50_seguranca_da_informacao[2]

Prévia do material em texto

1
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
SEGURANÇA DA 
INFORMAÇÃO
2
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
A Faculdade Multivix está presente de norte a sul 
do Estado do Espírito Santo, com unidades em 
Cachoeiro de Itapemirim, Cariacica, Castelo, Nova 
Venécia, São Mateus, Serra, Vila Velha e Vitória. 
Desde 1999 atua no mercado capixaba, des-
tacando-se pela oferta de cursos de gradua-
ção, técnico, pós-graduação e extensão, com 
qualidade nas quatro áreas do conhecimen-
to: Agrárias, Exatas, Humanas e Saúde, sem-
pre primando pela qualidade de seu ensino 
e pela formação de profissionais com cons-
ciência cidadã para o mercado de trabalho.
Atualmente, a Multivix está entre o seleto 
grupo de Instituições de Ensino Superior que 
possuem conceito de excelência junto ao 
Ministério da Educação (MEC). Das 2109 institui-
ções avaliadas no Brasil, apenas 15% conquistaram 
notas 4 e 5, que são consideradas conceitos 
de excelência em ensino.
Estes resultados acadêmicos colocam 
todas as unidades da Multivix entre as 
melhores do Estado do Espírito Santo e 
entre as 50 melhores do país.
 
mISSão
Formar profissionais com consciência cida-
dã para o mercado de trabalho, com ele-
vado padrão de qualidade, sempre mantendo a 
credibilidade, segurança e modernidade, visando 
à satisfação dos clientes e colaboradores.
 
VISão
Ser uma Instituição de Ensino Superior reconheci-
da nacionalmente como referência em qualidade 
educacional.
GRUPO
MULTIVIX
3
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
BIBLIoTeCa muLTIVIX (dados de publicação na fonte)
As imagens e ilustrações utilizadas nesta apostila foram obtidas no site: http://br.freepik.com
Paulo Vitor de Campos Souza
Segurança da Informação / Paulo Vitor de Campos Souza. – Serra: Multivix, 2019.
edITorIaL
Catalogação: Biblioteca Central Anisio Teixeira – Multivix Serra
2019 • Proibida a reprodução total ou parcial. Os infratores serão processados na forma da lei.
faCuLdade CaPIXaBa da Serra • muLTIVIX
Diretor Executivo
Tadeu Antônio de Oliveira Penina
Diretora Acadêmica
Eliene Maria Gava Ferrão Penina
Diretor Administrativo Financeiro
Fernando Bom Costalonga
Diretor Geral
Helber Barcellos da Costa
Diretor da Educação a Distância
Pedro Cunha
Conselho Editorial
Eliene Maria Gava Ferrão Penina (presidente 
do Conselho Editorial)
Kessya Penitente Fabiano Costalonga
Carina Sabadim Veloso
Patrícia de Oliveira Penina
Roberta Caldas Simões
Revisão de Língua Portuguesa
Leandro Siqueira Lima
Revisão Técnica
Alexandra Oliveira
Alessandro Ventorin
Graziela Vieira Carneiro
Design Editorial e Controle de Produção de Conteúdo
Carina Sabadim Veloso
Maico Pagani Roncatto
Ednilson José Roncatto
Aline Ximenes Fragoso
Genivaldo Félix Soares
Multivix Educação a Distância
Gestão Acadêmica - Coord. Didático Pedagógico
Gestão Acadêmica - Coord. Didático Semipresencial
Gestão de Materiais Pedagógicos e Metodologia
Direção EaD
Coordenação Acadêmica EaD
4
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
Aluno (a) Multivix,
Estamos muito felizes por você agora fazer parte 
do maior grupo educacional de Ensino Superior do 
Espírito Santo e principalmente por ter escolhido a 
Multivix para fazer parte da sua trajetória profissional.
A Faculdade Multivix possui unidades em Cachoei-
ro de Itapemirim, Cariacica, Castelo, Nova Venécia, 
São Mateus, Serra, Vila Velha e Vitória. Desde 1999, 
no mercado capixaba, destaca-se pela oferta de 
cursos de graduação, pós-graduação e extensão 
de qualidade nas quatro áreas do conhecimento: 
Agrárias, Exatas, Humanas e Saúde, tanto na mo-
dalidade presencial quanto a distância.
Além da qualidade de ensino já comprova-
da pelo MEC, que coloca todas as unidades do 
Grupo Multivix como parte do seleto grupo das 
Instituições de Ensino Superior de excelência no 
Brasil, contando com sete unidades do Grupo en-
tre as 100 melhores do País, a Multivix preocupa-
-se bastante com o contexto da realidade local e 
com o desenvolvimento do país. E para isso, pro-
cura fazer a sua parte, investindo em projetos so-
ciais, ambientais e na promoção de oportunida-
des para os que sonham em fazer uma faculdade 
de qualidade mas que precisam superar alguns 
obstáculos. 
Buscamos a cada dia cumprir nossa missão que é: 
“Formar profissionais com consciência cidadã para o 
mercado de trabalho, com elevado padrão de quali-
dade, sempre mantendo a credibilidade, segurança 
e modernidade, visando à satisfação dos clientes e 
colaboradores.”
Entendemos que a educação de qualidade sempre 
foi a melhor resposta para um país crescer. Para a 
Multivix, educar é mais que ensinar. É transformar o 
mundo à sua volta.
Seja bem-vindo!
APRESENTAÇÃO 
DA DIREÇÃO 
EXECUTIVA
Prof. Tadeu Antônio de Oliveira Penina 
diretor executivo do grupo multivix
5
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
LISTa de fIguraS
 > FIGURA 1 - Acessos e informações de segurança em 
dispositivos informatizados 13
 > FIGURA 2 - Monitoramento de segurança de sistemas 
realizados por profissionais de TI 14
 > FIGURA 3 - Conceitos da segurança da informação 15
 > FIGURA 4 - Ciberespaço e suas conexões com o mercado 16
 > FIGURA 5 - Formas de atuação do hacker na invasão de sistemas 17
 > FIGURA 6 - Controle, proteção e acesso aos 
servidores de uma empresa 19
 > FIGURA 7 - Tarefas e controles a serem executados em 
servidores de arquivos 21
 > FIGURA 8 - Esquema de criptografia de arquivos 24
 > FIGURA 9 - Conceitos e situações nos quais os seres 
humanos interferem na segurança da informação 29
 > FIGURA 10 - Ameaças no meio computacional 31
 > FIGURA 11 - Elementos da segurança da informação 
e a forma como se conectam 32
 > FIGURA 12 - Ciclo do ataque e ameaças virtuais 38
 > FIGURA 13 - Planejamento do plano de segurança da informação 39
 > FIGURA 14 - Equipe de monitoramento da 
segurança da informação 45
 > FIGURA 15 - Elementos a serem verificados em relação aos 
principais impactos na integridade das informações 47
 > FIGURA 16 - Identificação dos principais riscos da 
segurança da informação 48
 > FIGURA 17 - Agregação de contextos aos valores do negócio 50
 > FIGURA 18 - Atuação do endpoint nas empresas 53
 > FIGURA 19 - Representação da tecnologia de navegador remoto 54
 > FIGURA 20 - Tecnologia Deception 55
6
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
LISTa de fIguraS
 > FIGURA 21 - Monitoramento de redes de computadores 56
 > FIGURA 22 - Monitoramento de recursos de informação 
por meio de câmeras 57
 > FIGURA 23 - Exemplo de firewall e outros recursos 
da segurança da informação 58
 > FIGURA 24 - Reconhecimento facial:técnicas de IA auxiliando 
na segurança de dispositivos informatizados 59
 > FIGURA 25 - Rede de invasões na internet. 63
 > FIGURA 26 - Ataque surpresa de hacker 64
 > FIGURA 27 - Comparação entre os modelos OSI e TCP/IP 71
 > FIGURA 28 - Elementos presentes na segurança da informação 78
 > FIGURA 29 - Técnicas de proteção de dados em 
interfaces com o usuário. 79
 > FIGURA 30 - Ciclo de conferências em sistemas de informação. 82
 > FIGURA 31 - Sistemas de detecção de intrusão 98
7
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
SumÁrIo
1UNIDADE
2UNIDADE
3UNIDADE
1 Segurançada Informação: Segurança fÍSICa e LÓgICa 12
1.1 SEGURANÇA DA INFORMAÇÃO: SEGURANÇA FÍSICA E LÓGICA 12
1.1.1 SEGURANÇA FÍSICA DA INFORMAÇÃO 18
1.2 SEGURANÇA LÓGICA DA INFORMAÇÃO 23
ConCLuSão 25
2 PrInCIPaIS eLemenToS da Segurança da Informação 27
2.1 INTRODUÇÃO DA UNIDADE 27
2.2 PRINCIPAIS ELEMENTOS DA SEGURANÇA DA INFORMAÇÃO 28
2.2.1 AMEAÇAS E ATAQUES EM SISTEMAS 29
2.2.1.1 ATAQUES E VULNERABILIDADES EM SISTEMAS 33
2.2.2 POLÍTICAS E MECANISMOS DE SEGURANÇA 38
ConCLuSão 42
3 aVaLIação da Segurança em SISTemaS de Informação 44
3.1 AVALIAÇÃO DA SEGURANÇA DE SISTEMAS DE INFORMAÇÃO 44
3.1.1 CRITÉRIOS DE AVALIAÇÃO DE SEGURANÇA DA INFORMAÇÃO 47
3.1.2 FERRAMENTAS DE AVALIAÇÃO DA SEGURANÇA DA INFORMAÇÃO 52
ConCLuSão 60
4 Segurança na InTerneT 62
4.1 SEGURANÇA NA INTERNET 62
4.1.1 ELEMENTOS DE SEGURANÇA NA INTERNET 66
4.1.2 PROTOCOLO TCP/IP 69
ConCLuSão 74
4UNIDADE
8
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
5 Segurança de SISTemaS 76
5.1 SEGURANÇA DE SISTEMAS 76
5.1.1 CONCEITOS E FUNDAMENTOS DE SEGURANÇA DE SISTEMAS 80
5.1.2 FERRAMENTA DE SEGURANÇA DE SISTEMAS 86
ConCLuSão 90
6 CaPTação e Correção de erroS de Segurança 92
6.1 CAPTAÇÃO E CORREÇÃO DE ERROS DE SEGURANÇA 92
6.1.1 TÉCNICAS DE CAPTAÇÃO DE ERRO DE SEGURANÇA EM SISTEMAS DE 
INFORMAÇÃO 95
6.1.2 TÉCNICAS DE CORREÇÕES DE ERRO DE SEGURANÇA EM SISTEMAS DE 
INFORMAÇÃO 102
ConCLuSão 104
referÊnCIaS 106
SumÁrIo
5UNIDADE
6UNIDADE
9
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
IConografIa
ATENÇÃO 
PARA SABER
SAIBA MAIS
ONDE PESQUISAR
DICAS
LEITURA COMPLEMENTAR
GLOSSÁRIO
ATIVIDADES DE
APRENDIZAGEM
CURIOSIDADES
QUESTÕES
ÁUDIOSMÍDIAS
INTEGRADAS
ANOTAÇÕES
EXEMPLOS
CITAÇÕES
DOWNLOADS
10
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
APRESENTAÇÃO DA DISCIPLINA
Os dados e as informações se fazem presentes na rotina de empresas e pessoas. Com 
o advento da internet e de seus dispositivos auxiliares, a comunicação e a realização 
de atividades importantes do dia a dia são constantemente executadas na grande 
rede de computadores e podem gerar algum problema quando esses dados são 
transmitidos ou compartilhados de forma equivocada. No Brasil, existem leis sobre a 
forma de disponibilização e proteção dos dados na internet que mudaram conside-
ravelmente a forma de atuação dos profissionais da tecnologia da informação. For-
mas de prevenção de perda de dados, estudos sobre as principais formas de ataques 
cibernéticos e maneiras de evitar que eles aconteçam são fundamentais para a rotina 
de proteção de dados do usuário e será justamente o que será abordado na disciplina 
Segurança da Informação. Nela, você aprenderá os principais conceitos de transmis-
são segura de dados por meios computacionais, os principais problemas enfrentados 
e formas de resolvê-los; além disso, conhecerá termos e metodologias das técnicas 
envolvidas na rotina de segurança da informação. Você aprenderá também como fa-
zer a segurança física e lógica de equipamentos e sistemas, identificará os principais 
ataques e conhecerá as principais formas de defesa existentes para dados que estão 
sendo transmitidos por meios computacionais.
Portanto, neste curso serão abordados os principais aspectos teóricos, práticos e de 
legislação existentes na segurança da informação, disciplina fundamental para sua 
formação e atuação profissional. Leia os materiais, pratique os exercícios e desenvolva 
sua capacidade de reconhecer os principais ataques envolvidos no meio computa-
cional. Desejo a todos vocês bons estudos.
Objetivos da disciplina
Ao final desta disciplina, esperamos que você seja capaz de:
• Descrever as principais características de segurança da informação.
• Identificar os principais ataques e formas de defesa de dados no meio 
cibernético.
• Definir os critérios de avaliação de sistemas de informação.
11
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
OBJETIVO 
Ao final desta 
unidade, 
esperamos 
que possa:
> Discuta os conceitos 
de dificuldades de 
aprendizagem e o 
fracasso escolar.
> Analise o fenômeno 
das dificuldades de 
aprendizagem e seus 
aspectos.
> Aponte reflexões 
sobre o fracasso 
escolar no processo 
de ensino-
aprendizagem.
UNIDADE 1
12
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
1 SEGURANÇA DA 
INFORMAÇÃO: SEGURANÇA 
FÍSICA E LÓGICA
Nos dias atuais, os dados estão presentes em diversos contextos do mundo informa-
tizado, possibilitando trocas de mensagens e de dados, bem como requisições de 
diversas naturezas. Esse tipo de comunicação atrai diversos tipos de ataque para a 
captura efetiva dos dados envolvidos para diversos fins fraudulentos. A proteção e a 
forma de evitar ataques maliciosos em dados que trafegam pela internet serão abor-
dadas nesta unidade. Aspectos de segurança para dispositivos físicos, fundamentais 
para a transmissão de dados na internet, com ênfase em suas formas de proteção, 
serão alvos de estudo nesta unidade. Aliados a isso, diversos aspectos de proteção 
lógica para os dados envolvidos também serão debatidos. Esses fatores em conjunto 
propiciam o conjunto básico de proteção de dispositivos informatizados envolvidos 
na transmissão de dados. Conceitos iniciais sobre ameaça, aspectos referentes a siste-
mas de informação e os principais perfis que visam atacar dados na internet também 
serão abordados.
Desejo a todos vocês excelentes estudos.
1.1 SEGURANÇA DA INFORMAÇÃO: SEGURANÇA 
FÍSICA E LÓGICA 
As empresas utilizam diversos sistemas para realizarem suas atividades de rotina, 
como efetuar pagamentos, transações bancárias, requisições de materiais, entre ou-
tros. Com as pessoas, isso não funciona de forma distinta, pois, a cada dia, mais e mais 
usuários realizam transações que envolvem dados pela internet. Portanto, a proteção 
desses dados tornou-se um fator preponderante na vida de pessoas e empresas da 
atualidade, fazendo surgir o conceito de segurança da informação, que se fundamen-
ta nas técnicas de rastreio, detecção e proteção de dados, que são importantes para 
pessoas ou empresas, para que não sejam consultados, copiados ou alterados por 
indivíduos não autorizados através de meio físico ou lógico.
13
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
A figura a seguir apresenta uma forma típica de interação de usuários com sistemas 
e recursos informatizados e também como a segurança pode estar presente nesses 
contextos.
FIGURA 1 - ACESSOS E INFORMAÇÕES DE SEGURANÇA EM 
DISPOSITIVOS INFORMATIZADOS
Fonte: SHUTTERSTOCK, 2019..
A segurança da informação gera um mercado importante no contexto da informá-
tica, pois cada vez mais se necessita de profissionais qualificados para exercerem as 
atividades de proteção e controle de requisições de dados através de meios infor-
matizados. Esses profissionais são especialistas em todos os possíveis tipos de vio-
lações de segurança e acesso aos dados de um conjunto de pessoas ou empresas, 
sobretudo porque eles se tornaram bens de grande valor para tomadas de decisão, 
principalmente pela natureza dos dados envolverem aspectos de identificação de 
pessoas ou de empresas, além de falarem muito sobre o perfil de compras, utilização 
de aplicativos, entre outros (FONTES, 2012)1.
A figura a seguir evidencia o perfil de um profissional da tecnologia da informação 
responsável por monitorar e acompanhar aspectos relevantesdos sistemas de infor-
mação de uma empresa.
1 É profissional em segurança da informação desde 1989. A partir de então, tem se especializado na gestão desse processo 
nas empresas com foco na proteção das informações.
14
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
FIGURA 2 - MONITORAMENTO DE SEGURANÇA DE SISTEMAS REALIZADOS 
POR PROFISSIONAIS DE TI
Fonte: SHUTTERSTOCK, 2019..
A segurança da informação propiciou a criação de outros temas relacionados à área, 
como a segurança computacional, que se fundamenta em técnicas e aspectos de se-
gurança física de máquinas, que são importantes para um processo. Essa segurança 
pode se dar por meio de métodos físicos (como proteção de acesso a salas onde os 
computadores estejam instalados) ou até mesmo lógicos (por meio de login e senha 
de acesso). Outro fator muito comentado na segurança da informação é a segurança 
de rede, que se refere às principais técnicas e cuidados tomados para garantir que os 
dados trafeguem pela rede de computadores sem que sejam alvo de ataques mali-
ciosos. Por fim, destacam-se os conceitos de segurança da internet, que abrangem 
treinamentos, informações, técnicas computacionais e metodologias de segurança 
da informação em dados que trafegam pela internet. Este último elemento deve ser 
bem observado por parte do analista de sistemas, pois o número de requisições feitas 
pela grande rede de computadores tornou-se o meio mais comum de comunicação 
e transmissão de dados.
A segurança da informação possui quatro pilares que fundamentam todos os seus 
conceitos, técnicas, formas de proteção e atuação. Goddrich2 (2012) os descreve como:
Confidencialidade – trata-se da capacidade de controlar e delegar o acesso à infor-
mação a somente pessoas que devem recebê-la. Essa característica permite que da-
dos sejam compartilhados somente a quem se destina ou até mesmo se interessa 
pelo assunto envolvido no contexto.
2 Prof. Goodrich recebeu seu B.A. em Matemática e Ciência da Computação pelo Calvin College em 1983 e seu PhD em 
Ciência da Computação pela Purdue University em 1987. É Professor do Chanceler da Universidade da Califórnia, em Irvine, 
onde é membro do corpo docente do Departamento de Ciência da Computação desde 2001. 
15
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
Integridade – faz com que os dados sejam transmitidos pela rede de computadores 
ou qualquer outro meio computacional de forma segura e íntegra, possibilitando que 
a informação recebida seja a mesma que foi enviada.
disponibilidade – propriedade que determina que os recursos de dados presentes na 
comunicação entre redes estejam sempre acessíveis às pessoas corretas no momen-
to necessário para sua utilização. Isso permite que os dados fiquem disponíveis para 
as pessoas interessadas a toda e qualquer requisição delas na rede.
autenticidade – propriedade que garante a identificação das pessoas envolvidas na 
transmissão de uma mensagem ou requisição de dados em meio computacional. 
Ela garante uma relação rastreável de pessoas que enviam dados e das pessoas a 
quem eles se destinam.
A figura a seguir demonstra como os quatro conceitos estão envolvidos de forma 
agrupada para que a segurança de sistemas seja realizada de maneira adequada.
FIGURA 3 - CONCEITOS DA SEGURANÇA DA INFORMAÇÃO
Fonte: SHUTTERSTOCK, 2019..
Esses quatro pilares da segurança da informação determinam que o trabalho das 
pessoas envolvidas na segurança de dispositivos e de dados envolvidos em transa-
ções informatizadas seja realizado com muito cuidado e cautela. Pode-se destacar 
como atividades fundamentais de pessoas envolvidas na segurança da informação 
(MORAES, 2010)3:
3 3 Possui graduação em Engenharia de Computação pela Escola Politécnica da Universidade de São Paulo (1994), especiali-
zação em Redes de Computadores LARC pela Universidade de São Paulo (1999), especialização em CEAG (Curso de Especia-
lização em Administração) pela Fundação Getúlio Vargas – SP (2000) e mestrado em Engenharia Elétrica pela Universidade 
de São Paulo (2006). Atualmente é Professor Especialista do Centro Universitário FIEO.
16
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
• Mapear previamente as necessidades e os recursos informatizados que neces-
sitam de maior cuidado na segurança de suas transações.
• Construir diretrizes e normas , bem como levantar aspectos contingenciais para 
definir os fatores envolvidos na comunicação de dispositivos informatizados.
• Determinar a equipe responsável pela atuação direta na segurança da infor-
mação, deixando claro suas necessidades, obrigações e área de atuação.
• Implementar melhorias graduais e contínuas do processo de segurança da 
informação, principalmente avaliando os feedbacks envolvidos.
• Mitigar riscos, entender os impactos e verificar se as soluções propostas aten-
dem de forma esperada aspectos da segurança da informação.
Alguns conceitos são fundamentais no ramo da segurança da informação. Conheça-os:
Ciberespaço: considerado o espaço cibernético, no qual são realizadas as principais 
transações de comunicação e transmissão de dados. Foi um conceito elaborado há 
muitos anos, e sua primeira descrição com esse tipo de contexto ocorreu em um livro 
de romance chamado Neuromancer. A figura a seguir apresenta características do 
ciberespaço e como as empresas podem utilizá-lo para ganhar recursos financeiros.
