Segurança – Ataques e DefesasAnderson Menezes             Segurança - Ataques e Defesas - anderson.to@gmail.com
Segurança    Considerando o que é segurança, segundo o    dicionário significa:●   Condição ou estado de estar seguro ou p...
Princípios BásicosSeguindo os princípios básicos da Segurança da Informação1. Confidencialidade;O responsável pelo control...
Princípios Básicos4. Autenticidade é;Garantir que a informação venha da origem informada, permitindo acomunicação segura, ...
Distúrbios ComunsPrincípio                Ataque                            Descrição                         Browsing    ...
Distúrbios ComunsPrincípio             Ataque                           Descrição                      Desastres Naturais ...
Terminologias de Segurança1. Vulnerabilidade – fragilidade que pode fornecer uma porta de entrada aum atacante;2. Ameaça –...
Ameaças    Dentre as ameaças físicas podemos considerar:●   Alagamentos;●   Raios;●   Acessos Indevidos;●   Desabamentos; ...
AtaquesAssim como dividimos as ameaças em dois grandes grupos, os ataques tambémpodem ser divididos da mesma maneira:Inter...
AtaquesAnalisando ataques externos, nos deparamos com a possibilidade decomprometimento cujo o objetivo estejam vinculados...
Exemplos    Exemplo de AMEAÇA:●   “Uma chuva de granizo em alta velocidade”    Exemplo de VULNERABILIDADE:●   “Uma sala de...
Mecanismos de segurança●   Mecanismos físicos;    Portas, Trancas, Paredes, Blindagem, Guardas, Câmeras, Sistemas de Alarm...
Fases de um ataque    Levantamento de Informações●   Essa fase é mais abrangente e baseado no que é descoberto todo    pla...
Fases de um ataque    Ganhando acesso●   Aqui dependendo dos vetores de ataque ele pode buscar acessos    com:         ●  ...
Fases de um ataque●   Mantendo acesso;●   Limpando Rastros;              Segurança - Ataques e Defesas - anderson.to@gmail...
Incidentes Reportados ao CERT.br -- Janeiro             a Março de 2012             Segurança - Ataques e Defesas - anders...
Tentativas de Fraudes - Janeiro a Março de 2012              Segurança - Ataques e Defesas - anderson.to@gmail.com
Google Hacking Database    Há um banco de dados virtual, com tags de busca de Google previamente    criadas, para consegui...
Google HackingNo levantamento de informações o Google é a principal ferramentapara o levantamento de informações de nosso ...
Google Hacking    Ex:●   site:gov.br ext:sql (busca por arquivo de base de dados em sites do    governo)●   inurl:e-mail f...
Contramedidas●   Possuir uma boa política referente à publicações de informações na    Internet;●   Não deixar configuraçõ...
Dê-me seis horas para cortar umaárvore, e eu gastarei as primeirasquatro horas afiando o machado”                         ...
Engenharia Social                            Podemos considerar a engenharia social como a                            arte...
Engenharia Social - TIPOS●   Baseada em Pessoas    As técnicas de engenharia social baseada em pessoas possuem diversas   ...
Engenharia Social - TIPOS●   Baseada em computadores    Este ataque se baseia no desconhecimento do usuário com relação ao...
Formas de Ataque●   Insider Attack    Insiders são pessoas de dentro da própria organização.●   Roubo de Identidade    Atu...
Formas de Ataques●   Dumpster Diving    É o ato de vasculhar lixeiras em busca de informações. Todos os dias são    jogado...
Engenharia Social ReversaUm método mais avançado de conseguir informações ilícitas é com aengenharia social reversa. Isto ...
No Tech Hacking    Todo e qualquer tipo de ataque que não tenha necessidade de aparatos    tecnológicos são considerados “...
Contramedidas●   Não trabalhe assuntos privados em locais públicos;●   Faça descarte seguro de documentos;●   Fechaduras e...
Padrões e Normas●   ISO 27001●   ISO 27002●   BASILEIA II●   PCI-DSS●   ITIL●   COBIT●   NIST 800 Series                  ...
Serviços de Segurança da Informação●   Criação de Políticas de Segurança;●   Implantação de CSIRTs;●   Hardening de Servid...
Anderson Menezes      anderson.to@gmail.com       63-8407-4442/92631848      “Se você conhece a sim mesmo e ao seu     ini...
Upcoming SlideShare
Loading in...5
×

