Esr Npe SEG1.WEB v2.2.0

Introduo
Segurana
de Redes
Ivo Peixinho
A RNP Rede Nacional de Ensino

e Pesquisa qualificada como
uma Organizao Social (OS),
sendo ligada ao Ministrio da
Cincia, Tecnologia e Inovao
(MCTI)
responsvel
pelo
Programa Interministerial RNP,

que conta com a participao dos
ministrios da Educao (MEC), da
Sade (MS) e da Cultura (MinC).
Pioneira no acesso Internet no
Brasil, a RNP planeja e mantm a
rede Ip, a rede ptica nacional
acadmica de alto desempenho.
Com Pontos de Presena nas
27 unidades da federao, a rede
tem mais de 800 instituies
conectadas. So aproximadamente
3,5 milhes de usurios usufruindo
de uma infraestrutura de redes
avanadas para comunicao,
computao e experimentao,
que contribui para a integrao
entre o sistema de Cincia e
Tecnologia, Educao Superior,
Sade e Cultura.
Ministrio da
Cultura
Ministrio da
Sade
Ministrio da
Educao
Ministrio da
Cincia, Tecnologia
e Inovao
Introduo
Segurana
de Redes
Ivo Peixinho
Introduo
Segurana
de Redes
Ivo Peixinho
Rio de Janeiro
Escola Superior de Redes
2013
Copyright 2013 Rede Nacional de Ensino e Pesquisa RNP

Rua Lauro Mller, 116 sala 1103
22290-906 Rio de Janeiro, RJ
Diretor Geral
Nelson Simes
Diretor de Servios e Solues
Jos Luiz Ribeiro Filho

Coordenao
Luiz Coelho
Edio
Pedro Sangirardi
Reviso Tcnica
Fernando Amatte
Coordenao Acadmica de Segurana e Governana de TI
Edson Kowask Bezerra
Equipe ESR (em ordem alfabtica)
Celia Maciel, Cristiane Oliveira, Derlina Miranda, Elimria Barbosa, Evellyn Feitosa, Felipe
Nascimento, Lourdes Soncin, Luciana Batista, Luiz Carlos Lobato, Renato Duarte, Sergio
Ricardo de Souza e Yve Abel Marcial.
Capa, projeto visual e diagramao
Tecnodesign
Verso
2.2.0
Este material didtico foi elaborado com fins educacionais. Solicitamos que qualquer erro encontrado ou dvida com relao ao material ou seu uso seja enviado para a equipe de elaborao de
contedo da Escola Superior de Redes, no e-mail info@esr.rnp.br. A Rede Nacional de Ensino e
Pesquisa e os autores no assumem qualquer responsabilidade por eventuais danos ou perdas, a
pessoas ou bens, originados do uso deste material.
As marcas registradas mencionadas neste material pertencem aos respectivos titulares.
Distribuio
Rua Lauro Mller, 116 sala 1103

22290-906 Rio de Janeiro, RJ
http://esr.rnp.br
info@esr.rnp.br
Dados Internacionais de Catalogao na Publicao (CIP)

P380i
Peixinho, Ivo de Carvalho.

Introduo Segurana de Redes / Ivo de Carvalho Peixinho, Fernando Pompeo Amatte.

Rio de Janeiro: RNP/ESR, 2013.

204 p. : il. ; 28 cm.

Bibliografia: p. 183-185.
ISBN 978-85-63630-23-0

1. Redes de Computadores Segurana. 2. Segurana da informao Ameaas,

Vulnerabilidades, Risco. 3. Segurana lgica. 4. Fundamentos de segurana. 5. Poltica

de segurana. I. Amatte, Fernando Pompeo. II. Ttulo

CDD 004.66
Sumrio
A metodologia da ESRxiii
Sobre o curso xiv
A quem se destinaxiv
Convenes utilizadas neste livroxiv
Permisses de usoxv
Sobre os autoresxvi
1. Introduo, histrico e princpios bsicos de segurana

Introduo 1
Exerccio de nivelamento 1 Informao1
Segurana da informao1
Segurana de redes2
Exerccio de fixao 1 Segurana de redes3
Anos 50 e 603
Anos 703
Anos 804
Ano de 1988 6
Ano de 20016
Ano de 20037
Ano de 20097
Segurana no Brasil7
Ano de 20118
iii
Ano de 20128
CSIRTs no Brasil8
Decreto n 3505, de 13 de junho de 20009
DSIC10
Princpios bsicos de segurana10
Exerccio de fixao 2 Princpios bsicos de segurana10
Princpios bsicos de segurana11
Roteiro de Atividades 113
Atividade 1.1 Listas e informaes complementares de segurana13
2. Conceitos de segurana fsica e segurana lgica

Introduo15
Exerccio de nivelamento 1 Conceitos de segurana fsica e segurana lgica15
Segurana fsica15
Segurana externa e de entrada16
Segurana da sala de equipamentos17
Supresso de incndio17
Exerccio de fixao 1 Segurana em permetro19
Segurana dos equipamentos19
Redundncia20
Exerccio de fixao 2 Redundncia25
Segurana no fornecimento de energia25
Salvaguarda (backup)26
Descarte da informao27
Segurana lgica28
Firewall28
Necessidades em um firewall29
Packet filtering (filtro de pacotes)30
Stateless 30
Stateful packet filter 30
Application proxy 30
Deep packet inspection 31
Exerccio de fixao 3 Firewall32
iv
Uma viso a partir do datagrama32

Exemplos de firewalls33
Detectores de intrusos33
IDS Snort34
Fluxo de funcionamento do Snort34
Hids35
Kids36
IPS36
Redes virtuais privadas36
Autenticao, autorizao e auditoria37
Autenticao, autorizao e auditoria37
Atividade 2.1 Segurana fsica e lgica39
3. Panorama atual da rea de segurana

Introduo41
Panorama atual da internet41
Exerccio de nivelamento 1 Panorama atual da rea de segurana42
Acesso em banda larga modem bridge42
Acesso banda larga modem router42
Principais erros43
Ameaas frequentes44
Vrus44
Tipos de vrus45
Worms 46
Cavalo de troia46
Spyware 48
Malware49
Mobile Malware49
Exerccio de fixao 1 Malwares50
Preveno50
Vulnerabilidades50
Estatsticas51
Hacker, cracker e outros personagens52
v
Motivao54
Atividade 3.1 Controles de informtica55
Atividade 3.2 Servios e ameaas55
4. Arquitetura TCP/IP conceitos bsicos

Exerccio de nivelamento 1 Arquitetura TCP/IP57
Introduo57
Famlia de protocolos TCP/IP58
Camada fsica58
Hub (Ethernet)59
Bridge (Ethernet)59
Switch (Ethernet)60
Endereamento fsico61
Camada de rede61
Protocolo IP (Internet Protocol)62
Endereamento IP63
Subnetting (endereamento por sub-rede)64
Protocolos auxiliares (ARP, RARP e ICMP)64
ICMP65
Endereamento dinmico66
Exerccio de fixao 1 Endereamento dinmico66
Roteamento66
Exerccio de fixao 2 Roteamento67
Camada de transporte67
TCP67
Cabealho TCP68
UDP69
Camada de aplicao70
Camada OSI71
Packet Filter (filtro de pacotes)71
Stateful (Filtragem com Estado de Conexo)72
Bridge Statefull 73
Solues de firewall 73
Sniffers74
vi

Atividade 4.1 Sniffers para captura de dados75
Atividade 4.2 Estados de firewall75
5. Arquitetura TCP/IP e segurana

Exerccio de nivelamento 1 Arquitetura TCP/IP e segurana77
Introduo77
Sniffers (farejadores)78
Source routing (roteando pela fonte)79
DoS (Denial of Service)80
Exerccio de fixao 1 Negao de servio81
Spoofing81
E-mail spoofing82
IP spoofing82
SYN flood84
Smurf85
Modelo de ataque fraggle85
Modelo de ataque DRDOS86
Portscan (varredura de portas)87
Distributed Denial of Service (DDoS)88
DDoS (DoS distribudo)90
Exerccio de fixao 2 DDoS 90
Modelo de ataque DDoS em duas camadas90
Modelo de ataque DDoS em trs camadas91
Modelo de ataque DDoS/Worm92
Vulnerabilidades em implementaes especficas92
Ping da morte92
Teardrop92
Land92
Atividade 5.1 Conceito de varreduras95
Atividade 5.2 Simulando ataques com Hping95
Atividade 5.3 Simulando um ataque DoS Land 96
vii
6. Criptografia I Fundamentos
Introduo97
Exerccio de nivelamento 1 Fundamentos de criptografia98
Criptografia algoritmos e chaves98
Tipos de criptografia100
Criptografia simtrica101
Eletronic Code Book 102
Cipher Block Chaining 103
Cipher Feed Back 103
Output Feedback 104
Data Encryption Standard (DES)105
3DES, RC-4, IDEA e AES106
Algoritmo Diffie-Hellman107
Criptografia assimtrica108
Funes de hash109
Exerccio de fixao 1 Criptografia assimtrica110
Assinatura digital110
Certificao digital111
Public Key Infrastructure (PKI)112
Exemplo completo113
Atividade 6.1 Conhecendo mais sobre certificao digital115
Atividade 6.2 Uso de criptografia em e-mails115
Atividade 6.3 Uso de criptografia em arquivos115
Atividade 6.4 Criando um continer seguro 116
7. Criptografia II Aplicaes
Introduo119
Exerccio de nivelamento 1 Criptografia 120
Assinatura digital120
Blind signature (assinatura cega)120
Votao eletrnica121
Dinheiro eletrnico122
PayPal123
viii
Criptografia de servidor (SSL/TLS)124

Criptografia de servidor125
Redes virtuais privadas (VPN)127
Redes virtuais privadas128
Exerccio de fixao 1 Redes Virtuais Privadas (VPNs)128
Segurana na www128
Seleo de um navegador129
Recursos de um navegador129
Tipos de certificados131
Cookies131
Exerccio de fixao 2 Cookies132
Segurana no navegador133
Pagamentos na internet133
Atividade 7.1 Recurso do SSH135
Atividade 7.2 Uso de criptografia em arquivos135
Atividade 7.3 Criptografando arquivos no Linux135
8. Poltica de segurana da informao

Introduo137
Exerccio de nivelamento 1 Polticas de segurana da informao138
Anlise de risco138
Identificao, classificao, valorao e criticidade138
Vulnerabilidades e ameaas140
Risco140
Impacto141
Exerccio de fixao 1 Risco, ameaas e vulnerabilidades141
Metodologias para anlise de risco142
Construindo uma poltica de segurana142
Orientaes da norma ISO 27001142
Norma ISO 27002143
Orientaes do NBSO143
Orientaes do CERT.BR144
Acceptable Use Police (AUP)145
ix
Exemplo de poltica de segurana145

Mensurando145
Calculando146
Valor final147
Atividade 8.1 Elaborao de polticas149
Atividade 8.2 Auditoria em Microsoft Windows149
Atividade 8.3 Aumentando a segurana da sua estao de trabalho149
Atividade 8.4 Calculando o impacto do mau uso da web150
9. Ameaas recentes
Exerccio de nivelamento 1 Ameaas recentes151
Introduo151
Phishing152
Formas atuais de phishing 153
Exerccio de fixao 1 Phishing153
Programa malicioso 154
Link para programa malicioso154
Pgina falsificada de comrcio eletrnico ou internet banking155
E-mail contendo formulrio155
Uso de computador alheio156
Roubo de identidade 156
Golpes em sites de comrcio eletrnico e compras coletivas157
Cuidados ao usar comrcio eletrnico e internet banking157
Proteo antiphishing157
Pharming158
Preveno158
Exerccio de fixao 2 Pharming159
Bot159
Rootkit 159
Tecnologia rootkit em DRM da Sony160
Kernel malware160
Mailbot aka Costrat160
Spear phishing161
Pginas contaminadas161
Redes sociais162
Como se proteger163
Exerccio de fixao 3 Redes sociais163
SANS Top 20 Internet Security Attack Targets163
Como se manter atualizado, quando o assunto segurana?164
Atividade 9.1 Conceitos de malware167
Atividade 9.2 Antirootkit167
10. Fundamentos de segurana da informao

Introduo169
Fundamentos170
Conceitos bsicos171
Padres existentes de segurana172
RFC 2196: Site Security Handbook172
RFC 3227173
ISO 27001174
Cobit177
Outras normas, padres e leis178
Famlia 27000178
Sarbanes Oxley (SOX)179
PCI-DSS179
Documentao GSI/DSIC180
Atividade 10.1 Segurana da informao181
Atividade 10.2 Vulnerabilidades181
Atividade 10.3 Descartes181
Bibliografia 183
xi
xii

A Escola Superior de Redes (ESR) a unidade da Rede Nacional de Ensino e Pesquisa (RNP)
responsvel pela disseminao do conhecimento em Tecnologias da Informao e Comunicao (TIC). A ESR nasce com a proposta de ser a formadora e disseminadora de competncias
em TIC para o corpo tcnico-administrativo das universidades federais, escolas tcnicas e
unidades federais de pesquisa. Sua misso fundamental realizar a capacitao tcnica do
corpo funcional das organizaes usurias da RNP, para o exerccio de competncias aplicveis ao uso eficaz e eficiente das TIC.
A ESR oferece dezenas de cursos distribudos nas reas temticas: Administrao e Projeto
de Redes, Administrao de Sistemas, Segurana, Mdias de Suporte Colaborao Digital e
Governana de TI.
A ESR tambm participa de diversos projetos de interesse pblico, como a elaborao e
execuo de planos de capacitao para formao de multiplicadores para projetos educacionais como: formao no uso da conferncia web para a Universidade Aberta do Brasil
(UAB), formao do suporte tcnico de laboratrios do Proinfo e criao de um conjunto de
cartilhas sobre redes sem fio para o programa Um Computador por Aluno (UCA).
A metodologia da ESR
A filosofia pedaggica e a metodologia que orientam os cursos da ESR so baseadas na
aprendizagem como construo do conhecimento por meio da resoluo de problemas tpicos da realidade do profissional em formao. Os resultados obtidos nos cursos de natureza
terico-prtica so otimizados, pois o instrutor, auxiliado pelo material didtico, atua no
apenas como expositor de conceitos e informaes, mas principalmente como orientador do
aluno na execuo de atividades contextualizadas nas situaes do cotidiano profissional.
A aprendizagem entendida como a resposta do aluno ao desafio de situaes-problema
semelhantes s encontradas na prtica profissional, que so superadas por meio de anlise,
sntese, julgamento, pensamento crtico e construo de hipteses para a resoluo do problema, em abordagem orientada ao desenvolvimento de competncias.
Dessa forma, o instrutor tem participao ativa e dialgica como orientador do aluno para as
atividades em laboratrio. At mesmo a apresentao da teoria no incio da sesso de aprendizagem no considerada uma simples exposio de conceitos e informaes. O instrutor
busca incentivar a participao dos alunos continuamente.
xiii
As sesses de aprendizagem onde se do a apresentao dos contedos e a realizao das

atividades prticas tm formato presencial e essencialmente prtico, utilizando tcnicas de
estudo dirigido individual, trabalho em equipe e prticas orientadas para o contexto de atuao do futuro especialista que se pretende formar.
As sesses de aprendizagem desenvolvem-se em trs etapas, com predominncia de tempo
para as atividades prticas, conforme descrio a seguir:
Primeira etapa: apresentao da teoria e esclarecimento de dvidas (de 60 a 90 minutos).
O instrutor apresenta, de maneira sinttica, os conceitos tericos correspondentes ao tema
da sesso de aprendizagem, com auxlio de slides em formato PowerPoint. O instrutor
levanta questes sobre o contedo dos slides em vez de apenas apresent-los, convidando
a turma reflexo e participao. Isso evita que as apresentaes sejam montonas e que o
aluno se coloque em posio de passividade, o que reduziria a aprendizagem.
Segunda etapa: atividades prticas de aprendizagem (de 120 a 150 minutos).
Esta etapa a essncia dos cursos da ESR. A maioria das atividades dos cursos assncrona e
realizada em duplas de alunos, que acompanham o ritmo do roteiro de atividades proposto
no livro de apoio. Instrutor e monitor circulam entre as duplas para solucionar dvidas e
oferecer explicaes complementares.
Terceira etapa: discusso das atividades realizadas (30 minutos).
O instrutor comenta cada atividade, apresentando uma das solues possveis para resolv-la,
devendo ater-se quelas que geram maior dificuldade e polmica. Os alunos so convidados a
comentar as solues encontradas e o instrutor retoma tpicos que tenham gerado dvidas,
estimulando a participao dos alunos. O instrutor sempre estimula os alunos a encontrarem
solues alternativas s sugeridas por ele e pelos colegas e, caso existam, a coment-las.
Sobre o curso
O curso fornece conhecimentos introdutrios da rea de segurana, atravs da apresentao
dos conceitos bsicos sobre segurana de redes, apoiados por atividades prticas em
laboratrio. Aborda a histria da segurana fsica e lgica, apresenta um panorama atual da
rea (vulnerabilidades, tipos de ataque mais comuns, estatsticas), arquitetura TCP/IP (endereamento, servios TCP/IP, protocolos, DNS, roteamento), criptografia, polticas, padres e
normas de segurana da informao.
A quem se destina
Profissionais de qualquer instncia da rea de TI que queiram adquirir os conhecimentos
bsicos sobre segurana de redes. Como se trata de um curso introdutrio, profissionais de
outras reas com interesse no tema tambm podem participar, desde que possuam como
pr-requisitos conhecimentos bsicos de computao.
Convenes utilizadas neste livro

As seguintes convenes tipogrficas so usadas neste livro:
Itlico
Indica nomes de arquivos e referncias bibliogrficas relacionadas ao longo do texto.
xiv
Largura constante
Indica comandos e suas opes, variveis e atributos, contedo de arquivos e resultado da sada
de comandos. Comandos que sero digitados pelo usurio so grifados em negrito e possuem
o prefixo do ambiente em uso (no Linux normalmente # ou $, enquanto no Windows C:\).
Contedo de slide
Indica o contedo dos slides referentes ao curso apresentados em sala de aula.
Smbolo
Indica referncia complementar disponvel em site ou pgina na internet.
Smbolo
Indica um documento como referncia complementar.
Smbolo
Indica um vdeo como referncia complementar.
Smbolo
Indica um arquivo de adio como referncia complementar.
Smbolo
Indica um aviso ou precauo a ser considerada.
Smbolo
Indica questionamentos que estimulam a reflexo ou apresenta contedo de apoio ao
entendimento do tema em questo.
Smbolo
Indica notas e informaes complementares como dicas, sugestes de leitura adicional ou
mesmo uma observao.
Permisses de uso
Todos os direitos reservados RNP.
Agradecemos sempre citar esta fonte quando incluir parte deste livro em outra obra.
Exemplo de citao: PEIXINHO, Ivo de Carvalho; AMATTE, Fernando Pompeo. Introduo
Segurana de Redes. Rio de Janeiro: Escola Superior de Redes, RNP, 2013.
Comentrios e perguntas
Para enviar comentrios e perguntas sobre esta publicao:
Escola Superior de Redes RNP
Endereo: Av. Lauro Mller 116 sala 1103 Botafogo
Rio de Janeiro RJ 22290-906
E-mail: info@esr.rnp.br
xv
Sobre os autores
Ivo de Carvalho Peixinho Bacharel em Cincia da Computao pela UFBA e Especialista
em Gesto de Segurana da Informao pela UnB. Possui mais de 15 anos de experincia
na rea de Segurana da Informao. Foi Diretor Tcnico na XSite Consultoria e Tecnologia
e Analista de Suporte na Universidade Federal da Bahia. Em 2004 atuou como Analista de
Segurana Snior no CAIS/RNP por dois anos, e atualmente Perito Criminal Federal do
Departamento de Polcia Federal desde 2007, lotado atualmente no Servio de Represso a
Crimes Cibernticos - SRCC/CGPFAZ/DICOR/DPF. professor de ps-graduao nas disciplinas de Anlise Forense em Sistemas Unix e Anlise de Malware, e palestrante em diversos
eventos nacionais e internacionais como GTS, Seginfo, CNASI, ICCyber e FIRST.
Fernando Pompeo Amatte tem mais de 20 anos de experincia na rea de segurana da
informao e possui as mais respeitadas certificaes do mercado da segurana, como
CISSP, GCIH e MCSO. Com experincia em provedores de acesso de grande porte, trabalhou
em empresas multinacionais de telecomunicaes e setor financeiro. Atua como consultor
de segurana da informao e como professor nos cursos de ps-graduao de instituies
na regio de Campinas. Pesquisador nas reas de anlise de malware e anlise forense,
tambm perito de informtica para o Tribunal Regional do Trabalho de Campinas.
Edson Kowask Bezerra profissional da rea de segurana da informao e governana h
mais de quinze anos, atuando como auditor lder, pesquisador, gerente de projeto e gerente
tcnico, em inmeros projetos de gesto de riscos, gesto de segurana da informao,
continuidade de negcios, PCI, auditoria e recuperao de desastres em empresas de
grande porte do setor de telecomunicaes, financeiro, energia, indstria e governo. Com
vasta experincia nos temas de segurana e governana, tem atuado tambm como palestrante nos principais eventos do Brasil e ainda como instrutor de treinamentos focados em
segurana e governana. professor e coordenador de cursos de ps-graduao na rea de
segurana da informao, gesto integrada, de inovao e tecnologias web. Hoje atua como
Coordenador Acadmico de Segurana e Governana de TI da Escola Superior de Redes.
xvi
1
Apresentar os conceitos bsicos de segurana, seu histrico de evoluo e os princpios
que devem nortear a conduta de um profissional nessa rea; indicar ao aluno fontes de
estudo, treinamento multimdia e listas de discusso sobre o tema.
conceitos
Segurana, listas de discusso de segurana e ameaas digitais.
Introduo
Este captulo uma introduo que apresenta um breve histrico da segurana da informao,
mostrando os marcos que impulsionaram esse desenvolvimento at os dias atuais. Apresenta
tambm os princpios bsicos que devemos exercitar para alcanar as trs caractersticas
fundamentais da segurana:
11 Confidencialidade;
11 Integridade;
11 Disponibilidade.
Exerccio de nivelamento 1 e
Informao
O que informao?
Segurana da informao
O que informao?
11 Ativo que tem valor para a organizao.
11 o bem ativo mais valioso da organizao?
Onde est a informao?
11 Papel.
Captulo 1 - Introduo, histrico e princpios bsicos de segurana
objetivos
Introduo, histrico e princpios

bsicos de segurana
11 Banco de dados etc.

1
Por que proporcionar segurana para a informao?
O que segurana da informao?

11 o conjunto de dados, imagens, textos e outras formas de representao usadas
para os valores da instituio, associados ao seu funcionamento e/ou manuteno
das suas vantagens competitivas.
Caractersticas bsicas da segurana da informao:
11 Confidencialidade:
22 A informao acessada somente por pessoas autorizadas?
11 Integridade:
22 H garantia de que a informao acessada no foi alterada?
11 Disponibilidade:
22 A informao est acessvel no momento necessrio?
Ainda de acordo com a norma NBR ISO/IEC 17799:2001, a segurana da informao consiste
na preservao de trs caractersticas bsicas:
11 Confidencialidade: garantia de que a informao seja acessada somente por pessoas
autorizadas.
11 Integridade: certeza de que a informao exata e completa e os mtodos de processamento, seguros.
11 Disponibilidade: garantia de que os usurios autorizados obtenham acesso informao e aos ativos correspondentes, sempre que necessrio.
O conceito inicial de confidencialidade, integridade e disponibilidade deve ser expandido
para incluir mais alguns termos:
11 Autenticidade: h garantia da identidade dos participantes da comunicao?
Quem gerou a informao mesmo quem ns pensamos ser?
11 Legalidade: a informao ou sua posse est em conformidade com as legislaes institucionais, nacionais e internacionais vigentes? Copiar mdia que contm informao legal?
A posse da informao legal?
11 No repdio: conseguimos a garantia de que um agente no consiga negar uma ao
que criou ou modificou uma informao?
11 Auditoria: existe a possibilidade de rastreamento do histrico dos fatos de um evento
assim como a identificao dos envolvidos?
Segurana de redes
Introduo Segurana de Redes
reas da segurana da informao:
11 Segurana fsica.
11 Segurana lgica.
11 Segurana de pessoas.
11 Segurana de computadores.
11 Segurana de redes.
11 Segurana de aplicativos etc.
Exerccio de fixao 1 e
Segurana de redes
Quais as reas da segurana de rede?
Quais so as trs caractersticas bsicas da segurana da informao?
Anos 50 e 60
1950: surge o primeiro padro de segurana: Transient Electromagnetic Pulse Surveillance
Technology (Tempest), criado pelo governo dos EUA.

11 Estudo da escuta de sinais eletromagnticos que emanam dos computadores.
11 Vulnerabilidade: obteno de dados por radiao eletromagntica.
1967: criao da fora-tarefa do DoD (Department of Defense o Departamento de
Defesa americano).
11 Realizou estudos sobre potenciais ameaas a computadores, identificou vulnerabilidades, introduziu mtodos de controle de acesso para computadores, sistemas de
rede e informaes.
O DoD o rgo do governo americano que mais contribuiu para o desenvolvimento de
vrios projetos, no s na rea de segurana, mas tambm em outras reas, como, por
exemplo, o prprio projeto que deu origem internet, conhecido como Arpanet.
Em segurana, alm do Security Controls for Computer Systems (SCCS), o DoD contribuiu
para o surgimento do Trusted Computer System Evaluation Criteria (TCSEC), que ficou
1969: surge a Arpanet (futura internet), rede de computadores descentralizada ligando:
11 Stanford Research Institute.

11 University of Utah.
11 University of California (Los Angeles).
11 University of California (Santa Barbara).
Nesse ano surge ainda a primeira verso do Unix, desenvolvido por Ken Thompson nos
Laboratrios Bell. Derivado do Multics, foi chamado primeiramente de Unics;
Brian Kernighan, parodiando, finalmente chamou-o de Unix.
Anos 70
1970: publicao pelo DoD do Security Controls for Computer Systems (SCCS).
11 SCCS: documento importante na histria da segurana de computadores.
11 Em 1976, deixou de ser confidencial.
conhecido mundialmente como Orange Book (Livro Laranja), referncia mundial para sistemas seguros de computao.
1970: iniciativas patrocinadas pelo DoD em conjunto com a indstria:
11 Tiger teams.
11 Estudos sobre segurana e desenvolvimento de sistemas operacionais seguros.
11 Surgiram conceitos de segurana, como:
22 Poltica de segurana.
22 Modelos de segurana.
22 Modelos matemticos de segurana.
Subproduto da guerra fria, o Data Encryption Standard (DES), um algoritmo para cifrar
dados, foi adotado pelo governo dos EUA como mtodo oficial de proteo a dados no confidenciais em computadores das agncias do governo. Foi muito utilizado nas implementaes dos sistemas de autenticao Unix, como Linux, FreeBSD, Solaris etc. Hoje o DES no
mais usado, pois se tornou vulnervel com o grande avano do poder computacional, tendo
sido substitudo atualmente pelo MD5 e pelo SHA (algoritmos de hash criptogrfico).
O Computer Fraudand Abuse Act, criado em 1986, proibia o acesso no autorizado a computadores do governo, prevendo uma pena de cinco mil dlares ou o dobro do valor obtido
pelo acesso, alm de cinco anos de priso. Uma medida importante, porque introduziu a
punio judicial.
O Computer Security Act, criado em 1988, obrigava qualquer computador do governo que
processasse dados confidenciais a ter um plano de segurana para a administrao e uso do
sistema. Alm disso, exigia que todo o pessoal envolvido recebesse treinamento peridico
de segurana. Sua importncia: os rgos governamentais agora eram obrigados a possurem uma poltica de segurana.
1975: Arpanet completamente funcional; o Unix torna-se o sistema operacional oficial.
1977: adotado o Data Encryption Standard (DES), padro de criptografia que durou 20 anos.
Anos 80
1982: adotado o protocolo TCP/IP como padro da Arpanet.
1983: lanado o Trusted Computer System Evaluation Criteria (TCSEC):
11 Cognominado Orange Book, bblia do desenvolvimento de sistemas de
computao seguros.
11 Classificao feita em nveis D, C, B e A, na ordem crescente de segurana.
Sumary of Orange Book security features

Criterion
C1
C2
B1
CMW
B2
B3
A1
Identification and Authentication (IAA)

Discretionary Access Control (DAC)
System Architecture (Least Privilege)
Security Testing
Auditing
Object Reuse
Labeling
Label Integrity and Label Export
Multilevel Export
Single-Level Export
Printout Labeling
Mandatory Access Control (MAC)
Sensitivity Labels
Device Labeling
Trusted Path
Covert Channel Analysis
Trusted Facility Management
Configuration Management
Trusted Recovery
Figura 1.1
Os assuntos
abordados no
Orange Book.
Information Labels
Authorizations
1985: primeira vez em que o nome internet foi usado para definir a Arpanet.
Subprodutos da guerra fria.
1986: Computer Fraud and Abuse Act:
11 Proibia acesso no autorizado a computadores do governo.
11 Pena pecuniria de cinco mil dlares ou o dobro do valor obtido pelo acesso.
11 Pena de cinco anos de priso.
1988: Computer Security Act:
11 Computador do governo que guardasse dados confidenciais deveria ter plano de
segurana para administrao e uso do sistema.
11 Exigia que pessoal envolvido recebesse treinamento peridico sobre segurana.
Trusted Distribuition
Ano de 1988
O estudante da Universidade de Cornell escreveu um programa capaz de:
11 Autorreplicar-se e se autopropagar, chamado de worm, pois rastejava pela rede.

11 Explorar vulnerabilidades conhecidas dos servidores:
22 Sendmail.
22 Fingerd.
11 Infectou e indisponibilizou milhares de servidores.
Figura 1.2
Robert T. Morris,
criador do
Morris Worm,
primeiro worm de
computador da
internet.
Em 2 de novembro de 1988, Robert T. Morris, um estudante de ps-graduao da Universidade de Cornell, escreveu um programa capaz de se autorreplicar e de se autopropagar,
que foi chamado de worm, por sua capacidade de rastejar pela rede. Ele lanou o programa dentro do MIT, mas logo se deu conta de que o programa estava se replicando e
reinfectando as mquinas numa proporo muito maior do que ele havia imaginado.
Diversos computadores foram afetados, incluindo os de universidades, sites militares e instalaes de pesquisas mdicas. O worm de Morris chamou a ateno sobre a necessidade
de proteger os computadores que faziam parte da internet. Robert T. Morris foi condenado
por violao do Computer Fraudand Abuse Act: trs anos de priso, 400 horas de servios
comunitrios e multa de US$ 10.050,00.

Uma das consequncias mais importantes foi a criao do Computer Emergency Response
Team (CERT), pela Defense Advanced Research Projects Agency (DARPA). O CERT at hoje uma
das entidades mais importantes na coordenao e informao sobre problemas de segurana.
Ano de 2001
11 Worm Code Red.
11 Explorava uma falha de Buffer Overflow nos servidores web da Microsoft.
11 Correo para o problema havia sado um ms antes.
Saiba mais sobre

o CERT acessando
o endereo
http://www.cert.org.
Era explorada uma vulnerabilidade conhecida do IIS, servidor web da Microsoft. Estima-se
que tenha infectado cerca de 300 mil computadores por dia.
Ano de 2003
SQL Slammer Worm:
11 Infectou 75 mil computadores em dez minutos.

11 Causou negao de servio em algumas mquinas, deixando outras muito lentas.
11 Explorava uma falha de Buffer Overflow nos servidores SQL Server da Microsoft.
11 Correo para a falha havia sado seis meses antes (MS02-039).
Ano de 2009
Confiker:
11 Infectou entre 9 e 15 milhes de mquinas.

11 Utilizava falha em diversas verses do sistema operacional da Microsoft.
11 Tentava descobrir senhas utilizando fora bruta (tentativa e erro).
11 Utilizava vrias tcnicas para infectar mquinas.
11 Varias verses do malware (com possibilidade de atualizao).
11 Pico das infeces em janeiro de 2009.
11 A correo para a falha havia sado em outubro de 2008 (MS08-067).
Segurana no Brasil
1988: The Academic Network at So Paulo (ANSP), via Fapesp, conectou-se com a
internet em Chicago (Fermi National Laboratory), nos EUA.
1989: o Ministrio da Cincia e Tecnologia criou a Rede Nacional de Ensino e Pesquisa
(RNP http://www.rnp.br), com o objetivo de construir uma infraestrutura de rede
internet nacional de mbito acadmico.
1995: a internet comercial teve incio no Brasil. Na mesma poca foi criado o Comit
Gestor da Internet no Brasil (http://www.cgi.br).
Figura 1.3
Infeco pelo worm
Code Red.
O NIC.BR responsvel por registros de domnios e associao de endereos IP. O NIC. BR

Security Office (antigo NBSO, atualmente CERT.BR) responsvel por receber, revisar e responder a relatos de incidentes de segurana envolvendo a internet brasileira.
O Centro de Atendimento a Incidentes de Segurana (CAIS http://www.rnp.br/cais) atua na
deteco, resoluo e preveno de incidentes de segurana na rede acadmica brasileira,
alm de elaborar, promover e disseminar prticas de segurana em redes.
Atividades do CAIS:
11 Atendimento a incidentes de segurana;
11 Coordenao com grupos de segurana j existentes;
11 Fomento criao de novos grupos de segurana no pas;
11 Disseminao de informaes na rea de segurana em redes;
11 Divulgao de recomendaes e alertas;
11 Testes e recomendao de ferramentas de segurana;
11 Recomendao de polticas para a RNP;
11 Recomendao de polticas para os Pontos de Presena (PoPs);

11 Recomendao de polticas para o backbone da RNP.
Ano de 2011
Junho de 2011: sites da Presidncia e do governo brasileiro sofreram ataques de
negao de servio.
11 Grupo chamado LulzSecBrazil assumiu a autoria dos ataques.
11 Mais de dois bilhes de tentativas de acesso em um curto perodo.
Ano de 2012
11 Janeiro de 2012: operao #OPWEEKPAYMENT (Operao Semana de Pagamento),
realizada por um grupo de pessoas que se denominam AnonymousBR, causou lentido e indisponibilidade em alguns sites de bancos brasileiros.
11 Outubro de 2012: os sites da Caixa Econmica Federal, Banco do Brasil, Nota fiscal
Eletrnica de So Paulo e da Febraban ficaram fora do ar.
CSIRTs no Brasil
11 Gradualmente e com muita relevncia, grupos de Resposta a Incidentes de Segurana
se organizam e prestam direta ou indiretamente servios aos usurios da internet, seja

atravs de documentos, notificaes de problemas ou mesmo de lista de segurana.

11 No site do CAIS encontramos uma lista dos principais CSIRTs atuantes no Brasil:
22 http://www.rnp.br/cais/csirts.html
O Centro de Atendimento a Incidentes de Segurana da RNP (CAIS) reconhece e apoia alguns
grupos de segurana brasileiros (CSIRTs, do ingls Computer Security Incident Response Teams).
Grupos e seus endereos na internet:
CTIR/GOV
Centro de Tratamento de Incidentes de Segurana de Redes de Computadores da
Administrao Pblica Federal
8
http://www.ctir.gov.br
Conhea o ataque que

ficou conhecido como
# OPWEEKPAYMENT
part 2, em
http://oglobo.globo.
com/tecnologia:
Hackers fazem a
terceira vtima e tiram
site do Banco do Brasil
do ar.
CCTIR/EB
Centro de Coordenao para Tratamento de Incidentes de Rede do Exrcito
http://stir.citex.eb.mil.br
TRI-UFRGS
Time de Resposta a Incidentes de Segurana da UFRGS
http://www.ufrgs.br/tri/
Cert-RS
Centro de Emergncia em Segurana da Rede Tch
http://www.cert-rs.tche.br/
CEO/Rede Rio
Coordenao de Engenharia Operacional da Rede Rio
http://www.rederio.br/site/node/8
CSIRT PoP-SE
Grupo de Resposta a Incidentes de Segurana do PoP-SE
http://www.csirt.pop-se.rnp.br/
GRC/Unesp
Grupo de Redes de Computadores
http://grc.unesp.br/
GSR/Inpe
Grupo de Segurana de Sistemas e Redes do Inpe
http://www.inpe.br/
Naris
Ncleo de Atendimento e Resposta a Incidentes de Segurana (UFRN)
http://naris.info.ufrn.br/
NOE
Ncleo de Operaes Especiais de Segurana (PoP-RN)
Unicamp CSIRT
http://www.security.unicamp.br/
USP CSIRT
http://www.security.usp.br/
Informaes extradas da pgina do CAIS.
Decreto n 3505, de 13 de junho de 2000

Instituiu a poltica de segurana da informao nos rgos e entidades da administrao
pblica federal.
d
Consulte o Decreto no
3.505, de 13 de junho
de 2000 em
https://www.planalto.
gov.br.
11 Determinou objetivos para a poltica de segurana da informao.

11 Atribuiu as diretrizes da poltica ao Conselho de Defesa Nacional, assessorado pelo
Comit Gestor da Segurana da Informao.
11 Incluiu a participao da Agncia Brasileira de Inteligncia (ABIN) no processo de
conduo da poltica.
11 Criou o Comit Gestor da Segurana da Informao.
http://www.pop-rn.rnp.br/noe/
DSIC
Departamento de Segurana da Informao e Comunicaes (DSIC):
11 Ligado ao Gabinete de Segurana Institucional (GSI).

11 Responsvel pelo planejamento e coordenao de segurana da informao na Administrao Pblica Federal.
O DSIC coloca disposio uma vasta documentao sobre segurana da informao e
comunicaes. Pode ser acessado em http://dsic.planalto.gov.br/.
Princpios bsicos de segurana

Nada e nenhum tipo de informao mais importante que a vida humana.
Menor privilgio (least privilege):

11 Princpio fundamental. Define que cada objeto (usurio, administrador, programa
etc.) deve possuir apenas o mnimo de privilgio.
Defesa em profundidade (defense in depth):
11 No se deve confiar em um nico mecanismo de segurana; deve-se sempre utilizar
defesas redundantes.
Gargalo (choke point):
11 Obriga intrusos a usar um canal estreito que pode ser monitorado e controlado.
11 Menor privilgio: por exemplo, ao criar um usurio de correio eletrnico em um sistema
operacional, o administrador deve faz-lo com os menores privilgios possveis, no lhe
permitindo, por exemplo, acesso via shell para o servidor.
11 Defesa em profundidade: ao se conectar a rede de uma instituio internet, por
exemplo, deve-se obrigatoriamente usar um firewall institucional. Ao mesmo tempo,
deve-se ativar o firewall em cada estao de cliente da rede interna.
11 Gargalo: ao se conectar a rede de uma instituio internet, deve-se obrigatoriamente
usar um firewall, o nico canal de conexo, sempre monitorado e controlado.
11 Ponto mais fraco: o ponto mais fraco de uma rede sempre o ser humano. Cuidado com
ataques de engenharia social.
Explique o que menos privilgio e cite um exemplo.
10
Explique o que defesa em profundidade e cite um exemplo.

