Livro Texto Unidade IV

Unidade IV
Unidade IV
7 ASPECTOS TECNOLÓGICOS DA SEGURANÇA DA INFORMAÇÃO
7.1 Criptografia e infraestrutura de chaves
A criptografia é uma ciência fundamental para a segurança, servindo de base para diversas tecnologias
e protocolos. Suas propriedades de confidencialidade, autenticidade, integridade, autenticação e não
repúdio garantem o armazenamento, a comunicação e as transmissões de forma segura.
Este capitulo discutirá o papel da criptografia, sua segurança e também a PKI (Public Key
Infraestructure), ou Infraestrutura de Chaves Públicas.
Para entender como chegamos aos conceitos aplicados hoje em dia, vamos voltar ao passado e
entender o contexto em que tudo começou. Há aproximadamente 1900 a.C., escribas hebreus utilizaram
um sistema de substituição do alfabeto, de forma reversa. A tal método foi atribuída a denominação de
Atbash.
Dessa forma, chamamos essa técnica de cifras de substituição, uma vez que os caracteres da
mensagem original são substituídos pelos caracteres da mensagem cifrada.
Tempos mais tarde, por volta de 100 e 44 a.C., Júlio César, o imperador romano, utilizou um sistema
chamado de Cifra de César, o qual consistia em deslocar as letras do alfabeto em algumas posições. Por
exemplo, utilizado a chave “3”, o alfabeto cifrado seria:
DEFGHIJKLMNOPQRSTUVWXYZABC
Utilizando esta técnica, se tentarmos descrever a frase “BOM DIA”, o resultado seria “ERP GLA”.
Daquela época até os dias de hoje, muitas mudanças e avanços ocorreram, de modo que os métodos
de criptografia tiveram uma grande evolução. Como exemplo temos o surgimento de novos algoritmos,
como DES, 3 DES, Twofish, Blowfish, entre outros.
Utilizando os mecanismos disponíveis hoje para o processo de criptografia, descrevemos a seguir um

resumo dos serviços de segurança que a criptografia pode nos oferecer:
• Confidencialidade: protege o sigilo das informações contra acesso de terceiros não autorizados.
• Autenticação: verifica a identidade de um indivíduo ou um sistema.
• Autenticidade: assegura que a mensagem foi gerada por quem realmente se alega ser.
128
SEGURANÇA DA INFORMAÇÃO
• Integridade: garante que as informações não foram alteradas desde a sua geração.
• Não repúdio: impede que uma pessoa ou sistema negue sua responsabilidade sobre seus atos.
Para utilizar cada um destes serviços, diversas técnicas são empregadas, as quais serão detalhadas
a seguir.
De forma bastante simples, podemos definir a criptografia simétrica com dois elementos fundamentais:
um algoritmo e uma chave que deve ser compartilhada entre os participantes na comunicação, sendo
que esta mesma chave é utilizada tanto para codificar como para decodificar as mensagens.
Quanto ao canal de transmissão dessas informações (chave e mensagens), e considerando que toda
a segurança deste sistema depende do sigilo da chave, ela não pode ser transmitida no mesmo canal
da mensagem. Para isso são utilizados canais seguros para a troca das chaves, em razão do alto custo, e
canais não tão seguros para a transmissão das mensagens.
Na figura a seguir está demonstrado um exemplo simples do funcionamento da criptografia simétrica.
Mensagem Criptografa Mensagem Criptografa Mensagem

original mensagem cifrada mensagem original
Chave Chave
cripitografia cripitografia
Figura 35 – Criptografia simétrica
Com base nesses conceitos, é possível perceber que esse mecanismo apresenta desvantagens aparentes,
como escalabilidade na troca das chaves e garantia de não repúdio à falta de mecanismos seguros de
autenticação. Já como vantagens, podemos citar a baixa demanda de processamento e memória.
Na tabela seguinte podemos ver alguns exemplos de algoritmos simétricos e suas particularidades:
Quadro 29 – Exemplos de algoritmos simétricos
Comprimento
Algoritmo Descritivo
da Chave
DES 56 bits Primeiro padrão mundial
3DES 168 bits (efetivo de 112) Nova versão do DES
Blowfish Variável até 448 bits Alternativa ao DES
Utilizado nos protocolos SSL,
RC4 Variável de 40 a 256 bits WEP e WPA
129
Unidade IV
As funções de hash têm por objetivo macro garantir que a mensagem não foi alterada durante o
caminho. Para isso, a mensagem a ser criptografada recebe uma chave simétrica que é utilizada para
gerar o MAC (Message Autentication Code). Esse processo é bastante complexo, pois são empregadas
funções fáceis de se calcular em uma direção e extremamente difícil na direção contrária.
Dessa forma, a chave empregada para gerar o MAC não pode ser a mesma para a criptografia
da mensagem. Dessa forma, é necessário que haja um canal seguro para a troca das chaves.
Entretanto, para as chaves simétricas, será necessária a utilização de duas chaves: uma para
criptografia das mensagens e outra para a geração do MAC. Com isso, quanto mais usuários
utilizarem este mecanismo, mais chaves serão necessárias, o que torna o processo de gestão
extremamente complexo.
Para resolver este problema desenvolveu-se o conceito de chaves assimétricas. A criptografia

assimétrica surgiu na década de 1970, quando foi desenvolvido o conceito de chaves assimétricas,
o qual tem em sua essência a utilização de duas chaves matematicamente relacionadas, sendo uma
pública e outra privada. Seu objetivo principal era resolver os problemas de troca segura de chaves e
escalabilidade, encontrados nas cifras simétricas.
De forma básica, quando uma mensagem é codificada com uma chave pública, ela somente pode ser
interpretada utilizando a chave privada, e vice-versa.
Tecnicamente, este mecanismo parte do princípio de que a multiplicação de dois números primos
é fácil de ser feita, entretanto sua fatoração (processo inverso) para descobrir quais foram os números
iniciais ainda é um problema de difícil resolução. Um exemplo de aplicação desta metodologia é o
algoritmo RSA, proposto por Rivest, Shamir e Adleman em 1977.
Internet
Chave pública Chave pública
usuário A usuário A
Utiliza a Criptografa
chave privada Mensagem o texto
de A para cifrada utilizando
decodificar o chave pública
texto de A
Mensagem
original
Figura 36 – Criptografia assimétrica
130
Até os dias de hoje, a grande complexidade destes problemas, além do tamanho das chaves utilizadas,
garantem o sucesso deste algoritmo. Entretanto, em razão da quantidade de cálculos processados, o
modelo exige uma grande capacidade de processamento.
Para resolver problemas de verificação de autenticidade de uma mensagem, os sistemas de chaves

públicas utilizam as chamadas assinaturas digitais, que funcionam da seguinte forma:
• O remetente gera um hash da mensagem a ser envidada;

• Realiza a codificação com sua chave privada, gerando uma assinatura digital;
• Adiciona a mensagem, que é cifrada com a chave pública do destinatário.
Dessa forma, se o hash da assinatura for igual ao gerado a partir da mensagem recebida, a assinatura
é confirmada e a mensagem é autêntica e íntegra.
Com base nestes conceitos, podemos perceber que tanto os algoritmos simétricos como os
assimétricos possuem vantagens e desvantagens. Para uma melhor visualização deste conteúdo,
descrevemos a seguir uma tabela comparando os dois modelos:
Quadro 30 - Comparativo entre criptografia assimétrica x simétrica
Sistema Criptografia Assimétrica Criptografia Simétrica
Chaves podem ser negociadas por Velocidade

meio de um canal inseguro
Vantagens Maior escalabilidade
Utilizada em outros serviços, como Elevado nível de segurança
assinatura digital
A troca das chaves deve ocorrer
Lentidão em um canal seguro
Desvantagens
Necessita de uma chave maior Baixa escalabilidade
para obter segurança Não proporciona outros serviços
Para um melhor aproveitamento destas tecnologias, alguns produtos utilizam uma abordagem
mista, conhecida como criptografia híbrida. Dessa forma, aproveita-se a vantagem de cada sistema.
Neste modelo, a mensagem seria codificada por meio da criptografia simétrica com uma chave
gerada de forma pseudo-randômica, sendo que sua transmissão ocorre a partir de algoritmos
assimétricos. Um exemplo disso é o protocolo SSL, em que uma das partes (cliente) gera uma chave
simétrica e a codifica com uma chave pública do servidor. Quando esta chave é recepcionada, o
servidor se abre utilizando um algoritmo simétrico para criptografar as mensagens em si. Nesse
exemplo, é utilizado o desempenho da criptografia simétrica e a segurança na troca das chaves
por meio da criptografia assimétrica.
131
Unidade IV
7.2 Certificados digitais
Os sistemas de chaves públicas e seus conceitos resolvem uma série de problemas, assim como a
utilização de sistemas híbridos. No entanto, fica uma pergunta: como é possível garantir a propriedade
de uma chave pública em todos estes processos?
Para resolver esta questão, é necessário que nestes processos exista uma entidade terceira,
com a responsabilidade de verificar a identidade do proprietário de uma chave pública, assinando
digitalmente sua comprovação. Para isso foram criadas as ACs (Autoridades Certificadoras), cujo
objetivo é atestar a propriedade de sua chave pública, em que, na troca de informações, cada uma
das partes solicita seus respectivos certificados digitais para as ACs. Entretanto, este modelo não
seria viável em virtude das diferenças de localização e da quantidade de solicitações para uma
única AC.
Esta demanda foi resolvida com o relacionamento entre as ACs, os quais podemos dividir basicamente
em três formatos:
• Hierárquico: uma AC raiz tem a função de assinar o certificado de outras ACs, as quais podem ter
outras ACs subordinadas e assim por diante;
• Certificação cruzada: a AC raiz de uma cadeia assina o certificado de outra AC raiz de uma nova
cadeia;
• Híbrido: são utilizados os dois conceitos. Por exemplo, se a AC raiz “x” assina o certificado da AC
raiz “y”, consequentemente todas as ACs abaixo destas cadeias confiam entre si.
Embora as ACs tenham diversos problemas resolvidos quanto a comprovação da identidade do

responsável por uma chave pública, algumas questões de gestão dos certificados ainda necessitam ser
tratadas.
Para isso lança-se mão da estrutura chamada de ICP (Infraestrutura de Chaves Públicas), a qual
deve combinar a utilização de software, hardware, protocolos, padrões e processos para fornecer seus
serviços. Trata-se de um conjunto de tecnologias e processos desenhados para prover diversos serviços
de segurança.
Uma ICP tem, entre seus componentes básicos, usuários, aplicações, as ACs, certificados digitais,
além das ARs (Autoridades Registradoras) e de diretórios/repositórios de dados.
As Autoridades Registradoras têm por objetivo interagir com o usuário e repassar as solicitações de
emissão ou renovação de certificados digitais, por exemplo, para o processamento das ACs, garantindo
assim a proteção das ACs contra ações externas.
Quanto aos diretórios/repositórios de dados, estes fornecem um local de fácil acesso para os terceiros
acessarem os certificados emitidos pelas ACs.
132
Saiba mais
Para maiores informações sobre a estrutura da ICP Brasil, acesse:
<http://www.iti.gov.br>. Acesso em 13 jan. 2012.
Além da tecnologia, das políticas e dos processos estabelecidos para garantir segurança, podemos
destacar a legislação sobre infraestrutura de chaves públicas como último elemento deste processo.
O objetivo da legislação neste caso é validar legalmente os mecanismos criptográficos utilizados.
A confidencialidade, a autenticidade e o não repúdio são os principais serviços oferecidos pela
criptografia, sendo que a assinatura digital e os certificados digitais possibilitam a criação de leis que
reconheçam esses registros.
Diante dessa situação, em agosto de 2001 foi editada a Medida Provisória 2200-2, a partir da
qual foi criada a ICP-Brasil, que dava validade a documentos assinados digitalmente. Ou seja, tem
por objetivo garantir a autenticidade, a integridade e a validade jurídica de documentos em forma
eletrônica, das aplicações de suporte e das aplicações habilitadas que utilizem certificados digitais, bem
como a realização de transações eletrônicas seguras.
A Medida Provisória também instituiu a formação de um Comitê Gestor da ICP-Brasil, cuja missão
é adotar as medidas necessárias e coordenar a implantação e o funcionamento da ICP-Brasil. Também
foi instituída a AC raiz, a primeira entidade da cadeia de certificação da ICP-Brasil, além das ACs e ARs,
em conformidade com as normas do Comitê Gestor.
A segurança a ataques criptográficos e a avaliação desta segurança de algoritmos residem na