Apresentação Senac - FLISOL - TO 2012

899
-1

Published on

Apresentação sobre Segurança da Informação - Hackers, Ataques e Defesas

Published in: Education
0 Comments
0 Likes
Statistics
Notes
  • Be the first to comment

  • Be the first to like this

No Downloads
Views
Total Views
899
On Slideshare
0
From Embeds
0
Number of Embeds
0
Actions
Shares
0
Downloads
10
Comments
0
Likes
0
Embeds 0
No embeds

No notes for slide

Apresentação Senac - FLISOL - TO 2012

  1. 1. Segurança – Ataques e DefesasAnderson Menezes Segurança - Ataques e Defesas - anderson.to@gmail.com
  2. 2. Segurança Considerando o que é segurança, segundo o dicionário significa:● Condição ou estado de estar seguro ou protegido;● Capacidade de manter seguro;● Proteção contra a fuga ou escape;● Profissional ou serviço responsável pela guarda e proteção de algo;● Confiança em si mesmo. Segurança - Ataques e Defesas - anderson.to@gmail.com
  3. 3. Princípios BásicosSeguindo os princípios básicos da Segurança da Informação1. Confidencialidade;O responsável pelo controle de acesso a informação apenas por aquelaspessoas ou entidades que tenham permissões a acessar tal informação;2. Integridade;Garantir que a informação mantenha todas as suas características originaiscomo determinadas pelo proprietário da informação;3. Disponibilidade;Define que a determinada informação esteja sempre disponível para oacesso quando necessário; Segurança - Ataques e Defesas - anderson.to@gmail.com
  4. 4. Princípios Básicos4. Autenticidade é;Garantir que a informação venha da origem informada, permitindo acomunicação segura, é a garantia de que a informação a qual tem acesso écorreta e de fonte confiável;5. Legalidade;É a propriedade que define se determinada informação, ou operação, estáde acordo com as leis vigentes do país. As mesmas leis que regem um país,podem ser completamente diferentes em outro, o que pode ocasionar umsérie de problemas, caso o sistema de gestão não seja adaptável. Segurança - Ataques e Defesas - anderson.to@gmail.com
  5. 5. Distúrbios ComunsPrincípio Ataque Descrição Browsing Procurar informações sem necessariamente saber seu tipoConfidencialidade Shouder surfing Olhar sobre o ombro da pessoa o que é digitado Engenharia Social Finger ser alguém com a intenção de ter acesso a informação. Modificar a Mensagem Intercerptar a mensagem, altera-la e enviar ao seu destino originalIntegridade Alteração de Logs de Auditoria Modificar os logs de auditoria, normalmente com a inteção de ocutar os fatos Modificação de arquivos de Alterar arquivos criticos em configuração um sistema para modificar sua funcionabilidade Segurança - Ataques e Defesas - anderson.to@gmail.com
  6. 6. Distúrbios ComunsPrincípio Ataque Descrição Desastres Naturais ou Vandalismo, incêndios, Provocados terremotos, terrorismo, vulcanismoDisponibilidade Negação de Serviço (DoS) Comprometimento de serviços de importância fundamental para processos Comprometimento de Modificar dados de forma a informações ficarem inúteis para outras pessoas Segurança - Ataques e Defesas - anderson.to@gmail.com
  7. 7. Terminologias de Segurança1. Vulnerabilidade – fragilidade que pode fornecer uma porta de entrada aum atacante;2. Ameaça – agente ou ação que se aproveita de uma vulnerabilidade;3. Risco – (Impacto X probabilidade) de ameaça ocorrer;4. Ataque – Incidência da ameaça sobre a vulnerabilidade;5. Exploit – Programa capaz de explorar uma vulnerabilidade. Segurança - Ataques e Defesas - anderson.to@gmail.com
