ESTUDOS PARA O CONCURSO DATAPREV - CARGO: SEGURANA DA INFORMAO (Os estudos esto em ordem do contedo no edital, e esta informao

intil. Darp...) - Confidencialidade: confiar o acesso a informao para pessoas explicitamente autor izadas; garantir a identificao e autenticao das pessoas para o acesso informao. //-------------------------------------------------------------------------------------------------------------------------------------------------// - Disponibilidade: tornar a informao disponvel no momento em que ela for necessria. //-------------------------------------------------------------------------------------------------------------------------------------------------// - Integridade: A informao deve ser retornada em sua forma original no momento em q ue foi armazenada, a proteo dos dados contra modificaes acidentais ou intencionais (Diferente de confiabilidade, pois a informao pode ser imprecisa, mas deve permanecer integra - conceito de Integridade). //-------------------------------------------------------------------------------------------------------------------------------------------------// - Autenticidade: Garante que a informao ou o usurio da mesma seja autntico - poder a testar com exatido, a origem da informao. Definio da Wiki:Entende-se por autenticidade a certeza de que um objeto (em anlise) provm das fontes anunciadas e que no foi alvo de mutaes ao longo de um processo. //-------------------------------------------------------------------------------------------------------------------------------------------------//

-- GESTO DE MUDANAS: Gesto da mudana uma rea de estudo em administrao que possui o enfoque na necessidade de constante adaptao das organizaes contemporneas. //-------------------------------------------------------------------------------------------------------------------------------------------------// -- VULNERABILIDADES: A vulnerabilidade o ponto onde qualquer sistema suscetvel a um ataque. Uma vulner abilidade uma falha no sistema no qual podemos (? hehe) efetuar diversos eventos em cima da mesma. //-------------------------------------------------------------------------------------------------------------------------------------------------// -- POLTICA DE SEGURANA: A Poltica de Segurana um conjunto reduzido de regras que def inem, em linhas gerais, o que considerado pela Empresa como aceitvel ou inaceitvel, contendo ainda referncias s medidas a impor aos infratores. Polticas podem ser especficas: - acesso remoto; - uso aceitvel do acesso Internet; - uso aceitvel do correio-electrnico (en espalll!); - ligao rede; //-------------------------------------------------------------------------------------------------------------------------------------------------// -- GESTO DE ATIVOS: A gesto de ativos importante para proteo adequada dos ativos, onde cada ativo tenha um proprietrio responsvel. A manuteno desses inventrios atualizados se torna essencial. Estabelea uma gesto de ativos que atenda os requisitos abaixo: Exista um inventrio de ativos; Cada ativo tenha um proprietrio responsvel; Exista uma poltica de classificao da informao.

//-------------------------------------------------------------------------------------------------------------------------------------------------//

