Informática p/ IBAMA (Analista Ambiental) - Com videoaulas · Por causa disso, diversos recursos...

Aula 10

Informtica p/ IBAMA (Analista Ambiental) - Com videoaulas

Professores: Fernando Mesquita, Victor Dalton

Noes de Informtica para IBAMA

Analista Ambiental

Prof Victor Dalton Aula 10

Prof. Victor Dalton

www.estrategiaconcursos.com.br 1 de 116

AULA 10: Segurana da Informao

SUMRIO PGINA 1. Proteo a redes de computadores 2 1.1 Consideraes iniciais 2 1.2 Ameaas 4 1.3 Criptografia 19 1.4 Backup 40 1.5 VPN 41 1.6 Firewall 45 1.7 Outras boas prticas de segurana da informao 51 Exerccios 57 Consideraes Finais 95 Exerccios 96

Ol amigos e amigas! Que bom estarmos juntos novamente!

Particularmente, gosto de encerrar o curso com o o assunto de hoje, Segurana da Informao. Criptografia e ameaas trazem muitos conceitos e ideias que esto mais envolvidos com o nosso dia a dia do que a gente pensa.

Podemos comear?

Observao importante: este curso protegido por direitos autorais (copyright), nos termos da Lei 9.610/98, que altera, atualiza e consolida a legislao sobre direitos autorais e d outras providncias. Grupos de rateio e pirataria so clandestinos, violam a lei e prejudicam os professores que elaboram os cursos. Valorize o trabalho de nossa equipe adquirindo os cursos honestamente atravs do site Estratgia Concursos ;-)


Analista Ambiental


Prof. Victor Dalton


SEGURANA DA INFORMAO

1. PROTEO A REDES DE COMPUTADORES

1.1 Consideraes iniciais Nos dias atuais, a informao trafega pela rede mundial de

computadores, ou simplesmente Internet. Nesse ambiente convivem elementos bem e mal intencionados. Por causa disso, diversos recursos para proteger a informao e as redes de computadores precisam ser empregados.

A norma ISO 27002 ressalta que a informao um ativo muito

valioso para uma organizao. Diferentemente de outros ativos, ela pode ser impressa, escrita em papel, armazenada em via eletrnica, ou at mesmo conversada. Isto posto, ela deve ser protegida com adequao.

Nesse contexto, a segurana da informao um conjunto de

controles, nos quais se incluem polticas, processos, funes de software e hardware e estruturas organizacionais, aplicados com o intuito de proteger a informao dos vrios tipos de ameaas, para garantir a continuidade do negcio em caso de desastre, maximizar o ROI e as oportunidades de negcio.

Destaque para a trade da segurana da informao:


Analista Ambiental


Prof. Victor Dalton


Segundo a norma: Confidencialidade: Garantia de que o acesso informao seja

obtido somente por pessoas autorizadas. Integridade: Salvaguarda da exatido e completeza da informao

e dos mtodos de processamento. Disponibilidade: Garantia de que os usurios autorizados obtenham

acesso informao e aos ativos correspondentes sempre que necessrio.

1) (CESPE TCU Auditor - Tecnologia da Informao - 2015) Confidencialidade a garantia de que somente pessoas autorizadas tenham acesso informao, ao passo que integridade a garantia de que os usurios autorizados tenham acesso, sempre que necessrio, informao e aos ativos correspondentes. Errado! O conceito de confidencialidade est correto, mas o segundo conceito o de disponibilidade. Integridade a garantia que a informao no foi alterada, e permanece ntegra.

Para Laureano e Moraes (Segurana Como Estratgia de Gesto da Informao), as informaes se classificam como pblica, interna, confidencial, secreta.

Pblica: Informao que pode vir a pblico sem maiores consequncias danosas ao funcionamento normal da empresa, e cuja integridade no vital.

Interna: O acesso livre a este tipo de informao deve ser evitado, embora as consequncias do uso no autorizado no sejam por demais srias. Sua integridade importante, mesmo que no seja vital.

Confidencial: Informao restrita aos limites da empresa, cuja divulgao ou perda pode levar a desequilbrio operacional, e eventualmente, a perdas financeiras ou de confiabilidade perante o cliente externo.


Analista Ambiental


Prof. Victor Dalton


Secreta: Informao crtica para as atividades da empresa, cuja integridade deve ser preservada a qualquer custo e cujo acesso deve ser restrito a um nmero reduzido de pessoas. A segurana desse tipo de informao vital para a companhia.

1.2 Ameaas

A Internet um cesto cheio dos mais diversos tipos de golpes e ameaas. Para facilitar o entendimento do cidado (e a cobrana em concursos, rs), esses golpes e ameaas recebem uma srie de classificaes. Vejamos:

1.2.1 Malware

Oriundo da expresso Malicious Software, Malware so programas desenvolvidos para executar atividades maliciosas em um computador. Lato sensu, at mesmo programas legtimos que, em virtude de falhas em seu cdigo, causam danos, podem ser classificados como malware. Os principais tipos de malware so:

Vrus: um vrus de computador um programa capaz de se replicar

e opera sem o consentimento do usurio, se espalhando ao se anexar


Analista Ambiental


Prof. Victor Dalton


a outros programas. Outras variedades de vrus so os vrus de boot capazes de danificar reas responsveis por carregar o sistema operacional e os vrus de macro que podem causar alteraes em documentos. Alguns vrus apenas se replicam, outros podem trazer danos maiores como corromper arquivos, sobrecarregar uma rede e levar uma mquina a ser formatada.

Vrus simples Um vrus simples, que s se replica e fcil de ser detectado. Se um

usurio executa um vrus, esse vrus pode tomar conta do computador da vtima e se anexar em outro arquivo, e, depois que ele se espalha, o devolve o controle para o programa hospedeiro, que funciona normalmente. O vrus pode se replicar inmeras vezes, mas nunca se modifica, logo, o antivrus pode facilmente localiz-lo por uma sequncia de bits caracterstica. Essa sequncia tambm chamada de assinatura do vrus.

Vrus encriptado A ideia do vrus encriptado esconder esta assinatura fixa,

embaralhando o vrus, para que este no seja detectado por um antivrus. Um vrus encriptado consiste de uma rotina de decriptao e um

corpo encriptado que, ao ser executado, inicia a fase de decriptao. Aps esta fase, o corpo do vrus toma conta da mquina, se espalhando da mesma forma que um vrus simples, mas com o diferencial de encriptar o corpo do vrus com uma nova chave de encriptao, dificultando a deteco por assinaturas de vrus. No entanto, a rotina de decriptao continua a ser a mesma, logo, os antivrus passaram a checar por sequncias de bytes que identificassem a rotina de decriptao.

Vrus Polimrficos Os vrus polimrficos so capazes de criar uma nova variante a cada

execuo e diferentemente dos vrus encriptados que encriptam apenas o cdigo do vrus e permanecem com a mesma rotina de decriptao, os vrus polimrficos alteram tanto a rotina de encriptao quanto a rotina de decriptao, o que dificulta a deteco.


Analista Ambiental


Prof. Victor Dalton


Em uma variante de um vrus polimrfico o mdulo de decriptao aparece em claro e o corpo do vrus aparece encriptado. No corpo do vrus esto presentes a rotina do vrus em si e um mdulo de mutao responsvel por gerar o mdulo de encriptao e um novo mdulo de decriptao que ter uma nova chave, visto que o mdulo de encriptao foi alterado. Sendo assim, ao infectar um arquivo, o vrus apresentar um novo mdulo de encriptao e um novo corpo.

Em geral, para realizar a deteco dessas ameaas os softwares

antivrus fazem a decriptao do vrus usando um emulador ou realizam uma anlise de padro do corpo do vrus, visto que o cdigo muda, mas a semntica no. O processo de emulao tambm chamado de sandbox e capaz de detectar o vrus caso o cdigo decriptado permanea o mesmo.

Vrus Metamrficos Os vrus polimrficos podem apresentar problemas durante as suas

mutaes e podem at demorar a serem detectados, mas na maioria das vezes so detectados devido ao baixo nmero de vrus polimrficos eficientes.

Os desenvolvedores de vrus implementam novos cdigos para

dificultar o trabalho do pesquisador. O W32/Apparition foi o primeiro vrus de 32 bits a no utilizar decriptadores polimrficos para realizar mutaes, ele possua seu cdigo decompilado e quando encontrava um compilador compilava o cdigo. O vrus inseria e removia cdigo desnecessrio ao cdigo fonte e se recompilava. Dessa forma uma nova gerao do vrus parecia completamente diferente das anteriores. Esse tipo de tcnica pode ser mais destrutiva em ambientes baseados em Unix, onde os compiladores C so instalados junto com o sistema.

Os vrus metamrficos so capazes de mudar o prprio corpo, por

no possuir um decriptador ou um corpo de vrus constante, mas so capazes de criar novas geraes diferentes. Eles possuem um corpo nico que carregava dados como cdigo. Os vrus metamrficos evitam gerar instncias parecidas com a anterior.


Analista Ambiental


Prof. Victor Dalton


Vrus de macro Os vrus de macro vinculam suas macros a modelos de documentos e

a outros arquivos de modo que, quando um aplicativo carrega o arquivo e executa as instrues nele contidas, as primeiras instrues executadas sero as do vrus.

Vrus de macro so parecidos com outros vrus em vrios aspectos: so cdigos escritos para que, sob certas condies, este cdigo se "reproduz", fazendo uma cpia dele mesmo. Como outros vrus, eles podem ser escritos para causar danos, apresentar uma mensagem ou fazer qualquer coisa que um programa possa fazer.

2) (CESPE TJ/SE Analista Judicirio Anlise de Sistemas - 2014) Vrus so programas que podem apagar arquivos importantes armazenados no computador, podendo ocasionar, at mesmo, a total inutilizao do sistema operacional. Correto.

