You are on page 1of 25

ESCOLA DE APERFEIÇOAMENTO DE OFICIAIS DA AERONÁUTICA DIVISÃO DE ENSINO TRABALHO DE CONCLUSÃO DE CURSO

Malware: uma ameaça real aos sistemas computacionais
Título do Trabalho

ADMINISTRAÇÃO MILITAR LINHA DE PESQUISA

289 CÓDIGO

CAP 2/2012 Curso e Ano

PLANO DE PESQUISA

Malware: uma ameaça real aos sistemas computacionais
Título do Trabalho

ADMINISTRAÇÃO MILITAR LINHA DE PESQUISA

23/OUTUBRO/2012 DATA

CAP 2/2012 Curso e Ano

Este documento é o resultado dos trabalhos do aluno do Curso de Aperfeiçoamento da EAOAR. Seu conteúdo reflete a opinião do autor, quando não for citada a fonte da matéria, não representando, necessariamente, a política ou prática da EAOAR e do Comando da Aeronáutica.

Como medida de prevenção para esse tipo de ameaça. SIMON.de forma ilícita . a engenharia social usa a influência e a persuasão para enganar pessoas e convencê-las de que o “atacante” na verdade é alguém que ele não é. essa sentença composta por um encadeamento de comandos é chamada de software. é necessária uma interface que envie instruções por meio de uma linguagem que a máquina seja capaz de interpretar. K. Por definição. 2003)1. W. o engenheiro social pode aproveitar-se das pessoas para obter as informações com ou sem o uso da tecnologia (MITNICK. verificou-se a necessidade da criação de procedimentos e políticas na utilização dos meios computacionais. o objetivo do malware é infiltrar-se em um sistema computacional alheio . Por definição. alteração de funções da máquina..e causar algum dano (como. L. O termo malware é proveniente de um trocadilho da língua inglesa malicious software. rapidamente foram vislumbradas aplicações com cunho mal-intencionado para o software. São Paulo: Pearson Education. A arte de enganar: Ataques de Hackers: Controlando o Fator Humano na Segurança da Informação. Geralmente. uma interrupção de serviço. ou mesmo roubo de informações). Ao decodificar as informações recebidas. o computador executa as tarefas para as quais o software foi projetado. Como resultado. Esse processo teria a finalidade de minimizar a atuação dos engenheiros sociais e proteger a propriedade intelectual bem como o acesso às 1 MITNICK. concorrência desleal e roubo de dados sigilosos utilizando-se da engenharia social. D. Entretanto. 2003. . manipulando o comportamento da vítima para se beneficiar de alguma forma. por exemplo. vislumbrou-se sua utilização em operações de espionagem. surgiram novas vulnerabilidades relacionadas ao trato das informações. que significa software malicioso.1 1 CONTEXTUALIZAÇÃO Concomitantemente com o advento do computador e com os diversos benefícios que foram obtidos ao se utilizar as máquinas para automatizar processos e trafegar mensagens com celeridade. SIMON. Para que as redes de computadores possam ter uma aplicação prática. Tendo em vista as possibilidades de emprego do malware. Assim surgiram os malwares.

neste trabalho. Em consequência desse fato. respectivamente. inserida nos sistemas computacionais. 2001) 2. culminando com a perda da soberania do espaço aéreo brasileiro. Portanto – considerando o tema abordado – este trabalho está enquadrado na linha de pesquisa da Administração Militar. sob a severa pena de deteriorar sua capacidade de comando e controle. como importantes elos ou vulneráveis gargalos das organizações modernas. A Força Aérea Brasileira. É importante frisar que a engenharia social pode ser utilizada em múltiplos campos da SI. E onde estariam essas fragilidades? Quais seriam os pontos fracos nos elos do sistema? É com esse pensamento que buscar-se á responder ao seguinte problema de pesquisa: Qual o perfil do usuário da rede de computadores do 2º/1º GCC mais suscetível a ser alvo de um engenheiro social por meio de um malware? Este trabalho se propõe a averiguar variáveis diretamente relacionadas a uma vertente específica da SI e a comportamentos indesejáveis durante a gestão da informação nos sistemas computacionais no âmbito do 2º/1º GCC. podendo comprometer toda a rede da organização. os pontos fortes e as possíveis fragilidades dos sistemas computacionais aparecem. Nesse ambiente. Dentro desse contexto. surgiu o conceito de Segurança da Informação (SI): “Segurança de informações define-se como o processo de proteção de informações e ativos digitais armazenados em computadores e redes de processamento de dados” (OLIVEIRA. 2003). W. . J. Porém. surge uma inquietação ao se observar que as fragilidades – seja por falta de conhecimento ou de capacidade técnica – são os grandes alvos a serem atacados por possíveis malwares de engenheiros sociais. 2001. Quando se discorre sobre ataques de engenharia social em SI. Segurança da Informação.2 informações sensíveis por pessoas não autorizadas. Florianópolis: Visual Books Ltda. A inadequada adaptação poderá trazer consequências desastrosas. 2 OLIVEIRA. é compulsada a adaptar-se às ameaças inerentes a SI e engenharia social em seus sistemas computacionais. SIMON. está se referindo a quaisquer procedimentos utilizados para obter vantagens ou acesso indevido a informações sigilosas por meio de enganação (MITNICK. a engenharia social será abordada com foco na utilização do malware como vetor de ataque a redes de computadores.