facilidade ou não com que uma pessoa consegue decifrar as mensagens. Além dos ataques de força
bruta e dos ataques de forma mais simples a algoritmos – os quais são menos eficiente e às vezes
impossíveis de ser implementados devido ao tamanho das chaves –, existem outras técnicas que podem
ser utilizadas pelos criptoanalistas. Vejamos alguns exemplos:
• COA (Ciphertext Only Attack): nesta técnica, o foco é o comprometimento da confidencialidade

das informações. O criptoanalista tem acesso apenas a uma ou mais mensagens codificadas e seu
objetivo é descrobrir as mensagens originais.
• Ataque de KPA (Know Plaintext Attack): o criptoanalista tem acesso ao texto cifrado e ao texto
plano que o originou, a partir das quais tenta obter a chave em uso.
• CPA (Choose Plaintext Attack): o adversário é capaz de escolher o texto plano que será cifrado.
• ACPA (Adaptative Choosen Plaintext Attack): são enviados diversos pequenos blocos de
dados, os quais são adaptados conforme o criptoanalista vai coletando informações. Seu objetivo
é descobrir a chave em uso.
133
Unidade IV
Todos os sistemas criptográficos possuem níveis diferentes de segurança, dependendo da facilidade

ou da dificuldade com que são quebrados.
A segurança de um criptossistema não deve ser baseada nos algoritmos que cifram as
mensagens, mas no tamanho das chaves usadas. Podemos dizer que um algoritmo é considerado
forte quando é praticamente impossível quebrá-lo em um determinado espaço de tempo
em que as informações ainda sejam relevantes e que possam ser utilizadas por pessoas não
autorizadas.
Geralmente, a maneira mais fácil de determinar se um algoritmo é considerado forte é publicando

sua descrição, fazendo com que várias pessoas possam testar e avaliar sua eficiência. Programas que
usam algoritmos proprietários não divulgam sua especificação. Normalmente isto acontece porque a
simples divulgação do método revelaria também seus pontos fracos.
7.3 Vulnerabilidades, ameaças e mecanismos de proteção
Quando uma organização se depara com os recursos tecnológicos para proteção dos ativos de
informação, logo ela se preocupará em defender três ativos de informação em especial: seus dados,
seus recursos e sua reputação diante dos clientes e do mercado.
Para que uma organização consiga uma melhor eficácia na utilização dos recursos
tecnológicos para a proteção à segurança da informação, alguns itens como vulnerabilidades,
ameaças, possíveis formas de ataque, atacantes e, principalmente, formas de se proteger,
devem estar bem definidos na mente dos profissionais de segurança da informação e dos
profissionais de TI.
A vulnerabilidade pode ser definida como uma falha no projeto ou na implementação de um

software ou sistema operacional, que quando explorada por um atacante resulta na violação da
segurança de um computador.
Existem casos em que um software ou sistema operacional instalado em um computador pode

conter uma vulnerabilidade que permite sua exploração remota, ou seja, por meio da rede. Portanto,
um atacante conectado à internet, ao explorar tal vulnerabilidade, pode obter acesso não autorizado ao
computador vulnerável.
Segundo a CERT (Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil),

95% das invasões é resultado de vulnerabilidades conhecidas ou erros de configuração. Diante disso,
podemos dizer que a grande maioria das vulnerabilidades pode ser facilmente prevenida se devidamente
conhecidas.
Por sua vez, as ameaças sempre existirão. Diferentemente das vulnerabilidades, que podem ser
sanadas ou protegidas, as ameaças estão sempre à espreita, na espera de explorar uma vulnerabilidade
para assim concretizar o ataque e, muito possivelmente, causar danos.
134
As ameaças podem ser divididas em:
• Vírus
• Worm
• Backdoor
• Cavalo de Troia
• Negação de serviço (DoS – Denial of Service)
• DDoS (Distributed Denial of Service)
• Engenharia Social
• Boatos (Hoaxes)
• Spam
7.3.1 Vírus
Programa capaz de infectar outros programas e arquivos de um computador. Para realizar a infecção,
o vírus embute uma cópia de si mesmo em um programa ou arquivo, que quando executado também
executa o vírus, dando continuidade ao processo de infecção.
Um vírus pode afetar um computador a ponto de assumir o controle total sobre ele, podendo
mostrar uma simples mensagem de “feliz aniversário”, até alterar ou destruir programas e arquivos
do disco.
Para que aconteça a infecção por um vírus de computador, é preciso que de alguma maneira um
programa previamente infectado seja executado. Isto pode ocorrer de diversas maneiras: ao abrir
arquivos anexados aos e-mails, ao abrir arquivos do Word, Excel e outros programas, ao abrir arquivos
armazenados em outros computadores, ao compartilhar recursos, ao instalar programas de procedência
duvidosa ou desconhecida, obtidos via internet, pendrives, CD-ROM e outros meios.
É possível haver a infecção por um vírus sem que o usuário se dê conta disso. A maioria desses
malwares procuram permanecer ocultos em sua máquina enquanto infecta arquivos do disco e executa
uma série de atividades sem o conhecimento do usuário. Existem ainda outros tipos que permanecem
inativos durante certos períodos, mas que entram em atividade em datas específicas ou quando
acionados por seus programadores (redes zumbis).
Uma ferramenta de grande capacidade de propagação de vírus são os e-mails, normalmente

a partir de um arquivo anexado a uma mensagem. O conteúdo dessa mensagem invariavelmente
procura induzir o usuário a clicar sobre o arquivo anexado, de modo que o vírus seja executado.
Quando este vírus entra em ação, além de infectar arquivos e programas, envia cópias de si
mesmo para todos os contatos encontrados nas listas de endereços de e-mail armazenadas no
computador. É importante ressaltar que este tipo específico de vírus não é capaz de se propagar
135
Unidade IV
automaticamente. O usuário precisa executar o arquivo anexado que contém o vírus, ou então o
programa de e-mail precisa estar configurado para autoexecutar arquivos anexados.
Outra forma de infecção é pelos vírus de macro. Macro é um conjunto de comandos que são
armazenados em alguns aplicativos e utilizados para automatizar algumas tarefas repetitivas. Um
exemplo seria em um editor de textos, que visa definir uma macro que contenha sequências de
passos necessários para imprimir um documento com a orientação de retrato e utilizando a escala de
cores em tons de cinza. Neste caso, um vírus de macro é escrito de forma a explorar tal facilidade de
automatização, além de ser parte de um arquivo que normalmente é manipulado por algum aplicativo
que utiliza macros.
Para que o vírus entre em ação, o arquivo que o contém precisa ser aberto. A partir daí,
automaticamente uma série de comandos são executados e outros arquivos no computador começam
a ser infectados.
Existem alguns aplicativos que possuem arquivos base (modelos) que são abertos sempre que o
aplicativo é executado. Caso este arquivo base seja infectado pelo vírus de macro, toda vez que o
aplicativo for executado, o vírus também será.
Arquivos nos formatos gerados pelo Microsoft Word, Excel, Powerpoint e Access são os mais
suscetíveis a este tipo de vírus. Arquivos nos formatos RTF e PDF são menos suscetíveis, porém isso não
tira a possibilidade de conterem vírus.
7.3.2 Worm
Worm (verme) é um programa capaz de se propagar automaticamente pelas redes, enviando

cópias de si mesmo de computador para computador. Diferentemente do vírus, o worm não necessita
ser explicitamente executado para se propagar. Sua propagação se dá a partir da exploração de
vulnerabilidades existentes ou falhas na configuração de softwares instalados em computadores.
Geralmente o worm não tem como consequências os mesmos danos gerados por um vírus, como
a infecção de programas e arquivos ou a destruição de informações. Porém isto não significa que não
represente uma ameaça à segurança de um computador ou que não cause qualquer tipo de dano.
Worms são notadamente responsáveis por consumir muitos recursos, degradar sensivelmente o
desempenho de redes e possivelmente lotar o disco rígido em razão da grande quantidade de cópias de
si mesmo que costumam propagar. Além disso, podem gerar grandes transtornos para aqueles que estão
recebendo tais cópias.
Detectar sua presença em um computador não é uma tarefa fácil. Muitas vezes eles realizam uma
série de atividades, incluindo sua propagação, sem que o usuário tenha conhecimento. Embora alguns
programas antivírus permitam detectar a presença de worms e até mesmo evitar que eles se propaguem,
isto nem sempre é possível. Portanto, o melhor é evitar que os computadores sejam utilizados para
propagá-los.
136
Para proteger seu equipamento contra essa ameaça, além de utilizar um bom antivírus que permita
detectar e até mesmo evitar a propagação de um worm, é importante que o sistema operacional e os
softwares instalados não possuam vulnerabilidades.
Normalmente um worm procura explorar alguma vulnerabilidade disponível em um computador para

que possa se propagar. Portanto, as medidas preventivas mais importantes são aquelas que procuram
evitar a existência dessas vulnerabilidades.
Outra medida preventiva é instalar e configurar um firewall pessoal. Se bem configurado, o firewall
pode evitar que um worm explore uma possível vulnerabilidade em algum serviço disponível nos
computadores ou, em alguns casos, mesmo que o worm já esteja instalado no computador, pode evitar
que explore vulnerabilidades em outros computadores.
Em resumo, para que os worms sejam evitados, é necessário:
• Instalar e manter atualizado um bom programa antivírus;

• Manter o sistema operacional e demais softwares sempre atualizados;
• Corrigir eventuais vulnerabilidades existentes nos softwares utilizados;
• Instalar um firewall pessoal, que em alguns casos pode evitar que uma vulnerabilidade existente
seja explorada ou que o worm se propague.
7.3.3 Backdoors
Backdoors ocorrem quando um atacante procura garantir uma forma de retornar a um computador
comprometido, sem precisar recorrer aos métodos utilizados na realização da invasão. Na maioria dos
casos, a intenção do atacante é poder retornar ao computador comprometido sem ser notado.
A esses programas de retorno a um computador comprometido, utilizando-se serviços criados ou

modificados para este fim, dá-se o nome de backdoor.
A forma usual de inclusão de um backdoor consiste na adição de um novo serviço ou substituição

de um determinado serviço por uma versão alterada, normalmente incluindo recursos que permitam
acesso remoto (via internet). Outra forma se dá por meio de pacotes de software, tais como o Back
Office e NetBus, da plataforma Windows, conhecidos por disponibilizarem backdoors nos computadores
onde são instalados.
Observação
O Back Office é um programa desenvolvido pela Microsoft para a

plataforma Windows que permite o acesso remoto entre estações de
trabalho, as quais são atacadas pelos crackers a partir dessa funcionalidade
137
Unidade IV
para obter acesso. Já o NetBus é um sistema de administração remoto

similar ao Back Office para outras plataformas.
A existência de um backdoor não depende necessariamente de uma invasão, como na instalação

de um vírus por meio de um cavalo de troia ou na inclusão como consequência da instalação e má
configuração de um programa de administração remota.
Alguns fabricantes incluem backdoors em seus produtos (softwares, sistemas operacionais), alegando
necessidades administrativas. É importante ressaltar que estes casos constituem uma séria ameaça à
segurança de um computador que contenha um destes produtos instalados, mesmo que backdoors
sejam incluídos por fabricantes conhecidos.
Todos os sistemas operacionais podem ter backdoors inclusos. Isso não é restrito a alguns sistemas
operacionais.
Embora os programas antivírus não sejam capazes de descobrir o malware em questão em um

computador, as medidas preventivas contra a infecção por vírus são válidas para se evitar algumas
formas de infecção.
A ideia é que não se executem programas de procedência duvidosa ou desconhecida, sejam eles
recebidos por e-mail, sejam obtidos na internet, pois a execução de tais programas pode resultar na
instalação de um backdoor.
Caso seja necessária a utilização de algum programa de administração remota, certifique-se de que
ele esteja bem configurado, de modo a evitar que seja utilizado como um backdoor.
Existem casos em que a disponibilização de uma nova versão ou de um patch está associada à
descoberta de uma vulnerabilidade em um software, que permite a um atacante ter acesso remoto a um
computador, de maneira similar ao acesso aos backdoors.
Em resumo, para que sejam evitados os backdoors, deve-se seguir as seguintes recomendações:
• Seguir as mesmas recomendações para prevenção contra infecção por vírus;

