23/02/2013

Curso de Preparatrio para Concursos Pblicos Segurana da Informao

Contedo desse Mdulo

Prof. Marcelo Moreira www.professormarcelomoreira.com.br falecom@professormarcelomoreira.com.br

Princpios da Segurana da Informao; Ameaas aos Sistemas de Informao; Spam; Malwares; Phishing. Recursos de Segurana; Backup; Criptografia; Assinatura Digital; Certificao Digital.

Prof. Marcelo Moreira

Segurana da Informao

Segurana da Informao
CONCEITOS DE SI PRINCPIOS DE SEGURANA CONFIDENCIALIDADE INTEGRIDADE DISPONIBILIDADE AUTENTICIDADE BEM PROTEGIDO INFORMAO AMB. INSEGURO RISCOS DANOS Ex. ANTIVRUS RECURSOS Ex. FIREWALL EX. INTERNET VULNERABILIDADES AMEAAS PSI POLTICA DE SI

As informaes digitais esto sujeitas a uma srie de ameaas (intencionais ou no) que lhes conferem um situao de no confivel; A segurana da informao trata justamente dos conceitos, tcnicas e recursos que conseguem diminuir essa fragilidade, dando nveis de confiabilidade altos s informaes digitais.

Prof. Marcelo Moreira

Prof. Marcelo Moreira

Princpios da Segurana

Princpios da Segurana

So os pilares nos quais se apia a segurana dos sistemas de informao; Os princpios da segurana so pr-requisitos para que se considere um sistema de informaes seguro. Bizu: sigla CIDA ou DICA;

Confidencialidade: a garantia de que uma informao no ser acessada por pessoas no autorizadas (ser confidencial, ser sigiloso); Recursos que mascaram ou escondem a informao (como a criptografia) e que limitam acesso dos usurios (como senhas) cujo foco a confidencialidade.

Prof. Marcelo Moreira

Prof. Marcelo Moreira

23/02/2013

Princpios da Segurana

Princpios da Segurana

Integridade: a garantia de que uma informao no ser alterada sem autorizao durante seu trajeto ou seu armazenamento (manter-se ntegro); Recursos que permitem que se saiba se a informao foi, ou no, alterada, como a Funo Hash, (idia parecida com o dgito verificador do CPF).

Disponibilidade: a garantia de que um sistema de informaes estar sempre disponvel aos usurios quando requisitado; Esta meta pode ser atendida com os Backups das informaes, alm de outras recursos, como geradores sobressalentes, no-breaks, alguns tipos de RAID.

Prof. Marcelo Moreira

Prof. Marcelo Moreira

Princpios da Segurana

Outros Princpios da Segurana

Autenticidade: a garantia de conhecer a identidade de um usurio ou sistema de informaes com quem se vai estabelecer comunicao (ser autntico, ser quem diz ser); Recursos como senhas (que, teoricamente, s o usurio conhece), biometria, assinatura digital e certificao digital so usados para essa finalidade.

No-Repdio (irretratabilidade): a garantia que uma pessoa no consiga negar um ato ou documento de sua autoria. uma condio necessria para a validade jurdica de documentos e transaes digitais (conseguida atravs da Autenticidade de Integridade).

Prof. Marcelo Moreira

Prof. Marcelo Moreira

10

Princpios da Segurana

Exerccios

Confiabilidade: este o objetivo maior da Segurana. Garantir que um sistema vai se comportar (vai realizar seu servio) segundo o esperado e projetado. (ser confivel, fazer bem seu papel); Para atingir uma alta segurana esse princpio deve ser alcanado com base em todos os outros.

2011 TJ/ES ANALISTA JUD. ADM CESPE Confidencialidade, disponibilidade e integridade da informao, que so conceitos importantes de segurana da informao em ambiente digital, devem estar presentes na gesto e no uso de sistemas de informao, em benefcio dos cidados e dos fornecedores de solues.