FIGURA 4 - CIBERESPAÇO E SUAS CONEXÕES COM O MERCADO
Fonte: SHUTTERSTOCK, 2019..
17
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
Invasão: toda e qualquer situação na qual existam requisições e acessos a dados pre-
sentes em sistemas que não devem ser acessados por aquele requisitante.
Hacker: pessoa com conhecimentos na área de informática que realiza requisições 
e invasões em sistemas, buscando obter dados ou até mesmo reconhecimento por 
suas ações. Existem muitos profissionais da computação que, ao se tornarem hackers 
e tentarem invadir alguns sistemas com protocolos de segurança complexos, foram 
contratados pelas empresas invadidas para atuarem na segurança de seus sistemas. 
A figura a seguir apresenta aspectos relativos à atuação do hacker em invasão de sis-
temas informatizados.
FIGURA 5 - FORMAS DE ATUAÇÃO DO HACKER NA INVASÃO DE SISTEMAS
Fonte: SHUTTERSTOCK, 2019..
Cracker: pessoa com grandes conhecimentos em técnicas de invasão de sistemas 
e que tem como principal objetivo identificar as fragilidades da segurança de um 
sistema para poder quebrá-la. Em geral, essa quebra de segurança é realizada para a 
obtenção de benefícios financeiros ou privilégios de informações para o contexto em 
que estão atacando. O controle gerencial dessas técnicas deve ser feito por pessoas 
que entendam de seu funcionamento e que saibam mensurar os impactos vivencia-
dos por aplicativos e dispositivos informatizados que sofrem com ataques de hackers 
e crackers. A conservação da integridade dos dados é um fator que não pode ser des-
considerado dentro do contexto de segurança da informação. Dados vazados para 
meios computacionais podem se tornar públicos e prejudicar a moral, reputação ou 
18
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
até mesmo o negócio da empresa. Não é à toa que se investe cada vez mais nas 
pesquisas da área, incorporando novas técnicas e treinando novos profissionais para 
a abordagem desses tipos de soluções em grandes empresas. Uma conhecida rede 
social, por exemplo, já sofreu ações judiciais por permitirque dados de seus usuários 
fossem vazados, permitindo, assim, que diversas empresas possuíssem informações 
que valem muito dinheiro sem que o usuário tenha dado a devida permissão. A rede 
social sofreu muito com a diminuição do valor de suas ações na bolsa de valores. Ata-
ques a senhas, bancos de dados, instituições financeiras e empresas de e-commerce 
na internet são realizados por esse tipo de indivíduo.
1.1.1 SEGURANÇA FÍSICA DA INFORMAÇÃO
As pessoas devem prover formas físicas de proteger seus dados, principalmente em 
recursos computacionais que compartilham dados relevantes e atuam de maneira 
direta na rotina das pessoas. Computadores e dispositivos móveis devem ser contro-
lados em relação às pessoas que os utilizam, principalmente para evitar que dados 
sejam compartilhados sem o seu consentimento (WRIGHTSON, 2014)4.
O vazamento de fotos íntimas de um dispositivo informatizado de uma atriz 
ficou conhecido como um dos atos que geraram alterações no Código Penal 
Brasileiro. A Lei Carolina Dieckmann foi sancionada em 2012 e tipifica os 
chamados crimes cibernéticos.
Já nas empresas, o controle físico dos dispositivos que guardam dados ou que são 
fundamentais para que eles sejam comunicados por via informatizada deve ser cuida-
dosamente planejado e protegido. Pequenas empresas possuem pouca preocupação 
com seus dispositivos eletrônicos, muitas vezes sendo as mais prejudicadas quando 
esses elementos são furtados ou avariados em abordagens como furto ou roubo. Por 
isso, medidas simples podem auxiliar empresas a protegerem fisicamente o local, 
bem como os dispositivos de armazenamento de dados fundamentais da empresa. 
4 Autor, palestrante e amante da Infosec & Offsec. Fundador da Leet CyberSecurity.
19
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
Os controles físicos podem ser definidos como barreiras ou entraves que limitam o 
contato ou acesso direto de pessoas não identificadas ou que não podem ter acesso 
a certo grupo de dados, informações ou até mesmo da infraestrutura física presente 
na empresa (MORAES, 2015). Destacam-se como exemplos de recursos de infraestru-
tura fundamentais para o armazenamento de dados os servidores, que são máquinas 
físicas que acumulam diversos elementos de dados, essenciais para a manutenção 
da empresa no seu mercado de atuação, pois guardam dados de clientes, dados fi-
nanceiros, de controle de estoque, entre outros. A figura a seguir apresenta um exem-
plo de sala de servidores com controle de acessos aos dispositivos informatizados.
FIGURA 6 - CONTROLE, PROTEÇÃO E ACESSO AOS SERVIDORES DE UMA EMPRESA
Fonte: SHUTTERSTOCK, 2019..
20
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
Os órgãos públicos têm forte regime de segurança para seus servidores de 
dados. Eles guardam informações, como: multas aplicadas pelos órgãos de 
controle de trânsito, aspectos pessoais de cadastro de funcionários e servido-
res públicos, e valores a receber e a pagar pelo Estado. E se esses dados fos-
sem perdidos? O Estado ficaria em um descontrole inimaginável. O controle 
de acesso a esses dispositivos geralmente é realizado em empresas públicas 
de informática e, para dar manutenção, conferir e controlar esses dispositivos, 
existem critérios bem rígidos na escolha e controle de funcionários que têm 
acesso a essas salas. Elas também são blindadas com metais fortes para que 
ondas eletromagnéticas não alterem ou danifiquem os dados presentes nos 
servidores. Essas medidas são essenciais para garantir a segurança e a inte-
gridade de dados daqueles que devem controlar aspectos relevantes da vida 
social das pessoas.
Existem mecanismos de segurança que apoiam os controles físicos, e eles são formas 
de dificultar e controlar o acesso de pessoas não autorizadas. Pode-se destacar portas 
blindadas, com segredo de abertura de porta, identificação visual, por voz, biométri-
ca, entre outros. Esses recursos utilizam meios que podem ser arcaicos (como uma 
fechadura ou uma tranca com chave) ou altamente evoluídos (reconhecimento de 
íris, voz ou rosto de pessoas que podem ter acesso aos dados). 
Outros controles físicos necessários para garantir a integridade e segurança dos dados 
presentes em computadores nas empresas são ligados a controle de temperatura, 
ruídos e outros elementos da natureza que podem prejudicar o pleno funcionamen-
to dos dispositivos. Esses fatores devem ser considerados para que um superaqueci-
mento ou água oriunda de chuvas não afete os computadores.
A organização de cabos e equipamentos de hardware também facilita a ocorrência 
de curtos circuitos capazes de prejudicar o funcionamento desses elementos. Imagi-
ne que servidores de dados, aplicações e outros elementos presentes na tecnologia 
21
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
da informação precisem ficar ligados 24 horas por dia, 7 dias da semana. Se esses 
fatores climáticos não forem controlados, provavelmente o serviço ficará indisponível 
e tornará a utilização dos dados mais complexa e, por consequência, a sua segurança. 
A figura a seguir exemplifica as formas de atuação nos elementos físicos de servidores.
FIGURA 7 - TAREFAS E CONTROLES A SEREM EXECUTADOS EM 
SERVIDORES DE ARQUIVOS
Diagnóstico de redes
Administrador de sistema Manutenção do servidor
Suporte ao usuário
Fonte: SHUTTERSTOCK, 2019..
Fatores de contingência de controle de hardware também devem ser avaliados na 
proteção física de elementos da informação. A duração, eficiência de peças do com-
putador, cabos e elementos fornecedores de energia elétrica sempre devem ser ins-
pecionados para evitar problemas maiores com as estruturas físicas que armazenam 
os dados da empresa.
Não só apenas os softwares utilizados no dia a dia apresentam problemas de segu-
rança digital. Equipamentos de hardware mal instalados ou gerenciados tornam-se 
facilmente uma porta de entrada para hackers e malwares. Portanto, deve-se cuidar 
fortemente da gestão dos dispositivos físicos do computador para não deixar brechas 
para ataques maliciosos.
22
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
A abertura às vulnerabilidades de segurança ocorre de diversas formas, principal-
mente com a evolução de recursos informatizados que unem aspectos de hardware 
e software como nos elementos envolvidos na internet das coisas. Drivers desatuali-
zados ou uma instalação mal executada, por exemplo, impactam no desempenho 
do equipamento e servem de porta de entrada para vários ataques, prejudicando o 
desempenho de softwares que seriam responsáveis por gerenciar e controlar requisi-
ções de acesso ou de transmissão de dados.
Muitos ataques que exploram vulnerabilidades em modens, equipamentos da inter-
net das coisas em câmeras IP, por exemplo, aproveitam-se do uso de senhas fracas, 
que seguem um padrão bem fácil de ser descoberto para acessarem os painéis de 
administração do dispositivo. Portanto, esteja atento a todas as medidas tomadas 
durante a instalação e configuração de um equipamento de hardware.
O hardware com segurança fraca geralmente é ligado a aspectos dos seres humanos 
que não o protegeram de maneira correta, permitindo que seu acesso ou suas aber-
turas a vulnerabilidades fossem exploradas (MORAES, 2010b).
Uma senha forte tem a mistura de diversos padrões e requisitos para que má-
quinas inteligentes, pessoas mal intencionadas ou técnicas de invasão não 
se aproveitem dessas falhas para agirem. Uma senha forte não deve conter 
dados pessoais do usuário; deve conter pelo menos uma letra maiúscula, de 
preferêncianão conter letras ou números sequenciais e, para deixá-la mais 
difícil de ser quebrada, pelo menos um caractere especial. A gestão de atua-
lização das senhas também deve controlar senhas recentemente utilizadas.
23
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
1.2 SEGURANÇA LÓGICA DA INFORMAÇÃO
Pessoas e empresas devem proteger seus dados de maneira a evitar que tenham 
problemas com elementos disponibilizados para outros fins sem sua aquiescência. 
Costuma-se proteger celulares com senhas, identificações faciais e biométricas. Es-
sas formas de proteção são as mais fundamentais e simples de serem apresentadas 
como formas de segurança lógica, pois necessitam de validações no meio computa-
cional para a liberação de fatores presentes nos dispositivos móveis. Baseado nesses 
fatos, pode-se definir os controles lógicos como sendo as barreiras tecnológicas que 
impedem ou limitam o acesso à informação, que está em ambiente controlado, ge-
ralmente eletrônico, e que, de outro modo, teria facilitado seu acesso à alteração por 
pessoas não autorizadas para esse fim.
Todo e qualquer recurso que proteja a informação por meio de regras lógicas, aspec-
tos de tecnologia computacional e que dificulte alterações, consultas ou acesso a 
dados presentes em computadores é considerado elemento de segurança lógica da 
computação.
O papel do analista de sistemas nesse contexto é escolher as melhores formas lógicas 
de controlar os acessos e permissões aos dados envolvidos.
Existem diversas técnicas de segurança que podem auxiliar no controle de segurança 
no contexto lógico. De acordo com Kim5 et al. (2014), destacam-se:
Criptografia: permite, por meio de técnicas informatizadas, proteger os dados ou 
uma mensagem de forma que ela se torne ininteligível a terceiros. Seu principal fun-
damento está na utilização do conceito de chaves, no qual uma delas (chave secre-
ta) é utilizada para esconder os dados enviados, protegendo-os em codificações que 
não são compreendidas por qualquer pessoa, somente por quem possui a chave 
e o processo de descriptografia. Esses algoritmos trabalham de forma inspirada na 
comunicação por meio de códigos, como, por exemplo, o código Morse, que tem 
um conjunto de sinais e símbolos que somente quem entende dessa linguagem 
consegue decifrá-la. O mesmo acontece com o processo criptográfico, que protege o 
conteúdo da mensagem original por meio de códigos que não são compreendidos 
sem um algoritmo capaz de interpretá-los e transformá-los na mensagem original. 
A figura a seguir apresenta um esquema de criptografia de arquivos.
5 O Sr. David Kim possui mais de 30 anos de experiência em TI, segurança de TI, governança, risco e conformidade. Ele é 
adepto de todas as leis de conformidade baseadas nos EUA e seus requisitos de segurança, privacidade e implementação 
de controles e salvaguardas apropriados.
24
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
FIGURA 8 - ESQUEMA DE CRIPTOGRAFIA DE ARQUIVOS
Fonte: SHUTTERSTOCK, 2019..
assinatura digital: abordagem muito parecida com a criptografia, porém, além de 
um conjunto de dados criptografados associados a um documento do qual é função, 
existe uma forma de identificar quem fez a transação no documento, garantindo a 
integridade do documento associado, mas não a sua confidencialidade. Essa aborda-
gem é muito utilizada para validar documentos no ambiente digital, permitindo aos 
seus receptores confiarem que aquele documento realmente foi emitido e confirma-
do por aquele que o assinou. Órgãos públicos utilizam essa abordagem para trazer a 
confiabilidade e agilidade nos processos eletrônicos.
mecanismos de garantia da integridade da informação e certificação: destacam-
-se recursos, como funções de Hashing (ou checagem) e mecanismos de controle 
de acesso, como palavras-chave, sistemas biométricos, firewalls, cartões inteligentes, 
elementos de certificação e integridade. Todos esses recursos combinados podem 
auxiliar no acesso e controle de informações.
Veja como as chaves criptográficas são geradas e transformam as mensagens 
enviadas. Utilize seu navegador e digite “exemplo de algoritmo assimétrico: 
RSA”. Você encontrará exemplos práticos sobre a forma de se criptografar 
mensagens.
25
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
O controle gerencial dessas técnicas deve ser feito por pessoas que entendam sobre 
seu funcionamento e saibam mensurar os impactos vivenciados por aplicativos e dis-
positivos informatizados que sofrem com ataques de hackers e crackers. A conserva-
ção da integridade dos dados é um fator que não pode ser desconsiderado dentro 
do contexto de segurança da informação. Vários artistas que tiveram sua intimidade 
exposta perderam contratos, foram alvos de intimidações e até de chantagem finan-
ceira. Com empresas, não ocorre de maneira distinta. Várias delas perdem negócios 
milionários porque têm seus dados vazados para concorrentes, que acabam atra-
vessando seus negócios, e sofrem desvalorizações quase irreversíveis no mercado de 
ações devido a vazamentos seletivos de dados dos clientes. A segurança da informa-
ção e seu controle gerencial podem proteger a integridade financeira tanto de pes-
soas quanto de corporações.
CONCLUSÃO 
Nesta unidade, foram abordados aspectos relativos aos conceitos principais de segu-
rança da informação, destacando papéis e conceitos que comumente são utilizados 
em estudos da área. Foram abordados elementos que definem o que é um acesso 
mal intencionado, bem como formas de identificar e de se proteger de ataques ma-
liciosos. Em um primeiro momento, foram apresentados aspectos relativos à impor-
tância de se proteger elementos físicos de ataques devido à sua importância como 
armazém de grandes informações. Você conheceu também os pilares da segurança 
da informação e, a partir deste momento, deve-se buscá-los em todas as atividades, 
ações e atitudes relativas a processos da segurança da informação. Esses fatores de-
terminam quais são os processos benéficos e quais atitudes podem ser consideradas 
ataques cibernéticos.
A forma como os servidores e outros dispositivos são protegidos, tanto na vida de 
pessoas quanto para as empresas, também foi evidenciada nos estudos desta unida-
de, bem como as formas lógicas de controle de acesso a informações, com destaque 
para a criptografia e a assinatura digital. Essas abordagens são consideradas passos 
lógicos para a execução de procedimentos de segurança no controle de acesso a 
pessoas indesejadas. Portanto, o conteúdo apresentado servirá como base para os 
demais estudos efetuados na disciplina.
26
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
OBJETIVO 
Ao final desta 
unidade, 
esperamos 
que possa:
UNIDADE 2
> Identificar os 
principais ataques 
existentes à segurança 
da informação.
> Descrever elementos 
e exemplos de 
ameaças existentes 
na segurança da 
informação.
> Avaliar as principais 
políticas de segurança 
da informação 
existentes.
27
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
2 PRINCIPAIS ELEMENTOS 
DA SEGURANÇA DA 
INFORMAÇÃO
A segurança da informação na empresa deve ser prioridade quando os dados en-
volvidos no processo forem fundamentais para as tomadas de decisão. Para tal, os 
profissionais da computação devem estar atualizados sobre os principais termos e 
conceitos envolvidos nas ameaças existentes para os dados a serem protegidos na 
empresa, destacando-se aqueles relacionadosa ataques no espaço virtual, que visam 
à obtenção de informações privilegiadas. Nesse contexto, um bom analista de siste-
mas que trabalha na segurança da informação deve preparar um plano de proteção 
aos dados, evitando que essas informações sejam disseminadas de forma inadequa-
da para o meio informatizado. Dessa forma, nesta unidade, você será apresentado 
aos principais conceitos relacionados aos ataques envolvidos na captura de informa-
ções sigilosas e/ou estratégicas. As definições e formas dos principais ataques serão 
exemplificadas e apresentadas de forma dinâmica no seu contexto atual de ameaça 
ao bom funcionamento das empresas. Também serão trabalhadas nesta unidade 
formas de prevenção a esses principais ataques, com destaque aos planos de contin-
gência necessários para evitar que os ataques aconteçam e à forma de atuação caso 
eles afetem o bom funcionamento das corporações.
2.1 INTRODUÇÃO DA UNIDADE
Em muitos conceitos da vida útil de empresas ou pessoas, muitas vezes se mencio-
nam ameaças que podem atingir ou que ocorreram em dispositivos móveis, com 
destaque principal para os chamados vírus, que buscam coletar os dados do usuá-
rio. Esses fatores realmente estão presentes para prejudicar a utilização de dispositi-
vos informatizados, mas essas ameaças possuem nomes e características diferentes. 
Um analista de sistemas precisa estar preparado para entender e atuar de forma 
preventiva e corretiva em cada um dos elementos e ataques distintos que podem 
gerar ameaças aos dados presentes na empresa ou na vida de pessoas que utilizam 
computadores ou celulares. Por isso, é importante conhecer os principais elementos 
28
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
presentes nos ataques para busca de dados em dispositivos, formas de transporte e 
comunicação informatizados, bem como os principais tipos de ataques, sua nomen-
clatura e as formas de documentar, treinar e prevenir. Também é necessário conhe-
cer os conceitos e políticas de segurança que devem ser construídos nas empresas, 
como também as formas de planejar, controlar e construir os principais componen-
tes de segurança da informação. Esses conceitos serão devidamente abordados e 
exemplificados a seguir.
2.2 PRINCIPAIS ELEMENTOS DA SEGURANÇA DA 
INFORMAÇÃO 
A segurança da informação envolve muitos conceitos técnicos sobre formas de ata-
que a recursos computacionais, técnicas avançadas de invasão, entre outros. Porém, 
há de se destacar a interferência humana nesse processo e como suas fragilidades 
podem afetar a segurança de dispositivos informatizados que sofrem ataques mali-
ciosos. Em geral, muitas pessoas que desenvolvem aplicativos capazes de furtar infor-
mações pessoais utilizam diversas características humanas para desenvolver armadi-
lhas de forma mais adequada para explorar as nossas vulnerabilidades. Geralmente, 
aspectos que instigam curiosidade, comoção e até afeto são utilizados para disfarçar 
aplicativos maliciosos. Se esses aspectos não forem cuidados em grandes empresas, 
muitos softwares maliciosos podem ser instalados em máquinas que tramitam diver-
sos dados importantes, tornando a rede de comunicação suscetível a ataques mali-
ciosos, tornando-a lenta e bem complicada de ser totalmente recuperada. Aspectos 
pessoais não devem ser misturados com elementos profissionais; por isso, algumas 
empresas limitam o acesso a redes sociais, a dispositivos e aplicativos instantâneos 
de comunicação (a não ser que sejam institucionais e devidamente controlados pela 
equipe de tecnologia da informação). Isso se dá porque esses dispositivos carregam 
fortes vulnerabilidades, que podem ser ampliadas dependendo do nível de ingenui-
dade dos usuários. Portanto, realizar treinamentos para conscientizar pessoas en-
volvidas nos processos de dados é preponderante para o sucesso da proteção da 
informação.
A figura a seguir sintetiza o que foi dito sobre a importância do ser humano na segu-
rança da informação. Esse conceito é chamado engenharia social.
29
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
FIGURA 9 - CONCEITOS E SITUAÇÕES NOS QUAIS OS SERES HUMANOS INTERFEREM NA 
SEGURANÇA DA INFORMAÇÃO
 
Fonte: SHUTTERSTOCK, 2019..
A importância da segurança da informação envolve diversos aspectos sociais, econô-
micos e competitivos de mercado. As informações compartilhadas de forma indevida 
podem prejudicar relacionamentos, negócios e competitividade. O vazamento de 
dados, como fotos, textos ou quaisquer informações confidenciais, pode causar im-
pactos irreversíveis nas relações pessoais. Não é à toa que, cada vez mais, os governos 
atuam na prevenção de vazamentos de dados para que as decisões estratégicas não 
sejam prejudicadas.
2.2.1 AMEAÇAS E ATAQUES EM SISTEMAS
A segurança da informação visa evitar que ações maliciosas prejudiquem o funciona-
mento correto dos sistemas de informação. Nesse caso, pode-se destacar o conceito 
de ameaças, cuja principal característica é a falta de controle sobre as técnicas utiliza-
das para obter vantagens ilícitas mediante a captura de dados confidenciais.