do Esquadrão. as ações de pesquisa do trabalho foram limitadas temporalmente ao período de agosto a outubro de 2012. arranjados por hierarquia e idade. Além disso. permitindo ao responsável pela SI. e classificar os dados por faixas de idade.dos usuários da rede de computadores do 2º/1º GCC desejáveis para os engenheiros sociais na disseminação de malware. foram estabelecidas três questões norteadoras: QN1 – Quais as faixas etárias e patentes dos usuários da rede de computadores do 2º/1º GCC que apresentam maior conhecimento em SI e engenharia social? QN2 – Quais integrantes do 2º/1º GCC. são mais propensos a um ataque de engenharia social utilizando um malware? QN3 – Existe correlação entre o nível de conhecimento em SI e engenharia social dos usuários da rede do 2º/1º GCC com incidentes relacionados a malware? A pesquisa em pauta focará no objetivo geral de identificar qual o perfil dos usuários da rede interna de computadores do 2º/1º GCC mais suscetível a ser alvo de engenharia social por meio de um malware. Para direcionar corretamente as ações de pesquisa. hierarquia e escolaridade. Tal pesquisa poderá ser aproveitada também em outras Forças Armadas . tendo em vista a semelhança nos recursos de softwares. e classificar os resultados em faixas etárias. os seguintes objetivos específicos (OE): OE1 – Identificar o nível de conhecimento em SI e engenharia social do efetivo do 2º/1º GCC. com a finalidade de responder ao problema proposto.3 Assim. Outro fator importante é a possibilidade da aplicação da pesquisa em outras organizações militares do Comando da Aeronáutica (COMAer). definir ações efetivas com o intuito de reduzir significantemente os incidentes envolvendo código malicioso. patentes e escolaridade. esses resultados poderão indicar as principais características . OE3 – Analisar se há correlação entre o nível de conhecimento em SI e engenharia social com incidentes relacionados a malware no 2º/1º GCC. OE2 – Identificar quais usuários da rede de computadores do 2º/1º GCC seriam alvo de engenharia social por meio de um malware. Quanto à relevância da pesquisa. estrutura lógica e física das redes de computadores e sistemas corporativos em uso.

mas o sucesso quase sempre requer uma grande dose de conhecimento e habilidade com os sistemas de computador e telefonia (MITNICK. serão aplicados conhecimentos específicos e habilidades de programação para elaborar um malware. será utilizada a teoria estatística da regressão linear3. 3 MERRILL. validação social e escassez) mais usadas por engenheiros sociais para desferir seus ataques. 1980.4 ou órgãos governamentais. reciprocidade. diz respeito à capacidade de manipulação e de uso dos sistemas de tecnologia da informação por parte daqueles que praticam a engenharia social: Um engenheiro social vive de sua capacidade de manipular as pessoas para que elas façam coisas que o ajudem a atingir o seu objetivo. e FOX. buscar-se-á definir quais as principais características dos usuários da rede de computadores do 2º/1º GCC mais suscetíveis a um ataque de engenharia social por meio de um malware. para verificar se há ou não relação significativa entre duas variáveis. consistência. 2 REFERENCIAL TEÓRICO A pesquisa tomará como referência as teorias de Mitnick e Simon. Paralelamente. SIMON. ma ntroduç o S o Paulo: Editora Atlas. com aplicação direta neste trabalho. W. 3 METODOLOGIA Tendo em vista o objetivo geral. . afabilidade. conforme detalhamento do presente trabalho. de forma que o programa possa ser usado como um teste no 2º/1º GCC. À luz dessas referências teóricas. que apontam o fator humano como sendo o elo mais fraco da SI. Além disso. K. C. Outra importante abordagem desses teóricos. 2003). para que possam identificar o perfil do usuário mais vulnerável em suas redes de computadores e realizar trabalhos de conscientização do efetivo quanto às boas práticas no trato dos recursos computacionais. Os procedimentos estatísticos serão esmiuçados no artigo científico. citam seis tendências (autoridade. A.

como forma de teste do sistema e aquisição dos dados necessários à resposta do problema de pesquisa. Ao ser executado em ambas as formas. será empregada a regressão linear. para checar se há correlação entre o conhecimento de SI e engenharia social com o índice de incidentes relacionados a malware. etárias e de escolaridade) dos militares do 2º/1º GCC mais suscetíveis a um ataque de engenharia social por meio de um malware. um questionário anexado a um correio eletrônico. tendo como objetivo principal verificar se há correlação entre as variáveis supracitadas. a fim de cumprir o primeiro Objetivo Específico (OE1). . será desferido um ataque de engenharia social para todos os militares que tenham respondido ao questionário anterior. para os 64 usuários disponíveis da rede de computadores do 2º/1º GCC. o código malicioso enviará o nome do usuário. As respostas serão analisadas com vistas a mensurar o nível de conhecimento sobre os assuntos em pauta (SI e engenharia social). O ataque consistirá na disseminação de um malware desenvolvido especificamente para utilização no presente trabalho. de forma que seja possível averiguar quais usuários seriam vítimas de código malicioso caso houvesse um ataque de engenharia social. gerando uma nota final (porcentagem de acertos) que permitirá a tabulação dos resultados e a classificação em faixas etárias. será enviado. Para cumprir o segundo Objetivo Específico (OE2). Sendo assim. poder-se-á definir qual a forma de ataque mais eficiente e quais as principais características (faixas de patentes. Esse código malicioso será apresentado ao usuário de duas formas: na figura de um arquivo com nome sugestivo plantado no servidor de arquivos do Esquadrão e como uma mensagem eletrônica persuasiva enviada a todo o efetivo.5 Sendo assim. Por fim. o vetor do ataque – arquivo implantado ou mensagem eletrônica – e o nome do computador da vítima para um banco de dados administrado pelo pesquisador. hierárquicas e escolares.