  8. 8. Ameaças Dentre as ameaças físicas podemos considerar:● Alagamentos;● Raios;● Acessos Indevidos;● Desabamentos; Dentre as ameaças lógicas, podemos contar as seguintes;● Infecção por vírus;● Acesso remoto à rede;● Violação de Senhas; Segurança - Ataques e Defesas - anderson.to@gmail.com
  9. 9. AtaquesAssim como dividimos as ameaças em dois grandes grupos, os ataques tambémpodem ser divididos da mesma maneira:Internos e Externos.Os ataques internos representam por volta de 70% dos ataques que ocorrem aossistemas de rede. Mesmo que a maioria das pessoas acreditem que a maior parte dosataques surjam de fontes externas, essa é uma maneira errônea de encarar oproblema.Entre os ataques internos, encontramos em sua maioria, aqueles realizados porfuncionários de dentro da própria organização, que estão insatisfeitos ou osdesavisados sobre as políticas de Segurança da Empresa. Segurança - Ataques e Defesas - anderson.to@gmail.com
  10. 10. AtaquesAnalisando ataques externos, nos deparamos com a possibilidade decomprometimento cujo o objetivo estejam vinculados à espionagem.Ex: Espionagem IndustrialOutra possibilidade da origem de comprometimento de sistemas, podeser a curiosidade ou simplesmente o desafio que representa para oCracker. (sendo útil ou não a informação para ele)Bons exemplos desse tipo de ataque “A Arte de Invadir” de Kevin Mitnik. Segurança - Ataques e Defesas - anderson.to@gmail.com
  11. 11. Exemplos Exemplo de AMEAÇA:● “Uma chuva de granizo em alta velocidade” Exemplo de VULNERABILIDADE:● “Uma sala de equipamentos com janelas de vidro” Exemplo de ATAQUE:● “A chuva de granizo contra as janelas de vidro” Segurança - Ataques e Defesas - anderson.to@gmail.com
  12. 12. Mecanismos de segurança● Mecanismos físicos; Portas, Trancas, Paredes, Blindagem, Guardas, Câmeras, Sistemas de Alarme, Sistemas de Detecção de Movimento, biometria. Os mecanismos físicos de proteção, são barreiras que limitam o contato ou acesso direto a informação ou a infraestrutura (que garante a existência da informação) que a suporta.● Mecanismos lógicos; - Criptografia, Firewall, Anti-Vírus, IDS (detecção de ataque), IPS (semelhante ao IDS), Proxy, anti- spam. Os mecanismos lógicos, são barreiras que impedem ou limitam o acesso a informação, que está em ambiente controlado, geralmente eletrônico, e que, de outro modo, ficaria exposta a alteração não autorizada por elemento mal intencionado. Segurança - Ataques e Defesas - anderson.to@gmail.com
  13. 13. Fases de um ataque Levantamento de Informações● Essa fase é mais abrangente e baseado no que é descoberto todo planejamento é realizado e os vetores de ataques definidos. Ex: (nomes, telefones, endereço, redes sociais) Varredura● Nesta fase o atacante busca informações mais detalhadas do alvo: Ex: (Qual SO?, Quais Serviços ativos?, Quais Versões?, Há IDS/IPS?, Há honeypots? ...) Segurança - Ataques e Defesas - anderson.to@gmail.com
  14. 14. Fases de um ataque Ganhando acesso● Aqui dependendo dos vetores de ataque ele pode buscar acessos com: ● Ataques de força bruta local; ● Ataques de força bruta remota; ● Captura de tráfego de rede ● Ataque de engenharia Social; ● Ataques à aplicações WEB; ● Exploração de serviços; ● Exploração de SO; Segurança - Ataques e Defesas - anderson.to@gmail.com
  15. 15. Fases de um ataque● Mantendo acesso;● Limpando Rastros; Segurança - Ataques e Defesas - anderson.to@gmail.com