A ameaça pode ser definida como um evento ou atitude sem caráter legal, que pode, 
entre outros fatores, desabilitar, destruir ou remover recursos sem que seus proprie-
tários tenham conhecimento de que as ações estão sendo realizadas. Essas ameaças 
podem envolver critérios tecnológicos ou de exploração de características humanas. 
30
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
Elas atacam falhas de segurança que estão presentes em processos e em elementos 
computadorizados. Por isso, quanto mais desorganizado e despreparado é um usuá-
rio comum ou uma empresa para lidar com contextos digitais, maior é a chance de 
ser alvo de uma ameaça digital. Em geral, ela se caracteriza como a possibilidade de 
um agente (ou fonte de ameaça) explorar acidental ou propositalmente uma vulne-
rabilidade específica.
Existem fatores que podem complicar ainda mais a segurança da organização em re-
lação à proteção de seus dados; dentre eles, destacam-se os principais riscos internos 
e externos relacionados à segurança de dados confidenciais. Em geral, uma empresa 
organizada mantém o controle de todas as atividades que envolvem riscos de viola-
ção da segurança, e medidas para conter essas ameaças devem ser levantadas. Para 
isso, exige-se que a equipe de tecnologia da informação esteja atualizada em relação 
à identificação e mitigação desses elementos dentro do contexto em que a empresa 
está inserida. Para pessoas comuns, a informação sobre as principais técnicas de ata-
que deve ser abordada em treinamentos ou tutoriais online para que elas não sejam 
prejudicadas com a violação de sua privacidade. Os riscos envolvem avaliações sobre 
atitudes, vulnerabilidades e capacidades de perder informações fundamentais para o 
sucesso da empresa. A avaliação dos riscos envolve os dados que podem ser perdidos, 
os meios que podem gerar essa perda, fontes principais de ataques e, principalmen-
te, como a empresa pode sofrer os impactos de uma invasão. A definição dos fatores 
internos e externos pode auxiliar as empresas na contratação de formas de se prote-
ger ou até mesmo de treinar os envolvidos no processo (MORAES, 2015).
A figura a seguir apresenta algumas representações gráficas sobre as principais for-
mas de ameaças existentes no ambiente informatizado.
31
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
FIGURA 10 - AMEAÇAS NO MEIO COMPUTACIONAL
Fonte: SHUTTERSTOCK, 2019..
Na figura, destacam-se ameaças, como: cavalode troia, e-mails maliciosos, bugs, 
phishing em mensagens de e-mail, entre outras.
Qualquer evento que possa causar impacto na capacidade produtiva ou com-
petitiva de empresas atingirem seus objetivos de negócio deve ser tratado de 
forma prioritária pela equipe de segurança da informação. A probabilidade de 
uma fonte de ameaça explorar uma vulnerabilidade, resultando em um impac-
to para a organização, deve ser calculada e sempre ter um foco específico para 
tratar os futuros impactos internos e externos à organização.
Um termo interessante para o conhecimento do analista de sistemas é vulnerabi-
lidade. Em geral, são elementos relacionados à segurança da informação em as-
pectos internos, isto é, relativos a situações que estão dentro da empresa e que, por 
32
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
consequência, podem ser controladas, monitoradas e tratadas. Geralmente, elas en-
volvem falhas ou fraquezas de procedimentos, que compreendem: a transmissão ou 
compartilhamento de dados importantes dentro do contexto empresarial; o design 
em que uma solução informatizada foi implementada, permitindo que ela esteja 
mais suscetível a ataques ou violações de segurança (geralmente em situações nas 
quais a própria interface do software dá a dica sobre a vulnerabilidade); implementa-
ção ou codificação de software sem os devidos cuidados para os principais ataques 
externos; utilização de recursos não originais, que podem deixar aberturas invisíveis 
para acesso aos dispositivos informatizados. Outros fatores considerados como vulne-
rabilidades dentro de empresas podem estar relacionados aos controles internos de 
um sistema, que pode ser acidentalmente ou propositalmente explorado, resultando 
em uma brecha de segurança ou violação da política de segurança do sistema.
A figura a seguir representa a união dos principais conceitos que podem atuar junto 
com a vulnerabilidade e que devem ser alvos de análise por parte da equipe de TI.
FIGURA 11 - ELEMENTOS DA SEGURANÇA DA INFORMAÇÃO E A FORMA COMO SE CONEC-
TAM
Fonte: SHUTTERSTOCK, 2019..
Na figura, é apresentado como os hackers podem acessar dispositivos informatiza-
dos, como a engenharia social, uma técnica que utiliza conceitos cognitivos e das 
fraquezas humanas para acessar dispositivos informatizados. Observe que esses con-
ceitos se relacionam por meio de técnicas de auditoria de procedimentos, análise das 
33
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
redes, avaliação de performance, entre outros.
Em segurança de computadores físicos (hardware), uma vulnerabilidade é con-
siderada uma fraqueza, que permite que o elemento que deseja acesso aos 
dados do sistema reduza a garantia da informação do sistema. Nesse contexto, 
a vulnerabilidade é a interseção de três principais elementos que prejudicam 
consideravelmente a segurança da informação de uma empresa: suscetibilida-
de ou falha do sistema; acesso do precursor do ataque de segurança à falha; e 
capacidade de exploração dessa falha.
A seguir, serão apresentadas algumas formas mais conhecidas de ataques e vulnera-
bilidades em sistemas e a maneira como eles atacam de diversas formas os sistemas 
informatizados importantes para uma empresa.
2.2.1.1 ATAQUES E VULNERABILIDADES EM SISTEMAS
O scan consiste em um ataque responsável pela quebra da confidenciabilidade de 
um sistema informatizado, com o principal objetivo de analisar os principais deta-
lhes de configurações dos computadores presentes na rede (como sistema opera-
cional, softwares, dados armazenados e serviços) para identificar possíveis alvos para 
outros ataques. É uma forma de atuação inicial, como se um espião fosse enviado 
ao computador para explorar as principais fraquezas que ele possui. Esse ataque foi 
proposto seguindo ideias de guerra, em que pessoas são responsáveis por se infiltrar 
em bases inimigas e encontrar todas as formas de fraquezas, virtudes e brechas para 
um ataque. A principal forma de proteção a esses ataques está relacionada à utiliza-
ção atualizada de um firewall que esteja instalado em uma rede bem configurada e 
organizada.
Já o worm é considerado um dos ataques mais antigos existentes no mundo dos 
computadores. Alguns o conhecem como um vírus que prejudica o hospedeiro, pois 
ele entra na máquina e começa a se aproveitar dos recursos computacionais. Ele torna 
34
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
o processamento do computador mais lento, e as atividades passam a apresentar 
problemas. Essa capacidade simula bem uma característica presente em alguns tipos 
de vermes que se alojam no corpo do hospedeiro e passam a viver de seus recursos.
Os worms são perigosos devido à sua capacidade de se espalhar rapidamente pela 
rede e afetar arquivos sigilosos da empresa, prejudicando os critérios de confidencia-
bilidade dos principais dados envolvidos nas transações comerciais ou até mesmo 
de cunho pessoal de funcionários e proprietários. Uma forma coerente de se evitar 
esses ataques é mantendo o antivírus atualizado para encontrar esse tipo de arquivo 
malicioso.
Também existem ameaças que foram elaboradas ou baseadas em requisitos únicos 
de sistemas operacionais. Nesse caso, pode-se referenciar a ameaça rootkit, que teve 
origem na exploração de kits de um software livre. Sua principal forma de prejudicar 
o sistema informatizado é por meio da fraude de acesso ao sistema operacional, lo-
gando no sistema como root, ou seja, usuário com poder para fazer qualquer coisa, 
permitindo ao responsável por elaborar o recurso malicioso acessar todos os dispo-
sitivos importantes do funcionamento do computador. Seus ataques são feitos por 
meio de um tipo de malware – malicious software (software maligno) –, pois, quando 
a máquina passa a ser infectada pelo rootkit, ela permite que os arquivos maliciosos 
sejam inseridos em locais estratégicos do computador e lá fiquem escondidos, per-
mitindo que novos ataques sejam realizados. Apesar de ser baseado em um software 
livre, o rootkit também afeta outros sistemas operacionais. Nesse caso, a proteção a 
esse tipo de ameaça deve ser feita independentemente do sistema operacional utili-
zado na empresa, por meio de ferramentas de antivírus.
O DDoS (Distributed Denial of Service) torna indisponíveis elementos fundamentais 
para a comunicação de dispositivos informatizados, como servidores e/ou computa-
dores que controlam o tráfego de dados. Esse tipo de abordagem maliciosa interrom-
pe os serviços informatizados, trazendo prejuízos ao negócio, como insatisfação dos 
clientes e falha nas ações operacionais cotidianas que necessitam de computadores, 
e expondo vulnerabilidades de disponibilidade dos serviços. Ele faz uma sobrecarga 
de requisições aos serviços, prejudicando a utilização da banda dos dispositivos infor-
matizados, fazendo com que os sistemas sejam levados a um desempenho próximo 
do máximo e, por consequência, ocasionando um sobrecarregamento de ações que 
o tornam indisponível para realizar suas tarefas comuns. Eles também podem atacar 
softwares, fazendo com que eles façam requisições desnecessárias a servidores ou 
35
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
serviços de software. Elementos de backup e estruturas de monitoramento podem 
evitar que esses ataques prejudiquem a disponibilidade de sistemas. Assim que uma 
sobrecarga for identificada, deve-se fazer um plano de contingência com mais canais 
de comunicação.
Ransomware é uma técnica muito utilizada para captura de dados importantes da 
empresa,permitindo aos que realizam o ataque extorquir os donos dos dados para 
obterem seu acesso novamente. Esse sequestro de dados acontece muito nos dias 
atuais, em que pessoas com conhecimento técnico elevado instalam softwares ma-
liciosos com o intuito de bloquear o acesso dos donos dos dados, que, muitas vezes, 
têm relevância fundamental para a tomada de decisões. Existem diversas formas de 
ação do ransomware, variando de acordo com a sua versão, pois cada malware lança-
do explora uma diferente brecha do sistema operacional. 
Embora a maneira como o vírus se manifesta varie, a finalidade é a mesma: bloquear 
todos os arquivos do computador, impedindo que o sistema possa ser utilizado ade-
quadamente e encaminhando mensagens solicitando o pagamento pelo resgate. 
Essas abordagens são muito utilizadas nos dias atuais, por meio de ameaças de divul-
gação de fotos pessoais ou de cobranças caríssimas. Algumas empresas chegaram a 
negociar valores milionários com os criminosos para que os dados fossem devolvidos.
Realizar o pagamento em razão de uma chantagem não é uma atitude reco-
mendável, porque, além de não garantir que a situação se normalize, estimula 
o crime, tornando mais complexa a captura desse tipo de criminoso. Devido 
ao número de ataques, o ransomware é visto atualmente como a maior das 
ameaças.
Outra categoria de ransomware pode ser definida como vírus de resgate. Esse termo 
se deu conforme a expansão dos ataques de ransomware foi acontecendo. Muitos 
usuários – em grande maioria, corporativos – se desesperaram por não saberem como 
agir diante do sequestro de dados e acabaram tomando atitudes impensadas ou 
desesperadas. A recomendação é sempre evitar o pagamento pelo resgate e utilizar 
36
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
uma solução para recuperar os arquivos, de preferência desenvolvida por fabricantes 
confiáveis e com aplicativos necessários para proteger e rastrear ameaças virtuais.
Porém, para cada nova proteção, existem hackers e crackers elaborando novas for-
mas de ataque. Isso acaba movimentando, inclusive, a indústria de proteção de segu-
rança da informação. 
Não existe uma ferramenta ou recurso específico para se proteger contra os ransom-
wares. A proteção a esses ataques está vinculada ao cuidado com mensagens e re-
cursos não conhecidos.
Em geral, existem vírus falsos que se passam por softwares, jogos, ou até por antivírus, 
que, ao invés de proteger, acabam abrindo novos caminhos para invasões futuras. 
Portanto, conhecer as empresas que fabricam os softwares e sua idoneidade é um 
fator que não pode ser descartado no momento de escolher os dispositivos que serão 
instalados nos computadores.
Outro fator de destaque para novas ameaças são os vírus do tipo locker (blo-
queador). Assim como o ransomware e o malware, eles solicitam pagamentos 
por bitcoins ou cartão de crédito para que os recursos travados sejam liberados 
novamente para funcionamento.
Já a prática de phishing é um ataque diferente dos demais apresentados, pois consiste 
no envio de mensagens de e-mail, geralmente com temas interessantes a um grupo 
de pessoas, com textos chamativos, imagens animadas, em que o invasor se passa por 
uma instituição legítima e confiável (geralmente bancos e serviços de transação online), 
induzindo a vítima a passar informações cadastrais. Esses ataques ocorrem principal-
mente com pessoas menos instruídas, pois as mensagens possuem tom de cobrança e 
até mesmo argumentam sobre prejuízos futuros que a pessoa pode ter se não passar os 
dados. Essa é uma das mais antigas armadilhas conhecidas na internet e, ainda assim, 
continua atraindo muitas vítimas que utilizam e-mail, principalmente pelas característi-
cas humanas presentes na sociedade, como desconfiança, dúvida e receio.
37
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
Atualmente, o phishing amplia suas formas de abordagem utilizando e-mails que 
buscam representar pessoas de determinadas empresas, oferecendo propostas sen-
sacionais para grupos de empresas e pessoas. Isso leva uma grande quantidade de 
usuários a disponibilizarem seus dados, e a segurança da informação a sofrer bastan-
te com os vazamentos de dados de validação em sistemas.
Dessa maneira, além de prejuízos de segurança, pode também haver prejuízos finan-
ceiros, com compras indevidas de serviços que são fraudes. O pior disso tudo é que o 
criminoso não deixa rastros, pois a mensagem não contém anexos ou links.
Um tipo de ataque capaz de executar e exibir automaticamente uma quantidade de 
anúncios, com a finalidade de inserir ameaças no computador sem a necessidade ou 
solicitação do usuário, é chamado adware. Isso acontece em navegadores que estão 
altamente conectados com elementos de anúncio e criam portas para acesso aos 
dados dos usuários. O Internet Explorer da Microsoft sofreu muito com esse tipo de 
abordagem, pois sua estrutura estava altamente ligada com propagandas.
Já o backdoor é utilizado por diversos softwares maliciosos para conseguir acesso 
irrestrito dentro de uma rede. Ele é capaz de expor falhas críticas não documentadas 
existentes em programas instalados, softwares desatualizados e no firewall para abrir 
portas do roteador. Essas falhas podem ser oriundas da má qualificação das linhas de 
código desenvolvidas ou até mesmo devido a atualizações indevidas e incorretas de 
software.
Existem diversas técnicas e formas de ataques que podem existir para afetar os na-
vegadores (Browser Hijacker), modificando suas configurações, como, por exemplo, 
a página inicial definida pelo usuário e o cavalo de troia, que se instala em partes 
escondidas do computador e efetua diversos downloads indesejáveis.
Por fim, destaca-se um tipo de ameaça que não é tão conhecido, chamado de Ro-
gue Security Software. Ele pode ser visto de forma análoga a um vampiro, que busca 
sugar suas informações confidenciais para roubar dinheiro dos usuários de sistemas 
informatizados contaminados (WRIGHTSON, 2014). 
O infográfico a seguir apresenta de forma sumarizada os passos de invasões e como 
elas entram nos computadores e atuam de forma maliciosa.
38
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
FIGURA 12 - CICLO DO ATAQUE E AMEAÇAS VIRTUAIS
Fonte: SHUTTERSTOCK, 2019..
Os passos apresentados na figura representam fases que atuam constantemente na 
ameaça de sistemas informatizados. Todas as etapas devem possuir técnicas de con-
tingência para evitar maiores impactos.
2.2.2 POLÍTICAS E MECANISMOS DE SEGURANÇA
Para prevenir ataques em empresas, é necessário elaborar soluções e prever situações 
para as quais uma organização precisa estar preparada para deter ou atuar. A equipe 
de TI dentro de uma empresa deve estar preparada para enfrentar e mitigar todos 
os principais riscos envolvidos com os dados transmitidos em meios computacionais. 
Portanto, após a definição dos principais níveis de segurança desejados para proteger 
os dados necessários para a manutenção da credibilidade da empresa no seu mer-
cado de atuação, pode-se consubstanciar uma política de segurança da informação 
(PSI), que deve ser seguida pela organização ou pessoa para garantir que, uma vez 
39
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
estabelecidos os princípios, aquele nível desejado seja perseguido e mantido. Essa 
política de segurança torna-se um dos principais elementos de controle, correção 
e instrução de funcionários sobre as situações envolvidas na segurança da informa-
ção. Trata-se de um documento que deve servir como normativadentro da empresa 
para delimitar ações, determinar atitudes a serem realizadas para prevenir e corrigir 
problemas de violações realizadas por vírus, malwares ou outros recursos maliciosos 
existentes. Deve-se utilizar normas internacionais, regras e normas ISO (International 
Organization for Standardization) para fomentar as boas práticas de proteção dos 
dados relevantes da empresa.
A figura a seguir apresenta um exemplo de atuação dos analistas de sistemas no 
planejamento e levantamento das principais situações existentes na segurança da 
informação na empresa.
FIGURA 13 - PLANEJAMENTO DO PLANO DE SEGURANÇA DA INFORMAÇÃO
Fonte: SHUTTERSTOCK, 2019..
De acordo com Goodrich (2012), para a montagem desta política, a equipe de espe-
cialistas deve considerar diversos fatores, tais como:
Todos os riscos associados à falta de segurança atual.
• Benefícios da utilização de um plano de segurança.
• Custos de implementação dos mecanismos necessários.
40
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
• Custos relacionados ao treinamento de pessoas.
• Identificação de normas nacionais e internacionais existentes.
A construção desse tipo de documento é muito importante, mas não deve ser feita 
sem a devida conscientização por parte de todos os envolvidos na empresa. Sem a 
atuação correta das pessoas, os melhores planos podem ser fadados ao insucesso. 
Dentro desse contexto, a direção deve ser chamada para definir essa política, como 
normas principais da empresa, para que todos tenham consciência dos impactos 
financeiros e no negócio, que podem ser gerados por um vazamento de dados não 
intencional. Esse plano deve abranger categorias de softwares a serem utilizadas, 
termos de responsabilidade sobre a utilização de contextos e dados privativos da 
empresa.
Segundo Kim (2014), para a construção de um PSI adequado, alguns pontos devem 
ser definidos seguindo critérios de qualidade, como, por exemplo:
• Tipos de informações que devem ser controladas e gerenciadas.
• Hierarquia de controle de acesso aos dados.
• Principais riscos sobre cada dado e as consequências do vazamento.
• Ativos de TI (servidores, computadores, sites) expostos a ameaças externas.
• Mecanismos e medidas para reduzir as vulnerabilidades da infraestrutura.
• Melhores práticas para o uso dos recursos de TI.
41
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
Para conhecer formas de preencher um plano de segurança da tecnologia da 
informação, veja um exemplo do documento pesquisando em seu navegador 
da internet pelo termo: Modelo Plano de SIC e SegCiber.odt - Governo Digital.
Para disseminar as diretrizes de segurança das empresas, os gestores devem progra-
mar treinamentos para as equipes, deixando clara a importância da execução do pla-
no, fazendo acompanhamentos periódicos para verificar se ele está sendo cumprido 
integralmente, se necessita de melhorias, ampliações e até mesmo de remodelagem 
de termos planejados que não refletem a realidade.
Insira a segurança da informação no plano de contingência, principalmente 
em elementos fundamentais para o funcionamento da empresa. Isso pode fa-
zer uma grande diferença na manutenção das atividades na empresa, princi-
palmente aquelas relacionadas aos aspectos de contato com os usuários da 
empresa.
Além da divulgação do plano de segurança, a empresa deve investir no backup dos 
dados para garantir que, se os planos de segurança não forem suficientes, não ocorra 
perda total de dados, permitindo que, mesmo em ataques cibernéticos, ainda possa 
funcionar sem maiores prejuízos financeiros.
42
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
CONCLUSÃO 
Pode-se concluir que, a todo o momento, as ameaças cibernéticas podem surgir e 
fazer de sua empresa uma vítima grave. Portanto, é importante se manter atualiza-
do, bem como investir nas melhores práticas de segurança da informação. Existem 
diversos elementos que não podem ficar de fora de um plano de segurança da in-
formação, principalmente com a diversidade de ataques existentes nos dias atuais. 
Cada ataque tem suas particularidades e formas de atuar; portanto, treinar pessoas 
e preparar equipamentos de informática na empresa para se proteger dos ataques 
cibernéticos é fundamental para que nada saia fora do planejado e exista a proteção 
adequada aos dados da empresa. Espera-se que a equipe de análise de sistemas sai-
ba das principais ameaças as quais sua equipe está exposta e trabalhe nas correções 
devidas.
A construção de um bom plano de segurança da informação envolve etapas funda-
mentais, como levantar os principais elementos que devem ser protegidos, destacar 
as principais ameaças, escolher os melhores recursos para combatê-los, além de ela-
borar planos de contingência para ações e ataques mais extremos existentes.
43
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
OBJETIVO 
Ao final desta 
unidade, 
esperamos 
que possa:
UNIDADE 3
> Identificar as 
principais formas 
de avaliação de 
vulnerabilidades 
de sistemas de 
informação.
> Avaliar as principais 
ferramentas de 
segurança da 
informação.
