Segurança da Informação · • Mestre e Doutorando em Administração (PROPAD/UFPE) •...

Segurança da Informação

Semana de Atualização Tecnológica FASE27/01/11

Felipe Augusto Pereira

[email protected]

Quem sou eu?

• Felipe Augusto Pereira

• Bacharel em Ciência da Computação (CIn/UFPE)

• Mestre e Doutorando em Administração (PROPAD/UFPE)

• Pesquisador do grupo de Gestão da Inovação em Redes de Operações

• Professor de graduação e pós-graduação de cursos de gestão e tecnologia

• Sócio-diretor da Unu Soluções, empreendimento de TI e Design Gráfico

• Coordenador dos cursos de Tecnologia da FASE

© UNU Soluções – www.unu.com.br 2

Quem são vocês?

• Atividades

• O que vem a sua mente quando falamos de Segurança da Informação?


Sobre o que conversaremos hoje?

• O que é e qual a importância da segurança da informação?

• Quais as principais ameaças?

• Como se proteger?


O QUE É E QUAL A IMPORTÂNCIA DA SEGURANÇA DA INFORMAÇÃO?

Definição

Cibercrimes

Estatísticas

Motivações


Confidencialidade

Integridade

Disponibilidade

Segurança da

Informação


Cibercrimes

• Prática que consiste em fraudar a segurança de computadores e redes empresariais ou utilizar meios eletrônicos para a realização de crimes

• Ex: SPAM, fraudes bancárias, violação de propriedade intelectual, pornografia, invasão de websites, etc.


Cibercrimes

Computadores como alvos de crime

• Violação da confidencialidade de dados protegidos

• Acesso a sistemas computacionais sem autorização

• Acesso intencional a um computador protegido para cometer fraude

• Danos intencionais a um computador protegido

• Transmissão de software que cause danos deliberados a um sistema

Computadores como instrumento de crimes

• Roubo de segredos comerciais

• Cópia não autorizada de software ou material com propriedade intelectual registrada (artigos, livros, músicas, vídeos, etc.)

• Ameaças ou assédio por e-mail

• Interceptação de comunicações eletrônicas

• Acesso ilegal a comunicações eletrônicas armazenadas

• Armazenamento ou transmissão de material de pedofilia


Cibercrimes no Mundo

• 1. Estados Unidos (23%)

• 2. China (9%)

• 3. Alemanha (6%)

• 4. Inglaterra (5%)

• 5. Brasil (4%)

• 6. Espanha (4%)

• 7. Itália (3%)

• 8. França (3%)

• 9. Turquia (3%)

• 10. Polônia (3%)Fonte: BusinessWeek, 2009


Cibercrimes no Brasil

• Ranking de 2008

– Fração da atividade maliciosa no mundo: 4%

– Cibercrimes em geral: 5º lugar

– Códigos maliciosos: 16º lugar

– Zumbis para SPAM: 1º lugar

– Hospedagem de sites phishing : 16º lugar

– Bots (PCs controlados remotamente): 5º lugar

– Origem dos ataques: 9º lugar

Fonte: BusinessWeek, 2009


Incidentes reportados ao CERT.br

© UNU Soluções – www.unu.com.br 11Fonte: NIC.Br

Motivações para Cibercrimes

• Inicialmente

– Ação individual

– Status e reconhecimento

• Atualmente

– Crime organizado

– Motivação financeira

– Ataques a usuários finais


Hackers

• Indivíduos que pretendem obter acesso não autorizado a um sistema computacional

• Cracker, black hat, white hat

• Algumas ações

– Invasão de sistemas

– Vandalismo

– Roubo de informações


QUAIS AS PRINCIPAIS AMEAÇAS?

Fontes de Vulnerabilidade dos Sistemas

SPAM, Malwares, Scanning, Invasão, Scam, Spoofing, Phishing,

Hoaxes, Fakes, Sniffing, Ataques DoS, Ciberterrorismo, Funcionários, Falhas de software, Falhas físicas


Fontes de Vulnerabilidade dos Sistemas

• Usuários

• Linhas de comunicação

• Servidores corporativos

• Sistemas corporativos


SPAM

• Envio de e-mails não solicitados

• Problemas

– Redução da produtividade

– Sobrecarga da infraestrutura de comunicação

– Porta para malwares e outras ameaças

– Inclusão do servidor em listas de bloqueio


Malwares

• Malicious Software = software malicioso

• Vírus, worms, backdoors, cavalos de tróia, spywares, etc.