Falha Segura (fail-secure):
11 Quando o sistema de segurana falha, deve falhar de tal forma que bloqueie s acessos.
Falha Protegida (fail-safe):
11 Quando o sistema de segurana falha, deve falhar de tal forma que libere os acessos.
Participao universal (universal participation):
11 O sistema de segurana deve envolver todos os objetos (pessoas).
Diversidade de defesa (diversity of defense):
11 No um princpio geral. Afirma que o uso de sistemas diferentes torna o sistema
(como um todo) mais seguro.
11 Falha Segura: por exemplo, em uma configurao de Falha Segura, caso ocorra uma
falha eltrica, as portas ficaro bloqueadas por padro.
11 Falha Protegida: em uma configurao de Falha Protegida, por exemplo, caso ocorra
uma falha eltrica, as portas ficaro abertas por padro.
Para pensar
A maioria dos termos que utilizamos em segurana da informao foi herdada
da lngua inglesa. Assim, algumas tradues no ficam muito claras na lngua
portuguesa. o exemplo das palavras safe e secure. Em uma traduo livre,
poderamos dizer que as duas palavras significam segurana. Porm, safe est
relacionada segurana no intuito de proteo de pessoas. E security refere-se a
medidas contra coisas inesperadas ou perigosas.
11 Participao universal: por exemplo, dentro de uma instituio, quais funcionrios esto
submetidos poltica de segurana? Todos, pois a participao na poltica universal.
ramos usar vrios sistemas operacionais, o que aumentaria enormemente o custo administrativo. Mas, para os mesmos servidores, importante que todos tenham diferentes
senhas de root. Outro exemplo seria ter um servidor de antivrus institucional diferente
do programa de antivrus nas estaes dos clientes da rede.
11 Simplicidade: a segurana habita em meio simplicidade. As coisas simples so fceis de
entender. O entendimento fundamental para conhecer o nvel de segurana. Exemplo:
o programa servidor de correio sendmail complexo; isso talvez seja a principal razo
de ele ter se tornado to inseguro. Outros programas fceis de usar e programar, como o
servidor de correio postfix, so considerados muito mais seguros (vale notar que existem
diversos outros motivos para um programa/software/sistema ser considerado inseguro.)
11 Diversidade de defesa: esse princpio polmico. Exemplo: para vrios servidores pode-
11
12
Atividade 1.1 Listas e informaes complementares de segurana
1. Visite e assine listas nos sites do CAIS, da Mdulo e da Microsoft no Brasil:
11 http://www.rnp.br/cais/listas.php
11 http://www.modulo.com.br/comunidade/newsletter
11 http://www.microsoft.com/brasil/security/alertas.mspx
2. Visite e assine as listas de algumas das instituies mais respeitadas sobre segurana
no mundo:
11 http://www.securityfocus.com/archive/
11 http://www.sans.org/newsletters/
Voc capaz de dizer em poucas palavras a diferena entre as listas assinadas, principalmente no foco de abordagem?
3. O Cert.br disponibiliza uma cartilha com informaes sobre segurana na internet atravs do
link cartilha.cert.br. Acesse o fascculo Segurana na internet. Voc consegue listar quais so
os riscos a que estamos expostos com o uso da internet, e como podemos nos prevenir?
4. Veja os vdeos educativos sobre segurana do NIC.BR em http://antispam.br/videos/,

pesquise na internet e indique um exemplo relevante de cada categoria:
11 Vrus;
w 11 Worms;
Acesse a Recomendao para a adoo
de gerncia de porta
25 em http://www.
antispam.br/ e conhea
as aes que os rgos
de segurana da informao no Brasil esto
tomando para diminuir
a quantidade de spams
que trafegam diariamente na internet.
11 Cavalos de troia (trojan horses);

11 Spyware;
11 Bot;
11 Engenharia social;
11 Phishing.
5. O site Antispam.br apresenta um conjunto de polticas e padres chamados de
Gerncia de Porta 25, que podem ser utilizados em redes de usurios finais ou de
carter residencial para:
11 Mitigar o abuso de proxies abertos e mquinas infectadas para o envio de spam;
11 Aumentar a rastreabilidade de fraudadores e spammers.
Captulo 1 - Roteiro de Atividades
Saiba mais
13
14
2
Apresentar os conceitos bsicos de segurana fsica, segurana lgica e suas diferenas;
as principais tecnologias disponveis, sua aplicao, e os nveis de segurana fsica, de
acordo com a norma NBR ISO/IEC 27001:2005.
conceitos
Segurana fsica, solues open source e nveis de segurana.
Introduo
A rea de segurana de redes parte de uma rea maior chamada de segurana da informao.
Para proteger a informao, nossa preocupao deve comear no prprio ambiente fsico que
compe a instalao onde a informao se localiza. Depois, partiremos para o ambiente computacional, onde a proteo se dar logicamente por meio de programas (softwares) e protocolos. Neste captulo, trataremos especificamente de segurana em sistemas computacionais.
Conceitos de segurana fsica e segurana lgica
O que segurana fsica? Cite um exemplo.
Segurana fsica
11 Segurana externa e de entrada.
11 Segurana da sala de equipamentos.
11 Segurana dos equipamentos.
11 Redundncia.
11 Segurana no fornecimento de energia.
11 Salvaguarda (backup).
11 Descarte da informao.
Captulo 2 - Conceitos de segurana fsica e segurana lgica
objetivos
Conceitos de segurana fsica e

segurana lgica
15
A segurana fsica abrange todo o ambiente onde os sistemas de informao esto instalados, incluindo o prdio, portas de acesso, trancas, pisos, salas e os prprios computadores. Incorpora as reas da engenharia civil e eltrica.
A norma NBR ISO/IEC 17799:2001 divide a rea da segurana fsica da seguinte forma:
reas de segurana
1. Permetro da segurana fsica.
2. Controles de entrada fsica.
3. Segurana em escritrios, salas e instalaes de processamento.
4. Trabalho em reas de segurana.
5. Isolamento das reas de expedio e carga.
Segurana dos equipamentos

1. Instalao e proteo de equipamentos.
2. Fornecimento de energia.
3. Segurana do cabeamento.
4. Manuteno de equipamentos.
5. Segurana de equipamentos fora das instalaes.
6. Reutilizao e alienao segura de equipamentos.
Controles gerais
1. Poltica de mesa limpa e tela limpa.
2. Remoo de propriedade.
Segurana externa e de entrada

Consiste na proteo da instalao onde os equipamentos esto localizados contra a
entrada de pessoas no autorizadas.
Atua tambm na preveno de catstrofes como:
11 Enchentes.
11 Raios.
11 Incndios etc.
Mecanismos de controle de acesso fsico nas entradas e sadas como:
16
11 Travas.
11 Alarmes.
11 Grades.
11 Sistemas de vigilncia etc.
A localizao do prdio importante quando se trata de enchentes ou raios. Em locais
sujeitos a enchentes, a sala de computadores deve ficar nos andares superiores. Em reas
abertas ou sujeitas a queda de raios, recomendada a utilizao de um para-raios.
recomendvel utilizar, sempre que possvel, barreiras fsicas, como muros externos.
O controle de acesso pode ser realizado por um vigilante humano ou por um sistema de
vigilncia, ou at pelos dois simultaneamente. A permisso de acesso de todos os visitantes
deve ser verificada e os horrios de entrada e sada devem ser registrados para auditoria.
O controle de acesso deve restringir os setores aos quais o funcionrio ou visitante deve ter
acesso. Essa restrio deve, se possvel, ser reforada por meio de portas com senha, crach
ou carto de acesso.
Controle de acesso: gerencia e documenta todos os acessos em ambientes, salas,
andares e reas especficas.

Pode ser interligado a vrios outros sistemas, como:
11 Sistema de alarme.
11 Circuito Fechado de Televiso (CFTV).
11 Carto de identificao (ID cards).
11 Sistemas biomtricos de identificao atravs do reconhecimento de mo, impresso
digital, face ou ris.
Equipamentos como cmeras de vdeo podem proporcionar proteo adicional para controlar a entrada e a sada de pessoas. Nesses casos, as mdias utilizadas devem ser armazenadas de forma segura, de modo a permitir auditoria posterior. Graas a softwares com
tecnologia de ponta, os cartes de identificao com o tamanho de cartes de crdito com
ou sem foto podem ser produzidos de maneira rpida e fcil, usando um simples PC.
Os modernos circuitos de CFTV destacam-se em conjunto com os sistemas de alarme,
alm da possibilidade de fornecimento de informaes valiosas para interveno em
casos de emergncia.
Segurana da sala de equipamentos

Sala de equipamentos:
11 Local fsico onde os servidores e equipamentos de rede esto localizados.

11 Acesso com controle fsico especfico e somente por pessoal autorizado.
11 Todo acesso deve ser registrado atravs de algum mecanismo de entrada.
11 O contedo da sala no deve ser visvel externamente.
Essa sala deve ser protegida contra:
11 Vandalismo;
11 Fogo;
11 Interferncias eletromagnticas;
11 Fumaa;
11 Gases corrosivos;
11 Poeira etc.
Supresso de incndio
Dependendo do tipo de instalao, diferentes mtodos de supresso de incndio podem
e devem ser adotados. Cada opo tem seus prs e contras. Entre as opes temos:
11 Extintores de incndio tradicionais: para cada tipo de fogo, existe um tipo de extintor
adequado a ser utilizado.
CFTV
Sistema de televiso
que distribui sinais
provenientes de
cmeras localizadas em
locais especficos, para
um ou mais pontos
de visualizao.
17
11 Sprinklers:
22 Canos com gua no teto, ativados por temperatura.

11 Gases:
22 Produtos que interferem quimicamente no processo de combusto.
22 Exemplo: FM-200, NAF-S-III, CEA-410 etc.
Alguns fabricantes fornecem solues de sala-cofre, como mostra a Figura 2.1. Essas salas,
em geral, possuem revestimentos especiais e controle de acesso para proteo contra os
problemas listados anteriormente.
Algumas recomendaes bsicas para tornar o ambiente da sala de equipamentos mais

seguro, com pouco investimento:
11 A sala deve preferencialmente ficar nos andares mais altos;
11 Deve-se evitar que a sala esteja no caminho das pessoas; escolher preferencialmente
uma sala de canto;
11 Ter preferencialmente paredes de concreto;
11 Ter preferencialmente portas de madeira de lei ou de ferro;
11 Ter a porta fechada permanentemente, com tranca ou com chave;
11 Ter extintor contra incndio;
11 Ter ar-condicionado que controle umidade e temperatura;
11 Ter proteo contra raios solares nas janelas;
11 Ter as janelas e as portas bem protegidas contra arrombamentos;
11 Ter carpete ou piso elevado prova de fogo e antiesttico;

11 No ter material combustvel como madeira (mesas, cadeiras e armrios) e papel (livros,
arquivo morto etc.);
11 A sala no deve ser usada para o trabalho de qualquer funcionrio. O funcionrio s deve
estar na sala quando houver necessidade de interveno.
11 proibido entrar com qualquer material lquido (gua ou caf) ou com comida dentro da sala;
11 Incentivar o uso de acesso remoto para os servidores na sala (sempre que possvel com
protocolos seguros, como o SSH);
11 Verificar a possibilidade de uso de cabeamento areo;
11 No nvel fsico: formao de permetros e aplicao de trs princpios bsicos de segurana:
defesa em profundidade, gargalo e diversidade de defesa.
18
Figura 2.1
Exemplo de
sala-cofre
(Fonte: Aceco TI:
http://www.aceco.
com.br).
1. Terreno: muro, controle de acesso: guarita, seguranas

2. Prdio: Paredes, controle de acesso, recepo, seguranas, catracas
3. Callcenter: 2 portas de vidro, controle de acesso: crach + biometria
4. Datacenter: 2 portas de ao, controle de acesso: crach + biometria
5. racks com chaves, cameras
6. Sala cofre
Figura 2.2
Permetros de
segurana.
Gargalos (choke point):

11 Guarita;
11 Catraca;
11 Porta de vidro;
11 Porta de ao;
11 Porta do rack;
11 Porta da sala-cofre.
Segurana em permetro
Segurana dos equipamentos

11 Os equipamentos de rede e servidores devem estar em uma sala segura.
11 Os equipamentos devem ser protegidos contra acessos indevidos no seu console,
atravs de perifricos como teclado, mouse e monitor.
11 Travas para disquetes ou CDs so recomendadas.
11 Os equipamentos devem ser protegidos contra acessos indevidos ao interior da mquina.
Como feita a segurana em permetro na sua organizao?
19
Figura 2.3
Tranca para
gabinete de
computador.
Figura 2.4
Gabinete de
computador com
porta e chave.
Boas dicas que aumentam a segurana:

11 Colocar senha na BIOS para impedir que terceiros tenham acesso e mudem a configurao
de inicializao;
11 Configurao de inicializao apenas pelo disco rgido, para impedir acessos por
disquetes ou CD-ROMs;
11 Proteger o console com senha;
11 No dar acesso de superusurio (root ou administrador) via console;
11 Usar trava na traseira do gabinete: cadeado, etiqueta de papel e trava plstica.
Redundncia
11 O problema mais comum de segurana a falha de hardware.
20
11 O mecanismo mais importante para tolerar falhas a redundncia.

11 A redundncia cria alta disponibilidade, mantendo o funcionamento em caso de
falhas de componentes ou sobrecargas:
22 Redundncia de interface de rede.
22 Redundncia de CPUs.
22 Redundncia de discos (Raid).
22 Redundncia de fontes de alimentao interna.
22 Redundncia de servidores etc.
Rede pblica
Switch 1
Switch 2
Ethernet
RS-232
Servidor 1
UPS 1
UPS 2
RAID/Storage compartilhado
Foram desenvolvidas mtricas para entender e antecipar as falhas:

11 Mean Time Between Failures (MTBF);
11 Mean Time To Repair (MTTR).
Tempo mdio entre falhas (MTBF) e tempo mdio de reparo (MTTR) so mtricas que devem
ser usadas principalmente no perodo de aquisio dos equipamentos. Devem ser escolhidos
perifricos que tenham o maior MTBF. Atualmente discos rgidos SATA possuem 1,2 milho de
horas de MTBF (137 anos).
Devem ser escolhidas as empresas fornecedoras que tenham o menor MTTR. Um valor
tpico de MTTR de 4 horas on-site (garantia de atendimento).
11 Raid a sigla de Redundant Array of Inexpensive (Independent) Disks, conjunto
redundante de discos independentes ou de baixo custo.
11 Implementado por:
22 Controladora fsica (hardware).
22 Atravs do Sistema Operacional (software).
11 Redundant: dados redundantes em mltiplos discos fornecem tolerncia a falhas.
11 Array: conjunto de mltiplos discos acessados em paralelo do vazo maior
(gravao e leitura de dados).
q
Figura 2.5
Redundncia:
importante contra
falhas.
Servidor 2
21
Host Computer
Host Computer
Host Based Array
RAID Controller
Controller Based Array
Raid uma sigla que significa Redundant Array of Independent Disks, ou seja, conjunto
redundante de discos independentes. A ideia por trs do Raid fornecer um recurso barato
de disponibilidade em discos rgidos. Os discos rgidos, por terem componentes mecnicos,
so altamente sujeitos a falha; alm disso, uma falha fatalmente causa perda de dados.
O Raid hoje se tornou um padro quando se fala de redundncia de discos.
O Raid pode ser implementado atravs de uma controladora fsica (hardware) ou atravs do
Sistema Operacional (software). A figura anterior mostra a diferena bsica entre as duas
implementaes. No caso do hardware, o Sistema Operacional desconhece a existncia
de uma implementao Raid da controladora e visualiza o disco como se fosse um disco
comum. Apesar de mais caro, o Raid via hardware tem maior desempenho, uma vez que usa
um processador separado para fazer a redundncia.
Toda a tecnologia Raid baseia-se em uma publicao de 1988 da Universidade de Berkeley,
intitulada A Case for Redundant Arrays of Inexpensive Disks.
22
Figura 2.6
Reduntant Array
of Independente
Disks (Raid).
RAID 1
Host
Controladora RAID
Congurada para faixa de 4K
Mirror 0
Stripe 0
Duas gravaes
de 4k separadas
(uma para cada driver)
Data Drive 0 Mirror 0
RAID 5
Stripe 1
Mirror 0
Data Drive 1
Mirror 1
Host
Controladora RAID
Congurada para faixa de 4K
Duas gravaes
de 4k separadas
Figura 2.7
O Raid em detalhes.
Stripe 1
Stripe 2
Stripe 4
Stripe 5
ECC 3-5
ECC 0-2
Stripe 3
ECC 9-11
ECC 6-8
Stripe 9
Stripe 6
Stripe 10
Stripe 7
Stripe 11
Stripe 13
Stripe 14
ECC 15-17
Stripe 18
ECC 12-14
Stripe 15
Stripe 20
Stripe 17
ECC 18-20
Drive-0
Drive-1
Drive-3
Drive-4
Stripe 8
Stripe 12
Stripe 16
Stripe 19
Raid 0
Os dados so distribudos atravs dos discos, mtodo conhecido como data striping, sem
gerar paridade ou redundncia. A gravao e a leitura dos dados feita paralelamente, uma
vez que cada disco possui a sua controladora. Com isso, h grande ganho de performance;
porm, por no haver redundncia alguma, se um dos discos falhar, os dados so perdidos.
Raid 0 utilizado quando uma mxima performance mais importante do que possveis
perdas de dados.
Raid 1
Os discos da matriz so divididos em dois grupos. Na escrita, os dados so gravados igualmente nos dois grupos. Na leitura, os dados podem ser lidos de qualquer um dos grupos.
Normalmente, ela feita alternando-se os discos, processo conhecido por round robin,
mas pode haver um disco preferencial para leitura, no caso de haver um disco mais rpido
Uma gravao
de 20k
Uma gravao
de 80k
ECC n-n
Stripe 0
que outro. No h gerao de paridade, mas sim uma redundncia completa dos dados.
23
Esse mtodo tem se tornado popular pela sua simplicidade e praticidade em caso de falha
de um dos discos. Porm, possui as desvantagens de utilizar apenas metade da capacidade
total de discos, alm de no trazer nenhum aumento de performance.
Raid 5
Esse nvel de Raid tambm utiliza o conceito de data striping, mas acrescenta uma forma
de obter redundncia dos dados atravs do gerador de paridade. Para cada escrita, gerada
uma paridade calculada pela operao dos bits gravados. A paridade fica espalhada pelos
trs discos, ou seja, a cada gravao ela gravada em um disco diferente. So necessrios,
no mnimo, trs discos para sua implementao, sendo o espao desperdiado do conjunto
devido ao armazenamento da paridade, equivalente ao espao de um disco. possvel, com
esse esquema, reconstituir os dados de um disco perdido a partir dos outros e da paridade.
Caso mais de um disco falhe ao mesmo tempo, os dados no podero ser recuperados.
um mtodo muito empregado nos storages atuais, porque alia o aumento de performance
segurana oferecida pela redundncia, com timo aproveitamento de recursos.
Existem outros tipos de Raid com combinaes mais arrojadas:
Raid 6
Por ser ainda um padro relativamente novo, no suportado por todos os modelos controladores. Necessita de no mnimo quatro HDs e parecido com o Raid 5, com a diferena de
usar o dobro de bits de paridade, garantindo a integridade dos dados at no caso dos 2 HDs
falharem ao mesmo tempo. Usando 10 HDs de 500 GB cada um em Raid 6: um total de 5 Tera
no volume, com parte til de 4 Tera de dados e 1 Tera dedicados paridade.
Raid 0 (zero) + 1
uma combinao dos nveis 0 (Striping) e 1 (Mirroring), onde os dados so divididos entre os
discos para melhorar o rendimento, utilizando outros discos para duplicar as informaes.
Assim, possvel utilizar o bom rendimento do nvel 0 com a redundncia do nvel 1. No
entanto, necessrio o mnimo de 4 discos para montar um Raid desse tipo. Tais caractersticas fazem do Raid 0 + 1 o mais rpido e seguro, porm o mais caro de ser implantado.
Se um dos discos falhar, o sistema vira um Raid 0.

Raid 1+0 (ou 10)
Exige o mnimo de quatro discos rgidos. Cada par ser espelhado, garantindo redundncia,
e os pares sero distribudos, melhorando o desempenho. At metade dos discos pode
falhar simultaneamente, sem colocar o conjunto a perder, desde que no falhem os dois
discos de um espelho qualquer razo pela qual so usados discos de lotes diferentes de
24
cada lado do espelho. o nvel recomendado para bases de dados, por ser o mais seguro
e dos mais velozes, assim como qualquer outro uso onde a necessidade de economia no se
sobreponha segurana e desempenho.
Raid 50
um arranjo hbrido que usa as tcnicas de Raid com paridade em conjuno com a segmentao de dados. Um arranjo Raid 50 tem as informaes segmentadas atravs de dois
ou mais arranjos; em outras palavras, podemos compor um Raid 50 colocando dois ou mais
volumes Raid 5 em Striping (Raid 0).
Tabela 2.1
Comparativo dos
Raids 0, 1, 5 e 6.
w
Veja o tutorial sobre o
Raid: http://www.acnc.
com/04_01_00.html.
Tipo
Quantidade
mnima de discos
Volume de dados (teis)
Tolerncia
falha
Raid 0
(Discos x Tamanho)
0 (nenhuma)
Raid 1
(1 x Tamanho)
n-1 discos
Raid 5
(Discos x Tamanho) (1 x Tamanho)
1 disco
Raid 6
(Discos x Tamanho) (2 x Tamanho)
2 discos
Note que, sempre que pensamos em Raid, estamos pensando em disponibilidade das
informaes e no no custo direto dos discos.
Redundncia
Explique o que redundncia.
O que Raid 5?
Segurana no fornecimento de energia

A disponibilidade da informao armazenada depende da operao contnua dos equi-
pamentos. Para garantir o suprimento de energia eltrica necessrio:

11 Eliminar a variao da voltagem (estabilizao).
11 Proporcionar ausncia de interrupo da energia eltrica (nobreak).
Figura 2.8
Nobreak de grande
porte.
11 Proporcionar aterramento eltrico perfeito.
25
Figura 2.9
Estabilizadores
de voltagem
domsticos e
institucionais.
Os computadores so sensveis s variaes da voltagem da energia eltrica e, por isso,

recomendado o uso de um estabilizador.
O nobreak ou Uninterruptible Power Supply (UPS) garante o fornecimento de energia eltrica, mesmo em caso de falta, porque possui um banco de baterias. Ele estabiliza a energia
eltrica e possui tempo mximo de fornecimento de energia, de minutos a horas.
O bom nobreak deve ter trs caractersticas:
11 On-line (quando a energia eltrica cai, a carga no percebe nenhuma variao);
11 Senoidal (a carga recebe uma senoide pura de 60 hertz, sem rudos);
11 Capacidade de desligar as mquinas ligadas ao nobreak.
O banco de baterias do nobreak exala gases txicos e, por isso, no deve estar na mesma
sala dos computadores onde os funcionrios trabalham.
11 O gerador usa fonte de energia alternativa, como leo diesel ou gasolina.
11 O gerador usado em conjunto com o nobreak para garantir o fornecimento

ininterrupto de energia eltrica por horas ou por dias.
Figura 2.10
Gerador.
No gerador, a energia da combusto transformada em energia mecnica; o alternador

transforma energia mecnica em energia eltrica.
O gerador muito barulhento. Por isso, costuma ser colocado longe da sala de com-
putadores e, s vezes, fora do prdio.
26
Salvaguarda (backup)
11 o ltimo recurso no caso de perda de informao.
11 O Plano de Continuidade de Negcios (PCN) prev o uso de mdias de backup para a
recuperao de desastres.
11 Observar uso de compresso e criptografia no programa.
11 Item importante do PCN: backup off-site.
11 Mdias mais usadas: fitas, HD, CD e DVD.
Figura 2.11
Cofre para
armazenamento
de mdias.
11 Fitas: possuem baixo custo e alta capacidade de armazenamento, chegando atualmente

at a 600 GBytes em uma nica fita;
11 Mdias: devem ser guardadas em cofre e protegidas contra calor, umidade, roubo,
enchentes etc;
11 Backup off-site: consiste em guardar as mdias de backup fora do local onde ficam os dados.
Descarte da informao
11 Documentos com informaes confidenciais requerem descarte seguro, impossibili-
tando qualquer recuperao das informaes.

11 Principais mdias de descarte: papel, fitas e discos rgidos.
11 A instituio deve ter uma poltica de descarte de papel, de fitas e de discos rgidos.
11 Documentos em papel devem ser fragmentados no mnimo por uma fragmentadora
de corte transverso.
Figura 2.12
Fragmentador de
papel e mdias.
Documentos que requerem descarte seguro: documentos em papel, fotocpias, impresses ou qualquer documento que contenha informao classificada como confidencial,
como cheques, microfilmes, gravaes de voz e imagem, papel-carbono, relatrios, fitas de
impresso descartveis, fitas magnticas, disquetes, HDs, CD-ROMS, listagem de programas, memrias no volteis (pen drives, memory sticks, memory keys, smart cards etc.),
dados de testes e documentao de sistemas.
11 As mdias magnticas devem ser destrudas.
27
O padro internacional DIN 32757 determina o tamanho mximo das tiras ou partculas
e os classifica em cinco nveis:

11 1: largura mxima de tiras de 12 mm.
11 2: largura mxima de tiras de 6 mm.
11 3: largura mxima de tiras de 2 mm ou fragmento mximo de 4 mm x 80 mm.
11 4: fragmento mximo de 2 mm x 15 mm = 30 mm2.
11 5: fragmento mximo de 4 mm x 80 mm = 10,4 mm2.
Alguns procedimentos devem ser seguidos a fim de garantir a confidencialidade das
informaes: guardar documentos em armrios ou gavetas com chave, trancar gavetas e
armrios, ativar proteo de tela com bloqueio de senha, apagar quadros e remover folhas,
anotaes e rascunhos da sala, retirar cpias da impressora, imprimir documentos com
a opo de impresso segura, utilizar cabo de segurana para notebooks e estar atento a
qualquer situao que possa ocasionar o extravio de informaes sigilosas.
Segurana lgica
Firewall.
11 Packet filtering.
11 Stateful packet filter.
11 Application proxy.
11 Deep packet inspection.
Detector de intruso.
11 IDS Snort.
11 IDS Tripwire.
Rede virtual privada.
Autenticao, autorizao e auditoria.
A segurana lgica compreende os mecanismos de proteo baseados em software. Existe
uma infinidade de mecanismos de segurana lgica, como senhas, controle de acesso, criptografia, firewalls, sistemas de deteco de intruso, redes virtuais privadas e muitos outros.
Neste Captulo, ser dada uma introduo a alguns desses mecanismos.
Firewall
11 Parede corta-fogo, que protege a rede interna contra os perigos da internet.
11 Exemplo do princpio do choke-point (gargalo).
Serve a propsitos especficos:
28
11 Restringe a entrada a um nico ponto controlado.

11 Previne que invasores cheguem perto de suas defesas mais internas.
11 Restringe a sada a um nico ponto controlado.
Roteador
200.200.200.201
Internet
Servidor de arquivos
192.168.1.1
Rede Local 192.168.1.0/24
DMZ 10.0.0.0/24
Firewall
eth0 200.200.200.202
eth1 10.0.0.254
eth2 192.168.1.254
Servidor web
10.0.0.1
Regra de ouro da segurana: a instituio s deve ter uma porta de entrada ou de sada para
a internet, e essa porta deve estar diretamente conectada ao firewall, que uma soluo de
segurana. Os componentes do firewall so:
11 Filtros de pacotes;
11 Proxies;
11 NAT;
11 Redirecionamento de portas.
O firewall popular do Linux o netfilter, sendo conhecido pelo nome de sua interface,
o Iptables.
Necessidades em um firewall
Capacidade para lidar com os desafios de gerncia e controle de trfego de rede, como:
11 Tratamento de TCP RFC 793.
11 Construindo regras Stateful.
11 Tratando pacotes UDP RFC 768.
11 Tratamento de ICMP RFC 792.
11 Ataques DOS de flood de pacotes.
11 Aplicaes P2P.
11 Jogos na rede.
11 Nat 1:1.
11 Nat N:1.
11 Nat N:N.
Figura 2.13
Como funciona
o firewall.
Servidor de email
10.0.0.2
29
Packet filtering (filtro de pacotes)

Filtro de pacotes esttico:
11 Tecnologia mais simples, que analisa individualmente pacotes que chegam e passam
do nvel de enlace para o nvel de rede.
11 Evita ataques mais sofisticados, como IP Spoofing, pacotes truncados ou
flooding de pacotes.
11 Regras de filtragem mais difceis de configurar.
11 Limitado, no filtra adequadamente protocolos que abrem portas dinamicamente.
11 Permite ataque s vulnerabilidades de protocolos e servios no nvel de aplicao.
Exemplo: Iptables liberando acesso a um servidor web interno:
-A FORWARD -p tcp -m tcp -d 200.200.200.200 -i ppp0 --dport 80 -j ACCEPT

-A FORWARD -p tcp -m tcp -s 200.200.200.200 -o ppp0 --sport 80 -j ACCEPT
Stateless
Filtro arrojado de pacotes:
11 Tecnologia mais simples, que analisa individualmente pacotes que chegam e passam
do nvel de enlace para o nvel de rede, mas tambm verifica algum detalhe, como a
interpretao do flag SYN de incio de conexo.
11 Possui todas as capacidades de um filtro de pacotes.
11 Foi uma tecnologia de transio entre o conceito de Packet Filter e a tecnologia Stateful.
11 No Linux, teve sua poca de utilizao atravs do Ipchains.
Stateful packet filter

11 O filtro de pacotes com estado usa conjunto de regras de filtragem e informaes
de estado das conexes.

11 A primeira filtragem ocorre com o primeiro pacote (SYN), depois o SPF cria uma
entrada para essa conexo (sesso) na tabela de estados.
11 Fornece maior desempenho.
11 Configurao mais simples.
11 Guardam na memria o estado de uma conexo.
Atua como um porteiro: as pessoas que saem so identificadas e somente elas podem
voltar. Essa mesma ideia aplicada aos pacotes. Exemplo: Iptables liberando acesso a um
30
servidor web interno:

11 -A FORWARD -p tcp -m tcp -m state -d 200.200.200.200 -i ppp0 --dport 80 --state NEW -j ACCEPT
11 -A FORWARD -p tcp -m tcp -m state -s 200.200.200.200 -o ppp0 --sport 80 --state ESTABLISHED,
RELATED -j ACCEPT
Application proxy
11 O proxy de aplicao permite anlise e filtragem at a camada de aplicao.
11 Controla toda a comunicao de um servio entre as mquinas internas e externas.
11 Necessita de duas conexes: cliente proxy, proxy servidor remoto.

11 Extranet: cliente externo proxy interno, proxy interno servidor interno.
11 No h comunicao entre as mquinas internas e os servidores remotos.
11 Pode agregar outros servios.
Proxy
Exemplo de topologia com proxy nico
Proxy
Rede
interna
Internet
Firewall
Figura 2.14
Proxy de aplicao.
Permite controle total da comunicao, impedindo os ataques que tentam explorar, por
exemplo, vulnerabilidades nas aplicaes dentro dos servidores. Como exemplo, um packet
filtering firewall permitiria a passagem de pacotes na porta 80 (geralmente protocolo HTTP),
mesmo que ningum os tivesse requisitado; um stateful inspection firewall permitiria a
passagem do protocolo HTTP para o servidor web da empresa, porque est de acordo com as
regras definidas; somente o application proxy firewall bloquearia uma sequncia especial de
caracteres misturada nas informaes HTTP que fazem travar a aplicao dentro do servidor.
Squid o proxy popular Linux de navegao na internet, que agrega servio de cache e
de autenticao. O servio de cache estatisticamente fornece economia de 30% de uso da
banda do link de internet. O Squid pode ser usado em conjunto com o dansguardian e o
Lista de e-mails, domnios ou endereos IP

reconhecidos como
fontes de spam.
servio de blacklist, fornecendo administrao robusta de bloqueio de pginas.
Deep packet inspection

11 No conceito de inspeo profunda, toda a informao verificada e no somente
os cabealhos.
11 Verifica se o protocolo correto est passando pela porta correta.
11 Examina cada bit e byte que cruza o firewall, filtrando mais de 95% dos ataques.
11 Integra vrias tecnologias:
22 Gateway antivrus.
22 Gateway antispyware.
22 Gateway antispam.
22 Gateway antiphishing.
22 Servio de preveno de intrusos (IPS).
22 Servio de deteco de intrusos (IDS).
22 Servios IPsec VPN.
Blacklist
31
Alguns fabricantes:
11 SonicWall;
11 Cisco;
11 Juniper.
Firewall
Justifique a necessidade de um firewall para a sua organizao.
O que um proxy de aplicao?
Uma viso a partir do datagrama

Endereamento IP
Transporte
TCP/UDO/ICMP*
rea de Dados (MSS)
20 bytes
20 bytes
1460 bytes
Packet Filter - Trata de 20 a 24 bytes
StateLess - Trata um pouco mais de 24 bytes
StateFull - Trata no mnimo dos 40 bytes iniciais
Figura 2.15
Datagrama, onde
o firewall atua.
Valor mximo do Datagrama (MTU): 1500 bytes

*O protocolo de transporte, porter o cabealho de at 20 bytes
11 Packet Filter: trata de 20 a 24 bytes, ou seja, de todo o cabealho IP (primeiros 20
bytes), e de parte do cabealho de transporte no que diz respeito porta de origem e

destino, lembrando que esse campo tem 4 bytes (16 bits: 2^16 = total de 65536 portas).
11 StateLess: trata um pouco mais de 24 bytes, variando de acordo com a forma com
que a ferramenta foi implementada. Em alguns casos analisa o flag de incio de
32
conexo TCP, mas no capaz de tratar o conceito de estado de conexo.

11 StateFul: trata no mnimo dos 40 bytes iniciais, ou seja, todo o cabealho IP; seja qual
for o protocolo de transporte (UDP, TCP), sabe tratar do estado de conexo.
O fato de um firewall ter a capacidade de atuar nos 40 bytes iniciais do datagrama no quer
dizer que no permita realizar tratamento no estilo Packet Filter ou mesmo Stateless.
Exemplos de firewalls
Linux Kernel 2.0.x:
11 IPF: Packet FilterB.

11 IPFWADM: Packet Filter.
Linux Kernel 2.2.x:
11 IPchains: StateLess.
11 Sinus: Packet Filter.
Linux Kernel 2.4.x / 2.6.x:
11 Netfilter (Iptables): StatefulPacket.
Outras solues OpenSource:
w
Acesse o site do
Firewall Builder e
conhea em detalhes o
projeto: http://www.
fwbuilder.org/
11 IPFW (FreeBSD).
11 PF (OpenBSD e FreeBSD 5.x).
11 IPFilter (Solaris 10).
Visando facilitar a criao e gerenciamento de regras, existe um projeto chamado Firewall
Builder. Atravs de uma plataforma grfica, o administrador pode criar sua rede e depois gerar
as regras de firewall. O diferencial poder escolher para qual plataforma deseja gerar as regras.
Detectores de intrusos
IDS a sigla de Intrusion Detection Systems (Sistemas de Deteco de Intruso).
Analisa o comportamento da rede ou do sistema, em busca de tentativa de invaso.

11 Baseado no sistema imunolgico do corpo humano.
11 Monitora um servidor especfico ou host IDS (Hids).
11 Monitora uma rede especfica network IDS (Nids).
l 11 Monitora chamadas de sistemas Kernel IDS (Kids).

Utiliza dois mtodos distintos.
11 Deteco por assinatura.
11 Deteco por comportamento.
11 Usa sensores espalhados pela rede ou pelo host.
Uma ferramenta de IDS deve possuir algumas caractersticas, entre elas:
11 Rodar sem interao humana, de forma a permitir sua operao em background.
11 Ser tolerante a falhas, de forma a no ser afetada por uma queda do sistema; sua base de
conhecimento no deve ser perdida quando o sistema for reinicializado.
w
Busque mais ferramentas Free and Open
Source Software (FOSS)
nos sites http://www.
freshmeat.net e http://
www.sourceforge.net
11 Resistir a tentativas de mudana (subverso) de sua base; deve fazer automonitoramento.

11 Ter o mnimo de impacto no funcionamento do sistema.
11 Poder detectar mudanas no funcionamento normal.
11 Cobrir as mudanas do sistema, como no caso de uma nova aplicao que comece a fazer
parte do sistema.
11 Nids Linux popular: Snort.
11 Kids Linux popular: SELinux.
Saiba mais sobre

ferramentas de IDS:
http://www.rnp.br/
newsgen/9909/ids.html
33
IDS Snort
Ferramenta de deteco de invaso Nids open source (Linux); popular, rpida, confivel,
exigindo poucos recursos do sistema:

11 Flexvel nas configuraes de regras.
11 Possui grande cadastro de assinaturas.
11 Atualizada constantemente frente s novas ferramentas de invaso.
11 Monitora trfego de pacotes em redes IP, realizando anlises em tempo real de
diversos protocolos (nvel de rede e aplicao) e sobre o contedo (hexa e ASCII).
Modos de operao:
w
Leia mais sobre o Snort
em http://www.snort.
org/http://www.snort.
org
11 Sniffer;
11 Packet Logger;
11 Nids.
Fluxo de funcionamento do Snort

Snort
Sning
Decodicador
de pacotes
Pr-processador
Motor de deteco
Fluxo de
pacotes
Estgio de sada
Data
Flow
Alerts/Logs
Por ser muito popular, existem diversos projetos que trabalham junto ou complementam o
Snort, entre eles o Acid (Figura 2.17) e o Base (Figura 2.18), ajudando a visualizar graficamente
os alertas e suas estatsticas.
Mais detalhes podem ser encontrados em:
11 Analysis Console for Intrusion Databases (Acid): http://acidlab.sourceforge.net/
11 Basic Analysis and Security Engine (Base): http://base.secureideas.net/
34
Figura 2.16
Fluxo de
funcionamento
do Snort.
Figura 2.18
Base.
Hids
11 Ferramenta desenvolvida para monitoramento das modificaes ocorridas no
sistema de arquivos.
11 Verifica a integridade dos arquivos e comandos do Sistema Operacional, manualmente ou atravs de programao via cron.
11 So muitas e interessantes as solues disponveis, como Osiris, Ossec, Samhaim,
Tripwire e Aide.
11 Destaque para Osiris, que alm de ter arquitetura cliente servidor, possui clientes
para vrios Sistemas Operacionais, possibilitando ter um servidor Osiris Linux moni-
Figura 2.17
Acid.
torando servidores Windows e MacOS, por exemplo.

35
Os benefcios do Hids Ossec (http://www.ossec.net/), Hids Samhaim

(http://la-samhna.de/samhain/), Hids Aide (http://aide.sourceforge.net/) e
Hids Tripwire (http://www.tripwire.org) esto em seus sites.
Kids
11 Ferramenta desenvolvida a partir das chamadas de sistemas e do controle das
funcionalidades do kernel.
11 Um conceito ainda recente de IDS, gradualmente adotado pelos Sistemas Operacionais.
11 Exemplos clssicos: Lids, GRsecurity e SELinux.
IPS
11 IPS a sigla de Intrusion Prevention System (Sistema de Preveno de Invaso).
11 Podemos consider-lo a evoluo do IDP.

