Segurança da informação

Prévia do material em texto

1 Segurança da Informação:
1 Políticas de segurança da informação;
2 Segurança de redes de computadores, inclusive redes sem fio;
3 Vulnerabilidades e ataques a sistemas computacionais: prevenção e tratamento de 
incidentes;
4 Ataques e proteções relativos a hardware, software, sistemas operacionais, aplicações, 
bancos de dados, redes, inclusive firewalls e proxies;
5 Gestão de segurança da informação;
6 Normas NBR ISO/IEC 27.001 e 27.002;
7 Classificação e controle de ativos de informação, segurança de ambientes físicos e lógicos, 
controles de acesso;
8 Definição, implantação e gestão de políticas de segurança e auditoria;
9 Gestão de riscos;
10 Normas NBR ISSO/IEC 15.999 e 27.005;
11 Planejamento, identificação e análise de riscos;
12 Plano de continuidade de negócio;
 Segurança da Informação:
 Uma fonte primária para a definição dos requisitos de segurança consiste na avaliação
de riscos dos ativos de informação. Essa análise permite ainda equilibrar os gastos com
os controles de segurança de acordo com os danos causados aos negócios gerados pelas
potenciais falhas na segurança;
 Segundo a norma NBR ISO/IEC 27001, a definição de Segurança da Informação é
preservação da confidencialidade, integridade e disponibilidade da informação e podem
envolver também autenticidade, responsabilidade, não repúdio e confiabilidade.
 OWASP:
 O Open Web Application Security Project (OWASP) é uma associação profissional de
membros globais aberta às pessoas interessadas em aprender sobre segurança de
software;
 O OWASP, ou Projeto Aberto de Segurança em Aplicações Web, é uma comunidade
online que cria e disponibiliza de forma gratuita artigos, metodologias, documentação,
ferramentas e tecnologias no campo da segurança de aplicações web.
 Classificação da Informação:
 Os níveis de classificação da informação, segundo sua confidencialidade, são definidos
como:
 Confidencial (o mais alto nível de confidencialidade);
 Restrita (médio nível de confidencialidade);
 Uso interno (o mais baixo nível de confidencialidade);
 Pública (todos podem ver a informação).
 Sistema de Gestão da Segurança da Informação (SGSI):
 Um SGSI estabelece, implementa, opera, monitora, mantém e melhora a segurança da
informação da organização, além de estar voltado para aspectos como estrutura
organizacional, políticas, procedimentos, processos e recursos.
 Políticas de Segurança da Informação:
 Uma PSI precisa das seguintes informações mínimas para ser desenvolvida:
 Controle de acesso à informação;
 Gestão de ativos: internet, equipamentos inteligentes, e-mail e outros;
 Classificação da informação;
 Cópias de segurança;
 Monitoramento de uso de sistema;
 Política de segurança da informação;
 Conscientização, educação e treinamento;
 Encerramento de atividades: corte de acesso à informação;
 Trabalho remoto;
 Aquisição, desenvolvimento e manutenção de sistemas;
 Processo disciplinar.
 Norma contém definições técnicas sobre determinado assunto;
 Regulamentação determina obrigações que devem ser respeitadas, cujo
descumprimento acarreta penalidades e multas;
 São consideradas boas senhas aquelas que incluem, na composição, letras (maiúsculas e
minúsculas), números e símbolos embaralhados, totalizando de preferência seis ou mais
caracteres;
 A Lei Sarbanes-Oxley, conhecida também como SOX, visa garantir a transparência na
gestão financeira das organizações, incluindo a auditoria e a segurança das informações
para que sejam realmente confiáveis.
 Devem estar dentro do documento (ou conjunto de documentos) que descreve a Política
de Segurança de uma organização;
 Descrição do seu escopo e finalidade;
 Abordagem adotada para gerenciamento de riscos;
 Detalhes sobre o processo de revisão da política;
 Tratamento de incidentes.
 Governança de TI:
 ITIL é um padrão de governança de TI que estabelece políticas, processos e
procedimentos para garantir a disponibilidade e continuidade de serviço que se
relacionam diretamente com a segurança.
 Normas NBR ISO/IEC 27.001 e 27.002:
 As normas da família ISO 27000 estabelecem padrões para a Gestão da Segurança da
Informação. Uma das recomendações é que a informação seja classificada em vários
níveis de proteção, além de determinar os controles necessários para cada nível;
 A norma não obriga a fazer uso de um modelo específico de classificação da
informação que deve ser utilizado estritamente, ou seja, cada organização pode
utilizar um modelo de classificação e nomenclatura que mais se adéqua à sua
realidade.