• Não executar ou abrir arquivos recebidos por e-mail, mesmo que venham de pessoas conhecidas;
• Não executar programas de procedência duvidosa ou desconhecida;
• Instalar um firewall pessoal, que em alguns casos pode evitar o acesso a um backdoor já instalado
no computador e corrigir eventuais vulnerabilidades existentes nos softwares utilizados.
7.3.4 Cavalo de Troia
Conta a mitologia grega que o “Cavalo de Troia” foi uma grande estátua construída e utilizada
como instrumento de guerra pelos gregos para obter acesso à cidade de Troia. A estátua do cavalo foi
138
recheada com soldados que, durante a noite, abriram os portões da cidade, possibilitando a entrada dos
gregos e a dominação de Troia. Daí surgiram os termos “presente de grego” e “cavalo de Troia”.
Para TI, um Cavalo de Troia (Trojan Horse) é um programa que, além de executar funções para
as quais foi aparentemente projetado, também executa outras funções normalmente maliciosas
e sem o conhecimento do usuário. Algumas dessas funções são: alteração ou destruição de
arquivos, furto de senhas e outras informações sensíveis, como números de cartões de crédito,
inclusão de backdoors para permitir que um atacante tenha total controle sobre o computador,
entre outros.
É possível diferenciar facilmente um cavalo de troia de um vírus ou worm, pois, diferentemente

desses dois malwares, ele não se replica, não infecta outros arquivos e nem propaga cópias de si mesmo
automaticamente. Normalmente um cavalo de troia consiste de um único arquivo que necessita ser
explicitamente executado.
Podem existir casos em que um cavalo de troia contenha um vírus ou worm , mas mesmo
nesses casos é possível distinguir as ações realizadas como consequência da execução do
cavalo de troia propriamente dito, daquelas relacionadas ao comportamento de um vírus ou
worm.
Para que seja instalado em um computador, é necessário que o cavalo de troia seja executado. Ele
geralmente vem anexado a um e-mail ou está disponível em algum website na internet.
É importante ressaltar que existem programas de e-mail que podem estar configurados para executar
automaticamente arquivos anexados às mensagens. Neste caso, o simples fato de ler uma mensagem
é suficiente para que qualquer arquivo (executável) anexado seja executado. O ideal é verificar esta
configuração e adequá-la para executar os anexos manualmente.
Os exemplos mais comuns de cavalos de troia são programas que são recebidos ou que são acessados
por meio de um website e que dizem ser jogos ou protetores de tela.
7.3.5 Spyware
Software malicioso que, uma vez instalado no computador, monitora as atividades de seus usuários,
coletando informações (senhas, logins, documentos) e as enviando para terceiros.
7.3.6 Phishing
Golpe no qual o fraudador envia mensagens em nome de instituições oficiais com o objetivo de
induzir o acesso a páginas falsas. Para tanto, são utilizados textos, imagens e links reais para instalar
um programa que tenta furtar dados pessoais e financeiros de usuários, como número de cartão de
crédito, senhas de acesso e outros, ou induzir a vítima a fornecê-los.
139
Unidade IV
7.3.7 Negação de serviço (DoS – Denial of Service)
Neste tipo de ataque, o atacante a partir de um computador tira de operação um serviço ou

computador conectado à internet para gerar uma grande sobrecarga no processamento de dados do
equipamento, de modo que o usuário não consiga utilizá-lo.
Exemplos deste tipo de ataque são: ações para gerar um grande tráfego de dados para uma
rede, ocupando toda a banda disponível e indisponibilizando qualquer computador desta rede; retirar
serviços importantes de um provedor do ar, impossibilitando o acesso dos usuários às suas caixas de
correio no servidor de e-mail ou ao servidor web; entre outros.
7.3.8 DDoS (Distributed Denial of Service)
Constitui um ataque de negação de serviço distribuído, ou seja, um conjunto de computadores que

é utilizado para tirar de operação um ou mais serviços ou computadores conectados à internet.
Normalmente estes ataques procuram ocupar toda a banda de acesso a um computador ou rede,
causando grande lentidão ou até mesmo indisponibilizando qualquer comunicação com este computador
ou rede.
Se uma rede ou computador sofrer um DoS, isto não significa que houve uma invasão. O objetivo
de tais ataques é indisponibilizar o uso de um ou mais computadores, e não a invasão. É importante
notar que, principalmente em casos de DDoS, computadores comprometidos podem ser utilizados para
desferir os ataques de negação de serviços.
7.3.9 Engenharia social
Engenharia social é o termo utilizado para descrever o método de ataque em que alguém faz
uso da persuasão, muitas vezes abusando da ingenuidade ou da confiança do usuário, para obter
informações que podem ser utilizadas para ter acesso não autorizado a computadores ou a outras
informações.
Um exemplo desse ataque pode ser entendido quando algum desconhecido liga para a empresa e
diz ser da equipe de suporte técnico da rede. Nessa ligação ele diz que seu login está com problemas e
que precisa do seu usuário e senha para resolver e efetuar os devidos testes. Caso o usuário entregue
a senha, este suposto técnico poderá realizar uma infinidade de atividades maliciosas, utilizando a sua
conta de acesso à rede e relacionar tais atividades ao usuário de rede.
Lembrete
A engenharia social é uma técnica que explora os valores e sentimentos

humanos com intenção de obter informações e, assim, concretizar um
ataque ainda maior dentro dos sistemas das organizações.
140
7.3.10 Boatos (Hoaxes)
Boatos (Hoaxes) são e-mails que possuem conteúdos alarmantes ou falsos e que geralmente têm
como remetente ou apontam como autor da mensagem alguma instituição, empresa importante ou
órgão governamental. Por meio de uma leitura minuciosa deste tipo de e-mail, normalmente é possível
identificar em seu conteúdo mensagens absurdas e muitas vezes sem sentido.
Dentre os diversos boatos típicos que chegam às caixas postais de usuários conectados à internet,
podem-se citar: correntes ou pirâmides, mensagens sobre pessoas ou crianças que estão prestes a
morrer de câncer, mensagens de que a República Federativa de algum país estaria oferecendo elevadas
quantias em dinheiro e pedindo a confirmação do usuário ou, até mesmo, solicitando algum dinheiro
para efetuar a transferência.
Histórias deste tipo são criadas não somente para espalhar desinformação pela internet, mas também
para outros fins maliciosos.
Normalmente, o objetivo do criador de um boato é verificar o quanto ele se propaga pela

internet e por quanto tempo permanece se propagando. De modo geral, os boatos não são
responsáveis por grandes problemas de segurança, a não ser ocupar espaço nas caixas de e-mails
de usuários.
No entanto, podem existir casos com consequências mais sérias, como boatos que procuram
induzir usuários de internet a fornecer informações importantes (como números de documentos,
de contas-corrente em banco ou de cartões de crédito), ou indicam uma série de ações a serem
realizadas pelos usuários que, se forem realmente efetivadas, podem resultar em danos mais sérios
(como instruções para apagar um arquivo que supostamente contém um vírus, mas que na verdade
é parte importante do sistema operacional instalado no computador).
É preciso ressaltar também que, além de poderem conter vírus ou cavalos de troia anexados, os
e-mails de boatos podem comprometer a credibilidade e a reputação tanto da pessoa ou da entidade
referenciada como suposta criadora do boato, quanto daqueles que o repassam.
Normalmente, os boatos se propagam pela boa vontade e solidariedade de quem os recebe. Isto
ocorre, muitas vezes, porque aqueles que o recebem confiam no remetente, não verificam a procedência
da mensagem e não checam a veracidade do seu conteúdo.
Assim, para evitar a distribuição de boatos, é muito importante sempre checar a procedência dos
e-mails, pois mesmo que tenham como remetente alguém conhecido é preciso se certificar de que a
mensagem não é um boato.
7.3.11 Spam
Spam é o termo bastante conhecido entre usuários de internet e usado para se referir aos
e-mails não solicitados, geralmente enviados a um grande número de pessoas. Quando o conteúdo
141
Unidade IV
é exclusivamente comercial, este tipo de mensagem também é referenciado como UCE (do inglês
Unsolicited Commercial E-mail – E-mail comercial não solicitado).
Os usuários do serviço de correio eletrônico podem ser afetados pelos Spams de diversas formas:
• Impedimento de receber e-mails: boa parte dos provedores de internet limita o tamanho da
caixa postal do usuário no seu servidor, assim, caso o número de spams recebidos seja muito
grande, o usuário corre o risco de ter sua caixa postal lotada com mensagens não solicitadas. Se
isto ocorrer, todas as mensagens enviadas a partir deste momento serão devolvidas ao remetente
e o usuário não conseguirá mais receber e-mails até que libere espaço em sua caixa postal,
• Gasto desnecessário de tempo: para cada spam recebido, o usuário necessita gastar um
determinado tempo para ler, identificar o e-mail como spam e removê-lo da caixa postal.
• Aumento de custos: independentemente do tipo de acesso à internet utilizado, quem paga
a conta pelo envio do spam é quem o recebe. Por exemplo, para um usuário que utiliza acesso
discado à rede, cada spam representa alguns segundos a mais de ligação que ele estará
pagando.
• Perda de produtividade: para quem utiliza o e-mail como uma ferramenta de trabalho, o
recebimento de spams aumenta o tempo dedicado à tarefa de leitura de e-mails, além de existir
a chance de mensagens importantes não serem lidas, serem lidas com atraso ou apagadas por
engano.
• Conteúdo impróprio: como a maior parte dos spams são enviados para conjuntos aleatórios
de endereços de e-mail, não há como prever se uma mensagem com conteúdo impróprio será
recebida. Os casos mais comuns são de spams com conteúdo pornográfico ou de pedofilia enviados
para crianças.
Para as empresas e provedores os problemas são inúmeros e, muitas vezes, o custo adicional causado
pelo spam é transferido para a conta a ser paga pelos usuários. Alguns dos problemas sentidos pelos
provedores e empresas são:
• Impacto na banda: o volume de tráfego gerado por causa de spams os obriga a aumentar a
capacidade de seus links de conexão com a internet. Como este custo é alto, os lucros do provedor
são diminuídos e muitas vezes podem refletir no aumento dos custos para o usuário.
• Má utilização dos servidores: os servidores de e-mail dedicam boa parte do seu tempo de
processamento para tratar das mensagens não solicitadas. Além disso, o espaço em disco ocupado
por mensagens não solicitadas enviadas para um grande número de usuários é considerável.
• Perda de clientes: os provedores muitas vezes perdem clientes que se sentem afetados pelos
spams que recebem ou pelo fato de terem seus e-mails filtrados por causa de outros clientes que
estão enviando spam.
• Investimento em pessoal e equipamentos: para lidar com todos os problemas gerados pelo
spam, os provedores necessitam contratar mais técnicos especializados e acrescentar sistemas de
142
filtragem dessas incômodas mensagens, o que implica na compra de novos equipamentos. Como
consequência, os custos do provedor aumentam.
Existem basicamente dois tipos de softwares que podem ser utilizados para barrar spams: aqueles que
são colocados nos servidores e que filtram os e-mails antes que cheguem até o usuário, e aqueles que
são instalados nos computadores dos usuários e que filtram os e-mails com base em regras individuais
de cada usuário.
Em resumo, um spam pode ser evitado das seguintes formas:
• Considerar a utilização de um software de filtragem de e-mails;

• Verificar com seu provedor ou com o administrador da rede se é utilizado algum software de
filtragem no servidor de e-mails;
• Evitar responder a um spam ou enviar um e-mail solicitando a remoção da lista.
7.4 Mecanismos de prevenção
As pesquisas demonstram que, se adotados mecanismos corretos, a possibilidade de evitar que as

vulnerabilidades sejam exploradas pelas ameaças aumentam consideravelmente.
A identificação da presença de um vírus na rede ou em um computador se dá por meio dos programas

antivírus, o qual, é importante ressaltar, deve ser sempre atualizado. Caso contrário, poderá não detectar
os vírus mais recentes.
Algumas das medidas de prevenção contra a infecção por vírus são:
• Instalar e manter atualizado um bom programa antivírus;

