sistemas críticos, segurança dos dados dos jogadores e teste de invasão do sistema eletrônico dos marcadores e posteriormente uma auditoria para colocar os aspectos em ordem.
Palavras-chave: Executivo. Empresa. Analise. Mercado
ABSTRACT
At work, it will be talked about how the organization of a paintball company is, who the executive, assistant managers and employees are, and the role of each member of the work will be discussed. The executive director will have to make a business plan, he will need to know if the project he wants to open really is something promising, for that he will have to do market analysis observing possible competitors, calculating values, marketing plan and also an operating plan. Two critical systems will also be targeted, security of player data and penetration testing of the electronic markers system and later an audit to put the aspects in order. 
Keywords: Executive. Company. Analyze. Market
Sumário
1. INTRODUÇÃO.......................................................................................................05
2. ESTRUTURA ORGANIZACIONAL DA EMPRESA..............................................06
3. PLANO DE NEGOCIOS DA EMPRESA................................................................07
3.1. Analise de mercado................................................................................07
3.2. Plano financeiro......................................................................................08
3.3. Plano de marketing ................................................................................10
3.4 Plano operacional ...................................................................................11
3.5 Análise de cenário...................................................................................12
4.0 SISTEMA CRÍTICO NO CAMPO PAINTBALL CLUB.........................................13
5.0 TESTE DE INVASÃO...........................................................................................14
6.0 METODO ESCOLHIDO DE TESTE DE INVASÃO.............................................15
7.0 CONCLUSÃO DA AUDITORIA...........................................................................16
8.0 CONCLUSÃO......................................................................................................17
9.0 REFERENCIAS....................................................................................................18
1. INTRODUÇÃO
O trabalho PIM VII tem o intuito de falar sobre a criação de uma empresa e descrever a estrutura organizacional. A empresa escolhida foi no ramo de esporte, conhecido como Paintball, é um esporte que consiste em marcadores que atiram bolas de tinta, e a partida pode ser do jeito que quiserem, o mais comum é jogo mata-mata, onde tomou um tiro se retira até iniciar a nova partida, que geralmente é em 7 minutos.
A empresa Paintball Club tem o CEO, Gustavo Monteiro, com o subgerente e funcionários em 3 cidades diferentes. 
Será abordado um plano de negócio para a empresa, que será analisado o mercado financeiro, concorrentes, valores que podem ser ganhos, e valores cobrados, já com a estratégia de bater valores dos concorrentes, assim chegar chamando atenção do público. Também será abordado um plano financeiro com saldo de investimento inicial de 200 mil reais, que será comprado o terreno, marcadores (armamento), telas, bolinhas e o capital de giro para a empresa. Um plano de marketing será abordado, com ideias para divulgação do negócio, citando redes sociais que é um dos maiores métodos de divulgação de seu próprio negócio, além, um plano operacional, como a empresa funcionará, qual função os funcionários obrigatoriamente deverão fazer.	Será falado de uma análise de cenário, com fatos positivos e também negativos, quais decisões tomar em cada tipo de cenário.
Haverá dois sistemas críticos na empresa, uma delas será o software presente no gatilho eletrônico dos marcadores e também haverá um software de armazenamento dos dados dos jogadores, que vão preencher com seus dados pessoais o termo de isenção de responsabilidade. Ambos os softwares vão ter que fazer um pentest, que seria um teste de invasão para ver a confiabilidade dos sistemas, assim não causando transtorno e nem prejuízo para a empresa.
Será falado sobre auditoria feita para abordar assuntos citados, como software do gatilho eletrônico e também sobre segurança no armazenamento dos dados dos jogadores.
2. ESTRUTURA ORGANIZACIONAL DA EMPRESA “PAINTBALL CLUB”
A empresa iniciou em 2015 com o primeiro campo de paintball na pequena cidade de Alexânia, campo inaugurado por Gustavo Monteiro, CEO da empresa, onde o negócio começou a funcionar. Em torno de 2 anos após a abertura o dono da empresa com pensamentos de expansão para outras cidades fez uma parceria com Claudinei, que virou subgerente na empresa Paintball Club. 
