Segurança da Informação
 

Segurança da Informação

on

  • 1,176 views

Mini-curso ministrado na II Semana de Atualização Tecnológica da FASE Faculdade ...

Mini-curso ministrado na II Semana de Atualização Tecnológica da FASE Faculdade

Conteúdo: O que é e qual a importância da
segurança da informação? Quais as principais ameaças? Como se proteger?

Statistics

Views

Total Views
1,176
Views on SlideShare
1,176
Embed Views
0

Actions

Likes
2
Downloads
84
Comments
0

0 Embeds 0

No embeds

Accessibility

Categories

Upload Details

Uploaded via as Adobe PDF

Usage Rights

© All Rights Reserved

Report content

Flagged as inappropriate Flag as inappropriate
Flag as inappropriate

Select your reason for flagging this presentation as inappropriate.

Cancel
  • Full Name Full Name Comment goes here.
    Are you sure you want to
    Your message goes here
    Processing…
Post Comment
Edit your comment

Segurança da Informação Segurança da Informação Presentation Transcript

  • Segurança da InformaçãoSemana de Atualização Tecnológica FASE 27/01/11 Felipe Augusto Pereira felipe@unu.com.br
  • Quem sou eu?• Felipe Augusto Pereira• Bacharel em Ciência da Computação (CIn/UFPE)• Mestre e Doutorando em Administração (PROPAD/UFPE)• Pesquisador do grupo de Gestão da Inovação em Redes de Operações• Professor de graduação e pós-graduação de cursos de gestão e tecnologia• Sócio-diretor da Unu Soluções, empreendimento de TI e Design Gráfico• Coordenador dos cursos de Tecnologia da FASE © UNU Soluções – www.unu.com.br 2
  • Quem são vocês?• Atividades• O que vem a sua mente quando falamos de Segurança da Informação? © UNU Soluções – www.unu.com.br 3
  • Sobre o que conversaremos hoje?• O que é e qual a importância da segurança da informação?• Quais as principais ameaças?• Como se proteger? © UNU Soluções – www.unu.com.br 4
  • O QUE É E QUAL A IMPORTÂNCIADA SEGURANÇA DA INFORMAÇÃO?DefiniçãoCibercrimesEstatísticasMotivações © UNU Soluções – www.unu.com.br 5
  • Confidencialidade Segurança Integridade da Informação Disponibilidade © UNU Soluções – www.unu.com.br 6
  • Cibercrimes• Prática que consiste em fraudar a segurança de computadores e redes empresariais ou utilizar meios eletrônicos para a realização de crimes• Ex: SPAM, fraudes bancárias, violação de propriedade intelectual, pornografia, invasão de websites, etc. © UNU Soluções – www.unu.com.br 7
  • CibercrimesComputadores como alvos de Computadores como crime instrumento de crimes• Violação da confidencialidade • Roubo de segredos comerciais de dados protegidos • Cópia não autorizada de• Acesso a sistemas software ou material com computacionais sem autorização propriedade intelectual• Acesso intencional a um registrada (artigos, livros, computador protegido para músicas, vídeos, etc.) cometer fraude • Ameaças ou assédio por e-mail• Danos intencionais a um • Interceptação de comunicações computador protegido eletrônicas• Transmissão de software que • Acesso ilegal a comunicações cause danos deliberados a um eletrônicas armazenadas sistema • Armazenamento ou transmissão de material de pedofilia © UNU Soluções – www.unu.com.br 8
  • Cibercrimes no Mundo• 1. Estados Unidos (23%)• 2. China (9%)• 3. Alemanha (6%)• 4. Inglaterra (5%)• 5. Brasil (4%)• 6. Espanha (4%)• 7. Itália (3%)• 8. França (3%)• 9. Turquia (3%)• 10. Polônia (3%) Fonte: BusinessWeek, 2009 © UNU Soluções – www.unu.com.br 9
  • Cibercrimes no Brasil• Ranking de 2008 – Fração da atividade maliciosa no mundo: 4% – Cibercrimes em geral: 5º lugar – Códigos maliciosos: 16º lugar – Zumbis para SPAM: 1º lugar – Hospedagem de sites phishing : 16º lugar – Bots (PCs controlados remotamente): 5º lugar – Origem dos ataques: 9º lugar Fonte: BusinessWeek, 2009 © UNU Soluções – www.unu.com.br 10
  • Incidentes reportados ao CERT.brFonte: NIC.Br © UNU Soluções – www.unu.com.br 11
  • Motivações para Cibercrimes• Inicialmente – Ação individual – Status e reconhecimento• Atualmente – Crime organizado – Motivação financeira – Ataques a usuários finais © UNU Soluções – www.unu.com.br 12