 A norma ISO/IEC 27001 foi elaborada para prover um modelo (baseado no PDCA) de
sistema de gestão de segurança da informação (SGSI) e também para avaliar a
conformidade deste pelas partes interessadas internas e externas;
 Especifica os requisitos para o provedor de serviço planejar, estabelece,
implementa, operar, monitora, analisar criticamente, manter e melhorar um
sistema de gestão de serviços (SGS);
 De acordo com NBR ISO/IEC 27001, para uma organização estabelecer um
SGSI (Sistema de Gestão de Segurança da Informação), ela deve selecionar
objetivos de controle e controles para o tratamento de riscos;
 Os objetivos de controle e controles listados da NBR ISO/IEC 27001 são
apresentados em uma tabela do anexo A e são derivados diretamente daqueles
listados na NBR ISO/IEC 17799. Assim, o objetivo de controle da
Responsabilidade pelos Ativos na Gestão de Ativos é alcançar e manter a
proteção adequada dos ativos da organização.
 A norma NBR ISO/IEC 27002 sugere métricas e relatórios para um sistema de gestão
de segurança da informação (SGSI).
 Estabelece as diretrizes e princípios gerais para iniciar, implementar, manter e
melhorar a gestão de segurança da informação em uma organização.
 Estrutura de proteção:
 Adota-se, para o controle de acesso em ambientes protegidos, a estrutura do tipo que se
denomina camada de cebola, por meio da qual se delimitam várias camadas de
proteção, entre as quais a camada central é a mais protegida, procurando-se, ainda,
manter em locais com acesso restrito a poucas pessoas as máquinas que não precisem
de operador para funcionar.
 Protocolos de segurança de redes sem fio:
 WEP (Wired Equivalent Privacy):
 Foi o pioneiro no assunto de proteção de redes sem fio, tendo sido lançado
como um padrão de segurança neste tipo de rede em 1997;
 Utiliza o algoritmo de criptografia RC4;
 Obsoleto no quesito segurança;
 WPA (Wi-Fi Protected Access):
 Foi criado em 2002 como postulante a substituto do WEP;
 Dentre as melhorias propostas, a mais significativa foi a utilização do
algoritmo RC4 de uma forma mais segura, dentro do protocolo TKIP;
 Também utiliza o algoritmo RC4, mas toma algumas precauções para
evitar ataques, como não enviar a chave secreta “em claro” e trabalhar
com uma política de vetores de inicialização mais inteligente.
 WPA2 (Wi-Fi Protected Access II):
 É o sistema-padrão atual e também o mais seguro, implementado em 2006;
 Exclui completamente a possibilidade de um ataque de força bruta.
 EAP (Extensible Authentication Protocol):
 É um arcabouço que permite que um usuário se autentique em um servidor
específico afim de receber mensagens provenientes do ponto de acesso.
 Trabalha com o uso do protocolo RADIUS (Serviço de Autenticação Remota
de Chamada de Usuário) e tanto pode ser representado pelo ponto de acesso
quanto por outra máquina dedicada a este fim.
 Hierarquia de proteção:
 WPA2 com AES habilitado (mais seguro);
 WPA com AES habilitado;
 WPA com AES e TKIP habilitado;
 WPA apenas com TKIP habilitado;
 WEP;
 Rede aberta (menos seguro).
 Vulnerabilidade:
 Característica ou falha no projeto, implementação ou configuração de um software ou
sistema operacional que, quando explorada por um atacante, resulta na violação da
segurança de um computador.
 Identificação de vulnerabilidades:
 Testese simulações;
 Testes de invasão de sistemas;
 Auditorias em códigos-fonte.
 Malwares (Malicious + Software):
 Malware é a palavra que engloba programas perigosos, invasivos e mal intencionados
que podem atingir um computador;
 Possui diferentes propósitos: infiltrar um sistema, roubar informações, causar
dados, apagar dados etc.
 Pragas virtuais:
 Vírus:
 São os programas mais utilizados para causar danos dados, roubar
informações etc.;
 Se diferenciam dos outros malwares por sua capacidade de infectar
um sistema, fazer cópias de si mesmo e tentar se espalhar para outros
computadores, da mesma forma que um vírus biológico faz;
 Na maioria das vezes são enviados através de e-mails e mídias
removíveis (pen-drives).
 Worms:
 Se utiliza de uma rede para enviar cópias de si mesmo e se espalhar
por vários computadores sem que nenhum usuário interfira neste
processo;
 São perigosos pois podem ser disparados, aplicados e espalhados em
um processo totalmente automático e não precisar se anexar a
nenhum arquivo para isso.
 Não se propaga por meio da inclusão de cópias de si mesmo
em outros programas ou arquivos.
 Trojan Horse (Cavalo de Troia):
 Programa normalmente recebido como um "presente" (por exemplo,
cartão virtual, álbum de fotos, protetor de tela, jogo, etc.) quando do
download de um arquivo e que, além de executar as funções para as
quais foi aparentemente projetado, também executa outras funções,
normalmente maliciosas e sem o conhecimento do usuário
(escondidas).
 Bot:
 Dispõe de mecanismos de comunicações com o invasor que permitem
que ele seja controlado remotamente;
 O computador infectado por um bot é chamado de zumbi;
 Se propaga automaticamente, explorando vulnerabilidades;
 Botnet:
 É uma rede formada por muitos computadores zumbis e que
permite aumentar a capacidade de ações danosas executadas
pelos bots.