  16. 16. Incidentes Reportados ao CERT.br -- Janeiro a Março de 2012 Segurança - Ataques e Defesas - anderson.to@gmail.com
  17. 17. Tentativas de Fraudes - Janeiro a Março de 2012 Segurança - Ataques e Defesas - anderson.to@gmail.com
  18. 18. Google Hacking Database Há um banco de dados virtual, com tags de busca de Google previamente criadas, para conseguir informações específicas.● Google Hacking Database: http://jonnhy.ihockstuff.com/ghdb Segurança - Ataques e Defesas - anderson.to@gmail.com
  19. 19. Google HackingNo levantamento de informações o Google é a principal ferramentapara o levantamento de informações de nosso alvo. É o melhorsistema público pra utilizarmos em busca de informações sobrequalquer coisa em relação ao nosso alvo: ● Sites, propagandas, parceiros, redes sociais, grupos, etc.Certamente vários resultados retornarão com links onde podemosencontra nome completo, endereço, telefone, CPF, etc... Segurança - Ataques e Defesas - anderson.to@gmail.com
  20. 20. Google Hacking Ex:● site:gov.br ext:sql (busca por arquivo de base de dados em sites do governo)● inurl:e-mail filetype:mdb (busca arquivos de e-mail em formato .mdb)● Inurl:intranet + intext:”telefone” (busca telefones disponíveis em intranets encontradas pelo google). Segurança - Ataques e Defesas - anderson.to@gmail.com
  21. 21. Contramedidas● Possuir uma boa política referente à publicações de informações na Internet;● Não deixar configurações padrões em Servidores Web, para os mesmos não consigam ser indentificados facilmente;● Sempre analisar as informações disponíveis sobre a empresa em sites de busca;● Alertar e treinar os funcionários da empresa com relação a maneira com que um ataque de engenharia social pode acontecer, e as possíveis informações que o atacante poderá usar nesse ataque. Segurança - Ataques e Defesas - anderson.to@gmail.com
  22. 22. Dê-me seis horas para cortar umaárvore, e eu gastarei as primeirasquatro horas afiando o machado” Abraham Lincoln Segurança - Ataques e Defesas - anderson.to@gmail.com
  23. 23. Engenharia Social Podemos considerar a engenharia social como a arte de enganar pessoas para conseguir informações, as quais não deviam ter acesso. Empregados podem deixar escapar informações sigilosas através de umcontato via telefone ou mesmo conversando em locais públicos: elevadores,corredores, bares. Uma empresa pode ter os melhores produtos de segurança que odinheiro pode proporcionar. Porém, o fator humano é, em geral, o ponto maisfraco da segurança. Segurança - Ataques e Defesas - anderson.to@gmail.com
  24. 24. Engenharia Social - TIPOS● Baseada em Pessoas As técnicas de engenharia social baseada em pessoas possuem diversas características que são utilizadas para que o atacante consiga as informações que deseja, dentre elas podemos citar : ● Disfarces; ● Representações; ● Uso de cargo de alto nível; ● Observações; ● Ataques a sistemas de help-desk; Segurança - Ataques e Defesas - anderson.to@gmail.com
  25. 25. Engenharia Social - TIPOS● Baseada em computadores Este ataque se baseia no desconhecimento do usuário com relação ao uso coreto da informática: Exemplos● Cavalos de Tróia anexados a e-mails;● E-mails falsos;● WebSites Falsos; Segurança - Ataques e Defesas - anderson.to@gmail.com