> Definir as principais 
técnicas de avaliação 
da segurança da 
informação.
44
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
3 AVALIAÇÃO DA 
SEGURANÇA EM SISTEMAS 
DE INFORMAÇÃO
O analista de sistemas precisa identificar, conhecer, mensurar e prever as principais 
fragilidades dos sistemas de informação existentes na empresa que participam de 
processos-chave na organização e sustentam suas atividades no mercado em que 
atua. Existem vários tipos de situações que podem prejudicar a segurança da infor-
mação. Entre elas, os ataques e as formas de aproveitar as fragilidades técnicas ou es-
truturais de hardwares e softwares, para que sejam furtadas as informações prepon-
derantes para a atuação da empresa em um mercado tão competitivo (geralmente 
em relação a produtos e serviços que a empresa produz). Portanto, identificar formas 
frágeis existentes em sistemas de informação, utilizar as ferramentas corretas para 
auxiliar na proteção dessas fraquezas e configurá-las para que elas possam atender, 
de maneira coesa, às principais demandas de segurança da informação serão apre-
sentadas a seguir. As normas e técnicas existentes também serão elucidadas, para 
que o analista de sistemas consiga atuar de maneira dinâmica na prevenção e prote-
ção de sistemas de informação a ataques maliciosos. 
3.1 AVALIAÇÃO DA SEGURANÇA DE SISTEMAS DE 
INFORMAÇÃO 
As formas de avaliação da segurança da informação devem girar em torno das princi-
pais técnicas existentes, sendo elas responsáveis por observar e mensurar os ataques 
cibernéticos para agir no caso de algum fator sair do controle e, por fim, prevenir que 
eles aconteçam. Conhecer os recursos informatizados existentes nas empresas deve 
ser um aspecto que torna essencial o conhecimento das características técnicas dos 
equipamentos e possíveis ameaças que eles possam vir a sofrer (GOODRICH, 2012). 
Para auxiliar o analista nas atividades de avaliação de segurança, deve-se identificar 
os elementos que precisam ser vistoriados para começar uma análise mais completa 
das possíveis vulnerabilidades e ataques que esses elementos possam sofrer. A figu-
ra a seguir apresenta a exemplificação de uma equipe de segurança, realizando o 
45
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da InformaçãoSUMÁRIO
monitoramento das principais atividades realizadas nos dispositivos relacionados à 
informação da empresa.
FIGURA 14 - EQUIPE DE MONITORAMENTO DA SEGURANÇA DA INFORMAÇÃO
Fonte: SHUTTERSTOCK, 2019..
Os pontos de controle da avaliação da segurança incluem todos os agentes e formas 
de como a segurança da informação pode se tornar frágil ou ameaçada, seja ela de 
forma física (destruindo ou acessando os computadores presencialmente) ou lógica 
(afetando o acesso e provendo a captura de dados no meio cibernético). Destacam-
-se, nesse contexto, os equipamentos de informática, os softwares, as redes lógicas, e 
as pessoas que se forem mal treinadas podem comprometer a segurança da infor-
mação e dos acessos aos dispositivos de hardware.
A segurança da informação nem sempre foi prioridade em muitas empresas. 
Pensava-se que, somente com um antivírus instalado, os problemas de acesso 
aos dados de uma empresa estavam protegidos. Portanto, o treinamento com 
os funcionários e as limitações de acesso foram surgindo à medida que novos 
problemas iam acontecendo e quando se verificava que nem sempre um anti-
vírus podia impedir todos os ataques cibernéticos.
46
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
Portanto, a natureza do dispositivo deve explanar as principais ações e avaliações que 
devem ser realizadas, pois cada um dos elementos da tecnologia da informação pos-
sui suas particularidades e suas fraquezas. Espera-se que o analista de sistema esteja 
atualizado sobre as formas de ataques mais recentes, para que saiba quais ferramen-
tas utilizar para combatê-los. O plano de políticas de segurança da informação deve 
estar presente, atualizado, efetivo e de preferência validado por todos os responsáveis 
envolvidos dentro desse contexto.
Todos os equipamentos e softwares relacionados às principais atividades da empre-
sa devem ser objeto de monitoramento e de ações que busquem evitar e proteger 
os recursos que manuseiam a informação dos riscos que podem acarretar proble-
mas à segurança da informação. Se esses equipamentos geram valor ao negócio da 
empresa, como, por exemplo, um servidor de dados que armazena todos os valores 
vendidos durante o ano, deve-se planejar a segurança, a contingência e os planos 
emergenciais para esse dispositivo (WRIGHTSON, 2014).
Os gestores de setores de tecnologia da informação devem estar preparados para 
realizar avaliações em recursos importantes para a empresa. Essas inspeções devem 
ser monitoradas e controladas por recursos atualizados, para que ocorram de manei-
ra dinâmica e eficiente. Os gastos relacionados às falhas de segurança da informação 
devem ser vistos como investimentos, pois os impactos negativos de uma invasão 
podem gerar perdas financeiras incalculáveis, sendo inclusive os valores da perda alvo 
de critérios de avaliações. Recursos em que os transtornos financeiros são menores 
devem ser menos priorizados (mas não deixados de lado) em detrimento daqueles 
que têm impactos elevados para o orçamento da empresa. A figura a seguir apresen-
ta exemplos de recursos que podem ser alvo de avaliação dos impactos da segurança 
da informação.
47
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
FIGURA 15 - ELEMENTOS A SEREM VERIFICADOS EM RELAÇÃO AOS PRINCIPAIS IMPACTOS 
NA INTEGRIDADE DAS INFORMAÇÕES
Fonte: SHUTTERSTOCK, 2019..
3.1.1 CRITÉRIOS DE AVALIAÇÃO DE SEGURANÇA DA 
INFORMAÇÃO
A avaliação da segurança da informação é fundamental e, tão importante quanto ela, 
são as formas de se avaliar essa segurança. As ameaças são distintas dentro do am-
biente cibernético, porém cobrir todas as hipóteses de risco de ataques, dependendo 
do recurso informatizado analisado, pode se tornar inviável pelo número de pessoas 
ou recursos destinados a essa proteção. Deve-se avaliar quais são os elementos que 
possuem os maiores impactos reais e, neles, devem ser trabalhados os principais cri-
térios a serem mitigados para evitar maiores problemas. Em geral, esse documento 
é chamado gestão de riscos de tecnologia da informação, o qual seguem regras da 
ABNT (NBR ISO/IEC 27005:2008), que versa sobre fatores de tecnologia da informa-
ção e técnicas de segurança adotadas como ideais para a proteção de dispositivos 
informatizados. A gestão de riscos de segurança da informação explana critérios sóli-
dos e validados que podem ser replicados em diversas empresas, a fim de se dirimir 
a maioria das ameaças iminentes aos dados de uma instituição.
48
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
A ABNT define normas validadas por um grupo de pesquisadores renomados 
na área de tecnologia da informação. Pesquise na internet sobre a Norma ABNT 
NBR ISO/IEC 27005:2008.
Outro critério fundamental para as avaliações de vulnerabilidades está em detectar 
vulnerabilidades de hardware e software. Diversos equipamentos têm elementos de 
hardware e software com características distintas que podem gerar ameaças. Isso en-
volve o tempo que os equipamentos estão sendo utilizados, formas de acesso a esses 
equipamentos, bem como a versão e a atualização dos softwares nas máquinas, que 
também podem criar fraquezas. Portanto, os elementos presentes nesses fatores de-
vem ter um critério muito relevante de comprovação. A figura a seguir apresenta de 
forma esquemática onde estão identificados os riscos de segurança da informação. 
As ameaças, vulnerabilidades e formas que esse ataque pode interferir nas atividades 
da empresa compõem os riscos da segurança da informação.
FIGURA 16 - IDENTIFICAÇÃO DOS PRINCIPAIS RISCOS DA SEGURANÇA DA INFORMAÇÃO
Fonte: SHUTTERSTOCK, 2019..
49
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
Suponha que em uma empresa exista um computador que armazena as princi-
pais planilhas de dados dos clientes mais importantes, que compram os produ-
tos fornecidos pela corporação. Para avaliar os riscos desse computador, deve-se 
verificar se ele tem senhas e se as planilhas possuem backup. Para avaliar os ris-
cos, deve-se mensurar o valor para se manter um funcionário (salário, impostos, 
benefícios), os valores de softwares para proteger o computador, e o custo para 
se manter o backup. Todos esses elementos devem ser mensurados com o valor 
que a planilha representa para o negócio.
Identificar ameaças em potencial à segurança de TI (Tecnologia da Informação) e sua 
probabilidade aproximada também devem ser critério essencial para a segurança da 
empresa. Os elementos com probabilidade mais próxima de 100% devem ter foco 
total na prevenção e resolução de situações. Já os elementos com probabilidade pró-
xima de zero não devem ser negligenciados, mas podem ter um peso menor que os 
demais.
Outro fator fundamental na análise das ameaças é avaliar os backups dos sistemas 
mais importantes, permitindo que, no caso de ataques à empresa, ela não fique sem 
as funcionalidades presentes nos principais sistemas ou até mesmo sem os dados 
que utiliza no dia a dia. O sistema de backup deve ser mensurado para preservar uma 
réplica dos dados atuais da empresa, definindo um período para sua atualização de 
acordo com a capacidade financeira disponível, pois manter um sistema de backup é 
um serviço caro e deve ser feito com um controle financeiro, para não se gastar muito 
em recursos que poderiam ser investidos em outros fatores.
Outra característica fundamental para garantir um controle efetivo da segurança de 
dispositivos informatizados é identificar o valor dos ativos relacionados à tecnologia 
da informação, como computadores, servidores, sites, produtos,programas e serviços, 
inclusive seu valor indireto, caso sejam danificados ou violados. Os elementos que de-
terminam o valor e a relevância dos ativos para as empresas devem ser considerados 
de acordo com o contexto em que estão inseridos e seu valor para o negócio.
50
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
O gestor da informação deve definir e gerenciar uma diretiva formal de gerencia-
mento de riscos de segurança por meio de normas, regulamentações, ações a serem 
tomadas sobre a segurança da informação e os impactos. Ele deve avaliar os princi-
pais fatores que agregam valor a seu negócio. A figura a seguir representa uma ava-
liação dos fatores que corroboram para agregar valor ao negócio da empresa.
FIGURA 17 - AGREGAÇÃO DE CONTEXTOS AOS VALORES DO NEGÓCIO
Fonte: SHUTTERSTOCK, 2019..
A empresa deve integrar o gerenciamento de riscos de segurança da informação ao 
ciclo de vida da infraestrutura de TI. Essa é uma forma bem eficiente de manter o 
controle sobre a segurança dos recursos informatizados, pois, com essa gestão con-
junta, espera-se a obtenção de maior espaço no planejamento de riscos para ele-
mentos que podem prejudicar o funcionamento cotidiano da empresa.
O gestor responsável pelo controle dos riscos de segurança deve definir proces-
sos para aprimorar a especialização em gerenciamento de riscos na empresa por 
meio de iterações do ciclo do gerenciamento de riscos, realizando treinamentos, 
51
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
acompanhamentos sistêmicos, construção de relatórios gerenciais para identificar 
as fontes mais vulneráveis, ou seja, as mais suscetíveis a ataques. Nesses relatórios, al-
guns elementos podem ser essenciais para identificar, de forma mais hábil, os fatores 
presentes nas principais ameaças e também quais são os recursos computacionais 
que mais sofreram com os ataques cibernéticos. Destacam-se (KIM, 2014):
• Tempo médio para encontrar um incidente de segurança: esse fator pode 
mensurar se o plano de contingência, segurança e as ações efetuadas para a 
prevenção de ataques estão surtindo efeito.
• Tempo médio entre dois incidentes: pode verificar se existem ataques con-
tínuos ou que seguem um padrão. Um tempo curto entre dois ataques pode 
destacar uma grande vulnerabilidade em algum dos recursos.
• Porcentagem de sistemas sem vulnerabilidades graves: identifica se a gestão 
e a previsão dos ativos mais e menos importantes está sendo feita de ma-
neira adequada. Se a porcentagem de sistemas sem vulnerabilidade for alta, 
significa que os planos estão indo bem. Se acontecer o contrário, isso pode 
preocupar.
• Tempo médio para solucionar uma vulnerabilidade: avalia as formas de reso-
lução adotadas e se elas estão adequadas para atender às demais demandas 
de segurança. Se o tempo médio para a resolução está elevado, deve-se buscar 
maneiras de consertar tal problema. Assim, atitudes podem ser tomadas para 
treinar ou selecionar as pessoas adequadas para trabalharem nos incidentes.
Empresas trabalham com painéis on-line que apresentam as principais amea-
ças existentes em seus equipamentos.
52
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
3.1.2 FERRAMENTAS DE AVALIAÇÃO DA SEGURANÇA 
DA INFORMAÇÃO
Para auxiliar o trabalho de gestores que avaliam os principais riscos de segurança da 
informação, foram elaboradas algumas ferramentas para atuar no controle e automa-
tização do processo, de forma que as ações possam se tornar dinâmicas na rotina dos 
dispositivos informatizados. 
A seguir, serão apresentadas algumas ferramentas que devem estar presentes no 
cotidiano de pessoas envolvidas com a qualidade da proteção de dispositivos 
informatizados.
endpoints
Uma ferramenta muito aplicada é a detecção e resposta de endpoints. Trata-se de 
um web service fornecido por uma URL, em que seu serviço pode ser acessado por 
uma aplicação-cliente. Como esse tipo de solução é uma das mais empregadas nos 
dias atuais, seu mercado de atuação cresce, e seus produtos que realizam detecção 
estão disponíveis em grande escala para empresas e gestores da segurança da infor-
mação. Essas ferramentas suprem uma necessidade emergente de ferramentas que 
atuam em soluções on-line de maneira dinâmica, permitindo aos gestores tomarem 
decisões mais embasadas. As falhas encontradas no Endpoint podem dizer sobre o 
comportamento existente dentro do plano de prioridades, confirmando se a ferra-
menta on-line que está sendo avaliada e atacada realmente é uma das prioridades 
da empresa e se algum plano contingencial deve ser aplicado para melhorar sua pro-
teção e disponibilidade (MORAES, 2015). A figura a seguir apresenta um exemplo de 
endpoint atuando nos dispositivos informatizados de uma empresa.
53
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
FIGURA 18 - ATUAÇÃO DO ENDPOINT NAS EMPRESAS
Fonte: SHUTTERSTOCK, 2019..
navegador remoto
Outra ferramenta muito útil está ligada à maioria dos ataques realizados por malwa-
res que são recebidos em e-mails ou sites maliciosos existentes na internet. Em geral, 
esses ataques surtem mais efeito com pessoas desinformadas ou mal treinadas. O 
navegador remoto permite uma visualização mais dinâmica. Essa tecnologia pode 
funcionar localmente ou em nuvem e trazer aspectos relativos aos possíveis ataques 
existentes. A figura a seguir representa um esquema sobre a forma de atuação do na-
vegador remoto que rastreia os principais dispositivos a todo o momento e comunica 
assim que existe alguma ameaça.
54
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
FIGURA 19 - REPRESENTAÇÃO DA TECNOLOGIA DE NAVEGADOR REMOTO
Fonte: SHUTTERSTOCK, 2019..
deception
As tecnologias deception também são ferramentas de proteção a ataques ciberné-
ticos. São definidas pela utilização de técnicas de disfarce nos dispositivos informa-
tizados, capazes de impedir ou eliminar processos cognitivos do invasor, realizando 
principalmente a interrupção de suas ferramentas de automação, atrasando as prin-
cipais atividades realizadas no ataque aos sistemas ou recursos de hardware, permi-
tindo que os gestores possam tomar ações corretivas para sanar o ataque ou evitar o 
progresso da falha em outras estruturas da empresa. Essa abordagem deve ser bem 
controlada, e essa ferramenta não pode ser utilizada por pessoas que não detenham 
o conhecimento, pois o disfarce provido pela ferramenta pode ser descoberto pelos 
invasores, se ele não for realizado ou programado de maneira adequada. A figura a 
seguir representa, de forma ilustrativa, formas de proteção por meio da tecnologia 
Deception, que retarda as ações do invasor.
55
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
FIGURA 20 - TECNOLOGIA DECEPTION
Fonte: SHUTTERSTOCK, 2019..
Software de monitoramento de redes
Como os softwares e hardwares são sujeitos a falhas e invasões, existe um conjunto 
de ferramentas simples que podem ser usadas para evitar maiores estragos na rotina 
normal de uma empresa. As soluções de monitoramento de ambientes podem en-
volver situações ideais para que qualquer administrador de sistemas ou responsável 
pela segurança da informação monitore constantemente o ambiente-alvo, evitando 
interrupções de funcionamento da empresa, perdas financeiras, diminuição de ven-
das, entre outros. Nesse caso, a utilização de software de monitoramento de redesou 
de ambiente, assim como o firewall podem trazer uma primeira camada de prote-
ção aos ataques, além de permitir que os gestores acompanhem o comportamento 
dos sistemas. Essa ferramenta de monitoramento pode verificar e monitorar conti-
nuamente a infraestrutura de serviços e sistemas da empresa, localizando compor-
tamento estranho no ambiente. A figura a seguir representa formas de monitorar as 
redes de uma empresa, como fiscalização de mensagens, e-mail, dados, agendamen-
tos e interações entre pessoas.
56
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
FIGURA 21 - MONITORAMENTO DE REDES DE COMPUTADORES
Fonte: SHUTTERSTOCK, 2019..
Softwares de controle pessoal
Outras pessoas utilizam reconhecimentos biométricos, de imagem e de voz para li-
berar acessos aos dispositivos informatizados da empresa. Esse controle pessoal é ne-
cessário em elementos que custam um valor de ativo muito elevado para a empresa, 
além de conterem dados vitais para as atividades da empresa. Sistemas de câmeras 
também podem ser aproveitados para monitorar o acesso físico a dispositivos rele-
vantes para a empresa. O sistema deve acompanhar 24 horas por dia as pessoas que 
acessam esses dispositivos informatizados, para não comprometer seu funcionamen-
to adequado. O funcionamento da conferência de máquinas na empresa por meio 
de câmeras está demonstrado na figura seguinte.
57
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
FIGURA 22 - MONITORAMENTO DE RECURSOS DE INFORMAÇÃO POR MEIO DE CÂMERAS
Fonte: SHUTTERSTOCK, 2019..
O fator preponderante de se usar um software ou recurso de monitoramento é que 
esses elementos conseguem indicar qual dispositivo ou comportamento anômalo 
pode estar interferindo ou causando uma falha específica em seu ambiente de rede, 
agilizando, assim, o isolamento da causa. Esse tipo de fator fomenta novas atitudes 
de prevenção de ataques e preenchem os dados necessários para análises mais ro-
bustas sobre a situação da empresa em relação a suas vulnerabilidades.
Sistema de prevenção de intrusões
Já o sistema de prevenção de intrusões é utilizado para ajudar o firewall na prevenção 
contra ameaças cibernéticas de diversas naturezas. Ele tem como principal responsa-
bilidade o monitoramento do tráfego de rede e identifica atividades maliciosas, além 
de gerar relatórios sobre elas e tentar interrompê-las de praticar ações impeditivas 
nos sistemas. Antivírus podem ser considerados sistemas de prevenção de intrusões, 
porém sua escolha e atualização deve ser acompanhada de perto por pessoas espe-
cialistas na área de segurança da informação. Um antivírus sem atualização perde 
a capacidade de reconhecer a maioria dos ataques existentes, pois acabam sendo 
58
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
descobertos pelos hackers e crackers e são modificados para que não sejam mais 
reconhecidos por esses softwares de proteção (MORAES, 2010). A figura a seguir re-
presenta os elementos utilizados na segurança da informação.
FIGURA 23 - EXEMPLO DE FIREWALL E OUTROS RECURSOS DA SEGURANÇA DA INFORMAÇÃO
Fonte: SHUTTERSTOCK, 2019..
Inteligência artificial
Outras técnicas e pesquisas acabam surgindo para a criação de ferramentas mais 
inteligentes serem utilizadas no contexto de segurança da informação. A inteligência 
artificial (IA) aparece com grande destaque para definir padrões de ataques de for-
ma dinâmica e preditiva. O aumento de ataques cibernéticos gerou uma demanda 
gigante de pesquisas para prever, identificar e atuar de forma corretiva nos ataques 
feitos em elementos da informática. A IA é capaz de simular a capacidade humana 
de reconhecimento de padrões e identificar ações suspeitas dentro de sistemas in-
formatizados. A figura a seguir apresenta uma técnica de segurança da informação 
baseada em inteligência artificial com foco no reconhecimento de faces.
59
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
FIGURA 24 - RECONHECIMENTO FACIAL: TÉCNICAS DE IA AUXILIANDO 
NA SEGURANÇA DE DISPOSITIVOS INFORMATIZADOS
Fonte: SHUTTERSTOCK, 2019..
Existem pesquisas recentes que têm o objetivo de prever ataques cibernéticos 
em um dos tipos específicos de malwares, chamado SQL Injection. Esse ataque 
utiliza as vulnerabilidades presentes nos navegadores e na codificação de pági-
nas web para acessarem, de forma direta, o banco de dados da aplicação. Para 
ler sobre trabalhos recentes nesta linha de pesquisa de inteligência artificial e 
SQL Injection, pesquise por Utilização de Redes Neurais Nebulosas para cria-
ção de um Sistema Especialista em Invasões Cibernéticas, de autoria do Lucas 
Batista.
60
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
Modelos inteligentes, evolutivos, híbridos e recorrentes podem atuar em sistemas es-
pecializados, para predição de ataques cibernéticos.