• Desabilitar no seu programa de e-mail a autoexecução de arquivos anexados às mensagens;
• Não executar ou abrir arquivos recebidos por e-mail, mesmo que venham de pessoas
conhecidas. Caso seja inevitável, certifique-se de que o arquivo foi verificado pelo programa
antivírus;
• No caso de arquivos de dados, procurar utilizar formatos menos suscetíveis à propagação de vírus,
tais como RTF, PDF etc.;
• No caso de arquivos comprimidos, procurar não utilizar o formato executável, mas o próprio
formato compactado, como ZIP, RAR ou GZ.
• A utilização de um bom programa antivírus (desde que atualizado frequentemente): ele pode
detectar a presença de um cavalo de troia e os programas instalados por este malware em
um equipamento ou rede. Mas é importante lembrar que nem sempre o antivírus será capaz
de detectar ou remover os programas deixados por um cavalo de troia, principalmente se estes
programas forem mais recentes que a sua versão de antivírus.
143
Unidade IV
• Utilizar um firewall pessoal nas estações de trabalho, já que alguns podem bloquear o recebimento
de cavalos de troia.
Em resumo, as principais medidas preventivas contra a instalação de cavalos de troia são semelhantes
às medidas contra a infecção por vírus.
7.4.1 Antivírus
Os antivírus são programas que procuram detectar e, assim, anular ou remover os vírus presentes em
um computador. Atualmente, novas funcionalidades têm sido adicionadas a esses programas, de modo
que alguns procuram detectar e remover cavalos de troia, barrar programas hostis e verificar e-mails.
Diante das funcionalidades de um bom antivírus, podem ser destacadas:
• Identificação e eliminação da maior quantidade possível de vírus;

• Análise de arquivos que estão sendo obtidos pela internet;
• Verificação contínua dos discos rígidos (HDs), pendrives e CDs de forma transparente ao usuário;
• Procura de vírus e cavalos de troia em arquivos anexados aos e-mails.
Alguns antivírus, além das funcionalidades citadas, permitem verificar e-mails enviados de forma a
detectar e barrar a propagação por e-mail de vírus e worms.
Assim, para o bom uso de um antivírus, é preciso atentar-se a alguns pontos:
• Mantenha-o sempre atualizado;

• Configure-o para verificar automaticamente arquivos anexados aos e-mails e arquivos obtidos
pela internet;
• Configure-o para verificar automaticamente mídias removíveis (CDs, pendrives, discos para ZIP
etc.);
• Configure-o para verificar todo e qualquer formato de arquivo (qualquer tipo de extensão de
arquivo) e, sempre que possível, crie um pendrive ou um CD de verificação (disco de boot) para o
caso de seu computador apresentar um comportamento anormal (mais lento, gravando ou lendo
o disco rígido fora de hora etc.).
Algumas versões de antivírus são gratuitas para uso pessoal e podem ser obtidas pela internet.
Porém, antes de obter um antivírus pela internet, verifique sua procedência e certifique-se de que o
fabricante é confiável.
Um software antivírus não é capaz de impedir que um atacante tente explorar alguma vulnerabilidade
existente em um computador. Também não é capaz de evitar o acesso não autorizado a um backdoor
instalado em um computador.
144
Saiba mais
Como a vulnerabilidade em softwares pode representar um risco à segurança

da informação, visite sites que mantêm listas atualizadas de vulnerabilidades em
softwares e sistemas operacionais:
CERT – Software Engineering Institute – Carnegie Mellon

<http://www.cert.org/>. Acesso em: 13 mar. 2012.
CERT – Centro de Estudos, Resposta e Tratamento de Incidentes de

Segurança no Brasil
<http://www.cert.br/>. Acesso em: 13 mar. 2012.
CVE – Common Vulnerabilities and Exposures

<http://cve.mitre.org/>. Acesso em: 13 mar. 2012.
Ainda em relação à vulnerabilidade de softwares, muitos fabricantes costumam manter páginas

na internet com considerações a respeito. Portanto, a ideia é estar sempre atento a tais informações,
normalmente publicadas nos sites dos fabricantes, em sites e revistas especializadas, em cadernos de
informática dos jornais, entre outros meios, para estar a par da possível existência de vulnerabilidades
e sua identificação.
7.4.2 Patches
A melhor forma de evitar que o sistema operacional e os softwares instalados em um computador

possuam vulnerabilidades é mantê-los sempre atualizados. Entretanto, em muitos casos os fabricantes
não disponibilizam novas versões de seus softwares quando é descoberta alguma vulnerabilidade, mas
sim correções específicas (patches).
Estes patches, em alguns casos também chamados de hot fixes ou service packs, têm por finalidade
corrigir os problemas de segurança referentes às vulnerabilidades descobertas. Portanto, é extremamente
importante que você, além de manter o sistema operacional e os softwares sempre atualizados, instale
os patches sempre que forem disponibilizados.
7.4.3 Segurança dos e-mails
Grande parte dos problemas de segurança envolvendo e-mails está relacionada aos conteúdos
das mensagens, que normalmente abusam das técnicas de engenharia social ou de características de
determinados programas de e-mail, permitindo abrir arquivos ou executar programas anexados às
mensagens automaticamente.
145
Unidade IV
Algumas dicas de configuração para melhorar a segurança do programa de e-mail são:
• Desligar as operações que permitem abrir ou executar automaticamente arquivos ou programas

anexados às mensagens;
• Desligar as operações de execução do JavaScript e de programas Java;
• Desligar, se possível, o modo de visualização de e-mails no formato HTML.
Todas essas configurações podem evitar que o seu programa de e-mail propague automaticamente
vírus e cavalos de troia. Existem programas de e-mail que não implementam tais funções e, portanto,
não possuem estas operações.
Vejamos algumas medidas preventivas que minimizam os problemas trazidos com os e-mails:
• Manter sempre a versão mais atualizada do seu programa de e-mail;

• Evitar abrir arquivos ou executar programas anexados aos e-mails sem antes verificá-los com um antivírus;
• Desconfiar sempre dos arquivos anexados à mensagem, mesmo que tenham sido enviados por
pessoas ou instituições conhecidas. O endereço do remetente pode ter sido forjado e o arquivo
anexo pode ser, por exemplo, um vírus ou um cavalo de troia;
• Fazer o download de programas diretamente do site do fabricante;
• Desconfiar de e-mails pedindo urgência na instalação de algum aplicativo ou correções de
determinados defeitos dos softwares que você utilize. Caso isto ocorra, entre em contato com os
distribuidores destes softwares para se certificar sobre a veracidade do fato.
7.4.4 Riscos dos navegadores (browsers)
Existem diversos riscos envolvidos na utilização de um browser (navegador). Dentre eles, podemos citar:
• Execução de JavaScript ou de programas Java hostis;

• Execução de programas ou controles ActiveX hostis;
• Obtenção e execução de programas hostis em sites não confiáveis;
• Realização de transações comerciais ou bancárias via web, sem qualquer mecanismo de segurança.
Observação
Browser é nome que se dá aos programas que fazem a interação do

usuário à internet, conhecidos como navegadores. Os mais conhecidos são
Internet Explorer, Mozilla Firefox, Google Chrome e Opera.
146
Java é uma linguagem orientada a objetos muito utilizada em

navegadores web.
Normalmente os browsers contém módulos específicos para processar programas Java. Apesar
de estes módulos fornecerem mecanismos de segurança, podem conter falhas de implementação
e, neste caso, permitir que um programa Java hostil cause alguma violação de segurança em um
computador.
O JavaScript é bem mais utilizado em páginas web do que os programas Java e, de modo geral,
constitui uma versão bem “enxuta” do Java. É importante ressaltar que isto não quer dizer que não
existam riscos associados à sua execução. Um JavaScript hostil também pode acarretar a violação da
segurança de um computador.
Antes de receber um programa ActiveX, o seu browser verifica sua procedência por meio de um
esquema de certificados digitais. Se você optar por aceitar o certificado, o programa é executado em
seu computador.
Ao serem executados, os programas ActiveX podem fazer de tudo, desde enviar um arquivo qualquer
pela internet até instalar programas (que podem ter fins maliciosos) nos computadores.
Muitos sites ao serem acessados utilizam cookies para manter guardadas informações, como
as preferências de um usuário. Essas informações, muitas vezes, são compartilhadas entre diversas
entidades na internet e podem afetar a privacidade do usuário.
Normalmente as transações, sejam comerciais ou bancárias, envolvem informações sensíveis,

como senhas ou números de cartões de crédito. Portanto, é muito importante que você, ao
realizar transações via web, se certifique da procedência das páginas acessadas, se são realmente
das instituições que dizem ser e se fornecem mecanismos de segurança para evitar que alguém
conectado à internet possa obter informações sensíveis de suas transações, no momento em que
estiverem sendo realizadas.
Algumas medidas preventivas para o uso de browsers são:
• Mantê-lo sempre atualizado;

• Desativar a execução de programas Java na configuração do browser. Se for absolutamente
necessário que o Java esteja ativado para que as páginas de um site possam ser vistas, basta
ativá-lo antes de entrar no site e, então, desativá-lo ao sair;
• Permitir que programas ActiveX sejam executados em seu computador apenas quando vierem de
sites conhecidos e confiáveis;
• Manter maior controle sobre o uso de cookies;
• Se certificar da procedência do site e da utilização de conexões seguras ao realizar transações via
web.
147
Unidade IV
7.4.5 Cópias de segurança
Cópias de segurança dos dados armazenados em um computador são importantes não só para a
recuperação de eventuais falhas, mas também das consequências de uma possível infecção por vírus ou
de uma invasão.
As cópias de segurança podem ser simples como o armazenamento de arquivos em CDs, ou mais
complexas como o espelhamento de um disco rígido inteiro em um outro disco de um computador/
servidor, ou em uma fita magnética.
A frequência com que é realizado um backup (cópia de segurança) em uma rede é recomendada
seguindo as melhores práticas. Eles podem ser incrementais (realizado de hora em hora copiando apenas
os arquivos na rede que foram alterados naquele período de 1h), diários (consolidando todos os backups
incrementais do dia), semanais (consolidando todos os backups diários daquela semana) e mensais (que
consolida todas as semanas do mês em uma única mídia).
No caso de redes, é necessário fazer o backup de todos os arquivos contidos no segmento de rede.
Para as informações pessoais, o processo depende da periodicidade com que o usuário cria ou
modifica arquivos. Cada usuário deve criar sua própria política para a realização de cópias de segurança
de acordo com suas necessidades e deve procurar responder algumas perguntas antes de adotar um ou
mais cuidados no assunto em questão:
• Quais informações são realmente importantes para estar armazenada em minhas cópias de
segurança?
• Quais as consequências ou os prejuízos caso as cópias de segurança sejam destruídas ou
danificadas?
• O que aconteceria no caso de as cópias de segurança serem furtadas?
Baseado nas respostas para as perguntas anteriores, um usuário deve atribuir maior ou menor
importância a cada um dos cuidados discutidos a seguir:
• Escolha dos dados: cópias de segurança devem conter apenas arquivos confiáveis do usuário,
ou seja, que não contenham vírus e que não sejam trojans. Arquivos do sistema operacional e
que façam parte da instalação dos softwares de um computador não devem fazer parte das
cópias de segurança, pois podem ter sido modificados ou substituídos por versões maliciosas, que
quando restauradas podem trazer uma série de problemas de segurança. O sistema operacional e
os softwares podem ser reinstalados de mídias confiáveis, fornecidas por fabricantes confiáveis.
• Mídia utilizada: no caso de redes, devido ao alto volume de dados, o procedimento de backup
deve estar documentado e a escolha da mídia deve representar a verdadeira necessidade
da empresa e a criticidade de recuperação, bem como a execução de testes nas fitas. Para
o caso de backups pessoais a escolha da mídia é extremamente importante e depende da
148
importância e da vida útil que a cópia deve ter. A utilização de alguns pendrives para
armazenar um pequeno volume de dados que estão sendo modificados constantemente
é perfeitamente viável, mas um grande volume de dados, de maior importância, que deve
perdurar por longos períodos, deve ser armazenado em mídias mais confiáveis, como CDs,
discos externos ou discos espelhados.
• Local de armazenamento: quando nos referimos a backups de organizações, é necessário que o

local de armazenamento das mídias seja uma sala-cofre ou até mesmo um cofre, todos à prova
de fogo. Os backups particulares devem ser guardados em um local condicionado (longe de muito
frio ou muito calor) e restrito, de modo que apenas pessoas autorizadas tenham acesso a este
local (segurança física).
• Cópia em outro local: cópias de segurança devem ser guardadas em locais diferentes. Um
exemplo seria manter uma cópia em uma filial ou em outro escritório. Também existem
empresas especializadas em manter áreas de armazenamento com cópias de segurança
de seus clientes. Nesses casos é muito importante considerar a segurança física de suas
cópias.
• Criptografia: o uso de criptografia para informações sigilosas armazenadas em cópias de

