Notas de estudo SSCP

1. Controles de acesso
2. Administração
3. Auditoria e Monitoramento
4. Risco, resposta e recuperação
5. Criptografia
6. Comunicações de dados
7. Código malicioso

Versão modificada do guia de estudo original de Vijayanand Banahatti (SSCP)

1
Índice

Notas de estudo SSCP............................................................................................................1

1 .0 CONTROLES DE ACESSO...................................................................................5
1.1 Identificação, Autenticação, Autorização, Contabilidade....................................5
1.1.1 Técnicas de identificação e autenticação......................................................5
1.1.2 Técnicas de Autorização...............................................................................5
1.1.3 Técnicas Contábeis.......................................................................................5
1.1.4 Administração de senha................................................................................5
1.1.5 Garantia.........................................................................................................5
1.2 Administração de controle de acesso...................................................................5
1.3 Modelos, Metodologias e Implementação de Controle de Acesso......................6
1.3.1 Tipo de políticas de controle de acesso.........................................................6
1.3.2 Métodos de implementação de políticas de controle de acesso....................6
1.3.3 Modelos de controle de acesso.....................................................................6
1.3.4 Metodologias de Controle de Acesso.................................................................7
1.4 Autenticação Remota...........................................................................................8
1.4.1 RAIO.............................................................................................................8
1.4.2 TACACS.......................................................................................................8
1.5 Logon único (SSO)...............................................................................................8
1.4.1 Kerberos (veja as páginas 47-50 do livro SSCP para mais informações).....8
2.0 ADMINISTRAÇÃO...................................................................................................10
2.1 Princípios de Administração de Segurança........................................................10
2.2 Tríade da CIA.....................................................................................................10
2.3 Classificação de dados.......................................................................................10
2.4 Fases do ciclo de vida do sistema e preocupações de segurança.......................10
2.5 Due Diligence/Devido cuidado..........................................................................11
2.6 Certificação/Acreditação/Aceitação/Garantia....................................................12
2.7 Armazenamento de dados/informações.............................................................12
2.8 Arquitetura de segurança do sistema..................................................................12
2.8.1 Modo alto do sistema..................................................................................12
2.8.2 Modo Compartimento.................................................................................12
2.8.3 Modo seguro multinível (MLS)..................................................................13
2.8.4 Segmentação de Hardware..........................................................................13
2.8.5 Base de computação confiável....................................................................13
2.8.6 Mecanismos de proteção de dados..............................................................13

2
 2.9 Controle de Mudanças/Gerenciamento de Configuração (p.135-139)...............13
2.10 Política, Padrão, Diretrizes, Linhas de Base......................................................14
2.11 Papéis e responsabilidades.................................................................................14
2.12 Estrutura e Práticas.............................................................................................14
2.13 Conscientização sobre segurança.......................................................................14
2.14 Planejamento de gerenciamento de segurança......................................................14
2.15 Desenvolvimento Comum de uma Política de Segurança....................................15
3.0 AUDITORIA E MONITORAMENTO......................................................................16
3.1 Tipos de controle................................................................................................16
3.2 Auditorias de segurança.....................................................................................16
3.2.1 Auditoria de Segurança Interna e Externa..................................................16
3.2.2 Processo de Auditoria.................................................................................16
3.2.3 Fontes de dados de auditoria (p. 192).........................................................17
3.2.4 Trilhas de auditoria.....................................................................................17
3.2.5 Métodos de auditoria de segurança.............................................................17
3.2.6 Ferramenta de Auditoria Assistida por Computador (CAAT)....................18
3.2.7 Instalação Central de Registro (CLF).........................................................18
3.3 Mecanismo de Relatório e Monitoramento.............................................................18
3.4 Tipos de Ataque......................................................................................................19
3.4 TEMPESTADE..................................................................................................20
3.5 Nível de recorte..................................................................................................20
4.1 Gestão de Riscos (Riscos, Ameaças, Vulnerabilidades e Exposições)..............21
4.2 Análise de risco..................................................................................................21
4.3 Ferramentas e técnicas de análise/avaliação de riscos.......................................22
4.4 Recuperação de desastre.....................................................................................22
4.4.1 Planejamento de continuidade de negócios (BCP) (p.268 SSCP)..............22
4.4.2 Planejamento de recuperação de desastres (DRP) (p.271 SSCP)...............22
4.4.3 Backups (p.277 SSCP)................................................................................22
4.4.4 Análise de Impacto nos Negócios (BIA)....................................................22
4.5 Resposta ao Incidente (p. 282 SSCP).................................................................23
5.0 CRIPTOGRAFIA.......................................................................................................24
5.1 Algoritmos de criptografia simétrica (p.333 SSCP)..........................................25
5.2 Algoritmos de criptografia assimétrica (p. 331 SSCP)......................................25
5.3 Sistemas Simétricos vs Assimétricos.................................................................25
5.4 Integridade da mensagem...................................................................................25
5.4.1 Algoritmos Hash (p.337 SSCP)..................................................................26

3
 5.5 Link e criptografia ponta a ponta.......................................................................26
5.6 Criptografia para e-mails....................................................................................26
5.7 segurança da Internet..........................................................................................26
5.8 PKI (pág. 355 SSCP)..........................................................................................27
5.8.1 X.509................................................................................................................27
5.9 Ataques criptográficos........................................................................................28
6.0 COMUNICAÇÕES DE DADOS...............................................................................28
6.1 Modelos de comunicação de dados:...................................................................28
6.2 TCP/IP - Protocolo de Controle de Transmissão/Protocolo de Internet............28
6.3 Tipos comuns de sistemas LAN.........................................................................29
6.4 Cabeamento........................................................................................................29
6.5 Tipos de sinalização...........................................................................................29
6.6 Modos de transmissão (abordagens)..................................................................30
6.6.1 Métodos de acesso LAN.............................................................................30
6.7 Redes..................................................................................................................30
6.8 Topologia de rede...............................................................................................30
6.9 Padrões IEEE......................................................................................................31
6.10 Dispositivos de rede...........................................................................................32
6.11 Firewalls (pág. 400 SSCP).................................................................................32
6.12 Protocolos...........................................................................................................32
6.12 Servidores de serviço de autenticação remota....................................................32
6.12.1 Protocolos de segurança da camada de rede...............................................33
6.12.2 Protocolos de segurança da camada de aplicação.......................................33
6.13 Técnicas de segurança de comunicações...........................................................33
7.0 CÓDIGO MALICIOSO..............................................................................................35
7.1 Vários tipos de vírus...........................................................................................35
7.1.1 Que parte os vírus infectam........................................................................35
7.1.2 Como os vírus infectam..............................................................................35
7.2 Como o código malicioso pode ser introduzido no ambiente de computação...35
7.3 Mecanismos que podem ser usados para prevenir e detectar ataques de códigos
maliciosos......................................................................................................................36
7.3 Ataques Comuns.....................................................................................................36

4
1 .0 CONTROLES DE ACESSO
Objetos de controle de acesso: Qualquer objeto que necessite de acesso controlado pode ser considerado um objeto de
controle de acesso.
Assuntos de controle de acesso: quaisquer usuários, programas e processos que solicitem permissão para objetos são
sujeitos de controle de acesso. São estes sujeitos de controle de acesso que devem ser identificados, autenticados e
autorizados.
Sistemas de controle de acesso: Interface entre objetos de controle de acesso e sujeitos de controle de acesso.

1.1 Identificação, Autenticação, Autorização, Contabilidade

1.1.1 Técnicas de identificação e autenticação
A identificação funciona com autenticação e é definida como um processo através do qual a identidade de um
objeto é apurada. A identificação ocorre usando alguma forma de autenticação.

Tipos de autenticação Exemplo

Algo que você sabe Senhas, números de identificação pessoal (PIN), frases secretas,
nome de solteira da mãe, time esportivo favorito, etc.
Algo que você tem Cartões de proximidade, fichas de identificação, chaves, crachás de
identificação, passaportes, certificados, transponders, cartões
inteligentes, etc.
Algo que você é Impressões digitais, assinaturas, características oculares,
características faciais, impressões vocais, DNA.
Esses três tipos de autenticação podem ser combinados para fornecer maior segurança. Essas combinações são chamadas de fatores de
autenticação. (Dois fatores ou três fatores)

1.1.2 Técnicas de Autorização

Um processo através do qual um sujeito de controle de acesso é autenticado e identificado, o sujeito é
autorizado a ter um nível ou tipo específico de acesso ao objeto de controle de acesso.

1.1.3 Técnicas Contábeis

O sistema de controle de acesso é responsável por qualquer transação relacionada à segurança, fornecendo
responsabilidade. A responsabilização dentro de um sistema significa que qualquer pessoa que use o sistema
é rastreada e responsabilizada por suas ações. Exemplo: trilha ou log de auditoria de autenticação, trilha ou
log de auditoria de elevação de privilégios.

1.1.4 Administração de senha

A administração de senhas é uma parte importante de qualquer sistema de controle de acesso. A seleção,
gerenciamento e auditoria de senhas devem ocorrer por meio de métodos automatizados ou administrativos.
o Seleção de senha: a política geralmente trata do comprimento mínimo da senha, uso de caracteres
necessários, expiração da senha, reutilização de senha, etc.
o Gerenciamento de senha: tudo o que acontece com a senha durante todo o seu ciclo de vida, desde um
usuário que precisa redefinir sua senha até a expiração automática da senha.
o Auditoria e controle de senha: Para determinar a funcionalidade geral do sistema de controle de acesso para
ajudar a reduzir acessos não autorizados e ataques. Boas práticas de registro de auditoria podem ser seguidas.

1.1.5 Garantia
Para fornecer garantia, as quatro perguntas a seguir devem ser respondidas: (ou seja, CIA +
Responsabilidade) - As transações entre o sujeito do controle de acesso e o objeto do controle de acesso
são confidenciais ?
- A integridade do objeto de controle de acesso está assegurada e garantida?
- O objeto de controle de acesso está disponível para ser acessado quando necessário?
- O sistema de controle de acesso é responsável pelo que autentica (por exemplo, registro/auditoria)?

Se todas as quatro puderem ser respondidas afirmativamente, então a garantia foi devidamente assegurada.

1.2 Administração de controle de acesso

Após a implementação do sistema de controle de acesso, administrar o processo é a tarefa principal. Isso envolve os
seguintes fatores.

Administração de contas: Administração de todas as contas de usuários, sistemas e serviços usadas no sistema de

5
controle de acesso. Isso inclui criação (autorização, direitos, permissões), manutenção (redefinição de bloqueio de
conta, auditoria, política de senha) e destruição (renomear ou excluir) de contas.

Direitos e permissões de acesso: O proprietário dos dados deve decidir quaisquer direitos e permissões para uma conta
específica. O princípio do menor privilégio será usado aqui para conceder todos os direitos e permissões necessários a
uma conta para desempenhar as funções exigidas, mas não mais do que o exigido ou necessário.
Monitoramento: As alterações nas contas e a escalada de privilégios devem ser registradas e monitoradas
constantemente por segurança.
Segurança de mídia removível: Qualquer mídia removível do sistema pode ser a vulnerabilidade. Todas as mídias
removíveis devem ser restritas ou controladas de alguma maneira para proporcionar a melhor segurança possível do
sistema.
Gerenciamento de caches de dados: O controle de acesso não é apenas para usuários - qualquer tipo de informação que
esteja no sistema precisa ser considerada - por exemplo, caches de dados temporários (arquivos de paginação, dr
watsons, arquivos .tmp etc.)

1.3 Modelos, Metodologias e Implementação de Controle de Acesso

1.3.1 Tipo de políticas de controle de acesso
Políticas de controle de acesso são implementadas para mitigar e controlar os riscos de segurança. Estas
políticas são as diretrizes que devem ser seguidas tanto pelos sistemas automatizados de controle de acesso
quanto pela segurança física real . As políticas a seguir trabalham juntas para apoiar uma política global de
controle de acesso.

Tipo de políticas Descrição

Preventivo Políticas para evitar que as vulnerabilidades sejam exploradas. Por
exemplo, política de patches, verificações de antecedentes,
classificação de dados, separação de funções, etc.
Detetive Este tipo de política é implementada para saber quando um ataque
está ocorrendo. Por exemplo, IDS, monitoramento de log, etc.
Corretivo Políticas que abordam ações de correção imediatas, após a
exploração das vulnerabilidades. Essas políticas incluem planos de
recuperação de desastres, procedimentos de restauração de
emergência, limite de bloqueio de senha, etc.
NB: Não confunda com tipos de controle (p.14)

1.3.2 Métodos de implementação de políticas de controle de acesso

Administrativo: Nesta implementação, uma política é controlada administrativamente por meio de políticas
de local de trabalho ou ordens transmitidas aos subordinados. Não possuem etapas automatizadas
incorporadas e exigem que as pessoas façam o que lhes é mandado . Oferece uma maneira fácil de
implementar uma primeira linha de defesa. Por exemplo, política escrita sobre senhas (comprimento,
expiração, bloqueio), etc.
Lógico/Técnico: Nestas implementações são utilizados métodos automatizados de aplicação de políticas de
controle de acesso . Este tipo de implementação de políticas restringe erros humanos durante a fase de
operação. Por exemplo, restrições reais de senha de bloqueio implementadas (duração, expiração, bloqueio),
uso de SSL, SSH etc.
Física: Este tipo de implementação inclui tudo, desde controlar o acesso a um edifício seguro até proteger o
cabeamento de rede contra interferência eletromagnética (EMI). Exemplo: Vigilantes, Dispositivos
biométricos, Crachás de identificação, Defesas perimetrais (paredes/cercas), Fechaduras físicas.
Nota 1: As políticas e implementações podem ser combinadas - ou seja, Preventivas/Administrativas (por
exemplo, política de senha escrita); Detetive/Lógico/Técnico (ex. IDS); Corretivo/Administrativo (ex. plano
de recuperação de desastres). Existem também alguns, por exemplo, CCTC, que podem ser vistos como
Preventivos/Físicos (apenas durante a gravação) e Detetive/Físicos (quando estão sendo monitorados
ativamente).

Nota 2: Não confunda o uso da política SSCP com as políticas do Windows (por exemplo, comprimento
mínimo da senha, etc.)

1.3.3 Modelos de controle de acesso

Controle de acesso discricionário (DAC): O proprietário dos dados decide o acesso. (O proprietário pode

6
 alterar as permissões ).
Controle de Acesso Obrigatório (MAC): O sistema decide o acesso dependendo da classificação (etiqueta de
sensibilidade). Mais forte que o DAC. (Apenas o administrador central pode alterar as permissões, mas o
proprietário dos dados ainda decide sobre a classificação dos dados ).
Controle de acesso baseado em função (RBAC), também conhecido como Não Discricionário: A função
do usuário/tarefa (sujeito) determina o acesso ao objeto de dados. Usa um conjunto de controles administrado
centralmente para determinar como sujeitos e objetos interagem.
Modelos Formais:

1. Biba
Primeiro modelo formal para abordar integridade . O modelo Biba baseia seu controle de acesso em níveis de
integridade. Consiste em três regras principais.
1. Um sujeito em um determinado nível de integridade X só pode ler objetos no mesmo nível de integridade
ou em níveis de integridade superiores - o simples axioma da integridade .
2. Um sujeito no nível de integridade X só pode escrever objetos no mesmo nível de integridade ou em níveis
de integridade inferiores - o axioma de integridade *(estrela) .
3. Um assunto no nível de integridade X só pode invocar um assunto no mesmo nível de integridade ou em
níveis de integridade inferiores .

2. Clark/Wilson
Este modelo é semelhante ao Biba, pois trata da integridade . Proteger a integridade das informações,
concentrando-se em evitar que usuários autorizados façam modificações não autorizadas de dados, fraudes e erros
em aplicativos comerciais.

Utiliza segregação de funções ou separação de funções . O princípio da segregação de funções estabelece que
nenhuma pessoa deve executar uma tarefa do início ao fim, mas que a tarefa deve ser dividida entre duas ou mais
pessoas para evitar fraudes por parte de uma pessoa agindo sozinha. Isto garante a integridade do objeto de
controle de acesso, protegendo o processo usado para criar ou modificar o objeto.