 Backdoor:
 Programa que permite o retorno de um invasor a um computador
comprometido, por meio da inclusão de serviços criados ou
modificados para esse fim;
 Normalmente esse programa é colocado de forma a não a ser notado. 
 Spyware:
 São programas que "espionam" as atividades dos usuários ou
capturam informações sobre eles;
 Para contaminar um computador, os spywares geralmente são
"embutidos" em softwares de procedência duvidosa, quase sempre
oferecidos como freeware ou shareware (nomes pouco usados
atualmente);
 Os dados capturados são posteriormente transmitidos pela internet
para terceiros. Essas informações podem conter desde hábitos de
navegação do usuário até senhas.
 Adware:
 Do inglês Advertising Software, é um tipo específico de spyware;
 Programa projetado especificamente para apresentar propagandas;
 Pode ser usado de forma legítima, quando incorporado a programas e
serviços, como forma de patrocínio ou retorno financeiro para quem
desenvolve programas livres ou presta serviços gratuitos;
 Também pode ser usado para fins maliciosos quando as propagandas
apresentadas são direcionadas, de acordo com a navegação do usuário
e sem que este saiba que tal monitoramento está sendo feito.
 Ransomware:
 Programa que torna inacessíveis os dados armazenados em um
equipamento, geralmente usando criptografia, e que exige pagamento
de resgate para restabelecer o acesso ao usuário;
 É como se o computador tivesse sido sequestrado.
 Keylogger:
 Keyloggers são pequenos aplicativos que podem vir embutidos em
vírus, spywares ou softwares de procedência duvidosa;
 Sua função é a de capturar tudo o que é digitado pelo usuário;
 É uma das formas utilizadas para a captura de senhas.
 Screenloger:
 Armazena a posição do cursor e a tela apresentada no monitor, nos
momentos em que o mouse é clicado.
 Rootkit:
 Conjunto de programas e técnicas que permite esconder e assegurar a
presença de um invasor ou de outro código malicioso em um
computador comprometido;
 Importante ressaltar que o nome rootkit não indica que as ferramentas
que o compõem são usadas para obter acesso privilegiado
(root ou Administrator) em um computador, mas, sim, para manter o
acesso privilegiado em um computador previamente comprometido;
 Desenvolvedores de rootkits podem fazer uso de várias técnicas
avançadas, como infiltrar o malware em processos ativos na memória;
 Além de difícil detecção, os rootkits também são de difícil remoção.
Se esconde tão bem que até para antivírus é difícil encontrar;
 Felizmente, sua complexidade de desenvolvimento faz esses
invasores não serem numerosos.
 Hijacker:
 Hijackers são programas ou scripts que "sequestram" navegadores de
internet. As principais vítimas eram as versões mais antigas do
Internet Explorer;
 Um hijacker pode, por exemplo,alterar a página inicial do browser e
impedir o usuário de mudá-la, exibir anúncios em janelas novas,
instalar barras de ferramentas e bloquear o acesso a determinados
sites (páginas de empresas de antivírus, por exemplo).
 Digmine:
 Usa sistemas infectados para extrair a criptomoeda Monero;
 Esse malware é enviado às vítimas como um link para um arquivo de
vídeo, quando na verdade é um script executável que afeta as versões
desktop e web do Facebook Messenger, usando o navegador Google
Chrome para minerar a moeda Monero no computador.
 Exploits:
 São pequenos códigos de programas desenvolvidos para explorar
falhas introduzidas em aplicativos por erros involuntários de
programação;
 Normalmente, são programas maliciosos com dados ou códigos
executáveis capazes de aproveitar as vulnerabilidades de sistemas em
um computador local ou remoto.
 Golpes na Internet:
 Phishing:
 Site ou e-mail falso, parecido com o verdadeiro, com a intenção de capturar
dados pessoais e financeiros de um usuário, pela utilização combinada de
meios técnicos e engenharia social.
 Pharming:
 Redireção da navegação do usuário para sites falsos, por meio de alterações no
serviço de DNS (Domain Name System);
 Quando o usuário tenta acessar um site legítimo, o seu navegador Web é
redirecionado para uma página falsa.
 Hoax (boato):
 Mensagem que possui conteúdo alarmante ou falso e aponta como autora
alguma organização importante.
 Advance Fee Fraud:
 É um tipo de fraude na qual o golpista procura induzir uma pessoa a fornecer
informações confidenciais ou a realizar um pagamento adiantado, com a
promessa de futuramente receber algum tipo de benefício.
 Ataques:
 Ataque ativo: modificação do fluxo de dados;
 Ataque passivo: natureza de bisbilhotar/monitorar informações;
 Scan:
 Efetua buscas em redes, verificando computadores ativos e coletando
informações sobre eles.
 Sniffing (farejador):
 Interceptação no tráfego das informações das redes de computadores.