quando não for citada a fonte da matéria. Seu conteúdo reflete a opinião do autor. a política ou prática da EAOAR e do Comando da Aeronáutica. não representando. necessariamente.ARTIGO CIENTÍFICO Malware: uma ameaça real aos sistemas computacionais Título do Trabalho ADMINISTRAÇÃO MILITAR LINHA DE PESQUISA 23/OUTUBRO/2012 DATA CAP2/2012 Curso e Ano Este documento é o resultado dos trabalhos do aluno do Curso de Aperfeiçoamento da EAOAR. .

as established relationship between variables and reports the characteristics of users in an incident affecting information security (IS) and social engineering related to malicious code. Vislumbrou-se ainda que não há correlação entre o conhecimento em pauta com incidentes relacionados a malware. pois o trabalho busca informações relativas ao comportamento dos militares do 2º/1º GCC no trato de sistemas computacionais. Palavras-chave: Segurança da informação. the band hierarchical and group most susceptible to a social engineering attack via malicious code on the 2º/1º GCC are the Soldiers and Corporals from 19 to 29 years old. ABSTRACT This article aims to analyze which user profile network of 2º/1º GCC more likely to be targeted by social engineering by way of malware. Social engeneering. a pesquisa buscou correlacionar faixa etária e hierárquica com o nível de conhecimento específico. No que diz respeito a procedimentos técnicos utilizados. there was the need of increase the specific knowledge of the actual. Further study assessed using linear regression combined with the coefficient of determination. this research is classified as lifting because work seeks information relating to the conduct of the military from 2º/1º GCC in dealing with computer systems. Engenharia Social. no 2º/1º GCC. que o elo mais fraco da SI é o fator humano. Keywords: Information security. whether there is a correlation between the level of expertise with the number of incidents involving malicious software. Regarding the technical procedures used. pois estabeleceu relação entre variáveis e relata as características dos usuários que influenciam em um incidente de segurança da informação (SI) e engenharia social relacionado a código malicioso. After tabulating and analyzing the data collected. que as faixas hierárquicas e etárias mais suscetíveis a um ataque de engenharia social por meio de código malicioso. Malware. the research sought to correlate with age and hierarchical level of expertise. Perfil de usuário. utilizando regressão linear aliada ao coeficiente de determinação.Malware: uma ameaça real aos sistemas computacionais RESUMO O presente artigo tem por objetivo analisar qual o perfil de usuário da rede do 2º/1º GCC mais suscetível a ser alvo de engenharia social por meio de um malware. Com o intuito de nortear o trabalho e baseado na teoria de Kevin Mitnick. User profile. and correlating these variables with the index incident with malware. buscou-se verificar. . verificou-se a necessidade de aprimoramento do conhecimento específico do efetivo. são os Soldados e Cabos de 19 a 29 anos. Malware. Após a tabulação e análise dos dados coletados. utilizando-se de um questionário e um teste. using a questionnaire and a test. In order to guide the work. and based on the theory that Kevin Mitnick the weakest link in the SI is the human factor. esta pesquisa é classificada como de levantamento. e correlacionar as mesmas variáveis com o índice de incidentes com malware. se há correlação entre o nível de conhecimento específico com a quantidade de incidentes envolvendo software malicioso. Além disso. A pesquisa apresenta características descritivas. The research presents descriptive characteristics. and there is no correlation between knowledge of IS and social engineering with incidents related to malware.

surgiram diversas plataformas e tecnologias que visam a redução da carga de trabalho com automações e facilidades nas gestões de processos. Geralmente. Assim surgiram os malwares.de forma ilícita . Como medida de prevenção para esse tipo de ameaça. rapidamente foram vislumbradas aplicações com cunho malintencionado para o software. Por definição. ou mesmo roubo de informações). que significa software malicioso. o objetivo do malware é infiltrar-se em um sistema computacional alheio . SIMON. Porém. vislumbrouse o grande potencial da utilização de malwares em operações de espionagem. 2003).2 INTRODUÇÃO Com o advento dos computadores e a capacidade de comunicação desses equipamentos via rede. manipulando o comportamento da vítima para se beneficiar de alguma forma.e causar algum dano (como. Como resultado. Por definição. essa sentença composta por um encadeamento de comandos é chamada de software. verificou-se a necessidade da criação de procedimentos e políticas na utilização dos meios computacionais. uma interrupção de serviço. para que essas tecnologias e facilidades possam ter uma aplicação prática. Entretanto. alteração de funções da máquina. O termo malware é proveniente de um trocadilho da língua inglesa malicious software. o engenheiro social pode aproveitar-se das pessoas para obter as informações com ou sem o uso da tecnologia (MITNICK. Ao decodificar as informações recebidas. Tendo em vista que a cada dia a sociedade se torna mais dependente do tratamento rápido e efetivo da informação pelas redes de computadores. A proposta desse processo é minimizar a atuação dos engenheiros sociais e proteger a propriedade intelectual bem como o acesso às informações . o computador executa as tarefas para as quais o software foi projetado. por exemplo. a engenharia social usa a influência e a persuasão para enganar pessoas e convencê-las de que o “atacante” na verdade é alguém que ele não é. concorrência desleal e roubo de dados sigilosos utilizando-se da engenharia social. é necessária uma interface que envie instruções por meio de uma linguagem que a máquina seja capaz de interpretar.

