Introdução À Segurança de Redes PDF

Introduo
Segurana
de Redes
Ivo Peixinho
A RNP Rede Nacional de Ensino
e Pesquisa qualificada como
uma Organizao Social (OS),
sendo ligada ao Ministrio da
Cincia, Tecnologia e Inovao
(MCTI) e responsvel pelo
Programa Interministerial RNP,
que conta com a participao dos
ministrios da Educao (MEC), da
Sade (MS) e da Cultura (MinC).
Pioneira no acesso Internet no
Brasil, a RNP planeja e mantm a
rede Ip, a rede ptica nacional
acadmica de alto desempenho.
Com Pontos de Presena nas
27 unidades da federao, a rede
tem mais de 800 instituies
conectadas. So aproximadamente
3,5 milhes de usurios usufruindo
de uma infraestrutura de redes
avanadas para comunicao,
computao e experimentao,
que contribui para a integrao
entre o sistema de Cincia e
Tecnologia, Educao Superior,
Sade e Cultura.
Ministrio da
Cultura
Ministrio da
Sade
Ministrio da
Educao
Ministrio da
Cincia, Tecnologia
e Inovao
Introduo
Segurana
de Redes
Ivo Peixinho
Introduo
Segurana
de Redes
Ivo Peixinho
Rio de Janeiro
Escola Superior de Redes
2013
Copyright 2013 Rede Nacional de Ensino e Pesquisa RNP
Rua Lauro Mller, 116 sala 1103
22290-906 Rio de Janeiro, RJ
Diretor Geral
Nelson Simes
Diretor de Servios e Solues

Jos Luiz Ribeiro Filho

Coordenao
Luiz Coelho
Edio
Pedro Sangirardi
Reviso Tcnica
Fernando Amatte
Coordenao Acadmica de Segurana e Governana de TI

Edson Kowask Bezerra
Equipe ESR (em ordem alfabtica)

Celia Maciel, Cristiane Oliveira, Derlina Miranda, Elimria Barbosa, Evellyn Feitosa, Felipe
Nascimento, Lourdes Soncin, Luciana Batista, Luiz Carlos Lobato, Renato Duarte, Sergio
Ricardo de Souza e Yve Abel Marcial.
Capa, projeto visual e diagramao

Tecnodesign
Verso
2.2.0
Este material didtico foi elaborado com fins educacionais. Solicitamos que qualquer erro encon-
trado ou dvida com relao ao material ou seu uso seja enviado para a equipe de elaborao de
contedo da Escola Superior de Redes, no e-mail info@esr.rnp.br. A Rede Nacional de Ensino e
Pesquisa e os autores no assumem qualquer responsabilidade por eventuais danos ou perdas, a
pessoas ou bens, originados do uso deste material.
As marcas registradas mencionadas neste material pertencem aos respectivos titulares.
Distribuio
Rua Lauro Mller, 116 sala 1103
22290-906 Rio de Janeiro, RJ
http://esr.rnp.br
info@esr.rnp.br
Dados Internacionais de Catalogao na Publicao (CIP)
P380i Peixinho, Ivo de Carvalho.

Introduo Segurana de Redes / Ivo de Carvalho Peixinho, Fernando Pompeo Amatte.
Rio de Janeiro: RNP/ESR, 2013.
204 p. : il. ; 28 cm.
Bibliografia: p. 183-185.
ISBN 978-85-63630-23-0
1. Redes de Computadores Segurana. 2. Segurana da informao Ameaas,

Vulnerabilidades, Risco. 3. Segurana lgica. 4. Fundamentos de segurana. 5. Poltica
de segurana. I. Amatte, Fernando Pompeo. II. Ttulo
CDD 004.66
Sumrio
A metodologia da ESRxiii
Sobre o curso xiv
A quem se destinaxiv
Convenes utilizadas neste livroxiv
Permisses de usoxv
Sobre os autoresxvi
1. Introduo, histrico e princpios bsicos de segurana

Introduo 1
Exerccio de nivelamento 1 Informao1
Segurana da informao1
Segurana de redes2
Exerccio de fixao 1 Segurana de redes3
Anos 50 e 603
Anos 703
Anos 804
Ano de 1988 6
Ano de 20016
Ano de 20037
Ano de 20097
Segurana no Brasil7
Ano de 20118
iii
Ano de 20128
CSIRTs no Brasil8
Decreto n 3505, de 13 de junho de 20009
DSIC10
Princpios bsicos de segurana10
Exerccio de fixao 2 Princpios bsicos de segurana10
Princpios bsicos de segurana11
Roteiro de Atividades 113
Atividade 1.1 Listas e informaes complementares de segurana13
2. Conceitos de segurana fsica e segurana lgica

Introduo15
Exerccio de nivelamento 1 Conceitos de segurana fsica e segurana lgica15
Segurana fsica15
Segurana externa e de entrada16
Segurana da sala de equipamentos17
Supresso de incndio17
Exerccio de fixao 1 Segurana em permetro19
Segurana dos equipamentos19
Redundncia20
Exerccio de fixao 2 Redundncia25
Segurana no fornecimento de energia25
Salvaguarda (backup)26
Descarte da informao27
Segurana lgica28
Firewall28
Necessidades em um firewall29
Packet filtering (filtro de pacotes)30
Stateless 30
Stateful packet filter 30
Application proxy 30
Deep packet inspection 31
Exerccio de fixao 3 Firewall32
iv
Uma viso a partir do datagrama32
Exemplos de firewalls33
Detectores de intrusos33
IDS Snort34
Fluxo de funcionamento do Snort34
Hids35
Kids36
IPS36
Redes virtuais privadas36
Autenticao, autorizao e auditoria37
Autenticao, autorizao e auditoria37
Atividade 2.1 Segurana fsica e lgica39
3. Panorama atual da rea de segurana

Introduo41
Panorama atual da internet41
Exerccio de nivelamento 1 Panorama atual da rea de segurana42
Acesso em banda larga modem bridge42
Acesso banda larga modem router42
Principais erros43
Ameaas frequentes44
Vrus44
Tipos de vrus45
Worms 46
Cavalo de troia46
Spyware 48
Malware49
Mobile Malware49
Exerccio de fixao 1 Malwares50
Preveno50
Vulnerabilidades50
Estatsticas51
Hacker, cracker e outros personagens52
v
Motivao54
Atividade 3.1 Controles de informtica55
Atividade 3.2 Servios e ameaas55
4. Arquitetura TCP/IP conceitos bsicos

Exerccio de nivelamento 1 Arquitetura TCP/IP57
Introduo57
Famlia de protocolos TCP/IP58
Camada fsica58
Hub (Ethernet)59
Bridge (Ethernet)59
Switch (Ethernet)60
Endereamento fsico61
Camada de rede61
Protocolo IP (Internet Protocol)62
Endereamento IP63
Subnetting (endereamento por sub-rede)64
Protocolos auxiliares (ARP, RARP e ICMP)64
ICMP65
Endereamento dinmico66
Exerccio de fixao 1 Endereamento dinmico66
Roteamento66
Exerccio de fixao 2 Roteamento67
Camada de transporte67
TCP67
Cabealho TCP68
UDP69
Camada de aplicao70
Camada OSI71
Packet Filter (filtro de pacotes)71
Stateful (Filtragem com Estado de Conexo)72
Bridge Statefull 73
Solues de firewall 73
Sniffers74
vi
Atividade 4.1 Sniffers para captura de dados75
Atividade 4.2 Estados de firewall75
5. Arquitetura TCP/IP e segurana

Exerccio de nivelamento 1 Arquitetura TCP/IP e segurana77
Introduo77
Sniffers (farejadores)78
Source routing (roteando pela fonte)79
DoS (Denial of Service)80
Exerccio de fixao 1 Negao de servio81
Spoofing81
E-mail spoofing82
IP spoofing82
SYN flood84
Smurf85
Modelo de ataque fraggle85
Modelo de ataque DRDOS86
Portscan (varredura de portas)87
Distributed Denial of Service (DDoS)88
DDoS (DoS distribudo)90
Exerccio de fixao 2 DDoS 90
Modelo de ataque DDoS em duas camadas90
Modelo de ataque DDoS em trs camadas91
Modelo de ataque DDoS/Worm92
Vulnerabilidades em implementaes especficas92
Ping da morte92
Teardrop92
Land92
Atividade 5.1 Conceito de varreduras95
Atividade 5.2 Simulando ataques com Hping95
Atividade 5.3 Simulando um ataque DoS Land 96
vii
6. Criptografia I Fundamentos
Introduo97
Exerccio de nivelamento 1 Fundamentos de criptografia98
Criptografia algoritmos e chaves98
Tipos de criptografia100
Criptografia simtrica101
Eletronic Code Book 102
Cipher Block Chaining 103
Cipher Feed Back 103
Output Feedback 104
Data Encryption Standard (DES)105
3DES, RC-4, IDEA e AES106
Algoritmo Diffie-Hellman107
Criptografia assimtrica108
Funes de hash109
Exerccio de fixao 1 Criptografia assimtrica110
Assinatura digital110
Certificao digital111
Public Key Infrastructure (PKI)112
Exemplo completo113
Atividade 6.1 Conhecendo mais sobre certificao digital115
Atividade 6.2 Uso de criptografia em e-mails115
Atividade 6.3 Uso de criptografia em arquivos115
Atividade 6.4 Criando um continer seguro 116
7. Criptografia II Aplicaes
Introduo119
Exerccio de nivelamento 1 Criptografia 120
Assinatura digital120
Blind signature (assinatura cega)120
Votao eletrnica121
Dinheiro eletrnico122
PayPal123
viii
Criptografia de servidor (SSL/TLS)124
Criptografia de servidor125
Redes virtuais privadas (VPN)127
Redes virtuais privadas128
Exerccio de fixao 1 Redes Virtuais Privadas (VPNs)128
Segurana na www128
Seleo de um navegador129
Recursos de um navegador129
Tipos de certificados131
Cookies131
Exerccio de fixao 2 Cookies132
Segurana no navegador133
Pagamentos na internet133
Atividade 7.1 Recurso do SSH135
Atividade 7.2 Uso de criptografia em arquivos135
Atividade 7.3 Criptografando arquivos no Linux135
8. Poltica de segurana da informao

Introduo137
Exerccio de nivelamento 1 Polticas de segurana da informao138
Anlise de risco138
Identificao, classificao, valorao e criticidade138
Vulnerabilidades e ameaas140
Risco140
Impacto141
Exerccio de fixao 1 Risco, ameaas e vulnerabilidades141
Metodologias para anlise de risco142
Construindo uma poltica de segurana142
Orientaes da norma ISO 27001142
Norma ISO 27002143
Orientaes do NBSO143
Orientaes do CERT.BR144
Acceptable Use Police (AUP)145
ix
Exemplo de poltica de segurana145
Mensurando145
Calculando146
Valor final147
Atividade 8.1 Elaborao de polticas149
Atividade 8.2 Auditoria em Microsoft Windows149
Atividade 8.3 Aumentando a segurana da sua estao de trabalho149
Atividade 8.4 Calculando o impacto do mau uso da web150
9. Ameaas recentes
Exerccio de nivelamento 1 Ameaas recentes151
Introduo151
Phishing152
Formas atuais de phishing 153
Exerccio de fixao 1 Phishing153
Programa malicioso 154
Link para programa malicioso154
Pgina falsificada de comrcio eletrnico ou internet banking155
E-mail contendo formulrio155
Uso de computador alheio156
Roubo de identidade 156
Golpes em sites de comrcio eletrnico e compras coletivas157
Cuidados ao usar comrcio eletrnico e internet banking157
Proteo antiphishing157
Pharming158
Preveno158
Exerccio de fixao 2 Pharming159
Bot159
Rootkit 159
Tecnologia rootkit em DRM da Sony160
Kernel malware160
Mailbot aka Costrat160
Spear phishing161
x
Pginas contaminadas161
Redes sociais162
Como se proteger163
Exerccio de fixao 3 Redes sociais163
SANS Top 20 Internet Security Attack Targets163
Como se manter atualizado, quando o assunto segurana?164
Atividade 9.1 Conceitos de malware167
Atividade 9.2 Antirootkit167
10. Fundamentos de segurana da informao

Introduo169
Fundamentos170
Conceitos bsicos171
Padres existentes de segurana172
RFC 2196: Site Security Handbook172
RFC 3227173
ISO 27001174
Cobit177
Outras normas, padres e leis178
Famlia 27000178
Sarbanes Oxley (SOX)179
PCI-DSS179
Documentao GSI/DSIC180
Atividade 10.1 Segurana da informao181
Atividade 10.2 Vulnerabilidades181
Atividade 10.3 Descartes181
Bibliografia 183
xi
xii
A Escola Superior de Redes (ESR) a unidade da Rede Nacional de Ensino e Pesquisa (RNP)
responsvel pela disseminao do conhecimento em Tecnologias da Informao e Comunica-
o (TIC). A ESR nasce com a proposta de ser a formadora e disseminadora de competncias
em TIC para o corpo tcnico-administrativo das universidades federais, escolas tcnicas e
unidades federais de pesquisa. Sua misso fundamental realizar a capacitao tcnica do
corpo funcional das organizaes usurias da RNP, para o exerccio de competncias aplic-
veis ao uso eficaz e eficiente das TIC.
A ESR oferece dezenas de cursos distribudos nas reas temticas: Administrao e Projeto
de Redes, Administrao de Sistemas, Segurana, Mdias de Suporte Colaborao Digital e
Governana de TI.
A ESR tambm participa de diversos projetos de interesse pblico, como a elaborao e

execuo de planos de capacitao para formao de multiplicadores para projetos edu-
cacionais como: formao no uso da conferncia web para a Universidade Aberta do Brasil
(UAB), formao do suporte tcnico de laboratrios do Proinfo e criao de um conjunto de
cartilhas sobre redes sem fio para o programa Um Computador por Aluno (UCA).
A metodologia da ESR
A filosofia pedaggica e a metodologia que orientam os cursos da ESR so baseadas na
aprendizagem como construo do conhecimento por meio da resoluo de problemas tpi-
cos da realidade do profissional em formao. Os resultados obtidos nos cursos de natureza
terico-prtica so otimizados, pois o instrutor, auxiliado pelo material didtico, atua no
apenas como expositor de conceitos e informaes, mas principalmente como orientador do
aluno na execuo de atividades contextualizadas nas situaes do cotidiano profissional.
A aprendizagem entendida como a resposta do aluno ao desafio de situaes-problema

semelhantes s encontradas na prtica profissional, que so superadas por meio de anlise,
sntese, julgamento, pensamento crtico e construo de hipteses para a resoluo do pro-
blema, em abordagem orientada ao desenvolvimento de competncias.
Dessa forma, o instrutor tem participao ativa e dialgica como orientador do aluno para as
atividades em laboratrio. At mesmo a apresentao da teoria no incio da sesso de apren-
dizagem no considerada uma simples exposio de conceitos e informaes. O instrutor
busca incentivar a participao dos alunos continuamente.
xiii
As sesses de aprendizagem onde se do a apresentao dos contedos e a realizao das
atividades prticas tm formato presencial e essencialmente prtico, utilizando tcnicas de
estudo dirigido individual, trabalho em equipe e prticas orientadas para o contexto de atua-
o do futuro especialista que se pretende formar.
As sesses de aprendizagem desenvolvem-se em trs etapas, com predominncia de tempo

para as atividades prticas, conforme descrio a seguir:
Primeira etapa: apresentao da teoria e esclarecimento de dvidas (de 60 a 90 minutos).

O instrutor apresenta, de maneira sinttica, os conceitos tericos correspondentes ao tema
da sesso de aprendizagem, com auxlio de slides em formato PowerPoint. O instrutor
levanta questes sobre o contedo dos slides em vez de apenas apresent-los, convidando
a turma reflexo e participao. Isso evita que as apresentaes sejam montonas e que o
aluno se coloque em posio de passividade, o que reduziria a aprendizagem.
Segunda etapa: atividades prticas de aprendizagem (de 120 a 150 minutos).

Esta etapa a essncia dos cursos da ESR. A maioria das atividades dos cursos assncrona e
realizada em duplas de alunos, que acompanham o ritmo do roteiro de atividades proposto
no livro de apoio. Instrutor e monitor circulam entre as duplas para solucionar dvidas e
oferecer explicaes complementares.
Terceira etapa: discusso das atividades realizadas (30 minutos).

O instrutor comenta cada atividade, apresentando uma das solues possveis para resolv-la,
devendo ater-se quelas que geram maior dificuldade e polmica. Os alunos so convidados a
comentar as solues encontradas e o instrutor retoma tpicos que tenham gerado dvidas,
estimulando a participao dos alunos. O instrutor sempre estimula os alunos a encontrarem
solues alternativas s sugeridas por ele e pelos colegas e, caso existam, a coment-las.
Sobre o curso
O curso fornece conhecimentos introdutrios da rea de segurana, atravs da apresentao
dos conceitos bsicos sobre segurana de redes, apoiados por atividades prticas em
laboratrio. Aborda a histria da segurana fsica e lgica, apresenta um panorama atual da
rea (vulnerabilidades, tipos de ataque mais comuns, estatsticas), arquitetura TCP/IP (ende-
reamento, servios TCP/IP, protocolos, DNS, roteamento), criptografia, polticas, padres e
normas de segurana da informao.
A quem se destina
Profissionais de qualquer instncia da rea de TI que queiram adquirir os conhecimentos
bsicos sobre segurana de redes. Como se trata de um curso introdutrio, profissionais de
outras reas com interesse no tema tambm podem participar, desde que possuam como
pr-requisitos conhecimentos bsicos de computao.
Convenes utilizadas neste livro

As seguintes convenes tipogrficas so usadas neste livro:
Itlico
Indica nomes de arquivos e referncias bibliogrficas relacionadas ao longo do texto.
xiv
Largura constante
Indica comandos e suas opes, variveis e atributos, contedo de arquivos e resultado da sada
de comandos. Comandos que sero digitados pelo usurio so grifados em negrito e possuem
o prefixo do ambiente em uso (no Linux normalmente # ou $, enquanto no Windows C:\).
Contedo de slide
Indica o contedo dos slides referentes ao curso apresentados em sala de aula.
Smbolo
Indica referncia complementar disponvel em site ou pgina na internet.
Smbolo
Indica um documento como referncia complementar.
Smbolo
Indica um vdeo como referncia complementar.
Smbolo
Indica um arquivo de adio como referncia complementar.
Smbolo
Indica um aviso ou precauo a ser considerada.
Smbolo
Indica questionamentos que estimulam a reflexo ou apresenta contedo de apoio ao
entendimento do tema em questo.
Smbolo
Indica notas e informaes complementares como dicas, sugestes de leitura adicional ou
mesmo uma observao.
Permisses de uso
Todos os direitos reservados RNP.
Agradecemos sempre citar esta fonte quando incluir parte deste livro em outra obra.
Exemplo de citao: PEIXINHO, Ivo de Carvalho; AMATTE, Fernando Pompeo. Introduo
Segurana de Redes. Rio de Janeiro: Escola Superior de Redes, RNP, 2013.
Comentrios e perguntas
Para enviar comentrios e perguntas sobre esta publicao:
Escola Superior de Redes RNP
Endereo: Av. Lauro Mller 116 sala 1103 Botafogo
Rio de Janeiro RJ 22290-906
E-mail: info@esr.rnp.br
xv
Sobre os autores
Ivo de Carvalho Peixinho Bacharel em Cincia da Computao pela UFBA e Especialista
em Gesto de Segurana da Informao pela UnB. Possui mais de 15 anos de experincia
na rea de Segurana da Informao. Foi Diretor Tcnico na XSite Consultoria e Tecnologia
e Analista de Suporte na Universidade Federal da Bahia. Em 2004 atuou como Analista de
Segurana Snior no CAIS/RNP por dois anos, e atualmente Perito Criminal Federal do
Departamento de Polcia Federal desde 2007, lotado atualmente no Servio de Represso a
Crimes Cibernticos - SRCC/CGPFAZ/DICOR/DPF. professor de ps-graduao nas discipli-
nas de Anlise Forense em Sistemas Unix e Anlise de Malware, e palestrante em diversos
eventos nacionais e internacionais como GTS, Seginfo, CNASI, ICCyber e FIRST.
Fernando Pompeo Amatte tem mais de 20 anos de experincia na rea de segurana da

informao e possui as mais respeitadas certificaes do mercado da segurana, como
CISSP, GCIH e MCSO. Com experincia em provedores de acesso de grande porte, trabalhou
em empresas multinacionais de telecomunicaes e setor financeiro. Atua como consultor
de segurana da informao e como professor nos cursos de ps-graduao de instituies
na regio de Campinas. Pesquisador nas reas de anlise de malware e anlise forense,
tambm perito de informtica para o Tribunal Regional do Trabalho de Campinas.
Edson Kowask Bezerra profissional da rea de segurana da informao e governana h

mais de quinze anos, atuando como auditor lder, pesquisador, gerente de projeto e gerente
tcnico, em inmeros projetos de gesto de riscos, gesto de segurana da informao,
continuidade de negcios, PCI, auditoria e recuperao de desastres em empresas de
grande porte do setor de telecomunicaes, financeiro, energia, indstria e governo. Com
vasta experincia nos temas de segurana e governana, tem atuado tambm como pales-
trante nos principais eventos do Brasil e ainda como instrutor de treinamentos focados em
segurana e governana. professor e coordenador de cursos de ps-graduao na rea de
segurana da informao, gesto integrada, de inovao e tecnologias web. Hoje atua como
Coordenador Acadmico de Segurana e Governana de TI da Escola Superior de Redes.
xvi
1
Introduo, histrico e princpios
bsicos de segurana
objetivos
Apresentar os conceitos bsicos de segurana, seu histrico de evoluo e os princpios

que devem nortear a conduta de um profissional nessa rea; indicar ao aluno fontes de
estudo, treinamento multimdia e listas de discusso sobre o tema.
conceitos
Segurana, listas de discusso de segurana e ameaas digitais.
Introduo
Este captulo uma introduo que apresenta um breve histrico da segurana da informao,
mostrando os marcos que impulsionaram esse desenvolvimento at os dias atuais. Apresenta
tambm os princpios bsicos que devemos exercitar para alcanar as trs caractersticas
fundamentais da segurana:
11 Confidencialidade;
11 Integridade;
11 Disponibilidade.
Captulo 1 - Introduo, histrico e princpios bsicos de segurana

Exerccio de nivelamento 1 e
Informao
O que informao?
Segurana da informao
O que informao? q
11 Ativo que tem valor para a organizao.
11 o bem ativo mais valioso da organizao?
Onde est a informao?
11 Papel.
11 Banco de dados etc.
1
Por que proporcionar segurana para a informao? q
O que segurana da informao?
11 o conjunto de dados, imagens, textos e outras formas de representao usadas

para os valores da instituio, associados ao seu funcionamento e/ou manuteno
das suas vantagens competitivas.
Caractersticas bsicas da segurana da informao:
11 Confidencialidade:
22 A informao acessada somente por pessoas autorizadas?
11 Integridade:
22 H garantia de que a informao acessada no foi alterada?
11 Disponibilidade:
22 A informao est acessvel no momento necessrio?
Ainda de acordo com a norma NBR ISO/IEC 17799:2001, a segurana da informao consiste
na preservao de trs caractersticas bsicas:
11 Confidencialidade: garantia de que a informao seja acessada somente por pessoas

autorizadas.
11 Integridade: certeza de que a informao exata e completa e os mtodos de processa-

mento, seguros.
11 Disponibilidade: garantia de que os usurios autorizados obtenham acesso infor-

mao e aos ativos correspondentes, sempre que necessrio.
O conceito inicial de confidencialidade, integridade e disponibilidade deve ser expandido

para incluir mais alguns termos:
11 Autenticidade: h garantia da identidade dos participantes da comunicao?

Quem gerou a informao mesmo quem ns pensamos ser?
11 Legalidade: a informao ou sua posse est em conformidade com as legislaes institu-

cionais, nacionais e internacionais vigentes? Copiar mdia que contm informao legal?
A posse da informao legal?
11 No repdio: conseguimos a garantia de que um agente no consiga negar uma ao

que criou ou modificou uma informao?
11 Auditoria: existe a possibilidade de rastreamento do histrico dos fatos de um evento

assim como a identificao dos envolvidos?
Segurana de redes
reas da segurana da informao: q
Introduo Segurana de Redes
11 Segurana fsica.
11 Segurana lgica.
11 Segurana de pessoas.
11 Segurana de computadores.
11 Segurana de redes.
11 Segurana de aplicativos etc.
2
Exerccio de fixao 1 e
Segurana de redes
Quais as reas da segurana de rede?
Quais so as trs caractersticas bsicas da segurana da informao?
Anos 50 e 60
1950: surge o primeiro padro de segurana: Transient Electromagnetic Pulse Surveillance q
Technology (Tempest), criado pelo governo dos EUA.
11 Estudo da escuta de sinais eletromagnticos que emanam dos computadores.
11 Vulnerabilidade: obteno de dados por radiao eletromagntica.
1967: criao da fora-tarefa do DoD (Department of Defense o Departamento de

Defesa americano).
11 Realizou estudos sobre potenciais ameaas a computadores, identificou vulnerabi-

lidades, introduziu mtodos de controle de acesso para computadores, sistemas de
rede e informaes.
O DoD o rgo do governo americano que mais contribuiu para o desenvolvimento de

vrios projetos, no s na rea de segurana, mas tambm em outras reas, como, por
exemplo, o prprio projeto que deu origem internet, conhecido como Arpanet.
Em segurana, alm do Security Controls for Computer Systems (SCCS), o DoD contribuiu
para o surgimento do Trusted Computer System Evaluation Criteria (TCSEC), que ficou
conhecido mundialmente como Orange Book (Livro Laranja), referncia mundial para sis-
temas seguros de computao.

1969: surge a Arpanet (futura internet), rede de computadores descentralizada ligando:
11 Stanford Research Institute.
11 University of Utah.
11 University of California (Los Angeles).
11 University of California (Santa Barbara).
Nesse ano surge ainda a primeira verso do Unix, desenvolvido por Ken Thompson nos
Laboratrios Bell. Derivado do Multics, foi chamado primeiramente de Unics;
Brian Kernighan, parodiando, finalmente chamou-o de Unix.
Anos 70
1970: publicao pelo DoD do Security Controls for Computer Systems (SCCS). q
11 SCCS: documento importante na histria da segurana de computadores.
11 Em 1976, deixou de ser confidencial.
3
1970: iniciativas patrocinadas pelo DoD em conjunto com a indstria: q
11 Tiger teams.
11 Estudos sobre segurana e desenvolvimento de sistemas operacionais seguros.
11 Surgiram conceitos de segurana, como:
22 Poltica de segurana.
22 Modelos de segurana.
22 Modelos matemticos de segurana.
Subproduto da guerra fria, o Data Encryption Standard (DES), um algoritmo para cifrar
dados, foi adotado pelo governo dos EUA como mtodo oficial de proteo a dados no con-
fidenciais em computadores das agncias do governo. Foi muito utilizado nas implementa-
es dos sistemas de autenticao Unix, como Linux, FreeBSD, Solaris etc. Hoje o DES no
mais usado, pois se tornou vulnervel com o grande avano do poder computacional, tendo
sido substitudo atualmente pelo MD5 e pelo SHA (algoritmos de hash criptogrfico).
O Computer Fraudand Abuse Act, criado em 1986, proibia o acesso no autorizado a compu-
tadores do governo, prevendo uma pena de cinco mil dlares ou o dobro do valor obtido
pelo acesso, alm de cinco anos de priso. Uma medida importante, porque introduziu a
punio judicial.
O Computer Security Act, criado em 1988, obrigava qualquer computador do governo que
processasse dados confidenciais a ter um plano de segurana para a administrao e uso do
sistema. Alm disso, exigia que todo o pessoal envolvido recebesse treinamento peridico
de segurana. Sua importncia: os rgos governamentais agora eram obrigados a possu-
rem uma poltica de segurana.
1975: Arpanet completamente funcional; o Unix torna-se o sistema operacional oficial. q

1977: adotado o Data Encryption Standard (DES), padro de criptografia que durou 20 anos.
Anos 80
1982: adotado o protocolo TCP/IP como padro da Arpanet. q
1983: lanado o Trusted Computer System Evaluation Criteria (TCSEC):
11 Cognominado Orange Book, bblia do desenvolvimento de sistemas de

computao seguros.
11 Classificao feita em nveis D, C, B e A, na ordem crescente de segurana.

4
Sumary of Orange Book security features
Criterion C1 C2 B1 CMW B2 B3 A1
Identification and Authentication (IAA)
Discretionary Access Control (DAC)
System Architecture (Least Privilege)
Security Testing
Auditing
Object Reuse
Labeling
Label Integrity and Label Export
Multilevel Export
Single-Level Export
Printout Labeling
Mandatory Access Control (MAC)
Sensitivity Labels
Device Labeling
Trusted Path
Covert Channel Analysis
Trusted Facility Management
Configuration Management
Trusted Recovery
Trusted Distribuition
Figura 1.1 Information Labels

Os assuntos
abordados no Authorizations
Orange Book.
1985: primeira vez em que o nome internet foi usado para definir a Arpanet. q
Subprodutos da guerra fria.
1986: Computer Fraud and Abuse Act:
11 Proibia acesso no autorizado a computadores do governo.
11 Pena pecuniria de cinco mil dlares ou o dobro do valor obtido pelo acesso.
11 Pena de cinco anos de priso.
1988: Computer Security Act:
11 Computador do governo que guardasse dados confidenciais deveria ter plano de

segurana para administrao e uso do sistema.
11 Exigia que pessoal envolvido recebesse treinamento peridico sobre segurana.
5
Ano de 1988
O estudante da Universidade de Cornell escreveu um programa capaz de: q
11 Autorreplicar-se e se autopropagar, chamado de worm, pois rastejava pela rede.
11 Explorar vulnerabilidades conhecidas dos servidores:
22 Sendmail.
22 Fingerd.
11 Infectou e indisponibilizou milhares de servidores.
Figura 1.2
Robert T. Morris,
criador do
Morris Worm,
primeiro worm de
computador da
internet.
Em 2 de novembro de 1988, Robert T. Morris, um estudante de ps-graduao da Univer-

sidade de Cornell, escreveu um programa capaz de se autorreplicar e de se autopropagar,
que foi chamado de worm, por sua capacidade de rastejar pela rede. Ele lanou o pro-
grama dentro do MIT, mas logo se deu conta de que o programa estava se replicando e
reinfectando as mquinas numa proporo muito maior do que ele havia imaginado.
Diversos computadores foram afetados, incluindo os de universidades, sites militares e ins-

talaes de pesquisas mdicas. O worm de Morris chamou a ateno sobre a necessidade
w
de proteger os computadores que faziam parte da internet. Robert T. Morris foi condenado
por violao do Computer Fraudand Abuse Act: trs anos de priso, 400 horas de servios
comunitrios e multa de US$ 10.050,00. Saiba mais sobre
o CERT acessando
Uma das consequncias mais importantes foi a criao do Computer Emergency Response o endereo
http://www.cert.org.
Team (CERT), pela Defense Advanced Research Projects Agency (DARPA). O CERT at hoje uma
das entidades mais importantes na coordenao e informao sobre problemas de segurana.
Ano de 2001
11 Worm Code Red. q
11 Explorava uma falha de Buffer Overflow nos servidores web da Microsoft.
11 Correo para o problema havia sado um ms antes.

6
Figura 1.3 Era explorada uma vulnerabilidade conhecida do IIS, servidor web da Microsoft. Estima-se
Infeco pelo worm que tenha infectado cerca de 300 mil computadores por dia.
Code Red.
Ano de 2003
SQL Slammer Worm: q
11 Infectou 75 mil computadores em dez minutos.
11 Causou negao de servio em algumas mquinas, deixando outras muito lentas.
11 Explorava uma falha de Buffer Overflow nos servidores SQL Server da Microsoft.
11 Correo para a falha havia sado seis meses antes (MS02-039).
Ano de 2009
Confiker: q
11 Infectou entre 9 e 15 milhes de mquinas.
11 Utilizava falha em diversas verses do sistema operacional da Microsoft.

11 Tentava descobrir senhas utilizando fora bruta (tentativa e erro).
11 Utilizava vrias tcnicas para infectar mquinas.
11 Varias verses do malware (com possibilidade de atualizao).
11 Pico das infeces em janeiro de 2009.
11 A correo para a falha havia sado em outubro de 2008 (MS08-067).
Segurana no Brasil
1988: The Academic Network at So Paulo (ANSP), via Fapesp, conectou-se com a q
internet em Chicago (Fermi National Laboratory), nos EUA.
1989: o Ministrio da Cincia e Tecnologia criou a Rede Nacional de Ensino e Pesquisa

(RNP http://www.rnp.br), com o objetivo de construir uma infraestrutura de rede
internet nacional de mbito acadmico.
1995: a internet comercial teve incio no Brasil. Na mesma poca foi criado o Comit
Gestor da Internet no Brasil (http://www.cgi.br).
7
O NIC.BR responsvel por registros de domnios e associao de endereos IP. O NIC. BR
Security Office (antigo NBSO, atualmente CERT.BR) responsvel por receber, revisar e res-
ponder a relatos de incidentes de segurana envolvendo a internet brasileira.
O Centro de Atendimento a Incidentes de Segurana (CAIS http://www.rnp.br/cais) atua na

deteco, resoluo e preveno de incidentes de segurana na rede acadmica brasileira,
alm de elaborar, promover e disseminar prticas de segurana em redes.
Atividades do CAIS:
11 Atendimento a incidentes de segurana;
11 Coordenao com grupos de segurana j existentes;
11 Fomento criao de novos grupos de segurana no pas;
11 Disseminao de informaes na rea de segurana em redes;
11 Divulgao de recomendaes e alertas;
11 Testes e recomendao de ferramentas de segurana;
11 Recomendao de polticas para a RNP;
w
11 Recomendao de polticas para os Pontos de Presena (PoPs);
11 Recomendao de polticas para o backbone da RNP.