Prof. Marcelo Moreira

11

Prof. Marcelo Moreira

13

23/02/2013

Exerccios
2008 CEF TEC. BANCRIO ACRE - CESGRANRIO Qual dos princpios bsicos da segurana da informao enuncia a garantia de que uma informao no foi alterada durante seu percurso, da origem ao destino? a) No-repdio b) Integridade c) Autenticidade d) Disponibilidade e) Confidencialidade

Riscos
Vulnerabilidades (Fragilidades): um ponto fraco do prprio sistema, um fator interno, ou seja, definida como uma falha no projeto, implementao ou configurao de um software ou do ambiente de TI como um todo, que pode ser explorada por um atacante; Ameaas: um fator externo, a explorao das vulnerabilidades de um sistema, realizadas por um agente, de forma espontnea ou proposital, para conseguir seu intento; ou ocasionados por acontecimentos externos.

Prof. Marcelo Moreira

14

Prof. Marcelo Moreira

15

Ameaas aos Sistemas

Ameaas aos Sistemas

Malware: programas criados com objetivos nocivos, de prejudicar, comprometendo a segurana dos sistemas de informao. Backdoor: brechas intencionais, no documentadas, em programas legtimos, que permitem o acesso ao sistema por parte de seus desenvolvedores ou mantenedores.

Hackers: usurios avanados em TI, que possuem um exmio conhecimento em informtica, por muitas vezes melhoram os sistemas existentes. Crackers: usurios que invadem sistemas de segurana, quebram senha de programas. Os crackers trabalham de de forma legal e sem tica.

Prof. Marcelo Moreira

16

Prof. Marcelo Moreira

17

Ameaas aos Sistemas

Malware
Tipos Malware Vrus; Worm; Trojan; Spyware; Adware; Hijackers;
Vermelho ficam no computador atacado. Preto ficam no computador do atacante.

SPAM: envio em massa de mensagens de e-mail no autorizadas pelos destinatrios, em resumo, um spam consiste numa mensagem de correio eletrnico com fins publicitrios. Scam (Golpe): um conjunto de tcnicas para enganar os usurios de sistemas de informao no intuito de enviar-lhe um programa malfico ou simplesmente obter seus dados.

Rootkits; Botnets; Sniffer; Port scanner; Exploit;

Prof. Marcelo Moreira

18

Prof. Marcelo Moreira

19

23/02/2013

Malware

Malware

Vrus de Computador: um programa (ou parte de um programa) que: Necessita de um hospedeiro para existir (um vrus se anexa ao contedo de um arquivo para viver); Capacidade de se replicar (ou copiar) sozinho para outros arquivos (hospedeiros); Um Vrus s entra em ao quando seu hospedeiro (e o prprio vrus) executado na memria RAM do micro infectado.

Vrus de Boot: infectam o setor de inicializao do HD, denominado setor de boot, afetam o carregamento do Sistema Operacional. Vrus de Macro: infectam arquivos do Office (Word, Excel, Power Point), afetam os macros desses programas e so baseados em VBA (Visual Basic for Applications). Vrus Polimrficos: so conhecidos como vrus mutantes, que conseguem modificar a si prprios a cada infeco, dificultando sua identificao.
Prof. Marcelo Moreira

Prof. Marcelo Moreira

20

21

Malware

Malware

Worm: um programa que apenas usa a estrutura das redes para se copiar de micro em micro, degradando a velocidade da comunicao na estrutura infectada. No precisa de hospedeiro, ele prprio o arquivo que se replica. No precisa ser acionado pelo usurio, ele se utiliza de falhas nos protocolos e servios da rede para se espalhar.

Cavalo de Tria (Trojan Horse): um programa que apresenta-se como algo inofensivo (mensagem de solidariedade, de esperana, um jogo, um carto de Boas Festas, etc.) A mensagem esconde objetivos maliciosos, como apagar dados, roubar informaes e, mais comumente, abrir portas de comunicao para que se possa invadir o computador que foi infectado.