Claudinei por sua vez, responsável por gerir 3 campos em cidades diferentes, que são, Brasília, Anápolis e Alexânia. 
Já o Gustavo, responsável por gerir orçamentos, compra de produtos, marketing e realização de parcerias com outras empresas e também por organizar dados de jogadores que adentram ao campo, onde inicialmente será feito o cadastro do participante. Os cadastros feitos são para isenção de responsabilidade que será assinado antes de entrarem em campo. 
Os três funcionários são responsáveis de abrir o campo para jogos, como também administrar fornecimento de bolinhas e realizar cobrança dos jogos, como também ser responsável por fornecer o termo de isenção de responsabilidade que terá que ser fornecido a todos os jogadores, apenas após a assinatura poderão participar do esporte. Outra função dos funcionários são a manutenção dos “marcadores” que são os armamentos fornecidos, para deixá-los sempre a pronto uso, como também limpeza de máscaras e coletes.
3. PLANO DE NEGOCIOS DA EMPRESA
3.1. Analise de mercado	
Primeira coisa a fazer é analisar os concorrentes fora da cidade onde será aberto o campo, pois a cidade escolhida a iniciar o negócio não possui tal empreendimento ainda, porém, os jogadores que possuem na cidade praticam o esporte em cidades vizinhas, para isso não permanecer, tem que ser mais viável jogar na cidade onde moram invés de procurar tal diversão em cidade vizinha. 
Primeira cidade a ser analisada será Taguatinga-DF, após, Anápolis-GO e a última Goiânia-GO.
Gasto mínimo por jogador:
3.2 Plano financeiro
	Saldo inicial para investimento são R$200,000,00 (duzentos mil reais) que serão divididos para todos os processos do campo, como compra de terreno, armamento, produtos de decoração do campo, barreiras, entre outros e também mão de obra. 
Sobraram R$ 30,000,00 (trinta mil reais) 
3.3 Plano de marketingUm dos maiores métodos de divulgação de produto e está associado a meios digitais estão nas redes sociais, preferencialmente facebook, Instagram pois são redes que possuem milhares de pessoas, em torno de 70,03% da população possuem. 
Uma vantagem visível do facebook, Instagram está na parte de selecionar público mais provável de frequentar seu negócio. Onde por exemplo posso selecionar idade, sexo, localização e até mesmo conteúdo que possam gostar. Assim será possível pessoas de cidades vizinhas ter acesso aquela publicação.
Outra estratégia que poderá ser feita é divulgação em outdoor perto de vias movimentadas, como por exemplo perto de BR, pois despertaria curiosidade de pessoas fora daquela cidade. 
Realizar parcerias com empresas do ramo militar, pois é a área mais próxima do esporte, pois existem armamentos e vestimentas especificas para a pratica do esporte.
Realização de panfletagem e cartazes falando dos benefícios da pratica do esporte no clube pela cidade, assim despertando a curiosidade do público local e incentivando o conhecimento do esporte.
	
3.4 Plano operacional 
O horário de funcionamento para visitas serão das 08:00 às 18:00 
Horário dos jogos deverão em regra ser agendados para não haver ambiguidade. 
 Para marcar jogos, poderão ser marcados das 07:00 às 22:00 sendo necessário agendamento antecipado. Outro requisito é quantidade mínima de jogadores durante o dia e durante a noite. Sendo 2 mínimo de jogadores a tarde e 6 no horário noturno, que inicia a partir das 18:00.
Quando estiverem todos os jogadores para início de jogo, primeiramente será cobrado o valor mínimo de jogo, no caso (aluguel campo + bolinhas iniciais) e logo após assinatura do termo de isenção de reponsabilidade.
