Escolar Documentos
Profissional Documentos
Cultura Documentos
Curso de Seguranca Da Informacao
Curso de Seguranca Da Informacao
Tecnologia da Informao
Segurana da Informao
Certificao Digital.
Segurana da Informao
SI CONCEITOS BEM PROTEGIDO INFORMAO
Segurana da Informao
PSI POLTICA DE SI
As informaes digitais esto sujeitas a uma srie de ameaas (intencionais ou no) que lhes conferem um situao de no confivel; A segurana da informao trata justamente dos conceitos, tcnicas e recursos que conseguem diminuir essa fragilidade, dando nveis de confiabilidade altos s informaes digitais.
AMEAAS VULNERABILIDADES
DANOS
RECURSOS
Princpios da Segurana
Princpios da Segurana
So os pilares nos quais se apia a segurana dos sistemas de informao; Os princpios da segurana so pr-requisitos para que se considere um sistema de informaes seguro. Bizu: sigla CIDA ou DICA;
Confidencialidade: a garantia de que uma informao no ser acessada por pessoas no autorizadas (ser confidencial, ser sigiloso); Recursos que mascaram ou escondem a informao (como a criptografia) e que limitam acesso dos usurios (como senhas) cujo foco a confidencialidade.
14/10/2012
Princpios da Segurana
Princpios da Segurana
Integridade: a garantia de que uma informao no ser alterada sem autorizao durante seu trajeto ou seu armazenamento (manter-se ntegro); Recursos que permitem que se saiba se a informao foi, ou no, alterada, como a Funo Hash, (idia parecida com o dgito verificador do CPF).
Disponibilidade: a garantia de que um sistema de informaes estar sempre disponvel aos usurios quando requisitado; Esta meta pode ser atendida com os Backups das informaes, alm de outras recursos, como geradores sobressalentes, no-breaks, alguns tipos de RAID.
Princpios da Segurana
Autenticidade: a garantia de conhecer a identidade de um usurio ou sistema de informaes com quem se vai estabelecer comunicao (ser autntico, ser quem diz ser);
No-Repdio (irretratabilidade): a garantia que uma pessoa no consiga negar um ato ou documento de sua autoria. uma condio necessria para a validade jurdica de documentos e transaes digitais (conseguida atravs da Autenticidade de Integridade).
Recursos como senhas (que, teoricamente, s o usurio conhece), biometria, assinatura digital e certificao digital so usados para essa finalidade.
10
Princpios da Segurana
Exerccios
Confiabilidade: este o objetivo maior da Segurana. Garantir que um sistema vai se comportar (vai realizar seu servio) segundo o esperado e projetado. (ser confivel, fazer bem seu papel); Para atingir uma alta segurana esse princpio deve ser alcanado com base em todos os outros.
2011 TJ/ES ANALISTA JUD. ADM CESPE Confidencialidade, disponibilidade e integridade da informao, que so conceitos importantes de segurana da informao em ambiente digital, devem estar presentes na gesto e no uso de sistemas de informao, em benefcio dos cidados e dos fornecedores de solues.
11
13
14/10/2012
Exerccios
2008 CEF TEC. BANCRIO ACRE - CESGRANRIO Qual dos princpios bsicos da segurana da informao enuncia a garantia de que uma informao no foi alterada durante seu percurso, da origem ao destino?
a) b) c) d) e)
Riscos
Vulnerabilidades (Fragilidades): prprio sistema, um fator interno, como uma falha no projeto, configurao de um software ou como um todo, que pode ser atacante; um ponto fraco do ou seja, definida implementao ou do ambiente de TI explorada por um
Ameaas: um fator externo, a explorao das vulnerabilidades de um sistema, realizadas por um agente, de forma espontnea ou proposital, para conseguir seu intento; ou ocasionados por acontecimentos externos.
14
15
Malware: programas criados com objetivos nocivos, de prejudicar, comprometendo a segurana dos sistemas de informao. Backdoor: brechas intencionais, no documentadas, em programas legtimos, que permitem o acesso ao sistema por parte de seus desenvolvedores ou mantenedores.
Hackers: usurios avanados em TI, que possuem um exmio conhecimento em informtica, por muitas vezes melhoram os sistemas existentes. Crackers: usurios que invadem sistemas de segurana, quebram senha de programas. Os crackers trabalham de de forma legal e sem tica.
16
17
Malware
Tipos Malware Vrus; Worm; Trojan; Spyware; Adware; Hijackers;
Vermelho ficam no computador atacado. Preto ficam no computador do atacante.
SPAM: envio em massa de mensagens de e-mail no autorizadas pelos destinatrios, em resumo, um spam consiste numa mensagem de correio eletrnico com fins publicitrios. Scam (Golpe): um conjunto de tcnicas para enganar os usurios de sistemas de informao no intuito de enviar-lhe um programa malfico ou simplesmente obter seus dados.