é compulsada a adaptar-se às ameaças inerentes à SI e engenharia social em suas redes de computadores. cada vez mais depende dos softwares capazes de acelerar o complexo processo do trâmite da informação para cumprir sua missão. surge uma inquietação ao observar-se que as fragilidades – seja por falta de conhecimento ou de capacidade técnica – são os grandes alvos a serem atacados por possíveis malwares de engenheiros sociais. refere-se a quaisquer procedimentos utilizados para obter vantagens ou acesso indevido a informações sigilosas por meio de enganação (MITNICK. 2003). surgiu o conceito de Segurança da Informação (SI): “Segurança de informações define-se como o processo de proteção de informações e ativos digitais armazenados em computadores e redes de processamento de dados” (OLIVEIRA. sob a severa pena de deteriorar sua capacidade de comando e controle.o fator humano. O Segundo Esquadrão do Primeiro Grupo de Comunicações e Controle (2º/1º GCC) é uma organização militar integrante do Sistema de Controle do Espaço Aéreo Brasileiro (SISCEAB). SIMON. que presta serviços relevantes e extremamente dependentes de sistemas computacionais. 2001). podendo levar ao caos toda a rede da organização. os pontos fortes e as possíveis fragilidades dos sistemas computacionais aparecem. Dentro desse contexto. todos apresentam um ponto em comum: a exploração de comportamentos e convenções sociais no elemento mais vulnerável de uma estrutura de segurança . E onde estariam essas fragilidades? Quais seriam os pontos fracos nos elos desse sistema? É com esse pensamento que se buscou responder ao seguinte problema de pesquisa: Qual o perfil do usuário da rede de computadores . Em consequência desse fato. respectivamente. Quando se discorre sobre ataques de engenharia social em SI.o controle dos vetores de defesa aérea em uma operação militar.3 sensíveis por pessoas não autorizadas. como . como importantes elos ou vulneráveis gargalos das organizações modernas. A Força Aérea Brasileira. Logo. inserida nos sistemas computacionais. culminando com a perda da soberania do espaço aéreo brasileiro. Nesse ambiente. a engenharia social foi abordada com foco na utilização do malware como vetor de ataque a redes de computadores. Neste trabalho.por exemplo . Porém. É importante frisar que a engenharia social pode ser utilizada em múltiplos campos da SI.

arranjados por hierarquia e idade. foram estabelecidas três questões norteadoras: QN1 – Quais as faixas etárias e patentes dos usuários da rede de computadores do 2º/1º GCC que apresentam maior conhecimento em SI e engenharia social? QN2 – Quais integrantes do 2º/1º GCC. esses resultados puderam indicar as principais características . Para direcionar corretamente as ações de pesquisa. Além disso. com a finalidade de responder ao problema proposto. e classificar os resultados em faixas etárias e patentes. OE3 – Analisar se há correlação entre o nível de conhecimento em SI e engenharia social com incidentes relacionados a malware no 2º/1º GCC. foram estabelecidos os seguintes objetivos específicos (OE): OE1 – Identificar o nível de conhecimento em SI e engenharia social do efetivo do 2º/1º GCC.dos usuários da rede de computadores do 2º/1º GCC desejáveis para os engenheiros sociais na disseminação de malware. as ações de pesquisa do trabalho foram limitadas temporalmente ao período de agosto a outubro de 2012. e classificar os dados em faixas de idade e hierarquia. permitindo ao responsável pela SI no Esquadrão definir ações efetivas com o intuito de reduzir .4 do 2º/1º GCC mais suscetível a ser alvo de um engenheiro social por meio de um malware? A pesquisa em pauta se propôs a averiguar variáveis diretamente relacionadas a uma vertente específica da SI e a comportamentos indesejáveis à gestão da informação nos sistemas computacionais no âmbito do 2º/1º GCC. Portanto – considerando o tema abordado – este trabalho está enquadrado na linha de pesquisa da Administração Militar. OE2 – Identificar quais usuários da rede de computadores do 2º/1º GCC seriam alvo de engenharia social por meio de um malware. são mais propensos a um ataque de engenharia social utilizando um malware? QN3 – Existe correlação entre o nível de conhecimento em SI e engenharia social dos usuários da rede do 2º/1º GCC com incidentes relacionados a malware? A pesquisa em pauta focou no objetivo geral de identificar qual a faixa etária e hierárquica mais suscetíveis a serem alvo de engenharia social por meio de um malware no âmbito do 2º/1º GCC. Quanto à relevância da pesquisa. Assim.