Prof. Marcelo Moreira

22

Prof. Marcelo Moreira

23

Malware

Malware

Spyware (programa espio): um programa que monitora e registra os hbitos de navegao e acesso Internet do micro infectado e transmite essa informao a uma entidade externa na Internet, sem o seu conhecimento e o consentimento de vtima. Um spyware pode conter keyloggers (capturadores de teclado) e screenloggers (capturadores de tela) para copiar as aes e informaes que o usurio est fazendo com o computador.

Adware: um programa que fica fazendo anncios de propaganda no micro infectado. Em alguns casos um programa lcito, acompanhando outros programas. Fica abrindo pginas ou mostrando imagens e links de cassinos, lojas, pornografia e outros.

Prof. Marcelo Moreira

24

Prof. Marcelo Moreira

25

23/02/2013

Malware

Malware

Hijackers (seqestradores) so programas ou scripts que "sequestram" navegadores de Internet, principalmente o IE. O hijacker altera a pgina inicial do browser e impede o usurio de mud-la, exibe propagandas em pop-ups ou janelas novas, instala barras de ferramentas no navegador e podem impedir acesso a determinados sites (como sites de software antivrus, por exemplo). A idia vender os cliques que o usurio faz nessas pginas, o que gera lucro para o criador do hijacker.

Rootkit: so um tipo de malware cuja principal inteno se camuflar, impedindo que seu cdigo seja encontrado por qualquer antivrus. Isto possvel por que estas aplicaes tm a capacidade de interceptar as solicitaes feitas ao sistema operacional, podendo alterar o seu resultado. Um rootkit um programa com cdigo mal intencionado que busca se esconder de softwares de segurana e do usurio utilizando diversas tcnicas avanadas de programao.

Prof. Marcelo Moreira

26

Prof. Marcelo Moreira

28

Malware

Exerccios
2010 CONFEF Analista em TI - IESES

Botnets: so basicamente redes de computadores infectados por bots. Bots: Este tipo de ameaa leva esse nome por se parecer com um rob, podendo ser programado para realizar tarefas especficas dentro do computador do usurio afetado capaz de se comunicar com os invasores que o colocaram em sua mquina. Da mesma forma que acontece com o Worm, o bot pode ser um programa independente, agindo e se propagando atravs do seu computador. Desta forma ele cria suas redes e se espalha.
Prof. Marcelo Moreira

29

Prof. Marcelo Moreira

30

Malware

Malware

Sniffer: um programa que instalado na mquina do atacante e serve para capturar os informaes da rede A placa de rede passa a operar em modo promscuo, no rejeitando nenhuma mensagem que chega.

Port Scanner: um programa que vasculha (verifica) um computador alvo procura de portas (servios) abertas para que, atravs delas, se possa promover uma invaso quele micro. Port scanner envia sucessivos pacotes a vrias portas diferentes, esperando receber um pacote de resposta por uma delas e com isso identificar possveis formas de atacar.
32

Prof. Marcelo Moreira

31

Prof. Marcelo Moreira

23/02/2013

Malware

Phishing

Exploit: um programa com o objetivo de tirar vantagem de alguma falha, ou vulnerabilidade, conhecida em um sistema de informao. Um hacker pode constru-lo para demonstrao das vulnerabilidades, a fim de que as falhas sejam corrigidas, ou j os crackers com a finalidade de ganhar acesso no autorizado aos sistemas. Muitos crackers no publicam seus exploits. Seu uso massificado deve-se aos script kiddies (amadores);

Em computao, phishing uma forma de fraude eletrnica, caracterizada por tentativas de adquirir fotos e msicas e outros dados pessoais, ao se fazer passar como uma pessoa confivel ou uma empresa enviando uma comunicao eletrnica oficial. Tal fraude ocorre de vrias maneiras, destaca-se formulrios HTML falsos em emails, URLs falsas, dentre outros.