• Software mal intencionado

• Normalmente disseminados através de websites, e-mails e pen drives


Malwares

• Ações

– “Benignas”: exibição de mensagem ou imagem

– Malignas: destruição de programas e dados, alteração do funcionamento de programas, keyloggers, bots


Vírus

• Programa de computador que se propaga através de auto-cópia e infecção de outros programas

• Depende da execução do programa ou arquivo hospedeiro

• Podem ficar “incubados” sem manifestação


Worms

• Programa de computador que se propaga através de auto-cópia, mas não infecta outros programas e se propaga através de vulnerabilidades existentes

• Costumam consumir muitos recursos (redes, disco, etc.)


Cavalos de Tróia

• Programa que executa funções maliciosas além de outras para as quais aparentemente foi projetado

– Protetor de tela, jogos, etc.

• Pode instalar keyloggers, screenloggers, backdoors, furtar senhas, números de cartões de crédito, alterar ou destruir arquivos

• Por si só, não infecta outros arquivos nem se auto-copia

• Precisa ser executado para entrar em ação


Adware e Spyware

• Podem ou não ser legítimos

• Adware: apresenta propagandas

• Spyware: monitora comportamento

– URLs visitadas

– Alteração da página inicial do browser

– Varredura de arquivos

– Captura de senhas e números de cartões de crédito


Backdoor

• Permitem o retorno de invasores por método diferente do utilizado para a invasão original

• Podem ser resultado de programas de acesso remoto mal configurados ou de cavalos de tróia


Keyloggers e screenloggers

• Keylogger: grava teclas digitadas

• Screenlogger: quando o mouse é clicado, grava a tela completa ou a área próxima ao cursor

• Dados são enviados para terceiros

• Normalmente, são provenientes de cavalos de tróia ou spywares


Bots

• Programa semelhante ao worm (com auto-cópia, se propaga através de vulnerabilidades existentes), mas controlado remotamente pelo invasor

• Bots podem enviar e-mails de phishing, SPAMs, desferir ataques, roubar dados, etc.

• Uma rede de bots é chamada botnet


Rootkits

• Permitem esconder e assegurar a presença em computadores comprometidos

• Atividades ficam escondidas do usuário do computador

• Podem instalar backdoors, remover registros em logs, realizar sniffing, etc.


Scanning

• Varredura de redes de computadores à procura de vulnerabilidades


Invasão

• Força Bruta

• Exploração de falhas conhecidas

• Suscetibilidade de computadores com banda larga (IP constante alta velocidade e longo tempo de conexão)

• Conexões sem fio


Scam

• Golpe que normalmente objetiva vantagem financeira

– Site de vendas ou leilão com preços muito abaixo do mercado, que não serão entregues ou servirão para furto de dados financeiros

– E-mail recebido em nome de uma instituição financeira solicitando atuação como intermediário de uma transferência internacional mediante adiantamento


Spoofing

• “Disfarce” de pessoas ou programas através da falsificação de informações

• Empresas com material com copyright divulgam materiais distorcidos em redes de compartilhamento para desencorajar o uso

• E-mail spoofing

– Alteração do remetente de e-mails

• Spoofing em ligações– Alteração de informações de quem está originando a

ligação


Phishing

• Modalidade de spoofing em que há a tentativa de obter informações importantes através de elementos mascarados como de instituições idôneas

• Modalidades– E-mails com falsas informações atraindo para links

– E-mails com manipulação de links

– E-mails com formulários

– Redirecionamento a websites falsos na digitação de endereços verdadeiros

– Phishing telefônico

– Utilização de popups solicitando informações no acesso a sites verdadeiros


Phishings Comuns

Tema Texto da mensagem

Cartões virtuais UOL, Voxcards, Musical Cards, etc.

SERASA e SPC Débitos e restrições

Governo CPF/CNPJ cancelados, problemas com imposto de renda ou eleições

Celebridades, fatos da mídia Fotos e vídeos

Relacionamentos Traição, convites para relacionamentos

Empresas de telefonia Débitos, bloqueio, serviços

Antivírus Atualizações

Lojas virtuais Pedidos, débitos

Negócios Solicitações de orçamentos, recibos

Promoções Vários

Programas Novidades, ofertas


Hoaxes

• Boatos com alarmes falsos enviados por e-mail

• Podem espalhar desinformação ou ter fins maliciosos

• Já houve casos de divulgação por meios de comunicação


Hoaxes Comuns

• Envio de mensagem para n pessoas e obtenção de benefício

• Auxílio a pacientes de doenças graves através do envio de mensagens

• Produtos contaminados em empresas conhecidas

• Seringa com AIDS

• Roubo de órgãos

• Morte por limão na cerveja


Catálogos de Hoaxes

• Hoaxbusters (http://hoaxbusters.ciac.org)

• QuatroCantos (http://www.quatrocantos.com/LENDAS)

• Urban Legends and Folklore (http://urbanlegends.about.com)

• Urban Legends Reference Pages (http://www.snopes.com)

• TruthOrFiction.com (http://www.truthorfiction.com)