Paralelamente. Outra importante abordagem destes teóricos. A autoridade. Outro fator importante é a possibilidade da aplicação da pesquisa em outras organizações militares do Comando da Aeronáutica (COMAer). que apontam o fator humano como sendo o elo mais fraco da SI. reciprocidade. tendo em vista a semelhança nos recursos de softwares. com aplicação direta no trabalho. Tal pesquisa poderá ser aproveitada também em outras Forças Armadas ou órgãos governamentais. A validação social. que sugere o aproveitamento do sentimento de falta de demanda ou baixa disponibilidade. estrutura lógica e física das redes de computadores e sistemas corporativos em uso. mas o sucesso quase sempre requer uma grande dose de conhecimento e . Geralmente o engenheiro faz-se passar por um superior na escala hierárquica para conseguir seus objetivos. que considera que as pessoas cooperam quando há uma convenção social sendo cumprida e o falso sentimento de um procedimento corriqueiro. afabilidade. foram aplicadas apenas três tendências: a. buscando criar um falso senso na vítima da necessidade de se tomar uma decisão em um curto período de tempo.5 significantemente os incidentes envolvendo código malicioso. para que possam identificar o perfil do usuário mais vulnerável em suas redes de computadores e realizar trabalhos de conscientização do efetivo quanto às boas práticas no trato dos recursos computacionais. diz respeito à capacidade de manipulação e de uso dos sistemas de tecnologia da informação por parte daqueles que praticam a engenharia social: Um engenheiro social vive de sua capacidade de manipular as pessoas para que elas façam coisas que o ajudem a atingir o seu objetivo. 2 REFERENCIAL TEÓRICO A pesquisa tomou como referência as teorias de Mitnick e Simon (2003). A escassez. c. b. citam seis tendências mais usadas por engenheiros sociais para desferir seus ataques: autoridade. Para o caso específico desta pesquisa. que consiste na tendência dos indivíduos em atender a uma solicitação prontamente caso acredite que o solicitante possui autorização para tal. validação social e escassez. consistência.

simulando uma ordem com o prazo exíguo vinda do Comandante do Esquadrão para todo o efetivo. uma medida estat stica. optou-se por utilizar a regressão linear aliada ao coeficiente de determinaç o R²). Atrelado a isso. Ainda fazendo referência aos últimos autores. constante α chamada O foco da questão se baseia em prever os par metros a e b da equaç o ara todos os pontos (x.x). a pesquisa é qualificada como descritiva. tendo como objetivo principal verificar se há correlação entre as variáveis – propósito fundamental da análise de regressão linear – segundo Merrill e Fox (1998). SIMON. Esse código malicioso foi enviado como anexo em um correio eletrônico falsificado. A constante β de regress o o coeficiente angular. 2003). Em outras palavras: Quanto mais R² se aproxima de 1 maior a correlação e a possibilidade em se preverem as variáveis. que a 1 – define a porcentagem de y vari ve dependente que pode ser identificada pe a equaç o de regress o inear A partir de R² poss ve ava iar se os va ores de x permitem ou n o proceder a uma boa estimativa de y. de forma que esse programa possa se usado como um teste no 2º/1º GCC. foram aplicados conhecimentos específicos e habilidades de programação para elaborar um malware. Para realizar testes estatísticos necessários na pesquisa. o presente trabalho buscou relacionar o nível de conhecimento (de SI e engenharia social) e a quantidade de incidentes envolvendo . pois descreve as características dos usuários da rede de computadores do 2º/1º GCC que influenciam um incidente de SI relacionado a malware.6 habilidade com os sistemas de computador e telefonia (MITNICK.x). foi fundamentada nas funções ineares A representaç o algébrica de uma funç o inear apresenta a seguinte forma: (y = α + β. onde α e β s o constantes coeficiente linear. não foi possível estimar-se a re aç o entre duas vari veis sem que se criassem hip teses so re a forma da re aç o que no presente caso.y e iste uma reta de regress o (y = α + β. À luz dessas referências teóricas. 3 METODOLOGIA Tomando como base as definições de Gil (2010). Esse coeficiente – que varia de 0 qua idade da regress o rea i ada pode ser indicada pelo coeficiente de determinaç o R²).

No que diz respeito a procedimentos técnicos utilizados. visando apontar as principais características do usuário da rede de computadores do 2º/1º GCC mais propenso a ser alvo de engenharia social por meio de software malicioso. esta pesquisa é classificada como de levantamento. foi enviado para os 64 usuários disponíveis da rede de computadores do 2º/1º GCC. . . o texto acabou por transmitir um senso de familiaridade aos usuários da rede de computadores do 2º/1º GCC. 03 delas envolviam conhecimento mistos (sobre SI e engenharia social). Essa mensagem foi produzida de forma a trazer consigo três das seis tendências mais usadas por engenheiros sociais para fazer seus ataques. sendo este um assunto em voga na Organização Militar. foi desferido um ataque de engenharia social para todos os militares que haviam respondido ao questionário anterior utilizando um e-mail com anexo malicioso. Para cumprir o segundo Objetivo Específico (OE2). um questionário anexado a um correio eletrônico. conforme Gil (2010). gerando uma nota final (porcentagem de acertos) de forma que se possa tabular os resultados em faixas etárias e hierárquicas. Os dados foram analisados com vistas a mensurar o nível de conhecimento sobre os assuntos em pauta. utilizando-se de um questionário e um teste. Buscando cumprir o primeiro Objetivo Específico (OE1). Essa classificação se justifica pois o trabalho buscou informações relativas ao comportamento dos militares do 2º/1º GCC no trato de sistemas computacionais. Dentre as perguntas constantes no questionário. Esse questionário foi estruturado da seguinte forma: foi realizada a coleta da patente e da idade do militar. havendo 17 questões de múltipla escolha. o texto da mensagem versava sobre uma pesquisa de satisfação do Departamento de Controle do Espaço Aéreo (DECEA). A escassez foi inserida no contexto do ataque ao se determinar um prazo exíguo de uma manhã para que a tarefa fosse terminada. 07 delas somente sobre engenharia social e 07 somente sobre SI.já definidas anteriormente: a “va idaç o socia ” a “escasse ” e a “autoridade” Caracterizando a tendência da validação social.7 malware com as diversas faixas etárias e hierárquicas que compõem o universo de militares.