3. Bell/LaPadula
Este modelo formal especifica que todos os objetos de controle de acesso possuem um nível de segurança mínimo
atribuído a eles, de modo que os sujeitos de controle de acesso com um nível de segurança inferior ao nível de
segurança dos objetos não consigam acessar o objeto. O modelo formal Bell-LaPadula aborda apenas a
confidencialidade. É nisso que o modelo MAC se baseia. Bell-LaPadula também formou a base do "Livro Laranja"
original.
Nota: Bell-LaPadula não aborda integridade ou disponibilidade. Lembre-se: não leia / não escreva.

LIVRO LARANJA: Livro “Trusted Computer System Evaluation Criteria (TCSEC)” do Departamento de Defesa
ou livro “Orange”. O Orange Book exige que o sistema seja configurado como autônomo .

Divisão Nível Definição

A: PROTEÇÃO VERIFICADA A1 Proteção/Design Verificado
B: PROTEÇÃO OBRIGATÓRIA B1 Proteção de segurança rotulada
B2 Proteção Estruturada
B3 Domínios de Segurança
C: PROTEÇÃO DISCRECIONÁRIA C1 Segurança Discricionária
C2 Proteção de acesso controlado
D: PROTEÇÃO MÍNIMA Nenhum Segurança de proteção mínima – avaliada e com falha

LIVRO VERMELHO: Está em 2 partes “Interpretação de Rede Confiável do TCSEC” e “Diretriz para
Ambientes de Interpretação de Rede Confiável: Orientação para Aplicar a Interpretação de Rede Confiável”. As
diretrizes deste livro são tão rígidas quanto as do próprio livro Orange, mas ele foi projetado para funcionar com
ambientes de rede .

Nota: O livro Orange NÃO aborda integridade.

1.3.4 Metodologias de Controle de Acesso

Controle de acesso centralizado: Todas as consultas de controle de acesso são direcionadas para um ponto central
de autenticação. Este tipo de sistema permite um único ponto de administração para todo o sistema de controle de
acesso.
Diminui o esforço administrativo, mas também aumenta os custos. Implementação mais difícil. Exemplo:

7
 Kerberos, Remote Authentication Dial-In User Service (RADIUS) e Terminal Access Controller Access Control
System (TACACS), TACACS+ (permite criptografia de dados).

Controle de acesso descentralizado:

O sistema de controle de acesso não está centralizado em um único sistema de computador ou grupo de sistemas.
Oferece a vantagem de fornecer funcionalidade de sistema de controle de acesso em casos onde a conectividade a
um sistema de controle de acesso centralizado é difícil. É difícil manter um sistema de controle de acesso
descentralizado em comparação com um sistema de controle de acesso centralizado. Alguns exemplos disso são
um grupo de trabalho do Windows onde cada membro do grupo de trabalho cuida do controle de acesso ou um
sistema de banco de dados que cuida de sua própria autenticação.

1.4 Autenticação Remota

Para fornecer autenticação confiável para usuários remotos em pequenas organizações, é possível usar o método de
autenticação padrão do software usado para acesso remoto. Para grandes organizações, os seguintes métodos de
autenticação são usados: Serviço de usuário dial-in de autenticação remota (RADIUS) e Sistema de controle de acesso
do controlador de acesso ao terminal (TACACS/TACACS+).

1.4.1 RAIO
Usando o RADIUS, um servidor de acesso remoto aceita as credenciais de autenticação do sujeito do controle de
acesso e as repassa ao servidor RADIUS para autenticação. O servidor RADIUS então responde ao servidor de
acesso remoto com autorização ou negação. Uma grande vantagem do RADIUS é que a comunicação entre o
servidor RADIUS e o servidor de acesso remoto é criptografada , o que ajuda a aumentar a segurança geral do
controle de acesso.
1.4.2 TACACS
Mais antigo, não usa criptografia e é usado com menos frequência. Ele permite uma abordagem de controle de
acesso centralizado que mantém todas as alterações de controle de acesso isoladas em um único local. Quando o
servidor TACACS recebe os dados de identificação, ele retorna informações de autorização ou nega acesso ao
usuário. Essas informações são repassadas ao servidor de acesso remoto em texto não criptografado e o servidor
de acesso remoto responde adequadamente. 1.4.3 TACACS+
Assim como no TACACS, nesta autenticação as informações passam pela rede em formato criptografado .

1.5 Logon único (SSO)

Com o SSO, o usuário se autentica uma vez, e o fato de ter sido autenticado é repassado para cada sistema que ele tenta
acessar. Alguns produtos SSO são:
- Kerberos
( veja abaixo ) -netsp - x.509 (pense em nsd)
- GERGELIM
- Criptocavaleiro - Snareworks
Vantagem do SSO Desvantagens do SSO
- Contratar/demitir e ativar/desativar o acesso aos - Custo.
sistemas de forma rápida e eficiente. - Difícil de implementar.
- Esforço administrativo reduzido de senhas - Se a senha SSO do usuário for comprometida, o
esquecidas. invasor terá acesso a todos os sistemas do usuário.
- Melhor experiência do usuário final.
1.4.1 Kerberos (veja as páginas 47-50 do livro SSCP para mais informações)
Kerberos é um protocolo de autenticação de rede projetado para fornecer autenticação forte para aplicativos
cliente/servidor por meio do uso de autenticação de chave simétrica e tickets (tokens de autenticação). Os
sistemas Kerberos usam chaves privadas, e um servidor Kerberos deve ter cópias de todas as chaves, o que
requer muita segurança física . Ele permite autenticação entre plataformas .
Kerberos possui um Centro de Distribuição de Chaves (KDC) que contém todas as chaves e fornece serviços de
autenticação central. Ele usa carimbo de data/hora em tickets para ajudar a garantir que eles não sejam
comprometidos (ou seja, não repúdio) e uma estrutura geral de controle chamada domínio . Devido ao carimbo
de data/hora, é importante que os relógios dos sistemas estejam sincronizados. Suscetível a ataques de repetição
se o ticket for comprometido dentro de um prazo estipulado.
O Authentication Service (AS) é a parte do KDC que autentica os clientes. O Ticket Granting Service (TGS)
confecciona os tickets e os emite aos clientes.
Processo de logon do usuário:
1. O usuário se identifica e apresenta suas credenciais ao KDC (senha, cartão inteligente etc.)
2. O AS autentica as credenciais.
3. O TGS emite um Ticket Granting Ticket (TGT) associado ao token do cliente.

8
 O TGT expira quando o usuário encerra a sessão (desconecta/faz logoff) e é armazenado em cache
localmente durante a sessão.
Processo de acesso a recursos:
Como acima então
4. O TGT é apresentado ao KDC juntamente com detalhes do recurso remoto ao qual o cliente requer acesso.
5. O KDC retorna um ticket de sessão ao cliente.
6. O ticket da sessão é apresentado ao recurso remoto e o acesso é concedido.
Nota: Kerberos NÃO aborda disponibilidade.

9
2.0 ADMINISTRAÇÃO
2.1 Princípios de Administração de Segurança
Autorização Um processo através do qual um sujeito de controle de acesso é autenticado e identificado , o
sujeito é autorizado a ter um nível ou tipo específico de acesso ao objeto de controle de
Identificação e acesso.
A identificação funciona com autenticação e é definida como um processo através do qual a
Autenticação identidade de um objeto é apurada. A identificação ocorre usando alguma forma de
autenticação.
Responsabilidade A responsabilização dentro de um sistema significa que qualquer pessoa que use o sistema é
rastreada e responsabilizada por suas ações. Exemplo: trilha ou log de auditoria de
autenticação, trilha ou log de auditoria de elevação de privilégios.
Não repúdio O não repúdio é um atributo das comunicações que visa prevenir futuras falsas negações de
envolvimento por qualquer uma das partes. O não repúdio é, portanto, um elemento essencial
da confiança no comércio electrónico.
Menos privilégios O princípio do menor privilégio afirma que um usuário deve ter acesso suficiente ao sistema
para permitir que ele execute as tarefas exigidas pelo seu trabalho. Níveis elevados de acesso
não devem ser concedidos até que sejam necessários para desempenhar funções de trabalho.
Os proprietários das informações em um sistema são responsáveis pelas informações e são a
autoridade apropriada para autorizar atualizações de nível de acesso para os usuários do
Classificação de O objetivo principal da classificação de dados é indicar o nível de confidencialidade,
dados integridade e disponibilidade exigido para cada tipo de informação. Ajuda a garantir que os
dados sejam protegidos da maneira mais econômica. O proprietário dos dados sempre decide
o nível de classificação.

2.2 Tríade da CIA

Confidencialidade
Confidencialidade significa que as informações no sistema/rede estão protegidas contra divulgação a indivíduos não
autorizados.
Integridade
A integridade das informações dentro de uma organização significa que as informações são inteiras e completas e não
foram alteradas de forma alguma, exceto por aqueles autorizados a manipulá-las. A integridade de um computador ou
sistema de informação pode impactar a integridade das informações críticas nele contidas. Perder a integridade de um
sistema ou das informações contidas nesse sistema significa que as informações não serão mais confiáveis.
Disponibilidade
Disponibilidade é ter a informação disponível quando necessária. Quando a disponibilidade é considerada em relação às
informações críticas dentro de uma organização, é fácil ver por que ela se torna tão crucial que está sempre disponível
quando é necessária.

2.3 Classificação de dados

Para decidir qual nível de proteção e quanto, é recomendável realizar uma análise que determinará o valor da
informação e dos recursos do sistema. O valor pode ser determinado analisando o impacto devido à perda de dados,
divulgação não autorizada de informações, custo de substituição ou quantidade de constrangimento/perda de reputação.
Cada nível é definido para ter consequências mais graves se não for protegido. Lembre-se de que o proprietário dos
dados sempre decide o nível de classificação. Níveis de classificação comuns (do nível mais alto para o mais baixo)

Comercial Militares
Confidencial
Privado Sensível
Público Ultra secreto Secreto
Confidencial Sensível, mas
não classificado Não
classificado
2.4 Fases do ciclo de vida do sistema e preocupações de segurança
• Aplica-se a novos desenvolvimentos e melhorias e manutenções de sistemas.
• A segurança deve ser incluída em cada fase do ciclo.
• A segurança não deve ser abordada no final do desenvolvimento devido ao custo, tempo e esforço
adicionais.

1
0
 •A separação de funções deve ser praticada em cada fase (por exemplo, o programador não tem acesso à
produção).
•
As alterações devem ser autorizadas, testadas e registradas. Quaisquer alterações não devem afetar a
segurança do sistema ou a sua capacidade de aplicar a política de segurança.
As sete fases são:
1. Iniciação do Projeto (Análise de Requisitos)
•
Estudo inicial e concepção de projeto.
Envolvimento da InfoSec:
^ Realize avaliação de risco para:
- Definir a sensibilidade das informações e o nível de proteção necessário
- Definir a criticidade dos riscos do sistema e da segurança
- Garantir que as questões regulatórias/legais/de privacidade sejam abordadas e a conformidade
com os padrões de segurança
2. Definição, Design e Análise de Projetos (Planos e Requisitos de Software)
• Requisitos funcionais/de design do sistema
• Certifique-se de que os requisitos possam ser atendidos por aplicativo.
Envolvimento da InfoSec:
^ Determine o nível de risco aceitável (nível de perda, porcentagem de perda, variação permitida)
^ Identifique requisitos e controles de segurança
^ Determine os pontos de exposição no processo - ou seja, ameaças e vulnerabilidades
^ Definir controles para mitigar a exposição
^ Due diligence, responsabilidades legais e cuidado razoável
3. Especificação de projeto de sistema
• Planejamento detalhado de componentes funcionais
• Design de planos de teste e controles do programa
Envolvimento da InfoSec:
^ Incorporar mecanismos de segurança e verificar os controles do programa
^ Avalie as opções de criptografia
4. Desenvolvimento de software
•
Escrever/implementar o código/software
Envolvimento da InfoSec:
^ Desenvolva código relacionado à segurança da informação
^ Implementar testes unitários
^ Desenvolver documentação
5. Implementação, avaliação e teste
• Instalar software de sistema e testar software em relação aos requisitos
• Documentando o design interno do software
Envolvimento da InfoSec:
^ Realize testes de aceitação
^ Teste o software de segurança
^ Certificação e credenciamento (quando aplicável)
6. Manutenção
•
Mudanças no produto e correções de bugs
Envolvimento da InfoSec:
^ Teste de penetração e avaliação de vulnerabilidade
^ Recertificação
7. Revisão ou descarte
• Grande modificação no produto
• Avaliação de novos requisitos e tomada de decisão para substituir em vez de recodificar
Envolvimento da InfoSec:
^ Avaliação das principais falhas de segurança
^ Testes de segurança de grandes modificações
2.5 Due Diligence/Devido cuidado
Os conceitos de due diligence e due care exigem que uma organização se envolva em boas práticas comerciais relativas
ao setor da organização.

Due Diligence é o esforço contínuo para garantir que as políticas, procedimentos e padrões corretos estejam em vigor e

1
1
sejam seguidos. A devida diligência pode ser exigida por vários requisitos legais do setor da organização ou pela
conformidade com padrões regulatórios governamentais.

Um exemplo de devido cuidado é treinar os funcionários em conscientização de segurança – em vez de simplesmente

criar uma política sem plano de implementação ou acompanhamento. Outro exemplo é exigir que os funcionários
assinem declarações de que leram e compreenderam as políticas de uso aceitável apropriadas.

Em termos gerais, a devida diligência é a responsabilidade que uma empresa tem de investigar e identificar problemas ,
e o devido cuidado é fazer algo a respeito das descobertas.

2.6 Certificação/Acreditação/Aceitação/Garantia
A certificação trata de testar e avaliar o mecanismo de segurança em um sistema.
A acreditação refere-se ao reconhecimento formal pelo gerenciamento do sistema e seu nível de segurança OU à
aprovação por uma autoridade de aprovação designada.
A aceitação designa que um sistema atendeu a todos os requisitos de segurança e desempenho definidos para o projeto.
Garantia é um termo usado para definir o nível de confiança no sistema.

Depois que um sistema é construído, o processo de certificação começa para testar o sistema quanto a todos os
requisitos funcionais e de segurança. Se o sistema atender a todos os requisitos, ele será credenciado . Os sistemas
credenciados são então aceitos no ambiente operacional. Esta aceitação ocorre porque os proprietários e utilizadores do
sistema têm agora um nível razoável de garantia de que o sistema funcionará conforme pretendido, tanto do ponto de
vista da segurança como do funcional.

2.7 Armazenamento de dados/informações

Primária : Memória principal, que é diretamente acessível pela CPU - volátil e perde seu valor em caso de falha de
energia. Secundário : Dispositivos de armazenamento em massa (disco rígido, unidade de disquete, fitas, CDs).
Mantém os dados mesmo se o computador estiver desligado.
Memória real (física) : Refere-se à memória principal ou memória de acesso aleatório (RAM).
Memória virtual : área de memória "imaginária" suportada pelo sistema operacional e implementada em conjunto com
o hardware.
RAM (memória de acesso aleatório) : pode ler e gravar dados.
ROM (memória somente leitura) : só pode ler dados, contém instruções para inicializar o computador.
PROM (memória somente leitura programável) : Chip de memória no qual o programa pode ser armazenado. Mas
não é possível apagá-lo e usá-lo para armazenar outros dados.
EPROM (memória somente leitura programável apagável) : pode ser apagada pela exposição à luz ultravioleta.
EEPROM (Eletricamente Apagável...PROM) : Pode ser apagada pela exposição a uma carga elétrica.

2.8 Arquitetura de segurança do sistema

Lida especificamente com os mecanismos dentro de um sistema que garantem que as informações não sejam
adulteradas enquanto estão sendo processadas ou usadas . Diferentes níveis de informação são rotulados e classificados
com base em sua sensibilidade.
Existem três modos comuns usados para controlar o acesso a sistemas que contêm informações confidenciais: Nota:
Todos são modelos MAC.

2.8.1 Modo alto do sistema

É necessária autorização adequada para TODAS as informações no sistema. Todos os usuários que tenham
acesso deverão possuir uma autorização de segurança que autorize seu acesso. Embora todos os
utilizadores tenham acesso, podem não ter a “necessidade de saber” toda a informação porque existem
vários níveis de classificação da informação. Os níveis de classificação da informação estão claramente
identificados para deixar claro quais são os requisitos de acesso. Todos os usuários podem acessar
ALGUNS dados, com base em sua necessidade de conhecimento.

