CIBERSEGURANÇA
ME. ITALO GERVÁSIO CAVALCANTE
ORGANIZADOR
BRUNO DE MELLO GONZALEZ
EXPEDIENTE
Coordenador(a) de Conteúdo
Flavia Lumi Matuzawa
Projeto Gráfico e Capa
Arthur Cantareli Silva
Editoração
André Morais de Freitas
Design Educacional
Maitê Turetta
Organizador
Bruno de Mello Gonzalez
Curadoria
Nome do Curador
Ilustração
André Luís Azevedo
Fotos
Shutterstock
FICHA CATALOGRÁFICA
U58
Universidade Cesumar - UniCesumar.
Núcleo de Educação a Distância. CAVALCANTE, Italo Gervásio.
Cibersegurança / Italo Gervásio Cavalcante. - Indaial, SC: Arqué, 2023.
218 p.
ISBN papel 978-85-459-2383-1
ISBN digital 978-85-459-2377-0
“Graduação - EaD”.
1. segurança 2. Informação 3. EaD. I. Título.
Bibliotecária: Leila Regina do Nascimento - CRB- 9/1722.
Ficha catalográfica elaborada de acordo com os dados fornecidos pelo(a) autor(a).
Impresso por:
02511490
RECURSOS DE IMERSÃO
A P RO F UN DANDO
E U INDICO
Utilizado para temas, assuntos
Utilizado para agregar
ou conceitos avançados, levando
um conteúdo externo.
ao aprofundamento do que
Utilizando o QR-code você
está sendo trabalhado naquele
poderá acessar links de
momento do texto.
vídeos, artigos, sites, etc.
Acrescentando muito
aprendizado em toda a sua trajetória.
P E N SA N D O JU NTO S
Este item corresponde a uma
PL AY NO CONHECIMENTO
proposta de reflexão que pode
ser apresentada por meio de uma
Professores especialistas e
frase, um trecho breve ou uma
convidados, ampliando as
pergunta.
discussões sobre os temas
por meio de fantásticos
podcasts.
ZO O M N O CO N HEC I M ENTO
Utilizado para desmistificar
I N DICAÇÃO DE FIL ME
pontos que possam gerar
confusão sobre o tema. Após o
Uma dose extra de
texto trazer a explicação, essa
conhecimento é sempre
interlocução pode trazer pontos
bem-vinda. Aqui você terá
adicionais que contribuam para
indicações de filmes que se
que o estudante não fique com
conectam com o tema do
dúvidas sobre o tema.
conteúdo.
E M FO CO
4
I N DICAÇÃO DE L IVRO
Utilizado para aprofundar o
Uma dose extra de
conhecimento em conteúdos
conhecimento é sempre
relevantes utilizando uma
bem-vinda. Aqui você terá
linguagem audiovisual.
indicações de livros que
Disponibilizado por meio de QR-
agregarão muito na sua vida
code.
profissional.
CAMINHOS DE APRENDIZAGEM
7
UNIDADE 1
27
INTRODUÇÃO À VISÃO GLOBAL DE SEGURANÇA DA INFORMAÇÃO . . . . . . . . . . . . 8
UNIDADE 2
VISÃO GLOBAL DE SEGURANÇA DA INFORMAÇÃO . . . . . . . . . . . . . . . . . . . . . . 28
INTRODUÇÃO ÀS TECNOLOGIAS CRIPTOGRÁFICAS . . . . . . . . . . . . . . . . . . . . . 50
73
UNIDADE 3
TECNOLOGIAS CRIPTOGRÁFICAS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 74
AMEAÇAS À SEGURANÇA – ATAQUES . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 94
115
UNIDADE 4
AMEAÇAS À SEGURANÇA – ENGENHARIA SOCIAL E MALWARE . . . . . . . . . . . . . 116
FIREWALL . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 136
154
UNIDADE 5
DETECÇÃO DE MALWARE E DE INTRUSÃO (IDS E IPS) . . . . . . . . . . . . . . . . . . . 155
VPN, PROTOCOLOS DE SEGURANÇA E SEGURANÇA EM REDES SEM FIO . . . . . . . 180
5
UNIDADE 1
TEMA DE APRENDIZAGEM 1
INTRODUÇÃO À VISÃO GLOBAL
DE SEGURANÇA DA INFORMAÇÃO
ME. ITALO GERVÁSIO CAVALCANTE
MINHAS METAS
Examinar os principais conceitos de segurança da informação
Compreender por que esses conceitos são relevantes
Compreender como podem ser usados para proteger a informação de um negócio.
8
UN I C ES UMA R
INICIE SUA JORNADA
Olá, estudante! Seja bem vindo(a)!
O Brasil vive uma disparada de ataques de ransomware, ameaça digital que,
ao embaralhar os dados e exigir um pagamento para os desbloquear, impede o
acesso às informações armazenadas em um sistema.
Para uma organização que sofre um ataque como esse, qual é a preocupação
central? Você deve ter em mente que, no centro disso, estão dados pessoais, financeiros ou de saúde das pessoas, então, há preocupações sobre privacidade e
possíveis golpes. Neste Tema de Aprendizagem, abordaremos como identificar
o que deve ser protegido por uma equipe de segurança da informação.
DESENVOLVA SEU POTENCIAL
INTRODUÇÃO À VISÃO GLOBAL
DE SEGURANÇA DA INFORMAÇÃO
O mundo moderno tem dedicado especial atenção à informação, devido à sua
importância para a manutenção dos negócios e a realização de novos empreendimentos. A boa informação abre verdadeiras oportunidades para quem a possui, o
que torna o cenário dos negócios mais dinâmico e acirrado em busca de novos
mercados, acordos internacionais, poder e qualidade, entre outros. Isso gera competitividade, consequentemente, transforma a informação no principal elemento
motriz desse ambiente, altamente, competitivo bem como a torna um ativo essencial aos negócios de uma organização e que requer, assim, proteção especial.
P L AY N O CO NHEC I M ENTO
Ouça agora o podcast que preparamos
especialmente para você
9
T E MA D E APRE N D IZAGEM 1
Vale ressaltar que, atualmente, a grande maioria
das informações disponíveis nas organizações enToda e qualquer
contra-se armazenada, sendo trocada entre os mais
informação deve
variados sistemas automatizados. Dessa forma, por
ser correta
inúmeras vezes, decisões e ações tomadas decorrem
das informações manipuladas por esses sistemas.
Dentro desse contexto, toda e qualquer informação deve ser correta, precisa e
estar disponível a fim de ser armazenada, recuperada, manipulada ou processada,
além de ser trocada, de forma segura e confiável. Por esta razão, a segurança da
informação tem sido uma questão de elevada prioridade nas organizações.
É possível inviabilizar a continuidade de uma instituição se não for dada a
devida atenção à segurança de suas informações. Com a chegada dos computadores pessoais e das redes de computadores conectando o mundo inteiro, os
aspectos de segurança atingiram tamanha complexidade que há a necessidade de
desenvolvimento de equipes e métodos de segurança cada vez mais sofisticados.
P E N SA N D O J UNTO S
Após todas essas informações, você consegue perceber que existem contribuições da área de segurança de informação em sua vida cotidiana? Para
tornar essa percepção mais clara, você pode começar procurando entender
como funcionam certos conceitos de segurança da informação os quais serão
abordados neste tema, presentes à sua volta todos os dias.
Observe os seguintes cenários descritos e anote o que observar:
1. Você já reparou que os sites de compras sempre pedem para fazer um
login antes de efetuar uma compra?
2. Você já notou que o seu computador, com certa periodicidade, solicita a
instalação de uma atualização?
3. Você conhece alguém que já sofreu com alguma invasão, por exemplo,
em contas de redes sociais ou WhatsApp? Consegue imaginar como essas
invasões são possíveis?
4. Você possui algum antivírus no seu computador ou celular? Qual você
usa? Já pensou por que você precisa de um?
1
1
UN I C ES UMA R
A partir da experiência proposta, você deve ter percebido que, quando um computador se prepara para se atualizar, costuma mostrar alguns avisos de correções
de segurança. Isso ocorre quando o fabricante do sistema operacional ou programa identifica uma falha no produto, se isso não ocorresse ou você optasse por
não atualizar, ficaria vulnerável a ataques. O mesmo acontece com quem não usa
antivírus, pois fica suscetível a ameaças já presentes no computador.
Há também a seguinte situação: sites de compra precisam saber que é você mesmo(a) quem está solicitando aquele produto ou serviço, de modo que seja menos
provável você negar a compra, no futuro.
Além disso, é possível notar que muitas pessoas próximas não fizeram nenhum uso anormal de uma rede
social ou do WhatsApp, mas, mesmo assim, sofreram esses golpes, isso acontece porque as fragilidades
exploradas costumam ser dos próprios aplicativos.
Falaremos de como elas podem ser exploradas e o
que é impactado por tais fragilidades.
As fragilidades
exploradas
costumam ser
dos próprios
aplicativos
1
1
T E MA D E APRE N D IZAGEM 1
Caro(a) aluno(a), você já pensou como e para que surgiram as redes de computadores? Elas foram usadas, nas primeiras décadas de existência, principalmente, por pesquisadores universitários, para enviar e-mails, e por funcionários
de empresas, para compartilhar impressoras (TANENBAUM; WETHERALL,
2011). Como você pode imaginar, naquelas condições, a segurança das redes
não recebeu muita atenção.
O cenário atual é completamente diferente. Milhões de cidadãos comuns estão usando redes de
Falhas na
segurança de
dados para serviços bancários, fazer compras, redes
redes de dados
sociais etc. Falhas na segurança de redes de dados
tornou-se um
tornou-se um aspecto relevante na vida de praticaaspecto relevante
mente todas as pessoas.
VOCÊ SABE RESPONDER?
Professor, mas o que é estudado em segurança de redes?
Curioso(a) aluno(a), te apresentarei alguns cenários para que fique claro porque
existe e se estuda segurança de redes.
CENÁRIO 1
Ana envia uma mensagem a Beto. A segurança preocupa-se em garantir que a
mensagem de Ana destinada a Beto não possa ser lida por Teobaldo, dado que ele
não possui autorização para ler a mensagem. A segurança da rede deve garantir,
ainda, que Teobaldo não consiga modificar, secretamente, mensagens as quais
ele não seja o emissor.
1
1
UN I C ES UMA R
CENÁRIO 2
Imagine um serviço remoto disponível na internet ou em uma rede privada, no
qual somente alguns usuários possuem autorização para o acessar (por exemplo,
o acesso ao EaD de uma organização acadêmica de ensino superior, destinado
aos alunos, devidamente, matriculados). A segurança de redes preocupa-se
com pessoas como Teobaldo, as quais tentam acessar serviços remotos que não
estão autorizadas a usar.
CENÁRIO 3
Ana recebe uma mensagem por WhatsApp informando que, na próxima sexta,
na compra de um Big Mac, o comprador receberá outro de brinde. A mensagem,
supostamente, veio do McDonald’s, mas, como Ana poderá ter certeza disso ou
de que a mensagem não veio de Teobaldo? A segurança de redes também lida
com maneiras de saber se uma mensagem divulgada, supostamente, por uma
empresa ou pessoa é, de fato, do suposto remetente.
CENÁRIO 4
Imagine que, em um post do Instagram, Teobaldo use palavras de baixo calão
para se referir a Beto. Amigos de Beto reportam este fato ao próprio, mas,
quando ele confere o perfil de Teobaldo, não encontra nada, pois o agressor já
havia apagado o post. A segurança de redes também lida com os problemas de
mensagens legítimas sendo captadas e reproduzidas e com as pessoas, tentando
negar, posteriormente, que enviaram determinadas mensagens.
Acredito que você percebeu, por meio dos cenários apresentados, a importância
do conteúdo a ser estudado neste tema.
A maioria dos problemas de segurança são causados, intencionalmente, por
pessoas como o nosso personagem Teobaldo, pessoas as quais tentam obter algum benefício, chamar a atenção ou prejudicar alguém.
Uma definição que oferece a você, caro(a) aluno(a), uma ideia das áreas cobertas
pela área de segurança de rede (a qual inclui, também, a internet), é: a segurança
de redes consiste em medidas para desviar, prevenir, detectar e corrigir violações
de segurança que envolvam a transmissão de informações (STALLINGS, 2014).
1
1
T E MA D E APRE N D IZAGEM 1
Para tratar de segurança de redes, você também precisa saber o que é segurança
da informação. O Manual de Segurança de Computadores da NIST (NIELES;
DEMPSEY; PILLITTERI, 2017, p. 12, tradução minha) define o termo segurança
da informação como: “a proteção de informações e sistemas de informação contra acesso não autorizado, uso, divulgação, interrupção, modificação ou destruição, a fim de garantir confidencialidade, integridade e disponibilidade”.
Recapitulando o que foi visto até aqui, a segurança de redes trata de garantir uma comunicação
segura entre o remetente e o destinatário de uma
Garantir uma
mensagem. Você pode estar pensando: o que caractecomunicação
segura entre o
riza uma comunicação segura? A definição do NIST
remetente e o
(NIELES; DEMPSEY; PILLITTERI, 2017) introduz
destinatário
três objetivos principais que são o coração da segurança de computadores em rede: a confidencialidade, a integridade e a disponibilidade.
1
1
UN I C ES UMA R
Confidencialidade, integridade e disponibilidade formam o que é, normalmente, chamado de tríade CID (em inglês, o acrônimo para a tríade é CIA:
Confidentiality, Integrity and Availability). Estes três conceitos envolvem os objetivos fundamentais da segurança tanto para dados quanto para serviços de
informação e computação. Abordaremos, agora, cada um dos elementos básicos
da segurança de rede.
A confidencialidade trata de garantir que apenas usuários autorizados
possam visualizar informações confidenciais (GARGANO, 2016). Confidencialidade, nesse contexto de segurança, é entendido como um sinônimo para
sigilo. Aluno(a), talvez, você esteja pensando: professor, quando ocorre a quebra da confidencialidade da informação? Acontece ao permitir que pessoas não
autorizadas tenham acesso ao conteúdo de uma mensagem privada. A perda
da confidencialidade ou do sigilo é a perda do segredo da informação, logo,
medidas de segurança devem garantir que a informação esteja acessível apenas
para quem tem permissão de acesso, evitando, assim, revelação não autorizada.
Quando se fala em integridade, estamos falando que somente os titulares
autorizados conseguem alterar dados ou informações confidenciais; ela também
garante a autenticidade dos dados (GARGANO, 2016). Logo, você deve entender que garantir a integridade é permitir que a informação permaneça legítima e
consistente, não seja modificada, alterada ou destruída sem autorização. Quando
ocorre a quebra da integridade? Acontece quando a informação é corrompida,
falsificada, roubada ou destruída. Medidas de segurança devem garantir que a
informação seja alterada, somente, por pessoas autorizadas e em situações as
quais, efetivamente, demandam a alteração legítima.
