Aula 10 F - Plano de Segurança Digital

Plano de
segurança digital
Segurança em Infraestrutura
antonio.gomes@prof.unibh.br
flabasouza@yahoo.com.br
Definição do Escopo de Trabalho
A Infra-Estrutura tecnológica de uma

empresa compreende a todos os recursos que
dão suporte às operações, aplicações e
principalmente ao negócio da empresa. NEGÓCIO
APLICAÇÕES
INFRA-ESTRUTURA
Rede / Ativos
Estações
Banco de Dados
Servidores
Sist. Operacionais
Papel da Infraestrutura
Novos Desafios
O negócio das empresas depende cada vez mais da tecnologia da informação;

Os ambientes estão cada vez mais complexos, heterogêneos e integrados;
Necessidade de acesso externo (Internet / Extranets);
Atualização tecnológica constante;
Tendência das fraudes ocorrerem via computador;
Controle através de regulamentações específicas (ex. Basileia II);
Papel da Infraestrutura
Novos Desafios
Desenvolvimento de ambientes padronizados;

Controles centralizados:
Identificação de Usuários;
Controle de Acesso;
Auditabilidade;
Conhecimento de Técnicas de Ataques e Vulnerabilidades;
Implementação Ágil de Soluções.
Compatibilidade com o Negócio
Desenvolvimento de uma Infra-Estrutura Segura e não deve ir contra o negócio
principal da empresa!
29/01/2018
Técnicas e Metodologias
Definição de Camadas de Proteção
Identificar os níveis de proteção necessários a cada camada de sua infra-estrutura, ex:
Proteção de Acesso à Rede Interna;

Limitação de Acesso a Dados Protegidos;
Eliminação de Vulnerabilidades de um serviço de banco de dados;
Monitoramento de serviços críticos;
Etc.
Redundância
Aplicar mais de um mecanismo de proteção dentro de uma camada ou em camadas

adjacentes, ex:
Exemplo: Acesso à um roteador.
Limitação de Acesso por Origem;

Limitação de Acesso por Autenticação de Usuário;
Permissões específicas por usuário para acesso a objetos;
Monitoramento das Tentativas de Acesso.
Defesa de Perímetros
Determinar os diferentes perímetros dentro de uma infra-estrutura e as necessidades

específicas de proteção e monitoramento de cada um.
Exemplo: Rede corporativa.
Servidores WEB com acesso externo;

Servidores de Intranet;
Servidores de Correio Interno;
Banco de Dados Corporativo.
Compliance vs. Segurança
Muitas vezes somos obrigados a atender normas ou determinações de segurança. Para

atende-las, nem sempre será viável utilizar a ‘melhor’ solução. Nesse caso, a solução
adotada deverá estar em conformidade com as normas ou requisitos definidos para o tipo
de ambiente.
Exemplo: ISO/IEC 27001 e 27002
A norma define os requisitos necessários ao ambiente, porém não determina qual técnica
deverá ser aplicada.
Papel da Segurança
Eliminar Vulnerabilidades;
Mitigar Riscos;
Reduzir impactos no Negócio;
Não existe investimento infinito em segurança da Informação!

Papel da Segurança
Lembretes:
A segurança não deve ser abordada apenas de forma tecnológica, ela depende de
pessoas e processos bem definidos;
A segurança do seu ambiente estará diretamente relacionada ao elo mais fraco da

corrente.
Projeto de Arquitetura de
Infra-Estrutura Segura
29/01/2018
Fundamentos
Projeto de Arquitetura de Infra-Estrutura Segura
• Fundamentos de uma Infra-Estrutura Segura
• Devemos pensar primeiro nas seguintes perguntas:
• Que recursos devem ser protegidos?

• De quem você está protegendo?
• Quais as necessidades de negócio para o ambiente?
• Quanto mais tarde são tomadas as decisões que modificam a arquitetura,

mais difícil fica de serem implementadas corretamente! O seu maior esforço
deverá ser em planejamento!
Defesa de perímetro
Obtendo os Requisitos
• Obtendo os Requisitos de Arquitetura

• Sempre que estiver desenhando uma nova infra-estrutura ou trabalhando
como uma já existente, torna-se importante tratar os componentes e
requisitos do seu ambiente como elementos de uma arquitetura de
segurança de perímetro única.
• Esse tratamento te possibilita identificar cenários onde os dispositivos

podem estar configurados de forma inconsistente ou conflitante. Baseado
nas especificações do seu ambiente, você deverá decidir, por exemplo, se um
filtro de pacotes na borda de seu ambiente é o suficiente ou se precisa
investir em múltiplos firewalls atrás de outro nível de proteção.
Requisitos
• Identificar os Recursos que Devem Ser Protegidos
• A melhor forma de começar é identificar quais recursos devem ser
protegidos. O foco da Segurança da Informação é garantir a
Confidencialidade, Integridade e Disponibilidade da informação, entretanto,
essa informação é muito genérica e nem sempre ajuda em situações
particulares.
• Para algumas organizações, a informação que precisa ser protegida podem

