Segurança da Informação

Conceitos

O que é segurança?

• Um computador (ou sistema computacional) é dito seguro se atende a três requisitos básicos:– Confidencialidade:

• A informação só está disponível para aqueles devidamente autorizados;

– Integridade: • A informação não é destruída ou corrompida e o sistema

tem um desempenho correto;

– Disponibilidade:• os serviços/recursos do sistema estão disponíveis sempre

que forem necessários (e permitidos).

O que é segurança?

• Quando algum dos requisitos é comprometido ocorre uma violação de segurança– Exemplos?• Confidencialidade• Integridade• Disponibilidade

Por que se preocupar?

• Computadores são usados em:– Transações financeiras:• Internet Banking• E-commerce

– Comunicação:• E-mail• Chat• VoIP

– Armazenamento de dados:• Pessoais ou empresariais

Por que se preocupar?

Por que alguém iria me atacar?• Por vários motivos:

• utilizar seu computador em alguma atividade ilícita, para esconder a real identidade e localização do invasor;

• utilizar seu computador para lançar ataques contra outros computadores;

• utilizar seu disco rígido como repositório de dados;• destruir informações (vandalismo);• disseminar mensagens alarmantes e falsas;• ler e enviar e-mails em seu nome;• propagar malware (vírus, worms, etc.);• furtar números de cartões de crédito e senhas bancárias;• furtar a login, para acessar sites e serviços se fazendo passar por você;• furtar dados sigilosos da sua empresa...

Senhas

• Uma senha (password) na Internet, ou em qualquer sistema computacional, serve para autenticar o usuário, ou seja, é utilizada no processo de verificação da identidade do usuário, assegurando que este é realmente quem diz ser.

• A senha é de total responsabilidade do usuário

Como elaborar uma boa senha

• Nomes, sobrenomes, números de documentos, placas de carros, números de telefones e datas deverão estar fora de sua lista de senhas.

• Jamais utilizar palavras que façam parte de dicionários. – Existem softwares que tentam descobrir senhas

combinando e testando palavras em diversos idiomas e geralmente possuem listas de palavras (dicionários) e listas de nomes (nomes próprios, músicas, filmes, etc.).

Como elaborar uma boa senha

• Uma boa senha deve ter pelo menos oito caracteres (letras, números e símbolos), deve ser simples de digitar e, o mais importante, deve ser fácil de lembrar.

• Normalmente os sistemas diferenciam letras maiúsculas das minúsculas, o que já ajuda na composição da senha. – Exemplo: SeNaI e sEnAi seriam senhas diferentes

Como elaborar uma boa senha

• Uma regra realmente prática e que gera boas senhas difíceis de serem descobertas é utilizar uma frase qualquer e pegar a primeira, segunda ou a última letra de cada palavra.

Exemplo

• Considere a frase: “batatinha quando nasce se esparrama pelo chão”

• Pegando as iniciais de cada palavra temos a sequência de caracteres: bqnsepc

• A fim de aumentar a complexidade ainda podemos:– Alterar algumas letras para maiúsculas– Substituir uma letra por um dígito de formato

aproximado– Inserir um ou mais caracteres especiais em posições

determinadas da senha

Exemplo

• Continuando...

• Pronto! Temos uma senha forte que não é impossível de se lembrar!

bqnsepc BqNsEpC 8qNs3pC 8qNs3pC#

Quantas senhas diferentes devo usar?

• Procure identificar o número de locais onde você necessita utilizar uma senha.

• Este número deve ser equivalente a quantidade de senhas distintas a serem mantidas por você.

• Utilizar senhas diferentes, uma para cada local, é extremamente importante, pois pode atenuar os prejuízos causados, caso alguém descubra uma de suas senhas.

Com que frequência devo mudar minhas senhas?

• Você deve trocar suas senhas regularmente, procurando evitar períodos muito longos.

• Uma sugestão é que você realize tais trocas a cada dois ou três meses.

• Alguns sistemas proíbem (sabiamente) o uso de senhas alternadas ou parecidas

Cuidados especiais com senhas

• De nada adianta elaborar uma senha bastante segura e difícil de ser descoberta, se alguém puder vê-la.– observar o processo de digitação da sua senha

(shoulder surfing);– utilizar algum método de persuasão, para tentar

convencê-lo a entregar sua senha – capturar sua senha enquanto ela trafega pela

rede.