Conhea o ataque que
ficou conhecido como
Ano de 2011 # OPWEEKPAYMENT
q
part 2, em
Junho de 2011: sites da Presidncia e do governo brasileiro sofreram ataques de http://oglobo.globo.
com/tecnologia:
negao de servio.
Hackers fazem a
11 Grupo chamado LulzSecBrazil assumiu a autoria dos ataques. terceira vtima e tiram
site do Banco do Brasil
11 Mais de dois bilhes de tentativas de acesso em um curto perodo. do ar.
Ano de 2012
11 Janeiro de 2012: operao #OPWEEKPAYMENT (Operao Semana de Pagamento), q
realizada por um grupo de pessoas que se denominam AnonymousBR, causou len-
tido e indisponibilidade em alguns sites de bancos brasileiros.
11 Outubro de 2012: os sites da Caixa Econmica Federal, Banco do Brasil, Nota fiscal
Eletrnica de So Paulo e da Febraban ficaram fora do ar.
CSIRTs no Brasil
11 Gradualmente e com muita relevncia, grupos de Resposta a Incidentes de Segurana q
se organizam e prestam direta ou indiretamente servios aos usurios da internet, seja
atravs de documentos, notificaes de problemas ou mesmo de lista de segurana.
11 No site do CAIS encontramos uma lista dos principais CSIRTs atuantes no Brasil:
22 http://www.rnp.br/cais/csirts.html
O Centro de Atendimento a Incidentes de Segurana da RNP (CAIS) reconhece e apoia alguns

grupos de segurana brasileiros (CSIRTs, do ingls Computer Security Incident Response Teams).
Grupos e seus endereos na internet:
CTIR/GOV
Centro de Tratamento de Incidentes de Segurana de Redes de Computadores da
Administrao Pblica Federal
http://www.ctir.gov.br
8
CCTIR/EB
Centro de Coordenao para Tratamento de Incidentes de Rede do Exrcito
http://stir.citex.eb.mil.br
TRI-UFRGS
Time de Resposta a Incidentes de Segurana da UFRGS
http://www.ufrgs.br/tri/
Cert-RS
Centro de Emergncia em Segurana da Rede Tch
http://www.cert-rs.tche.br/
CEO/Rede Rio
Coordenao de Engenharia Operacional da Rede Rio
http://www.rederio.br/site/node/8
CSIRT PoP-SE
Grupo de Resposta a Incidentes de Segurana do PoP-SE
http://www.csirt.pop-se.rnp.br/
GRC/Unesp
Grupo de Redes de Computadores
http://grc.unesp.br/
GSR/Inpe
Grupo de Segurana de Sistemas e Redes do Inpe
http://www.inpe.br/
Naris
Ncleo de Atendimento e Resposta a Incidentes de Segurana (UFRN)
http://naris.info.ufrn.br/
NOE
Ncleo de Operaes Especiais de Segurana (PoP-RN)
http://www.pop-rn.rnp.br/noe/
Unicamp CSIRT

http://www.security.unicamp.br/
USP CSIRT
http://www.security.usp.br/
Informaes extradas da pgina do CAIS.
Decreto n 3505, de 13 de junho de 2000

Instituiu a poltica de segurana da informao nos rgos e entidades da administrao q
pblica federal.
d
11 Determinou objetivos para a poltica de segurana da informao.
11 Atribuiu as diretrizes da poltica ao Conselho de Defesa Nacional, assessorado pelo

Consulte o Decreto no
3.505, de 13 de junho Comit Gestor da Segurana da Informao.
de 2000 em
11 Incluiu a participao da Agncia Brasileira de Inteligncia (ABIN) no processo de
https://www.planalto.
gov.br. conduo da poltica.
11 Criou o Comit Gestor da Segurana da Informao.
9
DSIC
Departamento de Segurana da Informao e Comunicaes (DSIC): q
11 Ligado ao Gabinete de Segurana Institucional (GSI).
11 Responsvel pelo planejamento e coordenao de segurana da informao na Admi-

nistrao Pblica Federal.
O DSIC coloca disposio uma vasta documentao sobre segurana da informao e

comunicaes. Pode ser acessado em http://dsic.planalto.gov.br/.
Princpios bsicos de segurana

Nada e nenhum tipo de informao mais importante que a vida humana. q
Menor privilgio (least privilege):
11 Princpio fundamental. Define que cada objeto (usurio, administrador, programa

etc.) deve possuir apenas o mnimo de privilgio.
Defesa em profundidade (defense in depth):
11 No se deve confiar em um nico mecanismo de segurana; deve-se sempre utilizar

defesas redundantes.
Gargalo (choke point):
11 Obriga intrusos a usar um canal estreito que pode ser monitorado e controlado.
11 Menor privilgio: por exemplo, ao criar um usurio de correio eletrnico em um sistema

operacional, o administrador deve faz-lo com os menores privilgios possveis, no lhe
permitindo, por exemplo, acesso via shell para o servidor.
11 Defesa em profundidade: ao se conectar a rede de uma instituio internet, por

exemplo, deve-se obrigatoriamente usar um firewall institucional. Ao mesmo tempo,
deve-se ativar o firewall em cada estao de cliente da rede interna.
11 Gargalo: ao se conectar a rede de uma instituio internet, deve-se obrigatoriamente

usar um firewall, o nico canal de conexo, sempre monitorado e controlado.
11 Ponto mais fraco: o ponto mais fraco de uma rede sempre o ser humano. Cuidado com
ataques de engenharia social.
Explique o que menos privilgio e cite um exemplo.
Explique o que defesa em profundidade e cite um exemplo.
10
Falha Segura (fail-secure): q
11 Quando o sistema de segurana falha, deve falhar de tal forma que bloqueie s acessos.
Falha Protegida (fail-safe):
11 Quando o sistema de segurana falha, deve falhar de tal forma que libere os acessos.
Participao universal (universal participation):
11 O sistema de segurana deve envolver todos os objetos (pessoas).
Diversidade de defesa (diversity of defense):
11 No um princpio geral. Afirma que o uso de sistemas diferentes torna o sistema

(como um todo) mais seguro.
11 Falha Segura: por exemplo, em uma configurao de Falha Segura, caso ocorra uma
falha eltrica, as portas ficaro bloqueadas por padro.
11 Falha Protegida: em uma configurao de Falha Protegida, por exemplo, caso ocorra
uma falha eltrica, as portas ficaro abertas por padro.
Para pensar
A maioria dos termos que utilizamos em segurana da informao foi herdada

da lngua inglesa. Assim, algumas tradues no ficam muito claras na lngua
portuguesa. o exemplo das palavras safe e secure. Em uma traduo livre,
poderamos dizer que as duas palavras significam segurana. Porm, safe est
relacionada segurana no intuito de proteo de pessoas. E security refere-se a
medidas contra coisas inesperadas ou perigosas.
11 Participao universal: por exemplo, dentro de uma instituio, quais funcionrios esto
submetidos poltica de segurana? Todos, pois a participao na poltica universal.
11 Diversidade de defesa: esse princpio polmico. Exemplo: para vrios servidores pode-
ramos usar vrios sistemas operacionais, o que aumentaria enormemente o custo admi-

nistrativo. Mas, para os mesmos servidores, importante que todos tenham diferentes
senhas de root. Outro exemplo seria ter um servidor de antivrus institucional diferente
do programa de antivrus nas estaes dos clientes da rede.
11 Simplicidade: a segurana habita em meio simplicidade. As coisas simples so fceis de

entender. O entendimento fundamental para conhecer o nvel de segurana. Exemplo:
o programa servidor de correio sendmail complexo; isso talvez seja a principal razo
de ele ter se tornado to inseguro. Outros programas fceis de usar e programar, como o
servidor de correio postfix, so considerados muito mais seguros (vale notar que existem
diversos outros motivos para um programa/software/sistema ser considerado inseguro.)
11
12
Atividade 1.1 Listas e informaes complementares de segurana
1. Visite e assine listas nos sites do CAIS, da Mdulo e da Microsoft no Brasil:
11 http://www.rnp.br/cais/listas.php
11 http://www.modulo.com.br/comunidade/newsletter
11 http://www.microsoft.com/brasil/security/alertas.mspx
2. Visite e assine as listas de algumas das instituies mais respeitadas sobre segurana
no mundo:
11 http://www.securityfocus.com/archive/
11 http://www.sans.org/newsletters/
Voc capaz de dizer em poucas palavras a diferena entre as listas assinadas, principal-
mente no foco de abordagem?
3. O Cert.br disponibiliza uma cartilha com informaes sobre segurana na internet atravs do
link cartilha.cert.br. Acesse o fascculo Segurana na internet. Voc consegue listar quais so
os riscos a que estamos expostos com o uso da internet, e como podemos nos prevenir?
4. Veja os vdeos educativos sobre segurana do NIC.BR em http://antispam.br/videos/,

pesquise na internet e indique um exemplo relevante de cada categoria:
11 Vrus;
w 11 Worms;
Saiba mais 11 Cavalos de troia (trojan horses);
11 Spyware;
Acesse a Recomen-
dao para a adoo 11 Bot;
de gerncia de porta
25 em http://www. 11 Engenharia social;
antispam.br/ e conhea
11 Phishing.
as aes que os rgos
Captulo 1 - Roteiro de Atividades
de segurana da infor-
5. O site Antispam.br apresenta um conjunto de polticas e padres chamados de
mao no Brasil esto
tomando para diminuir Gerncia de Porta 25, que podem ser utilizados em redes de usurios finais ou de
a quantidade de spams carter residencial para:
que trafegam diaria-
mente na internet. 11 Mitigar o abuso de proxies abertos e mquinas infectadas para o envio de spam;
11 Aumentar a rastreabilidade de fraudadores e spammers.
13
14
2
Conceitos de segurana fsica e
segurana lgica
objetivos
Apresentar os conceitos bsicos de segurana fsica, segurana lgica e suas diferenas;

as principais tecnologias disponveis, sua aplicao, e os nveis de segurana fsica, de
acordo com a norma NBR ISO/IEC 27001:2005.
conceitos
Segurana fsica, solues open source e nveis de segurana.
Introduo
A rea de segurana de redes parte de uma rea maior chamada de segurana da informao.
Para proteger a informao, nossa preocupao deve comear no prprio ambiente fsico que
compe a instalao onde a informao se localiza. Depois, partiremos para o ambiente com-
putacional, onde a proteo se dar logicamente por meio de programas (softwares) e proto-
colos. Neste captulo, trataremos especificamente de segurana em sistemas computacionais.
Conceitos de segurana fsica e segurana lgica
Captulo 2 - Conceitos de segurana fsica e segurana lgica

O que segurana fsica? Cite um exemplo.
Segurana fsica
11 Segurana externa e de entrada. q
11 Segurana da sala de equipamentos.
11 Segurana dos equipamentos.
11 Redundncia.
11 Segurana no fornecimento de energia.
11 Salvaguarda (backup).
11 Descarte da informao.
15
A segurana fsica abrange todo o ambiente onde os sistemas de informao esto insta-
lados, incluindo o prdio, portas de acesso, trancas, pisos, salas e os prprios computa-
dores. Incorpora as reas da engenharia civil e eltrica.
A norma NBR ISO/IEC 17799:2001 divide a rea da segurana fsica da seguinte forma:
reas de segurana
1. Permetro da segurana fsica.
2. Controles de entrada fsica.
3. Segurana em escritrios, salas e instalaes de processamento.
4. Trabalho em reas de segurana.
5. Isolamento das reas de expedio e carga.
Segurana dos equipamentos
1. Instalao e proteo de equipamentos.
2. Fornecimento de energia.
3. Segurana do cabeamento.
4. Manuteno de equipamentos.
5. Segurana de equipamentos fora das instalaes.
6. Reutilizao e alienao segura de equipamentos.
Controles gerais
1. Poltica de mesa limpa e tela limpa.
2. Remoo de propriedade.
Segurana externa e de entrada

Consiste na proteo da instalao onde os equipamentos esto localizados contra a q
entrada de pessoas no autorizadas.
Atua tambm na preveno de catstrofes como:
11 Enchentes.
11 Raios.
11 Incndios etc.
Mecanismos de controle de acesso fsico nas entradas e sadas como:
11 Travas.
11 Alarmes.
11 Grades.
11 Sistemas de vigilncia etc.
A localizao do prdio importante quando se trata de enchentes ou raios. Em locais

sujeitos a enchentes, a sala de computadores deve ficar nos andares superiores. Em reas
abertas ou sujeitas a queda de raios, recomendada a utilizao de um para-raios.
recomendvel utilizar, sempre que possvel, barreiras fsicas, como muros externos.
16
O controle de acesso pode ser realizado por um vigilante humano ou por um sistema de
vigilncia, ou at pelos dois simultaneamente. A permisso de acesso de todos os visitantes
deve ser verificada e os horrios de entrada e sada devem ser registrados para auditoria.
O controle de acesso deve restringir os setores aos quais o funcionrio ou visitante deve ter
acesso. Essa restrio deve, se possvel, ser reforada por meio de portas com senha, crach
ou carto de acesso.
Controle de acesso: gerencia e documenta todos os acessos em ambientes, salas, q

andares e reas especficas.
Pode ser interligado a vrios outros sistemas, como:
11 Sistema de alarme.
11 Circuito Fechado de Televiso (CFTV).
11 Carto de identificao (ID cards).
11 Sistemas biomtricos de identificao atravs do reconhecimento de mo, impresso

digital, face ou ris.
Equipamentos como cmeras de vdeo podem proporcionar proteo adicional para con-
trolar a entrada e a sada de pessoas. Nesses casos, as mdias utilizadas devem ser arma-
zenadas de forma segura, de modo a permitir auditoria posterior. Graas a softwares com
tecnologia de ponta, os cartes de identificao com o tamanho de cartes de crdito com
ou sem foto podem ser produzidos de maneira rpida e fcil, usando um simples PC.
CFTV Os modernos circuitos de CFTV destacam-se em conjunto com os sistemas de alarme,

Sistema de televiso alm da possibilidade de fornecimento de informaes valiosas para interveno em
que distribui sinais casos de emergncia.
provenientes de
cmeras localizadas em
locais especficos, para Segurana da sala de equipamentos
q
um ou mais pontos
de visualizao. Sala de equipamentos:
11 Local fsico onde os servidores e equipamentos de rede esto localizados.
11 Acesso com controle fsico especfico e somente por pessoal autorizado.
11 Todo acesso deve ser registrado atravs de algum mecanismo de entrada.
11 O contedo da sala no deve ser visvel externamente.

Essa sala deve ser protegida contra:
11 Vandalismo;
11 Fogo;
11 Interferncias eletromagnticas;
11 Fumaa;
11 Gases corrosivos;
11 Poeira etc.
Supresso de incndio
Dependendo do tipo de instalao, diferentes mtodos de supresso de incndio podem q
e devem ser adotados. Cada opo tem seus prs e contras. Entre as opes temos:
11 Extintores de incndio tradicionais: para cada tipo de fogo, existe um tipo de extintor
adequado a ser utilizado.
17
11 Sprinklers: q
22 Canos com gua no teto, ativados por temperatura.
11 Gases:
22 Produtos que interferem quimicamente no processo de combusto.
22 Exemplo: FM-200, NAF-S-III, CEA-410 etc.
Alguns fabricantes fornecem solues de sala-cofre, como mostra a Figura 2.1. Essas salas,
em geral, possuem revestimentos especiais e controle de acesso para proteo contra os
problemas listados anteriormente.
Algumas recomendaes bsicas para tornar o ambiente da sala de equipamentos mais Figura 2.1
seguro, com pouco investimento: Exemplo de
sala-cofre
11 A sala deve preferencialmente ficar nos andares mais altos; (Fonte: Aceco TI:
http://www.aceco.
11 Deve-se evitar que a sala esteja no caminho das pessoas; escolher preferencialmente com.br).
uma sala de canto;
11 Ter preferencialmente paredes de concreto;
11 Ter preferencialmente portas de madeira de lei ou de ferro;
11 Ter a porta fechada permanentemente, com tranca ou com chave;
11 Ter extintor contra incndio;
11 Ter ar-condicionado que controle umidade e temperatura;
11 Ter proteo contra raios solares nas janelas;
11 Ter as janelas e as portas bem protegidas contra arrombamentos;
11 Ter carpete ou piso elevado prova de fogo e antiesttico;
11 No ter material combustvel como madeira (mesas, cadeiras e armrios) e papel (livros,
arquivo morto etc.);
11 A sala no deve ser usada para o trabalho de qualquer funcionrio. O funcionrio s deve
estar na sala quando houver necessidade de interveno.
11 proibido entrar com qualquer material lquido (gua ou caf) ou com comida dentro da sala;
11 Incentivar o uso de acesso remoto para os servidores na sala (sempre que possvel com
protocolos seguros, como o SSH);
11 Verificar a possibilidade de uso de cabeamento areo;
11 No nvel fsico: formao de permetros e aplicao de trs princpios bsicos de segurana:

defesa em profundidade, gargalo e diversidade de defesa.
18
1. Terreno: muro, controle de acesso: guarita, seguranas
2. Prdio: Paredes, controle de acesso, recepo, seguranas, catracas
3. Callcenter: 2 portas de vidro, controle de acesso: crach + biometria
4. Datacenter: 2 portas de ao, controle de acesso: crach + biometria
5. racks com chaves, cameras 6. Sala cofre
Figura 2.2
Permetros de
segurana.
Gargalos (choke point):
11 Guarita;
11 Catraca;
11 Porta de vidro;
11 Porta de ao;
11 Porta do rack;
11 Porta da sala-cofre.
Segurana em permetro
Como feita a segurana em permetro na sua organizao?
Segurana dos equipamentos

11 Os equipamentos de rede e servidores devem estar em uma sala segura. q
11 Os equipamentos devem ser protegidos contra acessos indevidos no seu console,
atravs de perifricos como teclado, mouse e monitor.
11 Travas para disquetes ou CDs so recomendadas.
11 Os equipamentos devem ser protegidos contra acessos indevidos ao interior da mquina.
19
Figura 2.3
Tranca para
gabinete de
computador.
Figura 2.4
Gabinete de
computador com
porta e chave.
Boas dicas que aumentam a segurana:
11 Colocar senha na BIOS para impedir que terceiros tenham acesso e mudem a configurao
de inicializao;
11 Configurao de inicializao apenas pelo disco rgido, para impedir acessos por
disquetes ou CD-ROMs;
11 Proteger o console com senha;
11 No dar acesso de superusurio (root ou administrador) via console;
11 Usar trava na traseira do gabinete: cadeado, etiqueta de papel e trava plstica.
Redundncia
11 O problema mais comum de segurana a falha de hardware. q
11 O mecanismo mais importante para tolerar falhas a redundncia.
11 A redundncia cria alta disponibilidade, mantendo o funcionamento em caso de

falhas de componentes ou sobrecargas:
22 Redundncia de interface de rede.
22 Redundncia de CPUs.
22 Redundncia de discos (Raid).
22 Redundncia de fontes de alimentao interna.
22 Redundncia de servidores etc.
20
Rede pblica
Switch 1 Switch 2
Ethernet
RS-232
Servidor 1 Servidor 2
Figura 2.5 UPS 1 UPS 2

Redundncia:
importante contra
falhas. RAID/Storage compartilhado
Foram desenvolvidas mtricas para entender e antecipar as falhas:
11 Mean Time Between Failures (MTBF);
11 Mean Time To Repair (MTTR).
Tempo mdio entre falhas (MTBF) e tempo mdio de reparo (MTTR) so mtricas que devem
ser usadas principalmente no perodo de aquisio dos equipamentos. Devem ser escolhidos
perifricos que tenham o maior MTBF. Atualmente discos rgidos SATA possuem 1,2 milho de
horas de MTBF (137 anos).
Devem ser escolhidas as empresas fornecedoras que tenham o menor MTTR. Um valor
tpico de MTTR de 4 horas on-site (garantia de atendimento).
11 Raid a sigla de Redundant Array of Inexpensive (Independent) Disks, conjunto q

redundante de discos independentes ou de baixo custo.

11 Implementado por:
22 Controladora fsica (hardware).
22 Atravs do Sistema Operacional (software).
11 Redundant: dados redundantes em mltiplos discos fornecem tolerncia a falhas.
11 Array: conjunto de mltiplos discos acessados em paralelo do vazo maior

(gravao e leitura de dados).
21
Host Computer
Host Computer RAID Controller
Host Based Array Controller Based Array
Raid uma sigla que significa Redundant Array of Independent Disks, ou seja, conjunto Figura 2.6
redundante de discos independentes. A ideia por trs do Raid fornecer um recurso barato Reduntant Array
of Independente
de disponibilidade em discos rgidos. Os discos rgidos, por terem componentes mecnicos, Disks (Raid).
so altamente sujeitos a falha; alm disso, uma falha fatalmente causa perda de dados.
O Raid hoje se tornou um padro quando se fala de redundncia de discos.
O Raid pode ser implementado atravs de uma controladora fsica (hardware) ou atravs do
Sistema Operacional (software). A figura anterior mostra a diferena bsica entre as duas
implementaes. No caso do hardware, o Sistema Operacional desconhece a existncia
de uma implementao Raid da controladora e visualiza o disco como se fosse um disco
comum. Apesar de mais caro, o Raid via hardware tem maior desempenho, uma vez que usa
um processador separado para fazer a redundncia.
Toda a tecnologia Raid baseia-se em uma publicao de 1988 da Universidade de Berkeley,

intitulada A Case for Redundant Arrays of Inexpensive Disks.
22
RAID 1 Host
Controladora RAID
Congurada para faixa de 4K
Stripe 0 Mirror 0
Duas gravaes
de 4k separadas
(uma para cada driver) Stripe 1 Mirror 0
Data Drive 0 Mirror 0 Data Drive 1 Mirror 1
RAID 5 Host
Controladora RAID
Congurada para faixa de 4K
ECC n-n
Uma gravao Stripe 0 Stripe 1 Stripe 2 ECC 0-2
de 20k Stripe 4 Stripe 5 ECC 3-5 Stripe 3
Uma gravao
Stripe 8 ECC 6-8 Stripe 6 Stripe 7
de 80k
ECC 9-11 Stripe 9 Stripe 10 Stripe 11
Duas gravaes Stripe 12 Stripe 13 Stripe 14 ECC 12-14
de 4k separadas
Stripe 16 Stripe 17 ECC 15-17 Stripe 15
Stripe 20 ECC 18-20 Stripe 18 Stripe 19
Figura 2.7
O Raid em detalhes. Drive-0 Drive-1 Drive-3 Drive-4

Raid 0
Os dados so distribudos atravs dos discos, mtodo conhecido como data striping, sem
gerar paridade ou redundncia. A gravao e a leitura dos dados feita paralelamente, uma
vez que cada disco possui a sua controladora. Com isso, h grande ganho de performance;
porm, por no haver redundncia alguma, se um dos discos falhar, os dados so perdidos.
Raid 0 utilizado quando uma mxima performance mais importante do que possveis
perdas de dados.
Raid 1
Os discos da matriz so divididos em dois grupos. Na escrita, os dados so gravados igual-

mente nos dois grupos. Na leitura, os dados podem ser lidos de qualquer um dos grupos.
Normalmente, ela feita alternando-se os discos, processo conhecido por round robin,
mas pode haver um disco preferencial para leitura, no caso de haver um disco mais rpido
que outro. No h gerao de paridade, mas sim uma redundncia completa dos dados.
23
Esse mtodo tem se tornado popular pela sua simplicidade e praticidade em caso de falha
de um dos discos. Porm, possui as desvantagens de utilizar apenas metade da capacidade
total de discos, alm de no trazer nenhum aumento de performance.
Raid 5
Esse nvel de Raid tambm utiliza o conceito de data striping, mas acrescenta uma forma
de obter redundncia dos dados atravs do gerador de paridade. Para cada escrita, gerada
uma paridade calculada pela operao dos bits gravados. A paridade fica espalhada pelos
trs discos, ou seja, a cada gravao ela gravada em um disco diferente. So necessrios,
no mnimo, trs discos para sua implementao, sendo o espao desperdiado do conjunto
devido ao armazenamento da paridade, equivalente ao espao de um disco. possvel, com
esse esquema, reconstituir os dados de um disco perdido a partir dos outros e da paridade.
Caso mais de um disco falhe ao mesmo tempo, os dados no podero ser recuperados.
um mtodo muito empregado nos storages atuais, porque alia o aumento de performance
segurana oferecida pela redundncia, com timo aproveitamento de recursos.
Existem outros tipos de Raid com combinaes mais arrojadas:
Raid 6
Por ser ainda um padro relativamente novo, no suportado por todos os modelos contro-
ladores. Necessita de no mnimo quatro HDs e parecido com o Raid 5, com a diferena de
usar o dobro de bits de paridade, garantindo a integridade dos dados at no caso dos 2 HDs
falharem ao mesmo tempo. Usando 10 HDs de 500 GB cada um em Raid 6: um total de 5 Tera
no volume, com parte til de 4 Tera de dados e 1 Tera dedicados paridade.
Raid 0 (zero) + 1
uma combinao dos nveis 0 (Striping) e 1 (Mirroring), onde os dados so divididos entre os
discos para melhorar o rendimento, utilizando outros discos para duplicar as informaes.
Assim, possvel utilizar o bom rendimento do nvel 0 com a redundncia do nvel 1. No
entanto, necessrio o mnimo de 4 discos para montar um Raid desse tipo. Tais caracters-
ticas fazem do Raid 0 + 1 o mais rpido e seguro, porm o mais caro de ser implantado.
Se um dos discos falhar, o sistema vira um Raid 0.
Raid 1+0 (ou 10)
Exige o mnimo de quatro discos rgidos. Cada par ser espelhado, garantindo redundncia,
e os pares sero distribudos, melhorando o desempenho. At metade dos discos pode
falhar simultaneamente, sem colocar o conjunto a perder, desde que no falhem os dois
discos de um espelho qualquer razo pela qual so usados discos de lotes diferentes de
cada lado do espelho. o nvel recomendado para bases de dados, por ser o mais seguro
e dos mais velozes, assim como qualquer outro uso onde a necessidade de economia no se
sobreponha segurana e desempenho.
Raid 50
um arranjo hbrido que usa as tcnicas de Raid com paridade em conjuno com a seg-
mentao de dados. Um arranjo Raid 50 tem as informaes segmentadas atravs de dois
ou mais arranjos; em outras palavras, podemos compor um Raid 50 colocando dois ou mais
volumes Raid 5 em Striping (Raid 0).
24
Quantidade Tolerncia
Tipo Volume de dados (teis)
mnima de discos falha
Raid 0 2 (Discos x Tamanho) 0 (nenhuma)
Raid 1 2 (1 x Tamanho) n-1 discos
Tabela 2.1 Raid 5 3 (Discos x Tamanho) (1 x Tamanho) 1 disco

Comparativo dos
Raids 0, 1, 5 e 6. Raid 6 4 (Discos x Tamanho) (2 x Tamanho) 2 discos
w Note que, sempre que pensamos em Raid, estamos pensando em disponibilidade das
informaes e no no custo direto dos discos.
Veja o tutorial sobre o
Raid: http://www.acnc.
com/04_01_00.html.
Redundncia
Explique o que redundncia.
O que Raid 5?
Segurana no fornecimento de energia

A disponibilidade da informao armazenada depende da operao contnua dos equi- q
pamentos. Para garantir o suprimento de energia eltrica necessrio:
11 Eliminar a variao da voltagem (estabilizao).
11 Proporcionar ausncia de interrupo da energia eltrica (nobreak).
11 Proporcionar aterramento eltrico perfeito.
Figura 2.8
Nobreak de grande
porte.
25
Figura 2.9
Estabilizadores
de voltagem
domsticos e
institucionais.
Os computadores so sensveis s variaes da voltagem da energia eltrica e, por isso,

recomendado o uso de um estabilizador.
O nobreak ou Uninterruptible Power Supply (UPS) garante o fornecimento de energia el-

trica, mesmo em caso de falta, porque possui um banco de baterias. Ele estabiliza a energia
eltrica e possui tempo mximo de fornecimento de energia, de minutos a horas.
O bom nobreak deve ter trs caractersticas:
11 On-line (quando a energia eltrica cai, a carga no percebe nenhuma variao);
11 Senoidal (a carga recebe uma senoide pura de 60 hertz, sem rudos);
11 Capacidade de desligar as mquinas ligadas ao nobreak.
O banco de baterias do nobreak exala gases txicos e, por isso, no deve estar na mesma
sala dos computadores onde os funcionrios trabalham.
11 O gerador usa fonte de energia alternativa, como leo diesel ou gasolina. q

11 O gerador usado em conjunto com o nobreak para garantir o fornecimento
ininterrupto de energia eltrica por horas ou por dias.
Figura 2.10
Gerador.
No gerador, a energia da combusto transformada em energia mecnica; o alternador

transforma energia mecnica em energia eltrica.
O gerador muito barulhento. Por isso, costuma ser colocado longe da sala de com-
putadores e, s vezes, fora do prdio.
Salvaguarda (backup)
11 o ltimo recurso no caso de perda de informao. q
11 O Plano de Continuidade de Negcios (PCN) prev o uso de mdias de backup para a
recuperao de desastres.
11 Observar uso de compresso e criptografia no programa.
11 Item importante do PCN: backup off-site.
11 Mdias mais usadas: fitas, HD, CD e DVD.
26
Figura 2.11
Cofre para
armazenamento
de mdias.
11 Fitas: possuem baixo custo e alta capacidade de armazenamento, chegando atualmente

at a 600 GBytes em uma nica fita;
11 Mdias: devem ser guardadas em cofre e protegidas contra calor, umidade, roubo,
enchentes etc;
11 Backup off-site: consiste em guardar as mdias de backup fora do local onde ficam os dados.
Descarte da informao
11 Documentos com informaes confidenciais requerem descarte seguro, impossibili- q
tando qualquer recuperao das informaes.
11 Principais mdias de descarte: papel, fitas e discos rgidos.
11 A instituio deve ter uma poltica de descarte de papel, de fitas e de discos rgidos.
11 Documentos em papel devem ser fragmentados no mnimo por uma fragmentadora

de corte transverso.
11 As mdias magnticas devem ser destrudas.
Figura 2.12
Fragmentador de
papel e mdias.
Documentos que requerem descarte seguro: documentos em papel, fotocpias, impres-

ses ou qualquer documento que contenha informao classificada como confidencial,
como cheques, microfilmes, gravaes de voz e imagem, papel-carbono, relatrios, fitas de
impresso descartveis, fitas magnticas, disquetes, HDs, CD-ROMS, listagem de pro-
gramas, memrias no volteis (pen drives, memory sticks, memory keys, smart cards etc.),
dados de testes e documentao de sistemas.
27
O padro internacional DIN 32757 determina o tamanho mximo das tiras ou partculas q
e os classifica em cinco nveis:
11 1: largura mxima de tiras de 12 mm.
11 2: largura mxima de tiras de 6 mm.
11 3: largura mxima de tiras de 2 mm ou fragmento mximo de 4 mm x 80 mm.
11 4: fragmento mximo de 2 mm x 15 mm = 30 mm2.
11 5: fragmento mximo de 4 mm x 80 mm = 10,4 mm2.
Alguns procedimentos devem ser seguidos a fim de garantir a confidencialidade das

informaes: guardar documentos em armrios ou gavetas com chave, trancar gavetas e
armrios, ativar proteo de tela com bloqueio de senha, apagar quadros e remover folhas,
anotaes e rascunhos da sala, retirar cpias da impressora, imprimir documentos com
a opo de impresso segura, utilizar cabo de segurana para notebooks e estar atento a
qualquer situao que possa ocasionar o extravio de informaes sigilosas.
Segurana lgica
Firewall. q
11 Packet filtering.
11 Stateful packet filter.
11 Application proxy.
11 Deep packet inspection.
Detector de intruso.
11 IDS Snort.
11 IDS Tripwire.
Rede virtual privada.
Autenticao, autorizao e auditoria.
A segurana lgica compreende os mecanismos de proteo baseados em software. Existe

uma infinidade de mecanismos de segurana lgica, como senhas, controle de acesso, crip-
tografia, firewalls, sistemas de deteco de intruso, redes virtuais privadas e muitos outros.
Neste Captulo, ser dada uma introduo a alguns desses mecanismos.
Firewall
11 Parede corta-fogo, que protege a rede interna contra os perigos da internet. q
11 Exemplo do princpio do choke-point (gargalo).
Serve a propsitos especficos:

11 Restringe a entrada a um nico ponto controlado.
11 Previne que invasores cheguem perto de suas defesas mais internas.
11 Restringe a sada a um nico ponto controlado.
28
Roteador
200.200.200.201
Internet
Servidor de arquivos
192.168.1.1
Rede Local 192.168.1.0/24 DMZ 10.0.0.0/24
Firewall
eth0 200.200.200.202
eth1 10.0.0.254
eth2 192.168.1.254
Servidor web Servidor de email

10.0.0.1 10.0.0.2
Figura 2.13 Regra de ouro da segurana: a instituio s deve ter uma porta de entrada ou de sada para
Como funciona a internet, e essa porta deve estar diretamente conectada ao firewall, que uma soluo de
o firewall.
segurana. Os componentes do firewall so:
11 Filtros de pacotes;
11 Proxies;
11 NAT;
11 Redirecionamento de portas.
O firewall popular do Linux o netfilter, sendo conhecido pelo nome de sua interface,
o Iptables.
Necessidades em um firewall

Capacidade para lidar com os desafios de gerncia e controle de trfego de rede, como: q
11 Tratamento de TCP RFC 793.
11 Construindo regras Stateful.
11 Tratando pacotes UDP RFC 768.
11 Tratamento de ICMP RFC 792.
11 Ataques DOS de flood de pacotes.
11 Aplicaes P2P.
11 Jogos na rede.
11 Nat 1:1.
11 Nat N:1.
11 Nat N:N.
29
Packet filtering (filtro de pacotes)
Filtro de pacotes esttico: q
11 Tecnologia mais simples, que analisa individualmente pacotes que chegam e passam
do nvel de enlace para o nvel de rede.
11 Evita ataques mais sofisticados, como IP Spoofing, pacotes truncados ou

flooding de pacotes.
11 Regras de filtragem mais difceis de configurar.
11 Limitado, no filtra adequadamente protocolos que abrem portas dinamicamente.
11 Permite ataque s vulnerabilidades de protocolos e servios no nvel de aplicao.
Exemplo: Iptables liberando acesso a um servidor web interno:
-A FORWARD -p tcp -m tcp -d 200.200.200.200 -i ppp0 --dport 80 -j ACCEPT
-A FORWARD -p tcp -m tcp -s 200.200.200.200 -o ppp0 --sport 80 -j ACCEPT
Stateless
Filtro arrojado de pacotes: q
11 Tecnologia mais simples, que analisa individualmente pacotes que chegam e passam
do nvel de enlace para o nvel de rede, mas tambm verifica algum detalhe, como a
interpretao do flag SYN de incio de conexo.
11 Possui todas as capacidades de um filtro de pacotes.
11 Foi uma tecnologia de transio entre o conceito de Packet Filter e a tecnologia Stateful.
11 No Linux, teve sua poca de utilizao atravs do Ipchains.
Stateful packet filter

11 O filtro de pacotes com estado usa conjunto de regras de filtragem e informaes q
de estado das conexes.
11 A primeira filtragem ocorre com o primeiro pacote (SYN), depois o SPF cria uma
entrada para essa conexo (sesso) na tabela de estados.
11 Fornece maior desempenho.
11 Configurao mais simples.
11 Guardam na memria o estado de uma conexo.
Atua como um porteiro: as pessoas que saem so identificadas e somente elas podem
voltar. Essa mesma ideia aplicada aos pacotes. Exemplo: Iptables liberando acesso a um
servidor web interno:
11 -A FORWARD -p tcp -m tcp -m state -d 200.200.200.200 -i ppp0 --dport 80 --state NEW -j ACCEPT
11 -A FORWARD -p tcp -m tcp -m state -s 200.200.200.200 -o ppp0 --sport 80 --state ESTABLISHED,

RELATED -j ACCEPT
Application proxy
11 O proxy de aplicao permite anlise e filtragem at a camada de aplicao. q
11 Controla toda a comunicao de um servio entre as mquinas internas e externas.
30
11 Necessita de duas conexes: cliente proxy, proxy servidor remoto. q
11 Extranet: cliente externo proxy interno, proxy interno servidor interno.
11 No h comunicao entre as mquinas internas e os servidores remotos.
11 Pode agregar outros servios.
Proxy
Exemplo de topologia com proxy nico
Proxy
Rede
Internet
interna
Firewall
Figura 2.14 Permite controle total da comunicao, impedindo os ataques que tentam explorar, por
Proxy de aplicao. exemplo, vulnerabilidades nas aplicaes dentro dos servidores. Como exemplo, um packet
filtering firewall permitiria a passagem de pacotes na porta 80 (geralmente protocolo HTTP),
mesmo que ningum os tivesse requisitado; um stateful inspection firewall permitiria a
passagem do protocolo HTTP para o servidor web da empresa, porque est de acordo com as
regras definidas; somente o application proxy firewall bloquearia uma sequncia especial de
caracteres misturada nas informaes HTTP que fazem travar a aplicao dentro do servidor.
Squid o proxy popular Linux de navegao na internet, que agrega servio de cache e
de autenticao. O servio de cache estatisticamente fornece economia de 30% de uso da
banda do link de internet. O Squid pode ser usado em conjunto com o dansguardian e o
Blacklist servio de blacklist, fornecendo administrao robusta de bloqueio de pginas.
Lista de e-mails, dom-
nios ou endereos IP
Deep packet inspection
q
reconhecidos como
fontes de spam.
11 No conceito de inspeo profunda, toda a informao verificada e no somente
os cabealhos.
11 Verifica se o protocolo correto est passando pela porta correta.
11 Examina cada bit e byte que cruza o firewall, filtrando mais de 95% dos ataques.
11 Integra vrias tecnologias:
22 Gateway antivrus.
22 Gateway antispyware.
22 Gateway antispam.
22 Gateway antiphishing.
22 Servio de preveno de intrusos (IPS).
22 Servio de deteco de intrusos (IDS).
22 Servios IPsec VPN.
31
Alguns fabricantes:
11 SonicWall;
11 Cisco;
11 Juniper.
Firewall
Justifique a necessidade de um firewall para a sua organizao.
O que um proxy de aplicao?
Uma viso a partir do datagrama

Transporte
Endereamento IP rea de Dados (MSS)
TCP/UDO/ICMP*
20 bytes 20 bytes 1460 bytes
Packet Filter - Trata de 20 a 24 bytes
StateLess - Trata um pouco mais de 24 bytes
StateFull - Trata no mnimo dos 40 bytes iniciais
Figura 2.15
Valor mximo do Datagrama (MTU): 1500 bytes
Datagrama, onde
*O protocolo de transporte, porter o cabealho de at 20 bytes o firewall atua.
11 Packet Filter: trata de 20 a 24 bytes, ou seja, de todo o cabealho IP (primeiros 20 q

bytes), e de parte do cabealho de transporte no que diz respeito porta de origem e
destino, lembrando que esse campo tem 4 bytes (16 bits: 2^16 = total de 65536 portas).
11 StateLess: trata um pouco mais de 24 bytes, variando de acordo com a forma com
que a ferramenta foi implementada. Em alguns casos analisa o flag de incio de
conexo TCP, mas no capaz de tratar o conceito de estado de conexo.
11 StateFul: trata no mnimo dos 40 bytes iniciais, ou seja, todo o cabealho IP; seja qual
for o protocolo de transporte (UDP, TCP), sabe tratar do estado de conexo.
O fato de um firewall ter a capacidade de atuar nos 40 bytes iniciais do datagrama no quer
dizer que no permita realizar tratamento no estilo Packet Filter ou mesmo Stateless.
32
Exemplos de firewalls
Linux Kernel 2.0.x: q
11 IPF: Packet FilterB.
11 IPFWADM: Packet Filter.
Linux Kernel 2.2.x:
11 IPchains: StateLess.
11 Sinus: Packet Filter.
Linux Kernel 2.4.x / 2.6.x:
11 Netfilter (Iptables): StatefulPacket.
Outras solues OpenSource:
w
11 IPFW (FreeBSD).
11 PF (OpenBSD e FreeBSD 5.x).

Acesse o site do
Firewall Builder e 11 IPFilter (Solaris 10).
conhea em detalhes o
projeto: http://www. Visando facilitar a criao e gerenciamento de regras, existe um projeto chamado Firewall
fwbuilder.org/ Builder. Atravs de uma plataforma grfica, o administrador pode criar sua rede e depois gerar
as regras de firewall. O diferencial poder escolher para qual plataforma deseja gerar as regras.
Detectores de intrusos
IDS a sigla de Intrusion Detection Systems (Sistemas de Deteco de Intruso). q
Analisa o comportamento da rede ou do sistema, em busca de tentativa de invaso.
11 Baseado no sistema imunolgico do corpo humano.
11 Monitora um servidor especfico ou host IDS (Hids).
11 Monitora uma rede especfica network IDS (Nids).
l 11 Monitora chamadas de sistemas Kernel IDS (Kids).

Utiliza dois mtodos distintos.
Saiba mais sobre
ferramentas de IDS: 11 Deteco por assinatura.
http://www.rnp.br/
newsgen/9909/ids.html 11 Deteco por comportamento.

11 Usa sensores espalhados pela rede ou pelo host.
Uma ferramenta de IDS deve possuir algumas caractersticas, entre elas:
11 Rodar sem interao humana, de forma a permitir sua operao em background.
11 Ser tolerante a falhas, de forma a no ser afetada por uma queda do sistema; sua base de
conhecimento no deve ser perdida quando o sistema for reinicializado.
11 Resistir a tentativas de mudana (subverso) de sua base; deve fazer automonitoramento.
w 11 Ter o mnimo de impacto no funcionamento do sistema.
Busque mais ferra- 11 Poder detectar mudanas no funcionamento normal.

mentas Free and Open
Source Software (FOSS) 11 Cobrir as mudanas do sistema, como no caso de uma nova aplicao que comece a fazer
nos sites http://www. parte do sistema.
freshmeat.net e http://
www.sourceforge.net 11 Nids Linux popular: Snort.
11 Kids Linux popular: SELinux.
33
IDS Snort
Ferramenta de deteco de invaso Nids open source (Linux); popular, rpida, confivel, q
exigindo poucos recursos do sistema:
11 Flexvel nas configuraes de regras.
11 Possui grande cadastro de assinaturas.
11 Atualizada constantemente frente s novas ferramentas de invaso.
11 Monitora trfego de pacotes em redes IP, realizando anlises em tempo real de
w
diversos protocolos (nvel de rede e aplicao) e sobre o contedo (hexa e ASCII).
Modos de operao:
Leia mais sobre o Snort
11 Sniffer; em http://www.snort.
org/http://www.snort.
11 Packet Logger; org
11 Nids.
Fluxo de funcionamento do Snort
Snort
Sning Decodicador
de pacotes
Pr-processador
Data
Motor de deteco Flow
Fluxo de Figura 2.16

pacotes Fluxo de
Estgio de sada Alerts/Logs
funcionamento
do Snort.
Por ser muito popular, existem diversos projetos que trabalham junto ou complementam o
Snort, entre eles o Acid (Figura 2.17) e o Base (Figura 2.18), ajudando a visualizar graficamente
os alertas e suas estatsticas.
Mais detalhes podem ser encontrados em:
11 Analysis Console for Intrusion Databases (Acid): http://acidlab.sourceforge.net/
11 Basic Analysis and Security Engine (Base): http://base.secureideas.net/

34
Figura 2.17
Acid.

Figura 2.18
Base.
Hids
11 Ferramenta desenvolvida para monitoramento das modificaes ocorridas no q
sistema de arquivos.
11 Verifica a integridade dos arquivos e comandos do Sistema Operacional, manual-

mente ou atravs de programao via cron.
11 So muitas e interessantes as solues disponveis, como Osiris, Ossec, Samhaim,

Tripwire e Aide.
11 Destaque para Osiris, que alm de ter arquitetura cliente servidor, possui clientes
para vrios Sistemas Operacionais, possibilitando ter um servidor Osiris Linux moni-
torando servidores Windows e MacOS, por exemplo.
35
Os benefcios do Hids Ossec (http://www.ossec.net/), Hids Samhaim
(http://la-samhna.de/samhain/), Hids Aide (http://aide.sourceforge.net/) e
Hids Tripwire (http://www.tripwire.org) esto em seus sites.
Kids
11 Ferramenta desenvolvida a partir das chamadas de sistemas e do controle das q
funcionalidades do kernel.
11 Um conceito ainda recente de IDS, gradualmente adotado pelos Sistemas Operacionais.
11 Exemplos clssicos: Lids, GRsecurity e SELinux.
IPS
11 IPS a sigla de Intrusion Prevention System (Sistema de Preveno de Invaso). q
11 Podemos consider-lo a evoluo do IDP.
11 Como o nome diz, o IDS Detecta, porm o IPS tem o poder de barrar o ataque, antes
que atinja seu destino.
11 Pode ser utilizado sozinho ou em conjunto com o IDS.
11 Na maioria dos produtos, pode-se escolher trabalhar no modo de preveno ou deteco.
11 Como exemplo, podemos citar o Sourcefire (verso comercial do Snort).
Redes virtuais privadas

Virtual Private Network (VPN) interliga duas redes privadas usando a internet como q
meio de interligao.
Usa normalmente canal de criptografia:
11 Rpida, para no comprometer o desempenho.
11 Segura, para impedir ataques.
11 Substitui linhas dedicadas a um custo reduzido.
11 Sujeita a congestionamento e interrupes na internet.
Tipos:
11 Entre redes. Figura 2.19

11 Discada. Rede virtual privada
(VPN).
Virtual Private Network
Internet
Link Dedicado ao IS P Link Dedicado ao IS P

Rede Rede
Corporativa Corporativa
Filial Matriz
A segurana uma importante funo da VPN. Dados privados sero transmitidos pela
internet, que um meio de transmisso inseguro. Eles devem ser protegidos de forma a no
permitir que sejam modificados ou interceptados.
36
O uso de VPN nos permite trabalhar remotamente (de casa, por exemplo), como se esti-
vssemos dentro da rede da empresa. Permite tambm interligar dois ou mais escritrios,
como se todo mundo estivesse dentro do mesmo prdio, proporcionando inclusive acesso
a recursos compartilhados, como impressoras e servidores de arquivos, que no estariam
localmente disponveis sem o uso dessa tecnologia.
Outro servio oferecido pelas VPNs a conexo entre corporaes (extranets) atravs
da internet.
Autenticao, autorizao e auditoria

Autenticao: estabelece a identidade do indivduo. q
11 Identificao:
22 Via login.
22 Via Personal Identification Number (PIN).
11 Mtodo de prova:
22 Via algo que voc sabe.
33 Uma senha (menor nvel de segurana).
22 Via algo que voc tem:
33 Smartcard ou token.
22 Via algo que voc :
33 Impresso digital, leitura da ris, voz etc. (maior nvel de segurana).
Figura 2.20
Token USB (Fonte:
http://www.
ealaddin.com).

