Segurança de Redes

O que é Segurança de Redes

 Provisão e políticas adotadas pelo administrador de redes para prevenir e

monitorar o acesso não autorizado, uso incorreto, modificação ou negação da rede
de computadores e dos seus recursos associados
 O conceito de segurança de redes inclui a segurança dos dados/informações e dos
sistemas em si
Segurança de Redes

 Proteção de ativos
 Ativos são os bens e direitos que uma empresa possui e que podem ser convertidos em
dinheiro
 Informação é o ativo em questão
 Proteção individual
 Segurança de redes e segurança na Internet
 Segurança da informação
 Está relacionada com a proteção de um conjunto de dados para que seja preservado o valor
que esses dados possuem para um indivíduo ou organização
Segurança da Informação

 Refere-se à proteção existente sobre as informações de uma determinada empresa

ou pessoa
 Informação é qualquer dado ou conteúdo que tenha valor para uma organização
ou pessoa
 Pode estar guardada e ter acesso restrito e pode estar pública para consulta ou
aquisição
Pilares da Segurança

 Confidencialidade
 O acesso à informação é limitado a entidades legítimas, ou seja, autorizadas pelo dono
da informação
 Integridade
 Garante que a informação manipulada mantenha todas as características originais
estabelecidas pelo proprietário da informação
 Disponibilidade
 Garante que a informação esteja sempre disponível para uso legítimo, ou seja, por
aqueles usuários autorizados pelo proprietário da informação
Pilares da Segurança

 Confidencialidade, Integridade e Disponibilidade representam os principais

atributos que norteiam a análise, o planejamento e a implementação da segurança
para um grupo de informações a ser protegido.
 Ataques de hackers tentam quebrar esses pilares através da identificação de
vulnerabilidades
 Atuam nestas vulnerabilidades
Políticas de Segurança

 O nível de segurança desejado pode ser apresentado através de uma política de

segurança adotada por uma organização ou pessoa
 Metas de seguranças precisam ser definidas a priori
 O principal propósito de uma política de segurança é informar aos usuários, equipe e
gerentes, as suas obrigações para a proteção da tecnologia e do acesso à informação.
 A política deve especificar os mecanismos através dos quais estes requisitos podem ser
alcançados.
Mecanismos de Segurança

 Controles físicos:
 Barreiras que limitam o contato ou acesso direto à informação.
 Mecanismos de segurança que apoiam os controles físicos são: portas, cadeados,
guardas, ...
 Controles lógicos:
 Barreiras que impedem ou limitam o acesso à informação que está em ambiente
controlado
 Mecanismos de segurança que apoiam os controles lógicos são: mecanismos de
criptografia, assinatura digital, mecanismos de controle de acesso, integridade,
honeypot
Ameaças à Segurança

 Perda de confidencialidade
 Quando há quebra de sigilo de uma determinada informação, permitindo que sejam
expostas informações restritas
 Perda de integridade
 Quando uma determinada informação fica exposta a manuseio por uma pessoa não
autorizada que efetua alterações não aprovadas e que não estão sob o controle do
proprietário da informação
 Perda de disponibilidade
 Quando a informação deixa de estar acessível para quem necessita dela
Normas e Aspectos Legais

 ISO 27000: Data Protection and Security

 Família de normas de segurança da informação e proteção, sendo as mais conhecidas
27001 e 27002
 27001: realiza a gestão da segurança da informação com relação à empresa
 27002: efetiva a gestão de segurança da informação com relação aos profissionais, os quais
podem realizar implementações importantes que podem fazer com que uma empresa cresça
no aspecto de segurança da informação
 Relacionadas à segurança de dados digitais ou sistemas de armazenamento eletrônico
 Objetivo: criação, manutenção, melhoria, revisão, funcionamento e análise de um
Sistema de Gestão de Segurança da Informação
Questões de Segurança da Informação

 No Brasil: Lei 12.737/2012

 Tipifica crimes cibernéticos
 Art 154-A: Invadir dispositivo informático alheio, conectado ou não à rede de
computadores, mediante violação indevida de mecanismo de segurança e com o fim de
obter, adulterar ou destruir dados ou informações sem autorização expressa ou tácita
do titular do dispositivo ou instalar vulnerabilidades para obter vantagem ilícita:
 Pena - detenção, de 3 (três) meses a 1 (um) ano, e multa.

 Acordo de Confidencialidade – NDA (non disclosure agreement)

 Acordo em que ambas as partes assinam e concordam manter determinadas
informações confidenciais
Invasão, Ética e Código de Conduta

 O termo invasão relacionado a hackear computadores é muito comum

 Hacker
 Indivíduo que se dedica, com intensidade incomum, a conhecer e modificar os
aspectos mais internos de dispositivos, programas e redes de computadores.
 Motivações para hackear
 Lucro, protesto, desafio, coleta de informações, avaliar fraquezas e auxiliar na formação de
defesas contra hackers em potencial
Invasão, Ética e Código de Conduta

 Hackers
 White hat ("chapéu branco")
 Hacker que estuda sistemas de computação à procura de falhas na sua segurança, mas
respeitando princípios da ética hacker.
 Muitos hackers white hat desenvolvem suas pesquisas como professores de universidade ou
empregados de empresas de informática.
 Black hat ("chapéu preto")
 Hacker que não respeita a ética hacker e usa seu conhecimento para fins criminosos ou
maliciosos; ou seja, um cracker.
 Grey hat ("chapéu cinza")
 Hacker intermediário entre white e black: por exemplo, um que invade sistemas por diversão,
mas que evita causar dano sério e que não copia dados confidenciais.
Invasão, Ética e Código de Conduta

 A ética é impulsionada pelas expectativas da indústria de segurança da informação

sobre o comportamento dos profissionais de segurança durante seu trabalho
 Um código de conduta é um conjunto de regras para orientar e disciplinar a
conduta de um determinado grupo de pessoas de acordo com os seus princípios.
 É geralmente utilizado por empresas, organizações, classes profissionais ou
grupos sociais.
 Através do programa de certificação Ethical Hacker, o membro está vinculado ao
código de ética destinado a profissionais de pentest
 www.eccouncil.org/code-of-ethics
Fases do Processo de Invasão

 Conhecer:
 Coleta de informações.
 Ex: coletar endereços de email, rastrear usuários
 Analisar:
 A partir dos dados coletados na fase anterior, analisar cada dado para extrair o máximo
de informação de cada alvo.
 Ex: varredura de IP, serviços
 Explorar:
 Explorar as informações analisadas para ganhar acesso ao alvo.
 Ex: quebra de senha
Tratamento de Incidentes de Segurança na
Internet
Fontes

 http://penta.ufrgs.br/gereseg/rfc2196/cap2.htm
 http://www.planalto.gov.br/ccivil_03/_ato2011-2014/2012/lei/l12737.htm
 https://pt.wikipedia.org/wiki/Hacker
 https://pt.wikipedia.org/wiki/ISO_/_IEC_27000
 Fraga, B. Técnicas de Invasão: Aprenda técnicas usadas por hackers em invasões
reais (2019) Editora Labrador.