ser dados de cartão de crédito, segredos de negócio, contratos e listas de
clientes. As informações podem ser dispostas como aplicações, por exemplo
em servidores de banco de dados ou websites. Para determinar qual o nível
de proteção de perímetro adequado à sua informação, é necessário avaliar
como a informação é armazenada e acessada.
Requisitos
• Servidores
• Ambientes modernos tendem a agregar informações em servidores. Essa

tendência faz sentido já que é mais simples monitorar um único recurso
centralizado onde as informações são armazenadas.
• Uma metodologia aplicável é concentrar os elementos críticos de forma que

eles possam ser minimizados dentro do ambiente. Assim é mais fácil
identificar o foco para que eles possam ser monitorados.
Requisitos
• Caso do Servidor Desaparecido
• A InformationWeek publicou certa vez uma matéria onde um servidor

desaparecido estava funcionando corretamente havia 4 anos. Os analista
tiveram que analisar os caminhos do servidor na rede para identificar
fisicamente sua localização. “Alguns trabalhadores o selaram debaixo de uma
escada em uma obra na empresa”.
• Você sabe onde se encontram todos os servidores da empresa?

• Fonte: Inside Network Perimeter Security
Requisitos
• Estações
• As estações de trabalho fazem a ponte entre a infra-estrutura e as pessoas
que respondem pelo negócio da empresa. Não importa o quanto você
implemente a segurança de perímetro, mas algumas estações deverão ter
acesso a Internet e outros recursos que dependem dela.
• Quando for avaliar as estações, deve-se ter em mente todos os elementos de

segurança de estações, como avaliar os aplicativos que são executados,
determinar o melhor controle de autenticação e auditoria e uma política de
atualizações de patches do sistema operacional e demais aplicativos.
Requisitos
• Ativos de Rede
• Bridges, switches e roteadores conectam seus recursos a parceiros e clientes.

Ativos modernos oferecem configurações de segurança complexas, mas que
podem ser usadas a seu favor.
• Lembre-se do que está protegendo para melhor alocar seus recursos.

Requisitos
• Determinar as Necessidades de Negócio
• Ao determinar uma arquitetura segura, deve-se ter em mente que a função

da segurança da informação é manter o negócio funcionando, e não apenas
isso. A infra-estrutura deverá acomodar fatores como os serviços providos
aos consumidores finais, requisitos de tolerância a falhas, expectativas de
performance e o orçamento.
Requisitos
• Custo
• Custo é um fator presente em todas as decisões de segurança. Quanto você
pretende gastar para mitigar uma possibilidade de ataque de um hacker ou
eliminar um ponto de falha?
• Depende do valor do recurso a ser protegido e os pontos de falha envolvidos

no processo. As vezes você pode gastar menos em uma proteção de um
perímetro e deixar para gastar mais em um controle de acesso mais eficiente
nos sistemas operacionais, por exemplo.
Requisitos
• Serviços relacionados ao negócio:
• Quando você configura um perímetro é necessário saber quais os recursos e
serviços providos à clientes e usuários. Geralmente, tudo que não fizer parte
desse contexto deve ser bloqueado de alguma forma em alguma camada de
proteção.
• Proteger seu negócio de ataques originados da abertura necessária ao

funcionamento das aplicações e serviços válidos é uma tarefa muitas vezes
complicada. É importante monitorar inclusive o tráfego legítimo em um nível
mais alto caso seu negócio demande.
Requisitos
• Performance:
• Quando os requisitos do negócio são analisados, é necessário avaliar o nível
de performance e disponibilidade para o serviço protegido em sua
infra-estrutura. Quanto mais camadas de segurança são adicionadas, maior
pode ser o impacto em aplicações, por exemplo, que necessitam uma
resposta em tempo real.
• Se a performance for um ponto chave no seu negócio, pode ser que você
tenha uma maior disponibilidade de orçamento para adquirir as melhores
soluções de segurança. Entretanto, algumas vezes o nível de segurança
poderá ser diminuído para evitar outros impactos.
Requisitos
• Determinar as Necessidades de
Negócio
• Performance:
• Exemplos que podem impactar a
performance:
• Filtros de pacotes e firewalls em linha;

• Uso de Criptografia;
• Detalhamento de Logs de Auditoria.
Requisitos
• Tolerância a Falhas:
• A quantidade de dispositivos de tolerância a falha implementados no
ambiente dependem da natureza e objetivos do negócio. Muitas vezes,
eliminar pontos de falha é complexo e soluções de tolerância a falhas são
mais aceitáveis para a continuidade de negócios.
• Exemplos:
• Cluster de Servidores;
• Links;
Requisitos