Autenticao, autorizao e auditoria
Autorizao: q
11 A autorizao traa o perfil de acesso do indivduo e o que ele pode fazer.
11 O perfil contm todas as permisses para cada recurso que o indivduo acessa.
Auditoria:
l 11 A auditoria implica em: quem fez o qu, quando, onde?

Quando utilizamos 11 Os registros de eventos (logs) so os primeiros objetos a serem consultados em
mais de um mtodo
para a autenticao, uma auditoria.
chamamos o processo
possvel combinar mtodos distintos de autenticao. Um usurio pode inserir um carto
de autenticao forte.
magntico e digitar uma senha para obter acesso.
37
38
Atividade 2.1 Segurana fsica e lgica
1. Como voc planejaria a segurana da sua empresa seguindo os tpicos abaixo?
Conteno de catstrofes:
Proteo das informaes (backup):
Controle de acesso:
Garantia de fornecimento de energia:
Redundncia:
2. Quantos nveis de segurana possui a rede da sua instituio? Quais so? Faa um
desenho da topologia da soluo.
3. Cite 5 controles que podemos utilizar para aumentar a segurana fsica de um ambiente.
4. Cite 5 controles que podemos utilizar para aumentar a segurana lgica de um ambiente.
39
5. Informe em cada crculo dos diagramas seguintes o equipamento correto para a rede,
que proporcione um nvel de segurana satisfatrio. Justifique suas respostas.
Nmero Equipamento
1 IDS
2 Modem
3 Firewall
4 Proxy
5 Switch
6 Roteador
Internet
Internet
Internet
40
3
Panorama atual da rea
de segurana
objetivos
Apresentar informaes sobre ameaas na rede e estatsticas recentes sobre

ataques e suas fontes; indicar o perfil das pessoas que invadem sistemas.
conceitos
Controles de informtica e ameaas digitais.
Introduo
Atualmente a segurana tornou-se um item obrigatrio. Usar a internet sem um antivrus ou
um firewall pessoal quase um pedido para ser infectado ou invadido. Instalar um Sistema
Operacional em uma mquina conectada diretamente internet pode levar a um compro-
metimento em poucos minutos. Esse o panorama atual da rede: um lugar pblico onde,
junto com aquela informao valiosa de que tanto precisamos, existe um mundo de hackers,
crackers, vrus, worms e outras ameaas.
A rede ainda pode ser usada de forma segura, desde que cuidados bsicos sejam tomados.
Neste Captulo, veremos quais so as ameaas do dia a dia, como elas funcionam e as
formas de se proteger contra elas. Alm disso, veremos as estatsticas dos incidentes de
segurana, diversas fontes de informao diria sobre segurana e o perfil das pessoas que
ameaam a segurana da rede.
Captulo 3 - Panorama atual da rea de segurana

Panorama atual da internet
Conexes mais rpidas (banda larga). q
11 Estaes se tornam atraentes para invasores.
22 Fazer uso da banda larga.
22 Fazer uso dos recursos computacionais.
22 Roubo de identidade.
Internet pblica: mais ameaas
11 Hackers.
11 Crackers.
11 Vrus.
11 Worms.
41
Panorama atual da rea de segurana
Como o acesso a internet da sua organizao?
Acesso em banda larga modem bridge

Banda larga modem bridge ADSL. q
11 Modo padro de configurao da operadora.
Vantagens:
11 Computador pode disponibilizar servios.
11 IP fixo pode usar DNS.
Desvantagens:
11 IP dinmico usando DDNS.
11 Exige segurana reforada.
11 Computador pode ser acessado diretamente da internet.
Conexo PPP
(ponto-a-ponto)
Ethernet ATM
PPPoE (ppp over ethernet) PPPoA (ppp over atm)
Autenticao Usurio x senha

Computador ganha IP pblico
Figura 3.1
Acesso banda larga modem router Banda larga modem
Banda larga modem router ADSL. q bridge ADSL.
Vantagens:
11 Modo de operao mais seguro.
11 Computador no acessado diretamente a partir da internet.

11 Proporciona acesso a uma rede interna (intranet).
11 IP fixo pode usar DNS.
Desvantagens:
11 Router deve usar firewall.
11 Computador deve usar NAT para disponibilizar servios.
11 IP dinmico usando DDNS.
42
Modem Router ADSL
maior nvel de segurana
Conexo PPP
(ponto-a-ponto)
Ethernet
Computador ganha IP interno
ATM
Intranet - computador protegido
PPPoA (ppp over atm)
Autenticao Usurio x senha

Router ganha IP pblico
Figura 3.2 Principais erros

q
Banda larga modem
router ADSL. 11 Mesmo erros conhecidos so recorrentes, tanto de projeto como de administrao
de sistemas.
11 Os erros facilitam a atividade dos invasores; todavia, mesmo sem cometer erros a
possibilidade de ameaa continuar existindo.
11 Conectar sistemas na internet sem test-los.
11 Conectar com contas e senhas padro.
11 No atualizar erros de segurana, quando estes so encontrados e divulgados.
11 Deixar que pessoas sem o devido treinamento cuidem de segurana.
11 Deixar servios desnecessrios nos computadores:
22 Ftpd, telnetd, finger, RPC, mail e RServices.
11 Manter no servidor ligado internet a base de arquivos da empresa, no diferen-

ciando servios de LAN e WAN.
11 Conhecer a segurana fsica, mas desconhecer segurana de informao.
11 Falta de ambiente de laboratrio, de teste.
11 Manter somente um firewall protegendo a rede, acreditando que suficiente.
11 Permitir o uso indiscriminado de protocolos especficos, como o ICMP.

11 Implementar firewalls com polticas genricas.
11 Usar protocolos no seguros para administrar sistemas remotos, firewalls etc.
11 No idealizar permetros para melhorar a segurana da rede.
11 No ter servidores com horrio sincronizado.
11 No ter concentradores de logs e analisadores dos registros de logs.
11 Possuir um concentrador e logs, mas com os horrios dos servidores no sincronizados.
11 Achar que, se esquecendo dos problemas, eles somem rapidamente.
11 Falhar na implementao de antivrus ou listas de vrus.
11 Falhar na capacitao e conscientizao dos usurios.
43
Ameaas frequentes
11 Vrus. q
11 Worms.
11 Trojans.
11 Spywares.
11 Hackers, crackers e outros.
Vrus
11 Microprograma alojado em arquivo hospedeiro, precisa da interveno humana q
para se propagar.
11 Autoexecutvel, duplica a si prprio.
11 A principal forma de contgio via correio eletrnico com arquivo anexo infectado.
11 Principais extenses de arquivos perigosos no Windows:
22 A interrogao indica a presena de qualquer caractere.
22 Exemplo: PP? indica tanto PPT quanto PPA:
33 386, ACM, ACV, BAT, BTM, CDR, CHM, CLA, COM, CPL, CSC, DLL, DOC, DOT, DRV,
DVB, EML, EXE, FON, GMS, HLP, HT?, HTA, INF, INI, MDB, MPP, MPT, MSG, MSO,
OBD, OBJ, OBT, OBZ, OCX, OFT, OV?, PIF, POT, PP?, PWZ, RTF, SCR, SHS, SMM,
SYS, TDO, TLB, TSK, TSP, VBS, VBX, VXD, WBK, WBT, WK?, WPD, XL? e XML.
Extenso Comentrio
.com Executvel DOS/Windows.
.exe Executvel DOS/Windows.
.pif Descrio de ambiente de execuo DOS.
.vbs Scripts em Visual Basic .
.htr Scripts em servidores web Microsoft.
.cpl Extenses do painel de controle.
.hta Scripts em servidores web Microsoft.
.scr Screens savers do Windows.
.bat Arquivos de lotes do DOS/Windows.
.doc Arquivos do Microsoft Word.

.ppt Arquivos do Microsoft PowerPoint.

Tabela 3.1
.xls Arquivos do Microsoft Excel. Tipos de arquivos
mais comuns.
.js Scripts em Javascript.
Apesar de existirem vrus para outros Sistemas Operacionais (Linux, MacOS e PalmOS), essa
quantidade infinitamente menor, quando comparamos com a quantidade de vrus do
sistema Windows.
44
l Diversos fabricantes de produtos de segurana disponibilizam programas chamados antivrus.
Um antivrus detecta os Um antivrus um programa capaz de detectar e remover os vrus de uma estao. Muitos
vrus em arquivos deles possuem recursos avanados, como verificao de vrus em correio eletrnico e a verifi-
atravs de assinaturas
de vrus, que so cao em tempo real dos arquivos que esto sendo executados pelo Sistema Operacional.
conjuntos de infor-
mao que identificam Alguns desses fabricantes e seus sites:
unicamente um
determinado vrus. 11 Symantec: http://www.symantec.com/avcenter/
Essas assinaturas
11 McAfee: http://home.mcafee.com/VirusInfo/
devem ser frequente-
mente atualizadas, de 11 Trend Micro: http://www.trendmicro.com/vinfo/virusencyclo/
modo que o antivrus
seja capaz de detectar 11 F-Secure: http://www.f-secure.com/v-descs/
os vrus mais recentes.
Tipos de vrus
11 Vrus de boot: q
22 Fixa-se num setor onde est localizado o cdigo de boot do micro (inicializao).
11 Vrus de arquivo:
22 Fixa-se em arquivo de programa executvel.
11 Vrus de macro:
22 Vincula macros a modelos de documento (templates) e outros arquivos.
11 Vrus parceiro (companion virus):
22 Junta-se ao Sistema Operacional (programa .com roda primeiro que .exe).
11 Vrus multipartido:
22 Combinao do vrus de boot e do vrus de arquivo.
22 Infecta tanto arquivo quanto rea de boot.
Um vrus pode provocar:
11 Perda de desempenho do micro; excluso de arquivos e alterao de dados.
11 Acesso a informaes confidenciais por pessoas no autorizadas.
11 Perda de desempenho da rede (intranet e internet).
11 Desconfigurao do Sistema Operacional; acionamento e desligamento de perifricos

da mquina.
Preveno: q
11 Implantar poltica de uso de antivrus nas estaes de trabalho. Captulo 3 - Panorama atual da rea de segurana
11 Manter antivrus sempre atualizado via internet.
11 Varrer os discos rgidos com o antivrus no mnimo uma vez por semana.
11 O antivrus deve checar os e-mails on-line que chegam e saem.
11 No abrir arquivo anexado em e-mail com extenso perigosa.
11 Habilitar tcnica de antispam no antivrus.
O CAIS indica dois bons antivrus gratuitos:
11 Kaspersky: http://www.kaspersky.com
11 Avira AntiVir: http://www.free-av.com
45
Antivrus on-line:
11 Kaspersky: http://www.kaspersky.com/virusscanner
11 Trendmicro: http://housecall.trendmicro.com
11 F-Secure: http://support.f-secure.com/enu/home/ols.shtml
11 Bit Defender: http://www.bitdefender.com/br/scanner/online/free.html
Worms
11 O worm (verme) infecta uma estao em vez de infectar arquivos. q
11 Programa que no precisa da interveno humana para se propagar.
11 Difere do vrus porque no precisa se fixar em arquivo ou setor.
11 Rasteja pela rede tentando infectar outras estaes, podendo utilizar mltiplas
formas de replicao, tornando-se muito eficiente.
A conteno da propagao dos worms depende muito das atualizaes feitas no Sistema Figura 3.3
Operacional. Como essas atualizaes no so realizadas pelos administradores e usurios na Propagao do
worm Sapphire
maioria dos casos, contaminaes so frequentes sempre que um novo worm lanado na (Fonte: Caida).
internet. Entretanto, na grande maioria dos casos, o worm explora vulnerabilidades j conhe-
cidas pelos fabricantes, que disponibilizam em seus sites as atualizaes que as eliminam.
11 O worm Code Red infectou em 19 de julho de 2001 mais de 359 mil computadores em
menos de 14 horas.
11 O worm SQL Slammer infectou 75 mil computadores em 10 minutos em 2003.
11 O worm Confiker infectou mais de 10 milhes de mquinas em janeiro de 2009.

11 A preveno contra os worms feita da mesma forma que a do antivrus.
Cavalo de troia
11 Cavalo de troia (trojan horse) um programa que promete uma ao ou funcionali- q
dade, executando outra totalmente diferente.
11 Pode parecer ou simular programas legtimos.
11 Tem o objetivo de enganar as pessoas, permitindo acesso e roubo de informaes em

seus computadores.
46
11 Includo em software disponvel para transferncia gratuita. q
11 Diferentemente de vrus e worms, no cria rplicas de si.
11 Famoso por facilidade de uso, considerado ferramenta de script kid.
Figura 3.4
Cliente do trojan
NetBus.
Alguns cavalos de troia so divididos em duas partes: servidor e cliente.
11 A vtima executa arquivo hospedeiro; o servidor instalado e ocultado no computador;
11 O cliente acessa o servidor e executa operaes no computador da vtima;
11 aberta uma porta de comunicao no monitorada (backdoor).
O que um trojan pode fazer? q

11 Expor usurio a esquemas fraudulentos via pgina de site.
11 Encontrar arquivos: v-los, copi-los, alter-los ou apag-los.
11 Registrar o que se escreve e enviar essa informao para outro computador.
11 Capturar vdeo e udio de dispositivos ligados ao computador.
11 Executar ou encerrar um programa, processo ou conexo no computador.
11 Criar janelas pop-up para aborrecer ou conduzir a websites maliciosos. Captulo 3 - Panorama atual da rea de segurana
11 Atacar outros computadores.
Trojans mais famosos:
11 Back Orifice;
11 NetBus;
11 WinCrash.
Preveno: q
11 No revelar seu endereo de correio eletrnico a desconhecidos.
11 Evitar incluir seu endereo de correio eletrnico em listas extensas de endereos.
11 Usar software fidedigno de empresas conceituadas.
47
11 Manter o computador atualizado: q
22 Windows update on-line.
22 Linux update on-line.
Para prevenir-se preciso usar software de segurana recente e mant-lo instalado e atualizado.
11 Antivrus;
11 Firewall;
11 Antispyware.
Ao instalar programas no micro, escolha um diretrio diferente do padro; por exemplo, ao

instalar Windows, escolha diretrio diferente de C:\windows\.
11 Trocar senhas assim que for invadido ou suspeitar de uma invaso;
11 No usar ou desabilitar a opo salvar senha onde for possvel.
Para verificar as portas que esto abertas na mquina:
11 Execute: C:\netstat ab (Windows);
11 Execute: # netstat atunp (Linux).
Spyware
11 Programa que se instala de maneira furtiva, trazido por outro programa. q
11 Difere do trojan, pois no tem objetivo de deixar que o sistema do usurio seja domi-
nado externamente por um cracker.
11 Monitora o usurio, capturando informaes confidenciais, hbitos de consumo,

senhas bancrias, informaes de cartes de crdito etc.
11 Meios de infeco:
22 Download no intencional em programas shareware e freeware.
22 Atravs de infeco de vrus e worms.
22 Instalaes automticas de alguns programas.
Os spywares (programas espies) so associados a adwares. Os adwares so conhecidos por

trazerem para a tela algum tipo de propaganda. Inicialmente os adwares procuravam exibir
propagandas em janelas, chamadas de banners. Passaram a monitorar a atividade do usurio
na internet, podendo mostrar propagandas personalizadas, enviar dados sobre hbitos do
usurio a certos sites, tendo ento funes de spyware e adware, de forma simultnea.
Certos adwares passaram a exibir janelas do tipo pop-up. Passaram a se instalar no navegador do
usurio, acrescentando certas funcionalidades duvidosas, principalmente no Internet Explorer.
Sofisticaram-se, incluindo propagandas persistentes, com inmeras variantes. Sua desinstalao
passou a ser uma tarefa bastante penosa ou mesmo impossvel, sem ajuda externa. Isso levou os
usurios a classific-los como pragas ou spywares, e no mais como simples adwares.
Preveno:
11 Usar programas antispyware em conjunto com antivrus;
11 Verificar configuraes de segurana do navegador;
11 Ler cuidadosamente anncios em janelas pop-ups;
11 No instalar programas antes de conhecer as credenciais de quem o forneceu.
48
v
q
Assista ao vdeo
Proteja seu compu- 11 Spywares podem vir acompanhados de hijackers.
tador contra Spyware:
http://www.microsoft. 11 Exemplos de spyware: GAIN, Aurora;
com/brasil/athome/
security/videos/ Assista aos vdeos e saiba como se proteger:
spyware_hi/Spyware6- http://antispam.br/videos/
-hi.html
Malware
11 Juno de duas palavras: malicious e software. q
11 Utilizado para designar qualquer tipo de software que atue contra o usurio.
11 Podem ser vrus, spywares, trojans ou worms de todos os tipos e categorias.
Existem malwares para todos os tipos de computadores existentes hoje, no impor-

tando marcas e modelos. J existem provas de conceito sobre malwares em consoles de
vdeo games inclusive.
Para pensar
Mesmo existindo diversas categorias de softwares maliciosos, como demonstrado

anteriormente, o termo malware comeou a ser vastamente utilizado de forma
incorreta. A frase fui vtima de um malware indica que uma pessoa foi vtima de
um programa malicioso, no importando se um vrus, worm ou trojan. Deixemos
as definies corretas para os especialistas.
Preveno:
11 Tenha sempre um software do tipo antivrus instalado;
11 Evite softwares piratas e/ou de procedncia desconhecida;
11 Mantenha o sistema operacional atualizado.
Mobile Malware
11 Tambm conhecido genericamente como vrus para celular. q
11 Utilizando as tcnicas de um cavalo de troia, incentivam o usurio a instalar o
programa malicioso.
11 Podem fazer tecnicamente qualquer coisa com o aparelho da vtima.
Com as mudanas da tecnologia e de hbitos, aparelhos portteis como celulares esto

ficando cada vez mais populares e potentes, alm de estarem sempre conectados internet.
Aps a pessoa fazer o download e instalao do aplicativo malicioso, o aparelho j est com-
prometido. Saber quais as reais intenes ou aes desses programas bem difcil. O atacante
pode ter controle total do aparelho celular da vtima. Assim pode efetuar ligaes, ver, apagar
e remover contatos, mensagens e fotos.
Na Europa existem muitas fraudes associadas a servios do tipo premium rate phone,
conhecidos no Brasil como 0900 (servios telefnicos de valor adicionado). Aps invadido,
o telefone da vtima passa a ligar para esses nmeros. No final do ms, algum ter de pagar
49
a conta. O golpe tem maior sucesso quando a vtima possui um aparelho de celular pago
pela empresa, e nem a vtima nem a empresa controlam essa conta.
Preveno:
11 Escolha fontes de distribuio de softwares confiveis;
11 Utilize um software antivrus;
11 Desconfie de aes ou atividades suspeitas em seu aparelho;
11 A economia sempre inimiga da segurana.
Malwares
O que so malwares?
Preveno
Dicas de comportamento como as dicas de comportamento humano nem sempre so q
fceis de atender (sempre h um risco).
Por mais que tomemos cuidado sempre existe risco. O que fazemos em nosso dia a dia
minimizar esse risco. Independente da plataforma ou Sistema Operacional, a situao fica
difcil quando necessitamos utilizar um software (qualquer). No temos como saber se
existem componentes maliciosos no software ou se ele ir fazer alguma ao inesperada.
difcil at de saber onde, durante a instalao desse software, foram colocados seus
arquivos, se desejarmos remov-lo futuramente.
J existiram casos de softwares que saram das empresas desenvolvedoras infectados,

assim como pendrives que saram da fbrica com malwares. Nenhum desses fatos foi inten-
cional. Isso demonstra que existem situaes que no podemos evitar, porm, quanto maior
o cuidado que tenhamos, menores sero as chances de termos dores de cabea.
Vulnerabilidades
So falhas presentes em um programa, protocolo ou Sistema Operacional. q
Decorrem de erros de especificao ou de programao.
Preveno para erros de programao:
11 Aplicar patches ou hotfix.
11 Aplicar service pack ou maintenance level.

Muitas listas de discusso fornecem informaes sobre vulnerabilidades, alm de sites de

fabricantes. Alguns desses sites:
11 http://www.microsoft.com/security/default.aspx
11 http://www.debian.org/security/
11 http://www.cert.org/advisories/
11 http://www.rnp.br/cais/alertas/
50
w Uma preveno para erros de especificao fazer a reviso da especificao do protocolo
ou do produto, se possvel.
Existem pessoas e
grupos na internet que Vulnerabilidades do protocolo TCP/IP sem soluo perfeita:
buscam e divulgam a
existncia de vulnerabi-
lidades. Normalmente, SYN flood
elas so divulgadas em
listas de discusso 11 Atacante envia grandes quantidades de solicitaes ao servidor.
como a Bugtraq:
http://www.securi- 11 Servidor fica espera da concluso da negociao para incio da comunicao
tyfocus.com/archive/1 (que nunca ocorre).
11 Quando a solicitao inicial finaliza por time-out, outras solicitaes esto chegando
e o clico continua.
11 Esse processo impede que solicitaes lcitas sejam atendidas.
Ataques Smurf
11 Atacante A envia um pacote para a rede B, solicitando resposta de toda a rede.
11 Porm, o pacote de origem foi modificado indicando que a origem veio de C.
11 Rede B responde para a origem C.
11 Mquina C recebe em pouco tempo muitos pacotes de resposta da rede B sem saber o
motivo e, dependendo da quantidade de pacotes, para de funcionar ou de atender novas
solicitaes lcitas.
Os dois exemplos anteriores no demonstram os detalhes tcnicos dos problemas,

mas como os problemas funcionam.
No podemos esquecer que o protocolo TCP/IP foi criado por volta de 1970 e suas caracte-
rsticas principais foram mantidas at hoje. Assim, muitas das vulnerabilidades existentes no
protocolo no foram previstas durante o desenvolvimento.
Exploit um programa que explora uma vulnerabilidade. Nasce como a prova de conceito
de que uma vulnerabilidade existe, podendo evoluir para aes maliciosas.
Estatsticas
Entidades como Cert/CC e CAIS/RNP mantm nmero de vulnerabilidades e de incidentes
reportados anualmente.
11 Cert/CC: http://www.cert.org/stats/cert_stats.html
11 CAIS/RNP: http://www.rnp.br/cais/estatisticas/index.php
51
Anos
1997 5
1998 36
1999 473
2000 2053
2001 7209
2002 12114
2003 2019
2004 2964
2005 61323
2006 70815
2007 35766
2008 35939
2009 266798
2010 105030
2001 260220
Figura 3.5
Estatsticas de
20000
40000
60000
80000
100000
120000
140000
160000
180000
200000
220000
240000
260000
280000
incidentes por ano
reportados ao CAIS.
O CERT/CC oferece estatsticas sobre incidentes, vulnerabilidades, alertas e notas de segurana

publicadas, mensagens de correio eletrnico atendidas e chamadas telefnicas recebidas.
O CAIS o rgo responsvel pela segurana da RNP. As estatsticas do Cais referem-se a

incidentes reportados mensal e anualmente.
Hacker, cracker e outros personagens

Vrus, worms, vulnerabilidades, exploits e ataques: q
11 Quem so as pessoas que os produzem?
11 O que elas pensam?
11 Quais so suas motivaes?
11 Por que fazem esse tipo de ao?
Hacker:
11 Especialista em informtica, problem solver, descobre falhas e cria exploits;

possui tica hacker.
Cracker:
11 Especialista em informtica, problem creator, hacker malicioso, criminoso.
52
Para pensar
Hoje fala-se muito da tica hacker, que trata da questo do software livre, entre
outras coisas. Os hackers procuram se diferenciar dos crackers, que tentam efetiva-
mente invadir sistemas e causar danos.
O livro A tica dos Hackers e o Esprito da Era da Informao: a Diferena Entre o Bom e o Mau Hacker,
editado no Brasil pela editora Campus, mostra um pouco do que essas pessoas pensam:
w 11 Hacker: o termo hacker foi, por muitos anos, associado a pessoas mal-intencionadas.
possvel usar a rede
de forma segura? Qual Um hacker apenas uma pessoa que detm muitos conhecimentos sobre a rea de compu-
o nvel de perigo na tao. Em geral, so pessoas interessadas em Sistemas Operacionais, softwares, segurana,
internet neste
internet e programao. Um hacker tem interesse em descobrir coisas novas (inclusive
momento? Veja em:
https://webapp.iss.net/ vulnerabilidades em programas), mas no possui nenhuma motivao destrutiva.
gtoc/index.html
11 Cracker: um cracker um hacker com propsitos maldosos de invadir e violar a
integridade de sistemas.
Script kiddies normalmente no esto interessados em algo especfico, mas simplesmente

em invadir um site qualquer. So responsveis por boa parte dos ataques na internet e pro-
vavelmente sero os responsveis caso o seu site seja atacado. No site do projeto Honeynet
(http://project.honeynet.org/papers/) podem ser encontradas diversas informaes sobre
script kiddies e o seu modo de ao.
Script kiddies: q
11 Com pouco conhecimento de informtica, usam exploits criados pelo hacker e exe-
cutam ataques na internet.
11 Possuem muito tempo ocioso.
Lammer:
11 Considerado o nvel mais baixo, ou seja, aquele indivduo que no conhece o poder
do computador e se autodenomina hacker ou pensa ser um cracker e sai invadindo o
host pela internet, sem ao menos saber o que est fazendo.
11 Conhecimento ainda menor do que o de um script kiddie.
Newbie:
11 Aprendiz de hacker; pergunta muito, ignorado e ridicularizado.
11 Possui personalidade fraca.
Wannabe:
11 Indivduo que j consegue assimilar a metodologia hacker, comeando a ter afinidade

com a tecnologia underground.
11 No necessariamente um script kiddie, mas algum iniciado no uso de ferramentas

mais bsicas.
11 Terminologia pouco utilizada.
53
Larva: q
11 Indivduo capaz de executar invases a partir de receitas de bolo e exploits encon-
trados na internet, mas diferente dos script kiddies, j que so capazes de compre-
ender o que esto fazendo e at de melhorar tcnicas e ferramentas.
11 Esto mais prximos do nvel de conhecimento de um cracker.
Virus Maker (virii):
11 Crackers que se dedicam a programar vrus.
Carding:
11 Criminosos digitais que se especializam na manipulao de clonagem de cartes

magnticos de bancos.
11 No cenrio brasileiro, tem sido registrado o aumento das atividades de Carding.
Phreakers:
11 Crackers com profundos conhecimentos de telecomunicaes, alm dos conheci-

mentos em computao.
Motivao
O que leva uma pessoa a invadir um sistema? q
11 Impunidade.
11 Delinquncia
11 Tentativa de chamar a ateno.
11 Notoriedade.
11 Vingana.
11 Compensao financeira.
11 Espionagem.
11 Entrar para o grupo.
Ningum se torna um hacker, hackers nascem assim. Est certo! Muitos deles nunca tero
acesso a um computador, logo nunca sero hackers de fato, mas o esprito hacker est pre-
sente naquela pessoa e vai acompanh-la pelo resto da vida. Respondendo a essa pergunta,
me sinto um pouco como The Mentor no manifesto hacker, quando ele pergunta But did
you (...) ever take a look behind the eyes of the hacker? Did you ever wonder what made him
tick, what forces shaped him, what may have molded him? (Mas voc j olhou por trs dos
olhos de um hacker? Voc j imaginou o que faz pulsar, que foras deram-lhe forma, o que
pode t-lo moldado?). A resposta de hoje a mesma que a de 1986, quando o manifesto foi
escrito: hackers so pessoas inquietas, que no so facilmente convencidas por argumentos
de autoridade sem valor tcnico. So cticos sempre prontos a duvidar de qualquer coisa.
A simples meno de que algo impossvel para um hacker um poderoso convite para
que ele tente faz-lo. Eles querem saber mais sobre tudo (mais ainda sobre informtica),
simplesmente pelo fato de saber, para obter iluminao pessoal.
54
Atividade 3.1 Controles de informtica
1. Sua instituio possui segurana e controle sobre a informtica? Faa o teste em:
http://securityassessment.trendmicro.com/Default.aspx?lang=pt-BR
2. Quais portas e servios esto acessveis na sua mquina? Faa a auditoria em:
https://www.grc.com/x/ne.dll?bh0bkyd2
3. Use todas as portas de servio e descreva as que esto abertas em seu computador,
assim como seus servios.
4. Teste os servidores de DNS e de correio eletrnico de sua instituio, fazendo a auditoria

nos seguintes sites:
http://www.ipok.com.br/
http://www.dnsstuff.com
Voc encontrou alguma vulnerabilidade conhecida?
Atividade 3.2 Servios e ameaas

1. Verifique as seguintes listas de portas:
11 Ataque: http://www.portalchapeco.com.br/~jackson/portas.htm
11 Aplicaes especiais: http://www.practicallynetworked.com/sharing/app_port_list.htm
11 Usadas por trojans: http://www.pypbr.com/infovir/port_alf_trojan.asp
11 Usadas por servios: http://www.pypbr.com/infovir/port_usad_a.asp
11 No Windows: c:\windows\system32\drivers\etc\services
11 No Linux: /etc/services
2. De posse dessas informaes, voc consegue informar as portas mais vulnerveis? Explique.
3. Baixe o programa spybot no link http://www.safer-networking.org/spybot2-own-mirror-1/.
4. Instale-o em seu computador e verifique se voc foi vtima de algum tipo de malware.
55
5. O hijackthis um programa que auxilia o usurio a eliminar uma grande quantidade de
malwares conhecidos. Apesar de ser uma ferramenta poderosa, no tem a automatizao
de ferramentas como o spybot, e exige conhecimento mais avanado por parte do usurio.
6. Baixe o programa no link http://sourceforge.net/projects/hjt/ e faa a instalao do

programa no computador.
Instalao
1. Crie uma pasta chamada C:\HijackThis\;
2. Copie o instalador para a pasta criada;
3. Rode o instalador.
Criao de log
Um log do HijackThis pode conter vrias informaes sobre malwares infectados no compu-
tador. Voc pode gerar um log atravs da opo Do a system scan and save a logfile.
Corrigindo entradas
1. Clique em Do a system scan only.
2. Marque as entradas necessrias com ateno, pois uma entrada errada pode causar
instabilidade no sistema.
3. Clique em Fix Checked.
4. Voc constatou algum tipo de arquivo malicioso encontrado pela ferramenta?

56
4
Arquitetura TCP/IP conceitos
bsicos
Apresentar o funcionamento da famlia de protocolos TCP/IP, desde o nvel fsico
objetivos
at o nvel de aplicao em questes de segurana; diferenciar as camadas da famlia

TCP/IP e identificar seus principais protocolos; mostrar o funcionamento de aplicaes
bsicas, como servio de nomes, transferncia de arquivos, correio eletrnico e pginas
www; ensinar a captura de trfego real em uma rede e identificar o que foi capturado.
conceitos
Projetos de rede, sniffers, famlia de protocolos TCP/IP, camadas fsica, de rede,
de transporte e de aplicao.
Arquitetura TCP/IP
O que so protocolos?
Introduo
Caractersticas da arquitetura TCP/IP: q Captulo 4 - Arquitetura TCP/IP conceitos bsicos
11 Baseado na arquitetura cliente/servidor.
11 O IP usa esquema de endereamento universal.
11 Trabalha com:
22 Dados, voz e vdeo.
22 Velocidades: de 9.600 bps a Gbps.
22 Redes: LAN, MAN, WAN e WLAN.
22 Mquinas: servidores, computador pessoal, mainframe, laptop e celular.
22 Plataformas: Mac, Intel, PowerPC, Sun, AMD etc.
22 Sistemas Operacionais: Windows, Linux, MacOS, FreeBSD, Solaris etc.
57
O TCP/IP foi criado por volta de 1974, a partir de um artigo escrito por VintCerf. Nos anos
80, ele foi se popularizando e se tornando o protocolo padro de comunicao na internet.
Atualmente, o TCP/IP considerado um padro de fato e o protocolo mais usado para
interconexo de sistemas heterogneos. Neste Captulo, veremos o funcionamento bsico
do protocolo TCP/IP, alm de algumas consideraes sobre segurana.
Famlia de protocolos TCP/IP

11 Formada por vrios protocolos; TCP e IP so os dois mais importantes: q
22 Transmission Control Protocol (TCP): protocolo da camada de transporte.
22 Internet Protocol (IP): protocolo da camada de rede.
11 Dividida em camadas com funes bem definidas.
11 Cada camada presta servio para a camada superior.
11 Funcionalidades das camadas de sesso, apresentao e aplicao do modelo OSI so

fornecidas por uma nica camada de aplicao no TCP/IP.
RM-OSI TCP-IP
Aplicao
Apresentao Aplicao
Sesso
Transporte Transporte
Rede Rede
Enlace Figura 4.1

Fsico Comparao entre
Fsico os modelos RM-OSI
e TCP/IP.
Camada fsica
Equipamentos de interconexo fsica. q
11 Hub.
11 Bridge.
11 Switch.
Endereamento fsico.
A camada fsica no padronizada no TCP/IP. Ela varia de acordo com a tecnologia de acesso
fsico utilizada (exemplo: Ethernet, ATM e PPP). Compreende tanto a camada fsica quanto a
camada de enlace do modelo RM-OSI.
Do ponto de vista de segurana, importante conhecer os principais tipos de dispositivos de

interconexo fsica utilizados e as implicaes de segurana de cada um desses dispositivos.
58
Hub (Ethernet)
11 Forma mais simples de interconexo em LANs. q
11 No possui inteligncia (processador).
11 Atua somente na camada fsica OSI.
11 Possui n portas.
11 Problemas:
22 Propaga rudo eltrico para todas as portas.
22 Faz broadcast do pacote a nvel fsico.
22 Segurana facilita escuta na rede (sniffing).
22 Interface de rede em modo promscuo (sniffer).
22 Cria domnio de coliso.
22 Permite apenas uma comunicao simultnea.
11 Uso de HUB est diminuindo gradativamente.
Figura 4.2
Modelo de hub.
Bridge (Ethernet)
11 um equipamento que conecta dois segmentos LAN. q
11 Possui inteligncia (processador).
11 Atua na camada de enlace OSI.
11 Possui duas portas.
11 Solues:
22 Imune a rudo eltrico.
22 No faz broadcast dos pacotes a nvel fsico.
22 Segurana evita sniffing entre suas portas.
22 Retransmisso seletiva: tabela porta x MAC (Ethernet).
22 Gera confinamento de trfego entre suas portas.

Captulo 4 - Arquitetura TCP/IP conceitos bsicos
22 Divide domnio de coliso.
Figura 4.3
Transceivers e
bridges Ethernet.
59
Problemas:
11 Permite apenas uma comunicao simultnea entre suas portas.
11 Cria domnio de broadcast nvel de enlace.
Switch (Ethernet)
uma bridge inteligente de n portas. q
Solues:
11 Permite vrias conexes simultneas entre suas portas.
11 Densidade maior de portas para conexo.
11 Dificulta escuta na rede.
11 Recursos avanados (autenticao, filtragem etc.).
Problemas:
11 Custo mais elevado.
11 Crescimento da rede (escalabilidade).
11 Broadcast nvel de enlace.
Figura 4.4
Switch de pequeno
porte.
Em termos de segurana, um switch sempre prefervel para interconexo em rede local

a um hub, porm o custo de um switch muito maior. Nesse caso, a relao entre custo e
segurana deve ser posta na balana. No caso do hub, os problemas de segurana podem
ser amenizados de outras formas, como o uso de criptografia.
Preveno: q
11 Topologia hierrquica.
22 Nvel 1: switch de ncleo (core) chassi.
33 Uma unidade, muitos recursos, alta performance, custo elevado.
22 Nvel 2: switch de distribuio.
33 Algumas unidades.
22 Nvel 3: switch de acesso.
33 Muitas unidades, menos recursos, menor performance, custo baixo.
11 Redes Microsoft Windows: uso de servidor Wins.
22 Diminui drasticamente o broadcast.
33 Uso de router para dividir domnios de broadcast.