• Symantec Security Response Hoaxes (http://www.symantec.com/avcenter/hoax.html)

• McAfee Security Virus Hoaxes (http://vil.mcafee.com/hoax.asp)


Fakes

• Utilização de identidades falsas em redes sociais e softwares de comunicação instantânea

• Identidades de famosos ou conhecidos

• Utilizado para acessar serviços sem se identificar ou se fazer passar por outros


Sniffing

• Programa espião que monitora os dados transmitidos através de uma rede

• Permite acesso a arquivos, senhas ou conversações em tempo real


Ataques DoS

• Sobrecarga de servidor de rede ou web com falsas requisições

• Servidor sobrecarregado não consegue atender as solicitações

• Costuma usar bots

• Serviço atacado fica indisponível

• De 2% a 3% do tráfego de grandes backbones é ruído de DoS


Ciberterrorismo

• Exploração das vulnerabilidades das redes por terroristas, serviços de inteligência estrangeiros ou outros grupos para criar perturbações e prejuízos

• Acredita-se que vários países tenham ações de ataque e defesa em desenvolvimento para uma ciberguerra

• Preocupação de vários governos


Funcionários

• Tipos

– Ocorrências intencionais de funcionários

– Ocorrências intencionais de ex-funcionários

– Engenharia social

– Falhas na operação de sistemas


Falhas de software

• Softwares comerciais apresentam falhas frequentes

– Falhas descobertas são divulgadas e aproveitadas por indivíduos mal intencionados

– Patchs são lançados para resolver tais falhas

• Softwares online podem apresentar falhas através da manipulação de URL

– Não proteção de arquivos em servidores online

– Acesso a funcionalidades por usuários não credenciados


Falhas Físicas

• Danos a equipamentos

• Invasão física

• Quedas e falta de energia

• Acidentes naturais


COMO SE PROTEGER?

Política de segurança, Plano de contingência, Controle de acesso, Senhas, Suítes anti-malwares, Segurança em E-mails, Segurança na navegação na Internet, Privacidade, Segurança em Comunicação Instantânea, Segurança no Compartilhamento de Arquivos, Segurança de redes sem fio, Criptografia, Mudanças de Padrões, Denúncias, Segurança em software, Ações contra Danos Físicos, Backups, Outras ações


Política de Segurança

• Normaliza, padroniza e estabelece critérios mínimos para garantir a integridade, confidencialidade e disponibilidade da informação no ambiente computacional

• Requer apoio da alta gestão e todos os funcionários

• É específica a cada organização

• Define regras de infraestrutura, utilização dos equipamentos, redes, e-mails corporativos, acesso à internet, senhas, etc


Plano de Contingência

• Define ações a serem tomadas na ocorrência de grandes problemas

• Inclui ações para restauração dos serviços de computação e comunicação à normalidade


Controle de Acesso

• Conjunto de políticas e procedimentos utilizados pela empresa para evitar acesso indevido a informações

• Permissão

– Definição das restrições de acesso

• Autenticação

– Identificação da identidade de um usuário

– Senhas, cartões, tokens, biometria, etc.


Controle de Acesso

• O usuário root (administrador) só deve ser utilizado quando necessário

• A estação deve ser bloqueada (ou logoff

realizado) no afastamento dos funcionários


Senhas

• Senhas longas

• Senhas com caracteres especiais (!@#$%&*?<>)

• Caracteres repetidos, sequências do teclado, palavras de quaisquer dicionários e dados pessoais devem ser evitados

• A senha deve ser alterada periodicamente (de 02 a 03 meses), com utilização de senhas diferentes das anteriores


Senhas

• O uso da mesma senha em diversos sistemas deve ser evitado

• Senhas não devem ser enviadas por telefone, e-mail ou software de comunicação instantânea

• Senhas não devem ser anotadas, exceto se houverdificuldade para decorar (nesse caso, a anotação deve ser mantida em local seguro)


O que você acha dessas senhas?

• senha

• admsenha

• A3Dkiu0!

• felipe

• pereira

• 01081980

• Lionfish

• GAFANHOTO

• asdfg

• 1qaz2wsx

• 1234567890

• 87654321

• AcDaz90!