11 Como o nome diz, o IDS Detecta, porm o IPS tem o poder de barrar o ataque, antes
que atinja seu destino.
11 Pode ser utilizado sozinho ou em conjunto com o IDS.
11 Na maioria dos produtos, pode-se escolher trabalhar no modo de preveno ou deteco.
11 Como exemplo, podemos citar o Sourcefire (verso comercial do Snort).
Redes virtuais privadas

Virtual Private Network (VPN) interliga duas redes privadas usando a internet como
meio de interligao.
Usa normalmente canal de criptografia:
11 Rpida, para no comprometer o desempenho.
11 Segura, para impedir ataques.
11 Substitui linhas dedicadas a um custo reduzido.
11 Sujeita a congestionamento e interrupes na internet.
Tipos:
11 Entre redes.
Figura 2.19
Rede virtual privada
(VPN).
11 Discada.
Virtual Private Network
36
Internet
Link Dedicado ao IS P
Link Dedicado ao IS P
Rede
Corporativa
Filial
A segurana uma importante funo da VPN. Dados privados sero transmitidos pela
internet, que um meio de transmisso inseguro. Eles devem ser protegidos de forma a no
permitir que sejam modificados ou interceptados.
Rede
Corporativa
Matriz
O uso de VPN nos permite trabalhar remotamente (de casa, por exemplo), como se estivssemos dentro da rede da empresa. Permite tambm interligar dois ou mais escritrios,
como se todo mundo estivesse dentro do mesmo prdio, proporcionando inclusive acesso
a recursos compartilhados, como impressoras e servidores de arquivos, que no estariam
localmente disponveis sem o uso dessa tecnologia.
Outro servio oferecido pelas VPNs a conexo entre corporaes (extranets) atravs
da internet.
Autenticao, autorizao e auditoria

Autenticao: estabelece a identidade do indivduo.
11 Identificao:
22 Via login.
22 Via Personal Identification Number (PIN).
11 Mtodo de prova:
22 Via algo que voc sabe.
33 Uma senha (menor nvel de segurana).
22 Via algo que voc tem:
33 Smartcard ou token.
22 Via algo que voc :
33 Impresso digital, leitura da ris, voz etc. (maior nvel de segurana).
Autenticao, autorizao e auditoria

Autorizao:
11 A autorizao traa o perfil de acesso do indivduo e o que ele pode fazer.

11 O perfil contm todas as permisses para cada recurso que o indivduo acessa.
Quando utilizamos
mais de um mtodo
para a autenticao,
chamamos o processo
de autenticao forte.
Auditoria:
11 A auditoria implica em: quem fez o qu, quando, onde?
11 Os registros de eventos (logs) so os primeiros objetos a serem consultados em
uma auditoria.
possvel combinar mtodos distintos de autenticao. Um usurio pode inserir um carto
magntico e digitar uma senha para obter acesso.
Figura 2.20
Token USB (Fonte:
http://www.
ealaddin.com).
37
38
Atividade 2.1 Segurana fsica e lgica
1. Como voc planejaria a segurana da sua empresa seguindo os tpicos abaixo?
Conteno de catstrofes:
Proteo das informaes (backup):
Controle de acesso:
Garantia de fornecimento de energia:
Redundncia:
2. Quantos nveis de segurana possui a rede da sua instituio? Quais so? Faa um
desenho da topologia da soluo.
4. Cite 5 controles que podemos utilizar para aumentar a segurana lgica de um ambiente.
3. Cite 5 controles que podemos utilizar para aumentar a segurana fsica de um ambiente.
39
5. Informe em cada crculo dos diagramas seguintes o equipamento correto para a rede,
que proporcione um nvel de segurana satisfatrio. Justifique suas respostas.
Nmero
Equipamento
IDS
Modem
Firewall
Proxy
Switch
Roteador
Internet
Internet
40
Internet
3
Apresentar informaes sobre ameaas na rede e estatsticas recentes sobre
ataques e suas fontes; indicar o perfil das pessoas que invadem sistemas.
conceitos
Controles de informtica e ameaas digitais.
Introduo
Atualmente a segurana tornou-se um item obrigatrio. Usar a internet sem um antivrus ou
um firewall pessoal quase um pedido para ser infectado ou invadido. Instalar um Sistema
Operacional em uma mquina conectada diretamente internet pode levar a um comprometimento em poucos minutos. Esse o panorama atual da rede: um lugar pblico onde,
junto com aquela informao valiosa de que tanto precisamos, existe um mundo de hackers,
crackers, vrus, worms e outras ameaas.
A rede ainda pode ser usada de forma segura, desde que cuidados bsicos sejam tomados.
Neste Captulo, veremos quais so as ameaas do dia a dia, como elas funcionam e as
formas de se proteger contra elas. Alm disso, veremos as estatsticas dos incidentes de
segurana, diversas fontes de informao diria sobre segurana e o perfil das pessoas que
ameaam a segurana da rede.
Panorama atual da internet

Conexes mais rpidas (banda larga).
11 Estaes se tornam atraentes para invasores.
22 Fazer uso da banda larga.
22 Fazer uso dos recursos computacionais.
22 Roubo de identidade.
Internet pblica: mais ameaas
11 Hackers.
11 Crackers.
11 Vrus.
Captulo 3 - Panorama atual da rea de segurana
objetivos
Panorama atual da rea

de segurana
11 Worms.
41
Panorama atual da rea de segurana
Como o acesso a internet da sua organizao?
Acesso em banda larga modem bridge
Banda larga modem bridge ADSL.

11 Modo padro de configurao da operadora.
Vantagens:
11 Computador pode disponibilizar servios.
11 IP fixo pode usar DNS.
Desvantagens:
11 IP dinmico usando DDNS.
11 Exige segurana reforada.
11 Computador pode ser acessado diretamente da internet.
Conexo PPP
(ponto-a-ponto)
Ethernet
PPPoE (ppp over ethernet)
ATM
PPPoA (ppp over atm)
Autenticao Usurio x senha

Computador ganha IP pblico
Acesso banda larga modem router

Banda larga modem router ADSL.
Vantagens:
11 Modo de operao mais seguro.
42
11 Computador no acessado diretamente a partir da internet.

11 Proporciona acesso a uma rede interna (intranet).
11 IP fixo pode usar DNS.
Desvantagens:
11 Router deve usar firewall.
11 Computador deve usar NAT para disponibilizar servios.
11 IP dinmico usando DDNS.
Figura 3.1
Banda larga modem
bridge ADSL.
Modem Router ADSL

maior nvel de segurana
Computador ganha IP interno
Conexo PPP
(ponto-a-ponto)
Ethernet
ATM
Intranet - computador protegido
PPPoA (ppp over atm)
Autenticao Usurio x senha

Router ganha IP pblico
Principais erros
11 Mesmo erros conhecidos so recorrentes, tanto de projeto como de administrao
de sistemas.
11 Os erros facilitam a atividade dos invasores; todavia, mesmo sem cometer erros a
possibilidade de ameaa continuar existindo.
11 Conectar sistemas na internet sem test-los.
11 Conectar com contas e senhas padro.
11 No atualizar erros de segurana, quando estes so encontrados e divulgados.
11 Deixar que pessoas sem o devido treinamento cuidem de segurana.
11 Deixar servios desnecessrios nos computadores:
22 Ftpd, telnetd, finger, RPC, mail e RServices.
11 Manter no servidor ligado internet a base de arquivos da empresa, no diferenciando servios de LAN e WAN.
11 Conhecer a segurana fsica, mas desconhecer segurana de informao.
11 Falta de ambiente de laboratrio, de teste.
11 Manter somente um firewall protegendo a rede, acreditando que suficiente.
11 Permitir o uso indiscriminado de protocolos especficos, como o ICMP.
11 Implementar firewalls com polticas genricas.
11 Usar protocolos no seguros para administrar sistemas remotos, firewalls etc.
11 No idealizar permetros para melhorar a segurana da rede.
11 No ter servidores com horrio sincronizado.
11 No ter concentradores de logs e analisadores dos registros de logs.
11 Possuir um concentrador e logs, mas com os horrios dos servidores no sincronizados.
11 Achar que, se esquecendo dos problemas, eles somem rapidamente.
11 Falhar na implementao de antivrus ou listas de vrus.
11 Falhar na capacitao e conscientizao dos usurios.
Figura 3.2
Banda larga modem
router ADSL.
43
Ameaas frequentes
11 Vrus.
11 Worms.
11 Trojans.
11 Spywares.
11 Hackers, crackers e outros.
Vrus
11 Microprograma alojado em arquivo hospedeiro, precisa da interveno humana
para se propagar.
11 Autoexecutvel, duplica a si prprio.
11 A principal forma de contgio via correio eletrnico com arquivo anexo infectado.
11 Principais extenses de arquivos perigosos no Windows:
22 A interrogao indica a presena de qualquer caractere.
22 Exemplo: PP? indica tanto PPT quanto PPA:
33 386, ACM, ACV, BAT, BTM, CDR, CHM, CLA, COM, CPL, CSC, DLL, DOC, DOT, DRV,
DVB, EML, EXE, FON, GMS, HLP, HT?, HTA, INF, INI, MDB, MPP, MPT, MSG, MSO,
OBD, OBJ, OBT, OBZ, OCX, OFT, OV?, PIF, POT, PP?, PWZ, RTF, SCR, SHS, SMM,
SYS, TDO, TLB, TSK, TSP, VBS, VBX, VXD, WBK, WBT, WK?, WPD, XL? e XML.
44
Extenso
Comentrio
.com
Executvel DOS/Windows.
.exe
Executvel DOS/Windows.
.pif
Descrio de ambiente de execuo DOS.
.vbs
Scripts em Visual Basic .
.htr
Scripts em servidores web Microsoft.
.cpl
Extenses do painel de controle.
.hta
Scripts em servidores web Microsoft.
.scr
Screens savers do Windows.
.bat
Arquivos de lotes do DOS/Windows.
.doc
Arquivos do Microsoft Word.
.ppt
Arquivos do Microsoft PowerPoint.
.xls
Arquivos do Microsoft Excel.
.js
Scripts em Javascript.
Apesar de existirem vrus para outros Sistemas Operacionais (Linux, MacOS e PalmOS), essa
quantidade infinitamente menor, quando comparamos com a quantidade de vrus do
sistema Windows.
Tabela 3.1
Tipos de arquivos
mais comuns.
l Diversos fabricantes de produtos de segurana disponibilizam programas chamados antivrus.

Um antivrus um programa capaz de detectar e remover os vrus de uma estao. Muitos
deles possuem recursos avanados, como verificao de vrus em correio eletrnico e a verificao em tempo real dos arquivos que esto sendo executados pelo Sistema Operacional.
Alguns desses fabricantes e seus sites:
11 Symantec: http://www.symantec.com/avcenter/
11 McAfee: http://home.mcafee.com/VirusInfo/
11 Trend Micro: http://www.trendmicro.com/vinfo/virusencyclo/
11 F-Secure: http://www.f-secure.com/v-descs/
Tipos de vrus
11 Vrus de boot:
22 Fixa-se num setor onde est localizado o cdigo de boot do micro (inicializao).
11 Vrus de arquivo:
22 Fixa-se em arquivo de programa executvel.
11 Vrus de macro:
22 Vincula macros a modelos de documento (templates) e outros arquivos.
11 Vrus parceiro (companion virus):
22 Junta-se ao Sistema Operacional (programa .com roda primeiro que .exe).
11 Vrus multipartido:
22 Combinao do vrus de boot e do vrus de arquivo.
22 Infecta tanto arquivo quanto rea de boot.
Um vrus pode provocar:
11 Perda de desempenho do micro; excluso de arquivos e alterao de dados.
11 Acesso a informaes confidenciais por pessoas no autorizadas.
11 Perda de desempenho da rede (intranet e internet).
11 Desconfigurao do Sistema Operacional; acionamento e desligamento de perifricos
da mquina.
Preveno:
11 Implantar poltica de uso de antivrus nas estaes de trabalho.
11 Manter antivrus sempre atualizado via internet.
11 Varrer os discos rgidos com o antivrus no mnimo uma vez por semana.
11 O antivrus deve checar os e-mails on-line que chegam e saem.
11 No abrir arquivo anexado em e-mail com extenso perigosa.
11 Habilitar tcnica de antispam no antivrus.
O CAIS indica dois bons antivrus gratuitos:
11 Kaspersky: http://www.kaspersky.com
11 Avira AntiVir: http://www.free-av.com
q
Um antivrus detecta os
vrus em arquivos
atravs de assinaturas
de vrus, que so
conjuntos de informao que identificam
unicamente um
determinado vrus.
Essas assinaturas
devem ser frequentemente atualizadas, de
modo que o antivrus
seja capaz de detectar
os vrus mais recentes.
45
Antivrus on-line:
11 Kaspersky: http://www.kaspersky.com/virusscanner
11 Trendmicro: http://housecall.trendmicro.com
11 F-Secure: http://support.f-secure.com/enu/home/ols.shtml
11 Bit Defender: http://www.bitdefender.com/br/scanner/online/free.html
Worms
11 O worm (verme) infecta uma estao em vez de infectar arquivos.
11 Programa que no precisa da interveno humana para se propagar.

11 Difere do vrus porque no precisa se fixar em arquivo ou setor.
11 Rasteja pela rede tentando infectar outras estaes, podendo utilizar mltiplas
formas de replicao, tornando-se muito eficiente.
A conteno da propagao dos worms depende muito das atualizaes feitas no Sistema
Operacional. Como essas atualizaes no so realizadas pelos administradores e usurios na
maioria dos casos, contaminaes so frequentes sempre que um novo worm lanado na
internet. Entretanto, na grande maioria dos casos, o worm explora vulnerabilidades j conhecidas pelos fabricantes, que disponibilizam em seus sites as atualizaes que as eliminam.
11 O worm Code Red infectou em 19 de julho de 2001 mais de 359 mil computadores em
menos de 14 horas.
11 O worm SQL Slammer infectou 75 mil computadores em 10 minutos em 2003.
11 O worm Confiker infectou mais de 10 milhes de mquinas em janeiro de 2009.
46
11 A preveno contra os worms feita da mesma forma que a do antivrus.
Cavalo de troia
11 Cavalo de troia (trojan horse) um programa que promete uma ao ou funcionalidade, executando outra totalmente diferente.
11 Pode parecer ou simular programas legtimos.
11 Tem o objetivo de enganar as pessoas, permitindo acesso e roubo de informaes em
seus computadores.
Figura 3.3
Propagao do
worm Sapphire
(Fonte: Caida).
11 Includo em software disponvel para transferncia gratuita.
11 Diferentemente de vrus e worms, no cria rplicas de si.

11 Famoso por facilidade de uso, considerado ferramenta de script kid.
Figura 3.4
Cliente do trojan
NetBus.
Alguns cavalos de troia so divididos em duas partes: servidor e cliente.

11 A vtima executa arquivo hospedeiro; o servidor instalado e ocultado no computador;
11 O cliente acessa o servidor e executa operaes no computador da vtima;
11 aberta uma porta de comunicao no monitorada (backdoor).
O que um trojan pode fazer?
11 Expor usurio a esquemas fraudulentos via pgina de site.

11 Encontrar arquivos: v-los, copi-los, alter-los ou apag-los.
11 Registrar o que se escreve e enviar essa informao para outro computador.
11 Capturar vdeo e udio de dispositivos ligados ao computador.
11 Criar janelas pop-up para aborrecer ou conduzir a websites maliciosos.

11 Atacar outros computadores.
Trojans mais famosos:
11 Back Orifice;
11 NetBus;
11 WinCrash.
Preveno:
11 No revelar seu endereo de correio eletrnico a desconhecidos.
11 Evitar incluir seu endereo de correio eletrnico em listas extensas de endereos.
11 Usar software fidedigno de empresas conceituadas.
11 Executar ou encerrar um programa, processo ou conexo no computador.
47
11 Manter o computador atualizado:
22 Windows update on-line.

22 Linux update on-line.
Para prevenir-se preciso usar software de segurana recente e mant-lo instalado e atualizado.
11 Antivrus;
11 Firewall;
11 Antispyware.
Ao instalar programas no micro, escolha um diretrio diferente do padro; por exemplo, ao
instalar Windows, escolha diretrio diferente de C:\windows\.
11 Trocar senhas assim que for invadido ou suspeitar de uma invaso;
11 No usar ou desabilitar a opo salvar senha onde for possvel.
Para verificar as portas que esto abertas na mquina:
11 Execute: C:\netstat ab (Windows);
11 Execute: # netstat atunp (Linux).
Spyware
11 Programa que se instala de maneira furtiva, trazido por outro programa.
11 Difere do trojan, pois no tem objetivo de deixar que o sistema do usurio seja dominado externamente por um cracker.
11 Monitora o usurio, capturando informaes confidenciais, hbitos de consumo,
senhas bancrias, informaes de cartes de crdito etc.
11 Meios de infeco:
22 Download no intencional em programas shareware e freeware.
22 Atravs de infeco de vrus e worms.
22 Instalaes automticas de alguns programas.
Os spywares (programas espies) so associados a adwares. Os adwares so conhecidos por
trazerem para a tela algum tipo de propaganda. Inicialmente os adwares procuravam exibir
propagandas em janelas, chamadas de banners. Passaram a monitorar a atividade do usurio
na internet, podendo mostrar propagandas personalizadas, enviar dados sobre hbitos do
usurio a certos sites, tendo ento funes de spyware e adware, de forma simultnea.
Certos adwares passaram a exibir janelas do tipo pop-up. Passaram a se instalar no navegador do
usurio, acrescentando certas funcionalidades duvidosas, principalmente no Internet Explorer.
48
Sofisticaram-se, incluindo propagandas persistentes, com inmeras variantes. Sua desinstalao

passou a ser uma tarefa bastante penosa ou mesmo impossvel, sem ajuda externa. Isso levou os
usurios a classific-los como pragas ou spywares, e no mais como simples adwares.
Preveno:
11 Usar programas antispyware em conjunto com antivrus;
11 Verificar configuraes de segurana do navegador;
11 Ler cuidadosamente anncios em janelas pop-ups;
11 No instalar programas antes de conhecer as credenciais de quem o forneceu.
v
11 Spywares podem vir acompanhados de hijackers.
11 Exemplos de spyware: GAIN, Aurora;

Assista aos vdeos e saiba como se proteger:
http://antispam.br/videos/
Malware
11 Juno de duas palavras: malicious e software.
11 Utilizado para designar qualquer tipo de software que atue contra o usurio.
11 Podem ser vrus, spywares, trojans ou worms de todos os tipos e categorias.
Existem malwares para todos os tipos de computadores existentes hoje, no importando marcas e modelos. J existem provas de conceito sobre malwares em consoles de
vdeo games inclusive.
Para pensar
Mesmo existindo diversas categorias de softwares maliciosos, como demonstrado
anteriormente, o termo malware comeou a ser vastamente utilizado de forma
incorreta. A frase fui vtima de um malware indica que uma pessoa foi vtima de
um programa malicioso, no importando se um vrus, worm ou trojan. Deixemos
as definies corretas para os especialistas.
Preveno:
11 Tenha sempre um software do tipo antivrus instalado;
11 Evite softwares piratas e/ou de procedncia desconhecida;
11 Mantenha o sistema operacional atualizado.
Mobile Malware
11 Tambm conhecido genericamente como vrus para celular.
11 Utilizando as tcnicas de um cavalo de troia, incentivam o usurio a instalar o

programa malicioso.
11 Podem fazer tecnicamente qualquer coisa com o aparelho da vtima.
Com as mudanas da tecnologia e de hbitos, aparelhos portteis como celulares esto
ficando cada vez mais populares e potentes, alm de estarem sempre conectados internet.
Aps a pessoa fazer o download e instalao do aplicativo malicioso, o aparelho j est comprometido. Saber quais as reais intenes ou aes desses programas bem difcil. O atacante
pode ter controle total do aparelho celular da vtima. Assim pode efetuar ligaes, ver, apagar
e remover contatos, mensagens e fotos.
Na Europa existem muitas fraudes associadas a servios do tipo premium rate phone,
conhecidos no Brasil como 0900 (servios telefnicos de valor adicionado). Aps invadido,
o telefone da vtima passa a ligar para esses nmeros. No final do ms, algum ter de pagar
Assista ao vdeo
Proteja seu computador contra Spyware:
http://www.microsoft.
com/brasil/athome/
security/videos/
spyware_hi/Spyware6-hi.html
49
a conta. O golpe tem maior sucesso quando a vtima possui um aparelho de celular pago
pela empresa, e nem a vtima nem a empresa controlam essa conta.
Preveno:
11 Escolha fontes de distribuio de softwares confiveis;
11 Utilize um software antivrus;
11 Desconfie de aes ou atividades suspeitas em seu aparelho;
11 A economia sempre inimiga da segurana.
Malwares
O que so malwares?
Preveno
Dicas de comportamento como as dicas de comportamento humano nem sempre so
fceis de atender (sempre h um risco).

Por mais que tomemos cuidado sempre existe risco. O que fazemos em nosso dia a dia
minimizar esse risco. Independente da plataforma ou Sistema Operacional, a situao fica
difcil quando necessitamos utilizar um software (qualquer). No temos como saber se
existem componentes maliciosos no software ou se ele ir fazer alguma ao inesperada.
difcil at de saber onde, durante a instalao desse software, foram colocados seus
arquivos, se desejarmos remov-lo futuramente.
J existiram casos de softwares que saram das empresas desenvolvedoras infectados,
assim como pendrives que saram da fbrica com malwares. Nenhum desses fatos foi intencional. Isso demonstra que existem situaes que no podemos evitar, porm, quanto maior
o cuidado que tenhamos, menores sero as chances de termos dores de cabea.
Vulnerabilidades
So falhas presentes em um programa, protocolo ou Sistema Operacional.
Decorrem de erros de especificao ou de programao.
Preveno para erros de programao:
11 Aplicar patches ou hotfix.
50
11 Aplicar service pack ou maintenance level.

Muitas listas de discusso fornecem informaes sobre vulnerabilidades, alm de sites de
fabricantes. Alguns desses sites:
11 http://www.microsoft.com/security/default.aspx
11 http://www.debian.org/security/
11 http://www.cert.org/advisories/
11 http://www.rnp.br/cais/alertas/
Existem pessoas e
grupos na internet que
buscam e divulgam a
existncia de vulnerabilidades. Normalmente,
elas so divulgadas em
listas de discusso
como a Bugtraq:
http://www.securityfocus.com/archive/1
Uma preveno para erros de especificao fazer a reviso da especificao do protocolo

ou do produto, se possvel.
Vulnerabilidades do protocolo TCP/IP sem soluo perfeita:
SYN flood
11 Atacante envia grandes quantidades de solicitaes ao servidor.
11 Servidor fica espera da concluso da negociao para incio da comunicao
(que nunca ocorre).
11 Quando a solicitao inicial finaliza por time-out, outras solicitaes esto chegando
e o clico continua.
11 Esse processo impede que solicitaes lcitas sejam atendidas.
Ataques Smurf
11 Atacante A envia um pacote para a rede B, solicitando resposta de toda a rede.
11 Porm, o pacote de origem foi modificado indicando que a origem veio de C.
11 Rede B responde para a origem C.
11 Mquina C recebe em pouco tempo muitos pacotes de resposta da rede B sem saber o
motivo e, dependendo da quantidade de pacotes, para de funcionar ou de atender novas
solicitaes lcitas.
Os dois exemplos anteriores no demonstram os detalhes tcnicos dos problemas,

mas como os problemas funcionam.
No podemos esquecer que o protocolo TCP/IP foi criado por volta de 1970 e suas caractersticas principais foram mantidas at hoje. Assim, muitas das vulnerabilidades existentes no
protocolo no foram previstas durante o desenvolvimento.
Exploit um programa que explora uma vulnerabilidade. Nasce como a prova de conceito
de que uma vulnerabilidade existe, podendo evoluir para aes maliciosas.
Estatsticas
Entidades como Cert/CC e CAIS/RNP mantm nmero de vulnerabilidades e de incidentes
reportados anualmente.
11 Cert/CC: http://www.cert.org/stats/cert_stats.html
11 CAIS/RNP: http://www.rnp.br/cais/estatisticas/index.php
51
Anos
1997 5
1998
36
1999
473
2000
2053
2001
7209
2002
12114
2003
2019
2004
2964
61323
2005
70815
2006
2007
35766
2008
35939
266798
2009
105030
2010
260000
240000
220000
200000
180000
160000
140000
120000
100000
80000
60000
40000
20000
280000
260220
2001
O CERT/CC oferece estatsticas sobre incidentes, vulnerabilidades, alertas e notas de segurana

publicadas, mensagens de correio eletrnico atendidas e chamadas telefnicas recebidas.
O CAIS o rgo responsvel pela segurana da RNP. As estatsticas do Cais referem-se a
incidentes reportados mensal e anualmente.
Hacker, cracker e outros personagens

Vrus, worms, vulnerabilidades, exploits e ataques:
11 Quem so as pessoas que os produzem?
11 O que elas pensam?
11 Quais so suas motivaes?
11 Por que fazem esse tipo de ao?
52
Hacker:
11 Especialista em informtica, problem solver, descobre falhas e cria exploits;
possui tica hacker.
Cracker:
11 Especialista em informtica, problem creator, hacker malicioso, criminoso.
Figura 3.5
Estatsticas de
incidentes por ano
reportados ao CAIS.
Para pensar
Hoje fala-se muito da tica hacker, que trata da questo do software livre, entre
outras coisas. Os hackers procuram se diferenciar dos crackers, que tentam efetivamente invadir sistemas e causar danos.
O livro A tica dos Hackers e o Esprito da Era da Informao: a Diferena Entre o Bom e o Mau Hacker,
editado no Brasil pela editora Campus, mostra um pouco do que essas pessoas pensam:
w 11 Hacker: o termo hacker foi, por muitos anos, associado a pessoas mal-intencionadas.
Um hacker apenas uma pessoa que detm muitos conhecimentos sobre a rea de computao. Em geral, so pessoas interessadas em Sistemas Operacionais, softwares, segurana,
internet e programao. Um hacker tem interesse em descobrir coisas novas (inclusive
vulnerabilidades em programas), mas no possui nenhuma motivao destrutiva.
11 Cracker: um cracker um hacker com propsitos maldosos de invadir e violar a
integridade de sistemas.
Script kiddies normalmente no esto interessados em algo especfico, mas simplesmente
em invadir um site qualquer. So responsveis por boa parte dos ataques na internet e provavelmente sero os responsveis caso o seu site seja atacado. No site do projeto Honeynet
(http://project.honeynet.org/papers/) podem ser encontradas diversas informaes sobre
script kiddies e o seu modo de ao.
Script kiddies:
11 Com pouco conhecimento de informtica, usam exploits criados pelo hacker e executam ataques na internet.
11 Possuem muito tempo ocioso.
Lammer:
11 Considerado o nvel mais baixo, ou seja, aquele indivduo que no conhece o poder
do computador e se autodenomina hacker ou pensa ser um cracker e sai invadindo o
host pela internet, sem ao menos saber o que est fazendo.
11 Conhecimento ainda menor do que o de um script kiddie.
Newbie:
11 Aprendiz de hacker; pergunta muito, ignorado e ridicularizado.
11 Possui personalidade fraca.
Wannabe:
11 Indivduo que j consegue assimilar a metodologia hacker, comeando a ter afinidade
com a tecnologia underground.
11 No necessariamente um script kiddie, mas algum iniciado no uso de ferramentas
mais bsicas.
11 Terminologia pouco utilizada.
possvel usar a rede

de forma segura? Qual
o nvel de perigo na
internet neste
momento? Veja em:
https://webapp.iss.net/
gtoc/index.html
53
Larva:
11 Indivduo capaz de executar invases a partir de receitas de bolo e exploits encontrados na internet, mas diferente dos script kiddies, j que so capazes de compreender o que esto fazendo e at de melhorar tcnicas e ferramentas.
11 Esto mais prximos do nvel de conhecimento de um cracker.
Virus Maker (virii):
11 Crackers que se dedicam a programar vrus.
Carding:
11 Criminosos digitais que se especializam na manipulao de clonagem de cartes
magnticos de bancos.
11 No cenrio brasileiro, tem sido registrado o aumento das atividades de Carding.
Phreakers:
11 Crackers com profundos conhecimentos de telecomunicaes, alm dos conhecimentos em computao.
Motivao
O que leva uma pessoa a invadir um sistema?
11 Impunidade.
11 Delinquncia
11 Tentativa de chamar a ateno.
11 Notoriedade.
11 Vingana.
11 Compensao financeira.
11 Espionagem.
11 Entrar para o grupo.
Ningum se torna um hacker, hackers nascem assim. Est certo! Muitos deles nunca tero
acesso a um computador, logo nunca sero hackers de fato, mas o esprito hacker est presente naquela pessoa e vai acompanh-la pelo resto da vida. Respondendo a essa pergunta,
me sinto um pouco como The Mentor no manifesto hacker, quando ele pergunta But did
you (...) ever take a look behind the eyes of the hacker? Did you ever wonder what made him
tick, what forces shaped him, what may have molded him? (Mas voc j olhou por trs dos
olhos de um hacker? Voc j imaginou o que faz pulsar, que foras deram-lhe forma, o que
pode t-lo moldado?). A resposta de hoje a mesma que a de 1986, quando o manifesto foi
escrito: hackers so pessoas inquietas, que no so facilmente convencidas por argumentos
54
de autoridade sem valor tcnico. So cticos sempre prontos a duvidar de qualquer coisa.
A simples meno de que algo impossvel para um hacker um poderoso convite para
que ele tente faz-lo. Eles querem saber mais sobre tudo (mais ainda sobre informtica),
simplesmente pelo fato de saber, para obter iluminao pessoal.
Atividade 3.1 Controles de informtica
1. Sua instituio possui segurana e controle sobre a informtica? Faa o teste em:
http://securityassessment.trendmicro.com/Default.aspx?lang=pt-BR
2. Quais portas e servios esto acessveis na sua mquina? Faa a auditoria em:
https://www.grc.com/x/ne.dll?bh0bkyd2
3. Use todas as portas de servio e descreva as que esto abertas em seu computador,
assim como seus servios.
4. Teste os servidores de DNS e de correio eletrnico de sua instituio, fazendo a auditoria

nos seguintes sites:
http://www.ipok.com.br/
http://www.dnsstuff.com
Voc encontrou alguma vulnerabilidade conhecida?
Atividade 3.2 Servios e ameaas

1. Verifique as seguintes listas de portas:
11 Ataque: http://www.portalchapeco.com.br/~jackson/portas.htm
11 Aplicaes especiais: http://www.practicallynetworked.com/sharing/app_port_list.htm
11 Usadas por trojans: http://www.pypbr.com/infovir/port_alf_trojan.asp
11 Usadas por servios: http://www.pypbr.com/infovir/port_usad_a.asp
11 No Linux: /etc/services
2. De posse dessas informaes, voc consegue informar as portas mais vulnerveis? Explique.
3. Baixe o programa spybot no link http://www.safer-networking.org/spybot2-own-mirror-1/.

4. Instale-o em seu computador e verifique se voc foi vtima de algum tipo de malware.
11 No Windows: c:\windows\system32\drivers\etc\services
55
5. O hijackthis um programa que auxilia o usurio a eliminar uma grande quantidade de

malwares conhecidos. Apesar de ser uma ferramenta poderosa, no tem a automatizao
de ferramentas como o spybot, e exige conhecimento mais avanado por parte do usurio.
6. Baixe o programa no link http://sourceforge.net/projects/hjt/ e faa a instalao do
programa no computador.
Instalao
1. Crie uma pasta chamada C:\HijackThis\;
2. Copie o instalador para a pasta criada;
3. Rode o instalador.
Criao de log
Um log do HijackThis pode conter vrias informaes sobre malwares infectados no computador. Voc pode gerar um log atravs da opo Do a system scan and save a logfile.
Corrigindo entradas
1. Clique em Do a system scan only.
2. Marque as entradas necessrias com ateno, pois uma entrada errada pode causar
instabilidade no sistema.
3. Clique em Fix Checked.
4. Voc constatou algum tipo de arquivo malicioso encontrado pela ferramenta?
56
4
Apresentar o funcionamento da famlia de protocolos TCP/IP, desde o nvel fsico
at o nvel de aplicao em questes de segurana; diferenciar as camadas da famlia
TCP/IP e identificar seus principais protocolos; mostrar o funcionamento de aplicaes
bsicas, como servio de nomes, transferncia de arquivos, correio eletrnico e pginas
www; ensinar a captura de trfego real em uma rede e identificar o que foi capturado.
de transporte e de aplicao.
conceitos
Projetos de rede, sniffers, famlia de protocolos TCP/IP, camadas fsica, de rede,
Arquitetura TCP/IP
O que so protocolos?
Introduo
Caractersticas da arquitetura TCP/IP:
11 Baseado na arquitetura cliente/servidor.
11 O IP usa esquema de endereamento universal.
11 Trabalha com:
22 Dados, voz e vdeo.
22 Velocidades: de 9.600 bps a Gbps.
22 Redes: LAN, MAN, WAN e WLAN.
22 Mquinas: servidores, computador pessoal, mainframe, laptop e celular.
22 Plataformas: Mac, Intel, PowerPC, Sun, AMD etc.
22 Sistemas Operacionais: Windows, Linux, MacOS, FreeBSD, Solaris etc.
Captulo 4 - Arquitetura TCP/IP conceitos bsicos
objetivos
Arquitetura TCP/IP conceitos

bsicos
57
O TCP/IP foi criado por volta de 1974, a partir de um artigo escrito por VintCerf. Nos anos
80, ele foi se popularizando e se tornando o protocolo padro de comunicao na internet.
Atualmente, o TCP/IP considerado um padro de fato e o protocolo mais usado para
interconexo de sistemas heterogneos. Neste Captulo, veremos o funcionamento bsico
do protocolo TCP/IP, alm de algumas consideraes sobre segurana.
Famlia de protocolos TCP/IP

11 Formada por vrios protocolos; TCP e IP so os dois mais importantes:
22 Transmission Control Protocol (TCP): protocolo da camada de transporte.

22 Internet Protocol (IP): protocolo da camada de rede.
11 Dividida em camadas com funes bem definidas.
11 Cada camada presta servio para a camada superior.
11 Funcionalidades das camadas de sesso, apresentao e aplicao do modelo OSI so
fornecidas por uma nica camada de aplicao no TCP/IP.
RM-OSI
TCP-IP
Aplicao
Apresentao
Aplicao
Sesso
Transporte
Transporte
Rede
Rede
Enlace
Figura 4.1
Comparao entre
os modelos RM-OSI
e TCP/IP.
Fsico
Fsico
Camada fsica
Equipamentos de interconexo fsica.
11 Hub.
11 Bridge.
11 Switch.
Endereamento fsico.
58
A camada fsica no padronizada no TCP/IP. Ela varia de acordo com a tecnologia de acesso
fsico utilizada (exemplo: Ethernet, ATM e PPP). Compreende tanto a camada fsica quanto a
camada de enlace do modelo RM-OSI.
Do ponto de vista de segurana, importante conhecer os principais tipos de dispositivos de
interconexo fsica utilizados e as implicaes de segurana de cada um desses dispositivos.
Hub (Ethernet)
11 Forma mais simples de interconexo em LANs.
11 No possui inteligncia (processador).

11 Atua somente na camada fsica OSI.
11 Possui n portas.
11 Problemas:
22 Propaga rudo eltrico para todas as portas.
22 Faz broadcast do pacote a nvel fsico.
22 Segurana facilita escuta na rede (sniffing).
22 Interface de rede em modo promscuo (sniffer).
22 Cria domnio de coliso.
22 Permite apenas uma comunicao simultnea.
11 Uso de HUB est diminuindo gradativamente.
Figura 4.2
Modelo de hub.
Bridge (Ethernet)
11 um equipamento que conecta dois segmentos LAN.
11 Possui inteligncia (processador).

11 Atua na camada de enlace OSI.
11 Possui duas portas.
11 Solues:
22 Imune a rudo eltrico.
22 No faz broadcast dos pacotes a nvel fsico.
22 Segurana evita sniffing entre suas portas.
22 Gera confinamento de trfego entre suas portas.

22 Divide domnio de coliso.
Figura 4.3
Transceivers e
bridges Ethernet.
22 Retransmisso seletiva: tabela porta x MAC (Ethernet).
59
Problemas:
11 Permite apenas uma comunicao simultnea entre suas portas.
11 Cria domnio de broadcast nvel de enlace.
Switch (Ethernet)
uma bridge inteligente de n portas.
Solues:
11 Permite vrias conexes simultneas entre suas portas.
11 Densidade maior de portas para conexo.
11 Dificulta escuta na rede.
11 Recursos avanados (autenticao, filtragem etc.).
Problemas:
11 Custo mais elevado.
11 Crescimento da rede (escalabilidade).
11 Broadcast nvel de enlace.
Figura 4.4
Switch de pequeno
porte.
Em termos de segurana, um switch sempre prefervel para interconexo em rede local

a um hub, porm o custo de um switch muito maior. Nesse caso, a relao entre custo e
segurana deve ser posta na balana. No caso do hub, os problemas de segurana podem
ser amenizados de outras formas, como o uso de criptografia.
Preveno:
11 Topologia hierrquica.
22 Nvel 1: switch de ncleo (core) chassi.
33 Uma unidade, muitos recursos, alta performance, custo elevado.
22 Nvel 2: switch de distribuio.
33 Algumas unidades.
22 Nvel 3: switch de acesso.
33 Muitas unidades, menos recursos, menor performance, custo baixo.
11 Redes Microsoft Windows: uso de servidor Wins.
22 Diminui drasticamente o broadcast.
60
33 Uso de router para dividir domnios de broadcast.
Figura 4.5
Famlia de switches
de grande porte
(chassi).
Um switch pode suportar diversas tecnologias de acesso fsico (ATM, Ethernet e Gigabit
Ethernet) e diversos tipos de cabos e conectores (par tranado e fibra tica).
Endereamento fsico
Camada de enlace OSI: protocolo Ethernet.
11 Usa endereo universal Media Access Control (MAC).

11 Hexadecimal: 6 conjuntos de 8 bits exemplo: 00:00:0c:40:df:51.
22 Trs primeiros conjuntos identificam o fabricante.
11 Endereos reservados.
22 FF:FF:FF:FF:FF:FF (broadcast).
22 01:00:5E:xx:xx:xx (multicast).
Para encontrar uma

tabela com os
fabricantes associados
aos trs primeiros
conjuntos de 8 bits,
acesse: http://
standards.ieee.org/
regauth/oui/oui.txt
11 Ethernet: 10 Mbps half duplex.

