SASRiscos e Ameaças

Analise de Riscos Análise de riscos é a análise das ameaças,

impactos e vulnerabilidades das informações e das instituições de processamento das mesmas e da probabilidade de sua ocorrência.

O gerenciamento de risco é o processo de identificação, controle e minimização ou eliminação dos riscos de segurança que podem afetar os sistemas de informação a um custo aceitável (ISO/IEC 17799:2000).

Analise de Riscos Muitas vezes o termo risco é utilizado como

sinônimo de ameaça ou da probabilidade de uma ameaça ocorrer. Na verdade, risco é uma combinação de componentes, tais como ameaças, vulnerabilidades e impactos em um determinado ambiente, de forma a proporcionar adoção de medidas apropriadas tanto às necessidades

de negócio da instituição ao proteger seus recursos de informação, como aos usuários que precisam utilizar esses recursos, levando em consideração justificativas de custos, nível desproteção e facilidade de uso.

Analise de Riscos A análise de risco é o ponto chave da política de

segurança englobando tanto a análise de ameaças e vulnerabilidades quanto a análise de impactos, a qual identifica os componentes críticos e o custo potencial aos usuários do sistema.

Para tomar as devidas precauções, é preciso inicialmente identificar as ameaças e os impactos, determinar a probabilidade de uma ameaça se concretizar e entender os riscos potenciais, classificando-os por nível de importância e severidade da perda, e os custos envolvidos na sua prevenção ou recuperação. Se combater uma ameaça for mais caro do que seu dano potencial, talvez não seja aconselhável tomar quaisquer medidas preventivas neste sentido.

Analise de Riscos Os riscos podem apenas ser reduzidos, já

que é impossível eliminar todos. A quebra de segurança sempre poderá

ocorrer. Conhecer com antecedência as ameaças

aos recursos informacionais e seus impactos pode resultar em medidas efetivas para reduzir as ameaças, as vulnerabilidades e conseqüentemente os impactos.

Riscos Externos Relacionados a seguir estão alguns tipos

de riscos externos aos quais freqüentemente as organizações estão sujeitas:

Vírus, Worms e Trojans

Segundo o CSI/FBI Computer Crime and Security Survey, os vírus estão em primeiro lugar entre as principais ameaças à segurança da informação no ano de 2001.

Os vírus podem ser inofensivos (apenas mostram uma mensagem ou tocam uma música), ou nocivos apagando ou modificando arquivos do computador. Podem ser inseridos por hackers que entram no sistema e plantam o vírus, através de e-mails ou

Mídias contaminados.

Vírus, Worms e Trojans Os códigos de vírus procuram entre os

arquivos dos usuários, programas executáveis sobre os quais os usuários têm direito de escrita.

Ele infecta o arquivo colocando nele parte de um código. Quando um arquivo de programa está infectado com vírus é executado e o vírus imediatamente assume o comando, encontrando e infectando outros programas e arquivos.

Vírus, Worms e Trojans A seguir estão algumas características

de um vírus: Consegue se replicar; Precisa de um programa “hospedeiro”

portador’; É ativado por uma ação externa; e Sua habilidade de replicação é limitada aos

sistema virtual

Vírus, Worms e Trojans Na mesma categoria dos vírus, estão os warms,

que são programas projetados para replicação e possuem as seguintes características, algumas das quais os diferenciam dos vírus. Eles se replicam, assim como os vírus; São entidades autônomas, não necessitam se atracar

a um programa ou arquivo “hospedeiro”, ao contrário dos vírus;

Residem, circulam e se multiplicam em sistemas multi-tarefa;

Para worms de rede, a replicação ocorre através dos links de comunicação.

Vírus, Worms e Trojans O Trojan (Cavalos de Tróia) é um código

escondido em um programa, tal como um jogo ou uma tabela que tem a aparência de seguro, mas possui efeitos escondidos.

