Introdução À Segurança de Redes

Introduo
Segurana de Redes
Ivo Peixinho
A RNP Rede Nacional de Ensino e Pesquisa qualificada como uma Organizao Social (OS), sendo ligada ao Ministrio da Cincia, Tecnologia e Inovao (MCTI) e responsvel pelo Programa Interministerial RNP, que conta com a participao dos ministrios da Educao (MEC), da Sade (MS) e da Cultura (MinC). Pioneira no acesso Internet no Brasil, a RNP planeja e mantm a rede Ip, a rede ptica nacional acadmica de alto desempenho. Com Pontos de Presena nas 27 unidades da federao, a rede tem mais de 800 instituies conectadas. So aproximadamente 3,5 milhes de usurios usufruindo de uma infraestrutura de redes avanadas para comunicao, computao e experimentao, que contribui para a integrao entre o sistema de Cincia e Tecnologia, Educao Superior, Sade e Cultura.
Ministrio da Cultura Ministrio da Sade Ministrio da Educao Ministrio da Cincia, Tecnologia e Inovao
Introduo
Segurana de Redes
Ivo Peixinho
Introduo
Segurana de Redes
Ivo Peixinho
Rio de Janeiro Escola Superior de Redes 2013
Copyright 2013 Rede Nacional de Ensino e Pesquisa RNP Rua Lauro Mller, 116 sala 1103 22290-906 Rio de Janeiro, RJ
Diretor Geral Nelson Simes Diretor de Servios e Solues Jos Luiz Ribeiro Filho
Escola Superior de Redes

Coordenao Luiz Coelho Edio Pedro Sangirardi Reviso Tcnica Fernando Amatte Coordenao Acadmica de Segurana e Governana de TI Edson Kowask Bezerra Equipe ESR (em ordem alfabtica) Celia Maciel, Cristiane Oliveira, Derlina Miranda, Elimria Barbosa, Evellyn Feitosa, Felipe Nascimento, Lourdes Soncin, Luciana Batista, Luiz Carlos Lobato, Renato Duarte, Sergio Ricardo de Souza e Yve Abel Marcial. Capa, projeto visual e diagramao Tecnodesign Verso 2.2.0 Este material didtico foi elaborado com fins educacionais. Solicitamos que qualquer erro encontrado ou dvida com relao ao material ou seu uso seja enviado para a equipe de elaborao de contedo da Escola Superior de Redes, no e-mail info@esr.rnp.br. A Rede Nacional de Ensino e Pesquisa e os autores no assumem qualquer responsabilidade por eventuais danos ou perdas, a pessoas ou bens, originados do uso deste material. As marcas registradas mencionadas neste material pertencem aos respectivos titulares. Distribuio
Rua Lauro Mller, 116 sala 1103 22290-906 Rio de Janeiro, RJ http://esr.rnp.br info@esr.rnp.br
Dados Internacionais de Catalogao na Publicao (CIP) P380i Peixinho, Ivo de Carvalho. Introduo Segurana de Redes / Ivo de Carvalho Peixinho, Fernando Pompeo Amatte. Rio de Janeiro: RNP/ESR, 2013. 204 p. : il. ; 28 cm. Bibliografia: p. 183-185. ISBN 978-85-63630-23-0
1. Redes de Computadores Segurana. 2. Segurana da informao Ameaas, Vulnerabilidades, Risco. 3. Segurana lgica. 4. Fundamentos de segurana. 5. Poltica de segurana. I. Amatte, Fernando Pompeo. II. Ttulo CDD 004.66
Sumrio
A metodologia da ESRxiii Sobre o curso xiv A quem se destinaxiv Convenes utilizadas neste livroxiv Permisses de usoxv Sobre os autoresxvi
1. Introduo, histrico e princpios bsicos de segurana

Introduo 1 Exerccio de nivelamento 1 Informao1 Segurana da informao1 Segurana de redes2 Exerccio de fixao 1 Segurana de redes3 Anos 50 e 603 Anos 703 Anos 804 Ano de 1988 6 Ano de 20016 Ano de 20037 Ano de 20097 Segurana no Brasil7 Ano de 20118 iii
Ano de 20128 CSIRTs no Brasil8 Decreto n 3505, de 13 de junho de 20009 DSIC10 Princpios bsicos de segurana10 Exerccio de fixao 2 Princpios bsicos de segurana10 Princpios bsicos de segurana11 Roteiro de Atividades 113 Atividade 1.1 Listas e informaes complementares de segurana13
2. Conceitos de segurana fsica e segurana lgica

Introduo15 Exerccio de nivelamento 1 Conceitos de segurana fsica e segurana lgica15 Segurana fsica15 Segurana externa e de entrada16 Segurana da sala de equipamentos17 Supresso de incndio17 Exerccio de fixao 1 Segurana em permetro19 Segurana dos equipamentos19 Redundncia20 Exerccio de fixao 2 Redundncia25 Segurana no fornecimento de energia25 Salvaguarda (backup)26 Descarte da informao27 Segurana lgica28 Firewall28 Necessidades em um firewall29 Packet filtering (filtro de pacotes)30 Stateless 30 Stateful packet filter 30 Application proxy 30 Deep packet inspection 31 Exerccio de fixao 3 Firewall32
iv
Uma viso a partir do datagrama32 Exemplos de firewalls33 Detectores de intrusos33 IDS Snort34 Fluxo de funcionamento do Snort34 Hids35 Kids36 IPS36 Redes virtuais privadas36 Autenticao, autorizao e auditoria37 Autenticao, autorizao e auditoria37 Roteiro de Atividades 239 Atividade 2.1 Segurana fsica e lgica39
3. Panorama atual da rea de segurana

Introduo41 Panorama atual da internet41 Exerccio de nivelamento 1 Panorama atual da rea de segurana42 Acesso em banda larga modem bridge42 Acesso banda larga modem router42 Principais erros43 Ameaas frequentes44 Vrus44 Tipos de vrus45 Worms 46 Cavalo de troia46 Spyware 48 Malware49 Mobile Malware49 Exerccio de fixao 1 Malwares50 Preveno50 Vulnerabilidades50 Estatsticas51 Hacker, cracker e outros personagens52 v
Motivao54 Roteiro de Atividades 355 Atividade 3.1 Controles de informtica55 Atividade 3.2 Servios e ameaas55
4. Arquitetura TCP/IP conceitos bsicos

Exerccio de nivelamento 1 Arquitetura TCP/IP57 Introduo57 Famlia de protocolos TCP/IP58 Camada fsica58 Hub (Ethernet)59 Bridge (Ethernet)59 Switch (Ethernet)60 Endereamento fsico61 Camada de rede61 Protocolo IP (Internet Protocol)62 Endereamento IP63 Subnetting (endereamento por sub-rede)64 Protocolos auxiliares (ARP, RARP e ICMP)64 ICMP65 Endereamento dinmico66 Exerccio de fixao 1 Endereamento dinmico66 Roteamento66 Exerccio de fixao 2 Roteamento67 Camada de transporte67 TCP67 Cabealho TCP68 UDP69 Camada de aplicao70 Camada OSI71 Packet Filter (filtro de pacotes)71 Stateful (Filtragem com Estado de Conexo)72 Bridge Statefull 73 Solues de firewall 73 Sniffers74 vi
Roteiro de Atividades 475 Atividade 4.1 Sniffers para captura de dados75 Atividade 4.2 Estados de firewall75
5. Arquitetura TCP/IP e segurana

Exerccio de nivelamento 1 Arquitetura TCP/IP e segurana77 Introduo77 Sniffers (farejadores)78 Source routing (roteando pela fonte)79 DoS (Denial of Service)80 Exerccio de fixao 1 Negao de servio81 Spoofing81 E-mail spoofing82 IP spoofing82 SYN flood84 Smurf85 Modelo de ataque fraggle85 Modelo de ataque DRDOS86 Portscan (varredura de portas)87 Distributed Denial of Service (DDoS)88 DDoS (DoS distribudo)90 Exerccio de fixao 2 DDoS 90 Modelo de ataque DDoS em duas camadas90 Modelo de ataque DDoS em trs camadas91 Modelo de ataque DDoS/Worm92 Vulnerabilidades em implementaes especficas92 Ping da morte92 Teardrop92 Land92 Roteiro de Atividades 595 Atividade 5.1 Conceito de varreduras95 Atividade 5.2 Simulando ataques com Hping95 Atividade 5.3 Simulando um ataque DoS Land 96
vii
6. Criptografia I Fundamentos
Introduo97 Exerccio de nivelamento 1 Fundamentos de criptografia98 Criptografia algoritmos e chaves98 Tipos de criptografia100 Criptografia simtrica101 Eletronic Code Book 102 Cipher Block Chaining 103 Cipher Feed Back 103 Output Feedback 104 Data Encryption Standard (DES)105 3DES, RC-4, IDEA e AES106 Algoritmo Diffie-Hellman107 Criptografia assimtrica108 Funes de hash109 Exerccio de fixao 1 Criptografia assimtrica110 Assinatura digital110 Certificao digital111 Public Key Infrastructure (PKI)112 Exemplo completo113 Roteiro de Atividades 6115 Atividade 6.1 Conhecendo mais sobre certificao digital115 Atividade 6.2 Uso de criptografia em e-mails115 Atividade 6.3 Uso de criptografia em arquivos115 Atividade 6.4 Criando um continer seguro 116
7. Criptografia II Aplicaes
Introduo119 Exerccio de nivelamento 1 Criptografia 120 Assinatura digital120 Blind signature (assinatura cega)120 Votao eletrnica121 Dinheiro eletrnico122 PayPal123 viii
Criptografia de servidor (SSL/TLS)124 Criptografia de servidor125 Redes virtuais privadas (VPN)127 Redes virtuais privadas128 Exerccio de fixao 1 Redes Virtuais Privadas (VPNs)128 Segurana na www128 Seleo de um navegador129 Recursos de um navegador129 Tipos de certificados131 Cookies131 Exerccio de fixao 2 Cookies132 Segurana no navegador133 Pagamentos na internet133 Roteiro de Atividades 7135 Atividade 7.1 Recurso do SSH135 Atividade 7.2 Uso de criptografia em arquivos135 Atividade 7.3 Criptografando arquivos no Linux135
8. Poltica de segurana da informao

Introduo137 Exerccio de nivelamento 1 Polticas de segurana da informao138 Anlise de risco138 Identificao, classificao, valorao e criticidade138 Vulnerabilidades e ameaas140 Risco140 Impacto141 Exerccio de fixao 1 Risco, ameaas e vulnerabilidades141 Metodologias para anlise de risco142 Construindo uma poltica de segurana142 Orientaes da norma ISO 27001142 Norma ISO 27002143 Orientaes do NBSO143 Orientaes do CERT.BR144 Acceptable Use Police (AUP)145 ix
Exemplo de poltica de segurana145 Mensurando145 Calculando146 Valor final147 Roteiro de Atividades 8149 Atividade 8.1 Elaborao de polticas149 Atividade 8.2 Auditoria em Microsoft Windows149 Atividade 8.3 Aumentando a segurana da sua estao de trabalho149 Atividade 8.4 Calculando o impacto do mau uso da web150
9. Ameaas recentes
Exerccio de nivelamento 1 Ameaas recentes151 Introduo151 Phishing152 Formas atuais de phishing 153 Exerccio de fixao 1 Phishing153 Programa malicioso 154 Link para programa malicioso154 Pgina falsificada de comrcio eletrnico ou internet banking155 E-mail contendo formulrio155 Uso de computador alheio156 Roubo de identidade 156 Golpes em sites de comrcio eletrnico e compras coletivas157 Cuidados ao usar comrcio eletrnico e internet banking157 Proteo antiphishing157 Pharming158 Preveno158 Exerccio de fixao 2 Pharming159 Bot159 Rootkit 159 Tecnologia rootkit em DRM da Sony160 Kernel malware160 Mailbot aka Costrat160 Spear phishing161
Pginas contaminadas161 Redes sociais162 Como se proteger163 Exerccio de fixao 3 Redes sociais163 SANS Top 20 Internet Security Attack Targets163 Como se manter atualizado, quando o assunto segurana?164 Roteiro de Atividades 9167 Atividade 9.1 Conceitos de malware167 Atividade 9.2 Antirootkit167
10. Fundamentos de segurana da informao

Introduo169 Fundamentos170 Conceitos bsicos171 Padres existentes de segurana172 RFC 2196: Site Security Handbook172 RFC 3227173 ISO 27001174 Cobit177 Outras normas, padres e leis178 Famlia 27000178 Sarbanes Oxley (SOX)179 PCI-DSS179 Documentao GSI/DSIC180 Roteiro de Atividades 10181 Atividade 10.1 Segurana da informao181 Atividade 10.2 Vulnerabilidades181 Atividade 10.3 Descartes181
Bibliografia 183
xi
xii

A Escola Superior de Redes (ESR) a unidade da Rede Nacional de Ensino e Pesquisa (RNP) responsvel pela disseminao do conhecimento em Tecnologias da Informao e Comunicao (TIC). A ESR nasce com a proposta de ser a formadora e disseminadora de competncias em TIC para o corpo tcnico-administrativo das universidades federais, escolas tcnicas e unidades federais de pesquisa. Sua misso fundamental realizar a capacitao tcnica do corpo funcional das organizaes usurias da RNP, para o exerccio de competncias aplicveis ao uso eficaz e eficiente das TIC. A ESR oferece dezenas de cursos distribudos nas reas temticas: Administrao e Projeto de Redes, Administrao de Sistemas, Segurana, Mdias de Suporte Colaborao Digital e Governana de TI. A ESR tambm participa de diversos projetos de interesse pblico, como a elaborao e execuo de planos de capacitao para formao de multiplicadores para projetos educacionais como: formao no uso da conferncia web para a Universidade Aberta do Brasil (UAB), formao do suporte tcnico de laboratrios do Proinfo e criao de um conjunto de cartilhas sobre redes sem fio para o programa Um Computador por Aluno (UCA).
A metodologia da ESR
A filosofia pedaggica e a metodologia que orientam os cursos da ESR so baseadas na aprendizagem como construo do conhecimento por meio da resoluo de problemas tpicos da realidade do profissional em formao. Os resultados obtidos nos cursos de natureza terico-prtica so otimizados, pois o instrutor, auxiliado pelo material didtico, atua no apenas como expositor de conceitos e informaes, mas principalmente como orientador do aluno na execuo de atividades contextualizadas nas situaes do cotidiano profissional. A aprendizagem entendida como a resposta do aluno ao desafio de situaes-problema semelhantes s encontradas na prtica profissional, que so superadas por meio de anlise, sntese, julgamento, pensamento crtico e construo de hipteses para a resoluo do problema, em abordagem orientada ao desenvolvimento de competncias. Dessa forma, o instrutor tem participao ativa e dialgica como orientador do aluno para as atividades em laboratrio. At mesmo a apresentao da teoria no incio da sesso de aprendizagem no considerada uma simples exposio de conceitos e informaes. O instrutor busca incentivar a participao dos alunos continuamente.
xiii
As sesses de aprendizagem onde se do a apresentao dos contedos e a realizao das atividades prticas tm formato presencial e essencialmente prtico, utilizando tcnicas de estudo dirigido individual, trabalho em equipe e prticas orientadas para o contexto de atuao do futuro especialista que se pretende formar. As sesses de aprendizagem desenvolvem-se em trs etapas, com predominncia de tempo para as atividades prticas, conforme descrio a seguir: Primeira etapa: apresentao da teoria e esclarecimento de dvidas (de 60 a 90 minutos). O instrutor apresenta, de maneira sinttica, os conceitos tericos correspondentes ao tema da sesso de aprendizagem, com auxlio de slides em formato PowerPoint. O instrutor levanta questes sobre o contedo dos slides em vez de apenas apresent-los, convidando a turma reflexo e participao. Isso evita que as apresentaes sejam montonas e que o aluno se coloque em posio de passividade, o que reduziria a aprendizagem. Segunda etapa: atividades prticas de aprendizagem (de 120 a 150 minutos). Esta etapa a essncia dos cursos da ESR. A maioria das atividades dos cursos assncrona e realizada em duplas de alunos, que acompanham o ritmo do roteiro de atividades proposto no livro de apoio. Instrutor e monitor circulam entre as duplas para solucionar dvidas e oferecer explicaes complementares. Terceira etapa: discusso das atividades realizadas (30 minutos). O instrutor comenta cada atividade, apresentando uma das solues possveis para resolv-la, devendo ater-se quelas que geram maior dificuldade e polmica. Os alunos so convidados a comentar as solues encontradas e o instrutor retoma tpicos que tenham gerado dvidas, estimulando a participao dos alunos. O instrutor sempre estimula os alunos a encontrarem solues alternativas s sugeridas por ele e pelos colegas e, caso existam, a coment-las.
Sobre o curso
O curso fornece conhecimentos introdutrios da rea de segurana, atravs da apresentao dos conceitos bsicos sobre segurana de redes, apoiados por atividades prticas em laboratrio. Aborda a histria da segurana fsica e lgica, apresenta um panorama atual da rea (vulnerabilidades, tipos de ataque mais comuns, estatsticas), arquitetura TCP/IP (endereamento, servios TCP/IP, protocolos, DNS, roteamento), criptografia, polticas, padres e normas de segurana da informao.
A quem se destina
Profissionais de qualquer instncia da rea de TI que queiram adquirir os conhecimentos bsicos sobre segurana de redes. Como se trata de um curso introdutrio, profissionais de outras reas com interesse no tema tambm podem participar, desde que possuam como pr-requisitos conhecimentos bsicos de computao.
Convenes utilizadas neste livro

As seguintes convenes tipogrficas so usadas neste livro: Itlico Indica nomes de arquivos e referncias bibliogrficas relacionadas ao longo do texto.
xiv
Largura constante
Indica comandos e suas opes, variveis e atributos, contedo de arquivos e resultado da sada de comandos. Comandos que sero digitados pelo usurio so grifados em negrito e possuem o prefixo do ambiente em uso (no Linux normalmente # ou $, enquanto no Windows C:\).
Contedo de slide
Indica o contedo dos slides referentes ao curso apresentados em sala de aula.
Smbolo
Indica referncia complementar disponvel em site ou pgina na internet.
Smbolo
Indica um documento como referncia complementar.
Smbolo
Indica um vdeo como referncia complementar.
Smbolo
Indica um arquivo de adio como referncia complementar.
Smbolo
Indica um aviso ou precauo a ser considerada.
Smbolo
Indica questionamentos que estimulam a reflexo ou apresenta contedo de apoio ao entendimento do tema em questo.
Smbolo
Indica notas e informaes complementares como dicas, sugestes de leitura adicional ou mesmo uma observao.
Permisses de uso
Todos os direitos reservados RNP. Agradecemos sempre citar esta fonte quando incluir parte deste livro em outra obra. Exemplo de citao: PEIXINHO, Ivo de Carvalho; AMATTE, Fernando Pompeo. Introduo Segurana de Redes. Rio de Janeiro: Escola Superior de Redes, RNP, 2013.
Comentrios e perguntas
Para enviar comentrios e perguntas sobre esta publicao: Escola Superior de Redes RNP Endereo: Av. Lauro Mller 116 sala 1103 Botafogo Rio de Janeiro RJ 22290-906 E-mail: info@esr.rnp.br
xv
Sobre os autores
Ivo de Carvalho Peixinho Bacharel em Cincia da Computao pela UFBA e Especialista em Gesto de Segurana da Informao pela UnB. Possui mais de 15 anos de experincia na rea de Segurana da Informao. Foi Diretor Tcnico na XSite Consultoria e Tecnologia e Analista de Suporte na Universidade Federal da Bahia. Em 2004 atuou como Analista de Segurana Snior no CAIS/RNP por dois anos, e atualmente Perito Criminal Federal do Departamento de Polcia Federal desde 2007, lotado atualmente no Servio de Represso a Crimes Cibernticos - SRCC/CGPFAZ/DICOR/DPF. professor de ps-graduao nas discipli nas de Anlise Forense em Sistemas Unix e Anlise de Malware, e palestrante em diversos eventos nacionais e internacionais como GTS, Seginfo, CNASI, ICCyber e FIRST. Fernando Pompeo Amatte tem mais de 20 anos de experincia na rea de segurana da informao e possui as mais respeitadas certificaes do mercado da segurana, como CISSP, GCIH e MCSO. Com experincia em provedores de acesso de grande porte, trabalhou em empresas multinacionais de telecomunicaes e setor financeiro. Atua como consultor de segurana da informao e como professor nos cursos de ps-graduao de instituies na regio de Campinas. Pesquisador nas reas de anlise de malware e anlise forense, tambm perito de informtica para o Tribunal Regional do Trabalho de Campinas. Edson Kowask Bezerra profissional da rea de segurana da informao e governana h mais de quinze anos, atuando como auditor lder, pesquisador, gerente de projeto e gerente tcnico, em inmeros projetos de gesto de riscos, gesto de segurana da informao, continuidade de negcios, PCI, auditoria e recuperao de desastres em empresas de grande porte do setor de telecomunicaes, financeiro, energia, indstria e governo. Com vasta experincia nos temas de segurana e governana, tem atuado tambm como palestrante nos principais eventos do Brasil e ainda como instrutor de treinamentos focados em segurana e governana. professor e coordenador de cursos de ps-graduao na rea de segurana da informao, gesto integrada, de inovao e tecnologias web. Hoje atua como Coordenador Acadmico de Segurana e Governana de TI da Escola Superior de Redes.
xvi
1
Introduo, histrico e princpios bsicos de segurana
objetivos
Apresentar os conceitos bsicos de segurana, seu histrico de evoluo e os princpios que devem nortear a conduta de um profissional nessa rea; indicar ao aluno fontes de estudo, treinamento multimdia e listas de discusso sobre o tema.
conceitos
Segurana, listas de discusso de segurana e ameaas digitais.
Introduo
Este captulo uma introduo que apresenta um breve histrico da segurana da informao, mostrando os marcos que impulsionaram esse desenvolvimento at os dias atuais. Apresenta tambm os princpios bsicos que devemos exercitar para alcanar as trs caractersticas fundamentais da segurana: 11 Confidencialidade; 11 Integridade;
Captulo 1 - Introduo, histrico e princpios bsicos de segurana
11 Disponibilidade.
Exerccio de nivelamento 1 e Informao

O que informao?
Segurana da informao
O que informao? 11 Ativo que tem valor para a organizao. 11 o bem ativo mais valioso da organizao? Onde est a informao? 11 Papel. 11 Banco de dados etc.
Por que proporcionar segurana para a informao? O que segurana da informao? 11 o conjunto de dados, imagens, textos e outras formas de representao usadas para os valores da instituio, associados ao seu funcionamento e/ou manuteno das suas vantagens competitivas. Caractersticas bsicas da segurana da informao: 11 Confidencialidade: 22 A informao acessada somente por pessoas autorizadas? 11 Integridade: 22 H garantia de que a informao acessada no foi alterada? 11 Disponibilidade: 22 A informao est acessvel no momento necessrio?
Ainda de acordo com a norma NBR ISO/IEC 17799:2001, a segurana da informao consiste na preservao de trs caractersticas bsicas: 11 Confidencialidade: garantia de que a informao seja acessada somente por pessoas autorizadas. 11 Integridade: certeza de que a informao exata e completa e os mtodos de processa mento, seguros. 11 Disponibilidade: garantia de que os usurios autorizados obtenham acesso informao e aos ativos correspondentes, sempre que necessrio. O conceito inicial de confidencialidade, integridade e disponibilidade deve ser expandido para incluir mais alguns termos: 11 Autenticidade: h garantia da identidade dos participantes da comunicao? Quem gerou a informao mesmo quem ns pensamos ser? 11 Legalidade: a informao ou sua posse est em conformidade com as legislaes institucionais, nacionais e internacionais vigentes? Copiar mdia que contm informao legal? A posse da informao legal? 11 No repdio: conseguimos a garantia de que um agente no consiga negar uma ao que criou ou modificou uma informao? 11 Auditoria: existe a possibilidade de rastreamento do histrico dos fatos de um evento assim como a identificao dos envolvidos?
Segurana de redes
reas da segurana da informao:
Introduo Segurana de Redes
11 Segurana fsica. 11 Segurana lgica. 11 Segurana de pessoas. 11 Segurana de computadores. 11 Segurana de redes. 11 Segurana de aplicativos etc.
Exerccio de fixao 1 e Segurana de redes

Quais as reas da segurana de rede?
Quais so as trs caractersticas bsicas da segurana da informao?
Anos 50 e 60
1950: surge o primeiro padro de segurana: Transient Electromagnetic Pulse Surveillance Technology (Tempest), criado pelo governo dos EUA. 11 Estudo da escuta de sinais eletromagnticos que emanam dos computadores. 11 Vulnerabilidade: obteno de dados por radiao eletromagntica. 1967: criao da fora-tarefa do DoD (Department of Defense o Departamento de Defesa americano). 11 Realizou estudos sobre potenciais ameaas a computadores, identificou vulnerabilidades, introduziu mtodos de controle de acesso para computadores, sistemas de rede e informaes. O DoD o rgo do governo americano que mais contribuiu para o desenvolvimento de vrios projetos, no s na rea de segurana, mas tambm em outras reas, como, por exemplo, o prprio projeto que deu origem internet, conhecido como Arpanet. Em segurana, alm do Security Controls for Computer Systems (SCCS), o DoD contribuiu para o surgimento do Trusted Computer System Evaluation Criteria (TCSEC), que ficou conhecido mundialmente como Orange Book (Livro Laranja), referncia mundial para sistemas seguros de computao. 1969: surge a Arpanet (futura internet), rede de computadores descentralizada ligando: 11 Stanford Research Institute. 11 University of Utah. 11 University of California (Los Angeles). 11 University of California (Santa Barbara). Nesse ano surge ainda a primeira verso do Unix, desenvolvido por Ken Thompson nos Laboratrios Bell. Derivado do Multics, foi chamado primeiramente de Unics; Brian Kernighan, parodiando, finalmente chamou-o de Unix.
Anos 70
1970: publicao pelo DoD do Security Controls for Computer Systems (SCCS). 11 SCCS: documento importante na histria da segurana de computadores. 11 Em 1976, deixou de ser confidencial.
1970: iniciativas patrocinadas pelo DoD em conjunto com a indstria: 11 Tiger teams. 11 Estudos sobre segurana e desenvolvimento de sistemas operacionais seguros. 11 Surgiram conceitos de segurana, como: 22 Poltica de segurana. 22 Modelos de segurana. 22 Modelos matemticos de segurana. Subproduto da guerra fria, o Data Encryption Standard (DES), um algoritmo para cifrar
dados, foi adotado pelo governo dos EUA como mtodo oficial de proteo a dados no con fidenciais em computadores das agncias do governo. Foi muito utilizado nas implementa es dos sistemas de autenticao Unix, como Linux, FreeBSD, Solaris etc. Hoje o DES no mais usado, pois se tornou vulnervel com o grande avano do poder computacional, tendo sido substitudo atualmente pelo MD5 e pelo SHA (algoritmos de hash criptogrfico). O Computer Fraudand Abuse Act, criado em 1986, proibia o acesso no autorizado a computadores do governo, prevendo uma pena de cinco mil dlares ou o dobro do valor obtido pelo acesso, alm de cinco anos de priso. Uma medida importante, porque introduziu a punio judicial. O Computer Security Act, criado em 1988, obrigava qualquer computador do governo que processasse dados confidenciais a ter um plano de segurana para a administrao e uso do sistema. Alm disso, exigia que todo o pessoal envolvido recebesse treinamento peridico de segurana. Sua importncia: os rgos governamentais agora eram obrigados a possurem uma poltica de segurana. 1975: Arpanet completamente funcional; o Unix torna-se o sistema operacional oficial. 1977: adotado o Data Encryption Standard (DES), padro de criptografia que durou 20 anos.
q q
Anos 80
1982: adotado o protocolo TCP/IP como padro da Arpanet. 1983: lanado o Trusted Computer System Evaluation Criteria (TCSEC): 11 Cognominado Orange Book, bblia do desenvolvimento de sistemas de computao seguros. 11 Classificao feita em nveis D, C, B e A, na ordem crescente de segurana.
Sumary of Orange Book security features Criterion Identification and Authentication (IAA) Discretionary Access Control (DAC) System Architecture (Least Privilege) Security Testing Auditing Object Reuse Labeling Label Integrity and Label Export Multilevel Export Single-Level Export Printout Labeling Mandatory Access Control (MAC) Sensitivity Labels Device Labeling Trusted Path Covert Channel Analysis Trusted Facility Management Configuration Management Trusted Recovery Trusted Distribuition
C1
C2
B1
CMW
B2
B3
A1
Figura 1.1 Os assuntos abordados no Orange Book.
Information Labels Authorizations
1985: primeira vez em que o nome internet foi usado para definir a Arpanet. Subprodutos da guerra fria. 1986: Computer Fraud and Abuse Act: 11 Proibia acesso no autorizado a computadores do governo. 11 Pena pecuniria de cinco mil dlares ou o dobro do valor obtido pelo acesso. 11 Pena de cinco anos de priso. 1988: Computer Security Act: 11 Computador do governo que guardasse dados confidenciais deveria ter plano de segurana para administrao e uso do sistema. 11 Exigia que pessoal envolvido recebesse treinamento peridico sobre segurana.
Ano de 1988
O estudante da Universidade de Cornell escreveu um programa capaz de: 11 Autorreplicar-se e se autopropagar, chamado de worm , pois rastejava pela rede. 11 Explorar vulnerabilidades conhecidas dos servidores: 22 Sendmail. 22 Fingerd. 11 Infectou e indisponibilizou milhares de servidores.
Figura 1.2 Robert T. Morris, criador do Morris Worm, primeiro worm de computador da internet.
Em 2 de novembro de 1988, Robert T. Morris, um estudante de ps-graduao da Universidade de Cornell, escreveu um programa capaz de se autorreplicar e de se autopropagar, que foi chamado de worm, por sua capacidade de rastejar pela rede. Ele lanou o programa dentro do MIT, mas logo se deu conta de que o programa estava se replicando e reinfectando as mquinas numa proporo muito maior do que ele havia imaginado. Diversos computadores foram afetados, incluindo os de universidades, sites militares e instalaes de pesquisas mdicas. O worm de Morris chamou a ateno sobre a necessidade de proteger os computadores que faziam parte da internet. Robert T. Morris foi condenado por violao do Computer Fraudand Abuse Act : trs anos de priso, 400 horas de servios comunitrios e multa de US$ 10.050,00. Uma das consequncias mais importantes foi a criao do Computer Emergency Response Team (CERT), pela Defense Advanced Research Projects Agency (DARPA). O CERT at hoje uma das entidades mais importantes na coordenao e informao sobre problemas de segurana.
w
Saiba mais sobre o CERT acessando o endereo http://www.cert.org.
Ano de 2001
11 Worm Code Red. 11 Explorava uma falha de Buffer Overflow nos servidores web da Microsoft. 11 Correo para o problema havia sado um ms antes.
Figura 1.3 Infeco pelo worm Code Red.
Era explorada uma vulnerabilidade conhecida do IIS, servidor web da Microsoft. Estima-se que tenha infectado cerca de 300 mil computadores por dia.
Ano de 2003
SQL Slammer Worm: 11 Infectou 75 mil computadores em dez minutos. 11 Causou negao de servio em algumas mquinas, deixando outras muito lentas. 11 Explorava uma falha de Buffer Overflow nos servidores SQL Server da Microsoft. 11 Correo para a falha havia sado seis meses antes (MS02-039).
Ano de 2009
Confiker: 11 Infectou entre 9 e 15 milhes de mquinas.
q
11 Utilizava falha em diversas verses do sistema operacional da Microsoft. 11 Tentava descobrir senhas utilizando fora bruta (tentativa e erro). 11 Utilizava vrias tcnicas para infectar mquinas. 11 Varias verses do malware (com possibilidade de atualizao). 11 Pico das infeces em janeiro de 2009. 11 A correo para a falha havia sado em outubro de 2008 (MS08-067).
Segurana no Brasil
1988: The Academic Network at So Paulo (ANSP), via Fapesp, conectou-se com a internet em Chicago (Fermi National Laboratory), nos EUA. 1989: o Ministrio da Cincia e Tecnologia criou a Rede Nacional de Ensino e Pesquisa (RNP http://www.rnp.br), com o objetivo de construir uma infraestrutura de rede internet nacional de mbito acadmico. 1995: a internet comercial teve incio no Brasil. Na mesma poca foi criado o Comit Gestor da Internet no Brasil (http://www.cgi.br).
O NIC.BR responsvel por registros de domnios e associao de endereos IP. O NIC. BR Security Office (antigo NBSO, atualmente CERT.BR) responsvel por receber, revisar e responder a relatos de incidentes de segurana envolvendo a internet brasileira. O Centro de Atendimento a Incidentes de Segurana (CAIS http://www.rnp.br/cais) atua na deteco, resoluo e preveno de incidentes de segurana na rede acadmica brasileira, alm de elaborar, promover e disseminar prticas de segurana em redes. Atividades do CAIS: 11 Atendimento a incidentes de segurana; 11 Coordenao com grupos de segurana j existentes; 11 Fomento criao de novos grupos de segurana no pas; 11 Disseminao de informaes na rea de segurana em redes; 11 Divulgao de recomendaes e alertas; 11 Testes e recomendao de ferramentas de segurana; 11 Recomendao de polticas para a RNP; 11 Recomendao de polticas para os Pontos de Presena (PoPs); 11 Recomendao de polticas para o backbone da RNP.
Ano de 2011
Junho de 2011: sites da Presidncia e do governo brasileiro sofreram ataques de negao de servio. 11 Grupo chamado LulzSecBrazil assumiu a autoria dos ataques. 11 Mais de dois bilhes de tentativas de acesso em um curto perodo.
Conhea o ataque que ficou conhecido como # OPWEEKPAYMENT part 2, em http://oglobo.globo. com/tecnologia: Hackers fazem a terceira vtima e tiram site do Banco do Brasil do ar.
Ano de 2012
11 Janeiro de 2012: operao #OPWEEKPAYMENT (Operao Semana de Pagamento), realizada por um grupo de pessoas que se denominam AnonymousBR, causou lentido e indisponibilidade em alguns sites de bancos brasileiros. 11 Outubro de 2012: os sites da Caixa Econmica Federal, Banco do Brasil, Nota fiscal Eletrnica de So Paulo e da Febraban ficaram fora do ar.
CSIRTs no Brasil
11 Gradualmente e com muita relevncia, grupos de Resposta a Incidentes de Segurana se organizam e prestam direta ou indiretamente servios aos usurios da internet, seja atravs de documentos, notificaes de problemas ou mesmo de lista de segurana.
11 No site do CAIS encontramos uma lista dos principais CSIRTs atuantes no Brasil: 22 http://www.rnp.br/cais/csirts.html O Centro de Atendimento a Incidentes de Segurana da RNP (CAIS) reconhece e apoia alguns grupos de segurana brasileiros (CSIRTs, do ingls Computer Security Incident Response Teams). Grupos e seus endereos na internet: CTIR/GOV Centro de Tratamento de Incidentes de Segurana de Redes de Computadores da Administrao Pblica Federal http://www.ctir.gov.br
CCTIR/EB Centro de Coordenao para Tratamento de Incidentes de Rede do Exrcito http://stir.citex.eb.mil.br TRI-UFRGS Time de Resposta a Incidentes de Segurana da UFRGS http://www.ufrgs.br/tri/ Cert-RS Centro de Emergncia em Segurana da Rede Tch http://www.cert-rs.tche.br/ CEO/Rede Rio Coordenao de Engenharia Operacional da Rede Rio http://www.rederio.br/site/node/8 CSIRT PoP-SE Grupo de Resposta a Incidentes de Segurana do PoP-SE http://www.csirt.pop-se.rnp.br/ GRC/Unesp Grupo de Redes de Computadores http://grc.unesp.br/ GSR/Inpe Grupo de Segurana de Sistemas e Redes do Inpe http://www.inpe.br/ Naris Ncleo de Atendimento e Resposta a Incidentes de Segurana (UFRN) http://naris.info.ufrn.br/ NOE Ncleo de Operaes Especiais de Segurana (PoP-RN) http://www.pop-rn.rnp.br/noe/
Unicamp CSIRT http://www.security.unicamp.br/ USP CSIRT http://www.security.usp.br/ Informaes extradas da pgina do CAIS.
Decreto n 3505, de 13 de junho de 2000

Instituiu a poltica de segurana da informao nos rgos e entidades da administrao pblica federal.
d
Consulte o Decreto no 3.505, de 13 de junho de 2000 em https://www.planalto. gov.br.
11 Determinou objetivos para a poltica de segurana da informao. 11 Atribuiu as diretrizes da poltica ao Conselho de Defesa Nacional, assessorado pelo Comit Gestor da Segurana da Informao. 11 Incluiu a participao da Agncia Brasileira de Inteligncia (ABIN) no processo de conduo da poltica. 11 Criou o Comit Gestor da Segurana da Informao.
DSIC
Departamento de Segurana da Informao e Comunicaes (DSIC): 11 Ligado ao Gabinete de Segurana Institucional (GSI). 11 Responsvel pelo planejamento e coordenao de segurana da informao na Administrao Pblica Federal. O DSIC coloca disposio uma vasta documentao sobre segurana da informao e comunicaes. Pode ser acessado em http://dsic.planalto.gov.br/.
Princpios bsicos de segurana

Nada e nenhum tipo de informao mais importante que a vida humana. Menor privilgio (least privilege): 11 Princpio fundamental. Define que cada objeto (usurio, administrador, programa etc.) deve possuir apenas o mnimo de privilgio. Defesa em profundidade (defense in depth): 11 No se deve confiar em um nico mecanismo de segurana; deve-se sempre utilizar defesas redundantes. Gargalo (choke point): 11 Obriga intrusos a usar um canal estreito que pode ser monitorado e controlado.
11 Menor privilgio: por exemplo, ao criar um usurio de correio eletrnico em um sistema operacional, o administrador deve faz-lo com os menores privilgios possveis, no lhe permitindo, por exemplo, acesso via shell para o servidor. 11 Defesa em profundidade: ao se conectar a rede de uma instituio internet, por exemplo, deve-se obrigatoriamente usar um firewall institucional. Ao mesmo tempo, deve-se ativar o firewall em cada estao de cliente da rede interna. 11 Gargalo: ao se conectar a rede de uma instituio internet, deve-se obrigatoriamente usar um firewall, o nico canal de conexo, sempre monitorado e controlado. 11 Ponto mais fraco: o ponto mais fraco de uma rede sempre o ser humano. Cuidado com ataques de engenharia social.
Exerccio de fixao 2 e Princpios bsicos de segurana

