Aula 1 - Introdução A Segurança Cibernética

SEGURANÇA CIBERNÉTICA
Introdução a Segurança Cibernética
Ciência da Computação
Prof. M.Sc Estevão Simão
Princípios e Conceitos de Segurança Cibernética
Introdução a Segurança Cibernética
Princípios e Conceitos de Segurança
Cibernética
● Evolução da Segurança Cibernética

Cibernética
○ O Creeper e o Reaper, 1971
■ Creeper
● Considerado o primeiro vírus do mundo, era um
código portátil que podia viajar entre sistemas Tenex.
○ Seu alvo foram os computadores mainframe
PDP-10 da Corporação de Equipamentos Digitais
(DEC) conectados ao Arpanet e imprimiu “Eu sou
o creeper: pegue-me se puder” no teletipo modelo
33 ASR.
○ Reaper
● É considerado o primeiro programa antivírus do
mundo, foi projetada para se mover pela Arpanet,
excluindo cópias do Creeper.
Cibernética
○ O primeiro congelamento de rede, 1988
■ Um erro inadvertido em um código de worm
projetado para medir o tamanho da Internet
resultou no primeiro ataque DoS(Denial Of
Service).
○ O erro fez com que o Worm Morris se
replicasse incessantemente a ponto de
a Internet inicial (Arpanet) ficar entupida
e 10% de todos os sistemas
conectados travar.
Cibernética
○ O Departamento de Segurança Interna, 2002
■ O Departamento de Segurança Interna dos Estados
Unidos, estabelecido pelo presidente George W.
Bush em 2002, assumiu a responsabilidade de
proteger a infraestrutura de TI crucial dos Estados
Unidos.
■ Em 2018, Donald Trump sancionou a Lei da Agência
de Segurança de Infraestrutura e Segurança
Cibernética que deu origem ao Agência de
Segurança Cibernética e Infraestrutura (CISA).
Cibernética
○ O nascimento do Anonymous, 2003
■ Anonymous foi, de longe, o grupo hacktivista mais
popular, que estreou no quadro de imagens do 4chan. Ele
é um coletivo internacional descentralizado que realiza
ataques cibernéticos como um meio de chamar a atenção
para suas visões políticas e expor alvos de alto perfil.
○ Operação Aurora, 2009