-- CLASSIFICAO DA INFORMAO (seguindo da menor para a maior prioridade da hierarquia - bottom-up): - Pblica: informao que pode vir a pblico sem maiores conseqncias danosas ao f ncionamento normal da empresa, e cuja integridade no vital; - Interna: o acesso a esse tipo de informao deve ser evitado, embora as co nseqncias do uso no autorizado no sejam por demais srias. Sua integridade importante, mesmo que no seja vital; - Confidencial: informao restrita aos limites da empresa, cuja divulgao ou p erda pode levar a desequilbrio operacional, e eventualmente, perdas financeiras, ou de confiabilidade perante o cliente externo, alm de permit ir vantagem expressiva ao concorrente; - Secreta: informao crtica para as atividades da empresa, cuja integridade deve ser preservada a qualquer custo e cujo acesso deve ser restrito a um nmero bastante reduzido de pessoas. A manipulao desse tipo de informao vital para a companhia. //-------------------------------------------------------------------------------------------------------------------------------------------------// -- CDIGOS MALICIOSOS: um termo genrico que abrange todos os tipos de programa espe cificamente desenvolvidos para executar aes maliciosas em um computador. Na literatura de segurana o termo malware tambm conhecido por "s oftware malicioso". Exemplos: (Descrio detalhada, na fonte: http://cartilha.cert.br/malware/ ) -Vrus: Vrus um programa ou parte de um programa de computador, normalmente malicioso, que se propaga infectando, isto , inserindo cpias de si mesmo e se tornando parte de outros programas e arquivos de um computador. O vrus depende da execuo do programa ou arquivo hospedeiro para que possa se tornar ativo e dar continuidade ao processo de infeco; - Worms: Similares aos vrus, mas no necessitam infectar outros arquivos pa ra se multiplicar e normalmente se espalham usando recursos da rede (o e-mail o seu principal canal de distribuio atualmente); - Cavalos de Tria: Na informtica, um cavalo de tria (trojan horse) um progr ama, normalmente recebido como um "presente" (por exemplo, carto virtual, lbum de fotos, protetor de tela, jogo, etc), que alm de executar funes para as quais foi aparentemente projetado, tambm executa outras funes normalmente maliciosas e sem o conhecimento do usurio; - Programas Espies (Adware e Spyware): -- Adware: Adware (Advertising software) um tipo de software esp ecificamente projetado para apresentar propagandas, seja atravs de um browser, seja atravs de algum outro programa instalado em um computador; -- Spyware: o termo utilizado para se referir a uma grande categ oria de software que tem o objetivo de monitorar atividades de um sistema e enviar as informaes coletadas para terceiros; Os spywares, assim como os adwares, podem ser utilizados de forma legtima, mas, n a maioria das vezes, so utilizados de forma dissimulada, no autorizada e maliciosa. Seguem algumas funcionalidades implementadas em spywar es, que podem ter relao com o uso legtimo ou malicioso: Monitoramento de URLs acessadas enquanto o usurio navega na Internet; Alterao da pgina inicial apresentada no browser do usurio; Varredura dos arquivos armazenados no disco rgido do comp utador;

Monitoramento e captura de informaes inseridas em outros p rogramas, como IRC ou processadores de texto; Instalao de outros programas spyware; Monitoramento de teclas digitadas pelo usurio ou regies da tela prximas ao clique do mouse (vide seo 5); Captura de senhas bancrias e nmeros de cartes de crdito; Captura de outras senhas usadas em sites de comrcio eletrn ico. - Keyloggers: um programa capaz de capturar e armazenar as teclas digita das pelo usurio no teclado de um computador. Existem tambm os screenloggers, capazes de armazenar a posio do cursor e a tela apresentada no monitor, nos momentos em que o mouse clicado, ou armazenar a regio que circunda a posio onde o mouse clicado.

- Backdoors:Normalmente um atacante procura garantir uma forma de retornar a um computador comprometido, sem precisar recorrer aos mtodos utilizados na realizao da invaso. Na maioria dos casos, tambm inteno do atacante po retornar ao computador comprometido sem ser notado. A esses programas que permitem o retorno de um invasor a um computador compromet ido, utilizando servios criados ou modificados para este fim, d-se o nome de backdoor. - Rootkits: Um invasor, ao realizar uma invaso, pode utilizar mecanismos para esconder e assegurar a sua presena no computador comprometido. O conjunto de programas que fornece estes mecanismos conhecido como rootkit. muito importante ficar claro que o nome rootkit no indica que as ferramentas que o compem so usadas para obter acesso privilegiado (root ou Administrator) em um computador, mas sim para mant-lo. Isto significa que o invas or, aps instalar o rootkit, ter acesso privilegiado ao computador previamente comprometido, sem precisar recorrer novamente aos mtodos utilizados n a realizao da invaso, e suas atividades sero escondidas do responsvel e/ou dos usurios do computador. //-------------------------------------------------------------------------------------------------------------------------------------------------// -- GERENCIAMENTO DE RISCOS: O processo de identificar, de controlar, os eventos incertos, eliminando ou minimizando os que podem afetar os recursos de sistema. Pode ser dividido em partes: - Identificao; - Quantificao: etapa que consiste em mensurar o impacto que um determinado risco pode causar ao negcio. - Tratamento; - Monitoramento; //-------------------------------------------------------------------------------------------------------------------------------------------------// -- ANLISE DE TRATAMENTO DE VULNERABILIDADES: A anlise de vulnerabilidades tem por objetivo verificar a existncia de fal has de segurana no ambiente de TI das empresas. Esta anlise uma ferramenta importante para a implementao de controles de segurana eficientes sobre os ativos de informao das empresas. realizada uma verificao detalhada do ambiente computacional da empresa, ve rificando se o ambiente atual fornece condies de segurana compatveis com a importncia estratgica dos servios que fornece ou desempenha. A anlis e de vulnerabilidade sobre ativos da informao compreende Tecnologias, Processos, Pessoas e Ambientes; //------------------------------------------------------------------------------