• Nível de Redundância:
• Avaliar as necessidades de redundâncias
para manter os negócios operacionais.
• Exemplos:
• Sistemas;
• Sites;
• Firewall;
• Ativos de Rede;
• Redundância Geográfica.
Introdução a Segurança nos
Sistemas Operacionais
29/01/2018
Proteger de quem ou o que?
Segurança nos Sistemas Operacionais
Quando falamos de segurança em sistemas operacionais é preciso identificar primeiro

quem são os agentes que podem causar danos à empresa.
Atacantes externos;
Funcionários Internos:
Mal Intencionados;
Mal preparados.
Pragas Digitais:
Virus, trojans, spywares, malwares...
Proteger de quem ou o que?
Exposição:
Vulnerabilidades de Sistemas Operacionais;
Vulnerabilidades de Aplicações;
Exploits;
E-mails em massa;
Malwares.
Técnicas
Hardening:
Consiste em reforçar a segurança dos servidores e estações através de práticas que visam
diminuir a exposição à vulnerabilidades e ameaças.
Exemplos:
Desativar serviços desnecessários;
Alterar a identificação do usuário administrador;
Efetuar todas as atualizações e correções até a presente data.
Técnicas - Hardening
Algumas empresas desenvolvem documentos especificando o padrão mínimo de

segurança para os diferentes sistemas operacionais. Esses documentos são formalizados e
tornam-se processos operacionais.
Desenvolvimento de um ‘Baseline’;
Técnicas – Hardening
Vantagens:
Baixo custo e alto benefício;
Após documentado, pode ser executado pelas áreas de suporte à estações e servidores.
Ferramentas de Auditoria e Scanners de Vulnerabilidades:

Microsoft Baseline Security Analizer;
Nessus.
Técnicas – Hardening

Vantagens:
Vasta documentação encontrada em meios públicos, como a Internet;
Considerações:
Necessita de um processo de revisão constante / periódica;
Unix - Arquitetura

Kernel e processos
Processo 1 Processo 2 Processo 3 Processo 4
Kernel
Hardware (discos,
interfaces de rede, etc)
•Os processos possuem área exclusiva de memória e o kernel

protege este acesso a memória
•Muitos processos no UNIX rodam no fundo do sistema executando

tarefas criticas e são chamados de Daemons
Equipamentos Dedicados à
Segurança
Firewalls
29/01/2018
Firewalls
Equipamentos Dedicados à Segurança
Tópicos
Tipos de Firewall:
Filtros de Pacotes (Static);
Filtros de Pacotes Baseados em Estados (Stateful / Dynamic);
Network Address Translator (NAT);
Proxies;
Híbridos e Reativos;
Pessoais.
Arquiteturas de Firewall:
Dual-homed host;
Screened Host;
Screened Subnet (DMZ).
Firewalls

Definição
Dispositivo que combina software e hardware para

segmentar e controlar o acesso entre redes de
computadores distintas.
São geralmente a primeira barreira contra ataques à

uma rede de computadores.
Firewalls

Definição
São utilizados desde os primórdios das redes de

computadores, porém sofrem constante evolução e
dão origem a novos tipos de firewalls.
O Firewall é um agente ativo da sua Política de

Segurança!
Firewalls - Definição
Princípios para Utilização de um Firewall
Autenticação:
Validar o acesso de um ou mais usuário à recursos da corporação.
Autorização:
Necessidade de definir “quem pode fazer o que”. Ex: As estações podem surfar na internet, mas
não podem pegar arquivos por FTP.
Auditoria:
Possibilidade de rastrear o acesso de usuários à recursos internos da corporação.
Integridade:
Preservação dos ativos e dados de possíveis invasões, perdas ou danos.
Firewalls - Tipos
Hardware
Firewall - sua evolução
• Conceitos:
• DeMilitarized Zone ou Zona Desmilitarizada (DMZ): Área entre uma rede

interna e a rede externa onde geralmente há a necessidade de acesso a
serviços, como HTTP, FTP, etc;
Visam disponibilizar o acesso aos serviços, porém sem comprometer a rede interna.
Firewalls - Arquiteturas
DMZ Exemplo:
DMZ Exemplo:
Firewalls - Tipos

Filtros de Pacotes
Conhecidos como static packet filter por possuírem regras estáticas de filtragem de
pacotes. São os modelos mais simples existentes.
Diversos dispositivos já possuem implementações de filtro de pacotes, como roteadores,

access points.
Firewalls - Tipos
Filtros de Pacotes
A análise realizada está baseada nas camadas de rede e de transporte da pilha TCP/IP.
Dessa forma, as informações verificadas são: Endereço IP, Porta, Protocolo.
IPs:
Origem;
Destino.
Portas:
Origem;
Destino.
Protocolo:
TCP;
UDP.
ICMP.
Firewalls - Tipos
• Filtros de Pacotes
• Exemplos de Regras:
Endereço de Origem Porta de Endereço de Porta de Protocolo Ação
Origem Destino Destino
any any 192.168.1.80 80 TCP ACCEPT
192.168.1.80 80 any any TCP ACCEPT
192.168.1.0/24 any any 110 TCP DROP
• Acesso ao servidor WEB;

• Retorno do Acesso ao servidor WEB;
• Bloqueio de acesso a servidor POP na
rede externa.
Firewalls - Tipos
• Filtros de Pacotes
• A regra 2 poderia ser escrita de forma a liberar o tráfego em qualquer porta alta (>=1024), porém
isso criaria uma falha de segurança já que o servidor estaria apto à acessar qualquer serviço em
computador fora da rede disponibilizado em uma porta fora das portas padrões.
Firewalls - Tipos
Filtros de Pacotes
Vantagens
Agregados à diversos tipos de equipamentos;
Melhor desempenho comparado a outros tipos de firewall;
Regras simples de serem criadas.