■ Foi uma série de ataques cibernéticos originados na
China e direcionados às informações de propriedade
intelectual de mais de trinta empresas do setor privado
dos EUA, incluindo Google, Yahoo e Adobe. Este
incidente trouxe à luz as capacidades das operações
cibernéticas como uma ferramenta para realizar
espionagem industrial em grande escala.
Cibernética
○ Stuxnet, 2010
■ O Stuxnet era um worm de computador extremamente
sofisticado que explorava várias vulnerabilidades zero-day
do Windows. Supostamente criado por um programa
secreto dos EUA-Israel, ele teve como alvo e destruiu
centrífugas na instalação de enriquecimento de urânio em
Natanz, Irã, causando danos substanciais ao programa
nuclear do país.
○ EternalBlue e ataques ransomware, 2017
■ EternalBlue é um exploit que utiliza vulnerabilidades na
implementação do Windows do protocolo Server Message
Block (SMB). Foi divulgado pelo grupo de hackers
Shadow Brokers em abril de 2017. Dois grandes surtos de
ransomware em todo o mundo, WannaCry e NotPetya,
usaram esse exploit para afetar computadores sem patch.
Cibernética
○ Regulamento Geral de Proteção de Dados
(GDPR), 2018
■ É um regulamento de conformidade que fornece aos
cidadãos da União Europeia (UE) maior controle sobre
seus dados pessoais. Ao abrigo deste mandato, as
organizações são responsáveis pela proteção dos dados
pessoais e da privacidade dos cidadãos da UE. O GDPR
se aplica não apenas a todas as organizações que
operam na UE, mas também a organizações que
oferecem bens ou serviços a clientes ou empresas na UE.
Foi aprovado pelo Parlamento Europeu em abril de 2016
e entrou em vigor em 25 de maio de 2018.
Cibernética
○ O hack do Twitter, 2020
■ Um dos incidentes de segurança cibernética mais
sensacionais aconteceu quando as contas de vários
usuários de alto perfil do Twitter foram hackeadas,
incluindo as de Barack Obama, Elon Musk e Bill Gates.
■ Os hackers postaram tweets fraudulentos que diziam
“Estou retribuindo à comunidade. Todos os Bitcoins
enviados para o endereço abaixo serão devolvidos em
dobro! Se você enviar $ 1.000, eu irei devolver $ 2.000.
Só fazendo isso por 30 minutos” e ganharam £ 86.800 em
poucas horas.
■ A violação se enquadra na categoria de ameaça interna e,
quer envolva as ações de um insider malicioso ou
funcionário negligente, prova que os humanos são o elo
mais fraco na cadeia de segurança cibernética.
Cibernética
○ De acordo com o relatório de riscos do Fórum
Econômico Mundial de 2020
■ Ataques cibernéticos e comprometimento de
infraestruturas de informação estão entre os 10
maiores riscos globais em termos de impacto.
Cibernética
● O valor da Informação - Alinhamento Estratégico
da Segurança aos Negócios
○ O que é a Informação?
■ No âmbito computacional Informação e Dados
são coisas distintas.
● Dados são elementos ainda não analisados
e não processados.
● Informações são os resultados do
processamento de dados pelo computador.
Cibernética
■ No âmbito computacional Informação e Dados
são coisas distintas.
Cibernética
■ A informação é um ativo que, como qualquer
outro ativo importante, é essencial para os
negócios de uma organização e,
consequentemente, necessita ser
adequadamente protegida.
Cibernética
○ Classificação da Informação
■ O grau de sigilo é uma classificação concedida
a cada tipo de informação e baseada em
critérios como nível de importância e de sigilo,
pessoas com permissão de acesso, entre
outros.
Cibernética
● O valor da Informação - Alinhamento Estratégico da
Segurança aos Negócios
○ Ciclo de vida da Informação
■ Manuseio
■ Armazenamento
■ Transporte
■ Descarte
Cibernética
■ Manuseio
● Quando a informação é criada ou alterada.
■ Armazenamento
● Quando a informação é retida (por exemplo,
em meio magnético).
■ Transporte
● Quando a informação é conduzida ou
transportada (por exemplo, por fax ou e-mail).
■ Descarte
● Quando a informação é inutilizada, descartada
(por exemplo, quando um registro, arquivo
eletrônico ou papel é excluído).
Cibernética
■ Atenção necessária para garantir
● Confidencialidade
● Integridade
● Disponibilidade
● Autenticidade
● Legalidade
Cibernética
■ Perda de Informação
● Problemas ambientais (variações térmicas,
umidade, fumaça);
● Interrupção de serviços (queda de energia
elétrica, falha nos equipamentos, problemas nos
sistemas operacionais, falha de softwares);
● Ataque de crackers (há vários vírus que excluem
dados e danificam o sistema operacional);
● Erros involuntários de usuários;
● Treinamento inadequado;
● Erro em cópias de dados ou esquecimento da
realização de backup.
Cibernética
■ Roubo de Informação
● Roubo de informações em sites de e-commerce
é uma das principais práticas dos crackers.
● Phishing
○ Prática que consiste na criação de sites
falsos ou no envio de e-mails com remetente
fake (falso).
Cibernética
● O valor da Informação - Alinhamento Estratégico da Segurança aos
Negócios
○ Monitoramento
■ Detectar possíveis ataques em tempo hábil de evitar consequências
desagradáveis à segurança e infraestrutura da organização.
● Logs
○ São os registros das atividades efetuadas no
computadores e são criados pelos próprios programas, os
quais permitem o acompanhamento do que acontece no
ambiente computacional de uma empresa.
● Vantagens
○ Diminui a vulnerabilidade da organização;
○ Disponibiliza à área competente informações que alertem
sobre falhas ocorridas ou que possam ocorrer,
melhorando, assim, a qualidade da área de
desenvolvimento;
○ Cria informações para auditoria de segurança;
○ Contribui para a avaliação do nível de segurança da
organização.
Cibernética
○ Porque a segurança da informação é
importante?
■ Garantir a continuidade dos negócios;
■ Reduzir ao mínimo possível os riscos que
podem surgir;
■ Potencializar ao máximo os retornos dos
investimentos feitos ao negócio;
■ Gerar cada vez mais oportunidades.
Cibernética
● O que é Segurança Cibernética?
○ De acordo com padrões como ISO/IEC 27032:2012, o
termo se refere à preservação da confidencialidade,
integridade e disponibilidade de informações no
ciberespaço, ou seja, aos princípios que norteiam as
atividades de segurança.
○ União Europeia
■ As atividades necessárias para proteger redes e
sistemas de informação, os usuários desses sistemas
e outras pessoas afetadas por ameaças cibernéticas.
○ Reino Unido
■ a proteção dos sistemas interligados (hardwares,
softwares e infraestruturas associadas), dos dados
neles contidos e dos “serviços que disponibilizam,
contra o acesso não autorizado, prejuízos (harm) ou
uso indevido.
Cibernética
○ Reino Unido
■ A proteção dos sistemas interligados (hardwares,
softwares e infraestruturas associadas), dos
dados neles contidos e dos serviços que
disponibilizam, contra o acesso não autorizado,
prejuízos (harm) ou uso indevido.
○ Colômbia
■ É compreendida como uma capacidade do Estado de
minimizar o nível de riscos aos quais seus cidadãos
estão expostos. Sua finalidade é a de proteger os
cidadãos e os “ativos do Estado” e compreende um
conjunto de recursos, políticas, conceitos de
segurança, salvaguardas, diretrizes, métodos de
investigação e gestão de riscos.
Cibernética
○ no Brasil
■ “Ações voltadas para a segurança de operações,
de forma a garantir que os sistemas de
informação sejam capazes de resistir a eventos
no espaço cibernético capazes de comprometer a
disponibilidade, integridade, a
confidencialidade e a autenticidade dos dados
armazenados, processados ou transmitidos e dos
serviços que esses sistemas ofereçam ou tornem
acessíveis” — Glossário de Segurança da Informação.
Cibernética