Após assinados, os gerenciadores do campo deverão falar todas as regras do campo, e explicar como será a partida, onde deverão escolher se será mata-mata, captura de bandeira ou resgate de refém. 
Após todas as explicações, será entregue colete mais máscara para todos os jogadores, após entregue, será disponibilizado os marcadores desarmados.
Dentro de campo, o instrutor ensinará como armarem os marcadores e também como solucionar possíveis panes dentro de jogo, sem a necessidade de saírem do campo para solucionarem tal.
	Após término, limpar todos os componentes e deixar tudo organizado para o próximo jogo.
3.5 Análise de cenário
Devemos analisar possíveis problemas que poderei enfrentar como:
1. Aumento dos fornecedores
2. Furtos
3. Falta de publico
4. Chuva muito forte que poderá destruir as telas
1. Aumento dos fornecedores é algo que deverá acontecer anualmente, mas isso é algo já esperado
2. Furtos é falta de segurança, e devemos melhora-la, primeiramente saber onde está acontecendo e qual a vulnerabilidade que o campo apresenta, muros baixos, ausência de cercas elétricas, mas após descobrir, ajustar e instalar mecanismos sonoros para movimentação diferente, como o alarme.
3. Falta de público acontece em determinadas épocas do ano, segundo especialistas especialmente em fevereiro, e nisso devemos aprimorar o marketing, e realizar promoções para esse mês, assim tendo mais movimento.
4. Chuva muito forte pode acontecer, é algo imprevisível, porém devemos deixar material reservado, em especial telas, pois é algo que danifica com o passar dos meses, algo que deteriora, mas sempre ter em estoque, em especial os mosqueteiros, que são as mais resistentes contra furo das bolinhas.
Mas também é possível ter fatos positivos, como:
1. Aumento de publico
2. Promoção nos fornecedores
3. Parcerias com escolas, hotéis, parques
Com fatores positivos, podemos ajustar o orçamento para ter mais lucros
1. Quando tem aumento de público, poderemos fornecer promoções que incentivem gastarem mais, onde normalmente um jogador deverá gastar em média 30 reais com 100 bolinhas, poderemos fazer uma promoção para gastarem R$ 50 reais e jogarem com 250 bolinhas, desse método deixaremos de ganhar R$ 2,50 e teremos a certeza de gastarem no mínimo R$50,00
2. Quando tivermos uma promoção, poderemos pegar um lote maior de bolinhas, assim aproveitando as promoções, pois é algo não perecível, então poderemos ter um bom estoque, além de que, quanto maior o lote de bolinhas, menor o custo de frete.
3. Realizar parcerias poderemos ter certeza de jogos semanalmente ou mensalmente, assim menos preocupação com ausência de público mensal.
4.0 SISTEMA CRÍTICO NO CAMPO PAINTBALL CLUB 
 	1- O primeiro sistema crítico no campo de paintball é armamentos eletrônicos que são programados para atirar em modo semiautomático, onde necessitará de o jogador apertar o gatilho diversas vezes para disparar, caso aconteça um erro de software no gatilho, poderá disparar rajadas dentro do game e fora. Isso pode ocasionar em maior perda de bolinhas e o risco de machucar um jogador ou funcionário fora de jogo.
2- O segundo sistema crítico do campo de paintball é segurança dos dados dos jogadores, pois sempre tem assinatura do termo de isenção de responsabilidade, após cada jogo é feito escaneamento e upado para um aplicativo de armazenamento de dados que o CEO desenvolveu para ter acesso a dados relativos dos jogadores, como idades e sexo mais pertinentes.
5.0 TESTE DE INVASÃO
Os testes de intrusão, ou pentests auxiliam na hora de investigação e correção de falhas e vulnerabilidade na segurança do ambiente de TI. 