11 Fast Ethernet: 100 Mbps full duplex.
11 Gigabit Ethernet: 1 Gbps full duplex.
O protocolo Ethernet foi criado a partir do protocolo Aloha, criado na Universidade do
Hava, nos anos 70. Posteriormente, foi aprimorado pela Xerox, que criou o padro Ethernet
de 10 Mbps de transmisso. Hoje temos, ainda, o Fast Ethernet a 100 Mbps e o Gigabit
Ethernet a 1 Gbps. O protocolo Ethernet opera com diversos tipos de cabeamento, como
fibra tica, par tranado (UTP) e coaxial.
Camada de rede
11 Protocolo IP.
11 Endereamento IP
11 Subnetting.
11 Protocolos auxiliares.
11 Endereamento dinmico.
11 Roteamento.
Padres:
61
A camada de rede responsvel por interligar as diferentes redes presentes na internet.

composta, principalmente, pelo protocolo IP (Internet Protocol). A camada de rede tem
por objetivo prover uma forma de transportar informao entre uma origem e um destino,
independentemente de essas mquinas estarem na mesma rede.
Protocolo IP (Internet Protocol)
11 Entrega o pacote e escolhe a rota entre os pontos local e remoto.

11 Na camada de rede, a informao representada por datagramas IP.
11 Datagrama IP: cabealho (64 bytes no mximo) + rea de dados.
0
4
Ver
8
IHL
16
Service type
Identier
Time to live
24
31
Total lenght
Flags
Protocol
Fragment oset
Header checksum
32 bit source address

32 bit destination address
Options and padding
Campos do cabealho :
11 Ver: define a verso do protocolo. Atualmente, verso 4 (IPv4) e verso 6 (IPv6).
11 IHL: define o tamanho do cabealho, uma vez que ele no fixo.
11 Service Type ou Type of Service (TOS): representa uma classe de servio que pode ser
usada para priorizar certos trfegos, como voz e vdeo.
11 Total Length: define o tamanho total do datagrama IP. Tamanho mximo: 65535 bytes.
11 Identifier: identifica um fragmento no caso de o datagrama ter sido quebrado em
pedaos menores (fragmentos).
11 Flagse Fragment offset: campos auxiliares para ajudar a recompor fragmentos.
11 Time To Live (TTL): determina o tempo de vida do datagrama.
11 Protocol: define protocolo da camada de transporte; as opes so o TCP e o UDP.
11 Header checksum: verifica se as informaes do cabealho foram transmitidas sem
erros; o IP no garante a transmisso dos dados, apenas a do cabealho.
11 Source address: endereo IP de origem.

11 Destination address: endereo IP de destino.
11 Options: opes extras do IP.
O protocolo IP no um servio confivel:
11 Entrega com menor esforo.
11 Recuperao do pacote na camada superior.
O protocolo IP no um servio orientado conexo:
11 Pacotes so roteados independentemente.
11 Pacotes so entregues fora de ordem; reordenamento na camada superior.
62
Figura 4.6
Cabealho IP.
Endereamento IP
Endereo universal de 32 bits escrito com quatro nmeros decimais que identifica
unicamente uma interface de rede. Exemplo: 200.221.2.45.

0
32
Identicador
0
de rede
Redes Classe A
Identicador de estao
(de 1.0.0.0 a 127.255.255.255)
16
10
Identicador de rede
32
Identicador de estao
24
Primeiros
bits
110
Identicador
de rede
Reservados para multicast
11110
Reservados para uso futuro
Figura 4.7
Classes de
endereamento IP.
(de 128.0.0.0 a 191.255.255.255)
32
Identicador
de estao
1110
Redes Classe B
Redes Classe C
(de 192.0.0.0 a 223.255.255.255)
Redes Classe D
(de 224.0.0.0 a 239.255.255.255)
Redes Classe E
(de 240.0.0.0 a 247.255.255.255)
11 Estrutura hierrquica, com diviso em duas partes: rede e estao.

11 Diviso feita de duas formas: classe ou mscara.
11 Endereamento por classe (classful).
Endereos para propsitos especficos:

11 0.0.0.0 Mquina em processo de inicializao.
11 127.xx.yy.zz Loopback (127.0.0.1 auto-teste da pilha TCP/IP).
11 Primeiro IP da rede, por exemplo: 200.200.200.0 (endereo da rede 200.200.200.0/24).
11 ltimo IP da rede, por exemplo: 200.200.200.255 (endereo de broadcast).
Nome
Faixa de endereos
IP privados
Nmeros de
IPs
Classful
Descrio
Maior bloco
CIDR
Referncia
8-bit block
10.0.0.0
10.255.255.255
16,777,216
Uma classe A
10.0.0.0/8
RFC 1597
12-bit block
172.16.0.0
172.31.255.255
1,048,576
16 classes A
172.16.0.0/12
16-bit block
192.168.0.0
192.168.255.255
65,536
256 classes C
192.168.0.0/16
16-bit block
169.254.0.0
169.254.255.255
65,536
Uma classe B
169.254.0.0/16
RFC 1918
RFC 3330
RFC 3927
Tabela 4.1
Faixa de endereos
privados.
63
Endereos reservados (intranet):

11 No necessrio que todas as mquinas internas possuam IP pblico.
11 Os roteadores da internet descartam qualquer trfego que use IP privado.
11 Probe que uma mquina interna abra conexo direta com servidor na internet e vice-versa.
11 Existem outras classes de IP e IPs especiais definidos na RFC 5735.
Subnetting (endereamento por sub-rede)
Subnetting a diviso de uma classe em redes menores.

11 Classes A, B e C alocam muitos endereos para uma rede.
11 As faixas disponveis para endereos IP regulares esto terminando.
11 Intranet e servidores proxy permitem economia com endereos IP pblicos.
Parte do endereo reservado para estaes usada para enderear sub-redes.
Roteador provedor
Classful
Classe C
Cliente X
Cliente Y
200.200.200.0/24 200.200.201.0/24
Cliente Z
200.200.202.0/24
Rede: 200.200.200.0
Brodcast: 200.200.200.255
Roteador provedor
Classless
Cliente X
200.200.200.0/29
Cliente Z
200.200.200.16/29
Sub-rede: 200.200.200.0
Brodcast: 200.200.200.7
Sub-rede: 200.200.200.16
Brodcast: 200.200.200.23
Mscara = 255.255.255.0
11111111.11111111.11111111.00000000
Nmero de redes = 1
Cliente Y
200.200.200.8/29
Nmero de estaes = 254 (256-2)
Sub-rede: 200.200.200.8
Brodcast: 200.200.200.15
Mscara = 255.255.255.248
11111111.11111111.11111111.11111000
Nmero de redes = 2^5 = 32
64
Nmero de estaes = 6 (8-2)
Protocolos auxiliares (ARP, RARP e ICMP)

11 Na LAN Ethernet, o trfego segue endereamento MAC e no endereamento IP.
11 Como descobrir o MAC de um IP qualquer de uma estao na LAN?
22 Address Resolution Protocol (ARP): mapeia endereo IP em endereo MAC.
11 Como descobrir o IP de um MAC qualquer de uma estao na LAN?
22 Reverse Address Resolution Protocol (RARP): mapeia endereo MAC em endereo IP.
Figura 4.8
Endereamento por
sub-rede.
11 Cache ARP: mantido em cada estao com os ltimos mapeamentos.
Camara de rede
Endereo IP
ARP
RARP
Camara de enlace
Endereo MAC
Figura 4.9
ARP e RARP.
O ARP um protocolo fundamental para permitir que o IP trabalhe em cima de diferentes

tecnologias fsicas. Em uma rede local, a mquina de IP A quer falar com a mquina de IP B.
A mquina de IP A envia uma pergunta (ARP Broadcast) para toda a rede, querendo saber
qual mquina possui o IP B. Se a mquina de IP B estiver ativa na rede, ento responde para
a mquina A, se identificando.
A mquina com IP A mantm durante algum tempo uma tabela chamada tabela ARP, onde
fica mapeado o endereo (fsico) ARP e o endereo IP. Existem variaes do ARP para outras
Asynchronous Transfer
Mode (Modo de Transferncia Assncrono)
uma tecnologia de
rede que permite
transferir simultaneamente numa mesma
linha dados e voz.
tecnologias, como o Atmarp, por exemplo, para redes ATM.

No Sistema Operacional Windows, execute:
C:\ arp a
ICMP
Internet Control Messages Protocol (ICMP):
11 Protocolo utilizado para a troca de mensagens de erro e controle entre estaes e

outros equipamentos de rede.
11 Ping: pacote ICMP dos tipos echo request e echo reply.
Principais tipos de ICMP:
11 Tipo 0 (echo-reply): a resposta de um ping.
11 Tipo 3 (destination unreachable): destino inalcanvel, usado para avisar ao host
solicitante sobre uma possvel falha de alcance a um host de destino.
11 Tipo 4 (sourcequench): avisa ao host solicitante para diminuir a intensidade da comunicao: fale mais devagar.
11 Tipo 5 (redirect): redirecionamento um host informando ao solicitante para alterar
uma rota.
11 Tipo 8 (echo-request): a solicitao do ping.
11 Tipo 9 (router advertisement): anncio de roteador, usado para descobrir um roteador
na rede.
11 Tipo 10 (router solicitation): seleo de roteador, usado para descoberta de um roteador.
11 Tipo 11 (Time to Live exceeded): timeout de TTL (tempo de vida); um pacote pode estar
em loop, ou a rede congestionada.
11 Tipo 12 (IP header bad): cabealho do pacote IP com problemas.
ATM
65
Endereamento dinmico
11 Como configurar pilha TCP/IP de centenas ou milhares de estaes da rede?
11 DHCP faz a atribuio automtica do endereamento IP para as estaes:

22 Configura automaticamente as estaes da rede quando conectadas.
22 Atribui endereo IP, mscara, default gateway e servidores de DNS.
22 Protocolo mais usado, sucessor do BOOTP, descrito na RFC 1541.
22 Atribui endereo com prazo definido.
A vulnerabilidade do DHCP permitir ao usurio malicioso ocultar sua identidade. Como
identificar uma estao atravs de seu endereo IP dinmico? Como filtrar o acesso de uma
mquina estranha rede?
Preveno:
11 Filtrar MAC das estaes;
11 Fixar IP a um MAC;
11 Tratar logs dos pedidos ao servidor DHCP.
Endereamento dinmico
O que DHCP?
Roteamento
Roteador:
11 Estao que pode traspassar pacotes entre suas interfaces de rede.

11 Hardware especfico ou PC com Sistema Operacional e suporte ao roteamento TCP/IP.
Roteamento:
11 Processo inteligente que define a interface para qual o pacote ser enviado, valendo-se
de uma tabela de rotas.
11 Roteamento esttico ou manual.
11 Roteamento dinmico: protocolos RIP, OPSF, BGP etc.
66
Tabela de rotas:
11 Conjunto de regras que define a interface ou roteador que receber o pacote de
acordo com o endereo IP de destino.
11 A rota se baseia no endereo de destino.
11 Comunicao entre cliente A e servidor B.
11 Vulnerabilidade: no h verificao do endereo de origem ao longo do caminho.
Figura 4.10
Modelo de
roteador.
Tabela de rotas
Tabela de rotas
Destino
Next Hop
Destino
Next Hop
200.200.200.0/24
100.100.100.0/24
A>B
Http://200.200.200.1
Rota de ida
Endereo de origem = 100.100.100.1
Endereo de destino = 200.200.200.1
B>A
Rota de volta
Endereo de origem = 200.200.200.1
Endereo de destino = 100.100.100.1
Figura 4.11
Tabela de rotas.
IP = 100.100.100.1
Gateway = X
IP = 200.200.200.1
Gateway = Y
Roteamento
O que roteamento?
O que so tabelas de rotas?
Camada de transporte
A camada de transporte do TCP/IP possui dois protocolos:
11 UDP.
A camada de transporte responsvel por criar um canal de comunicao entre duas aplicaes. Esse canal pode ser confivel ou no, dependendo do protocolo usado. A aplicao
utiliza diretamente os servios da camada de transporte, sendo essa camada a responsvel
por toda a transmisso entre a aplicao de origem e a de destino. A camada de transporte
do TCP/IP possui dois protocolos: TCP e UDP. No momento da programao da aplicao,
deve ser informado o protocolo a ser usado de acordo com a necessidade.
TCP
11 Orientado para conexo, prov canal confivel fim a fim em rede no confivel,
criando socket no emissor e no receptor.
11 Confiabilidade: o dado chegou ao destino? Retransmite.
11 TCP.
11 Integridade: os dados chegaram em ordem correta? Reordena.

67
11 Socket: canal por onde fluem os dados; elo bidirecional de comunicao entre
dois programas
22 IP (ID rede + ID estao) + TCP-UDP (ID porta) + ID processo (servidor/cliente).
Socket no cliente
IP = 200.130.15.61
Porta TCP = 1024
Pid processo browser = x
Socket no servidor
IP = 200.215.13.11
Porta TCP = 80
Pid processo http = y
Figura 4.12
TCP: orientado
para conexo.
www.dominio.com.br
11 TCP: foi definido na RFC 793 e corrigido na RFC 1122, com extenses definidas na RFC 1323.
11 Porta TCP: nmero inteiro entre 0 e 65535 (16 bits) que, junto com os endereos IP associados, identificam uma conexo no nvel de transporte do TCP/IP. Um processo servidor
necessita escutar uma porta para oferecer um servio, e um processo cliente necessita
alocar uma porta dinmica (maior que 1024) para utilizar o servio oferecido pelo servidor.
As portas TCP podem ser divididas em ranges, como demonstrado na tabela a seguir.
Incio
Fim
Nome
1023
Portas conhecidas
1024
49151
Portas registradas
49152
65535
Portas particulares
Cabealho TCP
Estabelecimento de conexo TCP:
Tabela 4.2
Tabela das portas
TCP.
11 Host1 envia sinal SYN para host2.

11 Host2 responde enviando sinal SYN combinado com sinal ACK.
11 Host1 responde com outro sinal ACK.
11 Conexo feita em trs transmisses.
11 Three-way handshake (triplo aperto de mos).
68
Mais informaes
podem ser obtidas em
http://www.iana.org/
assignments/port-numbers
0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
Source port
Host 1
Host 2
SYN
Destination port
(SEQ = x)
Sequence number
Acknowledgement number
(SEQ = y; ACK = x-1)

Window
Tempo
U A P R S F
Data
R C S S Y I
oset Reserved
G K H T N N
Checksun
SYN / ACK
Urgent Pointer
Options
ACK
(SEQ = x-1; ACK = y+1)
Padding
Data...
Cabealho TCP
Os campos do cabealho so:
11 Source port: porta de origem. Dinamicamente, primeira porta livre maior que 1024.
11 Destination port: porta de destino. Deve ser conhecida.
11 Sequence number: nmero de sequncia.
11 Acknowledgement number: informa o prximo byte esperado pelo receptor.
11 TCP header length: informa o tamanho do cabealho TCP.
11 Reserved: seis bits reservados para uso futuro.
11 Flags: campos de 1bit que podem estar ligados (1) ou desligados (0).
11 URG (Urgent pointer): informa que existe informao urgente no pacote.
11 ACK (Acknowledge): indica a presena do campo Acknowledgement number.
11 PSH: indica que os dados devem ser imediatamente entregues para a aplicao.
11 RST: usado para reinicializar uma conexo com problemas.
11 SYN: usado para estabelecer conexes.
11 FIN: usado para finalizar conexes.
11 Window size: indica quantos bytes podem ser enviados de uma vez; controle de fluxo.
11 Checksum: verifica erros no cabealho e nos dados. Torna o TCP confivel.
11 Urgent pointer: indica onde esto os dados urgentes (flag URG).
11 Options: opes extras do cabealho TCP.
UDP
Protocolo no orientado para conexo, uma verso simplificada do TCP.
11 No garante entrega.
11 No garante ordenamento.
11 No garante ausncia de erros.
Figura 4.13
Cabealho TCP
e o triplo aperto
de mos.
69
Proporciona velocidade.
11 Usado para streaming de vdeo.
11 Sinal de voz (VoIP).
11 Montagem de rede NFS.
Aplicaes de requisies e respostas simples.
11 Requisies de DNS.
Source port (16 bits)
Destination port (16 bits)
Length (16 bits)
Checksun (16 bits)

Figura 4.14
Cabealho UDP.
Data ...
Os dois primeiros campos tm o mesmo propsito que o TCP, o de identificar as aplicaes de origem e de destino. O campo length define o tamanho do pacote UDP (inclusive
os dados) e o checksum apenas verifica erros no cabealho. O UDP, por ser mais simples,
muito usado em servios em que a velocidade de transmisso mais importante que a
ausncia de erros, como a transmisso de voz e vdeo.
Camada de aplicao
H muitas aplicaes na internet. A lista seguinte mostra algumas delas e suas portas padro.
Aplicao
Portas
Descrio
Gmail
TCP 465
Correio eletrnico SMTP com segurana (SSL).
TCP 995
Correio eletrnico POP3 com segurana (SSL).
TCP 80
Telefonia VoIP via internet.
TCP 1024-65535
Trfego de voz.
Skype
UDP 1024-65535
eMule
TCP 4662
P2P popular.
UDP 4672
www
TCP 80
World wide web, servios de pginas com hipertexto.
Tipos de firewalls versus modelo OSI

11 O modelo OSI um modelo de referncia para que possamos compreender melhor a
organizao hierrquica de servios e dispositivos de rede.
70
11 Podemos compreender melhor os tipos de firewalls a partir do ponto de vista do

modelo OSI, tanto quanto a atuao, quanto em relao categoria, que pode ser
Ativo ou Bridge.
Tabela 4.3
Portas UDP.
Camada OSI
Camada
Camada
Aplicao
Aplicao
Apresentao
Apresentao
Sesso
Sesso
Transporte
Transporte
Packet Filter
Rede
Enlace
Enlace
Fsica
Fsica
IP / ICMP / IGMP
Rede
Packet Filter (filtro de pacotes)

Controle seletivo do fluxo de dados de uma rede, possibilitando o bloqueio ou no de
pacotes, atravs de regras normalmente baseadas em:
11 Endereos IP;
11 Protocolos (portas).
Possibilidade de tratar o incio da conexo (TCP SYN). Nesse caso, deixando de ser um mero
Packet Filter para ser um StateLess.
Embora um Packet Filter seja um firewall de camada 3, importante lembrar que
informaes de nmero de porta vm do cabealho UDP ou TCP, mas mesmo assim
definimos que um Packet Filter de camada 3. Todavia, devemos considerar porta
de origem e porta de destino, embora endereamento ainda seja um tratamento
simples para uma comunicao de dados.
Figura 4.15
Packet Filter
Camada OSI.
71
Stateful (Filtragem com Estado de Conexo)

Camada
Camada
Aplicao
Aplicao
Apresentao
Sesso
Transporte
Rede
Statefull Packet
Apresentao
Sesso
TCP / UDP
TCP / UDP
IP / ICMP / IGMP
Transporte
Rede
Enlace
Enlace
Fsica
Fsica
Alm de ter a mesma capacidade de tratamento de pacotes que um firewall Packet Filter,
esse tipo de tecnologia tambm pode manter o estado das conexes por meio de mquinas
de estado. Alguns firewalls ainda so capazes de atuarem como proxy de conexes de
servios especficos ou simplesmente analisarem o contedo de um pacote buscando perfis
de ataques, embora muitos administradores optem por ter essa anlise de ataques em
sistemas de deteco de intrusos (IDS). Dessa forma, os firewalls que se enquadram nessa
tecnologia possibilitam:
11 Deteco e bloqueio de stealth scans;
11 Realizao do controle seletivo do fluxo de dados e tratamento do cabealho TCP;
11 Ser capaz de lidar com protocolos mais especficos, como FTP (ativo e passivo);
11 Manter informaes de estado de conexo;
11 Manipulao de campos de um datagrama.
11 Capacidade de manipular o payload do pacote, inclusive tendo a possibilidade de atuar
procurando strings de ataque.
72
Figura 4.16
Stateful
Camada OSI.
Bridge Statefull
Figura 4.17
Bridge Statefull
Camada OSI.
Camada
Camada
Aplicao
Aplicao
Apresentao
Sesso
Transporte
Rede
Enlace
Fsica
Statefull Packet
Apresentao
Sesso
TCP / UDP
Transporte
TCP / UDP
Rede
IP / ICMP / IGMP
Enlace
Bridge - MAC
Fsica
Tipos de firewall
Ativos que podem ser implantados tanto em fronteira de redes com gateway, como tambm
em ambiente departamental so identificveis com host, pois possuiro um IP e sero
acessveis atravs dele. Todavia, um firewall que atua com um proxy ARP (bridge como uma
ponte na camada de enlace) na fronteira da rede extremamente estratgico, pois no tem
IP, isto , s acessvel localmente ou por outra mquina que tenha uma comunicao serial
com o firewall.
Solues de firewall
11 PF*: original do OpenBSD, disponvel na srie 5 do FreeBSD.

11 Iptables (netfilter)**: soluo Stateful nativa do Linux.
11 Ebtables: soluo de Firewall Bridge para Linux.
Statefull Packet (IPFW, PF*, Iptables**)

Aplicao
Aplicao
Statefull Packet (IPFW)
Apresentao
Apresentao
Sesso
Sesso
StateLess Packet (IPChains)
Transporte
Transporte
Packet Filter (IPFWADM)
Rede
Rede
Enlace
Enlace
Enlace
Fsica
Fsica
Fsica
EBtables
Fsica
Fsica
Rede
Rede
Enlace
Enlace
Enlace
Fsica
Fsica
Fsica
Figura 4.18
Solues de firewall
Camada OSI.
73
Kernel 2.0.x
11 IPF: PacketFilter.
11 IPFWADM: PacketFilter.
Kernel 2.2.x
11 IPChains: PacketFilter.
11 Sinus: PacketFilter.
Kernel 2.4.x / 2.6.x

11 Iptables (Netfilter): Stateful Packet.
Solues Open Source Stateful

11 IPFW2: disponvel em sistemas FreeBSD.
11 IPFW2 e PF: disponvel em sistemas FreeBSD e OpenBSD.
11 IPF: Solaris 10.
No Linux, o nome do firewall presente no Kernel o Netfilter, sendo o Iptables a interface
para acess-lo.
Sniffers
11 Sniffer (farejador).
11 Equipamento ou software para escutar ou farejar o que passa pela rede.

11 Geralmente associado a um analisador de protocolos.
Normalmente uma placa de rede somente escuta o que foi direcionado para ela (seu
equipamento) ou pacotes que so enviados para a rede toda (broadcast). Um sniffer coloca a
placa de rede em um modo chamado de promscuo, onde a placa passa a escutar tudo o
que est passando pela rede. Dependendo do tipo de equipamento de interconexo, hub ou
switch, possvel escutar os pacotes passando pela rede com maior facilidade.
Mesmo no sendo impossvel, o uso de switches dificulta o sniffing, pois os pacotes direcionados a uma mquina so enviados diretamente para aquela mquina, diferente do hub,
que replica todos os pacotes por todas as portas.
Em conjunto com um analisador de protocolos, podemos ver o que est acontecendo em
nossa rede. As ferramentas mais conhecidas so as do TcpDump, atuando em linha de
comando, e o Wireshark, em ambiente grfico. Ambas as ferramentas so abertas e esto
disponveis para um grande nmero de sistemas operacionais e distribuies diferentes.
74
Atividade 4.1 Sniffers para captura de dados
1. Abra o Wireshark:
11 Ative a captura de pacotes da placa de rede ethernet;
11 No campo Filtro, digite FTP e clique em Apply.
11 Acesse o site ftp.unicamp.br;
11 Digite aluno como usurio e como senha digite 123456;
11 Pare a captura de pacotes e verifique se voc consegue visualizar o usurio
e a senha informados.
Atividade 4.2 Estados de firewall

O Netfilter um framework dentro do kernel do Linux, onde os mdulos do Iptables se
conectam para realizar a filtragem de pacotes.
Tabelas
11 Filter filtragem de pacotes;
11 NAT traduo de endereos;
11 Mangle marcao de pacotes, QoS.
Polticas
Comear em DROP ou ACCEPT.
Chains
11 INPUT entrada no firewall;
11 OUTPUT sada do firewall;
11 FORWARD passagem pelo firewall.
Criao de regras
11 -A adiciona a regra ao final da chain;
11 -I insere a regra no comeo da chain;
Padres de casamento
11 -s casa com origem do pacote;
11 -d casa com destino do pacote;
11 -i interface de entrada;
11 -o interface de sada;
11 -p protocolo, que pode ser dos tipos TCP, UDP e ICMP.
11 -D apaga a regra.
75
1. Filtragem simples (Stateless)

11 Logue no shell como root e mude a poltica padro da chain OUTPUT para DROP:
# iptables -P OUTPUT DROP

11 Tente estabelecer uma conexo http;
11 Crie uma regra na chain OUTPUT para permitir que sua mquina estabelea uma
conexo http:
# iptables -A OUTPUT -p tcp --dport 80 -j ACCEPT
No se esquea de criar uma regra para conexes DNS do tipo UDP porta 53.
11 Mude a poltica padro da chain INPUT tambm para DROP. Ainda possvel estabelecer
conexes http?
11 Crie uma regra na chain INPUT para permitir que sua mquina estabelea uma conexo http.
2. Filtragem com Estado (Stateful)

11 Remova as regras da chain INPUT;
11 Crie uma regra genrica para permitir conexes estabelecidas:
# iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT

11 Tente novamente estabelecer uma conexo http;
11 Voc capaz de descrever a diferena entre filtros Stateless e Statefull?
76
5
Mostrar os problemas inerentes famlia TCP/IP (exploits e vulnerabilidades) e
informar as solues disponveis; apresentar os problemas especficos em
implementaes da famlia de protocolos; indicar mecanismos de defesa contra
Varreduras, DOS bsico e conceitos relacionados segurana em rede TCP/IP.
conceitos
vulnerabilidades de protocolo.
Arquitetura TCP/IP e segurana
O que TCP/IP?
Introduo
Tipos de ataques inerentes ao protocolo:
11 Sniffers.
11 Sourcerouting.
11 DoS.
11 Spoofing.
11 SYN flood.
11 Smurf.
11 Portscan.
11 DDoS.
Vulnerabilidade em implementaes especficas:
11 Ping da morte.
11 Teardrop.
11 Land.
Captulo 5 - Arquitetura TCP/IP e segurana
objetivos
Arquitetura TCP/IP e segurana
77
A famlia de protocolos TCP/IP, apesar de largamente utilizada, no perfeita. Existem falhas

conhecidas no projeto do protocolo e tambm na implementao em alguns sistemas especficos. Essas falhas so frequentemente exploradas por usurios maliciosos, especialmente
as falhas de projeto, uma vez que no so facilmente resolvidas.
Muitas das falhas no tm soluo total em muitos casos, sendo possvel apenas diminuir
seu efeito.
No captulo anterior, vimos o funcionamento da famlia TCP/IP com padro para acesso
internet. Neste captulo, faremos algumas consideraes sobre a famlia de protocolos e
veremos alguns ataques conhecidos referentes ao protocolo TCP/IP. Alguns desses ataques
so inerentes ao projeto do protocolo, enquanto outros so problemas de uma implementao especfica.
Sniffers (farejadores)
Programa que escuta a rede em busca de informaes importantes.
11 Uso benigno: anlise de trfego, diagnstico de problemas e base para IDS.

11 Uso maligno: quebra de confidencialidade e captura de senhas.
11 Deteco: uso da placa Ethernet em modo promscuo.
11 Hub: alvo fcil de um sniffer.
No.
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
Time
0.296046
0.297487
0.301595
0.305416
0.449008
0.449010
0.619910
0.622805
0.770388
0.771295
0.918462
0.919316
1.085944
1.087351
1.220460
1.221308
1.368564
1.369383
Source
192.188.11.45
192.188.11.45
200.144.121.118
200.144.121.118
192.188.11.45
200.144.121.118
192.188.11.45
200.144.121.118
192.188.11.45
200.144.121.118
192.188.11.45
200.144.121.118
192.188.11.45
200.144.121.118
192.188.11.45
200.144.121.118
192.188.11.45
200.144.121.118
Destination
200.144.121.118
200.144.121.118
192.188.11.45
192.188.11.45
200.144.121.118
192.188.11.45
200.144.121.118
192.188.11.45
200.144.121.118
192.188.11.45
200.144.121.118
192.188.11.45
200.144.121.118
192.188.11.45
200.144.121.118
192.188.11.45
200.144.121.118
192.188.11.45
Protocol
IMAP
IMAP
IMAP
IMAP
IMAP
IMAP
IMAP
IMAP
IMAP
IMAP
IMAP
IMAP
IMAP
IMAP
IMAP
IMAP
IMAP
IMAP
Info
Response: *ok [CAPABILITY IMAP4rev1 UIDPLUS CHILDREN NAMESPAC
Response: *ok [CAPABILITY IMAP4rev1 UIDPLUS CHILDREN NAMESPAC
Request: xqbn CAPABILITY
Request: z1s1 CAPABILITY
Response: * CAPABILITY IMAP4rev1 UIDPLUS CHILDREN NAMESPAC TH
Request: 8011 LOGIN 1vocarv
Response: 80j1 OK LOGIN OK
Request: 8udg IDLE
Response: + entering idle mode
Request: DONE
Response: 8udg OK IDLE completed
Request: fylu STATUS INBOX (MESSAGES UNSEEN)
Response: * STATUS INBOX (MESSAGES 567 UNSEEN 0)
Request: nki2 IDLE
Response: + entering idle mode
Request: DONE
Response: nki2 OK IDLE completed
Request: 55I1 STATUS INBOX.drafts (MESSAGES UNSEEN)
Frame 12 (90 bytes on wire , 90 bytes captured)

Ethernet II, src: 00:02:55:5d:0a:a0, Dst: 00:04:ac:66:21:a6
Internet Protocol, Src Addr: 200.144.121.118.(200.144.121.118), Dst Addr: 192.188.11.45 (192.188.11.45)
Transmission Control Protocol, Src Port: 2725 (2725), Dst Port: imap (143), seq:18, Ack: 404, Len:36
Internet Message Access Protocol
78
0010
0020
0030
0040
0050
00
0b
fe
20
40
4c
3d
6c
22
72
39
0a
6a
69
6e
13
a5
79
76
70
40
00
00
6f
34
00
8f
00
63
35
80
c6
38
61
21
06
5c
30
72
22
b3
c0
6a
76
0d
a8
bc
31
22
0a
c8
47
20
20
90
0b
4c
22
79
38
4f
66
76
6d
47
69
c0
50
49
73
bc
18
4e
68
.L9.@... ....yv..
\
C (mD
.ljy..80 j1 LOGIN
ivocar v
..
Podemos comparar um sniffer a um grampo telefnico; a diferena que, no caso do sniffer,

existe a possibilidade de escutar diversas conversas ao mesmo tempo. claro que as informaes capturadas podem ser usadas para o bem ou no. Utilizando placas de rede Ethernet
em modo promscuo, possvel capturar trfego com destino a outras mquinas da rede.
Figura 5.1
Ferramenta sniffer
capturando uma
sesso IMAP.
Switch: impede a escuta da rede:

11 Sofre ataque CAM table flooding (MAC spoofing).
11 Envio de requisies ARP falsas com endereos MACs randmicos.
11 Estouro da tabela de MACs.
Preveno:
11 Configurar manualmente uma tabela CAM.
11 Filtrar MAC na porta.
11 Usar criptografia.
Detectar um sniffer em uma rede tarefa rdua e trabalhosa. Um sniffer no necessita ser
um equipamento (ou mquina) independente: pode ser um microcomputador (servidor,
desktop ou notebook), configurado para esse fim. Em sistemas baseados em Unix, somente
o administrador (root) consegue colocar a placa de rede em modo-promscuo. Colocar
uma placa de rede em modo-promscuo altera seu funcionamento, fazendo com que a placa
de rede tenha acesso a todo o trfego de rede que est passando pelo segmento, e no
somente ao trfego direcionado a esse equipamento.
Em equipamentos do tipo Linux, o comando ifconfig pode auxiliar na deteco de placas de
rede em modo-promscuo.
root@laptop:~# ifconfig eth0

eth0
Link encap:Ethernet
inet addr:10.0.2.15
HWaddr 08:00:27:f1:5d:77
Bcast:10.0.2.255
Mask:255.255.255.0
inet6 addr: fe80::a00:27ff:fef1:5d77/64 Scope:Link

UP BROADCAST RUNNING PROMISC MULTICAST
MTU:1500
Metric:1
RX packets:434 errors:0 dropped:0 overruns:0 frame:0

TX packets:454 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:252773 (252.7 KB)
TX bytes:36161 (36.1 KB)
Interrupt:10 Base address:0xd020

No exemplo anterior, podemos ver a mensagem PROMISC, indicando que a placa de rede
existem varias tcnicas que se empregadas e/ou combinadas podem fazer com o que o
trfego seja direcionado para outros equipamentos e capturado.
Source routing (roteando pela fonte)

11 Opo especial do pacote IP, facilita o spoofing.
11 O invasor faz o datagrama passar por uma rota especfica.
est em modo-promscuo. O uso de switches em redes no resolve 100% o problema, pois
79
11 Preveno:
22 Desabilitar o roteamento de pacotes source-routed.

22 No roteador Cisco, executar o comando:
no ip source-route
22 No roteador Linux:
/etc/sysctl.confysctl.conffLinux: executar o ce_route=0

Hoje, no ambiente da internet, no existem motivos legtimos que provocariam a necessidade de ditar o caminho que o pacote dever percorrer at chegar ao seu destino.
Desde que o roteamento seja feito apenas de ou para uma respectiva rede privada, deve-se
atentar para o cuidado de no aceitar pacotes no roteador de borda que instruam esse roteador a encaminhar pacotes para outra rede.
Mais informaes sobre source routing podem ser obtidas na RFC 791.
DoS (Denial of Service)

Denial of Service (DoS negao de servio) uma tentativa explcita de impedir o uso
de servio por usurio legtimo.

Exemplos:
11 Inundao da rede, impedindo seu trfego legtimo.
11 Quebra de conexo entre duas mquinas, impedindo acesso ao servio.
11 Indisponibilidade de servio para uma rede ou usurio.
Tipos de ataque:
11 Consumo de recursos escassos, no renovveis.
22 Banda, CPU, memria, espao em disco: SYNflood, smurf, e-mail, bombing e spamming.
11 Destruio ou alterao de configurao.
22 Alterao de configurao em Sistemas Operacionais e roteadores.
11 Destruio ou alterao fsica de componentes de redes.
22 Acesso no autorizado sala dos servidores e destruio intencional de mquina.
De acordo com a definio do Computer Emergency Response Team (CERT), os ataques DoS,
tambm denominados Ataques de Negao de Servio, consistem em tentativas de impedir
usurios legtimos de utilizarem um determinado servio de um computador. Para isso, so
usadas tcnicas que podem:
1. Sobrecarregar uma rede a tal ponto que os seus verdadeiros usurios no consigam us-la.
80
2. Derrubar uma conexo entre dois ou mais computadores.

3. Fazer tantas requisies a um site at que ele no consiga mais ser acessado.
4. Negar acesso a um sistema ou a determinados usurios.
Preveno:
11 Implementar filtros em roteadores e firewalls.
11 Implementar proteo contra SYNflood.
11 Habilitar quota para as contas.
11 Monitorar: espao em disco, consumo de CPU, memria e trfego de rede.
11 Examinar periodicamente itens de segurana fsica com respeito s necessidades atuais.

11 Usar IDS (tripwire) para checar alteraes em arquivos de configurao.
11 Manter mquinas hot spare.
11 Manter configuraes de rede redundantes e tolerantes a falhas.
11 Manter agendamento de backup regularmente.
11 Manter poltica rgida de senhas.
11 Desabilitar qualquer servio de rede desnecessrio ou que no seja usado.
11 Servidor Linux: # netstat atunp (quais servios esto ativos e por qu?).
difcil falar em preveno desse tipo de ataque, pois a maioria das ocorrncias vistas atualmente exploram o consumo de recursos, como link de internet ou CPU do servidor.
Negao de servio
O que Denial of Service (DoS) e como pode se prevenido?
Spoofing
11 E-mail spoofing.
11 IP spoofing:
22 Blind-spoofing.
22 Non-blindspoofing.
22 ARP spoofing.
22 DNS spoofing.
22 Roteamento.
11 Spoofing significa enganando.
22 Ato de falsificar identidade na rede para enganar um usurio.
11 Existem diversas formas de enganar:
22 DNS: domnio apontando para endereo falso

22 Web: pgina falsa de servios legtimos
22 E-mail: mensagem falsa
22 Roteamento etc.
qualquer procedimento que envolva personificao de usurios ou mquinas, incluindo
endereos IP e consultas em servidores de nomes. So usados para obter acesso no
autorizado ou para esconder tentativas de ataque.
22 IP: burlando mecanismos de autenticao
81
E-mail spoofing
11 Invasor forja remetente da mensagem.
11 Servidor SMTP envia mensagem, no verificando identidade do remetente.

11 Spam: forma usual de e-mail spoofing usada por spammers.
11 Exemplo de ataque de engenharia social:
22 Solicitao ao usurio legtimo de acesso a site suspeito.
22 Solicitao ao usurio legtimo de envio de senha para um endereo determinado.
11 Preveno:
22 Evitar servidor open relay.
22 Verificar MX do domnio do servidor do remetente.
22 Usar autenticao segura para SMTP e POP3.
22 Usar servidor antispam. Soluo Linux popular: SpamAssassin.
22 Usar RealTime Blackhole List (RBL): cadastro de spammers.
22 Reforar configurao do servidor de correio.
22 Conscientizao dos usurios.
Spam
O CERT disponibiliza
uma srie de recomendaes sobre e-mail
spoofing no endereo
http://www.cert.org/
tech_tips/email_spoofing.html
Nome originado de uma marca americana de presunto enlatado. Num filme da srie Monty
Phyton, um grupo de vikings repete esse nome diversas vezes em um bar. Consiste em correio
eletrnico no solicitado, associado a correntes e malas diretas de propaganda. De acordo
com estimativas atuais, mais de 50% do correio eletrnico que trafega no mundo spam.
IP spoofing
Falsificao do endereo de origem do pacote IP.
11 Atacante na estao A envia para C um pacote com origem igual a B.

11 Resposta de C ir para a estao B.
Tcnicas associadas para ataque no protocolo TCP:
11 Blind spoofing (ataque cego):
22 Conexo usa tree-way handshake e Initial Sequence Number (ISN) randmico.
22 Atacante tenta predizer nmero sequencial e executar cdigo.
11 Non-blind spoofing:
22 Atacante est no meio da conexo, capturando trfego com sniffer.
Saiba Mais
22 Atacante conhece o nmero da sequncia gerado.
82
22 Uso de DoS para sequestro de conexo: Man-in-the-middle.