O terceiro conceito base de segurança é a disponibilidade. Fornecer disponibilidade de sistema e dados consiste em garantir a usuários autorizados acesso
ininterrupto a importantes recursos e dados de computação (GARGANO, 2016).
A disponibilidade é a garantia de que esses usuários obtenham acesso à informação e aos ativos de interesse, sempre quando necessário. Em qual momento
ocorre a quebra da disponibilidade (indisponibilidade)? Ela ocorre quando a
informação não está disponível para ser consumida, ou seja, não disponível ao
alcance de seus usuários e destinatários, não podendo ser acessada no momento
necessário para a utilizar. Dessa forma, medidas de segurança devem garantir
que a informação esteja disponível, sempre que necessário, aos usuários e/
ou aos sistemas associados com direito de acesso a ela.
1
1
T E MA D E APRE N D IZAGEM 1
AP RO F U N DA NDO
Embora o emprego da tríade CIA para definir os objetivos da segurança esteja bem
estabelecido, alguns estudiosos no campo da segurança da informação percebem
que conceitos adicionais são necessários, a fim de apresentar um quadro completo (HINTZBERGEN et al., 2018) Como vimos, uma das definições iniciais da nossa área é relacionada à Tríade CID, entretanto outros conceitos ou componentes
passaram a ser reconhecidos como pilares da segurança da informação.
Após a publicação do Glossário de Garantia de Informação Nacional, pelo
Comitê de Instrução de Sistemas de Segurança Nacional dos EUA (CNSSI nº
4009), foi definido o conceito de Garantia da Informação como sendo “Medidas que protegem e defendem a informação e os sistemas de informação,
garantindo sua disponibilidade, integridade, autenticação, confidencialidade e não repúdio” (CNSS, 2015, p. 39, tradução e grifos meus). Você
percebe que, agora, temos os conceitos de autenticação e não repúdio, além
da Tríade CIA? A Garantia da Informação incorporou a tríade em uma definição
conhecida como Cinco Pilares.
O modelo dos Cinco Pilares acrescentou à Tríade
CID os atributos de autenticação e não repúdio. Estes
Estes não são
não são atributos de informação ou sistemas, mas sim
atributos de
informação ou
usados para descrever os procedimentos ou métodos
sistemas
voltados a garantir a integridade e a autenticidade das
informações e a proteger a confidencialidade desses
(DARDICK, 2010).
Além dos Cinco Pilares, também foi adicionado ao modelo da Tríade CID
o Hexágono de Parker. Este modelo, menos conhecido com o nome de Donn
Parker e introduzido no livro Fighting Computer Crime deste autor, fornece uma
variação um pouco mais complexa da tríade clássica da CID.
O Hexágono de Parker consiste nos três princípios — confidencialidade, integridade e disponibilidade — bem como posse ou controle, autenticidade e utilidade, em um total de seis princípios (ANDRESS, 2019).
Vamos falar um pouco mais sobre os quatro conceitos citados? Começaremos
pelo conceito comum ao Hexagonal de Parker e ao modelo dos Cinco Pilares: a
autenticidade.
1
1
UN I C ES UMA R
Autenticidade Pode ser entendida como a propriedade de ser genuíno, capaz de ser verificado e confiável. Isso significa verificar que os usuários são
quem dizem ser e, além disso, que cada entrada no sistema vem de uma
fonte confiável (STALLINGS, 2014).
O conceito de não repúdio trata de uma meta de segurança que gera o requisito para as ações de uma entidade ou pessoa serem atribuídas, exclusivamente, a ela. Pelo fato de sistemas, totalmente, seguros não serem, ainda,
uma meta alcançável, precisamos ser capazes de associar uma violação de
segurança a uma parte responsável. Os sistemas devem manter registros
de suas atividades, a fim de permitir posterior análise forense, de modo a
rastrear as violações de segurança ou auxiliar nas disputas de uma transação
(STALLINGS, 2014).
Os dois conceitos introduzidos pelo modelo Hexagonal de Parker foram posse ou controle e utilidade. Para entender o conceito de posse ou controle,
suponha que um ladrão roube um envelope lacrado contendo um cartão
bancário de crédito e, por uma falha do emissor, a senha associada esteja
no mesmo envelope do cartão. Nesse cenário, mesmo que o ladrão não abra
esse envelope, a vítima do roubo ficaria, legitimamente, preocupada com a
possibilidade de o criminoso usar o cartão de forma fraudulenta a qualquer
momento, sem o controle do proprietário. Esta situação ilustra uma perda
de controle ou posse de informações, mas não envolve, necessariamente, a
quebra de sigilo.
Utilidade Quanto à utilidade, esta significa capacidade de uso. Imagine
o seguinte cenário: alguém criptografou dados em um disco para prevenir
o acesso não autorizado ou modificações indesejadas e, depois, perdeu a
chave criptográfica. Isso seria uma quebra de utilidade. Os dados seriam confidenciais, controlados, integrais, autênticos e disponíveis, eles só não seriam
úteis dessa forma (HINTZBERGEN et al., 2018) Fique atento(a): a utilidade é,
muitas vezes, confundida com disponibilidade, entretanto o conceito de
capacidade de uso diferencia-se do conceito de disponibilidade.
Nota-se, também, que o modelo Hexagonal de Parker não inclui o atributo de
não repúdio presente nos Cinco Pilares (DARDICK, 2010). Todos os conceitos
citados na Tríade da CID, nos Cinco Pilares da Garantia da Informação e no
Hexagonal de Parker foram revisados e sintetizados no Quadro 1.
1
1
T E MA D E APRE N D IZAGEM 1
TRÍADE
CID
CINCO
PILARES
HEXAGONAL
DE PARKER
x
x
x
Confidencialidade: garantir que as informações sejam acessíveis, apenas, para
aqueles autorizados a ter acesso.
x
Integridade/Consistência: consistência
percebida de ações, valores, métodos,
medidas e princípios. Inalterado “é verdade o tempo todo?” (verificação).
x
Disponibilidade/Pontualidade: o grau no
qual os fatos e análises estão disponíveis
e são relevantes (válidos e verificáveis em
um momento específico).
x
Autenticidade/Original: qualidade de ser
autêntico ou de autoridade estabelecida
para verdade e correção, “melhor evidência” (validade).
x
x
x
x
x
COMPONENTES
Não Repúdio/Exatidão: a transação não
pode ser negada (validade) sem hipótese
alternativa.
x
x
Posse/Controle: ou seja, cadeia de custódia.
x
Utilidade/Relevância: “é útil?”/é a informação certa?”.
Quadro 1 - Síntese dos principais conceitos de segurança da informação
Fonte: adaptado de Dardick (2010).
Os conceitos discutidos até o momento fornecem uma base prática para debatermos todas as maneiras pelas quais algo pode dar errado no mundo da segurança
da informação. Para continuar com o assunto de segurança de rede, você precisa
conhecer alguns dos termos mais comuns encontrados na área.
1
1
UN I C ES UMA R
O primeiro deles é o conceito de ativo: trata-se
de um item que deve ser protegido. Ele pode ser
O conceito de
propriedades, pessoas, informações ou dados que
ativo: trata-se de
tenham valor para a empresa (GARGANO, 2016).
um item que deve
Quando falamos que ativos podem ser pessoas, estas
ser protegido
incluem, às vezes, funcionários e clientes juntamente
com outras pessoas convidadas, por exemplo, os contratados. Quando falamos
que ativos podem ser propriedades, estas consistem em itens tangíveis ou intangíveis, aos quais costumam atribuir um valor à empresa. Os itens tangíveis, como
imóveis e outros bens, têm valor mais palpável, em relação aos ativos intangíveis, como a imagem da empresa, deve-se defender a reputação e as informações
proprietárias (segredos comerciais, por exemplo). A respeito da afirmação de
que ativos podem ser informações, incluem-se aí bancos de dados, código de
software, registros críticos da empresa e muitos outros itens intangíveis.
Sabemos que um ativo é algo importante para uma empresa ou um negócio.
Se um ativo ou um grupo de ativos possui uma fragilidade com capacidade de
ser explorada por pessoas ou grupos mal-intencionados, ele tem a chamada de
vulnerabilidade. Esta, por sua vez, caracteriza, em um ativo, a ausência ou a
fraqueza de uma proteção que, desse modo, pode ser explorada. A vulnerabilidade é um serviço rodando em um servidor, aplicações ou sistemas operacionais
desatualizados, acesso irrestrito para entrada em chamadas por videoconferência,
uma porta aberta no firewall, uma segurança física fraca que permita a qualquer
pessoa entrar em uma sala de servidores, ou ainda, a não aplicação de gestão de
senhas em servidores e estações de trabalho (HINTZBERGEN et al., 2018).
1
1
T E MA D E APRE N D IZAGEM 1
A vulnerabilidade expõe uma organização a possíveis ameaças. A ISO/IEC
13335-1 (ISO, 2004) define ameaças como a causa potencial de um incidente
indesejado e que pode resultar em dano a um sistema ou organização. Para ficar
mais claro: pense que uma ameaça é qualquer coisa com capacidade de explorar
uma vulnerabilidade e, a partir dessa, obter, modificar, destruir ou tornar inacessível um ativo, de modo intencional ou acidental. Quem procura tirar vantagem
de uma vulnerabilidade é conhecido, na literatura, como agente ameaçador.
Ele pode ser (HINTZBERGEN et al., 2018) um:
■ Invasor que acessa a rede por meio de uma porta no firewall.
■ Processo que acessa dados de uma forma que viola a política de segurança.
■ Tornado que destrói uma instalação.
■ Funcionário que comete um erro não intencional, mas capaz de expor
informações confidenciais ou destruir a integridade de um arquivo.
Quando existe uma vulnerabilidade não tratada, temos uma exposição da empresa ou do negócio a um agente ameaçador. Uma exposição é a circunstância de
estar exposto às perdas provenientes desse agente. Imagine os seguintes cenários:
em uma empresa, se a gestão de senhas for fraca (senhas criadas, somente, por
números, por exemplo), ou ainda, se as regras relacionadas a elas forem boas, mas
não forem aplicadas, essa empresa fica exposta à possibilidade de ter as senhas
de usuários capturada e usada de forma não autorizada.
Um conceito que desejo que você compreenda bem é o de ameaça. Além da
definição apresentada pela ISO/IEC 13335-1 (ISO, 2004), causa potencial de um incidente indesejado, capaz de resultar em dano para um sistema ou organização),
discutiremos os seus tipos, divididos em: ameaças humanas e não humanas.
2
2
UN I C ES UMA R
Dentre as ameaças humanas, existe a ameaça humana intencional. As pessoas
são capazes de, intencionalmente e por várias razões, causar danos a sistemas de
informação. Normalmente, pensamos em intrusos, tais como um hacker que
tem algo contra a empresa e deseja invadir o sistema dela com o objetivo de causar danos. Mas e quanto ao funcionário da empresa que destrói dados após ser
demitido ou quem, como resultado de não receber a promoção a qual gostaria,
se vinga destruindo dados ou vendendo-os para a concorrência? A engenharia
social também é um outro exemplo de ameaça humana intencional (HINTZBERGEN et al., 2018).
As pessoas também podem causar danos de forma não intencional. Por exemplo, pressionando, acidentalmente, o botão “delete” e confirmando, de forma descuidada, com “ok”. Isso já aconteceu com o DNS do meu local de trabalho, por
conta de um equívoco do estagiário da equipe. Você, dedicado(a) aluno(a), também pode inserir um pen drive com um vírus em uma máquina e espalhá-lo através da rede. Além disso, em pânico, há a possibilidade de você usar um extintor
de pó para apagar um pequeno incêndio e, como resultado, destruir um servidor.
Existem, também, eventos não humanos que ameaçam uma organização.
Estes incluem influências externas, tais como: raios, incêndios, inundações e
tempestades. Grande parte dos danos causados dependerá da localização do
equipamento nas instalações. A sala do servidor está localizada, diretamente,
sob um telhado plano suscetível a vazamento? É situada no subsolo em uma área
onde há água subterrânea elevada? Essa sala tem janelas ou parece uma estrutura
fortificada, sem janelas, com vedação para água e fogo e, por vezes, embaixo da
terra, estilo bunker? Todas as preocupações citadas têm influência sobre os riscos
que a organização terá de enfrentar (HINTZBERGEN et al., 2018).
Só lembrando que as ameaças tendem a ser específicas a determinados ambientes, principalmente no mundo da segurança da informação. Por exemplo, embora
um vírus possa ser problemático em um sistema operacional Windows, é improvável que o mesmo vírus tenha algum efeito em um sistema operacional Linux.
2
2
T E MA D E APRE N D IZAGEM 1
NOVOS DESAFIOS
Chegamos ao fim deste Tema de Aprendizagem!
A engenharia social busca explorar a falta de consciência sobre segurança
dentro de uma organização. Ao usar as expressões corretas ou nomes de pessoas
conhecidas e de seus departamentos, alguém pode passar a impressão de ser um
colega. Agir de forma educada e parecer confiável fornece ao “colega” a oportunidade de obter segredos comerciais e da empresa. Um engenheiro social tira
proveito dos pontos fracos das pessoas para concretizar os seus objetivos, pois
a maioria das pessoas não sabe o que é engenharia social, tampouco reconhece
um engenheiro social.
Caso o helpdesk te telefone perguntando onde está determinado arquivo, você
deve checar se está, realmente, falando com o helpdesk. Lembre-se: um funcionário
desse setor nunca pedirá a sua senha. Você, alguma vez, falou a respeito do seu trabalho no transporte público ou em uma festa? Tem certeza de que não mencionou
nada confidencial? Um engenheiro social trabalha de acordo com certo padrão.
E M FO CO
Quer saber mais sobre o tema?
Acesse a aula que preparamos para você!
2
2
VAMOS PRATICAR
Foram muitos os conhecimentos apresentados até agora e, sempre há algo mais a aprender, por isso, busque estar por dentro das notícias relacionadas a avanços tecnológicos
bem como se atualizar quanto ao mercado. Agora, iremos à etapa final do nosso estudo,
a fim de praticar, rever e reforçar o nosso conteúdo.
1. Um dos princípios básicos da segurança da informação tem como característica garantir que uma informação não seja alterada durante o seu trânsito entre o emissor e
o destinatário. Nesse sentido, assinale a alternativa a qual apresenta, corretamente,
esse princípio:
a)
b)
c)
d)
e)
Confidencialidade.
Integridade.
Disponibilidade.
Irretratabilidade.
Autenticidade.