Explique o que menos privilgio e cite um exemplo.
Explique o que defesa em profundidade e cite um exemplo.
10
Princpios bsicos de segurana

Falha Segura (fail-secure): 11 Quando o sistema de segurana falha, deve falhar de tal forma que bloqueie s acessos. Falha Protegida (fail-safe): 11 Quando o sistema de segurana falha, deve falhar de tal forma que libere os acessos. Participao universal (universal participation): 11 O sistema de segurana deve envolver todos os objetos (pessoas). Diversidade de defesa (diversity of defense): 11 No um princpio geral. Afirma que o uso de sistemas diferentes torna o sistema (como um todo) mais seguro. 11 Falha Segura: por exemplo, em uma configurao de Falha Segura, caso ocorra uma falha eltrica, as portas ficaro bloqueadas por padro. 11 Falha Protegida: em uma configurao de Falha Protegida, por exemplo, caso ocorra uma falha eltrica, as portas ficaro abertas por padro.
Para pensar
A maioria dos termos que utilizamos em segurana da informao foi herdada da lngua inglesa. Assim, algumas tradues no ficam muito claras na lngua portuguesa. o exemplo das palavras safe e secure. Em uma traduo livre, poderamos dizer que as duas palavras significam segurana. Porm, safe est relacionada segurana no intuito de proteo de pessoas. E security refere-se a medidas contra coisas inesperadas ou perigosas.
11 Participao universal: por exemplo, dentro de uma instituio, quais funcionrios esto submetidos poltica de segurana? Todos, pois a participao na poltica universal. 11 Diversidade de defesa: esse princpio polmico. Exemplo: para vrios servidores pode nistrativo. Mas, para os mesmos servidores, importante que todos tenham diferentes senhas de root. Outro exemplo seria ter um servidor de antivrus institucional diferente do programa de antivrus nas estaes dos clientes da rede. 11 Simplicidade: a segurana habita em meio simplicidade. As coisas simples so fceis de entender. O entendimento fundamental para conhecer o nvel de segurana. Exemplo: o programa servidor de correio sendmail complexo; isso talvez seja a principal razo de ele ter se tornado to inseguro. Outros programas fceis de usar e programar, como o servidor de correio postfix, so considerados muito mais seguros (vale notar que existem diversos outros motivos para um programa/software/sistema ser considerado inseguro.)
ramos usar vrios sistemas operacionais, o que aumentaria enormemente o custo admi-
11
12
Roteiro de Atividades 1
Atividade 1.1 Listas e informaes complementares de segurana
1. Visite e assine listas nos sites do CAIS, da Mdulo e da Microsoft no Brasil: 11 http://www.rnp.br/cais/listas.php 11 http://www.modulo.com.br/comunidade/newsletter 11 http://www.microsoft.com/brasil/security/alertas.mspx 2. Visite e assine as listas de algumas das instituies mais respeitadas sobre segurana no mundo: 11 http://www.securityfocus.com/archive/ 11 http://www.sans.org/newsletters/ Voc capaz de dizer em poucas palavras a diferena entre as listas assinadas, principal mente no foco de abordagem?
3. O Cert.br disponibiliza uma cartilha com informaes sobre segurana na internet atravs do link cartilha.cert.br. Acesse o fascculo Segurana na internet. Voc consegue listar quais so os riscos a que estamos expostos com o uso da internet, e como podemos nos prevenir?
4. Veja os vdeos educativos sobre segurana do NIC.BR em http://antispam.br/videos/, pesquise na internet e indique um exemplo relevante de cada categoria: 11 Vrus;
w 11 Worms;
Saiba mais
Acesse a Recomendao para a adoo de gerncia de porta 25 em http://www. antispam.br/ e conhea as aes que os rgos de segurana da informao no Brasil esto tomando para diminuir a quantidade de spams que trafegam diariamente na internet.
11 Cavalos de troia (trojan horses); 11 Spyware; 11 Bot; 11 Engenharia social;

Captulo 1 - Roteiro de Atividades
11 Phishing. 5. O site Antispam.br apresenta um conjunto de polticas e padres chamados de Gerncia de Porta 25, que podem ser utilizados em redes de usurios finais ou de carter residencial para: 11 Mitigar o abuso de proxies abertos e mquinas infectadas para o envio de spam; 11 Aumentar a rastreabilidade de fraudadores e spammers.
13
14
2
Conceitos de segurana fsica e segurana lgica
objetivos
Apresentar os conceitos bsicos de segurana fsica, segurana lgica e suas diferenas; as principais tecnologias disponveis, sua aplicao, e os nveis de segurana fsica, de acordo com a norma NBR ISO/IEC 27001:2005.
conceitos
Segurana fsica, solues open source e nveis de segurana.
Introduo
A rea de segurana de redes parte de uma rea maior chamada de segurana da informao. Para proteger a informao, nossa preocupao deve comear no prprio ambiente fsico que compe a instalao onde a informao se localiza. Depois, partiremos para o ambiente computacional, onde a proteo se dar logicamente por meio de programas (softwares) e protocolos. Neste captulo, trataremos especificamente de segurana em sistemas computacionais.
Exerccio de nivelamento 1 e Conceitos de segurana fsica e segurana lgica

O que segurana fsica? Cite um exemplo.
Captulo 2 - Conceitos de segurana fsica e segurana lgica
Segurana fsica
11 Segurana externa e de entrada. 11 Segurana da sala de equipamentos. 11 Segurana dos equipamentos. 11 Redundncia. 11 Segurana no fornecimento de energia. 11 Salvaguarda (backup). 11 Descarte da informao.
15
A segurana fsica abrange todo o ambiente onde os sistemas de informao esto instalados, incluindo o prdio, portas de acesso, trancas, pisos, salas e os prprios computa dores. Incorpora as reas da engenharia civil e eltrica. A norma NBR ISO/IEC 17799:2001 divide a rea da segurana fsica da seguinte forma:
reas de segurana
1. Permetro da segurana fsica. 2. Controles de entrada fsica. 3. Segurana em escritrios, salas e instalaes de processamento. 4. Trabalho em reas de segurana. 5. Isolamento das reas de expedio e carga.
Segurana dos equipamentos

1. Instalao e proteo de equipamentos. 2. Fornecimento de energia. 3. Segurana do cabeamento. 4. Manuteno de equipamentos. 5. Segurana de equipamentos fora das instalaes. 6. Reutilizao e alienao segura de equipamentos.
Controles gerais
1. Poltica de mesa limpa e tela limpa. 2. Remoo de propriedade.
Segurana externa e de entrada

Consiste na proteo da instalao onde os equipamentos esto localizados contra a entrada de pessoas no autorizadas. Atua tambm na preveno de catstrofes como: 11 Enchentes. 11 Raios. 11 Incndios etc. Mecanismos de controle de acesso fsico nas entradas e sadas como:
11 Travas. 11 Alarmes. 11 Grades. 11 Sistemas de vigilncia etc. A localizao do prdio importante quando se trata de enchentes ou raios. Em locais sujeitos a enchentes, a sala de computadores deve ficar nos andares superiores. Em reas abertas ou sujeitas a queda de raios, recomendada a utilizao de um para-raios. recomendvel utilizar, sempre que possvel, barreiras fsicas, como muros externos.
16
O controle de acesso pode ser realizado por um vigilante humano ou por um sistema de vigilncia, ou at pelos dois simultaneamente. A permisso de acesso de todos os visitantes deve ser verificada e os horrios de entrada e sada devem ser registrados para auditoria. O controle de acesso deve restringir os setores aos quais o funcionrio ou visitante deve ter acesso. Essa restrio deve, se possvel, ser reforada por meio de portas com senha, crach ou carto de acesso. Controle de acesso: gerencia e documenta todos os acessos em ambientes, salas, andares e reas especficas. Pode ser interligado a vrios outros sistemas, como: 11 Sistema de alarme. 11 Circuito Fechado de Televiso (CFTV). 11 Carto de identificao (ID cards). 11 Sistemas biomtricos de identificao atravs do reconhecimento de mo, impresso digital, face ou ris. Equipamentos como cmeras de vdeo podem proporcionar proteo adicional para controlar a entrada e a sada de pessoas. Nesses casos, as mdias utilizadas devem ser armazenadas de forma segura, de modo a permitir auditoria posterior. Graas a softwares com tecnologia de ponta, os cartes de identificao com o tamanho de cartes de crdito com ou sem foto podem ser produzidos de maneira rpida e fcil, usando um simples PC.
CFTV Sistema de televiso que distribui sinais provenientes de cmeras localizadas em locais especficos, para um ou mais pontos de visualizao.
Os modernos circuitos de CFTV destacam-se em conjunto com os sistemas de alarme, alm da possibilidade de fornecimento de informaes valiosas para interveno em casos de emergncia.
Segurana da sala de equipamentos

Sala de equipamentos: 11 Local fsico onde os servidores e equipamentos de rede esto localizados. 11 Acesso com controle fsico especfico e somente por pessoal autorizado. 11 Todo acesso deve ser registrado atravs de algum mecanismo de entrada. 11 O contedo da sala no deve ser visvel externamente. Essa sala deve ser protegida contra: 11 Vandalismo; 11 Fogo; 11 Interferncias eletromagnticas; 11 Fumaa; 11 Gases corrosivos; 11 Poeira etc.
Supresso de incndio
Dependendo do tipo de instalao, diferentes mtodos de supresso de incndio podem e devem ser adotados. Cada opo tem seus prs e contras. Entre as opes temos: 11 Extintores de incndio tradicionais: para cada tipo de fogo, existe um tipo de extintor adequado a ser utilizado.
17
11 Sprinklers: 22 Canos com gua no teto, ativados por temperatura. 11 Gases: 22 Produtos que interferem quimicamente no processo de combusto. 22 Exemplo: FM-200, NAF-S-III, CEA-410 etc.
Alguns fabricantes fornecem solues de sala-cofre, como mostra a Figura 2.1. Essas salas, em geral, possuem revestimentos especiais e controle de acesso para proteo contra os problemas listados anteriormente.
Algumas recomendaes bsicas para tornar o ambiente da sala de equipamentos mais seguro, com pouco investimento: 11 A sala deve preferencialmente ficar nos andares mais altos; 11 Deve-se evitar que a sala esteja no caminho das pessoas; escolher preferencialmente uma sala de canto; 11 Ter preferencialmente paredes de concreto; 11 Ter preferencialmente portas de madeira de lei ou de ferro; 11 Ter a porta fechada permanentemente, com tranca ou com chave; 11 Ter extintor contra incndio; 11 Ter ar-condicionado que controle umidade e temperatura; 11 Ter proteo contra raios solares nas janelas; 11 Ter as janelas e as portas bem protegidas contra arrombamentos; 11 Ter carpete ou piso elevado prova de fogo e antiesttico;
Figura 2.1 Exemplo de sala-cofre (Fonte: Aceco TI: http://www.aceco. com.br).
11 No ter material combustvel como madeira (mesas, cadeiras e armrios) e papel (livros, arquivo morto etc.); 11 A sala no deve ser usada para o trabalho de qualquer funcionrio. O funcionrio s deve estar na sala quando houver necessidade de interveno. 11 proibido entrar com qualquer material lquido (gua ou caf) ou com comida dentro da sala; 11 Incentivar o uso de acesso remoto para os servidores na sala (sempre que possvel com protocolos seguros, como o SSH); 11 Verificar a possibilidade de uso de cabeamento areo; 11 No nvel fsico: formao de permetros e aplicao de trs princpios bsicos de segurana: defesa em profundidade, gargalo e diversidade de defesa.
18
1. Terreno: muro, controle de acesso: guarita, seguranas 2. Prdio: Paredes, controle de acesso, recepo, seguranas, catracas 3. Callcenter: 2 portas de vidro, controle de acesso: crach + biometria 4. Datacenter: 2 portas de ao, controle de acesso: crach + biometria 5. racks com chaves, cameras 6. Sala cofre
Figura 2.2 Permetros de segurana.
Gargalos (choke point): 11 Guarita; 11 Catraca; 11 Porta de vidro; 11 Porta de ao; 11 Porta do rack ; 11 Porta da sala-cofre.
Exerccio de fixao 1 e Segurana em permetro

Como feita a segurana em permetro na sua organizao?
11 Os equipamentos de rede e servidores devem estar em uma sala segura. 11 Os equipamentos devem ser protegidos contra acessos indevidos no seu console, atravs de perifricos como teclado, mouse e monitor. 11 Travas para disquetes ou CDs so recomendadas. 11 Os equipamentos devem ser protegidos contra acessos indevidos ao interior da mquina.
Segurana dos equipamentos
19
Figura 2.3 Tranca para gabinete de computador.
Figura 2.4 Gabinete de computador com porta e chave.
Boas dicas que aumentam a segurana: 11 Colocar senha na BIOS para impedir que terceiros tenham acesso e mudem a configurao de inicializao; 11 Configurao de inicializao apenas pelo disco rgido, para impedir acessos por disquetes ou CD-ROMs; 11 Proteger o console com senha; 11 No dar acesso de superusurio (root ou administrador) via console; 11 Usar trava na traseira do gabinete: cadeado, etiqueta de papel e trava plstica.
Redundncia
11 O problema mais comum de segurana a falha de hardware.
11 O mecanismo mais importante para tolerar falhas a redundncia. 11 A redundncia cria alta disponibilidade, mantendo o funcionamento em caso de falhas de componentes ou sobrecargas: 22 Redundncia de interface de rede. 22 Redundncia de CPUs. 22 Redundncia de discos (Raid). 22 Redundncia de fontes de alimentao interna. 22 Redundncia de servidores etc.
20
Rede pblica
Switch 1
Switch 2
Ethernet RS-232 Servidor 1 Servidor 2
Figura 2.5 Redundncia: importante contra falhas.
UPS 1
UPS 2
RAID/Storage compartilhado
Foram desenvolvidas mtricas para entender e antecipar as falhas: 11 Mean Time Between Failures (MTBF); 11 Mean Time To Repair (MTTR). Tempo mdio entre falhas (MTBF) e tempo mdio de reparo (MTTR) so mtricas que devem ser usadas principalmente no perodo de aquisio dos equipamentos. Devem ser escolhidos perifricos que tenham o maior MTBF. Atualmente discos rgidos SATA possuem 1,2 milho de horas de MTBF (137 anos). Devem ser escolhidas as empresas fornecedoras que tenham o menor MTTR. Um valor tpico de MTTR de 4 horas on-site (garantia de atendimento). 11 Raid a sigla de Redundant Array of Inexpensive (Independent) Disks, conjunto redundante de discos independentes ou de baixo custo. 11 Implementado por: 22 Controladora fsica (hardware). 22 Atravs do Sistema Operacional (software). 11 Redundant: dados redundantes em mltiplos discos fornecem tolerncia a falhas. 11 Array : conjunto de mltiplos discos acessados em paralelo do vazo maior (gravao e leitura de dados).
q
21
Host Computer
Host Computer
RAID Controller
Host Based Array
Controller Based Array

Figura 2.6 Reduntant Array of Independente Disks (Raid).
Raid uma sigla que significa Redundant Array of Independent Disks, ou seja, conjunto redundante de discos independentes. A ideia por trs do Raid fornecer um recurso barato de disponibilidade em discos rgidos. Os discos rgidos, por terem componentes mecnicos, so altamente sujeitos a falha; alm disso, uma falha fatalmente causa perda de dados. O Raid hoje se tornou um padro quando se fala de redundncia de discos. O Raid pode ser implementado atravs de uma controladora fsica (hardware) ou atravs do Sistema Operacional (software). A figura anterior mostra a diferena bsica entre as duas implementaes. No caso do hardware, o Sistema Operacional desconhece a existncia de uma implementao Raid da controladora e visualiza o disco como se fosse um disco comum. Apesar de mais caro, o Raid via hardware tem maior desempenho, uma vez que usa um processador separado para fazer a redundncia. Toda a tecnologia Raid baseia-se em uma publicao de 1988 da Universidade de Berkeley, intitulada A Case for Redundant Arrays of Inexpensive Disks.
22
RAID 1
Host
Controladora RAID Congurada para faixa de 4K
Stripe 0
Mirror 0
Duas gravaes de 4k separadas (uma para cada driver)
Stripe 1
Mirror 0
Data Drive 0 Mirror 0
Data Drive 1
Mirror 1
RAID 5
Host
Controladora RAID Congurada para faixa de 4K
Uma gravao de 20k Uma gravao de 80k Duas gravaes de 4k separadas

Figura 2.7 O Raid em detalhes.
ECC n-n Stripe 0 Stripe 4 Stripe 8 Stripe 12 Stripe 16 Stripe 20 ECC 9-11
Stripe 1 Stripe 5 ECC 6-8 Stripe 9 Stripe 13 Stripe 17 ECC 18-20
Stripe 2 ECC 3-5 Stripe 6 Stripe 10 Stripe 14 ECC 15-17 Stripe 18
ECC 0-2 Stripe 3 Stripe 7 Stripe 11 ECC 12-14 Stripe 15 Stripe 19 Captulo 2 - Conceitos de segurana fsica e segurana lgica
Drive-0 Raid 0
Drive-1
Drive-3
Drive-4
Os dados so distribudos atravs dos discos, mtodo conhecido como data striping, sem gerar paridade ou redundncia. A gravao e a leitura dos dados feita paralelamente, uma vez que cada disco possui a sua controladora. Com isso, h grande ganho de performance; porm, por no haver redundncia alguma, se um dos discos falhar, os dados so perdidos. Raid 0 utilizado quando uma mxima performance mais importante do que possveis perdas de dados. Raid 1 Os discos da matriz so divididos em dois grupos. Na escrita, os dados so gravados igualmente nos dois grupos. Na leitura, os dados podem ser lidos de qualquer um dos grupos. Normalmente, ela feita alternando-se os discos, processo conhecido por round robin, mas pode haver um disco preferencial para leitura, no caso de haver um disco mais rpido que outro. No h gerao de paridade, mas sim uma redundncia completa dos dados.
23
Esse mtodo tem se tornado popular pela sua simplicidade e praticidade em caso de falha de um dos discos. Porm, possui as desvantagens de utilizar apenas metade da capacidade total de discos, alm de no trazer nenhum aumento de performance. Raid 5 Esse nvel de Raid tambm utiliza o conceito de data striping , mas acrescenta uma forma de obter redundncia dos dados atravs do gerador de paridade. Para cada escrita, gerada uma paridade calculada pela operao dos bits gravados. A paridade fica espalhada pelos trs discos, ou seja, a cada gravao ela gravada em um disco diferente. So necessrios, no mnimo, trs discos para sua implementao, sendo o espao desperdiado do conjunto devido ao armazenamento da paridade, equivalente ao espao de um disco. possvel, com esse esquema, reconstituir os dados de um disco perdido a partir dos outros e da paridade. Caso mais de um disco falhe ao mesmo tempo, os dados no podero ser recuperados. um mtodo muito empregado nos storages atuais, porque alia o aumento de performance segurana oferecida pela redundncia, com timo aproveitamento de recursos. Existem outros tipos de Raid com combinaes mais arrojadas: Raid 6 Por ser ainda um padro relativamente novo, no suportado por todos os modelos contro ladores. Necessita de no mnimo quatro HDs e parecido com o Raid 5, com a diferena de usar o dobro de bits de paridade, garantindo a integridade dos dados at no caso dos 2 HDs falharem ao mesmo tempo. Usando 10 HDs de 500 GB cada um em Raid 6: um total de 5 Tera no volume, com parte til de 4 Tera de dados e 1 Tera dedicados paridade. Raid 0 (zero) + 1 uma combinao dos nveis 0 (Striping ) e 1 (Mirroring ), onde os dados so divididos entre os discos para melhorar o rendimento, utilizando outros discos para duplicar as informaes. Assim, possvel utilizar o bom rendimento do nvel 0 com a redundncia do nvel 1. No entanto, necessrio o mnimo de 4 discos para montar um Raid desse tipo. Tais caractersticas fazem do Raid 0 + 1 o mais rpido e seguro, porm o mais caro de ser implantado.
Se um dos discos falhar, o sistema vira um Raid 0. Raid 1+0 (ou 10) Exige o mnimo de quatro discos rgidos. Cada par ser espelhado, garantindo redundncia, e os pares sero distribudos, melhorando o desempenho. At metade dos discos pode falhar simultaneamente, sem colocar o conjunto a perder, desde que no falhem os dois discos de um espelho qualquer razo pela qual so usados discos de lotes diferentes de
cada lado do espelho. o nvel recomendado para bases de dados, por ser o mais seguro e dos mais velozes, assim como qualquer outro uso onde a necessidade de economia no se sobreponha segurana e desempenho. Raid 50 um arranjo hbrido que usa as tcnicas de Raid com paridade em conjuno com a segmentao de dados. Um arranjo Raid 50 tem as informaes segmentadas atravs de dois ou mais arranjos; em outras palavras, podemos compor um Raid 50 colocando dois ou mais volumes Raid 5 em Striping (Raid 0).
24
Tipo
Quantidade mnima de discos 2 2 3 4
Volume de dados (teis)
Tolerncia falha 0 (nenhuma) n-1 discos 1 disco 2 discos
Raid 0 Raid 1
Tabela 2.1 Comparativo dos Raids 0, 1, 5 e 6.
(Discos x Tamanho) (1 x Tamanho) (Discos x Tamanho) (1 x Tamanho) (Discos x Tamanho) (2 x Tamanho)
Raid 5 Raid 6
w
Veja o tutorial sobre o Raid: http://www.acnc. com/04_01_00.html.
Note que, sempre que pensamos em Raid, estamos pensando em disponibilidade das informaes e no no custo direto dos discos.
Exerccio de fixao 2 e Redundncia

Explique o que redundncia.
O que Raid 5?
Segurana no fornecimento de energia

A disponibilidade da informao armazenada depende da operao contnua dos equipamentos. Para garantir o suprimento de energia eltrica necessrio: 11 Eliminar a variao da voltagem (estabilizao). 11 Proporcionar ausncia de interrupo da energia eltrica (nobreak ). 11 Proporcionar aterramento eltrico perfeito.
Figura 2.8 Nobreak de grande porte.
25
Figura 2.9 Estabilizadores de voltagem domsticos e institucionais.
Os computadores so sensveis s variaes da voltagem da energia eltrica e, por isso, recomendado o uso de um estabilizador. O nobreak ou Uninterruptible Power Supply (UPS) garante o fornecimento de energia el trica, mesmo em caso de falta, porque possui um banco de baterias. Ele estabiliza a energia eltrica e possui tempo mximo de fornecimento de energia, de minutos a horas. O bom nobreak deve ter trs caractersticas: 11 On-line (quando a energia eltrica cai, a carga no percebe nenhuma variao); 11 Senoidal (a carga recebe uma senoide pura de 60 hertz, sem rudos); 11 Capacidade de desligar as mquinas ligadas ao nobreak. O banco de baterias do nobreak exala gases txicos e, por isso, no deve estar na mesma sala dos computadores onde os funcionrios trabalham. 11 O gerador usa fonte de energia alternativa, como leo diesel ou gasolina. 11 O gerador usado em conjunto com o nobreak para garantir o fornecimento ininterrupto de energia eltrica por horas ou por dias.
Figura 2.10 Gerador.
No gerador, a energia da combusto transformada em energia mecnica; o alternador transforma energia mecnica em energia eltrica. O gerador muito barulhento. Por isso, costuma ser colocado longe da sala de com putadores e, s vezes, fora do prdio.
Salvaguarda (backup)
11 o ltimo recurso no caso de perda de informao. 11 O Plano de Continuidade de Negcios (PCN) prev o uso de mdias de backup para a recuperao de desastres. 11 Observar uso de compresso e criptografia no programa. 11 Item importante do PCN: backup off-site. 11 Mdias mais usadas: fitas, HD, CD e DVD.
26
Figura 2.11 Cofre para armazenamento de mdias.
11 Fitas: possuem baixo custo e alta capacidade de armazenamento, chegando atualmente at a 600 GBytes em uma nica fita; 11 Mdias: devem ser guardadas em cofre e protegidas contra calor, umidade, roubo, enchentes etc; 11 Backup off-site: consiste em guardar as mdias de backup fora do local onde ficam os dados.
Descarte da informao
11 Documentos com informaes confidenciais requerem descarte seguro, impossibilitando qualquer recuperao das informaes. 11 Principais mdias de descarte: papel, fitas e discos rgidos. 11 A instituio deve ter uma poltica de descarte de papel, de fitas e de discos rgidos. 11 Documentos em papel devem ser fragmentados no mnimo por uma fragmentadora de corte transverso. 11 As mdias magnticas devem ser destrudas.
Figura 2.12 Fragmentador de papel e mdias.
Documentos que requerem descarte seguro: documentos em papel, fotocpias, impresses ou qualquer documento que contenha informao classificada como confidencial, como cheques, microfilmes, gravaes de voz e imagem, papel-carbono, relatrios, fitas de impresso descartveis, fitas magnticas, disquetes, HDs, CD-ROMS, listagem de pro gramas, memrias no volteis (pen drives, memory sticks, memory keys, smart cards etc.), dados de testes e documentao de sistemas.
27
O padro internacional DIN 32757 determina o tamanho mximo das tiras ou partculas e os classifica em cinco nveis: 11 1: largura mxima de tiras de 12 mm. 11 2: largura mxima de tiras de 6 mm. 11 3: largura mxima de tiras de 2 mm ou fragmento mximo de 4 mm x 80 mm. 11 4: fragmento mximo de 2 mm x 15 mm = 30 mm2. 11 5: fragmento mximo de 4 mm x 80 mm = 10,4 mm2. Alguns procedimentos devem ser seguidos a fim de garantir a confidencialidade das informaes: guardar documentos em armrios ou gavetas com chave, trancar gavetas e
armrios, ativar proteo de tela com bloqueio de senha, apagar quadros e remover folhas, anotaes e rascunhos da sala, retirar cpias da impressora, imprimir documentos com a opo de impresso segura, utilizar cabo de segurana para notebooks e estar atento a qualquer situao que possa ocasionar o extravio de informaes sigilosas.
Segurana lgica
Firewall. 11 Packet filtering. 11 Stateful packet filter. 11 Application proxy. 11 Deep packet inspection. Detector de intruso. 11 IDS Snort. 11 IDS Tripwire. Rede virtual privada. Autenticao, autorizao e auditoria. A segurana lgica compreende os mecanismos de proteo baseados em software. Existe
uma infinidade de mecanismos de segurana lgica, como senhas, controle de acesso, crip tografia, firewalls, sistemas de deteco de intruso, redes virtuais privadas e muitos outros. Neste Captulo, ser dada uma introduo a alguns desses mecanismos.
Firewall
11 Parede corta-fogo, que protege a rede interna contra os perigos da internet. 11 Exemplo do princpio do choke-point (gargalo). Serve a propsitos especficos:
11 Restringe a entrada a um nico ponto controlado. 11 Previne que invasores cheguem perto de suas defesas mais internas. 11 Restringe a sada a um nico ponto controlado.
28
Roteador 200.200.200.201
Internet Servidor de arquivos 192.168.1.1
Rede Local 192.168.1.0/24
DMZ 10.0.0.0/24
Firewall eth0 200.200.200.202 eth1 10.0.0.254 eth2 192.168.1.254 Servidor web 10.0.0.1
Figura 2.13 Como funciona o firewall.
Servidor de email 10.0.0.2
Regra de ouro da segurana: a instituio s deve ter uma porta de entrada ou de sada para a internet, e essa porta deve estar diretamente conectada ao firewall, que uma soluo de segurana. Os componentes do firewall so: 11 Filtros de pacotes; 11 Proxies; 11 NAT; 11 Redirecionamento de portas. O firewall popular do Linux o netfilter, sendo conhecido pelo nome de sua interface, o Iptables.
Capacidade para lidar com os desafios de gerncia e controle de trfego de rede, como: 11 Tratamento de TCP RFC 793. 11 Construindo regras Stateful. 11 Tratando pacotes UDP RFC 768. 11 Tratamento de ICMP RFC 792. 11 Ataques DOS de flood de pacotes. 11 Aplicaes P2P. 11 Jogos na rede. 11 Nat 1:1. 11 Nat N:1. 11 Nat N:N.
Necessidades em um firewall
29
Packet filtering (filtro de pacotes)

Filtro de pacotes esttico: 11 Tecnologia mais simples, que analisa individualmente pacotes que chegam e passam do nvel de enlace para o nvel de rede. 11 Evita ataques mais sofisticados, como IP Spoofing, pacotes truncados ou flooding de pacotes. 11 Regras de filtragem mais difceis de configurar. 11 Limitado, no filtra adequadamente protocolos que abrem portas dinamicamente. 11 Permite ataque s vulnerabilidades de protocolos e servios no nvel de aplicao. Exemplo: Iptables liberando acesso a um servidor web interno:
-A FORWARD -p tcp -m tcp -d 200.200.200.200 -i ppp0 --dport 80 -j ACCEPT -A FORWARD -p tcp -m tcp -s 200.200.200.200 -o ppp0 --sport 80 -j ACCEPT
Stateless
Filtro arrojado de pacotes: 11 Tecnologia mais simples, que analisa individualmente pacotes que chegam e passam do nvel de enlace para o nvel de rede, mas tambm verifica algum detalhe, como a interpretao do flag SYN de incio de conexo. 11 Possui todas as capacidades de um filtro de pacotes. 11 Foi uma tecnologia de transio entre o conceito de Packet Filter e a tecnologia Stateful. 11 No Linux, teve sua poca de utilizao atravs do Ipchains.
Stateful packet filter

11 O filtro de pacotes com estado usa conjunto de regras de filtragem e informaes de estado das conexes. 11 A primeira filtragem ocorre com o primeiro pacote (SYN), depois o SPF cria uma entrada para essa conexo (sesso) na tabela de estados. 11 Fornece maior desempenho. 11 Configurao mais simples. 11 Guardam na memria o estado de uma conexo. Atua como um porteiro: as pessoas que saem so identificadas e somente elas podem voltar. Essa mesma ideia aplicada aos pacotes. Exemplo: Iptables liberando acesso a um
servidor web interno: 11 -A FORWARD -p tcp -m tcp -m state -d 200.200.200.200 -i ppp0 --dport 80 --state NEW -j ACCEPT 11 -A FORWARD -p tcp -m tcp -m state -s 200.200.200.200 -o ppp0 --sport 80 --state ESTABLISHED, RELATED -j ACCEPT
Application proxy
11 O proxy de aplicao permite anlise e filtragem at a camada de aplicao. 11 Controla toda a comunicao de um servio entre as mquinas internas e externas.
30
11 Necessita de duas conexes: cliente proxy, proxy servidor remoto. 11 Extranet: cliente externo proxy interno, proxy interno servidor interno. 11 No h comunicao entre as mquinas internas e os servidores remotos. 11 Pode agregar outros servios.
Proxy
Exemplo de topologia com proxy nico
Proxy Rede interna Firewall Internet
Figura 2.14 Proxy de aplicao.
Permite controle total da comunicao, impedindo os ataques que tentam explorar, por exemplo, vulnerabilidades nas aplicaes dentro dos servidores. Como exemplo, um packet filtering firewall permitiria a passagem de pacotes na porta 80 (geralmente protocolo HTTP), mesmo que ningum os tivesse requisitado; um stateful inspection firewall permitiria a passagem do protocolo HTTP para o servidor web da empresa, porque est de acordo com as regras definidas; somente o application proxy firewall bloquearia uma sequncia especial de caracteres misturada nas informaes HTTP que fazem travar a aplicao dentro do servidor. Squid o proxy popular Linux de navegao na internet, que agrega servio de cache e de autenticao. O servio de cache estatisticamente fornece economia de 30% de uso da banda do link de internet. O Squid pode ser usado em conjunto com o dansguardian e o
Blacklist Lista de e-mails, domnios ou endereos IP reconhecidos como fontes de spam.
servio de blacklist , fornecendo administrao robusta de bloqueio de pginas.

Deep packet inspection

11 No conceito de inspeo profunda, toda a informao verificada e no somente os cabealhos. 11 Verifica se o protocolo correto est passando pela porta correta. 11 Examina cada bit e byte que cruza o firewall, filtrando mais de 95% dos ataques. 11 Integra vrias tecnologias: 22 Gateway antivrus. 22 Gateway antispyware. 22 Gateway antispam. 22 Gateway antiphishing. 22 Servio de preveno de intrusos (IPS). 22 Servio de deteco de intrusos (IDS). 22 Servios IPsec VPN.
31
Alguns fabricantes: 11 SonicWall; 11 Cisco; 11 Juniper.
Exerccio de fixao 3 e Firewall

Justifique a necessidade de um firewall para a sua organizao.
O que um proxy de aplicao?
Uma viso a partir do datagrama

Endereamento IP 20 bytes Transporte TCP/UDO/ICMP* 20 bytes rea de Dados (MSS) 1460 bytes
Packet Filter - Trata de 20 a 24 bytes
StateLess - Trata um pouco mais de 24 bytes
StateFull - Trata no mnimo dos 40 bytes iniciais
Valor mximo do Datagrama (MTU): 1500 bytes *O protocolo de transporte, porter o cabealho de at 20 bytes
Figura 2.15 Datagrama, onde o firewall atua.
11 Packet Filter: trata de 20 a 24 bytes, ou seja, de todo o cabealho IP (primeiros 20 bytes), e de parte do cabealho de transporte no que diz respeito porta de origem e destino, lembrando que esse campo tem 4 bytes (16 bits: 2^16 = total de 65536 portas). 11 StateLess: trata um pouco mais de 24 bytes, variando de acordo com a forma com que a ferramenta foi implementada. Em alguns casos analisa o flag de incio de
conexo TCP, mas no capaz de tratar o conceito de estado de conexo. 11 StateFul: trata no mnimo dos 40 bytes iniciais, ou seja, todo o cabealho IP; seja qual for o protocolo de transporte (UDP, TCP), sabe tratar do estado de conexo. O fato de um firewall ter a capacidade de atuar nos 40 bytes iniciais do datagrama no quer dizer que no permita realizar tratamento no estilo Packet Filter ou mesmo Stateless.
32
Exemplos de firewalls
Linux Kernel 2.0.x: 11 IPF: Packet FilterB. 11 IPFWADM: Packet Filter. Linux Kernel 2.2.x: 11 IPchains: StateLess. 11 Sinus: Packet Filter. Linux Kernel 2.4.x / 2.6.x: 11 Netfilter (Iptables): StatefulPacket. Outras solues OpenSource:
w
Acesse o site do Firewall Builder e conhea em detalhes o projeto: http://www. fwbuilder.org/
11 IPFW (FreeBSD). 11 PF (OpenBSD e FreeBSD 5.x). 11 IPFilter (Solaris 10). Visando facilitar a criao e gerenciamento de regras, existe um projeto chamado Firewall Builder. Atravs de uma plataforma grfica, o administrador pode criar sua rede e depois gerar as regras de firewall. O diferencial poder escolher para qual plataforma deseja gerar as regras.
Detectores de intrusos
IDS a sigla de Intrusion Detection Systems (Sistemas de Deteco de Intruso). Analisa o comportamento da rede ou do sistema, em busca de tentativa de invaso. 11 Baseado no sistema imunolgico do corpo humano. 11 Monitora um servidor especfico ou host IDS (Hids).
l 11 Monitora chamadas de sistemas Kernel IDS (Kids).