○ Confidencialidade
○ Integridade
○ Disponibilidade
○ Autenticidade
Cibernética

○ Confidencialidade
■ Propriedade pela qual se assegura que a
informação não esteja disponível ou não seja
revelada a pessoa, a sistema, a órgão ou a
entidade não autorizados nem credenciados.
Resolução nº 740, de 21 de dezembro de 2020
■ Ocorre a quebra da confidencialidade da

informação ao se permitir que pessoas não
autorizadas tenham acesso ao seu conteúdo.
Cibernética

○ Integridade
informação não foi modificada ou destruída de
maneira não autorizada ou acidental.
■ Ocorre a quebra da integridade quando a

informação é corrompida, falsificada, roubada
ou destruída.
Cibernética

○ Disponibilidade
■ propriedade pela qual se assegura que a
informação esteja acessível e utilizável sob
demanda por uma pessoa física ou
determinado sistema, órgão ou entidade
devidamente autorizados;
■ Ocorre a quebra da disponibilidade quando a

informação não está disponível para ser
utilizada, ou seja, ao alcance de seus usuários
e destinatários, não podendo ser acessada no
momento em que for necessário utilizá-la.
Cibernética

○ Autenticidade
informação foi produzida, expedida, modificada
ou destruída por uma determinada pessoa
física, equipamento, sistema, órgão ou entidade
■ É a garantia de que a informação é oriunda da

fonte que lhe é atribuída e elaborada por quem
tem autoridade para tal.
Cibernética
● Plano de Cibersegurança (Cybersecurity Plan)

○ Um bom planejamento de cibersegurança inclui
múltiplas camadas de proteção a equipamentos,
redes e aplicações utilizados na organização, além
dos dados de clientes e das informações de
propriedade intelectual.
■ Há três pontos relevantes que precisam estar
muito bem alinhados em qualquer metodologia
de cibersegurança.
● Pessoas
● Processos
● Tecnologia
Cibernética

○ Metodologia de cibersegurança
■ Pessoas
● São os usuários que interagem todos os dias
com aplicações, arquivos e informações de
propriedade da empresa.
● Devem estar muito bem informados sobre a
política de cibersegurança da empresa.
● Precisam ter familiaridade com estratégias de
mitigação de risco, como a escolha de senhas
fortes e a não abertura de anexos enviados por
desconhecidos.
● Devem fazer backup dos arquivos de trabalho,
pois executam tais tarefas no dia a dia.
Cibernética