2. Nos princípios básicos da segurança da informação, você, algumas vezes, se deparará
com uma descrição não condizente com o que determinado princípio de segurança da
informação representa. De modo a reforçar os conceitos estudados, leia as alternativas,
a seguir, e assinale a incorreta:
a) A autenticidade refere-se às ações tomadas para assegurar que informações confidenciais e críticas não sejam roubadas do sistema.
b) A disponibilidade pressupõe que uma informação deve estar disponível a qualquer
pessoa de direito, sempre que necessário.
c) A irretratabilidade é a propriedade de evitar a negativa de autoria de transações por
parte de usuários, garantindo ao destinatário o dado acerca da autoria da informação
recebida.
d) A confidencialidade refere-se à limitação de acesso à informação, apenas, às pessoas
e/ou entidades autorizadas por aqueles que detêm os direitos da informação.
e) De acordo com o conceito de integridade, os dados devem ser mantidos intactos, sem
alteração, conforme foram criados e fornecidos.
2
2
REFERÊNCIAS
ANDRESS, J. Foundations of Information Security. 1st ed. San Francisco: No Starch
Press, 2019.
CNSS. Committee on National Security Systems (CNSS) Glossary. Fort Meade: CNSS,
2015. (CNSSI nº 4009).
DARDICK, G. S. Cyber Forensics Assurance. Perth: Edith Cowan University, 2010.
GARGANO, P. 31 Days Before Your CCNA Security Exam: a day-by-day review guide for
the IINS 210-260 certification exam. 1st ed. Indianapolis: Cisco Press, 2016.
HINTZBERGEN, J. et al. Fundamentos de Segurança da Informação: com base na ISO
27001 e na ISO 27002. 1. ed. Rio de Janeiro: Brasport, 2018.
ISO. ISO/IEC 13335:2004. Information Technology – Security Techniques – Management of
Information and Communications Technology Security. Geneve: ISO, 2004.
ISO. ISO/IEC 27002:2013. Information Technology – Security Techniques – Code of Practice for Information Security Controls. Geneve: ISO, 2013.
NIELES, M.; DEMPSEY, K.; PILLITTERI, V. Y. An Introduction to Computer Security: The
National Institute of Standards and Technology Handbook. Gaithersburg: NIST, 2017. (Special
Publication 800-12. Revision I). Disponível em: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-12r1.pdf. Acesso em: 9 nov. 2022.
STALLINGS, W. Criptografia e Segurança de Redes: Princípios e Práticas. 6. ed. São Paulo:
Pearson Universidades, 2014.
TANENBAUM, A. S.; WETHERALL, D. Redes de Computadores. 5. ed. São Paulo: Pearson
Universidades, 2011.
2
2
CONFIRA SUAS RESPOSTAS
1. B. A integridade é o princípio cuja propriedade garante que a informação manipulada
mantenha todas as características originais estabelecidas pelo proprietário da informação,
incluindo controle de mudanças e garantia do seu ciclo de vida (nascimento, manutenção
e destruição).
2. A. Tenha em mente o seguinte resumo para responder à questão:
Confidencialidade: acesso, somente, por pessoas autorizadas. A resposta está correta.
Integridade: sem alteração da informação. A resposta está correta.
Disponibilidade: sempre disponível às pessoas autorizadas que possuem o direito de posse.
Autenticidade (do remetente): garante a identidade de quem está enviando determinada
informação.
Não repúdio (irretratabilidade): trata da capacidade de garantir que o emissor da mensagem
ou o participante de um processo não negue, posteriormente, a sua autoria.
2
2
UNIDADE 2
TEMA DE APRENDIZAGEM 2
VISÃO GLOBAL DE SEGURANÇA
DA INFORMAÇÃO
ME. ITALO GERVÁSIO CAVALCANTE
MINHAS METAS
Examinar os principais conceitos de segurança da informação
Compreender por que esses conceitos são relevantes
Compreender como podem ser usados para proteger a informação de um negócio.
2
2
UN I C ES UMA R
INICIE SUA JORNADA
Olá, estudante! Seja bem vindo(a)!
Em ataques como o de um ransomware, muitas empresas entendem não
haver prejuízo quando afirmam que os seus bancos de dados estão íntegros. Você
pode estar curioso(a) para saber se o entendimento delas está correto, afinal,
existe outra coisa com a qual se preocupar?
Agora, considerando que não existem sistemas completamente seguros e à
prova de ataques, o que organizações que sofrem ataques podem fazer para se
proteger? A resposta a esta e às demais perguntas apresentadas até aqui baseia-se
nos conhecimentos aos quais você terá acesso neste material.
Para te ajudar nessas e em outras situações envolvendo segurança da informação, este tema será dedicado a esta problemática, mostrando para você quais
os principais conceitos de segurança da informação e como eles relacionam-se.
P L AY N O CO NHEC I M ENTO
Ficou interessado(a) em conhecer como a avaliação do risco é
feita pelas organizações? Então, acesse o nosso podcast dedicado à avaliação de risco com foco na ISO 27002:2013.
DESENVOLVA SEU POTENCIAL
VISÃO GLOBAL DE SEGURANÇA DA INFORMAÇÃO
A exposição de uma empresa ou negócio está relacionada a potenciais perdas
resultantes de alguma vulnerabilidade, entretanto tenha em mente que nem todas
as situações de exposição são iguais. Imagine um exemplo bem bobo: você chega
na sua casa e, na pressa de entrar, deixa a porta destrancada ou com a chave do
lado de fora, ou ainda, a porta aberta. Percebe que uma possível invasão à sua
residência difere nas três possibilidades citadas? Para trabalhar mais essa ideia,
falaremos sobre o conceito de risco.
2
2
T E MA D E APRE N D IZAGEM 2
Um risco é a probabilidade de um agente ameaçador tirar vantagem de uma
vulnerabilidade e causar o correspondente impacto nos negócios (HINTZBERGEN et al., 2018). Você pode entender risco, também, como a probabilidade de
que algo ruim aconteça. Para ter um risco em um ambiente, você precisa ter uma
ameaça e uma vulnerabilidade que a ameaça possa explorar. No exemplo bobo
que propus há pouco, um invasor seria uma ameaça, e a vulnerabilidade seria a
porta destrancada. A probabilidade do invasor entrar na sua casa aumenta com
a porta aberta e diminui caso ela esteja, apenas, destrancada.
Mas você, caro(a) aluno(a), quer saber sobre riscos de segurança da informação, certo? Logo, apresento, a seguir, situações de risco em ambientes de
TI (HINTZBERGEN et al., 2018):
SE UM FIREWALL TEM DIVERSAS PORTAS ABERTAS
há maior probabilidade de um invasor usar uma delas para acessar a rede de
forma não autorizada.
SE OS USUÁRIOS NÃO FOREM TREINADOS NOS PROCESSOS E PROCEDIMENTOS
haverá maior probabilidade de um funcionário cometer um erro, intencional ou
não, que possa destruir dados.
SE UM SISTEMA DE DETECÇÃO DE INTRUSÃO NÃO FOR IMPLEMENTADO NA REDE
haverá maior probabilidade de um ataque não ser percebido até que seja tarde demais.
Fique atento(a): o risco relaciona uma vulnerabilidade, uma ameaça e a probabilidade de exploração dessa exposição ao impacto resultante nos negócios
(HINTZBERGEN et al., 2018).
Algumas organizações, como a Agência de Segurança Nacional dos EUA
(NSA), adicionam um fator à equação ameaça/vulnerabilidade/risco chamado impacto. Este leva em consideração o valor do ativo ameaçado e o utiliza para calcular
o risco (ANDRESS, 2019). Dessa forma, a análise de um risco para o negócio envolveria, além da probabilidade da ameaça ocorrer, o impacto desse evento ao negócio. Para
calcular o risco com base na probabilidade e no impacto, usamos a matriz de risco.
3
3
UN I C ES UMA R
Uma matriz de risco fornece uma imagem bidimensional de risco a departamentos, produtos, projetos ou outros itens de interesse da empresa. Essa
matriz destina-se a fornecer um meio para melhor estimar a probabilidade de
sucesso de uma ameaça, explorar uma vulnerabilidade e identificar as atividades
que requerem maior controle ou contramedidas. As cores dos semáforos são,
frequentemente, usadas na categorização dos riscos em três (ou mais) categorias,
identificando, rapidamente, combinações de probabilidade e impacto que exigem
mais atenção da área de segurança (OLSON, 2011).
A Figura 1 mostra uma matriz de risco usando quatro cores (as três do semáforos, mais o laranja) para ilustrar, de forma rápida, as combinações de maior ou
menor risco para o negócio. Essa matriz, conforme é possível verificar na figura,
relaciona a probabilidade de uma ameaça ocorrer com o impacto que haveria na
organização, caso ela se concretize. Quanto maior a probabilidade, maior o risco,
assim como quanto maior o impacto, maior será, também, o risco.
Figura 1 - Matriz de risco / Fonte: Ferramentas da Qualidade.
Descrição da Imagem: a imagem ilustrativa apresenta no topo da imagem, em posição central, o título “Matriz de
Risco”. Logo abaixo, há a matriz 4x4 com a descrição “Impacto” na base horizontal e com a descrição “Probabilidade” na vertical. Em ambos os eixos, há a numeração de 1 a 4, em ordem crescente. Ao lado da matriz, é possível
ver uma legenda de quatro identificações com as seguintes descrições, do topo para a base: “Alto risco”, “Risco
médio alto”, “Risco médio” e “Baixo risco”. O alto risco está associado às posições da matriz de valores maiores
de impacto e probabilidade, enquanto o baixo risco está associado às posições da matriz de valores menores
de impacto e probabilidade. O risco médio alto e o risco médio associam-se às posições da matriz em valores
intermediários de impacto e probabilidade.
3
3
T E MA D E APRE N D IZAGEM 2
É gastar o tempo
dessa equipe
mitigando os
ataques mais
prováveis.
3
3
A matriz de risco é uma das ferramentas de avaliação do risco de um negócio ou projeto, conforme
preconizado na ISO 27002:2013 (ISO, 2013).
Na área de segurança de redes, costumamos falar
sobre ataques potenciais, mas improváveis, em ambientes de computação. Dessa forma, se uma equipe
de segurança gastar os recursos dela tentando se proteger de todos os ataques possíveis, por mais improváveis que eles sejam, provavelmente esse ambiente
computacional não terá proteção onde mais precisa
(ANDRESS, 2019). Logo, caro(a) aluno(a), a melhor
estratégia para uma equipe de TI é gastar o tempo
dessa equipe mitigando os ataques mais prováveis.
UN I C ES UMA R
Uma pessoa ou organização ou programa que explora uma vulnerabilidade comete um ataque a um sistema. O que discutimos até aqui te permite compreender
melhor os ataques que você pode enfrentar em uma equipe de segurança.
Uma maneira útil de classificar os ataques à segurança — usada na RFC 4949
(Request for Comments ou “Pedido para Comentários”, em português) — é em
termos de ataques passivos e ataques ativos. Um ataque passivo tenta descobrir
ou utilizar informações do sistema, mas não afeta os recursos dele, por outro
lado, um ataque ativo tenta alterar recursos do sistema ou afetar a operação dele
(STALLINGS, 2014).
O QUE É RFC?
Request for Comments ou “Pedido para Comentários”, em português, são documentos que contêm especificações técnicas e notas organizacionais para a
internet.
QUANDO SURGIU O PRIMEIRO DOCUMENTO RFC?
O primeiro documento, o RFC 1, foi escrito em 1969 e foi seguido por outros. As
RFCs começaram como notas técnicas informais.
QUEM ELABORA E UTILIZA UM DOCUMENTO RFC?
Um RFC é criado por meio de um processo colaborativo. É utilizado por desenvolvedores de software, fabricantes de hardware e operadores de rede em todo o
mundo que implementam e adotam, voluntariamente, as especificações técnicas
descritas pelo documento.
COMO CONSULTAR UM RFC E QUANTO CUSTA UM DOCUMENTO?
Quando os RFCs são publicados, ficam disponíveis, gratuitamente, online. Consulte por meio do QRCode ao lado do site do RFC Editor. No campo de busca,
pesquise, por exemplo, pelo número 4949, então, você encontrará o RFC 4949
citado neste tema.
3
3
T E MA D E APRE N D IZAGEM 2
Os ataques passivos estão na natureza de bisbilhotar
ou monitorar transmissões. O objetivo do atacante
é obter informações que estão sendo transmitidas
(STALLINGS, 2014). Os ataques passivos buscam a
interceptação, podendo assumir a forma de visualização ou cópia não autorizada
de arquivos, escuta de conversas telefônicas ou leitura de e-mail de outra pessoa, e o
invasor é capaz de a conduzir contra dados em repouso ou em movimento. Quando executados, corretamente, os ataques de interceptação são difíceis de detectar.
Os ataques passivos mais comuns são vazamento de conteúdo de mensagem
e análise de tráfego. O vazamento de conteúdo de mensagem é, facilmente, compreendido, pois uma conversa telefônica, uma mensagem de correio eletrônico e
um arquivo transferido, geralmente, contêm informações sensíveis ou confidenciais. Você, como integrante de uma equipe de segurança, busca impedir que um
oponente descubra o conteúdo dessas transmissões (STALLINGS, 2014).
A análise de tráfego é um ataque passivo mais sutil. Suponha que tivéssemos
uma maneira de disfarçar o conteúdo das mensagens ou outro tráfego de informações, de modo que os oponentes, mesmo que capturassem a mensagem, não
pudessem extrair as informações dela. Essa maneira existe, e a técnica mais comum
para mascarar o conteúdo é a encriptação. Se tivéssemos proteção por encriptação,
um oponente ainda poderia conseguir observar o padrão dessas mensagens, teria
meios para determinar o local e a identidade dos interlocutores em comunicação
bem como observar a frequência e o tamanho das mensagens trocadas. Essa informação seria útil para descobrir a natureza da comunicação que estivesse ocorrendo.
A análise de
tráfego é um
ataque passivo
mais sutil.
ZO O M N O CO NHEC I M ENTO
Dados em repouso são dados armazenados que não estão em processo de
serem movidos de um lugar para outro. Podem estar em um disco rígido ou pen
drive ou armazenados em um banco de dados, por exemplo. Esses tipos de dados, geralmente, são protegidos com algum tipo de criptografia, muitas vezes,
no nível do arquivo ou do dispositivo de armazenamento inteiro.
Dados em movimento são aqueles dados que estão se movendo de um lugar
ao outro. Ao usar o seu app do banco, os dados confidenciais que fluem entre
seu navegador da web e o seu banco são dados em movimento. Eles também
são protegidos por criptografia, mas, neste caso, ela protege o protocolo de rede
ou caminho usado para mover os dados de um lugar para outro.