--------------------------------------------------------------------// --GESTO DE CONTINUIDADE DE NEGCIOS: que objetiva garantir a recuperao de um ambiente de produo, independentemente de eve ntos que suspendam suas operaes e de danos nos componentes (processos, pessoas, softwares, hardware, infra-estrutura etc.) por ele utilizad os. //-------------------------------------------------------------------------------------------------------------------------------------------------// --NORMAS ISO/IEC:

- ISO 27001: um padro para Sistema de Gesto da Segurana da Informao (ISMS nformation Security Management System). um meio de garantir que a organizao certificada implementou um sistema para gesto da segurana da informao de acordo com os padres ISO17799 (q atualmente 27002). Certificao ISO/IEC 27001 geralmente envolve um processo de auditoria em dois estgio s: -- Estgio um uma reviso em cima da mesa da existncia e completude d e documentao chave como a poltica de segurana da organizao, declarao de aplicabilidade (SoA) e plano de tratamento de risco (PTR). -- Estgio dois um detalhamento, com auditoria em profundidade env olvendo a existncia e efetividade do controle ISMS declarado no SoA e PTR, bem como a documentao de suporte. Renovao do certificado envolve revises peridicas e re-declarao confirmando que o ISMS continua operando como desejado.

- ISO 27002: um conjunto, de recomendaes para prticas na gesto de Segurana d Informao. Ideal para aqueles que querem criar, implementar e manter um sistema. Tem como objetivos: confidencialidade, integridade e disponib ilidade das informaes, os quais so fatores muito importantes para a segurana da informao. ISO 27005: Fornece diretrizes para o processo de gesto de riscos de segur ana da informao (SI). Visa a facilitar a implementao eficaz da SI tendo como base a gesto de riscos. A ISO 27001, a exemplo de outras normas de sistemas de gesto, tambm adota o modelo PDCA (Plan, Do, Check, Act), o qual aplicado para estruturar todos os processos do SGSI. Agora cabe a pergunta: como tais processo s do SGSI se alinham ao processo de gesto de riscos recomendado pela ISO 27005? A tabela a seguir responde rapidamente a essa questo... Processos do SGSI Planejar o Anlise/av aliao de riscos Definio do plano de tratamento do risco Aceitao do risco Executar no de tratamento do risco Verificar ntnuo e anlise crtica de riscos Implementao do pla Monitoramento co Processo de gesto de riscos de SI Definio do context

Agir r o processo de gesto de riscos de segurana da informao

Manter e melhora

- Norma NBR ISO/IEC 15999: o cdigo de boas prticas para a gesto de continui dade de negcios. //-------------------------------------------------------------------------------------------------------------------------------------------------// REDES:

------------------------------------------------------------------------------------------------------------------------------------------------------ CONHECIMENTOS DE ARQUITETURAS E TOPOLOGIAS: - Topologia de Rede: a relao lgica e fsica dos ns numa rede. , tambm, o ar esquemtico dos links e ns de uma rede, as topologias mostram as formas das redes. Elas podem ser fsicas ou lgicas. - Topologias Fsicas: Descrevem como os computadores se conectam f isicamente. -- Barramento: Todos os computadores esto ligados a um me smo barramento fsico de dados.Apenas uma mquina pode "escrever" em um momento, e nesse momento as outras mquinas somente "escutam". -- Anel: Consistem em estaes conectadas em srie a um circui to fechado. Pouco usada, se uma mquina falhar, toda a rede falhar. -- Estrela: A ligao no diretamente entre dois computadores, mas com um n central (switch, etc). -- Hbrida: Pode conter vrios tipos. - Topologias Lgicas: Descrevem a maneira como a rede transmite in formaes. Exemplo: Topologia lgica Ethernet. - ARQUITETURAS de Rede: So estruturadas em camadas, onde cada camada dese mpenha uma funo. Modelo OSI o mais usado. - Arquitetura OSI (Open Systems Interconnection): estruturada em camadas (breve descrio): - FSICA: A funo desta camada lidar com a transmisso pura de bits atravs de um canal de comunicao. - DE ENLACE: A principal funo desta camada detectar e, opc ionalmente, corrigir possveis erros que possam ocorrer durante a transmisso sobre o meio fsico. Outras tarefas desta camada so proce ssar avisos de confirmao de recebimento enviados pelo receptor e resolver problemas de conexo entre mquinas com velocidades diferen tes. - REDE:Sua tarefa principal est relacionada com o problem a de como os pacotes de informao so roteados da mquina origem at a mquina destino. Outras tarefas da camada de rede so: controle de c ongestionamento e trfego; estatstica de uso por usurio; resolver problemas de incompatibilidades. - TRANSPORTE: A funo bsica desta camada aceitar os dados da camada de sesso, quebr-los em partes menores se necessrio, pass-los camada de rede e garantir que as partes cheguem em ordem no dest ino. - SESSO: Sua tarefa permitir que usurios em mquinas diferen