 Spoofing:
 E-mail spoofing:
 Mascarar ou alterar campos do cabeçalho de um e-mail;
 Aparenta que foi enviado de uma origem quando, na verdade, foi
enviado por outra.
 IP spoofing:
 Mascarar o IP utilizando endereço de remetente falso.
 Harvesting:
 Realiza varredura em páginas Web, arquivos de listas de discussão etc. Em
busca de endereços de e-mail.
 Uma forma de prevenção é trocar @ por (at) e ponto por “dot”.
 Brute force (Força bruta):
 Descobrir um nome de usuário e senha por tentativa e erro.
 Defacement (pichação):
 Desfigurar ou alterar o conteúdo das páginas da Web.
 DoS ou DDoS (ataque (distribuído) de negação de serviço):
 Atacar sistemas servidores e tornar seus serviços indisponíveis.
 Esse ataque é distribuído quando um intruso tem sob seu comando centenas de
computadores (bots), e comanda um ataque ao mesmo alvo e ao mesmo
instante, por meio de uma rede chamada botnet.
 Conhecidos como ataques flood.
 Engenharia social:
 Utilização de práticas para obter acesso a informações sigilosas em
organizaçõese sistemas computacionais, por meio da exploração de confiança
das pessoas com habilidades de persuasão.
 MITM (Man-in-the-middle):
 Dados trocados entre duas partes são interceptados e possivelmente alterados
ou até registrados pelo atacante sem que as vítimas percebam.
 O atacante pode interceptar e modificar seletivamente dados comunicados para
se passar por uma ou mais das entidades envolvidas em uma comunicação.
 Zero Day Attack (Ataque do Dia Zero):
 Ataque que ocorre no mesmo dia em que uma vulnerabilidade do software é
descoberta, sendo explorado antes que o fornecedor do software disponibilize
uma correção.
 Exploit: parte de software ou uma sequência de comandos utilizado, que
encontra vantagem de uma falha ou vulnerabilidade a fim de causar um
comportamento acidental ou imprevisto em outro software ou hardware.
 Permanece funcionando até que a correção do software seja
produzida, distribuída e aplicada.
 Para combater a disseminação de Zero Day Attacks, as organizações podem
publicar um processo de vulnerabilidades, mantendo relatórios de segurança e
triagem dos problemas reportados internamente.
 CSRF (Cross-Site Request Forgery):
 Consiste em inserir requisições em uma sessão aberta pelo usuário;
 É um tipo de ataque informático malicioso a um website no qual comandos
não autorizados são transmitidos através de um utilizador em quem o website
confia;
 Em contraste com o Cross-Site Scripting (XSS), que explora a confiança de
um utilizador para um site particular, o CSRF explora a confiança que um
website tem do navegador do usuário.
 XSS (Cross-Site Scripting):
 É um tipo de vulnerabilidade encontrado em aplicações web que ativa ataques
maliciosos por meio da injeção de scripts nas páginas web vistas por outros
usuários;
 Um script de exploração de vulnerabilidade cross-site pode ser usado pelos
atacantes para escapar aos controles de acesso que usam a política de mesma
origem.
 Trashing:
 Revirar lixo em busca de informações.
 War dialing:
 Liga para vários números de telefone para identificar os que têm modem
instalado.
 Atacantes:
 Hacker: busca constante por novos conhecimentos;
 Cracker: invade ou viola sistemas com má intenção;
 Phreaking: invasão aos sistemas telefônicos.
 Boxes são circuitos eletrônicos cuja finalidade é alterar o
funcionamento normal da linha telefônica.
 Sistema PABX é comum em empresas.
 Lammer: utilizam receitas de bolo para crackear.
 Spam:
 E-mails não solicitados enviados para um grande número de destinatários;
 Nem sempre estão acompanhados de malwares ou ataques, porém é uma técnica para
propagação de atividades maliciosas.
 Prevenção e Proteção:
 Antivírus/Antimalware:
 Algumas ferramentas de antivírus procedem à detecção por heurística, técnica
de detecção de vírus baseada no comportamento anômalo ou malicioso de um
software.
 Windows Defender é antispyware (no Windows 7) ou antispyware e
antivírus (no Windows 8 e 10);
 Microsoft Security Essentials é antivírus (no Windows 7).
 Firewall:
 É um processo de prevenção de falhas.
 Protege uma rede local de ameaças provenientes de uma rede externa (internet)
e de hosts na própria rede, diminuindo a incidência de programas e ações
maliciosas ao sistema.
 Controle tanto os pacotes que entram em uma rede privada quanto
aqueles que saem da rede para a internet.
 Pré-configurado para permitir/bloquear entradas e saídas (portas e janelas)
através do controle do tráfego de dados e aplicando uma política de regras
customizáveis de segurança, atuando como um filtro de pacote de dados.
 Permite o controle, a autenticação e os registros de todo o tráfego.
 Pode ser software (no Windows), hardware ou ambos.
 Software: ZoneAlarm e TinyWall.