Ainda cabe trazer a classificao de vrus segundo a CERT.BR: Vrus propagado por e-mail: recebido como um arquivo anexo a

um e-mail cujo contedo tenta induzir o usurio a clicar sobre este arquivo, fazendo com que seja executado. Quando entra em ao, infecta arquivos e programas e envia cpias de si mesmo para os e-mails encontrados nas listas de contatos gravadas no computador.

Vrus de script: escrito em linguagem de script, como VBScript e

JavaScript, e recebido ao acessar uma pgina Web ou por e-mail, como um arquivo anexo ou como parte do prprio e-mail escrito em formato HTML. Pode ser automaticamente executado, dependendo da configurao do navegador Web e do programa leitor de e-mails do usurio.

Vrus de macro: tipo especfico de vrus de script, escrito em

linguagem de macro, que tenta infectar arquivos manipulados por aplicativos que utilizam esta linguagem como, por exemplo, os que compe o Microsoft Office (Excel, Word e PowerPoint, entre outros).


Analista Ambiental


Prof. Victor Dalton


Vrus de telefone celular: vrus que se propaga de celular para

celular por meio da tecnologia bluetooth ou de mensagens MMS (Multimedia Message Service). A infeco ocorre quando um usurio permite o recebimento de um arquivo infectado e o executa. Aps infectar o celular, o vrus pode destruir ou sobrescrever arquivos, remover ou transmitir contatos da agenda, efetuar ligaes telefnicas e drenar a carga da bateria, alm de tentar se propagar para outros celulares.

E mais algumas classificaes: Vrus de Boot: Vrus que se infecta na rea de inicializao dos

disquetes e de discos rgidos (so vrus bem antigos, rs). Essa rea onde se encontram arquivos essenciais ao sistema. Os vrus de boot costumam ter alto poder de destruio, impedindo, inclusive, que o usurio entre no micro.

Vrus de Programa: infectam - normalmente - os arquivos

executveis, com extenso .EXE e .COM, e algumas outras extenses, como .OVL e .DLL.

Vrus Multipartite: misto dos vrus de Boot e de Programas. Eles

infectam ambos: arquivos de programas e setores de boot, o que os tornam muito mais eficazes na tarefa de se espalhar, contaminando outros arquivos e/ou discos, mas tambm mais difceis de serem detectados e removidos.

Vrus Stealth (Vrus Invisveis): um dos mais complexos da

atualidade, cuja principal caracterstica a inteligncia. Emprega tcnicas para evitar sua deteco durante a varredura de programas antivrus, como, por exemplo, temporariamente se auto remover da memria.

E prossigamos com outros malwares!

Worm (importante!): worms so programas autorreplicantes,

passando de um sistema a outro, sem, necessariamente, utilizar um arquivo hospedeiro. Alm disso, pode causar danos sem a ativao pelo usurio, diferentemente dos vrus.


Analista Ambiental


Prof. Victor Dalton


O worm executado ou no ?

Todo programa em um computador precisa ser executado. Um worm, para se autorreplicar, precisa estar em execuo. O que difere o worm de um vrus, por exemplo, que, enquanto o vrus executado por uma ao explcita do usurio (como um clique duplo no arquivo malicioso), o worm explora vulnerabilidades existentes ou falhas na configurao de softwares instalados em computadores. Ex: execuo do arquivo infectado autorun.inf em um pendrive. O computador que est configurado para executar automaticamente esse arquivo em mdias removveis pode ser contaminado apenas com a insero do pendrive no computador. O arquivo malicioso ser executado, mesmo que o usurio no tenha feito nada. Compreendeu?

Para Fixar

Vrus Worm Programa ou parte de um programa de computador

Programa

Propaga-se inserindo cpias de si mesmo e se tornando parte de outros programas e arquivos

Propaga - se automaticamente pelas redes, enviando copias de si mesmo de computador para computador

Depende da execuo do programa ou arquivo hospedeiro para ser ativado

Execuo direta de suas cpias ou pela explorao automtica de vulnerabilidades existentes em programas instalados em computadores


Analista Ambiental


Prof. Victor Dalton


3) (CESPE FUB Conhecimentos Bsicos - 2015) Vrus um programa autossuficiente capaz de se propagar automaticamente pelas redes enviando cpias de si mesmo de um computador para outro. Errado! Descrio bem didtica de worm. Vrus no so auto propagveis pela rede, enviando cpias de si mesmo.

Bot e Botnet: Bot um programa que dispes de mecanismos com o invasor que permite que ele seja controlado remotamente. Propaga-se de maneira similar ao worm.

O computador infectado por um bot pode ser chamado de zumbi, pois pode ser controlado remotamente, sem o conhecimento do dono. Por exemplo, zumbis podem ser utilizados para realizar ataques DDos e para envio de spam.

Botnet o nome dado a uma rede de Bots.

Spyware: Spyware um programa que monitora atividades de um sistema e envia a terceiros. Podem ser keyloggers, do tipo que captura o que o usurio digita; screenloggers, do tipo que registra os movimentos de mouse de um usurio, ou adwares, daqueles que mostram propagandas para o usurio.

Backdoor: um programa que permite o retorno de um invasor a um computador comprometido. Ele deixa portas abertas em programas instalados na mquina, permitindo o acesso remoto futuro na mquina.

Cavalo de Tria: programas impostores, arquivos que se passam

por um programa desejvel, mas que, na verdade, so prejudiciais, pois executam mais funes alm daquelas que aparentemente ele foi projetado. Contm cdigos maliciosos que, quando ativados, causam a perda ou at mesmo o roubo de dados. No se replicam.


Analista Ambiental


Prof. Victor Dalton


Hijacker: uma variao de Cavalo de Tria que modifica a pgina inicial do navegador e, muitas vezes, tambm abrem pop-ups indesejados. O objetivo vender os cliques que o usurio faz nessas pginas, o que gera lucro para o criador do hijacker.

Rootkit: um conjunto de programas e tcnicas que esconde e

assegura a presena de um invasor ou cdigo malicioso em um computador comprometido. O objetivo do rootkit no obter acesso privilegiado, mas mant-lo, apagando vestgios da invaso.

Segue, abaixo, uma tabela com caractersticas das principais ameaas, pelo Comit Gestor de Internet do Brasil (CGI.br):


Analista Ambiental


Prof. Victor Dalton



Analista Ambiental


Prof. Victor Dalton


4) (CESPE TJ/SE Analista Judicirio Anlise de Sistemas - 2014) Cavalo de Troia, tambm conhecido como trojan, um programa malicioso que, assim como os worms, possui instrues para autorreplicao. Errado! Trojans no so autorreplicantes! Worms so...

Continuemos com outros tipos de ameaas!

Trapdoors: Trapdoors so mecanismos escondidos em softwares, so falhas de programao gerada pelo prprio Programador, para em um futuro, conseguir obter acesso e explorar o sistema. O termo Trapdoor soa e chega a parecer bastante parecido com o backdoor, mas a diferena pode ser explicada. Enquanto o backdoor instalado na mquina da vtima sem que a mesma saiba, para obter acesso ao seu sistema, o Trapdoor desenvolvido pelo prprio programador ao deixar uma falha em seu prprio programa para explor-la futuramente, quando seu software estiver em uso em um determinado lugar (empresa, consultoria, mquinas caseiras, etc).

Scan: Busca minuciosa em redes, para identificar computadores

ativos e coletar informaes sobre eles. Email spoofing (falsificao de email): Envio de email

modificando dados do cabealho, para ludibriar o destinatrio, quanto a remetente, principalmente. Utilizado em spams e phishings.

Sniffing (interceptao de trfego): uma tcnica que baseia-se na interceptao de trfego entre computadores, por meio de sniffers.

Defacement (desfigurao de pgina): um ataque que consiste

em alterar o contedo de uma pgina Web de um site. No raro, alguns sites de rgos pblicos sofrem esse tipo de ataque, no qual os invasores trocam a pgina principal do site por uma pgina prpria, com alguma mensagem radical.


Analista Ambiental


Prof. Victor Dalton


SQL Injection (Injeo de SQL): um ataque baseado na insero maliciosa de comandos ou consultas SQL em uma aplicao Web. O objetivo fazer a aplicao executar comandos indesejados ou permitir o acesso a dados no autorizados.

Cross-Site Scripting - XSS: um ataque no qual uma aplicao recebe dados no confiveis e os envia ao navegador sem validao ou filtro adequados. Esse tipo de ataque permite aos atacantes executarem scripts no navegador da vtima que podem sequestrar sesses do usurio, desfigurar sites ou redirecionar o usurio para sites maliciosos.

Cross-Site Request Forgery: Fora a vtima, que possui uma sesso ativa em um navegador, a enviar uma requisio HTTP forjada, incluindo o cookie da sesso da vtima e qualquer outra informao de autenticao includa na sesso, a uma aplicao web vulnervel. Esta falha permite ao atacante forar o navegador da vtima a criar requisies que a aplicao vulnervel aceite como requisies legtimas realizadas pela vtima. Ao contrrio do XSS, o Cross-Site Request Forgery explora a confiana da aplicao web no usurio que est conectado.

IP Spoofing: Mascaramento do endereo de pacotes IP por meio de endereos de remetentes falsificados.

Port Scanning Attack: Os hackers enviam mensagens para mltiplas portas e aguardam resposta. A depender das respostas, o invasor saber se a porta est disponvel ou no para invaso. De fato, este procedimento muito utilizado pela prpria segurana, em buscas de fraquezas nos servidores.