60
Figura 4.5
Famlia de switches
de grande porte
(chassi).
Um switch pode suportar diversas tecnologias de acesso fsico (ATM, Ethernet e Gigabit
Ethernet) e diversos tipos de cabos e conectores (par tranado e fibra tica).
Endereamento fsico
Camada de enlace OSI: protocolo Ethernet. q
11 Usa endereo universal Media Access Control (MAC).
11 Hexadecimal: 6 conjuntos de 8 bits exemplo: 00:00:0c:40:df:51.
22 Trs primeiros conjuntos identificam o fabricante.
11 Endereos reservados.
22 FF:FF:FF:FF:FF:FF (broadcast).
22 01:00:5E:xx:xx:xx (multicast).
Padres:
w 11 Ethernet: 10 Mbps half duplex.
Para encontrar uma 11 Fast Ethernet: 100 Mbps full duplex.

tabela com os 11 Gigabit Ethernet: 1 Gbps full duplex.
fabricantes associados
aos trs primeiros
O protocolo Ethernet foi criado a partir do protocolo Aloha, criado na Universidade do
conjuntos de 8 bits,
acesse: http:// Hava, nos anos 70. Posteriormente, foi aprimorado pela Xerox, que criou o padro Ethernet
standards.ieee.org/ de 10 Mbps de transmisso. Hoje temos, ainda, o Fast Ethernet a 100 Mbps e o Gigabit Captulo 4 - Arquitetura TCP/IP conceitos bsicos
regauth/oui/oui.txt
Ethernet a 1 Gbps. O protocolo Ethernet opera com diversos tipos de cabeamento, como
fibra tica, par tranado (UTP) e coaxial.
Camada de rede
11 Protocolo IP. q
11 Endereamento IP
11 Subnetting.
11 Protocolos auxiliares.
11 Endereamento dinmico.
11 Roteamento.
61
A camada de rede responsvel por interligar as diferentes redes presentes na internet.
composta, principalmente, pelo protocolo IP (Internet Protocol). A camada de rede tem
por objetivo prover uma forma de transportar informao entre uma origem e um destino,
independentemente de essas mquinas estarem na mesma rede.
Protocolo IP (Internet Protocol)

11 Entrega o pacote e escolhe a rota entre os pontos local e remoto. q
11 Na camada de rede, a informao representada por datagramas IP.
11 Datagrama IP: cabealho (64 bytes no mximo) + rea de dados.
0 4 8 16 24 31
Ver IHL Service type Total lenght
Identier Flags Fragment oset
Time to live Protocol Header checksum
32 bit source address
32 bit destination address
Figura 4.6
Options and padding
Cabealho IP.
Campos do cabealho :
11 Ver: define a verso do protocolo. Atualmente, verso 4 (IPv4) e verso 6 (IPv6).
11 IHL: define o tamanho do cabealho, uma vez que ele no fixo.
11 Service Type ou Type of Service (TOS): representa uma classe de servio que pode ser
usada para priorizar certos trfegos, como voz e vdeo.
11 Total Length: define o tamanho total do datagrama IP. Tamanho mximo: 65535 bytes.
11 Identifier: identifica um fragmento no caso de o datagrama ter sido quebrado em

pedaos menores (fragmentos).
11 Flagse Fragment offset: campos auxiliares para ajudar a recompor fragmentos.
11 Time To Live (TTL): determina o tempo de vida do datagrama.
11 Protocol: define protocolo da camada de transporte; as opes so o TCP e o UDP.
11 Header checksum: verifica se as informaes do cabealho foram transmitidas sem

erros; o IP no garante a transmisso dos dados, apenas a do cabealho.
11 Source address: endereo IP de origem.
11 Destination address: endereo IP de destino.

11 Options: opes extras do IP.
O protocolo IP no um servio confivel:
11 Entrega com menor esforo.
11 Recuperao do pacote na camada superior.
O protocolo IP no um servio orientado conexo:
11 Pacotes so roteados independentemente.
11 Pacotes so entregues fora de ordem; reordenamento na camada superior.
62
Endereamento IP
Endereo universal de 32 bits escrito com quatro nmeros decimais que identifica q
unicamente uma interface de rede. Exemplo: 200.221.2.45.
0 8 32
Identicador Redes Classe A
0 Identicador de estao
de rede (de 1.0.0.0 a 127.255.255.255)
0 16 32
Redes Classe B
10 Identicador de rede Identicador de estao
(de 128.0.0.0 a 191.255.255.255)
24 32
Primeiros Identicador Identicador Redes Classe C
bits 110
de rede de estao (de 192.0.0.0 a 223.255.255.255)
Redes Classe D
1110 Reservados para multicast
(de 224.0.0.0 a 239.255.255.255)
Redes Classe E
11110 Reservados para uso futuro
(de 240.0.0.0 a 247.255.255.255)
Figura 4.7 11 Estrutura hierrquica, com diviso em duas partes: rede e estao.
Classes de
endereamento IP. 11 Diviso feita de duas formas: classe ou mscara.
11 Endereamento por classe (classful).
Endereos para propsitos especficos: q

11 0.0.0.0 Mquina em processo de inicializao.
11 127.xx.yy.zz Loopback (127.0.0.1 auto-teste da pilha TCP/IP).
Tabela 4.1 11 Primeiro IP da rede, por exemplo: 200.200.200.0 (endereo da rede 200.200.200.0/24).
Faixa de endereos 11 ltimo IP da rede, por exemplo: 200.200.200.255 (endereo de broadcast).
privados.
Nome Faixa de endereos Nmeros de Classful Maior bloco Referncia Captulo 4 - Arquitetura TCP/IP conceitos bsicos
IP privados IPs Descrio CIDR
8-bit block 10.0.0.0 16,777,216 Uma classe A 10.0.0.0/8 RFC 1597

10.255.255.255 RFC 1918
12-bit block 172.16.0.0 1,048,576 16 classes A 172.16.0.0/12

172.31.255.255
16-bit block 192.168.0.0 65,536 256 classes C 192.168.0.0/16

192.168.255.255
16-bit block 169.254.0.0 65,536 Uma classe B 169.254.0.0/16 RFC 3330

169.254.255.255 RFC 3927
63
Endereos reservados (intranet):
11 No necessrio que todas as mquinas internas possuam IP pblico.
11 Os roteadores da internet descartam qualquer trfego que use IP privado.
11 Probe que uma mquina interna abra conexo direta com servidor na internet e vice-versa.
11 Existem outras classes de IP e IPs especiais definidos na RFC 5735.
Subnetting (endereamento por sub-rede)

Subnetting a diviso de uma classe em redes menores. q
11 Classes A, B e C alocam muitos endereos para uma rede.
11 As faixas disponveis para endereos IP regulares esto terminando.
11 Intranet e servidores proxy permitem economia com endereos IP pblicos.
Parte do endereo reservado para estaes usada para enderear sub-redes.
Roteador provedor
Roteador provedor
Classful
Classless
Classe C
Cliente X Cliente Y Cliente Z Cliente X Cliente Z

200.200.200.0/24 200.200.201.0/24 200.200.202.0/24 200.200.200.0/29 200.200.200.16/29
Rede: 200.200.200.0 Sub-rede: 200.200.200.0 Sub-rede: 200.200.200.16
Brodcast: 200.200.200.255 Brodcast: 200.200.200.7 Brodcast: 200.200.200.23
Mscara = 255.255.255.0
11111111.11111111.11111111.00000000
Nmero de redes = 1
Cliente Y
Nmero de estaes = 254 (256-2) 200.200.200.8/29
Sub-rede: 200.200.200.8
Brodcast: 200.200.200.15
Mscara = 255.255.255.248
11111111.11111111.11111111.11111000
Nmero de redes = 2^5 = 32
Nmero de estaes = 6 (8-2)
Figura 4.8
Protocolos auxiliares (ARP, RARP e ICMP) Endereamento por
11 Na LAN Ethernet, o trfego segue endereamento MAC e no endereamento IP. q sub-rede.
11 Como descobrir o MAC de um IP qualquer de uma estao na LAN?
22 Address Resolution Protocol (ARP): mapeia endereo IP em endereo MAC.
11 Como descobrir o IP de um MAC qualquer de uma estao na LAN?
22 Reverse Address Resolution Protocol (RARP): mapeia endereo MAC em endereo IP.
64
11 Cache ARP: mantido em cada estao com os ltimos mapeamentos.
Camara de rede
Endereo IP
ARP RARP
Camara de enlace
Endereo MAC
Figura 4.9
ARP e RARP.
O ARP um protocolo fundamental para permitir que o IP trabalhe em cima de diferentes

tecnologias fsicas. Em uma rede local, a mquina de IP A quer falar com a mquina de IP B.
A mquina de IP A envia uma pergunta (ARP Broadcast) para toda a rede, querendo saber
qual mquina possui o IP B. Se a mquina de IP B estiver ativa na rede, ento responde para
a mquina A, se identificando.
A mquina com IP A mantm durante algum tempo uma tabela chamada tabela ARP, onde
fica mapeado o endereo (fsico) ARP e o endereo IP. Existem variaes do ARP para outras
ATM tecnologias, como o Atmarp, por exemplo, para redes ATM.
Asynchronous Transfer
Mode (Modo de Transfe- No Sistema Operacional Windows, execute:
rncia Assncrono)
uma tecnologia de C:\ arp a
rede que permite
transferir simultanea-
ICMP
q
mente numa mesma
linha dados e voz.
Internet Control Messages Protocol (ICMP):
11 Protocolo utilizado para a troca de mensagens de erro e controle entre estaes e

outros equipamentos de rede.
11 Ping: pacote ICMP dos tipos echo request e echo reply.
Principais tipos de ICMP:
11 Tipo 0 (echo-reply): a resposta de um ping.
11 Tipo 3 (destination unreachable): destino inalcanvel, usado para avisar ao host

solicitante sobre uma possvel falha de alcance a um host de destino.
11 Tipo 4 (sourcequench): avisa ao host solicitante para diminuir a intensidade da comuni-

cao: fale mais devagar.
11 Tipo 5 (redirect): redirecionamento um host informando ao solicitante para alterar

uma rota.
11 Tipo 8 (echo-request): a solicitao do ping.
11 Tipo 9 (router advertisement): anncio de roteador, usado para descobrir um roteador

na rede.
11 Tipo 10 (router solicitation): seleo de roteador, usado para descoberta de um roteador.
11 Tipo 11 (Time to Live exceeded): timeout de TTL (tempo de vida); um pacote pode estar
em loop, ou a rede congestionada.
11 Tipo 12 (IP header bad): cabealho do pacote IP com problemas.
65
Endereamento dinmico
11 Como configurar pilha TCP/IP de centenas ou milhares de estaes da rede? q
11 DHCP faz a atribuio automtica do endereamento IP para as estaes:
22 Configura automaticamente as estaes da rede quando conectadas.
22 Atribui endereo IP, mscara, default gateway e servidores de DNS.
22 Protocolo mais usado, sucessor do BOOTP, descrito na RFC 1541.
22 Atribui endereo com prazo definido.
A vulnerabilidade do DHCP permitir ao usurio malicioso ocultar sua identidade. Como

identificar uma estao atravs de seu endereo IP dinmico? Como filtrar o acesso de uma
mquina estranha rede?
Preveno:
11 Filtrar MAC das estaes;
11 Fixar IP a um MAC;
11 Tratar logs dos pedidos ao servidor DHCP.
Endereamento dinmico
O que DHCP?
Roteamento
Roteador: q
11 Estao que pode traspassar pacotes entre suas interfaces de rede.
11 Hardware especfico ou PC com Sistema Operacional e suporte ao roteamento TCP/IP.
Roteamento:
11 Processo inteligente que define a interface para qual o pacote ser enviado, valendo-se
de uma tabela de rotas.
11 Roteamento esttico ou manual.
11 Roteamento dinmico: protocolos RIP, OPSF, BGP etc.
Figura 4.10
Modelo de
roteador.
Tabela de rotas: q
11 Conjunto de regras que define a interface ou roteador que receber o pacote de
acordo com o endereo IP de destino.
11 A rota se baseia no endereo de destino.
11 Comunicao entre cliente A e servidor B.
11 Vulnerabilidade: no h verificao do endereo de origem ao longo do caminho.
66
Tabela de rotas Tabela de rotas
Destino Next Hop Destino Next Hop
200.200.200.0/24 Y 100.100.100.0/24 X
X Y
A>B
Http://200.200.200.1
Rota de ida
Endereo de origem = 100.100.100.1
Endereo de destino = 200.200.200.1
B>A
Rota de volta
Endereo de origem = 200.200.200.1
Endereo de destino = 100.100.100.1
A B
Figura 4.11 IP = 100.100.100.1 IP = 200.200.200.1
Tabela de rotas. Gateway = X Gateway = Y
Roteamento
O que roteamento?
O que so tabelas de rotas?
Camada de transporte
A camada de transporte do TCP/IP possui dois protocolos: q
11 TCP.
11 UDP. Captulo 4 - Arquitetura TCP/IP conceitos bsicos
A camada de transporte responsvel por criar um canal de comunicao entre duas apli-
caes. Esse canal pode ser confivel ou no, dependendo do protocolo usado. A aplicao
utiliza diretamente os servios da camada de transporte, sendo essa camada a responsvel
por toda a transmisso entre a aplicao de origem e a de destino. A camada de transporte
do TCP/IP possui dois protocolos: TCP e UDP. No momento da programao da aplicao,
deve ser informado o protocolo a ser usado de acordo com a necessidade.
TCP
11 Orientado para conexo, prov canal confivel fim a fim em rede no confivel, q
criando socket no emissor e no receptor.
11 Confiabilidade: o dado chegou ao destino? Retransmite.
11 Integridade: os dados chegaram em ordem correta? Reordena.
67
11 Socket: canal por onde fluem os dados; elo bidirecional de comunicao entre q
dois programas
22 IP (ID rede + ID estao) + TCP-UDP (ID porta) + ID processo (servidor/cliente).
Socket no cliente Socket no servidor

IP = 200.130.15.61 IP = 200.215.13.11
Porta TCP = 1024 Porta TCP = 80
Pid processo browser = x Pid processo http = y
Figura 4.12
www.dominio.com.br TCP: orientado
para conexo.
11 TCP: foi definido na RFC 793 e corrigido na RFC 1122, com extenses definidas na RFC 1323.
11 Porta TCP: nmero inteiro entre 0 e 65535 (16 bits) que, junto com os endereos IP asso-
ciados, identificam uma conexo no nvel de transporte do TCP/IP. Um processo servidor
necessita escutar uma porta para oferecer um servio, e um processo cliente necessita
alocar uma porta dinmica (maior que 1024) para utilizar o servio oferecido pelo servidor.
As portas TCP podem ser divididas em ranges, como demonstrado na tabela a seguir.
Incio Fim Nome
0 1023 Portas conhecidas
1024 49151 Portas registradas

Tabela 4.2
49152 65535 Portas particulares Tabela das portas
TCP.
Cabealho TCP
Estabelecimento de conexo TCP: q
11 Host1 envia sinal SYN para host2.
11 Host2 responde enviando sinal SYN combinado com sinal ACK.
11 Host1 responde com outro sinal ACK.
11 Conexo feita em trs transmisses.
11 Three-way handshake (triplo aperto de mos).
w
Mais informaes
podem ser obtidas em
http://www.iana.org/
assignments/port-
-numbers
68
0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 Host 1 Host 2
Source port Destination port SYN

(SEQ = x)
Sequence number
Acknowledgement number
SYN / ACK
(SEQ = y; ACK = x-1)
U A P R S F
Data
Tempo
R C S S Y I
oset Reserved Window
G K H T N N
Checksun Urgent Pointer ACK

(SEQ = x-1; ACK = y+1)
Options Padding
Data...
Cabealho TCP
Figura 4.13 Os campos do cabealho so:

Cabealho TCP
e o triplo aperto 11 Source port: porta de origem. Dinamicamente, primeira porta livre maior que 1024.
de mos.
11 Destination port: porta de destino. Deve ser conhecida.
11 Sequence number: nmero de sequncia.
11 Acknowledgement number: informa o prximo byte esperado pelo receptor.
11 TCP header length: informa o tamanho do cabealho TCP.
11 Reserved: seis bits reservados para uso futuro.
11 Flags: campos de 1bit que podem estar ligados (1) ou desligados (0).
11 URG (Urgent pointer): informa que existe informao urgente no pacote.
11 ACK (Acknowledge): indica a presena do campo Acknowledgement number.
11 PSH: indica que os dados devem ser imediatamente entregues para a aplicao.
11 RST: usado para reinicializar uma conexo com problemas.
11 SYN: usado para estabelecer conexes.
11 FIN: usado para finalizar conexes.
11 Window size: indica quantos bytes podem ser enviados de uma vez; controle de fluxo.
11 Checksum: verifica erros no cabealho e nos dados. Torna o TCP confivel.

11 Urgent pointer: indica onde esto os dados urgentes (flag URG).
11 Options: opes extras do cabealho TCP.
UDP
Protocolo no orientado para conexo, uma verso simplificada do TCP. q
11 No garante entrega.
11 No garante ordenamento.
11 No garante ausncia de erros.
69
Proporciona velocidade. q
11 Usado para streaming de vdeo.
11 Sinal de voz (VoIP).
11 Montagem de rede NFS.
Aplicaes de requisies e respostas simples.
11 Requisies de DNS.
Source port (16 bits) Destination port (16 bits)
Length (16 bits) Checksun (16 bits)
Data ... Figura 4.14

Cabealho UDP.
Os dois primeiros campos tm o mesmo propsito que o TCP, o de identificar as aplica-

es de origem e de destino. O campo length define o tamanho do pacote UDP (inclusive
os dados) e o checksum apenas verifica erros no cabealho. O UDP, por ser mais simples,
muito usado em servios em que a velocidade de transmisso mais importante que a
ausncia de erros, como a transmisso de voz e vdeo.
Camada de aplicao
H muitas aplicaes na internet. A lista seguinte mostra algumas delas e suas portas padro.
Aplicao Portas Descrio
Gmail TCP 465 Correio eletrnico SMTP com segurana (SSL).

TCP 995 Correio eletrnico POP3 com segurana (SSL).
Skype TCP 80 Telefonia VoIP via internet.

TCP 1024-65535 Trfego de voz.
UDP 1024-65535
eMule TCP 4662 P2P popular.

UDP 4672
Tabela 4.3
www TCP 80 World wide web, servios de pginas com hipertexto. Portas UDP.
Tipos de firewalls versus modelo OSI

11 O modelo OSI um modelo de referncia para que possamos compreender melhor a q
organizao hierrquica de servios e dispositivos de rede.
11 Podemos compreender melhor os tipos de firewalls a partir do ponto de vista do

modelo OSI, tanto quanto a atuao, quanto em relao categoria, que pode ser
Ativo ou Bridge.
70
Camada OSI
Camada Camada
7 Aplicao Aplicao
6 Apresentao Apresentao
5 Sesso Sesso
4 Transporte Transporte
Packet Filter
3 Rede IP / ICMP / IGMP Rede
2 Enlace Enlace
Figura 4.15
Packet Filter 1 Fsica Fsica
Camada OSI.
Packet Filter (filtro de pacotes)

Controle seletivo do fluxo de dados de uma rede, possibilitando o bloqueio ou no de
pacotes, atravs de regras normalmente baseadas em:
11 Endereos IP;
11 Protocolos (portas).
Possibilidade de tratar o incio da conexo (TCP SYN). Nesse caso, deixando de ser um mero
Packet Filter para ser um StateLess.
Embora um Packet Filter seja um firewall de camada 3, importante lembrar que

informaes de nmero de porta vm do cabealho UDP ou TCP, mas mesmo assim
definimos que um Packet Filter de camada 3. Todavia, devemos considerar porta
de origem e porta de destino, embora endereamento ainda seja um tratamento
simples para uma comunicao de dados. Captulo 4 - Arquitetura TCP/IP conceitos bsicos
71
Stateful (Filtragem com Estado de Conexo)
Camada Camada
7 Aplicao Aplicao
Statefull Packet
5 Sesso Sesso
4 Transporte TCP / UDP TCP / UDP Transporte
Figura 4.16
Stateful
2 Enlace Enlace Camada OSI.
1 Fsica Fsica
Alm de ter a mesma capacidade de tratamento de pacotes que um firewall Packet Filter,
esse tipo de tecnologia tambm pode manter o estado das conexes por meio de mquinas
de estado. Alguns firewalls ainda so capazes de atuarem como proxy de conexes de
servios especficos ou simplesmente analisarem o contedo de um pacote buscando perfis
de ataques, embora muitos administradores optem por ter essa anlise de ataques em
sistemas de deteco de intrusos (IDS). Dessa forma, os firewalls que se enquadram nessa
tecnologia possibilitam:
11 Deteco e bloqueio de stealth scans;
11 Realizao do controle seletivo do fluxo de dados e tratamento do cabealho TCP;
11 Ser capaz de lidar com protocolos mais especficos, como FTP (ativo e passivo);
11 Manter informaes de estado de conexo;
11 Manipulao de campos de um datagrama.
11 Capacidade de manipular o payload do pacote, inclusive tendo a possibilidade de atuar

procurando strings de ataque.
72
Bridge Statefull
Camada Camada
7 Aplicao Aplicao
Statefull Packet
5 Sesso Sesso
4 Transporte TCP / UDP TCP / UDP Transporte
2 Enlace Bridge - MAC Enlace
Figura 4.17
Bridge Statefull 1 Fsica Fsica
Camada OSI.
Tipos de firewall
Ativos que podem ser implantados tanto em fronteira de redes com gateway, como tambm
em ambiente departamental so identificveis com host, pois possuiro um IP e sero
acessveis atravs dele. Todavia, um firewall que atua com um proxy ARP (bridge como uma
ponte na camada de enlace) na fronteira da rede extremamente estratgico, pois no tem
IP, isto , s acessvel localmente ou por outra mquina que tenha uma comunicao serial
com o firewall.
Solues de firewall
11 PF*: original do OpenBSD, disponvel na srie 5 do FreeBSD. q
11 Iptables (netfilter)**: soluo Stateful nativa do Linux.
Figura 4.18 11 Ebtables: soluo de Firewall Bridge para Linux.

Solues de firewall
Camada OSI.
Statefull Packet (IPFW, PF*, Iptables**)
Aplicao Aplicao
Apresentao Statefull Packet (IPFW) Apresentao
Sesso Sesso
Transporte StateLess Packet (IPChains) Transporte
Rede Rede Packet Filter (IPFWADM) Rede Rede
Enlace Enlace Enlace EBtables Enlace Enlace Enlace
Fsica Fsica Fsica Fsica Fsica Fsica Fsica Fsica
73
Kernel 2.0.x
11 IPF: PacketFilter.
11 IPFWADM: PacketFilter.
Kernel 2.2.x
11 IPChains: PacketFilter.
11 Sinus: PacketFilter.
Kernel 2.4.x / 2.6.x

11 Iptables (Netfilter): Stateful Packet.
Solues Open Source Stateful

11 IPFW2: disponvel em sistemas FreeBSD.
11 IPFW2 e PF: disponvel em sistemas FreeBSD e OpenBSD.
11 IPF: Solaris 10.
No Linux, o nome do firewall presente no Kernel o Netfilter, sendo o Iptables a interface

para acess-lo.
Sniffers
11 Sniffer (farejador). q
11 Equipamento ou software para escutar ou farejar o que passa pela rede.
11 Geralmente associado a um analisador de protocolos.
Normalmente uma placa de rede somente escuta o que foi direcionado para ela (seu
equipamento) ou pacotes que so enviados para a rede toda (broadcast). Um sniffer coloca a
placa de rede em um modo chamado de promscuo, onde a placa passa a escutar tudo o
que est passando pela rede. Dependendo do tipo de equipamento de interconexo, hub ou
switch, possvel escutar os pacotes passando pela rede com maior facilidade.
Mesmo no sendo impossvel, o uso de switches dificulta o sniffing, pois os pacotes dire-
cionados a uma mquina so enviados diretamente para aquela mquina, diferente do hub,
que replica todos os pacotes por todas as portas.
Em conjunto com um analisador de protocolos, podemos ver o que est acontecendo em

nossa rede. As ferramentas mais conhecidas so as do TcpDump, atuando em linha de
comando, e o Wireshark, em ambiente grfico. Ambas as ferramentas so abertas e esto
disponveis para um grande nmero de sistemas operacionais e distribuies diferentes.
74
Atividade 4.1 Sniffers para captura de dados
1. Abra o Wireshark:
11 Ative a captura de pacotes da placa de rede ethernet;
11 No campo Filtro, digite FTP e clique em Apply.
11 Acesse o site ftp.unicamp.br;
11 Digite aluno como usurio e como senha digite 123456;
11 Pare a captura de pacotes e verifique se voc consegue visualizar o usurio

e a senha informados.
Atividade 4.2 Estados de firewall

O Netfilter um framework dentro do kernel do Linux, onde os mdulos do Iptables se
conectam para realizar a filtragem de pacotes.
Tabelas
11 Filter filtragem de pacotes;
11 NAT traduo de endereos;
11 Mangle marcao de pacotes, QoS.
Polticas
Comear em DROP ou ACCEPT.
Chains
11 INPUT entrada no firewall;
11 OUTPUT sada do firewall;
11 FORWARD passagem pelo firewall.
Criao de regras
11 -A adiciona a regra ao final da chain;
11 -I insere a regra no comeo da chain;
11 -D apaga a regra.
Padres de casamento
11 -s casa com origem do pacote;
11 -d casa com destino do pacote;
11 -i interface de entrada;
11 -o interface de sada;
11 -p protocolo, que pode ser dos tipos TCP, UDP e ICMP.
75
1. Filtragem simples (Stateless)
11 Logue no shell como root e mude a poltica padro da chain OUTPUT para DROP:
# iptables -P OUTPUT DROP

11 Tente estabelecer uma conexo http;
11 Crie uma regra na chain OUTPUT para permitir que sua mquina estabelea uma
conexo http:
# iptables -A OUTPUT -p tcp --dport 80 -j ACCEPT
No se esquea de criar uma regra para conexes DNS do tipo UDP porta 53.
11 Mude a poltica padro da chain INPUT tambm para DROP. Ainda possvel estabelecer
conexes http?
11 Crie uma regra na chain INPUT para permitir que sua mquina estabelea uma conexo http.
2. Filtragem com Estado (Stateful)

11 Remova as regras da chain INPUT;
11 Crie uma regra genrica para permitir conexes estabelecidas:
# iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT
11 Tente novamente estabelecer uma conexo http;
11 Voc capaz de descrever a diferena entre filtros Stateless e Statefull?

76
5
Arquitetura TCP/IP e segurana
Mostrar os problemas inerentes famlia TCP/IP (exploits e vulnerabilidades) e
objetivos
informar as solues disponveis; apresentar os problemas especficos em

implementaes da famlia de protocolos; indicar mecanismos de defesa contra
vulnerabilidades de protocolo.
conceitos
Varreduras, DOS bsico e conceitos relacionados segurana em rede TCP/IP.
Arquitetura TCP/IP e segurana
O que TCP/IP?
Introduo
Tipos de ataques inerentes ao protocolo: q
11 Sniffers.
11 Sourcerouting.
11 DoS.
11 Spoofing.
Captulo 5 - Arquitetura TCP/IP e segurana
11 SYN flood.
11 Smurf.
11 Portscan.
11 DDoS.
Vulnerabilidade em implementaes especficas:
11 Ping da morte.
11 Teardrop.
11 Land.
77
A famlia de protocolos TCP/IP, apesar de largamente utilizada, no perfeita. Existem falhas
conhecidas no projeto do protocolo e tambm na implementao em alguns sistemas espe-
cficos. Essas falhas so frequentemente exploradas por usurios maliciosos, especialmente
as falhas de projeto, uma vez que no so facilmente resolvidas.
Muitas das falhas no tm soluo total em muitos casos, sendo possvel apenas diminuir
seu efeito.
No captulo anterior, vimos o funcionamento da famlia TCP/IP com padro para acesso
internet. Neste captulo, faremos algumas consideraes sobre a famlia de protocolos e
veremos alguns ataques conhecidos referentes ao protocolo TCP/IP. Alguns desses ataques
so inerentes ao projeto do protocolo, enquanto outros so problemas de uma implemen-
tao especfica.
Sniffers (farejadores)
Programa que escuta a rede em busca de informaes importantes. q
11 Uso benigno: anlise de trfego, diagnstico de problemas e base para IDS.
11 Uso maligno: quebra de confidencialidade e captura de senhas.
11 Deteco: uso da placa Ethernet em modo promscuo.
11 Hub: alvo fcil de um sniffer.
No. Time Source Destination Protocol Info

7 0.296046 192.188.11.45 200.144.121.118 IMAP Response: *ok [CAPABILITY IMAP4rev1 UIDPLUS CHILDREN NAMESPAC
8 0.297487 192.188.11.45 200.144.121.118 IMAP Response: *ok [CAPABILITY IMAP4rev1 UIDPLUS CHILDREN NAMESPAC
9 0.301595 200.144.121.118 192.188.11.45 IMAP Request: xqbn CAPABILITY
10 0.305416 200.144.121.118 192.188.11.45 IMAP Request: z1s1 CAPABILITY
11 0.449008 192.188.11.45 200.144.121.118 IMAP Response: * CAPABILITY IMAP4rev1 UIDPLUS CHILDREN NAMESPAC TH
12 0.449010 200.144.121.118 192.188.11.45 IMAP Request: 8011 LOGIN 1vocarv
13 0.619910 192.188.11.45 200.144.121.118 IMAP Response: 80j1 OK LOGIN OK
14 0.622805 200.144.121.118 192.188.11.45 IMAP Request: 8udg IDLE
15 0.770388 192.188.11.45 200.144.121.118 IMAP Response: + entering idle mode
16 0.771295 200.144.121.118 192.188.11.45 IMAP Request: DONE
17 0.918462 192.188.11.45 200.144.121.118 IMAP Response: 8udg OK IDLE completed
18 0.919316 200.144.121.118 192.188.11.45 IMAP Request: fylu STATUS INBOX (MESSAGES UNSEEN)
19 1.085944 192.188.11.45 200.144.121.118 IMAP Response: * STATUS INBOX (MESSAGES 567 UNSEEN 0)
20 1.087351 200.144.121.118 192.188.11.45 IMAP Request: nki2 IDLE
21 1.220460 192.188.11.45 200.144.121.118 IMAP Response: + entering idle mode
22 1.221308 200.144.121.118 192.188.11.45 IMAP Request: DONE
23 1.368564 192.188.11.45 200.144.121.118 IMAP Response: nki2 OK IDLE completed
24 1.369383 200.144.121.118 192.188.11.45 IMAP Request: 55I1 STATUS INBOX.drafts (MESSAGES UNSEEN)
Frame 12 (90 bytes on wire , 90 bytes captured)

Ethernet II, src: 00:02:55:5d:0a:a0, Dst: 00:04:ac:66:21:a6
Internet Protocol, Src Addr: 200.144.121.118.(200.144.121.118), Dst Addr: 192.188.11.45 (192.188.11.45)
Transmission Control Protocol, Src Port: 2725 (2725), Dst Port: imap (143), seq:18, Ack: 404, Len:36
Internet Message Access Protocol
0010 00 4c 39 13 40 00 80 06 b3 a8 c8 90 79 76 c0 bc .L9.@... ....yv..

0020 0b 3d 0a a5 00 8f c6 5c c0 bc 47 0b 38 6d 50 18 \ C (mD
0030 fe 6c 6a 79 00 00 38 30 6a 31 20 4c 4f 47 49 4e .ljy..80 j1 LOGIN
0040 20 22 69 76 6f 63 61 72 76 22 20 22 66 69 73 68 ivocar v
0050 40 72 6e 70 34 35 21 22 0d 0a ..
Podemos comparar um sniffer a um grampo telefnico; a diferena que, no caso do sniffer, Figura 5.1
existe a possibilidade de escutar diversas conversas ao mesmo tempo. claro que as infor- Ferramenta sniffer
capturando uma
maes capturadas podem ser usadas para o bem ou no. Utilizando placas de rede Ethernet sesso IMAP.
em modo promscuo, possvel capturar trfego com destino a outras mquinas da rede.
78
Switch: impede a escuta da rede: q
11 Sofre ataque CAM table flooding (MAC spoofing).
11 Envio de requisies ARP falsas com endereos MACs randmicos.
11 Estouro da tabela de MACs.
Preveno:
11 Configurar manualmente uma tabela CAM.
11 Filtrar MAC na porta.
11 Usar criptografia.
Detectar um sniffer em uma rede tarefa rdua e trabalhosa. Um sniffer no necessita ser
um equipamento (ou mquina) independente: pode ser um microcomputador (servidor,
desktop ou notebook), configurado para esse fim. Em sistemas baseados em Unix, somente
o administrador (root) consegue colocar a placa de rede em modo-promscuo. Colocar
uma placa de rede em modo-promscuo altera seu funcionamento, fazendo com que a placa
de rede tenha acesso a todo o trfego de rede que est passando pelo segmento, e no
somente ao trfego direcionado a esse equipamento.
Em equipamentos do tipo Linux, o comando ifconfig pode auxiliar na deteco de placas de

rede em modo-promscuo.
root@laptop:~# ifconfig eth0
eth0 Link encap:Ethernet HWaddr 08:00:27:f1:5d:77
inet addr:10.0.2.15 Bcast:10.0.2.255 Mask:255.255.255.0
inet6 addr: fe80::a00:27ff:fef1:5d77/64 Scope:Link
UP BROADCAST RUNNING PROMISC MULTICAST MTU:1500 Metric:1
RX packets:434 errors:0 dropped:0 overruns:0 frame:0
TX packets:454 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:252773 (252.7 KB) TX bytes:36161 (36.1 KB)
Interrupt:10 Base address:0xd020
No exemplo anterior, podemos ver a mensagem PROMISC, indicando que a placa de rede
est em modo-promscuo. O uso de switches em redes no resolve 100% o problema, pois
existem varias tcnicas que se empregadas e/ou combinadas podem fazer com o que o
trfego seja direcionado para outros equipamentos e capturado.
Source routing (roteando pela fonte)

11 Opo especial do pacote IP, facilita o spoofing. q
11 O invasor faz o datagrama passar por uma rota especfica.
79
11 Preveno: q
22 Desabilitar o roteamento de pacotes source-routed.
22 No roteador Cisco, executar o comando:
no ip source-route
22 No roteador Linux:
/etc/sysctl.confysctl.conffLinux: executar o ce_route=0
Hoje, no ambiente da internet, no existem motivos legtimos que provocariam a necessi-

dade de ditar o caminho que o pacote dever percorrer at chegar ao seu destino.
Desde que o roteamento seja feito apenas de ou para uma respectiva rede privada, deve-se
atentar para o cuidado de no aceitar pacotes no roteador de borda que instruam esse rote-
ador a encaminhar pacotes para outra rede.
Mais informaes sobre source routing podem ser obtidas na RFC 791.
DoS (Denial of Service)

Denial of Service (DoS negao de servio) uma tentativa explcita de impedir o uso q
de servio por usurio legtimo.
Exemplos:
11 Inundao da rede, impedindo seu trfego legtimo.
11 Quebra de conexo entre duas mquinas, impedindo acesso ao servio.
11 Indisponibilidade de servio para uma rede ou usurio.
Tipos de ataque:
11 Consumo de recursos escassos, no renovveis.
22 Banda, CPU, memria, espao em disco: SYNflood, smurf, e-mail, bombing e spamming.
11 Destruio ou alterao de configurao.
22 Alterao de configurao em Sistemas Operacionais e roteadores.
11 Destruio ou alterao fsica de componentes de redes.
22 Acesso no autorizado sala dos servidores e destruio intencional de mquina.
De acordo com a definio do Computer Emergency Response Team (CERT), os ataques DoS,
tambm denominados Ataques de Negao de Servio, consistem em tentativas de impedir
usurios legtimos de utilizarem um determinado servio de um computador. Para isso, so
usadas tcnicas que podem:
1. Sobrecarregar uma rede a tal ponto que os seus verdadeiros usurios no consigam us-la.
2. Derrubar uma conexo entre dois ou mais computadores.

3. Fazer tantas requisies a um site at que ele no consiga mais ser acessado.
4. Negar acesso a um sistema ou a determinados usurios.
Preveno: q
11 Implementar filtros em roteadores e firewalls.
11 Implementar proteo contra SYNflood.
11 Habilitar quota para as contas.
80
11 Monitorar: espao em disco, consumo de CPU, memria e trfego de rede. q
11 Examinar periodicamente itens de segurana fsica com respeito s necessidades atuais.
11 Usar IDS (tripwire) para checar alteraes em arquivos de configurao.
11 Manter mquinas hot spare.
11 Manter configuraes de rede redundantes e tolerantes a falhas.
11 Manter agendamento de backup regularmente.
11 Manter poltica rgida de senhas.
11 Desabilitar qualquer servio de rede desnecessrio ou que no seja usado.
11 Servidor Linux: # netstat atunp (quais servios esto ativos e por qu?).
difcil falar em preveno desse tipo de ataque, pois a maioria das ocorrncias vistas atual-
mente exploram o consumo de recursos, como link de internet ou CPU do servidor.
Negao de servio
O que Denial of Service (DoS) e como pode se prevenido?
Spoofing
11 E-mail spoofing. q
11 IP spoofing:
22 Blind-spoofing.
22 Non-blindspoofing.
22 ARP spoofing.
22 DNS spoofing.
22 Roteamento.
11 Spoofing significa enganando.
22 Ato de falsificar identidade na rede para enganar um usurio.
11 Existem diversas formas de enganar:
22 IP: burlando mecanismos de autenticao
22 DNS: domnio apontando para endereo falso

22 Web: pgina falsa de servios legtimos
22 E-mail: mensagem falsa
22 Roteamento etc.
qualquer procedimento que envolva personificao de usurios ou mquinas, incluindo

endereos IP e consultas em servidores de nomes. So usados para obter acesso no
autorizado ou para esconder tentativas de ataque.
81
E-mail spoofing
11 Invasor forja remetente da mensagem. q
11 Servidor SMTP envia mensagem, no verificando identidade do remetente.
11 Spam: forma usual de e-mail spoofing usada por spammers.
11 Exemplo de ataque de engenharia social:
22 Solicitao ao usurio legtimo de acesso a site suspeito.
22 Solicitao ao usurio legtimo de envio de senha para um endereo determinado.
11 Preveno:
22 Evitar servidor open relay.
22 Verificar MX do domnio do servidor do remetente.
22 Usar autenticao segura para SMTP e POP3.
22 Usar servidor antispam. Soluo Linux popular: SpamAssassin.
22 Usar RealTime Blackhole List (RBL): cadastro de spammers.
22 Reforar configurao do servidor de correio.
22 Conscientizao dos usurios.
Spam w
O CERT disponibiliza
Nome originado de uma marca americana de presunto enlatado. Num filme da srie Monty uma srie de recomen-
Phyton, um grupo de vikings repete esse nome diversas vezes em um bar. Consiste em correio daes sobre e-mail
spoofing no endereo
eletrnico no solicitado, associado a correntes e malas diretas de propaganda. De acordo
http://www.cert.org/
com estimativas atuais, mais de 50% do correio eletrnico que trafega no mundo spam. tech_tips/email_spoo-
fing.html
IP spoofing
Falsificao do endereo de origem do pacote IP. q
11 Atacante na estao A envia para C um pacote com origem igual a B.
11 Resposta de C ir para a estao B.
Tcnicas associadas para ataque no protocolo TCP:
11 Blind spoofing (ataque cego):
22 Conexo usa tree-way handshake e Initial Sequence Number (ISN) randmico.
22 Atacante tenta predizer nmero sequencial e executar cdigo.
d
11 Non-blind spoofing:
22 Atacante est no meio da conexo, capturando trfego com sniffer.