 Hardware: Watchguard e Netgear.
 Ponto de instalação semelhante ao roteador.
 Não protege contra ataques que o atravessem, ameaças internas (funcionários),
protocolos inseguros e infecção de vírus e outros malwares (principalmente
entre máquinas na rede).
 Não verifica a existência de vírus e nem os remove.
 Mas permite bloquear acessos externos de vírus, worms,
ping of dead e pessoas não autorizadas.
 Os firewalls não precisam ter interfaces gráficas detalhadas.
 Podem se apresentar sob a forma de software e hardware.
 Software: são programas que o usuário instala na máquina para
realizar o controle das conexões (entrada e saída).
 Hardware: equipamentos específicos geralmente empregados em
redes de grande porte, principalmente em empresas.
 Tipos de firewall:
 Filtro de pacotes (estático/stateless): regras são aplicadas a cada
pacote IP que chega, e então é encaminhado ou descartado.
 Regras de filtragem: IPs de origem e destino (camada de
rede), número das portas de comunicação (camada de
transporte), tipo de protocolo, interface de rede.
 Deficiência em examinar dados das camadas superiores, não
sendo efetivos contra ataques que explorem vulnerabilidades
das aplicações.
 Geralmente não suportam esquemas de autenticação de
usuários.
 Não checa/controla estados de conexões.
 Preocupa-se com o cabeçalho (header) do pacote de dados
dos protocolos das camadas de Rede (IP) e Transporte
(portas).
 Filtro de controle de estado (dinâmico/statefull): mantém o controle
sobre o estado de cada conexão.
 Aprimora o filtro de pacotes, examinando também o status
das conexões de rede ativas, monitorando a atividade a partir
do momento em que uma conexão é aberta até o momento
em que é fechada e determinando quais pacotes aceitar.
 Mantém a liberação apenas de pacotes relacionados a
conexões existentes.
 Podem atuar em todas as camadas TCP/IP.
 Firewall pessoal: pode ser instalado no sistema da máquina do usuário
(host) e/ou nos próprios servidores.
 Regras de bloqueio/liberação podem ser baseadas em
informações não convencionais (não necessariamente
pacotes de rede) e específicas do serviço do próprio host.
 Antivírus podem ser considerados um firewall pessoal.
 UTM (Unified Threat Management): une a execução de várias
funções de segurança em um único dispositivo: firewall, prevenção de
intrusões de rede (IPS), antivírus, VPN, filtragem de conteúdo,
balanceamento de carga e geração de relatórios informativos e
gerenciais sobre a rede.
 O netfilter é um módulo que fornece ao sistema operacional Linux as funções
de firewall, NAT e log dos dados que trafegam por rede de computadores.
 Todo sistema Linux recente tem o recurso de Firewall disponível porque eles
são construídos no núcleo de Linux em uma estrutura chamada Iptables.
 Iptables é o nome da ferramenta do espaço do usuário que permite a
criação de regras de firewall e NATs. Apesar de, tecnicamente, o
iptables ser apenas uma ferramenta que controla o módulo netfilter, o
nome "iptables" é frequentemente utilizado como referência ao
conjunto completo de funcionalidades do netfilter. O iptables é parte
de todas as distribuições modernas do Linux.
 Proxy:
 É um servidor intermediário entre o usuário e o servidor destinatário que
recebe requisições (sites, buscas, palavras-chaves, programas etc.) de
computadores clientes e solicita acesso a estes recursos em outros servidores.
 Pode armazenar os dados que são solicitados pelos computadores clientes na
memória cache, de forma que quando há uma nova solicitação do mesmo
dado, já está disponível localmente, melhorando assim o desempenho.
 Pode impedir o acesso de determinados conteúdos e/ou em determinados
horários (em empresas, por exemplo).
 Não tem a finalidade de proteger a máquina, e sim melhorar a eficiência do
tráfego de dados.
 Pode, no entanto, mascarar o número de IP recebido do usuário e
enviar ao servidor, diminuindo assim a possibilidade de ataques.
 Também chamado de gateway.
 Gateway de circuito.
 Gateway de aplicação:realizam filtragem até o nível de aplicação.
 Intermediários entre conexões em nível de aplicação.
 Senhas fortes:
 Números aleatórios.
 Grande quantidade de caracteres.
 Diferentes tipos de caracteres.
 Antispam.
 Assinatura digital.
 Criptografia.
 Backup:
 É uma cópia (arquivos pessoais e configurações do sistema) de segurança;
 O Windows pode fazer o backup dos arquivos no horário que o usuário
escolher (basta fazer as configurações);
 O Windows possui quatro ferramentas de backup - do arquivo; da imagem do
sistema; versões anteriores; restauração do sistema;
 Backup em nuvem: cópia de segurança dos dados em servidores de nuvem
(conectados à internet constantemente);
 Backup parcial: backup de todos os dados do grupo de arquivos principal, de
todos os grupos de arquivos de leitura e gravação e, ainda, de qualquer arquivo
somente leitura ou grupos de arquivos especificados opcionalmente;
 Backup normal: copia e marca os arquivos selecionados;
 Backup de cópia: copia e não marca os arquivos selecionados;
 Backup incremental: copia e marca os arquivos criados ou modificados;
 Um backup incremental copia somente os arquivos criados ou
alterados desde o último backup normal ou incremental, e os marca
como arquivos que passaram por backup (o atributo de arquivo é
desmarcado).