Firewalls - Tipos
Filtros de Pacotes
Desvantagens
Vulnerável aos ataques que exploram as deficiências do protocolo TCP/IP;
Não bloqueia ataques em camadas superiores (acima da de transporte);
Dificuldade em filtrar serviços que utilizam portas dinâmicas, como RPC, FTP;
Necessidade de criar regras para validar o tráfego em ambos os sentidos em uma conexão.
Firewalls - Tipos

Filtros de Pacotes Baseados em Estado
Também conhecidos como stateful packet filter ou dynamic packet filter são uma
evolução do filtro de pacotes, pois estão associados à tabelas de regras.
Adicionalmente, possuem uma tabela de estados que auxilia no processo de tomada de

decisão durante uma filtragem.
Firewalls - Tipos

Vantagens
Simplifica o procedimento de criação das regras de filtragem em ambientes mais complexos;
Filtragem mais robusta. Elimina automaticamente pacotes fora de contexto;
Possibilita diversos recursos de filtragem e análise de pacotes.

Firewalls - Tipos

Desvantagens
Por ter que armazenar o contexto das conexões ativas, consome mais recursos de
processamento e memória;
Muito impactado em ataques de DDoS com pacotes SYN, já que o firewall manterá o contexto
de todas as aberturas de conexões do ataque.
Firewalls - Tipos

Proxies
Fazem a intermediação entre os clientes e servidores de uma rede externa de forma a não
permitir uma conexão direta entre eles.
O cliente abre uma conexão TCP no firewall e este abre uma conexão com o servidor
externo.
Esse tipo de firewall trabalha as camadas de sessão e transporte (circuit level gateway) ou
na camada de aplicação (application level gateway).
Firewalls - Tipos

Network Address Translator (NAT)
Consiste em mascarar os endereços de uma rede interna ou segmento de rede quando há

a necessidade de acesso a outra rede pública ou não confiável. Dessa forma, o firewall
utilizará sempre um IP ou faixa de IPs determinados ao invés de publicar o IP da estação
para outro segmento de rede.
Para isso será mantida em memória uma tabela indicando a qual estação aquela
conexão pertence. Geralmente cada computador interno é associado a uma porta para
o tratamento das conexões.
Firewalls - Tipos
Network Address Translator (NAT)
Firewalls - Tipos
Níveis de Atuação
Firewalls - Tipos

Firewalls Híbridos ou Multilayers
Utilizam as tecnologias de filtro de pacotes, filtros baseados em estados e proxies em

conjunto fornecendo maior proteção e melhor desempenho.
Por atuar em várias camadas, pode alternar entre os tipos de verificação e prover uma
avaliação mais eficiente.
Firewalls - Tipos

Firewalls Reativos
Integrados com outras tecnologias, como detecção de intrusão, são capazes de tomar
decisões de resposta à ataques como:
Isolar um segmento de rede;
Isolar uma estação ou servidor;
Alterar uma saída ou entrada de dados em caso de falha em algum serviço (failover).
Firewalls - Tipos

Firewalls Pessoais
Diferente dos outros tipos de firewalls, pois não atuam entre segmentos de rede. Os firewalls
pessoais visam proteger um host específico que possa estar exposto de alguma forma ou
que exige um nível maior de proteção dentro do ambiente.
Provém uma proteção individual ao computador que pode ser atribuída como um packet
filter, ou seja, bloqueando e autorizando conexões de entrada e saída por IP, Portas e
Protocolos.
Firewalls pessoais também servem de alerta para verificar as aplicações que buscam
acesso à internet dentro de um host.
Arquiteturas de Firewall
Conceitos:
Bastion Hosts:
Máquinas que oferecem serviços e que estão fora da rede interna da instituição;
Geralmente são os primeiros pontos de ataque externo;
Podem ser configuradas de forma a criar outros níveis de proteção.
Arquitetura dual-homed host
Consiste na separação entre a rede interna e a rede externa da organização por meio de
uma máquina ou equipamento com duas interfaces de rede.

Arquitetura Screened Host
Utiliza dois níveis de proteção, sendo um firewall do tipo filtro de pacotes e um bastion host
que pode atuar como proxy exigindo que os computadores internos acessem a internet
apenas através dele.
A comunicação entre o firewall e a rede interna fica impedida devendo passar sempre
pelo segundo servidor.
Arquitetura Screened Host
Intrusion Detection System

IDS
IDS
Definição
Os Sistemas de Detecção de Intrusão são dispositivos de monitoramento de sistemas

capazes de perceber a ocorrência de um ataque ou comportamento anormal dos
mesmos e produzir uma resposta.
O IDS é um agente ativo da sua Política de Resposta à Incidentes!