  • Hackers• Indivíduos que pretendem obter acesso não autorizado a um sistema computacional• Cracker, black hat, white hat• Algumas ações – Invasão de sistemas – Vandalismo – Roubo de informações © UNU Soluções – www.unu.com.br 13
  • QUAIS AS PRINCIPAISAMEAÇAS?Fontes de Vulnerabilidade dos SistemasSPAM, Malwares, Scanning, Invasão, Scam, Spoofing, Phishing,Hoaxes, Fakes, Sniffing, Ataques DoS, Ciberterrorismo, Funcionários,Falhas de software, Falhas físicas © UNU Soluções – www.unu.com.br 14
  • Fontes de Vulnerabilidade dos Sistemas• Usuários• Linhas de comunicação• Servidores corporativos• Sistemas corporativos © UNU Soluções – www.unu.com.br 15
  • SPAM• Envio de e-mails não solicitados• Problemas – Redução da produtividade – Sobrecarga da infraestrutura de comunicação – Porta para malwares e outras ameaças – Inclusão do servidor em listas de bloqueio © UNU Soluções – www.unu.com.br 16
  • Malwares• Malicious Software = software malicioso• Vírus, worms, backdoors, cavalos de tróia, spywares, etc.• Software mal intencionado• Normalmente disseminados através de websites, e-mails e pen drives © UNU Soluções – www.unu.com.br 17
  • Malwares• Ações – “Benignas”: exibição de mensagem ou imagem – Malignas: destruição de programas e dados, alteração do funcionamento de programas, keyloggers, bots © UNU Soluções – www.unu.com.br 18
  • Vírus• Programa de computador que se propaga através de auto-cópia e infecção de outros programas• Depende da execução do programa ou arquivo hospedeiro• Podem ficar “incubados” sem manifestação © UNU Soluções – www.unu.com.br 19
  • Worms• Programa de computador que se propaga através de auto-cópia, mas não infecta outros programas e se propaga através de vulnerabilidades existentes• Costumam consumir muitos recursos (redes, disco, etc.) © UNU Soluções – www.unu.com.br 20
  • Cavalos de Tróia• Programa que executa funções maliciosas além de outras para as quais aparentemente foi projetado – Protetor de tela, jogos, etc.• Pode instalar keyloggers, screenloggers, backdoors, furtar senhas, números de cartões de crédito, alterar ou destruir arquivos• Por si só, não infecta outros arquivos nem se auto-copia• Precisa ser executado para entrar em ação © UNU Soluções – www.unu.com.br 21
  • Adware e Spyware• Podem ou não ser legítimos• Adware: apresenta propagandas• Spyware: monitora comportamento – URLs visitadas – Alteração da página inicial do browser – Varredura de arquivos – Captura de senhas e números de cartões de crédito © UNU Soluções – www.unu.com.br 22
  • Backdoor• Permitem o retorno de invasores por método diferente do utilizado para a invasão original• Podem ser resultado de programas de acesso remoto mal configurados ou de cavalos de tróia © UNU Soluções – www.unu.com.br 23
  • Keyloggers e screenloggers• Keylogger: grava teclas digitadas• Screenlogger: quando o mouse é clicado, grava a tela completa ou a área próxima ao cursor• Dados são enviados para terceiros• Normalmente, são provenientes de cavalos de tróia ou spywares © UNU Soluções – www.unu.com.br 24
  • Bots• Programa semelhante ao worm (com auto- cópia, se propaga através de vulnerabilidades existentes), mas controlado remotamente pelo invasor• Bots podem enviar e-mails de phishing, SPAMs, desferir ataques, roubar dados, etc.• Uma rede de bots é chamada botnet © UNU Soluções – www.unu.com.br 25
  • Rootkits• Permitem esconder e assegurar a presença em computadores comprometidos• Atividades ficam escondidas do usuário do computador• Podem instalar backdoors, remover registros em logs, realizar sniffing, etc. © UNU Soluções – www.unu.com.br 26
  • Scanning• Varredura de redes de computadores à procura de vulnerabilidades © UNU Soluções – www.unu.com.br 27
  • Invasão• Força Bruta• Exploração de falhas conhecidas• Suscetibilidade de computadores com banda larga (IP constante alta velocidade e longo tempo de conexão)• Conexões sem fio © UNU Soluções – www.unu.com.br 28
  • Scam• Golpe que normalmente objetiva vantagem financeira – Site de vendas ou leilão com preços muito abaixo do mercado, que não serão entregues ou servirão para furto de dados financeiros – E-mail recebido em nome de uma instituição financeira solicitando atuação como intermediário de uma transferência internacional mediante adiantamento © UNU Soluções – www.unu.com.br 29