Quando o programa é rodado, parece funcionar como o usuário esperava, mas na verdade está destruindo, danificando ou alterando informações por trás. É um programa em si mesmo e não requer um “hospedeiro” para carregá-lo. Geralmente são espalhados por e-mails.

Intercessão Eavesdropping e Packet Sniffing - São

intercessões de pacotes no tráfego para leitura por programas de usuários não legítimos.

O sniffer pode ser colocado na estação de trabalho conectada à rede, bem como em roteadores ou gateways.

Este método é utilizado para intercessão de logins e senhas de usuários, números de cartões de crédito e direcionamento das trocas de e-mails estabelecendo as relações entre indivíduos eorganizações.

Intercessão Snoofing e Downloading - São

intercessões do mesmo tipo do sniffer sem modificação do conteúdo dos pacotes embora a ação seja diferente, pois o atacante se apossa de documentos que trafegam na rede, fazendo download para a sua própria máquina, interceptando e-mails e outros tipos de informações.

Modificação e Fabricação Tampering ou Data Diddling. Esta categoria

trata da modificação não autorizada de dados. Com um software instalado em um sistema o

atacante modifica ou apaga arquivos. Entre as vítimas estão bancos, autarquias

fiscais, escolas, e outros tipos de bancos de dados.

Na Web há inúmeros exemplos de home pages invadidas para colocação de slogans ou marcas de presença.

Modificação e Fabricação A utilização de cavalos de Tróia está

dentro desta categoria para tomar controle remoto dos sistemas vítimas. Entre os programas mais comuns estão o Back Orifice e o NetBus, que são camuflados com esta finalidade

Modificação e Fabricação Spoofing - Esta técnica consiste em atuar

em nome de usuário legítimo para realizar tarefas de tampering ou snoofing.

Uma das formas pode ser o envio de e-mail falso em nome da vítima, invasão de outros computadores ou até um terceiro, ou ainda outros de forma que oculte sua identidade.

Esta forma de looping torna muito difícil a sua identificação. A base desta atuação é tomar posse do logins e senhas das vítimas.

Interrupção Jamming ou Flooding. São interrupções do

funcionamento do sistema através da saturação de dados, pode ser espaço de um disco ou envio de pacotes até a saturação do tráfego da rede vítima impossibilitando-a de receber os pacotes legítimos.

O atacante satura o sistema com mensagens de que querem estabelecer conexão através de vários computadores com a vítima e ao invés de indicar a direção do IP dos emissores estas direções são falsas.

Interrupção O sistema responde as mensagens, mas

como não recebe as respostas acumula o buffer com informações em aberto, não dando lugar às conexões legítimas.

Outros ataques comuns são “ping da morte” e a saturação de e-mails.

Bombas Lógicas - O ataque consiste em programas sabotadores introduzidos nas máquinas das vítimas com intuito de destruir as informações ou paralisá-las.

Engenharia Social Este mecanismo de recolhimento de

informações é uma das formas mais perigosas e eficientes utilizada pelos hackers.

Um bom exemplo de ataque de engenharia social é o de ligar para um setor de informática de uma corporação, dizendo ser um novo funcionário de um determinado setor e dizer que precisa de um username e senha para acesso ao sistema.

Muitas vezes o hacker, consegue através deste telefonema, o username e a senha necessários para o início de seu ataque.

Engenharia Social Uma forma mais fácil ainda é de ligar para o setor

de informática dizendo ser “o fulano de tal” que esqueceu a senha, e gostaria que a senha fosse trocada. Claro que desta forma, o hacker tem que conhecer o nome de um usuário do sistema que esteja há muito tempo sem utilizá-lo.

Variando muito de organização para organização, a obtenção de informações através de engenharia social ainda é utilizada com muito sucesso em diversas organizações e seu sucesso depende exclusivamente do conhecimento do pessoal em assuntos de redes e computadores.