CONCLUSÃO 
A segurança da informação torna-se cada dia mais relevante na rotina de empresas e 
de pessoas associadas à tecnologia da informação. Portanto, organizar-se em relação 
às tarefas fundamentais dentro do contexto da segurança para os dispositivos infor-
matizados deve ser uma prioridade entre as tarefas a serem executadas pela equipe 
de segurança da informação. Espera-se que as formas de definir tais prioridades se-
jam baseadas em estudos e práticas internacionalmente conhecidas que, além de 
facilitar a rotina de ações, tornam mais fácil a identificação de vulnerabilidades pre-
sentes nos principais dispositivos informatizados da empresa. 
As ferramentas para prever ataques e vulnerabilidades podem definir formas de pre-
venção, controle e verificação da segurança atual dos equipamentos da empresa. Para 
que os elementos de conferência de ataques sejam realizados de maneira coerente, 
espera-se que a priorização e a mitigação dos principais riscos envolvidos na proteção 
desses dispositivos sejam realizadas por parte de todos os envolvidos. 
O cumprimento do plano estratégico de segurança da informação também não 
pode ser descartado, sendo um dos principais guias para as ações a serem tomadas. 
O gestor deve manter um funcionário de TI para verificar a segurança de recursos 
extremamente fundamentais para o andamento das atividades da empresa, sejam 
tais atividades relativas aos valores econômicos envolvidos ou à disponibilidade de 
serviços ativos. Como existem diversas formas de ataque aos sistemas informatizados, 
toda a equipe deve se manter atualizada em relação às principais práticas de prote-
ção, permitindo que o hardware e o software tenham a defesa adequada.
61
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
OBJETIVO 
Ao final desta 
unidade, 
esperamos 
que possa:
UNIDADE 4
> Avaliar os principais 
conceitos de 
segurança na 
navegação da internet.
> Identificar a relação 
entre as camadas do 
TCP-IP e a segurança 
na internet.
62
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
4 SEGURANÇA NA INTERNET
A internet tem um papel fundamental nos dias atuais para transações de negócios 
em empresas e também para grande parte do entretenimento de pessoas em geral. 
Ela se tornou um canal de comunicação fundamental para a rotina das pessoas e, ao 
mesmo tempo, gera interesse de sujeitos maliciosos, que desejam obter vantagens 
no meio cibernético por meio de ataques ecaptura de dados. Os hackers utilizam 
a internet como principal meio de encontrar pessoas mais suscetíveis a fornecerem 
dados por inocência ou estarem navegando em computadores menos protegidos. 
A seguir, você conhecerá aspectos relativos à segurança da informação na internet 
por meio das principais técnicas e das formas de ataque mais comuns existentes 
nos dias atuais. Você verá também como empresas e pessoas devem se proteger dos 
principais ataques maliciosos existentes. Outro fator importante para a segurança 
da informação na internet são as formas de se prover segurança de acordo com as 
características de protocolos de comunicação do TCP-IP. As características técnicas e 
as formas necessárias de proteção nas camadas do protocolo principal envolvido nas 
redes de computadores serão evidenciadas, explorando o conceito de segurança de 
forma técnica e conceitual nas principais formas de interação com a internet. Bons 
estudos!
4.1 SEGURANÇA NA INTERNET
A segurança na internet se faz necessária em dias nos quais a quantidade de técni-
cas e ataques estão crescentes em diversos contextos, como na captura de senhas e 
dados pessoais. A internet tornou-se uma ferramenta importante para os negócios 
das empresas e para o entretenimento de pessoas durante a sua rotina. Porém, a 
quantidade de pessoas maliciosas e técnicas de ataque também crescem na grande 
rede de computadores, possibilitando, assim, uma insegurança quanto à navegação 
e utilização da internet. Portanto, as técnicas de prevenção de ataques e proteção de 
dados emergem para tornar a internet um meio de comunicação e transmissão de 
dados eficiente, permitindo que os analistas de sistemas e pessoas que cuidam da 
segurança da informação tenham um papel de destaque na definição de planos de 
proteção de dados e controles de acessos à internet. 
63
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
Os ataques na internet geram prejuízos para muitas pessoas e empresas (KIM, 2014). 
Compras feitas com cartões clonados ou dados roubados geram transtornos financei-
ros para os proprietários dos dados e prejuízos materiais a donos de sites de venda de 
produtos e serviços. A figura a seguir apresenta um conceito empírico sobre as formas 
de roubos de senhas e dados financeiros de pessoas que acessam a internet.
Muitas pessoas acham que estão imunes a ataques de hackers por imaginarem que 
seus computadores não geram interesse a pessoas que desejam captar dados e uti-
lizar a internet para meios ilícitos. Porém, os hackers aproveitam-se exatamente de 
casos como esse, em que as pessoas se preocupam menos com a proteção de seus 
dispositivos informatizados, tornando-se fontes de invasão para outros meios compu-
tacionais. Assim, eles podem desviar o foco de investigações e conseguir escapar de 
sanções e punições complexas. A figura a seguir apresenta um contexto presente nas 
invasões de hackers na internet: uma rede de invasões.
FIGURA 25 - REDE DE INVASÕES NA INTERNET.
Fonte: SHUTTERSTOCK, 2019.
Quando a pessoa se assusta, seu computador está cheio de vírus, e seus dados e os de 
todos que utilizam o recurso computacional estão desprotegidos. Muitas vezes, os hac-
kers estão interessados em conseguir acesso a grandes quantidades de computadores 
64
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
para construírem uma estrutura robusta de ataques cibernéticos; para isso, eles rea-
lizam varreduras nos equipamentos conectados na mesma rede lógica e localizam 
grande parte dos computadores conectados à internet. A figura a seguir representa o 
momento em que o vírus infecta os computadores desprotegidos.
Um computador invadido pode servir de repositórios de ataques ou criadores de 
spams, destruindo a integridade e a confiabilidade dos dados. Em alguns contextos, os 
computadores estão trabalhando em ataques diversos e, muitas vezes, seus proprietá-
rios não têm a mínima noção de que seu computador está prejudicando outros com-
putadores que navegam na internet. A figura seguinte exemplifica ataques de hackers 
para captura de dados, deixando os usuários sem entender o que está acontecendo.
FIGURA 26 - ATAQUE SURPRESA DE HACKER
Fonte: SHUTTERSTOCK, 2019.
O primeiro passo para se prevenir dos riscos relacionados ao uso da internet é enten-
der que o ambiente virtual segue as mesmas características do mundo real. Tudo que 
ocorre ou é realizado por meio da internet é real: os dados são reais, e as empresas 
e pessoas com quem você interage são as mesmas que estão fora dela. Como a in-
ternet passou a ter uma relevância assustadora para os negócios, uma invasão pode 
causar problemas fora da previsão da empresa, gerando destruição de reputações ou 
até mesmo de valores financeiros reais.
O segundo passo é manter recursos fundamentais de proteção – como os antivírus – 
totalmente atualizados. A indústria de ataques cibernéticos está crescente e, a cada 
dia, novos tipos de vírus são liberados na internet. Por sua vez, as empresas que fa-
bricam os softwares antivírus geram releases capazes de combater essas ameaças. 
65
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
Portanto, manter sua proteção virtual com os arquivos mais atuais torna o seu dis-
positivo informatizado mais protegido e, por consequência, com uma probabilidade 
menor de sofrer ataques.
Antivírus é um software capaz de atuar nas estruturas de acesso do compu-
tador para proteger os recursos de hardware e software dos principais ata-
ques existentes. Ele pode ser gratuito ou pago, e deve ser constantemente 
atualizado.
Os cuidados necessários na internet devem seguir as ações tomadas na vida real. 
Onde não se sentir confiante, a pessoa deve evitar ou criar recursos para proteger seu 
acesso. Acessar sites conhecidos e confiáveis e fornecer dados somente quando tiver 
certeza de que o site é de confiança são atitudes essenciais para garantir menores 
impactos sobre a navegação na internet. Ao buscar programas gratuitos para instalar 
em sua máquina, deve-se optar em fazê-lo em sites conhecidos, tradicionais e que 
tenham procedência. Esse tipo de ação gera maior confiabilidade no elemento a ser 
instalado em seu computador. Com dispositivos móveis, não é diferente. A escolha 
de programas a serem instalados deve seguir critérios de confiabilidade e segurança, 
principalmente por serem fornecidos por lojas oficiais. Evite instalar em celulares pro-
gramas que não possuem procedência ou garantia (GOODRICH, 2012).
Para tentar reduzir os riscos e se proteger, é importante adotar uma postura preven-
tiva, cautelosa e que a atenção com a segurança seja um hábito rotineiro, indepen-
dentemente do local, da tecnologia ou do meio utilizado.
Outros cuidados relativos ao uso da internet, como aqueles que devem ser tomados 
para manter a privacidade, estão relacionados com o uso de redes e dispositivos mó-
veis. No meio corporativo, os cuidados devem ser projetados pela equipe de tecnolo-
gia da informação, e a definição das premissas de segurança deve ser elaborada e dis-
tribuída a todos os presentes e interessados na utilização dos recursos informatizados.
66
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
4.1.1 ELEMENTOS DE SEGURANÇA NA INTERNET
Os elementos envolvidos na segurança da internet devem ser de conhecimento de 
todos os interessados nos dados das empresas. As formas de proteção dos dados e 
os principais riscos de se navegar na internet compõem os principais fatores da se-
gurança da internet. É importante saber “onde pisar”, os principais ataques e que os 
problemasdevem ser observados por todos que manipulam dados e que os transmi-
tem na internet.
A segurança da navegação da internet envolve aspectos técnicos e cogniti-
vos relacionados a essa navegação. Quando os hackers identificam perfis de 
usuários e seus principais acessos, eles elaboram ataques específicos para 
buscar dados privados de empresas e pessoas. Nas empresas, deve-se pre-
parar um plano bem elaborado de regras de acesso e utilização da internet.
Os riscos envolvidos na navegação na internet são diversos. Cada um tem sua fonte 
de ataque e pode gerar problemas de acordo com o ambiente do ataque ou até 
mesmo situações que vão de encontro a princípios e conceitos de convivência hu-
mana. Segundo Wrightson (2014), alguns desses riscos são:
• acesso a conteúdos impróprios ou ofensivos: geralmente, esses conteúdos es-
tão ligados à pornografia, imagens impróprias ou que violem aspectos da hon-
ra e da moral de pessoas. Nesses sites, existem imagens proibidas ou crimes 
que podem acontecer no meio cibernético ou na vida comum das pessoas.
• furto de identidade: pessoas se passando por outros usuários, que não sabem 
que estão sendo invadidos. Esses tipos de abordagem podem permitir que a 
imagem da pessoa seja deteriorada, que seus dados sejam expostos ou até 
mesmo que seus recursos computacionais sejam prejudicados – como acon-
tece, por exemplo, quando o furto de identidade está envolvido no conceito 
de jogos.
67
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
• furto e perda de dados: um dos ataques mais comuns existentes na internet. 
Em geral, os hackers trabalham para conseguir todos os dados de uma pessoa 
para utilizá-los em seu bem comum, violando acessos, realizando compras ou 
até mesmo se passando pela pessoa para obter vantagens pessoais ou finan-
ceiras. Os dados presentes em seus equipamentos conectados à internet po-
dem ser furtados e apagados pela ação de ladrões. Esses códigos geralmente 
são disponibilizados em pequenos programas, que se passam por aplicativos 
inofensivos e instalam portas de acesso aos dispositivos informatizados.
• avaliações superficiais de opiniões e sentimentos: grandes problemas acon-
tecem no meio virtual pela falta de pessoalidade e avaliações de sentimentos 
das ações realizadas na internet. O conceito de uma opinião pode ser avaliado 
com ironia, falta de empatia ou contextos distorcidos. 
• Privacidade inexistente: a privacidade na internet é um fator muito controver-
so, principalmente porque a maioria dos sites e programas que são utilizados 
na internet solicita a permissão para a divulgação de seus dados em contratos 
extensos, que a maioria das pessoas não lê. Além disso, os sites costumam ter 
políticas próprias de privacidade e podem alterá-las sem aviso prévio, tornan-
do público o que antes era privado. Outro fator principal é a possibilidade de 
vazamento de senhas, fotos e particularidades de usuários, que têm seus com-
putadores ou celulares invadidos por pessoas maliciosas. 
• Contato com pessoas maliciosas: existem pessoas que se aproveitam da falsa 
sensação de anonimato da internet para aplicar golpes, agredir pessoas com 
calúnias e difamações e se passar por outras pessoas para captar dados e in-
formações de empresas ou pessoas. Isso acontece na realidade de diversas 
redes sociais presentes na internet e, a cada dia, gera revolta e problemas para 
empresas e pessoas.
• Boatos e blasfêmias: em tempos de intolerância, brigas políticas e dos cha-
mados fake news, diversos aspectos dentro da internet podem gerar infor-
mações errôneas capazes de prejudicar a moral de pessoas públicas ou não. 
Imagens são vazadas com montagens e frases fora de contexto para gerar a 
sensação de impunidade, o que pode prejudicar os contextos sociais e o con-
vívio entre as pessoas que navegam na internet. Como não existem leis tão 
firmes para esses tipos de ataques e acusações, a internet virou terra sem lei, e 
boatos tornam-se um recurso para combater inimigos e destruir reputações. 
Outro fator muito relevante é que as acusações caluniosas podem ser usadas 
68
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
para a divulgação de informações falsas, que podem gerar pânico e prejudicar 
pessoas e empresas.
• falta de leis para exclusão de informações falsas ou inverídicas: a internet 
permite que opiniões fiquem registradas em muitas redes sociais por tempo 
indeterminado. Alguns artistas são questionados por opiniões anteriores, den-
tro de uma realidade que não condiz com os dias atuais. Opiniões também 
são avaliadas em entrevistas e em verificações de características pessoais para 
promoção em empresas. Portanto, as opiniões devem ser bem fundamenta-
das antes de serem fornecidas na internet.
Um caso emblemático ocorrido no Brasil foi a divulgação de fotos íntimas da 
atriz Carolina Dieckmann. Seu caso gerou tanta repercussão que acabou ori-
ginando a Lei Carolina Dieckmann – Lei nº 12.737/2012, de 30 de novembro 
de 2012 –, que promoveu alterações importantes no Código Penal, tipifican-
do algumas atuações maliciosas na internet.
• dificuldade de manter sigilo: técnicas de criptografia tentam aprimorar cada 
vez mais o conceito de proteção sigilosa em relação aos dados que trafegam 
pela internet. Pessoas utilizam a internet com dados importantes para seu 
negócio ou suas vidas particulares, e esses dados podem prejudicar os ganhos 
financeiros ou sua reputação.
• uso excessivo: diversos jovens gastam muito tempo na internet em jogos on-
line, e a pesquisa e a leitura estão diretamente relacionadas às principais ati-
vidades de pessoas que estão em estudos no nível superior. A vida social e o 
contato entre pessoas estão cada vez mais degradados.
• Plágio e violação de direitos autorais: a utilização de conteúdos, textos e con-
ceitos construídos por outras pessoas está envolvida em diversos processos de 
requisição de direitos autorais. Isso também ocorre muito no meio acadêmi-
co, no qual existem práticas de plágio ou de utilização das normas de citações 
de forma incorreta. A Lei dos Direitos Autorais afeta diretamente produtores de 
conteúdo digital, pois as grandes empresas estão cada vez mais requisitando os 
direitos e monetizações oriundos de conteúdos digitais utilizados na internet.
69
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
Já o segundo grupo de elementos da segurança da internet são as principais formas 
de proteção dos dados e os softwares que podem auxiliar na prevenção de ataques. 
Antivírus e firewalls são recursos que atuam no filtro e no controle de elementos que 
trafegam na rede. Um fator que não pode ser desconsiderado é que os critérios, res-
trições e normas devem ser seguidos para garantir a tecnologia da informação e a 
segurança dos dados que trafegam na internet. Controle de downloads, acesso a re-
des sociais e monitoramento contínuo dos passos a serem realizados na grande rede 
garantem que os impactos e os ataques maliciosos sejam menores.
O plano de segurança da informação deve avaliar os impactos, regras e planos de 
contingência no caso de dados furtados. A elaboração de um bom plano de segu-
rança deve envolver os principais ataques e destacar de forma clara e precisa as proi-
bições, permissões e recursos que devem ser protegidos. Além de compor um plano 
eficiente de proteção, ele deve ser amplamente divulgado para evitar que empresas 
sejam prejudicadas por ações incorretas.
4.1.2 PROTOCOLO TCP/IP
A internet funciona segundo os conceitos de redes de computadores. Os principais 
protocolos de comunicação usados na internet incluem o TCP/IP. Esses protocolos 
são definidos por documentos conhecidoscomo request for comments (RFC). Sendo 
assim, a definição dos protocolos não depende nem do sistema operacional, nem 
da linguagem utilizada. Portanto, qualquer protocolo pode ser utilizado dentro de 
qualquer computador, independentemente do sistema operacional utilizado e dos 
recursos de hardware que compõem a rede de comunicação utilizada.
A implementação dos protocolos pode ter pequenas diferenças entre sistemas ope-
racionais. Essas implementações podem ser originadas de frameworks com defini-
ções paramétricas, que, por sua vez, podem variar minimamente de sistema para 
sistema. Prova disso é a internet, onde sistemas diferentes se comunicam sem pro-
blema, usando os protocolos TCP/IP, o que significa que independe da configuração 
ou dos recursos da rede que compõem seu computador. A figura a seguir exemplifica 
as camadas do modelo TCP/IP.
O TCP/IP é uma metodologia de comunicação de elementos da rede de compu-
tadores que foi construída nos Estados Unidos. Assim como a grande quantidade 
70
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
de recursos computacionais existentes no mundo, ele foi elaborado para permitir a 
sobrevivência de uma rede em qualquer condição, mesmo em uma guerra nuclear. 
O protocolo TCP/IP permite que a comunicação seja efetuada entre as pessoas, mes-
mo que elas estejam navegando em diferentes tecnologias de transmissão de dados 
(redes de fibra ótica, comunicação via cabos, fios de cobre, wireless, entre outros). 
Quando o protocolo de comunicação padroniza a comunicação entre recursos dis-
tintos, facilita-se a disseminação de técnicas e de recursos que viabilizam a troca de 
dados. 
A criação do modelo TCP/IP teve como principal fundamento a elaboração de um 
canal no qual as pessoas pudessem se comunicar de forma simples, independente-
mente do hardware ou das configurações de software. Ao contrário das tecnologias 
de rede proprietárias, o TCP/IP foi projetado como um padrão aberto de comunica-
ção, gerando, assim, grande interesse para os hackers. Assim, a proteção nesse ele-
mento de tráfego de dados é necessária e torna-se fundamental para a utilização por 
parte de pessoas comuns em um meio protegido. 
Portanto, a quantidade de recursos computacionais que pode utilizar o protocolo é 
gigantesca. Atualmente, o protocolo TCP/IP tornou-se, de forma simples e rápida, o 
principal protocolo responsável pela comunicação de computadores na internet. 
O modelo TCP/IP possui as seguintes camadas:
• Camada de aplicação. 
• Camada de transporte. 
• Camada de internet, ou inter-rede, ou rede. 
• Camada de acesso à rede ou física.
Além do TCP/IP, existem outros protocolos de comunicação que realizam a 
transmissão de dados no meio computacional. A figura a seguir representa a 
comparação entre os protocolos TCP/IP e OSI.
71
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
FIGURA 27 - COMPARAÇÃO ENTRE OS MODELOS OSI E TCP/IP
1 Aplicação
Aplicação
(Host-to-host) transporte
Internet
Interface de rede
Hardware
Apresentação
Seção
Transporte
Rede
Enlace
Física
Modelo OSI Modelo TCP/IP
2
3
4
5
6
7
Fonte: Elaborada pela UOL EDTECH, 2019.
No entanto, com a rápida utilização da internet em meios empresariais e com o sur-
gimento de várias aplicações para ações e atividades administrativas, as questões 
relativas à segurança de redes de computadores e sistemas computacionais torna-
ram-se demandas inquestionáveis e totalmente necessárias para que a utilização 
desse protocolo seja segura. Enquanto a internet se restringia aos meios científicos e 
acadêmicos nos primórdios de seu surgimento, os problemas de segurança não eram 
tão críticos, porque havia certo controle baseado nos códigos de uso ético da rede, e a 
quantidade de usuários era limitada. Porém, com a abertura da internet para o setor 
privado, principalmente comercial, os problemas de segurança intensificaram-se e 
tornaram-se críticos, gerando grande quantidade de ataques e técnicas para captura 
de dados (MORAES, 2010).
A segurança em computadores que trafegam na internet está relacionada a dois 
grandes aspectos (MORAES, 2015):
• A certeza de que um dado transmitido é originário de quem se diz ser o reme-
tente e de que não foi alterado ao longo do percurso (integridade).
• A confirmação de que, ao longo da transmissão dos dados até a sua chegada 
ao dispositivo informatizado de destino, a informação não foi recebida por 
mais ninguém.
72
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
Esses dois grandes problemas são resolvidos, respectivamente, com a autenticação 
e a criptografia, que devem ser altamente investidas em grandes empresas para pro-
teger o acesso dos principais dados pelos meios de comunicação que são providos 
pelo protocolo TCP/IP. Uma arquitetura em camadas tem como característica fun-
damental a divisão das responsabilidades do envio da informação entre as diversas 
camadas, permitindo que as mensagens tenham destino e origem bem definidos. O 
grande questionamento que se apresenta, portanto, é que camada deve se respon-
sabilizar pela segurança e como ela deve se apresentar para fazê-la.