Saiba mais sobre ferramentas de IDS: http://www.rnp.br/ newsgen/9909/ids.html
11 Monitora uma rede especfica network IDS (Nids).
Utiliza dois mtodos distintos. 11 Deteco por assinatura.
11 Deteco por comportamento. 11 Usa sensores espalhados pela rede ou pelo host. Uma ferramenta de IDS deve possuir algumas caractersticas, entre elas: 11 Rodar sem interao humana, de forma a permitir sua operao em background. 11 Ser tolerante a falhas, de forma a no ser afetada por uma queda do sistema; sua base de conhecimento no deve ser perdida quando o sistema for reinicializado. 11 Resistir a tentativas de mudana (subverso) de sua base; deve fazer automonitoramento. 11 Ter o mnimo de impacto no funcionamento do sistema. 11 Poder detectar mudanas no funcionamento normal. 11 Cobrir as mudanas do sistema, como no caso de uma nova aplicao que comece a fazer parte do sistema. 11 Nids Linux popular: Snort. 11 Kids Linux popular: SELinux.
w
Busque mais ferramentas Free and Open Source Software (FOSS) nos sites http://www. freshmeat.net e http:// www.sourceforge.net
33
IDS Snort
Ferramenta de deteco de invaso Nids open source (Linux); popular, rpida, confivel, exigindo poucos recursos do sistema: 11 Flexvel nas configuraes de regras. 11 Possui grande cadastro de assinaturas. 11 Atualizada constantemente frente s novas ferramentas de invaso. 11 Monitora trfego de pacotes em redes IP, realizando anlises em tempo real de diversos protocolos (nvel de rede e aplicao) e sobre o contedo (hexa e ASCII). Modos de operao: 11 Sniffer; 11 Packet Logger; 11 Nids.
w
Leia mais sobre o Snort em http://www.snort. org/http://www.snort. org
Fluxo de funcionamento do Snort

Snort
Sning
Decodicador de pacotes Pr-processador Motor de deteco

Data Flow
Fluxo de pacotes
Estgio de sada
Alerts/Logs
Figura 2.16 Fluxo de funcionamento do Snort.
Por ser muito popular, existem diversos projetos que trabalham junto ou complementam o Snort, entre eles o Acid (Figura 2.17) e o Base (Figura 2.18), ajudando a visualizar graficamente os alertas e suas estatsticas. Mais detalhes podem ser encontrados em: 11 Analysis Console for Intrusion Databases (Acid): http://acidlab.sourceforge.net/ 11 Basic Analysis and Security Engine (Base): http://base.secureideas.net/
34
Figura 2.17 Acid.
Figura 2.18 Base.
Hids
11 Ferramenta desenvolvida para monitoramento das modificaes ocorridas no sistema de arquivos. 11 Verifica a integridade dos arquivos e comandos do Sistema Operacional, manual mente ou atravs de programao via cron. 11 So muitas e interessantes as solues disponveis, como Osiris, Ossec, Samhaim, Tripwire e Aide. 11 Destaque para Osiris, que alm de ter arquitetura cliente servidor, possui clientes para vrios Sistemas Operacionais, possibilitando ter um servidor Osiris Linux monitorando servidores Windows e MacOS, por exemplo.
35
Os benefcios do Hids Ossec (http://www.ossec.net/), Hids Samhaim (http://la-samhna.de/samhain/), Hids Aide (http://aide.sourceforge.net/) e Hids Tripwire (http://www.tripwire.org) esto em seus sites.
Kids
11 Ferramenta desenvolvida a partir das chamadas de sistemas e do controle das funcionalidades do kernel. 11 Um conceito ainda recente de IDS, gradualmente adotado pelos Sistemas Operacionais. 11 Exemplos clssicos: Lids, GRsecurity e SELinux.
IPS
11 IPS a sigla de Intrusion Prevention System (Sistema de Preveno de Invaso). 11 Podemos consider-lo a evoluo do IDP. 11 Como o nome diz, o IDS Detecta, porm o IPS tem o poder de barrar o ataque, antes que atinja seu destino. 11 Pode ser utilizado sozinho ou em conjunto com o IDS. 11 Na maioria dos produtos, pode-se escolher trabalhar no modo de preveno ou deteco. 11 Como exemplo, podemos citar o Sourcefire (verso comercial do Snort).
Redes virtuais privadas

Virtual Private Network (VPN) interliga duas redes privadas usando a internet como meio de interligao. Usa normalmente canal de criptografia: 11 Rpida, para no comprometer o desempenho. 11 Segura, para impedir ataques. 11 Substitui linhas dedicadas a um custo reduzido. 11 Sujeita a congestionamento e interrupes na internet. Tipos: 11 Entre redes. 11 Discada.
Figura 2.19 Rede virtual privada (VPN).
Virtual Private Network

Internet
Link Dedicado ao IS P Rede Corporativa Filial A segurana uma importante funo da VPN. Dados privados sero transmitidos pela internet, que um meio de transmisso inseguro. Eles devem ser protegidos de forma a no permitir que sejam modificados ou interceptados. Link Dedicado ao IS P Rede Corporativa Matriz
36
O uso de VPN nos permite trabalhar remotamente (de casa, por exemplo), como se estivssemos dentro da rede da empresa. Permite tambm interligar dois ou mais escritrios, como se todo mundo estivesse dentro do mesmo prdio, proporcionando inclusive acesso a recursos compartilhados, como impressoras e servidores de arquivos, que no estariam localmente disponveis sem o uso dessa tecnologia. Outro servio oferecido pelas VPNs a conexo entre corporaes (extranets) atravs da internet.
Autenticao, autorizao e auditoria

Autenticao: estabelece a identidade do indivduo. 11 Identificao: 22 Via login. 22 Via Personal Identification Number (PIN). 11 Mtodo de prova: 22 Via algo que voc sabe. 33 Uma senha (menor nvel de segurana). 22 Via algo que voc tem: 33 Smartcard ou token. 22 Via algo que voc : 33 Impresso digital, leitura da ris, voz etc. (maior nvel de segurana).
Figura 2.20 Token USB (Fonte: http://www. ealaddin.com).
Autenticao, autorizao e auditoria

Autorizao: 11 A autorizao traa o perfil de acesso do indivduo e o que ele pode fazer. 11 O perfil contm todas as permisses para cada recurso que o indivduo acessa.
Quando utilizamos mais de um mtodo para a autenticao, chamamos o processo de autenticao forte.
Auditoria: 11 A auditoria implica em: quem fez o qu, quando, onde? 11 Os registros de eventos (logs) so os primeiros objetos a serem consultados em uma auditoria. possvel combinar mtodos distintos de autenticao. Um usurio pode inserir um carto magntico e digitar uma senha para obter acesso.
37
38
Atividade 2.1 Segurana fsica e lgica
1. Como voc planejaria a segurana da sua empresa seguindo os tpicos abaixo? Conteno de catstrofes:
Proteo das informaes (backup):
Controle de acesso:
Garantia de fornecimento de energia:
Redundncia:
2. Quantos nveis de segurana possui a rede da sua instituio? Quais so? Faa um desenho da topologia da soluo.
3. Cite 5 controles que podemos utilizar para aumentar a segurana fsica de um ambiente.
4. Cite 5 controles que podemos utilizar para aumentar a segurana lgica de um ambiente.
39
5. Informe em cada crculo dos diagramas seguintes o equipamento correto para a rede, que proporcione um nvel de segurana satisfatrio. Justifique suas respostas. Nmero 1 2 3 4 5 6 Equipamento IDS Modem Firewall Proxy Switch Roteador
Internet
Internet
Internet
40
3
Panorama atual da rea de segurana
objetivos
Apresentar informaes sobre ameaas na rede e estatsticas recentes sobre ataques e suas fontes; indicar o perfil das pessoas que invadem sistemas.
conceitos
Controles de informtica e ameaas digitais.
Introduo
Atualmente a segurana tornou-se um item obrigatrio. Usar a internet sem um antivrus ou um firewall pessoal quase um pedido para ser infectado ou invadido. Instalar um Sistema Operacional em uma mquina conectada diretamente internet pode levar a um comprometimento em poucos minutos. Esse o panorama atual da rede: um lugar pblico onde, junto com aquela informao valiosa de que tanto precisamos, existe um mundo de hackers, crackers, vrus, worms e outras ameaas. A rede ainda pode ser usada de forma segura, desde que cuidados bsicos sejam tomados. Neste Captulo, veremos quais so as ameaas do dia a dia, como elas funcionam e as formas de se proteger contra elas. Alm disso, veremos as estatsticas dos incidentes de segurana, diversas fontes de informao diria sobre segurana e o perfil das pessoas que ameaam a segurana da rede.
Panorama atual da internet

Conexes mais rpidas (banda larga). 11 Estaes se tornam atraentes para invasores. 22 Fazer uso da banda larga. 22 Fazer uso dos recursos computacionais. 22 Roubo de identidade. Internet pblica: mais ameaas 11 Hackers. 11 Crackers. 11 Vrus. 11 Worms.
Captulo 3 - Panorama atual da rea de segurana
41
Exerccio de nivelamento 1 e Panorama atual da rea de segurana

Como o acesso a internet da sua organizao?
Acesso em banda larga modem bridge

Banda larga modem bridge ADSL. 11 Modo padro de configurao da operadora. Vantagens: 11 Computador pode disponibilizar servios. 11 IP fixo pode usar DNS. Desvantagens: 11 IP dinmico usando DDNS. 11 Exige segurana reforada. 11 Computador pode ser acessado diretamente da internet.
Conexo PPP (ponto-a-ponto)
Ethernet
ATM
PPPoE (ppp over ethernet)
PPPoA (ppp over atm)
Autenticao Usurio x senha Computador ganha IP pblico
Acesso banda larga modem router

Banda larga modem router ADSL. Vantagens: 11 Modo de operao mais seguro.
Figura 3.1 Banda larga modem bridge ADSL.
11 Computador no acessado diretamente a partir da internet. 11 Proporciona acesso a uma rede interna (intranet). 11 IP fixo pode usar DNS. Desvantagens: 11 Router deve usar firewall. 11 Computador deve usar NAT para disponibilizar servios. 11 IP dinmico usando DDNS.
42
Modem Router ADSL

maior nvel de segurana
Conexo PPP (ponto-a-ponto) Computador ganha IP interno Ethernet ATM Intranet - computador protegido PPPoA (ppp over atm)
Autenticao Usurio x senha Router ganha IP pblico
Figura 3.2 Banda larga modem router ADSL.
Principais erros
11 Mesmo erros conhecidos so recorrentes, tanto de projeto como de administrao de sistemas. 11 Os erros facilitam a atividade dos invasores; todavia, mesmo sem cometer erros a possibilidade de ameaa continuar existindo. 11 Conectar sistemas na internet sem test-los. 11 Conectar com contas e senhas padro. 11 No atualizar erros de segurana, quando estes so encontrados e divulgados. 11 Deixar que pessoas sem o devido treinamento cuidem de segurana. 11 Deixar servios desnecessrios nos computadores: 22 Ftpd, telnetd, finger, RPC, mail e RServices. 11 Manter no servidor ligado internet a base de arquivos da empresa, no diferenciando servios de LAN e WAN. 11 Conhecer a segurana fsica, mas desconhecer segurana de informao. 11 Falta de ambiente de laboratrio, de teste. 11 Manter somente um firewall protegendo a rede, acreditando que suficiente.
11 Implementar firewalls com polticas genricas. 11 Usar protocolos no seguros para administrar sistemas remotos, firewalls etc. 11 No idealizar permetros para melhorar a segurana da rede. 11 No ter servidores com horrio sincronizado. 11 No ter concentradores de logs e analisadores dos registros de logs. 11 Possuir um concentrador e logs, mas com os horrios dos servidores no sincronizados. 11 Achar que, se esquecendo dos problemas, eles somem rapidamente. 11 Falhar na implementao de antivrus ou listas de vrus. 11 Falhar na capacitao e conscientizao dos usurios.
11 Permitir o uso indiscriminado de protocolos especficos, como o ICMP.
43
Ameaas frequentes
11 Vrus. 11 Worms. 11 Trojans. 11 Spywares. 11 Hackers, crackers e outros.
Vrus
11 Microprograma alojado em arquivo hospedeiro, precisa da interveno humana para se propagar. 11 Autoexecutvel, duplica a si prprio. 11 A principal forma de contgio via correio eletrnico com arquivo anexo infectado. 11 Principais extenses de arquivos perigosos no Windows: 22 A interrogao indica a presena de qualquer caractere. 22 Exemplo: PP? indica tanto PPT quanto PPA: 33 386, ACM, ACV, BAT, BTM, CDR, CHM, CLA, COM, CPL, CSC, DLL, DOC, DOT, DRV, DVB, EML, EXE, FON, GMS, HLP, HT?, HTA, INF, INI, MDB, MPP, MPT, MSG, MSO, OBD, OBJ, OBT, OBZ, OCX, OFT, OV?, PIF, POT, PP?, PWZ, RTF, SCR, SHS, SMM, SYS, TDO, TLB, TSK, TSP, VBS, VBX, VXD, WBK, WBT, WK?, WPD, XL? e XML. Extenso .com .exe .pif .vbs .htr .cpl .hta .scr .bat .doc
Comentrio Executvel DOS/Windows. Executvel DOS/Windows. Descrio de ambiente de execuo DOS. Scripts em Visual Basic . Scripts em servidores web Microsoft. Extenses do painel de controle. Scripts em servidores web Microsoft. Screens savers do Windows. Arquivos de lotes do DOS/Windows. Arquivos do Microsoft Word. Arquivos do Microsoft PowerPoint. Arquivos do Microsoft Excel. Scripts em Javascript.
Tabela 3.1 Tipos de arquivos mais comuns.
.ppt .xls .js
Apesar de existirem vrus para outros Sistemas Operacionais (Linux, MacOS e PalmOS), essa quantidade infinitamente menor, quando comparamos com a quantidade de vrus do sistema Windows.
44
l Diversos fabricantes de produtos de segurana disponibilizam programas chamados antivrus.

Um antivrus detecta os vrus em arquivos atravs de assinaturas de vrus, que so conjuntos de informao que identificam unicamente um determinado vrus. Essas assinaturas devem ser frequentemente atualizadas, de modo que o antivrus seja capaz de detectar os vrus mais recentes.
Um antivrus um programa capaz de detectar e remover os vrus de uma estao. Muitos deles possuem recursos avanados, como verificao de vrus em correio eletrnico e a verificao em tempo real dos arquivos que esto sendo executados pelo Sistema Operacional. Alguns desses fabricantes e seus sites: 11 Symantec: http://www.symantec.com/avcenter/ 11 McAfee: http://home.mcafee.com/VirusInfo/ 11 Trend Micro: http://www.trendmicro.com/vinfo/virusencyclo/ 11 F-Secure: http://www.f-secure.com/v-descs/
Tipos de vrus
11 Vrus de boot: 22 Fixa-se num setor onde est localizado o cdigo de boot do micro (inicializao). 11 Vrus de arquivo: 22 Fixa-se em arquivo de programa executvel. 11 Vrus de macro: 22 Vincula macros a modelos de documento (templates) e outros arquivos. 11 Vrus parceiro (companion virus): 22 Junta-se ao Sistema Operacional (programa .com roda primeiro que .exe). 11 Vrus multipartido: 22 Combinao do vrus de boot e do vrus de arquivo. 22 Infecta tanto arquivo quanto rea de boot. Um vrus pode provocar: 11 Perda de desempenho do micro; excluso de arquivos e alterao de dados. 11 Acesso a informaes confidenciais por pessoas no autorizadas. 11 Perda de desempenho da rede (intranet e internet). 11 Desconfigurao do Sistema Operacional; acionamento e desligamento de perifricos da mquina. Preveno: 11 Implantar poltica de uso de antivrus nas estaes de trabalho. 11 Manter antivrus sempre atualizado via internet. 11 Varrer os discos rgidos com o antivrus no mnimo uma vez por semana. 11 O antivrus deve checar os e-mails on-line que chegam e saem. 11 No abrir arquivo anexado em e-mail com extenso perigosa. 11 Habilitar tcnica de antispam no antivrus. O CAIS indica dois bons antivrus gratuitos: 11 Kaspersky: http://www.kaspersky.com 11 Avira AntiVir: http://www.free-av.com
q
45
Antivrus on-line: 11 Kaspersky: http://www.kaspersky.com/virusscanner 11 Trendmicro: http://housecall.trendmicro.com 11 F-Secure: http://support.f-secure.com/enu/home/ols.shtml 11 Bit Defender: http://www.bitdefender.com/br/scanner/online/free.html
Worms
11 O worm (verme) infecta uma estao em vez de infectar arquivos. 11 Programa que no precisa da interveno humana para se propagar. 11 Difere do vrus porque no precisa se fixar em arquivo ou setor. 11 Rasteja pela rede tentando infectar outras estaes, podendo utilizar mltiplas formas de replicao, tornando-se muito eficiente.
A conteno da propagao dos worms depende muito das atualizaes feitas no Sistema Operacional. Como essas atualizaes no so realizadas pelos administradores e usurios na maioria dos casos, contaminaes so frequentes sempre que um novo worm lanado na internet. Entretanto, na grande maioria dos casos, o worm explora vulnerabilidades j conhecidas pelos fabricantes, que disponibilizam em seus sites as atualizaes que as eliminam. 11 O worm Code Red infectou em 19 de julho de 2001 mais de 359 mil computadores em menos de 14 horas. 11 O worm SQL Slammer infectou 75 mil computadores em 10 minutos em 2003. 11 O worm Confiker infectou mais de 10 milhes de mquinas em janeiro de 2009.
Figura 3.3 Propagao do worm Sapphire (Fonte: Caida).
11 A preveno contra os worms feita da mesma forma que a do antivrus.
Cavalo de troia
11 Cavalo de troia (trojan horse) um programa que promete uma ao ou funcionalidade, executando outra totalmente diferente. 11 Pode parecer ou simular programas legtimos. 11 Tem o objetivo de enganar as pessoas, permitindo acesso e roubo de informaes em seus computadores.
46
11 Includo em software disponvel para transferncia gratuita. 11 Diferentemente de vrus e worms, no cria rplicas de si. 11 Famoso por facilidade de uso, considerado ferramenta de script kid.
Figura 3.4 Cliente do trojan NetBus.
Alguns cavalos de troia so divididos em duas partes: servidor e cliente. 11 A vtima executa arquivo hospedeiro; o servidor instalado e ocultado no computador; 11 O cliente acessa o servidor e executa operaes no computador da vtima; 11 aberta uma porta de comunicao no monitorada (backdoor). O que um trojan pode fazer? 11 Expor usurio a esquemas fraudulentos via pgina de site. 11 Encontrar arquivos: v-los, copi-los, alter-los ou apag-los. 11 Registrar o que se escreve e enviar essa informao para outro computador. 11 Capturar vdeo e udio de dispositivos ligados ao computador. 11 Executar ou encerrar um programa, processo ou conexo no computador.
11 Criar janelas pop-up para aborrecer ou conduzir a websites maliciosos. 11 Atacar outros computadores. Trojans mais famosos: 11 Back Orifice; 11 NetBus; 11 WinCrash. Preveno: 11 No revelar seu endereo de correio eletrnico a desconhecidos. 11 Evitar incluir seu endereo de correio eletrnico em listas extensas de endereos. 11 Usar software fidedigno de empresas conceituadas.
47
11 Manter o computador atualizado: 22 Windows update on-line. 22 Linux update on-line.
Para prevenir-se preciso usar software de segurana recente e mant-lo instalado e atualizado. 11 Antivrus; 11 Firewall; 11 Antispyware. Ao instalar programas no micro, escolha um diretrio diferente do padro; por exemplo, ao instalar Windows, escolha diretrio diferente de C:\windows\. 11 Trocar senhas assim que for invadido ou suspeitar de uma invaso; 11 No usar ou desabilitar a opo salvar senha onde for possvel. Para verificar as portas que esto abertas na mquina: 11 Execute: C:\netstat ab (Windows); 11 Execute: # netstat atunp (Linux).
Spyware
11 Programa que se instala de maneira furtiva, trazido por outro programa. 11 Difere do trojan, pois no tem objetivo de deixar que o sistema do usurio seja dominado externamente por um cracker. 11 Monitora o usurio, capturando informaes confidenciais, hbitos de consumo, senhas bancrias, informaes de cartes de crdito etc. 11 Meios de infeco: 22 Download no intencional em programas shareware e freeware. 22 Atravs de infeco de vrus e worms. 22 Instalaes automticas de alguns programas.
Os spywares (programas espies) so associados a adwares. Os adwares so conhecidos por trazerem para a tela algum tipo de propaganda. Inicialmente os adwares procuravam exibir propagandas em janelas, chamadas de banners. Passaram a monitorar a atividade do usurio na internet, podendo mostrar propagandas personalizadas, enviar dados sobre hbitos do usurio a certos sites, tendo ento funes de spyware e adware, de forma simultnea. Certos adwares passaram a exibir janelas do tipo pop-up. Passaram a se instalar no navegador do usurio, acrescentando certas funcionalidades duvidosas, principalmente no Internet Explorer.
Sofisticaram-se, incluindo propagandas persistentes, com inmeras variantes. Sua desinstalao passou a ser uma tarefa bastante penosa ou mesmo impossvel, sem ajuda externa. Isso levou os usurios a classific-los como pragas ou spywares, e no mais como simples adwares. Preveno: 11 Usar programas antispyware em conjunto com antivrus; 11 Verificar configuraes de segurana do navegador; 11 Ler cuidadosamente anncios em janelas pop-ups; 11 No instalar programas antes de conhecer as credenciais de quem o forneceu.
48
v
Assista ao vdeo Proteja seu computador contra Spyware: http://www.microsoft. com/brasil/athome/ security/videos/ spyware_hi/Spyware6 -hi.html
11 Spywares podem vir acompanhados de hijackers. 11 Exemplos de spyware: GAIN, Aurora; Assista aos vdeos e saiba como se proteger: http://antispam.br/videos/
Malware
11 Juno de duas palavras: malicious e software. 11 Utilizado para designar qualquer tipo de software que atue contra o usurio. 11 Podem ser vrus, spywares, trojans ou worms de todos os tipos e categorias. Existem malwares para todos os tipos de computadores existentes hoje, no importando marcas e modelos. J existem provas de conceito sobre malwares em consoles de vdeo games inclusive.
Para pensar
Mesmo existindo diversas categorias de softwares maliciosos, como demonstrado anteriormente, o termo malware comeou a ser vastamente utilizado de forma incorreta. A frase fui vtima de um malware indica que uma pessoa foi vtima de um programa malicioso, no importando se um vrus, worm ou trojan. Deixemos as definies corretas para os especialistas.
Preveno: 11 Tenha sempre um software do tipo antivrus instalado; 11 Evite softwares piratas e/ou de procedncia desconhecida; 11 Mantenha o sistema operacional atualizado.
Mobile Malware
11 Tambm conhecido genericamente como vrus para celular. 11 Utilizando as tcnicas de um cavalo de troia, incentivam o usurio a instalar o programa malicioso. 11 Podem fazer tecnicamente qualquer coisa com o aparelho da vtima. Com as mudanas da tecnologia e de hbitos, aparelhos portteis como celulares esto
q
ficando cada vez mais populares e potentes, alm de estarem sempre conectados internet. Aps a pessoa fazer o download e instalao do aplicativo malicioso, o aparelho j est comprometido. Saber quais as reais intenes ou aes desses programas bem difcil. O atacante pode ter controle total do aparelho celular da vtima. Assim pode efetuar ligaes, ver, apagar e remover contatos, mensagens e fotos. Na Europa existem muitas fraudes associadas a servios do tipo premium rate phone, conhecidos no Brasil como 0900 (servios telefnicos de valor adicionado). Aps invadido, o telefone da vtima passa a ligar para esses nmeros. No final do ms, algum ter de pagar
49
a conta. O golpe tem maior sucesso quando a vtima possui um aparelho de celular pago pela empresa, e nem a vtima nem a empresa controlam essa conta. Preveno: 11 Escolha fontes de distribuio de softwares confiveis; 11 Utilize um software antivrus; 11 Desconfie de aes ou atividades suspeitas em seu aparelho; 11 A economia sempre inimiga da segurana.
Exerccio de fixao 1 e Malwares

O que so malwares?
Preveno
Dicas de comportamento como as dicas de comportamento humano nem sempre so fceis de atender (sempre h um risco). Por mais que tomemos cuidado sempre existe risco. O que fazemos em nosso dia a dia minimizar esse risco. Independente da plataforma ou Sistema Operacional, a situao fica difcil quando necessitamos utilizar um software (qualquer). No temos como saber se existem componentes maliciosos no software ou se ele ir fazer alguma ao inesperada. difcil at de saber onde, durante a instalao desse software, foram colocados seus arquivos, se desejarmos remov-lo futuramente. J existiram casos de softwares que saram das empresas desenvolvedoras infectados,
assim como pendrives que saram da fbrica com malwares. Nenhum desses fatos foi intencional. Isso demonstra que existem situaes que no podemos evitar, porm, quanto maior o cuidado que tenhamos, menores sero as chances de termos dores de cabea.
Vulnerabilidades
So falhas presentes em um programa, protocolo ou Sistema Operacional. Decorrem de erros de especificao ou de programao. Preveno para erros de programao: 11 Aplicar patches ou hotfix.
11 Aplicar service pack ou maintenance level. Muitas listas de discusso fornecem informaes sobre vulnerabilidades, alm de sites de fabricantes. Alguns desses sites: 11 http://www.microsoft.com/security/default.aspx 11 http://www.debian.org/security/ 11 http://www.cert.org/advisories/ 11 http://www.rnp.br/cais/alertas/
50
w
Existem pessoas e grupos na internet que buscam e divulgam a existncia de vulnerabilidades. Normalmente, elas so divulgadas em listas de discusso como a Bugtraq: http://www.securityfocus.com/archive/1
Uma preveno para erros de especificao fazer a reviso da especificao do protocolo ou do produto, se possvel. Vulnerabilidades do protocolo TCP/IP sem soluo perfeita:
SYN flood
11 Atacante envia grandes quantidades de solicitaes ao servidor. 11 Servidor fica espera da concluso da negociao para incio da comunicao (que nunca ocorre). 11 Quando a solicitao inicial finaliza por time-out, outras solicitaes esto chegando e o clico continua. 11 Esse processo impede que solicitaes lcitas sejam atendidas.
Ataques Smurf
11 Atacante A envia um pacote para a rede B, solicitando resposta de toda a rede. 11 Porm, o pacote de origem foi modificado indicando que a origem veio de C. 11 Rede B responde para a origem C. 11 Mquina C recebe em pouco tempo muitos pacotes de resposta da rede B sem saber o motivo e, dependendo da quantidade de pacotes, para de funcionar ou de atender novas solicitaes lcitas.
Os dois exemplos anteriores no demonstram os detalhes tcnicos dos problemas, mas como os problemas funcionam.
No podemos esquecer que o protocolo TCP/IP foi criado por volta de 1970 e suas caractersticas principais foram mantidas at hoje. Assim, muitas das vulnerabilidades existentes no protocolo no foram previstas durante o desenvolvimento. Exploit um programa que explora uma vulnerabilidade. Nasce como a prova de conceito de que uma vulnerabilidade existe, podendo evoluir para aes maliciosas.
Estatsticas
Entidades como Cert/CC e CAIS/RNP mantm nmero de vulnerabilidades e de incidentes reportados anualmente. 11 Cert/CC: http://www.cert.org/stats/cert_stats.html 11 CAIS/RNP: http://www.rnp.br/cais/estatisticas/index.php
51
Anos
1997 5 1998 1999 2000 2001 2002 2003 2004 2005 2006 2007 2008 2009 2010 2001 20000 40000 60000 80000 100000 120000 140000 160000 180000 200000 220000 240000 260000
36 473 2053 7209 12114 2019 2964 61323 70815 35766 35939 266798 105030 260220
280000
Figura 3.5 Estatsticas de incidentes por ano reportados ao CAIS.
O CERT/CC oferece estatsticas sobre incidentes, vulnerabilidades, alertas e notas de segurana publicadas, mensagens de correio eletrnico atendidas e chamadas telefnicas recebidas. O CAIS o rgo responsvel pela segurana da RNP. As estatsticas do Cais referem-se a incidentes reportados mensal e anualmente.
Hacker, cracker e outros personagens

Vrus, worms, vulnerabilidades, exploits e ataques: 11 Quem so as pessoas que os produzem? 11 O que elas pensam? 11 Quais so suas motivaes? 11 Por que fazem esse tipo de ao?
Hacker: 11 Especialista em informtica, problem solver, descobre falhas e cria exploits; possui tica hacker. Cracker: 11 Especialista em informtica, problem creator, hacker malicioso, criminoso.
52
Para pensar
Hoje fala-se muito da tica hacker, que trata da questo do software livre, entre outras coisas. Os hackers procuram se diferenciar dos crackers, que tentam efetivamente invadir sistemas e causar danos.
O livro A tica dos Hackers e o Esprito da Era da Informao: a Diferena Entre o Bom e o Mau Hacker,
w 11 Hacker: o termo hacker foi, por muitos anos, associado a pessoas mal-intencionadas.
possvel usar a rede de forma segura? Qual o nvel de perigo na internet neste momento? Veja em: https://webapp.iss.net/ gtoc/index.html
editado no Brasil pela editora Campus, mostra um pouco do que essas pessoas pensam:
Um hacker apenas uma pessoa que detm muitos conhecimentos sobre a rea de compu tao. Em geral, so pessoas interessadas em Sistemas Operacionais, softwares, segurana, internet e programao. Um hacker tem interesse em descobrir coisas novas (inclusive vulnerabilidades em programas), mas no possui nenhuma motivao destrutiva. 11 Cracker: um cracker um hacker com propsitos maldosos de invadir e violar a integridade de sistemas. Script kiddies normalmente no esto interessados em algo especfico, mas simplesmente em invadir um site qualquer. So responsveis por boa parte dos ataques na internet e provavelmente sero os responsveis caso o seu site seja atacado. No site do projeto Honeynet (http://project.honeynet.org/papers/) podem ser encontradas diversas informaes sobre script kiddies e o seu modo de ao. Script kiddies: 11 Com pouco conhecimento de informtica, usam exploits criados pelo hacker e executam ataques na internet. 11 Possuem muito tempo ocioso. Lammer: 11 Considerado o nvel mais baixo, ou seja, aquele indivduo que no conhece o poder do computador e se autodenomina hacker ou pensa ser um cracker e sai invadindo o host pela internet, sem ao menos saber o que est fazendo. 11 Conhecimento ainda menor do que o de um script kiddie. Newbie: 11 Aprendiz de hacker; pergunta muito, ignorado e ridicularizado. 11 Possui personalidade fraca. Wannabe: 11 Indivduo que j consegue assimilar a metodologia hacker, comeando a ter afinidade com a tecnologia underground. 11 No necessariamente um script kiddie, mas algum iniciado no uso de ferramentas mais bsicas. 11 Terminologia pouco utilizada.
53
Larva: 11 Indivduo capaz de executar invases a partir de receitas de bolo e exploits encontrados na internet, mas diferente dos script kiddies, j que so capazes de compreender o que esto fazendo e at de melhorar tcnicas e ferramentas. 11 Esto mais prximos do nvel de conhecimento de um cracker. Virus Maker (virii): 11 Crackers que se dedicam a programar vrus. Carding : 11 Criminosos digitais que se especializam na manipulao de clonagem de cartes magnticos de bancos. 11 No cenrio brasileiro, tem sido registrado o aumento das atividades de Carding. Phreakers: 11 Crackers com profundos conhecimentos de telecomunicaes, alm dos conheci mentos em computao.
Motivao
O que leva uma pessoa a invadir um sistema? 11 Impunidade. 11 Delinquncia 11 Tentativa de chamar a ateno. 11 Notoriedade. 11 Vingana. 11 Compensao financeira. 11 Espionagem. 11 Entrar para o grupo.
Ningum se torna um hacker, hackers nascem assim. Est certo! Muitos deles nunca tero acesso a um computador, logo nunca sero hackers de fato, mas o esprito hacker est presente naquela pessoa e vai acompanh-la pelo resto da vida. Respondendo a essa pergunta, me sinto um pouco como The Mentor no manifesto hacker, quando ele pergunta But did you (...) ever take a look behind the eyes of the hacker? Did you ever wonder what made him tick, what forces shaped him, what may have molded him? (Mas voc j olhou por trs dos olhos de um hacker? Voc j imaginou o que faz pulsar, que foras deram-lhe forma, o que pode t-lo moldado?). A resposta de hoje a mesma que a de 1986, quando o manifesto foi escrito: hackers so pessoas inquietas, que no so facilmente convencidas por argumentos
de autoridade sem valor tcnico. So cticos sempre prontos a duvidar de qualquer coisa. A simples meno de que algo impossvel para um hacker um poderoso convite para que ele tente faz-lo. Eles querem saber mais sobre tudo (mais ainda sobre informtica), simplesmente pelo fato de saber, para obter iluminao pessoal.
54
Atividade 3.1 Controles de informtica
1. Sua instituio possui segurana e controle sobre a informtica? Faa o teste em: http://securityassessment.trendmicro.com/Default.aspx?lang=pt-BR 2. Quais portas e servios esto acessveis na sua mquina? Faa a auditoria em: https://www.grc.com/x/ne.dll?bh0bkyd2 3. Use todas as portas de servio e descreva as que esto abertas em seu computador, assim como seus servios.
4. Teste os servidores de DNS e de correio eletrnico de sua instituio, fazendo a auditoria nos seguintes sites: http://www.ipok.com.br/ http://www.dnsstuff.com Voc encontrou alguma vulnerabilidade conhecida?
Atividade 3.2 Servios e ameaas

1. Verifique as seguintes listas de portas: 11 Ataque: http://www.portalchapeco.com.br/~jackson/portas.htm 11 Aplicaes especiais: http://www.practicallynetworked.com/sharing/app_port_list.htm 11 Usadas por trojans: http://www.pypbr.com/infovir/port_alf_trojan.asp 11 Usadas por servios: http://www.pypbr.com/infovir/port_usad_a.asp 11 No Windows: c:\windows\system32\drivers\etc\services
11 No Linux: /etc/services 2. De posse dessas informaes, voc consegue informar as portas mais vulnerveis? Explique.
3. Baixe o programa spybot no link http://www.safer-networking.org/spybot2-own-mirror-1/. 4. Instale-o em seu computador e verifique se voc foi vtima de algum tipo de malware.
55
5. O hijackthis um programa que auxilia o usurio a eliminar uma grande quantidade de malwares conhecidos. Apesar de ser uma ferramenta poderosa, no tem a automatizao de ferramentas como o spybot, e exige conhecimento mais avanado por parte do usurio. 6. Baixe o programa no link http://sourceforge.net/projects/hjt/ e faa a instalao do programa no computador.
Instalao
1. Crie uma pasta chamada C:\HijackThis\; 2. Copie o instalador para a pasta criada; 3. Rode o instalador.
Criao de log
Um log do HijackThis pode conter vrias informaes sobre malwares infectados no computador. Voc pode gerar um log atravs da opo Do a system scan and save a logfile.
Corrigindo entradas
1. Clique em Do a system scan only. 2. Marque as entradas necessrias com ateno, pois uma entrada errada pode causar instabilidade no sistema. 3. Clique em Fix Checked. 4. Voc constatou algum tipo de arquivo malicioso encontrado pela ferramenta?
56
4
Arquitetura TCP/IP conceitos bsicos
objetivos
Apresentar o funcionamento da famlia de protocolos TCP/IP, desde o nvel fsico at o nvel de aplicao em questes de segurana; diferenciar as camadas da famlia TCP/IP e identificar seus principais protocolos; mostrar o funcionamento de aplicaes bsicas, como servio de nomes, transferncia de arquivos, correio eletrnico e pginas www; ensinar a captura de trfego real em uma rede e identificar o que foi capturado.
conceitos
Projetos de rede, sniffers, famlia de protocolos TCP/IP, camadas fsica, de rede, de transporte e de aplicao.
Exerccio de nivelamento 1 e Arquitetura TCP/IP

O que so protocolos?
Introduo
Caractersticas da arquitetura TCP/IP: 11 Baseado na arquitetura cliente/servidor. 11 O IP usa esquema de endereamento universal. 11 Trabalha com: 22 Dados, voz e vdeo. 22 Velocidades: de 9.600 bps a Gbps. 22 Redes: LAN, MAN, WAN e WLAN. 22 Mquinas: servidores, computador pessoal, mainframe, laptop e celular. 22 Plataformas: Mac, Intel, PowerPC, Sun, AMD etc. 22 Sistemas Operacionais: Windows, Linux, MacOS, FreeBSD, Solaris etc.
Captulo 4 - Arquitetura TCP/IP conceitos bsicos
57
O TCP/IP foi criado por volta de 1974, a partir de um artigo escrito por VintCerf. Nos anos 80, ele foi se popularizando e se tornando o protocolo padro de comunicao na internet. Atualmente, o TCP/IP considerado um padro de fato e o protocolo mais usado para interconexo de sistemas heterogneos. Neste Captulo, veremos o funcionamento bsico do protocolo TCP/IP, alm de algumas consideraes sobre segurana.
Famlia de protocolos TCP/IP

11 Formada por vrios protocolos; TCP e IP so os dois mais importantes: 22 Transmission Control Protocol (TCP): protocolo da camada de transporte. 22 Internet Protocol (IP): protocolo da camada de rede. 11 Dividida em camadas com funes bem definidas. 11 Cada camada presta servio para a camada superior. 11 Funcionalidades das camadas de sesso, apresentao e aplicao do modelo OSI so fornecidas por uma nica camada de aplicao no TCP/IP. RM-OSI Aplicao Apresentao Sesso Transporte Rede Enlace Fsico Fsico Transporte Rede Aplicao TCP-IP
Figura 4.1 Comparao entre os modelos RM-OSI e TCP/IP.
Camada fsica
Equipamentos de interconexo fsica. 11 Hub. 11 Bridge. 11 Switch. Endereamento fsico.
A camada fsica no padronizada no TCP/IP. Ela varia de acordo com a tecnologia de acesso fsico utilizada (exemplo: Ethernet, ATM e PPP). Compreende tanto a camada fsica quanto a camada de enlace do modelo RM-OSI. Do ponto de vista de segurana, importante conhecer os principais tipos de dispositivos de interconexo fsica utilizados e as implicaes de segurana de cada um desses dispositivos.
58
Hub (Ethernet)
11 Forma mais simples de interconexo em LANs. 11 No possui inteligncia (processador). 11 Atua somente na camada fsica OSI. 11 Possui n portas. 11 Problemas: 22 Propaga rudo eltrico para todas as portas. 22 Faz broadcast do pacote a nvel fsico. 22 Segurana facilita escuta na rede (sniffing). 22 Interface de rede em modo promscuo (sniffer). 22 Cria domnio de coliso. 22 Permite apenas uma comunicao simultnea. 11 Uso de HUB est diminuindo gradativamente.
Figura 4.2 Modelo de hub.
Bridge (Ethernet)
11 um equipamento que conecta dois segmentos LAN. 11 Possui inteligncia (processador). 11 Atua na camada de enlace OSI. 11 Possui duas portas. 11 Solues: 22 Imune a rudo eltrico. 22 No faz broadcast dos pacotes a nvel fsico. 22 Segurana evita sniffing entre suas portas. 22 Retransmisso seletiva: tabela porta x MAC (Ethernet).
22 Divide domnio de coliso.
Figura 4.3 Transceivers e bridges Ethernet.
22 Gera confinamento de trfego entre suas portas.
59
Problemas: 11 Permite apenas uma comunicao simultnea entre suas portas. 11 Cria domnio de broadcast nvel de enlace.
Switch (Ethernet)
uma bridge inteligente de n portas. Solues: 11 Permite vrias conexes simultneas entre suas portas. 11 Densidade maior de portas para conexo. 11 Dificulta escuta na rede. 11 Recursos avanados (autenticao, filtragem etc.). Problemas: 11 Custo mais elevado. 11 Crescimento da rede (escalabilidade). 11 Broadcast nvel de enlace.
Figura 4.4 Switch de pequeno porte.
Em termos de segurana, um switch sempre prefervel para interconexo em rede local a um hub, porm o custo de um switch muito maior. Nesse caso, a relao entre custo e segurana deve ser posta na balana. No caso do hub, os problemas de segurana podem ser amenizados de outras formas, como o uso de criptografia. Preveno: 11 Topologia hierrquica. 22 Nvel 1: switch de ncleo (core) chassi. 33 Uma unidade, muitos recursos, alta performance, custo elevado. 22 Nvel 2: switch de distribuio. 33 Algumas unidades. 22 Nvel 3: switch de acesso. 33 Muitas unidades, menos recursos, menor performance, custo baixo. 11 Redes Microsoft Windows: uso de servidor Wins. 22 Diminui drasticamente o broadcast.
33 Uso de router para dividir domnios de broadcast.
60
Figura 4.5 Famlia de switches de grande porte (chassi).
Um switch pode suportar diversas tecnologias de acesso fsico (ATM, Ethernet e Gigabit Ethernet) e diversos tipos de cabos e conectores (par tranado e fibra tica).
Endereamento fsico
Camada de enlace OSI: protocolo Ethernet. 11 Usa endereo universal Media Access Control (MAC). 11 Hexadecimal: 6 conjuntos de 8 bits exemplo: 00:00:0c:40:df:51. 22 Trs primeiros conjuntos identificam o fabricante. 11 Endereos reservados. 22 FF:FF:FF:FF:FF:FF (broadcast). 22 01:00:5E:xx:xx:xx (multicast).
w
Para encontrar uma tabela com os fabricantes associados aos trs primeiros conjuntos de 8 bits, acesse: http:// standards.ieee.org/ regauth/oui/oui.txt
Padres: 11 Ethernet: 10 Mbps half duplex. 11 Fast Ethernet: 100 Mbps full duplex. 11 Gigabit Ethernet: 1 Gbps full duplex. O protocolo Ethernet foi criado a partir do protocolo Aloha, criado na Universidade do Hava, nos anos 70. Posteriormente, foi aprimorado pela Xerox, que criou o padro Ethernet Ethernet a 1 Gbps. O protocolo Ethernet opera com diversos tipos de cabeamento, como fibra tica, par tranado (UTP) e coaxial.
de 10 Mbps de transmisso. Hoje temos, ainda, o Fast Ethernet a 100 Mbps e o Gigabit
Camada de rede
11 Protocolo IP. 11 Endereamento IP 11 Subnetting. 11 Protocolos auxiliares. 11 Endereamento dinmico. 11 Roteamento.
61
A camada de rede responsvel por interligar as diferentes redes presentes na internet. composta, principalmente, pelo protocolo IP (Internet Protocol). A camada de rede tem por objetivo prover uma forma de transportar informao entre uma origem e um destino, independentemente de essas mquinas estarem na mesma rede.
Protocolo IP (Internet Protocol)