  • Spoofing• “Disfarce” de pessoas ou programas através da falsificação de informações• Empresas com material com copyright divulgam materiais distorcidos em redes de compartilhamento para desencorajar o uso• E-mail spoofing – Alteração do remetente de e-mails• Spoofing em ligações – Alteração de informações de quem está originando a ligação © UNU Soluções – www.unu.com.br 30
  • Phishing• Modalidade de spoofing em que há a tentativa de obter informações importantes através de elementos mascarados como de instituições idôneas• Modalidades – E-mails com falsas informações atraindo para links – E-mails com manipulação de links – E-mails com formulários – Redirecionamento a websites falsos na digitação de endereços verdadeiros – Phishing telefônico – Utilização de popups solicitando informações no acesso a sites verdadeiros © UNU Soluções – www.unu.com.br 31
  • Phishings ComunsTema Texto da mensagemCartões virtuais UOL, Voxcards, Musical Cards, etc.SERASA e SPC Débitos e restriçõesGoverno CPF/CNPJ cancelados, problemas com imposto de renda ou eleiçõesCelebridades, fatos da mídia Fotos e vídeosRelacionamentos Traição, convites para relacionamentosEmpresas de telefonia Débitos, bloqueio, serviçosAntivírus AtualizaçõesLojas virtuais Pedidos, débitosNegócios Solicitações de orçamentos, recibosPromoções VáriosProgramas Novidades, ofertas © UNU Soluções – www.unu.com.br 32
  • Hoaxes• Boatos com alarmes falsos enviados por e-mail• Podem espalhar desinformação ou ter fins maliciosos• Já houve casos de divulgação por meios de comunicação © UNU Soluções – www.unu.com.br 33
  • Hoaxes Comuns• Envio de mensagem para n pessoas e obtenção de benefício• Auxílio a pacientes de doenças graves através do envio de mensagens• Produtos contaminados em empresas conhecidas• Seringa com AIDS• Roubo de órgãos• Morte por limão na cerveja © UNU Soluções – www.unu.com.br 34
  • Catálogos de Hoaxes• Hoaxbusters (http://hoaxbusters.ciac.org)• QuatroCantos (http://www.quatrocantos.com/LENDAS)• Urban Legends and Folklore (http://urbanlegends.about.com)• Urban Legends Reference Pages (http://www.snopes.com)• TruthOrFiction.com (http://www.truthorfiction.com)• Symantec Security Response Hoaxes (http://www.symantec.com/avcenter/hoax.html)• McAfee Security Virus Hoaxes (http://vil.mcafee.com/hoax.asp) © UNU Soluções – www.unu.com.br 35
  • Fakes• Utilização de identidades falsas em redes sociais e softwares de comunicação instantânea• Identidades de famosos ou conhecidos• Utilizado para acessar serviços sem se identificar ou se fazer passar por outros © UNU Soluções – www.unu.com.br 36
  • Sniffing• Programa espião que monitora os dados transmitidos através de uma rede• Permite acesso a arquivos, senhas ou conversações em tempo real © UNU Soluções – www.unu.com.br 37
  • Ataques DoS• Sobrecarga de servidor de rede ou web com falsas requisições• Servidor sobrecarregado não consegue atender as solicitações• Costuma usar bots• Serviço atacado fica indisponível• De 2% a 3% do tráfego de grandes backbones é ruído de DoS © UNU Soluções – www.unu.com.br 38
  • Ciberterrorismo• Exploração das vulnerabilidades das redes por terroristas, serviços de inteligência estrangeiros ou outros grupos para criar perturbações e prejuízos• Acredita-se que vários países tenham ações de ataque e defesa em desenvolvimento para uma ciberguerra• Preocupação de vários governos © UNU Soluções – www.unu.com.br 39
  • Funcionários• Tipos – Ocorrências intencionais de funcionários – Ocorrências intencionais de ex- funcionários – Engenharia social – Falhas na operação de sistemas © UNU Soluções – www.unu.com.br 40
  • Falhas de software• Softwares comerciais apresentam falhas frequentes – Falhas descobertas são divulgadas e aproveitadas por indivíduos mal intencionados – Patchs são lançados para resolver tais falhas• Softwares online podem apresentar falhas através da manipulação de URL – Não proteção de arquivos em servidores online – Acesso a funcionalidades por usuários não credenciados © UNU Soluções – www.unu.com.br 41