O protocolo TCP possui alguns mtodos de controle, tentando evitar que esse tipo de ataque
acontea. Alguns sites com informaes sobre IP spoofing:
11 http://www.symantec.com/connect/articles/ip-spoofing-introduction
11 http://www.cert.org/advisories/CA-1996-21.html
11 ARP spoofing: envenenamento da tabela ARP (ARP poisoning).
11 DNS spoofing: servidor falso responde a consultas redirecionando o acesso.
Leia o artigo Compreendendo Ataques

Denial of Services, de
Leandro Mrcio Bertholdo, Andrey Vedana
Andreoli e Liane
Tarouco.
http://www.cert-rs.tche.
br/docs_html/ddos-errc-2003.pdf
Regras anti-spoong iptables

Pacote entrando na interface x endereo de origem
# Regra iptables anti-spoong interface externa
Interface eth1
Interface eth0
-p ip -s 10.0.0.0/8 -i eth1 -j DROP
-A FORWARD
-p ip -s 10.0.0.0/8 -i eth1 -j DROP
# Regra iptables anti-spoong interface externa

-A INPUT
-p ip ! -s 10.0.0.0/8 -i eth0 -j DROP
-A FORWARD
-p ip ! -s 10.0.0.0/8 -i eth0 -j DROP
Rede interna
IP = 10.0.0.0/8
Medidas tomadas pelos administradores:

11 Usar filtros ingress e egress: nenhum pacote deve sair da sua rede com um endereo IP
de origem que no pertena a essa rede; tampouco devem entrar pacotes com endereos
de origem de dentro da sua rede. Esse tipo de filtragem comum, e muitas ferramentas
de firewall j a implementam automaticamente.
11 Nmeros de sequncia randmicos: se a regra de formao dos nmeros de sequncia
for suficientemente randmica, o atacante no conseguir sequestrar ou falsificar uma
conexo.
11 Criptografia e autenticao: confiar somente no endereo IP uma poltica que favorece o spoofing. Sistemas seguros devem criptografar a informao sensvel e exigir
meios de obter uma autenticao forte entre as partes.
Preveno
11 Portsecurity: especificaes de segurana de switch Ethernet.
11 ARP watch: monitora mudanas na tabela ARP.
11 ISN mais randmico (kernel).
11 Criptografia e autenticao forte.
11 Filtros ingress-egress no firewall.
11 Kernel Linux:
for f in /proc/sys/net/ipv4/conf/*/rp_filter; do echo 1 > $f done

Roteamento:
11 Ataque combinando IP spoofing e roteamento dirigido.
11 Redireciona a resposta para a mquina do atacante.
Figura 5.2
Regras
antispoofings.
-A INPUT
83
Protocolo de roteamento dinmico.
11 Ausncia de mecanismos de autenticao.

11 Proporciona anncio indevido de rota falsa.
11 Exemplo: RIP.
Preveno.
11 Uso de roteamento esttico ou manual.
11 Uso de protocolos mais modernos com autenticao: RIPv2 e OSPF.
SYN flood
Ataques de Flood ou Flooding consistem em inundar um sistema ou canal de comunicao,
numa tentativa de utilizar ao mximo os recursos e causar um DoS.
Popular ataque de negao de servio (DoS), afeta critrio de disponibilidade.
Entendendo o ataque:
11 Envio de pacotes SYN com endereos de origem randmicos (IP spoofing).
11 Excesso de conexes no servidor sem confirmao.
11 Estouro de buffer: novas conexes no so aceitas at o esvaziamento do buffer
(DoS); ataque contnuo.
Preveno.
11 No existe soluo 100% segura.
11 Configuraes especficas para cada Sistema Operacional.
Atacante
Vtima
SYN
Tempo
Figura 5.3
Ataque SYN flood.
Algumas sugestes de configurao visando mitigar esse tipo de ataque em sistemas Linux.
/etc/sysctl.conf net.ipv4.tcp_syncookies=1
Firewall iptables:
# chama chain flood
$iptables A INPUT p tcp syn j flood
# cria chain flood
$iptables n flood
$iptables -A flood m limit limit 12/second -limit-burst 24 j return
$iptables -A flood -j log_flood
84
w Apesar de muitos fabricantes terem tomado medidas para diminuir os efeitos desse ataque,
Mais informaes sobre
SYN flood podem ser
encontradas em:
http://www.cert.org/
advisories/CA-1996-21.
html e http://cr.yp.to/
syncookies.html
ainda no existe uma forma 100% eficiente para impedi-lo.
Smurf
Ataque do tipo DoS, que usa o recurso directed broadcast da pilha TCP/IP.
11 Atacante descobre uma lista de endereos que podem ser utilizadas como
redes amplificadoras.
11 Atacante pinga broadcast das redes (echo request) com IP da vtima (IP spoofing).
11 Redes respondem com echo reply, inundando a vtima com pacotes ICMP.
Preveno:
11 Filtrar broadcast.
11 Roteador Cisco: no IP directed-broadcast.
22 Kernel Linux: /etc/sysctl.conf g net.ipv4.icmp_echo_ignore_broadcasts=1
w
Mais informaes
podem ser obtidas no
endereo: http://www.
cert.org/advisories/
CA-1998-01.html
Rede
amplicadora 1
Atacante
Rede
amplicadora 2
Rede
amplicadora 5
Rede
amplicadora 3
Rede
amplicadora 4
Brodcasts falsicados
Respostas amplicadas
Infelizmente, no existe forma eficiente de a vtima se proteger, mas as redes amplificadoras

podem bloquear pacotes directed broadcast. Toda difuso externa rede deve ser bloqueada no primeiro roteador disponvel.
Modelo de ataque fraggle

Todas as mquinas que receberam o datagrama UDP com IP de origem forjado respondem para a mquina vtima com ICMP Type3.
Figura 5.4
Ataque smurf.
Vtima
85
Atacante
UDP
Internet
Figura 5.5
Modelo de ataque
fraggle.
Mquina alvo
Ataques com fraggle e smurf so mais difceis de ocorrer, devido ao fato de muitas redes
terem mtodos para no permitir trfego muito alto desses tipos de pacote.
Modelo de ataque DRDOS

Todas as mquinas que receberam o TCP/SYN com o IP de origem forjado respondem
para a mquina vtima com TCP/SYN-ACK e, por sua vez, a mquina vtima responde a
todos os pacotes com TCP/RST.
86
Atacante
TCP/SYN
Internet
Figura 5.6
Modelo de ataque
DRDOS.
Mquina alvo
TCP
SYN+ACK
Portscan (varredura de portas)

Atividade maliciosa de reconhecimento que descobre servios ativos na mquina.
11 Primeira medida para descobrir vulnerabilidades em servios.

11 Passo inicial de muitos ataques.
11 Verificao das respostas com endereo de retorno necessrio permitindo rastrear origem.
11 Detectvel via logs: servidor, firewall e IDS.
Preveno.
11 Realiz-lo periodicamente na sua rede.
11 Analisar periodicamente os logs e reportar portscan.
11 Teste sua rede: http://www.pcflank.com/scanner1.htm
Em mquinas com o protocolo TCP/IP instalado, servios esto associados a portas, que
Web funciona na porta 80 e um servidor Web seguro (HTTPS) funciona na porta 443.
O Portscan o processo de verificao da existncia de algum servio em uma porta. Para
fazer isso, o atacante tenta basicamente se conectar (efetuar um three-way-handshake do
protocolo TCP/IP) em cada porta. Dependendo do tipo de resposta, sabemos se a porta est
aberta (funcionando e atendendo a requisies) ou no.
Entre as muitas ferramentas existentes para esse fim, o Nmap (http://nmap.org) uma das
mais completas ferramentas, funcionando em diversos Sistemas Operacionais diferentes.
O Nmap possui funes permitindo a identificao do Sistema Operacional alvo, assim
como modelo e verso dos servios testados. Conta com diversas tcnicas, explorando ao
mximo os protocolos vinculados ao IP. Atualmente possui inclusive a capacidade de scripts,
podendo efetuar tarefas automatizadas. Mesmo existindo uma interface grfica chamada
variam de 0 a 65535. Cada servio tem ou pode ter uma porta associada. Assim um servidor
ZenMap, o Nmap utilizado em linha de comando continua sendo o mais utilizado.

87
Figura 5.7
Programa de
portscan.
Distributed Denial of Service (DDoS)

11 O mal possui poder de organizao ataque distribudo de negao de servio.
11 Ataque coordenado com mltiplas origens atacando, difcil de executar.
11 Caractersticas:
22 IP spoofing, difcil de rastrear.
22 Largura de banda intensiva.
22 Combina: SYN flood, UDP flood, ICMP flood, smurf e fraggle.
22 Ferramentas: Trin00, TFN e TFN2k.
88
N cliente
N handler
ou master
...
...
...
Figura 5.8
Ataque DDoS.
...
...
...
N agente
ou zumbi
...
Vtima
11 Atacante invade mquinas explorando vulnerabilidades, vrus e worms.

11 Programa DDoS instalado nas mquinas (escravas ou zumbis).
11 Controle central direciona todos os escravos para ataque DoS concentrado.
Sites famosos, como Yahoo! e eBay, j sofreram ataques desse tipo. Mais informaes sobre
DDoS podem ser encontradas em:
11 http://www.cert.org/incident_notes/IN-2000-01.html
Recentemente, tem crescido uma atividade relacionada ao DDoS: as botnets. So redes
mquinas infectadas com algum programa malicioso que faz com que um atacante
w de
remoto seja capaz de ter controle total sobre essas mquinas. Elas se conectam automa-

botnets e IRC:
http://www.irc.org/
e http://www.
securityfocus.com/
news/9543
ticamente a uma rede de Redes de conversao on-line (Internet Relay Chat IRC) por
um servidor IRC comprometido. Esse servidor normalmente chamado de Command and
Control Server (C&C). Conectando-se nesse servidor, o atacante pode enviar um comando
para todas as mquinas que esto naquele canal do servidor, comandando um ataque
DDoS contra uma vtima.
11 http://www.sans.org/dosstep/roadmap.php
89
DDoS (DoS distribudo)

Preveno:
11 Link de internet com adicional de largura de banda, disponibilizado ou em modo hot

standby, para operao normal, ou a pedido para o provedor.
11 Trfego separado: um provedor para acesso da internet aos servidores pblicos e
outro provedor para acesso da rede interna internet.
11 Conversar com o seu provedor sobre:
22 Defesas DoS implementadas e disponveis.
22 Informaes sobre contatos de emergncia (qual o CSIRT do provedor?).
22 Qual o backbone (provedor) do seu provedor?
Preveno:
11 Implementar filtros de trfegos maliciosos.
11 Implementar endereos privados para entrada e sada no firewall (interface externa).
22 Trfego com endereo de origem ou de destino, como broadcast, provavelmente
malicioso (quarto octeto igual a 0 ou 255).
11 Endereos de loopback no podem trafegar na rede.
11 Filtrar trfego utilizando regras antispoofing.
11 Implementar poltica rigorosa de antimalware.
DDoS
O que DDoS (DoS distribudo) e como pode ser prevenido?
Modelo de ataque DDoS em duas camadas

Exemplo simples, onde o cracker ativa todos os zumbis diretamente; esse primeiro
modelo foi implementado na ferramenta TFN.
90
Atacante
Mquinas zumbis
Figura 5.9
Modelo de ataque
DDoS em duas
camadas.
Mquina alvo
Modelo de ataque DDoS em trs camadas

11 Exemplo mais arrojado, onde o cracker ativa todos os zumbis atravs de uma ou mais
mquinas de controle denominadas Master.

11 Esse modelo foi implementado na ferramenta TFN2K.
Atacante
Mquinas
zumbis
Figura 5.10
Modelo de ataque
DDoS em trs
camadas.
Mquina alvo
Master
91
Modelo de ataque DDoS/Worm

A evoluo de DDoS como o worm Mydoom; o conceito de verme agregado ao DDoS
mostra seu poder.

Observamos que uma ao comum nos desenvolvedores de worm us-los para criar possibilidades de ataques DDoS, tornando os computadores infectados zumbis; outra possibilidade tornar os computadores infectados parte de uma grande botnet.
Vulnerabilidades em implementaes especficas

11 Ping of death (ping da morte).
11 Teardrop.
11 Land.
Ping da morte
11 Tipo de ataque DoS.
11 Consiste no envio de ICMP ping com pacote de dados maior que 64 Kbytes, causando
travamento ou reinicializao da mquina Microsoft Windows atacada.
11 Vulnerabilidade muito antiga.
11 Preveno:
22 Upgrade das verses dos Sistemas Operacionais.
22 Firewall iptables Linux:
$iptables -A FORWARD -p icmp --icmp-type echo-request -m limit

--limit 1/s -j ACCEPT
Teardrop
11 Ataque do tipo DoS.
11 Campo fragmentation offset do TCP com valores nulos ou negativos.

11 Afeta Microsoft Windows 3.1, Windows 95, Windows NT, verses do kernel Linux at
2.0.32 e 2.1.63.
11 Causa travamento da mquina atacada.
11 Preveno:
22 Upgrade das verses dos sistemas operacionais.
22 Firewall iptables Linux:
92
22 $iptables -A INPUT -f -j DROP

22 $iptables -A FORWARD -f -j DROP
Land
11 Ataque do tipo DoS.
11 Envio de pacotes SYN com IP e porta de origem iguais ao IP e porta de destino.
11 Usa tcnica de IP spoofing.
11 Afeta vrios sistemas operacionais.
11 Causa travamento da mquina atacada.
11 Preveno:
22 Fazer upgrade das verses dos sistemas operacionais.
93
94
Atividade 5.1 Conceito de varreduras
Primeiros passos para um ataque e para uma auditoria:
1. Acesse http://www.whatsmyip.org/port-scanner/server/
2. Faa um scan de portas na sua mquina. Quais portas esto no ar?
Utilizando Nmap
Nmap um programa de anlise de recursos de rede e auditoria de segurana capaz de
realizar varreduras em redes de computadores a procura de recursos disponveis.
11 Acesse a mquina virtual;
11 Instale o programa Nmap atravs do comando apt-get install nmap;
11 Escaneie a sua mquina com Nmap:
# nmap <ip>
11 Agora faa um scan das mquinas do laboratrio:
# nmap <rede>
11 Verifique vrios nveis de scan e extraia o maior nmero possvel de informaes:
http://insecure.org/nmap/man/pt-br/
Atividade 5.2 Simulando ataques com Hping

Antes de iniciar os ataques importante conhecer a ferramenta Hping, um programa em linha
de comando de construo e anlise de pacotes com orientao para TCP/IP. Suporta TCP,
UDP, ICMP e RAW-IP. Com ele podemos construir pacotes especficos para envio por uma rede.
-V
Modo Verbose
-c
Contador de pacotes
-d
Tamanho do dado
-p
Porta de destino
-s
Porta de origem
--rand-source
Randomizao da origem
--fast
10 pacotes por segundo
--faster
100 pacotes por segundo
--flood
Mximo de pacotes possveis por segundo
Principais opes:
95
Atividade 5.3 Simulando um ataque DoS Land

Essa atividade deve ser feita em dupla:
11 Ataque do tipo Land um tipo de DoS que envia uma inundao de pacotes com a flag
SYN ativada com IP e porta de origem iguais ao IP e porta de destino
11 Na mquina alvo, instale o servio http apache
# apt-get install apache2

11 Abra o Wireshark e tente Sniffar as conexes no segmento do servidor;
11 Na mquina atacante, Instale o pacote hping3, iniciando ataque ao servidor http Linux
Apache na porta 80; com o comando
# hping3 -V -c 1000000 -S -w 64 -p 80 -s 80 --flood --rand-source

<ip_servidor>
11 Verifique o comportamento dos pacotes com o Wireshark.
Principais modos Hping:
Modo
Descrio
Nenhum
Modo default TCP
-0
Modo RAW-IP
-1
Modo ICMP
-2
Modo UDP
-8
Modo Scan
Simulando um ataque SMURF

Um ataque SMURF um tipo de DoS que usa Direct Broadcast.
11 Na mquina alvo, abra o Wireshark e escute a conexo no segmento do servidor;
11 Na mquina atacante, digite o comando seguinte e verifique o comportamento dos
pacotes no Wireshark:
# hping3 -1 --flood -a <ip_broadcast>
96
6
Apresentar os fundamentos bsicos de criptografia e seus princpios bsicos, como
funes hash; diferenciar a criptografia simtrica e assimtrica, e as aplicaes de
cada uma, e mostrar os principais algoritmos de criptografia.
e Public Key Infrastructure (PKI).
Introduo
11 kripts = oculto; grpho = grafia; anlysis = decomposio; logo = estudo.
conceitos
Uso de criptografia em e-mails e arquivos, tipos de criptografia, certificao digital
11 Criptografia: cincia de escrever mensagens cifradas, ocultamente.

11 Criptoanlise: cincia de quebrar cdigos e decifrar mensagens; ataque uma
tentativa de criptoanlise.
11 Criptologia: cincia que rene criptografia e criptoanlise.
Criptografia a base para muitas aplicaes de segurana:
11 Autenticao segura, comunicao segura.
11 Dinheiro eletrnico, certificados digitais.
11 Identidade digital, assinatura digital.
A criptografia garante trs propriedades de segurana:
11 Confidencialidade.
11 Integridade.
11 Autenticidade.
Primrdios: Criptografia de Csar mtodo simples usado no Imprio Romano:
11 Troca cada letra do alfabeto por trs letras depois.
11 Fcil de ser quebrado.
Captulo 6 - Criptografia I Fundamentos
objetivos
Criptografia I Fundamentos
97
Normal
Cifrado
Normal
Cifrado
Durante a Segunda Guerra Mundial, outros avanos foram feitos na rea da criptografia, a partir
da necessidade que os alemes tinham de enviar mensagens. Na poca, os aliados desenvolveram mquinas para quebrar a criptografia dos alemes. Posteriormente, foi formalizada a
Figura 6.1
Criptografia
de Csar.
criptoanlise, cincia de quebrar cdigos e decifrar informao sem conhecer a chave.

Hoje, a criptografia uma cincia bastante estudada, e seus mtodos vo sendo melhorados
medida que a computao avana e processadores mais rpidos so criados.
Fundamentos de criptografia
Como a sua organizao utiliza criptografia?
Criptografia algoritmos e chaves
Elementos bsicos.
11 Algoritmo: funo matemtica para cifrar e decifrar.
11 Um bom algoritmo conhecido publicamente, com segurana testada.
11 Chave: valor secreto usado para realizar as operaes.
11 Possui tamanho em bits; quanto maior, mais segura (exemplo: chave de 128 bits).
Tabela 6.1
Custo de
plataforma x tempo
mdio estimados.
11 Ataque por fora bruta: testa todas as combinaes possveis para a chave.
11 Quanto maior a chave, mais dificuldade para um ataque por fora bruta.
1995 Custo Hardware
98
Comprimento til da chave secreta

40 bits
56 bits
64 bits
80 bits
112 bits
128 bits
US$ 100 mil
2 seg
35 h
1 ano
7x1014 anos
1014 anos
1019 anos
US$ 1 milho
0.2 seg
3,5 h
37 dias
7x1013 anos
1013 anos
1018 anos
US$ 10 milhes
0.02 seg
21 m
4 dias
700 anos
1012 anos
1017 anos
US$ 100 milhes
2mseg
2 min
9hs
70 anos
1011 anos
1016 anos
US$ 1 bilho
0.2 mseg
13 seg
1 hs
7 anos
1010 anos
1015 anos
US$ 10 bilhes
0.02 mseg
1 seg
5.4 seg
245 dias
109 anos
1014 anos
US$ 100 bilhes
2 m seg
0.1 seg
32 seg
24 dias
108 anos
1013 anos
US$ 1 trilho
0.2 m seg
0.01 seg
3 seg
2.4 dias
107 anos
1012 anos
US$ 10 trilhes
0.02 m seg
1mseg
0.3 seg
6 hs
10 6 anos
1011 anos
Robusto
Significa que no
conhecido nenhum
mtodo de ataque
sobre criptograma.
Quebra por fora bruta de chaves de algoritmos simtricos robustos (106 cifragens/seg por CPU)
Descobrindo senhas
Alguns algoritmos criptogrficos so unidirecionais, significando que aps cifrado
o texto ou a mensagem, impossvel revert-los ao estado original. Por exemplo: o
texto 123456, passado pelo algoritmo MD5, retorna o texto e10adc3949ba59abbe56e057f20f883e. Mesmo tendo acesso ao texto cifrado e conhecendo o algoritmo, no
conseguimos, a partir do texto e10adc3949ba59abbe56e057f20f883e, chegar novamente
ao texto original (123456).
Como descobrir o texto original? Como conhecemos o algoritmo utilizado (MD5), podemos
testar vrias possibilidades de texto at encontrar alguma que seja igual ao texto cifrado.
Original
MD5
Valor procurado
Igual ?
123450
149787a6b7986f31b3dcc0e4e857cd2a
e10adc3949ba59abbe56e057f20f883e
No
123451
078563f337ec6d6fedf131ddc857db19
No
123452
7692dcdc19e41e66c6ae2de54a696b25
No
123453
0f3e84acb19dff22f695f31dbe3e972a
No
123454
268e27056a3e52cf3755d193cbeb0594
No
123455
00c66aaf5f2c3f49946f15c1ad2ea0d3
No
123456
SIM
A tcnica apresentada conhecida como ataque de fora bruta, onde todas as possibilidades de um conjunto (letras ou nmeros ou combinados) so testadas e comparadas a um
valor j conhecido.
Dificuldades para quebra de chave por fora bruta

Para descobrir senhas por fora bruta necessrio um nmero n!n!n!...nx! de tentativas
para esgotar as possibilidades, sendo n o nmero de caracteres e n1, n2...nx a quantidade
de caracteres possveis para a chave. Podemos afirmar tambmque quanto menos complexa a senha, mais rpido a fora bruta ir alcan-la. Outro fato que em mdia (algumas
vezes acima, outras vezes abaixo, mas na mdia) a fora bruta alcana seu objetivo em 50%
das iteraes necessrias para esgotar o todo.
Sabendo que o tamanho da chave medido pela quantidade de bits e que quanto mais
bits, mais complexa a senha, e que quanto mais rpido os computadores ficam, mais
iteraes so feitas por segundo para algoritmo de fora bruta, qual o tamanho perfeito
de chave de criptografia?
Uma chave de 56 bits atinge 50% na fora bruta em uma mdia de 1 minuto. Uma chave de
128 bits atinge 1% na fora bruta em 146 milhes de anos, e 50% em 8 trilhes de anos.
Se cada tomo do universo (2 x 10E300) fosse um computador, e se cada um deles pudesse
verificar 2 x 10E300 chaves por segundo, levaria cerca de 2 x 10E162 milnios para se chegar
a 1% de uma chave de 512 bits (64 bytes). De acordo com a teoria do Big Bang, o tempo da
criao do universo at hoje no passa de 2 x 10E24 milnios, ou seja, uma chave dessas no
pode ser quebrada to facilmente. claro que pode ser vendida, roubada, extorquida...
Observao: os clculos foram retirados do livro Criptografia e Segurana O Guia Oficial da
Tabela 6.2
Ataque de fora
bruta.
RSA, de Steve Burnett e Stephen Paine.

99
11 A criptografia transforma premissas de confiana em mecanismos de proteo.
22 Controle de acesso.
33 Transforma premissa de posse de segredo em identificao do agente em
processo digital.
22 Cifragem.
33 Transfere sigilo de uma chave para sigilo da informao em mensagem por
ela cifrada.
22 Integridade.
33 Transforma premissa de sigilo em verificao de integridade de origem
ou contedo.
22 Certificao.
33 Transforma premissas de sigilo e integridade em autenticao recursiva com
verificao aberta.
11 Diviso dos algoritmos de criptografia:
22 Algoritmos simtricos.
22 Algoritmos assimtricos.
22 Funes hash one-way.
11 O que a criptografia no protege:
22 Criptografia no impede um atacante de apagar todos os seus dados.
22 Um atacante pode comprometer seu programa de criptografia, modificando o
programa para usar uma chave diferente da que voc gerou, ou talvez gravar todas
as chaves de cifragem em um arquivo para anlise posterior.
22 Um atacante pode encontrar uma forma fcil de decifrar as mensagens conforme
o algoritmo que voc esteja usando.
22 Um atacante pode acessar seus arquivos antes de voc cifr-lo ou aps a decifr-lo.
11 Por tudo isso, a criptografia deve fazer parte da sua estratgia de segurana, mas no
deve ser a substituta de outras tcnicas de segurana.
Tipos de criptografia
11 Criptografia simtrica:
22 Cifragem por blocos:
33 ECB
33 CBC
33 CFB
100
33 OFB
22 Principais algoritmos de cifragem por blocos:
33 DES
33 3DES
33 RC-4
33 IDEA
33 AES
11 Algoritmo para troca de chaves: Diffie-Hellman.

11 Criptografia assimtrica:
22 Funes de hash.
22 Assinatura digital.
Criptografia a cincia de ler e escrever mensagens cifradas. Muitas aplicaes de segurana usam a criptografia como base. Para existir criptografia necessrio que exista um
algoritmo, uma ou mais chaves e a informao a ser cifrada ou decifrada.
Existem, atualmente, dois tipos de criptografia:
11 Criptografia assimtrica.
22 Duas chaves distintas.
33 Uma para cifrar.
33 Uma para decifrar.
11 Criptografia simtrica.
22 Mesma chave usada para cifrar e decifrar.
Muitas aplicaes podem ser viabilizadas atravs de criptografia, como autenticao,
assinaturas digitais, dinheiro digital etc.
Criptografia simtrica
11 Usa mesma chave e algoritmo para cifrar e decifrar.

11 A chave precisa ser pr-combinada entre os participantes.
11 Out ofband: chave enviada por fora da rede, via disquete ou CD-ROM.
Cifragem
Mensagem
Mensagem
Chave simtrica
Chave simtrica
11 Transmisso de chave via rede:
22 Algoritmo Diffie-Hellman para troca de chaves.

22 Utilizao de criptografia assimtrica.
11 Vantagens:
22 Velocidade e algoritmos rpidos.
22 Facilidade de implementao em hardware.
22 Chaves pequenas e simples geram cifradores robustos.
11 Desvantagens:
22 Distribuio das chaves dificulta gerenciamento.
22 No permite autenticao e no repdio do remetente.
11 Mtodos de crifragem:
22 Cifragem por fluxo (streamcipher).
22 Cifragem em blocos (block cipher), mais utilizada.
Figura 6.2
Criptografia
simtrica.
Decifragem
Internet
101
11 Cifragem por blocos, modos de operao:

22 Eletronic Code Book (ECB).
22 Cipher Block Chaining (CBC).
22 Cipher Feed Back (CFB).
22 Output Feed Back (OFB).
11 Principais algoritmos de cifragem por blocos:
22 DES (inseguro), 3DES, RC-4, IDEA e AES.
Eletronic Code Book

11 Mtodo mais simples, cifra bloco de modo independente usando a mesma chave.
11 No randmico; mensagem cifrada obtida por concatenao dos blocos cifrados.

Texto claro
Chave
Cifragem da
Cifra de bloco
Texto claro
Chave
Texto cifrado
Cifragem da
Cifra de bloco
Texto claro
Chave
Texto cifrado
Cifragem da
Cifra de bloco
Texto cifrado
Cifragem modo Eletronic Codebook - ECB

Texto cifrado
Chave
Cifragem da
Cifra de bloco
Texto cifrado
Chave
Texto claro
Cifragem da
Cifra de bloco
Imagem original
Texto cifrado
Chave
Texto claro
Cifragem da
Cifra de bloco
Texto claro
Decifrao modo Eletronic Codebiik - ECB

O Electronic Code Book (ECB) cifra cada bloco de 64 bits de forma independente, usando
a mesma chave. O mecanismo ECB no considerado muito seguro, pois um intruso pode
perceber quando uma mensagem muda pela mudana no bloco. No ECB, uma mesma men-
sagem cifrada vrias vezes vai gerar sempre o mesmo bloco.
102
Desvantagens:
11 Blocos iguais de textos claros produzem blocos cifrados iguais;
11 No esconde padro de dados;
11 Nada acrescenta confidencialidade proporcionada pela cifra.
Imagem com ECB

Figura 6.3
Eletronic Code
Book ECB
(Livro de Cdigo
Eletrnico).
Cipher Block Chaining
Cipher Block Chaining CBC (Corrente de Blocos):

11 Modo de operao mais usado.
11 Operao XOR entre novo bloco de texto claro com bloco cifrado obtido na etapa anterior.
11 Bloco cifrado depende de todos os blocos anteriores de texto claro (feedback).
Texto claro
Texto claro
Texto claro
Vetor de
Inicializao (VI)
Chave
Cifragem da
Cifra de bloco
Chave
Texto cifrado
Cifragem da
Cifra de bloco
Chave
Texto cifrado
Cifragem da
Cifra de bloco
Texto cifrado
Imagem original
Cifragem modo Cipher-block Chaining - CBC

Texto cifrado
Chave
Decifrao da
Cifra de bloco
Texto cifrado
Chave
Decifrao da
Cifra de bloco
Texto cifrado
Chave
Decifrao da
Cifra de bloco
Vetor de
Inicializao (VI)
Imagem com CBC

ou CFB ou OFB
Texto claro
Texto claro
Texto claro
Decifrao modo Cipher-block Chaining - CBC

Nesse modo, cada bloco depende do resultado do bloco anterior. Atravs de um mtodo
chamado feedback, o bloco anterior utilizado no processo de cifragem do bloco seguinte.
Um sistema que usa CBC deve garantir que todos os blocos cheguem corretamente, pois um
erro em um bloco se propagar para todos os outros.
Sua desvantagem ser sequencial, que no pode ser usado em paralelo e tem maior
tempo de processamento.
Cipher Feed Back

Cipher Feed Back CFB (Cifra Realimentada):
11 Cifra dados de qualquer tamanho, independentemente do bloco.
11 til para cifrar informaes que devem ser imediatamente transmitidas.
11 Difere do OFB porque o texto cifrado realimenta o mtodo em vez da sada da
cifra de bloco.
Figura 6.4
Cipher Block
Chaining CBC
(Corrente de
blocos).
103
Vetor de
Inicializao (VI)
Chave
Cifragem da
Cifra de bloco
Texto claro
Chave
Cifragem da
Cifra de bloco
Texto claro
Texto cifrado
Chave
Cifragem da
Cifra de bloco
Texto claro
Texto cifrado
Texto cifrado
Cifragem modo Cipher Feedback - CFB

Vetor de
Inicializao (VI)
Chave
Cifragem da
Cifra de bloco
Chave
Cifragem da
Cifra de bloco
Cifragem da
Cifra de bloco
Texto cifrado
Texto cifrado
Texto claro
Chave
Texto claro
Texto cifrado
Texto claro
Decifrao modo Cipher Feedback - CFB

O CFB capaz de cifrar dados de qualquer tamanho, independentemente do bloco. til
para cifrar pequenas quantidades de informao ou informaes que devem ser imediatamente transmitidas, independentemente de completar um bloco ou no.
Output Feedback
Output Feedback OFB (Sada Realimentada):
11 Transforma cifra de blocos em gerador de nmeros pseudoaleatrios.
11 Gera bloco de fluxo de chave cifrando bloco de fluxo de chave anterior.
104
Figura 6.5
Cipher Feed
Back (CFB) Cifra
Realimentada.
Vetor de
Inicializao (VI)
Chave
Cifragem da
Cifra de bloco
Texto claro
Chave
Cifragem da
Cifra de bloco
Texto claro
Texto cifrado
Chave
Cifragem da
Cifra de bloco
Texto claro
Texto cifrado
Texto cifrado
Cifragem modo Output Feedback - OFC

Vetor de
Inicializao
Chave
Cifragem da
Cifra de bloco
Cifragem da
Cifra de bloco
Texto cifrado
Texto cifrado
Texto claro
Chave
Cifragem da
Cifra de bloco
Texto cifrado
Texto claro
Texto claro
Decifrao modo Output Feedback - OFB

Parecido com o CBC, porm no existe dependncia entre os blocos. Mltiplas cifragens da
mesma mensagem produzem mensagens diferentes, ainda que utilizando a mesma chave.
Data Encryption Standard (DES)

11 Durante muitos anos foi o algoritmo padro usado para criptografia simtrica.
11 Criado pela IBM em 1977 com tamanho de chave pequeno (56 bits randmicos e
8 bits de paridade).
11 Quebrado por fora bruta em desafio lanado pelo National Institute of Standards
and Technology (NIST), em 1997.
Figura 6.6
Output Feedback
(OFB) Sada
Realimentada.
Chave
105
64-bit plaintext
64-bit key
.............
.............
Initial Permutation
Round 1
Round 2
Round 16
Permuted Choice 1
K1
K2
K16
Permuted Choice 2
Left circular shift
Permuted Choice 2
Left circular shift
Permuted Choice 2
Left circular shift
32-bit Swap
Inverse Initial
Permutation
.............
64-bit ciphertext
Opera em blocos de 64 bits. Em sua forma padro, usa uma chave de 64 bits, na qual 56 bits
Figura 6.7
Data Encryption
Standard (DES).
so randmicos e os oito bits restantes so informaes de paridade, usadas para verificar

a integridade da chave. O DES pode ser usado em qualquer um dos quatro modos descritos
anteriormente (ECB, CBC, CFB e OFB).
Existe uma variao do DES chamada de 40-bit DES. Essa variao foi criada pelo governo
americano para permitir o uso do algoritmo fora dos Estados Unidos. Na poca, eles no
permitiam a exportao de qualquer sistema de criptografia com mais de 40 bits de chave.
Ele era o prprio DES, sendo que 24 bits da chave eram fixos (40 + 24 = 64 bits).
Algoritmo usado:
11 Mensagem de 64 bits dividida em duas partes de 32 bits.

11 Chave de 56 bits usada para gerar 16 chaves de 18 bits.
106
11 O algoritmo aplicado sucessivamente 16 vezes atravs das chaves geradas.
3DES, RC-4, IDEA e AES

3DES (Triple DES).
11 DES aplicado em trs ciframentos sucessivos, usa verso com duas ou trs chaves
diferentes. Seguro, porm lento.
A especificao do DES
pode ser encontrada em:
http://www.itl.nist.gov/
fipspubs/fip46-2.htm
RC-4 (RivestCipher4).
11 Criado por Ron Rivest (do MIT), propriedade da RSA Data Security, usa chave de
128 bits, funciona em fluxo contnuo. Quatro vezes mais rpido que o DES.
International Data Encryption Algorithm (IDEA).
11 Algoritmo patenteado, usa chave de 128 bits; mais rpido que o DES, usado no
mercado financeiro e no PGP.
v
Assista a um vdeo
sobre o Rijndael: http://
www.conxx.net/
rijndael_anim_conxx.
html
Advanced Encryption Standard (AES)

11 Aprovado pelo Federal Information Processing Standards (FIPS) para ser adotado
pelo NIST; algoritmo usado: Rijndael.
11 Substituto do DES, livre de royalties, tamanho de bloco e de chave varivel;
fcil implementao.
O AES foi o resultado de uma seleo de diversos algoritmos, candidatos a se tornarem um
padro para criptografia em entidades governamentais nos Estados Unidos. Foi aprovado
em novembro de 2001. O algoritmo AES capaz de utilizar chaves criptogrficas de 128, 192
e 256 bits para cifrar e decifrar blocos de 128 bits. Junto com o AES, foram criados dois novos
modos de cifragem: o CCM e o CTR.
Informaes sobre o AES e os novos modos de cifragem podem ser encontradas em:
11 http://csrc.nist.gov/CryptoToolkit
11 http://csrc.nist.gov/publications/nistpubs/800-38C/SP800-38C.pdf
11 http://csrc.nist.gov/publications/nistpubs/800-38a/sp800-38a.pdf
Algoritmo Diffie-Hellman
11 Primeiro uso do conceito de chave pblica/chave privada proposto por Diffie
e Hellman em 1976.
11 Serve para a troca de chaves simtricas em meio inseguro sem conhecimento
prvio de segredo.
Figura 6.8
Whitfield Diffie e
Martin Hellman,
criadores do
algoritmo.
Fonte: http://
commons.
wikimedia.org
O algoritmo foi criado em 1976, em um artigo chamado New Directions in Cryptography.
w Seu nome faz referncia aos autores do algoritmo. Atualmente, existem ataques contra
Leia mais sobre o
algoritmo em http://
www.rsa.com/rsalabs/
node.asp?id=2248
o Algoritmo Diffie-Hellman. Existem propostas de verses que usam certificados digitais

para reduzir a possibilidade de ataques, mas o algoritmo ainda muito usado para troca de
chaves simtricas.
11 Usado para distribuio de chaves, mas no para cifrar ou decifrar mensagens.
107
Criptografia assimtrica
Tambm chamada de criptografia de chave pblica e chave privada.
Usa par de chaves:

11 Chave pblica: distribuda livremente.
11 Chave privada: guardada pelo usurio.
Propriedades importantes:
11 Mensagem cifrada com chave pblica s decifrada com chave privada do par.
11 Mensagem cifrada com chave privada s decifrada com chave pblica do par.
11 Derivar chave privada a partir da chave pblica computacionalmente invivel.
O algoritmo mais conhecido de chave pblica o algoritmo RSA, que se tornou pblico em
6 de setembro de 2000. Foi criado por Ron Rivest, Adi Shamir e Leonard Adelman (a sigla RSA
foi formada a partir da letra inicial do sobrenome de seus criadores).
No RSA, a segurana do sistema baseia-se na dificuldade da fatorao de nmeros grandes.
No El Gamal, a segurana do sistema baseia-se na dificuldade do clculo de logaritmos discretos em um corpo finito.
O Digital Signature Algorithm (DSA), unicamente destinado a assinaturas digitais, foi proposto pelo NIST em agosto de 1991, para utilizao no seu padro.
O Digital Signature Standard (DSS) foi adotado como padro no final de dezembro de 1994.
Trata-se de uma variao dos algoritmos de assinatura El Gamal e Schnorr. Foi inventado
pela NSA e patenteado pelo governo americano. O DSS mais rpido na gerao de chaves,
comparado ao RSA; o RSA, porm, mais rpido na verificao de assinaturas.
Algoritmos mais usados:
11 RSA;
11 DSA;
11 El Gamal;
11 DSS.
11 Alice e Bob criam par de chaves individuais.
11 Alice e Bob trocam chaves pblicas.
11 Alice escreve mensagem.
11 Alice usa chave pblica de Bob para cifrar.
11 Alice envia resultado para Bob.
108
11 Bob usa sua chave privada para decifrar.

11 Bob escreve resposta, cifra com chave pblica de Alice e envia para Alice.
11 Alice usa sua chave privada para decifrar a resposta.

o RSA podem ser
obtidas no padro
Public Key Cryptography Standard#1
(PKCS #1), encontrado
em: http://www.rsa.
com/rsalabs/node.
asp?id=2125
Alice
Bob
2. Transferncia das chaves pblicas
1. Gerao do
par de chaves
1. Gerao do
par de chaves
Chave pblica Bob
Chave privada Bob
4. Decifrar
3. Cifrar
Mensagem
original
Chave privada Alice
Chave pblica Alice
6. Decifrar
5. Cifrar
Resposta
de Bob
Texto cifrado
Resposta
de Bob
Para pensar
Esse tipo de comunicao levanta uma questo bsica: como garantir que a chave
pblica de Alice realmente pertence Alice, e no a uma pessoa se fazendo passar
por Alice? Pelo esquema anterior, qualquer pessoa poderia gerar um par de chaves
como se fosse Alice e distribuir uma chave pblica falsa. Nesse caso, precisamos de
um mecanismo que nos permita atestar a autenticidade de uma chave pblica. Esse
mecanismo chama-se certificao digital e ser examinado mais adiante.
Funes de hash
11 A partir de entrada de tamanho varivel, produz sada de tamanho fixo.
11 A sada chamada de hash (digest), impresso digital da mensagem.