Session Hijacking: Consiste em de explorar ou controlar uma sesso de comunicao TCP/IP vlida entre computadores sem o conhecimento ou permisso dos donos dos mesmos. O session hijacking normalmente implica explorar o mecanismo que controla a conexo entre um servidor web e um navegador, o que se conhece como "token de sesso". Este token consiste em uma cadeia de caracteres que um servidor web envia para um cliente que se autentica. Ao prever ou roubar o token de sesso, um atacante pode obter acesso ao servidor e dispor dos mesmos recursos que o usurio comprometido.


Analista Ambiental


Prof. Victor Dalton


Buffer Overflow: Consiste no transbordamento de memria, ao se escrever mais dados do que a capacidade do buffer, o que pode sobrescrever a memria adjacente. Um invasor pode utilizar essa tcnica para travar intencionalmente uma aplicao, tomar o controle sobre ela e/ou ganhar privilgios em um sistema.

Advanced Persistent Threat: Invasores profissionais permanecem em uma rede por muito tempo sem serem detectados, com o objetivo de obter acesso crescente, e capturar informaes. Podem usar phising, engenharia social, backdoor ou qualquer outro artifcio para manter-se operando.

Flooding ou DoS: uma forma de ataque de negao de servio (tambm conhecido como Denial of Service - DoS) em sistemas computadorizados, na qual o atacante envia uma seqncia de requisies para um sistema-alvo visando uma sobrecarga direta na camada de transporte e indireta na camada de aplicao do modelo OSI. Sua variante o DdoS (Distributed Denial of Service).

Este o tipo de ataque do qual ouvimos falar recentemente na mdia. Lembra, em 2013, daquele grupo que anunciou ataques a bancos e rgos pblicos no Brasil? Eles anunciavam o ataque, anunciavam o alvo, e o site era derrubado.

Isso acontece porque os ataques do tipo Distributed Denial of

Service, ou ataques distribudos de negao de servio, so os de mais difcil defesa.

Um ataque de negao de servio (DoS), uma tentativa em

tornar os recursos de um sistema indisponveis para seus utilizadores. Alvos tpicos so servidores web, e o ataque tenta tornar as pginas hospedadas indisponveis na rede. No se trata de uma invaso do sistema, mas sim da sua invalidao por sobrecarga. Os ataques de negao de servio so feitos geralmente de duas formas:

Forar o sistema vtima a reinicializar ou consumir todos os recursos (como memria ou processamento por exemplo) de forma que ele no pode mais fornecer seu servio.

Obstruir a mdia de comunicao entre os utilizadores e o sistema vtima de forma a no comunicarem-se adequadamente.


Analista Ambiental


Prof. Victor Dalton


Em um ataque distribudo de negao de servio, um computador mestre (denominado "Master") pode ter sob seu comando at milhares de computadores ("Zombies" - zumbis). Neste caso, as tarefas de ataque de negao de servio so distribudas a um "exrcito" de mquinas escravizadas.

O ataque consiste em fazer com que os Zumbis (mquinas

infectadas e sob comando do Mestre) se preparem para acessar um determinado recurso em um determinado servidor em uma mesma hora de uma mesma data. Passada essa fase, na determinada hora, todos os zumbis (ligados e conectados rede) acessaro ao mesmo recurso do mesmo servidor. Como servidores web possuem um nmero limitado de usurios que pode atender simultaneamente ("slots"), o grande e repentino nmero de requisies de acesso esgota esse nmero de slot, fazendo com que o servidor no seja capaz de atender a mais nenhum pedido.

Destaco ainda que todo ataque de DDoS foi precedido de alguma outra forma de ataque. As mquinas zumbis, ou escravas, so mquinas de usurios comuns que se deixaram infectar anteriormente por algum malware (bots).

Por fim, interessante destacar que os ataques DDos podem ter trs

naturezas: 1) Ataques volumtricos: Tentativa de consumir a largura de

banda, seja dentro da rede/servio alvo ou entre a rede/servio


Analista Ambiental


Prof. Victor Dalton


alvo e o resto da internet. Esses ataques servem simplesmente para causar congestionamento.

2) Ataques de exausto de estado do TCP: Esses ataques tentam consumir as tabelas de estado de conexo que esto presentes em diversos componentes de infraestrutura, tais como balanceadores de carga, firewalls e os prprios servidores de aplicativos. At mesmo dispositivos de alta capacidade capazes de manter o estado de milhes de conexes podem ser derrubados por estes ataques.

3) Ataques na camada de aplicao: Esse tem como alvo algum aspecto de um aplicativo ou servio na Camada-7. So os mais fatais tipos de ataques, j que podem ser muito efetivos com apenas uma mquina de ataque gerando uma baixa taxa de trfego (isto faz com que esses ataques sejam bastante difceis de detectar e mitigar de forma ativa). Estes ataques tm prevalecido nos ltimos trs ou quatro anos, e ataques simples de inundao da camada de aplicao (inundao HTTP GET etc.) tm sido um dos mais comuns ataques DDoS vistos.

5) (CESPE TCU Auditor - Tecnologia da Informao - 2015) Os ataques DDoS de camada de aplicao so caracterizados por explorar aspectos de arquitetura das aplicaes e dos servios para obstruir a comunicao; alm disso, so difceis de detectar e podem ser efetivos com poucas mquinas e taxas de trfego no muito altas. Correto.

Hoax: so mensagens que possuem contedo alarmante ou falso.

Podem ser fotos polmicas, correntes, pirmides. Alm disso, tambm podem conter cdigos maliciosos.

Phishing: tambm chamado de scam, o tipo de fraude no qual um golpista tenta obter dados pessoais e financeiros. Normalmente,


Analista Ambiental


Prof. Victor Dalton


realizado por mensagens eletrnicas que tentam se passar por alguma Instituio conhecida, compelindo o destinatrio a entrar em um site (falso) para o fornecimento de dados pessoais.

Phishing: quem nunca recebeu um email desses?

Uma variao do Phising o chamado Pharming. Nele, o servio DNS (Domain Name System, ou domnio de nomes do sistema) do navegador Web corrompido, redirecionando o usurio para um site falso, mesmo quando ele digita o nome de um site verdadeiro.

Spear Phishing: Outra variao do Phishing, mas o remetente se passa por algum que voc conhece, um amigo ou uma empresa com a qual voc mantm relacionamento.


Analista Ambiental


Prof. Victor Dalton


1.2.2 Engenharia Social

A engenharia social compreende prticas utilizadas para obter acesso

a informaes importantes ou sigilosas em organizaes ou sistemas por meio da enganao ou explorao da confiana das pessoas.

Para isso, o golpista pode se passar por outra pessoa, assumir outra

personalidade, fingir que um profissional de determinada rea, podendo, inclusive, criar falsos relacionamentos de amizade para obter informaes estratgicas de uma organizao.

uma forma de entrar em organizaes que no necessita da fora

bruta ou de erros em mquinas. Explora as falhas de segurana das prprias pessoas que, quando no treinadas para esses ataques, podem ser facilmente manipuladas. Via de regra, o engenheiro social busca obter a confiana da vtima, com o objetivo de extrair informaes privilegiadas.

A engenharia social combatida com o treinamento e a

conscientizao das pessoas.

1.3 Criptografia Criptografia o estudo dos princpios e tcnicas pelas quais

a informao pode ser transformada da sua forma original para outra ilegvel, de forma que possa ser conhecida apenas por seu destinatrio, o que a torna difcil de ser lida por algum no autorizado. Assim sendo, s o receptor da mensagem pode ler a informao com facilidade. um ramo da Matemtica, parte da Criptologia.

H dois tipos principais de chaves criptogrficas: chaves

simtricas e chaves assimtricas. Uma informao no-cifrada que enviada de uma pessoa (ou organizao) para outra chamada de "texto claro" (plaintext). Cifragem o processo de converso de um texto claro para um cdigo cifrado e decifragem o processo contrrio, de


Analista Ambiental


Prof. Victor Dalton


recuperar o texto original a partir de um texto cifrado. A criptografia moderna basicamente formada pelo estudo dos algoritmos criptogrficos que podem ser implementados em computadores.

Segundo Nakamura, a criptografia possui quatro propriedades, ou

objetivos, para a proteo da informao, a saber:

Confidencialidade (privacidade) sigilo entre as partes envolvidas

Integridade a informao no sofrer alteraes Autenticao (do remetente) poder saber quem o remetente No-repdio o remetente no poder negar a autoria da

mensagem

1.3.1 Conceitos relacionados

Uma tcnica clssica de criptografia a esteganografia.

Esteganografia (do grego "escrita escondida") o estudo e uso das tcnicas para ocultar a existncia de uma mensagem dentro de outra, uma forma de segurana por obscurantismo. Em outras palavras, esteganografia o ramo particular da criptologia que consiste em fazer com que uma forma escrita seja camuflada em outra a fim de mascarar o seu verdadeiro sentido.

Interessante frisar a diferena entre criptografia e esteganografia. Enquanto a primeira oculta o significado da mensagem, a segunda oculta a existncia da mensagem.

Veja abaixo um exemplo clssico de esteganografia.


Analista Ambiental


Prof. Victor Dalton


Mensagem inocente, no?

E essa mensagem? Continua inocente?

Nos dias atuais, possvel empregar a esteganografia em mensagens de udio, texto, vdeos, imagens... enfim, qualquer tipo de mdia que possa carregar informao.

Uma outra ideia relacionada criptografia a chamada cifra de Csar.

A cifra de Csar uma das formas mais simples de criptografia. Quem j teve infncia certamente j trocou bilhetes criptografados na escola, usando a famosa regrinha do +1, -1, +2, etc. Por exemplo, escrevendo CASA como DBTB ou BZRZ. Esta a cifra de Csar.


Analista Ambiental


Prof. Victor Dalton


A cifragem de Csar se baseia no deslocamento dos caracteres do alfabeto.