11 Entrega o pacote e escolhe a rota entre os pontos local e remoto. 11 Na camada de rede, a informao representada por datagramas IP. 11 Datagrama IP: cabealho (64 bytes no mximo) + rea de dados.
0 Ver 4 IHL Identier Time to live Protocol 32 bit source address 32 bit destination address Options and padding 8 Service type Flags 16 24 Total lenght Fragment oset Header checksum
31
Figura 4.6 Cabealho IP.
Campos do cabealho : 11 Ver: define a verso do protocolo. Atualmente, verso 4 (IPv4) e verso 6 (IPv6). 11 IHL: define o tamanho do cabealho, uma vez que ele no fixo. 11 Service Type ou Type of Service (TOS): representa uma classe de servio que pode ser usada para priorizar certos trfegos, como voz e vdeo. 11 Total Length: define o tamanho total do datagrama IP. Tamanho mximo: 65535 bytes. 11 Identifier: identifica um fragmento no caso de o datagrama ter sido quebrado em pedaos menores (fragmentos). 11 Flagse Fragment offset: campos auxiliares para ajudar a recompor fragmentos. 11 Time To Live (TTL): determina o tempo de vida do datagrama. 11 Protocol: define protocolo da camada de transporte; as opes so o TCP e o UDP. 11 Header checksum: verifica se as informaes do cabealho foram transmitidas sem erros; o IP no garante a transmisso dos dados, apenas a do cabealho. 11 Source address: endereo IP de origem.
11 Destination address: endereo IP de destino. 11 Options: opes extras do IP. O protocolo IP no um servio confivel: 11 Entrega com menor esforo. 11 Recuperao do pacote na camada superior. O protocolo IP no um servio orientado conexo: 11 Pacotes so roteados independentemente. 11 Pacotes so entregues fora de ordem; reordenamento na camada superior.
62
Endereamento IP
Endereo universal de 32 bits escrito com quatro nmeros decimais que identifica unicamente uma interface de rede. Exemplo: 200.221.2.45. 0 Identicador 0 de rede 0 10 Identicador de rede 8 Identicador de estao 32
Redes Classe A
(de 1.0.0.0 a 127.255.255.255) 32
16
Identicador de estao
Redes Classe B
(de 128.0.0.0 a 191.255.255.255)
24 Primeiros bits 110 Identicador de rede Identicador de estao
32
Redes Classe C
(de 192.0.0.0 a 223.255.255.255)
1110
Reservados para multicast
Redes Classe D
(de 224.0.0.0 a 239.255.255.255)
11110
Reservados para uso futuro
Redes Classe E
(de 240.0.0.0 a 247.255.255.255)
Figura 4.7 Classes de endereamento IP.
11 Estrutura hierrquica, com diviso em duas partes: rede e estao. 11 Diviso feita de duas formas: classe ou mscara. 11 Endereamento por classe (classful). Endereos para propsitos especficos: 11 0.0.0.0 Mquina em processo de inicializao. 11 127.xx.yy.zz Loopback (127.0.0.1 auto-teste da pilha TCP/IP).
Tabela 4.1 Faixa de endereos privados.
11 Primeiro IP da rede, por exemplo: 200.200.200.0 (endereo da rede 200.200.200.0/24). 11 ltimo IP da rede, por exemplo: 200.200.200.255 (endereo de broadcast). Faixa de endereos IP privados 10.0.0.0 10.255.255.255 172.16.0.0 172.31.255.255 192.168.0.0 192.168.255.255 169.254.0.0 169.254.255.255 Nmeros de IPs 16,777,216 1,048,576 65,536 65,536 Classful Descrio Uma classe A 16 classes A 256 classes C Uma classe B Maior bloco CIDR 10.0.0.0/8 172.16.0.0/12 192.168.0.0/16 169.254.0.0/16 RFC 3330 RFC 3927 Referncia RFC 1597 RFC 1918
8-bit block 12-bit block 16-bit block 16-bit block
Nome
63
Endereos reservados (intranet): 11 No necessrio que todas as mquinas internas possuam IP pblico. 11 Os roteadores da internet descartam qualquer trfego que use IP privado. 11 Probe que uma mquina interna abra conexo direta com servidor na internet e vice-versa. 11 Existem outras classes de IP e IPs especiais definidos na RFC 5735.
Subnetting (endereamento por sub-rede)

Subnetting a diviso de uma classe em redes menores. 11 Classes A, B e C alocam muitos endereos para uma rede. 11 As faixas disponveis para endereos IP regulares esto terminando. 11 Intranet e servidores proxy permitem economia com endereos IP pblicos. Parte do endereo reservado para estaes usada para enderear sub-redes.
Roteador provedor Classful Classe C
Roteador provedor Classless
Cliente X Cliente Y 200.200.200.0/24 200.200.201.0/24 Rede: 200.200.200.0 Brodcast: 200.200.200.255
Cliente Z 200.200.202.0/24
Cliente X 200.200.200.0/29 Sub-rede: 200.200.200.0 Brodcast: 200.200.200.7
Cliente Z 200.200.200.16/29 Sub-rede: 200.200.200.16 Brodcast: 200.200.200.23
Mscara = 255.255.255.0 11111111.11111111.11111111.00000000 Nmero de redes = 1 Nmero de estaes = 254 (256-2)

Cliente Y 200.200.200.8/29 Sub-rede: 200.200.200.8 Brodcast: 200.200.200.15
Mscara = 255.255.255.248 11111111.11111111.11111111.11111000 Nmero de redes = 2^5 = 32

Nmero de estaes = 6 (8-2)
Protocolos auxiliares (ARP, RARP e ICMP)

11 Na LAN Ethernet, o trfego segue endereamento MAC e no endereamento IP. 11 Como descobrir o MAC de um IP qualquer de uma estao na LAN? 22 Address Resolution Protocol (ARP): mapeia endereo IP em endereo MAC. 11 Como descobrir o IP de um MAC qualquer de uma estao na LAN? 22 Reverse Address Resolution Protocol (RARP): mapeia endereo MAC em endereo IP.
Figura 4.8 Endereamento por sub-rede.
64
11 Cache ARP: mantido em cada estao com os ltimos mapeamentos.
Camara de rede Endereo IP ARP Camara de enlace Endereo MAC

Figura 4.9 ARP e RARP.
RARP
O ARP um protocolo fundamental para permitir que o IP trabalhe em cima de diferentes tecnologias fsicas. Em uma rede local, a mquina de IP A quer falar com a mquina de IP B. A mquina de IP A envia uma pergunta (ARP Broadcast) para toda a rede, querendo saber qual mquina possui o IP B. Se a mquina de IP B estiver ativa na rede, ento responde para a mquina A, se identificando. A mquina com IP A mantm durante algum tempo uma tabela chamada tabela ARP, onde fica mapeado o endereo (fsico) ARP e o endereo IP. Existem variaes do ARP para outras
ATM Asynchronous Transfer Mode (Modo de Transferncia Assncrono) uma tecnologia de rede que permite transferir simultaneamente numa mesma linha dados e voz.
tecnologias, como o Atmarp, por exemplo, para redes ATM. No Sistema Operacional Windows, execute:
C:\ arp a
ICMP
Internet Control Messages Protocol (ICMP): 11 Protocolo utilizado para a troca de mensagens de erro e controle entre estaes e outros equipamentos de rede. 11 Ping: pacote ICMP dos tipos echo request e echo reply. Principais tipos de ICMP: 11 Tipo 0 (echo-reply): a resposta de um ping. 11 Tipo 3 (destination unreachable): destino inalcanvel, usado para avisar ao host solicitante sobre uma possvel falha de alcance a um host de destino.
cao: fale mais devagar. 11 Tipo 5 (redirect): redirecionamento um host informando ao solicitante para alterar uma rota. 11 Tipo 8 (echo-request): a solicitao do ping. 11 Tipo 9 (router advertisement): anncio de roteador, usado para descobrir um roteador na rede. 11 Tipo 10 (router solicitation): seleo de roteador, usado para descoberta de um roteador. 11 Tipo 11 (Time to Live exceeded): timeout de TTL (tempo de vida); um pacote pode estar em loop, ou a rede congestionada. 11 Tipo 12 (IP header bad): cabealho do pacote IP com problemas.
11 Tipo 4 (sourcequench): avisa ao host solicitante para diminuir a intensidade da comuni-
65
Endereamento dinmico
11 Como configurar pilha TCP/IP de centenas ou milhares de estaes da rede? 11 DHCP faz a atribuio automtica do endereamento IP para as estaes: 22 Configura automaticamente as estaes da rede quando conectadas. 22 Atribui endereo IP, mscara, default gateway e servidores de DNS. 22 Protocolo mais usado, sucessor do BOOTP, descrito na RFC 1541. 22 Atribui endereo com prazo definido. A vulnerabilidade do DHCP permitir ao usurio malicioso ocultar sua identidade. Como
identificar uma estao atravs de seu endereo IP dinmico? Como filtrar o acesso de uma mquina estranha rede? Preveno: 11 Filtrar MAC das estaes; 11 Fixar IP a um MAC; 11 Tratar logs dos pedidos ao servidor DHCP.
Exerccio de fixao 1 e Endereamento dinmico

O que DHCP?
Roteamento
Roteador: 11 Estao que pode traspassar pacotes entre suas interfaces de rede. 11 Hardware especfico ou PC com Sistema Operacional e suporte ao roteamento TCP/IP. Roteamento: 11 Processo inteligente que define a interface para qual o pacote ser enviado, valendo-se de uma tabela de rotas. 11 Roteamento esttico ou manual. 11 Roteamento dinmico: protocolos RIP, OPSF, BGP etc.
Tabela de rotas: 11 Conjunto de regras que define a interface ou roteador que receber o pacote de acordo com o endereo IP de destino. 11 A rota se baseia no endereo de destino. 11 Comunicao entre cliente A e servidor B. 11 Vulnerabilidade: no h verificao do endereo de origem ao longo do caminho.
Figura 4.10 Modelo de roteador.
66
Tabela de rotas Destino

200.200.200.0/24
Tabela de rotas Next Hop

Y
Destino
100.100.100.0/24
Next Hop
X
A>B Http://200.200.200.1 Rota de ida Endereo de origem = 100.100.100.1 Endereo de destino = 200.200.200.1
B>A Rota de volta Endereo de origem = 200.200.200.1 Endereo de destino = 100.100.100.1
Figura 4.11 Tabela de rotas.
A
IP = 100.100.100.1 Gateway = X
B
IP = 200.200.200.1 Gateway = Y
Exerccio de fixao 2 e Roteamento

O que roteamento?
O que so tabelas de rotas?
Camada de transporte
A camada de transporte do TCP/IP possui dois protocolos: 11 TCP.
q
11 UDP. A camada de transporte responsvel por criar um canal de comunicao entre duas aplicaes. Esse canal pode ser confivel ou no, dependendo do protocolo usado. A aplicao utiliza diretamente os servios da camada de transporte, sendo essa camada a responsvel por toda a transmisso entre a aplicao de origem e a de destino. A camada de transporte do TCP/IP possui dois protocolos: TCP e UDP. No momento da programao da aplicao, deve ser informado o protocolo a ser usado de acordo com a necessidade.
TCP
11 Orientado para conexo, prov canal confivel fim a fim em rede no confivel, criando socket no emissor e no receptor. 11 Confiabilidade: o dado chegou ao destino? Retransmite. 11 Integridade: os dados chegaram em ordem correta? Reordena.
67
11 Socket: canal por onde fluem os dados; elo bidirecional de comunicao entre dois programas 22 IP (ID rede + ID estao) + TCP-UDP (ID porta) + ID processo (servidor/cliente).
Socket no cliente IP = 200.130.15.61 Porta TCP = 1024 Pid processo browser = x Socket no servidor IP = 200.215.13.11 Porta TCP = 80 Pid processo http = y
www.dominio.com.br
Figura 4.12 TCP: orientado para conexo.
11 TCP: foi definido na RFC 793 e corrigido na RFC 1122, com extenses definidas na RFC 1323. 11 Porta TCP: nmero inteiro entre 0 e 65535 (16 bits) que, junto com os endereos IP associados, identificam uma conexo no nvel de transporte do TCP/IP. Um processo servidor necessita escutar uma porta para oferecer um servio, e um processo cliente necessita alocar uma porta dinmica (maior que 1024) para utilizar o servio oferecido pelo servidor. As portas TCP podem ser divididas em ranges, como demonstrado na tabela a seguir. Incio 0 1024 49152 Fim 1023 49151 65535 Nome Portas conhecidas Portas registradas Portas particulares
Tabela 4.2 Tabela das portas TCP.
Cabealho TCP
Estabelecimento de conexo TCP: 11 Host1 envia sinal SYN para host2. 11 Host2 responde enviando sinal SYN combinado com sinal ACK. 11 Host1 responde com outro sinal ACK. 11 Conexo feita em trs transmisses. 11 Three-way handshake (triplo aperto de mos).
w
Mais informaes podem ser obtidas em http://www.iana.org/ assignments/port-numbers
68
0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
Source port Sequence number Acknowledgement number U A P R S F Data R C S S Y I oset Reserved G K H T N N Checksun Options Data... Destination port
Host 1 SYN
(SEQ = x)
Host 2
SYN / ACK
Tempo Window
(SEQ = y; ACK = x-1)
Urgent Pointer Padding
ACK
(SEQ = x-1; ACK = y+1)
Cabealho TCP
Figura 4.13 Cabealho TCP e o triplo aperto de mos.
Os campos do cabealho so: 11 Source port: porta de origem. Dinamicamente, primeira porta livre maior que 1024. 11 Destination port: porta de destino. Deve ser conhecida. 11 Sequence number: nmero de sequncia. 11 Acknowledgement number: informa o prximo byte esperado pelo receptor. 11 TCP header length: informa o tamanho do cabealho TCP. 11 Reserved: seis bits reservados para uso futuro. 11 Flags: campos de 1bit que podem estar ligados (1) ou desligados (0). 11 URG (Urgent pointer): informa que existe informao urgente no pacote. 11 ACK (Acknowledge): indica a presena do campo Acknowledgement number. 11 PSH: indica que os dados devem ser imediatamente entregues para a aplicao. 11 RST: usado para reinicializar uma conexo com problemas. 11 SYN: usado para estabelecer conexes. 11 FIN: usado para finalizar conexes. 11 Window size: indica quantos bytes podem ser enviados de uma vez; controle de fluxo.
11 Checksum: verifica erros no cabealho e nos dados. Torna o TCP confivel. 11 Urgent pointer: indica onde esto os dados urgentes (flag URG). 11 Options: opes extras do cabealho TCP.
UDP
Protocolo no orientado para conexo, uma verso simplificada do TCP. 11 No garante entrega. 11 No garante ordenamento. 11 No garante ausncia de erros.
69
Proporciona velocidade. 11 Usado para streaming de vdeo. 11 Sinal de voz (VoIP). 11 Montagem de rede NFS. Aplicaes de requisies e respostas simples. 11 Requisies de DNS.
Source port (16 bits) Length (16 bits) Data ...
Destination port (16 bits) Checksun (16 bits)

Figura 4.14 Cabealho UDP.
Os dois primeiros campos tm o mesmo propsito que o TCP, o de identificar as aplica es de origem e de destino. O campo length define o tamanho do pacote UDP (inclusive os dados) e o checksum apenas verifica erros no cabealho. O UDP, por ser mais simples, muito usado em servios em que a velocidade de transmisso mais importante que a ausncia de erros, como a transmisso de voz e vdeo.
Camada de aplicao
H muitas aplicaes na internet. A lista seguinte mostra algumas delas e suas portas padro. Aplicao Gmail Portas TCP 465 TCP 995 Skype TCP 80 TCP 1024-65535 UDP 1024-65535 eMule TCP 4662 UDP 4672 www TCP 80 World wide web, servios de pginas com hipertexto.
Tabela 4.3 Portas UDP.
Descrio Correio eletrnico SMTP com segurana (SSL). Correio eletrnico POP3 com segurana (SSL). Telefonia VoIP via internet. Trfego de voz.
P2P popular.
Tipos de firewalls versus modelo OSI

11 O modelo OSI um modelo de referncia para que possamos compreender melhor a organizao hierrquica de servios e dispositivos de rede.
11 Podemos compreender melhor os tipos de firewalls a partir do ponto de vista do modelo OSI, tanto quanto a atuao, quanto em relao categoria, que pode ser Ativo ou Bridge.
70
Camada OSI
Camada 7 6 5 4 3 2
Figura 4.15 Packet Filter Camada OSI.
Camada
Aplicao
Aplicao
Apresentao
Apresentao
Sesso
Sesso
Transporte
Transporte
Packet Filter
Rede IP / ICMP / IGMP Rede
Enlace
Enlace
Fsica
Fsica
Packet Filter (filtro de pacotes)

Controle seletivo do fluxo de dados de uma rede, possibilitando o bloqueio ou no de pacotes, atravs de regras normalmente baseadas em: 11 Endereos IP; 11 Protocolos (portas). Possibilidade de tratar o incio da conexo (TCP SYN). Nesse caso, deixando de ser um mero Packet Filter para ser um StateLess. Embora um Packet Filter seja um firewall de camada 3, importante lembrar que informaes de nmero de porta vm do cabealho UDP ou TCP, mas mesmo assim definimos que um Packet Filter de camada 3. Todavia, devemos considerar porta de origem e porta de destino, embora endereamento ainda seja um tratamento
simples para uma comunicao de dados.
71
Stateful (Filtragem com Estado de Conexo)

Camada 7 6 5 4 3 2 1
Aplicao
Camada
Aplicao
Apresentao
Statefull Packet
Apresentao
Sesso
Sesso
Transporte
TCP / UDP
TCP / UDP
Transporte
Rede
IP / ICMP / IGMP
Rede
Figura 4.16 Stateful Camada OSI.
Enlace
Enlace
Fsica
Fsica
Alm de ter a mesma capacidade de tratamento de pacotes que um firewall Packet Filter, esse tipo de tecnologia tambm pode manter o estado das conexes por meio de mquinas de estado. Alguns firewalls ainda so capazes de atuarem como proxy de conexes de servios especficos ou simplesmente analisarem o contedo de um pacote buscando perfis de ataques, embora muitos administradores optem por ter essa anlise de ataques em sistemas de deteco de intrusos (IDS). Dessa forma, os firewalls que se enquadram nessa tecnologia possibilitam: 11 Deteco e bloqueio de stealth scans; 11 Realizao do controle seletivo do fluxo de dados e tratamento do cabealho TCP; 11 Ser capaz de lidar com protocolos mais especficos, como FTP (ativo e passivo); 11 Manter informaes de estado de conexo; 11 Manipulao de campos de um datagrama. 11 Capacidade de manipular o payload do pacote, inclusive tendo a possibilidade de atuar procurando strings de ataque.
72
Bridge Statefull
Camada 7 6 5 4 3 2
Figura 4.17 Bridge Statefull Camada OSI.
Camada
Aplicao
Aplicao
Apresentao
Statefull Packet
Apresentao
Sesso
Sesso
Transporte
TCP / UDP
TCP / UDP
Transporte
Rede
IP / ICMP / IGMP
Rede
Enlace
Bridge - MAC
Enlace
Fsica
Fsica
Tipos de firewall
Ativos que podem ser implantados tanto em fronteira de redes com gateway, como tambm em ambiente departamental so identificveis com host, pois possuiro um IP e sero acessveis atravs dele. Todavia, um firewall que atua com um proxy ARP (bridge como uma ponte na camada de enlace) na fronteira da rede extremamente estratgico, pois no tem IP, isto , s acessvel localmente ou por outra mquina que tenha uma comunicao serial com o firewall.
Solues de firewall
11 PF*: original do OpenBSD, disponvel na srie 5 do FreeBSD. 11 Iptables (netfilter)**: soluo Stateful nativa do Linux.
Figura 4.18 Solues de firewall Camada OSI.
q
11 Ebtables: soluo de Firewall Bridge para Linux.
Statefull Packet (IPFW, PF*, Iptables**)

Aplicao Apresentao Sesso Transporte Rede Enlace Fsica Rede Enlace Fsica Enlace Fsica Fsica Aplicao
Statefull Packet (IPFW)
Apresentao Sesso
StateLess Packet (IPChains) Packet Filter (IPFWADM) EBtables

Fsica Enlace Fsica Rede Enlace Fsica
Transporte Rede Enlace Fsica
73
Kernel 2.0.x
11 IPF: PacketFilter. 11 IPFWADM: PacketFilter.
Kernel 2.2.x
11 IPChains: PacketFilter. 11 Sinus: PacketFilter.
Kernel 2.4.x / 2.6.x

11 Iptables (Netfilter): Stateful Packet.
Solues Open Source Stateful

11 IPFW2: disponvel em sistemas FreeBSD. 11 IPFW2 e PF: disponvel em sistemas FreeBSD e OpenBSD. 11 IPF: Solaris 10. No Linux, o nome do firewall presente no Kernel o Netfilter, sendo o Iptables a interface para acess-lo.
Sniffers
11 Sniffer (farejador). 11 Equipamento ou software para escutar ou farejar o que passa pela rede. 11 Geralmente associado a um analisador de protocolos. Normalmente uma placa de rede somente escuta o que foi direcionado para ela (seu
equipamento) ou pacotes que so enviados para a rede toda (broadcast). Um sniffer coloca a placa de rede em um modo chamado de promscuo, onde a placa passa a escutar tudo o que est passando pela rede. Dependendo do tipo de equipamento de interconexo, hub ou switch, possvel escutar os pacotes passando pela rede com maior facilidade. Mesmo no sendo impossvel, o uso de switches dificulta o sniffing, pois os pacotes dire cionados a uma mquina so enviados diretamente para aquela mquina, diferente do hub, que replica todos os pacotes por todas as portas. Em conjunto com um analisador de protocolos, podemos ver o que est acontecendo em nossa rede. As ferramentas mais conhecidas so as do TcpDump, atuando em linha de comando, e o Wireshark, em ambiente grfico. Ambas as ferramentas so abertas e esto disponveis para um grande nmero de sistemas operacionais e distribuies diferentes.
74
Atividade 4.1 Sniffers para captura de dados
1. Abra o Wireshark: 11 Ative a captura de pacotes da placa de rede ethernet; 11 No campo Filtro, digite FTP e clique em Apply. 11 Acesse o site ftp.unicamp.br; 11 Digite aluno como usurio e como senha digite 123456; 11 Pare a captura de pacotes e verifique se voc consegue visualizar o usurio e a senha informados.
Atividade 4.2 Estados de firewall

O Netfilter um framework dentro do kernel do Linux, onde os mdulos do Iptables se conectam para realizar a filtragem de pacotes. Tabelas 11 Filter filtragem de pacotes; 11 NAT traduo de endereos; 11 Mangle marcao de pacotes, QoS. Polticas Comear em DROP ou ACCEPT. Chains 11 INPUT entrada no firewall; 11 OUTPUT sada do firewall; 11 FORWARD passagem pelo firewall. Criao de regras 11 -A adiciona a regra ao final da chain; 11 -I insere a regra no comeo da chain; 11 -D apaga a regra.
Padres de casamento 11 -s casa com origem do pacote; 11 -d casa com destino do pacote; 11 -i interface de entrada; 11 -o interface de sada; 11 -p protocolo, que pode ser dos tipos TCP, UDP e ICMP.
75
1. Filtragem simples (Stateless)

11 Logue no shell como root e mude a poltica padro da chain OUTPUT para DROP:
# iptables -P OUTPUT DROP

11 Tente estabelecer uma conexo http; 11 Crie uma regra na chain OUTPUT para permitir que sua mquina estabelea uma conexo http:
# iptables -A OUTPUT -p tcp --dport 80 -j ACCEPT
No se esquea de criar uma regra para conexes DNS do tipo UDP porta 53. 11 Mude a poltica padro da chain INPUT tambm para DROP. Ainda possvel estabelecer conexes http?
11 Crie uma regra na chain INPUT para permitir que sua mquina estabelea uma conexo http.
2. Filtragem com Estado (Stateful)

11 Remova as regras da chain INPUT; 11 Crie uma regra genrica para permitir conexes estabelecidas:
# iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT

11 Tente novamente estabelecer uma conexo http; 11 Voc capaz de descrever a diferena entre filtros Stateless e Statefull?
76
5
Arquitetura TCP/IP e segurana
objetivos
Mostrar os problemas inerentes famlia TCP/IP (exploits e vulnerabilidades) e informar as solues disponveis; apresentar os problemas especficos em implementaes da famlia de protocolos; indicar mecanismos de defesa contra vulnerabilidades de protocolo.
conceitos
Varreduras, DOS bsico e conceitos relacionados segurana em rede TCP/IP.
Exerccio de nivelamento 1 e Arquitetura TCP/IP e segurana

O que TCP/IP?
Introduo
Tipos de ataques inerentes ao protocolo: 11 Sniffers. 11 Sourcerouting. 11 DoS. 11 Spoofing. 11 SYN flood. 11 Smurf. 11 Portscan. 11 DDoS. Vulnerabilidade em implementaes especficas: 11 Ping da morte. 11 Teardrop. 11 Land.
Captulo 5 - Arquitetura TCP/IP e segurana
77
A famlia de protocolos TCP/IP, apesar de largamente utilizada, no perfeita. Existem falhas conhecidas no projeto do protocolo e tambm na implementao em alguns sistemas espe cficos. Essas falhas so frequentemente exploradas por usurios maliciosos, especialmente as falhas de projeto, uma vez que no so facilmente resolvidas. Muitas das falhas no tm soluo total em muitos casos, sendo possvel apenas diminuir seu efeito. No captulo anterior, vimos o funcionamento da famlia TCP/IP com padro para acesso internet. Neste captulo, faremos algumas consideraes sobre a famlia de protocolos e veremos alguns ataques conhecidos referentes ao protocolo TCP/IP. Alguns desses ataques so inerentes ao projeto do protocolo, enquanto outros so problemas de uma implementao especfica.
Sniffers (farejadores)
Programa que escuta a rede em busca de informaes importantes. 11 Uso benigno: anlise de trfego, diagnstico de problemas e base para IDS. 11 Uso maligno: quebra de confidencialidade e captura de senhas. 11 Deteco: uso da placa Ethernet em modo promscuo. 11 Hub: alvo fcil de um sniffer.
No. 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 Time 0.296046 0.297487 0.301595 0.305416 0.449008 0.449010 0.619910 0.622805 0.770388 0.771295 0.918462 0.919316 1.085944 1.087351 1.220460 1.221308 1.368564 1.369383 Source 192.188.11.45 192.188.11.45 200.144.121.118 200.144.121.118 192.188.11.45 200.144.121.118 192.188.11.45 200.144.121.118 192.188.11.45 200.144.121.118 192.188.11.45 200.144.121.118 192.188.11.45 200.144.121.118 192.188.11.45 200.144.121.118 192.188.11.45 200.144.121.118 Destination 200.144.121.118 200.144.121.118 192.188.11.45 192.188.11.45 200.144.121.118 192.188.11.45 200.144.121.118 192.188.11.45 200.144.121.118 192.188.11.45 200.144.121.118 192.188.11.45 200.144.121.118 192.188.11.45 200.144.121.118 192.188.11.45 200.144.121.118 192.188.11.45 Protocol IMAP IMAP IMAP IMAP IMAP IMAP IMAP IMAP IMAP IMAP IMAP IMAP IMAP IMAP IMAP IMAP IMAP IMAP
Info Response: *ok [CAPABILITY IMAP4rev1 UIDPLUS CHILDREN NAMESPAC Response: *ok [CAPABILITY IMAP4rev1 UIDPLUS CHILDREN NAMESPAC Request: xqbn CAPABILITY Request: z1s1 CAPABILITY Response: * CAPABILITY IMAP4rev1 UIDPLUS CHILDREN NAMESPAC TH Request: 8011 LOGIN 1vocarv Response: 80j1 OK LOGIN OK Request: 8udg IDLE Response: + entering idle mode Request: DONE Response: 8udg OK IDLE completed Request: fylu STATUS INBOX (MESSAGES UNSEEN) Response: * STATUS INBOX (MESSAGES 567 UNSEEN 0) Request: nki2 IDLE Response: + entering idle mode Request: DONE Response: nki2 OK IDLE completed Request: 55I1 STATUS INBOX.drafts (MESSAGES UNSEEN)
Frame 12 (90 bytes on wire , 90 bytes captured) Ethernet II, src: 00:02:55:5d:0a:a0, Dst: 00:04:ac:66:21:a6 Internet Protocol, Src Addr: 200.144.121.118.(200.144.121.118), Dst Addr: 192.188.11.45 (192.188.11.45) Transmission Control Protocol, Src Port: 2725 (2725), Dst Port: imap (143), seq:18, Ack: 404, Len:36 Internet Message Access Protocol
0010 0020 0030 0040 0050
00 0b fe 20 40
4c 3d 6c 22 72
39 0a 6a 69 6e
13 a5 79 76 70
40 00 00 6f 34
00 8f 00 63 35
80 c6 38 61 21
06 5c 30 72 22
b3 c0 6a 76 0d
a8 bc 31 22 0a
c8 47 20 20
90 0b 4c 22
79 38 4f 66
76 6d 47 69
c0 50 49 73
bc 18 4e 68
.L9.@... ....yv.. \ C (mD .ljy..80 j1 LOGIN ivocar v ..
Podemos comparar um sniffer a um grampo telefnico; a diferena que, no caso do sniffer, existe a possibilidade de escutar diversas conversas ao mesmo tempo. claro que as informaes capturadas podem ser usadas para o bem ou no. Utilizando placas de rede Ethernet em modo promscuo, possvel capturar trfego com destino a outras mquinas da rede.
Figura 5.1 Ferramenta sniffer capturando uma sesso IMAP.
78
Switch: impede a escuta da rede: 11 Sofre ataque CAM table flooding (MAC spoofing). 11 Envio de requisies ARP falsas com endereos MACs randmicos. 11 Estouro da tabela de MACs. Preveno: 11 Configurar manualmente uma tabela CAM. 11 Filtrar MAC na porta. 11 Usar criptografia.
Detectar um sniffer em uma rede tarefa rdua e trabalhosa. Um sniffer no necessita ser um equipamento (ou mquina) independente: pode ser um microcomputador (servidor, desktop ou notebook), configurado para esse fim. Em sistemas baseados em Unix, somente o administrador (root) consegue colocar a placa de rede em modo-promscuo. Colocar uma placa de rede em modo-promscuo altera seu funcionamento, fazendo com que a placa de rede tenha acesso a todo o trfego de rede que est passando pelo segmento, e no somente ao trfego direcionado a esse equipamento. Em equipamentos do tipo Linux, o comando ifconfig pode auxiliar na deteco de placas de rede em modo-promscuo.
root@laptop:~# ifconfig eth0 eth0 Link encap:Ethernet inet addr:10.0.2.15 HWaddr 08:00:27:f1:5d:77 Bcast:10.0.2.255 Mask:255.255.255.0
inet6 addr: fe80::a00:27ff:fef1:5d77/64 Scope:Link UP BROADCAST RUNNING PROMISC MULTICAST MTU:1500 Metric:1
RX packets:434 errors:0 dropped:0 overruns:0 frame:0 TX packets:454 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:1000 RX bytes:252773 (252.7 KB) TX bytes:36161 (36.1 KB)
Interrupt:10 Base address:0xd020

No exemplo anterior, podemos ver a mensagem PROMISC, indicando que a placa de rede est em modo-promscuo. O uso de switches em redes no resolve 100% o problema, pois existem varias tcnicas que se empregadas e/ou combinadas podem fazer com o que o trfego seja direcionado para outros equipamentos e capturado.
Source routing (roteando pela fonte)

11 Opo especial do pacote IP, facilita o spoofing. 11 O invasor faz o datagrama passar por uma rota especfica.
79
11 Preveno: 22 Desabilitar o roteamento de pacotes source-routed. 22 No roteador Cisco, executar o comando:
no ip source-route
22 No roteador Linux:
/etc/sysctl.confysctl.conffLinux: executar o ce_route=0

Hoje, no ambiente da internet, no existem motivos legtimos que provocariam a necessidade de ditar o caminho que o pacote dever percorrer at chegar ao seu destino. Desde que o roteamento seja feito apenas de ou para uma respectiva rede privada, deve-se atentar para o cuidado de no aceitar pacotes no roteador de borda que instruam esse roteador a encaminhar pacotes para outra rede. Mais informaes sobre source routing podem ser obtidas na RFC 791.
DoS (Denial of Service)

Denial of Service (DoS negao de servio) uma tentativa explcita de impedir o uso de servio por usurio legtimo. Exemplos: 11 Inundao da rede, impedindo seu trfego legtimo. 11 Quebra de conexo entre duas mquinas, impedindo acesso ao servio. 11 Indisponibilidade de servio para uma rede ou usurio. Tipos de ataque: 11 Consumo de recursos escassos, no renovveis. 22 Banda, CPU, memria, espao em disco: SYNflood, smurf, e-mail, bombing e spamming. 11 Destruio ou alterao de configurao. 22 Alterao de configurao em Sistemas Operacionais e roteadores. 11 Destruio ou alterao fsica de componentes de redes. 22 Acesso no autorizado sala dos servidores e destruio intencional de mquina.
De acordo com a definio do Computer Emergency Response Team (CERT), os ataques DoS, tambm denominados Ataques de Negao de Servio, consistem em tentativas de impedir usurios legtimos de utilizarem um determinado servio de um computador. Para isso, so usadas tcnicas que podem: 1. Sobrecarregar uma rede a tal ponto que os seus verdadeiros usurios no consigam us-la.
2. Derrubar uma conexo entre dois ou mais computadores. 3. Fazer tantas requisies a um site at que ele no consiga mais ser acessado. 4. Negar acesso a um sistema ou a determinados usurios. Preveno: 11 Implementar filtros em roteadores e firewalls. 11 Implementar proteo contra SYNflood. 11 Habilitar quota para as contas.
80
11 Monitorar: espao em disco, consumo de CPU, memria e trfego de rede. 11 Examinar periodicamente itens de segurana fsica com respeito s necessidades atuais. 11 Usar IDS (tripwire) para checar alteraes em arquivos de configurao. 11 Manter mquinas hot spare. 11 Manter configuraes de rede redundantes e tolerantes a falhas. 11 Manter agendamento de backup regularmente. 11 Manter poltica rgida de senhas. 11 Desabilitar qualquer servio de rede desnecessrio ou que no seja usado. 11 Servidor Linux: # netstat atunp (quais servios esto ativos e por qu?).
difcil falar em preveno desse tipo de ataque, pois a maioria das ocorrncias vistas atual mente exploram o consumo de recursos, como link de internet ou CPU do servidor.
Exerccio de fixao 1 e Negao de servio

O que Denial of Service (DoS) e como pode se prevenido?
Spoofing
11 E-mail spoofing. 11 IP spoofing: 22 Blind-spoofing. 22 Non-blindspoofing. 22 ARP spoofing. 22 DNS spoofing. 22 Roteamento. 11 Spoofing significa enganando. 22 Ato de falsificar identidade na rede para enganar um usurio. 11 Existem diversas formas de enganar: 22 IP: burlando mecanismos de autenticao
22 Web: pgina falsa de servios legtimos 22 E-mail: mensagem falsa 22 Roteamento etc. qualquer procedimento que envolva personificao de usurios ou mquinas, incluindo endereos IP e consultas em servidores de nomes. So usados para obter acesso no autorizado ou para esconder tentativas de ataque.
22 DNS: domnio apontando para endereo falso
81
E-mail spoofing
11 Invasor forja remetente da mensagem. 11 Servidor SMTP envia mensagem, no verificando identidade do remetente. 11 Spam: forma usual de e-mail spoofing usada por spammers. 11 Exemplo de ataque de engenharia social: 22 Solicitao ao usurio legtimo de acesso a site suspeito. 22 Solicitao ao usurio legtimo de envio de senha para um endereo determinado. 11 Preveno: 22 Evitar servidor open relay. 22 Verificar MX do domnio do servidor do remetente. 22 Usar autenticao segura para SMTP e POP3. 22 Usar servidor antispam. Soluo Linux popular: SpamAssassin. 22 Usar RealTime Blackhole List (RBL): cadastro de spammers. 22 Reforar configurao do servidor de correio. 22 Conscientizao dos usurios.
Spam
Nome originado de uma marca americana de presunto enlatado. Num filme da srie Monty Phyton, um grupo de vikings repete esse nome diversas vezes em um bar. Consiste em correio eletrnico no solicitado, associado a correntes e malas diretas de propaganda. De acordo com estimativas atuais, mais de 50% do correio eletrnico que trafega no mundo spam.
w
O CERT disponibiliza uma srie de recomendaes sobre e-mail spoofing no endereo http://www.cert.org/ tech_tips/email_spoofing.html
IP spoofing
Falsificao do endereo de origem do pacote IP. 11 Atacante na estao A envia para C um pacote com origem igual a B. 11 Resposta de C ir para a estao B. Tcnicas associadas para ataque no protocolo TCP: 11 Blind spoofing (ataque cego): 22 Conexo usa tree-way handshake e Initial Sequence Number (ISN) randmico. 22 Atacante tenta predizer nmero sequencial e executar cdigo. 11 Non-blind spoofing: 22 Atacante est no meio da conexo, capturando trfego com sniffer. 22 Atacante conhece o nmero da sequncia gerado.
d
Saiba Mais
Leia o artigo Compreendendo Ataques Denial of Services, de Leandro Mrcio Bertholdo, Andrey Vedana Andreoli e Liane Tarouco. http://www.cert-rs.tche. br/docs_html/ddos-errc-2003.pdf
22 Uso de DoS para sequestro de conexo: Man-in-the-middle. O protocolo TCP possui alguns mtodos de controle, tentando evitar que esse tipo de ataque acontea. Alguns sites com informaes sobre IP spoofing: 11 http://www.symantec.com/connect/articles/ip-spoofing-introduction 11 http://www.cert.org/advisories/CA-1996-21.html 11 ARP spoofing : envenenamento da tabela ARP (ARP poisoning). 11 DNS spoofing : servidor falso responde a consultas redirecionando o acesso.
82
Regras anti-spoong iptables