tes estabeleam sesses entre eles, e resolver os problemas que podem ocorrer durante uma sesso (controle de dilogo, sincronizao da conexa o...). - APRESENTAO: Cuida da semntica e sintaxe da informao transfe rida. Garantir que um dado chegue com o mesmo significado do que foi transmitido.

- APLICAO: Fornece o suporte necessrio para interao (comunica entre aplicaes distribudas, formando a interface entre um processo de usurio e os protocolos de comunicao. //-------------------------------------------------------------------------------------------------------------------------------------------------// --SERVIOS DE REDES e COMPONENTES: //-------------------------------------------------------------------------------------------------------------------------------------------------// --PROTOCOLO TCP/IP - TCP: orientado a conexao, oferece servio confivel. Camada de Transporte; - IP: protocolo de comunicao, responsvel pela transmisso de nvel inferior. //-------------------------------------------------------------------------------------------------------------------------------------------------// --PADRES IEEE 802.xx - Surgiu da necessidade da comunicao sem-fio. - O padro IEEE 802.11 define basicamente uma arquitetura para as WLANs qu e abrange os nveis fsico e de enlace. No nvel fsico so tratadas apenas as transmisses com freqncia de rdio (RF) e infravermelho (IR), embora outras formas de transmisso sem fio possam ser usadas, como microondas e laser, por exemplo. No nvel de enlace, o IEEE definiu um protocolo d e controle de acesso ao meio (protocolo MAC), bastante semelhante ao protocolo usado em redes locais Ethernet (CSMA/CD). -- 1.2 Arquitetura de Rede Sem Fio 802.11 - O padro IEEE 802.11 define uma arquitetura para as redes sem fi o, baseada na diviso da rea coberta pela rede em clulas. Essas clulas so denominadas de BSA (Basic Service Area). O tamanho da BSA (clula) depen de das caractersticas do ambiente e da potncia dos transmissores/receptores usados nas estaes. Outros elementos fazem parte d o conceito da arquitetura de rede sem fio, quais sejam [Soares95]: --> BSS (Basic Service Set): ou Conjunto Bsico de Servio, represe nta um grupo de estaes comunicando-se por radiodifuso ou infravermelho em uma BSA. --> Ponto de acesso (Access Point AP): so estaes especiais resp onsveis pela captura das transmisses realizadas pelas estaes de sua BSA, destinadas a estaes localizadas em outras BSAs, retransmitind o-as, usando um sistema de distribuio. --> Sistema de distribuio representa uma infra-estrutura de comunicao que in terliga mltiplas BSAs para permitir a construo de redes cobrindo reas maiores que uma clula. --> ESA (Extended Service Area) ou rea de Servio Extendida, representa a interligao de vrios BSAs pelo sistema de distribuio atravs dos APs.

--> ESS (Extended Service Set) ou Conjunto de Servio Extendido, represent a um conjunto de estaes formado pela unio de vrios BSSs conectados por um sistema de distribuio.