Outros conceitos interessantes dizem a respeito da engenharia

reversa da criptografia. Uma parte interessada em quebrar uma mensagem cifrada pode lanar mo de dois recursos, a saber:

Criptoanlise: os ataques criptoanalticos contam com a natureza

do algoritmo e talvez mais algum conhecimento das caractersticas gerais do texto claro, ou ainda algumas amostras do texto claro e texto cifrado. O objetivo deduzir o texto em claro ou a chave utilizada. A criptoanlise pode ser considerada o oposto da criptologia, que a arte de criar mensagens cifradas.

Ataque por fora bruta: o atacante experimenta cada chave

possvel em um trecho de texto cifrado, at obter uma traduo inteligvel para o texto claro. Na mdia, metade de todas as chaves possveis precisam ser testadas para se obter sucesso.

Logo, percebe-se uma diferena clara entre a criptoanlise e a fora

bruta. Criptografar e decriptografar mensagens um jogo de gato e rato.

Veremos mais sobre esse jogo, medida que nos aprofundarmos no assunto.

1.3.2 Criptografia simtrica e assimtrica (importante!) Diferenciar algoritmos de chave simtrica e assimtrica importante,

e no difcil!


Analista Ambiental


Prof. Victor Dalton


Os algoritmos de chave simtrica so uma classe

de algoritmos para a criptografia, que usam chaves criptogrficas relacionadas para as operaes de cifragem e decifragem. A operao de chave simtrica mais simples, pois pode existir uma nica chave entre as operaes. A chave, na prtica, representa um segredo, partilhado entre duas ou mais partes, que podem ser usadas para manter um canal confidencial de informao. Usa-se uma nica chave, partilhada por ambos os interlocutores, na premissa de que esta conhecida apenas por eles. Resumindo, a mesma chave usava pra criptografar a mesma utilizada para decriptografar.

Criptografia com chave simtrica.

Os algoritmos de chave assimtrica, por sua vez, trabalham com

chaves distintas para a cifragem e decifragem. Normalmente utilizam o conceito de chave pblica e chave privada, no qual a chave pblica do destinatrio utilizada para a criptografia da informao, e apenas a chave privada consegue realizar a decifragem. Requer o emprego de algoritmos complexos, como a utilizao de nmeros primos extensos.


Analista Ambiental


Prof. Victor Dalton


Criptografia assimtrica

Veja a comunicao acima. Thiago vai enviar uma mensagem para

Fbio. Assim sendo, Thiago utiliza a chave pblica de Fbio para criptografar a mensagem. Estando a mensagem cifrada, ela pode trafegar por um canal inseguro (ex: Internet) com certa tranquilidade, pois apenas Fbio poder decifrar a mensagem, j que apenas ele possui a chave privada, e nunca divulgou para ningum.

O inconveniente da chave simtrica, por ser nica, que o meio pelo

qual trafegam as mensagens no pode ser o mesmo meio pelo qual a chave compartilhada, lgico. Portanto, distribuir a chave um inconveniente. Atualizar a chave um inconveniente. Se existe um meio mais seguro para compartilhar a chave, porque no utiliz-lo para o prprio fluxo de dados?

Alm disso, gerenciar as chaves tambm pode ser um problema. Afinal, para comunicar-se com muitos destinatrios diferentes, o ideal que se tenha uma chave para cada destinatrio diferente.

Por outro lado, as chaves simtricas so as mais recomendadas para o trmite de grandes volumes de dados, j que seu processamento mais rpido.

J a chave assimtrica, teoricamente mais segura, requer algoritmos

complexos para o seu devido emprego, logo, no difcil imaginar que performance seja um gargalo neste sistema.

Como contrapartida, uma nica chave pblica pode ser distribuda livremente, j que apenas a chave privada, nunca divulgada, consegue decifrar a mensagem.

Essas diferenas merecem um comparativo, no mesmo?


Analista Ambiental


Prof. Victor Dalton


CHAVE SIMTRICA CHAVE ASSIMTRICA Chaves nica Pblica (divulgada livremente)

Privada(secreta) Funcionamento Mesma chave cifra e

decifra Chave pblica cifra a mensagem e

chave privada decifra Processamento Veloz Lento Gerenciamento das chaves

Complicado, uma chave para cada

usurio

Simples, basta divulgar a chave pblica

Ataques de fora bruta

So perigosos So ineficazes (nmeros primos muito grandes)

6) (CESPE ANTAQ Analista Administrativo Infraestrutura de TI - 2014) Na criptografia simtrica, a mesma chave compartilhada entre emissor e receptor utilizada tanto para cifrar quanto para decifrar um documento. Na criptografia assimtrica, utiliza-se um par de chaves distintas, sendo a chave pblica do receptor utilizada pelo emissor para cifrar o documento a ser enviado; posteriormente, o receptor utiliza sua chave privada para decifrar o documento. Correto. Explicao bem didtica de ambas as criptografias.

1.3.3 Principais algoritmos

Hora de vermos alguns algoritmos.

DES (Data Encryption Standard) - DES tipo de cifra em bloco, ou seja, um algoritmo que toma uma string (pedao de texto) de tamanho fixo de um texto plano e a transforma, atravs de uma srie de complicadas operaes, em um texto cifrado de mesmo tamanho. No caso do DES, o tamanho do bloco 64 bits. DES tambm usa uma chave para personalizar a transformao, de modo que a decifragem somente possvel, teoricamente, por aqueles que conhecem a chave particular utilizada para criptografar. A chave consiste nominalmente de 64 bits, porm somente 56 deles so realmente utilizados pelo algoritmo. Os oito bits restantes so utilizados para verificar a paridade e depois so


Analista Ambiental


Prof. Victor Dalton


descartados, portanto o tamanho efetivo da chave de 56 bits, e assim citado o tamanho de sua chave.

O DES, por ser um algoritmo simtrico, utiliza a mesma chave para a decriptografia, aplicando-se as subchaves na sequncia inversa. um algoritmo relativamente vulnervel a ataques de fora bruta, nos dias atuais.

O 3-DES uma verso melhorada do DES, na qual os dados so encriptados com a primeira chave, decifrados com a segunda chave e finalmente encriptados novamente com uma terceira chave. Isto faz o 3DES ser mais lento que o DES original, porm em contrapartida oferece maior segurana.


Analista Ambiental


Prof. Victor Dalton


AES (Advanced Encryption Standard) Tambm conhecido como Rjindael, o AES foi um algoritmo provocado pelo governo norteamericano, em virtude da necessidade de substituio do DES, cuja vida til se aproximava do fim. Ele tambm simtrico, usa um tamanho de bloco de 128 bits e admite chaves de 128, 192 e 256 bits.

IDEA (International Data Encryption Algorithm) algoritmo desenvolvido na Sua, em 1990. Simtrico, usa chave de 128 bits.

RSA O RSA um algoritmo assimtrico de chave pblica, conforme exemplo mostrado anteriormente. Ele utiliza nmeros primos muito grandes.

RC4 O RC4 no uma tcnica de blocos, ele trabalha em fluxo contnuo de entrada e sada de bytes. A chave pode ter de 1 at 2048 bits, mas comum a utilizao com chave de 40 ou 128 bits.

MD-5 (Message Digest Algorithm 5) - um algoritmo de hash de 128 bits unidirecional desenvolvido pela RSA Data Security, Inc., e muito


Analista Ambiental


Prof. Victor Dalton


utilizado por softwares com protocolo ponto-a-ponto na verificao de integridade de arquivos e logins. Atualmente, a comunidade de segurana considera o MD5 como um algoritmo quebrado, embora ainda seja utilizado nos dias atuais.

SHA-1 (Secure Hash Algorithm 1) - A famlia de SHA (Secure Hash Algorithm) est relacionada com as funes criptogrficas e verificao de integridade de dados. A funo mais usada nesta famlia, a SHA-1, usada numa grande variedade de aplicaes e protocolos de segurana, incluindo TLS, SSL, PGP, SSH, S/MIME e IPSec. SHA-1 foi considerado o sucessor do MD5.

O SHA-1 processa os dados de entrada em blocos de 512 bits e gera um sumrio de mensagens de 160 bits.

DSS (Digital Signature Standard) O DSS um padro de assinatura digital utiliza um algoritmo que foi projetado apenas para oferecer a funo de assinatura digital (o DSA). Diferentemente do RSA, ele no pode ser usado para a criptografia ou troca de chave. Apesar disso, uma tcnica de chave pblica. O DSS tambm utiliza o algoritmo SHA-1 para a gerao do hash.

DSA (Digital Signature Algorithm) O DSA o algoritmo do DSS para assinatura digital, baseado na dificuldade de se calcular logaritmos discretos. Ele trabalha com trs parmetros pblicos, que podem ser comuns a um grupo de usurios. Um nmero primo q de 160 bits, um nmero p entre 512 a 1024 bits, de modo que q divida (p -1), e g, que ser igual a h elevado a [(p-1)/q], em que h menor que p -1 e (g mod q) > 1. h a chave secreta a ser utilizada pelo assinante.

7) (CESPE TCU Auditor - Tecnologia da Informao - 2015) No algoritmo AES, a cifra de decriptografia idntica cifra de criptografia, assim como a sequncia de transformaes para a decriptografia a mesma para a criptografia, o que pode ser considerado uma vantagem, j que apenas um nico mdulo de software ou firmware necessrio para aplicaes que exigem tanto criptografia quanto decriptografia.


Analista Ambiental


Prof. Victor Dalton


Errado! Embora o AES realmente seja um algoritmo simtrico, isso no uma vantagem, mas sim uma vulnerabilidade. Algoritmos assimtricos so mais seguros.

1.3.1 Assinatura digital Analisar assinatura digital a continuao natural da criptografia

assimtrica. Por enquanto, ainda estamos no mundo das ideias, mas j traremos esses conceitos para o nosso dia a dia. Peo sua pacincia!