Pacote entrando na interface x endereo de origem
Interface eth1
# Regra iptables anti-spoong interface externa -A INPUT -A FORWARD -p ip -s 10.0.0.0/8 -i eth1 -j DROP -p ip -s 10.0.0.0/8 -i eth1 -j DROP
Interface eth0
# Regra iptables anti-spoong interface externa -A INPUT -A FORWARD -p ip ! -s 10.0.0.0/8 -i eth0 -j DROP -p ip ! -s 10.0.0.0/8 -i eth0 -j DROP
Figura 5.2 Regras antispoofings.
Rede interna IP = 10.0.0.0/8
Medidas tomadas pelos administradores: 11 Usar filtros ingress e egress: nenhum pacote deve sair da sua rede com um endereo IP de origem que no pertena a essa rede; tampouco devem entrar pacotes com endereos de origem de dentro da sua rede. Esse tipo de filtragem comum, e muitas ferramentas de firewall j a implementam automaticamente. 11 Nmeros de sequncia randmicos: se a regra de formao dos nmeros de sequncia for suficientemente randmica, o atacante no conseguir sequestrar ou falsificar uma conexo. 11 Criptografia e autenticao: confiar somente no endereo IP uma poltica que favo rece o spoofing. Sistemas seguros devem criptografar a informao sensvel e exigir meios de obter uma autenticao forte entre as partes. Preveno 11 Portsecurity: especificaes de segurana de switch Ethernet.
11 ARP watch: monitora mudanas na tabela ARP. 11 ISN mais randmico (kernel). 11 Criptografia e autenticao forte. 11 Filtros ingress-egress no firewall. 11 Kernel Linux:
for f in /proc/sys/net/ipv4/conf/*/rp_filter; do echo 1 > $f done

Roteamento: 11 Ataque combinando IP spoofing e roteamento dirigido. 11 Redireciona a resposta para a mquina do atacante.
83
Protocolo de roteamento dinmico. 11 Ausncia de mecanismos de autenticao. 11 Proporciona anncio indevido de rota falsa. 11 Exemplo: RIP. Preveno. 11 Uso de roteamento esttico ou manual. 11 Uso de protocolos mais modernos com autenticao: RIPv2 e OSPF.
SYN flood
Ataques de Flood ou Flooding consistem em inundar um sistema ou canal de comunicao, numa tentativa de utilizar ao mximo os recursos e causar um DoS. Popular ataque de negao de servio (DoS), afeta critrio de disponibilidade. Entendendo o ataque: 11 Envio de pacotes SYN com endereos de origem randmicos (IP spoofing). 11 Excesso de conexes no servidor sem confirmao. 11 Estouro de buffer: novas conexes no so aceitas at o esvaziamento do buffer (DoS); ataque contnuo. Preveno. 11 No existe soluo 100% segura. 11 Configuraes especficas para cada Sistema Operacional.
Atacante SYN
Vtima
Algumas sugestes de configurao visando mitigar esse tipo de ataque em sistemas Linux.
/etc/sysctl.conf net.ipv4.tcp_syncookies=1
Firewall iptables: # chama chain flood $iptables A INPUT p tcp syn j flood # cria chain flood $iptables n flood $iptables -A flood m limit limit 12/second -limit-burst 24 j return $iptables -A flood -j log_flood
Tempo
Figura 5.3 Ataque SYN flood.
84
w Apesar de muitos fabricantes terem tomado medidas para diminuir os efeitos desse ataque,
Mais informaes sobre SYN flood podem ser encontradas em: http://www.cert.org/ advisories/CA-1996-21. html e http://cr.yp.to/ syncookies.html
ainda no existe uma forma 100% eficiente para impedi-lo.
Smurf
Ataque do tipo DoS, que usa o recurso directed broadcast da pilha TCP/IP. Entendendo o ataque: 11 Atacante descobre uma lista de endereos que podem ser utilizadas como redes amplificadoras. 11 Atacante pinga broadcast das redes (echo request) com IP da vtima (IP spoofing). 11 Redes respondem com echo reply, inundando a vtima com pacotes ICMP. Preveno: 11 Filtrar broadcast. 11 Roteador Cisco: no IP directed-broadcast. 22 Kernel Linux: /etc/sysctl.conf g net.ipv4.icmp_echo_ignore_broadcasts=1
w
Mais informaes podem ser obtidas no endereo: http://www. cert.org/advisories/ CA-1998-01.html
Rede amplicadora 1
Atacante
Rede amplicadora 2 Rede amplicadora 5 Rede amplicadora 3 Vtima
Figura 5.4 Ataque smurf.
Rede amplicadora 4
Brodcasts falsicados Respostas amplicadas
Infelizmente, no existe forma eficiente de a vtima se proteger, mas as redes amplificadoras queada no primeiro roteador disponvel.
podem bloquear pacotes directed broadcast. Toda difuso externa rede deve ser blo-
Modelo de ataque fraggle

Todas as mquinas que receberam o datagrama UDP com IP de origem forjado respondem para a mquina vtima com ICMP Type3.
85
Atacante
UDP
Internet
Mquina alvo Ataques com fraggle e smurf so mais difceis de ocorrer, devido ao fato de muitas redes terem mtodos para no permitir trfego muito alto desses tipos de pacote.
Figura 5.5 Modelo de ataque fraggle.
Modelo de ataque DRDOS

Todas as mquinas que receberam o TCP/SYN com o IP de origem forjado respondem para a mquina vtima com TCP/SYN-ACK e, por sua vez, a mquina vtima responde a todos os pacotes com TCP/RST.
86
Atacante
TCP/SYN
Internet
Figura 5.6 Modelo de ataque DRDOS.
Mquina alvo
TCP SYN+ACK
Portscan (varredura de portas)

Atividade maliciosa de reconhecimento que descobre servios ativos na mquina. 11 Primeira medida para descobrir vulnerabilidades em servios. 11 Passo inicial de muitos ataques. 11 Verificao das respostas com endereo de retorno necessrio permitindo rastrear origem. 11 Detectvel via logs: servidor, firewall e IDS. Preveno. 11 Realiz-lo periodicamente na sua rede. 11 Analisar periodicamente os logs e reportar portscan. 11 Teste sua rede: http://www.pcflank.com/scanner1.htm Em mquinas com o protocolo TCP/IP instalado, servios esto associados a portas, que
variam de 0 a 65535. Cada servio tem ou pode ter uma porta associada. Assim um servidor
Web funciona na porta 80 e um servidor Web seguro (HTTPS) funciona na porta 443. O Portscan o processo de verificao da existncia de algum servio em uma porta. Para fazer isso, o atacante tenta basicamente se conectar (efetuar um three-way-handshake do protocolo TCP/IP) em cada porta. Dependendo do tipo de resposta, sabemos se a porta est aberta (funcionando e atendendo a requisies) ou no. Entre as muitas ferramentas existentes para esse fim, o Nmap (http://nmap.org ) uma das mais completas ferramentas, funcionando em diversos Sistemas Operacionais diferentes. O Nmap possui funes permitindo a identificao do Sistema Operacional alvo, assim como modelo e verso dos servios testados. Conta com diversas tcnicas, explorando ao mximo os protocolos vinculados ao IP. Atualmente possui inclusive a capacidade de scripts, podendo efetuar tarefas automatizadas. Mesmo existindo uma interface grfica chamada ZenMap, o Nmap utilizado em linha de comando continua sendo o mais utilizado.
87
Figura 5.7 Programa de portscan.
Distributed Denial of Service (DDoS)

11 O mal possui poder de organizao ataque distribudo de negao de servio. 11 Ataque coordenado com mltiplas origens atacando, difcil de executar. 11 Caractersticas: 22 IP spoofing, difcil de rastrear. 22 Largura de banda intensiva. 22 Combina: SYN flood, UDP flood, ICMP flood, smurf e fraggle. 22 Ferramentas: Trin00, TFN e TFN2k.
88
N cliente
...
N handler ou master
...
...
...
N agente ou zumbi
...
...
...
Figura 5.8 Ataque DDoS.
Vtima
Entendendo o ataque: 11 Atacante invade mquinas explorando vulnerabilidades, vrus e worms. 11 Programa DDoS instalado nas mquinas (escravas ou zumbis). 11 Controle central direciona todos os escravos para ataque DoS concentrado.
Sites famosos, como Yahoo! e eBay, j sofreram ataques desse tipo. Mais informaes sobre DDoS podem ser encontradas em: 11 http://www.sans.org/dosstep/roadmap.php
11 http://www.cert.org/incident_notes/IN-2000-01.html mquinas infectadas com algum programa malicioso que faz com que um atacante w de remoto seja capaz de ter controle total sobre essas mquinas. Elas se conectam automaticamente a uma rede de Redes de conversao on-line (Internet Relay Chat IRC) por um servidor IRC comprometido. Esse servidor normalmente chamado de Command and Control Server (C&C). Conectando-se nesse servidor, o atacante pode enviar um comando para todas as mquinas que esto naquele canal do servidor, comandando um ataque DDoS contra uma vtima. Recentemente, tem crescido uma atividade relacionada ao DDoS: as botnets. So redes
Mais informaes sobre botnets e IRC: http://www.irc.org/ e http://www. securityfocus.com/ news/9543
89
DDoS (DoS distribudo)

Preveno: 11 Link de internet com adicional de largura de banda, disponibilizado ou em modo hot standby, para operao normal, ou a pedido para o provedor. 11 Trfego separado: um provedor para acesso da internet aos servidores pblicos e outro provedor para acesso da rede interna internet. 11 Conversar com o seu provedor sobre: 22 Defesas DoS implementadas e disponveis. 22 Informaes sobre contatos de emergncia (qual o CSIRT do provedor?). 22 Qual o backbone (provedor) do seu provedor? Preveno: 11 Implementar filtros de trfegos maliciosos. 11 Implementar endereos privados para entrada e sada no firewall (interface externa). 22 Trfego com endereo de origem ou de destino, como broadcast, provavelmente malicioso (quarto octeto igual a 0 ou 255). 11 Endereos de loopback no podem trafegar na rede. 11 Filtrar trfego utilizando regras antispoofing. 11 Implementar poltica rigorosa de antimalware.
Exerccio de fixao 2 e DDoS

O que DDoS (DoS distribudo) e como pode ser prevenido?
Modelo de ataque DDoS em duas camadas

Exemplo simples, onde o cracker ativa todos os zumbis diretamente; esse primeiro modelo foi implementado na ferramenta TFN.
90
Atacante
Mquinas zumbis
Figura 5.9 Modelo de ataque DDoS em duas camadas.
Mquina alvo
Modelo de ataque DDoS em trs camadas

11 Exemplo mais arrojado, onde o cracker ativa todos os zumbis atravs de uma ou mais mquinas de controle denominadas Master. 11 Esse modelo foi implementado na ferramenta TFN2K.
Atacante
Master
Figura 5.10 Modelo de ataque DDoS em trs camadas.
Mquina alvo
Mquinas zumbis
91
Modelo de ataque DDoS/Worm

A evoluo de DDoS como o worm Mydoom; o conceito de verme agregado ao DDoS mostra seu poder.
Observamos que uma ao comum nos desenvolvedores de worm us-los para criar possibilidades de ataques DDoS, tornando os computadores infectados zumbis; outra possibilidade tornar os computadores infectados parte de uma grande botnet.
Vulnerabilidades em implementaes especficas

11 Ping of death (ping da morte). 11 Teardrop. 11 Land.
Ping da morte
11 Tipo de ataque DoS. 11 Consiste no envio de ICMP ping com pacote de dados maior que 64 Kbytes, causando travamento ou reinicializao da mquina Microsoft Windows atacada. 11 Vulnerabilidade muito antiga. 11 Preveno: 22 Upgrade das verses dos Sistemas Operacionais. 22 Firewall iptables Linux:
$iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT
Teardrop
11 Ataque do tipo DoS. 11 Campo fragmentation offset do TCP com valores nulos ou negativos. 11 Afeta Microsoft Windows 3.1, Windows 95, Windows NT, verses do kernel Linux at 2.0.32 e 2.1.63. 11 Causa travamento da mquina atacada. 11 Preveno: 22 Upgrade das verses dos sistemas operacionais. 22 Firewall iptables Linux:
22 $iptables -A INPUT -f -j DROP 22 $iptables -A FORWARD -f -j DROP
Land
11 Ataque do tipo DoS. 11 Envio de pacotes SYN com IP e porta de origem iguais ao IP e porta de destino. 11 Usa tcnica de IP spoofing. 11 Afeta vrios sistemas operacionais.
92
11 Causa travamento da mquina atacada. 11 Preveno: 22 Fazer upgrade das verses dos sistemas operacionais.
93
94
Atividade 5.1 Conceito de varreduras
Primeiros passos para um ataque e para uma auditoria: 1. Acesse http://www.whatsmyip.org/port-scanner/server/ 2. Faa um scan de portas na sua mquina. Quais portas esto no ar?
Utilizando Nmap
Nmap um programa de anlise de recursos de rede e auditoria de segurana capaz de realizar varreduras em redes de computadores a procura de recursos disponveis. 11 Acesse a mquina virtual; 11 Instale o programa Nmap atravs do comando apt-get install nmap; 11 Escaneie a sua mquina com Nmap:
# nmap <ip>
11 Agora faa um scan das mquinas do laboratrio:
# nmap <rede>
11 Verifique vrios nveis de scan e extraia o maior nmero possvel de informaes: http://insecure.org/nmap/man/pt-br/
Atividade 5.2 Simulando ataques com Hping

Antes de iniciar os ataques importante conhecer a ferramenta Hping, um programa em linha de comando de construo e anlise de pacotes com orientao para TCP/IP. Suporta TCP, UDP, ICMP e RAW-IP. Com ele podemos construir pacotes especficos para envio por uma rede. Principais opes: -V -c -d -p -s --rand-source --fast --faster --flood Modo Verbose Contador de pacotes Tamanho do dado Porta de destino Porta de origem Randomizao da origem 10 pacotes por segundo 100 pacotes por segundo Mximo de pacotes possveis por segundo 95
Atividade 5.3 Simulando um ataque DoS Land

Essa atividade deve ser feita em dupla: 11 Ataque do tipo Land um tipo de DoS que envia uma inundao de pacotes com a flag SYN ativada com IP e porta de origem iguais ao IP e porta de destino 11 Na mquina alvo, instale o servio http apache
# apt-get install apache2

11 Abra o Wireshark e tente Sniffar as conexes no segmento do servidor; 11 Na mquina atacante, Instale o pacote hping3, iniciando ataque ao servidor http Linux Apache na porta 80; com o comando
# hping3 -V -c 1000000 -S -w 64 -p 80 -s 80 --flood --rand-source <ip_servidor>

11 Verifique o comportamento dos pacotes com o Wireshark. Principais modos Hping: Modo Nenhum -0 -1 -2 -8 Descrio Modo default TCP Modo RAW-IP Modo ICMP Modo UDP Modo Scan
Simulando um ataque SMURF

Um ataque SMURF um tipo de DoS que usa Direct Broadcast. 11 Na mquina alvo, abra o Wireshark e escute a conexo no segmento do servidor; 11 Na mquina atacante, digite o comando seguinte e verifique o comportamento dos pacotes no Wireshark:
# hping3 -1 --flood -a <ip_broadcast>
96
6
Criptografia I Fundamentos
objetivos
Apresentar os fundamentos bsicos de criptografia e seus princpios bsicos, como funes hash; diferenciar a criptografia simtrica e assimtrica, e as aplicaes de cada uma, e mostrar os principais algoritmos de criptografia.
conceitos
Uso de criptografia em e-mails e arquivos, tipos de criptografia, certificao digital e Public Key Infrastructure (PKI).
Introduo
11 kripts = oculto; grpho = grafia; anlysis = decomposio; logo = estudo. 11 Criptografia: cincia de escrever mensagens cifradas, ocultamente. 11 Criptoanlise: cincia de quebrar cdigos e decifrar mensagens; ataque uma tentativa de criptoanlise. 11 Criptologia: cincia que rene criptografia e criptoanlise. Criptografia a base para muitas aplicaes de segurana: 11 Autenticao segura, comunicao segura. 11 Dinheiro eletrnico, certificados digitais. 11 Identidade digital, assinatura digital. A criptografia garante trs propriedades de segurana:
11 Integridade. 11 Autenticidade. Primrdios: Criptografia de Csar mtodo simples usado no Imprio Romano: 11 Troca cada letra do alfabeto por trs letras depois. 11 Fcil de ser quebrado.
Captulo 6 - Criptografia I Fundamentos
11 Confidencialidade.
97
Normal Cifrado Normal Cifrado
A D E H
B E S V
C F C F
D G O R
E H L O
F I A D
G J
H K S V
I L U X
J M P S
K N E H
L O R U
M P I L
N Q O R
O R R U
P S
Q T D G
R U E H
S V
T W R U
U X E H
V Y D G
W Z E H
X A S V
Y B
Z C
Durante a Segunda Guerra Mundial, outros avanos foram feitos na rea da criptografia, a partir da necessidade que os alemes tinham de enviar mensagens. Na poca, os aliados desenvolveram mquinas para quebrar a criptografia dos alemes. Posteriormente, foi formalizada a criptoanlise, cincia de quebrar cdigos e decifrar informao sem conhecer a chave. Hoje, a criptografia uma cincia bastante estudada, e seus mtodos vo sendo melhorados medida que a computao avana e processadores mais rpidos so criados.
Figura 6.1 Criptografia de Csar.
Exerccio de nivelamento 1 e Fundamentos de criptografia

Como a sua organizao utiliza criptografia?
Criptografia algoritmos e chaves

Elementos bsicos. 11 Algoritmo: funo matemtica para cifrar e decifrar. 11 Um bom algoritmo conhecido publicamente, com segurana testada. 11 Chave: valor secreto usado para realizar as operaes. 11 Possui tamanho em bits; quanto maior, mais segura (exemplo: chave de 128 bits). 11 Ataque por fora bruta: testa todas as combinaes possveis para a chave. 11 Quanto maior a chave, mais dificuldade para um ataque por fora bruta. 1995 Custo Hardware Comprimento til da chave secreta 40 bits US$ 100 mil US$ 1 milho US$ 10 milhes
Tabela 6.1 Custo de plataforma x tempo mdio estimados.
56 bits 35 h 3,5 h 21 m 2 min 13 seg 1 seg 0.1 seg 0.01 seg 1mseg
64 bits 1 ano 37 dias 4 dias 9hs 1 hs 5.4 seg 32 seg 3 seg 0.3 seg
80 bits 7x1014 anos 7x1013 anos 700 anos 70 anos 7 anos 245 dias 24 dias 2.4 dias 6 hs
112 bits 1014 anos 1013 anos 1012 anos 1011 anos 1010 anos 109 anos 108 anos 107 anos 10 6 anos
128 bits 1019 anos 1018 anos 1017 anos 1016 anos 1015 anos 1014 anos 1013 anos 1012 anos 1011 anos
2 seg 0.2 seg 0.02 seg 2mseg 0.2 mseg 0.02 mseg 2 m seg 0.2 m seg 0.02 m seg
US$ 100 milhes US$ 1 bilho US$ 10 bilhes US$ 100 bilhes US$ 1 trilho US$ 10 trilhes
98
Robusto Significa que no conhecido nenhum mtodo de ataque sobre criptograma.
Quebra por fora bruta de chaves de algoritmos simtricos robustos (106 cifragens/seg por CPU)
Descobrindo senhas
Alguns algoritmos criptogrficos so unidirecionais, significando que aps cifrado o texto ou a mensagem, impossvel revert-los ao estado original. Por exemplo: o texto 123456, passado pelo algoritmo MD5, retorna o texto e10adc3949ba59abbe56e057f20f883e. Mesmo tendo acesso ao texto cifrado e conhecendo o algoritmo, no conseguimos, a partir do texto e10adc3949ba59abbe56e057f20f883e, chegar novamente ao texto original (123456). Como descobrir o texto original? Como conhecemos o algoritmo utilizado (MD5), podemos testar vrias possibilidades de texto at encontrar alguma que seja igual ao texto cifrado.
Original 123450 123451 123452 123453 123454 123455 123456
MD5 149787a6b7986f31b3dcc0e4e857cd2a 078563f337ec6d6fedf131ddc857db19 7692dcdc19e41e66c6ae2de54a696b25 0f3e84acb19dff22f695f31dbe3e972a 268e27056a3e52cf3755d193cbeb0594 00c66aaf5f2c3f49946f15c1ad2ea0d3 e10adc3949ba59abbe56e057f20f883e
Valor procurado e10adc3949ba59abbe56e057f20f883e e10adc3949ba59abbe56e057f20f883e e10adc3949ba59abbe56e057f20f883e e10adc3949ba59abbe56e057f20f883e e10adc3949ba59abbe56e057f20f883e e10adc3949ba59abbe56e057f20f883e e10adc3949ba59abbe56e057f20f883e
Igual ? No No No No No No SIM
Tabela 6.2 Ataque de fora bruta.
A tcnica apresentada conhecida como ataque de fora bruta, onde todas as possibilidades de um conjunto (letras ou nmeros ou combinados) so testadas e comparadas a um valor j conhecido.
Dificuldades para quebra de chave por fora bruta

Para descobrir senhas por fora bruta necessrio um nmero n!n!n!...nx! de tentativas para esgotar as possibilidades, sendo n o nmero de caracteres e n1, n2...nx a quantidade de caracteres possveis para a chave. Podemos afirmar tambmque quanto menos com plexa a senha, mais rpido a fora bruta ir alcan-la. Outro fato que em mdia (algumas vezes acima, outras vezes abaixo, mas na mdia) a fora bruta alcana seu objetivo em 50% das iteraes necessrias para esgotar o todo. Sabendo que o tamanho da chave medido pela quantidade de bits e que quanto mais bits, mais complexa a senha, e que quanto mais rpido os computadores ficam, mais de chave de criptografia? Uma chave de 56 bits atinge 50% na fora bruta em uma mdia de 1 minuto. Uma chave de 128 bits atinge 1% na fora bruta em 146 milhes de anos, e 50% em 8 trilhes de anos. Se cada tomo do universo (2 x 10E300) fosse um computador, e se cada um deles pudesse verificar 2 x 10E300 chaves por segundo, levaria cerca de 2 x 10E162 milnios para se chegar a 1% de uma chave de 512 bits (64 bytes). De acordo com a teoria do Big Bang, o tempo da criao do universo at hoje no passa de 2 x 10E24 milnios, ou seja, uma chave dessas no pode ser quebrada to facilmente. claro que pode ser vendida, roubada, extorquida... Observao: os clculos foram retirados do livro Criptografia e Segurana O Guia Oficial da RSA, de Steve Burnett e Stephen Paine. 99
iteraes so feitas por segundo para algoritmo de fora bruta, qual o tamanho perfeito
11 A criptografia transforma premissas de confiana em mecanismos de proteo. 22 Controle de acesso. 33 Transforma premissa de posse de segredo em identificao do agente em processo digital. 22 Cifragem. 33 Transfere sigilo de uma chave para sigilo da informao em mensagem por ela cifrada. 22 Integridade. 33 Transforma premissa de sigilo em verificao de integridade de origem ou contedo. 22 Certificao. 33 Transforma premissas de sigilo e integridade em autenticao recursiva com verificao aberta. 11 Diviso dos algoritmos de criptografia: 22 Algoritmos simtricos. 22 Algoritmos assimtricos. 22 Funes hash one-way. 11 O que a criptografia no protege: 22 Criptografia no impede um atacante de apagar todos os seus dados. 22 Um atacante pode comprometer seu programa de criptografia, modificando o programa para usar uma chave diferente da que voc gerou, ou talvez gravar todas as chaves de cifragem em um arquivo para anlise posterior. 22 Um atacante pode encontrar uma forma fcil de decifrar as mensagens conforme o algoritmo que voc esteja usando. 22 Um atacante pode acessar seus arquivos antes de voc cifr-lo ou aps a decifr-lo. 11 Por tudo isso, a criptografia deve fazer parte da sua estratgia de segurana, mas no deve ser a substituta de outras tcnicas de segurana.
Tipos de criptografia
11 Criptografia simtrica: 22 Cifragem por blocos: 33 ECB 33 CBC 33 CFB
33 OFB 22 Principais algoritmos de cifragem por blocos: 33 DES 33 3DES 33 RC-4 33 IDEA 33 AES
100
11 Algoritmo para troca de chaves: Diffie-Hellman. 11 Criptografia assimtrica: 22 Funes de hash. 22 Assinatura digital. Criptografia a cincia de ler e escrever mensagens cifradas. Muitas aplicaes de segu rana usam a criptografia como base. Para existir criptografia necessrio que exista um algoritmo, uma ou mais chaves e a informao a ser cifrada ou decifrada. Existem, atualmente, dois tipos de criptografia: 11 Criptografia assimtrica. 22 Duas chaves distintas. 33 Uma para cifrar. 33 Uma para decifrar. 11 Criptografia simtrica. 22 Mesma chave usada para cifrar e decifrar. Muitas aplicaes podem ser viabilizadas atravs de criptografia, como autenticao, assinaturas digitais, dinheiro digital etc.
Criptografia simtrica
11 Usa mesma chave e algoritmo para cifrar e decifrar. 11 A chave precisa ser pr-combinada entre os participantes. 11 Out ofband: chave enviada por fora da rede, via disquete ou CD-ROM.
Cifragem
Figura 6.2 Criptografia simtrica.
Internet
Decifragem Mensagem
Mensagem Chave simtrica Chave simtrica
11 Transmisso de chave via rede: 22 Algoritmo Diffie-Hellman para troca de chaves. 22 Utilizao de criptografia assimtrica. 11 Vantagens: 22 Velocidade e algoritmos rpidos. 22 Facilidade de implementao em hardware. 22 Chaves pequenas e simples geram cifradores robustos. 11 Desvantagens: 22 Distribuio das chaves dificulta gerenciamento. 22 No permite autenticao e no repdio do remetente. 11 Mtodos de crifragem: 22 Cifragem por fluxo (streamcipher). 22 Cifragem em blocos (block cipher), mais utilizada.
101
11 Cifragem por blocos, modos de operao: 22 Eletronic Code Book (ECB). 22 Cipher Block Chaining (CBC). 22 Cipher Feed Back (CFB). 22 Output Feed Back (OFB). 11 Principais algoritmos de cifragem por blocos: 22 DES (inseguro), 3DES, RC-4, IDEA e AES.
Eletronic Code Book

11 Mtodo mais simples, cifra bloco de modo independente usando a mesma chave. 11 No randmico; mensagem cifrada obtida por concatenao dos blocos cifrados. Texto claro Texto claro Texto claro
Chave
Cifragem da Cifra de bloco
Chave
Chave
Texto cifrado
Texto cifrado
Texto cifrado Imagem original Texto cifrado
Cifragem modo Eletronic Codebook - ECB

Texto cifrado Texto cifrado
Chave
Chave
Chave
Texto claro
Texto claro
Texto claro Imagem com ECB

Figura 6.3 Eletronic Code Book ECB (Livro de Cdigo Eletrnico).
Decifrao modo Eletronic Codebiik - ECB

O Electronic Code Book (ECB) cifra cada bloco de 64 bits de forma independente, usando a mesma chave. O mecanismo ECB no considerado muito seguro, pois um intruso pode perceber quando uma mensagem muda pela mudana no bloco. No ECB, uma mesma mensagem cifrada vrias vezes vai gerar sempre o mesmo bloco.
Desvantagens: 11 Blocos iguais de textos claros produzem blocos cifrados iguais; 11 No esconde padro de dados; 11 Nada acrescenta confidencialidade proporcionada pela cifra.
102
Cipher Block Chaining

Cipher Block Chaining CBC (Corrente de Blocos): 11 Modo de operao mais usado. 11 Operao XOR entre novo bloco de texto claro com bloco cifrado obtido na etapa anterior. 11 Bloco cifrado depende de todos os blocos anteriores de texto claro (feedback). Texto claro
Vetor de Inicializao (VI)
Texto claro
Texto claro
Chave
Chave
Chave
Texto cifrado
Texto cifrado
Texto cifrado
Imagem original
Cifragem modo Cipher-block Chaining - CBC

Texto cifrado Texto cifrado Texto cifrado
Chave
Decifrao da Cifra de bloco
Chave
Chave
Imagem com CBC ou CFB ou OFB Texto claro Texto claro Texto claro
Decifrao modo Cipher-block Chaining - CBC

Figura 6.4 Cipher Block Chaining CBC (Corrente de blocos).
Nesse modo, cada bloco depende do resultado do bloco anterior. Atravs de um mtodo chamado feedback, o bloco anterior utilizado no processo de cifragem do bloco seguinte. Um sistema que usa CBC deve garantir que todos os blocos cheguem corretamente, pois um erro em um bloco se propagar para todos os outros. Sua desvantagem ser sequencial, que no pode ser usado em paralelo e tem maior
tempo de processamento.
Cipher Feed Back

Cipher Feed Back CFB (Cifra Realimentada): 11 Cifra dados de qualquer tamanho, independentemente do bloco. 11 til para cifrar informaes que devem ser imediatamente transmitidas. 11 Difere do OFB porque o texto cifrado realimenta o mtodo em vez da sada da cifra de bloco.
103
Chave Texto claro
Chave Texto claro
Chave Texto claro
Texto cifrado
Texto cifrado
Texto cifrado
Cifragem modo Cipher Feedback - CFB

Chave
Chave
Chave
Texto cifrado
Texto cifrado
Texto cifrado
Texto claro
Texto claro
Texto claro
Decifrao modo Cipher Feedback - CFB

O CFB capaz de cifrar dados de qualquer tamanho, independentemente do bloco. til para cifrar pequenas quantidades de informao ou informaes que devem ser imediatamente transmitidas, independentemente de completar um bloco ou no.
Figura 6.5 Cipher Feed Back (CFB) Cifra Realimentada.
Output Feedback
Output Feedback OFB (Sada Realimentada): 11 Transforma cifra de blocos em gerador de nmeros pseudoaleatrios. 11 Gera bloco de fluxo de chave cifrando bloco de fluxo de chave anterior.
104
Chave Texto claro
Chave Texto claro
Chave Texto claro
Texto cifrado
Texto cifrado
Texto cifrado
Cifragem modo Output Feedback - OFC

Vetor de Inicializao
Chave
Chave
Chave
Texto cifrado
Figura 6.6 Output Feedback (OFB) Sada Realimentada.
Texto cifrado
Texto cifrado
Texto claro
Texto claro
Texto claro
Decifrao modo Output Feedback - OFB

Parecido com o CBC, porm no existe dependncia entre os blocos. Mltiplas cifragens da mesma mensagem produzem mensagens diferentes, ainda que utilizando a mesma chave.
Data Encryption Standard (DES)

11 Durante muitos anos foi o algoritmo padro usado para criptografia simtrica. 11 Criado pela IBM em 1977 com tamanho de chave pequeno (56 bits randmicos e 8 bits de paridade). 11 Quebrado por fora bruta em desafio lanado pelo National Institute of Standards and Technology (NIST), em 1997.
105
64-bit plaintext
64-bit key
.............
Initial Permutation
.............
Permuted Choice 1
Round 1
K1
Permuted Choice 2
Left circular shift
Round 2
K2
Permuted Choice 2
Left circular shift
Round 16
K16
Permuted Choice 2
Left circular shift
32-bit Swap
Inverse Initial Permutation
.............
64-bit ciphertext
Opera em blocos de 64 bits. Em sua forma padro, usa uma chave de 64 bits, na qual 56 bits so randmicos e os oito bits restantes so informaes de paridade, usadas para verificar a integridade da chave. O DES pode ser usado em qualquer um dos quatro modos descritos anteriormente (ECB, CBC, CFB e OFB). Existe uma variao do DES chamada de 40-bit DES. Essa variao foi criada pelo governo americano para permitir o uso do algoritmo fora dos Estados Unidos. Na poca, eles no permitiam a exportao de qualquer sistema de criptografia com mais de 40 bits de chave. Ele era o prprio DES, sendo que 24 bits da chave eram fixos (40 + 24 = 64 bits). Algoritmo usado: 11 Mensagem de 64 bits dividida em duas partes de 32 bits. 11 Chave de 56 bits usada para gerar 16 chaves de 18 bits.
Figura 6.7 Data Encryption Standard (DES).
A especificao do DES pode ser encontrada em: http://www.itl.nist.gov/ fipspubs/fip46-2.htm
11 O algoritmo aplicado sucessivamente 16 vezes atravs das chaves geradas.
3DES, RC-4, IDEA e AES

3DES (Triple DES). 11 DES aplicado em trs ciframentos sucessivos, usa verso com duas ou trs chaves diferentes. Seguro, porm lento.
106
RC-4 (RivestCipher4). 11 Criado por Ron Rivest (do MIT), propriedade da RSA Data Security, usa chave de 128 bits, funciona em fluxo contnuo. Quatro vezes mais rpido que o DES. International Data Encryption Algorithm (IDEA). 11 Algoritmo patenteado, usa chave de 128 bits; mais rpido que o DES, usado no mercado financeiro e no PGP.
v
Assista a um vdeo sobre o Rijndael: http:// www.conxx.net/ rijndael_anim_conxx. html
Advanced Encryption Standard (AES)

11 Aprovado pelo Federal Information Processing Standards (FIPS) para ser adotado pelo NIST; algoritmo usado: Rijndael. 11 Substituto do DES, livre de royalties, tamanho de bloco e de chave varivel; fcil implementao. O AES foi o resultado de uma seleo de diversos algoritmos, candidatos a se tornarem um padro para criptografia em entidades governamentais nos Estados Unidos. Foi aprovado em novembro de 2001. O algoritmo AES capaz de utilizar chaves criptogrficas de 128, 192 e 256 bits para cifrar e decifrar blocos de 128 bits. Junto com o AES, foram criados dois novos modos de cifragem: o CCM e o CTR. Informaes sobre o AES e os novos modos de cifragem podem ser encontradas em: 11 http://csrc.nist.gov/CryptoToolkit 11 http://csrc.nist.gov/publications/nistpubs/800-38C/SP800-38C.pdf 11 http://csrc.nist.gov/publications/nistpubs/800-38a/sp800-38a.pdf
Algoritmo Diffie-Hellman
11 Primeiro uso do conceito de chave pblica/chave privada proposto por Diffie e Hellman em 1976. 11 Serve para a troca de chaves simtricas em meio inseguro sem conhecimento prvio de segredo. 11 Usado para distribuio de chaves, mas no para cifrar ou decifrar mensagens.
w Seu nome faz referncia aos autores do algoritmo. Atualmente, existem ataques contra
Leia mais sobre o algoritmo em http:// www.rsa.com/rsalabs/ node.asp?id=2248
O algoritmo foi criado em 1976, em um artigo chamado New Directions in Cryptography.
o Algoritmo Diffie-Hellman. Existem propostas de verses que usam certificados digitais para reduzir a possibilidade de ataques, mas o algoritmo ainda muito usado para troca de chaves simtricas.
107
Figura 6.8 Whitfield Diffie e Martin Hellman, criadores do algoritmo. Fonte: http:// commons. wikimedia.org
Criptografia assimtrica
Tambm chamada de criptografia de chave pblica e chave privada. Usa par de chaves: 11 Chave pblica: distribuda livremente. 11 Chave privada: guardada pelo usurio. Propriedades importantes: 11 Mensagem cifrada com chave pblica s decifrada com chave privada do par. 11 Mensagem cifrada com chave privada s decifrada com chave pblica do par. 11 Derivar chave privada a partir da chave pblica computacionalmente invivel. O algoritmo mais conhecido de chave pblica o algoritmo RSA, que se tornou pblico em
q
w
Mais informaes sobre o RSA podem ser obtidas no padro Public Key Cryptography Standard#1 (PKCS #1), encontrado em: http://www.rsa. com/rsalabs/node. asp?id=2125
6 de setembro de 2000. Foi criado por Ron Rivest, Adi Shamir e Leonard Adelman (a sigla RSA foi formada a partir da letra inicial do sobrenome de seus criadores). No RSA, a segurana do sistema baseia-se na dificuldade da fatorao de nmeros grandes. No El Gamal, a segurana do sistema baseia-se na dificuldade do clculo de logaritmos discretos em um corpo finito. O Digital Signature Algorithm (DSA), unicamente destinado a assinaturas digitais, foi proposto pelo NIST em agosto de 1991, para utilizao no seu padro. O Digital Signature Standard (DSS) foi adotado como padro no final de dezembro de 1994. Trata-se de uma variao dos algoritmos de assinatura El Gamal e Schnorr. Foi inventado pela NSA e patenteado pelo governo americano. O DSS mais rpido na gerao de chaves, comparado ao RSA; o RSA, porm, mais rpido na verificao de assinaturas. Algoritmos mais usados: 11 RSA; 11 DSA; 11 El Gamal; 11 DSS. 11 Alice e Bob criam par de chaves individuais. 11 Alice e Bob trocam chaves pblicas. 11 Alice escreve mensagem. 11 Alice usa chave pblica de Bob para cifrar. 11 Alice envia resultado para Bob.
11 Bob usa sua chave privada para decifrar. 11 Bob escreve resposta, cifra com chave pblica de Alice e envia para Alice. 11 Alice usa sua chave privada para decifrar a resposta.
108
Alice
Bob
2. Transferncia das chaves pblicas
1. Gerao do par de chaves Chave pblica Bob
1. Gerao do par de chaves Chave privada Bob
3. Cifrar Mensagem original Chave privada Alice
4. Decifrar Mensagem original Chave pblica Alice
Texto cifrado
6. Decifrar
Figura 6.9 Transferncia de chaves.
5. Cifrar Resposta de Bob
Resposta de Bob
Texto cifrado
Para pensar
Esse tipo de comunicao levanta uma questo bsica: como garantir que a chave pblica de Alice realmente pertence Alice, e no a uma pessoa se fazendo passar por Alice? Pelo esquema anterior, qualquer pessoa poderia gerar um par de chaves como se fosse Alice e distribuir uma chave pblica falsa. Nesse caso, precisamos de um mecanismo que nos permita atestar a autenticidade de uma chave pblica. Esse mecanismo chama-se certificao digital e ser examinado mais adiante.
Funes de hash
11 A partir de entrada de tamanho varivel, produz sada de tamanho fixo. 11 A sada chamada de hash (digest), impresso digital da mensagem. 11 Propriedades de um algoritmo de hash:
q
22 Consistncia: mesma entrada produz sempre a mesma sada. 22 Randmico: a sada no permite descobrir informaes sobre a mensagem original. 22 nico: quase impossvel duas mensagens produzirem hashes iguais. 22 One-way (mo nica): a partir do hash impossvel descobrir a mensagem original. O Message Digest 4 (MD4) e o MD5 foram criados por Ron Rivest, no MIT. O Secure Hash Algorithm (SHA) foi desenvolvido pelo NIST. O MD5 processa a entrada em blocos de 512 e produz uma sada de 128 bits. O SHA processa a entrada em blocos de 512 e produz uma sada de 160 bits. O SHA necessita de um processamento mais intensivo e pode rodar um pouco mais lentamente que o MD5. Em 1995, o SHA original foi atualizado, por problemas de segurana, e foi proposto o SHA-1 (o anterior costuma ser chamado de SHA-0 para
109
evitar confuso). Posteriormente, foram criadas mais quatro variaes: SHA-224, SHA-256, SHA-384 e SHA-512. Essas ltimas variaes so eventualmente chamadas de SHA-2. Pesquisadores chineses anunciaram a descoberta de uma srie de colises (mensagens diferentes produzindo o mesmo hash) nos algoritmos MD4 e MD5. Essas descobertas foram anunciadas em uma conferncia sobre criptografia no ano de 2004 e causaram grande impacto, uma vez que boa parte dos sistemas em produo utilizam esses algoritmos. Mais informaes sobre as colises podem ser encontradas nos seguintes artigos: 11 http://eprint.iacr.org/2004/199.pdf 11 http://eprint.iacr.org/2004/146.ps Algoritmos: 11 Message Digest-4 (MD4): sada de 128 bits. 11 Message Digest-5 (MD5): sada de 128 bits. 11 SecureHashAlgoritm (SHA): sada de 160 bits (um pouco mais lento). Calcule seu hash: 11 http://www.yellowpipe.com/yis/tools/encrypter/index.php Usado para garantir integridade da mensagem transferida. 11 Alice escreve uma mensagem. 11 O hash calculado para representar a mensagem. 11 A mensagem original enviada para Bob junto com o hash. 11 Bob separa a mensagem original e calcula o hash localmente. 11 Bob compara os hashes. 11 Caso os hashes sejam iguais, a mensagem no foi alterada.
Exerccio de fixao 1 e Criptografia assimtrica