3
3
UN I C ES UMA R
Ataques passivos são muito difíceis de detectar, pois não envolvem qualquer
alteração dos dados. Em geral, o tráfego de mensagens é enviado e recebido em
um padrão, aparentemente, normal, nem o emissor, nem o receptor estão cientes
de que um terceiro leu as mensagens ou observou o padrão de tráfego. Porém é
viável impedir o sucesso desses ataques, normalmente, por meio da encriptação.
Assim, a ênfase em lidar com ataques passivos está mais na prevenção do que na
detecção (STALLINGS, 2014).
Ataques ativos envolvem alguma modificação do fluxo de dados ou a criação
de um fluxo falso. Podem ser subdivididos em quatro categorias: interceptação,
interrupção, modificação e fabricação (ANDRESS, 2019):
INTERCEPTAÇÃO
Os ataques de interceptação permitem que usuários não autorizados acessem
dados, aplicativos ou ambientes e são, principalmente, ataques contra a confidencialidade. Após a interceptação, o invasor faz a retransmissão para produzir
um efeito não autorizado.
INTERRUPÇÃO
Os ataques de interrupção tornam os ativos inutilizáveis ou indisponíveis para
você, de forma temporária ou permanente. Esses ataques, geralmente, afetam
a disponibilidade, mas também afetam a integridade. Você classificaria um
ataque de negação de serviço em um servidor de e-mail como um ataque de
disponibilidade. A negação de serviço impede ou inibe o uso ou gerenciamento
normal das instalações de comunicação da organização. Esse ataque pode ter
um alvo específico, por exemplo, um invasor procura suprimir todas as mensagens dirigidas para determinado destino (por exemplo, o serviço de auditoria de
segurança). Outra forma de negação de serviço é a perturbação de uma rede
inteira, desativando-a ou sobrecarregando-a com mensagens, a fim de prejudicar
o desempenho dela.
3
3
T E MA D E APRE N D IZAGEM 2
MODIFICAÇÃO
Os ataques de modificação envolvem a adulteração de um ativo e podem ser
considerados, principalmente, ataques à integridade, mas também costumam
representar ataques à disponibilidade. Se um invasor acessar um arquivo de
maneira não autorizada e alterar os dados que ele contém, esse invasor afetou
a integridade dos dados do arquivo. No entanto, se o arquivo em questão for um
arquivo de configuração que gerencia como um serviço se comporta — talvez
um que esteja atuando como um servidor web — alterar o conteúdo do arquivo
afeta, muitas vezes, a disponibilidade desse serviço. Caso a configuração a
qual o invasor alterou no arquivo do seu servidor da web altere a forma como o
servidor lida com conexões criptografadas, você pode chamar isso de ataque
de confidencialidade. Quando se trata de modificação de mensagens, significa,
simplesmente, que alguma parte de uma mensagem legítima é alterada ou que
as mensagens são adiadas ou reordenadas, a fim de produzir um efeito não
autorizado. Por exemplo, uma mensagem cujo significado seja “Permitir que Beto
Babosa leia o arquivo confidencial contas” é modificada para “Permitir que Teo
Baldo leia o arquivo confidencial contas”.
FABRICAÇÃO
Os ataques de fabricação envolvem a geração, com um sistema, de dados, processos, comunicações ou outros materiais semelhantes. Assim como os dois últimos tipos de ataque, os de fabricação afetam, principalmente, a integridade, mas
também podem afetar a disponibilidade. Gerar informações falsas em um banco
de dados seria uma espécie de ataque de fabricação; o invasor também costuma gerar e-mail, um método comum de propagação de malware. Se o invasor
gerou processos adicionais suficientes, tráfego de rede, e-mail, tráfego da web
ou quase qualquer outra coisa que consuma recursos, ele, provavelmente, está
realizando um ataque de disponibilidade ao tornar o serviço que lida com esse
tráfego indisponível para usuários legítimos. Em ataques de fabricação, ocorre,
muitas vezes, um disfarce, isto é, uma entidade finge ser outra. Um ataque de
disfarce, normalmente, inclui uma das outras formas de ataque ativo, por exemplo, sequências de autenticação podem ser captadas e reproduzidas depois que
houver uma delas — válida — permitindo, assim, que uma entidade autorizada
com poucos privilégios obtenha alguns extras, personificando uma que os tenha.
3
3
UN I C ES UMA R
Os ataques ativos apresentam as características
opostas dos ataques passivos. Embora esses últimos
sejam difíceis de detectar, existem medidas para barrar o sucesso deles, por outro lado, é muito difícil impedir, de forma absoluta, os ataques ativos, em virtude
da ampla variedade de potenciais vulnerabilidades
físicas, de software e de rede. Em vez de tentar impedi-los, totalmente, o objetivo é detectar ataques ativos e recuperar-se de qualquer rompimento ou atraso
causado por eles. Se a detecção tiver um efeito intimidador, ela também pode contribuir para a prevenção.
Ataques ativos
apresentam as
características
opostas dos
ataques passivos.
IN D ICAÇ ÃO DE FI LM E
Mecânica das Sombras (2007)
Sinopse: desesperado economicamente, Duval aceita uma
misteriosa, mas muito bem remunerada, proposta de trabalho
que envolve transcrição de conversas telefônicas. O que parecia simples se transforma em uma intrincada trama no mundo
oculto dos agentes secretos.
Comentário: o filme traz uma situação de captura de informações. Caso ela fosse em meios digitais, seria um dos tipos
de ataques estudados neste tema.
Um invasor malicioso (atacante) deve ter três coisas em seu ataque (PFLEEGER; PFLEEGER, 2006):
■ Método: as habilidades, o conhecimento, as ferramentas e outras coisas
com as quais é possível realizar o ataque.
■ Oportunidade: o tempo e o acesso para realizar o ataque. Aqui entra a
exposição viabilizada pela vulnerabilidade.
■ Motivo: uma razão para querer realizar o ataque contra este sistema.
Neste tema, isso não será abordado.
3
3
T E MA D E APRE N D IZAGEM 2
Logo, dedicado(a) aluno(a), para pertencer a uma equipe de segurança e defender
a sua empresa ou negócio de uma ataque, você também deve ter um método de
contramedida para pôr em prática, com o objetivo de mitigar o risco em potencial. Já ouviu falar em contramedida? Contramedida ou salvaguarda é uma
configuração de software, um dispositivo de hardware ou um procedimento que
elimine a vulnerabilidade ou reduza a probabilidade de um agente ameaçador
explorar a vulnerabilidade (HINTZBERGEN et al., 2018).
Veremos alguns exemplos de contramedidas:
•
Uma gestão de senhas fortes para a organização, utilizando caracteres
especiais na formação dela e a troca de senha a cada seis meses.
•
Para a equipe de TI, um cofre de segurança onde as senhas dos
servidores mais críticos ficarão armazenados nele.
•
Mecanismos de controle de acesso em sistemas operacionais,
por exemplo, restrição do acesso dos recursos a visitantes.
•
Treinamento de conscientização sobre segurança
da informação a todos da empresa.
Se uma empresa possui um software antivírus, mas não mantém as assinaturas
atualizadas, isso é uma vulnerabilidade, portanto, a empresa está vulnerável a
ataques virais. A ameaça é um vírus aparecer no ambiente e prejudicar a produtividade, da mesma forma, o risco é a probabilidade de um elemento estranho
surgir no ambiente e causar danos. Caso um vírus infiltre-se no ambiente da
empresa, então, a vulnerabilidade foi explorada, expondo a empresa à perda.
A contramedida, nesta situação, é prevenir-se de um ataque viral por meio da
instalação de um software antivírus em todos os computadores e, é claro, manter
as assinaturas dele atualizadas (HINTZBERGEN et al., 2018).
A preservação da confidencialidade, integridade e
disponibilidade da informação utilizada nos sistemas
requer contramedidas de segurança que, por vezes,
Necessitam ser
implementadas
são também utilizadas como forma de garantir a auantes de o
tenticidade e o não repúdio. Todas essas salvaguardas,
incidente ocorrer
independentemente do seu objetivo, necessitam ser
implementadas antes de o incidente ocorrer. Contro3
3
UN I C ES UMA R
les de segurança são salvaguardas ou contramedidas técnicas ou administrativas
que evitam, neutralizam ou minimizam perdas ou indisponibilidades devido a
ameaças agindo sobre a vulnerabilidade correspondente. Controles são referenciados o tempo todo na segurança, mas raramente definidos.
A P RO F UNDA NDO
Incidente de segurança da informação
Um incidente desse tipo é indicado por um único evento ou por uma série
de eventos indesejáveis ou inesperados de segurança da informação que
ameacem essa segurança e tenham uma probabilidade significativa de comprometer a operação dos negócios e da informação (HINTZBERGEN et al., 2018).
Antes de considerar o tratamento de um risco, a organização deve definir um
critério para determinar se os riscos podem ou não ser aceitos. Um risco pode
ser aceito se, por exemplo, for avaliado que é baixo ou que o custo do tratamento
não é rentável à organização. Tais decisões devem ser registradas.
Uma decisão de tratamento do risco deve ser tomada para cada um dos riscos
identificados após a avaliação. Possíveis controles para esse tratamento incluem:
■ Aplicar os controles adequados à redução dos riscos.
■ Aceitar, de forma consciente e objetiva, os riscos, desde que satisfaçam,
claramente, à política e aos critérios de aceitação de risco da organização.
■ Evitar riscos, não permitindo ações que possam causar a sua ocorrência.
■ Transferir os riscos associados a outras partes, por exemplo, seguradoras
ou fornecedores.
Quanto aos riscos cuja decisão de tratamento tenha sido aplicar os controles
apropriados, os seus controles devem:
■ Ser selecionados e implementados para atender aos requisitos identificados por uma avaliação de risco.
■ Assegurar que os riscos foram reduzidos a um nível aceitável, levando
em conta:
3
3
T E MA D E APRE N D IZAGEM 2
1.
Requisitos e restrições da legislação e regulamentos nacionais e internacionais.
2.
Objetivos organizacionais.
3.
Requisitos e restrições operacionais.
4.
Se o custo de implementação e operação dos riscos sob o tratamento “redução”
permanece proporcional às exigências e limitações da organização.
5.
A necessidade de equilibrar o investimento na implementação e na operação dos
controles em relação aos danos que resultariam das falhas de segurança.
As contramedidas têm a chance de serem destinadas à redução das chances de
um evento ocorrer, à minimização das consequências de um evento ou à combinação das duas coisas. A seguir, serão apresentadas as principais contramedidas:
4
4
UN I C ES UMA R
PREVENÇÃO
Torna impossível ocorrer a ameaça. Exemplos na segurança de TI podem incluir
a desconexão de conexões com a internet e conexões da rede local, visando a
assegurar que hackers externos não consigam obter acesso.
DETECÇÃO
Quando as consequências diretas de um incidente não são muito grandes ou há́
tempo para minimizar o dano esperado, a detecção pode ser uma opção.
REPRESSÃO
Quando as atividades de monitoramento de rede do profissional de segurança
indicam que algo irregular aconteceu, uma ação deve ser tomada. Quando algo,
realmente, dá errado, isto é, se um incidente ocorre, a coisa a ser feita é minimizar as consequências.
CORREÇÃO (RESTAURAÇÃO)
Se um incidente ocorreu, sempre há́ algo que deve ser recuperado. A extensão do
dano, pequena ou grande, depende das medidas repressivas que foram tomadas.
SEGURO
Para eventos os quais não possam ser, inteiramente, prevenidos e para os quais
as consequências não são aceitáveis, buscamos métodos com potencial para
aliviar as consequências, isso se chama mitigação. Como exemplo, um seguro de
incêndio protege contra as consequências financeiras de um incêndio.
ACEITAÇÃO
Quando todos os riscos necessários e conhecidos são identificados, a gerência
responsável tem a opção de decidir não realizar certas contramedidas de segurança. Às vezes, os custos não são proporcionais ao risco apresentado e ao dano
que pode resultar dele.
4
4
T E MA D E APRE N D IZAGEM 2
IN D ICAÇÃO DE FI LM E
Queime Depois de Ler (2008)
Sinopse: Osbourne Cox (John Malkovich) é um analista que
trabalha para a CIA e, ao chegar em uma reunião ultrassecreta, descobre ter sido demitido. Revoltado, ele resolve dedicar-se à bebida e a escrever um livro de memórias. Katie (Tilda
Swinton), sua esposa, fica espantada ao saber da demissão de
Osbourne, mas logo deixa o assunto de lado por estar mais interessada em Harry Pfarrer (George Clooney), um investigador
federal casado que também é seu amante. Paralelamente,
Linda Litzke (Frances McDormand), funcionária de uma rede
de academias, faz planos para uma grande cirurgia plástica a
qual deseja realizar. Ela tem em Chad Feldheimer (Brad Pitt),
um professor da academia, o seu melhor amigo. Até que, um
dia, um CD perdido cai nas mãos de Linda e Chad, entregue
por um faxineiro da academia. Ao perceberem que se trata de
material confidencial, eles ligam para Osbourne Cox tentando
conseguir dinheiro.
Comentário: o filme traz uma situação cuja confidencialidade
de informações não é seguida.
Estamos concluindo este Tema de Aprendizagem, mas, antes, falarei, um pouco,
acerca das perspectivas profissionais na segurança da informação. A tecnologia é fundamental para revolucionar a maioria das empresas, atualmente,
desde a pesquisa e o desenvolvimento de produtos/serviços até a venda final aos
consumidores. Um time de segurança da informação tem por objetivo a proteção
dos ativos das empresas, os quais, como vimos neste tema, são dados, projeto e
reputação. Dessa forma, a equipe de segurança reduz os riscos cibernéticos da
empresa, além de garantir a proteção dos produtos e serviços.
Um dos conceitos trabalhados, aqui, foi o de vulnerabilidades. Nas equipes de TI, existe um processo de gestão de vulnerabilidades o qual as identifica,
A tecnologia é
analisa, classifica e trata, revelando-se um processo
fundamental
contínuo dentro da área de TI. A gestão de vulnerapara revolucionar
a maioria das
bilidades apresenta as seguintes funções: fazer a deempresas
tecção e correção de falhas nos softwares que podem
gerar riscos na segurança ou prejudicar o desempe4
4
UN I C ES UMA R
nho do sistema; implementar mecanismos de segurança, lembrando de fazer,
sempre, as atualizações necessárias; modificar as configurações dos programas,
a fim de os deixar menos vulneráveis; utilizar mecanismos que fazem o bloqueio
de ameaças frequentes.