2.8.2 Modo Compartimento

Liberação adequada necessária para O MAIS ALTO NÍVEL de informações no sistema. Todos os usuários
que tenham acesso ao sistema deverão possuir uma habilitação de segurança que autorize seu acesso.
Cada usuário está autorizado a acessar as informações somente quando um requisito de “necessidade de
conhecimento” puder ser justificado. Um rigoroso processo de documentação rastreia o acesso concedido a
cada usuário e ao indivíduo que concedeu o acesso. Todos os usuários podem acessar ALGUNS dados,
com base em sua necessidade de conhecimento e aprovação formal de acesso.

1
2
 2.8.3 Modo seguro multinível (MLS)
É necessária autorização adequada para TODAS as informações no sistema. Todos os usuários que tenham
acesso ao sistema deverão possuir uma habilitação de segurança que autorize seu acesso. Usa classificação de
dados e controle de acesso obrigatório (MAC) para proteger o sistema. Processos e dados são controlados. Os
processos de níveis de segurança mais baixos não têm permissão para acessar processos de níveis mais altos.
Todos os usuários podem acessar ALGUNS dados, com base em sua necessidade de conhecimento,
aprovação formal de acesso e nível de autorização.
Além disso, existem vários conceitos de arquitetura de segurança de sistema que podem ser aplicados:
2.8.4 Segmentação de Hardware
Dentro de um sistema, as alocações de memória são divididas em segmentos completamente separados uns
dos outros. O kernel do sistema operacional controla como a memória é alocada para cada processo e fornece
memória suficiente para o processo carregar o aplicativo e os dados do processo. Cada processo possui sua
própria memória alocada e cada segmento é protegido um do outro.
2.8.5 Base de computação confiável
É definido como a combinação total de mecanismos de proteção dentro de um sistema computacional. Inclui
hardware, software e firmware. Originado do Livro Laranja.
Perímetro de segurança: definido como recursos que estão fora do TCB . A comunicação entre
componentes confiáveis e componentes não confiáveis precisa ser controlada para garantir que informações
confidenciais não fluam de forma não intencional.
Monitor de referência: É uma máquina abstrata (sistema de controle de acesso ), que medeia todo o acesso
que os sujeitos têm aos objetos para garantir que os sujeitos tenham os direitos de acesso necessários e para
proteger os objetos contra acesso não autorizado e modificação destrutiva. Compara o nível de acesso à
classificação de dados para permitir/negar acesso .
Kernel de segurança: Composto por mecanismos (h/w, s/w, firmware) que se enquadram no TCB e
implementam e impõem o monitor de referência . Está no centro do TCB e é a abordagem mais comum para a
construção de sistemas confiáveis. Deve ser isolado do monitor de referência.
2.8.6 Mecanismos de proteção de dados
Design em camadas: O design em camadas destina-se a proteger as operações executadas dentro do kernel.
Cada camada lida com uma atividade específica: a camada externa executa tarefas normais (menos
confiáveis) e a camada interna tarefas mais complexas e protegidas (mais confiáveis). Segmentar processos
como esse significa que processos de usuários não confiáveis executados nas camadas externas não serão
capazes de corromper o sistema central.
Abstração de dados: Abstração de dados é o processo de definir o que é um objeto, quais valores ele pode
ter e as operações que são permitidas contra o objeto. A definição de um objeto é dividida em sua forma mais
essencial, deixando apenas os detalhes necessários para o funcionamento do sistema. Ocultação de dados: A
ocultação de dados é o processo de ocultar informações disponíveis para um nível de processo no modelo em
camadas de processos em outras camadas. A ocultação de dados é um mecanismo de proteção destinado a
manter os processos principais do sistema protegidos contra adulteração ou corrupção.
2.9 Controle de Mudanças/Gerenciamento de Configuração (p.135-139)
As alterações ocorrerão tanto no processo de desenvolvimento do aplicativo quanto no processo normal de atualização
da rede e do aplicativo – o solicitante não entende necessariamente o impacto dessas alterações. As mudanças são
inevitáveis em todas as fases do desenvolvimento do sistema. O controle de mudanças não se aplica tão estritamente ao
processo de desenvolvimento quanto aos sistemas de produção.
O controle de alterações ajuda a garantir que as políticas de segurança e a infraestrutura que foram construídas para
proteger a organização não sejam quebradas pelas alterações que ocorrem no sistema no dia a dia.
O gerenciamento de configuração é o processo de identificação, análise e controle do software e hardware de um
sistema. O processo começa com a solicitação de alteração de configuração enviada ao cartão de controle de
configuração (CCB). O conselho analisará o efeito da mudança e a aprovará ou rejeitará.
Ferramentas usadas para controle de alterações/gerenciamento de configuração: Checksum (por exemplo, hash
MD5), assinaturas digitais, IDS, monitores de integridade de arquivos, gerenciador de segurança empresarial,
gerenciamento de configuração de software. Todas essas ferramentas podem ser usadas para verificar a integridade dos
arquivos/software de produção e desenvolvimento e ajudar a garantir que a organização não sofra uma interrupção
devido a alterações incorretas (ou seja, alterações planejadas corretamente, mas implementadas com falhas devido, por
exemplo, a arquivos corrompidos). .). Eles também podem ajudar a criar “imagens douradas” de dados/configurações
de produção.

É importante impor o processo de controle de alterações/gerenciamento de configuração. Algumas ferramentas para

detecção de violações são: NetIQ, PentaSafe, PoliVec e Tripwire. Essas ferramentas oferecem soluções para monitorar

1
3
a configuração dos sistemas e alertar sobre alterações fora do curso.
2.10 Política, Padrão, Diretrizes, Linhas de Base
Política de É uma declaração geral escrita pela alta administração para ditar que tipo de papel a segurança
segurança desempenha dentro da organização - ela também fornece escopo e direção para toda segurança
Padrões adicional.
Especifica como os produtos de hardware/software devem ser usados. Fornecer meios para
garantir que tecnologias, aplicações, parâmetros e procedimentos específicos sejam executados de
maneira uniforme. Essas regras geralmente são obrigatórias dentro de uma empresa e precisam
Linhas de base Fornece o nível mínimo de segurança necessário em toda a organização.
Diretrizes São ações recomendadas e guias operacionais quando uma norma específica não se aplica.
Procedimentos São ações passo a passo para realizar uma determinada tarefa.

2.11 Papéis e responsabilidades

Gerente Sênior Em última análise, é responsável pela segurança da organização e pela proteção de seus
Profissional de ativos.
Funcionalmente responsável pela segurança e executa as diretrizes do gerente sênior.
Proprietário dos dados Geralmente é membro da administração e é o responsável final pela proteção e uso dos
dados . Decide sobre a classificação dos dados . Delegará a responsabilidade da
manutenção diária dos dados ao custodiante dos dados.
Custodiante de Dados É atribuída a responsabilidade pela manutenção e proteção dos dados.
Do utilizador Qualquer indivíduo que utiliza rotineiramente os dados para tarefas relacionadas ao
trabalho. Deve ter o nível necessário de acesso aos dados para desempenhar as funções.

2.12 Estrutura e Práticas

Separação de deveres
Acordos de não divulgação
Rotação de cargos
Garante que um indivíduo não consiga concluir uma tarefa arriscada sozinho.
Mais de uma pessoa precisaria trabalhar em conjunto para causar algum tipo de
destruição ou fraude e isso reduz drasticamente a sua probabilidade de exploração.
Para proteger a empresa se/quando um funcionário sair por um motivo ou outro.
Ninguém deve permanecer na mesma posição por um longo período de tempo,
pois isso pode acabar dando muito controle a esse indivíduo.

2.13 Conscientização sobre segurança

O elo mais fraco de qualquer programa de segurança em qualquer organização são os usuários. Parte de um programa
de segurança de qualidade é ensinar aos usuários o que segurança significa para a organização e como cada usuário
impacta o processo
• Faça da segurança parte do processo de contratação.
• Obtenha apoio da alta administração.
• Forneceu treinamento personalizado em segurança e políticas:
- Treinamento profissional relacionado à segurança para operadores
- Treinamento de conscientização para departamentos ou grupos de pessoal específicos com posições sensíveis
à segurança
- Treinamento técnico de segurança para pessoal de suporte de TI e administradores de sistema
- Treinamento avançado para profissionais de segurança e auditores de sistemas de informação.
- Treinamento de segurança para gerentes seniores, gerentes funcionais e gerentes de unidades de
negócios/chefes de outros grupos.
• Execute verificações pontuais de mesa limpa.
• Lidere pelo exemplo.

2.14 Planejamento de gerenciamento de segurança

Um plano de segurança tem como objetivo fornecer um roteiro para a organização em relação à segurança. Também
deve ser específico para cada organização. Por serem únicos, o processo pode ser diferente para cada organização, mas
geralmente as etapas são:
• Definir a missão e determinar prioridades (p.151)
• Determine os riscos e ameaças às áreas prioritárias (p.151)
• Crie um plano de segurança para enfrentar ameaças (p.152)
- Desenvolver políticas de segurança (p.152)
- Realizar avaliação de segurança (p. 153)
- Identificar soluções de segurança (p. 153)

1
4
 - Identifique custos, benefícios e viabilidade de soluções e finalize o plano (p.153)
- Apresentar o plano à alta administração para obter a adesão da administração (p.153)

2.15 Desenvolvimento Comum de uma Política de Segurança

As fases do processo comum de desenvolvimento de uma política de segurança são:

Avaliação inicial Escrever uma proposta para a administração que estabeleça os objetivos da política.
Desenvolvimento Elaborar e redigir a política propriamente dita, incorporando os objetivos acordados.
Aprovação O processo de apresentação da política ao órgão de aprovação.
Publicação Publicar e distribuir a política dentro da organização.
Implementação Realizar e fazer cumprir os objetivos da política.
Manutenção Revisar regularmente a política para garantir a moeda (pode ser de forma programada).

1
5
3.0 AUDITORIA E MONITORAMENTO
Auditoria é o processo para verificar se um sistema, controle, processo, mecanismo ou função específico atende a
uma lista definida de critérios . Dá aos gerentes de segurança a capacidade de determinar a conformidade com uma
política ou padrão específico. Freqüentemente usado para fornecer relatórios à alta administração sobre a eficácia dos
controles de segurança. Monitoramento é o processo de coleta de informações para identificar eventos de segurança
e reportá-los em um formato pré-descrito.

3.1 Tipos de controle

Diretiva Geralmente definido pela gerência ou administradores ou para garantir que as ações ou
atividades necessárias para manter a política ou a integridade do sistema ocorram.
Preventivo Para inibir pessoas ou processos de iniciar ações ou atividades que possam potencialmente
violar a política para a qual o controle foi concebido.
Detetive Identificar ações ou atividades de qualquer origem que violem a política para a qual o
controle foi elaborado. Os controles de detecção geralmente atuam como um gatilho para um
Corretivo Para agir em uma situação em que uma política foi violada. Muitas vezes chamadas de
contramedidas, elas agem de forma automatizada para inibir que a ação/atividade específica
que violou uma política se torne mais séria do que já é. Usado para restaurar controles .
Recuperação Para agir em uma situação em que uma política foi violada. Os controles de recuperação
tentam restaurar o sistema ou os processos relacionados à violação da política ao seu estado
original .
3.2 Auditorias de segurança
O processo de auditoria fornece um conjunto bem definido de procedimentos e protocolos para medir a conformidade
ou desvio de padrões, regulamentos, etc.
Os objectivos da auditoria devem ser associados à governação. Garante que as metas de auditoria estejam alinhadas
com as metas de negócios. A governança considera as relações e processos organizacionais que afetam diretamente
toda a empresa.
Uma vez claramente identificado o objectivo de uma auditoria, os controlos necessários para atingir o objectivo
podem ser planeados - isto é frequentemente chamado de objectivo de controlo .

3.2.1 Auditoria de Segurança Interna e Externa

Os auditores internos são funcionários da organização na qual a auditoria está sendo realizada. Examinam
a estrutura de controlo interno existente para verificar o cumprimento das políticas e ajudam a gestão a
atingir os objectivos através de uma abordagem disciplinada à governação, controlo e mitigação de riscos.
Os auditores externos são frequentemente contratados como prestadores de serviços externos para atender
a requisitos regulamentares específicos. As organizações devem sempre verificar as credenciais do terceiro
antes de iniciar a auditoria e uma não o acordo de divulgação deve ser assinado (no mínimo).
3.2.2 Processo de Auditoria
O Departamento de Defesa (DoD) fornece etapas detalhadas específicas para uma auditoria de TI :

1. Planeje a auditoria - Entenda o contexto comercial da auditoria de segurança

- Obtenha as aprovações necessárias da alta administração e dos representantes
legais
- Obtenha informações históricas sobre auditorias anteriores, se possível
- Pesquise os estatutos regulatórios aplicáveis
- Avaliar
Avalie aaspostura
condições de risco inerentes
de segurança ao meio
atual usando umaambiente
abordagem baseada em risco
2. Determine os - Avalie a eficácia dos controles de segurança existentes
controles existentes - Realizar avaliação de risco de detecção/controle
e o perfil de risco - Determine o perfil de risco total resultante
3. Realize testes de - Determinar a eficácia das políticas e procedimentos
conformidade - Determinar a eficácia da segregação de funções
4. Realize testes - Verifique se os controles de segurança se comportam conforme o esperado -
substantivos Teste os controles na prática
5. Determinar a - Se as explorações de segurança encontradas fossem executadas, qual seria o
materialidade das impacto tangível ($£) para o negócio e o impacto intangível (reputação).
fraquezas - Determine se as explorações de segurança aumentam o perfil de risco

1
6
 6. Apresentar - Preparar o relatório de auditoria e o parecer de auditoria
resultados - Criar recomendações
3.2.3 Fontes de dados de auditoria (p. 192)
As fontes de auditoria são locais onde os dados de auditoria podem ser recolhidos, para avaliação e
análise. O auditor deve sempre considerar a objetividade da fonte de informação. As fontes de auditoria
podem ser coletadas em vários locais, como:
- Organogramas - Inventários de hardware e software
- Diagramas de topologia de rede - Entrevistas informais com funcionários
- Documentação de processo de negócios e desenvolvimento - Relatórios de auditoria anteriores

3.2.4 Trilhas de auditoria

As trilhas de auditoria são um conjunto de registros ou informações relevantes que compõem o conjunto
de evidências relacionadas a uma determinada atividade. Para cada ação realizada em um sistema de
informação, deve haver uma entrada de log relevante contendo informações sobre o nome do sistema, o ID
do usuário, qual ação foi executada e o resultado da ação.

Um dos aspectos mais difíceis do estabelecimento de uma trilha de auditoria é garantir a integridade da
trilha de auditoria .
A integridade da trilha de auditoria é crucial para a reconstrução de um incidente de segurança. É
importante proteger a trilha de auditoria contra acesso não autorizado e adulteração de logs . Recomenda-
se o uso de um Central Logging Facility (CLF) para manter registros de sistema diferentes . Backups de
logs de auditoria também devem ser considerados.

As revisões dos registros de auditoria serão feitas para revisar o nível de detalhe que deve ser coberto para
que inferências gerais possam ser feitas sobre a atividade do anfitrião e granulares o suficiente para
investigar mais profundamente um evento específico.

As trilhas de auditoria fornecem um método de rastreamento ou registro que permite rastrear atividades
relacionadas à segurança. Trilhas de auditoria úteis incluem:
- Alterações de senha - Criações e exclusões de contas
- Uso de privilégio - Acesso a recursos
- Escalação de privilégios - Falhas de autenticação

Os Eventos do Sistema fornecem gatilhos que são capturados na trilha de auditoria e usados para
demonstrar um padrão de atividade. A seguir estão exemplos de eventos rastreados:
- Inicialização e desligamento - Ações do administrador/operador
- Faça login e logoff - Negações de acesso a recursos
- Objeto criar, excluir e modificar - Aprovações de acesso a recursos

A amostragem e extração de dados são feitas quando não há dados originais disponíveis . Neste caso, o
administrador teria que utilizar técnicas de recolha, como entrevistas ou questionários, para extrair os dados
de um grupo de entrevistados. A amostragem de dados permite extrair informações específicas. Isso é mais
frequentemente usado para a detecção de atividades anômalas.
Os períodos de retenção indicam por quanto tempo a mídia deve ser mantida para cumprir as restrições
regulatórias. A questão principal é "quanto tempo é suficiente"? Depende em grande parte de questões
regulatórias/de conformidade.