 Backup diferencial: copia e não marca os arquivos criados ou modificados;
 Backup diário: copia e não marca os arquivos criados ou modificados no dia.
 Intrusion Detection System (IDS):
 Solução passiva que opera de maneira não inline (não está no fluxo, e sim
conectado ao switch), sendo capaz de monitorar e identificar um
comportamento que sugira a presença de um malware no sistema.
 Um IDS baseado em anomalia poderia detectar um ataque de negação de
serviço (DoS) após perceber um aumento significativo no tráfego de pacotes
ou de tentativas de conexão a um sistema.
 Preocupa-se tanto com o cabeçalho (header) quanto com o conteúdo (payload)
do pacote de dados.
 Vantagem de não interferir no fluxo de tráfego de rede.
 Possui menos latência (delay) do que o IPS.
 A finalidade do IDS é descobrir quando uma rede está tendo acessos não
autorizados.
 Em um sistema passivo, o IDS detecta uma potencial violação da segurança,
registra a informação (log) e dispara um alerta. Em um sistema reativo, o IDS
responde à atividade suspeita finalizando a sessão de usuário ou
reprogramando o firewall para bloquear o tráfego de rede da fonte suspeita.
 O uso de Port Span consiste na utilização de switches com IDS embutidos.
 O uso de Port Mirror consiste em fazer no switch o espelhamento do tráfego de
uma única porta para outra usada para o monitoramento.
 Em um IDS baseado em rede (NIDS), o tráfego monitorado (pacote) em um ou
mais segmentos de rede é uma cópia do tráfego de rede. Isto é, o tráfego real
não passa pelo sensor.
 Interface de rede atuando no modo promíscuo (sniffer).
 Em um IDS baseado em host (HIDS), o IDS é instalado em cada máquina
monitorada, analisando os eventos gravados nos arquivos de log ou pelos
agentes de autoria, funcionando como última linha de defesa, caso o ataque
tenha passado pelo firewall e NIDS.
 Dados coletados no próprio host.
 Foco na integridade de arquivos, análise de logs e padrões de
comportamento.
 Checa uso, aplicações e tráfego local.
 IDS baseado em assinatura:
 Comparação de dados capturados com assinaturas da base.
 Base de assinaturas característica de incidentes.
 Só reconhece ataques que estejam na base.
 Necessidade de constante atualização.
 Baixo número de falso-positivos.
 IDS baseado em comportamento:
 Comportamento anômalo de tráfego ou processos.
 Comparação com padrões de comportamento normais.
 Descoberta de novos padrões de ataques.
 Alto número de falso-positivos.
 Intrusion Prevention System (IPS):
 Solução ativa que opera de maneira inline (no meio da rede, em linha, com os
pacotes de dados passando através dele) na rede, adotando medidas adicionais
para bloquear as intrusões em tempo real.
 Utiliza de detecção (como o IDS) junto de bloqueio (como o firewall).
 Fornece segurança em todos os níveis de sistemas, desde o núcleo do sistema
operacional até os pacotes de dados da rede, provendo políticas e regras para o
tráfego de rede.
 Possui ações como enviar um alarme ao administrador, derrubar pacotes
maliciosos, bloquear o tráfego a partir do endereço de origem e redefinir a
conexão.
 Preocupa-se tanto com o cabeçalho (header) quanto com o conteúdo (payload)
do pacote de dados.
 Implementação na borda com internet e no Data Center.
 Possui mais latência (delay) do que o IDS.
 IDS e IPS podem funcionar de forma híbrida.
 Em um IPS baseado em rede (NIPS), que é instalado no barramento da rede,
baseia-se em um dispositivo inline (roteador ou switch, por exemplo), pois
repassam os pacotes entre as redes e sempre que um ataque ocorre, são
tomadas decisões baseadas em regras pré-definidas que impedirão o ataque
suspeito. Efetua drop na conexão, impedindo que os pacotes cheguem ao
destino (semelhante ao firewall).
 Em um IPS baseado em host (HIPS), o funcionamento é semelhante ao HIDS,
com as verificações sobre a máquina onde está instalado, com o adicional de
tomar decisões a respeito das análises efetuadas, com acesso direto ao sistema
operacional e ao kernel, podendo controlar os acessos do sistema de arquivo
(configuração e registro).
 NAC:
 O NAC pode ser dividido em três fases macro: avaliação, isolamento e reparo;
 Quando um equipamento entra na rede, ele passa, no mínimo, pela fase de
avaliação que é composta pelas funções de autenticação, autorização e
validação. As outras fases (isolamento e reparo) são desempenhadas a
depender da política do NAC e se o dispositivo está comprometido.