Saiba Mais
22 Atacante conhece o nmero da sequncia gerado.
Leia o artigo Com-
22 Uso de DoS para sequestro de conexo: Man-in-the-middle.
preendendo Ataques
Denial of Services, de
O protocolo TCP possui alguns mtodos de controle, tentando evitar que esse tipo de ataque Leandro Mrcio Ber-
acontea. Alguns sites com informaes sobre IP spoofing: tholdo, Andrey Vedana
Andreoli e Liane
11 http://www.symantec.com/connect/articles/ip-spoofing-introduction Tarouco.
http://www.cert-rs.tche.
11 http://www.cert.org/advisories/CA-1996-21.html br/docs_html/ddos-
q
-errc-2003.pdf
11 ARP spoofing: envenenamento da tabela ARP (ARP poisoning).
11 DNS spoofing: servidor falso responde a consultas redirecionando o acesso.
82
Regras anti-spoong iptables
Pacote entrando na interface x endereo de origem
# Regra iptables anti-spoong interface externa

Interface eth1
-A INPUT -p ip -s 10.0.0.0/8 -i eth1 -j DROP
-A FORWARD -p ip -s 10.0.0.0/8 -i eth1 -j DROP
# Regra iptables anti-spoong interface externa

Interface eth0 -A INPUT -p ip ! -s 10.0.0.0/8 -i eth0 -j DROP
-A FORWARD -p ip ! -s 10.0.0.0/8 -i eth0 -j DROP
Figura 5.2
Regras Rede interna
antispoofings. IP = 10.0.0.0/8
Medidas tomadas pelos administradores:
11 Usar filtros ingress e egress: nenhum pacote deve sair da sua rede com um endereo IP
de origem que no pertena a essa rede; tampouco devem entrar pacotes com endereos
de origem de dentro da sua rede. Esse tipo de filtragem comum, e muitas ferramentas
de firewall j a implementam automaticamente.
11 Nmeros de sequncia randmicos: se a regra de formao dos nmeros de sequncia

for suficientemente randmica, o atacante no conseguir sequestrar ou falsificar uma
conexo.
11 Criptografia e autenticao: confiar somente no endereo IP uma poltica que favo-

rece o spoofing. Sistemas seguros devem criptografar a informao sensvel e exigir
meios de obter uma autenticao forte entre as partes.
Preveno
11 Portsecurity: especificaes de segurana de switch Ethernet.
11 ARP watch: monitora mudanas na tabela ARP.

11 ISN mais randmico (kernel).
11 Criptografia e autenticao forte.
11 Filtros ingress-egress no firewall.
11 Kernel Linux:
for f in /proc/sys/net/ipv4/conf/*/rp_filter; do echo 1 > $f done
Roteamento: q
11 Ataque combinando IP spoofing e roteamento dirigido.
11 Redireciona a resposta para a mquina do atacante.
83
Protocolo de roteamento dinmico. q
11 Ausncia de mecanismos de autenticao.
11 Proporciona anncio indevido de rota falsa.
11 Exemplo: RIP.
Preveno.
11 Uso de roteamento esttico ou manual.
11 Uso de protocolos mais modernos com autenticao: RIPv2 e OSPF.
SYN flood
Ataques de Flood ou Flooding consistem em inundar um sistema ou canal de comunicao,
numa tentativa de utilizar ao mximo os recursos e causar um DoS.
Popular ataque de negao de servio (DoS), afeta critrio de disponibilidade. q

Entendendo o ataque:
11 Envio de pacotes SYN com endereos de origem randmicos (IP spoofing).
11 Excesso de conexes no servidor sem confirmao.
11 Estouro de buffer: novas conexes no so aceitas at o esvaziamento do buffer

(DoS); ataque contnuo.
Preveno.
11 No existe soluo 100% segura.
11 Configuraes especficas para cada Sistema Operacional.
Atacante Vtima
SYN
Tempo
Figura 5.3
Ataque SYN flood.
Algumas sugestes de configurao visando mitigar esse tipo de ataque em sistemas Linux.
/etc/sysctl.conf net.ipv4.tcp_syncookies=1
Firewall iptables:
# chama chain flood
$iptables A INPUT p tcp syn j flood
# cria chain flood
$iptables n flood
$iptables -A flood m limit limit 12/second -limit-burst 24 j return
$iptables -A flood -j log_flood

84
w Apesar de muitos fabricantes terem tomado medidas para diminuir os efeitos desse ataque,
ainda no existe uma forma 100% eficiente para impedi-lo.
Mais informaes sobre
SYN flood podem ser
encontradas em: Smurf
q
http://www.cert.org/
advisories/CA-1996-21. Ataque do tipo DoS, que usa o recurso directed broadcast da pilha TCP/IP.
html e http://cr.yp.to/
Entendendo o ataque:
syncookies.html
11 Atacante descobre uma lista de endereos que podem ser utilizadas como
redes amplificadoras.
11 Atacante pinga broadcast das redes (echo request) com IP da vtima (IP spoofing).
11 Redes respondem com echo reply, inundando a vtima com pacotes ICMP.
Preveno:
11 Filtrar broadcast.
11 Roteador Cisco: no IP directed-broadcast.
22 Kernel Linux: /etc/sysctl.conf g net.ipv4.icmp_echo_ignore_broadcasts=1
w
Mais informaes
podem ser obtidas no
endereo: http://www.
cert.org/advisories/ Rede
amplicadora 1 Atacante
CA-1998-01.html
Rede
amplicadora 2
Rede
amplicadora 5
Rede
amplicadora 3 Vtima
Brodcasts falsicados
Rede
Figura 5.4 Respostas amplicadas
amplicadora 4
Ataque smurf.
Infelizmente, no existe forma eficiente de a vtima se proteger, mas as redes amplificadoras

podem bloquear pacotes directed broadcast. Toda difuso externa rede deve ser blo-
queada no primeiro roteador disponvel.
Modelo de ataque fraggle

Todas as mquinas que receberam o datagrama UDP com IP de origem forjado res- q
pondem para a mquina vtima com ICMP Type3.
85
Atacante
UDP
Internet
Figura 5.5
Modelo de ataque
Mquina alvo fraggle.
Ataques com fraggle e smurf so mais difceis de ocorrer, devido ao fato de muitas redes
terem mtodos para no permitir trfego muito alto desses tipos de pacote.
Modelo de ataque DRDOS

Todas as mquinas que receberam o TCP/SYN com o IP de origem forjado respondem q
para a mquina vtima com TCP/SYN-ACK e, por sua vez, a mquina vtima responde a
todos os pacotes com TCP/RST.
86
Atacante
TCP/SYN
Internet
Figura 5.6
TCP
Modelo de ataque Mquina alvo SYN+ACK
DRDOS.
Portscan (varredura de portas)

Atividade maliciosa de reconhecimento que descobre servios ativos na mquina. q
11 Primeira medida para descobrir vulnerabilidades em servios.
11 Passo inicial de muitos ataques.
11 Verificao das respostas com endereo de retorno necessrio permitindo rastrear origem.
11 Detectvel via logs: servidor, firewall e IDS.
Preveno.
11 Realiz-lo periodicamente na sua rede.
11 Analisar periodicamente os logs e reportar portscan.
11 Teste sua rede: http://www.pcflank.com/scanner1.htm
Em mquinas com o protocolo TCP/IP instalado, servios esto associados a portas, que
variam de 0 a 65535. Cada servio tem ou pode ter uma porta associada. Assim um servidor
Web funciona na porta 80 e um servidor Web seguro (HTTPS) funciona na porta 443.
O Portscan o processo de verificao da existncia de algum servio em uma porta. Para

fazer isso, o atacante tenta basicamente se conectar (efetuar um three-way-handshake do
protocolo TCP/IP) em cada porta. Dependendo do tipo de resposta, sabemos se a porta est
aberta (funcionando e atendendo a requisies) ou no.
Entre as muitas ferramentas existentes para esse fim, o Nmap (http://nmap.org) uma das
mais completas ferramentas, funcionando em diversos Sistemas Operacionais diferentes.
O Nmap possui funes permitindo a identificao do Sistema Operacional alvo, assim
como modelo e verso dos servios testados. Conta com diversas tcnicas, explorando ao
mximo os protocolos vinculados ao IP. Atualmente possui inclusive a capacidade de scripts,
podendo efetuar tarefas automatizadas. Mesmo existindo uma interface grfica chamada
ZenMap, o Nmap utilizado em linha de comando continua sendo o mais utilizado.
87
Figura 5.7
Programa de
portscan.
Distributed Denial of Service (DDoS)

11 O mal possui poder de organizao ataque distribudo de negao de servio. q
11 Ataque coordenado com mltiplas origens atacando, difcil de executar.
11 Caractersticas:
22 IP spoofing, difcil de rastrear.
22 Largura de banda intensiva.
22 Combina: SYN flood, UDP flood, ICMP flood, smurf e fraggle.
22 Ferramentas: Trin00, TFN e TFN2k.

88
N cliente
N handler
ou master
...
N agente
... ... ... ou zumbi
... ... ...
Figura 5.8 Vtima

Ataque DDoS.
Entendendo o ataque: q
11 Atacante invade mquinas explorando vulnerabilidades, vrus e worms.
11 Programa DDoS instalado nas mquinas (escravas ou zumbis).
11 Controle central direciona todos os escravos para ataque DoS concentrado.
Sites famosos, como Yahoo! e eBay, j sofreram ataques desse tipo. Mais informaes sobre
DDoS podem ser encontradas em:
11 http://www.sans.org/dosstep/roadmap.php
11 http://www.cert.org/incident_notes/IN-2000-01.html
Recentemente, tem crescido uma atividade relacionada ao DDoS: as botnets. So redes
w de mquinas infectadas com algum programa malicioso que faz com que um atacante
remoto seja capaz de ter controle total sobre essas mquinas. Elas se conectam automa-
botnets e IRC: ticamente a uma rede de Redes de conversao on-line (Internet Relay Chat IRC) por
http://www.irc.org/ um servidor IRC comprometido. Esse servidor normalmente chamado de Command and
e http://www.
Control Server (C&C). Conectando-se nesse servidor, o atacante pode enviar um comando
securityfocus.com/
news/9543 para todas as mquinas que esto naquele canal do servidor, comandando um ataque
DDoS contra uma vtima.
89
DDoS (DoS distribudo)
Preveno: q
11 Link de internet com adicional de largura de banda, disponibilizado ou em modo hot
standby, para operao normal, ou a pedido para o provedor.
11 Trfego separado: um provedor para acesso da internet aos servidores pblicos e

outro provedor para acesso da rede interna internet.
11 Conversar com o seu provedor sobre:
22 Defesas DoS implementadas e disponveis.
22 Informaes sobre contatos de emergncia (qual o CSIRT do provedor?).
22 Qual o backbone (provedor) do seu provedor?
Preveno:
11 Implementar filtros de trfegos maliciosos.
11 Implementar endereos privados para entrada e sada no firewall (interface externa).
22 Trfego com endereo de origem ou de destino, como broadcast, provavelmente

malicioso (quarto octeto igual a 0 ou 255).
11 Endereos de loopback no podem trafegar na rede.
11 Filtrar trfego utilizando regras antispoofing.
11 Implementar poltica rigorosa de antimalware.
DDoS
O que DDoS (DoS distribudo) e como pode ser prevenido?
Modelo de ataque DDoS em duas camadas

Exemplo simples, onde o cracker ativa todos os zumbis diretamente; esse primeiro q
modelo foi implementado na ferramenta TFN.
90
Atacante
Mquinas zumbis
Figura 5.9
Modelo de ataque
Mquina alvo
DDoS em duas
camadas.
Modelo de ataque DDoS em trs camadas

11 Exemplo mais arrojado, onde o cracker ativa todos os zumbis atravs de uma ou mais q
mquinas de controle denominadas Master.
11 Esse modelo foi implementado na ferramenta TFN2K.
Atacante
Master
Mquinas
zumbis
Figura 5.10
Modelo de ataque Mquina alvo
DDoS em trs
camadas.
91
Modelo de ataque DDoS/Worm
A evoluo de DDoS como o worm Mydoom; o conceito de verme agregado ao DDoS q
mostra seu poder.
Observamos que uma ao comum nos desenvolvedores de worm us-los para criar pos-
sibilidades de ataques DDoS, tornando os computadores infectados zumbis; outra possibili-
dade tornar os computadores infectados parte de uma grande botnet.
Vulnerabilidades em implementaes especficas

11 Ping of death (ping da morte). q
11 Teardrop.
11 Land.
Ping da morte
11 Tipo de ataque DoS. q
11 Consiste no envio de ICMP ping com pacote de dados maior que 64 Kbytes, causando
travamento ou reinicializao da mquina Microsoft Windows atacada.
11 Vulnerabilidade muito antiga.
11 Preveno:
22 Upgrade das verses dos Sistemas Operacionais.
22 Firewall iptables Linux:
$iptables -A FORWARD -p icmp --icmp-type echo-request -m limit

--limit 1/s -j ACCEPT
Teardrop
11 Ataque do tipo DoS. q
11 Campo fragmentation offset do TCP com valores nulos ou negativos.
11 Afeta Microsoft Windows 3.1, Windows 95, Windows NT, verses do kernel Linux at
2.0.32 e 2.1.63.
11 Causa travamento da mquina atacada.
11 Preveno:
22 Upgrade das verses dos sistemas operacionais.
22 Firewall iptables Linux:
22 $iptables -A INPUT -f -j DROP

22 $iptables -A FORWARD -f -j DROP
Land
11 Ataque do tipo DoS. q
11 Envio de pacotes SYN com IP e porta de origem iguais ao IP e porta de destino.
11 Usa tcnica de IP spoofing.
11 Afeta vrios sistemas operacionais.
92
11 Causa travamento da mquina atacada. q
11 Preveno:
22 Fazer upgrade das verses dos sistemas operacionais.
93
94
Atividade 5.1 Conceito de varreduras
Primeiros passos para um ataque e para uma auditoria:
1. Acesse http://www.whatsmyip.org/port-scanner/server/
2. Faa um scan de portas na sua mquina. Quais portas esto no ar?
Utilizando Nmap
Nmap um programa de anlise de recursos de rede e auditoria de segurana capaz de
realizar varreduras em redes de computadores a procura de recursos disponveis.
11 Acesse a mquina virtual;
11 Instale o programa Nmap atravs do comando apt-get install nmap;
11 Escaneie a sua mquina com Nmap:
# nmap <ip>
11 Agora faa um scan das mquinas do laboratrio:
# nmap <rede>
11 Verifique vrios nveis de scan e extraia o maior nmero possvel de informaes:

http://insecure.org/nmap/man/pt-br/
Atividade 5.2 Simulando ataques com Hping

Antes de iniciar os ataques importante conhecer a ferramenta Hping, um programa em linha
de comando de construo e anlise de pacotes com orientao para TCP/IP. Suporta TCP,
UDP, ICMP e RAW-IP. Com ele podemos construir pacotes especficos para envio por uma rede.
Principais opes:
-V Modo Verbose
-c Contador de pacotes
-d Tamanho do dado
-p Porta de destino
-s Porta de origem
--rand-source Randomizao da origem
--fast 10 pacotes por segundo
--faster 100 pacotes por segundo
--flood Mximo de pacotes possveis por segundo
95
Atividade 5.3 Simulando um ataque DoS Land
Essa atividade deve ser feita em dupla:
11 Ataque do tipo Land um tipo de DoS que envia uma inundao de pacotes com a flag
SYN ativada com IP e porta de origem iguais ao IP e porta de destino
11 Na mquina alvo, instale o servio http apache
# apt-get install apache2
11 Abra o Wireshark e tente Sniffar as conexes no segmento do servidor;
11 Na mquina atacante, Instale o pacote hping3, iniciando ataque ao servidor http Linux
Apache na porta 80; com o comando
# hping3 -V -c 1000000 -S -w 64 -p 80 -s 80 --flood --rand-source

<ip_servidor>
11 Verifique o comportamento dos pacotes com o Wireshark.
Principais modos Hping:
Modo Descrio
Nenhum Modo default TCP
-0 Modo RAW-IP
-1 Modo ICMP
-2 Modo UDP
-8 Modo Scan
Simulando um ataque SMURF

Um ataque SMURF um tipo de DoS que usa Direct Broadcast.
11 Na mquina alvo, abra o Wireshark e escute a conexo no segmento do servidor;
11 Na mquina atacante, digite o comando seguinte e verifique o comportamento dos

pacotes no Wireshark:
# hping3 -1 --flood -a <ip_broadcast>

96
6
Criptografia I Fundamentos
objetivos
Apresentar os fundamentos bsicos de criptografia e seus princpios bsicos, como

funes hash; diferenciar a criptografia simtrica e assimtrica, e as aplicaes de
cada uma, e mostrar os principais algoritmos de criptografia.
conceitos
Uso de criptografia em e-mails e arquivos, tipos de criptografia, certificao digital
e Public Key Infrastructure (PKI).
Introduo
11 kripts = oculto; grpho = grafia; anlysis = decomposio; logo = estudo. q
11 Criptografia: cincia de escrever mensagens cifradas, ocultamente.
11 Criptoanlise: cincia de quebrar cdigos e decifrar mensagens; ataque uma

tentativa de criptoanlise.
11 Criptologia: cincia que rene criptografia e criptoanlise.
Criptografia a base para muitas aplicaes de segurana:
11 Autenticao segura, comunicao segura.
11 Dinheiro eletrnico, certificados digitais.
11 Identidade digital, assinatura digital.
A criptografia garante trs propriedades de segurana:
11 Confidencialidade.
Captulo 6 - Criptografia I Fundamentos
11 Integridade.
11 Autenticidade.
Primrdios: Criptografia de Csar mtodo simples usado no Imprio Romano:
11 Troca cada letra do alfabeto por trs letras depois.
11 Fcil de ser quebrado.
97
Normal A B C D E F G H I J K L M N O P Q R S T U V W X Y Z
Cifrado D E F G H I J K L M N O P Q R S T U V W X Y Z A B C
Normal E S C O L A S U P E R I O R D E R E D E S
Cifrado H V F R O D V X S H U L R U G H U H G H V
Durante a Segunda Guerra Mundial, outros avanos foram feitos na rea da criptografia, a partir Figura 6.1
da necessidade que os alemes tinham de enviar mensagens. Na poca, os aliados desenvol- Criptografia
de Csar.
veram mquinas para quebrar a criptografia dos alemes. Posteriormente, foi formalizada a
criptoanlise, cincia de quebrar cdigos e decifrar informao sem conhecer a chave.
Hoje, a criptografia uma cincia bastante estudada, e seus mtodos vo sendo melhorados
medida que a computao avana e processadores mais rpidos so criados.
Fundamentos de criptografia
Como a sua organizao utiliza criptografia?
Criptografia algoritmos e chaves

Elementos bsicos. q
11 Algoritmo: funo matemtica para cifrar e decifrar.
11 Um bom algoritmo conhecido publicamente, com segurana testada.
11 Chave: valor secreto usado para realizar as operaes.
11 Possui tamanho em bits; quanto maior, mais segura (exemplo: chave de 128 bits).
Tabela 6.1
11 Ataque por fora bruta: testa todas as combinaes possveis para a chave. Custo de
plataforma x tempo
11 Quanto maior a chave, mais dificuldade para um ataque por fora bruta. mdio estimados.
1995 Custo Hardware Comprimento til da chave secreta
40 bits 56 bits 64 bits 80 bits 112 bits 128 bits
US$ 100 mil 2 seg 35 h 1 ano 7x1014 anos 1014 anos 1019 anos
US$ 1 milho 0.2 seg 3,5 h 37 dias 7x1013 anos 1013 anos 1018 anos
US$ 10 milhes 0.02 seg 21 m 4 dias 700 anos 1012 anos 1017 anos
US$ 100 milhes 2mseg 2 min 9hs 70 anos 1011 anos 1016 anos
US$ 1 bilho 0.2 mseg 13 seg 1 hs 7 anos 1010 anos 1015 anos
US$ 10 bilhes 0.02 mseg 1 seg 5.4 seg 245 dias 109 anos 1014 anos
US$ 100 bilhes 2 m seg 0.1 seg 32 seg 24 dias 108 anos 1013 anos
US$ 1 trilho 0.2 m seg 0.01 seg 3 seg 2.4 dias 107 anos 1012 anos
US$ 10 trilhes 0.02 m seg 1mseg 0.3 seg 6 hs 10 6 anos 1011 anos
98
Robusto Quebra por fora bruta de chaves de algoritmos simtricos robustos (106 cifragens/seg por CPU)
Significa que no
conhecido nenhum Descobrindo senhas
mtodo de ataque
sobre criptograma. Alguns algoritmos criptogrficos so unidirecionais, significando que aps cifrado
o texto ou a mensagem, impossvel revert-los ao estado original. Por exemplo: o
texto 123456, passado pelo algoritmo MD5, retorna o texto e10adc3949ba59abbe-
56e057f20f883e. Mesmo tendo acesso ao texto cifrado e conhecendo o algoritmo, no
conseguimos, a partir do texto e10adc3949ba59abbe56e057f20f883e, chegar novamente
ao texto original (123456).
Como descobrir o texto original? Como conhecemos o algoritmo utilizado (MD5), podemos
testar vrias possibilidades de texto at encontrar alguma que seja igual ao texto cifrado.
Original MD5 Valor procurado Igual ?
123450 149787a6b7986f31b3dcc0e4e857cd2a e10adc3949ba59abbe56e057f20f883e No
123451 078563f337ec6d6fedf131ddc857db19 e10adc3949ba59abbe56e057f20f883e No
123452 7692dcdc19e41e66c6ae2de54a696b25 e10adc3949ba59abbe56e057f20f883e No
123453 0f3e84acb19dff22f695f31dbe3e972a e10adc3949ba59abbe56e057f20f883e No
123454 268e27056a3e52cf3755d193cbeb0594 e10adc3949ba59abbe56e057f20f883e No
123455 00c66aaf5f2c3f49946f15c1ad2ea0d3 e10adc3949ba59abbe56e057f20f883e No
123456 e10adc3949ba59abbe56e057f20f883e e10adc3949ba59abbe56e057f20f883e SIM
Tabela 6.2 A tcnica apresentada conhecida como ataque de fora bruta, onde todas as possibili-
Ataque de fora dades de um conjunto (letras ou nmeros ou combinados) so testadas e comparadas a um
bruta.
valor j conhecido.
Dificuldades para quebra de chave por fora bruta

Para descobrir senhas por fora bruta necessrio um nmero n!n!n!...nx! de tentativas
para esgotar as possibilidades, sendo n o nmero de caracteres e n1, n2...nx a quantidade
de caracteres possveis para a chave. Podemos afirmar tambmque quanto menos com-
plexa a senha, mais rpido a fora bruta ir alcan-la. Outro fato que em mdia (algumas
vezes acima, outras vezes abaixo, mas na mdia) a fora bruta alcana seu objetivo em 50%
das iteraes necessrias para esgotar o todo.
Sabendo que o tamanho da chave medido pela quantidade de bits e que quanto mais
bits, mais complexa a senha, e que quanto mais rpido os computadores ficam, mais
iteraes so feitas por segundo para algoritmo de fora bruta, qual o tamanho perfeito
de chave de criptografia?
Uma chave de 56 bits atinge 50% na fora bruta em uma mdia de 1 minuto. Uma chave de
128 bits atinge 1% na fora bruta em 146 milhes de anos, e 50% em 8 trilhes de anos.
Se cada tomo do universo (2 x 10E300) fosse um computador, e se cada um deles pudesse

verificar 2 x 10E300 chaves por segundo, levaria cerca de 2 x 10E162 milnios para se chegar
a 1% de uma chave de 512 bits (64 bytes). De acordo com a teoria do Big Bang, o tempo da
criao do universo at hoje no passa de 2 x 10E24 milnios, ou seja, uma chave dessas no
pode ser quebrada to facilmente. claro que pode ser vendida, roubada, extorquida...
Observao: os clculos foram retirados do livro Criptografia e Segurana O Guia Oficial da

RSA, de Steve Burnett e Stephen Paine.
99
11 A criptografia transforma premissas de confiana em mecanismos de proteo. q
22 Controle de acesso.
33 Transforma premissa de posse de segredo em identificao do agente em

processo digital.
22 Cifragem.
33 Transfere sigilo de uma chave para sigilo da informao em mensagem por

ela cifrada.
22 Integridade.
33 Transforma premissa de sigilo em verificao de integridade de origem

ou contedo.
22 Certificao.
33 Transforma premissas de sigilo e integridade em autenticao recursiva com

verificao aberta.
11 Diviso dos algoritmos de criptografia:
22 Algoritmos simtricos.
22 Algoritmos assimtricos.
22 Funes hash one-way.
11 O que a criptografia no protege:
22 Criptografia no impede um atacante de apagar todos os seus dados.
22 Um atacante pode comprometer seu programa de criptografia, modificando o

programa para usar uma chave diferente da que voc gerou, ou talvez gravar todas
as chaves de cifragem em um arquivo para anlise posterior.
22 Um atacante pode encontrar uma forma fcil de decifrar as mensagens conforme

o algoritmo que voc esteja usando.
22 Um atacante pode acessar seus arquivos antes de voc cifr-lo ou aps a decifr-lo.
11 Por tudo isso, a criptografia deve fazer parte da sua estratgia de segurana, mas no
deve ser a substituta de outras tcnicas de segurana.
Tipos de criptografia
11 Criptografia simtrica: q
22 Cifragem por blocos:
33 ECB
33 CBC
33 CFB
33 OFB
22 Principais algoritmos de cifragem por blocos:
33 DES
33 3DES
33 RC-4
33 IDEA
33 AES
100
11 Algoritmo para troca de chaves: Diffie-Hellman. q
11 Criptografia assimtrica:
22 Funes de hash.
22 Assinatura digital.
Criptografia a cincia de ler e escrever mensagens cifradas. Muitas aplicaes de segu-

rana usam a criptografia como base. Para existir criptografia necessrio que exista um
algoritmo, uma ou mais chaves e a informao a ser cifrada ou decifrada.
Existem, atualmente, dois tipos de criptografia:
11 Criptografia assimtrica.
22 Duas chaves distintas.
33 Uma para cifrar.
33 Uma para decifrar.
11 Criptografia simtrica.
22 Mesma chave usada para cifrar e decifrar.
Muitas aplicaes podem ser viabilizadas atravs de criptografia, como autenticao,

assinaturas digitais, dinheiro digital etc.
Criptografia simtrica
11 Usa mesma chave e algoritmo para cifrar e decifrar. q
11 A chave precisa ser pr-combinada entre os participantes.
11 Out ofband: chave enviada por fora da rede, via disquete ou CD-ROM.
Cifragem Internet Decifragem
Figura 6.2
Mensagem Mensagem
Criptografia
simtrica. Chave simtrica Chave simtrica
11 Transmisso de chave via rede: q

22 Algoritmo Diffie-Hellman para troca de chaves.
22 Utilizao de criptografia assimtrica.
11 Vantagens:
22 Velocidade e algoritmos rpidos.
22 Facilidade de implementao em hardware.
22 Chaves pequenas e simples geram cifradores robustos.
11 Desvantagens:
22 Distribuio das chaves dificulta gerenciamento.
22 No permite autenticao e no repdio do remetente.
11 Mtodos de crifragem:
22 Cifragem por fluxo (streamcipher).
22 Cifragem em blocos (block cipher), mais utilizada.
101
11 Cifragem por blocos, modos de operao: q
22 Eletronic Code Book (ECB).
22 Cipher Block Chaining (CBC).
22 Cipher Feed Back (CFB).
22 Output Feed Back (OFB).
11 Principais algoritmos de cifragem por blocos:
22 DES (inseguro), 3DES, RC-4, IDEA e AES.
Eletronic Code Book

11 Mtodo mais simples, cifra bloco de modo independente usando a mesma chave. q
11 No randmico; mensagem cifrada obtida por concatenao dos blocos cifrados.
Texto claro Texto claro Texto claro
Cifragem da Cifragem da Cifragem da

Chave Chave Chave
Cifra de bloco Cifra de bloco Cifra de bloco
Texto cifrado Texto cifrado Texto cifrado
Cifragem modo Eletronic Codebook - ECB Imagem original

Chave Chave Chave
Decifrao modo Eletronic Codebiik - ECB Imagem com ECB
O Electronic Code Book (ECB) cifra cada bloco de 64 bits de forma independente, usando Figura 6.3
a mesma chave. O mecanismo ECB no considerado muito seguro, pois um intruso pode Eletronic Code
Book ECB
perceber quando uma mensagem muda pela mudana no bloco. No ECB, uma mesma men- (Livro de Cdigo
sagem cifrada vrias vezes vai gerar sempre o mesmo bloco. Eletrnico).
Desvantagens:
11 Blocos iguais de textos claros produzem blocos cifrados iguais;
11 No esconde padro de dados;
11 Nada acrescenta confidencialidade proporcionada pela cifra.
102
Cipher Block Chaining
Cipher Block Chaining CBC (Corrente de Blocos): q
11 Modo de operao mais usado.
11 Operao XOR entre novo bloco de texto claro com bloco cifrado obtido na etapa anterior.
11 Bloco cifrado depende de todos os blocos anteriores de texto claro (feedback).

Vetor de
Inicializao (VI)

Chave Chave Chave
Texto cifrado Texto cifrado Texto cifrado Imagem original

Cifragem modo Cipher-block Chaining - CBC
Decifrao da Decifrao da Decifrao da

Chave Chave Chave
Vetor de
Inicializao (VI) Imagem com CBC
ou CFB ou OFB
Decifrao modo Cipher-block Chaining - CBC
Figura 6.4 Nesse modo, cada bloco depende do resultado do bloco anterior. Atravs de um mtodo
Cipher Block chamado feedback, o bloco anterior utilizado no processo de cifragem do bloco seguinte.
Chaining CBC
(Corrente de Um sistema que usa CBC deve garantir que todos os blocos cheguem corretamente, pois um
blocos). erro em um bloco se propagar para todos os outros.
Sua desvantagem ser sequencial, que no pode ser usado em paralelo e tem maior
tempo de processamento.
Cipher Feed Back

Cipher Feed Back CFB (Cifra Realimentada): q
11 Cifra dados de qualquer tamanho, independentemente do bloco.
11 til para cifrar informaes que devem ser imediatamente transmitidas.
11 Difere do OFB porque o texto cifrado realimenta o mtodo em vez da sada da

cifra de bloco.
103
Vetor de
Inicializao (VI)
Chave Cifragem da Cifragem da Cifragem da

Chave Chave
Cifragem modo Cipher Feedback - CFB

Vetor de
Inicializao (VI)

Chave Chave
Decifrao modo Cipher Feedback - CFB
O CFB capaz de cifrar dados de qualquer tamanho, independentemente do bloco. til Figura 6.5
para cifrar pequenas quantidades de informao ou informaes que devem ser imediata- Cipher Feed
Back (CFB) Cifra
mente transmitidas, independentemente de completar um bloco ou no. Realimentada.
Output Feedback
Output Feedback OFB (Sada Realimentada): q
11 Transforma cifra de blocos em gerador de nmeros pseudoaleatrios.
11 Gera bloco de fluxo de chave cifrando bloco de fluxo de chave anterior.

104
Vetor de
Inicializao (VI)

Chave Chave
Cifragem modo Output Feedback - OFC

Vetor de
Inicializao

Chave Chave
Figura 6.6
Output Feedback Texto claro Texto claro Texto claro
(OFB) Sada
Realimentada. Decifrao modo Output Feedback - OFB
Parecido com o CBC, porm no existe dependncia entre os blocos. Mltiplas cifragens da
mesma mensagem produzem mensagens diferentes, ainda que utilizando a mesma chave.
Data Encryption Standard (DES)

11 Durante muitos anos foi o algoritmo padro usado para criptografia simtrica. q
11 Criado pela IBM em 1977 com tamanho de chave pequeno (56 bits randmicos e
8 bits de paridade).
11 Quebrado por fora bruta em desafio lanado pelo National Institute of Standards
and Technology (NIST), em 1997.
105
64-bit plaintext 64-bit key
............. .............
Initial Permutation Permuted Choice 1
K1
Round 1 Permuted Choice 2 Left circular shift
K2
K16
32-bit Swap
Inverse Initial
Permutation
.............
64-bit ciphertext
Opera em blocos de 64 bits. Em sua forma padro, usa uma chave de 64 bits, na qual 56 bits Figura 6.7
so randmicos e os oito bits restantes so informaes de paridade, usadas para verificar Data Encryption
Standard (DES).
a integridade da chave. O DES pode ser usado em qualquer um dos quatro modos descritos
anteriormente (ECB, CBC, CFB e OFB).
Existe uma variao do DES chamada de 40-bit DES. Essa variao foi criada pelo governo w
americano para permitir o uso do algoritmo fora dos Estados Unidos. Na poca, eles no A especificao do DES
permitiam a exportao de qualquer sistema de criptografia com mais de 40 bits de chave. pode ser encontrada em:
http://www.itl.nist.gov/
Ele era o prprio DES, sendo que 24 bits da chave eram fixos (40 + 24 = 64 bits). fipspubs/fip46-2.htm
Algoritmo usado: q
11 Mensagem de 64 bits dividida em duas partes de 32 bits.
11 Chave de 56 bits usada para gerar 16 chaves de 18 bits.

11 O algoritmo aplicado sucessivamente 16 vezes atravs das chaves geradas.
3DES, RC-4, IDEA e AES

3DES (Triple DES). q
11 DES aplicado em trs ciframentos sucessivos, usa verso com duas ou trs chaves
diferentes. Seguro, porm lento.
106
RC-4 (RivestCipher4). q
11 Criado por Ron Rivest (do MIT), propriedade da RSA Data Security, usa chave de
128 bits, funciona em fluxo contnuo. Quatro vezes mais rpido que o DES.
International Data Encryption Algorithm (IDEA).
11 Algoritmo patenteado, usa chave de 128 bits; mais rpido que o DES, usado no
mercado financeiro e no PGP.
Advanced Encryption Standard (AES)

v 11 Aprovado pelo Federal Information Processing Standards (FIPS) para ser adotado
Assista a um vdeo
sobre o Rijndael: http:// pelo NIST; algoritmo usado: Rijndael.
www.conxx.net/
11 Substituto do DES, livre de royalties, tamanho de bloco e de chave varivel;
rijndael_anim_conxx.
html fcil implementao.
O AES foi o resultado de uma seleo de diversos algoritmos, candidatos a se tornarem um

padro para criptografia em entidades governamentais nos Estados Unidos. Foi aprovado
em novembro de 2001. O algoritmo AES capaz de utilizar chaves criptogrficas de 128, 192
e 256 bits para cifrar e decifrar blocos de 128 bits. Junto com o AES, foram criados dois novos
modos de cifragem: o CCM e o CTR.
Informaes sobre o AES e os novos modos de cifragem podem ser encontradas em:
11 http://csrc.nist.gov/CryptoToolkit
11 http://csrc.nist.gov/publications/nistpubs/800-38C/SP800-38C.pdf
11 http://csrc.nist.gov/publications/nistpubs/800-38a/sp800-38a.pdf
Algoritmo Diffie-Hellman
11 Primeiro uso do conceito de chave pblica/chave privada proposto por Diffie q
e Hellman em 1976.
11 Serve para a troca de chaves simtricas em meio inseguro sem conhecimento

prvio de segredo.
11 Usado para distribuio de chaves, mas no para cifrar ou decifrar mensagens.
Figura 6.8
Whitfield Diffie e
Martin Hellman,
criadores do
algoritmo.
Fonte: http://
commons.
wikimedia.org
O algoritmo foi criado em 1976, em um artigo chamado New Directions in Cryptography.
w Seu nome faz referncia aos autores do algoritmo. Atualmente, existem ataques contra
Leia mais sobre o o Algoritmo Diffie-Hellman. Existem propostas de verses que usam certificados digitais
algoritmo em http:// para reduzir a possibilidade de ataques, mas o algoritmo ainda muito usado para troca de
www.rsa.com/rsalabs/
node.asp?id=2248 chaves simtricas.
107
Criptografia assimtrica
Tambm chamada de criptografia de chave pblica e chave privada. q
Usa par de chaves:
11 Chave pblica: distribuda livremente.
11 Chave privada: guardada pelo usurio.
Propriedades importantes: w
11 Mensagem cifrada com chave pblica s decifrada com chave privada do par. Mais informaes sobre
o RSA podem ser
11 Mensagem cifrada com chave privada s decifrada com chave pblica do par. obtidas no padro
Public Key Crypto-
11 Derivar chave privada a partir da chave pblica computacionalmente invivel. graphy Standard#1
(PKCS #1), encontrado
O algoritmo mais conhecido de chave pblica o algoritmo RSA, que se tornou pblico em
em: http://www.rsa.
6 de setembro de 2000. Foi criado por Ron Rivest, Adi Shamir e Leonard Adelman (a sigla RSA com/rsalabs/node.
foi formada a partir da letra inicial do sobrenome de seus criadores). asp?id=2125
No RSA, a segurana do sistema baseia-se na dificuldade da fatorao de nmeros grandes.
No El Gamal, a segurana do sistema baseia-se na dificuldade do clculo de logaritmos dis-

cretos em um corpo finito.
O Digital Signature Algorithm (DSA), unicamente destinado a assinaturas digitais, foi pro-
posto pelo NIST em agosto de 1991, para utilizao no seu padro.
O Digital Signature Standard (DSS) foi adotado como padro no final de dezembro de 1994.
Trata-se de uma variao dos algoritmos de assinatura El Gamal e Schnorr. Foi inventado
pela NSA e patenteado pelo governo americano. O DSS mais rpido na gerao de chaves,
comparado ao RSA; o RSA, porm, mais rpido na verificao de assinaturas.
Algoritmos mais usados:
11 RSA;
11 DSA;
11 El Gamal;
11 DSS.
11 Alice e Bob criam par de chaves individuais. q

11 Alice e Bob trocam chaves pblicas.
11 Alice escreve mensagem.
11 Alice usa chave pblica de Bob para cifrar.
11 Alice envia resultado para Bob.
11 Bob usa sua chave privada para decifrar.

11 Bob escreve resposta, cifra com chave pblica de Alice e envia para Alice.
11 Alice usa sua chave privada para decifrar a resposta.
108
Alice Bob
2. Transferncia das chaves pblicas
1. Gerao do 1. Gerao do
par de chaves par de chaves
Chave pblica Bob Chave privada Bob
3. Cifrar 4. Decifrar
Mensagem Mensagem
original Texto cifrado original
Chave privada Alice Chave pblica Alice
6. Decifrar 5. Cifrar
Figura 6.9
Transferncia de Resposta Resposta
chaves. de Bob de Bob
Texto cifrado
Para pensar
Esse tipo de comunicao levanta uma questo bsica: como garantir que a chave
pblica de Alice realmente pertence Alice, e no a uma pessoa se fazendo passar
por Alice? Pelo esquema anterior, qualquer pessoa poderia gerar um par de chaves
como se fosse Alice e distribuir uma chave pblica falsa. Nesse caso, precisamos de
um mecanismo que nos permita atestar a autenticidade de uma chave pblica. Esse
mecanismo chama-se certificao digital e ser examinado mais adiante.
Funes de hash
11 A partir de entrada de tamanho varivel, produz sada de tamanho fixo. q
11 A sada chamada de hash (digest), impresso digital da mensagem.
11 Propriedades de um algoritmo de hash:
22 Consistncia: mesma entrada produz sempre a mesma sada.