○ Metodologia de cibersegurança:
■ Processos
● Para que um plano de cibersegurança em
uma empresa funcione corretamente, será
necessário organizá-lo em processos.
● Um framework de como lidar com tentativas
e ataques deve ser estabelecido para que a
TI consiga identificar ataques, proteger
sistemas, responder a ameaças e se
recuperar de desastres.
Cibernética
○ Metodologia de cibersegurança:
■ Tecnologia
● Bem como objetivo manter os sistemas de
uma empresa atualizados, pois isso
representa uma maneira de confirmar que
eles fiquem menos vulneráveis a ataques de
hackers.
● Fazer uso de ferramentas de segurança de
sistemas, tal como, de monitoramento.
● A tecnologia escolhida em uma empresa é
primordial pois impactará diretamente na
capacidade de resposta a situações
inusitadas, como invasões, ransomware e
perda de dados.
Cibernética
○ Como fazer esse planejamento?
■ Identificar as principais ameaças a
cibersegurança
■ Priorizar recursos, riscos e ameaças
■ Definir metas que conseguirá cumprir
■ Documentar todas as políticas de cibersegurança
implementadas
■ Testar seus sistemas contra vulnerabilidades
Cibernética
■ Identifique as principais ameaças a
cibersegurança
● O primeiro passo é olhar para riscos e
ameaças ao redor.
● Diante do contexto do negócio, considere os
principais perigos contra a cibersegurança da
empresa, bem como os assets mais
importantes de que ela dispõe.
● Essas informações têm capacidade de ajudar
bastante no processo de definição do que
precisa ser protegido primeiro, e como.
Cibernética
■ Priorize recursos, riscos e ameaças
● Nessa etapa são definidos as prioridades
● O planejamento deve priorizar aquilo que
mais afeta o negócio.
○ O que pode provocar a perda de um
dia de trabalho e determinando como
agir caso as ameaças se concretizem,
por exemplo.
Cibernética
■ Defina metas que conseguirá cumprir
● Nessa etapa será necessário traçar metas buscando
garantir que os esforços da equipe sejam bem
empregados.
● Fazer uso de métodos de organização de
planejamento
○ O método SMART (Specific, Measurable,
Attainable, Realistic e Time-bound, ou
Específico, Mensurável, Atingível, Realista e
Oportuno- Por tempo limitado) assegura que as
métricas e metas colocadas no planejamento
tenham um realismo condizente com a
quantidade de pessoal e tecnologia à
disposição.
Cibernética
■ Documente todas as políticas de
cibersegurança implementadas
● Essa é uma etapa fundamental, pois reúne
normas e definições realizadas pela equipe de
TI na segurança cibernética.
● É normal, em uma estratégia de
cibersegurança, se orientar por tentativa e erro.
Por isso a documentação desempenha função
tão crucial no sucesso da implementação do
plano.
Cibernética
■ Teste seus sistemas contra vulnerabilidades
● Por último, após a implementação das novas
políticas de cibersegurança da empresa, será
preciso promover um teste com os sistemas.
● Garante que nenhum dos dispositivos de
segurança escolhidos seja incompatível com as
suas redes e aplicações.
● Revela possíveis vulnerabilidades que podem
ter passado despercebidas durante o
planejamento.
Cibernética
○ Benefícios do Planejamento
■ Custo econômico
● Ataques como os ransomwares custam caro
demais para uma organização e não podem se
tornar comuns.
■ Custos de reputação
● Deixar de lado a proteção dos dados pode fazer
com que seus clientes não confiem mais na
marca.
■ Custos regulatórios
● Normas como a Lei Geral de Proteção de Dados,
por exemplo, definem valores exorbitantes de
multas para as empresas que não conseguirem
proteger as informações de seus clientes.
Cibernética
● Dúvidas
Cibernética
● Exercício de autoavaliação

Aula 1 - Introdução A Segurança Cibernética

Enviado por

Dados do documento

Descrição original:

Título original

Direitos autorais

Formatos disponíveis

Compartilhar este documento

Compartilhar ou incorporar documento

Opções de compartilhamento

Você considera este documento útil?

Este conteúdo é inapropriado?

Direitos autorais:

Formatos disponíveis

Aula 1 - Introdução A Segurança Cibernética

Enviado por

Direitos autorais:

Formatos disponíveis

SEGURANÇA CIBERNÉTICA

Introdução a Segurança Cibernética

● Evolução da Segurança Cibernética

○ Operação Aurora, 2009

● O que é Segurança Cibernética?

● O que é Segurança Cibernética?

■ Ocorre a quebra da confidencialidade da

● O que é Segurança Cibernética?

■ Ocorre a quebra da integridade quando a

● O que é Segurança Cibernética?

■ Ocorre a quebra da disponibilidade quando a

● O que é Segurança Cibernética?

■ É a garantia de que a informação é oriunda da

● Plano de Cibersegurança (Cybersecurity Plan)

● Plano de Cibersegurança (Cybersecurity Plan)

● Plano de Cibersegurança (Cybersecurity Plan)

Você também pode gostar