segurança também é recomendado. Nesse caso, os dados que contenham informações sigilosas
devem ser armazenados em algum formato criptografado.
• Furto de dados: o furto de dados pessoais dos colaboradores pode ser a porta de entrada
para um ataque à organização ou até mesmo um ataque ao próprio colaborador. Por isso,
cuidados com os dados pessoais é importante, de modo que deve-se evitar fornecer dados
pessoais (como nome, e-mail, endereço e números de documentos) para terceiros, assim como
informações sensíveis (como senhas e números de cartão de crédito), a menos que esteja
sendo realizada uma transação (comercial ou financeira) e se tenha certeza da idoneidade
da instituição que mantém o site. Como estas informações geralmente são armazenadas em
servidores de tais instituições, corre-se o risco de estas informações serem repassadas sem
autorização para outras instituições ou de um atacante comprometer este servidor e ter
acesso a todas as informações.
7.4.6 Cuidados com a segurança das informações
Ataques de engenharia social são mais comuns do que se imagina. Neste caso, ao obter acesso
aos dados pessoais da vítima, um atacante pode, por exemplo, utilizar o e-mail em alguma lista de
distribuição de spams ou se fazer passar pela vítima na internet (com o uso das senhas furtadas).
Deve ser dada total atenção aos dados pessoais armazenados nos discos rígidos das estações de
trabalho e garantir certos cuidados no armazenamento de dados em um computador. Mantenha
informações sensíveis ou pessoais que não devem ser vistas por terceiros, como números de cartões de
crédito, declarações de imposto de renda e senhas, as quais devem ser armazenadas em algum formato
criptografado.
149
Unidade IV
Esses cuidados são extremamente importantes no caso de notebooks, pois são mais visados e,
portanto, mais suscetíveis a roubos e furtos.
Caso as informações não estejam criptografadas e seja necessário levar o computador a alguma
assistência técnica, por exemplo, seus dados poderão ser lidos por algum técnico mal-intencionado. Para
criptografar estes dados existem programas que, além de serem utilizados para a criptografia de e-mails,
também podem ser utilizados para criptografar arquivos. Um exemplo seria utilizar um programa que
implemente criptografia de chaves pública e privada. O arquivo sensível seria criptografado com a sua
chave pública e, então, decodificado com a sua chave privada, sempre que fosse necessário.
É importante ressaltar que a segurança deste método de criptografia depende do sigilo da chave
privada. A ideia, então, é manter a chave privada em um CD ou em outro disco rígido (em uma gaveta
removível) e que este não acompanhe o computador, caso seja necessário enviá-lo, por exemplo, para
a assistência técnica.
Também deve-se ter um cuidado especial ao trocar ou vender um computador. Apenas apagar ou
formatar um disco rígido não é o suficiente para evitar que informações antes armazenadas possam ser
recuperadas. Portanto, é importante sobrescrever todos os dados do disco rígido.
Para assegurar que as informações armazenadas não possam ser recuperadas de um disco rígido,
é preciso sobrescrevê-las com outras informações. Um exemplo seria gravar o caractere 0 (zero), ou
algum caractere escolhido aleatoriamente, em todos os espaços de armazenamento do disco. Tenha em
mente que é preciso repetir algumas vezes a operação de sobrescrever os dados de um disco rígido para
assegurar que as informações anteriormente armazenadas não possam ser recuperadas.
Existem softwares gratuitos e comerciais que cumprem com essa função e que podem ser executados
em diversos sistemas operacionais, como o Windows, Unix (Linux, FreeBSD, entre outros) e Mac OS.
Cuidados com a senha de acesso a rede, sistemas e e-mails devem ser tomados, como:
• Elaborar sempre uma senha que contenha pelo menos oito caracteres, compostos de letras
números e símbolos;
• Jamais utilizar como senha o nome, sobrenome, números de documentos, placas de carros,
números de telefones, datas que possam ser relacionadas com você ou palavras constantes em
dicionários;
• Utilizar uma senha diferente para cada serviço;
• lterar a senha com frequência.
Diante das vulnerabilidades de informações que não estão devidamente protegidas, os atacantes as
exploram para atingir seus objetivos. Existem dois tipos de atacantes: os externos e os internos.
Os atacantes internos podem ser representados por funcionários insatisfeitos ou simplesmente mal
intencionados que, em virtude da oportunidade visualizada em uma ou mais vulnerabilidades, acaba
150
concretizando o ataque. Já os atacantes externos são representados pelos crackers, que são pessoas
com conhecimentos avançados de tecnologia que invade um sistema de computador, geralmente
em benefício próprio ou de terceiros, com o objetivo de roubar informações ou implantar códigos
maliciosos.
Observação
É comum a confusão dos termos hackers e crackers. Assim como os

crackers, os hackers possuem conhecimentos avançados sobre tecnologia,
porém voltados para a proteção dos ativos de informação que estão
amparados em tecnologia. Geralmente são contratados pelas organizações
para fazer um contraponto nas ações de atacantes crackers.
A primeira atitude para o desempenho eficaz da gestão de incidentes é o correto controle dos
registros de eventos (logs). Para isso é necessário sempre verificar os logs do firewall pessoal e dos IDSs
que estejam instalados no computador para, assim, verificar se não se trata de um falso positivo antes
de notificar um incidente.
Os logs são registros de atividades gerados por programas de computador. No caso de logs relativos
a incidentes de segurança, eles normalmente são gerados por firewalls ou por sistemas de detecção de
intrusão.
Os firewalls, dependendo de como foram configurados, podem gerar logs quando alguém tenta
acessar um computador, barrando o acesso. Sempre que um firewall gera um log informando que um
determinado acesso foi barrado, isto pode ser considerado uma tentativa de ataque, mas também pode
ser um falso positivo.
Já os sistemas de detecção de intrusão podem gerar logs tanto para casos de tentativa de ataques
quanto para casos em que um ataque teve sucesso. Apenas uma análise detalhada pode dizer se uma
atividade detectada por um IDS foi um ataque com sucesso. Assim como os firewalls, os sistemas de
detecção de intrusão também podem gerar falsos positivos.
Observação
O termo “falso positivo” é utilizado para designar uma situação em

que um firewall ou um IDS aponta uma atividade como sendo um ataque,
quando na verdade não o é.
Um exemplo clássico de falso positivo ocorre no caso de usuários que costumam se conectar em
servidores de IRC e que possuem um firewall pessoal. Atualmente, boa parte dos servidores de IRC possui
uma política de uso que define que um usuário, para se conectar em determinados servidores, não
151
Unidade IV
deve possuir softwares em sua máquina pessoal que atuem como proxy. Para verificar se um usuário
tem algum software deste tipo, ao receberem uma solicitação de conexão por parte de um cliente, os
servidores enviam para a máquina do cliente algumas conexões que checam pela existência destes
programas. Se o usuário possuir um firewall, é quase certo que estas conexões serão apontadas como
um ataque.
Outro caso comum de falso positivo ocorre quando o firewall não está devidamente configurado e
indica como ataques e respostas as solicitações feitas pelo próprio usuário.
Os logs relativos a ataques recebidos pela rede, em geral, possuem as seguintes informações: data
e horário em que ocorreu uma determinada atividade, endereço IP de origem da atividade e portas
envolvidas. Dependendo do grau de refinamento da ferramenta que gerou o log, ele também pode
conter informações como: o timezone do horário do log, o protocolo utilizado (TCP, UDP, ICMP etc.), os
dados completos que foram enviados para o computador ou rede, entre outras.
7.5 Resposta a incidentes
Diante das responsabilidades da área de segurança da informação dentro do ambiente

corporativo, a resposta a incidentes tem papel fundamental na eficácia do processo de gestão dos
ativos de informação.
Manter os recursos computacionais seguros atualmente em ambientes interconectados por meio de

redes é um desafio cuja dificuldade aumenta a cada inclusão de um novo sistema.
A grande maioria das instituições e empresas não utiliza uma única solução de segurança genérica
que cobre todas as vulnerabilidades. Em vez disso, a estratégia mais utilizada é a de estabelecer camadas
complementares de segurança, abrangendo: tecnologia, processos e pessoas.
Uma das camadas de segurança que as empresas adotam para gerenciar o risco de segurança
é a criação de um CIRT (Computer Incident Response Team – Time de Resposta a Incidentes
Computacionais).
As principais motivações para a criação de um CIRT residem no crescente número de incidentes

reportados de empresas sendo atacadas. Isso aumentaria o entendimento sobre a necessidade de
possuir políticas de segurança e procedimentos de melhoramento do gerenciamento de riscos, nas
novas regulamentações e leis que exigem controles de segurança sobre os sistemas de informação e no
entendimento de que os administradores de rede e sistemas não são capazes de proteger os recursos
computacionais isoladamente.
Para a estruturação de um CIRT é necessário entender claramente o seu objetivo. Para isto temos de
conceituar o que são eventos e incidentes de segurança da informação:
• Evento é uma ocorrência observável a respeito de um sistema de informação a exemplo de um

e-mail, um telefonema ou um travamento de um servidor (crash).
152
• Incidente é um evento ou uma cadeia de eventos maliciosos sobre um sistema de informação

que implica em comprometimento ou tentativa de comprometimento da segurança. Em resumo:
tentativa ou quebra de segurança de um sistema da informação (confidencialidade, integridade
ou disponibilidade), violação da política de segurança, tentativa ou acesso não autorizado,
modificação e criação ou remoção de informações sem o conhecimento do gestor.
São exemplos de eventos e incidentes:
Em ataque de software malicioso:
• Evento: usuário informa que pode ter sido contaminado por vírus.
• Incidente potencial: seu sistema apresenta características típicas de contaminação por vírus.
Em ataques DoS (Denial of Service):
• Evento: usuário informa que não consegue acessar um serviço.

• Incidente potencial: muitos usuários informam o mesmo problema.
Para invasões:
• Evento: administrador imagina que seu sistema foi invadido.

• Incidente potencial: administrador envia log e trilhas de auditoria indicando atividades
suspeitas.
Uso não autorizado:
• Evento: proxy indica que um usuário tentou acessar um site pornográfico.

• Incidente potencial: proxy indica que um usuário tentou acessar vários sites pornográficos.
O CIRT é formado por um grupo de profissionais pertencentes a diversos departamentos da

corporação, devidamente treinados, com larga experiência nas suas respectivas áreas, e cuja missão
é atender e acompanhar, imediatamente, incidentes de segurança no ambiente computacional da
empresa, seguindo procedimentos previamente estabelecidos.
Quando uma organização tem a intenção de criar um CIRT, normalmente procura verificar como
este processo ocorreu em outras empresas, além de estabelecer requerimentos que devem ser atendidos
por este time.
Apesar de a atuação do CIRT variar bastante em função da disponibilidade de pessoal, capacitação

da equipe, orçamento, entre outros fatores, existem algumas recomendações de melhores práticas que
se aplicam para a maioria dos casos, que são: obter o apoio da administração da empresa, elaborar um
plano estratégico do CIRT, levantar informações relevantes, elaborar e divulgar a missão do CIRT e o
153
Unidade IV
plano operacional, iniciar a implementação do CIRT, divulgar a entrada em operação do CIRT e avaliar
continuamente a qualidade dos serviços prestados.
Também é importante obter o apoio da administração da organização, pois sem ele a

criação do CIRT é muito difícil. Este apoio pode vir sob a forma de: fornecimento de recursos
(computadores, softwares etc.), financiamento, disponibilização de pessoal, tempo do líder de
segurança para criar o CIRT e espaço nos comitês de segurança para a discussão do assunto.
Além do apoio da administração da empresa, é fundamental que ela esteja ciente quanto
as funções e responsabilidades do CIRT para que haja respaldo às ações e requisições do CIRT
junto a outras áreas. Inclusive, o pleno envolvimento de participantes do CIRT e seus respectivos
superiores é um pré-requisito para a discussão posterior de orçamento quanto à implantação e à
manutenção do time.
A elaboração do plano estratégico deve levar em conta aspectos administrativos da concepção do