22 Randmico: a sada no permite descobrir informaes sobre a mensagem original.
22 nico: quase impossvel duas mensagens produzirem hashes iguais.
22 One-way (mo nica): a partir do hash impossvel descobrir a mensagem original.
O Message Digest 4 (MD4) e o MD5 foram criados por Ron Rivest, no MIT. O Secure Hash
Algorithm (SHA) foi desenvolvido pelo NIST. O MD5 processa a entrada em blocos de 512 e
produz uma sada de 128 bits. O SHA processa a entrada em blocos de 512 e produz uma
sada de 160 bits. O SHA necessita de um processamento mais intensivo e pode rodar um
pouco mais lentamente que o MD5. Em 1995, o SHA original foi atualizado, por problemas
de segurana, e foi proposto o SHA-1 (o anterior costuma ser chamado de SHA-0 para
109
evitar confuso). Posteriormente, foram criadas mais quatro variaes: SHA-224, SHA-256,
SHA-384 e SHA-512. Essas ltimas variaes so eventualmente chamadas de SHA-2.
Pesquisadores chineses anunciaram a descoberta de uma srie de colises (mensagens

diferentes produzindo o mesmo hash) nos algoritmos MD4 e MD5.
Essas descobertas foram anunciadas em uma conferncia sobre criptografia no ano de 2004
e causaram grande impacto, uma vez que boa parte dos sistemas em produo utilizam esses
algoritmos. Mais informaes sobre as colises podem ser encontradas nos seguintes artigos:
11 http://eprint.iacr.org/2004/199.pdf
11 http://eprint.iacr.org/2004/146.ps
Algoritmos:
11 Message Digest-4 (MD4): sada de 128 bits.
11 Message Digest-5 (MD5): sada de 128 bits.
11 SecureHashAlgoritm (SHA): sada de 160 bits (um pouco mais lento).
Calcule seu hash:
11 http://www.yellowpipe.com/yis/tools/encrypter/index.php
Usado para garantir integridade da mensagem transferida. q

11 Alice escreve uma mensagem.
11 O hash calculado para representar a mensagem.
11 A mensagem original enviada para Bob junto com o hash.
11 Bob separa a mensagem original e calcula o hash localmente.
11 Bob compara os hashes.
11 Caso os hashes sejam iguais, a mensagem no foi alterada.
Criptografia assimtrica
Quais as principais vantagens da criptografia assimtrica sobre a simtrica?
Assinatura digital
Hash da mensagem cifrado com chave privada: garante a identidade do remetente e a q
integridade da mensagem ou do documento.
110
Esta uma mensagem Esta uma mensagem
que necessita de Mensagem original que necessita de Assinatura
integridade e autenticao integridade e autenticao
Chave
RSA pblica
MD5 MD5
Funo HASH
006FBBCE95 006FBBCE95 006FBBCE95

Message Digest
Chave
RSA Criptograa
privada
So iguais?
Assinatura
Figura 6.10 As assinaturas digitais no garantem confidencialidade e sofrem o mesmo problema de

Assinatura digital. autenticidade das chaves pblicas, como foi visto na criptografia assimtrica. Para resolver
esse problema, necessrio o uso de certificados digitais.
11 Bob: escreve mensagem, calcula hash da mensagem, cifra hash com sua chave q
privada (assinatura digital), envia assinatura e mensagem para Alice.
11 Alice: separa assinatura da mensagem original, utiliza chave pblica de Bob para deci-
frar assinatura, calcula hash local da mensagem original, utilizando a mesma funo
usada por Bob. Caso os dois hashes sejam iguais, a mensagem foi enviada por alguma
pessoa utilizando chave privada de Bob, e no foi modificada na transmisso.
Certificao digital
Como confiar em uma chave pblica? A chave pblica de Alice realmente de Alice? q
Carteira de identidade (Secretaria de Segurana Pblica) assinada por delegado de
polcia, tem f pblica.
11 Indivduo g chave pblica.
11 Carteira de identidade g certificado digital.
11 Secretaria de Segurana g autoridade certificadora ou Certification Authoritie (CA).
Um certificado, para ser considerado vlido, deve ser assinado por uma Certification Authoritie
(CA). CAs so entidades confiveis que emitem e atestam certificados, anlogas aos cart-
rios, que verificam assinaturas normais. Um ponto chave da certificao digital o fato de a
chave pblica da CA ser amplamente distribuda (necessria para verificao da assinatura)
por meios que impeam fraudes. Um exemplo prtico de distribuio de chaves pblicas de
CAs o webbrowser, que j vem com as chaves pr-instaladas no prprio programa. Uma
entidade certificadora responsvel por criar, distribuir e invalidar certificados. A invalidao
de certificados feita atravs de listas especiais chamadas de Certificate Revogation Lists
(CRLs). Apesar de todo certificado ter uma validade, em certos casos necessrio expirar um
certificado antes do tempo. Essa expirao feita atravs das CRLs.
Certificado digital
11 Contm chave pblica do usurio e dados informando a sua identidade;
11 uma mensagem emitida e assinada pela CA, que valida a chave pblica do usurio;
111
11 A chave pblica da CA amplamente distribuda.
O certificado segue o padro X.509 do ITU-T, contendo:
11 Verso do X.509 e nmero serial do certificado;
11 Informao do algoritmo gerador do certificado;
11 Identificao do gerador do certificado;
11 Datas de validade;
11 Informaes sobre o algoritmo assimtrico da chave pblica do usurio;
11 Assinatura digital da CA.
Public Key Infrastructure (PKI)

O certificado digital deve ser solicitado a uma AC ou a uma AR. q
11 AC: Autoridade Certificadora.
11 AR: Autoridade de Registro, solicita certificado a uma AC.
PKI = ICP (Infraestrutura de Chaves Pblicas).
11 Hierarquia: AC raiz autoriza operaes de outras ACs.
PKI (ICP Brasil)
Ac raiz
ICP Brasil
Http://www.icpbrasil.gov.br
AC AC
Presidncia da Repblica Serpro
Http://www.planalto.gov.br Http://www.serpro.gov.br
Certicado Certicado
AC AC
Serasa Caixa Econmica Federal
Http://www.serasa.com.br Http://www.caixa.gov.br
Certicado Certicado
AC AC
Receita Federal Sertisign
Http://www.receita.fazenda.gov.br Http://www.sertisign.com.br
Certicado Certicado
Figura 6.11
Public Key
Infrastructure (PKI).
112
O conjunto de hardware e software pessoal, polticas e procedimentos necessrios para
criar uma infraestrutura de certificao digital chama-se Public Key Infrastructure (PKI) ou
Infraestrutura de Chaves Pblicas (ICP).
w Caixa Econmica Federal, Serasa e Certisign. Para que tenha valor legal diante do governo
No Brasil, a ICP Brasil controla seis ACs: Presidncia da Repblica, Receita Federal, Serpro,
Atualmente, o Governo brasileiro, uma dessas instituies deve prover o certificado. Para que isso seja feito, cada
Federal possui uma instituio pode ter requisitos e custos diferentes para a emisso, uma vez que cada enti-
infraestrutura nacional
de chaves pblicas dade pode emitir certificados para finalidades distintas.
chamada de ICP Brasil,
que pode ser lida no Qualquer instituio pode criar uma ICP, independente de seu porte. Se uma empresa criou
site: http://www.iti.gov. uma poltica de uso de certificados digitais para a troca de informaes entre a matriz e suas
br/icp-brasil/estrutura
filiais, no vai ser necessrio pedir tais certificados a uma AC controlada pela ICP Brasil.
A prpria empresa pode criar sua ICP e fazer com que um departamento das filiais atue
como AC ou AR, solicitando ou emitindo certificados para seus funcionrios.
Exemplo completo
11 Como garantir confidencialidade, integridade e autenticidade (no repdio)? q
11 Combinando tecnologias: criptografia simtrica, assimtrica, hash e certificado digital.
1. Alice e Bob geram seus respectivos pares de chaves.
2. Alice e Bob obtm seus certificados digitais em uma CA.
3. Alice e Bob trocam certificados.
4. Alice:
22 Prepara chave simtrica randmica e calcula hash.
22 Cifra hash com chave privada (assina).
22 Cifra chave simtrica e assinatura com chave pblica de Bob e transmite.
5. Bob:
22 Decifra o conjunto recebido, extrai chave simtrica e assinatura.
22 Decifra a assinatura de Alice, extrai hash transmitido por Alice.
22 Calcula o hash local da chave simtrica.
22 Hashes so iguais? Caso sejam, a chave simtrica foi enviada por Alice e no foi alterada.
6. Alice e Bob:
22 Realizam conversa cifrada utilizando chave simtrica.
22 Para garantir integridade, cada mensagem cifrada junto com hash.

113
114
Atividade 6.1 Conhecendo mais sobre certificao digital
1. Assista o vdeo do Instituto Nacional de Tecnologia da Informao (ITI) em
http://www.youtube.com/watch?v=YEy2uKG2nB8 e conhea mais sobre a certificao
digital e sobre a ICP-Brasil.
Descreva em poucas palavras o que voc entende por certificao digital.
Atividade 6.2 Uso de criptografia em e-mails

1. Tenha certeza de ter instalado os pacotes Firefox e Thunderbird.
2. Instale o pacote GnuPG, programa gratuito de criptografia:
11 http://www.gnupg.org/download/
11 Hash do pacote: b806e8789c93dc6d08b129170d6beb9e1a5ae68f
3. Certifique-se de que o pacote est ntegro.
4. Instale o plugin enigmail no Thunderbird:

http://www.enigmail.net/download/index.php
5. Gere seu par de chaves e compartilhe com seus colegas.
Atividade 6.3 Uso de criptografia em arquivos

1. Cifre um arquivo usando sua chave pblica.
2. Pea ao seu colega para tentar decifr-lo.
3. Decifre o arquivo com sua chave privada.
4. Cifre um arquivo usando criptografia simtrica.
5. Envie a chave privada utilizada para seu colega e pea para ele decifrar o arquivo. Captulo 6 - Roteiro de Atividades
115
Atividade 6.4 Criando um continer seguro
1. Baixe o programa truecrypt em http://www.truecrypt.org/downloads
2. Rode o instalador.
3. O truecrypt pode criptografar uma unidade inteira ou apenas criar um continer seguro.
Com isso podemos salvar arquivos em um espao de disco criptografado e transport-lo
para outro computador com bastante convenincia.
Vamos usar a segunda opo: clique em Create volume:
4. Selecione um local e um nome para o continer.
5. Selecione o tipo de criptografia. Para esse exemplo selecione AES e clique em Next.
Na prxima tela, informe 50MB para o tamanho do volume, e na tela seguinte informe uma
senha para o arquivo. Na tela seguinte, escolha o formato da partio (nesse exemplo foi
utilizado FAT). Observe que o programa pede para o usurio mover o cursor do mouse para
gerar uma chave com um nvel de criptografia maior para as chaves geradas.
116
6. Pronto. Para usar o continer, clique em uma letra de unidade e selecione o arquivo criado.
117
118
7
Criptografia II Aplicaes
Apresentar aplicaes prticas de criptografia; contextualizar os conceitos bsicos
objetivos
de criptografia com as aplicaes; mostrar como navegar de forma segura; explicar

o funcionamento de assinaturas digitais, criptografia de servidor www (SSL/TLS)
e VPNs criptografadas; indicar programas para melhorar a segurana de um
computador pessoal.
conceitos
SSH, transferncia de arquivos e gerenciamento de senhas.
Introduo
A criptografia a base para vrias aplicaes: q
11 Autenticao e autorizao.
11 Transferncia de informao confidencial.
11 Assinatura digital.
11 Votao eletrnica.
11 Dinheiro eletrnico.
11 Privacidade e autenticao no acesso a servidores (SSL/TLS).
11 Acesso remoto criptografado e autenticado (VPN).
A criptografia permite a existncia de uma srie de aplicaes, como autenticao, assina-

turas digitais, transferncia de informao confidencial, dinheiro eletrnico, acesso remoto
VPN criptografado (VPN) e privacidade de dados em servidores (SSL). Uma assinatura digital
Rede Privada Virtual, atesta que um documento eletrnico no foi alterado e garante a autenticidade do indi-
Captulo 7 - Criptografia II Aplicaes
uma rede de comu-

vduo que assinou o documento. O SSL permite o acesso a servidores www com segurana
nicaes privada
normalmente utilizada e garantia de que os dados no foram alterados nem vistos no caminho. As redes virtuais
por uma empresa privadas (VPNs) criam um canal seguro para acesso a redes privadas de empresas, usando a
ou um conjunto de
internet como meio de transmisso. As VPNs reduzem custos em relao a linhas discadas e
empresas e/ou insti-
tuies, construda em linhas dedicadas.
cima de uma rede de
comunicaes pblica
(como por exemplo, a
internet). O trfego de
dados levado pela
rede pblica utilizando
protocolos padro.
119
Criptografia
Quais as vantagens da sua organizao utilizar a criptografia?
Assinatura digital
Uso bsico da criptografia para: q
11 Atestar identidade do assinante do documento (autenticao).
11 Garantir que o documento no foi alterado (integridade).
A robustez depende de duas propriedades bsicas:
11 Funo hash randmica o suficiente para no provocar coliso.
11 Certificao digital para garantir autenticidade da chave pblica.
Algoritmos mais usados:
11 RSA e DSS.
Blind signature (assinatura cega)

Assinatura digital onde o assinante no conhece o contedo da mensagem assinada. q
Usada em:
11 Voto eletrnico.
11 Dinheiro digital.
Entendendo o processo:
11 Alice multiplica mensagem por fator randmico (blinding factor), tornando

a mensagem ilegvel.
11 Alice envia mensagem resultante para Bob.
11 Bob assina digitalmente a mensagem e retorna para Alice.
11 Alice divide a mensagem pelo fator randmico, retornando a mensagem original,

agora assinada por Bob.
Podemos imaginar o processo de assinatura cega da seguinte forma: colocamos a men-

sagem em um envelope, envolta em uma folha de papel carbono. Ningum pode ler a
mensagem atravs do envelope. A assinatura, ento, feita na parte externa do envelope e
transmitida para a mensagem atravs do papel carbono. Quando a mensagem retirada do
envelope, ela est assinada e o assinante no sabe o que foi assinado.
A funo de assinatura e o fator randmico devem ser comutativos.
Propriedades:
11 A assinatura, depois de dividida pelo fator randmico, a mensagem assinada normalmente;
11 No se pode provar o uso de protocolo de assinatura cega em uma mensagem

assinada digitalmente.
120
Votao eletrnica
O protocolo ideal para uma eleio segura tem seis requisitos: q
11 Somente eleitor autorizado pode votar.
11 Nenhum eleitor pode votar mais de uma vez.
11 Ningum pode determinar o voto de ningum.
11 Ningum pode duplicar voto.
11 Ningum pode alterar o voto de algum sem ser descoberto.
11 Todo eleitor tem de ter certeza de que seu voto entrou na contagem final.
Figura 7.1
Urna eletrnica.
O sistema de eleio se baseia em trs caractersticas fundamentais:
11 Votao, atravs da qual os membros da populao reconhecidos como eleitores podem

expressar, anonimamente, sua vontade;
11 Apurao, que permite a contabilizao dos votos emitidos por esses eleitores;
11 Fiscalizao, que visa garantir a idoneidade do processo, de modo a assegurar que o

resultado da apurao dos votos seja realmente a expresso da vontade dos eleitores.
Um sistema eletrnico de eleio deveria ser tal que assegurasse essas trs caractersticas
fundamentais, de preferncia melhorando cada um de seus aspectos, jamais sendo menos
seguro e confivel do que um sistema no eletrnico.
Entendendo o processo com assinatura cega: q

Eleitor:
11 Gera n mensagens; cada mensagem contm voto vlido para cada resultado possvel
e nmero serial de identificao randmico.
11 Cega as mensagens, enviando-as para a Central de Votao (CV) junto com fator
de cegueira.
Central de Votao (CV):

11 Abre n 1 mensagens, checa mensagens e eleitor, grava eleitor.
11 Assina todas as mensagens e envia-as de volta para eleitor.
Eleitor:
11 Retira fator de cegueira; cada voto est assinado, mas no cifrado.
11 Escolhe seu voto, cifra-o com chave pblica da CV e envia voto para a CV.
Central de votao:
11 Decifra, checa, grava nmero serial e computa o voto.
11 Anuncia resultado da eleio com voto associado ao nmero serial.
121
Dinheiro eletrnico
O dinheiro tem algumas caractersticas bsicas: q
11 Aceitao universal: forma mais universalmente aceita.
11 Pagamento garantido: recebimento j garante pagamento efetuado.
11 Sem custo de transao: no h custo para pagamentos em espcie.
11 Anonimidade: no guarda informao em si sobre quem usou-o para pagamento.
Substituto para o dinheiro tradicional (papel). Qual o problema com o pagamento de carto
de crdito digital ou cheque? Mantm rastro para auditoria, e no permite ocultar o destina-
trio do dinheiro. O dinheiro eletrnico pode ser considerado como uma moeda estrangeira,
uma vez que para utiliz-lo preciso antes convert-lo de dinheiro real (moeda corrente)
para dinheiro digital.
Bitcoin
O bitcoin uma moeda virtual criada por Satoshi Nakamoto. Funciona com um programa
em cdigo aberto projetado por ele mesmo que se liga em uma rede peer-to-peer. Permite
a propriedade e a transferncia annima de valores, que so armazenados em uma carteira
virtual. Como no existe nenhuma entidade por trs da administrao da moeda, sua mani-
pulao indiscriminada inviabilizada por governos ou empresas, como por exemplo em
sua supervalorizao, o que poderia gerar inflao ou mesmo a impresso de mais moeda.
Em outubro de 2009, 1 dlar americano comprava o equivalente a 1309 bitcoins. Em feve-
reiro de 2011, o bitcoin alcanou a equivalncia com o dlar. De l para c, a coisa explodiu.
v
Saiba mais sobre
No incio de 2012, 1 bitcoin estava valendo cerca de 13 dlares, um salto significativo desde bitcoin acessando
o incio das operaes, mas nada perto do que viria a acontecer nos meses seguintes. No dia What is bitcoin?
no Youtube.
10 de abril, chegou a ser negociado a 266 dlares, o que indica uma valorizao de 1900%
(Fonte: mtgox.com).
Amazon Webpay
O servio de pagamento da Amazon permite aos usurios cadastrados transferir dinheiro
entre si via e-mail. Para isso, necessrio apenas ter uma conta na Amazon.com. A qualquer
hora e de qualquer lugar, voc recebe ou envia dinheiro para amigos e familiares, bastando
estar on-line.
Google Wallet
O Google Wallet um sistema de pagamento desenvolvido pelo Google que permite o
armazenamento de cartes de crdito e transaes financeiras. Atravs do Google Wallet,
um usurio pode fazer pagamentos virtuais em sites de e-commerce ou fsicos, atravs de
estabelecimentos credenciados com a tecnologia Near Field Communication (NFC). O Google
Wallet permite tambm que qualquer usurio possa enviar valores por e-mail (valor mnimo
de U$ 0,30) para outro usurio (o valor vai anexado na mensagem).
Entendendo o processo com dinheiro digital annimo: q

11 Alice:
22 Prepara 100 ordens de pagamento annimo de R$ 1.000 cada.
22 Envelopa todas as ordens (cega-as) e envia-as para o banco.
122
11 Banco: q
22 Abre 99 envelopes, confirma que cada envelope um pedido de R$ 1.000.
22 Assina o nico envelope que no foi aberto.
22 Envia envelope assinado de volta para Alice, deduz R$ 1.000 de sua conta.
11 Alice: abre o envelope e gasta ordem de pagamento com lojista.
11 Lojista: verifica assinatura do certificado com o banco e saca ordem de pagamento.
11 Banco: verifica sua prpria assinatura e credita R$ 1.000 na conta do lojista.
PayPal
11 Localizada em San Jose, na Califrnia (EUA). q
11 Criado por Peter Thiel e Max Levchin, em 1998, para pagamentos via PDAs.
11 Adquirido pelo eBay em outubro de 2002.
11 Disponvel em 190 pases (incluindo Brasil) e em 24 moedas correntes.
Figura 7.2 O PayPal um sistema on-line de envio e recebimento de dinheiro. Possibilita realizar
Site do PayPal. pagamentos de leiles e compras de inmeros itens em vrios sites na internet, saque de
fundos por transferncia em conta corrente ou via recebimento de cheque pelo correio,
tudo em dlares ou em euros. um sistema seguro que protege vendedores e compradores;
a moeda preferida pelo eBay e conta com mais de 150 milhes de usurios.
Qualquer pessoa pode se cadastrar no PayPal e abrir uma conta pessoal ou empresarial, bas-
tando apenas ter um endereo de correio eletrnico vlido e um carto de crdito internacional.
123
necessrio ter:
11 Endereo de correio eletrnico;
11 Carto de crdito internacional;
11 Conta de acesso ao PayPal.
Usado para pagamentos de:
11 Registros de domnios;
11 Comrcio eletrnico;
11 Servios de hospedagem de sites.
Mais informaes: http://www.paypal.com
Criptografia de servidor (SSL/TLS)

Uso comum de criptografia em comunicao segura com servidor internet. q
11 Padro internet: Tecnologia Secure Sockets Layer (SSL), da Netscape.
11 SSL: tnel em nvel de aplicao. TLS: tnel em nvel de transporte.
11 Transport Layer Security (TLS): RFC 2246 baseado na verso 3.0 do SSL, prov infraes-
trutura de criptografia, autenticao e integridade na camada de transporte TCP.
Segurana Criptografia Nveis

Camadas
Compatvel com cliente. Baixo Alto Compatvel

RC4 de 56 bits. RC4 de 128 com FIPS.
bits.
Negociar Vlido. A camada de segu- Vlido Vlido Vlido

rana Mxima e o nvel de
criptografia para os quais o
cliente oferece suporte so
usados.
SSL (TSL 1.0) Vlido. O TLS necessrio Invlido. usado o Vlido Vlido
para autenticao do ser- padro do nvel de
vidor. O nvel Alto ou Compa- criptografia em vez
tvel com FIPS usado. Se no de Compatvel com o
houver suporte para o TLS, as Cliente. O nvel Alto ou
conexes falharo. Compatvel com FIPS
usado se o cliente
oferecer suporte.
RDP Vlido. Entretanto, o TLS Vlido Vlido Vlido

no pode ser usado para
autenticao de servidor. A
criptografia RDP e o nvel de
criptografia mximo para
os quais o cliente oferece

suporte so usados.
O TLS foi baseado no SSL verso 3.0. Apesar das diferenas serem pequenas, so suficientes Tabela 7.1
para que os protocolos no sejam compatveis. muito comum encontrar clientes que Configuraes de
autenticao e
suportam as duas tecnologias. Para efeitos didticos, trataremos apenas do TLS, que uma criptografia SSL/
proposta mais recente que o SSL. TLS no Windows
Server 2003.
124
l Lista de servidores:
Mais informaes em
The Transport Layer 11 HTTP: HTPPS;
Security (TLS) Protocol
11 FTP: SFTP via SSH ou FTP via TLS;
Version 1.1 em http://
www.ietf.org/rfc/ 11 SMTP: SMTPS;
rfc4346.txt
11 POP3: POP3s;
11 IMAP: IMAPS;
11 Telnet: SSH.
Regra de ouro de segurana: nenhuma senha trafega na rede em modo legvel.
Criptografia de servidor
TLS formado por dois protocolos bsicos: q
11 TLS Hand Shake:
22 Autentica par cliente/servidor usando criptografia assimtrica.
22 Escolhe algoritmos de criptografia e chaves.
22 Negociao confivel da chave simtrica feita de forma segura.
11 TLS Record:
22 Codifica e encapsula os dados e cria o tnel.
22 Conexo privada usando criptografia simtrica: algoritmos DES ou RC4.
22 Chaves privadas de sesso geradas dinamicamente.
Entendendo o processo:
Cliente
Envia lista de algoritmos e nmero randmico usado para gerao de chaves.
Servidor
Escolhe algoritmo da lista, gera nmero randmico e envia-o junto com seu certificado assi-
nado por entidade certificadora (X.509).
Cliente
11 Verifica certificado do servidor e obtm chave pblica do servidor;
11 Gera chave secreta, criptografa-a com chave pblica do servidor e envia para o servidor;
11 Servidor e cliente trocam informaes usando chave simtrica;
11 Informao trocada tem digest para verificao de integridade;

11 Opcionalmente o cliente pode se identificar usando seu certificado digital.
125
Figura 7.3
Gmail usando
POP3 e SMTP,
autenticado
como POP.
Figura 7.4
Internet Explorer
acessando pgina
segura.
126
Redes virtuais privadas (VPN)
11 VPN uma conexo segura atravs de uma rede pblica ou outro tipo de q
ambiente inseguro.
11 Rede montada virtualmente em cima de outra rede; se pblica, a internet.
11 Cria tneis com protocolo de criptografia, fornecendo:
22 Confidencialidade.
22 Autenticao.
22 Integridade.
22 Garantia de privacidade na comunicao.
Laptop
VPN discada
Internet
Tnel criptografado
Firewall + VPN Firewall + VPN
Figura 7.5 Rede Rede

Redes virtuais Privada Privada
privadas (VPN).
11 Por que virtual? Porque no fsica, no tem cabos, switches nem roteadores.
11 Por que privada? Porque conecta redes e equipamentos para acesso privado e protegido.
Quando adequadamente implementados, os protocolos criptogrficos podem assegurar

comunicao segura atravs de redes inseguras.
Hoje, diversas empresas interligam suas bases operacionais atravs de uma VPN
na internet.
Um sistema de comunicao por VPN tem custo de implementao e manuteno insignifi-

cante, se comparado aos antigos sistemas de comunicao fsica, como por exemplo Frame
Relay e ATM, que tm alto custo. Por esse motivo, muitos sistemas de comunicao esto
sendo substitudos por VPNs que, alm do baixo custo, oferecem tambm uma alta con-
fiabilidade, integridade e disponibilidade dos dados trafegados. Sistemas de comunicao
por VPN esto sendo amplamente utilizados em diversos setores, at mesmo em setores
governamentais no mundo inteiro.
127
IPSEC
11 Padro para criptografia de pacotes IP no nvel de rede;
11 Protocolo padro para VPN;
11 RFCs: 2401, 2402, 2406 e 2408.
H dois tipos de VPN:
11 Host to network (estao para rede), conhecida como VPN discada;
11 Network to network (rede para rede), conecta duas redes privadas.
Redes virtuais privadas

Necessidades: q
11 Endereamento IP e mscara das duas redes privadas.
11 Endereo pblico de cada dispositivo responsvel por fazer a VPN.
11 Algoritmos e chaves de criptografia.
Vantagens:
11 Reduz custos.
11 Prov acesso entre redes privadas de forma segura atravs de rede pblica.
11 Prov acesso remoto rede privada de forma segura atravs de rede pblica.
Desvantagens:
11 Dados trafegando em rede pblica: contexto facilitador de ataques de criptoanlise.
11 Internet sem garantia de qualidade: gera atraso, indisponibilidade e dificuldade

para suporte.
11 Degradao de desempenho:
22 Criptografia consome muito processamento;
22 Mais perceptvel com maiores velocidades de conexo.
Redes Virtuais Privadas (VPNs)
O que uma VPN e quais as suas vantagens?
Segurana na www
11 Seleo de um navegador. q
11 Recursos de um navegador.
11 Cookies.
11 Segurana no navegador.
11 Pagamentos na internet.
128
Acessar a internet, nos dias de hoje, pode ser um srio problema, se levarmos em conta a
quantidade de ameaas existentes. importante que o usurio conhea as formas de se
prevenir e use programas especficos de proteo. Os recursos do browser, programas anti-
vrus, programas de deteco e remoo de spyware e certificados digitais so algumas das
formas de proteo contra ameaas na internet.
Seleo de um navegador
Selecione um navegador seguro:
Browser Plataformas suportadas URL
Internet Explorer Famlia Windows http://www.microsoft.com/ie
Firefox Windows, MacOS X e Linux http://www.mozilla.org/products/
Opera Windows, MacOS X, Linux, FreeBSD, Solaris, OS/2 e QNX http://www.opera.com/download/
Safari MacOS X http://www.apple.com/safari/
Chrome Windows, MacOS X e Linux http://www.google.com/chrome/
Tabela 7.2 A internet est cada vez mais presente nas nossas vidas. Transaes bancrias, compras em
Opes de browser. lojas virtuais, busca de informaes em mecanismos de busca, telefonia e conversas atravs
de mensagens instantneas so apenas alguns exemplos de utilizao da rede. As formas de
acesso tambm evoluram. Hoje, comum o acesso domstico a pelo menos 1 megabit por
segundo, velocidade que h alguns anos era exclusividade de provedores de acesso. Com
toda essa evoluo, os perigos tambm aumentaram.
O usurio necessita tomar alguns cuidados ao acessar a internet. Problemas como

fraudes, pginas falsas, vrus, worms, spam e escutas clandestinas esto presentes a
todo momento. O ISC do Sans afirma que so necessrios menos de 10 minutos para
que uma mquina desprotegida na internet sofra algum problema de segurana
(fonte: http://isc.sans.org/survivaltime.html).
w Qual navegador mais seguro?

O resultado dos testes Em maio de 2013, a empresa NSS Labs (http://nsslabs.com/) efetuou teste nos cinco navega-
pode ser verificado em dores mais utilizados e mais conhecidos do mercado.
Is Your Browser
Putting You At Risk?
Vale ressaltar que existem diversos tipos de golpes e aes maliciosas que independem do
Part 1 - General
Malware Blocking e em navegador utilizado. Sendo assim, as melhores dicas so: 1) manter softwares (incluindo sistema
NSS Labs Research operacional) sempre atualizados; 2) prestar ateno nas aes tomadas durante a navegao.
Library.
Recursos de um navegador
11 Uso preferencial de criptografia (SSL/TLS), site iniciando com https://... q

11 Verificao do cadeado fechado indica acesso a endereo seguro.
11 Clicando no cadeado, veremos a robustez da criptografia usada.
129
Figura 7.6
Acesso seguro
https, cadeado
fechado.
Figura 7.7
Clicando no
cadeado:
certificado digital
do servidor.
Os navegadores mais novos fazem uma verificao de segurana ao acessar um site. Se por
exemplo o site estiver com um certificado invlido, desatualizado ou mesmo autoassinado,
o navegador exibe uma mensagem de alerta para o usurio informando o problema.
130
Figura 7.8 Tipos de certificados
Mensagem de
alerta para o Na ICP-Brasil esto previstos 8 tipos de certificados, divididos em duas sries:
usurio.
11 Srie A (A1, A2, A3 e A4): rene certificados de assinatura digital, utilizados para con-
firmao de identidades na internet, principalmente em documentos eletrnicos com
verificao de integridade de suas informaes.
11 Srie S (S1, S2, S3 e S4): rene os certificados para sigilo, utilizados na codificao de
documentos de bases de dados, de mensagens e de outras informaes eletrnicas sigi-
losas. Os tipos so diferenciados pelo uso, nvel de segurana e pela validade.
w putador
Nos certificados do tipo A1 e S1, as chaves privadas ficam armazenadas no prprio com-
do usurio. Nos outros tipos, as chaves privadas e as informaes referentes ao
Teste seu certificado
em: http://www. seu certificado ficam armazenadas em um hardware criptogrfico, que pode ser um carto
certisign.com.br inteligente (smart card) ou carto de memria (token USB ou pen drive). Para acessar essas
informaes, o usurio necessita de uma senha pessoal determinada no momento da compra.
Tipo Tamanho Meio Mdia de Armazenamento Validade

(Bits) Mxima
A1 e S1 1024 Software Arquivo 1
A2 e S2 1024 Software Smart card ou token, sem capaci- 2

dade de gerao de chave
A3 e S3 1024 Hardware Smart card ou token, sem capaci- 3

Tabela 7.3
dade de gerao de chave
Tipos de
certificados (Fonte: A4 e S4 2048 Hardware Smart card ou token, sem capaci- 3
ICP-Brasil). dade de gerao de chave
Cookies
11 Que CD voc comprou? Qual seu tipo musical preferido? q
11 Pequenas quantidades de informaes armazenadas pelo browser; ltimo acesso a
um site, dados do usurio etc.
131
11 Servidor grava suas preferncias no disco local em arquivo texto cookie file. q
11 Um ano de cookies pode revelar algo sobre sua personalidade?
11 Servidor A pode livremente acessar cookie gravado pelo servidor B.
11 Pode causar vazamento de informaes.
11 Contedo de um cookie:
cVisita
ataVisita=1%2F12%2F2004
www.centraldocarnaval.com.br/
1536
2938927104
29777976
2791820000
29677500
11 Preveno: poltica de segurana deve incluir limpeza peridica de cookies.
Figura 7.9
Configurando
cookie.
Cookies
l
Por que os cookies devem ser controlados?
Para mais informaes

sobre cookies:
http://www.cookiecen-
tral.com/faq/
132
Segurana no navegador
Aumente a segurana do navegador:
Figura 7.10
Aumentando a
segurana no
navegador.
A poltica de segurana deve incluir:
11 Preveno contra vazamento de informaes, atravs de limpeza peridica do cache do

browser (Windows guarda mais de 1Gbyte) e do histrico de navegao.
11 Aumento do nvel de segurana da zona internet para alto.
11 Desativao dos controles e plugins Active-X.
Pagamentos na internet
preciso ter maior receio em usar comrcio eletrnico. q
11 Risco de fornecer nmero de carto de crdito para o site.
Dicas para comprar na internet de forma segura:
11 Evite comprar em loja desconhecida; escolha loja conhecida.
11 Ao digitar o carto, observe se o cadeado est fechado.
11 Na dvida, pea loja para pagar atravs de boleto bancrio.
11 Verifique sua fatura de carto de crdito para identificar possveis compras estranhas.
11 Verifique se a loja possui a opo de no manter nmero de carto de

crdito armazenado.
11 Jamais autorize a loja a guardar o nmero de seu carto.

133
134
Atividade 7.1 Recurso do SSH
1. Instale o pacote PuTTY em PuTTY Download Page.
2. Ative um sniffer na sua mquina com Wireshark;
3. Acesse sua conta shell no servidor SSH usando autenticao com senha.
O sniffer capturou sua senha?
4. Crie seu par de chaves;
5. Use sua chave privada para se autenticar no servidor via SSH;
6. Abra uma sesso no servidor Linux via SSH, e torne-se super usurio (usurio root)
sem digitar senha (use ssh-copy-id);
7. Crie um tnel utilizando SSH.
Atividade 7.2 Uso de criptografia em arquivos

1. Instale o pacote cliente FileZilla: http://filezilla.sourceforge.net/;
11 Ative um sniffer;
11 Abra uma sesso de FTP com um cliente FileZilla (FTP via TLS).
Voc conseguiu capturar a senha de autenticao?
2. Instale o pacote KeePass: http://portableapps.com/apps/utilities/keepass_portable
11 Crie suas senhas e manipule-as.
Atividade 7.3 Criptografando arquivos no Linux

1. Instale o programa ccrypt:
# apt-get install ccrypt
2. Crie um arquivo e insira alguns dados nele:
# nano teste.txt
3. Criptografando o arquivo:
# ccrypt teste.txt
Enter encryption key:
Enter encryption key: (repeat)
4. Tente listar o arquivo com o comando:
# cat teste.txt
135
5. Decriptando o arquivo:
ccrypt -d teste.txt
136
8
Poltica de segurana da informao
objetivos
Apresentar fundamentos, utilidade, importncia e tpicos principais para a construo

de uma poltica de segurana, e tambm metodologias para uma anlise de risco.
conceitos
Poltica de segurana, auditoria em Microsoft Windows, clculo de mau uso da web
e polticas de uso aceitvel (AUP).
Introduo
Definio de poltica de segurana segundo o RFC 2196 (The Site Security Handbook): q
11 Conjunto formal de regras s quais pessoas que obtm acesso tecnologia e aos
ativos de informao devem estar sujeitas.
Poder
Membros de gesto
Representantes
legais (RH) Especialistas
Lei Comisso de elaborao Conhecimento

da poltica da segurana
Figura 8.1 Captulo 8 - Poltica de segurana da informao

Comisso de
elaborao
da poltica de
segurana.
Poltica de segurana o elemento mais importante no projeto de segurana institucional de

uma organizao. Atravs dela so definidos os papis de cada membro da organizao no
que tange informao, alm da listagem de direitos, deveres e punies aplicadas ao no
cumprimento da poltica. Antes de definir uma poltica, importante realizar uma anlise de
risco, que consiste em classificar os ativos de informao de acordo com sua importncia.
Construir uma poltica de segurana uma atividade que envolve experincia; porm, esse
processo pode ser visto em linhas gerais atravs de exemplos e recomendaes.
137
Infelizmente, no existe uma regra geral para a criao de uma poltica de segurana. Cada
organizao tem particularidades que devem ser levadas em considerao. Este captulo
tem por objetivo fornecer conhecimento bsico para a elaborao de uma poltica de segu-
rana, alm de alguns direcionamentos sobre os itens que merecem receber maior ateno.
A elaborao de polticas de segurana um processo que engloba a experincia dos pro-
fissionais envolvidos e o nvel de comprometimento da organizao na elaborao de uma
poltica desse tipo.
Quais so as dificuldades de se implantar uma poltica de segurana? Quem deve participar

da elaborao da poltica de segurana?
Polticas de segurana da informao
A sua organizao possui polticas de segurana da informao? Quais?
Anlise de risco
Risco: q
11 Perigo ou possibilidade de perigo. Situao de probabilidade previsvel de perda ou
ganho; por exemplo, um jogo de azar ou uma deciso de investimento.
11 Nem sempre associado perda.
Segurana implica na probabilidade de risco tendendo a zero. Necessrio administrar

situaes de risco.
A segurana da informao adota controles fsicos, tecnolgicos e humanos personali-

zados, viabilizando reduo e administrao dos riscos.
o primeiro passo para a criao de uma poltica de segurana. Inclui as seguintes medidas:
11 Definir escopo de abrangncia da poltica;
11 Identificar e classificar todos os ativos de informao importantes;
11 Definir valores de importncia para cada ativo;
11 Determinar probabilidades de ocorrncia de vulnerabilidades;
11 Calcular impacto potencial dessas vulnerabilidades.

Identificao, classificao, valorao e criticidade

Identificao de todos os ativos de informao importantes:
Ativo Descrio
Hardware Estaes, computadores pessoais, impressoras, roteadores,

switches, modems, servidores de terminal e firewalls.
Software Cdigo-fonte, programas executveis, utilitrios, programas de diag-

nstico, Sistemas Operacionais e programas de comunicao.
138
Ativo Descrio
Dados Dados armazenados online e dados arquivados, backups, logs

de auditoria, bancos de dados e dados em trnsito em meios
de comunicao.
Pessoas Usurios, administradores e operadores.