18
19
14/10/2012
Malware
Malware
Vrus de Computador: um programa (ou parte de um programa) que: Necessita de um hospedeiro para existir (um vrus se anexa ao contedo de um arquivo para viver);
Vrus de Boot: infectam o setor de inicializao do HD, denominado setor de boot, afetam o carregamento do Sistema Operacional. Vrus de Macro: infectam arquivos do Office (Word, Excel, Power Point), afetam os macros desses programas e so baseados em VBA (Visual Basic for Applications). Vrus polimrficos: so conhecidos como vrus mutantes, que conseguem modificar a si prprios a cada infeco, dificultando sua identificao.
Prof. Marcelo Moreira
Um Vrus s entra em ao quando seu hospedeiro (e o prprio vrus) executado na memria RAM do micro infectado.
20
21
Malware
Malware
Worm: um programa que apenas usa a estrutura das redes para se copiar de micro em micro, degradando a velocidade da comunicao na estrutura infectada. No precisa de hospedeiro, ele prprio o arquivo que se replica. No precisa ser acionado pelo usurio, ele se utiliza de falhas nos protocolos e servios da rede para se espalhar.
Cavalo de Tria (Trojan Horse): um programa que apresenta-se como algo inofensivo (mensagem de solidariedade, de esperana, um jogo, um carto de Boas Festas, etc.) A mensagem esconde objetivos maliciosos, como apagar dados, roubar informaes e, mais comumente, abrir portas de comunicao para que se possa invadir o computador que foi infectado.
22
23
Malware
Malware
Spyware (programa espio): um programa que monitora e registra os hbitos de navegao e acesso Internet do micro infectado e transmite essa informao a uma entidade externa na Internet, sem o seu conhecimento e o consentimento de vtima.
Um spyware pode conter keyloggers (capturadores de teclado) e screenloggers (capturadores de tela) para copiar as aes e informaes que o usurio est fazendo com o computador.
Prof. Marcelo Moreira
Adware: um programa que fica fazendo anncios de propaganda no micro infectado. Em alguns casos um programa lcito, acompanhando outros programas.
Fica abrindo pginas ou mostrando imagens e links de cassinos, lojas, pornografia e outros.
24
25
14/10/2012
Malware
Malware
Hijackers (seqestradores) so programas ou scripts que "sequestram" navegadores de Internet, principalmente o IE. O hijacker altera a pgina inicial do browser e impede o usurio de mud-la, exibe propagandas em pop-ups ou janelas novas, instala barras de ferramentas no navegador e podem impedir acesso a determinados sites (como sites de software antivrus, por exemplo). A idia vender os cliques que o usurio faz nessas pginas, o que gera lucro para o criador do hijacker.
Rootkit: so um tipo de malware cuja principal inteno se camuflar, impedindo que seu cdigo seja encontrado por qualquer antivrus. Isto possvel por que estas aplicaes tm a capacidade de interceptar as solicitaes feitas ao sistema operacional, podendo alterar o seu resultado. Um rootkit um programa com cdigo mal intencionado que busca se esconder de softwares de segurana e do usurio utilizando diversas tcnicas avanadas de programao.
26
28
Malware
Exerccios
2010 CONFEF Analista em TI - IESES
Botnets: so basicamente redes de computadores infectados por bots. Bots: Este tipo de ameaa leva esse nome por se parecer com um rob, podendo ser programado para realizar tarefas especficas dentro do computador do usurio afetado capaz de se comunicar com os invasores que o colocaram em sua mquina.
Da mesma forma que acontece com o Worm, o bot pode ser um programa independente, agindo e se propagando atravs do seu computador. Desta forma ele cria suas redes e se espalha.
Prof. Marcelo Moreira Prof. Marcelo Moreira
29
30
Malware
Funcionamento Sniffer
Sniffer: um programa que instalado na mquina do atacante e serve para capturar os informaes da rede que chegam quela mquina, mesmo os que no esto direcionados a ela. A placa de rede passa a operar em modo promscuo, no rejeitando nenhum mensagem que chega.
31
32
14/10/2012
Malware
Malware
Port Scanner: um programa que vasculha (verifica) um computador alvo procura de portas (servios) abertas para que, atravs delas, se possa promover uma invaso quele micro. Port scanner envia sucessivos pacotes a vrias portas diferentes, esperando receber um pacote de resposta por uma delas e com isso identificar possveis formas de atacar.