CIRT em função de que existem cronogramas que precisam ser cumpridos e de que eles são realistas;
de que existe um grupo de projeto já formado e que ele está devidamente representado; de como a
organização toma conhecimento sobre as ações de desenvolvimento do CIRT; de que existe um membro
representando este grupo em uma instância maior; de que o processo está devidamente formalizado
(e-mail, relatórios etc.) e de que todos os membros do grupo estão tendo acesso às informações
produzidas.
É necessário levantar informações relevantes para compor as responsabilidades e serviços

prestados pelo CIRT. Inicialmente é preciso levantar as áreas e sistemas mais críticos da empresa,
e depois os eventos e incidentes reportados no passado para dimensionar o grau de conhecimento
da empresa sobre estes fatos. Estas informações permitirão avaliar a competência dos profissionais
existentes em assuntos relacionados com segurança da informação, de modo que com isso será
possível dimensionar os serviços que serão prestados pelo CIRT e se haverá a possibilidade de
utilizar funcionários já existentes na empresa ou se precisará de novas contratações.
Alguns exemplos de informações relevantes são: detalhes sobre o último incidente com vírus na
empresa (tentativa de invasão, por exemplo); se a empresa já teve incidente de fraude envolvendo
funcionários internos; se algumas funções do CIRT já são cobertas por áreas existentes; o levante
dos procedimentos já existentes na empresa que ajudarão nas funções do CIRT; agendamento de
visitas com instituições semelhantes e que já possuam o CIRT.
Com base nas informações levantadas, é preciso elaborar a missão do CIRT, a qual deve se alinhar
com a administração antes de divulgá-la para a empresa e deve estar aberta para receber críticas e
sugestões de melhoria da hierarquia.
Tendo-se alinhado às expectativas com os envolvidos, traçado o plano estratégico e definida

a missão do CIRT, é hora de colocá-lo em ação por meio de contratação e treinamento do grupo
principal do CIRT, elaboração e divulgação da metodologia de trabalho entre todos, compra e
instalação dos equipamentos e softwares de suporte ao CIRT, definição das especificações de
154
recuperação de evidências de incidentes para cada sistema crítico, desenvolvimento de modelos

de relatórios e mecanismos de informação de incidentes etc.
Quando o CIRT estiver operacional, é preciso elaborar uma campanha de divulgação que deve,
entre outros fatores, informar aos colaboradores sobre suas funções, sobre as formas de entrar em
contato para reportar incidentes e funcionários envolvidos e a sobre a divulgação, que deve ser
repetida periodicamente.
A avaliação da atuação do CIRT deve ser periódica por: estatísticas de incidentes reportados,
incidentes resolvidos, falsos positivos e tempo de indisponibilidade de sistemas. A correta
manutenção e crescimento da base de conhecimento documentada ajudam no aprimoramento dos
membros do CIRT.
O CIRT é formado por um grupo multidisciplinar de profissionais. Esta característica procura atender
à necessidade de, na eventualidade de um incidente, o time ser capaz de atuar em várias frentes
paralelamente, identificando as causas e coletando evidências do ataque. Este grupo de funcionários
não possui dedicação exclusiva ao CIRT, porém quando acionados pelo líder do CIRT devem responder
imediatamente. Pode-se também fazer uma analogia comparando o CIRT à brigada de incêndio das
empresas.
O líder do CIRT deve ser um funcionário da corporação com ampla experiência em segurança da
informação e em gerenciamento de projetos de tecnologia. É recomendado que este líder possua um
cargo na hierarquia que possibilite a tomada de decisões, requisição de auxílio de funcionários de outras
áreas e condução de verificações nas diversas áreas da corporação. Este líder poderá ser um gerente ou
um diretor pertencente à área de segurança da informação (security office).
A atuação responsável pela área de segurança da informação está em instruir os funcionários

das outras áreas na identificação, coleta e/ou preservação de rastros do incidente, além de avaliar as
consequências ocasionadas pelo ataque e providenciar, em caso de necessidade, a execução do plano de
continuidade de negócios. Ao final do acompanhamento de um incidente, deverá coordenar a elaboração
do relatório descrevendo o(s) fato(s) ocorrido(s).
A atuação da área de redes está em prover o acesso aos equipamentos de comunicação e

segurança sob sua responsabilidade, como firewalls, roteadores e switches, sempre que requisitado
pelo líder do CIRT, a fim de auxiliar no levantamento e na análise dos logs. Quando necessário,
também é função da área de redes entrar em contato com provedores de acesso, empresas de
telecomunicações etc.
A área de manutenção de servidores deve atentar para a verificação detalhada da configuração

dos servidores em virtude de possíveis acessos não autorizados. Além disso, deve coletar os rastros
de transações fazendo a verificação do código de aplicações. O líder do CIRT poderá requisitar que
um determinado servidor ou um conjunto deles seja mantido em quarentena para verificações mais
precisas; neste caso, a equipe designada deverá providenciar a instalação e a configuração de servidores
sobressalentes para assumir o ambiente de produção.
155
Unidade IV
A atuação da área de auditoria visa identificar quais controles de segurança ou procedimentos

falharam e permitiram a ocorrência do incidente, de modo que sua missão será a de auxiliar o líder do
CIRT na elaboração do relatório do incidente e na validação/auditoria da implementação do respectivo
plano de ação preparado para solucioná-lo. A auditoria também contribuirá com o CIRT na estimativa
dos prejuízos financeiros e de imagem causados pelo incidente.
A área de inspetoria atua na contribuição com a identificação das causas e motivações do

incidente, mas também é de sua responsabilidade a manutenção do histórico de todos os incidentes
identificados ou reportados na corporação, subsidiando o líder do CIRT com informações sobre padrões
de comportamento, objetivos, frequência e medidas adotadas em casos semelhantes.
A área de recursos humanos poderá ser acionada pelo líder do CIRT na medida em que o
incidente envolver funcionários ou terceiros que prestam serviços para a instituição (ou empresas
do conglomerado que estejam sob a sua gestão). O líder do CIRT poderá requisitar informações
sobre o(s) funcionário(s) envolvido(s), como seu cargo, suas responsabilidades, sua formação, entre
outros.
A área jurídica poderá ser acionada com o objetivo de obter auxílio jurídico na coleta e preservação
de evidências e no tratamento com empresas parceiras, funcionários ou clientes envolvidos. Toda
comunicação com empresas parceiras, clientes ou mesmo funcionários internos deverá ser acompanhada
pela área jurídica da organização.
A área de relações públicas é acionada no caso de o incidente trazer a exposição da empresa perante
seus clientes e parceiros de negócios. A área de relações públicas poderá ser envolvida pelo líder do CIRT
com o objetivo de orientar a melhor maneira de promover a comunicação com eles ou mesmo com a
imprensa, caso seja necessário.
Líder do Área de
CRT seg. info
Tecnologia da
Tecnologia da informação
informação
Telecom/ Auditoria Recursos Relações

redes Mainframe Desenvolvimento Engenharia humanos Jurídico públicas
Figura 37 – Organograma do CIRT (Computer Incident Response Team)
O fluxo de resposta a incidentes deve seguir a seguinte sequência lógica:
Sempre que um incidente for informado ou detectado, ele deverá ser encaminhado ao responsável
pela área de segurança da informação (Security Office).
156
Caberá a esta área decidir se o CIRT deverá ser acionado ou não, em função da gravidade do incidente.
Sendo acionado, o CIRT deverá abrir um chamado de incidente.
Este chamado é composto por um relatório, o qual deverá ser completado durante todo o
acompanhamento do incidente.
Ao final do trabalho, ou mesmo durante sua execução, o líder do CIRT apresentará ao comitê de
segurança um resumo deste relatório, que deverá conter os seguintes pontos:
• Descrição sucinta do incidente;

• Causa do incidente;
• Forma de identificação do incidente;
• Classificação se pode ou não haver consequências financeiras e de imagem avaliados;
• Contra medidas tomadas;
• Plano de ação para a contenção de incidentes semelhantes.
O acionamento do CIRT deve ser realizado por meio dos canais de fácil acesso, os quais devem
ser disponibilizado pelo CIRT, que podem ser um ramal telefônico exclusivo, um endereço de e-mail
genérico, páginas de webmail na intranet (para não identificar o emissor), entre outros modos, tudo de
forma a facilitar o acesso ao CIRT.
Acionamento da Área Reunião emergencial

de Segurança de do CIRT
Informação
Tecnologia da Informação
Documentação e
ampliação da base de
conhecimento
Identificação da causa
e coleta de rastros
Apresentação do
relatório ao comitê de
segurança
Avaliação das Aplicação do plano

Elaboração do plano consequências de continuidade de
de ação financeiras e imagem negócios
Colaboradores do CIRT
Parceiros
Relações Recursos Auditoria / de
Jurídico segurança
públicas humanos Inspetoria
Figura 38 – Fluxo da gestão de incidentes
157
Unidade IV
8 PLANO DE CONTINUIDADE DO NEGÓCIO
Lembrete
Para o CIRT (Computer Incident Response Team – Time de Resposta a
Incidentes Computacionais), tão importante quanto tratar e resolver os incidentes
de segurança da informação é a criação de uma base de conhecimento.
Uma organização pode estar sujeita a diversos incidentes, os quais podem apresentar
prejuízos ainda não previstos ou ainda não imagináveis. Essas peculiaridades necessitam
de tratamentos diferenciados, sempre objetivando a proteção dos ativos de informação da
organização, o que além de todos os aparatos tecnológicos também incluem a integridade
física de seus colaboradores.
Nas próximas páginas explicaremos um pouco do funcionamento de um Plano de Continuidade do

Negócio, detalhando seus conceitos e metodologias de implantação.
Definição de Conceitos
Um BCP (Business Continuty Plan) ou PCN (Plano de Continuidade do Negócio)
tem em sua essência diversos procedimentos e medidas, cujo objetivo é minimizar
as perdas decorrentes de um possível desastre. Entende-se por desastre a
ocorrência de um evento súbito, de grande magnitude, que possa causar grandes
prejuízos aos ativos e processos (RAMOS, 2006, p. 154).
Podemos citar como exemplos grandes enchentes ou incêndios, catástrofes meteorológicas ou até
mesmo grandes manifestações.
Voltando um pouco na história, o PCN pode ser considerado uma evolução do DRP (Disaster
Recovery Plan), ou PRD (Plano de Recuperação de Desastres), cujo foco eram somente os ativos
de Tecnologia da Informação, diferentemente do PCN, cujo processo abrange além das áreas
de TI, pessoas e processos. A criação e a manutenção deste plano são chamadas de Gestão de
Continuidade de Negócio.
De forma macro, o que define a implantação ou não de um PCN é exatamente o tempo máximo de
parada em um processo crítico da organização. Isto significa que, se a empresa possui um processo que
não permite sua paralisação por um período maior que 48 horas, esse processo será levantado e todos
os recursos necessários para o funcionamento deste processo serão considerados na elaboração do PCN,
desde instalações físicas e sistemas de TI até colaboradores e fornecedores.
8.1 Etapas de um PCN
A primeira fase para implantação é o entendimento do negócio, que deve ser feito sob a ótica
da continuidade de processos, identificando os principais objetivos e aspectos críticos a serem
preservados.
158
Também devem ser levados em consideração os argumentos que serão utilizados para justificar
a execução do plano. Para isso é importante realizar uma Análise e Avaliação de Riscos, cujo
objetivo é identificar os processos críticos da empresa que devem ser considerados na elaboração
do plano, com o objetivo de garantir sua continuidade em caso de incidentes ou desastres.
Hoje existem no mercado diversas ferramentas que auxiliam o gestor a realizar essa tarefa.
Saiba mais
Com relação a metodologias para execução do plano, existem diversas
opções disponíveis, dentre as quais destacamos o DRII (Disaster Recovery
Institute International). Visite o website para mais informações:
<http://www.drii.org/>. Acesso em: 13 mar. 2012.
Ainda nesta etapa, é essencial escolher a equipe que participará do PCN, considerando as pessoas-
chave das áreas envolvidas, com destaque para o coordenador do projeto. Essa pessoa deve ter um
amplo conhecimento da empresa, bem como acesso à alta direção e outras áreas da empresa.
Após isso, o próximo passo é a execução do BIA (Business Impact Analysis), ou AIN (Análise de
Impacto nos Negócios), que, de forma macro, tem o objetivo de avaliar quais impactos a organização
sofrerá por conta da ocorrência de um incidente ou desastre, além de analisar o tempo máximo permitido
de parada. Neste momento não é necessário se preocupar com a probabilidade de acontecer ou não o
evento, mas atentar para o impacto que o evento pode trazer, caso ele ocorra.
Para esse levantamento, é importante consultar os gestores dos processos, por meio de entrevistas.
Ninguém melhor que eles para identificar a criticidade dos processos. Deve-se também levar em
consideração os aspectos financeiros, operacionais, legais e regulatórios.
A próxima etapa é voltada para a definição estratégica de garantir a disponibilidade dos recursos,
metodologias e processos de modo a permitir a continuidade dos processos críticos, caso ocorra um desastre.
De acordo com Ramos (2006), existem três modelos de estratégias a serem adotados:
• Ativo/backup: utilização de recursos sobressalentes, podendo ser utilizados em caso de desastre.