NOVOS DESAFIOS
Atualmente, para quem trabalha com gestão de vulnerabilidades, é recomendável
adquirir conhecimentos dos principais provedores de nuvem. Além disso, como
sempre são encontradas muitas vulnerabilidades em um ambiente, o profissional
que trabalha com a gestão delas precisa efetuar a priorização das correções, direcionando os demais times internos da TI, de modo a ter mais eficiência. Nesse
processo, surgem muitas dúvidas, logo, você, como gestor(a) das vulnerabilidades,
deve acompanhar as tratativas com os times para atuar como facilitador(a) e,
também, realizar, de forma consultiva, as correções.
Além de identificar e propor melhorias no processo de gestão de vulnerabilidades, para você trabalhar nesse campo, precisa ter sólidos conhecimentos em
sistemas operacionais (Windows, Linux, MacOS). No entanto, mesmo que não
tenha interesse em trabalhar nessa área, você, de algum modo, deve apoiar a sua
organização a garantir a disposição de recursos informacionais, a conservar
a integridade das informações e a preservar a confidencialidade dos dados.
A segurança da informação é uma área transversal à organização, mesmo
profissionais que não são de TI devem compreendê-la, minimamente. Logo, quanto mais conhecimento você tiver, mais oportunidades na instituição você terá.
Assim, aproveitaremos para realizar algumas atividades com o objetivo de rever e fixar, ainda mais, alguns conceitos. Caso seja necessário, retorne ao conteúdo.
E M FO CO
Quer saber mais sobre o tema?
Acesse a aula que preparamos para você!
4
4
VAMOS PRATICAR
Foram muitos os conhecimentos apresentados até agora e, sempre há algo mais a aprender, por isso, busque estar por dentro das notícias relacionadas a avanços tecnológicos
bem como se atualizar quanto ao mercado. Agora, iremos à etapa final do nosso estudo,
a fim de praticar, rever e reforçar o nosso conteúdo.
1. Um dos princípios básicos da segurança da informação tem como característica garantir que uma informação não seja alterada durante o seu trânsito entre o emissor e
o destinatário. Nesse sentido, assinale a alternativa a qual apresenta, corretamente,
esse princípio:
a)
b)
c)
d)
e)
Confidencialidade.
Integridade.
Disponibilidade.
Irretratabilidade.
Autenticidade.
2. Os conceitos básicos da segurança da informação nos ajudam a ter um ambiente computacional estável e seguro. Um programador pode, durante o seu trabalho, editar,
acidentalmente, um arquivo ou programa, tornando-o inutilizável ou com erros. Permitir a reversão de arquivos para versões anteriores reforça qual dos conceitos dos
Cinco Pilares?
a)
b)
c)
d)
e)
4
4
Confidencialidade.
Integridade.
Disponibilidade.
Não repúdio.
Autenticidade.
VAMOS PRATICAR
3. Nos princípios básicos da segurança da informação, você, algumas vezes, se deparará
com uma descrição não condizente com o que determinado princípio de segurança da
informação representa. De modo a reforçar os conceitos estudados, leia as alternativas,
a seguir, e assinale a incorreta:
a) A autenticidade refere-se às ações tomadas para assegurar que informações confidenciais e críticas não sejam roubadas do sistema.
b) A disponibilidade pressupõe que uma informação deve estar disponível a qualquer
pessoa de direito, sempre que necessário.
c) A irretratabilidade é a propriedade de evitar a negativa de autoria de transações por
parte de usuários, garantindo ao destinatário o dado acerca da autoria da informação
recebida.
d) A confidencialidade refere-se à limitação de acesso à informação, apenas, às pessoas
e/ou entidades autorizadas por aqueles que detêm os direitos da informação.
e) De acordo com o conceito de integridade, os dados devem ser mantidos intactos, sem
alteração, conforme foram criados e fornecidos.
4. A empresa hipotética XYZ possui o XYZ Date, aplicativo para encontros que promete
otimizar a chance de seus usuários encontrarem o amor verdadeiro e está disponível
para Android e iOS.
A empresa XYZ tem um datacenter próprio, onde parte de suas operações rodam nele.
Esse datacenter é localizado nas proximidades de alguns galpões de armazenamento de fogos de artifício e, por conta dessa localização, os donos da empresa temem a
ocorrência de algum incêndio nas proximidades. Em razão disso, ela espera, em alguns
anos, mudar a localização de seu datacenter, após o futuro sucesso da empresa com a
expansão do XYZ Date.
A organização tem documentos que detalham projetos futuros de expansão do aplicativo,
armazenados tanto no datacenter quanto em uma nuvem pública contratada. Enquanto
não há recursos para a mudança do local, a organização resolveu contratar um seguro
contra incêndio e que cobre toda a infraestrutura dela (centro de dados), pois uma ocorrência desse tipo levaria a perda do centro de dados da XYZ.
Na avaliação dos donos e dos investidores da empresa, o aplicativo é considerado bem-sucedido. No entanto a fórmula do sucesso do app é questionada, judicialmente, por
concorrentes: eles colocam em xeque as políticas de gestão de dados do aplicativo. Uma
possível derrota na Justiça seria um golpe duro nos planos futuros da XYZ.
4
4
VAMOS PRATICAR
Outro aspecto que preocupa a empresa são possíveis ataques de hackers contra a sua
infraestrutura de TI ou contra o aplicativo. A possibilidade de exploração de fragilidades
do software ainda não conhecidas ou não corrigidas ou o vazamentos de projetos futuros
(com consequentes danos à imagem da organização) ocasionariam o desaparecimento
da empresa. Em virtude disso, a XYZ tem realizado investimentos em segurança da informação, além de atualização dos equipamentos e do app.
De acordo com as informações apresentadas, relacione os itens listados na primeira
coluna com os itens da segunda coluna:
a)
b)
c)
d)
e)
(
(
(
(
(
(
(
(
Um ativo da empresa.
Uma ameaça para a empresa.
Uma vulnerabilidade para a empresa
Um risco para a empresa.
Um controle ou salvaguarda da empresa.
)
)
)
)
)
)
)
)
Datacenter da empresa.
Aplicativo XYZ Date.
Projetos futuros de expansão do aplicativo.
Incêndio criminoso originado nas vizinhanças do centro de dados.
Ataques hacker contra a infraestrutura de TI ou contra o aplicativo XYZ Date.
Decisões judiciais favorecendo interesses contrários ao aplicativo XYZ Date.
Seguro contratado a toda a infraestrutura (centro de dados).
Investimentos em segurança da informação e atualização dos equipamentos e do
XYZ Date.
( ) Fragilidades de software não conhecidas ou não corrigidas.
( ) Perda do centro de dados e desaparecimento da empresa XYZ.
( ) Vazamentos de projetos futuros e danos na imagem da empresa XYZ.
A sequência correta para a resposta da questão é:
a)
b)
c)
d)
e)
4
4
A, A, A, C, D, E, E, C, D, B, B.
A, A, A, B, B, E, E, C, C, D, D.
A, B, B, A, C, E, E, D, D, A, C.
E, E, E, C, C, A, A, B, B, D, D.
E, E, A, C, B, A, D, D, C, B, B.
REFERÊNCIAS
ANDRESS, J. Foundations of Information Security. 1st ed. San Francisco: No Starch
Press, 2019.
HINTZBERGEN, J. et al. Fundamentos de Segurança da Informação: com base na ISO
27001 e na ISO 27002. 1. ed. Rio de Janeiro: Brasport, 2018.
ISO. ISO/IEC 13335:2004. Information Technology – Security Techniques – Management of
Information and Communications Technology Security. Geneve: ISO, 2004.
ISO. ISO/IEC 27002:2013. Information Technology – Security Techniques – Code of Practice for Information Security Controls. Geneve: ISO, 2013.
OLSON, D. L. Supply Chain Risk Management: tools for analysis. Hampton: Business Expert Press, 2011.
PFLEEGER, C.; PFLEEGER, S. L. Security in Computing. New York: Prentice Hall, 2006.
STALLINGS, W. Criptografia e Segurança de Redes: Princípios e Práticas. 6. ed. São Paulo:
Pearson Universidades, 2014.
4
4
CONFIRA SUAS RESPOSTAS
1. B. A integridade é o princípio cuja propriedade garante que a informação manipulada
mantenha todas as características originais estabelecidas pelo proprietário da informação,
incluindo controle de mudanças e garantia do seu ciclo de vida (nascimento, manutenção
e destruição).
2. B. Integridade: a informação manipulada deve sempre manter as suas características
originais bem como o controle de mudanças feitas pelo seu proprietário ou entidades
autorizadas. É a garantia de que a informação recuperada é, exatamente, a mesma publicada pelo seu proprietário, sem ter sofrido nenhuma alteração acidental ou proposital.
3. A. Tenha em mente o seguinte resumo para responder à questão:
Confidencialidade: acesso, somente, por pessoas autorizadas. A resposta está correta.
Integridade: sem alteração da informação. A resposta está correta.
Disponibilidade: sempre disponível às pessoas autorizadas que possuem o direito de posse.
Autenticidade (do remetente): garante a identidade de quem está enviando determinada
informação.
Não repúdio (irretratabilidade): trata da capacidade de garantir que o emissor da mensagem
ou o participante de um processo não negue, posteriormente, a sua autoria.
4. B. Segue a resposta agrupada:
Ativos
A – Datacenter (centro de dados) da empresa.
A – Aplicativo XYZ Date.
A – Projetos futuros de expansão do aplicativo.
Ameaças
B – Incêndio criminoso originado nas vizinhanças do centro de dados.
B – Ataque hacker contra a infraestrutura de TI ou contra o aplicativo XYZ Date.
B – Decisões judiciais favorecendo interesses contrários ao aplicativo XYZ Date.
Vulnerabilidades
C – Fragilidades de software não conhecidas ou não corrigidas.
Riscos
D – Perda do centro de dados e desaparecimento da empresa XYZ.
D – Vazamentos de projetos futuros e danos na imagem da empresa XYZ.
Controles ou contramedidas existentes
E – Seguro contratado a toda a infraestrutura (centro de dados).
E – Investimentos em segurança da informação, atualização dos equipamentos e do
aplicativo.
4
4
MEU ESPAÇO
4
4
TEMA DE APRENDIZAGEM 3
INTRODUÇÃO ÀS TECNOLOGIAS
CRIPTOGRÁFICAS
ME. ITALO GERVÁSIO CAVALCANTE
MINHAS METAS
Analisar as tecnologias criptográficas
Entender os desafios do gerenciamento seguro de chaves criptográficas em um ambiente de rede
Ter contato com os diferentes tipos de algoritmos de hash.
5
5
UN I C ES UMA R
INICIE SUA JORNADA
Olá, estudante! Seja bem vindo(a)!
A internet está se tornando mais segura no geral, no entanto pouco mais da
metade das chaves digitais dos sites ainda é gerada por algoritmos de criptografia
legados, de acordo com uma nova pesquisa da empresa de segurança Venafi ([s.
d.] apud CISO ADVISOR, 2021, on-line). Essa pesquisa analisou 1 milhão de
sites mais importantes do mundo nos últimos 18 meses.
Esse relatório descobriu que quase 51% dos sites ainda usam algoritmos de
criptografia RSA legados para gerar chaves de autenticação. Juntamente com o
TLS, eles formam as “identidades de máquina” que ajudam a validar e proteger
as conexões entre dispositivos físicos, virtuais e IoT, APIs, aplicativos e clusters
(VENAFI, [s. d.] apud CISO ADVISOR, 2021, on-line).
DESENVOLVA SEU POTENCIAL
INTRODUÇÃO ÀS TECNOLOGIAS CRIPTOGRÁFICAS
Para te ajudar em situações diversas que envolvam segurança em computadores,
este Tema de Aprendizagem mostrará a você como tecnologias criptográficas e
conceitos correlatos serão importantes no seu cotidiano profissional na área de TI.
A criptografia é o processo de conversão de informações em texto usando um
algoritmo (chamado de cifra), a fim de que esse texto não possa ser lido, exceto
por alguém com identificação específica, geralmente, chamada de chave. O resultado desse processo são informações criptografadas, também conhecidas
como texto cifrado. Assim, a criptografia é uma importante aliada na segurança
da informação, ao proteger qualquer tipo de dado
de acessos inapropriados tanto por titulares dentro
A criptografia é
da organização quanto por titulares fora dela, em
o processo de
especial, dados pessoais. No entanto, a criptografia
conversão de
é ignorada por todos, exceto pelos profissionais de
informações
tecnologia da informação, que quase nunca a ouvem
em texto
ser mencionada em conversas ou artigos.
5
5
T E MA D E APRE N D IZAGEM 3
As principais empresas de tecnologia da informação (TI) também investem
em sistemas de criptografia — como o IBM Security Guardium — que realiza criptografia e descriptografia com impacto mínimo no desempenho, dentre
muitos outros serviços valiosos, e o Dell Data Protection — que, além da criptografia, autenticação e suporte para cartões inteligentes também fornece tokens
criptografados. Da mesma forma, as empresas de antivírus — McAfee, Trend e
Symantec — desenvolvem tais sistemas.
Embora, aqui, no Brasil, a Autoridade Nacional de Proteção de Dados (ANPD)
ainda não tomou medidas mais duras para punir aqueles que violam a Lei Geral de Proteção de Dados (LGPD) em território nacional, a proteção de dados
pessoais por reguladores da União Europeia que atuam em nosso país tem implicações a entidades públicas e privadas.
O relatório da CISO Advisor (2021, on-line), a entidade a qual não se antecipa
em utilizar as melhores práticas em tecnologias criptográficas pode ter danos que
vão além da imagem da organização ou do setor financeiro: essas entidades estão
sujeitas a receber punições previstas na LGPD nacional ou europeia.
Por isso, caro(a) aluno(a), eu e você analisaremos, cuidadosamente, o conteúdo deste tema.
P L AY N O CO NHEC I M ENTO
Ouça agora o podcast que preparamos
especialmente para você
5
5
UN I C ES UMA R
P E N SAN DO J UNTO S
Após todas essas informações, você consegue perceber a existência, em sua
vida cotidiana, de contribuições da área de segurança de computadores? Para
tornar essa percepção mais clara, comece procurando entender como funcionam certas questões de segurança ao nosso redor.
Observe os cenários descritos, a seguir, e anote o que observar:
• No seu computador pessoal ou celular, você já reparou que costuma aparecer um cadeado na parte superior do navegador? Dê um clique nesse
cadeado e verifique o que está escrito.
• Você já reparou que alguns sites usam http, enquanto outros usam https?
• Percebeu, alguma vez, a notificação no WhatsApp que diz: “a mensagem
está protegida de ponta a ponta”? Já pensou no significado disso?
A partir da experiência proposta, você deve ter percebido o seguinte: quando o
cadeado está fechado ou na cor verde, o navegador está dizendo que a conexão é segura. Se você é um(a) daqueles(as) alunos(as) mais curiosos(as), certamente, notou
uma informação a qual diz que o certificado é válido, ou seja, alguém validou o certificado digital do site. Você aprenderá, aqui, quem está validando essa informação.