Quais as principais vantagens da criptografia assimtrica sobre a simtrica?
Assinatura digital
Hash da mensagem cifrado com chave privada: garante a identidade do remetente e a
integridade da mensagem ou do documento.
110
Esta uma mensagem que necessita de integridade e autenticao
Mensagem original
Esta uma mensagem que necessita de integridade e autenticao
Assinatura
RSA MD5 Funo HASH 006FBBCE95 006FBBCE95 006FBBCE95 MD5
Chave pblica
Message Digest Criptograa
Chave privada
RSA
So iguais? Assinatura
Figura 6.10 Assinatura digital.
As assinaturas digitais no garantem confidencialidade e sofrem o mesmo problema de autenticidade das chaves pblicas, como foi visto na criptografia assimtrica. Para resolver esse problema, necessrio o uso de certificados digitais. 11 Bob: escreve mensagem, calcula hash da mensagem, cifra hash com sua chave privada (assinatura digital), envia assinatura e mensagem para Alice. 11 Alice: separa assinatura da mensagem original, utiliza chave pblica de Bob para decifrar assinatura, calcula hash local da mensagem original, utilizando a mesma funo usada por Bob. Caso os dois hashes sejam iguais, a mensagem foi enviada por alguma pessoa utilizando chave privada de Bob, e no foi modificada na transmisso.
Certificao digital
Como confiar em uma chave pblica? A chave pblica de Alice realmente de Alice? Carteira de identidade (Secretaria de Segurana Pblica) assinada por delegado de polcia, tem f pblica. 11 Indivduo g chave pblica. 11 Carteira de identidade g certificado digital. 11 Secretaria de Segurana g autoridade certificadora ou Certification Authoritie (CA).
Um certificado, para ser considerado vlido, deve ser assinado por uma Certification Authoritie (CA). CAs so entidades confiveis que emitem e atestam certificados, anlogas aos cart rios, que verificam assinaturas normais. Um ponto chave da certificao digital o fato de a por meios que impeam fraudes. Um exemplo prtico de distribuio de chaves pblicas de CAs o webbrowser, que j vem com as chaves pr-instaladas no prprio programa. Uma entidade certificadora responsvel por criar, distribuir e invalidar certificados. A invalidao de certificados feita atravs de listas especiais chamadas de Certificate Revogation Lists (CRLs). Apesar de todo certificado ter uma validade, em certos casos necessrio expirar um certificado antes do tempo. Essa expirao feita atravs das CRLs.
chave pblica da CA ser amplamente distribuda (necessria para verificao da assinatura)
Certificado digital
11 Contm chave pblica do usurio e dados informando a sua identidade; 11 uma mensagem emitida e assinada pela CA, que valida a chave pblica do usurio;
111
11 A chave pblica da CA amplamente distribuda. O certificado segue o padro X.509 do ITU-T, contendo: 11 Verso do X.509 e nmero serial do certificado; 11 Informao do algoritmo gerador do certificado; 11 Identificao do gerador do certificado; 11 Datas de validade; 11 Informaes sobre o algoritmo assimtrico da chave pblica do usurio; 11 Assinatura digital da CA.
Public Key Infrastructure (PKI)

O certificado digital deve ser solicitado a uma AC ou a uma AR. 11 AC: Autoridade Certificadora. 11 AR: Autoridade de Registro, solicita certificado a uma AC. PKI = ICP (Infraestrutura de Chaves Pblicas). 11 Hierarquia: AC raiz autoriza operaes de outras ACs.
PKI (ICP Brasil) Ac raiz

ICP Brasil Http://www.icpbrasil.gov.br
AC
Presidncia da Repblica Http://www.planalto.gov.br
AC
Serpro Http://www.serpro.gov.br
Certicado
Certicado
AC
Serasa Http://www.serasa.com.br
AC
Caixa Econmica Federal Http://www.caixa.gov.br
Certicado
Certicado
AC
Receita Federal Http://www.receita.fazenda.gov.br
AC
Sertisign Http://www.sertisign.com.br
Certicado
Certicado
Figura 6.11 Public Key Infrastructure (PKI).
112
O conjunto de hardware e software pessoal, polticas e procedimentos necessrios para criar uma infraestrutura de certificao digital chama-se Public Key Infrastructure (PKI) ou Infraestrutura de Chaves Pblicas (ICP).
w Caixa Econmica Federal, Serasa e Certisign. Para que tenha valor legal diante do governo
No Brasil, a ICP Brasil controla seis ACs: Presidncia da Repblica, Receita Federal, Serpro,
Atualmente, o Governo Federal possui uma infraestrutura nacional de chaves pblicas chamada de ICP Brasil, que pode ser lida no site: http://www.iti.gov. br/icp-brasil/estrutura
brasileiro, uma dessas instituies deve prover o certificado. Para que isso seja feito, cada instituio pode ter requisitos e custos diferentes para a emisso, uma vez que cada entidade pode emitir certificados para finalidades distintas. Qualquer instituio pode criar uma ICP, independente de seu porte. Se uma empresa criou uma poltica de uso de certificados digitais para a troca de informaes entre a matriz e suas filiais, no vai ser necessrio pedir tais certificados a uma AC controlada pela ICP Brasil. A prpria empresa pode criar sua ICP e fazer com que um departamento das filiais atue como AC ou AR, solicitando ou emitindo certificados para seus funcionrios.
Exemplo completo
11 Como garantir confidencialidade, integridade e autenticidade (no repdio)? 11 Combinando tecnologias: criptografia simtrica, assimtrica, hash e certificado digital. 1. Alice e Bob geram seus respectivos pares de chaves. 2. Alice e Bob obtm seus certificados digitais em uma CA. 3. Alice e Bob trocam certificados. 4. Alice: 22 Prepara chave simtrica randmica e calcula hash. 22 Cifra hash com chave privada (assina). 22 Cifra chave simtrica e assinatura com chave pblica de Bob e transmite. 5. Bob: 22 Decifra o conjunto recebido, extrai chave simtrica e assinatura. 22 Decifra a assinatura de Alice, extrai hash transmitido por Alice. 22 Calcula o hash local da chave simtrica.
22 Hashes so iguais? Caso sejam, a chave simtrica foi enviada por Alice e no foi alterada. 6. Alice e Bob: 22 Realizam conversa cifrada utilizando chave simtrica.
22 Para garantir integridade, cada mensagem cifrada junto com hash.
113
114
Atividade 6.1 Conhecendo mais sobre certificao digital
1. Assista o vdeo do Instituto Nacional de Tecnologia da Informao (ITI) em http://www.youtube.com/watch?v=YEy2uKG2nB8 e conhea mais sobre a certificao digital e sobre a ICP-Brasil. Descreva em poucas palavras o que voc entende por certificao digital.
Atividade 6.2 Uso de criptografia em e-mails

1. Tenha certeza de ter instalado os pacotes Firefox e Thunderbird. 2. Instale o pacote GnuPG, programa gratuito de criptografia: 11 http://www.gnupg.org/download/ 11 Hash do pacote: b806e8789c93dc6d08b129170d6beb9e1a5ae68f 3. Certifique-se de que o pacote est ntegro. 4. Instale o plugin enigmail no Thunderbird: http://www.enigmail.net/download/index.php 5. Gere seu par de chaves e compartilhe com seus colegas.
Atividade 6.3 Uso de criptografia em arquivos

1. Cifre um arquivo usando sua chave pblica. 2. Pea ao seu colega para tentar decifr-lo. 3. Decifre o arquivo com sua chave privada. 4. Cifre um arquivo usando criptografia simtrica. 5. Envie a chave privada utilizada para seu colega e pea para ele decifrar o arquivo.
115
Atividade 6.4 Criando um continer seguro

1. Baixe o programa truecrypt em http://www.truecrypt.org/downloads 2. Rode o instalador.
3. O truecrypt pode criptografar uma unidade inteira ou apenas criar um continer seguro. Com isso podemos salvar arquivos em um espao de disco criptografado e transport-lo para outro computador com bastante convenincia. Vamos usar a segunda opo: clique em Create volume:
4. Selecione um local e um nome para o continer. 5. Selecione o tipo de criptografia. Para esse exemplo selecione AES e clique em Next. Na prxima tela, informe 50MB para o tamanho do volume, e na tela seguinte informe uma senha para o arquivo. Na tela seguinte, escolha o formato da partio (nesse exemplo foi
utilizado FAT). Observe que o programa pede para o usurio mover o cursor do mouse para gerar uma chave com um nvel de criptografia maior para as chaves geradas.
116
6. Pronto. Para usar o continer, clique em uma letra de unidade e selecione o arquivo criado.
117
118
7
Criptografia II Aplicaes
objetivos
Apresentar aplicaes prticas de criptografia; contextualizar os conceitos bsicos de criptografia com as aplicaes; mostrar como navegar de forma segura; explicar o funcionamento de assinaturas digitais, criptografia de servidor www (SSL/TLS) e VPNs criptografadas; indicar programas para melhorar a segurana de um computador pessoal.
conceitos
SSH, transferncia de arquivos e gerenciamento de senhas.
Introduo
A criptografia a base para vrias aplicaes: 11 Autenticao e autorizao. 11 Transferncia de informao confidencial. 11 Assinatura digital. 11 Votao eletrnica. 11 Dinheiro eletrnico. 11 Privacidade e autenticao no acesso a servidores (SSL/TLS). 11 Acesso remoto criptografado e autenticado (VPN). A criptografia permite a existncia de uma srie de aplicaes, como autenticao, assina -
turas digitais, transferncia de informao confidencial, dinheiro eletrnico, acesso remoto

VPN Rede Privada Virtual, uma rede de comunicaes privada normalmente utilizada por uma empresa ou um conjunto de empresas e/ou instituies, construda em cima de uma rede de comunicaes pblica (como por exemplo, a internet). O trfego de dados levado pela rede pblica utilizando protocolos padro.
criptografado ( VPN) e privacidade de dados em servidores (SSL). Uma assinatura digital vduo que assinou o documento. O SSL permite o acesso a servidores www com segurana e garantia de que os dados no foram alterados nem vistos no caminho. As redes virtuais privadas (VPNs) criam um canal seguro para acesso a redes privadas de empresas, usando a internet como meio de transmisso. As VPNs reduzem custos em relao a linhas discadas e linhas dedicadas.
Captulo 7 - Criptografia II Aplicaes
atesta que um documento eletrnico no foi alterado e garante a autenticidade do indi-
119
Exerccio de nivelamento 1 e Criptografia

Quais as vantagens da sua organizao utilizar a criptografia?
Assinatura digital
Uso bsico da criptografia para: 11 Atestar identidade do assinante do documento (autenticao). 11 Garantir que o documento no foi alterado (integridade). A robustez depende de duas propriedades bsicas: 11 Funo hash randmica o suficiente para no provocar coliso. 11 Certificao digital para garantir autenticidade da chave pblica. Algoritmos mais usados: 11 RSA e DSS.
Blind signature (assinatura cega)

Assinatura digital onde o assinante no conhece o contedo da mensagem assinada. Usada em: 11 Voto eletrnico. 11 Dinheiro digital. Entendendo o processo: 11 Alice multiplica mensagem por fator randmico (blinding factor), tornando a mensagem ilegvel. 11 Alice envia mensagem resultante para Bob. 11 Bob assina digitalmente a mensagem e retorna para Alice. 11 Alice divide a mensagem pelo fator randmico, retornando a mensagem original, agora assinada por Bob. Podemos imaginar o processo de assinatura cega da seguinte forma: colocamos a mensagem em um envelope, envolta em uma folha de papel carbono. Ningum pode ler a
mensagem atravs do envelope. A assinatura, ento, feita na parte externa do envelope e transmitida para a mensagem atravs do papel carbono. Quando a mensagem retirada do envelope, ela est assinada e o assinante no sabe o que foi assinado.
A funo de assinatura e o fator randmico devem ser comutativos. Propriedades: 11 A assinatura, depois de dividida pelo fator randmico, a mensagem assinada normalmente; 11 No se pode provar o uso de protocolo de assinatura cega em uma mensagem assinada digitalmente.
120
Votao eletrnica
O protocolo ideal para uma eleio segura tem seis requisitos: 11 Somente eleitor autorizado pode votar. 11 Nenhum eleitor pode votar mais de uma vez. 11 Ningum pode determinar o voto de ningum. 11 Ningum pode duplicar voto. 11 Ningum pode alterar o voto de algum sem ser descoberto. 11 Todo eleitor tem de ter certeza de que seu voto entrou na contagem final.
Figura 7.1 Urna eletrnica.
O sistema de eleio se baseia em trs caractersticas fundamentais: 11 Votao, atravs da qual os membros da populao reconhecidos como eleitores podem expressar, anonimamente, sua vontade; 11 Apurao, que permite a contabilizao dos votos emitidos por esses eleitores; 11 Fiscalizao, que visa garantir a idoneidade do processo, de modo a assegurar que o resultado da apurao dos votos seja realmente a expresso da vontade dos eleitores. Um sistema eletrnico de eleio deveria ser tal que assegurasse essas trs caractersticas fundamentais, de preferncia melhorando cada um de seus aspectos, jamais sendo menos seguro e confivel do que um sistema no eletrnico. Entendendo o processo com assinatura cega: Eleitor: 11 Gera n mensagens; cada mensagem contm voto vlido para cada resultado possvel e nmero serial de identificao randmico. 11 Cega as mensagens, enviando-as para a Central de Votao (CV) junto com fator de cegueira.
Central de Votao (CV): 11 Abre n 1 mensagens, checa mensagens e eleitor, grava eleitor. 11 Assina todas as mensagens e envia-as de volta para eleitor. Eleitor: 11 Retira fator de cegueira; cada voto est assinado, mas no cifrado. 11 Escolhe seu voto, cifra-o com chave pblica da CV e envia voto para a CV. Central de votao: 11 Decifra, checa, grava nmero serial e computa o voto. 11 Anuncia resultado da eleio com voto associado ao nmero serial.
121
Dinheiro eletrnico
O dinheiro tem algumas caractersticas bsicas: 11 Aceitao universal: forma mais universalmente aceita. 11 Pagamento garantido: recebimento j garante pagamento efetuado. 11 Sem custo de transao: no h custo para pagamentos em espcie. 11 Anonimidade: no guarda informao em si sobre quem usou-o para pagamento.
Substituto para o dinheiro tradicional (papel). Qual o problema com o pagamento de carto de crdito digital ou cheque? Mantm rastro para auditoria, e no permite ocultar o destina trio do dinheiro. O dinheiro eletrnico pode ser considerado como uma moeda estrangeira, uma vez que para utiliz-lo preciso antes convert-lo de dinheiro real (moeda corrente) para dinheiro digital.
Bitcoin
O bitcoin uma moeda virtual criada por Satoshi Nakamoto. Funciona com um programa em cdigo aberto projetado por ele mesmo que se liga em uma rede peer-to-peer. Permite a propriedade e a transferncia annima de valores, que so armazenados em uma carteira virtual. Como no existe nenhuma entidade por trs da administrao da moeda, sua manipulao indiscriminada inviabilizada por governos ou empresas, como por exemplo em sua supervalorizao, o que poderia gerar inflao ou mesmo a impresso de mais moeda. Em outubro de 2009, 1 dlar americano comprava o equivalente a 1309 bitcoins. Em fevereiro de 2011, o bitcoin alcanou a equivalncia com o dlar. De l para c, a coisa explodiu. No incio de 2012, 1 bitcoin estava valendo cerca de 13 dlares, um salto significativo desde o incio das operaes, mas nada perto do que viria a acontecer nos meses seguintes. No dia 10 de abril, chegou a ser negociado a 266 dlares, o que indica uma valorizao de 1900% (Fonte: mtgox.com).
v
Saiba mais sobre bitcoin acessando What is bitcoin? no Youtube.
Amazon Webpay
O servio de pagamento da Amazon permite aos usurios cadastrados transferir dinheiro entre si via e-mail. Para isso, necessrio apenas ter uma conta na Amazon.com. A qualquer hora e de qualquer lugar, voc recebe ou envia dinheiro para amigos e familiares, bastando estar on-line.
Google Wallet
O Google Wallet um sistema de pagamento desenvolvido pelo Google que permite o armazenamento de cartes de crdito e transaes financeiras. Atravs do Google Wallet, um usurio pode fazer pagamentos virtuais em sites de e-commerce ou fsicos, atravs de estabelecimentos credenciados com a tecnologia Near Field Communication (NFC). O Google
Wallet permite tambm que qualquer usurio possa enviar valores por e-mail (valor mnimo de U$ 0,30) para outro usurio (o valor vai anexado na mensagem). Entendendo o processo com dinheiro digital annimo: 11 Alice: 22 Prepara 100 ordens de pagamento annimo de R$ 1.000 cada. 22 Envelopa todas as ordens (cega-as) e envia-as para o banco.
122
11 Banco: 22 Abre 99 envelopes, confirma que cada envelope um pedido de R$ 1.000. 22 Assina o nico envelope que no foi aberto. 22 Envia envelope assinado de volta para Alice, deduz R$ 1.000 de sua conta. 11 Alice: abre o envelope e gasta ordem de pagamento com lojista. 11 Lojista: verifica assinatura do certificado com o banco e saca ordem de pagamento. 11 Banco: verifica sua prpria assinatura e credita R$ 1.000 na conta do lojista.
PayPal
11 Localizada em San Jose, na Califrnia (EUA). 11 Criado por Peter Thiel e Max Levchin, em 1998, para pagamentos via PDAs. 11 Adquirido pelo eBay em outubro de 2002. 11 Disponvel em 190 pases (incluindo Brasil) e em 24 moedas correntes.
pagamentos de leiles e compras de inmeros itens em vrios sites na internet, saque de fundos por transferncia em conta corrente ou via recebimento de cheque pelo correio, tudo em dlares ou em euros. um sistema seguro que protege vendedores e compradores; a moeda preferida pelo eBay e conta com mais de 150 milhes de usurios. Qualquer pessoa pode se cadastrar no PayPal e abrir uma conta pessoal ou empresarial, bastando apenas ter um endereo de correio eletrnico vlido e um carto de crdito internacional.
123
Figura 7.2 Site do PayPal.
O PayPal um sistema on-line de envio e recebimento de dinheiro. Possibilita realizar
necessrio ter: 11 Endereo de correio eletrnico; 11 Carto de crdito internacional; 11 Conta de acesso ao PayPal. Usado para pagamentos de: 11 Registros de domnios; 11 Comrcio eletrnico; 11 Servios de hospedagem de sites. Mais informaes: http://www.paypal.com
Criptografia de servidor (SSL/TLS)

Uso comum de criptografia em comunicao segura com servidor internet. 11 Padro internet: Tecnologia Secure Sockets Layer (SSL), da Netscape. 11 SSL: tnel em nvel de aplicao. TLS: tnel em nvel de transporte. 11 Transport Layer Security (TLS): RFC 2246 baseado na verso 3.0 do SSL, prov infraestrutura de criptografia, autenticao e integridade na camada de transporte TCP. Segurana Camadas Compatvel com cliente. Criptografia Baixo RC4 de 56 bits. Vlido Nveis
Alto RC4 de 128 bits. Vlido
Compatvel com FIPS. Vlido
Negociar
Vlido. A camada de segurana Mxima e o nvel de criptografia para os quais o cliente oferece suporte so usados. Vlido. O TLS necessrio para autenticao do servidor. O nvel Alto ou Compatvel com FIPS usado. Se no houver suporte para o TLS, as conexes falharo.
SSL (TSL 1.0)
Invlido. usado o padro do nvel de criptografia em vez de Compatvel com o Cliente. O nvel Alto ou Compatvel com FIPS usado se o cliente oferecer suporte. Vlido
Vlido
Vlido
RDP
Vlido. Entretanto, o TLS no pode ser usado para autenticao de servidor. A criptografia RDP e o nvel de criptografia mximo para os quais o cliente oferece suporte so usados.
Vlido
Vlido
O TLS foi baseado no SSL verso 3.0. Apesar das diferenas serem pequenas, so suficientes para que os protocolos no sejam compatveis. muito comum encontrar clientes que suportam as duas tecnologias. Para efeitos didticos, trataremos apenas do TLS, que uma proposta mais recente que o SSL.
Tabela 7.1 Configuraes de autenticao e criptografia SSL/ TLS no Windows Server 2003.
124
l
Mais informaes em The Transport Layer Security (TLS) Protocol Version 1.1 em http:// www.ietf.org/rfc/ rfc4346.txt
Lista de servidores: 11 HTTP: HTPPS; 11 FTP: SFTP via SSH ou FTP via TLS; 11 SMTP: SMTPS; 11 POP3: POP3s; 11 IMAP: IMAPS; 11 Telnet: SSH. Regra de ouro de segurana: nenhuma senha trafega na rede em modo legvel.
Criptografia de servidor
TLS formado por dois protocolos bsicos: 11 TLS Hand Shake: 22 Autentica par cliente/servidor usando criptografia assimtrica. 22 Escolhe algoritmos de criptografia e chaves. 22 Negociao confivel da chave simtrica feita de forma segura. 11 TLS Record: 22 Codifica e encapsula os dados e cria o tnel. 22 Conexo privada usando criptografia simtrica: algoritmos DES ou RC4. 22 Chaves privadas de sesso geradas dinamicamente. Entendendo o processo: Cliente Envia lista de algoritmos e nmero randmico usado para gerao de chaves. Servidor
Escolhe algoritmo da lista, gera nmero randmico e envia-o junto com seu certificado assinado por entidade certificadora (X.509). Cliente 11 Verifica certificado do servidor e obtm chave pblica do servidor; 11 Gera chave secreta, criptografa-a com chave pblica do servidor e envia para o servidor; 11 Servidor e cliente trocam informaes usando chave simtrica; 11 Informao trocada tem digest para verificao de integridade; 11 Opcionalmente o cliente pode se identificar usando seu certificado digital.
125
Figura 7.3 Gmail usando POP3 e SMTP, autenticado como POP.
Figura 7.4 Internet Explorer acessando pgina segura.
126
Redes virtuais privadas (VPN)

11 VPN uma conexo segura atravs de uma rede pblica ou outro tipo de ambiente inseguro. 11 Rede montada virtualmente em cima de outra rede; se pblica, a internet. 11 Cria tneis com protocolo de criptografia, fornecendo: 22 Confidencialidade. 22 Autenticao. 22 Integridade. 22 Garantia de privacidade na comunicao. Laptop
VPN discada
Internet
Tnel criptografado Firewall + VPN

Figura 7.5 Redes virtuais privadas (VPN).
Firewall + VPN
Rede Privada
Rede Privada
11 Por que virtual? Porque no fsica, no tem cabos, switches nem roteadores. 11 Por que privada? Porque conecta redes e equipamentos para acesso privado e protegido. Quando adequadamente implementados, os protocolos criptogrficos podem assegurar comunicao segura atravs de redes inseguras. Hoje, diversas empresas interligam suas bases operacionais atravs de uma VPN na internet. Um sistema de comunicao por VPN tem custo de implementao e manuteno insignifi cante, se comparado aos antigos sistemas de comunicao fsica, como por exemplo Frame Relay e ATM, que tm alto custo. Por esse motivo, muitos sistemas de comunicao esto sendo substitudos por VPNs que, alm do baixo custo, oferecem tambm uma alta con fiabilidade, integridade e disponibilidade dos dados trafegados. Sistemas de comunicao por VPN esto sendo amplamente utilizados em diversos setores, at mesmo em setores governamentais no mundo inteiro.
127
IPSEC
11 Padro para criptografia de pacotes IP no nvel de rede; 11 Protocolo padro para VPN; 11 RFCs: 2401, 2402, 2406 e 2408. H dois tipos de VPN: 11 Host to network (estao para rede), conhecida como VPN discada; 11 Network to network (rede para rede), conecta duas redes privadas.
Redes virtuais privadas

Necessidades: 11 Endereamento IP e mscara das duas redes privadas. 11 Endereo pblico de cada dispositivo responsvel por fazer a VPN. 11 Algoritmos e chaves de criptografia. Vantagens: 11 Reduz custos. 11 Prov acesso entre redes privadas de forma segura atravs de rede pblica. 11 Prov acesso remoto rede privada de forma segura atravs de rede pblica. Desvantagens: 11 Dados trafegando em rede pblica: contexto facilitador de ataques de criptoanlise. 11 Internet sem garantia de qualidade: gera atraso, indisponibilidade e dificuldade para suporte. 11 Degradao de desempenho: 22 Criptografia consome muito processamento; 22 Mais perceptvel com maiores velocidades de conexo.
Exerccio de fixao 1 e Redes Virtuais Privadas (VPNs)

O que uma VPN e quais as suas vantagens?
Segurana na www
11 Seleo de um navegador. 11 Recursos de um navegador. 11 Cookies. 11 Segurana no navegador. 11 Pagamentos na internet.
128
Acessar a internet, nos dias de hoje, pode ser um srio problema, se levarmos em conta a quantidade de ameaas existentes. importante que o usurio conhea as formas de se prevenir e use programas especficos de proteo. Os recursos do browser, programas antivrus, programas de deteco e remoo de spyware e certificados digitais so algumas das formas de proteo contra ameaas na internet.
Seleo de um navegador
Selecione um navegador seguro: Browser Internet Explorer Firefox Opera Safari Chrome
Tabela 7.2 Opes de browser.
Plataformas suportadas Famlia Windows Windows, MacOS X e Linux Windows, MacOS X, Linux, FreeBSD, Solaris, OS/2 e QNX MacOS X Windows, MacOS X e Linux
URL http://www.microsoft.com/ie http://www.mozilla.org/products/ http://www.opera.com/download/ http://www.apple.com/safari/ http://www.google.com/chrome/
A internet est cada vez mais presente nas nossas vidas. Transaes bancrias, compras em lojas virtuais, busca de informaes em mecanismos de busca, telefonia e conversas atravs de mensagens instantneas so apenas alguns exemplos de utilizao da rede. As formas de acesso tambm evoluram. Hoje, comum o acesso domstico a pelo menos 1 megabit por segundo, velocidade que h alguns anos era exclusividade de provedores de acesso. Com toda essa evoluo, os perigos tambm aumentaram. O usurio necessita tomar alguns cuidados ao acessar a internet. Problemas como fraudes, pginas falsas, vrus, worms, spam e escutas clandestinas esto presentes a todo momento. O ISC do Sans afirma que so necessrios menos de 10 minutos para que uma mquina desprotegida na internet sofra algum problema de segurana (fonte: http://isc.sans.org/survivaltime.html).
w Qual navegador mais seguro?

O resultado dos testes pode ser verificado em Is Your Browser Putting You At Risk? Part 1 - General Malware Blocking e em NSS Labs Research Library.
Em maio de 2013, a empresa NSS Labs (http://nsslabs.com/) efetuou teste nos cinco navegadores mais utilizados e mais conhecidos do mercado. Vale ressaltar que existem diversos tipos de golpes e aes maliciosas que independem do navegador utilizado. Sendo assim, as melhores dicas so: 1) manter softwares (incluindo sistema operacional) sempre atualizados; 2) prestar ateno nas aes tomadas durante a navegao.
Recursos de um navegador
11 Uso preferencial de criptografia (SSL/TLS), site iniciando com https://... 11 Verificao do cadeado fechado indica acesso a endereo seguro. 11 Clicando no cadeado, veremos a robustez da criptografia usada.
129
Figura 7.6 Acesso seguro https, cadeado fechado.
Figura 7.7 Clicando no cadeado: certificado digital do servidor.
Os navegadores mais novos fazem uma verificao de segurana ao acessar um site. Se por exemplo o site estiver com um certificado invlido, desatualizado ou mesmo autoassinado, o navegador exibe uma mensagem de alerta para o usurio informando o problema.
130
Figura 7.8 Mensagem de alerta para o usurio.
Tipos de certificados
Na ICP-Brasil esto previstos 8 tipos de certificados, divididos em duas sries: 11 Srie A (A1, A2, A3 e A4): rene certificados de assinatura digital, utilizados para con firmao de identidades na internet, principalmente em documentos eletrnicos com verificao de integridade de suas informaes. 11 Srie S (S1, S2, S3 e S4): rene os certificados para sigilo, utilizados na codificao de documentos de bases de dados, de mensagens e de outras informaes eletrnicas sigilosas. Os tipos so diferenciados pelo uso, nvel de segurana e pela validade.
Teste seu certificado em: http://www. certisign.com.br
Nos certificados do tipo A1 e S1, as chaves privadas ficam armazenadas no prprio comw putador do usurio. Nos outros tipos, as chaves privadas e as informaes referentes ao seu certificado ficam armazenadas em um hardware criptogrfico, que pode ser um carto inteligente (smart card) ou carto de memria (token USB ou pen drive). Para acessar essas informaes, o usurio necessita de uma senha pessoal determinada no momento da compra. Tipo Tamanho (Bits) A1 e S1 A2 e S2 A3 e S3 A4 e S4 1024 1024 1024 2048 Software Software Hardware Hardware Arquivo Smart card ou token, sem capacidade de gerao de chave Smart card ou token, sem capacidade de gerao de chave Smart card ou token, sem capacidade de gerao de chave Meio Mdia de Armazenamento Validade Mxima 1 2 3 3
Tabela 7.3 Tipos de certificados (Fonte: ICP-Brasil).
Cookies
11 Que CD voc comprou? Qual seu tipo musical preferido? 11 Pequenas quantidades de informaes armazenadas pelo browser; ltimo acesso a um site, dados do usurio etc.
131
11 Servidor grava suas preferncias no disco local em arquivo texto cookie file. 11 Um ano de cookies pode revelar algo sobre sua personalidade? 11 Servidor A pode livremente acessar cookie gravado pelo servidor B. 11 Pode causar vazamento de informaes. 11 Contedo de um cookie:
cVisita ataVisita=1%2F12%2F2004 www.centraldocarnaval.com.br/ 1536 2938927104 29777976 2791820000 29677500 *

11 Preveno: poltica de segurana deve incluir limpeza peridica de cookies.
Figura 7.9 Configurando cookie.
Exerccio de fixao 2 e Cookies

Por que os cookies devem ser controlados?
l
Para mais informaes sobre cookies: http://www.cookiecen tral.com/faq/
132
Segurana no navegador
Aumente a segurana do navegador:
Figura 7.10 Aumentando a segurana no navegador.
A poltica de segurana deve incluir: 11 Preveno contra vazamento de informaes, atravs de limpeza peridica do cache do browser (Windows guarda mais de 1Gbyte) e do histrico de navegao. 11 Aumento do nvel de segurana da zona internet para alto. 11 Desativao dos controles e plugins Active-X.
Pagamentos na internet
preciso ter maior receio em usar comrcio eletrnico. 11 Risco de fornecer nmero de carto de crdito para o site. Dicas para comprar na internet de forma segura: 11 Evite comprar em loja desconhecida; escolha loja conhecida. 11 Ao digitar o carto, observe se o cadeado est fechado. 11 Na dvida, pea loja para pagar atravs de boleto bancrio. 11 Verifique sua fatura de carto de crdito para identificar possveis compras estranhas. 11 Verifique se a loja possui a opo de no manter nmero de carto de crdito armazenado. 11 Jamais autorize a loja a guardar o nmero de seu carto.
133
134
Atividade 7.1 Recurso do SSH
1. Instale o pacote PuTTY em PuTTY Download Page. 2. Ative um sniffer na sua mquina com Wireshark; 3. Acesse sua conta shell no servidor SSH usando autenticao com senha. O sniffer capturou sua senha?
4. Crie seu par de chaves; 5. Use sua chave privada para se autenticar no servidor via SSH; 6. Abra uma sesso no servidor Linux via SSH, e torne-se super usurio (usurio root) sem digitar senha (use ssh-copy-id); 7. Crie um tnel utilizando SSH.
Atividade 7.2 Uso de criptografia em arquivos

1. Instale o pacote cliente FileZilla: http://filezilla.sourceforge.net/; 11 Ative um sniffer; 11 Abra uma sesso de FTP com um cliente FileZilla (FTP via TLS). Voc conseguiu capturar a senha de autenticao?
2. Instale o pacote KeePass: http://portableapps.com/apps/utilities/keepass_portable 11 Crie suas senhas e manipule-as.
Atividade 7.3 Criptografando arquivos no Linux

1. Instale o programa ccrypt:
# apt-get install ccrypt

2. Crie um arquivo e insira alguns dados nele:
# nano teste.txt
3. Criptografando o arquivo:
# ccrypt teste.txt
Enter encryption key: Enter encryption key: (repeat) 4. Tente listar o arquivo com o comando:
# cat teste.txt
135
5. Decriptando o arquivo:
ccrypt -d teste.txt
136
8
Poltica de segurana da informao
objetivos
Apresentar fundamentos, utilidade, importncia e tpicos principais para a construo de uma poltica de segurana, e tambm metodologias para uma anlise de risco.
conceitos
Poltica de segurana, auditoria em Microsoft Windows, clculo de mau uso da web e polticas de uso aceitvel (AUP).
Introduo
Definio de poltica de segurana segundo o RFC 2196 (The Site Security Handbook): 11 Conjunto formal de regras s quais pessoas que obtm acesso tecnologia e aos ativos de informao devem estar sujeitas.
Poder
Membros de gesto Representantes legais (RH)
Especialistas
Lei
Comisso de elaborao da poltica da segurana
Conhecimento
Poltica de segurana o elemento mais importante no projeto de segurana institucional de uma organizao. Atravs dela so definidos os papis de cada membro da organizao no que tange informao, alm da listagem de direitos, deveres e punies aplicadas ao no cumprimento da poltica. Antes de definir uma poltica, importante realizar uma anlise de risco, que consiste em classificar os ativos de informao de acordo com sua importncia. Construir uma poltica de segurana uma atividade que envolve experincia; porm, esse processo pode ser visto em linhas gerais atravs de exemplos e recomendaes.
137
Captulo 8 - Poltica de segurana da informao
Figura 8.1 Comisso de elaborao da poltica de segurana.
Infelizmente, no existe uma regra geral para a criao de uma poltica de segurana. Cada organizao tem particularidades que devem ser levadas em considerao. Este captulo tem por objetivo fornecer conhecimento bsico para a elaborao de uma poltica de segurana, alm de alguns direcionamentos sobre os itens que merecem receber maior ateno. A elaborao de polticas de segurana um processo que engloba a experincia dos pro fissionais envolvidos e o nvel de comprometimento da organizao na elaborao de uma poltica desse tipo. Quais so as dificuldades de se implantar uma poltica de segurana? Quem deve participar da elaborao da poltica de segurana?
Exerccio de nivelamento 1 e Polticas de segurana da informao

A sua organizao possui polticas de segurana da informao? Quais?
Anlise de risco
Risco: 11 Perigo ou possibilidade de perigo. Situao de probabilidade previsvel de perda ou ganho; por exemplo, um jogo de azar ou uma deciso de investimento. 11 Nem sempre associado perda. Segurana implica na probabilidade de risco tendendo a zero. Necessrio administrar situaes de risco. A segurana da informao adota controles fsicos, tecnolgicos e humanos personalizados, viabilizando reduo e administrao dos riscos.
o primeiro passo para a criao de uma poltica de segurana. Inclui as seguintes medidas: 11 Definir escopo de abrangncia da poltica; 11 Identificar e classificar todos os ativos de informao importantes; 11 Definir valores de importncia para cada ativo; 11 Determinar probabilidades de ocorrncia de vulnerabilidades; 11 Calcular impacto potencial dessas vulnerabilidades.
Identificao, classificao, valorao e criticidade