A melhor defesa contra este ataque é o treinamento dos funcionários e usuários de redes e computadores.

Riscos Internos Os riscos internos são decorrentes de duas

fontes principais, desastres naturais e pessoas.

Não se podem prever ou evitar os desastres naturais tais como enchentes, raios, ou inc êndios, que podem causar sérios danos aos sistemas de computação. Contudo, é necessário implementar defesas contra eles. A melhor ação a ser tomada é ter em vigor um plano de recuperação de desastres.

Riscos Internos Os riscos pessoais podem ser causados por

empregados insatisfeitos ou apenas descuidados. Os empregados insatisfeitos podem tentar

sabotar o sistema de informação, das seguintes formas: Modificando ou apagando dados; Destruindo dados ou programas com bombas lógicas; Derrubando os sistemas; Destruindo os equipamentos ou instalações; e Inserindo dados incorretamente.

Riscos Internos Os empregados descuidados geralmente

não tem intenção de causar nenhum dano ao sistema, mas podem apagar arquivos importantes, estragar um computador pelo mal uso, acessar informações indevidas e entrar informações incorretas no sistema.

Analise de Ameaças Antes de decidir como proteger um sistema é

necessário saber contra o que ele será protegido.

Segundo CSI/FBI Computer Crime and Security Survey, as principais ameaças à segurança da informação foram: 1o. lugar: Vírus de computador 2o. lugar: Uso interno indevido do acesso à rede 3o. lugar: Roubos de notebooks 4o. lugar: Acesso interno não autorizado 5o. lugar: Penetração externa no sistema.

Analise de Ameaças Segundo Claudia Dias (Dias, 2000) a

análise das ameaças e vulnerabilidades do ambiente de informática deve levar em consideração todos os eventos adversos que podem explorar as fragilidades de segurança desse ambiente e acarretar danos.

Analise de Ameaças Alguns conceitos importantes para se realizar uma

análise de ameaças são: Recurso: componente de um sistema computacional,

podendo ser recurso físico, software, hardware ou informação;

Vulnerabilidade: fraqueza ou deficiência que pode ser explorada por uma ameaça. Pode ser associada à probabilidade da ameaça ocorrer;

Ataque: ameaça concretizada; Impacto: conseqüência de uma vulnerabilidade do sistema

ter sido explorada por uma ameaça. É o resultado da concretização de uma ameaça;

Probabilidade: chance de uma ameaça atacar com sucesso o sistema computacional;

Risco: medida de exposição a qual o sistema computacional está sujeito. Depende da probabilidade de uma ameaça atacar o sistema e do impacto resultante deste ataque.

Analise de Ameaças Ameaça é tudo aquilo que pode

comprometer a segurança de um sistema, podendo ser acidental (falha de hardware, erros de programação, desastres naturais, erros do usuário, bugs de software) ou deliberada (roubos, espionagem, fraude, sabotagem,invasão de hackers, entre outros).

Analise de Ameaças independentemente do tipo, as ameaças

consideradas mais comuns em um ambiente informatizado são: Vazamento de informações (voluntário ou

involuntário) – informações desprotegidas ou reveladas a pessoas não autorizados;

Violação de integridade - comprometimento da consistência de dados;

Indisponibilidade de serviços de informática - impedimento deliberado de acesso aos recursos computacionais por usuários não autorizados; e

Acesso e uso não autorizado - um recurso computacional é utilizado por pessoa não autorizada ou de forma não autorizada.

Bibliografia Fonte: TCC UNEB - PROPOSTA PARA UMA

POLÍTICA DE SEGURANÇA DE DADOS APLICADA ÀS SECRETARIAS DE RECEITA

2001 Brasilia

Questões O que são ameaças externas ? explique

3 exemplos de ameaças deste tipo O que são ameaças internas ? Explique 3

exemplos de ameaças deste tipo O que é analise de ameaças e como ela

pode diminuir a vulnerabilidade das organizações