  26. 26. Formas de Ataque● Insider Attack Insiders são pessoas de dentro da própria organização.● Roubo de Identidade Atualmente, quando alguém cria uma nova identidade baseando-se em informações de outra pessoa.● Phishing Scam É uma forma de fraude eletrônica, caracterizada por tentativas de adquirir informações sigilosas, ou instalar programas maliciosos na máquina alvo● URL Obfuscation Técnica utilizada para diminuir o tamanho das URLs muito grandes. Segurança - Ataques e Defesas - anderson.to@gmail.com
  27. 27. Formas de Ataques● Dumpster Diving É o ato de vasculhar lixeiras em busca de informações. Todos os dias são jogados no lixo de empresas vários documentos sem utilidades, mas os atacantes podem utilizar essa informação para um ataque● Persuasão Os próprios hackers vêem a engenharia social de um ponto de vista psicológico, enfatizando como criar um ambiente psicológico perfeito para um ataque. Os métodos básicos de persuasão são: personificação, insinuação, conformidade, difusão de responsabilidade e a velha amizade. Segurança - Ataques e Defesas - anderson.to@gmail.com
  28. 28. Engenharia Social ReversaUm método mais avançado de conseguir informações ilícitas é com aengenharia social reversa. Isto ocorre quando o atacantes cria umapersonalidade que aparece numa posição de autoridade, de moto que todosos usuários lhe pedirão informações.Os ataques de Engenharia Social Reversa se bem pesquisados, planejadose bem executados permetirá extrair dos funcionários informações muitovaliosas.Os três métodos de ataques de engenharia social reversa são, sabotagem,propaganda e ajuda. Na sabotagem, o hacker causa problemas na rede,então divulga que possui a solução e se propõe a solucionar o problema. Naexpectativa de ver a falha corrigida, os funcionários passam todas asinformações necessárias da rede. Após atingir o seu objetivo, ele elimina afalha, a rede volta. Segurança - Ataques e Defesas - anderson.to@gmail.com
  29. 29. No Tech Hacking Todo e qualquer tipo de ataque que não tenha necessidade de aparatos tecnológicos são considerados “NO TECH HACKING”.● Dumpster Diving – (Vasculhar o lixo da empresa)● Shoulder Surfing – (Papagaio de Pirata)● Lock picking – (técnicas de abrir fechaduras)● Tailgating – (Ouvir uma conversa ao telefone) Segurança - Ataques e Defesas - anderson.to@gmail.com
  30. 30. Contramedidas● Não trabalhe assuntos privados em locais públicos;● Faça descarte seguro de documentos;● Fechaduras e trancas de boa qualidade;● Bolsas e documentos pessoais em segurança;● Teste constantemente seus dispositivos de segurança, câmeras e detectores de movimento;● Tenha cuidado com o “Papagaio de Pirata”;● Mantenha-se atento aos engenheiros sociais.● Treine adequadamente os funcionários, principalmente os da área de segurança; Segurança - Ataques e Defesas - anderson.to@gmail.com
  31. 31. Padrões e Normas● ISO 27001● ISO 27002● BASILEIA II● PCI-DSS● ITIL● COBIT● NIST 800 Series Segurança - Ataques e Defesas - anderson.to@gmail.com
  32. 32. Serviços de Segurança da Informação● Criação de Políticas de Segurança;● Implantação de CSIRTs;● Hardening de Servidores;● Análises de Vulnerabilidades;● Testes de Invasão;● Análise de Aplicação:● Perícia Computacional;● Treinamento de Colaboradores;● Auditoria em Sistemas e em Redes Segurança - Ataques e Defesas - anderson.to@gmail.com
  33. 33. Anderson Menezes anderson.to@gmail.com 63-8407-4442/92631848 “Se você conhece a sim mesmo e ao seu inimigo, não precisará temer os resultados de mil batalhas” (Sun Tzu)Obrigado! Segurança - Ataques e Defesas - anderson.to@gmail.com
  1. Gostou de algum slide específico?

    Recortar slides é uma maneira fácil de colecionar informações para acessar mais tarde.

×