Você deve ter notado, também, que, alguns sites apresentam http antes do nome,
mas outros apresenta https. Este criptografa as mensagens entre o navegador e o
servidor do site, enquanto aquele não o faz, dessa forma, priorize sites com o https.
A mesma ideia vale para o WhatsApp que, há algum tempo, criptografa as mensagens trocadas entre os seus usuários. O fato de ser criptografado significa que não é
possível entender o que está escrito, caso um terceiro tente ler as suas mensagens.
O conceito de criptografia é superimportante para a segurança da informação.
Você e eu, assim como cada pessoa envolvida com tecnologia da informação,
deve ter o entendimento básico dos conceitos de “criptografia”, “assinatura digital”
e “certificados”, embora não necessariamente, o conhecimento técnico de como
eles funcionam. O termo “criptografia” vem do grego, é uma combinação das palavras kryptós (“escondido”) e gráphein (“escrita”) (HINTZBERGEN et al., 2018).
5
5
T E MA D E APRE N D IZAGEM 3
P E N SA N D O J UNTO S
A criptografia vem sendo usada há muito tempo, com relatos de uso, inclusive,
na época do Império Romano: os romanos a usavam para transmitir mensagens militares (HINTZBERGEN et al., 2018). Você pode estar se perguntando
do porquê de isso ser usado, porém tenha em mente que, mesmo se a mensagem romana caísse nas mãos dos inimigos, estes não seriam capazes de
obter qualquer informação a partir dela, pois pareceria sem sentido.
A pesquisa de algoritmos criptográficos também é referida como criptoanálise,
sendo usada não só no desenvolvimento de algoritmos, mas também na quebra
de algoritmos inimigos. A principal razão para usar criptografia é vista, frequentemente, como um meio de manter a informação confidencial.
Muitos mecanismos de segurança dependem da criptografia para proteger dados
sensíveis, como senhas, por exemplo.
Outra forma bastante utilizada pela criptografia são os protocolos que podem
criptografar e/ou assinalar todos os pacotes de rede. Outro uso comum é o armazenamento de senhas, pois muitos sistemas operacionais embaralham as senhas,
a fim de evitar que acessos indevidos tenham contato com as senhas verdadeiras.
Você deve estar se perguntando:
VOCÊ SABE RESPONDER?
Mas do que, exatamente, trata a criptografia?
Ela trata da codificação e decodificação de dados, de modo que eles somente possam ser interpretados pelos receptores pretendidos. A criptografia torna dados ou
mensagens ou arquivos — os quais chamaremos, aqui, de texto puro — em texto
cifrado, de tal maneira que apenas pessoas autorizadas saibam como o converter
de volta ao texto puro (TANENBAUM, 2016).
5
5
UN I C ES UMA R
Esse texto puro é transformado em texto cifrado pela utilização de uma cifra ou de um sistema criptográfico — um algoritmo matemático destinado a
criptografar mensagens — essa cifra transforma os dados não criptografados
em criptografados usando chaves como entrada: chaves diferentes resultam em
textos cifrados diferentes (DEITEL et al., 2005).
Uma chave, representada por uma cadeia de caracteres, é a entrada para a
cifra. Logo, o objetivo da criptografia é fazer os dados ficarem incompreensíveis
a quaisquer receptores não pretendidos, ou seja, os que não possuem a chave de
decriptação. Apenas os receptores pretendidos devem ter a chave para decriptar
o texto cifrado, dessa forma, serão os únicos a saber como o converter de volta
para o texto puro.
Por meio da criptografia, a Alemanha conseguiu, durante um período significativo de tempo, uma vantagem contra os seus rivais na Segunda Guerra
Mundial, ao utilizarem códigos de criptografia da Enigma Naval Alemã. A
história da criptografia Enigma e da sua decifração pela equipe de Alan Turing
já se tornou filme.
IN D ICAÇ ÃO DE FI LM E
O Jogo da Imitação (2015)
Sinopse: durante a Segunda Guerra Mundial, o governo
britânico montou uma equipe para quebrar o Enigma, o famoso código que os alemães usavam no envio de mensagens aos
submarinos. Um de seus integrantes é Alan Turing (Benedict
Cumberbatch) cujo grande projeto é construir uma máquina
que permita analisar todas as possibilidades de codificação do
Enigma em, apenas, 18 horas, de forma que os ingleses conheçam as ordens enviadas antes de serem executadas.
Comentário: o filme conta a história real de Alan Turing,
um dos matemáticos mais famosos do mundo. Ele transformou-se no “pai do computador” e, também, um dos primeiros
a utilizar a inteligência artificial, por meio do teste de Turing.
5
5
T E MA D E APRE N D IZAGEM 3
Caro(o) aluno(a), considere uma cifra a qual reordene, aleatoriamente, as letras
de cada palavra de uma mensagem. Você acha que essa cifra é apropriada para
criptografia? Quero que você pense em como o receptor da mensagem poderá
decifrar o texto cifrado. Percebeu o problema dessa cifra? Ela não atende ao
princípio da criptografia, pois o receptor da mensagem seria incapaz de decifrar
o texto, por não ter nenhum meio de saber como as letras foram reordenadas.
P E N SA N D O J UNTO S
Agora, quero que você faça o seguinte exercício mental: e se todas as mensagens trocadas entre professores, alunos e colaboradores de uma organização
acadêmica de ensino superior fossem cifrados com a mesma chave? Todos
nós seríamos emissor ou receptor de uma mensagem. Você acha que isso seria viável? A resposta, posso antecipar: não seria viável implementar algoritmos
criptográficos para um grupo grande de pessoas.
O fato de ser necessário lembrar o algoritmo criptográfico e mantê-lo em segredo
é um ponto fraco dessa proposta, porque o algoritmo criptográfico correria o
risco de ser, facilmente, comprometido. Nenhum professor, aluno ou colaborador
de uma organização acadêmica de ensino superior poderia deixar essa chave vazar, pois, com a posse dela, qualquer outra pessoa sem vínculo com a instituição
seria capaz de decifrar as mensagens.
Para serem capazes de fazer uso de um sistema criptográfico, tanto o remetente
quanto o destinatário devem utilizar o mesmo sistema. Uma característica de um
bom sistema criptográfico é o seguinte: o algoritmo propriamente dito é público.
O holandês Auguste Kerckhoffs (1835-1903) foi um especialista em criptografia. Ele postulou que “a segurança de um sistema criptográfico não pode
ser dependente da confidencialidade do algoritmo de criptografia, mas deve ser
baseado no segredo da chave” (KERCKHOFFS, 1883, p. 12, tradução minha).
Isso significa que o algoritmo precisa ser capaz de suportar o teste da crítica e
deve ser aberto. Quanto mais pessoas olharem para o algoritmo e o verificarem
antes de o empregar em aplicações, mais difícil será penetrar ou comprometer
as aplicações baseadas, mais tarde, nele. As chaves são o componente secreto da
criptografia (HINTZBERGEN et al., 2018).
5
5
UN I C ES UMA R
O algoritmo
precisa ser capaz
de suportar o teste
da crítica
O gerenciamento de chaves é uma parte importante de qualquer sistema criptográfico. Chaves criptográficas devem ser protegidas contra alterações, perda ou
destruição, uma vez que qualquer uma dessas ações costuma resultar na impossibilidade de acessar os dados. Não que os dados sejam, realmente, perdidos, mas,
sem a chave apropriada, eles não ficam disponíveis em forma legível.
O bom gerenciamento de chaves é essencial para manter a confidencialidade
dos dados. Como a perda da chave criptográfica é comparável à perda do dado,
o gerenciamento também é importante para a disponibilidade do dado. Adicionalmente, a depender do uso da criptografia em uma organização, a divulgação
não autorizada da chave tem, muitas vezes, implicações severas na integridade
do dado (HINTZBERGEN et al., 2018).
Além disso, quando a criptografia é usada com fins de confidencialidade dos
dados, chaves secretas e pessoais devem ser protegidas contra divulgações não
autorizadas, uma vez que isso é, potencialmente, uma brecha na confidencialidade da informação. Pelo fato de as chaves serem a base para qualquer sistema
criptográfico, o equipamento utilizado na geração, armazenamento e arquivamento das chaves deve ser protegido, fisicamente.
Uma parte desse gerenciamento é o registro dos pares de chaves e de quem
os usa. Outros tópicos que devem ser abordados nesse tema incluem por quanto
tempo as chaves ficarão válidas e o que deve ser feito se as elas forem comprometidas (HINTZBERGEN et al., 2018).
Ao usar criptografia para proteger a informação armazenada no equipamento, é um alto risco usar as mesmas chaves em todos os equipamentos ou em
uma grande parte deles, dentro de uma organização. Caso alguma delas tor5
5
T E MA D E APRE N D IZAGEM 3
ne-se conhecida fora da organização, então o equipamento (tal como os discos
rígidos cifrados em laptops) precisará receber novas chaves, pois todos os dados
armazenados nesse dispositivo ficaram, potencialmente, comprometidos pelo
vazamento. Isso pode ser uma operação muito cara, que deve ser realizada bem
rapidamente, a fim de prevenir uma brecha na confidencialidade da informação.
É fácil ver que a força de um sistema criptográfico está, diretamente, relacionada à qualidade do gerenciamento de chaves. Isso pode ser ilustrado pelo
seguinte exemplo:
P E N SA N D O J UNTO S
Imagine, caro(a) aluno(a), um algoritmo, tecnicamente, perfeito que não pode ser
quebrado, tal como um cadeado à prova de roubo. É muito fácil para um ladrão
abrir esse cadeado se ele tiver acesso à chave, portanto, proteger a chave de
roubo, duplicação ou destruição é essencial para o cadeado operar de acordo
com o requisito de manter pessoas não autorizadas do lado de fora e de permitir
que somente pessoas autorizadas abram a porta (HINTZBERGEN et al., 2018).
Como a maioria das atividades de gerenciamento, o gerenciamento de chaves
é pensado a exemplo de um ciclo de vida com requisitos específicos e melhores
práticas para cada etapa, como veremos, a seguir (WINDLEY, 2023).
5
5
UN I C ES UMA R
GERAÇÃO
A geração de chaves é um dos lugares onde a segurança pode ser comprometida. Como atividade de gestão, “quem”, “o que”, “como” e “onde” são questões
válidas para discussão. Por exemplo: usuários individuais são capazes de gerar
chaves ou isso é uma atividade administrativa? Como elas são geradas e em
quais máquinas?
TROCA E DISTRIBUIÇÃO
Colocar as chaves nas mãos de pessoas ou sistemas que as utilizam é outro lugar
onde a segurança arrisca ser comprometida. Mesmo se você estiver usando um
sistema híbrido e gerando chaves secretas conforme for necessário, as chaves
privadas devem ser distribuídas a pessoas e sistemas corretos. Alguns sistemas
permitem a derivação de chaves de um mestre, facilitando a distribuição delas
para endpoints.
ARMAZENAR
Após a distribuição ou troca das chaves, elas devem ser armazenadas de forma
segura. As empresas, geralmente, empregam software de gerenciamento de
chaves para essa finalidade. Elas também são armazenadas em utilitários de
senha, se o software for considerado seguro o suficiente.
USAR
O uso de chaves envolve removê-las do armazenamento e empregá-las no
algoritmo de escolha. O armazenamento para alguns aplicativos (por exemplo,
SSH) pode ser, apenas, um arquivo, mas outros podem exigir mais segurança. As
chaves privadas usadas no TLS, por exemplo, devem ser armazenadas no servidor web ou em um dispositivo de hardware TLS, para serem usadas na criptografia de sessões da web. Em aplicativos nos quais um TPM é usado, ele fornece o
mecanismo criptográfico, então as chaves são utilizadas dentro do TPM, mas não
podem ser lidas.
5
5
T E MA D E APRE N D IZAGEM 3
DESTRUIÇÃO
As chaves devem ser excluídas quando não forem mais necessárias ou expirarem, com o objetivo de evitar um comprometimento acidental. A exclusão de
chaves envolve, geralmente, mais do que usar o comando “excluir” do sistema
operacional ou arrastá-las até a lixeira. Processos mais seguros substituem,
repetidamente, a área do disco onde as chaves foram armazenadas, evitando,
assim, que sejam lidas, apesar de serem excluídas.
SUBSTITUIÇÃO
As chaves precisam ser giradas ou alteradas em intervalos regulares, para limitar
o risco de um comprometimento não detectado de uma chave. A duração do
intervalo depende dos riscos e das aplicações. A substituição costuma ser um
desafio porque exige a retroca ou a redistribuição das chaves.
As etapas de um ciclo de vida de gerenciamento de chaves, aqui, apresentadas, são
aplicáveis a indivíduos e organizações de todos os tamanhos. As soluções
podem variar, mas a necessidade de gerar e gerenciar chaves com segurança, não.
Recapitulando para você não esquecer: o gerenciamento de chaves lida com
a geração segura, verificação, troca, armazenamento e destruição de chaves. É,
extremamente importante ter métodos seguros de gerenciamento; este e a troca
de chaves são, com frequência, considerados, em um projeto de sistema criptográfico, a parte mais difícil. Muitos sistemas criptográficos falharam devido a
erros no gerenciamento de chaves e todos os algoritmos criptográficos modernos
exigem procedimentos dele.
6
6
UN I C ES UMA R
Os componentes básicos de qualquer sistema de gerenciamento de
chaves incluem:
(1) geração de chave automatizada e aleatória;
(2) verificação da força da chave;
(3) armazenamento de chave criptografada;
(4) troca segura de chave;
(5) vida útil curta da chave;
(6) revogação e destruição de chaves comprometidas ou expiradas (GARGANO, 2016).
Existem dois tipos principais de algoritmos de criptografia que discutiremos, a
seguir: simétricos e assimétricos.
Chave secreta
compartilhada
Chave secreta
compartilhada
Meio Seguro
Algoritmo
de
cifragem
Algoritmo
de
decifragem
Texto cifrado
Figura 1 - Criptografia simétrica / Fonte: GTA/UFRJ.
Descrição da Imagem: a figura apresenta, de forma esquemática, a criptografia simétrica. Na parte superior
central, é apresentado o nome “Encriptação de chave simétrica” e, embaixo desse termo, há duas chaves, uma do
lado direito e outra do lado esquerdo, interligadas por uma seta que apresenta o termo “Mesma chave”. Embaixo
das chaves se encontram cinco figuras dispostas, horizontalmente, da esquerda para a direita, são elas: uma folha
de papel, o texto puro, que sofre a encriptação, representada pela figura ao lado, a qual, por sua vez, encontra-se,
exatamente, embaixo da primeira chave. Na figura seguinte, ao centro, aparece um arquivo com caracteres e
códigos ilegíveis, representando o arquivo encriptado, à direita desse arquivo aparece outra figura que, agora,
representa a desencriptação sofrida pelo texto cifrado, ela localiza-se, exatamente, embaixo da segunda chave.