11 Propriedades de um algoritmo de hash:
22 Consistncia: mesma entrada produz sempre a mesma sada.
22 Randmico: a sada no permite descobrir informaes sobre a mensagem original.
22 nico: quase impossvel duas mensagens produzirem hashes iguais.
22 One-way (mo nica): a partir do hash impossvel descobrir a mensagem original.
O Message Digest 4 (MD4) e o MD5 foram criados por Ron Rivest, no MIT. O Secure Hash
Algorithm (SHA) foi desenvolvido pelo NIST. O MD5 processa a entrada em blocos de 512 e
produz uma sada de 128 bits. O SHA processa a entrada em blocos de 512 e produz uma
sada de 160 bits. O SHA necessita de um processamento mais intensivo e pode rodar um
pouco mais lentamente que o MD5. Em 1995, o SHA original foi atualizado, por problemas
de segurana, e foi proposto o SHA-1 (o anterior costuma ser chamado de SHA-0 para
Figura 6.9
Transferncia de
chaves.
Mensagem
original
Texto cifrado
109
evitar confuso). Posteriormente, foram criadas mais quatro variaes: SHA-224, SHA-256,
SHA-384 e SHA-512. Essas ltimas variaes so eventualmente chamadas de SHA-2.
Pesquisadores chineses anunciaram a descoberta de uma srie de colises (mensagens
diferentes produzindo o mesmo hash) nos algoritmos MD4 e MD5.
Essas descobertas foram anunciadas em uma conferncia sobre criptografia no ano de 2004
e causaram grande impacto, uma vez que boa parte dos sistemas em produo utilizam esses
algoritmos. Mais informaes sobre as colises podem ser encontradas nos seguintes artigos:
11 http://eprint.iacr.org/2004/199.pdf
11 http://eprint.iacr.org/2004/146.ps
Algoritmos:
11 Message Digest-4 (MD4): sada de 128 bits.
11 Message Digest-5 (MD5): sada de 128 bits.
11 SecureHashAlgoritm (SHA): sada de 160 bits (um pouco mais lento).
Calcule seu hash:
11 http://www.yellowpipe.com/yis/tools/encrypter/index.php
Usado para garantir integridade da mensagem transferida.
11 Alice escreve uma mensagem.

11 O hash calculado para representar a mensagem.
11 A mensagem original enviada para Bob junto com o hash.
11 Bob separa a mensagem original e calcula o hash localmente.
11 Bob compara os hashes.
11 Caso os hashes sejam iguais, a mensagem no foi alterada.
Criptografia assimtrica
Quais as principais vantagens da criptografia assimtrica sobre a simtrica?
Assinatura digital
Hash da mensagem cifrado com chave privada: garante a identidade do remetente e a
110
integridade da mensagem ou do documento.
Esta uma mensagem

que necessita de
integridade e autenticao
Mensagem original
Esta uma mensagem

que necessita de
integridade e autenticao
Assinatura
RSA
MD5
MD5
Chave
pblica
Funo HASH
006FBBCE95
Chave
privada
Message Digest
006FBBCE95
006FBBCE95
Criptograa
RSA
So iguais?
Assinatura
As assinaturas digitais no garantem confidencialidade e sofrem o mesmo problema de
autenticidade das chaves pblicas, como foi visto na criptografia assimtrica. Para resolver
esse problema, necessrio o uso de certificados digitais.
11 Bob: escreve mensagem, calcula hash da mensagem, cifra hash com sua chave
privada (assinatura digital), envia assinatura e mensagem para Alice.

11 Alice: separa assinatura da mensagem original, utiliza chave pblica de Bob para decifrar assinatura, calcula hash local da mensagem original, utilizando a mesma funo
usada por Bob. Caso os dois hashes sejam iguais, a mensagem foi enviada por alguma
pessoa utilizando chave privada de Bob, e no foi modificada na transmisso.
Certificao digital
Como confiar em uma chave pblica? A chave pblica de Alice realmente de Alice?
Carteira de identidade (Secretaria de Segurana Pblica) assinada por delegado de

polcia, tem f pblica.
11 Indivduo g chave pblica.
11 Carteira de identidade g certificado digital.
11 Secretaria de Segurana g autoridade certificadora ou Certification Authoritie (CA).
Um certificado, para ser considerado vlido, deve ser assinado por uma Certification Authoritie
(CA). CAs so entidades confiveis que emitem e atestam certificados, anlogas aos cartrios, que verificam assinaturas normais. Um ponto chave da certificao digital o fato de a
chave pblica da CA ser amplamente distribuda (necessria para verificao da assinatura)
por meios que impeam fraudes. Um exemplo prtico de distribuio de chaves pblicas de
CAs o webbrowser, que j vem com as chaves pr-instaladas no prprio programa. Uma
entidade certificadora responsvel por criar, distribuir e invalidar certificados. A invalidao
de certificados feita atravs de listas especiais chamadas de Certificate Revogation Lists
(CRLs). Apesar de todo certificado ter uma validade, em certos casos necessrio expirar um
certificado antes do tempo. Essa expirao feita atravs das CRLs.
Certificado digital
11 Contm chave pblica do usurio e dados informando a sua identidade;
11 uma mensagem emitida e assinada pela CA, que valida a chave pblica do usurio;
Figura 6.10
Assinatura digital.
111
11 A chave pblica da CA amplamente distribuda.

O certificado segue o padro X.509 do ITU-T, contendo:
11 Verso do X.509 e nmero serial do certificado;
11 Informao do algoritmo gerador do certificado;
11 Identificao do gerador do certificado;
11 Datas de validade;
11 Informaes sobre o algoritmo assimtrico da chave pblica do usurio;
11 Assinatura digital da CA.
Public Key Infrastructure (PKI)
O certificado digital deve ser solicitado a uma AC ou a uma AR.

11 AC: Autoridade Certificadora.
11 AR: Autoridade de Registro, solicita certificado a uma AC.
PKI = ICP (Infraestrutura de Chaves Pblicas).
11 Hierarquia: AC raiz autoriza operaes de outras ACs.
PKI (ICP Brasil)

Ac raiz
ICP Brasil
Http://www.icpbrasil.gov.br
AC
AC
Presidncia da Repblica
Http://www.planalto.gov.br
Serpro
Http://www.serpro.gov.br
Certicado
Certicado
AC
AC
Serasa
Http://www.serasa.com.br
Caixa Econmica Federal

Http://www.caixa.gov.br
Certicado
Certicado
112
AC
AC
Receita Federal
Http://www.receita.fazenda.gov.br
Sertisign
Http://www.sertisign.com.br
Certicado
Certicado
Figura 6.11
Public Key
Infrastructure (PKI).
O conjunto de hardware e software pessoal, polticas e procedimentos necessrios para

criar uma infraestrutura de certificao digital chama-se Public Key Infrastructure (PKI) ou
Infraestrutura de Chaves Pblicas (ICP).
w Caixa Econmica Federal, Serasa e Certisign. Para que tenha valor legal diante do governo
No Brasil, a ICP Brasil controla seis ACs: Presidncia da Repblica, Receita Federal, Serpro,
brasileiro, uma dessas instituies deve prover o certificado. Para que isso seja feito, cada
instituio pode ter requisitos e custos diferentes para a emisso, uma vez que cada entidade pode emitir certificados para finalidades distintas.
Qualquer instituio pode criar uma ICP, independente de seu porte. Se uma empresa criou
uma poltica de uso de certificados digitais para a troca de informaes entre a matriz e suas
filiais, no vai ser necessrio pedir tais certificados a uma AC controlada pela ICP Brasil.
A prpria empresa pode criar sua ICP e fazer com que um departamento das filiais atue
como AC ou AR, solicitando ou emitindo certificados para seus funcionrios.
Exemplo completo
11 Como garantir confidencialidade, integridade e autenticidade (no repdio)?
11 Combinando tecnologias: criptografia simtrica, assimtrica, hash e certificado digital.

1. Alice e Bob geram seus respectivos pares de chaves.
2. Alice e Bob obtm seus certificados digitais em uma CA.
3. Alice e Bob trocam certificados.
4. Alice:
22 Prepara chave simtrica randmica e calcula hash.
22 Cifra hash com chave privada (assina).
22 Cifra chave simtrica e assinatura com chave pblica de Bob e transmite.
5. Bob:
22 Decifra o conjunto recebido, extrai chave simtrica e assinatura.
22 Decifra a assinatura de Alice, extrai hash transmitido por Alice.
22 Calcula o hash local da chave simtrica.
22 Hashes so iguais? Caso sejam, a chave simtrica foi enviada por Alice e no foi alterada.
6. Alice e Bob:
22 Realizam conversa cifrada utilizando chave simtrica.
22 Para garantir integridade, cada mensagem cifrada junto com hash.
Atualmente, o Governo
Federal possui uma
infraestrutura nacional
de chaves pblicas
chamada de ICP Brasil,
que pode ser lida no
site: http://www.iti.gov.
br/icp-brasil/estrutura
113
114
Atividade 6.1 Conhecendo mais sobre certificao digital
1. Assista o vdeo do Instituto Nacional de Tecnologia da Informao (ITI) em
http://www.youtube.com/watch?v=YEy2uKG2nB8 e conhea mais sobre a certificao
digital e sobre a ICP-Brasil.
Descreva em poucas palavras o que voc entende por certificao digital.
Atividade 6.2 Uso de criptografia em e-mails

1. Tenha certeza de ter instalado os pacotes Firefox e Thunderbird.
2. Instale o pacote GnuPG, programa gratuito de criptografia:
11 http://www.gnupg.org/download/
11 Hash do pacote: b806e8789c93dc6d08b129170d6beb9e1a5ae68f
3. Certifique-se de que o pacote est ntegro.
4. Instale o plugin enigmail no Thunderbird:
http://www.enigmail.net/download/index.php
5. Gere seu par de chaves e compartilhe com seus colegas.
Atividade 6.3 Uso de criptografia em arquivos

1. Cifre um arquivo usando sua chave pblica.
2. Pea ao seu colega para tentar decifr-lo.
3. Decifre o arquivo com sua chave privada.
4. Cifre um arquivo usando criptografia simtrica.
5. Envie a chave privada utilizada para seu colega e pea para ele decifrar o arquivo.
115
Atividade 6.4 Criando um continer seguro

1. Baixe o programa truecrypt em http://www.truecrypt.org/downloads
2. Rode o instalador.
3. O truecrypt pode criptografar uma unidade inteira ou apenas criar um continer seguro.
Com isso podemos salvar arquivos em um espao de disco criptografado e transport-lo
para outro computador com bastante convenincia.
Vamos usar a segunda opo: clique em Create volume:
4. Selecione um local e um nome para o continer.

5. Selecione o tipo de criptografia. Para esse exemplo selecione AES e clique em Next.
Na prxima tela, informe 50MB para o tamanho do volume, e na tela seguinte informe uma
senha para o arquivo. Na tela seguinte, escolha o formato da partio (nesse exemplo foi
116
utilizado FAT). Observe que o programa pede para o usurio mover o cursor do mouse para
gerar uma chave com um nvel de criptografia maior para as chaves geradas.
6. Pronto. Para usar o continer, clique em uma letra de unidade e selecione o arquivo criado.
117
118
7
objetivos
Criptografia II Aplicaes
Apresentar aplicaes prticas de criptografia; contextualizar os conceitos bsicos
de criptografia com as aplicaes; mostrar como navegar de forma segura; explicar
o funcionamento de assinaturas digitais, criptografia de servidor www (SSL/TLS)
e VPNs criptografadas; indicar programas para melhorar a segurana de um
conceitos
computador pessoal.
SSH, transferncia de arquivos e gerenciamento de senhas.
Introduo
A criptografia a base para vrias aplicaes:
11 Autenticao e autorizao.
11 Transferncia de informao confidencial.
11 Assinatura digital.
11 Votao eletrnica.
11 Dinheiro eletrnico.
11 Privacidade e autenticao no acesso a servidores (SSL/TLS).
11 Acesso remoto criptografado e autenticado (VPN).
A criptografia permite a existncia de uma srie de aplicaes, como autenticao, assinaVPN
criptografado (VPN) e privacidade de dados em servidores (SSL). Uma assinatura digital
Rede Privada Virtual,

uma rede de comunicaes privada
normalmente utilizada
por uma empresa
ou um conjunto de
empresas e/ou instituies, construda em
cima de uma rede de
comunicaes pblica
(como por exemplo, a
internet). O trfego de
dados levado pela
rede pblica utilizando
protocolos padro.
atesta que um documento eletrnico no foi alterado e garante a autenticidade do indivduo que assinou o documento. O SSL permite o acesso a servidores www com segurana
e garantia de que os dados no foram alterados nem vistos no caminho. As redes virtuais
privadas (VPNs) criam um canal seguro para acesso a redes privadas de empresas, usando a
internet como meio de transmisso. As VPNs reduzem custos em relao a linhas discadas e
linhas dedicadas.
Captulo 7 - Criptografia II Aplicaes
turas digitais, transferncia de informao confidencial, dinheiro eletrnico, acesso remoto
119
Criptografia
Quais as vantagens da sua organizao utilizar a criptografia?
Assinatura digital
Uso bsico da criptografia para:
11 Atestar identidade do assinante do documento (autenticao).

11 Garantir que o documento no foi alterado (integridade).
A robustez depende de duas propriedades bsicas:
11 Funo hash randmica o suficiente para no provocar coliso.
11 Certificao digital para garantir autenticidade da chave pblica.
Algoritmos mais usados:
11 RSA e DSS.
Blind signature (assinatura cega)

Assinatura digital onde o assinante no conhece o contedo da mensagem assinada.
Usada em:
11 Voto eletrnico.
11 Dinheiro digital.
Entendendo o processo:
11 Alice multiplica mensagem por fator randmico (blinding factor), tornando
a mensagem ilegvel.
11 Alice envia mensagem resultante para Bob.
11 Bob assina digitalmente a mensagem e retorna para Alice.
11 Alice divide a mensagem pelo fator randmico, retornando a mensagem original,
agora assinada por Bob.
Podemos imaginar o processo de assinatura cega da seguinte forma: colocamos a mensagem em um envelope, envolta em uma folha de papel carbono. Ningum pode ler a
mensagem atravs do envelope. A assinatura, ento, feita na parte externa do envelope e
transmitida para a mensagem atravs do papel carbono. Quando a mensagem retirada do
envelope, ela est assinada e o assinante no sabe o que foi assinado.
120
A funo de assinatura e o fator randmico devem ser comutativos.

Propriedades:
11 A assinatura, depois de dividida pelo fator randmico, a mensagem assinada normalmente;
11 No se pode provar o uso de protocolo de assinatura cega em uma mensagem
assinada digitalmente.
Votao eletrnica
O protocolo ideal para uma eleio segura tem seis requisitos:
11 Somente eleitor autorizado pode votar.

11 Nenhum eleitor pode votar mais de uma vez.
11 Ningum pode determinar o voto de ningum.
11 Ningum pode duplicar voto.
11 Ningum pode alterar o voto de algum sem ser descoberto.
11 Todo eleitor tem de ter certeza de que seu voto entrou na contagem final.
Figura 7.1
Urna eletrnica.
O sistema de eleio se baseia em trs caractersticas fundamentais:

11 Votao, atravs da qual os membros da populao reconhecidos como eleitores podem
expressar, anonimamente, sua vontade;
11 Apurao, que permite a contabilizao dos votos emitidos por esses eleitores;
11 Fiscalizao, que visa garantir a idoneidade do processo, de modo a assegurar que o
resultado da apurao dos votos seja realmente a expresso da vontade dos eleitores.
Um sistema eletrnico de eleio deveria ser tal que assegurasse essas trs caractersticas
fundamentais, de preferncia melhorando cada um de seus aspectos, jamais sendo menos
seguro e confivel do que um sistema no eletrnico.
Entendendo o processo com assinatura cega:
Eleitor:
11 Gera n mensagens; cada mensagem contm voto vlido para cada resultado possvel
e nmero serial de identificao randmico.
11 Cega as mensagens, enviando-as para a Central de Votao (CV) junto com fator
Central de Votao (CV):

11 Abre n 1 mensagens, checa mensagens e eleitor, grava eleitor.
11 Assina todas as mensagens e envia-as de volta para eleitor.
Eleitor:
11 Retira fator de cegueira; cada voto est assinado, mas no cifrado.
11 Escolhe seu voto, cifra-o com chave pblica da CV e envia voto para a CV.
Central de votao:
11 Decifra, checa, grava nmero serial e computa o voto.
11 Anuncia resultado da eleio com voto associado ao nmero serial.
de cegueira.
121
Dinheiro eletrnico
O dinheiro tem algumas caractersticas bsicas:
11 Aceitao universal: forma mais universalmente aceita.

11 Pagamento garantido: recebimento j garante pagamento efetuado.
11 Sem custo de transao: no h custo para pagamentos em espcie.
11 Anonimidade: no guarda informao em si sobre quem usou-o para pagamento.
Substituto para o dinheiro tradicional (papel). Qual o problema com o pagamento de carto
de crdito digital ou cheque? Mantm rastro para auditoria, e no permite ocultar o destinatrio do dinheiro. O dinheiro eletrnico pode ser considerado como uma moeda estrangeira,
uma vez que para utiliz-lo preciso antes convert-lo de dinheiro real (moeda corrente)
para dinheiro digital.
Bitcoin
O bitcoin uma moeda virtual criada por Satoshi Nakamoto. Funciona com um programa
em cdigo aberto projetado por ele mesmo que se liga em uma rede peer-to-peer. Permite
a propriedade e a transferncia annima de valores, que so armazenados em uma carteira
virtual. Como no existe nenhuma entidade por trs da administrao da moeda, sua manipulao indiscriminada inviabilizada por governos ou empresas, como por exemplo em
sua supervalorizao, o que poderia gerar inflao ou mesmo a impresso de mais moeda.
Em outubro de 2009, 1 dlar americano comprava o equivalente a 1309 bitcoins. Em fevereiro de 2011, o bitcoin alcanou a equivalncia com o dlar. De l para c, a coisa explodiu.
No incio de 2012, 1 bitcoin estava valendo cerca de 13 dlares, um salto significativo desde
o incio das operaes, mas nada perto do que viria a acontecer nos meses seguintes. No dia
10 de abril, chegou a ser negociado a 266 dlares, o que indica uma valorizao de 1900%
(Fonte: mtgox.com).
Amazon Webpay
O servio de pagamento da Amazon permite aos usurios cadastrados transferir dinheiro
entre si via e-mail. Para isso, necessrio apenas ter uma conta na Amazon.com. A qualquer
hora e de qualquer lugar, voc recebe ou envia dinheiro para amigos e familiares, bastando
estar on-line.
Google Wallet
O Google Wallet um sistema de pagamento desenvolvido pelo Google que permite o
armazenamento de cartes de crdito e transaes financeiras. Atravs do Google Wallet,
um usurio pode fazer pagamentos virtuais em sites de e-commerce ou fsicos, atravs de
estabelecimentos credenciados com a tecnologia Near Field Communication (NFC). O Google
122
Wallet permite tambm que qualquer usurio possa enviar valores por e-mail (valor mnimo
de U$ 0,30) para outro usurio (o valor vai anexado na mensagem).
Entendendo o processo com dinheiro digital annimo:
11 Alice:
22 Prepara 100 ordens de pagamento annimo de R$ 1.000 cada.
22 Envelopa todas as ordens (cega-as) e envia-as para o banco.
Saiba mais sobre

bitcoin acessando
What is bitcoin?
no Youtube.
11 Banco:
22 Abre 99 envelopes, confirma que cada envelope um pedido de R$ 1.000.

22 Assina o nico envelope que no foi aberto.
22 Envia envelope assinado de volta para Alice, deduz R$ 1.000 de sua conta.
11 Alice: abre o envelope e gasta ordem de pagamento com lojista.
11 Lojista: verifica assinatura do certificado com o banco e saca ordem de pagamento.
11 Banco: verifica sua prpria assinatura e credita R$ 1.000 na conta do lojista.
PayPal
11 Localizada em San Jose, na Califrnia (EUA).
11 Criado por Peter Thiel e Max Levchin, em 1998, para pagamentos via PDAs.
11 Adquirido pelo eBay em outubro de 2002.
Figura 7.2
Site do PayPal.
O PayPal um sistema on-line de envio e recebimento de dinheiro. Possibilita realizar

pagamentos de leiles e compras de inmeros itens em vrios sites na internet, saque de
fundos por transferncia em conta corrente ou via recebimento de cheque pelo correio,
tudo em dlares ou em euros. um sistema seguro que protege vendedores e compradores;
a moeda preferida pelo eBay e conta com mais de 150 milhes de usurios.
Qualquer pessoa pode se cadastrar no PayPal e abrir uma conta pessoal ou empresarial, bastando apenas ter um endereo de correio eletrnico vlido e um carto de crdito internacional.
11 Disponvel em 190 pases (incluindo Brasil) e em 24 moedas correntes.
123
necessrio ter:
11 Endereo de correio eletrnico;
11 Carto de crdito internacional;
11 Conta de acesso ao PayPal.
Usado para pagamentos de:
11 Registros de domnios;
11 Comrcio eletrnico;
11 Servios de hospedagem de sites.
Mais informaes: http://www.paypal.com
Criptografia de servidor (SSL/TLS)
Uso comum de criptografia em comunicao segura com servidor internet.

11 Padro internet: Tecnologia Secure Sockets Layer (SSL), da Netscape.
11 SSL: tnel em nvel de aplicao. TLS: tnel em nvel de transporte.
11 Transport Layer Security (TLS): RFC 2246 baseado na verso 3.0 do SSL, prov infraestrutura de criptografia, autenticao e integridade na camada de transporte TCP.
Segurana
Camadas
124
Criptografia
Nveis
Compatvel com cliente.
Baixo
RC4 de 56 bits.
Alto
RC4 de 128
bits.
Compatvel
com FIPS.
Negociar
Vlido. A camada de segurana Mxima e o nvel de

criptografia para os quais o
cliente oferece suporte so
usados.
Vlido
Vlido
Vlido
SSL (TSL 1.0)
Vlido. O TLS necessrio

para autenticao do servidor. O nvel Alto ou Compatvel com FIPS usado. Se no
houver suporte para o TLS, as
conexes falharo.
Invlido. usado o
padro do nvel de
criptografia em vez
de Compatvel com o
Cliente. O nvel Alto ou
Compatvel com FIPS
usado se o cliente
oferecer suporte.
Vlido
Vlido
RDP
Vlido. Entretanto, o TLS

no pode ser usado para
autenticao de servidor. A
criptografia RDP e o nvel de
criptografia mximo para
os quais o cliente oferece
suporte so usados.
Vlido
Vlido
Vlido
O TLS foi baseado no SSL verso 3.0. Apesar das diferenas serem pequenas, so suficientes
para que os protocolos no sejam compatveis. muito comum encontrar clientes que
suportam as duas tecnologias. Para efeitos didticos, trataremos apenas do TLS, que uma
proposta mais recente que o SSL.
Tabela 7.1
Configuraes de
autenticao e
criptografia SSL/
TLS no Windows
Server 2003.
Mais informaes em
The Transport Layer
Security (TLS) Protocol
Version 1.1 em http://
www.ietf.org/rfc/
rfc4346.txt
Lista de servidores:
11 HTTP: HTPPS;
11 FTP: SFTP via SSH ou FTP via TLS;
11 SMTP: SMTPS;
11 POP3: POP3s;
11 IMAP: IMAPS;
11 Telnet: SSH.
Regra de ouro de segurana: nenhuma senha trafega na rede em modo legvel.
Criptografia de servidor
TLS formado por dois protocolos bsicos:
11 TLS Hand Shake:

22 Autentica par cliente/servidor usando criptografia assimtrica.
22 Escolhe algoritmos de criptografia e chaves.
22 Negociao confivel da chave simtrica feita de forma segura.
11 TLS Record:
22 Codifica e encapsula os dados e cria o tnel.
22 Conexo privada usando criptografia simtrica: algoritmos DES ou RC4.
22 Chaves privadas de sesso geradas dinamicamente.
Entendendo o processo:
Cliente
Envia lista de algoritmos e nmero randmico usado para gerao de chaves.
Servidor
Escolhe algoritmo da lista, gera nmero randmico e envia-o junto com seu certificado assinado por entidade certificadora (X.509).
Cliente
11 Verifica certificado do servidor e obtm chave pblica do servidor;
11 Gera chave secreta, criptografa-a com chave pblica do servidor e envia para o servidor;
11 Servidor e cliente trocam informaes usando chave simtrica;
11 Informao trocada tem digest para verificao de integridade;
11 Opcionalmente o cliente pode se identificar usando seu certificado digital.
125
Figura 7.3
Gmail usando
POP3 e SMTP,
autenticado
como POP.
126
Figura 7.4
Internet Explorer
acessando pgina
segura.
Redes virtuais privadas (VPN)
11 VPN uma conexo segura atravs de uma rede pblica ou outro tipo de
ambiente inseguro.
11 Rede montada virtualmente em cima de outra rede; se pblica, a internet.
11 Cria tneis com protocolo de criptografia, fornecendo:
22 Confidencialidade.
22 Autenticao.
22 Integridade.
22 Garantia de privacidade na comunicao.
Laptop
VPN discada
Internet
Tnel criptografado
Firewall + VPN
Rede
Privada
Rede
Privada
11 Por que virtual? Porque no fsica, no tem cabos, switches nem roteadores.
11 Por que privada? Porque conecta redes e equipamentos para acesso privado e protegido.
Quando adequadamente implementados, os protocolos criptogrficos podem assegurar
comunicao segura atravs de redes inseguras.
Hoje, diversas empresas interligam suas bases operacionais atravs de uma VPN
na internet.
Um sistema de comunicao por VPN tem custo de implementao e manuteno insignificante, se comparado aos antigos sistemas de comunicao fsica, como por exemplo Frame
Relay e ATM, que tm alto custo. Por esse motivo, muitos sistemas de comunicao esto
sendo substitudos por VPNs que, alm do baixo custo, oferecem tambm uma alta confiabilidade, integridade e disponibilidade dos dados trafegados. Sistemas de comunicao
por VPN esto sendo amplamente utilizados em diversos setores, at mesmo em setores
governamentais no mundo inteiro.
Figura 7.5
Redes virtuais
privadas (VPN).
Firewall + VPN
127
IPSEC
11 Padro para criptografia de pacotes IP no nvel de rede;
11 Protocolo padro para VPN;
11 RFCs: 2401, 2402, 2406 e 2408.
H dois tipos de VPN:
11 Host to network (estao para rede), conhecida como VPN discada;
11 Network to network (rede para rede), conecta duas redes privadas.
Redes virtuais privadas

Necessidades:
11 Endereamento IP e mscara das duas redes privadas.

11 Endereo pblico de cada dispositivo responsvel por fazer a VPN.
11 Algoritmos e chaves de criptografia.
Vantagens:
11 Reduz custos.
11 Prov acesso entre redes privadas de forma segura atravs de rede pblica.
11 Prov acesso remoto rede privada de forma segura atravs de rede pblica.
Desvantagens:
11 Dados trafegando em rede pblica: contexto facilitador de ataques de criptoanlise.
11 Internet sem garantia de qualidade: gera atraso, indisponibilidade e dificuldade
para suporte.
11 Degradao de desempenho:
22 Criptografia consome muito processamento;
22 Mais perceptvel com maiores velocidades de conexo.
Redes Virtuais Privadas (VPNs)
O que uma VPN e quais as suas vantagens?
Segurana na www
128
11 Seleo de um navegador.
11 Recursos de um navegador.
11 Cookies.
11 Segurana no navegador.
11 Pagamentos na internet.
Acessar a internet, nos dias de hoje, pode ser um srio problema, se levarmos em conta a
quantidade de ameaas existentes. importante que o usurio conhea as formas de se
prevenir e use programas especficos de proteo. Os recursos do browser, programas antivrus, programas de deteco e remoo de spyware e certificados digitais so algumas das
formas de proteo contra ameaas na internet.
Seleo de um navegador
Selecione um navegador seguro:
Browser
Plataformas suportadas
URL
Internet Explorer
Famlia Windows
http://www.microsoft.com/ie
Firefox
Windows, MacOS X e Linux
http://www.mozilla.org/products/
Opera
Windows, MacOS X, Linux, FreeBSD, Solaris, OS/2 e QNX
http://www.opera.com/download/
Safari
MacOS X
http://www.apple.com/safari/
Chrome
Windows, MacOS X e Linux
http://www.google.com/chrome/
Tabela 7.2
Opes de browser.
A internet est cada vez mais presente nas nossas vidas. Transaes bancrias, compras em
lojas virtuais, busca de informaes em mecanismos de busca, telefonia e conversas atravs
de mensagens instantneas so apenas alguns exemplos de utilizao da rede. As formas de
acesso tambm evoluram. Hoje, comum o acesso domstico a pelo menos 1 megabit por
segundo, velocidade que h alguns anos era exclusividade de provedores de acesso. Com
toda essa evoluo, os perigos tambm aumentaram.
O usurio necessita tomar alguns cuidados ao acessar a internet. Problemas como
fraudes, pginas falsas, vrus, worms, spam e escutas clandestinas esto presentes a
todo momento. O ISC do Sans afirma que so necessrios menos de 10 minutos para
que uma mquina desprotegida na internet sofra algum problema de segurana
(fonte: http://isc.sans.org/survivaltime.html).
w Qual navegador mais seguro?

Em maio de 2013, a empresa NSS Labs (http://nsslabs.com/) efetuou teste nos cinco navegadores mais utilizados e mais conhecidos do mercado.
Vale ressaltar que existem diversos tipos de golpes e aes maliciosas que independem do
navegador utilizado. Sendo assim, as melhores dicas so: 1) manter softwares (incluindo sistema
operacional) sempre atualizados; 2) prestar ateno nas aes tomadas durante a navegao.
Recursos de um navegador
11 Uso preferencial de criptografia (SSL/TLS), site iniciando com https://...
11 Verificao do cadeado fechado indica acesso a endereo seguro.
11 Clicando no cadeado, veremos a robustez da criptografia usada.
O resultado dos testes

pode ser verificado em
Is Your Browser
Putting You At Risk?
Part 1 - General
Malware Blocking e em
NSS Labs Research
Library.
129
Figura 7.6
Acesso seguro
https, cadeado
fechado.
130
Figura 7.7
Clicando no
cadeado:
certificado digital
do servidor.
Os navegadores mais novos fazem uma verificao de segurana ao acessar um site. Se por
exemplo o site estiver com um certificado invlido, desatualizado ou mesmo autoassinado,
o navegador exibe uma mensagem de alerta para o usurio informando o problema.
Figura 7.8
Mensagem de
alerta para o
usurio.
Tipos de certificados
Na ICP-Brasil esto previstos 8 tipos de certificados, divididos em duas sries:
11 Srie A (A1, A2, A3 e A4): rene certificados de assinatura digital, utilizados para confirmao de identidades na internet, principalmente em documentos eletrnicos com
verificao de integridade de suas informaes.
11 Srie S (S1, S2, S3 e S4): rene os certificados para sigilo, utilizados na codificao de
documentos de bases de dados, de mensagens e de outras informaes eletrnicas sigilosas. Os tipos so diferenciados pelo uso, nvel de segurana e pela validade.
Teste seu certificado

em: http://www.
certisign.com.br
Nos certificados do tipo A1 e S1, as chaves privadas ficam armazenadas no prprio comw putador
do usurio. Nos outros tipos, as chaves privadas e as informaes referentes ao
seu certificado ficam armazenadas em um hardware criptogrfico, que pode ser um carto
inteligente (smart card) ou carto de memria (token USB ou pen drive). Para acessar essas
Tipo
Tamanho
Meio
Mdia de Armazenamento
Validade
Mxima
(Bits)
Tabela 7.3
Tipos de
certificados (Fonte:
ICP-Brasil).
A1 e S1
1024
Software
Arquivo
A2 e S2
1024
Software
Smart card ou token, sem capacidade de gerao de chave
A3 e S3
1024
Hardware
A4 e S4
2048
Hardware
Cookies
11 Que CD voc comprou? Qual seu tipo musical preferido?
11 Pequenas quantidades de informaes armazenadas pelo browser; ltimo acesso a
informaes, o usurio necessita de uma senha pessoal determinada no momento da compra.
um site, dados do usurio etc.

131
11 Servidor grava suas preferncias no disco local em arquivo texto cookie file.
11 Um ano de cookies pode revelar algo sobre sua personalidade?

11 Servidor A pode livremente acessar cookie gravado pelo servidor B.
11 Pode causar vazamento de informaes.
11 Contedo de um cookie:
cVisita
ataVisita=1%2F12%2F2004
www.centraldocarnaval.com.br/
1536
2938927104
29777976
2791820000
29677500
*
11 Preveno: poltica de segurana deve incluir limpeza peridica de cookies.
Figura 7.9
Configurando
cookie.
132
Cookies
Por que os cookies devem ser controlados?
l
Para mais informaes
sobre cookies:
http://www.cookiecentral.com/faq/
Segurana no navegador
Aumente a segurana do navegador:
Figura 7.10
Aumentando a
segurana no
navegador.
A poltica de segurana deve incluir:

11 Preveno contra vazamento de informaes, atravs de limpeza peridica do cache do
browser (Windows guarda mais de 1Gbyte) e do histrico de navegao.
11 Aumento do nvel de segurana da zona internet para alto.
11 Desativao dos controles e plugins Active-X.
Pagamentos na internet
preciso ter maior receio em usar comrcio eletrnico.
11 Risco de fornecer nmero de carto de crdito para o site.

Dicas para comprar na internet de forma segura:
11 Evite comprar em loja desconhecida; escolha loja conhecida.
11 Ao digitar o carto, observe se o cadeado est fechado.
11 Na dvida, pea loja para pagar atravs de boleto bancrio.
11 Verifique sua fatura de carto de crdito para identificar possveis compras estranhas.
11 Verifique se a loja possui a opo de no manter nmero de carto de
crdito armazenado.
11 Jamais autorize a loja a guardar o nmero de seu carto.
133
134
Atividade 7.1 Recurso do SSH
1. Instale o pacote PuTTY em PuTTY Download Page.
2. Ative um sniffer na sua mquina com Wireshark;
3. Acesse sua conta shell no servidor SSH usando autenticao com senha.
O sniffer capturou sua senha?
4. Crie seu par de chaves;

5. Use sua chave privada para se autenticar no servidor via SSH;
6. Abra uma sesso no servidor Linux via SSH, e torne-se super usurio (usurio root)
sem digitar senha (use ssh-copy-id);
7. Crie um tnel utilizando SSH.
Atividade 7.2 Uso de criptografia em arquivos

1. Instale o pacote cliente FileZilla: http://filezilla.sourceforge.net/;
11 Ative um sniffer;
11 Abra uma sesso de FTP com um cliente FileZilla (FTP via TLS).
Voc conseguiu capturar a senha de autenticao?
2. Instale o pacote KeePass: http://portableapps.com/apps/utilities/keepass_portable

11 Crie suas senhas e manipule-as.
Atividade 7.3 Criptografando arquivos no Linux

1. Instale o programa ccrypt:
# apt-get install ccrypt

2. Crie um arquivo e insira alguns dados nele:
3. Criptografando o arquivo:
# ccrypt teste.txt
Enter encryption key:
Enter encryption key: (repeat)
4. Tente listar o arquivo com o comando:
# nano teste.txt
# cat teste.txt
135
5. Decriptando o arquivo:
ccrypt -d teste.txt
136
8
objetivos
Poltica de segurana da informao

Apresentar fundamentos, utilidade, importncia e tpicos principais para a construo
de uma poltica de segurana, e tambm metodologias para uma anlise de risco.
conceitos
Poltica de segurana, auditoria em Microsoft Windows, clculo de mau uso da web

e polticas de uso aceitvel (AUP).
Introduo
Definio de poltica de segurana segundo o RFC 2196 (The Site Security Handbook):
11 Conjunto formal de regras s quais pessoas que obtm acesso tecnologia e aos
ativos de informao devem estar sujeitas.
Poder
Membros de gesto
Representantes
legais (RH)
Comisso de elaborao
da poltica da segurana
Conhecimento
Figura 8.1
Comisso de
elaborao
da poltica de
segurana.
Poltica de segurana o elemento mais importante no projeto de segurana institucional de

uma organizao. Atravs dela so definidos os papis de cada membro da organizao no
que tange informao, alm da listagem de direitos, deveres e punies aplicadas ao no
cumprimento da poltica. Antes de definir uma poltica, importante realizar uma anlise de
risco, que consiste em classificar os ativos de informao de acordo com sua importncia.
Construir uma poltica de segurana uma atividade que envolve experincia; porm, esse
processo pode ser visto em linhas gerais atravs de exemplos e recomendaes.
Captulo 8 - Poltica de segurana da informao
Lei
Especialistas
137
Infelizmente, no existe uma regra geral para a criao de uma poltica de segurana. Cada
organizao tem particularidades que devem ser levadas em considerao. Este captulo
tem por objetivo fornecer conhecimento bsico para a elaborao de uma poltica de segurana, alm de alguns direcionamentos sobre os itens que merecem receber maior ateno.
A elaborao de polticas de segurana um processo que engloba a experincia dos profissionais envolvidos e o nvel de comprometimento da organizao na elaborao de uma
poltica desse tipo.
Quais so as dificuldades de se implantar uma poltica de segurana? Quem deve participar
da elaborao da poltica de segurana?
Polticas de segurana da informao
A sua organizao possui polticas de segurana da informao? Quais?
Anlise de risco
Risco:
11 Perigo ou possibilidade de perigo. Situao de probabilidade previsvel de perda ou

ganho; por exemplo, um jogo de azar ou uma deciso de investimento.
11 Nem sempre associado perda.
Segurana implica na probabilidade de risco tendendo a zero. Necessrio administrar
situaes de risco.
A segurana da informao adota controles fsicos, tecnolgicos e humanos personalizados, viabilizando reduo e administrao dos riscos.
o primeiro passo para a criao de uma poltica de segurana. Inclui as seguintes medidas:
11 Definir escopo de abrangncia da poltica;
11 Identificar e classificar todos os ativos de informao importantes;
11 Definir valores de importncia para cada ativo;
11 Determinar probabilidades de ocorrncia de vulnerabilidades;
11 Calcular impacto potencial dessas vulnerabilidades.
138
Identificao, classificao, valorao e criticidade

Identificao de todos os ativos de informao importantes:
Ativo
Descrio
Hardware
Estaes, computadores pessoais, impressoras, roteadores,

switches, modems, servidores de terminal e firewalls.
Software
Cdigo-fonte, programas executveis, utilitrios, programas de diagnstico, Sistemas Operacionais e programas de comunicao.
Tabela 8.1
Identificao
dos ativos.
Ativo
Descrio
Dados
Dados armazenados online e dados arquivados, backups, logs

de auditoria, bancos de dados e dados em trnsito em meios
de comunicao.
Pessoas
Usurios, administradores e operadores.
Documentao
Manuais de programas, hardware interno, sistemas e procedimentos

locais de administrao.
Os dados de uma organizao podem assumir diversas formas, dependendo da experincia

de cada um na determinao da classificao daquela informao. Para uma universidade,
por exemplo, talvez dados de pesquisa no sejam altamente confidenciais, mas para uma
instituio que esteja prestes a lanar um produto revolucionrio essa informao pode ser
essencial para a sobrevivncia do negcio. Alm da criticidade, outros tipos de classificao
podem ser atribudos aos dados da organizao.
Classificaes
11 Dados administrativos;
11 Dados financeiros;
11 Dados de clientes;
11 Dados de pesquisa;
11 Dados proprietrios.
Valorao para cada ativo
11 Alguns ativos possuem valores subjetivos;
11 Alguns ativos no tm valor mensurvel em termos monetrios;
11 O uso de uma escala simples facilita a valorao:
22 Valor alto.
22 Valor moderado.
22 Valor baixo.
Nvel de criticidade:
11 Alta.
11 Mdia.
11 Baixa.
Ativo
Classificao
Valorao
Criticidade
Correio eletrnico interno
Administrativo
Moderado
Mdia
Salrio de empregados
Financeiro
Alto
Mdia
Tendncias de mercado
Pesquisa
Baixo
Baixa
Patentes pendentes
Proprietrio
Alto
Alta
Balano anual
Financeiro
Moderado
Alta
11 Nvel de importncia dentro da instituio.