Prof. Marcelo Moreira

33

Prof. Marcelo Moreira

34

Phishing

Exerccios
Prova: FCC/2009 TCE-GO - Analista de Contr. Ext. TI Considere a hiptese de recebimento de uma mensagem no solicitada de um site popular que induza o recebedor a acessar uma pgina fraudulenta projetada para o furto dos dados pessoais e financeiros dele. Trata-se de a) spam. b) phishing/scam. c) adware. d) keylogger. e) bluetooth.

Prof. Marcelo Moreira

35

Prof. Marcelo Moreira

38

Nvel de Segurana

Mecanismos de segurana

Depois de identificado o potencial de ataque, as organizaes tm que decidir o nvel de segurana a estabelecer para uma rede ou sistema os recursos fsicos e lgicos que necessitam de proteo. No nvel de segurana devem ser quantificados os custos associados aos ataques e os associados implementao de mecanismos de proteo para minimizar a probabilidade de ocorrncia de um ataque.

Controles fsicos: so barreiras que limitam o contato ou acesso direto informao ou infraestrutura (que garante a existncia da informao) que a suporta. Ex. Portas, trancas, paredes, blindagem, cmeras, cercas eltricas, ces, etc. guardas,

Prof. Marcelo Moreira

39

Prof. Marcelo Moreira

40

23/02/2013

Mecanismos de segurana

Recursos de Segurana
Senha: Sua fora depende dos diferentes tipos de caracteres usados, do seu comprimento e de ser encontrada em dicionrio ou no. Segredos da fora da senha: comprimento e complexidade A senha ideal longa e contm letras, pontuao, smbolos e nmeros. Sempre que possvel, use oito caracteres ou mais. No use a mesma senha para tudo. Altere suas senhas com frequncia, em intervalos aproximados de trs meses. No use somente caixa baixa ou alta, faa uma mistura das duas formas; Evite tambm usar informaes pessoais para criar sua senha, ou palavras comuns.
Prof. Marcelo Moreira
42

Controles lgicos: so barreiras que impedem ou limitam o acesso informao, que est em ambiente computacional, exposto a cpia, alterao ou apagamento no autorizado por elemento mal intencionado, que pode estar distante da origem dos dados. Ex. antivrus, firewalls, filtros antispam, analisadores de cdigo, sistemas biomtricos, hashing, criptografia, assinatura digital, certificao digital, protocolos seguros.
Prof. Marcelo Moreira

41

Exerccios
Prova: 2012 CESPE Papiloscopista da PF

Recursos de Segurana
Antivrus: programas que protegem os sistemas de informao contra vrus de computador. So ferramentas preventivas e corretivas, que detectam e removem vrus de computador e outros programas maliciosos (spywares, worms e cavalos de tria). Ex.: Norton Antivrus, McAfee, Avast, AVG Antivrus e outros.

27) As senhas, para serem seguras ou fortes, devem ser compostas de pelo menos oito caracteres e conter letras maisculas, minsculas, nmeros e sinais de pontuao. Alm disso, recomenda-se no utilizar como senha nomes, sobrenomes, nmeros de documentos, placas de carros, nmeros de telefones e datas especiais.

Prof. Marcelo Moreira

43

Prof. Marcelo Moreira

44

Recursos de Segurana

Recursos de Segurana

Antispam: programas que podem classificar as mensagens de e-mail recebidas como sendo aceitveis ou como sendo spam (indesejadas). Esse programa permite que os usurios no sejam incomodados com essa prtica desagradvel. Como um spam pode trazer outras coisinhas chatas consigo (vrus, worms, trojans), o antispam um recurso bastante interessante para que nossas caixas postais sejam usadas para armazenar apenas o necessrio.

Firewall: programa que filtra o trfego de entrada e sada de dados em uma rede. O firewall deve ser previamente configurado para o que vai deixar passar e o que vai bloquear. Pode ser implementado tanto em software quanto em hardware.

Prof. Marcelo Moreira

45

Prof. Marcelo Moreira

46

23/02/2013

Firewall

Recursos de Segurana
Backup: o ato deliberado de fazer cpia dos dados importantes da empresa para outro local (em mdias de armazenamento, como DVDs, CDs ou Fitas DAT). Backup um dos recursos de segurana, que objetiva manter a disponibilidade dos dados dos sistema.