33
Exploit: um programa com o objetivo de tirar vantagem de alguma falha, ou vulnerabilidade, conhecida em um sistema de informao. Um hacker pode constru-lo para demonstrao das vulnerabilidades, a fim de que as falhas sejam corrigidas, ou j os crackers com a finalidade de ganhar acesso no autorizado aos sistemas. Muitos crackers no publicam seus exploits. Seu uso massificado deve-se aos script kiddies (amadores);
34
Phishing
Phishing
Em computao, phishing uma forma de fraude eletrnica, caracterizada por tentativas de adquirir fotos e msicas e outros dados pessoais, ao se fazer passar como uma pessoa confivel ou uma empresa enviando uma comunicao eletrnica oficial. Tal fraude ocorre de vrias maneiras, destaca-se formulrios HTML falsos em emails, URLs falsas, dentre outros.
35
36
Exerccios
Prova: FCC/2009 TCE-GO - Analista de Contr. Ext. TI Considere a hiptese de recebimento de uma mensagem no solicitada de um site popular que induza o recebedor a acessar uma pgina fraudulenta projetada para o furto dos dados pessoais e financeiros dele. Trata-se de a) spam. b) phishing/scam. c) adware. d) keylogger. e) bluetooth.
Prof. Marcelo Moreira
Mecanismos de segurana
Controles fsicos: so barreiras que limitam o contato ou acesso direto informao ou infraestrutura (que garante a existncia da informao) que a suporta. Ex. Portas, trancas, paredes, blindagem, guardas, cmeras, cercas eltricas, ces, etc.
39
40
14/10/2012
Nvel de Segurana
Mecanismos de segurana
Depois de identificado o potencial de ataque, as organizaes tm que decidir o nvel de segurana a estabelecer para uma rede ou sistema os recursos fsicos e lgicos que necessitam de proteo. No nvel de segurana devem ser quantificados os custos associados aos ataques e os associados implementao de mecanismos de proteo para minimizar a probabilidade de ocorrncia de um ataque.
Prof. Marcelo Moreira
41
Controles lgicos: so barreiras que impedem ou limitam o acesso informao, que est em ambiente computacional, exposto a cpia, alterao ou apagamento no autorizado por elemento mal intencionado, que pode estar distante da origem dos dados. Ex. anti-vrus, firewalls, filtros anti-spam, analisadores de cdigo, sistemas biomtricos, hashing, criptografia, assinatura digital, certificao digital, protocolos seguros.
Prof. Marcelo Moreira
42
Exerccios
Prova: 2012 CESPE Papiloscopista da PF
Recursos de Segurana
Antivrus: programas que protegem os sistemas de informao contra vrus de computador. So ferramentas preventivas e corretivas, que detectam e removem vrus de computador e outros programas maliciosos (spywares, worms e cavalos de tria). Ex.: Norton Antivrus, McAfee, Avast, AVG Antivrus e outros.
Prof. Marcelo Moreira
44
27) As senhas, para serem seguras ou fortes, devem ser compostas de pelo menos oito caracteres e conter letras maisculas, minsculas, nmeros e sinais de pontuao. Alm disso, recomenda-se no utilizar como senha nomes, sobrenomes, nmeros de documentos, placas de carros, nmeros de telefones e datas especiais.
43
Recursos de Segurana
Firewall
Firewall: programa que filtra o trfego de entrada e sada de dados em uma rede. O firewall deve ser previamente configurado para o que vai deixar passar e o que vai bloquear. Pode ser implementado tanto em software quanto em hardware.
45
46
14/10/2012
Recursos de Segurana
Caractersticas Backup
freqente: deve ser realizado com muitas vezes, de preferncia, diariamente; cclico: realizado em ciclos, com incio e fim. Esses ciclos podem ter qualquer periodicidade; contemporneo: seu objetivo sempre manter os dados do backup to recentes quanto os dados originais do sistema a que se destina.
Prof. Marcelo Moreira
48
Backup: o ato deliberado de fazer cpia dos dados importantes da empresa para outro local (em mdias de armazenamento, como DVDs, CDs ou Fitas DAT). Backup um dos recursos de segurana, que objetiva manter a disponibilidade dos dados dos sistema.
47
Tipos de Backup
Tipo Normal (Total) Arquivos Todos os arquivos selecionados, Marca todos os arquivos.
Exerccios
Prova: 2012 CESPE Papiloscopista da PF
Apenas os arquivos novos ou modificados desde Incremental o ltimo backup normal, Marca todos os arquivos. Diferencial Apenas os arquivos novos ou modificados desde o ltimo backup normal, No Marca todos os arquivos. Todos os arquivos selecionados, No Marca todos os arquivos. (ex: usado para uma emergncia) Criados ou alterados em data especfica No Marca todos os arquivos.