3.2.5 Métodos de auditoria de segurança

Os métodos de auditoria devem ser bem documentados e comprovadamente reconstruíveis, se necessário.
A frequência da revisão depende do tipo e da importância da auditoria. O relatório de auditoria de
segurança deve destacar todas as conclusões e recomendações sempre que necessário. A seguir estão dois
tipos de métodos comumente usados para auditorias de segurança .

• Teste de penetração (p.201): Classificado como auditoria de segurança proativa, testando controles de
segurança por meio de uma simulação de ações que podem ser tomadas por invasores reais.

Ao se preparar para um teste de penetração, uma lista de ataques que ocorrerão deverá ser gerada ou
mapeada. Esta lista de ataques pode ser comparada a uma lista de verificação de auditoria. Um teste de
penetração responsável requer coordenação e planejamento cuidadosos para minimizar a probabilidade
de impacto negativo para uma organização.

1
7
 Um teste de penetração é o processo autorizado, programado e sistemático de usar vulnerabilidades
conhecidas e explorá-las na tentativa de realizar uma intrusão em recursos de host, rede, físicos ou de
aplicativos.

O teste de penetração pode ser realizado em recursos internos (um sistema de segurança de acesso ao
edifício ou de host da Intranet) ou externos (a conexão da empresa à Internet). Normalmente consiste
na utilização de testes automatizados e manuais dos recursos da organização. O processo inclui.

- Identificação de host – ou seja, identificação de portas abertas e serviços em execução.

- Impressão digital do sistema operacional e dos aplicativos em execução - ou seja, identificação
da versão do sistema operacional e dos aplicativos em execução (técnicas de impressão digital
TCP/IP, captura de banner, etc.)
- Criação de uma matriz de vulnerabilidade para o host de acordo com o sistema operacional e o
aplicativo usando fontes comuns, como SecurityFocus, CERT etc., para agrupar vulnerabilidades
conhecidas.
- Análise de vulnerabilidades utilizando ferramentas automatizadas (como ISS, Nessus etc) e
técnicas manuais.
- Relatando a fraqueza e preparando o roteiro futuro.

Checklist de Auditoria (p.198): Perguntas de auditoria padrão são preparadas como modelo e usadas
para uma ampla variedade de organizações (por exemplo, SPRINT).

Se um auditor confiar demais na lista de verificação e não realizar a sua própria verificação dos
detalhes relacionados com base em observações exclusivas do ambiente, uma grande falha de
segurança poderá passar despercebida. O mesmo se aplica às ferramentas de software que automatizam
o processo de auditoria e/ou verificam vulnerabilidades de segurança (ver CAATs abaixo).

Outros tipos de métodos de auditoria de segurança são a discagem de guerra (para ver se há algum
modem aberto), o dumpster dive (para testar a eficácia do descarte seguro de informações
confidenciais), a engenharia social (para testar o comportamento de segurança dos funcionários) e a
condução de guerra. (procurando pontos de acesso sem fio inseguros)

3.2.6 Ferramenta de Auditoria Assistida por Computador (CAAT)

Um CAAT é qualquer software ou hardware usado para realizar processos de auditoria. As CAATs podem
ajudar a encontrar erros, detectar fraudes, identificar áreas onde os processos podem ser melhorados e
analisar dados para detectar desvios da norma.

A vantagem de utilizar CAATs é a automatização de tarefas manuais para análise de dados. O perigo de
usá-los é a dependência de ferramentas que substituam a observação e a intuição humanas . Os auditores
devem utilizar as TAAC para testar exaustivamente os dados de diferentes maneiras, testar a integridade
dos dados, identificar tendências, anomalias e exceções e promover abordagens criativas às auditorias,
aproveitando ao mesmo tempo estas ferramentas.

Alguns exemplos de CAATs (baseados em mainframe) são: EZTrieve, CA-PanAudit, FocAudit e SAS. Os
PCs também podem ser usados para programas de planilhas/bancos de dados para auditoria ou uma
ferramenta Generalize Audit Software (GAS) pode ser usada para executar essas funções de auditoria - por
exemplo, Integrated Development Environment Applicatin (IDEA)

3.2.7 Instalação Central de Registro (CLF)

Um CLF ajuda a garantir que os logs de auditoria e do sistema sejam enviados para um local seguro e
confiável, separado e inacessível dos dispositivos que estão sendo monitorados.

Um CLF pode coletar e integrar dados díspares de vários sistemas e ajudar a determinar um padrão de
ataque por meio da correlação de dados. Ele também pode revelar discrepâncias entre logs remotos e logs
mantidos em um servidor protegido - desta forma, pode detectar adulteração de logs.

3.3 Mecanismo de Relatório e Monitoramento

O monitoramento pode ser em tempo real, ad hoc ou passivo, dependendo da necessidade e importância. Para manter
a segurança do sistema atualizada, os administradores de segurança devem monitorar constantemente o sistema e
estar atentos aos ataques à medida que eles acontecem. A monitorização pode ser feita automática ou manualmente,
mas de qualquer forma devem ser implementadas uma boa política e prática de monitorização constante.

1
8
 Banners de advertência alertarão os usuários dos sistemas sobre sua adesão à política de uso aceitável e sua
responsabilidade legal. Isto irá adicionar requisitos legais ao processo durante o processo contra usuários mal-
intencionados. Além disso, os banners alertam todos os usuários que tudo o que fizerem nos sistemas está sujeito a
monitoramento.

Monitoramento de teclas digitadas é um processo pelo qual os administradores de sistema de computador

visualizam ou registram as teclas digitadas por um usuário de computador e a resposta do computador durante uma
sessão usuário-computador.
A análise de tráfego permite que os dados capturados pela rede sejam relatados em formato legível para ação.
A análise de tendências baseia-se em inferências feitas ao longo do tempo em dados históricos (principalmente
tráfego). Pode mostrar como uma organização aumenta ou diminui sua conformidade com a política (ou com o que
quer que esteja sendo auditado) ao longo do tempo.
O Monitoramento de Eventos fornece alertas ou notificações sempre que uma violação na política é detectada. Os
IDSs normalmente vêm à mente, mas logs de firewall, logs de servidor/aplicativos e muitas outras fontes podem ser
monitorados para acionamentos de eventos. Circuito Fechado de Televisão (CFTV) monitorará a atividade física
das pessoas
O monitoramento de hardware é realizado para detecção de falhas e o monitoramento de software para detectar
instalação ilegal de software.
Alarmes e sinais funcionam com IDS. Um alarme permite que um administrador seja informado da ocorrência de
um evento específico. Isso pode dar ao administrador a chance de evitar um ataque ou consertar algo antes que a
situação piore. Essas notificações podem incluir paginação, chamada para um número de telefone e entrega de uma
mensagem ou notificação de pessoal de monitoramento centralizado
Os Relatórios de Violação são amplamente utilizados no monitoramento de um sistema de controle de acesso. Esse
tipo de relatório mostra basicamente qualquer tentativa de acesso não autorizado. Pode ser simplesmente uma lista de
tentativas de logon com falha relatadas. Consulte também Níveis de recorte, p. 17
Honeypots são mantidos deliberadamente pelas organizações para estudar o comportamento dos invasores e também
para desviar a atenção de outros alvos potenciais.
Os detectores de uso indevido analisam a atividade do sistema, procurando eventos ou conjuntos de eventos
que correspondam a um padrão predefinido de eventos que descreva um ataque conhecido. Às vezes chamada
de "detecção baseada em assinatura". A forma mais comum de detecção de uso indevido usada em produtos
comerciais especifica cada padrão de eventos correspondente a um ataque como uma assinatura separada.

Os Sistemas de Detecção de Intrusão (IDS) fornecem um alerta quando ocorre uma anomalia que não corresponde
a uma linha de base predefinida ou se a atividade da rede corresponde a um padrão específico que pode ser
reconhecido como um ataque. Existem dois tipos principais de detecção de intrusão:

- IDS baseado em rede (NIDS) que detectará todo o tráfego da rede e reportará os resultados.
- IDS baseado em host (HIDS) que operará em um sistema específico e reportará apenas os itens que afetam esse
sistema. Os sistemas de detecção de intrusão usam duas abordagens:

Identificação baseada em Identificação de anomalias

assinaturas (também conhecida (também conhecido como baseado em anomalia estatística ou baseado em
- Detectar ataques conhecidos - Procura ataques indicados através de comportamento anormal.
- Correspondência de padrões - A suposição aqui é que todos os eventos intrusivos são considerados
- Semelhante à verificação de vírus anomalias.
- Um perfil do que é considerado atividade “normal” deve ser construído
3.4 Tipos de Ataque
Ataque de dicionário: um ataque de dicionário usa um arquivo de texto simples contendo palavras de dicionário (às
vezes em vários idiomas) e muitas outras palavras comuns. Eles são sistematicamente testados contra a senha do
usuário.

Ataque de força bruta: Neste tipo de ataque, todas as combinações concebíveis de letras, números e símbolos são
sistematicamente testadas contra a senha até que ela seja quebrada. Pode levar um tempo incrivelmente longo devido
às diferentes permutações e combinações que precisam ser experimentadas.

Negação de serviço (DoS): é uma situação em que uma circunstância, intencional ou acidentalmente, impede o
sistema de funcionar conforme pretendido ou impede que usuários legítimos utilizem esse serviço. Em certos casos, o
sistema pode estar funcionando exatamente como projetado, mas nunca foi planejado para lidar com a carga, o
escopo ou os parâmetros que lhe são impostos. O ataque de negação de serviço é caracterizado por uma tentativa
explícita dos invasores de impedir que usuários legítimos de um serviço utilizem esse serviço. Exemplos incluem:
- Tentativas de "inundar" uma rede, impedindo assim o tráfego de rede legítimo.
- Tentativas de interromper conexões entre duas máquinas, impedindo assim o acesso a um serviço.

1
9
- Tentativas de impedir que um determinado indivíduo acesse um serviço.
- Tentativas de interromper o serviço para um sistema ou pessoa específica.

Negação de serviço distribuída (DDoS): semelhante ao ataque DoS, mas o invasor usa outros sistemas para lançar o
ataque de negação de serviço. Um cavalo de Tróia poderia ser colocado no sistema “escravo” que permite ao invasor
lançar o ataque a partir deste sistema.

Spoofing: Spoofing é uma forma de ataque em que o invasor finge ser outro sistema e tenta fornecer/obter dados e
comunicações que eram destinados ao sistema original. Isso pode ser feito de várias maneiras diferentes, incluindo
falsificação de IP, sequestro de sessão e falsificação de protocolo de resolução de endereço (ARP).

Ataques Man In The Middle: Realizados inserindo efetivamente o sistema de um intruso no meio do caminho de
comunicação entre dois outros sistemas na rede. Ao fazer isso, um invasor consegue ver os dois lados da conversa
entre os sistemas e extrair dados diretamente do fluxo de comunicações. Além disso, o intruso pode inserir dados no
fluxo de comunicações, o que poderia permitir-lhes realizar ataques prolongados ou obter mais dados não autorizados
do sistema anfitrião.

Ataques de spam: O spam ou o envio de mensagens de e-mail não solicitadas é normalmente considerado mais um
aborrecimento do que um ataque, mas pode ser ambos. Isso torna o sistema mais lento, impossibilitando o
processamento de mensagens legítimas. Além disso, os servidores de correio têm uma capacidade de armazenamento
finita, que pode ser sobrecarregada com o envio de um grande número de mensagens ao servidor, levando
efetivamente a um ataque DoS no servidor de correio.

Sniffing: O processo de escuta/captura do tráfego que atravessa a rede usando um dispositivo dedicado ou um
sistema configurado com software especial e uma placa de rede configurada em modo promíscuo. Um sniffer
basicamente fica na rede e escuta todo o tráfego que passa pela rede. O software associado ao sniffer é então capaz de
filtrar o tráfego capturado, permitindo ao invasor encontrar senhas e outros dados enviados pela rede em texto não
criptografado. Os farejadores têm uma função válida na tecnologia da informação, permitindo que os analistas de
rede solucionem problemas de rede, mas também podem ser armas muito poderosas nas mãos de intrusos.

3.4 TEMPESTADE
TEMPEST é o codinome do governo dos EUA para um conjunto de padrões para limitar as emanações de radiação
elétrica ou eletromagnética de equipamentos eletrônicos, como microchips, monitores ou impressoras. Ajuda a
garantir que os dispositivos não sejam suscetíveis a ataques como o Van Eck Phreaking.

3.5 Nível de recorte

O uso de níveis de recorte refere-se à definição de limites permitidos em uma atividade relatada . Os níveis de recorte
estabelecem uma linha de base para erros normais do usuário, e apenas as violações que excedem esse limite serão
registradas para análise do motivo das violações.

Por exemplo, um nível de recorte de três pode ser definido para relatar tentativas de logon malsucedidas em uma
estação de trabalho. Assim, três ou menos tentativas de logon feitas por um indivíduo em uma estação de trabalho
não serão relatadas como violação (eliminando assim a necessidade de revisão de erros normais de entrada de logon).

2
0
 4.0 RISCO, RESPOSTA E RECUPERAÇÃO
Gerenciamento de Identificação, medição e controle do risco.
riscos
Avaliação de risco Processo de determinação da relação entre ameaças e vulnerabilidades e os controles
implementados e o impacto resultante (processo objetivo).
Análise de risco O uso de um processo de análise de risco determina o risco geral (processo subjetivo). O
impacto negativo pode ser a perda de integridade, disponibilidade ou confidencialidade. A
AR deve recomendar controlos para mitigar o risco (ou seja, contramedidas).
4.1 Gestão de Riscos (Riscos, Ameaças, Vulnerabilidades e Exposições)
A gestão de riscos é o processo cíclico de identificação, mensuração e controle de perdas associadas a eventos adversos.
Inclui análise de risco, seleção/avaliação de salvaguardas, análise de custo-benefício, implementação de
salvaguardas/contramedidas, etc. É composto por múltiplas etapas (pág. 231 SSCP):
Identificação Cada risco potencialmente prejudicial é identificado.
Avaliação As consequências de uma ameaça potencial são determinadas e a probabilidade e frequência de
ocorrência de um risco são analisadas.
Planejamento Os dados coletados são colocados em um formato significativo, que é usado para criar estratégias
para diminuir ou remover o impacto de um risco.
Monitoramento Os riscos são monitorizados e as estratégias avaliadas numa base cíclica – ou seja, mesmo que um
risco tenha sido tratado, ele não pode ser esquecido.
Ao controle São tomadas medidas para corrigir planos que não estão funcionando para melhorar o
gerenciamento de riscos
Vulnerabilidade: Fraqueza num sistema de informação que pode ser explorado por um agente de ameaça (por exemplo,
bug de software). Ameaça: Qualquer perigo potencial , que pode danificar um sistema de informação – acidental ou
intencional (por exemplo, hacker). Risco: É a probabilidade de um agente de ameaça tirar vantagem da vulnerabilidade .
Risco = Ameaça x Vulnerabilidade
Exposição: Um caso de exposição a perdas de um agente de ameaça.
Ativos: Os recursos de negócios associados ao sistema (tangíveis e intangíveis). Isso incluirá: hardware, software, pessoal,
documentação e comunicação de informações, etc. A perda parcial ou total de ativos poderá afetar a confidencialidade,
integridade ou disponibilidade das informações do sistema.
Controles: implementados para reduzir, mitigar ou transferir riscos. Estes podem ser físicos, administrativos ou técnicos
(ver pág. 4). Podem também ser dissuasoras, preventivas, corretivas ou detetivescas (ver pág. 14).
Salvaguardas: Controles que fornecem alguma proteção aos ativos.
Contramedidas: Controles implementados como resultado de uma análise de risco para reduzir a vulnerabilidade.
Mitigação de Risco: O processo de seleção e implementação de controles para reduzir o risco a níveis aceitáveis
Nota: Os riscos podem ser reduzidos , aceitos , gerenciados , mitigados , transferidos ou considerados que requerem
análise adicional.
4.2 Análise de risco
Para identificar e analisar riscos, precisamos fazer uma análise de risco. Duas metodologias gerais utilizadas para análise
de risco.
4.2.1 Análise Quantitativa de Risco : Os resultados mostram a quantidade em termos de valor (dinheiro).
Fornecerá os números reais em termos de custos de contramedidas e quantidade de danos que podem ocorrer. O
processo é matemático e conhecido como modelagem de risco , baseado em modelos de probabilidade.
AV = Valor Patrimonial ($ € )
EF (Fator de Exposição) [Máx. 100%] = Porcentagem de perda de ativos causada por ataques presumidos com
sucesso. SLE (Expectativa de Perda Única) [é o custo] = Valor do ativo x Fator de exposição
ARO (Taxa Anualizada de Ocorrência) = Frequência estimada em que uma ameaça ocorrerá dentro de um
ano = Probabilidade de um evento ocorrer x o número de vezes que ele poderá ocorrer em um único ano .
ALE (Expectativa de Perda Anualizada) = SLE x ARO
ROI (Retorno sobre o Investimento) = ALE / Custo anualizado das contramedidas ($) [Geralmente, se o ROI
for maior que 1,0, então a contramedida deve ser colocada.]
Análise Custo/Benefício = Compara o custo de um controle com os benefícios [ALE (antes) - ALE (depois) -
Custo Anual = Valor da salvaguarda] (p.267 do SSCP para exemplos)
4.2.2 Análise qualitativa de riscos: Percorra diferentes cenários de possibilidades de risco e classifique a
gravidade das ameaças e a sensibilidade dos ativos. Isto fornece resultados subjetivos de nível mais elevado do
que a análise de risco quantitativa.