Tabela 8.2
Exemplo de
valorao
e criticidade
de um ativo.
139
Vulnerabilidades e ameaas
Vulnerabilidade:
11 Evidncia ou fragilidade que eleva o grau de exposio do ativo, aumentando a probabilidade de sucesso da investida de uma ameaa.
11 preciso conhecer as vulnerabilidades de cada ativo.
Vulnerabilidades
Fsicas
Tecnolgicas
Humanas
Cabeamento de baixa
qualidade.
Defeito de software.
Falta de conscientizao
dos usurios.
Ausncia de fragmentadora
de papel.
Sistema Operacional
desatualizado.
Ausncia de rotinas
de backup.
Instalao eltrica
mal dimensionada.
Senha fraca.
Descuido e despreparo.
Tabela 8.3
Exemplo de
vulnerabilidades.
Ameaa:
11 Atitude ou dispositivo com potencial para explorar uma vulnerabilidade e causar
danos segurana da informao, atingindo ao menos um de seus atributos: confidencialidade, integridade ou disponibilidade.
11 preciso conhecer a probabilidade de uma ameaa de explorar uma vulnerabilidade
e causar alguma falha.
Ameaas
Fsicas
Tecnolgicas
Humanas
Curto-circuito
Spam
Erro humano
Raio
Phishing
Engenharia social
Inundao
DDoS
Curiosidade
Risco
11 Para todas as ameaas possveis, devemos fazer uma avaliao de risco.
Tabela 8.4
Exemplo de
ameaas.
11 H muitas formas de se medir o risco.

11 Pessoas que tomam decises de como se proteger contra riscos devem ter a noo
exata da quantificao e da probabilidade de perda da informao.
140
11 H ferramentas automatizadas capazes de quantificar e representar de forma adequada os riscos e prejuzos.

De acordo com a norma NBR ISO/IEC 27001, a anlise de risco uma considerao sistemtica:
11 Do impacto nos negcios como resultado de uma falha de segurana, levando-se em
conta as potenciais consequncias da perda de confidencialidade, integridade ou
disponibilidade da informao ou de outros ativos.
11 Da probabilidade de tal falha realmente ocorrer luz das ameaas e vulnerabilidades
mais frequentes e nos controles atualmente implementados.
Forma genrica para avaliao de risco:

11 Risco = valor x criticidade x vulnerabilidade x ameaa.
11 Valor: qual o valor do ativo?
11 Criticidade: o quo crtico o ativo?
11 Vulnerabilidade: o quo vulnervel se encontra o ativo?
11 Ameaa: qual a probabilidade de uma ocorrncia causar falha de segurana?
Impacto
11 Um dos objetivos da anlise de risco o clculo do impacto causado por determinada
ameaa ou vulnerabilidade levantada previamente.

11 Pode-se classificar o impacto em:
22 Aceitvel: no ser criado nenhum plano de conteno para diminuir a probabilidade de ocorrncia do impacto, tampouco um plano de contingncia.
22 Aceitvel com reao: poder ser criado apenas um plano de contingncia caso
ocorra o evento.
22 Terceirizar: transferir os riscos e suas consequncias para terceiros.
33 Essa ao no visa diminuir ou eliminar a possibilidade de ocorrncia do evento.
33 O terceiro dever elaborar os planos de conteno e contingncia para o evento.
22 Mitigar: reduzir a probabilidade de ocorrncia e/ou impacto do risco atravs de
medidas proativas como, por exemplo, a criao de um plano de conteno do risco
em si, que se desdobrar em medidas de segurana antes que o evento ocorra.
Risco
Alto
Figura 8.2
Impacto.
Baixo
Baixa
Probabilidade
Risco, ameaas e vulnerabilidades
O que so ameaas?
Alta
Impacto
Risco
inaceitvel!
141
O que so vulnerabilidades?
O que risco?
Saiba mais
Metodologias para anlise de risco

Algumas das metodologias disponveis atualmente:
11 Cobra: http://www.riskworld.net
11 Octave: http://www.cert.org/octave/omig.html
11 Sprint: http://www.securityforum.org/
Apesar de o funcionamento geral e a importncia de uma anlise de risco serem de fcil
entendimento, as informaes obtidas no nos tornam capazes de fazer uma anlise desse
tipo de forma profissional e consistente. Sendo assim, foram criadas metodologias padronizadas e bem definidas para facilitar esse processo para os consultores de segurana.
Construindo uma poltica de segurana

11 Quais os principais fatores para o sucesso de uma poltica de segurana?
11 Fator mais importante para o sucesso da poltica.

22 Envolvimento de cada segmento da instituio na construo da poltica: pessoal
tcnico especializado, gerentes, diretores e usurios.
11 Recomendaes bsicas para a poltica.
22 Deve ser integrada com outras polticas da empresa.
22 Deve ser validada pelo pessoal de suporte de redes e pessoas da gerncia.
22 Dever ser reforada por equipamentos, softwares e procedimentos de segurana.
Uma vez identificados os riscos para a instituio, o passo seguinte consiste em criar um documento que sirva de apoio e guia para a segurana da informao. Esse documento chamado
de poltica de segurana. No existe uma regra geral para a criao de uma poltica de segurana. Ela depende da experincia e do conhecimento do pessoal envolvido na tarefa.
H necessidade do uso de uma poltica de segurana?
Orientaes da norma ISO 27001
142
Definio de segurana da informao.

11 Resumo das metas e do escopo importncia da segurana como um mecanismo que
possibilita o compartilhamento da informao.
Declarao do comprometimento da alta direo, apoiando as metas e princpios da
segurana da informao.
A Escola Superior de
Redes oferece o curso
Gesto de riscos de TI
NBR 27005, que detalha
o uso da norma: http://
esr.rnp.br/gti9
Breve explanao das polticas, princpios, padres e requisitos de conformidade de importncia especfica para a instituio:
11 Conformidade com a legislao e clusulas contratuais;
11 Requisitos na educao de segurana;
11 Preveno e deteco de vrus e softwares maliciosos;
11 Gesto da continuidade do negcio;
11 Consequncias das violaes na poltica de segurana da informao.
11 Definio das responsabilidades gerais e especficas na gesto da segurana da
informao, incluindo o registro dos incidentes de segurana.

11 Referncias documentao que possa apoiar a poltica.
22 Polticas e procedimentos de segurana mais detalhados de sistemas de
informao especficos.
22 Regras de segurana que devem ser seguidas pelos usurios.
Norma ISO 27002

Saiba mais
A Escola Superior de
Redes oferece o curso
Gesto da Segurana
da Informao NBR
27001 e NBR 2700, que
detalha as normas
ISO 27001 e 27002:
http://esr.rnp.br/gti8
A Norma ISO 27002 (antiga NBR ISO/IEC 17799:2005).
11 Considerada um cdigo de boas prticas.

11 Recomendaes.
11 Item 5 Poltica de segurana da informao.
11 Dicas e orientaes sobre o que , o que deve conter e diretivas para implementao.
A ISO 27002, antiga ISO 17799, especifica em seus controles, mas especificamente no Captulo 5, Polticas de Segurana da Informao.
Nesse documento podemos encontrar dicas e orientaes sobre o que , o que deve conter
e diretivas para a implementao de uma poltica de segurana da informao.
Orientaes do NBSO
O NIC BR Security Office (NBSO) lista alguns itens que devem ser cobertos pela poltica:
11 Aspectos preliminares.
11 Polticas de senhas.
11 Direitos e responsabilidades dos usurios.
11 Direitos e responsabilidades do provedor de recursos.
11 Aes previstas em caso de violao da poltica.
Lista dos itens cobertos pela poltica (NBSO)

1. Aspectos preliminares:
11 Abrangncia e escopo de atuao da poltica;
11 Definies fundamentais;
11 Normas e regulamentos aos quais a poltica est subordinada;
11 Pessoas autorizadas a sancionar, implementar e fiscalizar o cumprimento da poltica;
11 Meios de distribuio da poltica;
143
11 Modo e frequncia de reviso da poltica.

2. Poltica de senhas:
11 Requisitos para formao de senhas;
11 Perodo de validade das senhas;
11 Normas para proteo de senhas;
11 Reutilizao de senhas;
11 Senhas padro.
3. Direitos e responsabilidades dos usurios:
11 Utilizao de contas de acesso;
11 Utilizao de software e informaes, incluindo questes de instalao, licenciamento
e copyright;
11 Proteo e uso de informaes, como senhas, dados de configurao de sistemas
e dados confidenciais;
11 Uso aceitvel de recursos como e-mail, news e pginas web;
11 Direito privacidade, e condies nas quais esse direito possa ser violado pelo
provedor dos recursos;
11 Uso de antivrus.
4. Direitos e responsabilidades do provedor dos recursos:
11 Backup;
11 Diretrizes para configurao e instalao de sistemas e equipamentos de rede;
11 Autoridade para conceder e revogar autorizaes de acesso, conectar e desconectar
sistemas e equipamentos de rede, alocar e registrar endereos e nomes de sistemas
e equipamentos;
11 Monitoramento de sistemas e equipamentos de rede;
11 Normas de segurana fsica.
5. Aes previstas em caso de violao da poltica:
11 Diretrizes para tratamento e resposta a incidentes de segurana;
11 Penalidades cabveis.
Orientaes do CERT.BR
O CERT.BR define ainda alguns fatores importantes para o sucesso de uma poltica:
11 Apoio por parte da administrao superior.

11 A poltica deve ser ampla, cobrindo todos os aspectos que envolvem a segurana dos
144
recursos computacionais e da informao sob responsabilidade da organizao.

11 A poltica deve ser periodicamente atualizada de forma a refletir as mudanas
na organizao.
11 Deve haver um indivduo ou grupo responsvel por verificar se a poltica est
sendo respeitada.
Todos os usurios da organizao devem tomar conhecimento da poltica e manifestar a sua
concordncia em se submeter a ela antes de obterem acesso aos recursos computacionais.
A poltica deve estar disponvel em um local de fcil acesso aos usurios, tal como a
intranet da organizao.
Acceptable Use Police (AUP)

11 Poltica de Uso Aceitvel (PUA): subconjunto da poltica de segurana.
22 Define como os recursos computacionais podem ser utilizados.

22 Define os direitos e responsabilidades dos usurios.
11 Provedor de acesso deixa sua poltica de uso aceitvel disponvel em sua pgina.
11 Instituio entrega AUP no momento da contratao do funcionrio.
11 AUPs mais comuns:
22 Acesso correto com segurana internet.
22 Uso correto e seguro do servio de correio eletrnico.
22 Uso correto e seguro do computador.
Exemplo de poltica de segurana
Exemplos de polticas
de diversos tipos:
http://www.sans.org/
security-resources/
policies/
Exemplos de polticas de uso aceitvel:
11 http://www.allnet.com.br/aup/
11 http://www.earthlink.net/about/policies/use.faces
11 http://www.tutopia.com/access/brasil/pua.asp
Exemplo completo da poltica de segurana da ICP-Brasil, aprovada pela Resoluo n 2,
de 25 de setembro de 2001, do Comit Gestor da ICP-Brasil:
11 http://siabi.trt4.jus.br/biblioteca/direito/legislacao/atos/federais/res_pres_cc_2001_2.pdf
Mensurando
11 As mtricas de controle de risco podem ser aplicadas no somente a situaes de
ameaa aos ativos da empresa, mas tambm ao mau uso desses ativos.
11 Imagine um cenrio onde 50 funcionrios de uma empresa com total acesso web
perdem em mdia uma hora por dia com acesso de contedo no relacionado sua
atividade profissional e ao negcio da empresa.
11 Como podemos justificar o valor da implementao de um controle de contedo web?
Existem algumas siglas e equaes que nos ajudam e efetuar esses clculos.
Exposure Factor (EF):
11 Fator de exposio.
11 Valor percentual de exposio frente a uma ameaa.
O fator de exposio representa a porcentagem de perda que uma ameaa pode causar a
um ativo. Por exemplo:
Um acidente automobilstico pode ser somente um amassado na lataria, custando 5% do
valor do automvel para o conserto, ou 100% do valor nos casos de perda total.
O roubo do carro significa 100% de perda.
Saiba mais
145
Single Loss Expectancy (SLE)

11 Expectativa de Perda Pontual.
11 SLE = valor do bem X Fator de Exposio (EF).

Expectativa de Perda Pontual (SLE) o valor do bem multiplicado pelo fator de exposio
(valendo para uma nica ocorrncia).
Annualized Rate of Ocurrance (ARO)

11 Proporo Anual de Ocorrncia.
11 Valor percentual representado a frequncia de uma ocorrncia (anual).

Proporo Anual de Ocorrncia (ARO) o valor percentual representando a frequncia de
uma ocorrncia, durante um ano. O valor pode variar de:
11 0.0: nunca;
11 1.0: pelo menos uma vez ao ano;
11 Maior que 1.0: vrias vezes ao ano.
Onde:
11 0.1: uma vez a cada 10 anos.
11 4.0: quatro vezes ao ano.
Annualized Loss Expectancy (ALE)

11 Expectativa de Perda Anual.
11 ALE = SLE X ARO.

Expectativa de Perda Anual (ALE) a expectativa de perda pontual (SLE) multiplicada por
quantas vezes isso pode ocorrer em um ano (ARO).
Calculando
11 Um funcionrio:
22 R$ 10,00 (custo/hora) x 8 (horas/dia) x 240 (dias/ano).
33 Funcionrio custa por ano R$ 19.200,00.
22 Uma hora por dia corresponde a 12,5% em um perodo de 8 horas.
33 Isso corresponde a 12,5% de desperdcio.
22 R$ 10,00 (custo/hora) x 1 (hora/dia) x 240 (dias/ano).
146
33 Valor do desperdcio por ano: R$ 2.400,00.

11 Expectativa de Perda Pontual (SLE):
22 SLE = Valor Anual do Funcionrio X porcentagem de desperdcio (exposio).
22 Valor Anual do Funcionrio = R$ 19.200,00.
22 Fator de Exposio (EF) = 12,5%.
22 SLE = R$ 19.200,00 x 12,5 %.
22 SLE = R$ 2.400,00.
11 Proporo Anual de Ocorrncia (ARO):
22 Como sabemos que a situao realmente ocorre, temos um valor de ARO = 1.0
11 Expectativa de Perda Anual (ALE):
22 ALE = SLE x ARO
22 ALE = R$ 2.400,00 X 1.0
22 ALE = R$ 2.400,00
11 Temos, assim, R$ 2.400,00 de perda (prejuzo) anual por funcionrio.
Ainda neste cenrio, imagine essa empresa com 50 funcionrios, onde 100% possuem
acesso web, totalizando em mdia 5 horas semanais de uso indevido no relacionado ao
negcio. Com essas informaes, conseguimos agora mostrar o valor do prejuzo acumulado
durante um ano.
11 50 funcionrios custando R$ 19.200,00 cada anualmente.
22 50 (funcionrios) x R$ 19.200,00 (valor anual/funcionrio) = R$ 960.000,00.

11 Expectativa de Perda Anual (ALE) por funcionrio = R$ 2.400,00.
22 50 (funcionrios) x R$ 2.400,00 (valor prejuzo/funcionrio) = R$ 120.000,00.
Valor final
11 Custo Fixo Anual com 50 funcionrios: R$ 960.000,00.
11 Prejuzo Anual (desperdcio de tempo/navegao indevida): R$ 120.000,00.

11 Valor efetivo (til): R$ 840.000,00.
11 Mostrar o total em valores de horas perdidas. Prejuzo um argumento bem convincente para demonstrar um risco e possivelmente conseguir investimentos na rea
(filtro de contedo, por exemplo).
Esse tipo de clculo pode ser aplicado em vrias situaes como, por exemplo, para mensurar
o valor vinculado indisponibilidade de determinado servio, o tempo perdido com spams e a
indisponibilidade das estaes de trabalho por falta de um sistema de antivrus eficiente.
147
148
Atividade 8.1 Elaborao de polticas
1. Esboce uma Poltica de Uso Aceitvel (AUP) para os seguintes assuntos:
Veja algumas sanes

passveis a servidores
pblicos no Quadro
da Legislao relacionada Segurana da
Informao:
http://www.presidencia.
gov.br/gsi/cgsi/quadro_
legislacao.htm
11 Uso correto com segurana da estao de trabalho;

11 Uso correto com segurana do servio de correio eletrnico;
11 Uso correto com segurana do servio de www.
2. Que tipo de punio voc acha que deve ser aplicada em casos de violao da
poltica de segurana?
3. Discuta sua opinio com o instrutor e os colegas.
Atividade 8.2 Auditoria em Microsoft Windows

1. Instale o pacote de auditoria da Microsoft MBSA:
http://www.microsoft.com/technet/security/tools/mbsahome.mspx
http://technet.microsoft.com/en-us/security/cc184923
2. Execute-o na sua estao de trabalho e na sua rede local. Que benefcios este programa
pode fornecer para a segurana da informao?
Atividade 8.3 Aumentando a segurana da sua estao de trabalho

1. Instale o pacote Microsoft Security Essentials:
http://windows.microsoft.com/pt-br/windows/security-essentials-download
149
2. Faa uma varredura na sua estao de trabalho.
11 Voc constatou algum problema de segurana? Qual?
Atividade 8.4 Calculando o impacto do mau uso da web

1. Calcule o prejuzo de uma empresa decorrente do mau uso do acesso web, considerando o cenrio:
A empresa Gato Molhado tem 500 funcionrios, onde 70 deles tm acesso indiscriminado web.
Esses usurios gastam em mdia 1 hora por dia, ao custo de R$ 20,00 a hora, com acesso a contedo no relacionado s suas atividades e ao negcio da empresa (utilize as mtricas ALE e SLE).
150
9
Apresentar os mais recentes e perigosos mecanismos de fraudes on-line; explicar
o uso seguro do correio eletrnico e de navegadores, e a importncia da aplicao
de uma poltica de segurana rigorosa para downloads; mostrar as vulnerabilidades
exploradas pelos fraudadores em golpes virtuais; ensinar os cuidados para realizar
conceitos
uma operao financeira segura via internet e formas de se manter informado.
Malware, Antirootkit, Phishing, Pharming, Bot, Rootkit.
Ameaas recentes
Quais as maiores ameaas para a sua organizao atualmente?
Introduo
Fraude on-line:
11 Visa sequestro de dados bancrios e informaes teis ao malfeitor.

11 Aborda em larga escala usurios via e-mail.
11 Usa assunto atrativo como disfarce.
11 Induz a vtima a fornecer dados sigilosos.
11 Instala programa que rouba informaes no computador.
Entre as mensagens indesejadas e no solicitadas de correio eletrnico (spam) que
circulam atualmente na internet, as fraudes on-line (scam) j chegaram a ultrapassar a
ocorrncia de anncios, propagandas e pornografia, segundo dados da unidade de monitoramento Brightmail, da Symantec, empresa especializada em segurana digital.
Prevenir muito mais simples e eficaz do que remediar. Informao sempre um meio
vlido de combater este tipo de mal, para que cada vez menos pessoas sejam enganadas
pelas fraudes.
Sero apresentados e explicados diversos exemplos de fraude, na forma de imagens reproduzindo a visualizao de mensagens de fraude que circulam por correio eletrnico.
Captulo 9 - Ameaas recentes
objetivos
Ameaas recentes
151
Scam (golpe virtual)

Ao eletrnica fraudulenta que tem como finalidade obter vantagem, geralmente financeira.
Fatores de ocorrncia e proliferao:
11 Facilidade do e-mail de ser forjado e fraudado;
11 Proliferao de listas e programas para envio de spam em larga escala;
11 Facilidade de publicar qualquer contedo e arquivo executvel na web;
11 Carncia de legislao, meio de controle e segurana que permita rastrear, identificar,
coibir e punir ao criminosa de forma rpida, eficaz e globalizada;
11 Usurio com pouco conhecimento tcnico, ingnuo e despreparado para desconfiar de
perigo existente.
Phishing
11 Link para programa malicioso.
11 Pgina falsificada de comrcio eletrnico ou internet banking.

11 E-mail contendo formulrio.
11 Uso de computador alheio.
Cuidados ao usar comrcio eletrnico ou internet banking.
Proteo antiphishing.
Phishingscam:
11 Tipo de fraude eletrnica.
11 Termo veio de fishing (pescaria), analogia criada onde iscas so usadas para pescar.
No uma tarefa simples atacar e fraudar dados em um servidor de uma instituio bancria ou comercial. Os invasores tm concentrado seus esforos na explorao de fragilidades dos usurios para realizar fraudes comerciais e bancrias atravs da internet.
Para obter vantagens, os fraudadores tm utilizado amplamente e-mails com discursos que,
na maioria dos casos, envolvem engenharia social e tentam persuadir o usurio a fornecer
seus dados pessoais e financeiros. Em muitos casos, o usurio induzido a instalar algum
cdigo malicioso ou acessar uma pgina fraudulenta, para que dados pessoais e sensveis,
como senhas bancrias e nmeros de cartes de crdito possam ser furtados.
Dessa forma, muito importante que usurios da internet tenham certos cuidados
com os e-mails que recebem e ao utilizarem servios de comrcio eletrnico ou
internet banking.
Como pegar (o que seria a isca)?

11 Envio de mensagem eletrnica no solicitada, falsamente oriunda de instituio conhecida,
como banco, empresa ou site popular.
11 Procura induzir acesso a pginas fraudulentas (falsificadas), projetadas para furtar os usurios.
O que pegar (o que seria o peixe)?

11 Senhas;
11 Dados financeiros;
152
11 Nmero de carto de crdito;

11 Dados de contas.
11 Informaes pessoais.
Formas atuais de phishing

Quatro situaes de phishing usadas por fraudadores:
11 Mensagem contendo link para programa malicioso.

11 Pgina falsificada de comrcio eletrnico ou internet banking.
11 E-mail contendo formulrio para fornecimento de informao sensvel.
11 Uso de computador alheio.
Figura 9.1
Exemplo de
phishing.
Existem variantes para as situaes apresentadas. Novas formas de phishing podem surgir.
importante manter-se informado sobre os novos tipos de phishing que vm sendo utilizados pelos fraudadores, atravs dos veculos de comunicao, como jornais, revistas e sites
especializados. Tambm importante que, ao identificar um caso de fraude via internet,
notifiquemos a instituio envolvida, para que ela possa tomar as providncias cabveis.
Vrios veculos utilizados:
11 Mensagem instantnea.
11 Mensagem de texto de celular (SMS).
11 Sala de chat.
11 Anncio falso tipo banner.
11 Site falso de procura e oferta de emprego.
11 Barra de ferramentas de navegador falsa.
Phishing
Explique como o phishing funciona.
11 Recado no Orkut (scrap).
153
Programa malicioso
Tambm chamado de malware, qualquer programa que atue contra o usurio:
11 Vrus.
11 Worm.
11 Cavalo de troia.
Programa malicioso ou malware (malicious software) qualquer tipo de programa que faz
alguma coisa contra o usurio. Assim, em vez de tentar categorizar um tipo de arquivo malicioso como vrus, worm, cavalo de troia etc., chamamos eles simplesmente de malware.
Link para programa malicioso

Entenda o processo:
11 Um programa malicioso criado e colocado na web.

11 Spam enviado.
11 Usurio clica no link para o programa, faz o download e executa-o.
Figura 9.2
Mensagens com
links maliciosos.
Malwares mais usados

11 Spyware;
11 Cavalo de troia.
154
Assuntos mais usados

11 Cartes e mensagens;
11 Notificaes financeiras e cadastrais;
11 Notcias bombsticas e apelos dramticos;
11 Download de programas;
11 Prmios, promoes e campanhas;
11 Pornografia.
Como identificar uma mensagem maliciosa?

11 Contm erros gramaticais e de ortografia.
11 Compare link real na barra de status com link malicioso.
11 Procure extenso de arquivo malicioso no link real:
q
q
22 Por exemplo: .exe, .zip, .com, .dll.

11 Suspeite de mensagem que solicita instalao de arquivo ou programa.
Preveno:
11 Suspeite de mensagem que desperta curiosidade, ambio e impulso emocional.
11 No confie sempre no remetente da mensagem .
11 Contate instituio para certificar-se sobre o assunto, antes de transmitir
informao sensvel.
Pgina falsificada de comrcio eletrnico ou internet banking

Mensagem maliciosa:
11 Solicita recadastramento ou confirmao dos dados do usurio.

11 Solicita participao em nova promoo.
11 Tenta persuadi-lo a clicar em link no texto, em imagem ou pgina de terceiro.
Pgina falsa solicita dados pessoais e financeiros:
11 Nmero, data de expirao e cdigo de segurana do seu carto de crdito.
11 Nmero da agncia e conta bancria, senha do carto e senha de acesso ao internet
banking.
11 Clicando no boto de confirmao, os dados so enviados para o fraudador.
Como identificar uma mensagem maliciosa?

11 Site de comrcio eletrnico/internet banking confivel sempre usa conexo segura.
11 Se a pgina no usa conexo segura, desconfie imediatamente.
11 Se a pgina falsificada usa conexo segura, abra e leia o certificado digital.
11 Fraudador no consegue fraudar o certificado digital.
E-mail contendo formulrio

Como identificar mensagem maliciosa?
11 Nenhuma instituio bancria ou de comrcio eletrnico usa mensagem eletrnica
para solicitar informao sensvel do cliente.
155
Abordagem mais direta:

11 Tenta enganar usurio de modo a faz-lo preencher um formulrio com dados pessoais
e bancrios.
11 Formulrio apresentado na prpria mensagem de fraude ou a mensagem contm link
que leva pgina com o formulrio.
Uso de computador alheio

11 Uso de computador de outra pessoa para acessar site de comrcio eletrnico ou
internet banking.
22 Lan house.
22 Cybercaf.
22 Stand de evento.
11 Risco:
22 Ao monitorada por programa instalado anteriormente.
11 Preveno:
22 No usar computador alheio para operaes que solicitem senha, dados pessoais
ou financeiros.
156
Roubo de identidade
11 Roubo de identidade (Identity Theft) o ato pelo qual uma pessoa se passa por outra,
atribuindo-se uma identidade falsa com o objetivo de obter vantagens indevidas.
11 Quanto mais voc disponibiliza informaes pessoais na internet, mais fcil fica
para um golpista furtar sua identidade, pois quanto mais dados ele possuir, mais
convincente ele pode ser.
11 Caso a sua identidade seja furtada, voc poder arcar com consequncias como
perdas financeiras, perda de reputao e falta de crdito.
Figura 9.3
E-mail contendo
formulrio.
Golpes em sites de comrcio eletrnico e compras coletivas

11 Sites de comercio eletrnico vm sendo usados com bastante frequncia em
fraudes eletrnicas.
11 Neste golpe, cria-se um site de e-commerce fraudulento com o objetivo de enganar potenciais clientes que, aps efetuarem o pagamento, no recebem as mercadorias solicitadas.
11 Esse golpe pode ser amplificado com a moda de sites de compras coletivas.
Cuidados ao usar comrcio eletrnico e internet banking

11 Realizar transaes em sites de instituies confiveis.
11 Digitar no browser o endereo desejado.

11 No usar links em pginas de terceiros ou recebidos por e-mail.
11 Antes de qualquer ao, ter certeza de que o endereo no navegador corresponde ao
site desejado.
11 Ter certeza de que o site usa conexo e tamanho de chave seguros.
11 Ao aceitar o certificado digital, verificar dados e prazo de validade.
11 No acessar site de comrcio eletrnico e/ou internet banking em computador alheio.
11 Desligar webcam ao acessar site de comrcio eletrnico e/ou internet banking.
11 Manter browser sempre atualizado.
11 Restringir execuo de JavaScript, Java ou ActiveX.
11 Bloquear pop-up Windows.
11 Configurar leitor de e-mail para no abrir arquivo ou executar programa automaticamente.
Proteo antiphishing
11 Navegadores adotam sistema antiphishing:
22 IE a partir da verso 7.0:

33 Analisa a pgina e gera alerta sobre site suspeito.
22 Firefox a partir da verso 2.0:
33 Bloqueia comparando com lista negra (blacklist).
22 Chrome:
33 Bloqueia comparando com lista negra (blacklist).
11 Modo incorporado para denncia de sites suspeitos:
22 Usurio envia informao para avaliao, que se confirmada adicionada lista negra.
157
Figura 9.4
Sistema
antiphishing no IE 7.
Pharming
11 Subcultura de linguagem on-line em constante evoluo.
11 Variante de phishing, redireciona o browser para web site falso.

11 Objetiva tambm roubar identidade digital e informao sensvel.
11 Mais traioeiro, funciona sem participao ou conhecimento do usurio.
11 Modifica a relao entre o nome de um site e o endereo IP do servidor web.
Pharming usa as seguintes tcnicas:
11 DNS poisoning: envenenamento do cache de Domain Name System (DNS), ataque
ao servidor de rede.
11 Hosts poisoning: envenenamento do arquivo de hosts da pilha TCP/IP, ataque estao
de usurio.
11 Phone phreaking: escuta ou uso incorreto na rede telefnica.

11 Phishing: roubo de identidade na internet.
11 Pharming: redirecionamento para web site falso.
Preveno
11 Habilitar no antivrus proteo contra ameaas desconhecidas, analisando comportamento de arquivo suspeito (anlise heurstica).
Novo ataque Drive-By Pharming (pharming casual).
11 Permite que o invasor modifique a configurao do modem ADSL da vtima se uma
pgina web maliciosa for aberta.
158
11 Reconfigura servidores de DNS do modem ADSL.
11 Usa tcnica chamada de Cross Site Request Forgery (CSRF).

11 Site malicioso instrui computador do usurio a acessar modem e modificar configurao.
11 Nenhuma falha de segurana explorada, apenas senha vulnervel.
11 Preveno: alterar senha padro do modem ou roteador.
Identificao de um dispositivo (computador,

impressora etc) em uma
rede local ou pblica.
Cada computador na
internet possui um IP
nico, que o meio
que as mquinas usam
para se comunicar na
internet.
11 Regra de ouro de segurana: altere o padro, sempre que possvel: endereo IP, porta,
usurio, senha etc.
Pharming
Quais as medidas preventivas devem ser adotadas contra ataques pharming?
Bot
Programa malicioso que se propaga automaticamente, explora vulnerabilidades e pode
ser controlado remotamente.

Diminutivo de robot, utilitrio concebido para simular aes humanas.
11 Roda tarefa automatizada sobre a internet.
11 Usa Mensageiro Instantneo (MI) ou IRC para comunicao com master.
11 Usado no ataque automatizado DDoS formando botnets.
11 Anatomia de um bot: http://www.f-secure.com/v-descs/agobot_fo.shtml
11 Botnet: rede de computadores (bots) usando software de computao distribudo;
formada por milhes de bots.
11 Symantec Internet Security Threat Report: nos primeiros seis meses de 2006, havia
4.696.903 computadores em botnets ativas.
11 Symantec e Kasper Sky Labs Report (30/01/2007): classifica a botnet como o maior perigo
da internet.
Rootkit
11 Programa projetado para ocultar a si mesmo e outros programas, dados e atividades,
incluindo vrus, backdoors, keylogger, spyware e bots.

11 Coleo de ferramentas que habilita acesso ao nvel de administrador (root).
11 Roda de modo que processos do Sistema Operacional ou antivrus no podem detect-lo.
11 Realiza download de trojan, vrus; transmite informao confidencial, com os mesmos
privilgios do Sistema Operacional hospedeiro.
O nome rootkit tem origem no mundo Unix PC/Linux, onde kit uma coleo de ferramentas
que fornece poderes de superusurio root ao invasor.
Endereo IP
159
Tecnologia rootkit em DRM da Sony

Rootkit instalado por CD da Sony BMG dificultando remoo do software DRM.
11 Instalado como filtro de acesso ao CD-ROM.

11 Esconde programa que probe ripar msicas do CD para o formato mp3.
11 Remov-lo impede acesso ao drive de CD.
Digital Rights Management (DRM):
11 Tecnologia que controla cpia de dados multimdia como msicas e vdeo.
w
Em 31/10/2005, Mark
Russinovich anunciou a
descoberta em seu
blog. O clamor foi
grande e a Sony
suspendeu a proteo
contra cpia ilegal. Leia
o anncio em: http://
blogs.technet.com/
markrussinovich/
Problemas de segurana:
11 Programa instalado sem conhecimento e autorizao do usurio.
11 Envia informaes para a Sony sem conhecimento e autorizao do usurio.
11 Trojan Backdoor.IRC.Snyd.A usou rootkit da Sony.
Kernel malware
Kernel malware outro nome para rootkit.
11 Solues atuais, incluindo antivrus e firewalls, no foram projetadas para proteo

contra kernel malware.
11 Est se popularizando e muitas ameaas tm alto interesse em rootkit.
Figura 9.5
O crescimento do
kernel malware
Fonte: http://
www.f-secure.
com/weblog/
archives/00001118.
html.
Preveno
11 No usar servidor como estao de trabalho de usurio ou de administrador.
11 Usar conta de administrador (root) apenas para instalao ou manuteno.
11 Execute antirootkit periodicamente em todas as mquinas.
Mailbot aka Costrat

11 o mais poderoso e oculto rootkit produzido.
11 Um nico driver kernel mode.
11 Transporta DLL cifrada com payload, que um spambot sofisticado com capacidade
de backdoor.
160
Instrues para a
remoo do Mailbot
aka Costrat em
Removing Mailbot.AZ
(aka Rustok.A) Rootkit
em: http://swatrant.
blogspot.com/
w 11 Deteco e remoo so desafios para detentores de rootkit e solues de antivrus. q

Remoo:
11 AVG antirootkit.
11 ADS Spy (ou HijackThis).
Spear phishing
11 Ataques direcionados.
11 Mensagem parece vir de algum confivel.
22 Informaes do remetente falsas.
22 Quando voc clica no anexo, sua mquina infectada.
33 Processo transparente.
33 Anexo pode conter informaes aparentemente reais.
11 Spear phishing um tipo de ataque altamente direcionado;
11 Pessoa mal-intencionada fica na internet procurando formas de iludir o usurio;
11 Desde monitorar fruns tcnicos, para verificar suas necessidades de equipamentos, at

o envio de currculos, se fazendo passar por um candidato;
11 Pessoa abre o arquivo anexo, pois tem a necessidade real (no curiosidade) daquela
informao;
11 Aps infectada, a mquina da pessoa abre conexes com as mquinas mal-intencio-
Novos ataques de Spear Phishing
Campanhas de spam tradicionais
Nmero de ameaas por e-mail em cada campanha

Campanhas de Spear phishing so enviadas para poucos destinatrios, mas oferecem maior
retorno para os atacantes quando os destinatrios respondem a eles.
Pginas contaminadas
Pgina legtima atacada.
11 Contedo visual no alterado.
11 Utiliza falhas de XSS (cross site scripting) e SQL Injection (SQLi).
11 Scripts capazes de detectar tipo e verso do equipamento e do navegador utilizados.
Figura 9.6
Retorno de ataques
Spear phishing em
relao aos ataques
tradicionais.
Valor por tentativas de ameaa
nadas, deixando que o atacante tenha acesso total mquina da vtima.
161
Outra forma de ataque a explorao de falhas de Cross Site Scripting e de SQL injection em
pginas de grandes instituies (confiveis), como provedores de acesso, comrcio eletrnico,
jornais ou revistas.
O atacante, em vez de alterar a pgina (ataque visualmente fcil de ser reconhecido), inclui
scripts maliciosos na pgina. Os scripts sero entendidos e processados pelo seu navegador.
Possibilidades:
11 Solicitao de confirmao de informaes pessoais.

11 Cdigo oculto na pgina, redireciona a pessoa para a pgina.
11 Possibilidade de download de plugin especfico para ver a pgina.
22 Como voc confia na pgina, voc clica e instala o plugin malicioso (malware qualquer).
Entre as possibilidades desse ataque, tempos:
1. Incluso de uma pgina solicitando a confirmao dos dados. Como a pessoa confia na
pgina, ela coloca seus dados. Porm, ela est colocando seus dados em uma pgina falsa.
2. Cdigo oculto, redireciona a pessoa para outra pgina, que pode conter somente propagandas ou outro tipo qualquer de software malicioso.
3. Pgina informa que a pessoa necessita atualizar algum plugin para visualizar algum tipo
de contedo, geralmente um banner ou filme. A pessoa, confiando na pgina, faz o
download desse plugin e o instala, porm o arquivo no lhe dar vantagem alguma.
Ataques exploram falhas em navegadores e plug-ins:
11 Flash.
11 Java.
11 Adobe Reader.
Alguns desses tipos de ataques exploram falhas em outros softwares, como o Flash, Java ou
Adobe Reader.
Redes sociais
Redes sociais utilizadas para campanhas fraudulentas:
11 E-mail falso com convite para adicionar algum (conhecido ou no como amigo).
11 Ao clicar no convite, a pessoa redirecionado para uma pgina solicitando seu
usurio e senha.
11 Tudo parece normal, porm a pgina falsa e est roubando os dados para futuro
uso, incluindo roubo de identidade.
162
Explorao de fragilidades nas pginas das redes sociais.

11 Execuo de scripts.
11 Pessoa pode ser infectada somente ao visitar uma pgina.
11 Redes sociais tambm so utilizadas atualmente para fraudes;
11 Campanhas fraudulentas de todos os tipos so montadas, com foco em comunidades ou
grupos de amigos;
11 Nesse tipo de golpe, a pessoa pode receber um e-mail, do tipo convite para adicionar um
novo amigo sua rede de relacionamento;
11 O e-mail deve ser um desconhecido ou parecer vir de um amigo;

11 Ao clicar no convite, a pessoa redirecionada para uma pgina solicitando usurio e senha;
11 Tudo normal at ento, a no ser um detalhe: a pgina em questo falsa;
11 Aps colocar seus dados, a pgina apresenta um erro e a pessoa redirecionada finalmente para a pgina real;
11 Porm, o atacante j possui os dados e pode efetuar alguns golpes, incluindo roubo de
identidade.
11 Outra possibilidade com redes sociais a explorao de vulnerabilidades nas prprias
pginas das redes sociais (pginas confiveis).
11 Mais uma vez um script mal-intencionado includo, e somente visitando a pgina infectada o navegador pode efetuar aes como entrar em outros sites, clicar outros links ou
at mesmo infectar outras pginas e tudo isso completamente invisvel para o usurio.
Como se proteger
Spear Phishing, pginas contaminadas ou redes sociais:
11 Mantenha os softwares de sua mquina atualizados.