  • Falhas Físicas• Danos a equipamentos• Invasão física• Quedas e falta de energia• Acidentes naturais © UNU Soluções – www.unu.com.br 42
  • COMO SE PROTEGER?Política de segurança, Plano de contingência, Controle de acesso,Senhas, Suítes anti-malwares, Segurança em E-mails, Segurança nanavegação na Internet, Privacidade, Segurança em ComunicaçãoInstantânea, Segurança no Compartilhamento de Arquivos,Segurança de redes sem fio, Criptografia, Mudanças de Padrões,Denúncias, Segurança em software, Ações contra Danos Físicos,Backups, Outras ações © UNU Soluções – www.unu.com.br 43
  • Política de Segurança• Normaliza, padroniza e estabelece critérios mínimos para garantir a integridade, confidencialidade e disponibilidade da informação no ambiente computacional• Requer apoio da alta gestão e todos os funcionários• É específica a cada organização• Define regras de infraestrutura, utilização dos equipamentos, redes, e-mails corporativos, acesso à internet, senhas, etc © UNU Soluções – www.unu.com.br 44
  • Plano de Contingência• Define ações a serem tomadas na ocorrência de grandes problemas• Inclui ações para restauração dos serviços de computação e comunicação à normalidade © UNU Soluções – www.unu.com.br 45
  • Controle de Acesso• Conjunto de políticas e procedimentos utilizados pela empresa para evitar acesso indevido a informações• Permissão – Definição das restrições de acesso• Autenticação – Identificação da identidade de um usuário – Senhas, cartões, tokens, biometria, etc. © UNU Soluções – www.unu.com.br 46
  • Controle de Acesso• O usuário root (administrador) só deve ser utilizado quando necessário• A estação deve ser bloqueada (ou logoff realizado) no afastamento dos funcionários © UNU Soluções – www.unu.com.br 47
  • Senhas• Senhas longas• Senhas com caracteres especiais (!@#$%&*?<>)• Caracteres repetidos, sequências do teclado, palavras de quaisquer dicionários e dados pessoais devem ser evitados• A senha deve ser alterada periodicamente (de 02 a 03 meses), com utilização de senhas diferentes das anteriores © UNU Soluções – www.unu.com.br 48
  • Senhas• O uso da mesma senha em diversos sistemas deve ser evitado• Senhas não devem ser enviadas por telefone, e-mail ou software de comunicação instantânea• Senhas não devem ser anotadas, exceto se houverdificuldade para decorar (nesse caso, a anotação deve ser mantida em local seguro) © UNU Soluções – www.unu.com.br 49
  • O que você acha dessas senhas?• senha • GAFANHOTO• admsenha • asdfg• A3Dkiu0! • 1qaz2wsx• felipe • 1234567890• pereira • 87654321• 01081980 • AcDaz90!• Lionfish • amanda © UNU Soluções – www.unu.com.br 50
  • Suítes Anti-malwares• Pacotes com soluções antivírus, anti- SPAM e anti-spywares• Verifica os sistemas em busca de arquivos e processos possivelmente infectados• Devem ser atualizados diariamente © UNU Soluções – www.unu.com.br 51
  • Taxa de Detecção dos Antivírus em 2009Fonte: NIC.Br © UNU Soluções – www.unu.com.br 52
  • Segurança em E-mails• Desativação recomendada – Abertura e execução automática de anexos – Execução de JavaScript e Java – Modo de visualização de e-mails HTML• Atenção a anexos suspeitos ou de remetentes desconhecidos• Atenção ao clicar em links em e-mails suspeitos (digitar o endereço diretamente no browser é preferível) © UNU Soluções – www.unu.com.br 53
  • Segurança em E-mails• SPAMs não devem ser respondidos (nem solicitação de descadastramento)• A divulgação de e-mails na Internet deve ser feita com precaução © UNU Soluções – www.unu.com.br 54
  • Segurança na Navegação na Internet• Atenção à execução de programas Java, Activex e JavaScripts• Popups devem ser bloqueados• Procedência do site e uso de conexões seguras ao realizas transações devem ser conferidos – Cadeado – Validade e propriedade do certificado• Websites de entretenimento de natureza desconhecida são perigosos (ex: pornografia e jogos) © UNU Soluções – www.unu.com.br 55
  • Privacidade• Atenção com os cookies• Atenção com o bluetooth• Informações não devem ser desnecessariamente divulgadas online (inclusive comunidades) © UNU Soluções – www.unu.com.br 56
  • Segurança na Comunicação Instantânea• Convites de desconhecidos não devem ser aceitados• Atenção para a engenharia social• Atenção para o recebimento de arquivos © UNU Soluções – www.unu.com.br 57