• Ativo/ativo: duas ou mais localidades operacionais separadas geograficamente, dividindo as
operações, sendo uma contingência da outra.
• Localidade alternativa: modelo intermediário entre os outros dois apresentados, sendo que uma
localidade recebe parte das operações de forma periódica para homologar seu funcionamento.
Outro passo importante é a definição de um PAC (Programa de Administração de Crises), o qual

define as ações de resposta a serem tomadas durante a ocorrência de um desastre. Este centro será
159
Unidade IV
o responsável em tomar todas as decisões, inclusive realizando contato com agentes externos, como
defesa civil, imprensa, entre outros.
8.2 Gestão de continuidade de negócios
O PCN é um plano que permitirá atingir objetivos de continuidade em caso de desastres. Entretanto,
com a velocidade de mudanças constantes, é importante destacar que um plano elaborado em um
momento talvez não tenha efeitos a médio e longo prazo.
Dessa forma, devemos entender que o PCN é um “organismo vivo”, que necessita de
atualizações constantes, de modo a se adequar à realidade da organização. Esse processo de
mudança e atualização só é possível ser feito por meio de um modelo de gestão, cujo objetivo é
a manutenção do plano, a incorporação da cultura na organização, além de auditorias no modelo
adotado.
A todo esse processo, chamamos de Gestão de Continuidade de Negócios.
A falta de cultura nas organizações é uma parte importante a ser trabalhada no desenvolvimento
e na implementação de planos de continuidade. Os colaboradores devem estar cientes quanto ao
uso correto dos recursos da organização, além da continuidade de processos críticos.
Dessa forma, é importante estabelecer uma cultura quanto aos aspectos de continuidade em uma
organização, alinhado com a estratégia, objetivos e realidade da organização, criando e incorporando,
assim, uma cultura de continuidade.
Na figura a seguir temos um exemplo dos passos a serem implantados para a Gestão de Continuidade
de Negócios:
Entender o negócio
1
Exercício Estratégias de
manutenção e 5 2 continuidade do
auditoria negócio
6
Gerenciamento do
programa
Construir e incorporar 4 3 Desenvolver e

a cultura de gestão de implementar um plano
continuidade de negócio de respostas
Figura 39 – Gestão de continuidade do negócio
160
8.3 Manutenção do plano
Na elaboração de Plano de Continuidade de Negócios, sempre imaginamos diversas situações e

quais procedimentos podemos adotar, caso algum desses incidentes ocorra. Entretanto, a melhor forma
de validar essas atividades é a execução e simulação de testes. Nenhum plano pode ser considerado
maduro se não forem realizadas essas simulações.
Dentre outras, as situações de crise podem abalar o emocional das pessoas, podendo afetar, inclusive,
o modo de raciocínio e a tomadas de decisões.
As pessoas envolvidas devem saber quais serão os procedimentos a serem adotados em caso de um
desastre; o que não podemos esperar é que elas parem todo o processo para ler o manual de instruções
sobre o que fazer.
O processo de revisão deve garantir que o plano seja sempre revisado, garantindo a melhoria contínua
dos processos estabelecidos, adequados à realidade da organização.
Um processo de auditoria independente de tudo o que foi feito contribui para a maturidade do
processo, aumentando a confiança no trabalho que foi feito.
Por fim, a participação e o comprometimento do alto escalão da empresa é extremamente

importante, pois garante a sua importância, deixando claro que esta cultura deve ser incorporada
na organização.
8.4 Estratégias de recuperação
As estratégias de recuperação são procedimentos e ferramentas que têm por objetivo garantir
a continuidade dos processos críticos, previamente mapeados, atendendo ao TMP (Tempo Médio de
Parada) já estabelecido.
Para escolher as estratégias, também devem ser levados em consideração os custos diretos e
indiretos, além de avaliar o pior cenário possível diante de um desastre. Vale ressaltar que, em diversos
casos, uma estratégia utilizada pode servir para diversos processos mapeados.
Vamos entender um pouco alguns exemplos de estratégias:
• Usuários: são a parte mais importante de um PCN. Devem garantir que, em caso de um desastre,
suas atividades possam continuar sendo realizadas. Para isso devem ser verificados os aspectos de
integridade física, ambiente de trabalho, disponibilidade de informações médicas, entre outros.
• Logística: são extremamente importantes pois afetam diretamente as entregas de uma

empresa, mesmo quando um possível desastre não afeta diretamente a organização. Podemos
citar como exemplo greves de correios e caminhoneiros, até gargalos de transporte por falta de
infraestrutura.
161
Unidade IV
• Instalações: deve-se atentar para os serviços básicos como água, energia elétrica, ar-condicionado
e gás, além de espaço físico e toda a infraestrutura de comunicação.
• Dados: o armazenamento de informações é um ponto também bastante crítico. Diversas
tecnologias podem ser utilizadas objetivando garantir a disponibilidade das informações, em caso
de desastre. Podemos citar:
— Backups: considerando que as informações devem ser armazenadas em outro site da empresa;
— Transferência remota de informações: enviar as informações para o outro site da empresa
por meio de mecanismos de comunicação (internet, por exemplo). Essa estratégia evita
problemas de transporte de mídias, entretanto seu custo é mais elevado.
— Espelhamento de aplicações: pode ser considerado a replicação total das informações em
um outro site da organização.
8.5 Tipos de sites
Dependendo da criticidade do processo e de quanto a empresa pode gastar para definir a estratégia
de recuperação, alguns tipos de sites podem ser utilizados.
Vejamos quais são esses modelos e suas principais características:
• Cold Site: apenas um local físico pode receber os equipamentos, sem qualquer instalação básica
de comunicação ou energia. É a opção mais barata, entretanto leva muito tempo para entrar em
funcionamento, caso ocorra um desastre;
• Warm Site: contempla as instalações de um Cold Site mais os serviços básicos de
infraestrutura, como instalações elétricas, links de comunicação e cabeamento interno
de rede, e pode até conter alguns computadores. Entretanto, para este modelo não estão
contemplados os servidores, os mainframes, entre outros equipamentos. Estes somente são
disponibilizados na ocorrência de um desastre;
• Hot Site: podemos considerar que o hot site é uma estrutura igual ao ambiente de produção
em termos de infraestrutura, aguardando apenas a ocorrência de um incidente para entrar em
funcionamento. Entretanto, como suas informações não estão sincronizadas, é necessário o envio
dos dados para seu completo funcionamento;
• Mirror Site: semelhante ao hot site, porém contemplando o sincronismo das informações. É a
estratégia que oferece o tempo de resposta mais rápido, porém é a de maior custo.
162
A figura a seguir demonstra a relação de tempo necessário para ativação do site versus investimentos
em sua construção.
Tempo
Cold site
Warm site
Hot site
Mirror site
Custo
Figura 40 – Estratégias de recuperação
Resumo
Essa unidade demonstrou o quanto o uso da criptografia é importante

para a segurança da informação como mecanismo protetor de sua
confidencialidade. Vimos que o uso tecnológico é essencial no amparo
da gestão da segurança da informação não apenas pelo uso dos recursos
criptográficos, mas também por outros mecanismos como antivírus,
firewalls e outros que elevam a segurança da informação.
As ameaças podem vir de diversas maneiras: por meio de vírus, cavalos

de troia, worms ou de ataques DDoS, que visam atacar a disponibilidade da
informação.
Fica clara a importância do aparato tecnológico para a proteção dos

ativos de informação, mas até mesmo a mais avançada tecnologia por si só
depende da intervenção humana tanto para a sua configuração como no
que se refere à prevenção contra as ameaças.
É importante frisar que existem alguns componentes tecnológicos

básicos para proteger as informações que, se configurados e atualizados
periodicamente, podem diminuir as vulnerabilidades e com isso baixar
a probabilidade de que os riscos venham a se concretizar. Exemplos
desses dispositivos são: um bom e sempre atualizado software antivírus,
firewalls pessoais e de rede e proteções para rede já descritas neste
material.
O risco pode vir a ocorrer mesmo que todos os recursos tecnológicos

estejam devidamente configurados e sendo utilizados de forma correta,
mesmo porque não existe algo 100% seguro quando o assunto é segurança
163
Unidade IV
da informação. Por esse motivo é necessário ter um processo bem definido

de resposta a incidentes.
O principal objetivo para a criação de um time de resposta a incidentes é

de manter os recursos computacionais seguros. Atualmente, em ambientes
interconectados por meio de redes, é um desafio cuja dificuldade aumenta
com a inclusão de cada novo sistema.
Por fim, nos casos mais extremos em que o risco pode vir a causar
danos mais sérios que possam levar à interrupção das atividades da
organização, é necessário traçar um plano de continuidade do negócio
que se destina a manter a organização operando, seja qual for a situação
de desastre.
De forma macro, o que define a implantação ou não de um PCN é

exatamente o tempo máximo de parada em um processo crítico da
organização. Ou seja, se a empresa possui um processo que não permite
sua paralisação por um período maior que 48 horas, esse processo será
levantado e todos os recursos necessários para seu funcionamento será
considerado na elaboração do PCN, desde instalações físicas e sistemas de
TI, até colaboradores e fornecedores.
Exercícios
Questão 1. Leia atentamente o artigo abaixo
Estrago do botnet “Mariposa” poderia ter sido maior, diz polícia (por UOL, publicada em 03 de março
de 2010, às 14h52)
MADRI (Reuters) - Os administradores da rede que controlava 13 milhões de computadores em

190 países e que foi descoberta pela polícia espanhola não chegaram a aproveitar todo o seu potencial
daninho, afirmaram autoridades nesta quarta-feira, voltando a defender a necessidade de “navegação
responsável” na internet.
“Tivemos sorte por essa ‘botnet’ com 13 milhões de máquinas estar sob o controle de pessoas que
não perceberam as potencialidades que ela oferecia”, disse o comandante Juan Salón, chefe da unidade
de crimes de computação da Unidade Central de Operações da polícia espanhola, em entrevista coletiva
concedida em Madri.
Segundo as autoridades espanholas, a rede descoberta é a maior já desarticulada até agora pela
polícia no mundo. “Temos que nos conscientizar de que a rede pode ser muito positiva, mas é preciso
tomar certas medidas básicas... Para mim, a principal medida de segurança é a navegação responsável”,
afirmou.
164
Três jovens espanhóis, com idades entre 25 e 31 anos, foram detidos em Balmaseda (Vizcaya),
Santiago de Compostela e Molina de Segura (Murcia), acusados de dirigir uma rede que controlava os
computadores depois de infectá-los por meio de um cavalo de Troia. A rede permitia aos acusados roubar
dados bancários, de correio eletrônico e senhas de milhões de usuários, empresas e até instituições
governamentais, ou bloquear suas páginas, segundo as autoridades.
Com essa rede, de acordo com a polícia, poderia ter sido realizado um ataque ciberterrorista muito
mais sério do que os executados contra a Estônia ou a Geórgia.
Na Espanha, de acordo com a Panda Security, uma companhia espanhola de segurança na computação
que colaborou com as investigações, a estimativa é de que existam 200 mil máquinas infectadas. No
computador do acusado detido em Vizcaya, visto como o maior responsável pela rede clandestina,
foram encontrados dados pessoais sobre mais de 800 mil internautas.
A investigação contra a rede, realizada em conjunto com o FBI e a empresa canadense Defence
Intelligence, começou em maio de 2009, quando a empresa detectou a rede, chamada de “Mariposa”.
O programa malicioso que os acusados usaram para criar a rede foi adquirido no mercado negro,
mas as autoridades disseram que não se sabe ainda quanto foi pago e a quem.
O programa se propaga por redes de troca de arquivos, arquivos anexados em e-mails e por serviços
de mensagem instantânea e dispositivos USB.
“As redes P2P são um foco de infecção”, afirmou Salón citando necessidade de meios que “vacinem”
pen drives USB para não propagarem vírus.
Fonte: <http://tecnologia.uol.com.br/ultimas-noticias/reuters/2010/03/03/estrago
-de-botnet-mariposa-poderia-ter-sido-maior-diz-policia.jhtm>.
As ameaças de infecção por vírus e outras formas de ataque devem ser analisadas de perto pelos
profissionais de segurança da informação. Baseado no artigo acima, nos mecanismos de proteção e nas
melhores práticas, avalie as providências, indicadas nas afirmativas abaixo, sobre quais poderiam ser
aplicadas na prevenção de uma possível infecção por um vírus do tipo botnet:
I. Introduzir um novo e moderno sistema de firewall na organização.
II. Verificar se todas as estações de trabalho da organização possuem a última versão de antivírus
instalada e ativa e se a lista de vírus conhecidos está atualizada.
III.Adicionar mais um sistema criptográfico na rede para auxiliar o atual na detecção de intrusos na rede.
IV.Elaborar um plano de conscientização amparado em endomarketing (marketing interno) para