1. Porque o Pentest é importante na segurança de T.I
Correções, visibilidade, exploração e correção. Os erros e falhas encontrados no ambiente podem ser grandes, sem analise de vulnerabilidade e exploração dos casos críticos que foram encontrados através dessas analise, poderá acarretar muitos prejuízos à empresa.
2 White Box
O pentester recebe algumas informações do ambiente, como aplicações de segurança, também ferramentas de armazenamento de dados e poderá ter conhecimento de toda a topologia de rede, senhas, IPs e loguins, sendo um teste mais amplo terá mais chances de encontrar falhas e brechas, é a solicitação mais comum no mercado.
3 Black Box
Já no método blackbox, o desenvolvedor não recebe nenhuma informação da empresa ou ferramentas aplicadas, todas terão que ser descobertas na força bruta, é a mais simulada em uma situação real.
6.0. METODO ESCOLHIDO DE TESTE DE INVASÃO PELO DONO DA EMPRESA
 	Após auditoria realizada pelo próprio dono da empresa conjunto seu subgerente, Claudinei, sobre os dois sistemas críticos citados o método escolhido foi o Whitebox, onde ele cederá os dados necessários para descobrirem as vulnerabilidades da empresa com os dados dos seus clientes e também testes de funcionalidade ou invasão nos softwares dos marcadores (armamento de jogo).
7.0. CONCLUSÃO DA AUDITORIA 
Auditoria realizada na data 15/10/2021 às 07:00 com termino às 15:30 da mesma data realizada com o CEO da empresa, juntamente com o subgerente, sobre segurança dos dados dos participantes do esporte paintball, onde foi feito o teste de invasão e foi constatado que, aplicativo desenvolvido pelo CEO tem vulnerabilidades e instabilidades em ataques, o método para descobrimento de tais fatos foi possível após ser feito o pentest. 
Segundo tópico a ser abordado é sobre softwares de gatilho de marcadores se há vulnerabilidades, após a tentativa de pentest, onde seria realizado dois métodos de invasão, método wireless e também método físico, como não são conectados via wifi, não foi necessária realização de tal teste. Na busca de vulnerabilidades nos gatilhos, o teste realizado foi com plugue microusb e ataque no software, onde não foi constatado nenhum indicio de vulnerabilidade.
Após constatação de vulnerabilidades no software de armazenamento dos dados dos clientes, foi decidido que dados dos clientes serão enviados para a nuvem e posteriormente após serem escaneados, os papeis assinados serão incinerados, foi escolhido método em nuvem por não haver espaço físico, onde não ficará sujeito a furtos e no método online de nuvem também há algo que dará mais segurança, pois será necessárioverificação de duas etapas, seja loguin e senha + dados faciais, código telefone, e-mail, biometria, entre outros.
8.0. CONCLUSÃO 
Concluo esse trabalho compreendendo o quão é importante um bom planejamento antes de iniciar em um negócio, fazendo inicialmente o plano de negócio da empresa, onde inicialmente deverá ser feito analise do mercado ter noção de valores de concorrentes, quantidade de empresas do ramo perto de sua localização e realização de cálculos de quanto deverei investir e sempre cotar valores antes de fazer aquisições, pois cada sobra no final virará capital de giro. 
No orçamento devo ter ideia de quanto poderei investir, e quanto deverei investir, quais itens são essências e obrigatórios para dar início e algo tão importante quanto, ver possíveis lucros e métodos de incentivo para maior consumo no local.
Percebo que, todo negócio é essencial um planejamento de marketing, pois é algo essencial para conhecerem o próprio negócio, algo muito aplicado é marketing através de redes sociais, pois selecionaremos pessoas próximas ao local de abertura, trazendo inicialmente o público local, e também pensando em trazer público de fora, como outdoor em vias movimentadas.
Deve-se planejar como a empresa funcionará, como no caso do trabalho será sobre esportes, planejamento de segurança, higiene e produtos bons para ter feedback positivo fora.