Por fim, na extrema direita da imagem, aparece, novamente, a figura do texto puro, representado por uma folha
de papel, após o uso da chave de desencriptação.
6
6
T E MA D E APRE N D IZAGEM 3
A principal característica da criptografia simétrica é o fato de utilizar a mesma
chave secreta para criptografar e decriptar uma mensagem. Um emissor que deseja
enviar uma mensagem criptografa/encripta a mensagem (texto puro) utilizando
uma chave secreta e envia a mensagem criptografada ao receptor pretendido.
Esse receptor, decripta/descriptografa a mensagem cifrada usando a mesma chave
secreta do emissor (DEITEL et al., 2005). Esse processo é mostrado na Figura 1.
Em razão da necessidade de compartilhamento de
uma chave secreta entre emissor e receptor, a criptoConhecida como
grafia simétrica também é conhecida como criptogracriptografia por
fia por chave secreta. Portanto, o sigilo de chave deve
chave secreta
ser protegido para que haja efetividade na técnica.
VOCÊ SABE RESPONDER?
Você já pensou em como o emissor envia essa chave secreta ao destinatário
da mensagem?
Essa troca de chaves pode ocorrer, diretamente, entre as duas partes. Outra possibilidade, a mais comum e segura, é por meio de um terceiro confiável, ou seja,
uma autoridade de certificação. A necessidade das partes precisa encontrar
um meio seguro de passar a chave secreta uma para a outra, antes que as duas
partes possam se comunicar com segurança, é uma limitação da criptografia
simétrica (SILBERSCHATZ; GALVIN; GAGNE, 2013). Você consegue perceber
que há um risco de a chave secreta ser interceptada no caminho entre o emissor
e o receptor? O fato desse risco existir torna a criptografia por chave secreta não,
completamente segura, dado que a privacidade e a integridade da mensagem
podem ser comprometidas nesse cenário (DEITEL et al., 2005).
6
6
UN I C ES UMA R
IN D ICAÇ ÃO DE FI LM E
Enigma (2001)
Sinopse: em março de 1943, a equipe de elite dos decodificadores da Inglaterra tem uma responsabilidade monumental: decifrar o Enigma, um código ultrasseguro utilizado pelos
nazistas para enviar mensagens aos seus submarinos. O desafio fica ainda mais difícil quando se sabe que uma grande
esquadra de navios mercantis está prestes a cruzar o Atlântico
e cerca de 10 mil homens correrão perigo caso a localização
dos submarinos alemães não seja logo descoberta, o que
poderá ocorrer apenas quando o Enigma for decifrado. Para
liderar esse trabalho, é chamado Tom Jericho (Dougray Scott),
um gênio da matemática que consegue realizar tarefas consideradas impossíveis pelos especialistas. Porém, ao mesmo
tempo em que Jericho se envolve cada vez mais com a decodificação do Enigma, ele precisa estar atento à sua namorada Claire (Saffron Burrows), uma sedutora e misteriosa mulher
que pode estar trabalhando como espiã para os alemães.
O fato de ambas as partes da transação usarem a mesma chave para criptografar
e decriptar uma mensagem, torna impossível determinar qual das partes criou
uma mensagem. Isso habilitaria uma terceira parte — a qual finge ser uma das
partes autorizadas na comunicação — a criar uma mensagem após capturar a
chave secreta. Como manter privadas essas comunicações, então? Um emissor
precisa de uma chave diferente para cada receptor, consequentemente, a fim de
garantir computação segura em grandes organizações, seria preciso manter grandes números de chaves secretas para cada usuário, o que exigiria significativo
armazenamento de dados (DEITEL et al., 2005).
O cenário para contornar esse problema de intercâmbio da chave secreta
entre emissor e receptor é utilizar uma autoridade central que compartilha uma
chave secreta diferente com cada usuário da rede. Essa autoridade é denominada
central de distribuição de chaves. Por meio dessa abordagem alternativa, essa
central gera uma chave de sessão a ser usada para uma transação e, só após essa
etapa, ela entrega ao emissor e ao receptor a chave da sessão criptografada com as
chaves secretas que cada um compartilha com a central de distribuição de chaves.
6
6
T E MA D E APRE N D IZAGEM 3
Uma central de distribuição de chaves reduz o número de entregas de chaves
secretas via intermediário a cada usuário de uma rede, além disso, dá aos usuários
uma nova chave secreta para cada comunicação com outros usuários.
P E N SA N D O J UNTO S
Você percebeu que ter um terceiro confiável para fazer essa distribuição facilita
o uso da criptografia simétrica? Todavia imagine se a segurança da central de
distribuição de chaves for comprometida? Nesse cenário, a segurança de toda
a rede também estará em risco.
Nas últimas décadas, o algoritmo de criptografia simétrica mais comumente
usado para aplicações civis tem sido a cifra padrão de criptografia de dados (Data
Encryption Standard – DES) adotada pelo Instituto Nacional de Padrões e
Tecnologia dos EUA (National Institute of Standards and Technology – NIST).
O DES funciona tomando um valor de 64 bits e uma chave de 56 bits e realizando uma série de transformações baseadas em operações de substituição e
permutação. Como o DES funciona em um bloco de bits de cada vez, é conhecido como cifra de bloco, e as suas transformações são típicas dela. Com cifras de
bloco, se a mesma chave for usada para criptografar uma grande quantidade de
dados, ela se tornará vulnerável a ataques (SILBERSCHATZ; GALVIN; GAGNE,
2013). Essa técnica reduz a quantidade de capacidade de processamento do
computador, bem como o tempo exigido para criptografar os dados.
No final da década de 1990, foram construídas
máquinas especializadas em quebrar o algoritmo
de criptografia simétrica DES. Essas máquinas reMáquinas
especializadas
cuperaram as chaves do padrão para criptografia
em quebrar o
de dados (DES) após um período de várias horas.
algoritmo de
Em razão desse episódio, o algoritmo DES já não
criptografia
é mais considerado seguro (DEITEL et al., 2005).
simétrica
O público e as aplicações que o utilizavam migraram
à criptografia simétrica Triple DES ou 3DES, a qual
se apresentava como a substituta natural.
6
6
UN I C ES UMA R
AP RO F U NDA NDO
O algoritmo 3DES é uma variante do DES que consiste, essencialmente, em três
sistemas DES em série (duas criptografias e uma descriptografia). Em cada uma
das etapas do 3DES, utiliza-se uma chave secreta diferente que opera sobre um
bloco (DEITEL et al., 2005). Embora o 3DES seja mais seguro do que o DES, as
três passagens pelo algoritmo DES aumentam a sobrecarga de criptografia, resultando em redução do desempenho quando comparada ao DES, sendo essa
característica do 3DES uma de suas desvantagens.
Em 2001, o NIST adotou uma nova cifra de bloco, chamada de padrão de criptografia avançada (Advanced Encryption Standard – AES), para substituir o DES.
AES é outra cifra de bloco, pode usar comprimentos de chave de 128, 192 ou
256 bits e funciona em blocos de 128 bits. Geralmente, o algoritmo é compacto
e eficiente (SILBERSCHATZ; GALVIN; GAGNE, 2013).
Origem
Destino
Olá, tudo bom?
18f7741f226a59234447dcff464d7f08
Chave
privada
Olá, tudo bom?
Chave
pública
Figura 2 - Criptografia assimétrica ou criptografia de chave pública / Fonte: Universidade Java.
Descrição da Imagem: a figura esquemática apresenta a criptografia assimétrica. Há duas chaves, uma do lado
direito e outra do lado esquerdo, as quais são interligadas por uma seta que apresenta o termo “Chaves diferentes”
e, embaixo desse termo, há mais duas chaves de cores diferentes que simbolizam o uso de chaves distintas para
encriptar e desencriptar. Embaixo das chaves interligadas por uma seta, estão cinco figuras dispostas, horizontalmente, da esquerda para a direita. A primeira, o texto puro, que sofre a encriptação, representada pela figura
ao lado, a qual se encontra, exatamente, embaixo da primeira chave. Na figura seguinte, ao centro, aparece um
arquivo com caracteres e códigos ilegíveis, representando o arquivo encriptado; à direita desse arquivo, aparece
outra figura, exatamente, embaixo da segunda chave, representando a desencriptação sofrida pelo texto cifrado.
Por fim, na extrema direita da imagem, está o texto puro, representado, após o uso da chave de desencriptação.
6
6
T E MA D E APRE N D IZAGEM 3
Os sistemas de criptografia simétrica são eficientes porque a quantidade de computação exigida para criptografar ou decriptar uma mensagem é gerenciável, mas você
deve ter notado uma grande desvantagem nesses sistemas: o emissor e o receptor
devem ter, em mãos, a chave secreta compartilhada. Para contornar esse problema,
é usada a criptografia de chave pública ou assimétrica (DIFFIE; HELLMAN,
1976). Esse sistema tem a propriedade que chaves distintas são usadas para criptografia e decriptação e que, fornecida uma chave criptográfica bem escolhida, torna-se, virtualmente, impossível descobrir a chave de decriptação correspondente.
Em um algoritmo de criptografia assimétrica, existem diferentes chaves de
criptografia e descriptografia. O emissor criptografa/encripta a mensagem (texto
puro) utilizando uma chave secreta, envia a mensagem criptografada ao receptor
pretendido, que decripta/descriptografa a mensagem cifrada utilizando uma chave secreta distinta da usada pelo emissor para criptografar a mensagem (DEITEL
et al., 2005). Esse processo é mostrado na Figura 2. Nessa criptografia, todos
escolhem um par (chave pública, chave privada) e publicam a pública, a qual é
de encriptação, enquanto a chave privada é a de decriptação.
Qualquer remetente pode usar essa chave para
criptografar uma comunicação, mas somente o criador
da chave pode descriptografar a comunicação. A criptografia de chave pública foi um avanço na criptografia,
A criptografia de
pois uma chave não deve mais ser mantida em segrechave pública foi
do e entregue com segurança, em vez disso, qualquer
um avanço na
pessoa é apta a criptografar uma mensagem à entidacriptografia
de receptora. Não importa quem mais esteja ouvindo,
apenas essa entidade pode descriptografar a mensagem
(SILBERSCHATZ; GALVIN; GAGNE, 2013).
E M FO CO
Quer saber mais sobre o tema?
Acesse a aula que preparamos para você!
6
6
UN I C ES UMA R
NOVOS DESAFIOS
Chegamos ao fim deste Tema de Aprendizagem!
Em geral, a criação da chave é automatizada, possivelmente, por meio de uma
senha selecionada pelo usuário e fornecida ao algoritmo como uma semente. Para
enviar uma mensagem secreta a um usuário, um correspondente encripta a mensagem com a chave pública do receptor e, pelo fato de somente o receptor ter a
chave privada, apenas ele é capaz de decriptar a mensagem (TANENBAUM, 2016).
Um sistema de chave pública chamado RSA explora o fato de que a multiplicação de números, realmente, grandes é muito mais fácil para um computador
do que a fatoração dos mesmos, em especial, quando toda a aritmética é feita
usando a aritmética de módulo e todos os números envolvidos têm centenas de
dígitos (RIVEST; SHAMIR; ADLEMAN, 1978). Esse sistema é, amplamente,
usado no mundo criptográfico.
O uso da criptografia assimétrica começa com a publicação da chave pública
do destino. Para comunicação bidirecional, a fonte também deve publicar a sua
chave pública. A “publicação” pode ser tão simples quanto entregar uma cópia
eletrônica da chave ou pode ser mais complexa. A chave privada (ou “chave secreta”) deve ser, zelosamente, guardada, pois qualquer pessoa que a possua está apta
a descriptografar qualquer mensagem criada pela chave pública correspondente
(SILBERSCHATZ; GALVIN; GAGNE, 2013).
6
6
VAMOS PRATICAR
1. Conforme você viu neste tema, na criptografia simétrica, o emissor aplica uma chave
secreta a uma mensagem a ser enviada ao receptor, para alterar o conteúdo dela. Na
hipótese do emissor sempre utilizar essa mesma chave a todas as mensagens enviadas por ele, um destinatário, conhecendo essa chave, poderá descriptografar todas as
mensagens na qual ela for utilizada? Justifique a sua resposta.
2. Com relação às tecnologias criptográficas assimétrica e simétrica, assinale a alternativa correta:
a) A criptografia simétrica é muito mais cara, computacionalmente, do que a criptografia
assimétrica.
b) A criptografia por chave pública tem a propriedade de trabalhar com chaves distintas
que são usadas para criptografia e decriptação: uma chave pública e uma chave
privada.
c) A chave pública (ou “chave secreta”) deve ser, zelosamente, guardada, pois qualquer
pessoa que a possua é capaz de descriptografar qualquer mensagem criada pela
chave privada correspondente.
d) Na criptografia simétrica, o emissor usa a chave pública do receptor para criptografar
a mensagem, enquanto o receptor a decifra utilizando a sua chave privada exclusiva. Com esse processo, a transmissão da mensagem ganha em segurança, quando
comparada à criptografia assimétrica.
e) Por questões de simplicidade e velocidade, a criptografia assimétrica utiliza, para
criptografar e decriptar, a mesma chave secreta.
3. Explique com as suas palavras porque, para assinar, digitalmente, um documento, não
é utilizada a criptografia simétrica.
6
6
REFERÊNCIAS
CISO ADVISOR. Metade dos sites ainda usa chaves criptográficas legadas. 10 dez. 2021.
Disponível em: https://www.cisoadvisor.com.br/metade-dos-sites-ainda-usa-chaves-criptograficas-legadas/. Acesso em: 10 nov. 2022.
DEITEL, H. M. et al. Sistemas Operacionais. 3. ed. São Paulo: Pearson Prentice Hall, 2005.
DIFFIE, W.; HELLMAN, M. New directions in cryptography. IEEE – Transactions on Information Theory, v. 22, n. 6, p. 644-654, Nov. 1976.
GARGANO, P. 31 Days Before Your CCNA Security Exam: a day-by-day review guide for the
IINS 210-260 certification exam. 1st ed. Indianapolis: Cisco Press, 2016.
HINTZBERGEN, J. et al. Fundamentos de Segurança da Informação: com base na ISO
27001 e na ISO 27002. 1. ed. Rio de Janeiro: Brasport, 2018.
KERCKHOFFS, A. La cryptographie militaire. Journal des Sciences Militaires, a. 9, p. 5-38,
Jan. 1883.