Voc deve ter percebido que a criptografia baseada em chave

assimtrica garante a confidencialidade da mensagem, pois, apenas o destinatrio da mesma consegue decifr-la. At a tudo bem, mas quem garante que a mensagem realmente est vindo daquele emissor?

Afinal de contas, qualquer um pode enviar uma mensagem para Fbio. A chave pblica de Fbio pblica, no mesmo?

nesse contexto que entra a assinatura digital. Ela garantir a

autenticidade do remetente e a integridade da mensagem. Vamos ver como?

Assinatura digital baseada em Chave Pblica A assinatura digital requer que emissores e receptores conheam as

chaves pblicas uns dos outros. Assim, quando a entidade emissora quer enviar uma mensagem assinada digitalmente a outra entidade, aquela ter que cifrar a mensagem com a sua chave privada e, em seguida, cifrar o resultado com a chave pblica da entidade receptora. Por sua vez, a entidade receptora ao receber a mensagem ter que decifr-la primeiro com a sua chave privada e de seguida decifrar este resultado com a chave pblica da entidade emissora.

O receptor pode provar a recepo de qualquer mensagem atravs

do criptograma resultante da decifragem com a sua chave privada. Note-se que ele consegue decifr-lo mas nunca conseguiria produzi-lo uma vez que desconhece a chave privada do emissor.


Analista Ambiental


Prof. Victor Dalton


Este mtodo de assinatura digital tem todas as vantagens dos algoritmos de chave pblica nomeadamente a sua impossibilidade de decifragem por outros, pelo menos em tempo til.

Figura assinatura digital baseada em chave pblica

Entendeu a jogada? Se, alm de cifrar a mensagem com a chave pblica de Fbio, Thiago

cifrar tambm com sua prpria chave privada, Fbio no s conseguir ler a mensagem, como tambm garantir que a mensagem realmente de Thiago, pois a chave pblica de Thiago tambm decifra mensagens cifradas pela chave privada de Thiago.

Veja tambm outros dois tipos de assinatura digital: Assinatura digital baseada em Chave Secreta Esta aproximao requer a existncia de uma autoridade central que

sabe tudo e em quem todos confiam. Cada entidade escolhe uma chave secreta e a repassa autoridade central. Desta forma s autoridade central e a prpria entidade tm conhecimento da sua chave secreta. Quando uma entidade quer enviar uma mensagem assinada digitalmente outra, ter que a cifrar, com a sua chave secreta, e envi-la autoridade central. A mensagem passar pela autoridade central que a decifrar com a chave secreta da entidade emissora. A esta mensagem ser concatenada uma estampilha que s a autoridade central consegue gerar e decifrar. O resultado ser cifrado com a chave secreta da entidade receptora e enviado. Desta forma, o receptor pode provar a recepo de


Analista Ambiental


Prof. Victor Dalton


qualquer mensagem atravs da estampilha recebida (s a autoridade central consegue produzir uma).

Assinatura digital baseada em funes de hash (importante!) Uma das crticas que se podem fazer aproximaes apresentadas

anteriormente que elas juntam duas funes distintas: autenticao e privacidade. Muitas vezes, necessria a autenticao, mas no existe qualquer interesse de privacidade. Uma vez que a cifragem de uma mensagem com criptografia de chaves pblicas normalmente lenta, frequentemente desejvel enviar uma mensagem assinada digitalmente sem preocupao de que ela seja lida por outros. Desta forma no ser necessrio cifrar toda a mensagem.

Este esquema baseia-se nas funes de sentido nico (one-way hash

functions) e tem como base a cifragem de uma parte, arbitrariamente longa, da mensagem, obtendo como resultado o chamado message-digest(resumo). Esse resumo possui tamanho fixo, independentemente do tamanho da mensagem.

Desta forma, a entidade emissora ter que gerar o message-digest e

cifr-lo (assin-lo) com a sua chave privada. De seguida poder enviar a mensagem (cifrada ou no) concatenada

com a sua assinatura. A entidade receptora decifrar a assinatura com a chave pblica da entidade emissora (previamente publicada) e verificar se o message-digest o esperado. Como pode ser facilmente percebido, as entidades comunicantes devem assegurar-se que conhecem as verdadeiras chaves pblicas umas das outras e no quaisquer outras ilegalmente publicadas, a troco da segurana do sistema poder ficar comprometido. Para garantir isso, i.e., para fazer a distribuio de chaves pblicas de forma segura, usa-se o conceito de certificado, um objeto que contm a chave pblica de uma dada entidade assinada digitalmente por uma entidade de confiana, conhecida por autoridade certificadora (CA).

Figura assinatura digital baseada em funes de hash


Analista Ambiental


Prof. Victor Dalton


Estamos evoluindo! Primeiro, voc entendeu como a mensagem enviada de uma forma segura. Segundo, voc entendeu como garantir a assinatura do remetente. Agora podemos fazer mais uma pergunta.

Quem garante que aquele emissor realmente legtimo? Ou

seja, quem garante a Fbio que o Thiago realmente o Thiago, e no algum se passando por Thiago?

A dica foi dada na ltima modalidade de assinatura digital. hora de

estudarmos o Certificado Digital.

1.3.4 Certificado digital Um certificado digital normalmente usado para ligar uma

entidade a uma chave pblica. Para garantir digitalmente, no caso de uma Infraestrutura de Chaves Pblicas (ICP), o certificado assinado pela Autoridade Certificadora (AC) que o emitiu e no caso de um modelo de Teia de Confiana (Web of Trust), o certificado assinado pela prpria entidade e assinado por outros que dizem confiar naquela entidade. Em ambos os casos as assinaturas contidas em um certificado so atestamentos feitos por uma entidade que diz confiar nos dados contidos naquele certificado.

O certificado digital oferece garantias de:

Autenticidade - o receptor dever poder confirmar a assinatura do emissor;

Integridade - garantia de que o contedo da transao no foi alterado;

No-repdio - garantia de que quem executou a transao no pode negar que foi ele mesmo que executou;

Ainda est um pouco quadrado? Pois imagine o Certificado Digital como uma cdula de identidade,

emitida por um cartrio. A gente s vezes no precisa ir em um cartrio pra provar que a gente a gente mesmo? Mesma coisa aqui!

Veja essa tela abaixo, por meio da qual um usurio entra em sua

conta no site do Banco do Brasil (repare no CADEADO VERDE):


Analista Ambiental


Prof. Victor Dalton


Esta uma tpica comunicao de duas partes que usa criptografia

assimtrica. Uma parte VOC, cliente, e a outra o BANCO. Em telas cuja informao sensvel, como os dados bancrios de um

cliente, o fornecedor de um servio crtico, no caso, o BANCO, oferece um canal seguro de comunicao, protegido por criptografia. Mas VOC, no caso o seu navegador, precisa ter certeza que realmente est trocando mensagens com o BANCO. Para isso, o banco, ao entrar nesse canal seguro, lhe envia um CERTIFICADO DIGITAL, mostrando quem ele , qual a criptografia que usa, lhe enviando a chave pblica dele, e informando qual a AUTORIDADE CERTIFICADORA que emitiu o Certificado dele.

VOC, ento, por meio de seu navegador de internet, verifica se a

autoridade certificadora dele realmente de confiana (como se um cartrio fosse). Nas configuraes avanadas de seu navegador, possvel verificar estes certificados. Segue abaixo uma tela do Google Chrome, que mostra isso:


Analista Ambiental


Prof. Victor Dalton


Nem pense em modificar essas configuraes! Seu navegador

pode ficar vulnervel! Sendo o Certificado Digital realmente emitido por uma Autoridade

Certificadora de confiana, o CADEADO VERDE aparece na sua tela, mostrando que sua comunicao, a partir daquele momento, ser segura.

Viu como a criptografia faz parte do seu dia a dia? P.S.: Voc j deve ter entrado em sites, inclusive de rgos pblicos,

e ter se deparado com mensagens do tipo :Este Certificado no foi verificado. Deseja continuar? , conforme imagem abaixo:

Tela vermelha de fundo, cadeado cortado, ou em vermelho, e

alguma mensagem do tipo continue por sua conta e risco.


Analista Ambiental


Prof. Victor Dalton


Isso acontece porque a emisso de certificados paga (como se cartrio fosse, rs), e nem todos aderem s Autoridades Certificadoras. Na prtica, isso quer dizer que a comunicao com a outra parte segura, mas no h Autoridade Certificadora garantindo que a outra parte idnea. Ou seja, possvel trocar informaes de maneira segura com uma parte mal intencionada. Nesses casos, confiar no outro lado fica por conta e risco do usurio, e no da Autoridade Certificadora.

Em um certificado digital, podero ser encontradas as seguintes

informaes: verso e nmero de srie do certificado.

dados que identificam quem emitiu o certificado (assinatura da AC).

dados que identificam o dono do certificado (nome, registro civil).

validade do certificado.

chave pblica do dono do certificado (a chave privada fica apenas com o dono).

algoritmo de assinatura.

verso e nmero de srie do certificado.

requerente do Certificado.

8) (CESPE ANTAQ Analista Administrativo Infraestrutura de TI - 2014) Para a utilizao de criptografia assimtrica, a distribuio das chaves pblicas comumente realizada por meio de certificado digital, que contm o nome do usurio e a sua chave pblica, sendo a autenticidade dessas informaes garantida por assinatura digital de uma terceira parte confivel, denominada Autoridade Certificadora. Correto. A Autoridade Certificadora garante a autenticidade do dono do Certificado e, ao fornecer a chave pblica, garante que somente o dono do certificado pode decifrar as mensagens que lhe forem enviadas.