  • Segurança noCompartilhamento de Arquivos• Atenção à configuração de softwares de compartilhamento de arquivos (Kazaa, BitTorrent, Emule, etc.)• Compartilhamentos de pastas devem ser feitos com o uso de senhas © UNU Soluções – www.unu.com.br 58
  • Segurança de Redes sem Fio• Alteração do SSID e senhas default dos equipamentos• Utilização de protocolos de autenticação robustos (ex: WPA, criptografia AES)• Criação de redes virtuais (VLANs) para visitantes © UNU Soluções – www.unu.com.br 59
  • Criptografia• Transformação de dados comuns em dados cifrados para que sejam conhecidos apenas pelo remetente e destinatário – Criptografia de dados armazenados – Criptografia de dados trafegados – Assinatura digital – Certificado digital © UNU Soluções – www.unu.com.br 60
  • Criptografia de Chave Única• Uma única chave para codificar e decodificar – João codifica uma mensagem com uma chave X – Maria recebe e decodifica com a mesma chave X• Maior desempenho• Preocupação com o compartilhamento da chave• Mínimo de 128 bits (256 ou 512 dependendo dos fins) © UNU Soluções – www.unu.com.br 61
  • Criptografia de chave pública e privada• Uma chave codifica e outra decodifica• Uma chave é pública outra é privada• Menor desempenho• Chave pública pode ser livremente distribuída• Mínimo de 1024 bits (4096 ou 8192 dependendo dos fins) © UNU Soluções – www.unu.com.br 62
  • Criptografia de chave pública e privada• Codificação (sigilo) – João codifica uma mensagem com a chave pública de Maria – Maria decodifica com sua chave privada• Assinatura digital (autoria) – João codifica uma mensagem com a sua chave privada – Maria decodifica a mensagem com a chave pública de João• Pode-se assinar e codificar para garantir a autoria e sigilo © UNU Soluções – www.unu.com.br 63
  • Certificado Digital• Arquivo eletrônico com dados de uma pessoa (física ou jurídica)• Armazenado no PC, token ou smart card• Autoridade Certificadora = “cartório eletrônico” © UNU Soluções – www.unu.com.br 64
  • Firewalls• Sistemas que protegem redes privadas de acessos não autorizados• Controle do fluxo de entrada e saída da rede• Baseado em filtros de pacotes, regras e controles por endereço MAC, IP, etc.• Hardware e/ou software• Geração de logs• Firewalls pessoais © UNU Soluções – www.unu.com.br 65
  • Mudanças de Padrões• Alteração de portas• Alteração de usuários e senhas de aplicações, redes, etc.• Válido para softwares e hardwares © UNU Soluções – www.unu.com.br 66
  • Denúncias• SPAMs: rede do remetente e mail- abuse@cert.br)• Scams e phishing: rede do remetente e cert@cert.br• Invasões, tentativas, ataques DoS e outros incidentes: rede originária do incidente e cert@cert.br © UNU Soluções – www.unu.com.br 67
  • Segurança em Software• Aquisição – Evitar pirataria – Atualização constante dos patches – Seleção de bons fornecedores• Desenvolvimento – Atualização das ferramentas e tecnologias de desenvolvimento – Qualificação da equipe – Atenção a boas práticas de engenharia de software © UNU Soluções – www.unu.com.br 68
  • Backups• Frequência depende da periodicidade de atualização dos dados, do risco e valor da perda• Mídia a ser utilizada dever ser analisada• Atenção ao local de armazenamento © UNU Soluções – www.unu.com.br 69
  • Ações contra Danos Físicos• Espelhamento de discos• Realização de backups• No-breaks• Segurança física dos ambientes (computadores e demais dispositivos) © UNU Soluções – www.unu.com.br 70
  • Outras Ações• Treinamento com usuários• O uso de computadores desconhecidos deve ser moderado (dispositivos de armazenamento móvel e dados confidenciais)• Configurações de segurança devem ser feitas bloqueando tudo e liberando apenas o necessário• Tráfego de rede deve ser monitorado © UNU Soluções – www.unu.com.br 71
  • Cartilha CERT• http://cartilha.cert.br © UNU Soluções – www.unu.com.br 72
  • Lembre-se• A força de uma corrente é definida pelo seu elo mais fraco! © UNU Soluções – www.unu.com.br 73
  • Obrigado!Felipe Augusto Pereira felipe@unu.com.br www.unu.com.br © UNU Soluções – www.unu.com.br 74