REVISAO PARA PROVA DE SEG. INFORMAÇÃO (1)

Prévia do material em texto

1 
 
 
OQUE É DADO? 
 
Dado – é qualquer elemento identificado 
em sua forma bruta que, por si só não conduz 
a uma compreensão de determinado fato ou 
situação. 
OQUE É INFORMAÇÃO? 
Informação – é o dado trabalhado, 
acrescido de significado, 
relevância, contexto, propósito. 
Informação é muito mais do que um conjunto 
de dados. Transformar estes dados em informação 
é transformar algo com pouco significado 
em um recurso de valor para nossa vida pessoal 
ou profissional. 
A informação é um ativo que, como qualquer outro 
ativo importante para os negócios, tem um valor 
para a organização e consequentemente necessita 
ser adequadamente protegida 
PASSOS DA EVOLUÇÃO DOS DADOS 
 Dados 
 Informação 
 Conhecimento 
 Inteligência 
OQUE É SEGURANÇA DA INFORMAÇÃO 
A segurança da informação protege a informação 
de diversos tipos de ameaça, para garantir 
a continuidade dos negócios, minimizando 
os danos aos negócios e maximizando o retorno 
dos investimentos e oportunidades. 
 
 
 
2 
 
 
PILARES BÁSICOS DA SEGURANÇA (CID OU CIA EM INGLES) 
 
 Confidencialidade 
 Integridade 
 Disponibilidade 
 
Confidencialidade: 
Propriedade que limita o acesso 
a informação tão somente às entidades 
legítimas, ou seja, àquelas autorizadas 
pelo proprietário da informação. 
Integridade: 
Propriedade que garante que a informação 
manipulada mantenha todas 
as características originais estabelecidas 
pelo proprietário da informação, incluindo 
controle de mudanças e garantia 
do seu ciclo de vida: 
nascimento, manutenção 
e destruição. 
Disponibilidade: 
Propriedade que garante que a informação 
esteja sempre disponível para o uso 
legítimo, ou seja, por aqueles usuários 
autorizados pelo proprietário 
da informação. 
 
OQUE É ENGEARIA SOCIAL 
Apesar do nome, a Engenharia Social nada tem a ver com 
ciências exatas ou sociologia. Na verdade, trata‐se de uma das 
mais antigas técnicas de roubo de informações importantes de 
pessoas descuidadas, através de uma boa conversa 
(Virinfo,2002). 
Consiste na habilidade de obter informações ou acesso a 
Indevido a determinado ambiente ou sistema, utilizando 
técnicas de persuasão (Vargas,2002). 
3 
 
 
 
 
CRIMES VIRTUAIS MAIS COMUNS 
 
 
Roubo de identidade: 
Os piratas virtuais enganam os internautas e se apoderam de 
suas informações pessoais para fazer compras on‐line ou 
realizar transferências financeiras indevidamente. 
 
Pedofilia: 
Internautas criam sites ou fornecem conteúdo (imagens e 
vídeos) relacionado ao abuso sexual infantil. 
 
Calúnia e difamação: 
Divulgação de informações ‐‐muitas vezes mentirosas‐‐ que 
podem prejudicar a reputação da vítima. Estes crimes 
tornaram‐se mais comuns com a popularização do site de 
relacionamentos Orkut. 
 
Ameaça: 
Ameaçar uma pessoa ‐‐via e‐mail ou posts, por exemplo, 
afirmando que ela será vítima de algum mal. 
 
Discriminação: 
Divulgação de informações relacionadas ao preconceito de 
raça, cor, etnia, religião ou procedência nacional. Também 
torno se mais comum com a popularização do Orkut. 
 
Espionagem industrial: 
Transferência de informações sigilosas de uma empresa para o 
concorrente. 
A tecnologia facilita este tipo de ação, já que um funcionário 
pode copiar em um palmtop ou memory stick, por exemplo o 
equivalente a quilos de documentos. 
 
Cyberbullying: 
É um tipo de bullying melhorado. É a prática realizada através 
da internet que busca humilhar e ridicularizar os alunos, 
pessoas desconhecidas e também professores perante a 
sociedade virtual. 
 