IDS
Definição
As respostas do IDS tem por objetivo alertar o administrador do sistema da ocorrência de

um ataque ou uma tentativa de ataque ocorrida.
A diferença entre os dois casos é que no primeiro o ataque encontra-se em andamento e

pode ter sucesso ou não. Já no segundo caso o ataque já aconteceu e não obteve
sucesso.
IDS
Tipos de Respostas
Automáticas:
Estrangulamento;
Interrupção da conexão;
Desvio;
Isolamento;
SYN/ACK;
Honey Pots.
IDS - NIDS

IDS

Considerações
Um IDS bem posicionado e configurado em sua Infra-Estrutura pode ser um excelente ponto de
controle contra tentativas de invasão. O IDS tem que estar configurado para um ambiente
específico!
Um IDS mal configurado para o ambiente no qual ele esteja atuando pode ser um pesadelo
para seus administradores;
Existe uma impressão negativa no mercado sobre os IDS em função do excesso de falso-positivos
que eram gerados no início da tecnologia;
IPS

Intrusion Prevention System
Pode ser considerado uma evolução do IDS. Ao invés de identificar um ataque em

andamento, o IPS procura bloqueá-lo antes que ele aconteça.
É utilizado para controlar o acesso à recursos do ambiente.
Em linhas gerais, é uma integração de um Firewall com um IDS provendo uma tecnologia
mais eficiente em ambos os aspectos.
IPS
Intrusion Prevention System
Características:
Efetua o controle e tomada de decisões baseados em contexto ao invés de utilizar apenas IPs,
portas e tipos de pacotes;
Pode ser utilizado como HOST ou NETWORK Based;

Redes Privadas Virtuais
VPN
Virtual Private Network
Conceitos

Descrição
• Necessidade de Negócio: É comum que grandes organizações
possuam filiais, parceiros de negócios e funcionários em ambientes
externos, assim há a necessidade de interligar ambientes de
comunicação de dados para que se possa prover serviços de forma
eficiente e segura.
Conceitos
Descrição
As REDES PRIVADAS VIRTUAIS surgiram como alternativa à utilização de links dedicados
para a interconexão de redes geograficamente separadas e ao acesso remoto de
usuários às redes internas de uma organização.
Conceitos
Descrição
• Sem o uso das VPNs a ligação é feita através de links dedicados. Esses,
por sua vez, são caros e para cada novo parceiro ou filial é necessário
adquirir um novo link.
• A vantagem de se usar um link dedicado é ‘garantir’ que as

informações não serão capturadas.
Conceitos
Principais Conceitos
A CRIPTOGRAFIA e o TUNELAMENTO são os conceitos que fundamentam a VPN.
Criptografia: Garante a autenticidade, confidencialidade e a integridade das conexões.
Tunelamento: Permite o tráfego das informações na rede pública. Exemplo: SSL.