Identificao de todos os ativos de informao importantes: Ativo Hardware Software Descrio Estaes, computadores pessoais, impressoras, roteadores, switches, modems, servidores de terminal e firewalls. Cdigo-fonte, programas executveis, utilitrios, programas de diagnstico, Sistemas Operacionais e programas de comunicao.
138
Ativo Dados
Descrio Dados armazenados online e dados arquivados, backups, logs de auditoria, bancos de dados e dados em trnsito em meios de comunicao. Usurios, administradores e operadores. Manuais de programas, hardware interno, sistemas e procedimentos locais de administrao.
Pessoas
Tabela 8.1 Identificao dos ativos.
Documentao
Os dados de uma organizao podem assumir diversas formas, dependendo da experincia de cada um na determinao da classificao daquela informao. Para uma universidade, por exemplo, talvez dados de pesquisa no sejam altamente confidenciais, mas para uma instituio que esteja prestes a lanar um produto revolucionrio essa informao pode ser essencial para a sobrevivncia do negcio. Alm da criticidade, outros tipos de classificao podem ser atribudos aos dados da organizao. Classificaes 11 Dados administrativos; 11 Dados financeiros; 11 Dados de clientes; 11 Dados de pesquisa; 11 Dados proprietrios. Valorao para cada ativo 11 Alguns ativos possuem valores subjetivos; 11 Alguns ativos no tm valor mensurvel em termos monetrios; 11 O uso de uma escala simples facilita a valorao: 22 Valor alto. 22 Valor moderado. 22 Valor baixo. Nvel de criticidade: 11 Nvel de importncia dentro da instituio.
Tabela 8.2 Exemplo de valorao e criticidade de um ativo.
11 Alta. 11 Mdia. 11 Baixa. Classificao Administrativo Financeiro Pesquisa Proprietrio Financeiro Valorao Moderado Alto Baixo Alto Moderado Criticidade Mdia Mdia Baixa Alta Alta
Ativo Correio eletrnico interno Salrio de empregados Tendncias de mercado Patentes pendentes Balano anual
139
Vulnerabilidades e ameaas
Vulnerabilidade: 11 Evidncia ou fragilidade que eleva o grau de exposio do ativo, aumentando a probabilidade de sucesso da investida de uma ameaa. 11 preciso conhecer as vulnerabilidades de cada ativo. Vulnerabilidades Fsicas Cabeamento de baixa qualidade. Ausncia de fragmentadora de papel. Instalao eltrica mal dimensionada. Tecnolgicas Defeito de software. Sistema Operacional desatualizado. Senha fraca. Humanas Falta de conscientizao dos usurios. Ausncia de rotinas de backup. Descuido e despreparo.
Tabela 8.3 Exemplo de vulnerabilidades.
Ameaa: 11 Atitude ou dispositivo com potencial para explorar uma vulnerabilidade e causar danos segurana da informao, atingindo ao menos um de seus atributos: confi dencialidade, integridade ou disponibilidade. 11 preciso conhecer a probabilidade de uma ameaa de explorar uma vulnerabilidade e causar alguma falha.
Ameaas Fsicas Curto-circuito Raio Inundao Tecnolgicas Spam Phishing DDoS Humanas Erro humano Engenharia social Curiosidade
Tabela 8.4 Exemplo de ameaas.
Risco
11 Para todas as ameaas possveis, devemos fazer uma avaliao de risco. 11 H muitas formas de se medir o risco. 11 Pessoas que tomam decises de como se proteger contra riscos devem ter a noo exata da quantificao e da probabilidade de perda da informao.
11 H ferramentas automatizadas capazes de quantificar e representar de forma ade quada os riscos e prejuzos. De acordo com a norma NBR ISO/IEC 27001, a anlise de risco uma considerao sistemtica: 11 Do impacto nos negcios como resultado de uma falha de segurana, levando-se em conta as potenciais consequncias da perda de confidencialidade, integridade ou disponibilidade da informao ou de outros ativos. 11 Da probabilidade de tal falha realmente ocorrer luz das ameaas e vulnerabilidades mais frequentes e nos controles atualmente implementados.
140
Forma genrica para avaliao de risco: 11 Risco = valor x criticidade x vulnerabilidade x ameaa. 11 Valor: qual o valor do ativo? 11 Criticidade: o quo crtico o ativo? 11 Vulnerabilidade: o quo vulnervel se encontra o ativo? 11 Ameaa: qual a probabilidade de uma ocorrncia causar falha de segurana?
Impacto
11 Um dos objetivos da anlise de risco o clculo do impacto causado por determinada ameaa ou vulnerabilidade levantada previamente. 11 Pode-se classificar o impacto em: 22 Aceitvel: no ser criado nenhum plano de conteno para diminuir a probabilidade de ocorrncia do impacto, tampouco um plano de contingncia. 22 Aceitvel com reao: poder ser criado apenas um plano de contingncia caso ocorra o evento. 22 Terceirizar: transferir os riscos e suas consequncias para terceiros. 33 Essa ao no visa diminuir ou eliminar a possibilidade de ocorrncia do evento. 33 O terceiro dever elaborar os planos de conteno e contingncia para o evento. 22 Mitigar: reduzir a probabilidade de ocorrncia e/ou impacto do risco atravs de medidas proativas como, por exemplo, a criao de um plano de conteno do risco em si, que se desdobrar em medidas de segurana antes que o evento ocorra.
Risco
Alto
Risco inaceitvel!
Impacto
Figura 8.2 Impacto.
Baixo Baixa
Probabilidade
Alta
Exerccio de fixao 1 e Risco, ameaas e vulnerabilidades

O que so ameaas?
141
O que so vulnerabilidades?
O que risco?
Saiba mais
A Escola Superior de Redes oferece o curso Gesto de riscos de TI NBR 27005, que detalha o uso da norma: http:// esr.rnp.br/gti9
Metodologias para anlise de risco

Algumas das metodologias disponveis atualmente: 11 Cobra: http://www.riskworld.net 11 Octave: http://www.cert.org/octave/omig.html 11 Sprint: http://www.securityforum.org/ Apesar de o funcionamento geral e a importncia de uma anlise de risco serem de fcil
entendimento, as informaes obtidas no nos tornam capazes de fazer uma anlise desse tipo de forma profissional e consistente. Sendo assim, foram criadas metodologias padronizadas e bem definidas para facilitar esse processo para os consultores de segurana.
Construindo uma poltica de segurana

11 Quais os principais fatores para o sucesso de uma poltica de segurana? 11 Fator mais importante para o sucesso da poltica. 22 Envolvimento de cada segmento da instituio na construo da poltica: pessoal tcnico especializado, gerentes, diretores e usurios. 11 Recomendaes bsicas para a poltica. 22 Deve ser integrada com outras polticas da empresa. 22 Deve ser validada pelo pessoal de suporte de redes e pessoas da gerncia. 22 Dever ser reforada por equipamentos, softwares e procedimentos de segurana.
Uma vez identificados os riscos para a instituio, o passo seguinte consiste em criar um documento que sirva de apoio e guia para a segurana da informao. Esse documento chamado de poltica de segurana. No existe uma regra geral para a criao de uma poltica de segurana. Ela depende da experincia e do conhecimento do pessoal envolvido na tarefa. H necessidade do uso de uma poltica de segurana?
Orientaes da norma ISO 27001

Definio de segurana da informao. 11 Resumo das metas e do escopo importncia da segurana como um mecanismo que possibilita o compartilhamento da informao. Declarao do comprometimento da alta direo, apoiando as metas e princpios da segurana da informao.
142
Breve explanao das polticas, princpios, padres e requisitos de conformidade de importncia especfica para a instituio: 11 Conformidade com a legislao e clusulas contratuais; 11 Requisitos na educao de segurana; 11 Preveno e deteco de vrus e softwares maliciosos; 11 Gesto da continuidade do negcio; 11 Consequncias das violaes na poltica de segurana da informao. 11 Definio das responsabilidades gerais e especficas na gesto da segurana da informao, incluindo o registro dos incidentes de segurana. 11 Referncias documentao que possa apoiar a poltica. 22 Polticas e procedimentos de segurana mais detalhados de sistemas de informao especficos. 22 Regras de segurana que devem ser seguidas pelos usurios.
Norma ISO 27002
l
Saiba mais
A Escola Superior de Redes oferece o curso Gesto da Segurana da Informao NBR 27001 e NBR 2700, que detalha as normas ISO 27001 e 27002: http://esr.rnp.br/gti8
A Norma ISO 27002 (antiga NBR ISO/IEC 17799:2005). 11 Considerada um cdigo de boas prticas. 11 Recomendaes. 11 Item 5 Poltica de segurana da informao. 11 Dicas e orientaes sobre o que , o que deve conter e diretivas para implementao.
A ISO 27002, antiga ISO 17799, especifica em seus controles, mas especificamente no Captulo 5, Polticas de Segurana da Informao. Nesse documento podemos encontrar dicas e orientaes sobre o que , o que deve conter e diretivas para a implementao de uma poltica de segurana da informao.
Orientaes do NBSO
O NIC BR Security Office (NBSO) lista alguns itens que devem ser cobertos pela poltica: 11 Aspectos preliminares. 11 Polticas de senhas.
q
11 Direitos e responsabilidades dos usurios. 11 Direitos e responsabilidades do provedor de recursos. 11 Aes previstas em caso de violao da poltica.
Lista dos itens cobertos pela poltica (NBSO)

1. Aspectos preliminares: 11 Abrangncia e escopo de atuao da poltica; 11 Definies fundamentais; 11 Normas e regulamentos aos quais a poltica est subordinada; 11 Pessoas autorizadas a sancionar, implementar e fiscalizar o cumprimento da poltica; 11 Meios de distribuio da poltica;
143
11 Modo e frequncia de reviso da poltica. 2. Poltica de senhas: 11 Requisitos para formao de senhas; 11 Perodo de validade das senhas; 11 Normas para proteo de senhas; 11 Reutilizao de senhas; 11 Senhas padro. 3. Direitos e responsabilidades dos usurios: 11 Utilizao de contas de acesso; 11 Utilizao de software e informaes, incluindo questes de instalao, licenciamento e copyright; 11 Proteo e uso de informaes, como senhas, dados de configurao de sistemas e dados confidenciais; 11 Uso aceitvel de recursos como e-mail, news e pginas web; 11 Direito privacidade, e condies nas quais esse direito possa ser violado pelo provedor dos recursos; 11 Uso de antivrus. 4. Direitos e responsabilidades do provedor dos recursos: 11 Backup; 11 Diretrizes para configurao e instalao de sistemas e equipamentos de rede; 11 Autoridade para conceder e revogar autorizaes de acesso, conectar e desconectar sistemas e equipamentos de rede, alocar e registrar endereos e nomes de sistemas e equipamentos; 11 Monitoramento de sistemas e equipamentos de rede; 11 Normas de segurana fsica. 5. Aes previstas em caso de violao da poltica: 11 Diretrizes para tratamento e resposta a incidentes de segurana; 11 Penalidades cabveis.
Orientaes do CERT.BR
O CERT.BR define ainda alguns fatores importantes para o sucesso de uma poltica: 11 Apoio por parte da administrao superior. 11 A poltica deve ser ampla, cobrindo todos os aspectos que envolvem a segurana dos
recursos computacionais e da informao sob responsabilidade da organizao. 11 A poltica deve ser periodicamente atualizada de forma a refletir as mudanas na organizao. 11 Deve haver um indivduo ou grupo responsvel por verificar se a poltica est sendo respeitada. Todos os usurios da organizao devem tomar conhecimento da poltica e manifestar a sua concordncia em se submeter a ela antes de obterem acesso aos recursos computacionais.
144
A poltica deve estar disponvel em um local de fcil acesso aos usurios, tal como a intranet da organizao.
Acceptable Use Police (AUP)

11 Poltica de Uso Aceitvel (PUA): subconjunto da poltica de segurana. 22 Define como os recursos computacionais podem ser utilizados. 22 Define os direitos e responsabilidades dos usurios. 11 Provedor de acesso deixa sua poltica de uso aceitvel disponvel em sua pgina. 11 Instituio entrega AUP no momento da contratao do funcionrio. 11 AUPs mais comuns: 22 Acesso correto com segurana internet. 22 Uso correto e seguro do servio de correio eletrnico. 22 Uso correto e seguro do computador.
Exemplo de poltica de segurana

Saiba mais
Exemplos de polticas de diversos tipos: http://www.sans.org/ security-resources/ policies/
Exemplos de polticas de uso aceitvel: 11 http://www.allnet.com.br/aup/ 11 http://www.earthlink.net/about/policies/use.faces 11 http://www.tutopia.com/access/brasil/pua.asp Exemplo completo da poltica de segurana da ICP-Brasil, aprovada pela Resoluo n 2, de 25 de setembro de 2001, do Comit Gestor da ICP-Brasil: 11 http://siabi.trt4.jus.br/biblioteca/direito/legislacao/atos/federais/res_pres_cc_2001_2.pdf
Mensurando
11 As mtricas de controle de risco podem ser aplicadas no somente a situaes de ameaa aos ativos da empresa, mas tambm ao mau uso desses ativos. 11 Imagine um cenrio onde 50 funcionrios de uma empresa com total acesso web perdem em mdia uma hora por dia com acesso de contedo no relacionado sua atividade profissional e ao negcio da empresa. 11 Como podemos justificar o valor da implementao de um controle de contedo web? Existem algumas siglas e equaes que nos ajudam e efetuar esses clculos. Exposure Factor (EF): 11 Fator de exposio. 11 Valor percentual de exposio frente a uma ameaa. O fator de exposio representa a porcentagem de perda que uma ameaa pode causar a um ativo. Por exemplo: Um acidente automobilstico pode ser somente um amassado na lataria, custando 5% do valor do automvel para o conserto, ou 100% do valor nos casos de perda total. O roubo do carro significa 100% de perda.
145
Single Loss Expectancy (SLE)

11 Expectativa de Perda Pontual. 11 SLE = valor do bem X Fator de Exposio (EF). Expectativa de Perda Pontual (SLE) o valor do bem multiplicado pelo fator de exposio (valendo para uma nica ocorrncia).
Annualized Rate of Ocurrance (ARO)

11 Proporo Anual de Ocorrncia. 11 Valor percentual representado a frequncia de uma ocorrncia (anual). Proporo Anual de Ocorrncia (ARO) o valor percentual representando a frequncia de uma ocorrncia, durante um ano. O valor pode variar de: 11 0.0: nunca; 11 1.0: pelo menos uma vez ao ano; 11 Maior que 1.0: vrias vezes ao ano. Onde: 11 0.1: uma vez a cada 10 anos. 11 4.0: quatro vezes ao ano.
Annualized Loss Expectancy (ALE)

11 Expectativa de Perda Anual. 11 ALE = SLE X ARO. Expectativa de Perda Anual (ALE) a expectativa de perda pontual (SLE) multiplicada por quantas vezes isso pode ocorrer em um ano (ARO).
Calculando
11 Um funcionrio: 22 R$ 10,00 (custo/hora) x 8 (horas/dia) x 240 (dias/ano). 33 Funcionrio custa por ano R$ 19.200,00. 22 Uma hora por dia corresponde a 12,5% em um perodo de 8 horas. 33 Isso corresponde a 12,5% de desperdcio. 22 R$ 10,00 (custo/hora) x 1 (hora/dia) x 240 (dias/ano).
33 Valor do desperdcio por ano: R$ 2.400,00. 11 Expectativa de Perda Pontual (SLE): 22 SLE = Valor Anual do Funcionrio X porcentagem de desperdcio (exposio). 22 Valor Anual do Funcionrio = R$ 19.200,00. 22 Fator de Exposio (EF) = 12,5%. 22 SLE = R$ 19.200,00 x 12,5 %. 22 SLE = R$ 2.400,00.
146
11 Proporo Anual de Ocorrncia (ARO): 22 Como sabemos que a situao realmente ocorre, temos um valor de ARO = 1.0 11 Expectativa de Perda Anual (ALE): 22 ALE = SLE x ARO 22 ALE = R$ 2.400,00 X 1.0 22 ALE = R$ 2.400,00 11 Temos, assim, R$ 2.400,00 de perda (prejuzo) anual por funcionrio. Ainda neste cenrio, imagine essa empresa com 50 funcionrios, onde 100% possuem acesso web, totalizando em mdia 5 horas semanais de uso indevido no relacionado ao
negcio. Com essas informaes, conseguimos agora mostrar o valor do prejuzo acumulado durante um ano. 11 50 funcionrios custando R$ 19.200,00 cada anualmente. 22 50 (funcionrios) x R$ 19.200,00 (valor anual/funcionrio) = R$ 960.000,00. 11 Expectativa de Perda Anual (ALE) por funcionrio = R$ 2.400,00. 22 50 (funcionrios) x R$ 2.400,00 (valor prejuzo/funcionrio) = R$ 120.000,00.
Valor final
11 Custo Fixo Anual com 50 funcionrios: R$ 960.000,00. 11 Prejuzo Anual (desperdcio de tempo/navegao indevida): R$ 120.000,00. 11 Valor efetivo (til): R$ 840.000,00. 11 Mostrar o total em valores de horas perdidas. Prejuzo um argumento bem convin cente para demonstrar um risco e possivelmente conseguir investimentos na rea (filtro de contedo, por exemplo).
Esse tipo de clculo pode ser aplicado em vrias situaes como, por exemplo, para mensurar o valor vinculado indisponibilidade de determinado servio, o tempo perdido com spams e a indisponibilidade das estaes de trabalho por falta de um sistema de antivrus eficiente.
147
148
Atividade 8.1 Elaborao de polticas
1. Esboce uma Poltica de Uso Aceitvel (AUP) para os seguintes assuntos:
d
Veja algumas sanes passveis a servidores pblicos no Quadro da Legislao relacionada Segurana da Informao: http://www.presidencia. gov.br/gsi/cgsi/quadro_ legislacao.htm
11 Uso correto com segurana da estao de trabalho; 11 Uso correto com segurana do servio de correio eletrnico; 11 Uso correto com segurana do servio de www. 2. Que tipo de punio voc acha que deve ser aplicada em casos de violao da poltica de segurana?
3. Discuta sua opinio com o instrutor e os colegas.
Atividade 8.2 Auditoria em Microsoft Windows

1. Instale o pacote de auditoria da Microsoft MBSA: http://www.microsoft.com/technet/security/tools/mbsahome.mspx http://technet.microsoft.com/en-us/security/cc184923 2. Execute-o na sua estao de trabalho e na sua rede local. Que benefcios este programa pode fornecer para a segurana da informao?
Atividade 8.3 Aumentando a segurana da sua estao de trabalho

1. Instale o pacote Microsoft Security Essentials: http://windows.microsoft.com/pt-br/windows/security-essentials-download
149
2. Faa uma varredura na sua estao de trabalho.
11 Voc constatou algum problema de segurana? Qual?
Atividade 8.4 Calculando o impacto do mau uso da web

1. Calcule o prejuzo de uma empresa decorrente do mau uso do acesso web, considerando o cenrio: A empresa Gato Molhado tem 500 funcionrios, onde 70 deles tm acesso indiscriminado web. Esses usurios gastam em mdia 1 hora por dia, ao custo de R$ 20,00 a hora, com acesso a contedo no relacionado s suas atividades e ao negcio da empresa (utilize as mtricas ALE e SLE).
150
9
Ameaas recentes
objetivos
Apresentar os mais recentes e perigosos mecanismos de fraudes on-line; explicar o uso seguro do correio eletrnico e de navegadores, e a importncia da aplicao de uma poltica de segurana rigorosa para downloads; mostrar as vulnerabilidades exploradas pelos fraudadores em golpes virtuais; ensinar os cuidados para realizar uma operao financeira segura via internet e formas de se manter informado.
conceitos
Malware, Antirootkit, Phishing, Pharming, Bot, Rootkit.
Exerccio de nivelamento 1 e Ameaas recentes

Quais as maiores ameaas para a sua organizao atualmente?
Introduo
Fraude on-line: 11 Visa sequestro de dados bancrios e informaes teis ao malfeitor. 11 Aborda em larga escala usurios via e-mail. 11 Usa assunto atrativo como disfarce. 11 Induz a vtima a fornecer dados sigilosos. 11 Instala programa que rouba informaes no computador. Entre as mensagens indesejadas e no solicitadas de correio eletrnico (spam) que circulam atualmente na internet, as fraudes on-line (scam) j chegaram a ultrapassar a toramento Brightmail, da Symantec, empresa especializada em segurana digital. Prevenir muito mais simples e eficaz do que remediar. Informao sempre um meio vlido de combater este tipo de mal, para que cada vez menos pessoas sejam enganadas pelas fraudes.
Sero apresentados e explicados diversos exemplos de fraude, na forma de imagens reproduzindo a visualizao de mensagens de fraude que circulam por correio eletrnico.
151
Captulo 9 - Ameaas recentes
ocorrncia de anncios, propagandas e pornografia, segundo dados da unidade de moni -
Scam (golpe virtual)

Ao eletrnica fraudulenta que tem como finalidade obter vantagem, geralmente financeira. Fatores de ocorrncia e proliferao: 11 Facilidade do e-mail de ser forjado e fraudado; 11 Proliferao de listas e programas para envio de spam em larga escala; 11 Facilidade de publicar qualquer contedo e arquivo executvel na web; 11 Carncia de legislao, meio de controle e segurana que permita rastrear, identificar, coibir e punir ao criminosa de forma rpida, eficaz e globalizada; 11 Usurio com pouco conhecimento tcnico, ingnuo e despreparado para desconfiar de perigo existente.
Phishing
11 Link para programa malicioso. 11 Pgina falsificada de comrcio eletrnico ou internet banking. 11 E-mail contendo formulrio. 11 Uso de computador alheio. Cuidados ao usar comrcio eletrnico ou internet banking. Proteo antiphishing. Phishingscam: 11 Tipo de fraude eletrnica. 11 Termo veio de fishing (pescaria), analogia criada onde iscas so usadas para pescar. No uma tarefa simples atacar e fraudar dados em um servidor de uma instituio ban cria ou comercial. Os invasores tm concentrado seus esforos na explorao de fragilidades dos usurios para realizar fraudes comerciais e bancrias atravs da internet.
Para obter vantagens, os fraudadores tm utilizado amplamente e-mails com discursos que, na maioria dos casos, envolvem engenharia social e tentam persuadir o usurio a fornecer seus dados pessoais e financeiros. Em muitos casos, o usurio induzido a instalar algum cdigo malicioso ou acessar uma pgina fraudulenta, para que dados pessoais e sensveis, como senhas bancrias e nmeros de cartes de crdito possam ser furtados. Dessa forma, muito importante que usurios da internet tenham certos cuidados com os e-mails que recebem e ao utilizarem servios de comrcio eletrnico ou internet banking.
Como pegar (o que seria a isca)?

11 Envio de mensagem eletrnica no solicitada, falsamente oriunda de instituio conhecida, como banco, empresa ou site popular. 11 Procura induzir acesso a pginas fraudulentas (falsificadas), projetadas para furtar os usurios.
O que pegar (o que seria o peixe)?

11 Senhas; 11 Dados financeiros;
152
11 Nmero de carto de crdito; 11 Dados de contas. 11 Informaes pessoais.
Formas atuais de phishing

Quatro situaes de phishing usadas por fraudadores: 11 Mensagem contendo link para programa malicioso. 11 Pgina falsificada de comrcio eletrnico ou internet banking. 11 E-mail contendo formulrio para fornecimento de informao sensvel. 11 Uso de computador alheio.
Figura 9.1 Exemplo de phishing.
Existem variantes para as situaes apresentadas. Novas formas de phishing podem surgir. importante manter-se informado sobre os novos tipos de phishing que vm sendo utilizados pelos fraudadores, atravs dos veculos de comunicao, como jornais, revistas e sites especializados. Tambm importante que, ao identificar um caso de fraude via internet, notifiquemos a instituio envolvida, para que ela possa tomar as providncias cabveis. Vrios veculos utilizados: 11 Mensagem instantnea. 11 Mensagem de texto de celular (SMS). 11 Sala de chat. 11 Anncio falso tipo banner. 11 Site falso de procura e oferta de emprego. 11 Barra de ferramentas de navegador falsa. 11 Recado no Orkut (scrap).
Exerccio de fixao 1 e Phishing

Explique como o phishing funciona.
153
Programa malicioso
Tambm chamado de malware, qualquer programa que atue contra o usurio: 11 Vrus. 11 Worm. 11 Cavalo de troia. Programa malicioso ou malware (malicious software) qualquer tipo de programa que faz
alguma coisa contra o usurio. Assim, em vez de tentar categorizar um tipo de arquivo malicioso como vrus, worm, cavalo de troia etc., chamamos eles simplesmente de malware.
Link para programa malicioso

Entenda o processo: 11 Um programa malicioso criado e colocado na web. 11 Spam enviado. 11 Usurio clica no link para o programa, faz o download e executa-o.
Figura 9.2 Mensagens com links maliciosos.
Malwares mais usados

11 Spyware; 11 Cavalo de troia.
Assuntos mais usados

11 Cartes e mensagens; 11 Notificaes financeiras e cadastrais; 11 Notcias bombsticas e apelos dramticos; 11 Download de programas; 11 Prmios, promoes e campanhas; 11 Pornografia.
154
Como identificar uma mensagem maliciosa?

11 Contm erros gramaticais e de ortografia. 11 Compare link real na barra de status com link malicioso. 11 Procure extenso de arquivo malicioso no link real: 22 Por exemplo: .exe, .zip, .com, .dll. 11 Suspeite de mensagem que solicita instalao de arquivo ou programa. Preveno: 11 Suspeite de mensagem que desperta curiosidade, ambio e impulso emocional. 11 No confie sempre no remetente da mensagem . 11 Contate instituio para certificar-se sobre o assunto, antes de transmitir informao sensvel.
q q
Pgina falsificada de comrcio eletrnico ou internet banking

Mensagem maliciosa: 11 Solicita recadastramento ou confirmao dos dados do usurio. 11 Solicita participao em nova promoo. 11 Tenta persuadi-lo a clicar em link no texto, em imagem ou pgina de terceiro. Pgina falsa solicita dados pessoais e financeiros: 11 Nmero, data de expirao e cdigo de segurana do seu carto de crdito. 11 Nmero da agncia e conta bancria, senha do carto e senha de acesso ao internet banking. 11 Clicando no boto de confirmao, os dados so enviados para o fraudador.
Como identificar uma mensagem maliciosa?

11 Site de comrcio eletrnico/internet banking confivel sempre usa conexo segura. 11 Se a pgina no usa conexo segura, desconfie imediatamente. 11 Se a pgina falsificada usa conexo segura, abra e leia o certificado digital. 11 Fraudador no consegue fraudar o certificado digital.
E-mail contendo formulrio

Como identificar mensagem maliciosa? 11 Nenhuma instituio bancria ou de comrcio eletrnico usa mensagem eletrnica para solicitar informao sensvel do cliente.
q
155
Abordagem mais direta: 11 Tenta enganar usurio de modo a faz-lo preencher um formulrio com dados pessoais e bancrios. 11 Formulrio apresentado na prpria mensagem de fraude ou a mensagem contm link que leva pgina com o formulrio.
Figura 9.3 E-mail contendo formulrio.
Uso de computador alheio

11 Uso de computador de outra pessoa para acessar site de comrcio eletrnico ou internet banking. 22 Lan house. 22 Cybercaf. 22 Stand de evento. 11 Risco: 22 Ao monitorada por programa instalado anteriormente. 11 Preveno: 22 No usar computador alheio para operaes que solicitem senha, dados pessoais ou financeiros.
Roubo de identidade
11 Roubo de identidade (Identity Theft) o ato pelo qual uma pessoa se passa por outra, atribuindo-se uma identidade falsa com o objetivo de obter vantagens indevidas. 11 Quanto mais voc disponibiliza informaes pessoais na internet, mais fcil fica para um golpista furtar sua identidade, pois quanto mais dados ele possuir, mais convincente ele pode ser. 11 Caso a sua identidade seja furtada, voc poder arcar com consequncias como perdas financeiras, perda de reputao e falta de crdito.
156
Golpes em sites de comrcio eletrnico e compras coletivas

11 Sites de comercio eletrnico vm sendo usados com bastante frequncia em fraudes eletrnicas. 11 Neste golpe, cria-se um site de e-commerce fraudulento com o objetivo de enganar potenciais clientes que, aps efetuarem o pagamento, no recebem as mercadorias solicitadas. 11 Esse golpe pode ser amplificado com a moda de sites de compras coletivas.
Cuidados ao usar comrcio eletrnico e internet banking

11 Realizar transaes em sites de instituies confiveis. 11 Digitar no browser o endereo desejado. 11 No usar links em pginas de terceiros ou recebidos por e-mail. 11 Antes de qualquer ao, ter certeza de que o endereo no navegador corresponde ao site desejado. 11 Ter certeza de que o site usa conexo e tamanho de chave seguros. 11 Ao aceitar o certificado digital, verificar dados e prazo de validade. 11 No acessar site de comrcio eletrnico e/ou internet banking em computador alheio. 11 Desligar webcam ao acessar site de comrcio eletrnico e/ou internet banking. 11 Manter browser sempre atualizado. 11 Restringir execuo de JavaScript, Java ou ActiveX. 11 Bloquear pop-up Windows. 11 Configurar leitor de e-mail para no abrir arquivo ou executar programa automaticamente.
Proteo antiphishing
11 Navegadores adotam sistema antiphishing: 22 IE a partir da verso 7.0: 33 Analisa a pgina e gera alerta sobre site suspeito. 22 Firefox a partir da verso 2.0: 33 Bloqueia comparando com lista negra (blacklist). 22 Chrome: 33 Bloqueia comparando com lista negra (blacklist). 11 Modo incorporado para denncia de sites suspeitos: 22 Usurio envia informao para avaliao, que se confirmada adicionada lista negra.
157
Figura 9.4 Sistema antiphishing no IE 7.
Pharming
11 Subcultura de linguagem on-line em constante evoluo. 11 Variante de phishing, redireciona o browser para web site falso. 11 Objetiva tambm roubar identidade digital e informao sensvel. 11 Mais traioeiro, funciona sem participao ou conhecimento do usurio. 11 Modifica a relao entre o nome de um site e o endereo IP do servidor web. Pharming usa as seguintes tcnicas: 11 DNS poisoning : envenenamento do cache de Domain Name System (DNS), ataque ao servidor de rede.
11 Hosts poisoning : envenenamento do arquivo de hosts da pilha TCP/IP, ataque estao de usurio. 11 Phone phreaking : escuta ou uso incorreto na rede telefnica.
11 Phishing : roubo de identidade na internet. 11 Pharming : redirecionamento para web site falso.
Preveno
11 Habilitar no antivrus proteo contra ameaas desconhecidas, analisando comportamento de arquivo suspeito (anlise heurstica). Novo ataque Drive-By Pharming (pharming casual). 11 Permite que o invasor modifique a configurao do modem ADSL da vtima se uma pgina web maliciosa for aberta.
158
11 Reconfigura servidores de DNS do modem ADSL. 11 Usa tcnica chamada de Cross Site Request Forgery (CSRF). 11 Site malicioso instrui computador do usurio a acessar modem e modificar configurao. 11 Nenhuma falha de segurana explorada, apenas senha vulnervel. 11 Preveno: alterar senha padro do modem ou roteador.
Endereo IP Identificao de um dispositivo (computador, impressora etc) em uma rede local ou pblica. Cada computador na internet possui um IP nico, que o meio que as mquinas usam para se comunicar na internet.
11 Regra de ouro de segurana: altere o padro, sempre que possvel: endereo IP, porta, usurio, senha etc.
Exerccio de fixao 2 e Pharming

Quais as medidas preventivas devem ser adotadas contra ataques pharming?
Bot
Programa malicioso que se propaga automaticamente, explora vulnerabilidades e pode ser controlado remotamente. Diminutivo de robot, utilitrio concebido para simular aes humanas. 11 Roda tarefa automatizada sobre a internet. 11 Usa Mensageiro Instantneo (MI) ou IRC para comunicao com master. 11 Usado no ataque automatizado DDoS formando botnets. 11 Anatomia de um bot: http://www.f-secure.com/v-descs/agobot_fo.shtml 11 Botnet: rede de computadores (bots) usando software de computao distribudo; formada por milhes de bots. 11 Symantec Internet Security Threat Report: nos primeiros seis meses de 2006, havia 4.696.903 computadores em botnets ativas.
11 Symantec e Kasper Sky Labs Report (30/01/2007): classifica a botnet como o maior perigo da internet.
Rootkit
11 Programa projetado para ocultar a si mesmo e outros programas, dados e atividades, incluindo vrus, backdoors, keylogger, spyware e bots. 11 Coleo de ferramentas que habilita acesso ao nvel de administrador (root).
q
11 Roda de modo que processos do Sistema Operacional ou antivrus no podem detect-lo. 11 Realiza download de trojan, vrus; transmite informao confidencial, com os mesmos privilgios do Sistema Operacional hospedeiro. O nome rootkit tem origem no mundo Unix PC/Linux, onde kit uma coleo de ferramentas que fornece poderes de superusurio root ao invasor.
159
Tecnologia rootkit em DRM da Sony

Rootkit instalado por CD da Sony BMG dificultando remoo do software DRM. 11 Instalado como filtro de acesso ao CD-ROM. 11 Esconde programa que probe ripar msicas do CD para o formato mp3. 11 Remov-lo impede acesso ao drive de CD. Digital Rights Management (DRM): 11 Tecnologia que controla cpia de dados multimdia como msicas e vdeo. Problemas de segurana: 11 Programa instalado sem conhecimento e autorizao do usurio. 11 Envia informaes para a Sony sem conhecimento e autorizao do usurio. 11 Trojan Backdoor.IRC.Snyd.A usou rootkit da Sony.
w
Em 31/10/2005, Mark Russinovich anunciou a descoberta em seu blog. O clamor foi grande e a Sony suspendeu a proteo contra cpia ilegal. Leia o anncio em: http:// blogs.technet.com/ markrussinovich/
Kernel malware
Kernel malware outro nome para rootkit. 11 Solues atuais, incluindo antivrus e firewalls, no foram projetadas para proteo contra kernel malware. 11 Est se popularizando e muitas ameaas tm alto interesse em rootkit.
Figura 9.5 O crescimento do kernel malware Fonte: http:// www.f-secure. com/weblog/ archives/00001118. html.
Preveno
11 No usar servidor como estao de trabalho de usurio ou de administrador. 11 Usar conta de administrador (root) apenas para instalao ou manuteno. 11 Execute antirootkit periodicamente em todas as mquinas.
Mailbot aka Costrat

11 o mais poderoso e oculto rootkit produzido. 11 Um nico driver kernel mode. 11 Transporta DLL cifrada com payload, que um spambot sofisticado com capacidade de backdoor.
160
Instrues para a remoo do Mailbot aka Costrat em Removing Mailbot.AZ (aka Rustok.A) Rootkit em: http://swatrant. blogspot.com/
w 11 Deteco e remoo so desafios para detentores de rootkit e solues de antivrus. q

Remoo: 11 AVG antirootkit. 11 ADS Spy (ou HijackThis).
Spear phishing
11 Ataques direcionados. 11 Mensagem parece vir de algum confivel. 22 Informaes do remetente falsas. 22 Quando voc clica no anexo, sua mquina infectada. 33 Processo transparente. 33 Anexo pode conter informaes aparentemente reais. 11 Spear phishing um tipo de ataque altamente direcionado; 11 Pessoa mal-intencionada fica na internet procurando formas de iludir o usurio;
11 Desde monitorar fruns tcnicos, para verificar suas necessidades de equipamentos, at o envio de currculos, se fazendo passar por um candidato; 11 Pessoa abre o arquivo anexo, pois tem a necessidade real (no curiosidade) daquela informao; 11 Aps infectada, a mquina da pessoa abre conexes com as mquinas mal-intencionadas, deixando que o atacante tenha acesso total mquina da vtima.
Valor por tentativas de ameaa
Novos ataques de Spear Phishing
Campanhas de spam tradicionais
Figura 9.6 Retorno de ataques Spear phishing em relao aos ataques tradicionais.
Nmero de ameaas por e-mail em cada campanha Campanhas de Spear phishing so enviadas para poucos destinatrios, mas oferecem maior retorno para os atacantes quando os destinatrios respondem a eles.
Pginas contaminadas
Pgina legtima atacada. 11 Contedo visual no alterado. 11 Utiliza falhas de XSS (cross site scripting) e SQL Injection (SQLi). 11 Scripts capazes de detectar tipo e verso do equipamento e do navegador utilizados.
161
Outra forma de ataque a explorao de falhas de Cross Site Scripting e de SQL injection em pginas de grandes instituies (confiveis), como provedores de acesso, comrcio eletrnico, jornais ou revistas. O atacante, em vez de alterar a pgina (ataque visualmente fcil de ser reconhecido), inclui scripts maliciosos na pgina. Os scripts sero entendidos e processados pelo seu navegador. Possibilidades: 11 Solicitao de confirmao de informaes pessoais. 11 Cdigo oculto na pgina, redireciona a pessoa para a pgina. 11 Possibilidade de download de plugin especfico para ver a pgina. 22 Como voc confia na pgina, voc clica e instala o plugin malicioso (malware qualquer). Entre as possibilidades desse ataque, tempos: 1. Incluso de uma pgina solicitando a confirmao dos dados. Como a pessoa confia na pgina, ela coloca seus dados. Porm, ela est colocando seus dados em uma pgina falsa. 2. Cdigo oculto, redireciona a pessoa para outra pgina, que pode conter somente propagandas ou outro tipo qualquer de software malicioso. 3. Pgina informa que a pessoa necessita atualizar algum plugin para visualizar algum tipo de contedo, geralmente um banner ou filme. A pessoa, confiando na pgina, faz o download desse plugin e o instala, porm o arquivo no lhe dar vantagem alguma. Ataques exploram falhas em navegadores e plug-ins: 11 Flash. 11 Java. 11 Adobe Reader. Alguns desses tipos de ataques exploram falhas em outros softwares, como o Flash, Java ou Adobe Reader.
Redes sociais
Redes sociais utilizadas para campanhas fraudulentas: 11 E-mail falso com convite para adicionar algum (conhecido ou no como amigo). 11 Ao clicar no convite, a pessoa redirecionado para uma pgina solicitando seu usurio e senha. 11 Tudo parece normal, porm a pgina falsa e est roubando os dados para futuro uso, incluindo roubo de identidade.
Explorao de fragilidades nas pginas das redes sociais. 11 Execuo de scripts. 11 Pessoa pode ser infectada somente ao visitar uma pgina. 11 Redes sociais tambm so utilizadas atualmente para fraudes; 11 Campanhas fraudulentas de todos os tipos so montadas, com foco em comunidades ou grupos de amigos; 11 Nesse tipo de golpe, a pessoa pode receber um e-mail, do tipo convite para adicionar um novo amigo sua rede de relacionamento;
162
11 O e-mail deve ser um desconhecido ou parecer vir de um amigo; 11 Ao clicar no convite, a pessoa redirecionada para uma pgina solicitando usurio e senha; 11 Tudo normal at ento, a no ser um detalhe: a pgina em questo falsa; 11 Aps colocar seus dados, a pgina apresenta um erro e a pessoa redirecionada final mente para a pgina real; 11 Porm, o atacante j possui os dados e pode efetuar alguns golpes, incluindo roubo de identidade. 11 Outra possibilidade com redes sociais a explorao de vulnerabilidades nas prprias pginas das redes sociais (pginas confiveis). 11 Mais uma vez um script mal-intencionado includo, e somente visitando a pgina infectada o navegador pode efetuar aes como entrar em outros sites, clicar outros links ou at mesmo infectar outras pginas e tudo isso completamente invisvel para o usurio.
Como se proteger
Spear Phishing, pginas contaminadas ou redes sociais: 11 Mantenha os softwares de sua mquina atualizados. 11 Verificar sempre situaes ou e-mails estranhos ou duvidosos. 11 Manter o software de antivrus sempre atualizado. 11 Comunicar qualquer situao estranha, anormal ou inesperada ao administrador da rede ou ao responsvel pela segurana da informao.
Exerccio de fixao 3 e Redes sociais

Que protees devem ser adotadas para evitar as fraudes em redes sociais?
SANS Top 20 Internet Security Attack Targets

11 Lanado no ano 2000 pelo SANS e NIPC (FBI). 11 Documento original: 22 As dez vulnerabilidades de segurana mais crticas da internet (Top 10). 11 Lista confivel e expandida para Top 20. 11 Indica as vulnerabilidades de segurana que devem ser priorizadas para tratamento.
nas listas SANS. 11 CAIS/RNP ampliou divulgao da SANS Top 20. 22 http://www.sans.org/top20/ 22 Esse recurso est desatualizado, porm suas informaes continuam vlidas, visando entender o que aconteceu e qual a evoluo das ameaas e das medidas de proteo.
163
11 Vulnerabilidades exploradas por worms como Blaster, Slammer e CodeRed estiveram
Como se manter atualizado, quando o assunto segurana?