foi checar a qua idade da regress o rea i ada vari veis citadas. ao aplicar o referido cálculo estatístico. para verificar se houve correlação entre o conhecimento de SI e engenharia social com o índice de incidentes causados por malware. simulando o questionário da pesquisa de satisfação anteriormente citada. passando a impressão de que o autor do e-mail tinha sido o Comandante do Esquadrão. com a finalidade de averiguar quais usuários seriam vítimas de código malicioso caso houvesse um ataque de engenharia social. converter as informações obtidas em gráficos e para realizar o tratamento estatístico dos dados. tabelas e demais recursos afins. utilizou-se uma regressão linear aliada ao coeficiente de determinaç o R². Influência da faixa etária. Por fim. que indica se realmente há alguma re aç o significante entre as 4 DISCUSSÕES E ANÁLISES A fim de responder às questões norteadoras e proporcionar uma análise lógica e concisa. 4 Programa Excel: programa (software) da Microsoft utilizado para a tabulação de dados e elaboração de gráficos. Foi criado um malware especificamente para utilização no presente trabalho. o artefato enviaria para um banco de dados o nome do usuário e computador utilizado. Ataque de engenharia social. verificando o resu tado do coeficiente de determinaç o. O programa Excel4 foi utilizado em todas as fases da pesquisa para tabular resultados. Caso o militar fosse ludibriado e executasse o código malicioso. O objetivo do autor. decidiu-se dividir o capítulo em cinco seções: Nível de conhecimento.8 A tendência da autoridade foi aplicada ao ludibriar o destinatário com dados inverídicos do emissor da mensagem. Esse software mal intencionado foi anexado a uma mensagem de correio eletrônico. Influência da patente e Correlação entre o nível de conhecimento de SI e engenharia social com o índice de incidentes relacionados a malware. .

9 4.1 Nível de conhecimento O questionário de conhecimento específico sobre SI e engenharia social foi respondido por 57 de 64 militares disponíveis.35% 57.2 Ataque de engenharia social Ao ser desferido. 4.65% 45. 4. pôde-se definir quais as patentes e as faixas etárias dos militares do 2º/1º GCC que apresentaram maior suscetibilidade a um ataque de engenharia social por meio de um malware.68% computadores comprometidos. que foi organizado por faixas etárias e hierárquicas. percebe-se que o conhecimento dos militares do 2º/1º GCC deve ser aprimorado. Sendo assim. Logo.06% do universo de pesquisa. tendo em vista que o desconhecimento de aproximadamente 50% das informações constantes no questionário é crítica para o trato da informação em uma rede de computadores. atingindo 89. Ao verificar a média geral dos usuários. pôde-se mensurar o conhecimento dos usuários da rede de computadores do 2º/1º GCC calculando um percentual de acerto das respostas do questionário em questão. foi encontrado o valor de 50.32% 57.57% de nível de conhecimento em SI e engenharia social. Sendo assim. conforme Tabela 1: Tabela 1 – Conhecimento arranjado por faixas etárias FAIXA ETÁRIA 19 a 29 30 a 39 40 a 49 50 a 59 MÉDIA CONHECIMENTO 46. o ataque foi bem sucedido em 42 dos 57 usuários que haviam respondido ao questionário. totalizando uma expressiva marca de 73.1% Foi calculada a média percentual de acertos das faixas etárias conforme a .3 Influência da faixa etária Foram definidas faixas etárias de forma a dividir todo o grupo em 04 partes equivalentes de quantidade de anos.

e seus dados projetados graficamente na Figura 1. foi encontrado um R² aproximadamente igual a 0. Utilizando o programa Excel para fazer os cálculos. Além disso. Verificou-se a significância estatística dos dados pelo coeficiente de determinação (R²). percebeu-se que a diferença das médias foi muito pequena. Outra análise interessante foi obtida ao serem analisados os dados da Tabela abaixo: Tabela 2 – Índice de incidentes arranjado por faixas etárias FAIXA ETÁRIA 19 a 29 30 a 39 40 a 49 50 a 59 INCIDENTE 78.13% 75% 70% 33. Figura 1: Média percentual da faixa etária obtida pelo resultado do questionário de conhecimento sobre SI e engenharia social. com o intuito de facilitar as subsequentes análises.33% Ao cruzarem-se os dados de faixa etária com o índice de incidentes .004. os militares que responderam ao questionário demonstraram níveis semelhantes de conhecimento em SI e engenharia social quando arranjados por idade.10 Tabela 1. Sendo assim. pôde-se perceber uma tendência linear praticamente paralela ao eixo das faixas etárias. Ao estudarem-se os dados apresentados na Figura 1. demonstrando uma variação insignificante do grau de conhecimento obtido pelo questionário. informação que denota uma qualidade extremamente baixa na correlação das variáveis.