Arquitetura
• Gateway-to-Gateway
Quando os usuários se comunicam por meio da rede de suas organizações, fazendo com que
elas, que são distintas, pareçam uma única rede. Dessa forma, a ligação entre elas passa a ser
transparente aos usuários uma vez que o túnel é estabelecido e finalizado nos gateways das
organizações.
Arquitetura
Host-to-Gateway
Quando o túnel estabelecido é criado no próprio equipamento do usuário através de um
software cliente de VPN.
Segurança em rede Wireless
29/01/2018
Principais ataques
Principais ataques em Redes WLAN
Low-hanging fruit (exploração de configuração default)
Access point spoofing
WEP attack (exploração na implementação do algoritmo RC4)
Interceptação e monitoração
Client-to-Client Attack
Ataques de força bruta
Negação de Serviço (interferência nos canais)
Roubo e/ou perda de placas
Principais ataques
Implicações
Acesso indevido a informações
Obtenção de senhas
Acesso a redes privadas
Utilização indevida dos recursos da rede
Indisponibilidade dos serviços
Invasão de privacidade
Alterações de informações confidenciais
Padrões de segurança existentes
WEP – Wireless Equivalent Privacy
A especificação do IEEE 802.11b e 802.11g aborda vários serviços para levar segurança
ao ambiente operacional. A maior parte da segurança é colocada no protocolo WEP
para proteger a camada de enlace de dados durante a transmissão de um cliente com os
APs. Ou seja, o WEP só controla a parte sem fio da rede, logo a parte cabeada terá sua
segurança feita por outros meios
WEP e suas vulnerabilidades
O WEP usa o algoritmo de criptografia simétrica RC4. O RC4, a partir da junção da sua
chave fixa de 40 bits, com uma seqüência de 24 bits variável conhecida como vetor de
inicialização (IV), cria uma seqüência de bits pseudoaleatórios que é, através de
ou-exclusivo (XOR), operados aos dados que serão criptografados. O IV também é
transmitido junto com cada pacote criptografado. E a norma do padrão sugere que esse
IV seja variado a cada pacote enviado
O receptor, que também conhece a chave fixa, recebe o pacote, retira o IV dalí e
aplica o processo inverso usando a mesma operação de XOR, para descriptografar o
pacote e revelar a mensagem.
O RC4 é um algoritmo de fluxo, isto é, o algoritmo criptografa os dados à medida que
eles são transmitidos, o que faz com que o RC4 seja um algoritmo de alto desempenho. O
RC4 pouco foi criticado, e aqueles que o criticaram tiveram que, posteriormente, remover
as suas críticas. Talvez porque o RC4 seja um algoritmo realmente bom e muito simples, ou
talvez pela força do seu autor, o respeitado Ron Rivest, um dos sócios da RSA Security e
professor do MIT.
WEPeesuas
WEP suasvulnerabilidades
vulnerabilidades
IV (initialization vector)
O IV WEP tem o campo com 24 bits na parte vazia da mensagem enviada. Esse campo
de 24 bits, utilizado para iniciar a geração da chave pelo algoritmo RC4 é considerado
pequeno para a criptografia.
A reutilização do mesmo IV produz uma chave idêntica para a proteção dos dados e o
tamanho pequeno, garante que ele repetirá com uma freqüência relativamente alta em
uma rede ocupada.
Mais ainda, o padrão 802.11 não especifica como os IVs são ajustados ou trocados,
então dispositivos wireless de mesma marca podem gerar todos a mesma seqüência do IV
e outros podem ter um IV constante. Como resultado, invasores podem gravar o tráfego
da rede, determinar a chave e usá-la para decodificar os dados.
WEP e suas vulnerabilidades
O uso de chaves WEP estáticas