Sendo a rea de segurana bem abrangente, no existe uma resposta objetiva. Depende do que voc est buscando, de seus interesses e ramo de atuao. 11 Mailling Lists. 11 Blogs. 11 Twitter. Durante muito tempo, listas de distribuio de e-mail, tambm conhecidas como mailling lists, foram a forma mais rpida e objetiva para trocar informaes e manter-se informado. Com o crescente volume de mensagens ficava difcil filtrar e ler tudo sobre um determinado assunto (e continua assim). Mesmo ainda existindo e sendo bem valiosas em termos de informao, as listas de distribuio de e-mail servem mais para debates e troca de informaes do que propriamente para manter as pessoas informadas. Para essa finalidade (manter as pessoas informadas) os blogs e microblogs tm ganho cada vez mais espao. O Twitter atualmente a melhor alternativa para quem deseja manter-se atualizado. Atravs dele, h a opo de seguir tanto empresas como pessoas. Quanto mais gente, mais mensagens sero recebidas, porm tudo via web. A grande vantagem so os textos reduzidos. Quem posta alguma coisa no Twitter tem no mximo 140 caracteres para se expressar. A leitura por parte do usurio rpida. Se o usurio achou o texto interessante, pode efetuar uma busca mais detalhada sobre o tema ou clicar e ler o texto completo (quando existe essa possibilidade).
Existem clientes Twitter para a maioria das plataformas de celular, assim como alguns
clientes para Windows, como o Tweetdeck (http://www.tweetdeck.com/).
Figura 9.7 Pgina de abertura do Twitter.
164
Figura 9.8 Tela ilustrativa do TweetDeck.
Uma compilao com mais de 380 profissionais e 95 entidades/empresas da rea de segurana da informao pode ser encontrada em http://tinyurl.com/TwitterSeg Sugestes para comear: 11 http://twitter.com/g1seguranca 11 http://twitter.com/seginfo 11 http://twitter.com/FSecure 11 https://twitter.com/modulogrc Na linha de blogs existe tambm muita coisa boa escrita em portugus. Uma compilao de mais de 100 blogs brasileiros pode ser encontrado em http://tinyurl.com/blogseg Existem outros sites sobre segurana, alguns muito teis, como: 11 Site do Centro de Atendimento a Incidentes de Segurana da RNP, com alertas de segurana: http://www.rnp.br/cais/alertas/ 11 Site dedicado a ajudar usurios com problemas de segurana com matrias informativas: http://www.linhadefensiva.org/ 11 O site conhecido como Internet Storm Center (ISC) mantm atualizaes dirias: http://isc.sans.org 11 Site de um grupo especializado em segurana da informao com informaes atualizadas: http://www.team-cymru.org/News/ 11 Inscreva-se na lista de e-mail desse site e receba as principais notcias por e-mail:
https://lists.cymru.com/mailman/listinfo/ians_dragon_newsbytes Vale sempre lembrar que a internet nasceu em territrio americano, assim, muito material ainda escrito e divulgado em ingls, valendo a pena o estudo dessa lngua, para os que desejam focar sua carreira na segurana da informao. Manter-se atualizado pode ser uma tarefa difcil: s vezes, por causa da falta de informao sobre assuntos especficos; outras vezes por causa de excesso de informao, que acaba nos tomando um tempo muito grande. preciso saber filtrar o que realmente til e interessante.
165
166
Atividade 9.1 Conceitos de malware
1. Teste seus conhecimentos sobre phishing: 11 http://www.microsoft.com/canada/smallbiz/sgc/quiz.mspx 11 http://www.mailfrontier.com/forms/msft_iq_test.html 11 http://www.sonicwall.com/furl/phishing/ 2. Entre no site da Web of Trust (http://www.mywot.com/): 11 Teste a reputao de alguns sites conhecidos. 11 Caso deseje, instale tambm esse add-on. 3. Instale o pacote antiscam do EarthLink. 11 http://www.earthlink.net/software/domore.faces?tab=toolbar 11 Navegue nos sites de sua preferncia verificando o status do plug-in.
Atividade 9.2 Antirootkit

1. Verifique as alternativas de anti-rootkits, nomes, plataformas e licenas de uso em: http://www.antirootkit.com/software/index.htm 1.1.Escolha um pacote compatvel com sua plataforma e instale. 1.2.Examine o computador em busca de rootkits. 2. Instale o pacote chrootkit:
# apt-get install chrootkit

3. Para fazer uma varredura no computador execute:
#chrootkit
Quais problemas foram encontrados no seu computador?
167
168
10
Fundamentos de segurana da informao
objetivos
Apresentar os fundamentos de segurana da informao, as normas existentes sobre o assunto e a importncia nas organizaes; explicar a relao entre o Cobit e a segurana da informao.
conceitos
Segurana da informao, vulnerabilidades e descarte de informao.
Introduo
A segurana da informao transcende a informtica. 11 No existe sistema 100% seguro. 11 O elo mais fraco da corrente sempre ser o ser humano. 11 Os riscos e as vulnerabilidades transcendem o mundo tecnolgico. 11 Vulnerabilidades fsicas, tecnolgicas e humanas estaro sempre presentes. 11 Necessidade de assumir, gerenciar e gerir riscos. A informao um dos bens mais preciosos que uma empresa pode ter. Planejamentos estratgicos, folhas de pagamento, projetos secretos e dados de clientes so apenas alguns
exemplos de informaes sensveis que uma empresa pode ter. Com a chegada da tecnologia, vieram as facilidades da informtica para guardar, gerenciar e apresentar a informao ( importante lembrar que o termo informtica derivado de informao automtica). Hoje temos conscincia de que o objetivo da informtica a manipulao da informao, o que deu origem ao termo Tecnologia da Informao (TI). Na rea de segurana, surge o termo Segurana da Informao, para representar tudo que diz respeito proteo da informao, eletrnica ou no. O que segurana da informao? rea do conhecimento dedicada proteo dos ativos da informao contra acessos no autorizados, alteraes indevidas ou indisponibilidade.
169
Captulo 10 - Fundamentos de segurana da informao
Por que proteger as informaes? 11 Pelo seu valor direto; 11 Pelo impacto de sua ausncia; 11 Pelo impacto resultante de seu uso por terceiros; 11 Pela relao de dependncia com a sua atividade.
Fundamentos
Quando proteger as informaes? 11 Durante seu ciclo de vida. Manuseio. 11 Momento em que a informao criada e utilizada, incluindo coleta. 11 Armazenamento da informao.
Fsicos ATIVOS
agenda sala arquivos cofre
Tecnolgicos
sistema e-mail servidor notebook
Humanos
funcionrio parceiro secretria porteiro
Manuseio
Descarte
Ciclo de vida da informao
Armazenamento
Figura 10.1 O Ciclo de Vida da Informao e alguns de seus ativos.
Transporte
Transporte
11 Importante etapa que inclui conectividade da rede (e-mail, fax, carta etc.); 11 A divulgao faz parte dessa etapa, pois transporta a informao de um ponto a outro; 11 Processamento um misto entre transporte e manuseio.
Descarte
11 Eliminao total e completa da informao; 11 Onde proteger as informaes? Nos ativos que as custodiam. O que proteger nas informaes? Os atributos: 11 Confidencialidade; 11 Integridade; 11 Disponibilidade.
170
Os aspectos: 11 Autenticidade: 22 Autenticao; 22 Autorizao; 22 Auditoria; 11 Legalidade. 11 Podem ser atingidos por explorao de falha ou vulnerabilidade presente em ativo. 11 Do que proteger as informaes? Ameaas: 11 Fsicas: 22 Incndio; 22 Inundao; 22 Curto circuito; 22 Apago. 11 Tecnolgicas: 22 Vrus; 22 Bug software; 22 Defeito tcnico; 22 Invaso web. 11 Humanas: 22 Sabotagem; 22 Fraude; 22 Erro humano; 22 Descuido.
Conceitos bsicos
11 Confidencialidade: 22 Garante que a informao seja acessada somente por pessoas autorizadas. 11 Integridade: 22 Salvaguarda da exatido, completeza da informao e dos mtodos de processamento. 11 Disponibilidade: 22 Garantia de que os usurios autorizados obtenham acesso informao e aos ativos correspondentes, sempre que necessrio. 11 Informao: 22 So todos os dados de uma empresa, independentemente do formato em que se encontram. Est presente nos ativos, que so alvo da proteo da segurana da informao. 11 Ativo: 22 Todo elemento que contm informao, inclusive a informao em si. Exemplos: servidores, discos, roteadores, arquivos, pastas, pessoas etc.
171
11 Vulnerabilidade: 22 Falha presente no ativo e explorada por ameaa que causa quebra na segurana. 11 Ameaa: 22 Explora vulnerabilidade presente no ativo, que custodia informao causando impacto (incidente ou falha de segurana) no negcio. 11 Ameaas: 22 Naturais: 33 Provenientes da natureza, como enchentes, raios etc. 22 Involuntrias: 33 Causadas por acidentes ou erros provocados por usurios e administradores de sistema. 22 Voluntrias: 33 Causadas propositadamente por usurios maliciosos e invasores de sistemas.
Padres existentes de segurana

11 Norma. 22 Aponta o que fazer na administrao da segurana da informao. 11 Metodologia (em conformidade com a norma). 22 Aponta como fazer a administrao da segurana da informao. 11 Norma + metodologia = melhores prticas (best practice). Documentos que tornam a segurana da informao previsvel e tratvel: 11 RFC 2196: Site Security Handbook. 11 ISO 27001. 11 Control Objectives for Information and Related Technology (Cobit).
RFC 2196: Site Security Handbook

11 Site oficial: http://www.ietf.org/rfc/rfc2196.txt 11 Poltica traduzida: http://penta.ufrgs.br/gereseg/rfc2196/ 11 Propsito de fornecer um guia de implantao de polticas de segurana de computadores e procedimentos para sites que tm sistemas na internet. 11 Pblico-alvo: administradores de sistemas e redes, tomadores de deciso, gerentes dos sites. Esse manual um guia para desenvolvimento de polticas de segurana de computador e
procedimentos para sites que tm seus sistemas na internet. O propsito desse manual proporcionar um guia prtico aos administradores, tentando tornar segura uma grande variedade de informaes e servios. Os assuntos abordados incluem os contedos de poltica e formao, tpicos tcnicos de segurana de redes e, tambm, reaes a incidentes de segurana. O enfoque desse documento est nas polticas e procedimentos que precisam ser usados para viabilizar as caractersticas tcnicas de segurana que um site deve implementar.
172
Guia bsico em cinco passos: 11 Identifique o que est tentando proteger; 11 Determine do que est tentando se proteger; 11 Determine a probabilidade das ameaas; 11 Implemente medidas que protegero recursos importantes de maneira efetiva; 11 Revise o processo continuamente, fazendo melhorias cada vez que encontrar uma falha.
Lema
O custo da proteo contra uma ameaa deve ser menor que o custo da recuperao no caso de ser atingido pela ameaa ( melhor prevenir que remediar). 1. Introduo. 2. Polticas de segurana. 3. Arquitetura: 11 Parte 1 Plano de segurana. 11 Parte 2 Proteo de servios. 4. Servios de segurana e procedimentos: 4.1.Servios e procedimentos seguros. 4.2.Autenticao. 4.3.Confiana. 4.4.Integridade. 4.5.Autorizao. 4.6.Acesso. 4.7.Auditoria. 4.8.Proteo de backups. 5. Tratamento de incidentes de segurana. 6. Atividades em andamento. 7. Ferramentas e endereos. 8. Mailing list.
RFC 3227
O manual Site Guidelines for Evidence Collection and Archiving um guia para o desenvolvimento de polticas para respostas a incidentes de segurana. Site oficial: http://www.ietf.org/rfc/rfc3227.txt Propsito: 11 Guia de melhores prticas e procedimentos para respostas a incidentes de segurana em sistemas na internet. Pblico-alvo: 11 Administradores de sistemas e redes, tomadores de deciso e gerentes dos sites.
173
ISO 27001
Certificao NBR ISO / IEC 27001:2005. 11 ISO 27000 (Segurana da Informao). Evoluiu da norma britnica BS7799. 11 BS7799-1: 22 Introduo, definio de extenso e condies principais de uso da norma. 22 Disponibiliza 148 controles divididos em dez partes distintas. 22 Referncia para implementar boas prticas de segurana. 11 BS7799-2: 22 Define requisitos para um Sistema de Gesto de Segurana da Informao. A norma ISO 27001 define dez reas de conformidade: 1. Poltica de segurana Define orientaes para a segurana da informao: como usar a informao, quem deve us-la e as punies aplicadas aos que no agirem em conformidade com a poltica. 2. Segurana organizacional Define a estrutura responsvel pela gerncia da segurana. Sugere a criao de rea espe cializada em segurana da informao e contatos com especialistas externos. 3. Classificao e controle dos ativos Define recomendaes para a classificao dos ativos de informao. Dever garantir que cada ativo receba nvel de proteo adequado, seja inventariado e tenha um responsvel. 4. Segurana sobre pessoas Define recomendaes para a atribuio de responsabilidades de segurana a pessoas da organizao, visando reduzir problemas como erro humano, roubo, fraude etc. 5. Segurana fsica e do ambiente
Estabelece permetro fsico de segurana, para que as instalaes estejam protegidas contra ameaas externas. Recomenda que recursos e instalaes sejam mantidos em reas com nvel de segurana adequado e sejam empregados controles de acesso. 6. Gerenciamento das operaes e comunicaes Define recomendaes para garantir o funcionamento seguro e correto dos recursos computacionais e da comunicao entre eles. Inclui a segurana dos computadores
individualmente e da rede. 7. Controle de acesso Define formas e permisses de acesso informao, ligadas aos conceitos de autenticao e autorizao. O gerenciamento de senhas de usurios faz parte desse item. 8. Desenvolvimento e manuteno de sistemas Recomendaes para o desenvolvimento de sistemas, de modo a incluir controles de segurana. Inclui criptografia, validao de dados, autenticao e assinaturas digitais.
174
9. Gesto da continuidade do negcio Regras para minimizar a interrupo das atividades, no caso de incidente de segurana. Define plano de continuidade de negcio (PCN), e uma estratgia para garantir que a instituio continue funcionando na ocorrncia de desastres e falhas. 10. Conformidade Consiste em evitar conflito com outras leis vigentes. Inclui direitos autorais, propriedade de software, privacidade pessoal e uso indevido, entre outros. 11 Implementa modelo de gesto de segurana da informao dentro de parmetros internacionais para um bom ambiente de negcios. 11 Garante segurana das prticas internas e informaes para parceiros e clientes. 11 Selo com mesmo reconhecimento de mercado alcanado pelas famlias: 22 ISO 9000 (qualidade). 22 ISO 14000 (prticas ambientais). 11 Define dez reas de conformidade: 1. Poltica de segurana. 2. Segurana organizacional. 3. Classificao e controle dos ativos. 4. Segurana de pessoas. 5. Segurana fsica e do ambiente. 6. Gerenciamento das operaes e comunicaes. 7. Controle de acesso. 8. Desenvolvimento e manuteno de sistemas. 9. Gesto da continuidade do negcio. 10. Conformidade. Empresas brasileiras certificadas ISO/IEC 27001 (1/2/2012): Name of the Organization Atos Origin Brasil Ltda. Axur Information Security BT BT Global Services So Paulo SOC/NOC Cardif do Brasil Vida e Previdncia S/A CIP Cmara Interbancria de Pagamentos Fucapi-Fundao IBM ITD Brazil Country Brazil Brazil Brazil Brazil Brazil Brazil Brazil Brazil Certificate Number IS 98429 IS 509742 LRQ 4003984 4003984 IS 521855 IS 96934 IS 504391 62691 Certification Body
BSI BSI LRQA LRQA BSI BSI BSI Bureau Veritas Certification Brazil BSI
Mdulo Security Solutions S/A
Brazil
IS 510466
175
Name of the Organization Poliedro - Informtica, Consultoria e Servios Ltda. Prodesp Promon Engenharia Ltda. Promon Tecnologia Ltda. Samarco Minerao S/A SERASA S.A. Servio Federal de Processamento de Dados SERPRO Superior Tribunal de Justia Telefonica Empresas S/A Tivit Tecnologia da Informao S.A. TIVIT Terceirizao de Tecnologia e Servios S.A. T-Systems Brazil T-Systems do Brasil Ltda. UNISYS Global Outsourcing Zamprogna S/A Importao
Country Brazil Brazil Brazil Brazil Brazil Brazil Brazil
Certificate Number 44121081309 IS 512881 IS 500248 IS 500564 IS 524157 262326 ISMS IS 515421
Certification Body BSI BSI BSI BSI BSI DQS BSI
Brazil Brazil Brazil Brazil
IS 538457 IS 501039 00017-2006-AIS-OSL-NA 16203-2007-AIS-BRA-NA 336227 ISMS 341898 ISMS IS 97102 IS 518855
BSI BSI DNV DNV
Brazil Brazil Brazil Brazil
DQS DQS BSI BSI

Tabela 10.1 Empresas brasileiras certificadas com o ISO/IEC 27001.
A Mdulo Security foi a primeira empresa do mundo a obter a certificao ISO 27001. Software de verificao de conformidade com a norma: 11 Callio Secura 17799 /27001: http://www.callio.com/ 11 The Security Risk Management Toolkit: http://www.risk.biz/iso27001.html A norma estabelece um Sistema de Gesto de Segurana da Informao (SGSI) implementado em oito fases: 1. Inicializao do projeto. 2. Definio do SGSI. 3. Anlise de riscos.
q
w
Mais informaes sobre a ISO 27001: http://www.iso27001se curity.com/, http://www.callio.com/ e http://www.modulo. com.br
4. Tratamento de riscos. 5. Treinamento e conhecimento. 6. Preparao para auditoria. 7. Auditoria. 8. Controles e melhoramentos contnuos.
176
Cobit
Common Objectives for Information and related Technology (Cobit). 11 Metodologia criada pela Information Systems Audit and Control Association (Isaca) http://www.isaca.org/ , atravs do IT Governance Institute (http://www.itgi.org/). 11 uma estrutura de relaes e processos para dirigir e controlar o ambiente de TI, orientada s metas da organizao e gesto de TI. 11 O Cobit no uma metodologia especfica para segurana da informao, mas sim uma metodologia para gesto de TI que contm alguns aspectos de segurana da informao. Common Objectives for Information and Related Technology (Cobit) uma metodologia criada pela Isaca atravs do IT Governance Institute. Longe de ser uma metodologia espe cfica para segurana da informao, o Cobit foi concebido para a gesto de TI e contm alguns aspectos relacionados segurana da informao. Orientada a metas, possui uma estrutura de relao e processos para dirigir e controlar o ambiente de TI. 11 IT Governance Institutes: http://www.itgovernance.org 11 Information System Audit & Control Association: http://www.isaca.org/cobit.htm O Cobit est dividido em quatro domnios: 11 Planejamento e organizao. 11 Aquisio e implementao. 11 Entrega e suporte. 11 Monitorao. Abaixo as subdivises do Cobit em seus domnios com seus detalhes. 11 Processos de Planejamento e Organizao; 11 Define plano estratgico de TI; 11 Define arquitetura da informao; 11 Determina direo tecnolgica; 11 Define organizao de TI e relacionamentos; 11 Gerencia investimento de TI;
11 Gerencia recursos humanos; 11 Assegura alinhamento de TI com requerimentos externos; 11 Avalia os riscos; 11 Gerencia os projetos; 11 Gerencia a qualidade.
Processos de Aquisio e Implementao

11 Desenvolve e mantm os procedimentos; 11 Instala e certifica softwares; 11 Gerencia as mudanas; 11 Identifica as solues de automao;
177
11 Gerencia comunicao das direes de TI;
11 Adquire e mantm os softwares; 11 Adquire e mantm a infraestrutura tecnolgica.
Processos de Entrega e Suporte

11 Define e mantm os acordos de nveis de servios (SLA); 11 Gerencia os servios de terceiros; 11 Gerencia performance e capacidade do ambiente; 11 Assegura a continuidade dos servios; 11 Assegura a segurana dos servios; 11 Identifica e aloca custos; 11 Treina os usurios; 11 Assiste e aconselha os usurios; 11 Gerencia a configurao; 11 Gerencia os problemas e incidentes; 11 Gerencia os dados; 11 Gerencia a infraestrutura; 11 Gerencia as operaes.
Processos de Monitorao
11 Monitora os processos; 11 Analisa a adequao dos controles internos; 11 Prov auditorias independentes; 11 Prov segurana independente.
Outras normas, padres e leis

Existem vrias outras normas, padres, leis e documentos sobre segurana da informao. Alguns desses documentos so genricos, outros especficos para diferentes ramos de atividade. Existem, por exemplo, documentos e especificaes diferentes para empresas do ramo financeiro e para empresas do ramo mdico.
A ABNT possui uma srie de documentos chamada de famlia 27000. Esses documentos podem ser utilizados como base para quem deseja comear a implementao de procedimentos de segurana em suas empresas. Os documentos possuem cdigos de prtica e diretrizes para a implementao de segurana da informao, incluindo documentos sobre gesto de risco.
Famlia 27000
11 ABNT NBR ISO/IEC 27001:2006. 22 Sistemas de gesto de segurana da informao requisitos. 11 ABNT NBR ISO/IEC 27002:2005.
22 Cdigo de prtica para a gesto da segurana da informao. 11 ABNT NBR ISO/IEC 27003:2011. 22 Diretrizes para implantao de um sistema de gesto da segurana da informao. 11 ABNT NBR ISO/IEC 27004:2010. 22 Gesto da segurana da informao medio. 11 ISO/IEC 27005:2011. 22 Gesto de Riscos de Segurana da Informao.
178
11 ISO/IEC 27006:2011. 22 Especifica requisitos e fornece orientaes para os organismos que prestem servios de auditoria e certificao de um sistema de gesto da segurana da informao.
Sarbanes Oxley (SOX)

11 Criada depois de diversos escndalos financeiros ocorridos em grandes companhias nos Estados Unidos. 11 Composta por 11 ttulos. 11 Diz respeito responsabilidade corporativa pela veracidade de contedo dos relat rios financeiros produzidos e pelo gerenciamento e avaliao dos controles internos. 11 Voltada principalmente para companhias de capital aberto com aes nas bolsas de valores ou com negociao na Nasdaq (bolsa de valores das empresas de tecnologia). 11 Aperfeioa os procedimentos de demonstrao e de governana corporativa. 11 Definem as responsabilidades de gerenciamento nos relatrios anuais e semestrais. A lei Sarbanes Oxley visa garantir a criao de mecanismos de auditoria e segurana confi -
veis nas empresas, de modo a mitigar riscos aos negcios e evitar a ocorrncia de fraudes ou assegurar que haja meios de identific-las quando ocorrem, garantindo a transparncia na gesto das empresas. Atualmente grandes empresas com operaes financeiras no exte rior seguem essa lei.
PCI-DSS
11 Padro de segurana de dados desenvolvido pela indstria de pagamentos de cartes. 11 Deve ser utilizado como guia para ajudar as organizaes a prevenir fraudes de carto de crdito, pirataria e outras questes de segurana. 11 https://pt.pcisecuritystandards.org/
Visando proteger a privacidade dos consumidores portadores de carto de crdito, algumas bandeiras de carto de crdito criaram um conselho com a finalidade de criar e recomendar as melhores prticas de segurana de dados, para que sejam seguidas pelos estabelecimentos comerciais que aceitam cartes de crdito como forma de pagamento.
O PCI-DSS se aplica a toda e qualquer empresa que coleta, processa, armazena ou transmite informao de carto de crdito, estando, portanto, obrigada a se adaptar ao padro. O PCI-DSS contempla 12 requerimentos bsicos que tm por objetivo: 11 Manter a rede de dados segura; 11 Proteger as informaes de portadores de carto de crdito; 11 Manter um programa de gerenciamento de vulnerabilidades; 11 Implementar forte controle de acessos; 11 Manter poltica de segurana de informaes.
179
Documentao GSI/DSIC
11 Norma Complementar 01: 22 Estabelecer critrios e procedimentos para elaborao, atualizao, alterao, aprovao e publicao de normas complementares sobre Gesto de Segurana da Informao e Comunicaes, no mbito da Administrao Pblica Federal, direta e indireta 11 Norma Complementar 02: 22 Metodologia de Gesto de Segurana da Informao e Comunicaes. 11 Norma Complementar 03: 22 Diretrizes para a Elaborao de Poltica de Segurana da Informao e Comunicaes nos rgos e Entidades da Administrao Pblica. 11 Norma Complementar 04: 22 Diretrizes para o processo de Gesto de Riscos de Segurana da Informao e Comunicaes - GRSIC nos rgos e entidades da Administrao Pblica Federal. 11 Norma Complementar 05: 22 Disciplina a criao de Equipes de Tratamento e Respostas a Incidentes em Redes Computacionais - ETIR nos rgos e entidades da Administrao Pblica Federal. O Departamento de Segurana da Informao e Comunicaes (DSIC) o brao normativo
do Gabinete Institucional de Segurana (GSI). Dentre seus objetivos destacam-se a produo de documentao referente segurana ciberntica na Administrao Pblica Federal. Alm das Normas Complementares mencionadas acima, podemos encontrar uma vasta documentao sobre segurana da informao e comunicaes em http://dsic.planalto.gov.br.
180
Atividade 10.1 Segurana da informao
1. A segurana da informao consiste de trs pilares bsicos: confidencialidade, integridade e disponibilidade. Classifique os problemas de segurana abaixo de acordo com um (ou mais) destes pilares. Todos os problemas de segurana podem ser mapeados em uma destas caractersticas? 11 Uso incorreto de criptografia; 11 Acesso aos documentos sigilosos da organizao por pessoas no autorizadas; 11 Servidores da organizao sem plano de contingncia ou backup; 11 Site de comrcio eletrnico sem proteo para transaes eletrnicas; 11 Modificao de notas escolares por um aluno atravs do sistema da escola.
Atividade 10.2 Vulnerabilidades

1. Quais as vulnerabilidades de sua estao de trabalho? Veja em: http://secunia.com/software_inspector
Atividade 10.3 Descartes

1. A etapa do descarte importante, visto que a informao, em muitos casos, possui prazo de validade. Algumas empresas estabelecem procedimentos de descarte at para informaes pessoais, como correio eletrnico e papis, de forma a prevenir que caiam em mos erradas. Aparelhos como picotadoras so utilizados para o descarte seguro de informaes, no caso de informao em papel. Determine o tempo que voc levaria para armazenar cada uma das seguintes informaes, caso fosse o responsvel por elas: 11 Logs de sistema; 11 Arquivos de correio eletrnico; 11 Notas fiscais; 11 Fitas de backup.
181
2. Nos dias atuais, devemos sempre nos preocupar com o descarte de informaes. Existem no mercado diversas solues para recuperao de dados apagados, mesmo que o usurio formate o disco rgido. Baixe e instale o programa Eraser em http://eraser.heidi.ie/download.php e utilize-o para apagar arquivos em seu computador de maneira segura.
Figura 10.2 Eraser.
182
Bibliografia
11 Administrao e segurana da informao: http://www.informabr.com.br/nbr.htm#3 11 APWG Committed to wiping out internet scams and fraud: http://www.antiphishing.org/ 11 Ataques DoS: http://www.cert.org/tech_tips/denial_of_service.html 11 BEAL, Adriana. Segurana da Informao Princpios e melhores prticas para a proteo dos ativos de informao nas organizaes. Editora Atlas. 11 Cartilha de segurana: http://cartilha.cert.br/ 11 Comrcio eletrnico e segurana na internet: http://www.serpro.gov.br/publicacao/tematec/1997/ttec35 11 Como funciona o dinheiro? http://dinheiro.hsw.com.br/dinheiro6.htm 11 Como funciona o phishing: http://informatica.hsw.com.br/phishing.htm 11 Comunicao cliente/servidor com sockets: http://www.imasters.com.br/artigo/2414/dotnet/usando_a_comunicacao_ cliente_-_servidor_com_sockets/ 11 Criptografia Numaboa: http://www.numaboa.com/content/section/11/57/ 11 CSIRT Unicamp: http://www.security.unicamp.br/links.html 11 Defesa de permetros: http://www.magicweb.com.br/afreire/defesaperimetros_vi.htm 11 DIERKS, T.; ALLEN, C. The TLS Protocol, Version 1.0. Network Working Group, Request for Comments: 2246, Category: Standards Track. 1999. 11 Especialista em segurana da informao: http://www.semola.com.br 11 FRASER, B. RFC 2196 Site Security Handbook. Editor SEI/CMU, 1997. http://www.faqs.org/rfcs/rfc2196.html 11 FREIER, Alan O. et alli. The SSL Protocol, Version 3.0. Transport Layer Security Working Group. Internet draft: http://wp.netscape.com/eng/ssl3/draft302.txt 11 Informaes sobre spyware: http://www.microsoft.com/protect/computer/spyware/default.mspx 11 Informaes sobre vrus: http://br.mcafee.com/virusInfo/default.asp 11 Introduo ao DHCP: http://www.rnp.br/newsgen/9911/dhcp.html
Bibliografia
183
11 IP Spoof: http://www.hackemate.com.ar/ezines/the_virii_hacking_guide/ vhg01/ip_spoof.html 11 KAEO, Merike. Designing Network Security. Cisco Press, 1999. 11 KASSLIN, Kimmo et al. Kernel Malware: The attack from within: http://www.f-secure.com/weblog/archives/kasslin_AVAR2006_KernelMalware_paper.pdf 11 Manual de criptografia GnuPG: http://docs.indymedia.org/view/Sysadmin/GnuPGpt 11 NBSO. Cartilha de segurana para internet. Verso 2.0. Maro de 2003. Copyright NBSO. http://www.nbso.nic.br/docs/cartilha/ 11 NIC BR Security Office Brazilian Computer Emergency Response Team. Prticas de segurana para administradores de redes internet. Verso 1.2, 2003. http://www.nbso.nic.br/docs/seg-adm-redes/ 11 Norma NBR ISO/IEC 17799 Tecnologia da informao Cdigo de prtica para a gesto da segurana da informao. 11 O que so vrus, worms e cavalos de troia? http://www.microsoft.com/brasil/athome/security/viruses/virus101.mspx 11 OMAHONY, D.; PEIRCE, M.; TEWARI, H. Electronic Payment Systems. Artech House, 1997. ftp://ftp.isi.edu/in-notes/rfc2246.txt 11 Pequeno histrico sobre o surgimento de normas de segurana: http://www.lockabit.coppe.ufrj.br/rlab/rlab_textos?id=69 11 Portas TCP e UDP: http://www.infowester.com/portastcpudp.php 11 Proteo contra rede banda larga: http://www.symantec.com/pt/br/about/news/release/article. jsp?prid=20070216_01 11 Proteja-se contra fraudes on-line: http://www.microsoft.com/brasil/athome/security/online/phishing_filter.mspx 11 Rede privada virtual: http://www.rnp.br/newsgen/9811/vpn.html 11 Revista de segurana: http://www.linuxsecurity.com.br/revista/LinuxSecurityMagazine-Outubro02.pdf 11 SANS: http://www.sans.org/rr 11 SCHNEIER, Bruce. Applied Cryptography: Protocols, Algorithms, and Source Code in C. Wiley. 1995.
11 Segurana em roteador: http://www.rnp.br/newsgen/9903/seg-router.html 11 SMOLA, Marcos. Gesto da segurana da informao uma viso executiva. Ed. Campus, 2002. 11 SOARES, L. F. Gomes et alli. Das LANs, MANs, WANs s redes ATM. Ed. Campus, 1995. 11 TANEMBAUM, Andrew. Computer Networks. Prentice Hall PTR, 2002.
184
11 Tticas de defesa DDoS: http://www.iwar.org.uk/comsec/resources/dos/ddos-defense.pdf 11 TCP/IP: http://www.pop-rs.rnp.br/ovni/tcpip/ 11 Tneis seguros de VPNs: http://br.attachmate.com/pt-BR/TechTalks/Secure+Tunnels.htm 11 WOOD, Charles C. Information Security Policies Made Easy. Baseline Software, 2001.
185
Bibliografia
186
Ivo de Carvalho Peixinho Bacharel em Cincia da Computao pela UFBA e Especialista em Gesto de Segurana da Informao pela UnB. Possui mais de 15 anos de experincia na rea de Segurana da Informao. Foi Diretor Tcnico na XSite Consultoria e Tecnologia e Analista de Suporte na Universidade Federal da Bahia. Em 2004 atuou como Analista de Segurana Snior no CAIS/ RNP por dois anos, e atualmente Perito Criminal Federal do Departamento de Polcia Federal desde 2007, lotado no Servio de Represso a Crimes Cibernticos - SRCC/CGPFAZ/ DICOR/DPF. professor de ps-graduao nas disciplinas de Anlise Forense em Sistemas Unix e Anlise de Malware, e palestrante em diversos eventos nacionais e internacionais como GTS, Seginfo, CNASI, ICCyber e FIRST.
O livro de apoio ao curso Introduo Segurana de
LIVRO DE APOIO AO CURSO
Redes fornece conhecimentos introdutrios da rea de segurana, atravs da apresentao dos conceitos bsicos sobre segurana de redes, com apoio de atividades prticas em laboratrio. Aborda a histria da segurana fsica e lgica, apresenta um panorama atual da rea (vulnerabilidades, tipos de ataques mais comuns, estatsticas), arquitetura TCP/IP (endereamento, servios, dres e normas de segurana da informao. Este livro inclui os roteiros das atividades prticas e o contedo dos slides apresentados em sala de aula, mento em suas organizaes ou localidades de origem.
ISBN 978-85-63630-23-0
9 788563 630230

Introdução À Segurança de Redes

Uploaded by

Document Information

Original Title

Copyright

Share this document

Share or Embed Document

Sharing Options

Did you find this document useful?

Is this content inappropriate?

Copyright:

Introdução À Segurança de Redes

Uploaded by

Copyright:

Introduo

Rio de Janeiro Escola Superior de Redes 2013

Escola Superior de Redes

Escola Superior de Redes

1. Introduo, histrico e princpios bsicos de segurana

2. Conceitos de segurana fsica e segurana lgica

3. Panorama atual da rea de segurana

4. Arquitetura TCP/IP conceitos bsicos

5. Arquitetura TCP/IP e segurana

8. Poltica de segurana da informao

10. Fundamentos de segurana da informao

Escola Superior de Redes

Convenes utilizadas neste livro

Segurana, listas de discusso de segurana e ameaas digitais.

Exerccio de nivelamento 1 e Informao

Exerccio de fixao 1 e Segurana de redes

Quais so as trs caractersticas bsicas da segurana da informao?

Captulo 1 - Introduo, histrico e princpios bsicos de segurana

Introduo Segurana de Redes

Figura 1.1 Os assuntos abordados no Orange Book.

Information Labels Authorizations

Introduo Segurana de Redes

Figura 1.3 Infeco pelo worm Code Red.

Decreto n 3505, de 13 de junho de 2000

Princpios bsicos de segurana

Exerccio de fixao 2 e Princpios bsicos de segurana

Introduo Segurana de Redes

Explique o que defesa em profundidade e cite um exemplo.

Princpios bsicos de segurana

Introduo Segurana de Redes

11 Cavalos de troia (trojan horses); 11 Spyware; 11 Bot; 11 Engenharia social;

Introduo Segurana de Redes

Segurana fsica, solues open source e nveis de segurana.

Exerccio de nivelamento 1 e Conceitos de segurana fsica e segurana lgica

Segurana dos equipamentos

Segurana externa e de entrada

Segurana da sala de equipamentos

Captulo 2 - Conceitos de segurana fsica e segurana lgica

Figura 2.1 Exemplo de sala-cofre (Fonte: Aceco TI: http://www.aceco. com.br).

Figura 2.2 Permetros de segurana.

Exerccio de fixao 1 e Segurana em permetro

Captulo 2 - Conceitos de segurana fsica e segurana lgica

Segurana dos equipamentos

Figura 2.3 Tranca para gabinete de computador.

Figura 2.4 Gabinete de computador com porta e chave.

Ethernet RS-232 Servidor 1 Servidor 2

Figura 2.5 Redundncia: importante contra falhas.

Host Based Array

Controller Based Array

Introduo Segurana de Redes

Controladora RAID Congurada para faixa de 4K

Duas gravaes de 4k separadas (uma para cada driver)

Data Drive 0 Mirror 0

Controladora RAID Congurada para faixa de 4K

Uma gravao de 20k Uma gravao de 80k Duas gravaes de 4k separadas

Stripe 1 Stripe 5 ECC 6-8 Stripe 9 Stripe 13 Stripe 17 ECC 18-20

Stripe 2 ECC 3-5 Stripe 6 Stripe 10 Stripe 14 ECC 15-17 Stripe 18

Quantidade mnima de discos 2 2 3 4

Volume de dados (teis)

Tolerncia falha 0 (nenhuma) n-1 discos 1 disco 2 discos

(Discos x Tamanho) (1 x Tamanho) (Discos x Tamanho) (1 x Tamanho) (Discos x Tamanho) (2 x Tamanho)

Exerccio de fixao 2 e Redundncia

Segurana no fornecimento de energia

Figura 2.8 Nobreak de grande porte.

Captulo 2 - Conceitos de segurana fsica e segurana lgica

Figura 2.9 Estabilizadores de voltagem domsticos e institucionais.