conforme a Tabela 2. Na figura acima. tendo em vista que o coeficiente de determinação encontrado foi de aproximadamente 0.65% 55.11 gerados pelo ataque citado. Soldados de Primeira classe (S1) e Cabos (CB) Terceiros Sargentos (3S).74. o grupo foi arranjado em 04 faixas hierárquicas. Tabela 3 – Conhecimento arranjado por faixas hierárquicas FAIXA HIERÁRQUICA Soldados de segunda classe (S2). Segundos Sargentos (2S) e Primeiros Sargentos (1S) Suboficiais (SO) e Segundos Tenentes (2T) Primeiros Tenentes (1T) e Capitães (CP) MÉDIA 42.35% De forma a consolidar a metodologia proposta. percebeu-se que há um decréscimo no índice de incidentes conforme a idade aumentava.26% 62. com foco na similaridade das tarefas executadas e o nível de decisão inerente a patente no Esquadrão. foi utilizado o mesmo procedimento adotado anteriormente para a análise do conhecimento (resultados do . Figura 2: Índice de incidentes relacionados a malware por faixa etária. Essa correlação mostrou-se relevante.4 Influência da patente Para que se pudessem analisar os dados com base na patente. há correlação entre o índice de incidentes com as faixas etárias e os usuários de 19 a 29 anos são mais suscetíveis a ser alvo de um engenheiro social no 2º/1º GCC. puderam-se representar os dados conforme a Figura 2.15% 49. 4. Ou seja.

Provavelmente. conforme ilustrado na Figura 3.12 questionário). as notas foram agrupadas por patente. c. Porém. Sendo assim. percebeu-se um valor um pouco abaixo da faixa dos 3S. conforme seção anterior. existiu a possibilidade do nível de instrução influenciar o resultado. nesta seção. Esse resultado remeteu a um grau significativo de correlação entre a faixa hierárquica e o conhecimento. Entretanto na faixa hierárquica dos SO e 2T. Na Figura 3. Figura 3: Média percentual da faixa hierárquica obtida pelo resultado do questionário de conhecimento sobre SI e engenharia social. algumas considerações necessitaram ser feitas: a. . resultando em um R² aproximadamente igual a 0. onde foi observado o menor conhecimento sobre SI e engenharia social. obteve-se outra relevante informação ao se confrontar os dados da Tabela 4 e o índice de incidentes com a faixa hierárquica.67. b. como é possível verificar no gráfico da Figura 4. pois geralmente quanto maior o grau hierárquico maior o nível de instrução do militar. 2S e 1S. a proximidade nos graus do questionário novamente foi verificada. Sendo assim. novamente foi aplicada a regressão linear. Prosseguindo na análise. Na Figura 3 pôde-se observar um coeficiente angular positivo. isso ocorreu devido ao fato da grande maioria dos militares na faixa hierárquica dos SO e 2T estar na faixa etária de 50 a 59 anos. Além dos fatores citados. que remeteu a um maior conhecimento com a idade.

quanto menor a patente do militar.88. em conjunto com o resultado do teste realizado pelo envio do malware a todos os usuários da rede de computadores do 2º/1º GCC que responderam ao questionário. Segundos Sargentos (2S) e Primeiros Sargentos (1S) Suboficiais (SO) e Segundos Tenentes (2T) Primeiros Tenentes (1T) e Capitães (CP) INCIDENTE 80% 79. 4. Soldados de Primeira classe (S1) e Cabos (CB) Terceiros Sargentos (3S). maior a quantidade de incidentes relacionados a malware.5% 40% Figura 4: Índice de incidentes relacionados a malware por faixa hierárquica. tendo em vista que o expressivo valor encontrado para R² foi de aproximadamente 0. a faixa hierárquica mais propensa a ser alvo de um engenheiro social no 2º/1º GCC foram os Soldados e Cabos. Ou seja. Na Figura 4 ficou claro que.13 Tabela 4 – Índice de incidentes arranjado por faixas hierárquicas FAIXA HIERÁRQUICA Soldados de segunda classe (S2). Além disso. foi possível verificar a correlação entre o conhecimento em SI e engenharia social com o índice de incidentes relacionado a código malicioso.17% 62.5 Correlação entre o nível de conhecimento de SI e engenharia social com o índice de incidentes relacionados a malware De posse dos graus percentuais obtidos a partir do questionário. pôde-se dizer que a qualidade da correlação foi alta. conforme dados constantes na tabela abaixo: .

resultado que corrobora com a falta de correlação entre as variáveis em questão. perceberam-se os seguintes fatos: a.83% 72. A tendência linear apresentou um coeficiente angular positivo devido ao elevado índice de incidência do malware nos militares que atingiram os maiores graus no questionário.67% QUANTIDADE DE USUÁRIOS 4 24 22 7 USUÁRIOS INFECTADOS 3 17 16 6 ÍNDICE DE INCIDENTES 75% 70.71% 40. conforme representado na Figura 5.14 Tabela 5 – Graus obtidos arranjados por porcentagem de acertos PERCENTUAL DE ACERTOS 0 a 25% 26 a 50% 51 a 75% 76 a 100% MÉDIA DO GRAU OBTIDO 14. A coluna índice de incidentes foi obtida a partir do resultado percentual da divisão da coluna quantidade de usuários pelos dados constantes na coluna usuários infectados.71% O objetivo da separação por faixas percentuais de acertos foi poder criar um índice de incidentes relacionados a malware.29% 80. Finalmente.73% 85.69% 58. verificou-se a correlação calculando a regressão linear aliada ao coeficiente de determinaç o (R²). Figura 5: Média da faixa de graus percentuais obtidos com o índice de incidentes com malware. . A partir da Figura 5.