 NAT (Network Address Translator):
 Tecnologia surgida para ajudar na escassez esperada do IPv4.
 Geralmente é instalado no firewall, mas não faz parte efetiva dele.
 Permite que um único dispositivo atua como gateway de internet para
clientes LAN internos, traduzindo os endereços IP da rede interna dos
clientes para o endereço de IP do dispositivo gateway habilitado para
NAT.
 O NAT é executado no dispositivo conectado à internet e
oculta o restante da rede ao público.
• Faz com que toda a rede apareça como um único
dispositivo para o resto do mundo.
 Reescreve os endereços IP e porta de origem de um pacote que passam por um
roteador (router) ou firewall de maneira que um computador de uma rede
interna tenha acesso ao exterior (rede pública).
 Todos os dispositivos da rede local compartilham o mesmo IP na internet.
 IP privado não se comunica com IP público. É necessária uma
conversão/tradução.
 Visa economizar endereços IP registrados em grandes redes e simplificar as
tarefas de gerenciamento do endereçamento IP.
 Geralmente só traduz endereços IP em uma correspondência de 1:1.
 Técnica comumente utilizada para tornar uma máquina da rede
interna (com endereço privado) acessível a partir da rede externa
(endereço público destinado para essa finalidade).
 Roteia os pacotes de entrada para seus destinos internos recorrendo ao
endereço IP de origem de entrada dado pelo host na rede pública.
 Atua na camada 3 (de Rede).
 Economia de IP válidos (quando a rede possuir uma quantidade maior de
computadores do que a quantidade de endereços disponíveis) e mais segurança
para a rede (impedimento de invasões nas máquinas da rede privada).
 Problemas com servidor VPN e sites seguros.
 NAT estático: usa um mapeamento exclusivo de endereços globais e locais, e
tais mapeamentos permanecem fixos/constantes.
 É particularmente útil para servidores web ou hosts que devam ter um
endereço consistente que possa ser acesso da internet. Esses hosts
internos podem ser servidores corporativosou dispositivos de redes
interconectadas.
 NAT dinâmico: utiliza um conjunto de endereços públicos e os atribui por
ordem de chegada.
 A operadora fornece um pool de endereços roteáveis.
 Quando um host com um endereço IP privado solicitar acesso à
internet, a NAT dinâmica escolherá um endereço IP do conjunto que
não estiver sendo usado por outro host.
 O mesmo dispositivo local pode receber IPs diferentes em
acessos diferentes (o anterior já pode estar sendo usado por
outro dispositivo).
 NAT Overlard (PAT): tradução de endereço de porta.
 Mapeia diversos endereços IP privados para um único endereço IP
público ou para alguns endereços.
 Vários endereços internos podem ser mapeados para um ou alguns
endereços (externos), pois para cada endereço privado também é
acompanhado por um número de porta.
 Modifica o endereço IP privado e o número de porta do remetente.
 Geralmente existe somente um ou muito poucos endereços IP
publicamente expostos.
 Os pacotes de entrada da rede pública são roteados aos seus destinos
na rede privada por meio da consulta na tabela no dispositivo da NAT
Overload que monitora os pares de portas públicas e privadas.
 Utiliza a camada 4 (portas TCP/UDP).
 Mascaramento de N endereços (geralmente rede interna) para 1
endereço (geralmente de rede externa).
 N:1 (masquerade).
 Técnica comumente utilizada para converter os endereços
privados de várias máquinas para um único endereço
público.
• Comum em redes domésticas: câmeras de CFTV,
servidores de jogos etc.
• Rede stub corporativa: somente uma saída.
 DNAT: processo inverso (NAT do destino).
 Possibilita o acesso remoto em uma estação na rede privada.
 Forwarding (encaminhamento)/servidor virtual do roteador: escolha
correta da estação privada para encaminhamento do pacote.
 DMZ (DeMilitarized Zone):
 É uma área (rede) de serviço comum, independente para instalação dos
servidores da instituição.
 Não é rede interna nem externa.
 O principal objetivo é manter os serviços que possuem acesso externo
separados da rede local, dessa forma, caso a DMZ sofra um ataque, não
afetará, de imediato, a rede local.
 É uma rede anexada ao firewall e específica para servidores com acesso
externo.
 Os servidores contidos nessa área podem ser acessados por usuários
internos e externos.
 Usuários internos e externos, para acessar essa rede, precisariam
passar pelo firewall.
 DMZ + Bastion Host: proxy adicional colocado entre o firewall e a rede
externa para diminuir a sobrecarga do firewall principal da rede.
 Uso de servidor intermediário para acesso à rede externa.
 Hardening:
 É um processo de mapeamento das ameaças, mitigação dos riscos e execução
das atividades corretivas, com foco na infraestrutura e objetivo principal de
torná-la preparada para enfrentar tentativas de ataque.