11 Verificar sempre situaes ou e-mails estranhos ou duvidosos.
11 Manter o software de antivrus sempre atualizado.
11 Comunicar qualquer situao estranha, anormal ou inesperada ao administrador da
rede ou ao responsvel pela segurana da informao.
Redes sociais
Que protees devem ser adotadas para evitar as fraudes em redes sociais?
SANS Top 20 Internet Security Attack Targets

11 Lanado no ano 2000 pelo SANS e NIPC (FBI).
11 Documento original:
22 As dez vulnerabilidades de segurana mais crticas da internet (Top 10).
11 Lista confivel e expandida para Top 20.
11 Vulnerabilidades exploradas por worms como Blaster, Slammer e CodeRed estiveram

nas listas SANS.
11 CAIS/RNP ampliou divulgao da SANS Top 20.
22 http://www.sans.org/top20/
22 Esse recurso est desatualizado, porm suas informaes continuam vlidas, visando
entender o que aconteceu e qual a evoluo das ameaas e das medidas de proteo.
11 Indica as vulnerabilidades de segurana que devem ser priorizadas para tratamento.
163
Como se manter atualizado, quando o assunto segurana?

Sendo a rea de segurana bem abrangente, no existe uma resposta objetiva. Depende do
que voc est buscando, de seus interesses e ramo de atuao.
11 Mailling Lists.
11 Blogs.
11 Twitter.
Durante muito tempo, listas de distribuio de e-mail, tambm conhecidas como mailling
lists, foram a forma mais rpida e objetiva para trocar informaes e manter-se informado.
Com o crescente volume de mensagens ficava difcil filtrar e ler tudo sobre um determinado
assunto (e continua assim). Mesmo ainda existindo e sendo bem valiosas em termos de
informao, as listas de distribuio de e-mail servem mais para debates e troca de informaes do que propriamente para manter as pessoas informadas. Para essa finalidade (manter
as pessoas informadas) os blogs e microblogs tm ganho cada vez mais espao.
O Twitter atualmente a melhor alternativa para quem deseja manter-se atualizado. Atravs
dele, h a opo de seguir tanto empresas como pessoas. Quanto mais gente, mais mensagens
sero recebidas, porm tudo via web. A grande vantagem so os textos reduzidos. Quem posta
alguma coisa no Twitter tem no mximo 140 caracteres para se expressar. A leitura por parte
do usurio rpida. Se o usurio achou o texto interessante, pode efetuar uma busca mais
detalhada sobre o tema ou clicar e ler o texto completo (quando existe essa possibilidade).
Existem clientes Twitter para a maioria das plataformas de celular, assim como alguns
164
clientes para Windows, como o Tweetdeck (http://www.tweetdeck.com/).
Figura 9.7
Pgina de abertura
do Twitter.
Uma compilao com mais de 380 profissionais e 95 entidades/empresas da rea de

segurana da informao pode ser encontrada em http://tinyurl.com/TwitterSeg
Sugestes para comear:
11 http://twitter.com/g1seguranca
11 http://twitter.com/seginfo
11 http://twitter.com/FSecure
11 https://twitter.com/modulogrc
Na linha de blogs existe tambm muita coisa boa escrita em portugus. Uma compilao de
mais de 100 blogs brasileiros pode ser encontrado em http://tinyurl.com/blogseg
Existem outros sites sobre segurana, alguns muito teis, como:
11 Site do Centro de Atendimento a Incidentes de Segurana da RNP, com alertas de
segurana: http://www.rnp.br/cais/alertas/
11 Site dedicado a ajudar usurios com problemas de segurana com matrias informativas:
http://www.linhadefensiva.org/
11 O site conhecido como Internet Storm Center (ISC) mantm atualizaes dirias:
http://isc.sans.org
11 Site de um grupo especializado em segurana da informao com informaes
atualizadas: http://www.team-cymru.org/News/
11 Inscreva-se na lista de e-mail desse site e receba as principais notcias por e-mail:
https://lists.cymru.com/mailman/listinfo/ians_dragon_newsbytes
Vale sempre lembrar que a internet nasceu em territrio americano, assim, muito material
ainda escrito e divulgado em ingls, valendo a pena o estudo dessa lngua, para os que
desejam focar sua carreira na segurana da informao.
Manter-se atualizado pode ser uma tarefa difcil: s vezes, por causa da falta de informao
sobre assuntos especficos; outras vezes por causa de excesso de informao, que acaba nos
tomando um tempo muito grande. preciso saber filtrar o que realmente til e interessante.
Figura 9.8
Tela ilustrativa do
TweetDeck.
165
166
Atividade 9.1 Conceitos de malware
1. Teste seus conhecimentos sobre phishing:
11 http://www.microsoft.com/canada/smallbiz/sgc/quiz.mspx
11 http://www.mailfrontier.com/forms/msft_iq_test.html
11 http://www.sonicwall.com/furl/phishing/
2. Entre no site da Web of Trust (http://www.mywot.com/):
11 Teste a reputao de alguns sites conhecidos.
11 Caso deseje, instale tambm esse add-on.
3. Instale o pacote antiscam do EarthLink.
11 http://www.earthlink.net/software/domore.faces?tab=toolbar
11 Navegue nos sites de sua preferncia verificando o status do plug-in.
Atividade 9.2 Antirootkit

1. Verifique as alternativas de anti-rootkits, nomes, plataformas e licenas de uso em:
http://www.antirootkit.com/software/index.htm
1.1.Escolha um pacote compatvel com sua plataforma e instale.
1.2.Examine o computador em busca de rootkits.
2. Instale o pacote chrootkit:
# apt-get install chrootkit

3. Para fazer uma varredura no computador execute:
#chrootkit
Quais problemas foram encontrados no seu computador?
167
168
10
Apresentar os fundamentos de segurana da informao, as normas existentes
sobre o assunto e a importncia nas organizaes; explicar a relao entre o Cobit
e a segurana da informao.
conceitos
Segurana da informao, vulnerabilidades e descarte de informao.
Introduo
A segurana da informao transcende a informtica.
11 No existe sistema 100% seguro.

11 O elo mais fraco da corrente sempre ser o ser humano.
11 Os riscos e as vulnerabilidades transcendem o mundo tecnolgico.
11 Vulnerabilidades fsicas, tecnolgicas e humanas estaro sempre presentes.
11 Necessidade de assumir, gerenciar e gerir riscos.
A informao um dos bens mais preciosos que uma empresa pode ter. Planejamentos
estratgicos, folhas de pagamento, projetos secretos e dados de clientes so apenas alguns
exemplos de informaes sensveis que uma empresa pode ter. Com a chegada da tecnologia,
vieram as facilidades da informtica para guardar, gerenciar e apresentar a informao
( importante lembrar que o termo informtica derivado de informao automtica).
Hoje temos conscincia de que o objetivo da informtica a manipulao da informao,
o que deu origem ao termo Tecnologia da Informao (TI). Na rea de segurana, surge o
termo Segurana da Informao, para representar tudo que diz respeito proteo da informao, eletrnica ou no.
O que segurana da informao?
rea do conhecimento dedicada proteo dos ativos da informao contra acessos no
autorizados, alteraes indevidas ou indisponibilidade.
Captulo 10 - Fundamentos de segurana da informao
objetivos
Fundamentos de segurana
da informao
169
Por que proteger as informaes?

11 Pelo seu valor direto;
11 Pelo impacto de sua ausncia;
11 Pelo impacto resultante de seu uso por terceiros;
11 Pela relao de dependncia com a sua atividade.
Fundamentos
Quando proteger as informaes?

11 Durante seu ciclo de vida.
Manuseio.
11 Momento em que a informao criada e utilizada, incluindo coleta.
11 Armazenamento da informao.
ATIVOS
Fsicos
Tecnolgicos
Humanos
agenda
sistema
funcionrio
sala
e-mail
parceiro
arquivos
servidor
secretria
cofre
notebook
porteiro
Manuseio
Descarte
Ciclo de vida da informao
Armazenamento
Transporte
Transporte
11 Importante etapa que inclui conectividade da rede (e-mail, fax, carta etc.);
11 A divulgao faz parte dessa etapa, pois transporta a informao de um ponto a outro;
11 Processamento um misto entre transporte e manuseio.
Descarte
11 Eliminao total e completa da informao;
11 Onde proteger as informaes? Nos ativos que as custodiam.
O que proteger nas informaes?
Os atributos:
11 Confidencialidade;
11 Integridade;
11 Disponibilidade.
170
Figura 10.1
O Ciclo de Vida
da Informao e
alguns de seus
ativos.
Os aspectos:
11 Autenticidade:
22 Autenticao;
22 Autorizao;
22 Auditoria;
11 Legalidade.
11 Podem ser atingidos por explorao de falha ou vulnerabilidade presente em ativo.
11 Do que proteger as informaes?

Ameaas:
11 Fsicas:
22 Incndio;
22 Inundao;
22 Curto circuito;
22 Apago.
11 Tecnolgicas:
22 Vrus;
22 Bug software;
22 Defeito tcnico;
22 Invaso web.
11 Humanas:
22 Sabotagem;
22 Fraude;
22 Erro humano;
Conceitos bsicos
11 Confidencialidade:
22 Garante que a informao seja acessada somente por pessoas autorizadas.
11 Integridade:
22 Salvaguarda da exatido, completeza da informao e dos mtodos de processamento.
11 Disponibilidade:
22 Garantia de que os usurios autorizados obtenham acesso informao e aos
ativos correspondentes, sempre que necessrio.
11 Informao:
22 So todos os dados de uma empresa, independentemente do formato em que
se encontram. Est presente nos ativos, que so alvo da proteo da segurana
da informao.
11 Ativo:
22 Todo elemento que contm informao, inclusive a informao em si. Exemplos:
22 Descuido.
servidores, discos, roteadores, arquivos, pastas, pessoas etc.

171
11 Vulnerabilidade:
22 Falha presente no ativo e explorada por ameaa que causa quebra na segurana.
11 Ameaa:
22 Explora vulnerabilidade presente no ativo, que custodia informao causando
impacto (incidente ou falha de segurana) no negcio.
11 Ameaas:
22 Naturais:
33 Provenientes da natureza, como enchentes, raios etc.
22 Involuntrias:
33 Causadas por acidentes ou erros provocados por usurios e administradores
de sistema.
22 Voluntrias:
33 Causadas propositadamente por usurios maliciosos e invasores de sistemas.
Padres existentes de segurana

11 Norma.
22 Aponta o que fazer na administrao da segurana da informao.

11 Metodologia (em conformidade com a norma).
22 Aponta como fazer a administrao da segurana da informao.
11 Norma + metodologia = melhores prticas (best practice).
Documentos que tornam a segurana da informao previsvel e tratvel:
11 RFC 2196: Site Security Handbook.
11 ISO 27001.
11 Control Objectives for Information and Related Technology (Cobit).
RFC 2196: Site Security Handbook

11 Site oficial: http://www.ietf.org/rfc/rfc2196.txt
11 Poltica traduzida: http://penta.ufrgs.br/gereseg/rfc2196/

11 Propsito de fornecer um guia de implantao de polticas de segurana de computadores
e procedimentos para sites que tm sistemas na internet.
11 Pblico-alvo: administradores de sistemas e redes, tomadores de deciso, gerentes
dos sites.
Esse manual um guia para desenvolvimento de polticas de segurana de computador e
172
procedimentos para sites que tm seus sistemas na internet. O propsito desse manual
proporcionar um guia prtico aos administradores, tentando tornar segura uma grande
variedade de informaes e servios. Os assuntos abordados incluem os contedos de poltica e formao, tpicos tcnicos de segurana de redes e, tambm, reaes a incidentes de
segurana. O enfoque desse documento est nas polticas e procedimentos que precisam ser
usados para viabilizar as caractersticas tcnicas de segurana que um site deve implementar.
Guia bsico em cinco passos:

11 Identifique o que est tentando proteger;
11 Determine do que est tentando se proteger;
11 Determine a probabilidade das ameaas;
11 Implemente medidas que protegero recursos importantes de maneira efetiva;
11 Revise o processo continuamente, fazendo melhorias cada vez que encontrar uma falha.
Lema
O custo da proteo contra uma ameaa deve ser menor que o custo da recuperao no
caso de ser atingido pela ameaa ( melhor prevenir que remediar).
1. Introduo.
2. Polticas de segurana.
3. Arquitetura:
11 Parte 1 Plano de segurana.
11 Parte 2 Proteo de servios.
4. Servios de segurana e procedimentos:
4.1.Servios e procedimentos seguros.
4.2.Autenticao.
4.3.Confiana.
4.4.Integridade.
4.5.Autorizao.
4.6.Acesso.
4.7.Auditoria.
4.8.Proteo de backups.
5. Tratamento de incidentes de segurana.
6. Atividades em andamento.
8. Mailing list.
RFC 3227
O manual Site Guidelines for Evidence Collection and Archiving um guia para o
desenvolvimento de polticas para respostas a incidentes de segurana.
Site oficial: http://www.ietf.org/rfc/rfc3227.txt
Propsito:
11 Guia de melhores prticas e procedimentos para respostas a incidentes de segurana
em sistemas na internet.
Pblico-alvo:
11 Administradores de sistemas e redes, tomadores de deciso e gerentes dos sites.
7. Ferramentas e endereos.
173
ISO 27001
Certificao NBR ISO / IEC 27001:2005.
11 ISO 27000 (Segurana da Informao).

Evoluiu da norma britnica BS7799.
11 BS7799-1:
22 Introduo, definio de extenso e condies principais de uso da norma.
22 Disponibiliza 148 controles divididos em dez partes distintas.
22 Referncia para implementar boas prticas de segurana.
11 BS7799-2:
22 Define requisitos para um Sistema de Gesto de Segurana da Informao.
A norma ISO 27001 define dez reas de conformidade:
1. Poltica de segurana
Define orientaes para a segurana da informao: como usar a informao, quem deve
us-la e as punies aplicadas aos que no agirem em conformidade com a poltica.
2. Segurana organizacional
Define a estrutura responsvel pela gerncia da segurana. Sugere a criao de rea especializada em segurana da informao e contatos com especialistas externos.
3. Classificao e controle dos ativos
Define recomendaes para a classificao dos ativos de informao. Dever garantir que
cada ativo receba nvel de proteo adequado, seja inventariado e tenha um responsvel.
4. Segurana sobre pessoas
Define recomendaes para a atribuio de responsabilidades de segurana a pessoas da
organizao, visando reduzir problemas como erro humano, roubo, fraude etc.
5. Segurana fsica e do ambiente
Estabelece permetro fsico de segurana, para que as instalaes estejam protegidas contra
ameaas externas. Recomenda que recursos e instalaes sejam mantidos em reas com
nvel de segurana adequado e sejam empregados controles de acesso.
6. Gerenciamento das operaes e comunicaes
Define recomendaes para garantir o funcionamento seguro e correto dos recursos
computacionais e da comunicao entre eles. Inclui a segurana dos computadores
174
individualmente e da rede.
7. Controle de acesso
Define formas e permisses de acesso informao, ligadas aos conceitos de autenticao e
autorizao. O gerenciamento de senhas de usurios faz parte desse item.
8. Desenvolvimento e manuteno de sistemas
Recomendaes para o desenvolvimento de sistemas, de modo a incluir controles de segurana. Inclui criptografia, validao de dados, autenticao e assinaturas digitais.
9. Gesto da continuidade do negcio

Regras para minimizar a interrupo das atividades, no caso de incidente de segurana.
Define plano de continuidade de negcio (PCN), e uma estratgia para garantir que a instituio continue funcionando na ocorrncia de desastres e falhas.
10. Conformidade
Consiste em evitar conflito com outras leis vigentes. Inclui direitos autorais, propriedade de
software, privacidade pessoal e uso indevido, entre outros.
11 Implementa modelo de gesto de segurana da informao dentro de parmetros
internacionais para um bom ambiente de negcios.

11 Garante segurana das prticas internas e informaes para parceiros e clientes.
11 Selo com mesmo reconhecimento de mercado alcanado pelas famlias:
22 ISO 9000 (qualidade).
22 ISO 14000 (prticas ambientais).
11 Define dez reas de conformidade:
1. Poltica de segurana.
2. Segurana organizacional.
3. Classificao e controle dos ativos.
4. Segurana de pessoas.
5. Segurana fsica e do ambiente.
6. Gerenciamento das operaes e comunicaes.
7. Controle de acesso.
8. Desenvolvimento e manuteno de sistemas.
9. Gesto da continuidade do negcio.
10. Conformidade.
Name of the Organization
Country
Certificate Number
Certification Body
Atos Origin Brasil Ltda.
Brazil
IS 98429
BSI
Axur Information Security
Brazil
IS 509742
BSI
BT
Brazil
LRQ 4003984
LRQA
BT Global Services So Paulo

SOC/NOC
Brazil
4003984
LRQA
Cardif do Brasil Vida

e Previdncia S/A
Brazil
IS 521855
BSI
CIP Cmara Interbancria

de Pagamentos
Brazil
IS 96934
BSI
Fucapi-Fundao
Brazil
IS 504391
BSI
IBM ITD Brazil
Brazil
62691
Bureau Veritas
Certification
Brazil
Mdulo Security Solutions S/A
Brazil
IS 510466
BSI
Empresas brasileiras certificadas ISO/IEC 27001 (1/2/2012):
175
Name of the Organization
Country
Certificate Number
Certification Body
Poliedro - Informtica,
Consultoria e Servios Ltda.
Brazil
44121081309
BSI
Prodesp
Brazil
IS 512881
BSI
Promon Engenharia Ltda.
Brazil
IS 500248
BSI
Promon Tecnologia Ltda.
Brazil
IS 500564
BSI
Samarco Minerao S/A
Brazil
IS 524157
BSI
SERASA S.A.
Brazil
262326 ISMS
DQS
Servio Federal de
Processamento de Dados
SERPRO
Brazil
IS 515421
BSI
Superior Tribunal de Justia
Brazil
IS 538457
BSI
Telefonica Empresas S/A
Brazil
IS 501039
BSI
Tivit Tecnologia da
Informao S.A.
Brazil
00017-2006-AIS-OSL-NA
DNV
TIVIT Terceirizao de
Tecnologia e Servios S.A.
Brazil
16203-2007-AIS-BRA-NA
DNV
T-Systems Brazil
Brazil
336227 ISMS
DQS
T-Systems do Brasil Ltda.
Brazil
341898 ISMS
DQS
UNISYS Global Outsourcing
Brazil
IS 97102
BSI
Zamprogna S/A Importao
Brazil
IS 518855
BSI
Tabela 10.1
Empresas
brasileiras
certificadas com o
ISO/IEC 27001.
A Mdulo Security foi a primeira empresa do mundo a obter a certificao ISO 27001.
Software de verificao de conformidade com a norma:
11 Callio Secura 17799 /27001: http://www.callio.com/
11 The Security Risk Management Toolkit: http://www.risk.biz/iso27001.html
A norma estabelece um Sistema de Gesto de Segurana da Informao (SGSI)
implementado em oito fases:

1. Inicializao do projeto.
2. Definio do SGSI.
3. Anlise de riscos.
176
4. Tratamento de riscos.
5. Treinamento e conhecimento.
6. Preparao para auditoria.
7. Auditoria.
8. Controles e melhoramentos contnuos.
w
a ISO 27001:
http://www.iso27001security.com/,
http://www.callio.com/
e http://www.modulo.
com.br
Cobit
Common Objectives for Information and related Technology (Cobit).
11 Metodologia criada pela Information Systems Audit and Control Association (Isaca)
http://www.isaca.org/ , atravs do IT Governance Institute (http://www.itgi.org/).
11 uma estrutura de relaes e processos para dirigir e controlar o ambiente de TI,
orientada s metas da organizao e gesto de TI.
11 O Cobit no uma metodologia especfica para segurana da informao, mas sim uma
metodologia para gesto de TI que contm alguns aspectos de segurana da informao.
Common Objectives for Information and Related Technology (Cobit) uma metodologia
criada pela Isaca atravs do IT Governance Institute. Longe de ser uma metodologia especfica para segurana da informao, o Cobit foi concebido para a gesto de TI e contm
alguns aspectos relacionados segurana da informao. Orientada a metas, possui uma
estrutura de relao e processos para dirigir e controlar o ambiente de TI.
11 IT Governance Institutes: http://www.itgovernance.org
11 Information System Audit & Control Association: http://www.isaca.org/cobit.htm
O Cobit est dividido em quatro domnios:
11 Planejamento e organizao.
11 Aquisio e implementao.
11 Entrega e suporte.
11 Monitorao.
Abaixo as subdivises do Cobit em seus domnios com seus detalhes.
11 Processos de Planejamento e Organizao;
11 Define plano estratgico de TI;
11 Define arquitetura da informao;
11 Determina direo tecnolgica;
11 Define organizao de TI e relacionamentos;
11 Gerencia comunicao das direes de TI;

11 Gerencia recursos humanos;
11 Assegura alinhamento de TI com requerimentos externos;
11 Avalia os riscos;
11 Gerencia os projetos;
11 Gerencia a qualidade.
Processos de Aquisio e Implementao

11 Desenvolve e mantm os procedimentos;
11 Instala e certifica softwares;
11 Gerencia as mudanas;
11 Identifica as solues de automao;
11 Gerencia investimento de TI;
177
11 Adquire e mantm os softwares;

11 Adquire e mantm a infraestrutura tecnolgica.
Processos de Entrega e Suporte

11 Define e mantm os acordos de nveis de servios (SLA);
11 Gerencia os servios de terceiros;
11 Gerencia performance e capacidade do ambiente;
11 Assegura a continuidade dos servios;
11 Assegura a segurana dos servios;
11 Identifica e aloca custos;
11 Treina os usurios;
11 Assiste e aconselha os usurios;
11 Gerencia a configurao;
11 Gerencia os problemas e incidentes;
11 Gerencia os dados;
11 Gerencia a infraestrutura;
11 Gerencia as operaes.
Processos de Monitorao
11 Monitora os processos;
11 Analisa a adequao dos controles internos;
11 Prov auditorias independentes;
11 Prov segurana independente.
Outras normas, padres e leis

Existem vrias outras normas, padres, leis e documentos sobre segurana da informao.
Alguns desses documentos so genricos, outros especficos para diferentes ramos de
atividade. Existem, por exemplo, documentos e especificaes diferentes para empresas do
ramo financeiro e para empresas do ramo mdico.
Famlia 27000
11 ABNT NBR ISO/IEC 27001:2006.
22 Sistemas de gesto de segurana da informao requisitos.
178
22 Cdigo de prtica para a gesto da segurana da informao.

22 Diretrizes para implantao de um sistema de gesto da segurana da informao.
22 Gesto da segurana da informao medio.
11 ISO/IEC 27005:2011.
22 Gesto de Riscos de Segurana da Informao.
A ABNT possui uma

srie de documentos
chamada de famlia
27000. Esses documentos podem ser
utilizados como base
para quem deseja
comear a implementao de procedimentos de segurana
em suas empresas.
Os documentos
possuem cdigos de
prtica e diretrizes para
a implementao de
segurana da informao, incluindo
documentos sobre
gesto de risco.
11 ISO/IEC 27006:2011.
22 Especifica requisitos e fornece orientaes para os organismos que prestem servios

de auditoria e certificao de um sistema de gesto da segurana da informao.
Sarbanes Oxley (SOX)

11 Criada depois de diversos escndalos financeiros ocorridos em grandes companhias
nos Estados Unidos.

11 Composta por 11 ttulos.
11 Diz respeito responsabilidade corporativa pela veracidade de contedo dos relatrios financeiros produzidos e pelo gerenciamento e avaliao dos controles internos.
11 Voltada principalmente para companhias de capital aberto com aes nas bolsas de
valores ou com negociao na Nasdaq (bolsa de valores das empresas de tecnologia).
11 Aperfeioa os procedimentos de demonstrao e de governana corporativa.
11 Definem as responsabilidades de gerenciamento nos relatrios anuais e semestrais.
A lei Sarbanes Oxley visa garantir a criao de mecanismos de auditoria e segurana confiveis nas empresas, de modo a mitigar riscos aos negcios e evitar a ocorrncia de fraudes
ou assegurar que haja meios de identific-las quando ocorrem, garantindo a transparncia
na gesto das empresas. Atualmente grandes empresas com operaes financeiras no exterior seguem essa lei.
PCI-DSS
11 Padro de segurana de dados desenvolvido pela indstria de pagamentos de cartes.
11 Deve ser utilizado como guia para ajudar as organizaes a prevenir fraudes de
carto de crdito, pirataria e outras questes de segurana.
11 https://pt.pcisecuritystandards.org/
Visando proteger a privacidade dos consumidores portadores de carto de crdito, algumas
bandeiras de carto de crdito criaram um conselho com a finalidade de criar e recomendar
as melhores prticas de segurana de dados, para que sejam seguidas pelos estabeleci-
O PCI-DSS se aplica a toda e qualquer empresa que coleta, processa, armazena ou transmite
informao de carto de crdito, estando, portanto, obrigada a se adaptar ao padro.
O PCI-DSS contempla 12 requerimentos bsicos que tm por objetivo:
11 Manter a rede de dados segura;
11 Proteger as informaes de portadores de carto de crdito;
11 Manter um programa de gerenciamento de vulnerabilidades;
11 Implementar forte controle de acessos;
11 Manter poltica de segurana de informaes.
mentos comerciais que aceitam cartes de crdito como forma de pagamento.
179
Documentao GSI/DSIC
11 Norma Complementar 01:
22 Estabelecer critrios e procedimentos para elaborao, atualizao, alterao,

aprovao e publicao de normas complementares sobre Gesto de Segurana
da Informao e Comunicaes, no mbito da Administrao Pblica Federal,
direta e indireta
22 Metodologia de Gesto de Segurana da Informao e Comunicaes.
22 Diretrizes para a Elaborao de Poltica de Segurana da Informao e Comunicaes nos rgos e Entidades da Administrao Pblica.
22 Diretrizes para o processo de Gesto de Riscos de Segurana da Informao e
Comunicaes - GRSIC nos rgos e entidades da Administrao Pblica Federal.
22 Disciplina a criao de Equipes de Tratamento e Respostas a Incidentes em Redes
Computacionais - ETIR nos rgos e entidades da Administrao Pblica Federal.
O Departamento de Segurana da Informao e Comunicaes (DSIC) o brao normativo
do Gabinete Institucional de Segurana (GSI). Dentre seus objetivos destacam-se a produo
de documentao referente segurana ciberntica na Administrao Pblica Federal.
Alm das Normas Complementares mencionadas acima, podemos encontrar uma vasta
documentao sobre segurana da informao e comunicaes em http://dsic.planalto.gov.br.
180
Atividade 10.1 Segurana da informao
1. A segurana da informao consiste de trs pilares bsicos: confidencialidade, integridade
e disponibilidade. Classifique os problemas de segurana abaixo de acordo com um
(ou mais) destes pilares. Todos os problemas de segurana podem ser mapeados em
uma destas caractersticas?
11 Uso incorreto de criptografia;
11 Acesso aos documentos sigilosos da organizao por pessoas no autorizadas;
11 Servidores da organizao sem plano de contingncia ou backup;
11 Site de comrcio eletrnico sem proteo para transaes eletrnicas;
11 Modificao de notas escolares por um aluno atravs do sistema da escola.
Atividade 10.2 Vulnerabilidades

1. Quais as vulnerabilidades de sua estao de trabalho? Veja em:
http://secunia.com/software_inspector
Atividade 10.3 Descartes

1. A etapa do descarte importante, visto que a informao, em muitos casos, possui
prazo de validade. Algumas empresas estabelecem procedimentos de descarte at para
informaes pessoais, como correio eletrnico e papis, de forma a prevenir que caiam
em mos erradas. Aparelhos como picotadoras so utilizados para o descarte seguro de
informaes, no caso de informao em papel. Determine o tempo que voc levaria para
armazenar cada uma das seguintes informaes, caso fosse o responsvel por elas:
11 Logs de sistema;
11 Arquivos de correio eletrnico;
11 Notas fiscais;
11 Fitas de backup.
181
2. Nos dias atuais, devemos sempre nos preocupar com o descarte de informaes.
Existem no mercado diversas solues para recuperao de dados apagados, mesmo
que o usurio formate o disco rgido. Baixe e instale o programa Eraser em
http://eraser.heidi.ie/download.php e utilize-o para apagar arquivos em seu
computador de maneira segura.
Figura 10.2
Eraser.
182
Bibliografia
11 Administrao e segurana da informao:
http://www.informabr.com.br/nbr.htm#3
11 APWG Committed to wiping out internet scams and fraud:
http://www.antiphishing.org/
11 Ataques DoS: http://www.cert.org/tech_tips/denial_of_service.html
11 BEAL, Adriana. Segurana da Informao Princpios e melhores prticas
para a proteo dos ativos de informao nas organizaes. Editora Atlas.
11 Cartilha de segurana: http://cartilha.cert.br/
11 Comrcio eletrnico e segurana na internet:
http://www.serpro.gov.br/publicacao/tematec/1997/ttec35
11 Como funciona o dinheiro? http://dinheiro.hsw.com.br/dinheiro6.htm
11 Como funciona o phishing: http://informatica.hsw.com.br/phishing.htm
11 Comunicao cliente/servidor com sockets:
http://www.imasters.com.br/artigo/2414/dotnet/usando_a_comunicacao_
cliente_-_servidor_com_sockets/
11 Criptografia Numaboa: http://www.numaboa.com/content/section/11/57/
11 CSIRT Unicamp: http://www.security.unicamp.br/links.html
11 Defesa de permetros:
http://www.magicweb.com.br/afreire/defesaperimetros_vi.htm
11 DIERKS, T.; ALLEN, C. The TLS Protocol, Version 1.0. Network Working Group,
Request for Comments: 2246, Category: Standards Track. 1999.
11 Especialista em segurana da informao: http://www.semola.com.br
11 FRASER, B. RFC 2196 Site Security Handbook. Editor SEI/CMU, 1997.
http://www.faqs.org/rfcs/rfc2196.html
11 FREIER, Alan O. et alli. The SSL Protocol, Version 3.0. Transport Layer Security
Working Group. Internet draft:
http://wp.netscape.com/eng/ssl3/draft302.txt
11 Informaes sobre spyware:
11 Informaes sobre vrus: http://br.mcafee.com/virusInfo/default.asp
11 Introduo ao DHCP: http://www.rnp.br/newsgen/9911/dhcp.html
Bibliografia
http://www.microsoft.com/protect/computer/spyware/default.mspx
183
11 IP Spoof: http://www.hackemate.com.ar/ezines/the_virii_hacking_guide/
vhg01/ip_spoof.html
11 KAEO, Merike. Designing Network Security. Cisco Press, 1999.
11 KASSLIN, Kimmo et al. Kernel Malware: The attack from within:
http://www.f-secure.com/weblog/archives/kasslin_AVAR2006_KernelMalware_paper.pdf
11 Manual de criptografia GnuPG:
http://docs.indymedia.org/view/Sysadmin/GnuPGpt
11 NBSO. Cartilha de segurana para internet. Verso 2.0. Maro de 2003.
Copyright NBSO. http://www.nbso.nic.br/docs/cartilha/
11 NIC BR Security Office Brazilian Computer Emergency Response Team.
Prticas de segurana para administradores de redes internet. Verso 1.2,
2003. http://www.nbso.nic.br/docs/seg-adm-redes/
11 Norma NBR ISO/IEC 17799 Tecnologia da informao Cdigo de prtica
para a gesto da segurana da informao.
11 O que so vrus, worms e cavalos de troia?
http://www.microsoft.com/brasil/athome/security/viruses/virus101.mspx
11 OMAHONY, D.; PEIRCE, M.; TEWARI, H. Electronic Payment Systems. Artech
House, 1997. ftp://ftp.isi.edu/in-notes/rfc2246.txt
11 Pequeno histrico sobre o surgimento de normas de segurana:
http://www.lockabit.coppe.ufrj.br/rlab/rlab_textos?id=69
11 Portas TCP e UDP: http://www.infowester.com/portastcpudp.php
11 Proteo contra rede banda larga:
http://www.symantec.com/pt/br/about/news/release/article.
jsp?prid=20070216_01
11 Proteja-se contra fraudes on-line:
http://www.microsoft.com/brasil/athome/security/online/phishing_filter.mspx
11 Rede privada virtual: http://www.rnp.br/newsgen/9811/vpn.html
11 Revista de segurana:
http://www.linuxsecurity.com.br/revista/LinuxSecurityMagazine-Outubro02.pdf
11 SANS: http://www.sans.org/rr
11 SCHNEIER, Bruce. Applied Cryptography: Protocols, Algorithms, and Source
Code in C. Wiley. 1995.
184
11 Segurana em roteador: http://www.rnp.br/newsgen/9903/seg-router.html

11 SMOLA, Marcos. Gesto da segurana da informao uma viso executiva.
Ed. Campus, 2002.
11 SOARES, L. F. Gomes et alli. Das LANs, MANs, WANs s redes ATM.
Ed. Campus, 1995.
11 TANEMBAUM, Andrew. Computer Networks. Prentice Hall PTR, 2002.
11 Tticas de defesa DDoS:

http://www.iwar.org.uk/comsec/resources/dos/ddos-defense.pdf
11 TCP/IP: http://www.pop-rs.rnp.br/ovni/tcpip/
11 Tneis seguros de VPNs:
http://br.attachmate.com/pt-BR/TechTalks/Secure+Tunnels.htm
11 WOOD, Charles C. Information Security Policies Made Easy. Baseline
Bibliografia
Software, 2001.
185
186
Ivo de Carvalho Peixinho Bacharel

em Cincia da Computao pela UFBA
e Especialista em Gesto de Segurana
da Informao pela UnB. Possui mais
de 15 anos de experincia na rea de
Segurana da Informao. Foi Diretor
Tcnico na XSite Consultoria e Tecnologia e Analista de Suporte na Universidade Federal da Bahia.
Em 2004 atuou como Analista de Segurana Snior no CAIS/
RNP por dois anos, e atualmente Perito Criminal Federal
do Departamento de Polcia Federal desde 2007, lotado no
Servio de Represso a Crimes Cibernticos - SRCC/CGPFAZ/
DICOR/DPF. professor de ps-graduao nas disciplinas
de Anlise Forense em Sistemas Unix e Anlise de Malware,
e palestrante em diversos eventos nacionais e internacionais como GTS, Seginfo, CNASI, ICCyber e FIRST.
LIVRO DE APOIO AO CURSO
O livro de apoio ao curso Introduo Segurana de

Redes fornece conhecimentos introdutrios da rea de
segurana, atravs da apresentao dos conceitos bsicos sobre segurana de redes, com apoio de atividades
prticas em laboratrio. Aborda a histria da segurana fsica e lgica, apresenta um panorama atual da rea
(vulnerabilidades, tipos de ataques mais comuns, estatsticas), arquitetura TCP/IP (endereamento, servios,
dres e normas de segurana da informao.
Este livro inclui os roteiros das atividades prticas e o
contedo dos slides apresentados em sala de aula,
mento em suas organizaes ou localidades de origem.
ISBN 978-85-63630-23-0
9 788563 630230

Esr Npe SEG1.WEB v2.2.0

Enviado por

Dados do documento

Direitos autorais

Formatos disponíveis

Compartilhar este documento

Compartilhar ou incorporar documento

Opções de compartilhamento

Você considera este documento útil?

Este conteúdo é inapropriado?

Direitos autorais:

Formatos disponíveis

Esr Npe SEG1.WEB v2.2.0

Enviado por

Direitos autorais:

Formatos disponíveis

Introduo

A RNP Rede Nacional de Ensino

Programa Interministerial RNP,

Copyright 2013 Rede Nacional de Ensino e Pesquisa RNP

Escola Superior de Redes

Escola Superior de Redes

Rua Lauro Mller, 116 sala 1103

Dados Internacionais de Catalogao na Publicao (CIP)

1. Introduo, histrico e princpios bsicos de segurana

2. Conceitos de segurana fsica e segurana lgica

Uma viso a partir do datagrama32

3. Panorama atual da rea de segurana

4. Arquitetura TCP/IP conceitos bsicos

Roteiro de Atividades 475

5. Arquitetura TCP/IP e segurana

Criptografia de servidor (SSL/TLS)124

8. Poltica de segurana da informao

Exemplo de poltica de segurana145

10. Fundamentos de segurana da informao

Escola Superior de Redes

As sesses de aprendizagem onde se do a apresentao dos contedos e a realizao das

Convenes utilizadas neste livro

Segurana, listas de discusso de segurana e ameaas digitais.

Captulo 1 - Introduo, histrico e princpios bsicos de segurana

Introduo, histrico e princpios

11 Banco de dados etc.

Por que proporcionar segurana para a informao?

O que segurana da informao?

reas da segurana da informao:

Quais so as trs caractersticas bsicas da segurana da informao?

Technology (Tempest), criado pelo governo dos EUA.

1969: surge a Arpanet (futura internet), rede de computadores descentralizada ligando:

11 Stanford Research Institute.

Captulo 1 - Introduo, histrico e princpios bsicos de segurana

1970: iniciativas patrocinadas pelo DoD em conjunto com a indstria:

Introduo Segurana de Redes

11 Classificao feita em nveis D, C, B e A, na ordem crescente de segurana.

Sumary of Orange Book security features

Identification and Authentication (IAA)

Captulo 1 - Introduo, histrico e princpios bsicos de segurana

11 Autorreplicar-se e se autopropagar, chamado de worm, pois rastejava pela rede.

comunitrios e multa de US$ 10.050,00.

Introduo Segurana de Redes

11 Correo para o problema havia sado um ms antes.

Saiba mais sobre

11 Infectou 75 mil computadores em dez minutos.

11 Infectou entre 9 e 15 milhes de mquinas.

Captulo 1 - Introduo, histrico e princpios bsicos de segurana

O NIC.BR responsvel por registros de domnios e associao de endereos IP. O NIC. BR

11 Recomendao de polticas para os Pontos de Presena (PoPs);

se organizam e prestam direta ou indiretamente servios aos usurios da internet, seja

atravs de documentos, notificaes de problemas ou mesmo de lista de segurana.

Conhea o ataque que

Decreto n 3505, de 13 de junho de 2000

11 Determinou objetivos para a poltica de segurana da informao.

Captulo 1 - Introduo, histrico e princpios bsicos de segurana

11 Ligado ao Gabinete de Segurana Institucional (GSI).

Princpios bsicos de segurana

Menor privilgio (least privilege):

Introduo Segurana de Redes

Explique o que menos privilgio e cite um exemplo.

Explique o que defesa em profundidade e cite um exemplo.

Princpios bsicos de segurana

Captulo 1 - Introduo, histrico e princpios bsicos de segurana