Prof. Marcelo Moreira

47

Prof. Marcelo Moreira

48

Caractersticas Backup
Tipo

Tipos de Backup
Arquivos Todos os arquivos selecionados, Marca todos os arquivos. Normal (Total)

freqente: deve ser realizado com muitas vezes, de preferncia, diariamente; cclico: realizado em ciclos, com incio e fim. Esses ciclos podem ter qualquer periodicidade; contemporneo: seu objetivo sempre manter os dados do backup to recentes quanto os dados originais do sistema a que se destina.

Apenas os arquivos novos ou modificados desde Incremental o ltimo backup normal, Marca todos os arquivos. Diferencial Apenas os arquivos novos ou modificados desde o ltimo backup normal, No Marca todos os arquivos. Todos os arquivos selecionados, No Marca todos os arquivos. (ex: usado para uma emergncia) Criados ou alterados em data especfica No Marca todos os arquivos.
Prof. Marcelo Moreira

De cpia

Dirio
Prof. Marcelo Moreira

49

50

Exerccios
Prova: 2012 CESPE Papiloscopista da PF

Recursos de Segurana
Criptografia: o processo matemtico usado para reescrever uma informao de forma embaralhada, de modo que no seja possvel entend-la, se ela for interceptada. A criptografia a base para outros recursos de segurana como a Assinatura Digital e a Certificao Digital. No importando se a criptografia simtrica ou assimtrica o objetivo garantir o sigilo (a confidencialidade) das informaes.

29) Uma caracterstica desejada para o sistema de backup que ele permita a restaurao rpida das informaes quando houver incidente de perda de dados. Assim, as mdias de backup devem ser mantidas o mais prximo possvel do sistema principal de armazenamento das informaes.

Prof. Marcelo Moreira

51

Prof. Marcelo Moreira

52

23/02/2013

Criptografia Exemplo

Criptografia Exemplo

Funo Mc=Mo x C (algortimo); Mc= Mensagem cifrada; Mo= Mensagem Original; C = Chave criptogrfica.

Funo Mc=Mo x C (algortimo); Mc= Mensagem cifrada; Mo= Mensagem Original; C = 1.

ABCDEFGHIJKLMNOPQRSTUVWXYZ ABCDEFGHIJKLMNOPQRSTUVWXYZ Mo = VOU PASSAR NO CONCURSO

Prof. Marcelo Moreira
53

ABCDEFGHIJKLMNOPQRSTUVWXYZ ABCDEFGHIJKLMNOPQRSTUVWXYZ Mo= VOU PASSAR NO CONCURSO; Mc = WPV QBTTBS OP DPODVSTP

Prof. Marcelo Moreira
54

Criptografia Exemplo

Criptografia Simtrica

Funo Mc=Mo x C (algortimo); Mc= Mensagem cifrada; Mo= Mensagem Original; C = 3.

ABCDEFGHIJKLMNOPQRSTUVWXYZ ABCDEFGHIJKLMNOPQRSTUVWXYZ Mo= VOU PASSAR NO CONCURSO Mc = YRX SDVVDU QR FRQFXUVR

Prof. Marcelo Moreira
55

Prof. Marcelo Moreira

56

Criptografia Assimtrica
Simtrica

Saber para a prova Simtrica x Assimtrica

Assimtrica(Chave Pblica) Apenas uma nica chave; Usa duas chaves Fcil processamento: exige Exigem hardware mais poderoso pouco poder computacional. e mais tempo para processamento. A chave privada tem que ser Apenas a chave pblica compartilhada entre os compartilhada. A chave que envolvidos (o que pode se decodifica continua segura (Chave tornar a vulnerabilidade). Privada) A mesma chave usada nos Um par de chaves para cada dois sentidos: sentido: (A B):usando par de chaves de B (A B) e (B A). (B A):usando par de chaves de A