• amanda


Suítes Anti-malwares

• Pacotes com soluções antivírus, anti-SPAM e anti-spywares

• Verifica os sistemas em busca de arquivos e processos possivelmente infectados

• Devem ser atualizados diariamente


Segurança em E-mails

• Desativação recomendada

– Abertura e execução automática de anexos

– Execução de JavaScript e Java

– Modo de visualização de e-mails HTML

• Atenção a anexos suspeitos ou de remetentes desconhecidos

• Atenção ao clicar em links em e-mails suspeitos (digitar o endereço diretamente no browser é preferível)


Segurança em E-mails

• SPAMs não devem ser respondidos (nem solicitação de descadastramento)

• A divulgação de e-mails na Internet deve ser feita com precaução


Segurança na Navegação na Internet

• Atenção à execução de programas Java, Activex e JavaScripts

• Popups devem ser bloqueados

• Procedência do site e uso de conexões seguras ao realizas transações devem ser conferidos

– Cadeado

– Validade e propriedade do certificado

• Websites de entretenimento de natureza desconhecida são perigosos (ex: pornografia e jogos)


Privacidade

• Atenção com os cookies

• Atenção com o bluetooth

• Informações não devem ser desnecessariamente divulgadas online (inclusive comunidades)


Segurança na Comunicação Instantânea

• Convites de desconhecidos não devem ser aceitados

• Atenção para a engenharia social

• Atenção para o recebimento de arquivos


Segurança no Compartilhamento de Arquivos

• Atenção à configuração de softwares de compartilhamento de arquivos (Kazaa, BitTorrent, Emule, etc.)

• Compartilhamentos de pastas devem ser feitos com o uso de senhas


Segurança de Redes sem Fio

• Alteração do SSID e senhas default

dos equipamentos

• Utilização de protocolos de autenticação robustos (ex: WPA, criptografia AES)

• Criação de redes virtuais (VLANs) para visitantes


Criptografia

• Transformação de dados comuns em dados cifrados para que sejam conhecidos apenas pelo remetente e destinatário

– Criptografia de dados armazenados

– Criptografia de dados trafegados

– Assinatura digital

– Certificado digital


Criptografia de Chave Única

• Uma única chave para codificar e decodificar

– João codifica uma mensagem com uma chave X

– Maria recebe e decodifica com a mesma chave X

• Maior desempenho

• Preocupação com o compartilhamento da chave

• Mínimo de 128 bits (256 ou 512 dependendo dos fins)


Criptografia de chave pública e privada

• Uma chave codifica e outra decodifica

• Uma chave é pública outra é privada

• Menor desempenho

• Chave pública pode ser livremente distribuída

• Mínimo de 1024 bits (4096 ou 8192 dependendo dos fins)


Criptografia de chave pública e privada

• Codificação (sigilo)

– João codifica uma mensagem com a chave pública de Maria

– Maria decodifica com sua chave privada

• Assinatura digital (autoria)

– João codifica uma mensagem com a sua chave privada

– Maria decodifica a mensagem com a chave pública de João

• Pode-se assinar e codificar para garantir a autoria e sigilo


Certificado Digital

• Arquivo eletrônico com dados de uma pessoa (física ou jurídica)

• Armazenado no PC, token ou smart card

• Autoridade Certificadora = “cartório eletrônico”


Firewalls

• Sistemas que protegem redes privadas de acessos não autorizados

• Controle do fluxo de entrada e saída da rede

• Baseado em filtros de pacotes, regras e controles por endereço MAC, IP, etc.

• Hardware e/ou software

• Geração de logs

• Firewalls pessoais


Mudanças de Padrões

• Alteração de portas

• Alteração de usuários e senhas de aplicações, redes, etc.

• Válido para softwares e hardwares


Denúncias

• SPAMs: rede do remetente e [email protected])

• Scams e phishing: rede do remetente e [email protected]

• Invasões, tentativas, ataques DoS e outros incidentes: rede originária do incidente e [email protected]


Segurança em Software

• Aquisição

– Evitar pirataria

– Atualização constante dos patches

– Seleção de bons fornecedores

• Desenvolvimento

– Atualização das ferramentas e tecnologias de desenvolvimento

– Qualificação da equipe

– Atenção a boas práticas de engenharia de software


Backups

• Frequência depende da periodicidade de atualização dos dados, do risco e valor da perda

• Mídia a ser utilizada dever ser analisada

• Atenção ao local de armazenamento


Ações contra Danos Físicos

• Espelhamento de discos

• Realização de backups

• No-breaks

• Segurança física dos ambientes (computadores e demais dispositivos)


Outras Ações

• Treinamento com usuários

• O uso de computadores desconhecidos deve ser moderado (dispositivos de armazenamento móvel e dados confidenciais)

• Configurações de segurança devem ser feitas bloqueando tudo e liberando apenas o necessário

• Tráfego de rede deve ser monitorado


Cartilha CERT

• http://cartilha.cert.br


Lembre-se

• A força de uma corrente é definida pelo seu elo mais fraco!


Obrigado!

Felipe Augusto Pereira

[email protected]

www.unu.com.br


Segurança da Informação · • Mestre e Doutorando em Administração (PROPAD/UFPE) •...

Documents

Transcript of Segurança da Informação · • Mestre e Doutorando em Administração (PROPAD/UFPE) •...