pelos cálculos estatísticos empregados na análise percebese que não há correlação significativa entre o nível de conhecimento em SI e engenharia social com a incidência de malware levando em consideração os usuários da rede de computadores do 2º/1º GCC. de sistemas computacionais capazes de acelerar os complexos processos da guerra. O presente trabalho se propôs a responder à seguinte pergunta: Qual o perfil do usuário da rede de computadores do 2º/1º GCC mais suscetível a ser alvo de um engenheiro social utilizando um malware? Para que se alcance uma resposta adequada à indagação. identificar quais usuários da rede de computadores do 2º/1º GCC são mais suscetíveis a um ataque de engenharia social por meio de um malware e Analisar se há correlação entre o nível de conhecimento em SI e engenharia social com incidentes relacionados a malware no 2º/1º GCC. Tomando como base a metodologia de pesquisa descrita. Sendo assim. foram estudadas as variáveis supracitadas em relação ao índice de ataques de engenharia . a Força Aérea Brasileira depende. Dentre as diversas ameaças que assolam a integridade das redes de computadores. foram traçados os seguintes objetivos específicos: Identificar o nível de conhecimento em SI e engenharia social do efetivo do 2º/1º GCC. ou seja. a correlação entre as variáveis em questão não foi significativa. O resultado do coeficiente de determinaç o R²) foi de aproximadamente 40%.elo mais fraco da SI – por meio de enganação. é compulsada a defender-se dos perigos que afetam os sistemas de informação. cada vez mais. Inicialmente.15 b. Logo. é necessário que seja capaz de tramitar as informações de forma rápida e segura. pode-se citar a ação de pessoas que exploram o fator humano . Sendo assim. potencializado pelo uso de softwares maliciosos para conseguir seus objetivos. CONCLUSÃO Para que uma Força Armada moderna cumpra sua missão com excelência. foram definidas duas variáveis para serem analisadas pela pesquisa: a idade e a patente dos usuários da rede de computadores do 2º/1º GCC no efetivo disponível durante o período de agosto a outubro de 2012.

De posse dessa informação. foi aplicada a teoria estatística da regressão linear aliada ao coeficiente de determinação nos dados relativos aos graus obtidos no questionário e índice de incidentes relacionados a malware arranjados por faixa de notas. Em seguida. No contexto do presente trabalho. REFERÊNCIAS . Tal pesquisa poderá ser aproveitada em outras Forças Armadas ou órgãos governamentais. o responsável pela SI no Esquadrão poderá definir ações mais efetivas e pontuais. Vislumbra-se também a possibilidade da aplicação da presente pesquisa em outras organizações militares do Comando da Aeronáutica (COMAer). Os resultados obtidos demonstraram relevância. gerando consciência no trato das informações. devido a baixa qualidade de correlação representada por R². com o intuito de minimizar os incidentes envolvendo código malicioso. estrutura lógica e física das redes de computadores e sistemas corporativos em uso. para que possam identificar o perfil do usuário mais vulnerável em suas redes de computadores e realizar trabalhos de conscientização do efetivo quanto às boas práticas no trato dos recursos computacionais. com o objetivo de constatar se existe algum tipo de correlação entre as variáveis. concluiu-se que não há correlação significativa entre o nível de conhecimento em SI e engenharia social com a incidência de malware.16 social bem sucedidos. verificou-se que a maior incidência de código malicioso foi percebida nos militares da menor grau hierárquico (Soldados e Cabos) e de menor faixa etária (19 a 29 anos). tendo em vista que o desconhecimento da grande maioria das informações constantes no questionário é crítica para o trato da informação em uma rede de computadores. Com isso. pois apontam características do usuário da rede de computadores do 2º/1º GCC que corroboram para um ataque de engenharia social bem sucedido por disseminação de malware. foi constatado que o conhecimento dos militares do 2º/1º GCC é homogêneo e deve ser aprimorado. tendo em vista a semelhança nos recursos de softwares. Além disso. ao se analisar as variáveis em questão.

S. Florianópolis: Visual Books Ltda. . Como elaborar projetos de pesquisa. M. OLIVEIRA.. 2003. K. Cartilha de Segurança para Internet: 4. C. A. Florianópolis: Visual Books Ltda. 2010. ed. GIL. 1997. ed. Segurança em ambientes corporativos. W. C. Engenharia social e Segurança da Informação 1. 1999. W. P. Segurança em informática e de informações. MERRILL. ma ntroduç o S o au o MITNICK. 1980. M.br.. S. CARUSO. A. Editora Atlas. São Paulo: CERT. São Paulo: Pearson Education. ed. 2. e FOX. TANENBAUM. E. ed. 2006. A. 2003. MONTEIRO. D. ed.. A. D. A. Rio de Janeiro: Campus. Como atacam: Worms. Aprenda Fácil. C. Redes de Computadores. 3. A arte de enganar: Ataques de Hackers: Controlando o Fator Humano na Segurança da Informação. n. São Paulo: Atlas. ROMANO. São Paulo: Brasport. Comitê Gestor da Internet no Brasil. 2001. W.1.17 BRASIL. SIMON. STEFFEN. J. São Paulo. Segurança da Informação. K. 5. K. 2003. L. 2012. C. PEIXOTO. São Paulo: Editora SENAC. F. EGOSHI.