Nota: Quantitativo leva mais tempo e é mais complexo.

2
1
4.3 Ferramentas e técnicas de análise/avaliação de riscos
DELPHI As técnicas Delphi envolvem um grupo de especialistas que classificam e classificam de forma
independente o risco de negócios para um processo de negócios ou organização e combinam os
resultados em um consenso. Cada especialista do grupo Delphi mede e prioriza o risco para cada
COBRA 'Análise de Risco Consultiva, Objetiva e Bifuncional'. É um sistema de questionário para PC que
utiliza princípios de sistema 'especializados' e ampla base de conhecimento. Avalia a importância
relativa de todas as ameaças e vulnerabilidades.
OITAVA A Avaliação Operacionalmente Crítica de Ameaças, Ativos e Vulnerabilidades (OCTAVE) é uma
técnica de planejamento e avaliação estratégica baseada em risco para segurança.
Metodologia de Passo 1.Caracterização do Sistema Etapa 5. Determinação da probabilidade
avaliação de Etapa 2.Identificação de ameaças Etapa 6.Análise de Impacto
risco NIST Passo 3. Identificação de Vulnerabilidade Passo 7. Determinação de Risco
(SP800-30) Etapa 4.Análise de Controle Etapa 8.Recomendações de controle
Etapa 9. Documentação de resultados
4.4 Recuperação de desastre
O planejamento de recuperação de desastres/negócios é um componente crítico do processo de planejamento de
continuidade de negócios.
4.4.1 Planejamento de continuidade de negócios (BCP) (p.268 SSCP)
BCP é o processo de desenvolvimento, documentação e integração proativa de processos e procedimentos que
permitirão que uma organização responda a um desastre de forma que as funções críticas de negócios
continuem com alterações mínimas ou insignificantes até o momento em que suas instalações normais sejam
restauradas. O BCP abrange o processo completo de restauração de todas as operações comerciais .
Como o BCP se concentra em restaurar as funções comerciais normais de todo o negócio, é importante que as
funções comerciais críticas sejam identificadas. É responsabilidade de cada departamento definir os requisitos
essenciais para a continuidade de suas operações . Portanto, é importante avaliar e documentar os requisitos de
cada departamento dentro do plano de continuidade de negócios. Isso normalmente é realizado por meio de uma
análise de impacto nos negócios (BIA).
Nota: Uma BIA geralmente é realizada imediatamente antes da realização do BCP.
4.4.2 Planejamento de recuperação de desastres (DRP) (p.271 SSCP)
Os planos de recuperação de desastres devem documentar as precauções tomadas para que os efeitos de um
desastre sejam minimizados e as ações que devem ser tomadas para permitir que a organização mantenha ou
retome rapidamente os sistemas críticos para os negócios . 1) Resposta a emergências 2) Backup 3)
Recuperação
O BCP aborda a restauração de funções empresariais essenciais , enquanto um DRP se concentra na restauração
dos sistemas de informação .
4.4.3 Backups (p.277 SSCP)
Backup completo Faz backup de todos os dados em uma única tarefa de backup. Altera o bit de arquivo.
Incremental Faz backup de todos os dados desde o último backup (ou seja, novos e modificados).
Diferencial Faz backup de todos os dados alterados desde o último backup completo . Não altera o bit
de arquivo.
Copiar backup Faz um backup completo, mas não altera o bit de arquivo
A programação típica de rotação de fita é Grandfather (backup completo mensal) - Father (semanalmente) - Son
(diariamente) Também é importante que um backup seja tão bom quanto sua capacidade de ser restaurado -
restaurações de teste de dados devem ser executadas regularmente.
4.4.4 Análise de Impacto nos Negócios (BIA)
É um processo usado para ajudar as unidades de negócios a compreender o impacto de um evento disruptivo. O
impacto pode ser financeiro (quantitativo – perda de valor das ações) ou operacional (qualitativo – incapacidade
de responder ao cliente). Uma BIA identifica os sistemas críticos da empresa necessários para a sobrevivência e
estima o tempo de interrupção que pode ser tolerado. O primeiro passo de uma BIA é identificar todas as
unidades de negócios dentro da organização (em seguida, você entrevista cada uma para determinar sua
criticidade).
4.4.5 Testando Planos de Recuperação de Desastres: Existem vários métodos para testar o DRP:
• Teste da lista de verificação: Cópias do plano são distribuídas à gestão/participante para revisão.
• Teste passo a passo estruturado: o gerenciamento da unidade de negócios se reúne em uma sala para
revisar o plano.
• Teste de Simulação: Todo o pessoal de suporte se reúne em uma sessão prática de execução.
• Teste Paralelo: Conclua o teste ao vivo sem derrubar o sistema operacional (por exemplo, na

2
2
 preparação)
• Teste de interrupção total: Desligamento normal da produção, com processos reais de recuperação de
desastres.
4.4.6 Restauração e Recuperação
Site quente A instalação mais preparada (e mais cara) que possui o hardware, software, linhas telefônicas,
conexões de rede, etc. necessários para permitir que uma empresa retome as funções
comerciais quase imediatamente.
Site quente Não tão bem equipado quanto um hotsite, mas possui parte do hardware, software, rede, etc.
necessários para restaurar rapidamente as funções de negócios. Mais comumente usado.
Local Frio Mais barato, pronto para o equipamento ser trazido em caso de emergência, mas nenhum
hardware reside no local, embora tenha CA, fiação elétrica, etc. Pode não funcionar quando
Site Trata-se de um acordo com outra empresa, para que uma acomode a outra em caso de
recíproco emergência - o que não é ideal para grandes empresas. É a opção mais barata. A principal
preocupação é a compatibilidade do equipamento .
Ao decidir sobre locais apropriados para locais alternativos, é importante que estes estejam em localizações
geográficas diferentes que não possam ser vítimas do mesmo desastre. Isto deve ser equilibrado com a
necessidade de o local alternativo não estar tão distante a ponto de aumentar significativamente o tempo de
inatividade.
Ao mover funções de negócios para um local alternativo, as mais críticas devem ser movidas primeiro. Ao
mover as funções de negócios de volta para o site principal, as menos críticas devem ser movidas primeiro.
4.5 Resposta ao Incidente (p. 282 SSCP)
Incidente: Violação de uma política de segurança explícita ou implícita. Por exemplo, tentativas de obter acesso não
autorizado ao sistema/dados, uso não autorizado do sistema para processamento/armazenamento de dados, alterações no
hardware/software do sistema sem autorização.
Resposta a incidentes: Atividades executadas quando ocorre um incidente relacionado à segurança com potencial de
efeito adverso para o sistema ou organização. O objetivo da resposta a incidentes e posterior investigação é o seguinte: -
Controlar e gerenciar o incidente (ou seja, garantir que todos os registros/evidências aplicáveis sejam
preservados).
- Investigação atempada e avaliação da gravidade do incidente (ou seja, elaborar uma lista de suspeitos,
entender como o intruso obteve acesso, documentar os danos causados, etc.).
- Recuperação oportuna ou desvio do incidente para retomar as condições normais de operação (ou seja, restaurar
o sistema violado ao estado original, garantindo ao mesmo tempo que está seguro).
- Notificação oportuna do incidente aos administradores/gerência seniores (ou seja, comunicar os resultados da
investigação, especialmente se houver impactos legais)
- Prevenção de incidentes semelhantes (ou seja, aplicar medidas de segurança para garantir que a violação não
possa ocorrer novamente).
De modo geral, as seguintes etapas devem ser realizadas ao investigar um incidente:
- Entre em contato com a gerência sênior e a equipe de resposta a incidentes.
- NÃO desligue ou reinicie o sistema nem abra nenhum arquivo (ou seja, não altere de forma alguma o estado do
sistema).
- Desconecte o sistema da rede.
- Documente todos os processos em execução e quaisquer arquivos abertos/mensagens de erro, etc.
- Salve o conteúdo dos arquivos de memória/página e quaisquer logs de sistema ou aplicativo.
- Se possível, faça uma imagem byte por byte do disco físico (de preferência em mídia de gravação única - por
exemplo, CD).
Dado que quaisquer provas recolhidas podem ser utilizadas em possíveis processos penais, deve ser mantida
documentação completa . Em particular, deve ser estabelecida uma cadeia de custódia para qualquer prova obtida.
Uma cadeia de custódia prova onde estava uma prova em um determinado momento e quem foi o responsável por ela. Isso
ajuda a garantir a integridade das evidências.
Melhor evidência : Evidência original ou primária em vez de cópia ou duplicata.
Secundário : Uma cópia da prova ou descrição oral do seu conteúdo.
Direto : Comprova/refuta ato específico por meio de depoimento oral baseado em informações coletadas por
meio de
os cinco sentidos da testemunha.
Verdadeiro : Objetos tangíveis/evidências físicas.
Conclusivo : Incontestável – substitui todas as outras evidências.
Opiniões : Dois tipos diferentes: Especialista - pode oferecer uma opinião baseada em conhecimentos ou fatos
pessoais.

2
3
 Não especialista - pode testemunhar apenas sobre os fatos.
Circunstancial : Inferência de informações de outros fatos intermediários e relevantes.
Documentário : registros comerciais impressos, manuais, impressões.
Demonstrativo : Usado para auxiliar um júri (gráficos, ilustrações etc).
Corroborativo : Evidência de apoio usada para ajudar a provar uma ideia ou ponto. Não pode ser sustentado por si só,
mas é usado como uma ferramenta suplementar para ajudar a provar uma prova primária.
Boato : Também conhecida como evidência de segunda mão. Evidências que não são baseadas em dados
pessoais, em primeira mão
conhecimento da testemunha, mas foi obtido de outra fonte. Geralmente não é admissível em tribunal
(regra do boato), embora haja exceções. As provas baseadas em computador são consideradas boatos,
mas são admissíveis se forem relevantes .

5.0 CRIPTOGRAFIA
Criptografia: Ciência da escrita secreta que permite armazenar e transmitir dados em um formato disponível apenas para
os indivíduos pretendidos.
Criptosistema: Implementação de criptografia em hardware ou software que transforma uma mensagem em texto cifrado
e de volta em texto simples.
Criptoanálise/Criptoanálise: Recuperar texto simples de texto cifrado sem chave ou quebrar a criptografia.
Criptologia: O estudo da criptografia e da criptoanálise.
Texto cifrado: Dados em formato criptografado ou ilegível.
Cifrar: Convertendo dados em um formato ilegível.
Decifrar: Converter dados em um formato legível.
Criptovariável (chave): Sequência secreta de bits (chave) usada para criptografia e descriptografia.
Esteganografia: A arte de esconder a existência de uma mensagem em um meio diferente (por exemplo, em jpg, mp3
etc.)
Garantia de chave: As chaves da unidade são divididas em duas seções e entregues a duas agências de garantia diferentes
para manutenção.

Os sistemas criptográficos
Como o texto simples é Cifras de fluxo (p.348 SSCP) : As cifras de fluxo são algoritmos simétricos que operam
processado em texto simples bit a bit . Os algoritmos de cifra de fluxo criam um fluxo de chaves que é
combinado com o texto simples para criar o texto cifrado. Tal como acontece com outras
cifras, o processamento de texto simples utiliza uma operação XOR. Por exemplo, a cifra
de fluxo é RC4.

Cifras de bloco (p.346 SSCP) : criptografa dados em pedaços discretos de tamanho fixo .
As cifras de bloco são simétricas – elas usam a mesma chave secreta para criptografar e
descriptografar. Normalmente, o tamanho do bloco será de 64 bits, mas as cifras podem
Algoritmos utilizados ou suportar blocos
Algoritmos de qualquer tamanho,
de criptografia simétricadependendo da implementação.
: Também conhecidos As cifras
como chave de bloco
privada, porque
número de chaves apenas uma chave é usada e deve ser mantida em segredo por segurança. Ambas as partes
utilizadas. usarão a mesma chave para criptografia e descriptografia. Muito mais rápido que sistemas
assimétricos, difícil de quebrar se usar um tamanho de chave grande. A distribuição de
chaves requer um mecanismo seguro para entrega de chaves. Segurança limitada, pois
fornece apenas confidencialidade. O "método fora de banda" significa que a chave é
transmitida através de outro canal que não o da mensagem.

Algoritmos de criptografia assimétrica : também conhecidos como chave pública. Duas

chaves assimétricas diferentes estão matematicamente relacionadas - chave pública e
chave privada. Melhor distribuição de chaves do que sistemas simétricos. Melhor
escalabilidade
Clustering de chaves = Quando do que sistemas
uma mensagem simétricos.
de texto Podemensagens
simples gera fornecer confidencialidade,
de texto cifradoautenticação e
idênticas usando
o mesmo algoritmo de transformação, mas com chaves diferentes .
Formato seguro da mensagem : Mensagem inteira criptografada pela chave pública do destinatário - somente o
destinatário pode descriptografar a mensagem usando sua própria chave privada, garantindo assim a
confidencialidade. [Este é o método normal] Formato de mensagem aberta : mensagem inteira criptografada pela
chave privada do remetente - qualquer pessoa pode descriptografar a mensagem usando a chave pública do remetente, mas
pode ter certeza de que a mensagem foi originada do remetente.
Formato seguro e assinado : assinado pela chave privada do remetente e toda a mensagem criptografada com a chave
pública do destinatário. Somente o receptor pode descriptografar a mensagem usando sua própria chave privada,
garantindo assim a confidencialidade. Ao assinar a mensagem com a chave privada do remetente, o destinatário
pode verificar a sua autenticidade usando a chave pública do remetente. [Mais seguro]

2
4
5.1 Algoritmos de criptografia simétrica (p.333 SSCP)
Padrão de criptografia de dados (DES) [às vezes chamado de algoritmo de criptografia de dados - DEA]: baseado no
algoritmo Lúcifer de 128 bits da IBM . Um algoritmo de criptografia de bloco, entrada de 64 bits -> saída de 64 bits. 56
bits constituem a chave verdadeira (efetiva) e 8 bits usados para paridade . Um bloco de 64 bits é dividido ao meio e cada
caractere é criptografado um de cada vez. Os caracteres são submetidos a 16 rodadas de transposição e substituição.
3DES: Usa 48 rodadas em seu cálculo. Forte impacto no desempenho e pode levar até três vezes mais tempo que o DES
para executar criptografia e descriptografia. Tamanho de chave de 168 bits (ou seja, 3x56)
Advanced Encryption Standard (AES): Padrão de substituição do NIST para DES baseado em Rijndael. AES é uma
cifra de bloco com bloco e comprimento de chave variáveis. Emprega uma transformação redonda composta por três
camadas de transformações distintas e invertíveis : A camada não linear; A camada de mistura linear; A camada de adição
principal. AES possui 3 opções de comprimento de chave: 128, 192 e 256 bits .
Algoritmo Internacional de Criptografia de Dados (IDEA): é usada uma chave de 128 bits . A cifra de bloco opera em
blocos de dados de 64 bits. O bloco de dados de 64 bytes é dividido em 16 blocos menores e cada um possui oito rodadas
de funções matemáticas executadas nele. Usado em PGP .
Skipjack: Utilizado para dispositivos de criptografia eletrônica (hardware) . Isso o torna único, pois os outros algoritmos
podem ser implementados em hardware ou software. SkipJack opera de maneira semelhante ao DES, mas usa uma chave
de 80 bits e 32 rodadas, em vez de chaves de 56 bits e 16 rodadas (DES).
Blowfish: Uma cifra de bloco que funciona em blocos de dados de 64 bits. O comprimento da chave pode ser de até 448
bits e os blocos de dados passam por 16 rodadas de funções criptográficas.
RC4/5: Uma cifra de bloco que possui uma variedade de parâmetros que pode usar para tamanho de bloco, tamanho de
chave e número de rodadas usadas. Tamanhos de bloco: 32/64/128 e tamanho de chave de até 2.048 bits.