Cuidados especiais com senhas

• Certifique-se de não estar sendo observado ao digitar a sua senha;

• Não forneça sua senha para qualquer pessoa, em hipótese alguma;

• Não utilize computadores de terceiros (por exemplo, em LAN houses, cyber cafés, stands de eventos, etc.) em operações que necessitem utilizar suas senhas;

• Observe se os sites/serviços utilizados utilizam criptografia de informações principalmente para aqueles que envolvam o fornecimento de uma senha.

Senhas de Administradores (root)

• Administrador/root detém todos os privilégios do sistema

• Esse login deve ser usado apenas para realizar tarefas administrativas

• Por questão de comodidade (aka “preguiça”) vários administradores de sistemas usam o login privilegiado o tempo todo, para executar tarefas corriqueiras (acessar à Web, ler/escrever e-mails)

• Isso deve ser evitado a todo custo!– Risco de danificar o sistema– Risco de oferecer ao atacante acesso total

Senhas de Administradores (root)

• Elaborar uma boa senha para o usuário Administrator (ou root), e tomar os devidos cuidados com ela;

• Utilizar o usuário Administrador (root) somente quando for estritamente necessário;

• Criar usuários com privilégios normais para todas as pessoas que utilizam o computador, para substituir assim o usuário Administrator (ou root) em tarefas rotineiras.

Cookies

• Informações que os sites visitados podem armazenar no browser.– guardar login e senha quando o usuário navega no

site;– manter listas de compras ou listas de produtos

preferidos em sites de e-commerce;– personalizar sites pessoais ou de notícias;– manter listas das páginas vistas em um site, etc;

• Cookies podem representar uma ameaça à privacidade do usuário.

Engenharia Social

• Método de ataque, onde se faz uso da persuasão, muitas vezes abusando da ingenuidade ou confiança do usuário, para obter informações que podem ser utilizadas para ter acesso não autorizado a informações.

Engenharia Social

• Você recebe uma mensagem e-mail, onde o remetente é o gerente ou alguém em nome do departamento de suporte do seu banco.

• Na mensagem ele diz que o serviço de Internet Banking está apresentando algum problema e que tal problema pode ser corrigido se você e executar o aplicativo que está anexado à mensagem.

• A execução deste aplicativo apresenta uma tela análoga àquela que você utiliza para ter acesso a conta bancária, aguardando que você digite sua senha.

• Na verdade, este aplicativo está preparado para furtar sua senha de acesso a conta bancária e enviá-la para o atacante.

Vulnerabilidade

• Falha no projeto, implementação ou configuração de um software ou sistema operacional que, quando explorada por um atacante, resulta na violação da segurança de um computador.

• Algumas vulnerabilidades podem ser exploradas remotamente

Códigos Maliciosos (Malware)

• Termo genérico que abrange todos os tipos de programa especificamente desenvolvidos para executar ações maliciosas em um computador.

• Exemplos:– Vírus– Worms– Cavalos de Tróia– Spyware– Rootkits

Códigos Maliciosos (Malware)

Negação de Serviço (Denial of Service)

• Sigla: DoS• O atacante utiliza um computador para tirar

de operação um serviço ou computador conectado à Internet

DDoS - Distributed Denial of Service

• Um conjunto de computadores é utilizado para tirar de operação um ou mais serviços ou computadores conectados à Internet.

• Importante:– DoS ou DDoS não significa INVASÃO– Porém DDoS normalmente se aproveitam de

máquinas infectadas (“zumbis”)

DDoS

• Pesquisar sobre as atividades do grupo Anonymous Brasil nos últimos dias.– Quais foram os “alvos”?– Por que?– Como?

Criptografia

• Ciência/arte de escrever mensagens em forma cifrada ou em código

• Aplicações:– Autenticação de usuários– Autenticar e proteger dados sigilosos– Verificar integridade de dados

Criptografia

• Mensagem criptografada = mensagem privada• Mensagem assinada– Receptor tem como verificar se o transmissor é

quem diz ser e se a mensagem foi alterada.• Tipos de Criptografia:– Simétrica (chave única ou chave privada)– Assimétrica (chave pública)

Criptografia Simétrica

Criptografia Assimétrica

Assinatura Digital

Certificado Digital

Certificado Digital