Tabela 8.1
Identificao Documentao Manuais de programas, hardware interno, sistemas e procedimentos
dos ativos. locais de administrao.
Os dados de uma organizao podem assumir diversas formas, dependendo da experincia

de cada um na determinao da classificao daquela informao. Para uma universidade,
por exemplo, talvez dados de pesquisa no sejam altamente confidenciais, mas para uma
instituio que esteja prestes a lanar um produto revolucionrio essa informao pode ser
essencial para a sobrevivncia do negcio. Alm da criticidade, outros tipos de classificao
podem ser atribudos aos dados da organizao.
Classificaes
11 Dados administrativos;
11 Dados financeiros;
11 Dados de clientes;
11 Dados de pesquisa;
11 Dados proprietrios.
Valorao para cada ativo
11 Alguns ativos possuem valores subjetivos;
11 Alguns ativos no tm valor mensurvel em termos monetrios;
11 O uso de uma escala simples facilita a valorao:
22 Valor alto.
22 Valor moderado.
22 Valor baixo.
Nvel de criticidade: q
11 Nvel de importncia dentro da instituio.
Tabela 8.2
Exemplo de 11 Alta. Captulo 8 - Poltica de segurana da informao
valorao 11 Mdia.
e criticidade
de um ativo. 11 Baixa.
Ativo Classificao Valorao Criticidade
Correio eletrnico interno Administrativo Moderado Mdia
Salrio de empregados Financeiro Alto Mdia
Tendncias de mercado Pesquisa Baixo Baixa
Patentes pendentes Proprietrio Alto Alta
Balano anual Financeiro Moderado Alta
139
Vulnerabilidades e ameaas
Vulnerabilidade: q
11 Evidncia ou fragilidade que eleva o grau de exposio do ativo, aumentando a pro-
babilidade de sucesso da investida de uma ameaa.
11 preciso conhecer as vulnerabilidades de cada ativo.
Vulnerabilidades
Fsicas Tecnolgicas Humanas
Cabeamento de baixa Defeito de software. Falta de conscientizao

qualidade. dos usurios.
Ausncia de fragmentadora Sistema Operacional Ausncia de rotinas

de papel. desatualizado. de backup.
Tabela 8.3
Instalao eltrica Senha fraca. Descuido e despreparo. Exemplo de
mal dimensionada. vulnerabilidades.
Ameaa: q
11 Atitude ou dispositivo com potencial para explorar uma vulnerabilidade e causar
danos segurana da informao, atingindo ao menos um de seus atributos: confi-
dencialidade, integridade ou disponibilidade.
11 preciso conhecer a probabilidade de uma ameaa de explorar uma vulnerabilidade

e causar alguma falha.
Ameaas
Fsicas Tecnolgicas Humanas
Curto-circuito Spam Erro humano
Raio Phishing Engenharia social Tabela 8.4

Exemplo de
Inundao DDoS Curiosidade ameaas.
Risco
11 Para todas as ameaas possveis, devemos fazer uma avaliao de risco. q
11 H muitas formas de se medir o risco.
11 Pessoas que tomam decises de como se proteger contra riscos devem ter a noo
exata da quantificao e da probabilidade de perda da informao.
11 H ferramentas automatizadas capazes de quantificar e representar de forma ade-

quada os riscos e prejuzos.
De acordo com a norma NBR ISO/IEC 27001, a anlise de risco uma considerao sistemtica:
11 Do impacto nos negcios como resultado de uma falha de segurana, levando-se em

conta as potenciais consequncias da perda de confidencialidade, integridade ou
disponibilidade da informao ou de outros ativos.
11 Da probabilidade de tal falha realmente ocorrer luz das ameaas e vulnerabilidades

mais frequentes e nos controles atualmente implementados.
140
Forma genrica para avaliao de risco:
11 Risco = valor x criticidade x vulnerabilidade x ameaa.
11 Valor: qual o valor do ativo?
11 Criticidade: o quo crtico o ativo?
11 Vulnerabilidade: o quo vulnervel se encontra o ativo?
11 Ameaa: qual a probabilidade de uma ocorrncia causar falha de segurana?
Impacto
11 Um dos objetivos da anlise de risco o clculo do impacto causado por determinada q
ameaa ou vulnerabilidade levantada previamente.
11 Pode-se classificar o impacto em:
22 Aceitvel: no ser criado nenhum plano de conteno para diminuir a probabili-

dade de ocorrncia do impacto, tampouco um plano de contingncia.
22 Aceitvel com reao: poder ser criado apenas um plano de contingncia caso
ocorra o evento.
22 Terceirizar: transferir os riscos e suas consequncias para terceiros.
33 Essa ao no visa diminuir ou eliminar a possibilidade de ocorrncia do evento.
33 O terceiro dever elaborar os planos de conteno e contingncia para o evento.
22 Mitigar: reduzir a probabilidade de ocorrncia e/ou impacto do risco atravs de

medidas proativas como, por exemplo, a criao de um plano de conteno do risco
em si, que se desdobrar em medidas de segurana antes que o evento ocorra.
Risco
Alto
Risco
inaceitvel!
Impacto
Captulo 8 - Poltica de segurana da informao
Baixo
Figura 8.2 Probabilidade
Impacto. Baixa Alta
Risco, ameaas e vulnerabilidades
O que so ameaas?
141
O que so vulnerabilidades?
O que risco? l
Saiba mais
A Escola Superior de
Redes oferece o curso
Gesto de riscos de TI
Metodologias para anlise de risco NBR 27005, que detalha
q
o uso da norma: http://
esr.rnp.br/gti9
Algumas das metodologias disponveis atualmente:
11 Cobra: http://www.riskworld.net
11 Octave: http://www.cert.org/octave/omig.html
11 Sprint: http://www.securityforum.org/
Apesar de o funcionamento geral e a importncia de uma anlise de risco serem de fcil

entendimento, as informaes obtidas no nos tornam capazes de fazer uma anlise desse
tipo de forma profissional e consistente. Sendo assim, foram criadas metodologias padroni-
zadas e bem definidas para facilitar esse processo para os consultores de segurana.
Construindo uma poltica de segurana

11 Quais os principais fatores para o sucesso de uma poltica de segurana? q
11 Fator mais importante para o sucesso da poltica.
22 Envolvimento de cada segmento da instituio na construo da poltica: pessoal

tcnico especializado, gerentes, diretores e usurios.
11 Recomendaes bsicas para a poltica.
22 Deve ser integrada com outras polticas da empresa.
22 Deve ser validada pelo pessoal de suporte de redes e pessoas da gerncia.
22 Dever ser reforada por equipamentos, softwares e procedimentos de segurana.
Uma vez identificados os riscos para a instituio, o passo seguinte consiste em criar um docu-
mento que sirva de apoio e guia para a segurana da informao. Esse documento chamado
de poltica de segurana. No existe uma regra geral para a criao de uma poltica de segu-
rana. Ela depende da experincia e do conhecimento do pessoal envolvido na tarefa.
H necessidade do uso de uma poltica de segurana?
Orientaes da norma ISO 27001

q
Definio de segurana da informao.
11 Resumo das metas e do escopo importncia da segurana como um mecanismo que

possibilita o compartilhamento da informao.
Declarao do comprometimento da alta direo, apoiando as metas e princpios da

segurana da informao.
142
Breve explanao das polticas, princpios, padres e requisitos de conformidade de impor-
tncia especfica para a instituio:
11 Conformidade com a legislao e clusulas contratuais;
11 Requisitos na educao de segurana;
11 Preveno e deteco de vrus e softwares maliciosos;
11 Gesto da continuidade do negcio;
11 Consequncias das violaes na poltica de segurana da informao.
11 Definio das responsabilidades gerais e especficas na gesto da segurana da q

informao, incluindo o registro dos incidentes de segurana.
11 Referncias documentao que possa apoiar a poltica.
22 Polticas e procedimentos de segurana mais detalhados de sistemas de

informao especficos.
22 Regras de segurana que devem ser seguidas pelos usurios.
Norma ISO 27002

q
l
A Norma ISO 27002 (antiga NBR ISO/IEC 17799:2005).
11 Considerada um cdigo de boas prticas.

Saiba mais
11 Recomendaes.
A Escola Superior de 11 Item 5 Poltica de segurana da informao.
Redes oferece o curso
Gesto da Segurana 11 Dicas e orientaes sobre o que , o que deve conter e diretivas para implementao.
da Informao NBR
27001 e NBR 2700, que A ISO 27002, antiga ISO 17799, especifica em seus controles, mas especificamente no Cap-
detalha as normas
tulo 5, Polticas de Segurana da Informao.
ISO 27001 e 27002:
http://esr.rnp.br/gti8
Nesse documento podemos encontrar dicas e orientaes sobre o que , o que deve conter
e diretivas para a implementao de uma poltica de segurana da informao.
Orientaes do NBSO
O NIC BR Security Office (NBSO) lista alguns itens que devem ser cobertos pela poltica: q
11 Aspectos preliminares.
11 Polticas de senhas.
11 Direitos e responsabilidades dos usurios.

11 Direitos e responsabilidades do provedor de recursos.
11 Aes previstas em caso de violao da poltica.
Lista dos itens cobertos pela poltica (NBSO)
1. Aspectos preliminares:
11 Abrangncia e escopo de atuao da poltica;
11 Definies fundamentais;
11 Normas e regulamentos aos quais a poltica est subordinada;
11 Pessoas autorizadas a sancionar, implementar e fiscalizar o cumprimento da poltica;
11 Meios de distribuio da poltica;
143
11 Modo e frequncia de reviso da poltica.
2. Poltica de senhas:
11 Requisitos para formao de senhas;
11 Perodo de validade das senhas;
11 Normas para proteo de senhas;
11 Reutilizao de senhas;
11 Senhas padro.
3. Direitos e responsabilidades dos usurios:
11 Utilizao de contas de acesso;
11 Utilizao de software e informaes, incluindo questes de instalao, licenciamento

e copyright;
11 Proteo e uso de informaes, como senhas, dados de configurao de sistemas

e dados confidenciais;
11 Uso aceitvel de recursos como e-mail, news e pginas web;
11 Direito privacidade, e condies nas quais esse direito possa ser violado pelo
provedor dos recursos;
11 Uso de antivrus.
4. Direitos e responsabilidades do provedor dos recursos:
11 Backup;
11 Diretrizes para configurao e instalao de sistemas e equipamentos de rede;
11 Autoridade para conceder e revogar autorizaes de acesso, conectar e desconectar

sistemas e equipamentos de rede, alocar e registrar endereos e nomes de sistemas
e equipamentos;
11 Monitoramento de sistemas e equipamentos de rede;
11 Normas de segurana fsica.
5. Aes previstas em caso de violao da poltica:
11 Diretrizes para tratamento e resposta a incidentes de segurana;
11 Penalidades cabveis.
Orientaes do CERT.BR
O CERT.BR define ainda alguns fatores importantes para o sucesso de uma poltica: q
11 Apoio por parte da administrao superior.
11 A poltica deve ser ampla, cobrindo todos os aspectos que envolvem a segurana dos
recursos computacionais e da informao sob responsabilidade da organizao.
11 A poltica deve ser periodicamente atualizada de forma a refletir as mudanas

na organizao.
11 Deve haver um indivduo ou grupo responsvel por verificar se a poltica est

sendo respeitada.
Todos os usurios da organizao devem tomar conhecimento da poltica e manifestar a sua

concordncia em se submeter a ela antes de obterem acesso aos recursos computacionais.
144
A poltica deve estar disponvel em um local de fcil acesso aos usurios, tal como a
intranet da organizao.
Acceptable Use Police (AUP)

11 Poltica de Uso Aceitvel (PUA): subconjunto da poltica de segurana. q
22 Define como os recursos computacionais podem ser utilizados.
22 Define os direitos e responsabilidades dos usurios.
11 Provedor de acesso deixa sua poltica de uso aceitvel disponvel em sua pgina.
11 Instituio entrega AUP no momento da contratao do funcionrio.
11 AUPs mais comuns:
22 Acesso correto com segurana internet.
22 Uso correto e seguro do servio de correio eletrnico.
22 Uso correto e seguro do computador.
Exemplo de poltica de segurana

d Exemplos de polticas de uso aceitvel: q
Saiba mais 11 http://www.allnet.com.br/aup/
11 http://www.earthlink.net/about/policies/use.faces
Exemplos de polticas
de diversos tipos: 11 http://www.tutopia.com/access/brasil/pua.asp
http://www.sans.org/
security-resources/ Exemplo completo da poltica de segurana da ICP-Brasil, aprovada pela Resoluo n 2,
policies/ de 25 de setembro de 2001, do Comit Gestor da ICP-Brasil:
11 http://siabi.trt4.jus.br/biblioteca/direito/legislacao/atos/federais/res_pres_cc_2001_2.pdf
Mensurando
11 As mtricas de controle de risco podem ser aplicadas no somente a situaes de q
ameaa aos ativos da empresa, mas tambm ao mau uso desses ativos.
11 Imagine um cenrio onde 50 funcionrios de uma empresa com total acesso web
perdem em mdia uma hora por dia com acesso de contedo no relacionado sua
atividade profissional e ao negcio da empresa.
11 Como podemos justificar o valor da implementao de um controle de contedo web?

Existem algumas siglas e equaes que nos ajudam e efetuar esses clculos.
Exposure Factor (EF):
11 Fator de exposio.
11 Valor percentual de exposio frente a uma ameaa.
O fator de exposio representa a porcentagem de perda que uma ameaa pode causar a
um ativo. Por exemplo:
Um acidente automobilstico pode ser somente um amassado na lataria, custando 5% do

valor do automvel para o conserto, ou 100% do valor nos casos de perda total.
O roubo do carro significa 100% de perda.
145
Single Loss Expectancy (SLE)
11 Expectativa de Perda Pontual. q
11 SLE = valor do bem X Fator de Exposio (EF).
Expectativa de Perda Pontual (SLE) o valor do bem multiplicado pelo fator de exposio
(valendo para uma nica ocorrncia).
Annualized Rate of Ocurrance (ARO)

11 Proporo Anual de Ocorrncia. q
11 Valor percentual representado a frequncia de uma ocorrncia (anual).
Proporo Anual de Ocorrncia (ARO) o valor percentual representando a frequncia de

uma ocorrncia, durante um ano. O valor pode variar de:
11 0.0: nunca;
11 1.0: pelo menos uma vez ao ano;
11 Maior que 1.0: vrias vezes ao ano.
Onde:
11 0.1: uma vez a cada 10 anos.
11 4.0: quatro vezes ao ano.
Annualized Loss Expectancy (ALE)

11 Expectativa de Perda Anual. q
11 ALE = SLE X ARO.
Expectativa de Perda Anual (ALE) a expectativa de perda pontual (SLE) multiplicada por
quantas vezes isso pode ocorrer em um ano (ARO).
Calculando
11 Um funcionrio: q
22 R$ 10,00 (custo/hora) x 8 (horas/dia) x 240 (dias/ano).
33 Funcionrio custa por ano R$ 19.200,00.
22 Uma hora por dia corresponde a 12,5% em um perodo de 8 horas.
33 Isso corresponde a 12,5% de desperdcio.
22 R$ 10,00 (custo/hora) x 1 (hora/dia) x 240 (dias/ano).
33 Valor do desperdcio por ano: R$ 2.400,00.

11 Expectativa de Perda Pontual (SLE):
22 SLE = Valor Anual do Funcionrio X porcentagem de desperdcio (exposio).
22 Valor Anual do Funcionrio = R$ 19.200,00.
22 Fator de Exposio (EF) = 12,5%.
22 SLE = R$ 19.200,00 x 12,5 %.
22 SLE = R$ 2.400,00.
146
11 Proporo Anual de Ocorrncia (ARO): q
22 Como sabemos que a situao realmente ocorre, temos um valor de ARO = 1.0
11 Expectativa de Perda Anual (ALE):
22 ALE = SLE x ARO
22 ALE = R$ 2.400,00 X 1.0
22 ALE = R$ 2.400,00
11 Temos, assim, R$ 2.400,00 de perda (prejuzo) anual por funcionrio.
Ainda neste cenrio, imagine essa empresa com 50 funcionrios, onde 100% possuem
acesso web, totalizando em mdia 5 horas semanais de uso indevido no relacionado ao
negcio. Com essas informaes, conseguimos agora mostrar o valor do prejuzo acumulado
durante um ano.
11 50 funcionrios custando R$ 19.200,00 cada anualmente. q

22 50 (funcionrios) x R$ 19.200,00 (valor anual/funcionrio) = R$ 960.000,00.
11 Expectativa de Perda Anual (ALE) por funcionrio = R$ 2.400,00.
22 50 (funcionrios) x R$ 2.400,00 (valor prejuzo/funcionrio) = R$ 120.000,00.
Valor final
11 Custo Fixo Anual com 50 funcionrios: R$ 960.000,00. q
11 Prejuzo Anual (desperdcio de tempo/navegao indevida): R$ 120.000,00.
11 Valor efetivo (til): R$ 840.000,00.
11 Mostrar o total em valores de horas perdidas. Prejuzo um argumento bem convin-

cente para demonstrar um risco e possivelmente conseguir investimentos na rea
(filtro de contedo, por exemplo).
Esse tipo de clculo pode ser aplicado em vrias situaes como, por exemplo, para mensurar
o valor vinculado indisponibilidade de determinado servio, o tempo perdido com spams e a
indisponibilidade das estaes de trabalho por falta de um sistema de antivrus eficiente.
147
148
Atividade 8.1 Elaborao de polticas
1. Esboce uma Poltica de Uso Aceitvel (AUP) para os seguintes assuntos:
11 Uso correto com segurana da estao de trabalho;

d 11 Uso correto com segurana do servio de correio eletrnico;
Veja algumas sanes 11 Uso correto com segurana do servio de www.

passveis a servidores
pblicos no Quadro 2. Que tipo de punio voc acha que deve ser aplicada em casos de violao da
da Legislao relacio- poltica de segurana?
nada Segurana da
Informao:
http://www.presidencia.
gov.br/gsi/cgsi/quadro_
legislacao.htm
3. Discuta sua opinio com o instrutor e os colegas.
Atividade 8.2 Auditoria em Microsoft Windows

1. Instale o pacote de auditoria da Microsoft MBSA:
http://www.microsoft.com/technet/security/tools/mbsahome.mspx
http://technet.microsoft.com/en-us/security/cc184923
2. Execute-o na sua estao de trabalho e na sua rede local. Que benefcios este programa
pode fornecer para a segurana da informao?
Atividade 8.3 Aumentando a segurana da sua estao de trabalho

1. Instale o pacote Microsoft Security Essentials:
http://windows.microsoft.com/pt-br/windows/security-essentials-download
149
2. Faa uma varredura na sua estao de trabalho.
11 Voc constatou algum problema de segurana? Qual?

Atividade 8.4 Calculando o impacto do mau uso da web

1. Calcule o prejuzo de uma empresa decorrente do mau uso do acesso web, conside-
rando o cenrio:
A empresa Gato Molhado tem 500 funcionrios, onde 70 deles tm acesso indiscriminado web.
Esses usurios gastam em mdia 1 hora por dia, ao custo de R$ 20,00 a hora, com acesso a con-
tedo no relacionado s suas atividades e ao negcio da empresa (utilize as mtricas ALE e SLE).
150
9
Ameaas recentes
Apresentar os mais recentes e perigosos mecanismos de fraudes on-line; explicar
objetivos
o uso seguro do correio eletrnico e de navegadores, e a importncia da aplicao

de uma poltica de segurana rigorosa para downloads; mostrar as vulnerabilidades
exploradas pelos fraudadores em golpes virtuais; ensinar os cuidados para realizar
uma operao financeira segura via internet e formas de se manter informado.
conceitos
Malware, Antirootkit, Phishing, Pharming, Bot, Rootkit.
Ameaas recentes
Quais as maiores ameaas para a sua organizao atualmente?
Introduo
Fraude on-line: q
11 Visa sequestro de dados bancrios e informaes teis ao malfeitor.
11 Aborda em larga escala usurios via e-mail.
11 Usa assunto atrativo como disfarce.
11 Induz a vtima a fornecer dados sigilosos.
11 Instala programa que rouba informaes no computador.
Entre as mensagens indesejadas e no solicitadas de correio eletrnico (spam) que

circulam atualmente na internet, as fraudes on-line (scam) j chegaram a ultrapassar a
ocorrncia de anncios, propagandas e pornografia, segundo dados da unidade de moni-
Captulo 9 - Ameaas recentes
toramento Brightmail, da Symantec, empresa especializada em segurana digital.
Prevenir muito mais simples e eficaz do que remediar. Informao sempre um meio
vlido de combater este tipo de mal, para que cada vez menos pessoas sejam enganadas
pelas fraudes.
Sero apresentados e explicados diversos exemplos de fraude, na forma de imagens repro-

duzindo a visualizao de mensagens de fraude que circulam por correio eletrnico.
151
Scam (golpe virtual)
Ao eletrnica fraudulenta que tem como finalidade obter vantagem, geralmente financeira.
Fatores de ocorrncia e proliferao:
11 Facilidade do e-mail de ser forjado e fraudado;
11 Proliferao de listas e programas para envio de spam em larga escala;
11 Facilidade de publicar qualquer contedo e arquivo executvel na web;
11 Carncia de legislao, meio de controle e segurana que permita rastrear, identificar,

coibir e punir ao criminosa de forma rpida, eficaz e globalizada;
11 Usurio com pouco conhecimento tcnico, ingnuo e despreparado para desconfiar de

perigo existente.
Phishing
11 Link para programa malicioso. q
11 Pgina falsificada de comrcio eletrnico ou internet banking.
11 E-mail contendo formulrio.
11 Uso de computador alheio.
Cuidados ao usar comrcio eletrnico ou internet banking.
Proteo antiphishing.
Phishingscam:
11 Tipo de fraude eletrnica.
11 Termo veio de fishing (pescaria), analogia criada onde iscas so usadas para pescar.
No uma tarefa simples atacar e fraudar dados em um servidor de uma instituio ban-
cria ou comercial. Os invasores tm concentrado seus esforos na explorao de fragili-
dades dos usurios para realizar fraudes comerciais e bancrias atravs da internet.
Para obter vantagens, os fraudadores tm utilizado amplamente e-mails com discursos que,
na maioria dos casos, envolvem engenharia social e tentam persuadir o usurio a fornecer
seus dados pessoais e financeiros. Em muitos casos, o usurio induzido a instalar algum
cdigo malicioso ou acessar uma pgina fraudulenta, para que dados pessoais e sensveis,
como senhas bancrias e nmeros de cartes de crdito possam ser furtados.
Dessa forma, muito importante que usurios da internet tenham certos cuidados
com os e-mails que recebem e ao utilizarem servios de comrcio eletrnico ou
internet banking.
Como pegar (o que seria a isca)?

11 Envio de mensagem eletrnica no solicitada, falsamente oriunda de instituio conhecida,
como banco, empresa ou site popular.
11 Procura induzir acesso a pginas fraudulentas (falsificadas), projetadas para furtar os usurios.
O que pegar (o que seria o peixe)?

11 Senhas;
11 Dados financeiros;
152
11 Nmero de carto de crdito;
11 Dados de contas.
11 Informaes pessoais.
Formas atuais de phishing

Quatro situaes de phishing usadas por fraudadores: q
11 Mensagem contendo link para programa malicioso.
11 Pgina falsificada de comrcio eletrnico ou internet banking.
11 E-mail contendo formulrio para fornecimento de informao sensvel.
11 Uso de computador alheio.
Figura 9.1
Exemplo de
phishing.
Existem variantes para as situaes apresentadas. Novas formas de phishing podem surgir.
importante manter-se informado sobre os novos tipos de phishing que vm sendo utili-
zados pelos fraudadores, atravs dos veculos de comunicao, como jornais, revistas e sites
especializados. Tambm importante que, ao identificar um caso de fraude via internet,
notifiquemos a instituio envolvida, para que ela possa tomar as providncias cabveis.
Vrios veculos utilizados: q

11 Mensagem instantnea.
11 Mensagem de texto de celular (SMS).
11 Sala de chat.
11 Anncio falso tipo banner.
11 Site falso de procura e oferta de emprego.
11 Barra de ferramentas de navegador falsa.
11 Recado no Orkut (scrap).

Phishing
Explique como o phishing funciona.
153
Programa malicioso
Tambm chamado de malware, qualquer programa que atue contra o usurio: q
11 Vrus.
11 Worm.
11 Cavalo de troia.
Programa malicioso ou malware (malicious software) qualquer tipo de programa que faz
alguma coisa contra o usurio. Assim, em vez de tentar categorizar um tipo de arquivo mali-
cioso como vrus, worm, cavalo de troia etc., chamamos eles simplesmente de malware.
Link para programa malicioso

Entenda o processo: q
11 Um programa malicioso criado e colocado na web.
11 Spam enviado.
11 Usurio clica no link para o programa, faz o download e executa-o.
Figura 9.2
Mensagens com
links maliciosos.
Malwares mais usados

11 Spyware;
11 Cavalo de troia.
Assuntos mais usados

11 Cartes e mensagens;
11 Notificaes financeiras e cadastrais;
11 Notcias bombsticas e apelos dramticos;
11 Download de programas;
11 Prmios, promoes e campanhas;
11 Pornografia.
154
Como identificar uma mensagem maliciosa?
11 Contm erros gramaticais e de ortografia. q
11 Compare link real na barra de status com link malicioso.
11 Procure extenso de arquivo malicioso no link real: q

22 Por exemplo: .exe, .zip, .com, .dll.
11 Suspeite de mensagem que solicita instalao de arquivo ou programa.
Preveno:
11 Suspeite de mensagem que desperta curiosidade, ambio e impulso emocional.
11 No confie sempre no remetente da mensagem .
11 Contate instituio para certificar-se sobre o assunto, antes de transmitir

informao sensvel.
Pgina falsificada de comrcio eletrnico ou internet banking

Mensagem maliciosa: q
11 Solicita recadastramento ou confirmao dos dados do usurio.
11 Solicita participao em nova promoo.
11 Tenta persuadi-lo a clicar em link no texto, em imagem ou pgina de terceiro.
Pgina falsa solicita dados pessoais e financeiros:
11 Nmero, data de expirao e cdigo de segurana do seu carto de crdito.
11 Nmero da agncia e conta bancria, senha do carto e senha de acesso ao internet

banking.
11 Clicando no boto de confirmao, os dados so enviados para o fraudador.
Como identificar uma mensagem maliciosa?

11 Site de comrcio eletrnico/internet banking confivel sempre usa conexo segura.
11 Se a pgina no usa conexo segura, desconfie imediatamente.
11 Se a pgina falsificada usa conexo segura, abra e leia o certificado digital.
11 Fraudador no consegue fraudar o certificado digital.
E-mail contendo formulrio

Como identificar mensagem maliciosa? q
11 Nenhuma instituio bancria ou de comrcio eletrnico usa mensagem eletrnica
para solicitar informao sensvel do cliente.
155
Abordagem mais direta: Figura 9.3
E-mail contendo
11 Tenta enganar usurio de modo a faz-lo preencher um formulrio com dados pessoais formulrio.
e bancrios.
11 Formulrio apresentado na prpria mensagem de fraude ou a mensagem contm link

que leva pgina com o formulrio.
Uso de computador alheio

11 Uso de computador de outra pessoa para acessar site de comrcio eletrnico ou q
internet banking.
22 Lan house.
22 Cybercaf.
22 Stand de evento.
11 Risco:
22 Ao monitorada por programa instalado anteriormente.
11 Preveno:
22 No usar computador alheio para operaes que solicitem senha, dados pessoais
ou financeiros.
Roubo de identidade
11 Roubo de identidade (Identity Theft) o ato pelo qual uma pessoa se passa por outra, q
atribuindo-se uma identidade falsa com o objetivo de obter vantagens indevidas.
11 Quanto mais voc disponibiliza informaes pessoais na internet, mais fcil fica
para um golpista furtar sua identidade, pois quanto mais dados ele possuir, mais
convincente ele pode ser.
11 Caso a sua identidade seja furtada, voc poder arcar com consequncias como
perdas financeiras, perda de reputao e falta de crdito.
156
Golpes em sites de comrcio eletrnico e compras coletivas
11 Sites de comercio eletrnico vm sendo usados com bastante frequncia em q
fraudes eletrnicas.
11 Neste golpe, cria-se um site de e-commerce fraudulento com o objetivo de enganar poten-
ciais clientes que, aps efetuarem o pagamento, no recebem as mercadorias solicitadas.
11 Esse golpe pode ser amplificado com a moda de sites de compras coletivas.
Cuidados ao usar comrcio eletrnico e internet banking

11 Realizar transaes em sites de instituies confiveis. q
11 Digitar no browser o endereo desejado.
11 No usar links em pginas de terceiros ou recebidos por e-mail.
11 Antes de qualquer ao, ter certeza de que o endereo no navegador corresponde ao

site desejado.
11 Ter certeza de que o site usa conexo e tamanho de chave seguros.
11 Ao aceitar o certificado digital, verificar dados e prazo de validade.
11 No acessar site de comrcio eletrnico e/ou internet banking em computador alheio.
11 Desligar webcam ao acessar site de comrcio eletrnico e/ou internet banking.
11 Manter browser sempre atualizado.
11 Restringir execuo de JavaScript, Java ou ActiveX.
11 Bloquear pop-up Windows.
11 Configurar leitor de e-mail para no abrir arquivo ou executar programa automaticamente.
Proteo antiphishing
11 Navegadores adotam sistema antiphishing: q
22 IE a partir da verso 7.0:
33 Analisa a pgina e gera alerta sobre site suspeito.
22 Firefox a partir da verso 2.0:
33 Bloqueia comparando com lista negra (blacklist).
22 Chrome:
33 Bloqueia comparando com lista negra (blacklist).
11 Modo incorporado para denncia de sites suspeitos:
22 Usurio envia informao para avaliao, que se confirmada adicionada lista negra.
157
Figura 9.4
Sistema
antiphishing no IE 7.
Pharming
11 Subcultura de linguagem on-line em constante evoluo. q
11 Variante de phishing, redireciona o browser para web site falso.
11 Objetiva tambm roubar identidade digital e informao sensvel.
11 Mais traioeiro, funciona sem participao ou conhecimento do usurio.
11 Modifica a relao entre o nome de um site e o endereo IP do servidor web.
Pharming usa as seguintes tcnicas:
11 DNS poisoning: envenenamento do cache de Domain Name System (DNS), ataque

ao servidor de rede.
11 Hosts poisoning: envenenamento do arquivo de hosts da pilha TCP/IP, ataque estao

de usurio.
11 Phone phreaking: escuta ou uso incorreto na rede telefnica.
11 Phishing: roubo de identidade na internet.

11 Pharming: redirecionamento para web site falso.
Preveno
11 Habilitar no antivrus proteo contra ameaas desconhecidas, analisando comporta- q
mento de arquivo suspeito (anlise heurstica).
Novo ataque Drive-By Pharming (pharming casual).
11 Permite que o invasor modifique a configurao do modem ADSL da vtima se uma

pgina web maliciosa for aberta.
158
11 Reconfigura servidores de DNS do modem ADSL. q
11 Usa tcnica chamada de Cross Site Request Forgery (CSRF).
11 Site malicioso instrui computador do usurio a acessar modem e modificar configurao.
11 Nenhuma falha de segurana explorada, apenas senha vulnervel.
11 Preveno: alterar senha padro do modem ou roteador.
Endereo IP 11 Regra de ouro de segurana: altere o padro, sempre que possvel: endereo IP, porta,
Identificao de um dis- usurio, senha etc.
positivo (computador,
impressora etc) em uma Exerccio de fixao 2 e
rede local ou pblica.
Cada computador na Pharming
internet possui um IP
nico, que o meio Quais as medidas preventivas devem ser adotadas contra ataques pharming?
que as mquinas usam
para se comunicar na
internet.
Bot
Programa malicioso que se propaga automaticamente, explora vulnerabilidades e pode q
ser controlado remotamente.
Diminutivo de robot, utilitrio concebido para simular aes humanas.
11 Roda tarefa automatizada sobre a internet.
11 Usa Mensageiro Instantneo (MI) ou IRC para comunicao com master.
11 Usado no ataque automatizado DDoS formando botnets.
11 Anatomia de um bot: http://www.f-secure.com/v-descs/agobot_fo.shtml
11 Botnet: rede de computadores (bots) usando software de computao distribudo;

formada por milhes de bots.
11 Symantec Internet Security Threat Report: nos primeiros seis meses de 2006, havia
4.696.903 computadores em botnets ativas.
11 Symantec e Kasper Sky Labs Report (30/01/2007): classifica a botnet como o maior perigo
da internet.
Rootkit
11 Programa projetado para ocultar a si mesmo e outros programas, dados e atividades, q
incluindo vrus, backdoors, keylogger, spyware e bots.
11 Coleo de ferramentas que habilita acesso ao nvel de administrador (root).
11 Roda de modo que processos do Sistema Operacional ou antivrus no podem detect-lo.

11 Realiza download de trojan, vrus; transmite informao confidencial, com os mesmos

privilgios do Sistema Operacional hospedeiro.
O nome rootkit tem origem no mundo Unix PC/Linux, onde kit uma coleo de ferramentas
que fornece poderes de superusurio root ao invasor.
159
Tecnologia rootkit em DRM da Sony w
Rootkit instalado por CD da Sony BMG dificultando remoo do software DRM. q Em 31/10/2005, Mark
Russinovich anunciou a
11 Instalado como filtro de acesso ao CD-ROM. descoberta em seu
blog. O clamor foi
11 Esconde programa que probe ripar msicas do CD para o formato mp3.
grande e a Sony
11 Remov-lo impede acesso ao drive de CD. suspendeu a proteo
contra cpia ilegal. Leia
Digital Rights Management (DRM): o anncio em: http://
blogs.technet.com/
11 Tecnologia que controla cpia de dados multimdia como msicas e vdeo.
markrussinovich/
Problemas de segurana:
11 Programa instalado sem conhecimento e autorizao do usurio.
11 Envia informaes para a Sony sem conhecimento e autorizao do usurio.
11 Trojan Backdoor.IRC.Snyd.A usou rootkit da Sony.
Kernel malware
Kernel malware outro nome para rootkit. q
11 Solues atuais, incluindo antivrus e firewalls, no foram projetadas para proteo
contra kernel malware.
11 Est se popularizando e muitas ameaas tm alto interesse em rootkit.
Figura 9.5
O crescimento do
kernel malware
Fonte: http://
www.f-secure.
com/weblog/
archives/00001118.
html.
Preveno
11 No usar servidor como estao de trabalho de usurio ou de administrador.