5.2 Algoritmos de criptografia assimétrica (p. 331 SSCP)

Algoritmo Diffie-Hellman: Este foi o primeiro uso publicado de criptografia de chave pública (1976). Devido à lentidão
inerente à criptografia assimétrica, o algoritmo Diffie-Hellman não se destinava a ser usado como um esquema geral de
criptografia; em vez disso, seu objetivo era transmitir uma chave privada para o Data Encryption Standard (DES) (ou
algum algoritmo simétrico semelhante) através de um meio inseguro - ou seja, distribuição de chaves.
RSA: Rivest, Shamir e Adleman propuseram outro sistema de criptografia de chave pública. Fornece autenticação
(assinatura digital), criptografia e troca de chaves. É usado em muitos navegadores da web com SSL e SSH. A segurança
baseia-se na dificuldade de fatorar números grandes.
Algoritmo de Assinatura Digital (DSA), também conhecido como Padrão de Assinatura Digital (DSS - Veja
abaixo): Um algoritmo de criptografia de chave pública. O algoritmo utiliza pares de chaves públicas e privadas. Somente
a chave privada é capaz de criar uma assinatura. Isto permite a verificação da identidade do remetente, bem como a
garantia da integridade dos dados da mensagem que foi assinada. A função hash usada no processo de criação e
verificação é definida no Secure Hash Standard (SHS). A chave privada e o resumo (valor hash) são então usados como
entradas para o DSA, que gera a assinatura. Para verificação de mensagens e remetentes, o destinatário usa a função hash
para criar um resumo da mensagem e, em seguida, a chave pública do remetente é usada para verificar a assinatura. Faixa
de chaves permitida de 512 a 1.024 bits. O DSA é mais lento que o RSA para verificação de assinatura.
Criptosistema de curva elíptica (ECC): fornece assinaturas digitais, distribuição segura de chaves e criptografia. Requer
menor percentagem de recursos que outros sistemas devido ao uso de exponenciación modular de funções logarítmicas
discretas .

5.3 Sistemas Simétricos vs Assimétricos

Atributo Sistema simétrico Sistema assimétrico
Chaves Uma chave para criptografia e Duas chaves, uma para criptografia e outra para descriptografia
descriptografia
Troca de chaves Fora da banda A chave simétrica é criptografada e enviada com mensagem;
assim, a chave é distribuída por meios de entrada
Velocidade Algoritmo mais rápido Mais complexo e mais lento (muitos recursos)
Comprimento da Comprimento de chave fixo Comprimento de chave variável
chavepratico
Uso Para criptografia de arquivos grandes Para troca de chaves (chave secreta) e distribuição de chaves
Segurança Confidencialidade e integridade Confidencialidade, integridade, autenticação e não repúdio

5.4 Integridade da mensagem

Hash unidirecional: é uma função que pega uma string de comprimento variável como uma mensagem, compacta e
transforma-a em um valor de comprimento fixo conhecido como valor hash. O valor hash do hash unidirecional é chamado
de resumo da mensagem. Não pode ser executado ao contrário. Ele fornece apenas integridade de uma mensagem, não
confidencialidade ou autenticação. É usado em hash para criar uma impressão digital para uma mensagem.
Assinaturas digitais: um valor hash criptografado de uma mensagem. Primeiro calcule o hash do documento e depois
criptografe o resumo da mensagem com a chave privada do remetente. O resultado é a assinatura digital

2
5
Padrão de assinatura digital (DSS): Um padrão para assinaturas digitais, funções e uso aceitável. É um padrão, NÃO se
preocupa com criptografia.
5.4.1 Algoritmos Hash (p.337 SSCP)
MD4: Produz valores hash de 128 bits. Usado para computação de alta velocidade na implementação de
software e é otimizado para microprocessadores.
MD5: Produz valores hash de 128 bits. Mais complexo que MD4. Processa texto em blocos de 512 bits.
MD2: Produz valores hash de 128 bits. Mais lento que MD4 e MD5
SHA: Produz valores hash de 160 bits . Isso é então inserido no DSA, que calcula a assinatura de uma
mensagem. O resumo da mensagem é assinado em vez da mensagem inteira.
SHA-1: Versão atualizada do SHA.
HAVAL: É uma função hash unidirecional de comprimento variável e é a modificação mais rápida do MD5.
Processa texto em blocos de 1024 bits. HAVAL compacta uma mensagem de comprimento arbitrário em um
resumo de 128, 160, 192, 224 ou 256 bits. Além disso, HAVAL possui um parâmetro que controla o número de
passagens que um bloco de mensagem (de 1024 bits) é processado. Um bloco de mensagem pode ser
processado em 3, 4 ou 5 passagens.
Hash Salting : Refere-se ao processo de adição de dados aleatórios ao valor hash. Muitos hashes têm pontos fracos ou
poderiam ser consultados em uma tabela de pesquisa de hash (se a tabela fosse grande o suficiente e o computador rápido
o suficiente). Salgar o hash anula essa fraqueza. Os protocolos criptográficos que usam sais incluem SSL.

5.5 Link e criptografia ponta a ponta

Criptografia de link: criptografa todos os dados ao longo de um caminho de comunicação específico, como uma linha T3
ou circuito telefônico. Dados, cabeçalhos, trailers, endereços e dados de roteamento que fazem parte dos pacotes são
criptografados. Fornece proteção contra farejadores e bisbilhoteiros de pacotes . Os pacotes devem ser descriptografados a
cada salto e criptografados novamente. Está no nível físico do modelo OSI.
Criptografia ponta a ponta: apenas os dados são criptografados. Geralmente é iniciado na camada de aplicação do
computador de origem. Permanece criptografado de uma ponta à outra de sua jornada. Maior granularidade de criptografia
está disponível porque cada aplicativo ou usuário pode usar uma chave diferente. Está no nível de aplicação do modelo
OSI.

5.6 Criptografia para e-mails

Correio com privacidade aprimorada (PEM): fornece confidencialidade, autenticação e não repúdio. Componentes
específicos que podem ser usados:
- Mensagens criptografadas com DES no modo CBC - Gerenciamento de chave pública fornecido pela RSA
- Autenticação fornecida por MD2 ou MD5 - Padrão X.509 usado para estrutura e formato de certificação
Protocolo de segurança de mensagens (MSP): pode assinar e criptografar mensagens e executar funções de hash.
Pretty Good Privacy (PGP): Desenvolvido por Phil Zimmerman. Usa criptografia de chave pública RSA para
gerenciamento de chaves e cifra simétrica IDEA para criptografia em massa de dados. O PGP usa senhas para criptografar
a chave privada do usuário que está armazenada em seu disco rígido. Ele também fornece assinaturas digitais.
S/MIME - Extensões seguras de correio eletrônico multiuso: S/MIME é o padrão desenvolvido pela RSA para
criptografar e assinar digitalmente correio eletrônico que contém anexos e para fornecer intercâmbio eletrônico seguro de
dados (EDI). Fornece confidencialidade através do algoritmo de criptografia do usuário, integridade através do algoritmo
de hashing do usuário, autenticação através do uso de certificados de chave pública X.509 e não repúdio através de
mensagens assinadas criptograficamente - ou seja, usa um esquema de criptografia híbrida baseado em chave pública.

5.7 segurança da Internet

S-HTTP - Protocolo Seguro de Transporte de Hipertexto: Criptografa mensagens com chaves de sessão. Fornece
recursos de integridade e autenticação do remetente. Usado quando uma mensagem individual precisa ser criptografada .
HTTPS: Protege o canal de comunicação entre dois computadores. Usa SSL e HTTP. Usado quando todas as
informações que passam entre dois computadores precisam ser criptografadas.
SSL (Secure Sockets Layer): Protege um canal de comunicação através do uso de criptografia de chave pública. Usa
público chave (assimétrica) para troca de chaves e autenticação baseada em certificado e chave privada (simétrica)
para criptografia de tráfego .
Fornece criptografia de dados, autenticação de servidor, integridade de mensagens e autenticação de cliente. Mantém o
caminho de comunicação aberto até que uma das partes solicite o encerramento da sessão (use TCP). Está abaixo da
camada de aplicação e acima da camada de transporte do modelo OSI. Originalmente desenvolvido pela Netscape - versão
3 projetada com colaboração pública. Posteriormente tornou-se o padrão da Internet conhecido como TLS (Transport

2
6
Layer Security). Se perguntado em qual camada do OSI SSL opera, a resposta é Transport .
SET - Transação Eletrônica Segura: Sistema para garantir a segurança das transações financeiras na Internet.
Mastercard, Visa, Microsoft e outros o apoiaram inicialmente. Com o SET, o usuário recebe uma carteira eletrônica
(certificado digital) e uma transação é realizada e verificada por meio de uma combinação de certificados digitais e
assinaturas digitais de forma a garantir privacidade e confidencialidade. Usa alguns, mas não todos, aspectos de uma PKI.
SSH: Usado para fazer login e trabalhar com segurança em um computador remoto em uma rede. Usa um mecanismo de
tunelamento que fornece acesso semelhante a um terminal aos computadores. Deve ser usado em vez de telnet, ftp, rsh etc.
IPSec (Internet Protocol Security): Um método de configuração de um canal seguro para troca protegida de dados entre
dois dispositivos. Fornece segurança aos pacotes IP reais na camada de rede. Geralmente é usado para estabelecer VPN. É
uma estrutura aberta e modular que oferece muita flexibilidade. Adequado apenas para proteger protocolos da camada
superior. O IPSec usa dois protocolos: AH e ESP.
AH (Cabeçalho de Autenticação): Suporta controle de acesso, autenticação de origem de dados e integridade
sem conexão. AH fornece integridade, autenticação e não repúdio – NÃO fornece confidencialidade. ESP
(Encapsulating Security Payload) : Utiliza mecanismo criptográfico para fornecer autenticação de origem
(por cabeçalho IP), confidencialidade e integridade de mensagens.
O IPSec funciona em dois modos:
1. Modo de transporte : apenas a carga útil da mensagem é criptografada. (para ponto a ponto)
2. Modo túnel : as informações de carga útil, roteamento e cabeçalho são criptografadas. (para
gateway a gateway)

5.8 PKI (pág. 355 SSCP)

A criptografia de chave pública começou em 1976 por Diffie e Hellman e em 1977, Rivest, Shamir e Adleman projetaram
o RSA Cryptosystem (primeiro sistema de chave pública). Cada criptossistema de chave pública possui suas próprias
políticas, procedimentos e tecnologia necessários para gerenciar os sistemas. O padrão X.509 fornece uma base para a
definição de formatos de dados e procedimentos para a distribuição de chaves públicas através de certificados assinados
digitalmente por CAs.
5.8.1 X.509
X.509 é o padrão usado para definir o que compõe um certificado digital . Foi desenvolvido a partir do padrão
X.500 para Serviços de Diretório . A seção 11.2 do X.509 descreve um certificado como permitindo uma
associação entre o nome distinto (DN) de um usuário e a chave pública do usuário. Um certificado X.509
comum incluiria: DN, número de série, emissor, válido de, válido para, chave pública, assunto etc.
A seguir estão os componentes de uma PKI:
Certificado digital : um arquivo eletrônico emitido por uma autoridade de certificação (CA) terceirizada confiável. Ele
contém as credenciais desse indivíduo juntamente com outras informações de identificação (ou seja, a chave pública de
um usuário) . Existem dois tipos de certificados digitais: certificados de servidor e certificados pessoais.
Autoridade Certificadora (CA): Uma organização que mantém e emite certificados de chave pública, é equivalente ao
escritório de passaportes. Eles são responsáveis pela vida útil de um certificado – ou seja, emissão, expiração, etc. As CAs
emitem certificados que validam a identidade de um usuário ou sistema com assinatura digital. As CAs também revogam
certificados publicando-os na CRL. Certificação cruzada é o ato ou processo pelo qual duas CAs certificam, cada
uma, uma chave pública da outra , emitindo um certificado de chave pública para essa outra CA, permitindo que
usuários certificados sob diferentes hierarquias de certificação validem o certificado um do outro.
Observação: uma chave é renovada no final de sua vida útil ou próximo a ele, desde que nenhuma informação tenha sido
alterada . Se alguma informação usada para emitir a chave for alterada, ela deverá ser revogada e uma nova chave
emitida .
Lista de Revogação de Certificados (CRL): Uma lista de todos os certificados que foram revogados por qualquer
motivo. Esta lista é mantida periodicamente e disponibilizada às partes interessadas. As CRLs geralmente são baseadas em
um servidor LDAP.
Autoridade de registro (RA) : Executa as funções de registro de certificação. Um RA é interno a uma AC e fornece a
interface entre o usuário e a AC. Ele autentica a identidade dos usuários e envia a solicitação de certificado à CA.
A PKI fornece confidencialidade, controle de acesso, integridade, autenticação e não repúdio. Os aplicativos e padrões
habilitados para PKI que dependem de PKI incluem SSL, S/MIME, SET, IPSec e VPN.

2
7
5.9 Ataques criptográficos
Ataque somente de texto cifrado: captura de diversas amostras de texto cifrado criptografado usando o mesmo algoritmo
e análise para determinar a chave.
Somente texto simples conhecido: o invasor possui o texto simples e o texto cifrado , que foi criptografado. Assim, o
invasor pode analisar o texto cifrado para determinar a chave.
Ataque de texto simples escolhido: o invasor pode escolher o texto simples que será criptografado. Isso normalmente é
usado ao lidar com algoritmo de criptografia do tipo caixa preta.
Ataque man-in-the-middle: espionagem em diferentes conversas. O uso de assinaturas digitais durante a troca de chaves
de sessão pode contornar o ataque.
Ataques de dicionário: pega um arquivo de senha com valores de função unidirecional e, em seguida, pega as senhas
mais usadas e executa-as por meio da mesma função unidirecional. Esses arquivos são então comparados.
Ataque de repetição: um invasor copia um ticket e quebra a criptografia e, em seguida, tenta se passar pelo cliente e
reenviar o ticket posteriormente para obter acesso não autorizado a um recurso.

6.0 COMUNICAÇÕES DE DADOS

6.1 Modelos de comunicação de dados:
TCP/IP OSI Descrição
7 Aplicativo Fornece diversos serviços às aplicações (HTTP, FTP, Telnet, SET, HTTP-S).
Fornece não repúdio no nível do aplicativo.
Aplicação 6
Apresentação Converte as informações (ASCII, JPEG, MIDI, MPEG, GIF)
5
Sessão Lida com problemas que não são problemas de comunicação (PPP, SQL,
Gateways, NetBEUI)
Transporte 4 Transporte Fornece controle de comunicação ponta a ponta (TCP, UDP, TLS/SSL)

Internet 3
Rede (pacotes) Roteia as informações na rede (IP, IPX, ICMP, RIP, OSPF, IPSec, Roteadores)
2 Link de dados
Rede (quadro) Fornece controle de erros entre nós adjacentes (Ethernet, Token Ring, FDDI,
SLIP, PPP, RARP, L2F, L2TP, PPTP, FDDI, ISDN, 802.11, switches, bridges)
1 Físico (bits) Conecta a entidade ao meio de transmissão (UTP, coaxial, níveis de tensão,
sinalização, hubs, repetidores) e converte bits em tensão para transmissão.