4 
 
 
 
ALGUNS MITOS SOBRE SEGURANÇA DA 
INFORMAÇÃO 
 
 Isto nunca acontecerá comigo; 
 Nunca fomos atacados, não precisamos de mais 
segurança; 
 Já estamos seguros com um firewall; 
 Utilizamos os melhores (mais caros) sistemas de 
segurança, então eles devem ser seguros; 
 Não podemos gastar com segurança agora, deixa assim 
Mesmo; 
 
 
MITOS SOBRE S.I 
 
Ninguém vai descobrir essa “falhinha” 
de segurança; 
Tomamos todas as atitudes e precauções. 
Testes não são necessários; 
Nosso parceiro é confiável, pode liberar 
acesso para ele. 
 
OQUE É VUNERABILIDADE? 
 
Falhas ou conjuntos que podem ser explorado por ameaças. 
 
ALGUNS TIPOS DE VUNERABILIDADES 
 
1-Físicas: salas mal planejadas e segurança fora dos padrões 
exigidos; 
2. Naturais: tempestades, incêndio, aumento da umidade e 
temperatura; 
3. Hardware: desgaste do equipamento, obsolescência, má 
utilização; 
4. Software: má instalação, erros de configuração, vazamento, 
perda de dados/ informações, indisponibilidade de recursos; 
 
OQUE SÃO AMEAÇAS? 
 
Causa potencial de um incidente, que caso se concretize pode 
resultar em dano. 
5 
 
 
 
Consequências de uma ameaça: 
Uma violação de segurança resultado da ação de uma ameaça. 
Inclui: divulgação, usurpação, decepção e rompimento. 
Classificação 
 
• Naturais – Incêndios naturais, enchentes, terremotos, etc. 
• Involuntárias – Causadas pelo desconhecimento. Podem ser 
Causados, por acidentes, erros, falta de energia, etc. 
• Voluntárias – Propositais causadas por agentes humanos 
como 
hackers, invasores, espiões, ladrões, criadores e 
disseminadores de vírus de computador, incendiários. 
 
Um ataque pode ser: 
 
Ativo, tendo por resultado a alteração dos dados; 
 
Passivo, tendo por resultado a liberação dos dados; 
 
Destrutivo visando à negação do acesso aos dados ou 
serviços. 
 
Hackers: Distinções apenas teóricas 
 
Crackers: Invadem para causar danos, incluindo furto por meio 
eletrônico. 
 
Carder: cracker especializado em fraudes com cartões de 
crédito. 
 
Defacer: hacker que invade sites para alterar o conteúdo da 
home page. 
 
Lamer: sem conhecimentos avançados, tenta se fazer passar 
por hacker. 
 
Phreaker: hacker especializado em violar o sistema telefônico . 
phone e hacking – Capitão Crunch. 
 
 
 
6 
 
 
OQUE MALWARE (MALICIOUS SOFTWARE)? 
 
 Malware: são programas e comandos feitos para diferentes 
Propósitos: apenas infiltrar um computador ou sistema, causar 
danos e apagar dados, roubar informações, dados e serviços. 
É a palavra que engloba programas perigosos, invasivos e 
mal intencionados que podem atingir um computador. 
 
SPOOFING 
Phishing: pescaria 
 
76% phishing tem como alvo serviços financeiros. Envio de 
mensagem não solicitada, que se passa por comunicação 
de uma instituição conhecida. 
 
TIPOS DE ATAQUE: 
• Ataques Ativos – DoS, DDoS, buffer overflow, inundação de SYN 
• Ataques Passívos – Pesquisa de vulnerabilidade, sniffing, 
• Ataques de Senha – Força bruta, Dicionário, “hackish”, Rainbow, 
Tables 
• Código malicioso (malware) – Vírus, trojans, worms. 
 