11 Usar conta de administrador (root) apenas para instalao ou manuteno.
11 Execute antirootkit periodicamente em todas as mquinas.
Mailbot aka Costrat

11 o mais poderoso e oculto rootkit produzido. q
11 Um nico driver kernel mode.
11 Transporta DLL cifrada com payload, que um spambot sofisticado com capacidade
de backdoor.
160
w 11 Deteco e remoo so desafios para detentores de rootkit e solues de antivrus. q
Instrues para a
remoo do Mailbot Remoo:
aka Costrat em
Removing Mailbot.AZ 11 AVG antirootkit.
(aka Rustok.A) Rootkit
11 ADS Spy (ou HijackThis).
em: http://swatrant.
blogspot.com/
Spear phishing
11 Ataques direcionados. q
11 Mensagem parece vir de algum confivel.
22 Informaes do remetente falsas.
22 Quando voc clica no anexo, sua mquina infectada.
33 Processo transparente.
33 Anexo pode conter informaes aparentemente reais.
11 Spear phishing um tipo de ataque altamente direcionado;
11 Pessoa mal-intencionada fica na internet procurando formas de iludir o usurio;
11 Desde monitorar fruns tcnicos, para verificar suas necessidades de equipamentos, at

o envio de currculos, se fazendo passar por um candidato;
11 Pessoa abre o arquivo anexo, pois tem a necessidade real (no curiosidade) daquela
informao;
11 Aps infectada, a mquina da pessoa abre conexes com as mquinas mal-intencio-

nadas, deixando que o atacante tenha acesso total mquina da vtima.
Novos ataques de Spear Phishing

Valor por tentativas de ameaa
Campanhas de spam tradicionais
Figura 9.6
Retorno de ataques
Spear phishing em
relao aos ataques
Nmero de ameaas por e-mail em cada campanha
tradicionais.
Campanhas de Spear phishing so enviadas para poucos destinatrios, mas oferecem maior
retorno para os atacantes quando os destinatrios respondem a eles.
Pginas contaminadas
Pgina legtima atacada. q
11 Contedo visual no alterado.
11 Utiliza falhas de XSS (cross site scripting) e SQL Injection (SQLi).
11 Scripts capazes de detectar tipo e verso do equipamento e do navegador utilizados.
161
Outra forma de ataque a explorao de falhas de Cross Site Scripting e de SQL injection em
pginas de grandes instituies (confiveis), como provedores de acesso, comrcio eletrnico,
jornais ou revistas.
O atacante, em vez de alterar a pgina (ataque visualmente fcil de ser reconhecido), inclui
scripts maliciosos na pgina. Os scripts sero entendidos e processados pelo seu navegador.
Possibilidades: q
11 Solicitao de confirmao de informaes pessoais.
11 Cdigo oculto na pgina, redireciona a pessoa para a pgina.
11 Possibilidade de download de plugin especfico para ver a pgina.
22 Como voc confia na pgina, voc clica e instala o plugin malicioso (malware qualquer).
Entre as possibilidades desse ataque, tempos:
1. Incluso de uma pgina solicitando a confirmao dos dados. Como a pessoa confia na
pgina, ela coloca seus dados. Porm, ela est colocando seus dados em uma pgina falsa.
2. Cdigo oculto, redireciona a pessoa para outra pgina, que pode conter somente propa-
gandas ou outro tipo qualquer de software malicioso.
3. Pgina informa que a pessoa necessita atualizar algum plugin para visualizar algum tipo
de contedo, geralmente um banner ou filme. A pessoa, confiando na pgina, faz o
download desse plugin e o instala, porm o arquivo no lhe dar vantagem alguma.
Ataques exploram falhas em navegadores e plug-ins: q

11 Flash.
11 Java.
11 Adobe Reader.
Alguns desses tipos de ataques exploram falhas em outros softwares, como o Flash, Java ou
Adobe Reader.
Redes sociais
Redes sociais utilizadas para campanhas fraudulentas: q
11 E-mail falso com convite para adicionar algum (conhecido ou no como amigo).
11 Ao clicar no convite, a pessoa redirecionado para uma pgina solicitando seu

usurio e senha.
11 Tudo parece normal, porm a pgina falsa e est roubando os dados para futuro
uso, incluindo roubo de identidade.
Explorao de fragilidades nas pginas das redes sociais.
11 Execuo de scripts.
11 Pessoa pode ser infectada somente ao visitar uma pgina.
11 Redes sociais tambm so utilizadas atualmente para fraudes;
11 Campanhas fraudulentas de todos os tipos so montadas, com foco em comunidades ou

grupos de amigos;
11 Nesse tipo de golpe, a pessoa pode receber um e-mail, do tipo convite para adicionar um
novo amigo sua rede de relacionamento;
162
11 O e-mail deve ser um desconhecido ou parecer vir de um amigo;
11 Ao clicar no convite, a pessoa redirecionada para uma pgina solicitando usurio e senha;
11 Tudo normal at ento, a no ser um detalhe: a pgina em questo falsa;
11 Aps colocar seus dados, a pgina apresenta um erro e a pessoa redirecionada final-
mente para a pgina real;
11 Porm, o atacante j possui os dados e pode efetuar alguns golpes, incluindo roubo de
identidade.
11 Outra possibilidade com redes sociais a explorao de vulnerabilidades nas prprias

pginas das redes sociais (pginas confiveis).
11 Mais uma vez um script mal-intencionado includo, e somente visitando a pgina infec-
tada o navegador pode efetuar aes como entrar em outros sites, clicar outros links ou
at mesmo infectar outras pginas e tudo isso completamente invisvel para o usurio.
Como se proteger
Spear Phishing, pginas contaminadas ou redes sociais: q
11 Mantenha os softwares de sua mquina atualizados.
11 Verificar sempre situaes ou e-mails estranhos ou duvidosos.
11 Manter o software de antivrus sempre atualizado.
11 Comunicar qualquer situao estranha, anormal ou inesperada ao administrador da

rede ou ao responsvel pela segurana da informao.
Redes sociais
Que protees devem ser adotadas para evitar as fraudes em redes sociais?
SANS Top 20 Internet Security Attack Targets

11 Lanado no ano 2000 pelo SANS e NIPC (FBI). q
11 Documento original:
22 As dez vulnerabilidades de segurana mais crticas da internet (Top 10).
11 Lista confivel e expandida para Top 20.
11 Indica as vulnerabilidades de segurana que devem ser priorizadas para tratamento.
11 Vulnerabilidades exploradas por worms como Blaster, Slammer e CodeRed estiveram

nas listas SANS.
11 CAIS/RNP ampliou divulgao da SANS Top 20.
22 http://www.sans.org/top20/
22 Esse recurso est desatualizado, porm suas informaes continuam vlidas, visando
entender o que aconteceu e qual a evoluo das ameaas e das medidas de proteo.
163
Como se manter atualizado, quando o assunto segurana?
Sendo a rea de segurana bem abrangente, no existe uma resposta objetiva. Depende do
que voc est buscando, de seus interesses e ramo de atuao.
11 Mailling Lists. q
11 Blogs.
11 Twitter.
Durante muito tempo, listas de distribuio de e-mail, tambm conhecidas como mailling
lists, foram a forma mais rpida e objetiva para trocar informaes e manter-se informado.
Com o crescente volume de mensagens ficava difcil filtrar e ler tudo sobre um determinado
assunto (e continua assim). Mesmo ainda existindo e sendo bem valiosas em termos de
informao, as listas de distribuio de e-mail servem mais para debates e troca de informa-
es do que propriamente para manter as pessoas informadas. Para essa finalidade (manter
as pessoas informadas) os blogs e microblogs tm ganho cada vez mais espao.
O Twitter atualmente a melhor alternativa para quem deseja manter-se atualizado. Atravs
dele, h a opo de seguir tanto empresas como pessoas. Quanto mais gente, mais mensagens
sero recebidas, porm tudo via web. A grande vantagem so os textos reduzidos. Quem posta
alguma coisa no Twitter tem no mximo 140 caracteres para se expressar. A leitura por parte
do usurio rpida. Se o usurio achou o texto interessante, pode efetuar uma busca mais
detalhada sobre o tema ou clicar e ler o texto completo (quando existe essa possibilidade).
Existem clientes Twitter para a maioria das plataformas de celular, assim como alguns Figura 9.7
Pgina de abertura
clientes para Windows, como o Tweetdeck (http://www.tweetdeck.com/).

do Twitter.
164
Figura 9.8 Uma compilao com mais de 380 profissionais e 95 entidades/empresas da rea de
Tela ilustrativa do segurana da informao pode ser encontrada em http://tinyurl.com/TwitterSeg
TweetDeck.
Sugestes para comear:
11 http://twitter.com/g1seguranca
11 http://twitter.com/seginfo
11 http://twitter.com/FSecure
11 https://twitter.com/modulogrc
Na linha de blogs existe tambm muita coisa boa escrita em portugus. Uma compilao de
mais de 100 blogs brasileiros pode ser encontrado em http://tinyurl.com/blogseg
Existem outros sites sobre segurana, alguns muito teis, como:
11 Site do Centro de Atendimento a Incidentes de Segurana da RNP, com alertas de q

segurana: http://www.rnp.br/cais/alertas/
11 Site dedicado a ajudar usurios com problemas de segurana com matrias informativas:
http://www.linhadefensiva.org/
11 O site conhecido como Internet Storm Center (ISC) mantm atualizaes dirias:
http://isc.sans.org
11 Site de um grupo especializado em segurana da informao com informaes

atualizadas: http://www.team-cymru.org/News/
11 Inscreva-se na lista de e-mail desse site e receba as principais notcias por e-mail:
https://lists.cymru.com/mailman/listinfo/ians_dragon_newsbytes
Vale sempre lembrar que a internet nasceu em territrio americano, assim, muito material
ainda escrito e divulgado em ingls, valendo a pena o estudo dessa lngua, para os que
desejam focar sua carreira na segurana da informao.
Manter-se atualizado pode ser uma tarefa difcil: s vezes, por causa da falta de informao
sobre assuntos especficos; outras vezes por causa de excesso de informao, que acaba nos
tomando um tempo muito grande. preciso saber filtrar o que realmente til e interessante.
165
166
Atividade 9.1 Conceitos de malware
1. Teste seus conhecimentos sobre phishing:
11 http://www.microsoft.com/canada/smallbiz/sgc/quiz.mspx
11 http://www.mailfrontier.com/forms/msft_iq_test.html
11 http://www.sonicwall.com/furl/phishing/
2. Entre no site da Web of Trust (http://www.mywot.com/):
11 Teste a reputao de alguns sites conhecidos.
11 Caso deseje, instale tambm esse add-on.
3. Instale o pacote antiscam do EarthLink.
11 http://www.earthlink.net/software/domore.faces?tab=toolbar
11 Navegue nos sites de sua preferncia verificando o status do plug-in.
Atividade 9.2 Antirootkit

1. Verifique as alternativas de anti-rootkits, nomes, plataformas e licenas de uso em:
http://www.antirootkit.com/software/index.htm
1.1.Escolha um pacote compatvel com sua plataforma e instale.
1.2.Examine o computador em busca de rootkits.
2. Instale o pacote chrootkit:
# apt-get install chrootkit
3. Para fazer uma varredura no computador execute:
#chrootkit
Quais problemas foram encontrados no seu computador?
167
168
10
Fundamentos de segurana
da informao
objetivos
Apresentar os fundamentos de segurana da informao, as normas existentes

sobre o assunto e a importncia nas organizaes; explicar a relao entre o Cobit
e a segurana da informao.
conceitos
Segurana da informao, vulnerabilidades e descarte de informao.
Introduo
A segurana da informao transcende a informtica. q
11 No existe sistema 100% seguro.
11 O elo mais fraco da corrente sempre ser o ser humano.
11 Os riscos e as vulnerabilidades transcendem o mundo tecnolgico.
11 Vulnerabilidades fsicas, tecnolgicas e humanas estaro sempre presentes.
11 Necessidade de assumir, gerenciar e gerir riscos.
A informao um dos bens mais preciosos que uma empresa pode ter. Planejamentos
estratgicos, folhas de pagamento, projetos secretos e dados de clientes so apenas alguns
Captulo 10 - Fundamentos de segurana da informao

exemplos de informaes sensveis que uma empresa pode ter. Com a chegada da tecnologia,
vieram as facilidades da informtica para guardar, gerenciar e apresentar a informao
( importante lembrar que o termo informtica derivado de informao automtica).
Hoje temos conscincia de que o objetivo da informtica a manipulao da informao,

o que deu origem ao termo Tecnologia da Informao (TI). Na rea de segurana, surge o
termo Segurana da Informao, para representar tudo que diz respeito proteo da infor-
mao, eletrnica ou no.
O que segurana da informao?
rea do conhecimento dedicada proteo dos ativos da informao contra acessos no

autorizados, alteraes indevidas ou indisponibilidade.
169
Por que proteger as informaes?
11 Pelo seu valor direto;
11 Pelo impacto de sua ausncia;
11 Pelo impacto resultante de seu uso por terceiros;
11 Pela relao de dependncia com a sua atividade.
Fundamentos
Quando proteger as informaes? q
11 Durante seu ciclo de vida.
Manuseio.
11 Momento em que a informao criada e utilizada, incluindo coleta.
11 Armazenamento da informao.
Fsicos Tecnolgicos Humanos

agenda sistema funcionrio
ATIVOS
sala e-mail parceiro

arquivos servidor secretria
cofre notebook porteiro
Manuseio
Descarte Ciclo de vida da informao Armazenamento
Figura 10.1
O Ciclo de Vida
da Informao e
alguns de seus
Transporte ativos.
Transporte
11 Importante etapa que inclui conectividade da rede (e-mail, fax, carta etc.);
11 A divulgao faz parte dessa etapa, pois transporta a informao de um ponto a outro;
11 Processamento um misto entre transporte e manuseio.
Descarte
11 Eliminao total e completa da informao;
11 Onde proteger as informaes? Nos ativos que as custodiam.
O que proteger nas informaes?
Os atributos:
11 Confidencialidade;
11 Integridade;
11 Disponibilidade.
170
Os aspectos:
11 Autenticidade:
22 Autenticao;
22 Autorizao;
22 Auditoria;
11 Legalidade.
11 Podem ser atingidos por explorao de falha ou vulnerabilidade presente em ativo. q

11 Do que proteger as informaes?
Ameaas:
11 Fsicas:
22 Incndio;
22 Inundao;
22 Curto circuito;
22 Apago.
11 Tecnolgicas:
22 Vrus;
22 Bug software;
22 Defeito tcnico;
22 Invaso web.
11 Humanas:
22 Sabotagem;
22 Fraude;
22 Erro humano;
22 Descuido.
Conceitos bsicos
11 Confidencialidade: q
22 Garante que a informao seja acessada somente por pessoas autorizadas.
11 Integridade:
22 Salvaguarda da exatido, completeza da informao e dos mtodos de processamento.
11 Disponibilidade:
22 Garantia de que os usurios autorizados obtenham acesso informao e aos

ativos correspondentes, sempre que necessrio.
11 Informao:
22 So todos os dados de uma empresa, independentemente do formato em que

se encontram. Est presente nos ativos, que so alvo da proteo da segurana
da informao.
11 Ativo:
22 Todo elemento que contm informao, inclusive a informao em si. Exemplos:

servidores, discos, roteadores, arquivos, pastas, pessoas etc.
171
11 Vulnerabilidade: q
22 Falha presente no ativo e explorada por ameaa que causa quebra na segurana.
11 Ameaa:
22 Explora vulnerabilidade presente no ativo, que custodia informao causando

impacto (incidente ou falha de segurana) no negcio.
11 Ameaas:
22 Naturais:
33 Provenientes da natureza, como enchentes, raios etc.
22 Involuntrias:
33 Causadas por acidentes ou erros provocados por usurios e administradores

de sistema.
22 Voluntrias:
33 Causadas propositadamente por usurios maliciosos e invasores de sistemas.
Padres existentes de segurana

11 Norma. q
22 Aponta o que fazer na administrao da segurana da informao.
11 Metodologia (em conformidade com a norma).
22 Aponta como fazer a administrao da segurana da informao.
11 Norma + metodologia = melhores prticas (best practice).
Documentos que tornam a segurana da informao previsvel e tratvel:
11 RFC 2196: Site Security Handbook.
11 ISO 27001.
11 Control Objectives for Information and Related Technology (Cobit).
RFC 2196: Site Security Handbook

11 Site oficial: http://www.ietf.org/rfc/rfc2196.txt q
11 Poltica traduzida: http://penta.ufrgs.br/gereseg/rfc2196/
11 Propsito de fornecer um guia de implantao de polticas de segurana de computadores

e procedimentos para sites que tm sistemas na internet.
11 Pblico-alvo: administradores de sistemas e redes, tomadores de deciso, gerentes

dos sites.
Esse manual um guia para desenvolvimento de polticas de segurana de computador e

procedimentos para sites que tm seus sistemas na internet. O propsito desse manual
proporcionar um guia prtico aos administradores, tentando tornar segura uma grande
variedade de informaes e servios. Os assuntos abordados incluem os contedos de pol-
tica e formao, tpicos tcnicos de segurana de redes e, tambm, reaes a incidentes de
segurana. O enfoque desse documento est nas polticas e procedimentos que precisam ser
usados para viabilizar as caractersticas tcnicas de segurana que um site deve implementar.
172
Guia bsico em cinco passos:
11 Identifique o que est tentando proteger;
11 Determine do que est tentando se proteger;
11 Determine a probabilidade das ameaas;
11 Implemente medidas que protegero recursos importantes de maneira efetiva;
11 Revise o processo continuamente, fazendo melhorias cada vez que encontrar uma falha.
Lema
O custo da proteo contra uma ameaa deve ser menor que o custo da recuperao no
caso de ser atingido pela ameaa ( melhor prevenir que remediar).
1. Introduo. q
2. Polticas de segurana.
3. Arquitetura:
11 Parte 1 Plano de segurana.
11 Parte 2 Proteo de servios.
4. Servios de segurana e procedimentos:
4.1.Servios e procedimentos seguros.
4.2.Autenticao.
4.3.Confiana.
4.4.Integridade.
4.5.Autorizao.
4.6.Acesso.
4.7.Auditoria.
4.8.Proteo de backups.
5. Tratamento de incidentes de segurana.
6. Atividades em andamento.
7. Ferramentas e endereos.

8. Mailing list.
RFC 3227
O manual Site Guidelines for Evidence Collection and Archiving um guia para o q
desenvolvimento de polticas para respostas a incidentes de segurana.
Site oficial: http://www.ietf.org/rfc/rfc3227.txt
Propsito:
11 Guia de melhores prticas e procedimentos para respostas a incidentes de segurana

em sistemas na internet.
Pblico-alvo:
11 Administradores de sistemas e redes, tomadores de deciso e gerentes dos sites.
173
ISO 27001
Certificao NBR ISO / IEC 27001:2005. q
11 ISO 27000 (Segurana da Informao).
Evoluiu da norma britnica BS7799.
11 BS7799-1:
22 Introduo, definio de extenso e condies principais de uso da norma.
22 Disponibiliza 148 controles divididos em dez partes distintas.
22 Referncia para implementar boas prticas de segurana.
11 BS7799-2:
22 Define requisitos para um Sistema de Gesto de Segurana da Informao.
A norma ISO 27001 define dez reas de conformidade:
1. Poltica de segurana
Define orientaes para a segurana da informao: como usar a informao, quem deve
us-la e as punies aplicadas aos que no agirem em conformidade com a poltica.
2. Segurana organizacional
Define a estrutura responsvel pela gerncia da segurana. Sugere a criao de rea espe-
cializada em segurana da informao e contatos com especialistas externos.
3. Classificao e controle dos ativos
Define recomendaes para a classificao dos ativos de informao. Dever garantir que
cada ativo receba nvel de proteo adequado, seja inventariado e tenha um responsvel.
4. Segurana sobre pessoas
Define recomendaes para a atribuio de responsabilidades de segurana a pessoas da

organizao, visando reduzir problemas como erro humano, roubo, fraude etc.
5. Segurana fsica e do ambiente
Estabelece permetro fsico de segurana, para que as instalaes estejam protegidas contra
ameaas externas. Recomenda que recursos e instalaes sejam mantidos em reas com
nvel de segurana adequado e sejam empregados controles de acesso.
6. Gerenciamento das operaes e comunicaes
Define recomendaes para garantir o funcionamento seguro e correto dos recursos

computacionais e da comunicao entre eles. Inclui a segurana dos computadores
individualmente e da rede.
7. Controle de acesso
Define formas e permisses de acesso informao, ligadas aos conceitos de autenticao e

autorizao. O gerenciamento de senhas de usurios faz parte desse item.
8. Desenvolvimento e manuteno de sistemas
Recomendaes para o desenvolvimento de sistemas, de modo a incluir controles de segu-

rana. Inclui criptografia, validao de dados, autenticao e assinaturas digitais.
174
9. Gesto da continuidade do negcio
Regras para minimizar a interrupo das atividades, no caso de incidente de segurana.

Define plano de continuidade de negcio (PCN), e uma estratgia para garantir que a insti-
tuio continue funcionando na ocorrncia de desastres e falhas.
10. Conformidade
Consiste em evitar conflito com outras leis vigentes. Inclui direitos autorais, propriedade de
software, privacidade pessoal e uso indevido, entre outros.
11 Implementa modelo de gesto de segurana da informao dentro de parmetros q

internacionais para um bom ambiente de negcios.
11 Garante segurana das prticas internas e informaes para parceiros e clientes.
11 Selo com mesmo reconhecimento de mercado alcanado pelas famlias:
22 ISO 9000 (qualidade).
22 ISO 14000 (prticas ambientais).
11 Define dez reas de conformidade:
1. Poltica de segurana.
2. Segurana organizacional.
3. Classificao e controle dos ativos.
4. Segurana de pessoas.
5. Segurana fsica e do ambiente.
6. Gerenciamento das operaes e comunicaes.
7. Controle de acesso.
8. Desenvolvimento e manuteno de sistemas.
9. Gesto da continuidade do negcio.
10. Conformidade.
Empresas brasileiras certificadas ISO/IEC 27001 (1/2/2012):
Name of the Organization Country Certificate Number Certification Body
Atos Origin Brasil Ltda. Brazil IS 98429 BSI

Axur Information Security Brazil IS 509742 BSI
BT Brazil LRQ 4003984 LRQA
BT Global Services So Paulo Brazil 4003984 LRQA

SOC/NOC
Cardif do Brasil Vida Brazil IS 521855 BSI

e Previdncia S/A
CIP Cmara Interbancria Brazil IS 96934 BSI

de Pagamentos
Fucapi-Fundao Brazil IS 504391 BSI
IBM ITD Brazil Brazil 62691 Bureau Veritas

Certification
Brazil
Mdulo Security Solutions S/A Brazil IS 510466 BSI
175
Name of the Organization Country Certificate Number Certification Body
Poliedro - Informtica, Brazil 44121081309 BSI

Consultoria e Servios Ltda.
Prodesp Brazil IS 512881 BSI
Promon Engenharia Ltda. Brazil IS 500248 BSI
Promon Tecnologia Ltda. Brazil IS 500564 BSI
Samarco Minerao S/A Brazil IS 524157 BSI
SERASA S.A. Brazil 262326 ISMS DQS
Servio Federal de Brazil IS 515421 BSI

Processamento de Dados
SERPRO
Superior Tribunal de Justia Brazil IS 538457 BSI
Telefonica Empresas S/A Brazil IS 501039 BSI
Tivit Tecnologia da Brazil 00017-2006-AIS-OSL- DNV

Informao S.A. -NA
TIVIT Terceirizao de Brazil 16203-2007-AIS-BRA- DNV

Tecnologia e Servios S.A. -NA
T-Systems Brazil Brazil 336227 ISMS DQS
T-Systems do Brasil Ltda. Brazil 341898 ISMS DQS Tabela 10.1

Empresas
UNISYS Global Outsourcing Brazil IS 97102 BSI brasileiras
certificadas com o
Zamprogna S/A Importao Brazil IS 518855 BSI
ISO/IEC 27001.
A Mdulo Security foi a primeira empresa do mundo a obter a certificao ISO 27001.
Software de verificao de conformidade com a norma:
11 Callio Secura 17799 /27001: http://www.callio.com/
11 The Security Risk Management Toolkit: http://www.risk.biz/iso27001.html
A norma estabelece um Sistema de Gesto de Segurana da Informao (SGSI) q

implementado em oito fases:
1. Inicializao do projeto.
w
2. Definio do SGSI.
3. Anlise de riscos.
4. Tratamento de riscos. a ISO 27001:

http://www.iso27001se-
5. Treinamento e conhecimento.
curity.com/,
6. Preparao para auditoria. http://www.callio.com/
e http://www.modulo.
7. Auditoria. com.br
8. Controles e melhoramentos contnuos.
176
Cobit
Common Objectives for Information and related Technology (Cobit). q
11 Metodologia criada pela Information Systems Audit and Control Association (Isaca)
http://www.isaca.org/ , atravs do IT Governance Institute (http://www.itgi.org/).
11 uma estrutura de relaes e processos para dirigir e controlar o ambiente de TI,

orientada s metas da organizao e gesto de TI.
11 O Cobit no uma metodologia especfica para segurana da informao, mas sim uma
metodologia para gesto de TI que contm alguns aspectos de segurana da informao.
Common Objectives for Information and Related Technology (Cobit) uma metodologia
criada pela Isaca atravs do IT Governance Institute. Longe de ser uma metodologia espe-
cfica para segurana da informao, o Cobit foi concebido para a gesto de TI e contm
alguns aspectos relacionados segurana da informao. Orientada a metas, possui uma
estrutura de relao e processos para dirigir e controlar o ambiente de TI.
11 IT Governance Institutes: http://www.itgovernance.org
11 Information System Audit & Control Association: http://www.isaca.org/cobit.htm
O Cobit est dividido em quatro domnios: q

11 Planejamento e organizao.
11 Aquisio e implementao.
11 Entrega e suporte.
11 Monitorao.
Abaixo as subdivises do Cobit em seus domnios com seus detalhes.
11 Processos de Planejamento e Organizao;
11 Define plano estratgico de TI;
11 Define arquitetura da informao;
11 Determina direo tecnolgica;
11 Define organizao de TI e relacionamentos;
11 Gerencia investimento de TI;
11 Gerencia comunicao das direes de TI;

11 Gerencia recursos humanos;
11 Assegura alinhamento de TI com requerimentos externos;
11 Avalia os riscos;
11 Gerencia os projetos;
11 Gerencia a qualidade.
Processos de Aquisio e Implementao

11 Desenvolve e mantm os procedimentos;
11 Instala e certifica softwares;
11 Gerencia as mudanas;
11 Identifica as solues de automao;
177
11 Adquire e mantm os softwares;
11 Adquire e mantm a infraestrutura tecnolgica.
Processos de Entrega e Suporte

11 Define e mantm os acordos de nveis de servios (SLA);
11 Gerencia os servios de terceiros;
11 Gerencia performance e capacidade do ambiente;
11 Assegura a continuidade dos servios;
11 Assegura a segurana dos servios;
11 Identifica e aloca custos;
11 Treina os usurios;
11 Assiste e aconselha os usurios;
11 Gerencia a configurao;
11 Gerencia os problemas e incidentes;
l
11 Gerencia os dados;
11 Gerencia a infraestrutura; A ABNT possui uma

11 Gerencia as operaes. srie de documentos
chamada de famlia
27000. Esses docu-
Processos de Monitorao
mentos podem ser
utilizados como base
11 Monitora os processos;
para quem deseja
11 Analisa a adequao dos controles internos; comear a implemen-
tao de procedi-
11 Prov auditorias independentes; mentos de segurana
em suas empresas.
11 Prov segurana independente.
Os documentos
possuem cdigos de
prtica e diretrizes para
Outras normas, padres e leis a implementao de
segurana da infor-
Existem vrias outras normas, padres, leis e documentos sobre segurana da informao. mao, incluindo
Alguns desses documentos so genricos, outros especficos para diferentes ramos de documentos sobre
atividade. Existem, por exemplo, documentos e especificaes diferentes para empresas do gesto de risco.
ramo financeiro e para empresas do ramo mdico.
Famlia 27000
11 ABNT NBR ISO/IEC 27001:2006. q
22 Sistemas de gesto de segurana da informao requisitos.
11 ABNT NBR ISO/IEC 27002:2005.

22 Cdigo de prtica para a gesto da segurana da informao.
22 Diretrizes para implantao de um sistema de gesto da segurana da informao.
22 Gesto da segurana da informao medio.
11 ISO/IEC 27005:2011.
22 Gesto de Riscos de Segurana da Informao.
178
11 ISO/IEC 27006:2011. q
22 Especifica requisitos e fornece orientaes para os organismos que prestem servios
de auditoria e certificao de um sistema de gesto da segurana da informao.
Sarbanes Oxley (SOX)

11 Criada depois de diversos escndalos financeiros ocorridos em grandes companhias q
nos Estados Unidos.
11 Composta por 11 ttulos.
11 Diz respeito responsabilidade corporativa pela veracidade de contedo dos relat-

rios financeiros produzidos e pelo gerenciamento e avaliao dos controles internos.
11 Voltada principalmente para companhias de capital aberto com aes nas bolsas de
valores ou com negociao na Nasdaq (bolsa de valores das empresas de tecnologia).
11 Aperfeioa os procedimentos de demonstrao e de governana corporativa.
11 Definem as responsabilidades de gerenciamento nos relatrios anuais e semestrais.
A lei Sarbanes Oxley visa garantir a criao de mecanismos de auditoria e segurana confi-
veis nas empresas, de modo a mitigar riscos aos negcios e evitar a ocorrncia de fraudes
ou assegurar que haja meios de identific-las quando ocorrem, garantindo a transparncia
na gesto das empresas. Atualmente grandes empresas com operaes financeiras no exte-
rior seguem essa lei.
PCI-DSS
11 Padro de segurana de dados desenvolvido pela indstria de pagamentos de cartes. q
11 Deve ser utilizado como guia para ajudar as organizaes a prevenir fraudes de
carto de crdito, pirataria e outras questes de segurana.
11 https://pt.pcisecuritystandards.org/
Visando proteger a privacidade dos consumidores portadores de carto de crdito, algumas

bandeiras de carto de crdito criaram um conselho com a finalidade de criar e recomendar
as melhores prticas de segurana de dados, para que sejam seguidas pelos estabeleci-
mentos comerciais que aceitam cartes de crdito como forma de pagamento.
O PCI-DSS se aplica a toda e qualquer empresa que coleta, processa, armazena ou transmite

informao de carto de crdito, estando, portanto, obrigada a se adaptar ao padro.
O PCI-DSS contempla 12 requerimentos bsicos que tm por objetivo:
11 Manter a rede de dados segura;
11 Proteger as informaes de portadores de carto de crdito;
11 Manter um programa de gerenciamento de vulnerabilidades;
11 Implementar forte controle de acessos;
11 Manter poltica de segurana de informaes.
179
Documentao GSI/DSIC
11 Norma Complementar 01: q
22 Estabelecer critrios e procedimentos para elaborao, atualizao, alterao,
aprovao e publicao de normas complementares sobre Gesto de Segurana
da Informao e Comunicaes, no mbito da Administrao Pblica Federal,
direta e indireta
11 Norma Complementar 02:
22 Metodologia de Gesto de Segurana da Informao e Comunicaes.
22 Diretrizes para a Elaborao de Poltica de Segurana da Informao e Comunica-

es nos rgos e Entidades da Administrao Pblica.
22 Diretrizes para o processo de Gesto de Riscos de Segurana da Informao e

Comunicaes - GRSIC nos rgos e entidades da Administrao Pblica Federal.
22 Disciplina a criao de Equipes de Tratamento e Respostas a Incidentes em Redes

Computacionais - ETIR nos rgos e entidades da Administrao Pblica Federal.
O Departamento de Segurana da Informao e Comunicaes (DSIC) o brao normativo

do Gabinete Institucional de Segurana (GSI). Dentre seus objetivos destacam-se a produo
de documentao referente segurana ciberntica na Administrao Pblica Federal.
Alm das Normas Complementares mencionadas acima, podemos encontrar uma vasta
documentao sobre segurana da informao e comunicaes em http://dsic.planalto.gov.br.
180
Atividade 10.1 Segurana da informao
1. A segurana da informao consiste de trs pilares bsicos: confidencialidade, integridade
e disponibilidade. Classifique os problemas de segurana abaixo de acordo com um
(ou mais) destes pilares. Todos os problemas de segurana podem ser mapeados em
uma destas caractersticas?
11 Uso incorreto de criptografia;
11 Acesso aos documentos sigilosos da organizao por pessoas no autorizadas;
11 Servidores da organizao sem plano de contingncia ou backup;
11 Site de comrcio eletrnico sem proteo para transaes eletrnicas;
11 Modificao de notas escolares por um aluno atravs do sistema da escola.
Atividade 10.2 Vulnerabilidades

1. Quais as vulnerabilidades de sua estao de trabalho? Veja em:
http://secunia.com/software_inspector
Atividade 10.3 Descartes

1. A etapa do descarte importante, visto que a informao, em muitos casos, possui
prazo de validade. Algumas empresas estabelecem procedimentos de descarte at para
informaes pessoais, como correio eletrnico e papis, de forma a prevenir que caiam
em mos erradas. Aparelhos como picotadoras so utilizados para o descarte seguro de
informaes, no caso de informao em papel. Determine o tempo que voc levaria para
armazenar cada uma das seguintes informaes, caso fosse o responsvel por elas:
11 Logs de sistema;
11 Arquivos de correio eletrnico;
11 Notas fiscais;
11 Fitas de backup.
181
2. Nos dias atuais, devemos sempre nos preocupar com o descarte de informaes.
Existem no mercado diversas solues para recuperao de dados apagados, mesmo
que o usurio formate o disco rgido. Baixe e instale o programa Eraser em
http://eraser.heidi.ie/download.php e utilize-o para apagar arquivos em seu
computador de maneira segura.
Figura 10.2
Eraser.
182
Bibliografia
11 Administrao e segurana da informao:
http://www.informabr.com.br/nbr.htm#3
11 APWG Committed to wiping out internet scams and fraud:

http://www.antiphishing.org/
11 Ataques DoS: http://www.cert.org/tech_tips/denial_of_service.html
11 BEAL, Adriana. Segurana da Informao Princpios e melhores prticas

para a proteo dos ativos de informao nas organizaes. Editora Atlas.
11 Cartilha de segurana: http://cartilha.cert.br/
11 Comrcio eletrnico e segurana na internet:

http://www.serpro.gov.br/publicacao/tematec/1997/ttec35
11 Como funciona o dinheiro? http://dinheiro.hsw.com.br/dinheiro6.htm
11 Como funciona o phishing: http://informatica.hsw.com.br/phishing.htm
11 Comunicao cliente/servidor com sockets:

http://www.imasters.com.br/artigo/2414/dotnet/usando_a_comunicacao_
cliente_-_servidor_com_sockets/
11 Criptografia Numaboa: http://www.numaboa.com/content/section/11/57/
11 CSIRT Unicamp: http://www.security.unicamp.br/links.html
11 Defesa de permetros:
http://www.magicweb.com.br/afreire/defesaperimetros_vi.htm
11 DIERKS, T.; ALLEN, C. The TLS Protocol, Version 1.0. Network Working Group,
Request for Comments: 2246, Category: Standards Track. 1999.
11 Especialista em segurana da informao: http://www.semola.com.br
11 FRASER, B. RFC 2196 Site Security Handbook. Editor SEI/CMU, 1997.

http://www.faqs.org/rfcs/rfc2196.html
11 FREIER, Alan O. et alli. The SSL Protocol, Version 3.0. Transport Layer Security
Working Group. Internet draft:
http://wp.netscape.com/eng/ssl3/draft302.txt
11 Informaes sobre spyware:

http://www.microsoft.com/protect/computer/spyware/default.mspx
Bibliografia
11 Informaes sobre vrus: http://br.mcafee.com/virusInfo/default.asp
11 Introduo ao DHCP: http://www.rnp.br/newsgen/9911/dhcp.html
183
11 IP Spoof: http://www.hackemate.com.ar/ezines/the_virii_hacking_guide/
vhg01/ip_spoof.html
11 KAEO, Merike. Designing Network Security. Cisco Press, 1999.
11 KASSLIN, Kimmo et al. Kernel Malware: The attack from within:

http://www.f-secure.com/weblog/archives/kasslin_AVAR2006_Kernel-
Malware_paper.pdf
11 Manual de criptografia GnuPG:

http://docs.indymedia.org/view/Sysadmin/GnuPGpt
11 NBSO. Cartilha de segurana para internet. Verso 2.0. Maro de 2003.

Copyright NBSO. http://www.nbso.nic.br/docs/cartilha/
11 NIC BR Security Office Brazilian Computer Emergency Response Team.

Prticas de segurana para administradores de redes internet. Verso 1.2,
2003. http://www.nbso.nic.br/docs/seg-adm-redes/
11 Norma NBR ISO/IEC 17799 Tecnologia da informao Cdigo de prtica

para a gesto da segurana da informao.
11 O que so vrus, worms e cavalos de troia?

http://www.microsoft.com/brasil/athome/security/viruses/virus101.mspx
11 OMAHONY, D.; PEIRCE, M.; TEWARI, H. Electronic Payment Systems. Artech

House, 1997. ftp://ftp.isi.edu/in-notes/rfc2246.txt
11 Pequeno histrico sobre o surgimento de normas de segurana:

http://www.lockabit.coppe.ufrj.br/rlab/rlab_textos?id=69
11 Portas TCP e UDP: http://www.infowester.com/portastcpudp.php
11 Proteo contra rede banda larga:

http://www.symantec.com/pt/br/about/news/release/article.
jsp?prid=20070216_01
11 Proteja-se contra fraudes on-line:

http://www.microsoft.com/brasil/athome/security/online/phishing_filter.mspx
11 Rede privada virtual: http://www.rnp.br/newsgen/9811/vpn.html
11 Revista de segurana:
http://www.linuxsecurity.com.br/revista/LinuxSecurityMagazine-Outu-
bro02.pdf
11 SANS: http://www.sans.org/rr
11 SCHNEIER, Bruce. Applied Cryptography: Protocols, Algorithms, and Source

Code in C. Wiley. 1995.
11 Segurana em roteador: http://www.rnp.br/newsgen/9903/seg-router.html

11 SMOLA, Marcos. Gesto da segurana da informao uma viso executiva.

Ed. Campus, 2002.
11 SOARES, L. F. Gomes et alli. Das LANs, MANs, WANs s redes ATM.

Ed. Campus, 1995.
11 TANEMBAUM, Andrew. Computer Networks. Prentice Hall PTR, 2002.
184
11 Tticas de defesa DDoS:
http://www.iwar.org.uk/comsec/resources/dos/ddos-defense.pdf
11 TCP/IP: http://www.pop-rs.rnp.br/ovni/tcpip/
11 Tneis seguros de VPNs:

http://br.attachmate.com/pt-BR/TechTalks/Secure+Tunnels.htm
11 WOOD, Charles C. Information Security Policies Made Easy. Baseline

Software, 2001.
Bibliografia
185
186
Ivo de Carvalho Peixinho Bacharel
em Cincia da Computao pela UFBA
e Especialista em Gesto de Segurana
da Informao pela UnB. Possui mais
de 15 anos de experincia na rea de
Segurana da Informao. Foi Diretor
Tcnico na XSite Consultoria e Tecnolo-
gia e Analista de Suporte na Universidade Federal da Bahia.
Em 2004 atuou como Analista de Segurana Snior no CAIS/
RNP por dois anos, e atualmente Perito Criminal Federal
do Departamento de Polcia Federal desde 2007, lotado no
Servio de Represso a Crimes Cibernticos - SRCC/CGPFAZ/
DICOR/DPF. professor de ps-graduao nas disciplinas
de Anlise Forense em Sistemas Unix e Anlise de Malware,
e palestrante em diversos eventos nacionais e internacio-
nais como GTS, Seginfo, CNASI, ICCyber e FIRST.
O livro de apoio ao curso Introduo Segurana de
LIVRO DE APOIO AO CURSO
Redes fornece conhecimentos introdutrios da rea de

segurana, atravs da apresentao dos conceitos bsi-
cos sobre segurana de redes, com apoio de atividades
prticas em laboratrio. Aborda a histria da seguran-
a fsica e lgica, apresenta um panorama atual da rea
(vulnerabilidades, tipos de ataques mais comuns, esta-
tsticas), arquitetura TCP/IP (endereamento, servios,
-
dres e normas de segurana da informao.
Este livro inclui os roteiros das atividades prticas e o
contedo dos slides apresentados em sala de aula,
-
mento em suas organizaes ou localidades de origem.
ISBN 978-85-63630-23-0
9 788563 630230

Introdução À Segurança de Redes PDF

Enviado por

Dados do documento

Título original

Direitos autorais

Formatos disponíveis

Compartilhar este documento

Compartilhar ou incorporar documento

Opções de compartilhamento

Você considera este documento útil?

Este conteúdo é inapropriado?

Direitos autorais:

Formatos disponíveis

Introdução À Segurança de Redes PDF

Enviado por

Direitos autorais:

Formatos disponíveis

Introduo

Diretor de Servios e Solues

Escola Superior de Redes

Coordenao Acadmica de Segurana e Governana de TI

Equipe ESR (em ordem alfabtica)

Capa, projeto visual e diagramao

Dados Internacionais de Catalogao na Publicao (CIP)

P380i Peixinho, Ivo de Carvalho.

1. Redes de Computadores Segurana. 2. Segurana da informao Ameaas,

Escola Superior de Redes

Sobre o curso xiv

Convenes utilizadas neste livroxiv

1. Introduo, histrico e princpios bsicos de segurana

Exerccio de nivelamento 1 Informao1

Exerccio de fixao 1 Segurana de redes3

Decreto n 3505, de 13 de junho de 20009

Princpios bsicos de segurana10

Exerccio de fixao 2 Princpios bsicos de segurana10

Princpios bsicos de segurana11

Roteiro de Atividades 113

Atividade 1.1 Listas e informaes complementares de segurana13

2. Conceitos de segurana fsica e segurana lgica

Exerccio de nivelamento 1 Conceitos de segurana fsica e segurana lgica15

Segurana externa e de entrada16

Segurana da sala de equipamentos17

Exerccio de fixao 1 Segurana em permetro19

Segurana dos equipamentos19

Exerccio de fixao 2 Redundncia25

Segurana no fornecimento de energia25

Packet filtering (filtro de pacotes)30

Stateful packet filter 30

Deep packet inspection 31

Exerccio de fixao 3 Firewall32

Fluxo de funcionamento do Snort34

Redes virtuais privadas36

Autenticao, autorizao e auditoria37

Autenticao, autorizao e auditoria37

Roteiro de Atividades 239

Atividade 2.1 Segurana fsica e lgica39

3. Panorama atual da rea de segurana

Panorama atual da internet41

Exerccio de nivelamento 1 Panorama atual da rea de segurana42

Acesso em banda larga modem bridge42

Acesso banda larga modem router42

Exerccio de fixao 1 Malwares50

Hacker, cracker e outros personagens52

Roteiro de Atividades 355

Atividade 3.1 Controles de informtica55

Atividade 3.2 Servios e ameaas55

4. Arquitetura TCP/IP conceitos bsicos

Famlia de protocolos TCP/IP58

Protocolo IP (Internet Protocol)62

Subnetting (endereamento por sub-rede)64

Protocolos auxiliares (ARP, RARP e ICMP)64

Exerccio de fixao 1 Endereamento dinmico66

Exerccio de fixao 2 Roteamento67

Packet Filter (filtro de pacotes)71

Stateful (Filtragem com Estado de Conexo)72

Atividade 4.1 Sniffers para captura de dados75

Atividade 4.2 Estados de firewall75

5. Arquitetura TCP/IP e segurana

Source routing (roteando pela fonte)79

DoS (Denial of Service)80