** O AP de fundamental importncia: pois ele desempenha as funes: -- autenticao, associao e reassociao: permite que uma estao mesmo saindo de sua clula de origem continue conectada infra-estrutura e no perca a comunicao. -- A funo que permite manter a continuidade da comunicao qua ndo um usurio passa de uma clula para outra, conhecida como handoff [Alencar98]. -- Gerenciamento de potncia: permite que as estaes operem e conomizando energia, atravs de um modo chamado de power save. -- Sincronizao: garante que as estaes associadas a um AP est ejam sincronizadas por um relgio comum. //-------------------------------------------------------------------------------------------------------------------------------------------------// --CRIPTOGRAFIA DE CHAVE PUBLICA (ASSIMETRICA): - A criptografia de chave pblica ou criptografia assimtrica um mtodo de c riptografia que utiliza um par de chaves: uma chave pblica e uma chave privada. A chave pblica distribuda livremente para todos os correspo ndentes via e-mail ou outras formas, enquanto a chave privada deve ser conhecida apenas pelo seu dono. - Para confidencialidade, a chave pblica usada para cifrar mensagens, c om isso apenas o dono da chave privada pode decifr-la. - Para autenticidade, a chave privada usada para cifrar mensagens, com isso garante-se que apenas o dono da chave privada poderia ter cifrado a mensagem que foi decifrada com a 'chave pblica'. //-------------------------------------------------------------------------------------------------------------------------------------------------// -- CERTIFICAO DIGITAL: - Permite reconhecer/validar certificados emitidos; - Verificao das chaves por um terceiro de confiana autoridades de certifica do (CAS); - Possuem uma taxa de ativao e validade; - Um certificado digital composto: da chave privada e publica do indivduo , mais a assinatura da CA.; - Autoridades certificadoras: Versign, Inc; Secure Net Technologia; - Alguns governos, como Estados Unidos e Brasil, funcionam como certific adores; - Algumas instituies possuem sua prpria autoridade, para codificao interna de dados. //-------------------------------------------------------------------------------------------------------------------------------------------------// -- TIPOS DE FIREWALLS: - Existem vrias classificaes para os firewalls, contudo as mais comuns so: Filt ro de Pacotes, Firewall NAT e Hbridos. - Os filtros de pacotes realizam o controle de todo fluxo de dados dire cionado ao host. Atravs da anlise dos cabealhos dos pacotes nos vrios nveis da arquitetura de rede so capazes de comparar seus contedos com regras de controle de acesso (ACLs) prviamente definidas e ento liberar ou no determinado fluxo de dados. - J um firewall NAT manipula a rota padro de pacotes que atravessam o ker nel do host, ele realiza a traduo dos endereos de origem, de destino e algumas vezes pode inclusive realizar um redirecionamento de p

orta. Este firewall pode ser classificado como: SNAT, DNAT e Masquerading. Um firewall SNAT normalmente utilizado para fornecer acesso a uma rede p rivada a partir de um ou vrios endereos IP fixo. J o Masquerading realiza a mesma funo s que sobre endereos. E um firewell baseado em DNAT pod e ser utilizado na construo de uma DMZ ou de um cluster de servidores. OUTRA CLASSIFICAO: Outra forma de classificao dos firewall quanto sua forma de atuao dentro da pilha RM/OSI, neste caso os firewalls podem ser classificados como de Rede ou Gateways de Aplicativos. - Os Firewalls de nvel de Rede so na verdade roteadores com grande capacidade de filtragem de pacote, permitem que haja uma restrio a nvel de endereo, protocolo, nmero da porta e contedo. Atrasam o rote amento ao aumentar o nvel de filtragem. - J os firewalls gateways de aplicativo, normalmente funcionam co mo pontes entre duas redes, os pacotes provenientes de fora da rede passam primeiro pelo gateways, que age como um filtro escondendo assim a rede interna. -- IPTABLES - O FIREWALL DO LINUX: Este software a quarta gerao de firewal l no Linux e permite a realizao da filtragem dos pacotes nas sete camadas da RM/OSI, funcionando ainda como um firewall hbrido. As ACL util izados por ele esto todas armazenadas em memria, processo este que acelera os mecanismos de filtragem e redirecionamento. O iptables um dos poucos firewalls em software totalmente implementado no kernel do sistema operacional, garantindo assim maior nvel de segurana a filtragem. As principais tabelas do iptables so: - filter: responsvel pela filtragem de todos os pacotes que passa m pelo host, no importando origem e destino; - nat: responsvel pelo controle dos pacotes que passam pelo host, mas cuja origem ou destino no o mesmo. Esta tabela utilizada quando desejamos utilizar o iptables para construir gateways de borda. - mangle: permite alterar caractersticas especficas do pacote, com o por exemplo: o TOS (Tipo de Servio) o que permite implementar um sistema simples de QOS (qualidade de servio).