 Nessus:
 É um software distribuído sob GNU para a verificação de falhas ou
vulnerabilidades de segurança, composto por um cliente e servidor que faz um
port scan no computador alvo e gera vários scripts que ligam-se a cada porta
aberta para verificar problemas de segurança.
 VPN:
 É uma rede privada que provê a comunicação entre um conjunto de empresas
construídas sobre uma rede de comunicação pública.
 SSL (Secure Socket Layer):
 Sua função é a de prover a comunicação segura na Internet para serviços de
transferência de dados, por exemplo;
 Permite que aplicativos cliente/servidor possam trocar informações em total
segurança, protegendo a integridade e a veracidade do conteúdo que trafega na
Internet. Tal segurança só é possível através da autenticação das partes
envolvidas na troca de informações.
 Zero Trust Model:
 Princípio de que existem invasores dentro e fora da rede, por isso nenhum
usuário ou máquina deve ser automaticamente confiável.
 Em vez de presumir que tudo que está dentro do ambiente corporativo é
seguro, pressupõe violação e verifica cada solicitação como se fosse originada
de uma rede aberta.
 Os princípios de acesso menos privilegiados são aplicados para minimizar o
movimento lateral (acesso às áreas diferentes da mesma rede corporativa).
 Honeypot:
 Armadilha que simula falhas de segurança e atrai o atacante para um ambiente
onde há informações falsas e aparentemente valiosas.
 Pode ser um servidor, por exemplo.
 Encoraja o atacante a permanecer nesse ambiente o tempo suficiente
para que os administradores possam registrar e rastrear seu
comportamento.
 Auditoria:
 Syslog:
 O protocolo Syslog é tipicamente usado no gerenciamento de computadores e
na auditoria de segurança de sistemas. Por ser suportado por uma grande
variedade de dispositivos em diversas plataformas, o protocolo pode ser usado
para integrar diferentes sistemas em um só repositório de dados;
 Syslog é um padrão criado pela IETF para a transmissão de mensagens de log
em redes IP. O termo é geralmente usado para identificar tanto o protocolo de
rede quanto para a aplicação ou biblioteca de envio de mensagens no protocolo
syslog.
 Nmap:
 O Nmap (“Network Mapper”) é uma ferramenta de código aberto para
exploração de rede e auditoria de segurança. Ela foi desenhada para escanear
rapidamente redes amplas, embora também funcione muito bem contra hosts
individuais;
 O Nmap utiliza pacotes IP em estado bruto (raw) de maneira inovadora para
determinar quais hosts estão disponíveis na rede, quais serviços (nome da
aplicação e versão) os hosts oferecem, quais sistemas operacionais (e versões
de SO) eles estão executando, que tipos de filtro de pacotes/firewalls estão em
uso, e dezenas de outras características;
 Embora o Nmap seja normalmente utilizado para auditorias de segurança,
muitos administradores de sistemas e rede consideram-no útil para tarefas
rotineiras tais como inventário de rede, gerenciamento de serviços de
atualização agendados, e monitoramento de host ou disponibilidade de serviço.
 TACACS:
 O Terminal Access Controller Access-Control System (TACACS) é um
protocolo de autenticação remota utilizado para a comunicação com servidores
de autenticação.
 Normas NBR ISO/IEC 15.999 e 27.005:
 A norma ISO 15999-1 foi desenvolvida por especialistas da comunidade de
continuidade de negócios, tendo como base suas experiências acadêmicas, técnicas e
práticas da gestão da continuidade de negócios (GCN);
 Foi elaborada para fornecer um sistema baseado nas boas práticas de gestão da
continuidade de negócios. Seu propósito é servir como um único ponto de
referência para a maior parte das situações em que a gestão da continuidade de
negócios é praticada e ser usada por organizações de grande, médio e pequeno
portes, nos setores industriais, comerciais, públicos e de caráter voluntário;
 Por meio da NBR 15999-1, é possível conhecer o objetivo, o negócio, as partes
interessadas e as regulamentações envolvidas da organização. A ferramenta
que dá subsídios para isso é a BIA (Business Impact Analisys).
 Análise de Impacto do Negócio (BIA) é uma ferramenta utilizada
para identificar os processos mais críticos no contexto empresarial,
sejam eles de uma determinada área, setor, unidade, ou mesmo da
organização como um todo.
 A norma ISO/IEC 27.005:
 É voltada para a gestão de riscos de segurança da Informação.
 Plano de Continuidade de Negócios (PCN):
 Tem como objetivos: disponibilidade, segurança e confiabilidade;
 Feito a partir de informações da própria organização:
 Composto por cinco fases:
 Conhecer as operações do negócio;
 Analisar o ambiente de TI, criando uma matriz de risco para localizar os mais
críticos tanto no ambiente físico quanto no ambiente lógico;
 Análise de impacto de negócio;
 Definição de como a organização vai tratar a continuidade dos seus negócios;
 Elaboração dos documentos do PCN.