sensibilizar os colaboradores da organização sobre o uso consciente e seguro da internet e dos
recursos colocados a sua disposição.
165
Unidade IV
Assinale a alternativa correta:
A) Apenas as afirmativas I e III são verdadeiras.
B) Apenas as afirmativas II e IV são verdadeiras.
C) Apenas a afirmativa IV é verdadeira.
D) Apenas as afirmativas I, II e III são verdadeiras.
E) Apenas a afirmativa III é verdadeira.
Resposta correta: alternativa B.
Comentário das afirmativas:
I. Afirmativa incorreta. Instalação de um novo sistema de firewall não seria uma medida adequada,
uma vez que a simples reconfiguração do sistema antigo não necessita de investimentos adicionais
e teria a mesma eficácia.
II. Afirmativa correta. A instalação individual nas estações de trabalho de um antivírus, desde que
esteja sempre ativo e atualizado em sua lista conhecida de vírus, poderá alertar o colaborador
(usuário) sobre a potencial ameaça que o acesso a determinados arquivos representam se
acessados ou instalados.
III.Afirmativa incorreta. Um sistema criptográfico protege a confidencialidade da informação

inibindo o acesso de pessoas não autorizadas às informações. Ele por si só não têm a capacidade
de detectar ou alertar sobre uma possível ameaça ocasionada por um vírus.
IV.Afirmativa correta. Um bom plano de conscientização seria a decisão mais acertada para esse
exemplo, uma vez que a infecção por um botnet depende da ação pessoal de cada colaborador em
acessar ou em não prestar atenção aos conceitos de proteção dos ativos de informação enviadas
via pen drive ou por e-mail.
Questão 2. Sabemos que um PCN (Plano de Continuidade do Negócio) é uma estratégia de ação
para recuperar os processos-chave da empresa em caso de uma parada inesperada (desastre) a fim de
que, ao menos, a organização continue em operação em um período de desastre.
Sobre um PCN, é correto afirmar que:
I. Desastre pode ser considerado qualquer evento súbito que pode vir a parar a operação da
organização.
166
II. Um PCN tem como missão mapear os processos de negócio da organização, identificando os
processos críticos a serem restaurados.
III.As organizações podem preparar sua recuperação em três níveis: para a organização, para
processos e para atividades.
IV.Uma forma de preparar um site de recuperação seria o chamado sister site, que tem com principal
objetivo manter uma instalação semelhante em outra região para manter o negócio em caso de
interrupção.
V. O principal escopo do PCN está vinculado à estrutura física da organização.
Assinale a alternativa correta:
A) Apenas as afirmativas I, IV e V são verdadeiras.
B) Apenas as afirmativas II, III e V são verdadeiras.
C) Apenas as afirmativas I, II, III e IV são verdadeiras.
D) As afirmativas I, II, III, IV e V são verdadeiras.
E) Apenas as afirmativas I, III e IV são verdadeiras.
Resolução desta questão na Plataforma.
167
FIGURAS E ILUSTRAÇÕES
Figura 13 – ABNT NBR ISO/IEC 27002:2005 – Tecnologia da informação: técnicas de segurança –

código de prática para a gestão da segurança da informação.
Figura 14 – BEAL, A. Segurança da informação: princípios e melhores práticas para proteção de ativos
de informação nas organizações. São Paulo: Editora Atlas, 2008, p. 111.
Figura 26 – IBIDEM.
Figura 28 – ARIMA, C. H. Metodologia de auditoria de sistemas. São Paulo. Érica: 1994, p. 22.
Figura 30 – IDEM, p. 34,
Figura 31 – IBIDEM.
Figura 32 – IDEM, p. 38.
REFERÊNCIAS
Audiovisuais
A Senha: Swordfish. Dir. Dominic Sena, 99 minutos, 2001.
Efeito Dominó. Dir. Roger Donaldson, 110 minutos, 2008.
Firewall - Segurança em Risco. Dir. Richard Loncraine, 105 minutos, 2006.
Hackers - Piratas de Computador. Dir. Iain Softley, 104 minutos, 1995.
Hitch - Conselheiro Amoroso. Dir. Andy Tennant, 105 minutos, 2005.
Missão Impossível 3. Dir. J. J. Abrams, 126 minutos, 2006.
O último golpe. Dir. Michael Caleo, 115 minutos, 2008.
Onze homens e um segredo. Dir. Steven Soderbergh, 117 minutos, 2001.
Os Incríveis. Dir. Brad Bird, 115 minutos, 2004.
Wall Street – Poder e Cobiça. Dir. Oliver Stone, 126 minutos, 1987.
168
Textuais
ABNT NBR ISO/IEC 27001:2006 – Tecnologia da informação – Técnicas de segurança – Sistemas de

gestão de segurança da informação – Requisitos.
ABNT NBR ISO/IEC 27002:2005 – Tecnologia da informação – Técnicas de segurança – Código de

prática para a gestão da Segurança da Informação.
ARIMA, C. H. Metodologia de auditoria de sistemas. São Paulo. Érica: 1994.
BEAL, A. Segurança da Informação: princípios e melhores práticas para proteção de ativos de

informação nas organizações. São Paulo: Atlas, 2008.
CAMPOS, A. Sistema de Segurança da Informação: controlando os riscos. 2ª. edição. Florianópolis:

Visual Books, 2007.
CARUSO, C. A. A.; STEFFEN, F. D. Segurança da informática, 2ª edição, São Paulo: SENAC, 1999.
CASSARO, A. C. Controles internos e segurança de sistemas. São Paulo: LTR, 1997.
FERREIRA, F. N. F. e ARAÚJO, M. T. Política de segurança da informação: guia prático para elaboração e

implementação. Rio de Janeiro: Ciência Moderna LTDA, 2006.
GIL, A. C. Auditoria de computadores. 5ª ed. São Paulo: Atlas, 2000.
PECK, P. Direito digital. 3ª ed. São Paulo: Saraiva, 2009.
RAMOS, A. Security Officer 1 - Guia oficial para formação de gestores em segurança da informação.
Porto Alegre: Zouk, 2006.
SÊMOLA, M. Gestão da segurança da informação – uma visão executiva. 10ª ed. Rio de Janeiro:
Elsevier, 2003.
TRIPTON, H. F. Official (ISC) 2 Guide to the CISSP CBK, 2ª Ed. EUA: GRC Press, 2010.
Sites
Instituto Nacional de Tecnologia da Informação: <http://www.iti.gov.br>
CERT – Software Engineering Institute – Carnegie Mellon: <http://www.cert.org/>
CERT – Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil:

<http://www.cert.br/>
169
CVE – Common Vulnerabilities and Exposures: <http://cve.mitre.org/>
DRII (Disaster Recovery Institute International): <http://www.drii.org/>
Segurança da informação: há sintonia entre TI e negócios? <http://computerworld.uol.com.br/

tecnologia/2011/07/23/seguranca-da-informacao-ha-sintonia-entre-ti-e-negocios>
Exercícios
Unidade II. Questão 1. Disponível em: <http://idgnow.uol.com.br/seguranca/2010/03/03/governo-

obama-apresenta- detalhes-sobre-projeto-do-ciberseguranca>. Acesso em: 13 mar. 2012.33333
Unidade II. Questão 2. Disponível em: <http://blogs.estadao.com.br/jt-seguranca/jovem-e-morta-apos-

encontro-marcado-na-internet/>. Acesso em: 13 mar. 2012.
Unidade IV. Questão 1. Disponível em: <http://tecnologia.uol.com.br/ultimas-noticias/

reuters/2010/03/03/estrago-de-botnet-mariposa-poderia-ter-sido-maior-diz-policia.jhtm>. Acesso
em: 13 mar. 2012.
170
171
172
173
174
175
176
Informações:
www.sepi.unip.br ou 0800 010 9000

Livro Texto Unidade IV

Enviado por

Dados do documento

Direitos autorais

Formatos disponíveis

Compartilhar este documento

Compartilhar ou incorporar documento

Opções de compartilhamento

Você considera este documento útil?

Este conteúdo é inapropriado?

Direitos autorais:

Formatos disponíveis

Livro Texto Unidade IV

Enviado por

Direitos autorais:

Formatos disponíveis

Unidade IV

7.1 Criptografia e infraestrutura de chaves

Utilizando os mecanismos disponíveis hoje para o processo de criptografia, descrevemos a seguir um

Na figura a seguir está demonstrado um exemplo simples do funcionamento da criptografia simétrica.

Mensagem Criptografa Mensagem Criptografa Mensagem

Figura 35 – Criptografia simétrica

Quadro 29 – Exemplos de algoritmos simétricos

Para resolver este problema desenvolveu-se o conceito de chaves assimétricas. A criptografia

Figura 36 – Criptografia assimétrica

Para resolver problemas de verificação de autenticidade de uma mensagem, os sistemas de chaves

• O remetente gera um hash da mensagem a ser envidada;

Quadro 30 - Comparativo entre criptografia assimétrica x simétrica

Sistema Criptografia Assimétrica Criptografia Simétrica

Chaves podem ser negociadas por Velocidade

7.2 Certificados digitais

Embora as ACs tenham diversos problemas resolvidos quanto a comprovação da identidade do

Para maiores informações sobre a estrutura da ICP Brasil, acesse:

<http://www.iti.gov.br>. Acesso em 13 jan. 2012.

A segurança a ataques criptográficos e a avaliação desta segurança de algoritmos residem na

• COA (Ciphertext Only Attack): nesta técnica, o foco é o comprometimento da confidencialidade

Todos os sistemas criptográficos possuem níveis diferentes de segurança, dependendo da facilidade

Geralmente, a maneira mais fácil de determinar se um algoritmo é considerado forte é publicando

7.3 Vulnerabilidades, ameaças e mecanismos de proteção

A vulnerabilidade pode ser definida como uma falha no projeto ou na implementação de um

Existem casos em que um software ou sistema operacional instalado em um computador pode

Segundo a CERT (Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil),

As ameaças podem ser divididas em:

Uma ferramenta de grande capacidade de propagação de vírus são os e-mails, normalmente

Worm (verme) é um programa capaz de se propagar automaticamente pelas redes, enviando

Normalmente um worm procura explorar alguma vulnerabilidade disponível em um computador para

Em resumo, para que os worms sejam evitados, é necessário:

• Instalar e manter atualizado um bom programa antivírus;

A esses programas de retorno a um computador comprometido, utilizando-se serviços criados ou

A forma usual de inclusão de um backdoor consiste na adição de um novo serviço ou substituição

O Back Office é um programa desenvolvido pela Microsoft para a

para obter acesso. Já o NetBus é um sistema de administração remoto

A existência de um backdoor não depende necessariamente de uma invasão, como na instalação

Embora os programas antivírus não sejam capazes de descobrir o malware em questão em um

• Seguir as mesmas recomendações para prevenção contra infecção por vírus;

7.3.4 Cavalo de Troia

É possível diferenciar facilmente um cavalo de troia de um vírus ou worm, pois, diferentemente

7.3.7 Negação de serviço (DoS – Denial of Service)

Neste tipo de ataque, o atacante a partir de um computador tira de operação um serviço ou

7.3.8 DDoS (Distributed Denial of Service)

Constitui um ataque de negação de serviço distribuído, ou seja, um conjunto de computadores que

7.3.9 Engenharia social

A engenharia social é uma técnica que explora os valores e sentimentos

7.3.10 Boatos (Hoaxes)

Normalmente, o objetivo do criador de um boato é verificar o quanto ele se propaga pela

Em resumo, um spam pode ser evitado das seguintes formas:

• Considerar a utilização de um software de filtragem de e-mails;

7.4 Mecanismos de prevenção

As pesquisas demonstram que, se adotados mecanismos corretos, a possibilidade de evitar que as

A identificação da presença de um vírus na rede ou em um computador se dá por meio dos programas

Algumas das medidas de prevenção contra a infecção por vírus são:

• Instalar e manter atualizado um bom programa antivírus;

Diante das funcionalidades de um bom antivírus, podem ser destacadas:

• Identificação e eliminação da maior quantidade possível de vírus;

Assim, para o bom uso de um antivírus, é preciso atentar-se a alguns pontos:

• Mantenha-o sempre atualizado;

Como a vulnerabilidade em softwares pode representar um risco à segurança

CERT – Software Engineering Institute – Carnegie Mellon

CERT – Centro de Estudos, Resposta e Tratamento de Incidentes de

CVE – Common Vulnerabilities and Exposures