Sugestões foram feitas para que cada camada fosse responsável por sua segurança; 
porém, devido aos altos custos e à complexidade da definição das proteções, não se 
torna uma abordagem viável. Assim, foram criados vários protocolos de segurança 
para comunicação por e-mail, para navegação na internet ou para o login remoto 
seguro. No entanto, como a camada de aplicação utiliza recursos mais simples em 
sua estrutura, a replicação de recursos para outras camadas torna-se menos comple-
xa para os demais elementos na arquitetura da rede, replicando ações de transmis-
são e comunicação de recursos informatizados em ambientes distintos. Cada tipo de 
e-mail ou navegador torna necessária a construção de soluções específicas para cada 
serviço presente na camada avaliada.
Para tratar de forma preventiva esses elementos, soluções unificadas para todas as 
camadas superiores foram realizadas para dinamizar a atuação dos protocolos de 
comunicação na rede de computadores. A avaliação desse recurso facilita a organi-
zação de elementos de segurança para camadas superiores. A implementação de 
recursos de segurança e comunicação pode ser complexa em camadas inferiores 
devido aos altos recursos computacionais e à dificuldade de se adaptar a segurança 
nas transmissões da internet. Muitos recursos seriam gastos – como estrutura de har-
dware, por exemplo – para proteger todas as camadas superiores do modelo TCP/IP.
Para resolver essa questão, a solução foi implementar o serviço de segurança na ca-
mada de inter-redes, possibilitando um controle por fluxo ou por conexão dentro 
das transmissões de dados feitas pela internet. Vários protocolos foram desenvolvidos 
nessa camada com esse objetivo; alguns rodam apenas sobre o IP, e outros, mais 
versáteis, são capazes de tratar não apenas pacotes IP, mas também outras versões 
existentes do protocolo TCP/IP.
Procurando atender de forma específica a internet, a melhor solução seria que o 
73
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
próprio protocolo IP oferecesse esse serviço sem a dependência de outros protoco-
los, gerando uma unificação na resolução do problema e facilitando a padronização 
da produção de dados dentro da transação realizada no TCP/IP. Foi proposta, então, 
a integração dessa funcionalidade à nova versão do IP, conhecida como IPv6, que 
revolucionou a proteção de dados que trafegam dentro da realidade de redes decomputadores.
As novas versões do TCP/IP facilitam a dinâmica de comunicação de computa-
dores e outros dispositivos informatizados. Pesquise mais sobre o IPv6 em seu 
navegador de internet e veja suas atualizações. Ao abrir seu navegador, pesquise 
sobre “IPv6 conceitos”.
Porém, como a migração de todos os elementos não é uma tarefa simples, um con-
junto de adaptações foi feito para o IP rodar sobre outras versões de segurança – como, 
por exemplo, o IPv4. Essa proteção auxilia as pessoas comuns a identificarem se uma 
página tem ou não protocolos de segurança, possibilitando, assim, que elementos 
presentes na página possam ser acessados de maneira segura e que qualquer dado 
envolvido nessa transação esteja protegido de ameaças externas.
74
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
CONCLUSÃO 
A internet tornou-se um fator essencial na convivência da população atual em rela-
ção ao seu divertimento e em diversos aspectos do trabalho ou da rotina de grandes 
empresas. A proteção de elementos da internet tornou-se fundamental para uma ex-
celente utilização dos recursos informatizados e para a comunicação entre os dados 
que trafegam nos principais protocolos de comunicação da internet. 
A internet trouxe diversos benefícios para a sociedade moderna, mas também diver-
sas formas de ataque para que dados importantes fossem roubados. A utilização da 
internet envolve diversos recursos psicológicos e informatizados que estão envolvidos 
no acesso. Vários elementos relacionados a postagens, falta de regulamentação e re-
cursos técnicos fazem parte de uma rotina muito tensa de tentativas de utilização da 
internet no melhor de seus recursos. 
O contexto de transporte dos dados e a comunicação entre pessoas também pas-
sam por critérios de segurança no protocolo TCP/IP. A forma de proteger os dados na 
comunicação desse protocolo gerou diversos estudos e técnicas para a proteção de 
e-mails, sistemas e recursos informatizados diversos. Portanto, esse conceito é extre-
mamente relevante para aspectos de segurança da informação.
75
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
OBJETIVO 
Ao final desta 
unidade, 
esperamos 
que possa:
UNIDADE 5
> Avaliar os principais 
conceitos e técnicas 
de segurança 
em sistemas de 
informação.
> Analisar os principais 
conceitos e técnicas 
existentes na proteção 
de softwares.
76
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
5 SEGURANÇA DE SISTEMAS
A construção de softwares requer muitos cuidados na elaboração de suas principais 
funções, principalmente em relação a situações que podem gerar problemas de se-
gurança para os recursos informatizados. Existem diversas ameaças que podem ser 
geradas em linhas de código e abrir brechas para invasões externas de hackers. Nesse 
caso, os desenvolvedores e analistas de sistemas devem escolher de maneira adequa-
da os recursos que utilizarão para programar sistemas de informação e, ao mesmo 
tempo, verificar aspectos de segurança relevantes para sistemas desenvolvidos em 
linguagens de alto nível. 
A seguir, serão apresentados fatores, elementos e técnicas de ataque que podem 
acontecer com sistemas informatizados desenvolvidos com linguagens de progra-
mação, bem como exemplos das principais técnicas, as formas como elas podem 
prejudicar o desempenho e o desenvolvimento dos softwares e abordagens que po-
dem ser realizadas para a garantia da segurança dos sistemas produzidos
5.1 SEGURANÇA DE SISTEMAS
A segurança de dados é fundamental para garantir particularidades e situações de 
proteção de dados que não podem ser compartilhados. A segurança de computado-
res passa por várias etapas, como formas de conexão, segurança e até mesmo con-
trole de acesso a sistemas. Sabe-se que hackers tentam encontrar muitas situações 
de vulnerabilidades em sistemas informatizados. Isso requer que a produção de siste-
mas de informação seja coerente com critérios de proteção dos dados manipulados 
por eles.
O primeiro passo dentro da avaliação de segurança para os sistemas começa no seu 
computador para a Internet, caso seja utilizada para transações fundamentais nas 
tarefas a serem executadas pelo software. A maioria dos sistemas se conecta à Inter-
net usando um servidor de hospedagem que deve ser protegido para evitar maiores 
problemas com falta de proteção dos recursos de hardware e de ataques oriundos 
desses elementos. Para utilizar os recursos da Internet em sistemas de informação, o 
mais confiável é usar o protocolo HTTPs, e não HTTP.
77
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
HyperText Transfer Protocol, que em português significa “Protocolo de Trans-
ferência de Hipertexto” (tradução nossa), é o principal responsável pela trans-
missão de dados existentes na Internet, definindo regras, normalizações e 
como eles devem trafegar dentro da rede mundial de computadores.
Em sistemas híbridos, que trabalham com linguagens de alto nível, banco de dados 
e sites programados em html, css e javascript, os cuidados na segurança dessas solu-
ções devem ser ampliados. Geralmente, os sites estão hospedados em servidor con-
fiável, que automaticamente o chama pelo endereço www. Nesse trâmite de dados, 
algumas invasões podem acontecer e colocar em risco a integridade das requisições 
dos usuários. A escolha da linguagem de programação para construir sistemas híbri-
dos para a Internet está presente em grandes fábricas e empresas responsáveis por 
construir sistemas informatizados. Cada uma das linguagens de programação (java, 
C#, php) possui recursos que podem auxiliar na proteção contra ataques existentes 
em vulnerabilidades na Internet. Outro recurso que deve ser bem cuidado em um 
projeto de sistemas é o de banco de dados. Em geral, ele também está hospedado 
em um servidor de aplicações. Para evitar violações na captura desses dados ou re-
quisições que são feitas nesse sistema, são realizadas definições criptográficas para 
permitir que as mensagens sejam tramitadas com segurança entre o sistema e o 
banco de dados, por meio de um recurso chamado criptografia. 
A camada de apresentação protege os dados transmitidos pelas redes de compu-
tadores por meio de técnicas de criptografia. Essa camada utiliza técnicas de segu-
rança para criptografar os dados. Após criptografados, os dados vão para o banco de 
dados, e o receptor os descriptografa quando voltam para a camada de comunica-
ção com o usuário, chamada camada de visão, ou comumente entendida como a 
página da web. 
78
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
A figura a seguir apresenta, de forma conceitual, alguns elementos presentes nos 
sistemas de informação, desde sua interação com o usuário até o hardware utilizado 
para armazenamento de seus dados. Destacam-se a proteção de dados, os negócios 
realizados na computação das nuvens e a segurança on-line, que tratam a organiza-
ção, a captação, o armazenamento e a proteção on-line.
FIGURA 28 - ELEMENTOS PRESENTES NA SEGURANÇA DA INFORMAÇÃO
Fonte: SHUTTERSTOCK, 2019..
A proteção dos dados presentes em banco de dados deve criar as principais barrei-
ras para softwares maliciosos ou requisições que não estejam presentes no contexto. 
As informações dentro do banco de dados estão criptografadas e protegidas, apenas 
o sistema que realizou a requisição possui a chave para descriptografá-las. Para atuar 
nessas proteções, o sistema pode utilizar chaves privadas, chaves públicas ou chaves 
dinâmicas,isto é, aquelas criadas conforme informações do próprio banco de dados. 
79
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
A camada de criptografia é essencial e responsável por toda a proteção da informa-
ção dentro do sistema. Na prática, seria uma classe ou um componente específico 
de segurança. Toda informação enviada ou solicitada passaria pela classe para crip-
tografar e descriptografar informações de um sistema, de um site, de um comércio 
eletrônico e de dispositivos móveis. Essa é uma técnica muito utilizada para garantir 
a integridade da segurança dos dados que são transitados dentro do sistema para 
os servidores do banco de dados. A figura a seguir representa técnicas eficientes na 
segurança de dados utilizados que trafegam em sistemas de informação, como os 
antivírus, segurança biométrica, esquema de chaves e criptografia.
FIGURA 29 - TÉCNICAS DE PROTEÇÃO DE DADOS EM INTERFACES COM O USUÁRIO.
Fonte: SHUTTERSTOCK, 2019.
Porém, como para cada proteção existe uma nova ameaça, hackers buscam trabalhar 
para quebrar a criptografia. O banco de dados, mesmo criptografado, também pode 
sofrer ataques distintos, devido a outras vulnerabilidades presentes nas tecnologias 
de banco de dados, principalmente na invasão de dados diretamente no banco. 
O hacker pode invadir o Sistema de Gerenciamento de Banco de Dados (SGBD), aces-
sar tabelas, modificar registros, excluir referências e ver os dados de cada usuário, 
por exemplo. Nesse tipo de técnica, login e senha dos usuários podem ser capta-
dos para forjar acessos que administradores terão muito mais dificuldade de reali-
zar o rastreamento. No caso de criptografia, mesmo que o hacker consiga acessar o 
80
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
banco de dados, as informações estarão criptografadas e inelegíveis a olho humano. 
Para conseguir ler a informação do banco, o hacker precisará usar o sistema de des-
criptografia, com a mesma chave usada no processo criptográfico. No entanto, essas 
técnicas de descriptografia são comumente estudadas por criminosos cibernéticos, 
para obterem vantagens com os dados.
Portanto, entender como os bancos de dados funcionam garante que as princi-
pais técnicas de ameaças não interfiram no funcionamento do armazenamento 
dos dados de um sistema. Isso prova que, mais do que pensar em códigos dinâmi-
cos e precisos, é necessário avaliar o tipo de servidor de banco de dados que está 
sendo utilizado.
Outros fatores relacionados à segurança de sistemas também envolvem as soluções e 
os plug-ins utilizados na camada de visão. A versão dos dispositivos, formas de comu-
nicação com outros recursos de sistemas e a atualização desses recursos garantem a 
segurança na apresentação de informações.
5.1.1 CONCEITOS E FUNDAMENTOS DE SEGURANÇA 
DE SISTEMAS
Os conceitos de proteção de sistemas de informação envolvem as formas de prote-
ção de código para os principais ataques de hackers na atualidade. Eles fazem uso de 
técnicas maliciosas para atingir as aplicações que são disponibilizadas na web, tais 
como Cross-Site Scripting (XSS), injeção de código, envio de vírus via uploads, entre 
outros. Em geral, essas técnicas de invasão aproveitam-se de más práticas realizadas 
na gestão de códigos gerados pelos erros cometidos na implementação dos códigos 
front-end dos sistemas. Como essas técnicas são extremamente nocivas à integrida-
de da aplicação, existem técnicas que podem auxiliar a implantar linhas de defesa na 
aplicação, de modo a evitar problemas que podem inviabilizar a utilização do site ou 
software, como o roubo de dados, a quebra de segurança e falhas na autenticação da 
solução (GOODRICH, 2012). 
Os dados gerados em sistemas de informação são extremamente estratégicos, por-
tanto muito visados para ataques maliciosos. Esses dados são facilitadores para a to-
mada de decisões gerenciais, por isso os sistemas que os geram devem ter proteção 
reforçada. Quando os dados são modificados, corrompidos, roubados ou excluídos, 
81
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
uma empresa pode sofrer graves perdas em suas atividades rotineiras. O foco da segu-
rança não se refere somente à prevenção contra hackers, aplicações ou redes, mas sim 
na importância da proteção e da segurança dos principais dados gerados no sistema. 
Ao se abordar as principais ameaças que existem no contexto de desenvolvimento 
da programação, o front-end tem como papel principal ser a ponte de acesso, tanto 
para a comunicação com o usuário quanto com as técnicas maliciosas que fazem uso 
de ferramentas de invasão para burlar a segurança da sua aplicação como um todo. 
Por essa e muitas outras razões que o desenvolvimento de softwares com qualida-
de deve ser uma obrigação durante o ciclo de vida do componente informatizado. 
O desenvolvedor, além de abranger um amplo conhecimento em relação a outros 
temas sobre segurança da informação, deve pensar em códigos protegidos para as 
principais ameaças existentes. 
A proteção de servidores de banco de dados e de recursos para controlar a gestão 
de todos os dados deve receber atenção da equipe de segurança da informação. No 
entanto, antes de escolher as principais formas de proteção, é importante que seja 
decidido o modo como as aplicações e dados devem interagir, já que é a definição 
desse fluxo que implica diretamente nas decisões que devem ser tomadas, e na esco-
lha de ferramentas de segurança da informação, a partir da disponibilização de ele-
mentos. Todo aplicativo fornecido na Internet atua em conceitos de manipulação de 
dados em casos de uso. Essas operações são chamadas comumente de Create, Read, 
Update e Delete (CRUD), que representam as respectivas tarefas de criar, ler, atualizar 
e excluir dados em sistemas. As operações de leitura, escrita, atualização e remoção 
de dados em um banco devem ser feitas com foco na necessidade de exposição, e os 
níveis de segurança devem estar aptos a implantar os dados na aplicação. Uma tela 
ou um recurso de construção de casos de uso deve atuar de forma sistêmica na forma 
de proteção dos dados cadastrados nas interfaces. 
O nível de proteção dos dados deve variar de acordo com a importância do sistema, 
com a forma de divulgação dos dados e como eles geram valor agregado ao negócio. 
Um sistema com relevância para o negócio da empresa deve ter nível de seguran-
ça elevado para evitar que ela tenha perdas financeiras ou estratégicas. Para imagi-
nar como os ataques podem impactar no software, suponha uma situação em que 
um hacker tenha acesso facilitado às operações realizadas com o comando select 
da base, e como ele poderá realizar as consultas para furtar os dados, ou até mes-
mo entender como a estrutura de relacionamentos interna foi modelada para o seu 
82
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
sistema, evidenciando os principais relacionamentos entre as tabelas. Quando um 
conhecedor de banco de dados sabe como as tabelas estão relacionadas, fica mais 
fácil explorar as vulnerabilidades e entender como o negócio da empresa funciona. 
A figura a seguir mostra o ciclo de elementos presentes na análise consistente de 
itens da segurança da informação.
FIGURA 30 - CICLO DE CONFERÊNCIAS EM SISTEMAS DE INFORMAÇÃO.
Fonte: SHUTTERSTOCK, 2019.
Algumas ameaças são mais evidentes para sistemas de informação que estão presen-
tes na Internet. Essas ameaças são condizentes com a natureza do serviço fornecido 
pela solução. Algumas são abrangentes, e não necessariamente têm apenas um foco, 
pois atacam umgrupo de aplicativos de diversas naturezas. Uma técnica de ataque 
a sites busca encontrar vulnerabilidades em formulários de digitação de dados, que 
permitem o acesso ao banco de dados por meio de comandos inseridos nos campos 
de digitação. Um ataque do famoso SQL Injection (Injeção de SQL, tradução nossa) só 
é bem-sucedido quando sua aplicação usa SQL de alguma forma (a maior parte das 
aplicações utiliza o SQL para realizar as transações no banco de dados). 
Portanto, para proteger o sistema de ataques por SQL Injection, a programação da 
linguagem deve utilizar recursos que evitem que comandos diretos sejam executa-
dos no banco de dados. Essa técnica utiliza as classes que fazem a comunicação da 
linguagem de programação e os elementos de código do SQL Injection.
83
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
Cada linguagem de programação possui formas distintas de evitar que o 
SQL Injection atue. No PHP, pode ser utilizado o conceito de expressões re-
gulares para limpar toda e qualquer variável enviada pelo sistema; no Java, 
a classe PreparedStatement deve ser o recurso necessário para construir as 
queries (comandos lógicos feitos em linguagem SQL).
Ao evitar que comandos maliciosos sejam realizados nas telas, é garantido que os 
dados sejam acessados somente por comandos controlados.
Veja a seguir um comando em Java, utilizando-se a classe PreparedState-
ment para resolver problemas que a classe Statement gera para o acesso ao 
SQL Injection.
Connection conn = DriverManager.getConnection(“jdbc:mysql://localhost/
livraria?user=root&password=root”); 
Statement stm = conn.createStatement(); 
ResultSet rs = stm.executeQuery(“SELECT * from aluno where id =”+aluno.
getId());
Veja que, nesse código, se o SQL Injection for utilizado, o valor de aluno.ge-
tId() pode vir com um código malicioso. Para resolver esse problema, deve-se 
utilizar o PreparedStatement, conforme listado a seguir:
String sql= “SELECT * from aluno where id =: id”
PreparedStatemend pstmt = SuaConexao.prepareStatement( sql.toString() );
pstmt.setInt(1, “aluno.getId()”);
84
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
Caso os comandos vindos no objeto aluno tenham instruções maliciosas, o 
objeto pstmt dispara uma exceção de código e não permite que a execução 
seja realizada.
Já no PHP, o exemplo de código de utilização de addslashes preenche qual-
quer código vindo da interface do usuário (em geral em formulários) com as-
pas duplas com uma barra, evitando, assim, o acesso direto ao banco de dados.
$login = $_POST[‘login’];$password = $_POST[‘password’];$usuario_escape 
= addslashes($login);$password_escape = addslashes($password);$query_
string = “SELECT * FROM usuarios WHERE codigo = ‘{$login_escape}’ AND se-
nha = ‘{$password_escape}’”;?>
A seguir, serão apresentados alguns conceitos e técnicas sobre as principais ameaças 
envolvidas na segurança de sistemas de informação (KIM et al. 2014):
Buffer overflow
Um hacker consegue inserir dados suficientes em um input buffer (entrada de da-
dos em buffer) para elevar o número de ações e requisições dentro de um sistema 
ou em uma saída esperada. Como resultado a essa requisição, a memória externa ao 
buffer fica corrompida, prejudicando o funcionamento real do aplicativo e gerando 
a insatisfação nos usuários do sistema. Alguns formatos de buffer permitem que o 
hacker execute, de fora da aplicação, tarefas aparentemente impossíveis, devido à 
memória afetada conter código fonte executável. Sua prevenção está relacionada à 
maneira de controlar e verificar o tamanho do intervalo (range) em todos os dados 
de entrada e saída que a sua aplicação utiliza. Assim, quando algum parâmetro uti-
lizado no sistema foge da padronização, ele fará o controle dela, evitando que esse 
dado prejudique o funcionamento de outras atividades inerentes ao funcionamento 
do sistema de informação.
85
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
Code Injection 
Um hacker pode adicionar linhas de código maliciosas dentro de um fluxo de dados 
em um sistema. Para que isso ocorra, ele necessita possuir acesso a um servidor de 
aplicativos e a um computador que utiliza um navegador. Esse comando age de for-
ma que esses códigos façam a intermediação no ataque, posicionando-se exatamen-
te entre os dois principais envolvidos no processo de envio/recuperação dos dados. 
Nesse contexto, o vírus é posicionado entre a comunicação do cliente e o servidor 
para captar os dados que foram transmitidos. O alvo visualiza o código como se nada 
estivesse acontecendo, pois não consegue detectar que suas transações estão sendo 
captadas, já que a parte da página original que foi afetada permanece com a visuali-
zação normal e o servidor que recebe e transmite os dados não pode identificar o có-
digo injetado, que pode estar escondido nos recursos de uma interface, pronto para 
causar todos os tipos de problemas na aplicação, como captura de dados digitados 
ou transmissão de dados incorretos. 