A camada de sessão permite que a comunicação entre dois computadores aconteça em três modos diferentes:
1. Simplex: A comunicação ocorre em uma direção.
2. Half-duplex: A comunicação ocorre em ambas as direções, mas apenas um sistema pode enviar informações por vez.
3. Full-duplex: A comunicação ocorre em ambas as direções e ambos os sistemas podem enviar informações ao mesmo tempo.
Datalink (camada 2) responsável principalmente pela correção de erros no nível de bit
Transporte (camada 4) principal responsável pela correção de erros no nível do pacote

6.2 TCP/IP - Protocolo de Controle de Transmissão/Protocolo de Internet

IP: A principal tarefa é suportar endereçamento entre redes e encaminhamento e roteamento de pacotes. É um protocolo
sem conexão que envolve os dados transmitidos a ele pela camada de transporte. O IPv4 usa 32 bits para seu endereço e o
IPv6 usa 128 bits .
TCP: É um protocolo confiável e orientado a conexões que garante que os pacotes sejam entregues ao computador de
destino. Se um pacote for perdido durante a transmissão, o TCP terá a capacidade de reenviá-lo. Fornece confiabilidade e
garante que os pacotes sejam entregues. Existem mais sobrecargas no pacote TCP.
Processo de encapsulamento:

DADOS
DADOS do cabeçalho do aplicativo
Segmento TCP Cabeçalho TCP AplicativoDados
Datagrama IP Cabeçalho IP Cabeçalho TCP AplicativoDados
Cabeçalho Ethernet Cabeçalho IP Cabeçalho TCP .Dados de aplicativos Trailer Ethernet 4,
Quadro Ethernet -
Nota: O cabeçalho IP contém um campo de protocolo. Os valores comuns são 1=ICMP 2=IGMP 6=TCP 17=UDP
Aperto de mão TCP:
1. Host envia um pacote SYN 2. O receptor responde com um pacote SYN/ACK 3. Host envia um pacote ACK
UDP: É um protocolo orientado para melhor esforço e sem conexão . Não possui sequenciamento de pacotes, controle de
2
8
fluxo e congestionamento e o destino não reconhece todos os pacotes que recebe. Existem menos sobrecargas no pacote
UDP.
TCP e UDP usam números de porta com comprimento de 16 bits
Lembre-se, apenas o TCP é orientado à conexão (o IP NÃO é)

TCP Eu DP
Aplicativo Fluxo Mensagem
Transporte Segmento Pacote
Internet Datagrama Datagrama
Rede Quadro ' • Quadro
6.3 Tipos comuns de sistemas LAN
Ethernet (802.3)
A Ethernet usa uma topologia de barramento ou estrela e suporta taxas de transferência de dados de 10 Mbps. Baseado nas
especificações IEEE 802.3. É um dos padrões de LAN mais amplamente implementados. Versões mais recentes de
Ethernet, chamadas 100Base-T (ou Fast Ethernet), suportam taxas de transferência de dados de 100 Mbps e Gigabit
Ethernet suporta taxas de dados de 1 gigabit (1.000 megabits) por segundo. Um endereço Ethernet (também conhecido
como endereço MAC físico) usa 48 bits.
Anel de ficha (802.5)
Um tipo de rede de computadores na qual todos os computadores estão organizados logicamente em um círculo. Um
token, que é um padrão de bits especial, percorre o círculo. Para enviar uma mensagem, um computador captura o token,
anexa uma mensagem a ele e então permite que ele continue a viajar pela rede. Qualquer dispositivo que possua o token
pode colocar dados na rede. A estação então remove o token do anel e começa a transmitir. Como existe apenas um token,
apenas uma estação pode transmitir em um determinado momento, evitando assim colisões no canal . Após o término da
transmissão, a estação retorna o token ao anel. As regras do sistema nas especificações do protocolo determinam por
quanto tempo um dispositivo pode manter o token, por quanto tempo ele pode transmitir e como gerar um novo token se
não houver nenhum em circulação.
FDDI (Interface de Dados Distribuídos de Fibra)
Um conjunto de protocolos ANSI para envio de dados digitais por cabo de fibra óptica. As redes FDDI são redes de
passagem de tokens e suportam taxas de dados de até 100 Mbps. As redes FDDI são normalmente usadas como backbones
para redes de longa distância. Uma extensão do FDDI, chamada FDDI-2, suporta a transmissão de informações de voz e
vídeo, bem como de dados. Outra variação do FDDI, chamada FDDI Full Duplex Technology (FFDT), usa a mesma
infraestrutura de rede, mas pode potencialmente suportar taxas de dados de até 200 Mbps. Usa 2 anéis – um para
redundância.

6.4 Cabeamento
Cabo Coaxial: Resistente a EMI (interferência eletromagnética), oferece maior largura de banda e comprimentos de cabo
maiores em comparação ao par trançado . Pode transmitir usando métodos de banda base e banda larga. 10base2 :
ThinNet, cabo coaxial, comprimento máximo de 185 m , fornece 10 Mbps. 10base5 : Thicknet, cabo coaxial, comprimento
máximo de 500 m , fornece 10 Mbps
Par trançado: Mais barato e fácil de trabalhar do que o cabo coaxial e é um cabo comumente usado. O par trançado
blindado (STP - 2 fios) possui uma blindagem externa, que oferece proteção adicional contra interferência de
radiofrequência. O par trançado não blindado (UTP - 4 fios) possui diferentes categorias de cabeamento com
características variadas. O conector físico usado para conectar PCs e dispositivos de rede é chamado de RJ-45. 10base-T :
Usa fiação de par trançado, fornece 10 Mbps, comprimento máximo de 100 m.
Fast Ethernet : usa fiação de par trançado, fornece 100 Mbps.
Cabeamento de fibra óptica: Possui velocidades de transmissão mais altas que podem percorrer distâncias maiores e não
é afetado por atenuação e EMI quando comparado ao cabeamento que utiliza cobre. É usado para conectar duas LANs. Ele
não irradia sinais como o cabeamento UTP e é muito difícil de acessar. A complexidade de fazer conexões usando fibra é
uma de suas principais desvantagens e também é cara.

6.5 Tipos de sinalização

Banda base (digital): A banda base usa sinalização digital (dígitos binários como pulsos elétricos) para transmitir dados.
Os sinais fluem através do meio na forma de pulsos de eletricidade ou luz. Para potencializar os sinais são utilizados
repetidores. O cabo transporta apenas um canal .
Banda larga (analógica): A banda larga utiliza sinalização analógica (ondas eletromagnéticas) e uma faixa de
frequências.
O sinal flui através de um meio de cabo na forma de ondas ópticas ou eletromagnéticas. Um repetidor reconstrói o pacote

2
9
de dados e passa o meio físico até o seu destino. O cabo transporta vários canais .
[Um modem é um conversor digital para analógico (DAC). O sinal começa como banda base (digital) e depois é convertido em banda larga
(analógico) antes de viajar pelo sistema de cabeamento telefônico]

6.6 Modos de transmissão (abordagens)

Unicast: As informações são enviadas de um ponto a outro - a forma predominante de transmissão em LANs e na Internet.
Todas as LANs e redes IP suportam o modo de transferência unicast, e a maioria dos usuários está familiarizada com os
aplicativos unicast padrão (por exemplo, HTTP, SMTP, FTP e telnet) que empregam o protocolo de transporte TCP.
Multicast: As informações são enviadas de um ou mais pontos para um conjunto de outros pontos . Neste caso pode haver
um ou mais remetentes, e a informação é distribuída a um conjunto de destinatários. O formato do pacote IP multicast é
idêntico ao dos pacotes unicast e se distingue apenas pelo uso de uma classe especial de endereço de destino (endereço IP
classe D), que denota um grupo multicast específico. Como o TCP suporta apenas o modo unicast, as aplicações multicast
devem usar o protocolo de transporte UDP.
Broadcast: Um pacote vai para todos os computadores da sua sub-rede. A transmissão por difusão é suportada na maioria
das LANs e pode ser usada para enviar a mesma mensagem para todos os computadores na LAN (por exemplo, o
protocolo de resolução de endereço (ARP) usa isso para enviar uma consulta de resolução de endereço para todos os
computadores em uma LAN). Os dados são enviados para um endereço de transmissão especial. Os protocolos da camada
de rede (como IP) também suportam uma forma de transmissão que permite que o mesmo pacote seja enviado para todos
os sistemas em uma rede lógica.

6.6.1 Métodos de acesso LAN

Acesso múltiplo Carrier-Sense e detecção de colisão (CSMA/CD): Monitora a atividade de

transmissão/portadora no fio para determinar o melhor momento para transmitir dados. Os computadores
detectam a ausência de tom portador, o que indica que ninguém mais está transmitindo dados ao mesmo tempo.
Colisões ainda podem acontecer , mas são detectadas e as informações reenviadas.
Passagem de token: Um quadro de controle de 24 bits usado para controlar quais computadores se comunicam
em quais intervalos. O token concede a um computador o direito de se comunicar. Não cause colisões porque
apenas um computador pode se comunicar por vez , que possui o token.
Acesso Múltiplo Carrier-Sense com Prevenção de Colisão (CSMA/CA): Em vez de detectar colisões, ele
tenta evitá-las fazendo com que cada computador sinalize sua intenção de transmitir antes de realmente
transmitir. Embora o CSMA/CA evite colisões (garantidas), há uma sobrecarga adicional de cada estação de
trabalho transmitindo sua intenção antes de transmitir, enviando um sinal de congestionamento. Assim,
CSMA/CA é mais lento que CSMA/CD . CSMA/CA é usado em redes Apple Talk e também em redes sem fio.

6.7 Redes
Rede local (LAN)
Abrange uma área geográfica relativamente pequena. A maioria das LANs está confinada a um único ou grupo de
edifícios. Placa de interface de rede (NIC) conecta computadores. Dois tipos de LAN (1) LAN com fio e (2) LAN sem fio
de rede ampla (WAN)
LANs conectadas entre si à distância por meio de linhas telefônicas/ondas de rádio/fibra. Redes dedicadas de alta
velocidade (circuitos alugados ou rede ponto a ponto). WANs seguras podem ser criadas usando IPSec.
Rede Metropolitana (MAN)
Semelhante às WAN - MANs são linhas e equipamentos de comunicação de alta velocidade que cobrem uma área
metropolitana. Intranet: Uma rede pertencente a uma organização, geralmente uma corporação, acessível apenas pelos
membros da organização, funcionários ou outros com autorização (rede privada). As intranets são usadas para
compartilhar informações. Internet: Uma rede global que conecta milhões de computadores (interconexão global de LAN,
WAN e MAN). A Internet é descentralizada por design. Cada computador da Internet, denominado host, é independente.
Extranet: Uma intranet parcialmente acessível a pessoas externas autorizadas. Uma extranet oferece vários níveis de
acessibilidade para pessoas de fora, um meio muito popular para parceiros de negócios trocarem informações.

6.8 Topologia de rede

Topologia em Anel: Série de dispositivos conectados por links de transmissão unidirecionais que formam um anel. Cada
nó depende dos nós anteriores. Se um sistema falhasse, todos os outros sistemas poderiam falhar.
Topologia de barramento: Um único cabo percorre toda a extensão da rede. Cada nó decide aceitar, processar ou ignorar
o pacote. O cabo onde todos os nós estão conectados é um potencial ponto único de falha.
Topologia em estrela: Todos os nós se conectam a um hub ou switch central. Cada nó possui um link dedicado ao hub
central. De fácil manutenção.
Topologia Mesh: Todos os sistemas e recursos estão conectados entre si.

3
0
6.9 Padrões IEEE
O Projeto 802 do Instituto de Engenheiros Elétricos e Eletrônicos (IEEE) foi iniciado para estabelecer padrões de LAN:

802.3 – Arquitetura LAN para rodar CSMA/CD (Ethernet)

802.5 – Arquitetura LAN para rodar em rede Token Ring.
802.6 – Arquitetura LAN para MANs. (Redes Metropolitanas)
802.8 – A arquitetura LAN trata da implementação de fibra óptica de Ethernet (Fiber Optic Tag)
802.9 – LAN lida com dados e voz integrados (LANs isócronas)
802.11 x – LAN sem fio
802.11b: Máx. 11 Mbit/s
802.11g: Máx. 54 Mbit/s
802.11i: (também conhecido como WPA2) especifica mecanismos de segurança para LANs sem fio.

3
1
6.10 Dispositivos de rede
Hub ou Camada Física Transmite todos os pacotes para todas as portas . Quando recebe um pacote, ele
repetidor (Camada OSI 1) transmite (repete) o pacote para todas as suas portas (para todos os outros PCs na
rede). Isso pode resultar no envio de muito tráfego desnecessário na rede.
Ponte Camada de enlace Encaminha pacotes e filtros com base em endereços MAC ; encaminha o tráfego
de dados (camada de transmissão, mas não o tráfego de colisão. Pode ser usado para estender redes.
Comuta OSI 2) de enlace Os switches controlam o fluxo do tráfego de rede com base nas informações de
Camada
de dados (camada endereço de cada pacote. Um switch é um hub inteligente , que aprende quais
OSI 2) dispositivos (MAC add) estão conectados às suas portas e encaminha pacotes
Reduz a quantidade de tráfego desnecessário.
Roteadores Camada de Rede Um dispositivo que encaminha pacotes de dados através de redes. Um roteador
(Camada OSI 3) está conectado a pelo menos duas redes. Os roteadores usam cabeçalhos e tabelas
de encaminhamento para determinar o melhor caminho para encaminhar os
pacotes.
Gateway é um nó em uma rede que serve como entrada para outra rede.
Os proxies interceptam todas as solicitações que vão do cliente para o servidor real. Geralmente é usado por motivos de
desempenho e filtragem. Isso também ocultará o endereço IP interno (privado).

6.11 Firewalls (pág. 400 SSCP)

Dispositivos projetados para impedir acesso não autorizado. Pode ser implementado em hardware ou software. Todos os
pacotes que entram/saem da rede são examinados de acordo com um conjunto de regras predefinidas (controle de acesso).
Os tipos são:

Filtro de Tipo mais comum de firewall. Colocado Adv.: Barato, pode não precisar de hardware
pacotes, entre redes confiáveis e não testadas. Usa dedicado (pode usar roteador), fácil de configurar.
também ACLs para filtrar o tráfego. Dis: Difícil manter ACLs, degradação do
conhecido como desempenho da rede.
roteador de
Aplicativo Inspeciona todos os pacotes na camada de Adv: Mais seguro que a filtragem de pacotes - pode
Proxy (também aplicação para filtrar comandos específicos dizer qual aplicativo o pacote está tentando usar.
conhecido como da aplicação, como http: post e get, etc. Dis: Requer mais processamento de dados e pode
Bastion Host Normalmente usa 2 NICs diminuir ainda mais o desempenho da rede.
OU
camada/nível de
aplicativo)
Com estado Monitora pacotes para filtrá-los e também o
Adv: Mais rápido que o proxy de aplicativo e mais
Inspeção status das conexões. (por exemplo, fecharáseguro que a filtragem de pacotes.
(Camada 3) uma conexão semiaberta). Des: Caro.
Host selecionado Usa um firewall/roteador de filtragem de Adv: Altamente seguro
pacotes e um host bastião (proxy de Dis: Firewall/roteador com filtragem de pacotes é
aplicativo). um ponto único de ataque.
Sub-rede Ele emprega dois firewalls/roteadores de Adv: Considerado o tipo de firewall mais seguro.
filtrada filtragem de pacotes e um host bastião. Dis: O firewall/roteador de filtragem de pacotes é
Separa internet - dmz - redes externas. um ponto único de ataque, mas como existe um segundo
Suporta ambos os pacotes serviços de que protege a rede interna, ele ainda é seguro.
filtragem e proxy de aplicativo

6.12 Protocolos
Protocolo de Internet (IP): Veja anterior (p.25)
Protocolo de controle de transmissão (TCP): Consulte anterior (p.25)
Protocolo de datagrama do usuário (UDP): Consulte anterior (p.25)
Interface de usuário estendida NetBios (NetBEUI): É uma versão aprimorada do protocolo NetBIOS usado por sistemas
operacionais de rede, como LAN Manager. O NetBIOS funciona na camada 5 (sessão).