Ataques Ativos 
 
• DoS/DDoS 
– Reduzir a qualidade de serviço a níveis intoleráveis 
– Tanto mais difícil quanto maior for a infra - estrutura do alvo 
– Enquanto DoS é de fácil execução e pode ser corrigido, DDoS 
é de difícil e não pode ser evitado 
– “Zombies” e Mestres (Masters), ataque smurf 
– BOTs e BOTNets, ataques “massificados” por banda larga 
 
• Lixeiros 
– Documentos sensíveis mal descartados 
– Informações em hardwares obsoletos 
– Falta de Política de Classificação da Informação. 
 
• Engenharia social 
– Kevin Mitnick 
– Normalmente relevada nos esquemas de segurança 
7 
 
 
– Utiliza-se do orgulho e necessidade de autoreconhecimento, 
intrínseco do ser humano 
 
• Buffer Overflow 
– Sobrescrever o próprio código em execução 
– Conseguir acesso privilegiado. 
• Ataques SYN 
– Fragilidade do TCP/IP 
 
• Spoofing 
– Se fazer passar por outro ativo da rede. Msgs 
enviadas por fontes maliciosas. 
 
• Vírus 
– Auto replicante 
– Interfere com hardware, sistemas 
operacionais e aplicações 
– Desenvolvidos para se replicare iludir 
detecção 
– Precisa ser executado para ser ativado 
 
Ataques ativos por código malicioso 
 
• Cavalos de Tróia (Trojans) 
– Código malicioso escondido em uma aplicação 
aparentemente legítma (um jogo por exemplo) 
– Fica dormente até ser ativado 
– Não se auto replica e precisa ser executado 
– Ameaça à: C, I , A. 
 
• Worms 
– Auto replicante, mas sem alteração de arquivos 
– Praticamente imperceptíveis até que todo o recurso disponível 
seja consumido 
– Ameaça à: I,A 
– Meio de contaminação mais comum através de e-mails e/ou 
vulnerabilidades em aplicações de rede 
– Se multiplica em proporção geométrica 
– Exemplos famosos: 
• LoveLetter, Nimda, CodeRed, Melissa, Blaster, Sasser. 
 
 Back Door 
– Trojan, root kits e programas legítimos 
8 
 
 
• VNC, PCAnyware, DameWare 
• SubSeven, Th0rnkit 
– Provê acesso não autenticado a um sistema 
– Ameaça à: C. I , A 
 
Ataques Passivos 
• Normalmente utilizado antes de um ataque ativo. 
 
• Pesquisa de Vulnerabilidades 
– Pesquisa por Portas/Serviços 
 
• Escuta (sniffing) 
– Extremamente difícil detecção 
– Não provoca ruído sensível 
– Senhas em texto claro, comunicações não encriptadas. 
 
• Ataques de Senha 
– Muito comuns pela facilidade de execução e taxa de sucesso 
• Cain&Abel, LC5, John The Ripper, ... 
 
• Força Bruta 
– Teste de todos os caracteres possíveis 
– Taxa de 5 a 6 Milhões de testes/seg, em um P4. 
 
• Ataques de Dicionário 
– Reduz sensivelmente o tempo de quebra 
– Já testa modificado para estilo “hackish”: B4n4n4, C@73dr@l, 
P1p0c@, R007, .. 
 
OQUE É INCIDENTE? 
Evento que comprometa a operação do negocio ou cause danos 
aos ativos da organização. 
 
OQUE É FIREWALL 
 
Firewall é o mecanismo de segurança interposto entre a rede 
interna e a rede externa com a finalidade de liberar ou bloquear o 
acesso de computadores remotos aos serviços que são oferecidos 
em um perímetro ou dentro da rede corporativa. 
 
 
9 
 
 
OQUE É POLITICA DE SEGURANÇA? 
 
• Segundo Fontes (2000), uma Política de Segurança é formada 
por decisões que coletivamente determinam a postura de uma 
organização em relação à segurança. Mais precisamente 
determina os limites aceitáveis de comportamento e as 
medidas a serem tomadas no caso de sua violação. 
 
• Os principais objetivos de uma Política de Segurança são os 
de definir as expectativas da organização quanto ao uso dos 
seus computadores e rede e de se estabelecer procedimentos 
visando prevenir e responder a incidentes relativos à 
segurança da informação