Vários usuários wireless utilizando uma chave idêntica, durante muito tempo, é um fator
de risco.
Se um computador, como um laptop, fosse roubado, a chave poderia tornar-se
comprometida deixando todos os computadores que compartilham a mesma chave
também comprometidos.
O Conhecimento Prévio
O fato de um curioso saber que o IV de cada chave possui 24 bits, combinada com a
fraqueza da chave RC4,leva a um ataque que recupera a chave após interceptar e
analisar uma pequena quantidade de pacotes do tráfego.
O que aconteceu depois do WEP?
Wi-Fi Alliance
A Wi-Fi Alliance é uma associação sem fins lucrativos, formada em 1999, para certificar
os produtos baseados no padrão IEEE 802.11 quanto a sua interoperabilidade. Hoje, há
mais de 180 empresas afiliadas, e já certificaram mais de 600 produtos.
A Wi-Fi Alliance, junto com o IEEE, foram os responsáveis pelo desenvolvimento do Wi-Fi
Protected Access (WPA), na tentativa de resolver as vulnerabilidades do WEP e atender o
mercado enquanto o TGi não lança o novo padrão.
WPA
O WPA copia do WEP os dispositivos que trazem um bom desempenho e a baixa
consumo de recursos computacionais, e do IEEE 802.11i, ele copia os mecanismos que
corrigem as falhas de segurança. O WPA foi desenvolvido para se executado nos mesmos
hardwares que rodavam o WEP, desta forma, toda a base de interfaces de rede já
instalada, que permite o upgrade de firmware, será aproveitada.
Padrões de segurança existentes WPA e o 802.1x
WPA usa o 802.1X para resolver os problemas do WEP no que tange à autenticação. O
802.1X foi desenhado para redes cabeadas, mas pode ser aplicado à redes sem fio. O
padrão provê controle de acesso baseado em porta e autenticação mútua entre os
clientes e os pontos de acesso, através de um servidor de autenticação.
Existe 3 participantes em uma transação usando o 802.1X:
O suplicante - Um usuário ou um cliente que quer ser autenticado. Ele pode ser qualquer
dispositivo sem fio.
O servidor de autenticação - Um sistema de autenticação, tipo RADIUS, que faz a
autenticação dos clientes autorizados.
O autenticador - O dispositivo que age como um intermediário na transação, entre o
suplicante e o servidor de autenticação. O ponto de acesso, na maioria dos casos.
WPA e o 802.1x
WPA e o 802.1x
Como a identidade é definida é definido no Extensible Authentication Protocol (EAP).
O EAP é o protocolo que o 802.1X usa para gerenciar a autenticação mútua. O
protocolo provê um framework generalizado para o sistema de redes sem fio escolher um
método específico de autenticação.
O método de autenticação pode ser a senha, certificado PKI ou outro token de
autenticação. Com um EAP padrão, um autenticador não precisa entender em detalhes o
método de autenticação.
O autenticador simplesmente age como um intermediário que recebe e repassa
pacotes EAP ente o suplicante e o servidor de autenticação, que nesse caso fará a
autenticação.
WPA e o 802.1x
WPA e o 802.1x
Há vários tipos de EAP que são usados hoje em dia:
1. EAP-LEAP - Esse padrão foi desenvolvido pela CISCO. EAP-LEAP usa um par login/senha
para transmitir a identidade do suplicante para o servidor RADIUS para autenticação.
2. EAP-TLS - Esse padrão foi descrito na RFC 2716. EAP-TLS usa um certificado X.509 para
autenticar.
3. EAP-TTLS - Esse é um padrão desenvolvido pela Funk Software. EAP-TTLS é uma opção
alternativa ao EAP-TLS. Enquanto o servidor de autenticação identifica a si mesmo ao
cliente com um certificado de servidor, o suplicante usa um par login/senha para se
indentificar.
4. EAP-PEAP (Protect EAP) - Outro padrão desenvolvido para prover autenticação mútua
segura. O padrão foi desenhado para superar algumas vulnerabilidades existentes em
outros métodos EAP.
Temporal Key Intergrity Protocol
(TKIP)
É de responsabilidade do TGi a viabilização do padrão no aspecto de segurança. E muitos
passos importantes vêm sendo dados na direção de se dar credibilidade ao protocolo WEP
e na direção de se criar um outro protocolo mais robusto que substituirá o WEP.
O grupo encontra alguns problemas na hora de dar melhores soluções para o padrão:
Baixo poder computacional dos chips: Os algoritmos devem ser leves o suficiente para que
possam ser executados nos cartões existentes hoje.
Manter compatibilidade: Deve-se manter a compatibilidade com o padrão que a Wi-Fi
Alliance chamou de Wi-Fi.
Temporal Key Intergrity Protocol
(TKIP)
O TKIP faz com que cada estação da mesma rede utilize uma chave diferente para se
comunicar com o ponto de acesso. O problema da colisão de chaves do RC4 é resolvido
com a substituição da TK antes que o IV assuma novamente um valor que já assumiu, ou
seja a cada vez que o IV assuma o seu valor inicial, o TK deve assumir um valor distinto. A
forma como é gerenciada essa troca de TKs não foi padronizada. Cabe ao próprio TGi o
processo de validação dos novos protocolos, o que, acredita-se, não ser o sistema mais
confiável.
Diferentes tipos de criptografia no
wireless
Filtro SSID
Filtro do SSID é um método rudimentar de filtragem, e que somente deverá ser utilizado
como método básico de controle de acesso. O SSID é apenas um termo que caracteriza o
nome da rede. Logo, um dispositivo que deseja se comnicar com uma determinada rede
deverá conhecer o nome da rede para ter acesso.
Porém, com a utilização de um sniffer é muito fácil descobrir o SSID de uma rede, visto
que os APs enviam de tempos em tempos este SSID para que seus clientes possam se
comunicar. Por isso, este método é considerado fraco quando se deseja manter usuários
não-autorizados fora da rede.
Em determinados casos, é possível fazer com que os APs não enviem o SSID, contudo os
clientes deverão ter os SSIDs configurados manualmente.
Wardriving - Introdução
O que é ? É legal ?
Este termo curioso originou-se com o filme Jogos de Guerra, de 1983, no qual um
especialista em computadores discava números de telefones aleatoriamente com a
intenção de invadir outros computadores com seu próprio computador. Hoje, wardriving
significa andar pelas ruas com um computador sem fio ou com outro dispositivo ativado
por rádio e tentar localizar, identificar e invadir redes sem fio.
Antena direcional caseira
Wardriving - continuação
Equipamentos necessários
Laptop (com slot pcmcia e uma porta serial para GPS)

Placa 802.11b ou 802.11g Wireless ethernet
Sistema Operacional que suporte tecnologias Wireless (Linux, BSD, Windows, MAC)
GPS receiver para traçar a localização (opcional)
Um transporte para locomover os usuários
NOTA.: Para informações detalhadas destes e outros ataques, acesse: “http://www.wardriving.com”

Warchalking
O que diz a Lei
O art. 155, § 3º do Código Penal, que define o chamado furto de sinal, o art. 151, que dispõe
sobre violação de correspondência, principalmente em seus incisos II e IV, e também os arts. 186
e 927 do Novo Código Civil, que genericamente indicam a necessidade de ressarcimento em
casos de danos a terceiros.
Damos destaque a previsão específica do enquadramento das conseqüências do wardriving e

warchalking no Projeto de Lei nº 84, de 1999, aprovado em Plenário da Câmara recentemente,
que dá nova redação ao Código Penal Brasileiro. O Projeto adita o ordenamento penalista
acrescendo a Seção V no Capítulo VI, Título I, ficando assim:
■ "Seção V - Dos Crimes contra a inviolabilidade de sistemas informatizados