Prof. Marcelo Moreira

57

Prof. Marcelo Moreira

58

23/02/2013

Recursos de Segurana

Assinatura Digital

Assinatura Digital: uma forma (meio) que permite associar, irrefutavelmente, uma mensagem a um autor, garantindo que se possa saber a origem da mensagem. A assinatura digital usa chaves assimtricas (pblica e privada), s que de forma diferente da criptografia. Usam-se os termos: assinar = cifrar; verificar a assinatura = decifrar.
Prof. Marcelo Moreira
59

Prof. Marcelo Moreira

60

Objetivos da Assinatura Digital

Exerccios
2008 CEF TEC. BANCRIO ACRE - CESGRANRIO Quais princpios da segurana da informao so obtidos com o uso da assinatura digital? a) Autenticidade, confidencialidade e disponibilidade. b) Autenticidade, confidencialidade e integridade. c) Autenticidade, integridade e no-repdio. d) Autenticidade, confidencialidade, disponibilidade, integridade e no-repdio.
e)

No garante a confidencialidade (sigilo) da mensagem, porque a ela poder ser aberta por todos aqueles que tm a chave pblica do emissor. O foco da Assinatura Digital a Autenticidade (garantir o autor da mensagem); Por usar Hash, o processo de assinatura digital tambm garante a Integridade da mensagem; E, com estes dois princpios, a Assinatura o recurso que nos garante o No-Repdio.

Confidencialidade, repdio.

disponibilidade,

integridade

no-

Prof. Marcelo Moreira

61

Prof. Marcelo Moreira

62

Recursos de Segurana

Certificado Digital

Certificao Digital: recurso oferece nveis altos de

confiabilidade por meio da garantia prestada por empresas de certificao.

Tais instituies, chamadas Autoridades de Certificao (AC) so responsveis por emitir, revogar e renovar os certificados digitais dos usurios do sistema. Certificado digital um documento (arquivo no computador) que garante a nossa identidade de forma irrefutvel, porque est assinado digitalmente por uma empresa que atesta isso (AC, parece cartrio virtual). O Certificado Digital a nossa chave pblica assinada pela AC.
Prof. Marcelo Moreira
63

Quais informaes so encontradas em um certificado digital? Nmero de srie; Data de validade; Assinatura da AC; Chave Pblica da Entidade CPF/CNPJ da Entidade; E outros.

Prof. Marcelo Moreira

64

10

23/02/2013

Exerccios
Prova 2011 SEGER/ES Nvel Superior - CESPE Considerando que, em uma intranet, os servidores web estejam configurados para uso de certificados digitais, julgue os itens subsequentes. 39 - Entre as caractersticas de um certificado digital inclui-se a existncia de um emissor, do prazo de validade e de uma assinatura digital. 40 - O uso do protocolo https assegura que informaes trafegadas utilizem certificados digitais. as

Prof. Marcelo Moreira

65

Prof. Marcelo Moreira

66

Exerccios
Prova 2011 FMS/PI Nvel Superior
De acordo com os conceitos de Segurana da Informao, assinale a alternativa INCORRETA: a) A diferena entre os tipos de backup realizados est, principalmente, no tipo de mdia utilizado. b) Devemos verificar se o endereo de alguns sites comeam com HTTPS, indicando uma conexo segura. Instituies bancrias e de comrcio eletrnico so exemplos de uso. c) Criptografia um mtodo de codificao de dados que visa garantir o sigilo de informaes. d) Cavalo de tria um tipo de software que vem embutido em um arquivo recebido por e-mail ou baixado da rede. Ao executar o arquivo, o usurio permite a abertura de portas, possibilitando a obteno de informaes no autorizadas. e) Um dos princpios de Segurana da Informao a Disponibilidade, propriedade que garante que a informao esteja sempre disponvel, no momento em que a mesma seja necessria.
Prof. Marcelo Moreira
67

Frase Final

Motivao a impulso para realizaes de sonhos Edjane Mendes

Prof. Marcelo Moreira

68

11