Para evitar que esse tipo de vírus interfira dentro de um sistema, deve-se criptografar 
os dados enviados. O HTTPS pode ser utilizado para proteger os dados por meio de 
códigos de verificação, e exige autenticação de quem solicita os recursos na página 
web utilizada. Fornecer um mecanismo de feedback do cliente também é uma boa 
opção, já que representa um grande testador e poderá fornecer informações rápidas 
sobre falhas na segurança da sua aplicação por meio de mensagens de confirmação 
paramétricas, isto é, com parte dos dados enviados. Os pop-ups utilizam recursos de 
javascript para injetar códigos maliciosos em aplicações na Internet. Certifique-se de 
que o antivírus está atualizado e de sempre manter seu navegador atualizado. 
Esses ataques reforçam que o conhecimento dos desenvolvedores necessita se man-
ter atualizado para proteger o código de ataques diversos e que requer treinamentos 
por parte da equipe de segurança, plano de testes e contingência. E, ainda assim, não 
é garantido que essas técnicas sejam suficientes para garantir segurança.
Um dos problemas mais comuns é o uso de estruturas de tamanho constante e fun-
ções para dados de tamanho dinâmico sem checagem. Os hackers aproveitam que 
alguns desenvolvedores não criam regras para limitar o tamanho de campos digi-
tados e acabam tornando os sistemas inviáveis. Outros fatores que hackers utilizam 
para prejudicar sistemas é tentar inserir dados em banco com o tamanho maior que 
o esperado, para liberar uma exceção de banco de dados.
86
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
Contratar equipes de auditoria de vulnerabilidades pode auxiliar os desenvolvedores 
e empresas a identificarem as fraquezas do código produzido. Para tal, deve-se evitar 
construir códigos extremamente complexos, sem padronização, que aproveitam có-
digos sem a devida conferência.
Um sistema que utiliza dados é checado por correção, deve-se verificar se os dados 
que serão transmitidos estão corretos ou íntegros. Crackers provavelmente inventarão 
novos tipos de dados incorretos para tentar burlar os elementos presentes no siste-
ma. De forma geral, é preferível utilizar mensagens de exceções e de erros inteligíveis, 
de forma que não ocorram surpresas desagradáveis e que essas mensagens possuam 
parâmetros de requisições do cliente no sistema.
5.1.2 FERRAMENTA DE SEGURANÇA DE SISTEMAS
Os problemas existentes na segurança de sistemas de informação crescem todos os 
dias, principalmente em relação aos ataques existentes em dados relevantes deum 
sistema. O conceito de segurança é abrangente, porém as técnicas e a experiência 
para tratar ameaças aos sistemas informatizados devem ser um fator relevante para 
a definição de profissionais da programação e da análise de sistemas. A escolha dos 
melhores recursos e a definição de elementos de proteção dos códigos de ameaças 
externas são facilitadas por técnicas e ferramentas de segurança.
A segurança na escolha de servidores é o primeiro passo para garantir que seus dados 
sejam guardados com sucesso. Nesse ambiente, deve-se escolher uma empresa que 
preze pela segurança e pela utilização de recursos seguros. Grandes organizações de 
tecnologia possuem um esquema de segurança para os dados de grandes empresas, 
que depositam em suas estruturas conjuntos de grande volume de dados.
Já a segurança nos sistemas web significa desenvolver aplicações com desenvolve-
dores comprometidos em manter o sistema seguro, utilizando técnicas atuais de 
proteção aos elementos fundamentais de um sistema. O descuido dos servidores 
pode trazer consequências desastrosas, como dados corrompidos, perda de dados 
e divulgação indevida de dados para concorrentes. Qualquer pendrive inserido no 
servidor de maneira mal intencionada pode destruir o sistema, e os dados podem ser 
perdidos de forma definitiva.
87
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
Quando os dados de um sistema são armazenados na nuvem, o sistema se mantém 
protegido de cybercriminosos e longe de vírus de computador, além de não correr 
o risco de serem destruídos por raios. Porém, sua proteção deve ser feita para evitar 
que as transações e requisições sejam interceptadas. Quando os dados são confiados 
a uma empresa competente, os hackers e crackers da Internet têm muito mais entra-
ves para acessar os recursos do sistema que está na tecnologia de servidor nas nuvens 
(MORAES et al., 2015).
As principais falhas de sistemas de informação referem-se aos erros mais cometidos 
por programadores, que podem levar a falhas de segurança e abrir diversas por-
tas para o crime cibernético e à espionagem de dados relevantes de um sistema. 
Esse fator pode ser diminuído se a empresa criar um plano de treinamento para os 
desenvolvedores entenderem os principais erros e não os cometer novamente em 
outros projetos.
Em sistemas que possuem vulnerabilidades, outros sistemas podem ser utilizados 
para reproduzir ataques a outros sites. Os hackers usam elementos transparentes 
para utilizar um site como hospedeiro sem que ninguém perceba. Portanto, rastrea-
dores de ameaças podem e devem ser utilizados para manter a confiabilidade da 
segurança dos usuários e de seus dados.
Um site que possui uma validação imprópria ou incompleta de dados de 
entrada (um formulário que não controla a quantidade de letras a serem 
incluídas em um banco ou que não valida se no campo idade foi incluído so-
mente números) permite que um hacker insira dados falsos ou que corrom-
pa o sistema (letras, números e símbolos aleatórios) nos campos da página 
de cadastro de usuários ou em inscrições para concursos públicos, fazendo 
com que esta página não funcione corretamente, inviabilizando a inscrição 
de outras pessoas (outro fator que pode acontecer, nesse caso, é a captura de 
dados de outros candidatos). 
88
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
Se o código do programa não incluir regras de negócio para verificar os da-
dos inseridos ou utilizar validações incorretas, o sistema pode ser suscetível 
a utilizar os campos desprotegidos para que os hackers possam capturar 
dados de pagamento de pessoas. Se o site transferir e armazenar dados em 
texto não criptografado (desprotegido), ele está cometendo outro erro, facili-
tando ainda mais o trabalho do hacker. Por isso, a programação dos campos 
não deve permitir o armazenamento de dados digitados, deve obrigar a vali-
dação de aspectos reais, como a quantidade de números corretos.
Alguns erros podem deixar o site totalmente fora do ar, permitindo que a empresa 
tenha um prejuízo financeiro, que pode colocá-la em situação financeira complexa. 
Os hackers apreciam sistemas sem padronização e com baixa segurança, pois suas ex-
periências permitem explorar as vulnerabilidades em busca de vantagens financeiras.
Hackers provocam sérios problemas em empresas, agências do governo e usuários 
comuns todos os dias (WRIGHTSON, 2014). Ataques a base de dados militares e de 
segurança nacional podem gerar transtornos à soberania de vários países, prejudi-
cando o mercado livre entre as nações e dificultando o combate inteligente ao terro-
rismo. Os Estados Unidos, por exemplo, foram acusados de utilizar espionagem em 
sistemas de informação de maneira indevida. 
A programação de computadores sempre se pautou em escolhas aleatórias, ou sem 
um estudo aprofundado, para definir os principais padrões de desenvolvimento se-
guro de aplicações. Isso se deu devido à quantidade de linguagens de programação e 
como elas atuam de forma distinta na construção de softwares, gerando um grande 
aglomerado de técnicas, classes e metodologias para construir um sistema. A falta 
de regulamentação e diferentes arquiteturas de soluções disponíveis para os progra-
madores seguirem dificulta a escolha das melhores técnicas inteligentes para tratar 
as principais ameaças em sistemas. Outro fator que existe e é bem recorrente em 
89
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
grandes fábricas de software é a utilização de várias linguagens em diversos projetos, 
dificultando as atividades de desenvolvimento devido às vastas formas de proteção 
existentes em cada linguagem. Em geral, os programadores são orientados a fazerem 
os programas funcionarem, não importando o que aconteça e como isso ocorre, des-
de que entreguem dentro do prazo estipulado com o cliente. Por isso, os programas 
são pouco consistentes e os softwares geram muitos problemas quando são coloca-
dos em funcionamento pleno (MORAES et al., 2010). 
O desenvolvimento sem foco em técnicas de segurança de sistemas gerou outro pro-
blema: para atrair mais clientes e aumentar os lucros com a venda e a utilização de 
softwares, os programadores das décadas de 1980 e 1990 se empenharam em criar 
programas mais dinâmicos, sem se preocupar com segurança. Assim, uma geração 
de técnicos em desenvolvimento de sistemas cresceu com foco somente na produ-
tividade e com menor olhar para a proteção aos ataques cibernéticos. Muitos siste-
mas operacionais podem representar esse exemplo, pois, a cada versão lançada no 
mercado, novas técnicas de ataque foram elaboradas, prejudicando o lançamento 
de marcas mundialmente conhecidas. O advento da Internet e dos computadores 
conectados em rede completamente sem segurança, principalmente nos anos 1990, 
nos quais os usuários não tinham os conhecimentos necessários sobre os ataques 
existentes, intensificou o problema ao fornecerem aos hackers acesso remoto aos 
seus alvos, pois eles não precisavam mais sentar na frente de um computador para 
invadi-lo, mas só encontrar um recurso malicioso fornecido pelo usuário na Internet, 
até que alguém o acessasse e perdesse o controle da segurança de seu computador 
e seus sistemas. 
Aplicativos bancários sempre sofreram com a falta de segurança, e o medo geral de 
usuários utilizarem recursos informatizados para manipular seu dinheiro gerou mui-
tos transtornos para empresas financeiras e um grande investimento em segurança 
desses aplicativos.
Para evitar que tais problemas sejam recorrentes em sistemas de informação, é pre-
ciso conscientizar os profissionais da computação e assegurar que cadaprogramador 
saiba como escrever códigos sem incorrer nos grandes erros de segurança, permitin-
do, assim, que a equipe de desenvolvimento possua meios necessários para gerir e 
tratar as principais falhas existentes.
90
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
Sabe-se que os ataques dificilmente pararão, pois, a cada sistema lançado, existem 
pessoas buscando sua quebra da segurança. Vários profissionais da computação 
admitem que o aprimoramento de programas, técnicas e de aspectos relativos à 
segurança de sistemas não impedirão ataques de hackers, mas se as medidas de 
qualidade no desenvolvimento de software forem seguidas, esses ataques tendem a 
diminuir consideravelmente. Isso tende a tornar os ataques mais complexos e a um 
público mais limitado, exigindo estudos avançados sobre segurança.
CONCLUSÃO 
A produção de softwares com qualidade na segurança da informação tornou-se um 
fator essencial para a elaboração de sistemas informatizados mais confiáveis de se-
rem utilizados. O desenvolvimento seguindo as principais técnicas de qualidade, 
para que os erros mais recorrentes não sejam cometidos pelos desenvolvedores de 
software, foram evidenciados nesta unidade, bem como técnicas comuns de ataques 
à segurança da informação foram apresentadas e exemplificadas.
Os critérios de hardware e software que atuam na essência da segurança de sistemas 
devem ser alvo da equipe de analistas de sistemas e de qualidade. A proteção, a esco-
lha e a organização dos servidores de aplicação utilizados pelos sistemas informatiza-
dos devem ser bem pensados, para evitar problemas em larga escala. Técnicas, como 
SQL Injection e códigos maliciosos, que interceptam as requisições dos servidores, 
são formas de quebras de segurança da informação que podem inviabilizar o siste-
ma, criando um perfil de insegurança e estabilidade para seus principais usuários. 
Para evitar que essas técnicas sejam utilizadas para prejudicar os sistemas, deve-se 
conhecer os benefícios da linguagem de programação utilizada e pesquisar técnicas 
específicas para identificar e minimizar as fraquezas existentes na linguagem de pro-
gramação. Um sistema seguro garante o sucesso da aplicação e sua manutenção no 
mercado em que atuam.
91
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
OBJETIVO 
Ao final desta 
unidade, 
esperamos 
que possa:
UNIDADE 6
> Avaliar os principais 
conceitos de 
capturas de falhas 
de segurança da 
informação.
> Identificar as 
principais formas 
de tratamento de 
problemas referentes 
aos sistemas de 
informação.
92
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
6 CAPTAÇÃO E CORREÇÃO 
DE ERROS DE SEGURANÇA 
Uma invasão pode gerar transtornos incalculáveis em um sistema de informação. 
Esse sistema pode sofrer com ataques oriundos de diversas naturezas, contextos e 
técnicas. Nesse caso, ele deve estar preparado para se proteger de diversas causas 
de ataques, criando, assim, uma necessidade elevada de qualificação da equipe de 
segurança da informação em técnicas de captura e de tratamento de erros oriundos 
de ataques cibernéticos. A seguir, você conhecerá os elementos necessários para rea-
lizar a captura dos principais erros de segurança que podem acontecer quando um 
software malicioso tem acesso ao sistema. As ferramentas, técnicas e formas de se 
detectar esses erros serão apresentados a você, para fomentar sua carreira de profis-
sional atuante na segurança da informação. Porém, apenas detectá-lo não resolve o 
problema de estabilidade de sistemas. Para que esse objetivo seja alcançado, espe-
ra-se que o sistema também esteja preparado para tratar esses erros de segurança 
e evitar que maiores problemas sejam gerados em outros dispositivos, dados ou até 
mesmo em elementos de hardware e software. 
6.1 CAPTAÇÃO E CORREÇÃO DE ERROS DE 
SEGURANÇA
As falhas no cotidiano de sistemas são problemas constantes para as soluções infor-
matizadas. Cuidar desses problemas rotineiros, tais como falhas em computadores 
e erros de aplicação que tiveram seus dados corrompidos não é tarefa trivial. Tratan-
do-se de incidentes de segurança da informação, eles podem acontecer de diversas 
maneiras, e os impactos na rotina de desenvolvimento de software e na sua utilização 
são muito fortes.
Portanto, o alerta deve estar sempre relacionado à necessidade de um planejamento 
e preparação adequados para atuar de forma dinâmica, precisa e eficiente na prote-
ção das principais ameaças da segurança da informação. A figura a seguir exemplifica 
de forma visual como as ferramentas e softwares podem alertar sobre a captura de 
elementos maliciosos na web.
93
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
Como a importância de um sistema é medida por meio de sua relevância para a to-
mada de decisões estratégicas, espera-se que a sua proteção a ataques indesejados 
seja diretamente proporcional a essa relevância. Alguns elementos podem ser usados 
para definir formas de prevenção a ataques maliciosos, ou até mesmo para evitar que 
esse ataque seja tão catastrófico para o sistema de informação analisado. Os gestores 
devem elaborar a política de gestão de incidentes de segurança da informação, sem 
deixar de lado a relação custo-benefício dos elementos escolhidos e sua viabilidade 
técnica de implantação. Outro fator que pode contribuir muito é o de políticas de 
gestão de riscos atualizadas, pois nelas estão identificados elementos fundamentais 
para o funcionamento do negócio, em destaque para aqueles que envolvem elemen-
tos referentes aos sites ou soluções informatizadas que podem sofrer ataques.
Para auxiliar na previsão de ataques relevantes nos sistemas, podem ser realizados 
os seguintes passos fundamentais para a estruturação de um plano de contingência 
eficiente (KIM, 2014):
1. Estabelecimento da equipe de resposta a incidentes.
2. Fluxo de incidentes de segurança da informação.
3. Planejamento e capacitação da equipe de suporte técnico especializada.
A conscientização da equipe de segurança e desenvolvimento deve ser um papel 
muito bem executado pelo gestor, principalmente em relação à complexidade en-
volvida no gerenciamento de incidentes de segurança da informação e os seus im-
pactos futuros nos sistemas da empresa. 
Uma ação ou tomada de decisões incorreta pode colocar o sistema em uma situa-
ção irreversível de estabilidade e segurança. Outros elementos que devem ser colo-
cados como prioridade para a definição de critérios de segurança é a utilização de 
ferramentas de registro de incidentes e eventos e a de testes e monitoramento dos 
sistemas. Esses recursos computadorizados facilitam a organização de ideias, deter-
minam os padrões de ataques e, ao mesmo tempo, fomentam a atuação rápida e 
efetiva por parte da equipe de tecnologia da informação.
94
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
O principal objetivo das etapas de controle e mitigação dos erros é avaliar e atuar nas 
principais ameaças de segurança da informação, permitindo que um sistema seja 
sempre alvo de proteção e acompanhamento. Nesse contexto, a decisão sobre o que 
é incidente ou não, e como a atuação se dará para sanar os problemas, deve ser feita 
pela equipe de profissionais da segurança da informação. Eles atuam na avaliação 
das informações relevantes associadas ao acontecimento de eventos que violam ou 
poderiam violar a segurança da informação e classificam o evento como um inciden-
te ou não.
A políticade gestão de incidentes de segurança também é extremamente relevante 
para definir padrões na condução das atividades listadas a seguir (KIM, 2014):
• Identificação de serviços afetados pelos vírus.
• Decisão sobre a classificação da iteração como evento ou incidente.
• Utilização de bases de dados sobre situações vividas para investigação dos 
incidentes.
• Manutenção atualizada dos principais ataques e incidentes que ocorreram na 
solução informatizada.
• Avaliação da relevância crítica ao projeto, com base nas classificações de even-
tos/incidentes de segurança anteriormente efetuadas.
A mensuração dos impactos nos ativos da informação também devem fazer parte de 
um plano de contingências e controles dos elementos da segurança da informação. 
Ele sempre deve considerar como referência os critérios definidos como os pilares 
da segurança da informação: confidencialidade, integridade e disponibilidade. Uma 
função fundamental da equipe de segurança da informação é classificar e priorizar 
o incidente/evento, pois, assim, saber-se-á que tais situações não podem passar des-
percebidas, e outras podem ser menos preocupantes para a rotina desenvolvida pelo 
sistema. Nesse caso, com uma gradação correta dos sistemas, a equipe que cuida 
da segurança pode realizar o escalonamento adequado das técnicas e pessoas para 
atender às principais emergências que surgirem de ataques cibernéticos.
Na etapa de conferência e identificação dos riscos da segurança da informação, uma 
95
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
tarefa importante é a de reportar o evento ou incidente a partes interessadas na em-
presa, identificando se a falha ocorreu ou não por problemas técnicos ou humanos. 
Assim, é possível atribuir as responsabilidades adequadas para o tratamento do inci-
dente/evento e mitigar técnicas ou treinamentos para evitar que essas falhas ocorram 
novamente, fornecendo os procedimentos adequados a cada responsável.
Por fim, outras atividades mais específicas podem ser necessárias para armazenar 
de forma adequada evidências ou provas sobre a causa do incidente (sobretudo em 
caso de ataques) e, para tal, as ferramentas da segurança da informação e um conjun-
to de técnicas de prevenção e tratamento de ataques podem ser úteis.
6.1.1 TÉCNICAS DE CAPTAÇÃO DE ERRO DE 
SEGURANÇA EM SISTEMAS DE INFORMAÇÃO
Os ataques cibernéticos ocorrem em larga escala em sistemas importantes para as 
empresas. Isso requer que ações sejam tomadas para captar quando uma ameaça 
está tentando obter acesso a sistemas informatizados. Para tal fim, a descoberta de 
um ataque é essencial para a manutenção da estabilidade do sistema. Essa tarefa en-
volve a detecção de ataques (que geralmente ocorre com o auxílio de ferramentas de 
automação), coleta de dados fundamentais e principalmente as formas de reportar 
como o ataque aconteceu ou tentou ser realizado no sistema, as principais fraquezas 
e possíveis falhas que possam acontecer no sistema, assim como as falhas propria-
mente ditas, realizadas de forma maliciosa ou de forma não intencional.
A detecção de erro de segurança da informação consiste no processo de monitora-
mento e análise de tomada de decisões sobre os eventos em elementos de hardware 
e software, buscando detectar sinais anômalos que têm a intenção de comprome-
ter a confidencialidade, a integridade, a disponibilidade de dispositivos que utilizam 
dados ou mesmo ignorar os mecanismos de segurança de um computador ou rede.
A captação dos erros de segurança da informação em sistemas atua com todas as 
etapas responsáveis por detectar e identificar os pontos focais de ataque, determi-
nando os recursos afetados e as principais técnicas utilizadas. Nesse contexto, espe-
ra-se que a empresa e os profissionais de segurança da informação estejam treinados 
e capacitados a utilizarem ferramentas que facilitem a identificação de ameaças.
96
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
As técnicas que buscam obtenção de dados, destruição de sistemas ou até mesmo 
tomar controle das operações principais de um sistema informatizado têm aumen-
tado à medida que soluções informatizadas tornam-se o carro-chefe para a tomada 
de decisões em empresas. Isso é ruim, pois a cada dia surgem mais e mais formas 
de ataques de diversas naturezas para explorar uma única falha encontrada no siste-
ma. Isso demonstra que os piratas cibernéticos estão ocupando lugar de destaque e 
apresentando ameaças em proporções gigantescas a qualquer dispositivo eletrônico. 
Esses elementos maliciosos criam portas de entrada para crackers e outras pessoas 
mal-intencionadas que desejam destruir totalmente um sistema. O que requer gran-
de atenção por parte das equipes de segurança da informação é que a tendência 
desses ataques é só aumentar, à medida que os avanços tecnológicos também cres-
cem, e acabam gerando mais expectativa de descobrir falhas nas soluções.
Para evitar que tais situações sejam danosas ao funcionamento do sistema, existe um 
movimento que busca criar ferramentas, serviços e métodos de detecção, para que 
as ameaças sejam menos efetivas ao funcionamento de um sistema de informação. 
As soluções mais conhecidas, como o firewall e os antivírus, não são mais os únicos 
elementos que podem auxiliar na proteção e detecção de ataques, até mesmo por-
que, como essas soluções existem em larga escala, vários hackers e crackers tam-
bém exploram suas vulnerabilidades, encontrando maneiras mais sofisticadas para 
seus ataques. Eles conseguem desenvolver ferramentas de intrusão mais poderosas, 
tornando qualquer sistema que transmita dados e que não tenha sido elaborado 
seguindo critérios de qualidade um alvo fácil para ser vítima desses crimes virtuais.