Analista Ambiental


Prof. Victor Dalton


1.3.5 A ICP - Brasil Falando em Autoridade Certificadora, a ICP-Brasil um conjunto de

entidades governamentais ou de iniciativa privada, padres tcnicos e regulamentos, elaborados para suportar um sistema criptogrfico com base em certificados digitais e visa assegurar as transaes entre titulares de certificados digitais e detentores de chaves pblicas, no Brasil.

Para assegurar que uma determinada chave pertence a voc

necessrio que uma Autoridade Certificadora (AC) confira sua identidade e seus respectivos dados. Ela ser a entidade responsvel pela emisso, suspenso, renovao ou revogao de seu certificado digital, alm de ser obrigada a manter sempre disponvel a Lista de Certificados Revogados (CRL).

A ICPBrasil formada por uma Autoridade Certificadora Raiz (AC

RAIZ) que representada pelo Instituto Nacional de Tecnologia da Informao (ITI), sendo este rgo responsvel pela autentificao das demais Autoridades Certificadoras, alm de executar atividades de fiscalizao e auditoria das AC e Autoridades de Registro (AR) para que possa certificar-se de que a entidade est seguindo todas as Polticas de Certificao.

Vejamos mais alguns conceitos relevantes sobre a ICP Brasil: AC - Raiz

A Autoridade Certificadora Raiz da ICP-Brasil (AC-Raiz) a primeira autoridade da cadeia de certificao. Executa as Polticas de Certificados e normas tcnicas e operacionais aprovadas pelo Comit Gestor da ICP-Brasil. Portanto, compete AC-Raiz emitir, expedir, distribuir, revogar e gerenciar os certificados das autoridades certificadoras de nvel imediatamente subsequente ao seu.

A AC-Raiz tambm est encarregada de emitir a lista de certificados

revogados (LCR) e de fiscalizar e auditar as Autoridades Certificadoras (ACs), Autoridades de Registro (ARs) e demais prestadores de servio habilitados na ICP-Brasil. Alm disso, verifica se as ACs esto atuando em conformidade com as diretrizes e normas tcnicas estabelecidas pelo Comit Gestor da ICP-Brasil.


Analista Ambiental


Prof. Victor Dalton


AC - Autoridade Certificadora

Uma Autoridade Certificadora (AC) uma entidade, pblica ou privada, subordinada hierarquia da ICP-Brasil, responsvel por emitir, distribuir, renovar, revogar e gerenciar certificados digitais. Tem a responsabilidade de verificar se o titular do certificado possui a chave privada que corresponde chave pblica que faz parte do certificado. Cria e assina digitalmente o certificado do assinante, onde o certificado emitido pela AC representa a declarao da identidade do titular, que possui um par nico de chaves (pblica/privada).

Cabe tambm AC emitir listas de certificados revogados (LCR) e manter registros de suas operaes sempre obedecendo s prticas definidas na Declarao de Prticas de Certificao (DPC). Alm de estabelecer e fazer cumprir, pelas Autoridades Registradoras (ARs) a ela vinculadas, as polticas de segurana necessrias para garantir a autenticidade da identificao realizada.

AR Autoridade de Registro

Uma Autoridade de Registro (AR) responsvel pela interface entre o usurio e a Autoridade Certificadora. Vinculada a uma AC, tem por objetivo o recebimento, validao, encaminhamento de solicitaes de emisso ou revogao de certificados digitais e identificao, de forma presencial, de seus solicitantes. responsabilidade da AR manter registros de suas operaes. Pode estar fisicamente localizada em uma AC ou ser uma entidade de registro remota.


Analista Ambiental


Prof. Victor Dalton


9) (CESPE ANTAQ Analista Administrativo Infraestrutura de TI - 2014) Para a obteno da chave pblica de uma AC, utiliza-se um esquema de gerenciamento de chaves pblicas, denominado infraestrutura de chaves pblicas (ICP). No Brasil, a ICP-Brasil organizada de forma hierrquica, em que uma AC raiz certifica outras ACs e, posteriormente, estas, bem como a AC raiz, emitem certificados para os usurios finais. Errado! 90% da sentena est correta. O nico equvoco foi insinuar que a AC raiz tambm emite certificados aos usurios finais. Ela emite somente para as outras ACs imediatamente abaixo do seu nvel. 10) (CESPE TCU Auditor - Tecnologia da Informao - 2015) A autoridade de registro, alm de ser a emissora de certificados e listas de revogao de certificados, um componente obrigatrio nas PKI e est associada ao registro das autoridades certificadoras.

Dica do professor: perceba que a Autoridade de Registro NO EMITE Certificados Digitais. Embora uma entidade precise ir a uma AR para obter o seu Certificado Digital, quem emitir o certificado ser a AC. A AR apenas faz o meio de campo entre a entidade e a AC. Ainda, perceba que ningum emite Certificados diretamente com a AC-Raiz, apenas as autoridades Certificadoras imediatamente abaixo de seu nvel na hierarquia. Conhea a hierarquia resumida da ICP Brasil em: http://www.iti.gov.br/images/icp-brasil/estrutura/2014/atualizacao12/Estrutura_da_ICP-Brasil_-_site.pdf


Analista Ambiental


Prof. Victor Dalton


Errado! A autoridade de registro no emite certificados, ela faz o meio de campo entre a autoridade certificadora (esta sim emite certificados e listas de certificados revogados) e o usurio. A AR pode estar fisicamente localizada em uma AC ou ser uma entidade de registro remota.

1.3.6 Tipos de Certificao Digital Na ICP-Brasil esto previstos dez tipos de certificado. So duas

sries de certificados. A srie A (A1, A2, A3 e A4) rene os certificados de assinatura digital, utilizados na confirmao de identidade na Web, em e-mail, em redes privadas virtuais (VPN) e em documentos eletrnicos com verificao da integridade de suas informaes.

Tambm certificados de assinatura digital, certificados do tipo T3 e T4 somente podem ser emitidos para equipamentos das Autoridades de Carimbo do Tempo (ACTs) credenciadas na ICP-Brasil.

A srie S (S1, S2, S3 e S4), por sua vez, rene os certificados de sigilo, que so utilizados na codificao de documentos, de bases de dados, de mensagens e de outras informaes eletrnicas sigilosas. Os dez tipos so diferenciados pelo uso, pelo nvel de segurana e pela validade.

Nos certificados do tipo A1 e S1, as chaves privadas ficam armazenadas no prprio computador do usurio. Nos tipos A2, A3, A4, S2, S3 e S4, as chaves privadas e as informaes referentes ao seu certificado ficam armazenadas em um hardware criptogrfico carto inteligente (smart card) ou carto de memria (token USB ou pen drive). Para acessar essas informaes, ainda, necessria a digitao de senha no momento crtico da transao.

Tipos T3 e T4 so para hardware especfico das Autoridades de Carimbo do Tempo, cuja finalidade provar a sua existncia em determinado perodo, em qualquer documento ou transao eletrnica, baseando-se na hora oficial brasileira fornecida pelo Observatrio Nacional.


Analista Ambiental


Prof. Victor Dalton


Tipo de

certificado

Chave criptogrfica

Validade mxima

(anos)*

Tamanho da

chave (bits)

Processo de

gerao Mdia armazenadora

A1 e S1 1024 Software Arquivo 1

A2 e S2 1024 Sofware

Smart card ou token, sem capacidade

de gerao de chave 2

A3 e S3 1024 Hardware

Smart card ou token, com capacidade

de gerao de chave 5

A4 e S4 2048 Hardware

Smart card ou token, com capacidade

de gerao de chave 3

T3 1024 Hardware

Hardware criptogrfico aprovado

pelo CG da ICP-Brasil 5

T4 2048 Hardware

Hardware criptogrfico aprovado

pelo CG da ICP-Brasil 3

*observao: a partir de 5 de julho de 2012, qualquer certificado emitido por AC de 1 ou 2 nvel pode ter validade de at 5 anos.


Analista Ambiental


Prof. Victor Dalton


1.4 Backup

A informao mais importante a respeito de backup fica na norma ISO 27002, a qual afirma que as mdias de backup devem ficar situadas a uma distncia segura da mdia e dos sistemas originais, para que danos causados por um desastre no site principal no afetem tambm o backup. Questes de prova em cima dessa ideia so frequentes.

Alm disso, podemos destacar que os backups podem ser realizados

de trs formas diferentes. So elas: Backup Incremental: realiza um backup dos arquivos que foram

alterados ou novos desde o ltimo backup, de qualquer tipo. Em suma, um backup de atualizao.

Backup Diferencial: realiza um backup dos arquivos que foram

alterados desde o ltimo backup completo. um backup intermedirio entre o incremental e o completo.

Backup Completo: como o prprio nome diz, todos os arquivos e

pastas na unidade sofrem o backup, ou seja, criada uma cpia de segurana para todos esses arquivos.

Onde gravar os backups: voc pode usar mdias (como CD, DVD,

pen-drive, disco de Blu-ray e disco rgido interno ou externo) ou armazena-los remotamente (online ou off-site). A escolha depende do programa de backup que est sendo usado e de questes como capacidade de armazenamento, custo e confiabilidade. Um CD, DVD ou Blu-ray pode bastar para pequenas quantidades de dados, um pen-drive pode ser indicado para dados constantemente modificados, ao passo que um disco rgido pode ser usado para grandes volumes que devam perdurar.

Quais arquivos copiar: apenas arquivos confiveis e que tenham

importncia para voc devem ser copiados. Arquivos de programas que podem ser reinstalados, geralmente, no precisam ser copiados. Fazer cpia de arquivos desnecessrios pode ocupar espao inutilmente e dificultar a localizao dos demais dados. Muitos programas de backup j


Analista Ambiental


Prof. Victor Dalton


possuem listas de arquivos e diretrios recomendados, voc pode optar por aceit-las ou criar suas prprias listas.