6.12 Servidores de serviço de autenticação remota

Para autenticar e autorizar usuários remotos vários métodos foram criados para tornar o sistema seguro. Algumas das
formas pelas quais podemos acessar os serviços remotos são: Dial-up, ISDN (Rede Digital de Serviços Integrados), DSL
(Linha de Assinante Digital), Modems a Cabo (Fornecem acesso de alta velocidade).
RADIUS (serviço de usuário de discagem de autenticação remota): Método mais simples de fornecer autenticação de
usuário. O servidor RADIUS contém uma lista de nomes de usuário e senhas aos quais os sistemas na rede se referem ao

3
2
autenticar um usuário. RADIUS suporta vários protocolos populares, como PPP, PAP e CHAP. RADIUS usa UDP junto
com o modelo de cliente e servidor. RADIUS criptografa apenas a senha, o restante do pacote não é criptografado. Um
terceiro pode capturar outras informações, como nome de usuário e serviços autorizados. RADIUS combina autenticação e
autorização.
TACACS (Terminal Access Controller Access Control System): Fornece autenticação remota e registro de eventos
usando UDP como protocolo de comunicação. O usuário tenta fazer login em um dispositivo TACACS, o dispositivo
refere-se ao servidor TACACS para autenticar o usuário. Isso fornece um local central para todos os nomes de usuário e
senhas serem armazenados. Não permite que um dispositivo solicite ao usuário permissão para alterar sua senha. Também
não usa tokens de senha dinâmicos. As informações NÃO são criptografadas .
TACACS+ (Terminal Server Controller Access Control Systems Plus): Fornece melhorias para a versão padrão do
TACACS. Ele permite aos usuários alterar sua senha; tokens de senha dinâmica para que os tokens possam ser
ressincronizados; também fornece melhores recursos de auditoria. TACACS+ usa TCP como protocolo de comunicação.
Criptografa todo o corpo do pacote, mas deixa um cabeçalho TACACS+ padrão.
PPP - Ponto a Ponto: É utilizado para encapsular mensagens e transmiti-las através de uma rede IP.
PAP - Password Authentication Protocol: Fornece identificação e autenticação do usuário que tenta acessar uma rede a
partir do sistema remoto. (O usuário deve inserir uma senha). O nome e a senha do usuário são enviados para um servidor,
para comparação com o banco de dados. Sniffing é possível porque a senha pode ser capturada.
CHAP - Challenge Handshake Authentication Protocol: Um protocolo de autenticação que usa mecanismo de
desafio/resposta para autenticar em vez de enviar um nome de usuário e senha. Evita o envio de senhas de qualquer forma
pela rede usando uma técnica de desafio/resposta. CHAP é melhor que PAP. A autenticação pode ser repetida inúmeras
vezes para garantir que os ataques de “repetição” não sejam possíveis.
Protocolo de Internet de linha serial (SLIP) e protocolo ponto a ponto (PPP): funciona na camada 2 (Datalink) para
conectar dois sistemas por meio de uma linha serial (linha de comunicação ponto a ponto usando um modem dial-up) , é
necessária alguma forma para transportar pacotes IP (uma atividade da camada de rede) através do link serial (uma
atividade da camada de enlace de dados). Os dois esquemas a seguir geralmente usados, SLIP e PPP . O PPP substituiu o
SLIP, pois este não faz detecção de erros, atribuição dinâmica de endereços IP e compactação de dados.
Protocolo de túnel ponto a ponto (PPTP): O PPTP foi desenvolvido pela Microsoft para fornecer serviços de discagem
virtual. PPTP é um protocolo de encapsulamento baseado em PPP e criptografa e encapsula pacotes PPP.
Protocolo de encapsulamento de camada 2 (L2TP): A extensão do protocolo ponto a ponto (PPP). O L2TP também é
chamado de "protocolo dial-up virtual" porque estende uma sessão PPP dial-up pela Internet. Os quadros PPP do cliente
são encapsulados em pacotes IP com um cabeçalho de tunelamento L2TP e enviados pela conexão com a Internet.
O L2TP foi derivado dos recursos PPTP e do protocolo Cisco chamado L2F (Layer 2 Forwarding).
- L2TP suporta autenticação TACACS+ e RADIUS. O PPTP não.
- O L2TP também suporta mais protocolos que o PPTP, incluindo IPX, SNA e outros.
- A Microsoft continua a oferecer suporte ao PPTP para seus produtos Windows, mas o L2TP é preferível ao PPTP.
- O IPSec é agora o padrão da Internet para tunelamento e VPNs seguras.
Protocolo de encaminhamento de camada 2 (L2F): usado para estabelecer um túnel seguro na Internet desenvolvido
pela Cisco. Esse túnel cria uma conexão virtual ponto a ponto entre o usuário e a rede do cliente corporativo. L2F permite
o encapsulamento de pacotes PPP/SLIP dentro de L2F. Não usado pelo IPSec. É usado por VPNs.

6.12.1 Protocolos de segurança da camada de rede

Segurança IP (IPsec): Funciona na camada 3 (camada de rede). O IPSec fornece autenticação, integridade e
criptografia. É amplamente utilizado em VPNs (Redes Virtuais Privadas). Veja pág. 23 para mais.

6.12.2 Protocolos de segurança da camada de aplicação

Secure Sockets Layer (SSL): SSL desenvolvido pela Netscape para estabelecer sessões autenticadas e
criptografadas entre servidores Web e clientes Web. Veja a página 23 para mais informações.
Segurança da camada de transporte (TLS): A versão do SSL v3.0 da IETF. Usa criptografia de chave
pública Diffie-Hellman. O TLS também usa HMAC (Hashed Message Authentication Code), um protocolo
central essencial para segurança na Internet junto com IPSec. HMAC é o mecanismo para autenticação de
mensagens que usa funções hash MD5 ou SHA-1 em combinação com uma chave secreta compartilhada.

6.13 Técnicas de segurança de comunicações

Tradução de endereços de rede (NAT): Permite usar um conjunto de endereços IP para tráfego interno e um segundo
conjunto de endereços para tráfego externo. Ele permite que hosts em uma rede interna privada se comuniquem de forma
transparente com destinos em uma rede externa ou vice-versa. A seguir estão os tipos de NAT.
Estático: mapeia um endereço IP não registrado para um endereço IP registrado individualmente .
[Normalmente usado
para tradução interna para externa.]
Dinâmico: mapeia endereços IP não registrados para um endereço IP registrado de um grupo de endereços IP
registrados. Tradução de endereço de porta: uma forma de NAT dinâmico que mapeia vários endereços IP
não registrados para um único endereço IP registrado usando portas diferentes.

3
3
Nota: A Internet Assigned Numbers Authority (IANA) reservou 3 blocos de endereços IP para uso em redes privadas
internas. Todos esses endereços não são roteáveis e não podem ser conectados à Internet:
1.1. .0.0 a 10.255.255.255 (usado para grandes organizações)
172.16. 0,0 a 172.31.255.255 (usado para intranets médias)
192.168. 0,0 a 192.168.255.255 (usado para intranets pequenas)
Rede Privada Virtual (VPN): Uma conexão privada segura através de uma rede pública. Uma rede privada virtual é a
criação de links privados através de redes públicas, como a Internet, usando técnicas de criptografia e tunelamento. Antes
do IPSec, o L2TP (Layer 2 Tunneling Protocol) era usado para encapsular pacotes IP em pacotes de "túnel" que ocultavam
a estrutura subjacente de roteamento da Internet. Geralmente são usados dois tipos de VPN.
1) Acesso Remoto: Conexão usuário-LAN através de uma rede pública ou compartilhada, para funcionários
que precisam se conectar à LAN corporativa a partir de um local remoto. Os sistemas dos usuários serão
carregados com software cliente especial que permite um link seguro entre eles e a LAN corporativa.
2) Site a site: VPN conecta sites fixos a uma LAN corporativa pela Internet ou intranet.

Intervalos de endereços IP
Tipos de endereço Começa com
Endereços de classe 0-127 (128)
A
Endereços de classe B 128-191 (64)
Endereços de classe C 192-223 (32)
Endereços de classe 224-239 (16)
D

3
4
7.0 CÓDIGO MALICIOSO
Vírus É um programa ou trecho de código que foi carregado sem permissão, pode se esconder, pode
reproduzir-se e pode ser anexado a qualquer outro programa. O vírus tentará fazer coisas
indesejáveis/indesejadas.
Minhoca Um programa que pode se replicar em uma rede de computadores e geralmente executa
ações maliciosas.
Cavalos de Tróia Um programa destrutivo, que foi inserido dentro de um programa aparentemente inofensivo. Este
programa pode executar a função pretendida em primeiro plano, bem como funções indesejáveis em
segundo plano.
Bomba lógica Uma bomba lógica é um programa, ou parte de um programa, que permanece inativo até que uma parte
específica da lógica do programa ou evento do sistema seja ativado. Se a lógica específica for
cumprida, geralmente realizará atividades que comprometem a segurança.

7.1 Vários tipos de vírus

7.1.1 Que parte os vírus infectam

Setor de inicialização: Os vírus do setor de inicialização infectam o registro de inicialização em discos rígidos e
disquetes. Se o computador infectado inicializar com êxito, o vírus do setor de inicialização permanecerá na memória e
infectará os disquetes e outras mídias quando o computador infectado os gravar.
Master Boot Record (MBR): Muito semelhante aos vírus do setor de inicialização, exceto que infectam o MBR (Master
Boot Record) em vez do setor de inicialização.
Vírus infectadores de arquivos: infectam arquivos, que contêm código executável, como arquivos .EXE e .COM, infectam
outros arquivos quando são executados.
Macro: Os vírus de macro infectam certos tipos de arquivos de dados. A maioria dos vírus de macro infectam arquivos do
Microsoft Office, como documentos do Word, planilhas do Excel, apresentações do PowerPoint e bancos de dados do
Access. Geralmente, eles usam a linguagem de macro Visual Basic, incorporada aos aplicativos do Microsoft Office.
Código-fonte: Esses vírus adicionam código ao código-fonte real do programa.

7.1.2 Como os vírus infectam

Polimórfico: Um vírus que altera sua assinatura de vírus (ou seja, seu padrão binário) toda vez que se replica e infecta
novos arquivos para evitar ser detectado por um programa antivírus.
Furtividade: Para evitar a detecção, um vírus muitas vezes assume o controle de funções do sistema que possam detectá-
lo e as utiliza para se esconder.
Multipartidos: Os vírus multipartidos compartilham as características de mais de um tipo de vírus (estes têm
personalidade duelo). Por exemplo, um vírus multipartite pode infectar o registro de inicialização e os arquivos de
programa.
Vírus de camuflagem: vírus que tentaram aparecer como um programa inofensivo para os scanners. (Tipo de vírus mais
antigo/desatualizado).

7.2 Como o código malicioso pode ser introduzido no ambiente de computação

- Ataques de rede: tentativa de obter o nome de usuário e a senha por força bruta ou ataque de dicionário. Após
exploração bem-sucedida, introdução de arquivo de vírus ou código malicioso.
- Spoofing (mascaramento): Envio de e-mail que parece ter sido originado de uma fonte quando na verdade foi
enviado de outra fonte.
- Alteração de código autorizado e introdução de código malicioso.
- Spamming ou bombardeio de e-mail: envio de e-mail para centenas ou milhares de usuários com arquivo de vírus
anexado.
- Active-X: Conjunto de tecnologias independentes de plataforma desenvolvidas pela Microsoft que permitem que
componentes de software interajam entre si em um ambiente de rede. Esta funcionalidade dos componentes Active
X pode ser explorada por código móvel malicioso.
- Código móvel: Código que pode ser transferido de um sistema para outro sistema para ser executado (ou seja,
Java, ActiveX etc.)
- Alçapões: mecanismo construído intencionalmente, muitas vezes com a finalidade de fornecer acesso direto.
Código oculto ou dispositivo de hardware usado para contornar os controles de segurança.

3
5
7.3 Mecanismos que podem ser usados para prevenir e detectar ataques de códigos
maliciosos
Geralmente, programas de software antivírus serão usados em combinação com varredura, verificação de integridade e
interceptação. Você também deve tentar garantir:

- Uso de software antivírus).

- Manter os arquivos de definição de vírus atualizados
- Varredura na rede, mainframe, servidor e estação de trabalho em busca de vulnerabilidades
- Carregando software apenas de fontes confiáveis
- Segurança física de mídia removível
- Fazendo backups frequentes
- Instalando software de detecção de alterações (verificador de integridade)
- Implementar um programa de conscientização do usuário

7.3 Ataques Comuns

Ataques DoS comuns
Ataque de buffer overflow: ocorre quando um processo recebe muito mais dados do que o esperado. Se o processo não
tiver uma rotina programada para lidar com essa quantidade excessiva de dados, ele atua de forma inesperada que o
invasor pode explorar. Existem vários tipos de ataques de buffer overflow, sendo o mais comum o “ Ping of Death ”
(ataque de Ping de pacotes grandes) ou o uso de nomes de usuário ou arquivos com mais de 256 caracteres no e-mail.

Ataque SYN: Ocorre quando um invasor explora o uso do espaço do buffer durante um handshake de inicialização de
sessão TCP. O invasor inunda a pequena fila “em processo” do sistema alvo com solicitações de conexão, mas não
responde quando um sistema alvo responde a essas solicitações. Isso faz com que o sistema de destino “exploda o tempo
limite” enquanto aguarda a resposta adequada, o que faz com que o sistema trave ou fique inutilizável.

Ataque Teardrop: Consiste em modificar os campos de comprimento e deslocamento de fragmentação em pacotes IP

sequenciais. O sistema alvo então fica confuso e trava após receber instruções contraditórias sobre como os fragmentos são
compensados nesses pacotes.

Smurf: Usa uma combinação de falsificação de IP e ICMP para saturar uma rede alvo com tráfego, lançando assim um
ataque de negação de serviço. Consiste em três elementos – o site de origem, o site de rejeição e o site de destino. O
invasor (o site de origem) envia um pacote PING falsificado para o endereço de broadcast de uma rede grande (o site de
rejeição). Este pacote modificado contém o endereço do site de destino. Isso faz com que o site devolvido transmita a
informação incorreta para todos os dispositivos em sua rede local. Todos esses dispositivos agora respondem com uma
resposta ao sistema de destino, que fica saturado com essas respostas.

Ataques comuns de sequestro de sessão

Ataques de falsificação de IP: Envolve uma alteração de um pacote no nível TCP, que é usado para atacar sistemas
conectados à Internet que fornecem vários serviços TCP/IP. O invasor envia um pacote com um endereço IP de origem de
um host conhecido e confiável para convencer um sistema de que ele está se comunicando com uma entidade conhecida
que concede acesso ao intruso. Este host alvo pode aceitar o pacote e agir de acordo com ele.

Ataques de número de sequência TCP: exploram a sessão de comunicação estabelecida entre o alvo e o host confiável
que iniciou a sessão. O intruso engana o alvo fazendo-o acreditar que está conectado a um host confiável e então sequestra
a sessão prevendo a escolha do alvo de um número de sequência TCP inicial. Esta sessão é frequentemente usada para
lançar vários ataques a outros hosts.

Outros ataques de fragmentação

Os ataques de fragmentação IP usam fragmentação variada de datagramas IP para disfarçar seus pacotes TCP dos
dispositivos de filtragem IP de um alvo. A seguir estão alguns exemplos desses tipos de ataques:

Um ataque de fragmento minúsculo ocorre quando o invasor envia um fragmento muito pequeno que força parte do
campo do cabeçalho TCP para um segundo fragmento. Se o dispositivo de filtragem do alvo não impor o tamanho mínimo
do fragmento, esse pacote ilegal poderá então ser transmitido através da rede do alvo.

Um ataque de fragmentos sobrepostos é outra variação da modificação de deslocamento zero de um datagrama (como o
ataque de lágrima). Os pacotes subsequentes substituem as informações de endereço de destino do pacote inicial e então o
segundo pacote é passado pelo dispositivo de filtragem do destino. Isso pode acontecer se o dispositivo de filtragem do
destino não impor um deslocamento mínimo de fragmento para fragmentos com deslocamentos diferentes de zero.

3
6
Referências
Consórcio Internacional de Certificação de Segurança de Sistemas de Informação ( www.isc2.org )
O site do Guia de Estudo Aberto do CISSP e SSCP ( www.cccure.org )
Centro de Coordenação CERT ( www.cert.org )
NIST CSRC ( www.csrc.nist.gov )
Google ( www.google.com )
Linktionary.com de Tom Sheldon ( www.linktionary.com )
Dicionário de informática on-line para termos e definições de computador/Internet ( www.webopedia.com
)
Tutorial de vírus de conhecimento de computador ( www.cknow.com/vtutor/ )
Dicionário e tesauro on-line gratuito ( http://encyclopedia.thefreedictionary.com/ )
SANS Institute - Educação em Segurança de Computadores e Treinamento em Segurança da Informação (
www.sans.org )
Wikipédia ( www.wikipedia.org )

3
7