Acesso indevido a meio eletrônico
Art. 154- A . Acessar, indevidamente ou sem autorização, meio eletrônico ou sistema
informatizado:
Pena - detenção, de três meses a um ano, e multa."
Como aplicar praticamente uma sanção legal em casos de invasão de redes wireless mediante
wardriving e warchalking?
É difícil o enquadramento legal de um indivíduo posicionado no meio de uma praça pública,

utilizando um dispositivo sem fio e conectado à Internet mediante uso de rede alheia. A
temporariedade da prática e sua dinâmica dificultam a aplicação de qualquer punição, já que a
ação delituosa não é de fácil constatação.
Pontos Abordados no tópico
gerador
Assuntos que serão Abordados na Disciplina:
Projeto de Arquitetura de Infra-Estrutura Segura;

Segurança em Sistemas Operacionais;
Ataques, Vulnerabilidades e Proteções;
Equipamentos Dedicados à Segurança;
Redes Privadas Virtuais (VPNs);
Segurança em rede Wireless
Segurança em Serviços e Proteção à Usuários Internos em Redes Corporativas (E-mail,
Navegação);
Assuntos Sugeridos pela Turma.

Aula 10 F - Plano de Segurança Digital

Enviado por

Dados do documento

Título original

Direitos autorais

Formatos disponíveis

Compartilhar este documento

Compartilhar ou incorporar documento

Opções de compartilhamento

Você considera este documento útil?

Este conteúdo é inapropriado?

Direitos autorais:

Formatos disponíveis

Aula 10 F - Plano de Segurança Digital

Enviado por

Direitos autorais:

Formatos disponíveis

Plano de

A Infra-Estrutura tecnológica de uma

O negócio das empresas depende cada vez mais da tecnologia da informação;

Desenvolvimento de ambientes padronizados;

Identificar os níveis de proteção necessários a cada camada de sua infra-estrutura, ex:

Proteção de Acesso à Rede Interna;

Aplicar mais de um mecanismo de proteção dentro de uma camada ou em camadas

Exemplo: Acesso à um roteador.

Limitação de Acesso por Origem;

Determinar os diferentes perímetros dentro de uma infra-estrutura e as necessidades

Exemplo: Rede corporativa.

Servidores WEB com acesso externo;

Muitas vezes somos obrigados a atender normas ou determinações de segurança. Para

Exemplo: ISO/IEC 27001 e 27002

Não existe investimento infinito em segurança da Informação!

A segurança do seu ambiente estará diretamente relacionada ao elo mais fraco da

• Devemos pensar primeiro nas seguintes perguntas:

• Que recursos devem ser protegidos?

• Quanto mais tarde são tomadas as decisões que modificam a arquitetura,

• Obtendo os Requisitos de Arquitetura

• Esse tratamento te possibilita identificar cenários onde os dispositivos

• Para algumas organizações, a informação que precisa ser protegida podem

• Ambientes modernos tendem a agregar informações em servidores. Essa

• Uma metodologia aplicável é concentrar os elementos críticos de forma que

• Caso do Servidor Desaparecido

• A InformationWeek publicou certa vez uma matéria onde um servidor

• Você sabe onde se encontram todos os servidores da empresa?

• Quando for avaliar as estações, deve-se ter em mente todos os elementos de

• Bridges, switches e roteadores conectam seus recursos a parceiros e clientes.

• Lembre-se do que está protegendo para melhor alocar seus recursos.

• Determinar as Necessidades de Negócio

• Ao determinar uma arquitetura segura, deve-se ter em mente que a função

• Depende do valor do recurso a ser protegido e os pontos de falha envolvidos

• Proteger seu negócio de ataques originados da abertura necessária ao

• Determinar as Necessidades de Negócio

• Filtros de pacotes e firewalls em linha;

• Determinar as Necessidades de Negócio

Quando falamos de segurança em sistemas operacionais é preciso identificar primeiro

Segurança nos Sistemas Operacionais

Algumas empresas desenvolvem documentos especificando o padrão mínimo de

Segurança nos Sistemas Operacionais

Ferramentas de Auditoria e Scanners de Vulnerabilidades:

Segurança nos Sistemas Operacionais

Segurança nos Sistemas Operacionais

Processo 1 Processo 2 Processo 3 Processo 4

•Os processos possuem área exclusiva de memória e o kernel

•Muitos processos no UNIX rodam no fundo do sistema executando

Equipamentos Dedicados à Segurança

Dispositivo que combina software e hardware para

São geralmente a primeira barreira contra ataques à

Equipamentos Dedicados à Segurança

São utilizados desde os primórdios das redes de

O Firewall é um agente ativo da sua Política de

• DeMilitarized Zone ou Zona Desmilitarizada (DMZ): Área entre uma rede

Equipamentos Dedicados à Segurança

Diversos dispositivos já possuem implementações de filtro de pacotes, como roteadores,

any any 192.168.1.80 80 TCP ACCEPT

192.168.1.80 80 any any TCP ACCEPT

192.168.1.0/24 any any 110 TCP DROP

• Acesso ao servidor WEB;

Equipamentos Dedicados à Segurança

Agregados à diversos tipos de equipamentos;

Melhor desempenho comparado a outros tipos de firewall;