Com que periodicidade devo realiza-los: depende da frequncia

com que voc cria ou modifica arquivos. Arquivos frequentemente modificados podem ser copiados diariamente ao passo que aqueles pouco alterados podem ser copiados semanalmente ou mensalmente.

1.5 VPN Uma Rede Privada Virtual (Virtual Private Network VPN),

como o prprio nome sugere, uma forma de conectar dois computadores utilizando uma rede pblica, como a Internet.

Como a Internet uma rede pblica, preciso criar alguns

mecanismos de segurana para que as informaes trocadas entre os computadores de uma VPN no possam ser lidas por outras pessoas.


Analista Ambiental


Prof. Victor Dalton


A proteo mais utilizada a criptografia, pois essa garante que os dados transmitidos por um dos computadores da rede sejam os mesmo que as demais mquinas iro receber.

Depois de criptografados, os dados so ento encapsulados e

transmitidos pela Internet, utilizando o protocolo de tunelamento, at encontrar seu destino.

Os principais protocolos de tunelamento so os seguintes: PPTP (Point-to-Point Tunneling Protocol) um protocolo de

nvel 2desenvolvido pela Microsoft, 3Com, Ascend, EUA Robotics e ECI Telematics.

L2F (Layer Two Forwarding) um protocolo de nvel 2

desenvolvido pela Cisco, Northern Telecom e Shiva. Est hoje quase obsoleto.

L2TP (Layer Two Tunneling Protocol) o resultado dos trabalhos

do IETF (RFC 2661) para fazer convergir as funcionalidades de PPTP e de L2F. Trata-se assim de um protocolo de nvel 2 que se apoia em PPP.

IPSec um protocolo de nvel 3, procedente dos trabalhos do IETF,

permitindo transportar dados calculados para as redes IP. Vejamos um pouco mais sobre este protocolo, o mais conhecido.

O IPsec define dois protocolos de segurana designados de

Cabealho de Autenticao (AH) (RFC 2402) e Encapsulating Security Payload (ESP) (RFC 2406). Cada protocolo define o seu prprio formato para o cabealho IPsec no pacote IPsec. Ambos os protocolos usam o conceito de uma Associao de Segurana (AS). Por isso, as SAs podem ser do tipo AH ou ESP. Note-se que uma SA no pode ser em simultneo do tipo AH e ESP. Adicionalmente, quer o AH quer o ESP suportam os modos transporte e tnel.


Analista Ambiental


Prof. Victor Dalton


O AH proporciona integridade e autenticao, usando algoritmos de

chave partilhada como o MD5 e o SHA-1. O AH no proporciona confidencialidade.

O ESP proporciona confidencialidade e, opcionalmente, integridade e

autenticao. Para a confidencialidade o ESP suporta algoritmos de encriptao por chave partilhada tais como o DES e o 3-DES. Tal como o AH o ESP suporta os algoritmos MD5 e SHA-1 para integridade e autenticao.

Aparentemente O ESP fornece todas as funcionalidades do AH, o que

o tornaria desnecessrio. Contudo existe uma diferena entre a integridade e autenticao fornecidas pelo AH e pelo ESP.

Cabealho IP original

AH TCP Dados

|------------------------------------------Testa a integridade ----------------------------------------------|

Cabealho IP original ESP TCP Dados


Analista Ambiental


Prof. Victor Dalton


|-------------------------- Testa a integridade -----------------------------|

|--------------------- Encriptado ----------------------|

O ESP no testa a integridade da totalidade do pacote IP, deixando

de fora o cabealho. O AH testa a totalidade do pacote IPsec, incluindo o cabealho IP (tecnicamente alguns campos do cabealho so sujeitos a alteraes durante o transito no podendo por isso o AH proteger estes valores).

Por essa razo se for importante o controlo da integridade do

cabealho do pacote IP podem ser usados em conjunto o ESP e o AH. Isto implica, como j foi dito, ter o dobro das SAs, uma vez que uma SA pode implementar o ESP ou o AH mas no ambos.

O IPSec independe do algoritmo utilizado. verdade. O IPSec

permite a escolha do algoritmo de criptografia a ser empregado, inclusive nenhum (sem segurana).

Embora esteja na camada IP, o IPSec orientado a conexes - Uma conexo no contexto do IPSec chamada de associao de segurana, ou AS (security association). Tal conexo simplex, e tem um identificador de segurana associado a ela.

Pode ser usado no modo de transporte, em que todo pacote IP, incluindo o cabealho, encapsulado no corpo de um novo pacote IP com um cabealho IP completamente novo. Este o modo tunelamento. No modo de transporte, o cabealho IPSec inserido logo aps o cabealho IP.


Analista Ambiental


Prof. Victor Dalton


1.6 Firewall

O Firewall, segundo Nakamura, em seu livro Segurana de Redes

em Ambientes Cooperativos, pode ser definido como um ponto entre duas ou mais redes, que pode ser um componente ou conjunto de componentes, por onde passa todo o trfego, permitindo que o controle, a autenticao e os registros de todo o trfego sejam realizados. Alm disso, pode ser definido como um grupo de sistemas que refora a poltica de acesso entre duas redes, e, portanto, pode ser visto como uma implementao da poltica de segurana.

Na prtica, firewalls so utilizados para:

Registrar tentativas de acesso indevidas a um computador ou rede;

Bloquear o envio de informaes coletadas por invasores e cdigos maliciosos;

Bloquear tentativas de invaso e explorao de vulnerabilidades, identificando a origem das tentativas;


Analista Ambiental


Prof. Victor Dalton


Analisar continuamente o contedo das conexes, filtrando cdigos maliciosos e barrando a comunicao entre um invasor e um cdigo malicioso j instalado;

Evitar que um cdigo malicioso j instalado se propague, impedindo que vulnerabilidades em outros computadores sejam exploradas.

Vejamos alguns termos relacionados a firewall: Proxy: Sistemas que atuam como gateway entre duas redes,

obrigando que determinado fluxo de dados passe por ele. Facilita o controle e gerenciamento de contedo na rede.

Bastion Hosts: equipamentos em que so instalados servios a

serem oferecidos para internet. Por serem mquinas com contato direto com o exterior, os bastion hosts devem ser servidores fortificados, executando somente o mnimo de servios que devem oferecer. Via de regra, os Bastion Hosts ficam em zonas desmilitarizadas (DMZs).


Analista Ambiental


Prof. Victor Dalton


Zona Desmilitarizada (DMZ): Rede que fica entre a rede interna, que deve ser protegida, e a externa, por possuir um conjunto de servios cujo interesse da organizao a divulgao para o pblico externo. Em caso de ataques aos Bastion Hosts, a rede interna continua protegida.

A DMZ precisa ser isolada do restante da rede porque suas regras de

proteo precisam ser mais frouxas do que as regras para a rede


Analista Ambiental


Prof. Victor Dalton


interna, uma vez que os Bastion Hosts podem (e devem) receber acessos externos.

1.6.1 Tipos de Arquitetura de Firewall

As arquiteturas de um Firewall, via de regra, so definidas de acordo com o porte e as necessidades da organizao que o implanta. As trs arquiteturas clssicas so as seguintes:

Dual-Homed Host Architecture: nesta, um nico proxy separando a rede interna da rede externa, conforme a figura abaixo.

uma estrutura mais econmica, por ser simples. Por outro lado, falta transparncia ao usurio que no sabe como o acesso externo realizado. Alm disso, o host dual-homed um nico ponto de falha, e o risco da rede reside nele.

Screened Host Architecture: composto por um filtro de pacotes e um Bastion Host.


Analista Ambiental


Prof. Victor Dalton


Nele, as regras para o acesso rede externa podem ser implantadas via Bastion Host, ou filtro de pacotes, ou ambos (o que chamado de firewall hbrido).

uma arquitetura mais madura que a dual-homed. Entretanto, caso o Bastion Host seja comprometido, o invasor j estar na rede interna.

Screened Subnet Architecture: acrescenta a DMZ rede, por meio de filtros externo e interno.

O que diferencia a Screened Subnet da Dual-Homed que os roteadores interno e externo, vistos na figura acima, funcionaro como verdadeiros filtros de pacotes. O filtro de pacote externo, um pouco menos rgido, permite o acesso externo aos servios disponibilizados pela empresa, na DMZ; o interno, altamente rigoroso, permite apenas que as


Analista Ambiental


Prof. Victor Dalton


respostas das requisies e servios permitidos aos usurios internos entrem na rede interna.

1.6.2 IPS e IDS

Sistemas de Deteco de Intrusos (IDS) so sistemas que monitoram atividades em redes de computadores, capazes de detectar atividades suspeitas. Configura-se uma soluo passiva.

Sistemas de Preveno de Intrusos (IPS), por sua vez, so sistemas que implementam regras e polticas para o trfego de uma rede, capazes de prevenir e combater ataques. uma soluo ativa!

1.6.3 Recomendaes para firewall

Cuidados a serem tomados:

antes de obter um firewall pessoal, verifique a procedncia e certifique-se de que o fabricante confivel;

certifique-se de que o firewall instalado esteja ativo;

configure seu firewall para registrar a maior quantidade de informaes possveis (desta forma, e possvel detectar tentativas de invaso ou rastrear as conexes de um invasor).

As configuraes do firewall dependem de cada fabricante. De forma geral, a mais indicada :

liberar todo trafego de sada do seu computador (ou seja, permitir que seu computador acesse outros computadores e servios) e;

bloquear todo trafego de entrada ao seu computador (ou seja, impedir que seu computador seja acessado por outros computadores e servios) e liberar as conexes conforme necessrio, de acordo com os programas usados.