Ao analisar o cenário, percebe-se que poderá ser negativo ou mesmo positivo, em casos negativos ver métodos para atrair público, ou mesmo métodos de prevenção, como no caso do paintball, investimento em telas mais resistentes para evitar problemas futuros. Em casos positivos, aproveitar e render ainda mais, seja com descontos fornecidos ou mesmo aumento de público, incentivando-os maior consumo possível, presando o lucro que poderá ser gerado.
Vejo o quanto importante é um sistema crítico, assim analisando as possibilidades de invasões no software, que poderão causar danos à empresa, seja com vazamento de dados ou mesmo com insegurança aos jogadores, como citado sobre o gatilho eletrônico. Assim visando o pentest para verificar as inseguranças nos softwares antes de falharem e posteriormente realizando auditoria citando todos os aspectos da empresa, mudanças e métodos de prevenção
9.0 REFERÊNCIAS 
BERKAN. O que é auditoria, seu conceito e a diferença entre interna e externa. Berkan. Disponível em: https://berkan.com.br/o-que-e-auditoria/ Acesso em: 12 out 2021
CONTABILIVRE. O que é plano de negócios? Definições, funções e como elaborar. Contabilivre. Disponível em: https://news.contabilivre.com.br/o-que-e-plano-de-negocios-definicoes-funcoes-e-como-elaborar/ Acesso em: 05 out 2021
DIARIOZONANORTE. Brasil é o 3º país que mais usa redes sociais no mundo: 1º- Youtube e 2º- WhatsApp. Diariozonanorte. Disponível em: https://www.diariozonanorte.com.br/brasil-e-o-3o-pais-que-mais-usa-redes-sociais-no-mundo-1o-youtube-e-2o-whatsapp/ Acesso em: 06 out 2021
E-COMMERCE. Estudo revela o melhor e o pior mês do ano para o varejo brasileiro nos últimos 14 anos. E-Commerce Brasil. Disponível em: https://www.ecommercebrasil.com.br/noticias/estudo-revela-o-melhor-e-o-pior-mes-ano-para-o-varejo-brasileiro-nos-ultimos-14-anos/ Acesso em: 10 out 2021
MAUÉS, Rodrigo. Tipos de Pentests — White, Gray e Black Box. Conviso. Disponível em: https://blog.convisoappsec.com/diferentes-tipos-de-pentests/ Acesso em: 14 out 2021
SOFTWALL. Pentest ou Testes de Invasão: O que é e quais são as etapas?. Softwall. Disponível em: https://www.softwall.com.br/blog/pentest-testes-de-invasao-o-que-e-quais-etapas/ Acesso em: 14 out 2021
Taguatinga-DF
1h de jogo
R$ 20,00 regarga extra c/ 100 bolinhas
Anápolis-GO
1:30 de jogo
100 bolinhas iniciais
Goiânia-GO
1h de jogo
100 bolinhas iniciais
100 bolinhas iniciais
R$ 15,00 regarga extra c/ 100 bolinhas
R$ 25,00 regarga extra c/ 100 bolinhas
R$ 25,00 taxa de campo
R$ 25,00 taxa de campo
R$ 25,00 taxa de campo
Taguatinga-DF
R$ 45,00 
Anápolis-GO
R$ 40,00
Goiânia-GO
R$ 50,00
200 mil inicial
-100k compra terreno
100 mil restante
-50k armamento, carros velhos, telas, madeirit, mascaras, cilindros CO²
50 mil restante
-20k mão de obra e construção do campo
R$ 30,000 restante
-R$10,000 compra de bolinhas 
R$20,000 restante
-R$10,000 compra de reposição colete, lentes de mascaras e outros
R$10,000 restante
R$ 10,000 para capital de giro
Gustavo Monteiro
Ceo da empresa
Claudinei
Sub gerente 
Felipe
Funcionario campo Brasilia 
Hiago
Funcionario campo Anapolis 
Arthur
funcionario campo Alexânia