Destacam-se, como principais ferramentas para detecção de ataques, os conhecidos 
firewalls e antivírus, recursos físicos (como servidores espelhados, sistemas que inter-
ligam a detecção, o planejamento e as estratégias para a segurança da informação e 
até ferramentas capazes de simular um ambiente vulnerável) para que os analistas 
de segurança possam simular formas de ataque possíveis e/ou identificar e explorar 
alguma vulnerabilidade encontrada. Essa técnica, chamada pote de mel (Honeypot) 
simula ambientes de ataque sem prejudicar o sistema real simulado, fornecendo 
informações importantes sobre os ataques e as vulnerabilidades encontradas. Essa 
abordagem dinamiza a rotina de muitos envolvidos na segurança e pode auxiliar em 
treinamentos de situações de ataque e dinamizar o conhecimento da equipe, em 
que dúvidas podem ser sanadas com as devidas simulações do contexto analisado.
97
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
Portanto, escolher a ferramenta certa para detectar ameaças vindas de vírus e outros 
elementos maliciosos no meio computacional é necessário para a saúde operacio-
nal dos sistemas de informação. Escolher as melhores ferramentas para detecção de 
acordo com as necessidades da empresa permite que os sistemas sejam contínuos 
e que os dados sofram menor impacto em sua integridade e segurança. A seguir, co-
nheça o IDS, uma das mais importantes ferramentas de segurança da informação e 
suas formas de atuação. 
Sistemas de detecção de Intrusão (IdS)
Os Sistemas de Detecção de Intrusão (IDS) são um conjunto de ferramentas extrema-
mente úteis para a identificação de ameaças ocorridas em sistemas. Eles represen-
tam grupos de software e/ou hardware que monitoram os recursos informatizados 
de forma automatizada, isto é, sem a real necessidade de acompanhamento do ser 
humano. Eles geram alertas sobre quando acontece um ataque de vulnerabilidadede sistemas por meio de mensagens, bloqueios ou até mesmo travamento total das 
operações de sistemas que sofrem ataques de invasão. O processo de monitoramen-
to e geração de alertas sobre situações tidas como não normais, que ocorrem em um 
sistema ou rede de computador, dá-se pela análise de padrões existentes dentro dos 
processos envolvidos. A ferramenta compara os padrões dos arquivos, requisições ou 
ações efetuadas dentro do sistema, analisando pacotes ou alterações nos sistemas de 
arquivos, procurando sinais de problemas de segurança. Como a quantidade de ata-
ques cresce constantemente, é necessário utilizar sistemas de detecção automática 
de ameaças para que ele não seja utilizado para afins não convencionais (MORAES, 
2010). Na figura a seguir, é representada, de forma esquemática, a atuação de um IDS 
na detecção de ameaças.
98
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
FIGURA 31 - SISTEMAS DE DETECÇÃO DE INTRUSÃO
Análise 
forense
IDS
LAN
Internet
Administração 
de alertas
Fonte: SHUTTERSTOCK, 2019.
As intrusões acontecem quando qualquer invasor (seja ele um sistema, um vírus ou 
até uma pessoa) tenta acessar os sistemas pela internet, sem que os usuários estejam 
autorizados a visualizar as funções dos sistemas, ou quando tentam obter privilégios 
adicionais aos que são liberados para seu perfil de usuário, buscando obter vantagens 
ilícitas sobre funções que não deveria fazer, ou até mesmo com os dados que ele não 
deveria ter acesso.
99
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
Um site de uma empresa de vendas está com promoções relâmpago de 
produtos com grande aceitação por parte dos consumidores. O número de 
acessos cresceu e, por consequência, a sua vulnerabilidade a ataques ci-
bernéticos também. Ferramentas de identificação de ataques devem ficar 
alerta a quaisquer tipos de atividades atípicas dos trâmites normais do site, 
identificando quando algum comportamento está fora do esperado, permi-
tindo, assim, que a equipe de segurança possa trabalhar com eficiência na 
resolução dos problemas.
Quando uma empresa utiliza de forma correta um Sistema de Detecção de Intrusão, 
ela pode proteger seus dados de ameaças genéricas, evitando que seus principais 
elementos para tomada de decisões, ou as suas principais funcionalidades de negó-
cio sejam comprometidas. Como as redes de comunicação entre computadores têm 
um nível elevado de ameaças, permite que os analistas de segurança da informação 
façam um diagnóstico de quais principais invasões podem ocorrer, onde elas podem 
ocorrer e quais são os impactos e os resultados oriundos desse ataque. Nessa visão, é 
possível determinar formas de proteção e detecção para ataques específicos.
Por serem ferramentas que auxiliam gestores e técnicos da informação, os sistemas 
que realizam a detecção de intrusos têm uma grande aceitação no mercado de TI. 
Essas técnicas podem evitar desastres maiores. Estudos e novas ferramentas são am-
pliadas para que essas abordagens estejam cada vez mais presentes nos elementos 
de hardware e software dos computadores (WRIGHTSON, 2014).
Porém, não existe unanimidade na utilização das técnicas de detecção, pois, muitas 
vezes, são motivadas pela falta de conhecimento dos técnicos envolvidos no pro-
cesso, pela falta de conhecimento sobre a atuação das técnicas ou até mesmo pela 
falta de recursos. Essa não é uma boa forma de proteger os sistemas, principalmente 
porque a utilização de uma IDS evita problemas diretos de segurança, diminuindo 
os riscos do negócio. Eles geram alertas que podem ser monitorados pela equipe de 
100
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
segurança, melhora a gestão do desenvolvimento de software mediante a identifi-
cação de falhas existentes, evitando que o sistema seja exposto sem necessidade. Os 
sistemas de identificação de anomalias permitem que violações de segurança que 
não foram contidas por outras técnicas e ferramentas sejam detectadas e não pre-
judiquem o sistema de informação, além de detectar e lidar com a predição de um 
ataque, permitindo a criação de documentos que apresentem as características das 
principais falhas a serem consertadas nos sistemas, e como os ataques podem ser 
efetivamente combatidos.
O IDS atua também como um recurso capaz de captar se um sistema foi concebido 
com a qualidade esperada. O controle de qualidade nos projetos e na administração 
da segurança da informação, especialmente em médias e grandes empresas, permi-
te que os riscos referentes às invasões sejam diminuídos, gerando menores impactos 
para a rotina da empresa. Eles geram um grupo de informações (base de conhe-
cimento) úteis para evitar que os mesmos ataques tenham sucesso na violação da 
segurança da informação em sistemas informatizados. Essa base de dados permite 
que a equipe envolvida na definição de ferramentas e plano de contingência para 
violações da segurança da informação possam atuar de maneira efetiva e coesa nos 
diagnósticos, recuperações e preservações das principais funcionalidades presentes 
nos sistemas analisados.
Uma característica extremamente relevante de sistemas IDS é que ele fornece uma 
visão do que está acontecendo dentro dos elementos informatizados que trabalham 
em prol de um sistema. Ele define as rotas que os elementos maliciosos fizeram até 
chegarem ao sistema. Isso permite que a rede seja monitorada constantemente, per-
mitindo que o próprio sistema saiba diferenciar uma atividade incomum de ataque. 
Essa proteção é 24 horas, dinamizando a rotina dos desenvolvedores de soluções de 
segurança que podem investir seu tempo em criar ou estudar novas soluções para 
manter a segurança dos equipamentos e recursos informatizados da empresa.
A detecção de ameaças virtuais possui uma característica muito versátil, principal-
mente pela sua capacidade de personalização para alinhar-se às necessidades espe-
cíficas do cliente e proteger sistemas específicos. Esse recurso permite aos analistas 
de tecnologia da informação, ou de segurança da informação, personalizar as for-
mas de proteção dos recursos envolvidos no sistema (rede, hardwares e softwares) da 
rede, para monitorar atividades específicas. Como a quantidade de ataques cresce 
exponencialmente, as ferramentas devem ter capacidade de adaptação, conforme 
101
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
as requisições de pessoas que desejam proteger seus sistemas. Mesmo que o sistema 
seja um recurso com vários contextos, pode-se afirmar que ele adiciona uma camada 
de segurança às operações realizadas em um sistema, além de possibilitar um acom-
panhamento da propagação de um ataque bem-sucedido, identificando com clare-
za as máquinas afetadas, o que foi comprometido e quais os riscos que essa ameaça 
pode gerar em outros elementos presentes na estrutura informatizada.
Um IDS devidamente configurado pode produzir evidências forenses que po-
dem formar contexto para um processo civil ou criminal contra alguém que 
faça mau uso dos recursos de sua rede, principalmente depois do marco civil 
da internet e leis que definem a privacidade de dados de empresas e pessoas, 
criando regras e recursos punitivos aos maus usuários da internet.
Um destaque importante para o grupo de ferramentas que realiza o monitoramen-
to de ameaças é aquele que tem liberdade de ser proativo em identificar ataques e 
vulnerabilidades. Elas auxiliam os processos por identificar padrões que muitas vezes 
não são visualizados com tanta frequência por humanos. 
102
Segurançada Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
6.1.2 TÉCNICAS DE CORREÇÕES DE ERRO DE 
SEGURANÇA EM SISTEMAS DE INFORMAÇÃO
Mais do que prever como os ataques irão acontecer, é determinar formas de corrigir 
as vulnerabilidades e os impactos causados nos ataques cibernéticos. Quando as es-
tratégias pensadas pela equipe de segurança não são efetivas em sua totalidade, os 
sistemas de informação acabam sendo invadidos e passam por problemas que po-
dem colocá-lo em desuso ou descrédito para o mercado em que atua. Quando as fa-
lhas ocorrem e são devidamente identificadas, a equipe responsável pela segurança 
da informação deve atuar com uma visão coordenada para organizar os problemas, 
a fim de listá-los, correlacioná-los e atuar para saná-los.
Muitas técnicas de corrigir falhas de segurança são disponibilizadas pelas próprias 
ferramentas, como, por exemplo, as restrições de acesso, que podem ser estratifica-
das por pessoas, por cargos, ou por relevância, para a utilização de dados no siste-
ma. Outros problemas podem ser corrigidos com técnicas de qualidade de software, 
utilização de recursos de programação, ou até mesmo ferramentas mais seguras e 
atuais para monitorar os recursos que foram invadidos. Essas descobertas sobre as 
vulnerabilidades de soluções de proteção auxiliam a verificar a qualidade das solu-
ções previamente escolhidas e, por consequência, um replanejamento nas formas de 
bloquear ataques cibernéticos. 
A correção da falha de segurança mostra solidez e maturidade nas ações de segu-
rança da empresa, pois, como a natureza dos ataques varia muito conforme o alvo, é 
impossível prever todas as formas dentro da rotina de um sistema. Isso mostra que 
todo sistema, mesmo que atenda e supra todos os requisitos da qualidade levanta-
dos pela equipe responsável pelo uso, é passível de invasões, e que existem situações 
que podem ser melhoradas e necessitam ser executadas o mais breve possível. O 
que não pode acontecer é negligenciar o ataque que aconteceu, principalmente se 
seus impactos não foram tão elevados. Ele pode ser a porta de entrada para maiores 
ameaças (GOODRICH et al, 2012).
103
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
Quando um ataque acontece, não significa que a empresa foi negligente em 
relação à proteção de seus elementos informatizados. A natureza dos ata-
ques muda de acordo com o alvo e a evolução da tecnologia da informação. 
O importante é não negligenciar a correção e tirar o aprendizado necessário, 
para não sofrer com novos ataques da mesma natureza.
Quando um ataque ocorre em um sistema relevante, deve-se partir do pressuposto de 
que o fato já foi identificado como incidente de segurança e, portanto, deve ser trata-
do no contexto do processo, para que seja compreendido do que se trata a ameaça, 
como se deu o ataque e como a equipe pode resolver essa falha na segurança do soft-
ware. Para tal, a realização de algumas atividades é essencial (MORAES, 2015):
• Realizar ações de contenção e manutenção de softwares, conforme acordado 
no documento de segurança de sistemas.
• Elaborar as respostas ao ataque, inclusive com análises de elementos que pos-
sam ter infringido alguma lei, norma ou regulamento.
• Instigar a resposta para o ataque e determinar os elementos envolvidos.
• Determinar os funcionários responsáveis por voltar o sistema a sua situação 
natural, além de definir quem acompanhará os primeiros passos após a apli-
cação da solução escolhida.
• Analisar os impactos da invasão para o negócio, determinando planos para 
cobrir algum recurso que tenha sido gravemente comprometido.
• Atualizar todas as partes envolvidas sobre o andamento do tratamento do 
incidente.
• Dar continuidade de recolhimento de provas eletrônicas, identificação de cul-
pados e, caso aplicável, disciplinar o autor.
• Obter as principais respostas, para evitar que esse incidente não ocorra 
novamente.
• Recuperar serviços impactados e colocá-los em situação de uso.
104
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
Esse conjunto de atividades pode atuar na correção de falhas futuras, porém o foco 
na escolha de melhores ferramentas e técnicas de análise de segurança não deve ter-
minar apenas devido à resolução de um problema. A natureza do hacker é de tentar 
elaborar novas formas de burlar as regras, principalmente quando sua ameaça for 
descoberta. Quando uma operação de recuperação e manutenção de serviços que 
foi atacada é reestabelecida, espera-se que a empresa e seus profissionais:
1. Listem e propaguem as lições aprendidas.
2. Identifiquem as melhorias ainda necessárias para a segurança da informação.
3. Melhorem a análise e a mitigação dos problemas.
4. Melhorem o plano de incidentes da segurança da informação.
5. Criem novos procedimentos, tarefas e ações a serem realizadas, para tratar os 
problemas de forma mais rápida e efetiva.
6. Melhorem os processos e ferramentas de detecção, para evitar que os impactos 
no processo sejam minimizados.
As formas de captação e tratamento dos erros são fundamentais para a integridade 
dos sistemas. As pesquisas sobre novas formas de se captar e tratar possíveis ataques 
garantem que um sistema de informação seja bem-aceito pelo seu público- alvo, 
mantêm a qualidade na prestação de seus serviços e a integridade de dados funda-
mentais para a execução de suas tarefas. Escolher as ferramentas corretas para os ata-
ques específicos também garante a segurança e a captura eficiente dessas ameaças.
CONCLUSÃO 
Nesta unidade, foram apresentados os principais elementos presentes na captura e 
tratamento de ameaças existentes em sistemas de informação. A utilização de ferra-
mentas capazes de identificar padrões que não sejam condizentes com os aspectos 
normais do sistema auxiliam na identificação de elementos que podem prejudicar 
fortemente o desempenho e a estabilidade de um sistema de informação. 
105
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
As detecções podem ser feitas por ferramentas escolhidas pelos processos de segu-
rança da informação e os estudos realizados pela equipe de segurança da informa-
ção. É importante que essas ferramentas sejam alinhadas com o conhecimento de 
todos os envolvidos, além de providenciar as formas coesas de captar ameaças para 
um determinado problema. Mesmo se as ferramentas e técnicas de segurança não 
forem necessárias para se evitar um ataque, não deve haver desespero. Para tal, exis-
tem as técnicas que atuam nas invasões para minimizar os impactos. Portanto, de-
ve-se investir fortemente nesses tipos de técnicas, caso a empresa ainda não possua 
maturidade suficiente para proteger seus recursos. Uma atuação corretiva eficiente 
pode evitar que o sistema seja desabilitado ou se torne alvo constante de outros tipos 
de invasões cibernéticas.
106
Segurança da Informação
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017SUMÁRIO
REFERÊNCIAS 
FONTES, Edison. Segurança da informação. 1. ed. São Paulo: Saraiva, 2012.
GOODRICH, Michael T.; TAMASSIA, Roberto. Introdução à Segurança de Computadores.
Porto Alegre: Bookman, 2012.
KIM, David; SOLOMON, Michael G. Fundamentos de Segurança de Sistemas de Infor-
mação. Rio de Janeiro: LTC, 2014.
MORAES, Alexandre Fernandes de. Firewalls - Segurança no Controle de Acesso. São 
Paulo: Érica, 2015.
MORAES, Alexandre Fernandes de. Redes sem fio: instalação, configuração e segurança 
–fundamentos. São Paulo: Érica, 2010.
MORAES, Alexandre Fernandes de. Segurança em redes – Fundamentos.São Paulo: 
Érica,2010.
SILVA, Mário Gomes da. Informática: Terminologia - Microsoft Windows 8 - Internet - Se-
gurança - Microsoft Word 2013 - Microsoft Excel 2013 - Microsoft PowerPoint 2013 - Mi-
crosoft Access 2013. São Paulo: Érica, 2013.
WRIGHTSON, Tyler. Segurança de redes sem fio: guia do iniciante. Porto Alegre: 
Bookman,2014.
EAD.MULTIVIX.EDU.BR
CONHEÇA TAMBÉM NOSSOS CURSOS DE PÓS-GRADUAÇÃO A DISTÂNCIA NAS ÁREAS DE:
SAÚDE • EDUCAÇÃO • DIREITO • GESTÃO E NEGÓCIOS
107
FACULDADE CAPIXABA DA SERRA/EAD
Credenciada pela portaria MEC nº 767, de 22/06/2017, Publicada no D.O.U em 23/06/2017
Segurança da Informação
SUMÁRIO
EAD.MULTIVIX.EDU.BR
CONHEÇA TAMBÉM NOSSOS CURSOS DE PÓS-GRADUAÇÃO A DISTÂNCIA NAS ÁREAS DE:
SAÚDE • EDUCAÇÃO • DIREITO • GESTÃO E NEGÓCIOS
	FIGURA 1 - Acessos e informações de segurança em dispositivos informatizados
	FIGURA 2 - Monitoramento de segurança de sistemas realizados por profissionais de TI
	FIGURA 3 - Conceitos da segurança da informação
	FIGURA 4 - Ciberespaço e suas conexões com o mercado
	FIGURA 5 - Formas de atuação do hacker na invasão de sistemas
	FIGURA 6 - Controle, proteção e acesso aos servidores de uma empresa
	FIGURA 7 - Tarefas e controles a serem executados em servidores de arquivos
	FIGURA 8 - Esquema de criptografia de arquivos
	FIGURA 9 - Conceitos e situações nos quais os seres humanos interferem na segurança da informação
	FIGURA 10 - Ameaças no meio computacional
	FIGURA 11 - Elementos da segurança da informação e a forma como se conectam
	FIGURA 12 - Ciclo do ataque e ameaças virtuais
	FIGURA 13 - Planejamento do plano de segurança da informação
	FIGURA 14 - Equipe de monitoramento da segurança da informação
	FIGURA 15 - Elementos a serem verificados em relação aos principais impactos na integridade das informações
	FIGURA 16 - Identificação dos principais riscos da segurança da informação
	FIGURA 17 - Agregação de contextos aos valores do negócio
	FIGURA 18 - Atuação do endpoint nas empresas
	FIGURA 19 - Representação da tecnologia de navegador remoto
	FIGURA 20 - Tecnologia Deception
	FIGURA 21 - Monitoramento de redes de computadores
	FIGURA 22 - Monitoramento de recursos de informação por meio de câmeras
	FIGURA 23 - Exemplo de firewall e outros recursos da segurança da informação
	FIGURA 24 - Reconhecimento facial: técnicas de IA auxiliando na segurança de dispositivos informatizados
	FIGURA 25 - Rede de invasões na internet.
	FIGURA 26 - Ataque surpresa de hacker
	FIGURA 27 - Comparação entre os modelos OSI e TCP/IP
	FIGURA 28 - Elementos presentes na segurança da informação
	FIGURA 29 - Técnicas de proteção de dados em interfaces com o usuário.
	FIGURA 30 - Ciclo de conferências em sistemas de informação.
	FIGURA 31 - Sistemas de detecção de intrusão
	1 Segurança da Informação: Segurança Física e Lógica
	1.1 Segurança da informação: segurança física e lógica 
	1.1.1 Segurança física da informação
	1.2 Segurança lógica da informação
	Conclusão 
	2 Principais Elementos da Segurança da Informação
	2.1 Introdução da Unidade
	2.2 Principais elementos da segurança da informação 
	2.2.1 Ameaças e ataques em sistemas
	2.2.1.1 Ataques e vulnerabilidades em sistemas
	2.2.2 Políticas e mecanismos de segurança
	Conclusão 
	3 Avaliação da Segurança em Sistemas de Informação
	3.1 AVALIAÇÃO DA SEGURANÇA DE SISTEMAS DE INFORMAÇÃO 
	3.1.1 Critérios de avaliação de segurança da informação
	3.1.2 Ferramentas de avaliação da segurança da informação
	CONCLUSÃO 
	4 Segurança na Internet
	4.1 Segurança na internet
	4.1.1 Elementos de segurança na internet
	4.1.2 Protocolo TCP/IP
	Conclusão 
	5 Segurança de sistemas
	5.1 Segurança de sistemas
	5.1.1 Conceitos e fundamentos de segurança de sistemas
	5.1.2 Ferramenta de segurança de sistemas
	Conclusão 
	6 Captação e Correção de Erros de Segurança 
	6.1 CAPTAÇÃO E CORREÇÃO DE ERROS DE SEGURANÇA
	6.1.1 Técnicas de captação de erro de segurança em sistemas de informação
	6.1.2 Técnicas de correções de erro de segurança em sistemas de informação
	Conclusão 
	REFERÊNCIAS