Analista Ambiental


Prof. Victor Dalton


11) (CESPE TJ/AC Tcnico em Informtica - 2012) Sistemas de preveno intruso (IPS) e sistemas de deteco de intruso (IDS) so sistemas concebidos com os mesmos propsitos. A diferena entre eles encontra-se no pblico-alvo. Enquanto os IPS so sistemas voltados para os usurios domsticos, os IDS focam as grandes redes corporativas. Errado! A diferena bsica entre um Intrusion Detection System (IDS) para um Intrusion Prevention System (IPS) que os sistemas de preveno so ativos, enquanto os sistemas de deteco so passivos. Enquanto o IDS informa sobre um potencial ataque, o IPS promove tentativas de parar o ataque. Um outro grande avano sobre o IDS que o IPS tem a capacidade de prevenir invases com assinaturas conhecidas, mas tambm pode impedir alguns ataques no conhecidos, devido a sua base de dados de comportamentos de ataques genricos. Visto como uma combinao de IDS e de uma camada de aplicao Firewall para proteo, o IPS geralmente considerado a gerao seguinte do IDS.

1.7 Outras boas prticas de segurana da informao

A seguir, veremos mais algumas boas prticas se segurana da informao na utilizao de equipamentos tecnolgicos. So boas dicas tanto para o seu dia-a-dia, bem como podem cair em prova!

SENHAS FRACAS E FORTES

Segundo a Cartilha CERT.BR, uma senha boa, bem elaborada, aquela que difcil de ser descoberta (forte) e fcil de ser lembrada.

Alguns elementos que no se deve usar na elaborao de suas

senhas: Qualquer tipo de dado pessoal: evite nomes, sobrenomes, contas

de usurio, nmeros de documentos, placas de carros, nmeros de telefones e datas (estes dados podem ser facilmente obtidos e usados por pessoas que queiram tentar se autenticar como voc).


Analista Ambiental


Prof. Victor Dalton


Sequencias de teclado: evite senhas associadas a proximidade entre os caracteres no teclado, como 1qaz2wsx e QwerTAsdfG, pois so bastante conhecidas e podem ser facilmente observadas ao serem digitadas.

Palavras que faam parte de listas: evite palavras presentes em

listas publicamente conhecidas, como nomes de msicas, times de futebol, personagens de filmes, dicionrios de diferentes idiomas, etc. Existem programas que tentam descobrir senhas combinando e testando estas palavras e que, portanto, no devem ser usadas.

Alguns elementos que devem ser usados na elaborao de suas

senhas so: Numeros aleatrios: quanto mais ao acaso forem os nmeros

usados melhor, principalmente em sistemas que aceitem exclusivamente caracteres numricos.

Grande quantidade de caracteres: quanto mais longa for a senha

mais difcil ser descobri-la. Apesar de senhas longas parecerem, a princpio, difceis de serem digitadas, com o uso frequente elas acabam sendo digitadas facilmente.

Diferentes tipos de caracteres: quanto mais bagunada for a

senha mais difcil ser descobri-la. Procure misturar caracteres, como nmeros, sinais de pontuao e letras maisculas e minsculas. O uso de sinais de pontuao pode dificultar bastante que a senha seja descoberta, sem necessariamente torna-la difcil de ser lembrada.

Porm, apenas o prprio usurio ser capaz de produzir uma senha

boa. No existe gabarito! FERRAMENTAS ANTIMALWARE

Ferramentas antimalware so aquelas que procuram detectar e, ento, anular ou remover os cdigos maliciosos de um computador.


Analista Ambiental


Prof. Victor Dalton


Antivrus, antispyware, antirootkit e antitrojan so exemplos de ferramentas deste tipo.

Entre as diferentes ferramentas existentes, a que engloba a maior

quantidade de funcionalidades e o antivrus. Apesar de inicialmente eles terem sido criados para atuar especificamente sobre vrus, com o passar do tempo, passaram tambm a englobar as funcionalidades dos demais programas, fazendo com que alguns deles cassem em desuso.

Os antivrus comerciais, em sua maioria podem funcionar por:

- Mtodo de assinaturas: vrus conhecidos possuem assinaturas, ou seja, um pedao de arquivo conhecido, que quando identificado acusa a presena do vrus;

- Busca algortmica: se o arquivo possui um conjunto de instrues peculiar, reconhecido como vrus;

- Sensoriamento heurstico: til para vrus desconhecidos, analisa o comportamento do programa, para identific-lo como vrus;

- Emulao: til para detectar vrus polimrficos, ele decriptografa o vrus, analisa o cdigo e reconhece o agente malicioso.

Portanto, os antivrus possuem vrias tcnicas para analisar o contedo dos arquivos. Quem no conhece, tende a achar que os antivrus apenas reconhecem vrus que j existem e, na verdade, acabamos de ver que bem mais do que isso.

Cuidados a serem tomados:

tenha um antimalware instalado em seu computador (programas online, apesar de bastante teis, exigem que seu computador esteja conectado Internet para que funcionem corretamente e podem conter funcionalidades reduzidas);

utilize programas online quando suspeitar que o antimalware local esteja desabilitado/comprometido ou quando necessitar de uma segunda opinio (quiser confirmar o estado de um arquivo que j foi verificado pelo antimalware local);


Analista Ambiental


Prof. Victor Dalton


configure o antimalware para verificar toda e qualquer extenso de arquivo;

configure o antimalware para verificar automaticamente arquivos anexados aos e-mails e obtidos pela Internet;

configure o antimalware para verificar automaticamente os discos rgidos e as unidades removveis (como pen-drives, CDs, DVDs e discos externos);

mantenha o arquivo de assinaturas sempre atualizado (configure o antimalware para atualiz-lo automaticamente pela rede, de preferncia diariamente);

mantenha o antimalware sempre atualizado, com a verso mais recente e com todas as atualizaes existentes aplicadas;

evite executar simultaneamente diferentes programas antimalware (eles podem entrar em conflito, afetar o desempenho do computador e interferir na capacidade de deteco um do outro);

crie um disco de emergncia e o utilize-o quando desconfiar que o antimalware instalado est desabilitado/comprometido ou que o comportamento do computador est estranho (mais lento, gravando ou lendo o disco rgido com muita frequncia, etc.).

USO SEGURO DA INTERNET

Ao usar navegadores Web:

mantenha-o atualizado, com a versao mais recente e com todas as atualizaes aplicadas;

configure-o para verificar automaticamente atualizaes, tanto dele prprio como de complementos que estejam instalados;

permita a execuo de programas Java e JavaScript, porm assegure-se de utilizar complementos, como o NoScript (disponvel para alguns navegadores), para liberar gradualmente a execuo, conforme necessrio, e apenas em sites confiveis;


Analista Ambiental


Prof. Victor Dalton


permita que programas ActiveX sejam executados apenas quando vierem de sites conhecidos e confiveis;

seja cuidadoso ao usar cookies caso deseje ter mais privacidade;

caso opte por permitir que o navegador grave as suas senhas, tenha certeza de cadastrar uma chave mestra e de jamais esquec-la (para que somente com a chave mestra seja possvel visualizar as outras senhas salvas pelo navegador);

Ao usar programas leitores de e-mails:

mantenha-o atualizado, com a verso mais recente e com as todas atualizaes aplicadas;

configure-o para verificar automaticamente atualizaes, tanto dele prprio como de complementos que estejam instalados;

no utilize-o como navegador Web (desligue o modo de visualizao no formato HTML);

seja cuidadoso ao usar cookies caso deseje ter mais privacidade;

seja cuidadoso ao clicar em links presentes em e-mails (se voc realmente quiser acessar a pgina do link, digite o endereo diretamente no seu navegador Web);

desconfie de arquivos anexados a mensagem mesmo que tenham sido enviados por pessoas ou instituies conhecidas (o endereo do remetente pode ter sido falsificado e o arquivo anexo pode estar infectado);

antes de abrir um arquivo anexado a mensagem tenha certeza de que ele no apresenta riscos, verificando-o com ferramentas antimalware;

verifique se seu sistema operacional est configurado para mostrar a extenso dos arquivos anexados;

desligue as opes que permitem abrir ou executar automaticamente arquivos ou programas anexados as mensagens;

desligue as opes de execuo de JavaScript e de programas Java;


Analista Ambiental


Prof. Victor Dalton


habilite, se possvel, opes para marcar mensagens suspeitas de serem fraude;

use sempre criptografia para conexo entre seu leitor de e-mails e os servidores de e-mail do seu provedor;

Finda essa enxurrada de conhecimento, que tal uma bateria de exerccios para consolidar o conhecimento?


Analista Ambiental


Prof. Victor Dalton


EXERCCIOS COMENTADOS CESPE

1. (CESPE DPU Analista - 2016) Malwares so mecanismos utilizados para evitar que tcnicas invasivas, como phishing e spams, sejam instaladas nas mquinas de usurios da internet.

Questo completamente errada. Malware o nome gnero para as mais diversas espcies de programas maliciosos para computador. Alm disso, phishing no um programa que pode ser instalado no computador do usurio, mas sim um nome dado a um tipo de ataque que tem por finalidade extrair dados da vtima.

2. (CESPE DPU Analista - 2016) Integridade, confidencialidade e disponibilidade da informao, conceitos fundamentais de segurana da informao, so adotados na prtica, nos ambientes tecnolgicos, a partir de um conjuntos de tecnologias como, por exemplo, criptografia, autenticao de usurios e equipamentos redundantes.

Os exemplos citados esto alinhados aos princpios fundamentais de segurana da informao citados. Equipamentos redundantes garantem a disponibilidade dos recursos, enquanto a autenticao e a criptografia, em conjunto, podem garantir a integridade e a confidencialidade dos dados. Correto.

3. (CESPE

Informática p/ IBAMA (Analista Ambiental) - Com videoaulas · Por causa disso, diversos recursos...

Documents

Transcript of Informática p/ IBAMA (Analista Ambiental) - Com videoaulas · Por causa disso, diversos recursos...