Prof. Marcelo Moreira
29) Uma caracterstica desejada para o sistema de backup que ele permita a restaurao rpida das informaes quando houver incidente de perda de dados. Assim, as mdias de backup devem ser mantidas o mais prximo possvel do sistema principal de armazenamento das informaes.
De cpia
Dirio
49
50
Recursos de Segurana
Criptografia Exemplo
Criptografia: o processo matemtico usado para reescrever uma informao de forma embaralhada, de modo que no seja possvel entend-la, se ela for interceptada.
A criptografia a base para outros recursos de segurana como a Assinatura Digital e a Certificao Digital. No importando se a criptografia simtrica ou assimtrica o objetivo garantir o sigilo (a confidencialidade) das informaes.
Prof. Marcelo Moreira
51
Funo Mc=Mo x C (algortimo); Mc= Mensagem cifrada; Mo= Mensagem Original; C = Chave criptogrfica.
ABCDEFGHIJKLMNOPQRSTUVWXYZ
ABCDEFGHIJKLMNOPQRSTUVWXYZ Mo = VOU PASSAR NO CONCURSO
Prof. Marcelo Moreira
52
14/10/2012
Criptografia Exemplo
Criptografia Exemplo
Criptografia Simtrica
Criptografia Assimtrica
55
56
Recursos de Segurana
Assinatura Digital: uma forma (meio) que permite associar, irrefutavelmente, uma mensagem a um autor, garantindo que se possa saber a origem da mensagem. A assinatura digital usa chaves assimtricas (pblica e privada), s que de forma diferente da criptografia. Usam-se os termos: assinar = cifrar; verificar a assinatura = decifrar.
Prof. Marcelo Moreira
58
Chaves mais simples, fcil Chaves maiores, que exigem processamento, exige pouco hardware mais poderoso e mais poder computacional. tempo para processamento. Usa apenas uma chave (chave privada). A chave tem que ser compartilhada entre os envolvidos, o que pode se tornar a vulnerabilidade. Pode ser usada nos dois sentidos (A B) e (B A), j que os dois usurios usam a mesma chave. Usa duas chaves. Apenas a chave de codificao compartilhada (Chave Pblica). A chave que decodifica continua segura (Chave Privada) S pode ser usada em um sentido (A B), usando as chaves de B ou no outro (B A), usando as chaves de A.
57
14/10/2012
Assinatura Digital
59
Exerccios
Recursos de Segurana
Autenticidade, confidencialidade e disponibilidade. Autenticidade, confidencialidade e integridade. Autenticidade, integridade e no-repdio. Autenticidade, confidencialidade, disponibilidade, integridade e no-repdio. Confidencialidade, repdio. disponibilidade, integridade e no-
Tais instituies, chamadas Autoridades de Certificao (AC) so responsveis por emitir, revogar e renovar os certificados digitais dos usurios do sistema. Certificado digital um documento (arquivo no computador) que garante a nossa identidade de forma irrefutvel, porque est assinado digitalmente por uma empresa que atesta isso (AC, parece cartrio virtual). O Certificado Digital a nossa chave pblica assinada pela AC.
Prof. Marcelo Moreira
62
e)
61
Certificado Digital
Exerccios
Prova 2011 SEGER/ES Nvel Superior - CESPE Considerando que, em uma intranet, os servidores web estejam configurados para uso de certificados digitais, julgue os itens subsequentes. 39 - Entre as caractersticas de um certificado digital inclui-se a existncia de um emissor, do prazo de validade e de uma assinatura digital. 40 - O uso do protocolo https assegura que informaes trafegadas utilizem certificados digitais. as
Quais informaes so encontradas em um certificado digital? Nmero de srie; Data de validade; Assinatura da AC; Chave Pblica da Entidade CPF/CNPJ da Entidade; E outros.
64
65
10
14/10/2012
Exerccios
Prova 2011 FMS/PI Nvel Superior
De acordo com os conceitos de Segurana da Informao, assinale a alternativa INCORRETA: a) A diferena entre os tipos de backup realizados est, principalmente, no tipo de mdia utilizado. b) Devemos verificar se o endereo de alguns sites comeam com HTTPS, indicando uma conexo segura. Instituies bancrias e de comrcio eletrnico so exemplos de uso. c) Criptografia um mtodo de codificao de dados que visa garantir o sigilo de informaes. d) Cavalo de tria um tipo de software que vem embutido em um arquivo recebido por e-mail ou baixado da rede. Ao executar o arquivo, o usurio permite a abertura de portas, possibilitando a obteno de informaes no autorizadas. e) Um dos princpios de Segurana da Informao a Disponibilidade, propriedade que garante que a informao esteja sempre disponvel, no momento em que a mesma seja necessria.
Prof. Marcelo Moreira
66
Frase Final
67
11