RIVEST, R. L.; SHAMIR, A.; ADLEMAN, L. A method for obtaining digital signatures and public-key cryptosystems. Communications of the ACM, v. 21, n. 2, p. 120-126, Feb. 1978.
Disponível em: https://dl.acm.org/doi/pdf/10.1145/359340.359342. Acesso em: 11 nov. 2022.
SILBERSCHATZ, A.; GALVIN, P. B.; GAGNE, G. Operating System Concepts Essentials. 2nd
ed. New York: Wiley, 2013.
TANENBAUM, A. S. Sistemas Operacionais Modernos. 4. ed. São Paulo: Pearson Education
do Brasil, 2016.
WINDLEY, P. J. O’Reilly’s Learning Digital Identity: Design, Deploy and Manage Identity
Architectures. 1st ed. raw and unedited. Denver: Ping Identity, 2023. In press. Disponível em:
https://www.pingidentity.com/en/resources/content-library/ebooks/3682-learning-digital-identity.html. Acesso em: 11 nov. 2022.
6
6
CONFIRA SUAS RESPOSTAS
1. Na criptografia simétrica, uma chave secreta aplicada pelos remetentes nas mensagens
a serem enviadas altera o conteúdo dessas mensagens. No entanto o destinatário, conhecendo essa chave, poderá descriptografar todas as mensagens nas quais essa chave
for utilizada, pois, na criptografia simétrica, a mesma chave é usada para criptografar e
descriptografar.
2. B. As alternativas A e D contêm afirmações trocadas quanto ao uso de criptografia assimétrica e simétrica. A alternativa C traz informações trocadas quanto às chaves públicas
e privadas. Na alternativa E, a afirmação estaria correta se fosse relacionada à criptografia
simétrica.
3. Assinar um documento é a transformação da informação do documento para um resumo numérico, por meio da utilização de uma função matemática e da criptografia desse
resultado com a chave privada da pessoa que assina. Além disso, o destinatário de uma
mensagem assinada utiliza a chave pública do remetente, visando a garantir que essa
mensagem tenha sido enviada pelo próprio remetente. Caso não fosse usada uma chave
privada (assimétrica), seria impossível garantir que o emissor foi o remetente.
7
7
MEU ESPAÇO
7
7
UNIDADE 3
TEMA DE APRENDIZAGEM 4
TECNOLOGIAS CRIPTOGRÁFICAS
ME. ITALO GERVÁSIO CAVALCANTE
MINHAS METAS
Comparar e contrastar algoritmos de criptografia simétrica e assimétrica
Aprofundar os conhecimentos sobre assinaturas e certificados digitais
Entender como funciona uma infraestrutura de chave pública
7
7
UN I C ES UMA R
INICIE SUA JORNADA
Olá, estudante! Seja bem vindo(a)!
Fatos como os reportados pela CISO Advisor (2021, on-line) — website dedicado à segurança cibernética, segurança da informação e ciberdefesa, focado no
interesse dos profissionais de segurança, principalmente dos chefes de segurança
da informação (Chief Information Security Officers, os CISOs) — apontam que
as empresas e pessoas ainda estão muito expostas a ataques de segurança, ao se
descuidarem e utilizarem tecnologias ou protocolos considerados legados. Como
no exemplo do relatório, quase metade dos principais sites do mundo ainda utilizam o RSA, o qual é, significativamente, menos seguro do que a alternativa
moderna ECDSA. O fato de existir uma alternativa mais segura para o mesmo
fim torna o RSA um protocolo legado.
Você deve estar pensando: como são usados esses algoritmos de criptografia
citados no relatório do CISO Advisor? Além disso, por que alguns profissionais
de TI ou segurança da informação deixariam tal situação ocorrer? Neste Tema
de Aprendizagem vamos refletir sobre essas questões.
P L AY N O CO NHEC I M ENTO
Quer conhecer as vantagens da assinatura digital? Então,
acesse o nosso podcast dedicado a abordar as vantagens do
uso de assinaturas digitais para pessoas físicas e jurídicas.
Conteúdo de áudio/vídeo não patrocinado. Esse recurso
utilizará seu pacote de dados (ou wifi) para ser exibido.
7
7
T E MA D E APRE N D IZAGEM 4
DESENVOLVA SEU POTENCIAL
TECNOLOGIAS CRIPTOGRÁFICAS
Caro(a) aluno(a), você deve observar que, entre criptografia assimétrica e simétrica, existe diferença no uso de chave. Segundo Tanenbaum (2016) a criptografia de chave pública é mil vezes mais lenta do que a criptografia simétrica ,
e a assimétrica é muito mais cara, computacionalmente, na execução. É muito
mais rápido para um computador codificar e decodificar texto cifrado usando os
algoritmos simétricos usuais do que fazer isso usando algoritmos assimétricos.
VOCÊ SABE RESPONDER?
Por que, então, usar um algoritmo assimétrico?
Na verdade, esses algoritmos não são usados para criptografia geral de grandes quantidades de dados, no entanto, segundo Silberschatz, Galvin e Gagne
(2013), eles não são usados, apenas, em criptografia de pequenas quantidades
de dados, mas também, em autenticação, confidencialidade e distribuição de
chaves, como mostraremos, a seguir.
Ao usar um esquema de assinatura, o receptor de uma mensagem deve conhecer a chave pública do emissor. Quais alternativas são possíveis para que isso
ocorra? Alguns usuários preferem publicar a sua chave pública em uma página
pessoal da web, enquanto outros usuários não o fazem dessa forma, pois temem
que um intruso viole a página e altere, secretamente, a chave. Para esses últimos, um
mecanismo alternativo é necessário para que as chaves públicas sejam distribuídas.
Um método comum consiste nos emissores de mensagens anexarem à mensagem um certificado, este contém o nome do usuário e a sua chave pública
bem como é assinado, digitalmente, por um terceiro de confiança. Uma vez que
o usuário receptor da mensagem tenha adquirido, por meio de um terceiro de
confiança, a chave pública do emissor, ele pode, para gerar seus certificados,
aceitar certificados de todos os emissores que o utilizam.
7
7
UN I C ES UMA R
A P RO F UNDA NDO
Um terceiro de confiança que assina certificados é chamado de autoridade de
certificação ou Autoridade Certificadora (Certification Authority – CA). No entanto, para um usuário verificar um certificado assinado por uma CA, ele precisa da chave pública dessa autoridade. Você sabe de onde isso vem e como o
usuário sabe que ela é a chave real? Fazer isso exige, de maneira geral, todo um
esquema para gerenciar chaves públicas, chamado de Infraestrutura de chave
pública (Public Key Infrastructure – PKI). Em navegadores da web, o problema
é solucionado de uma maneira improvisada: os principais navegadores comerciais vêm pré-carregados com as chaves públicas de, aproximadamente, 40
CAs populares (TANENBAUM, 2016).
Em várias situações de segurança, é desejável ter alguma função f, que tem a
seguinte propriedade:
■ Que dado f e seu parâmetro x, calcular o valor de y, sendo y = f(x), seja
algo fácil de fazer.
■ Que encontrar o valor de x, sendo conhecido, somente, o valor de y ou
f(x) seja, computacionalmente, impossível.
Uma função com a característica destacada, anteriorA função de hash
mente, é chamada de função de resumo (hash) criptoé baseada em uma
gráfico. Esse tipo de função costuma embaralhar os
função matemática
bits de maneiras complexas (TANENBAUM, 2016).
unidirecional
Uma das situações em que a função ou algoritmo
de hash tem bastante utilidade é na garantia de integridade de dados. Relembrando a você: a função de hash é baseada em uma função matemática unidirecional
, relativamente, fácil de calcular, mas, significativamente, difícil de reverter. “Professor, ainda não consegui entender como funciona a função hash”. Prezado(a)
aluno(a), acompanhe os cenários hipotéticos, a seguir:
7
7
T E MA D E APRE N D IZAGEM 4
CENÁRIO 1
Um arquivo “X1” contém a mensagem “Cuidado com o Teobaldo”. Após aplicar a
função hash F1, o resultado obtido é F(X1) = e883ba0a2.
CENÁRIO 2
Um arquivo “X2” contém a mensagem “Teobaldo é super confiável”. Após aplicar a
função hash F1, o resultado obtido é F(X2) = f10d42f9.
Após acompanhar os dois cenários, é importante esclarecer que a função hash
F1 (assim como qualquer função de hash) trata uma mensagem recebida — independentemente do tamanho da mensagem original — e a transforma em uma
sequência de tamanho fixo. Nos cenários apresentados, o tamanho do resumo é
de 8 bytes (F(X1) = e883ba0a2 e F(X2) = f10d42f9). Importante perceber, também, que, como a mensagem original é distinta, o resumo produzido deve ser
distinto, também.
As funções de hash são úteis para garantir que os dados não sejam alterados,
acidentalmente, por exemplo, devido a um erro de comunicação.
A seguir, são apresentadas as três funções de hash criptográficas mais usadas
(GARGANO, 2016):
7
7
UN I C ES UMA R
MESSAGE DIGEST 5 (MD5)
MD5 é uma função unidirecional que facilita o cálculo de um hash a partir dos
dados de entrada fornecidos, mas torna muito difícil calcular os dados de entrada
com, apenas, um valor de hash. MD5 produz um hash de 128 bits e, agora, é considerado um algoritmo legado que deve ser evitado.
SECURE HASH ALGORITHM 1 (SHA-1)
SHA-1 recebe uma mensagem de até 2ˆ^64 bits de comprimento e produz um
resumo de mensagem de 160 bits. O algoritmo é um pouco mais lento do que
o MD5, no entanto o maior resumo da mensagem o torna mais seguro contra
colisões de força bruta e ataques de inversão. Agora, é considerado legado e
deve ser evitado, sempre que possível.
SECURE HASH ALGORITHM 2 (SHA-2)
Os algoritmos SHA-2 são os algoritmos de hash seguros que o governo dos
EUA exige, por lei, para uso em determinados aplicativos. A família SHA-2 inclui
funções de 224 bits, 256 bits, 384 bits e 512 bits. Ao escolher um algoritmo de
hash, use SHA-256 ou superior, pois eles são, atualmente, os mais seguros.
A P RO F UNDA NDO
Falhas de segurança foram descobertas em SHA-1 e MD5. Dessa forma, é
recomendado que esses algoritmos sejam evitados. Portanto, em situações do
seu cotidiano profissional, você deve optar pelo algoritmo SHA-2, quando houver necessidade de utilizar funções hash.
7
7
T E MA D E APRE N D IZAGEM 4
“Professor, pode me dar um exemplo de uso atual da função hash?” É claro, dedicado(a) aluno(a). A tecnologia blockchain é um dos exemplos bem atuais do
uso de hashes. Devo lembrá-lo(a) que essa tecnologia é o que permite a existência
das criptomoedas.
Você já parou para pensar com qual frequência é necessário assinar, digitalmente, um documento? Assinaturas digitais tornam possível assinar e-mails e
outros documentos digitais de tal maneira que eles não possam ser repudiados
pelo emissor mais tarde. Uma maneira comum é, primeiro, executar o documento por meio de um algoritmo de hash criptográfico de sentido único que seja
muito difícil de inverter (TANENBAUM, 2016). Como vimos, a função de hash
produz, normalmente, um resultado de comprimento fixo, não importa qual seja
o tamanho do documento original.
Lembrando que o volume de uso de assinaturas digitais cresceu com a pandemia, pois várias empresas passaram a experimentar essas assinaturas como uma
ferramenta para ajudar os empreendedores a encurtar as distâncias entre eles e
os seus clientes, devido ao isolamento social.
AP RO F U N DA NDO
As funções de hash podem ser usadas na autenticação do remetente de uma
mensagem. Imagine uma situação na qual duas pessoas ou dois sistemas que
concordaram com uma chave secreta possam usá-la junto com uma função de
hash, a fim de verificar, usando um hash com chave, a integridade dos dados da
comunicação entre elas. Um código de autenticação de mensagem é produzido passando os dados da mensagem junto com a chave secreta, por meio de
um algoritmo de hash e, apenas o remetente e o destinatário conhecem essa
chave, então, a saída da função hash depende, agora, dos dados da mensagem
e da chave secreta.
O processo, aqui descrito, é conhecido como um Código de Autenticação de
Mensagem Baseado em Hash (HMAC). O processo HMAC mistura uma chave secreta com os dados da mensagem, faz hashes do resultado com a função
de hash, mistura esse valor de hash com a chave secreta, novamente, e aplica a
função uma segunda vez.
8
8
UN I C ES UMA R
O hash de saída tem tamanho fixo. A Microsoft ([2022], on-line) recomenda
o uso do HMACSHA256, construído a partir da função SHA-2 de 256 bits e
usado como um HMAC. O HMACSHA256 aceita chaves de qualquer tamanho
e produz uma sequência de hash de 256 bits de comprimento.
Para exemplificar, fique atento(a) ao cenário, a seguir:
A remetente, Ana, deseja garantir que a mensagem não seja alterada em trânsito bem como deseja fornecer uma maneira de o destinatário, Beto, autenticar a
origem da mensagem. Alice insere a mensagem original (dados) e a chave secreta
no algoritmo de hash, em seguida, calcula o código de autenticação da mensagem de comprimento fixo ou impressão digital. É anexada à mensagem original
e enviada a Beto, então, essa impressão digital autenticada.
Fique atento, caro(a) aluno(a): Ana enviou, de fato, a mensagem original mais
a “impressão digital”. Ao receber o conteúdo enviado por Ana, Beto remove a
impressão digital da mensagem e usa, como entrada para a mesma função de
hash, a mensagem recebida com sua cópia da chave secreta. Se a impressão digital
calculada for idêntica à recebida, a integridade dos dados foi verificada. Além
disso, a origem da mensagem é autenticada, pois somente Ana possui uma cópia
da chave secreta compartilhada.
Qualquer alteração nos dados (mensagem original) ou no valor de hash resulta em incompatibilidade, afinal, o conhecimento da chave secreta é necessário
para alterar a mensagem e reproduzir o valor de hash correto. Portanto, se os
valores de hash originais e computados corresponderem, a mensagem será autenticada (MICROSOFT, [2022], on-line).
Agora que você entendeu o conceito de HMAC, abordaremos as assinaturas digitais.
8
8
T E MA D E APRE N D IZAGEM 4
O desenvolvimento mais importante a partir do trabalho de criptografia de chave
pública é a assinatura digital. Esta oferece um conjunto de capacidades de segurança que seria difícil de implementar de qualquer outra maneira (STALLINGS, 2014).
As assinaturas digitais fornecem a mesma funcionalidade que as assinaturas
manuscritas. Especificamente, as versões digitais são uma técnica matemática
utilizada para fornecer três serviços básicos de segurança: autenticar uma fonte,
comprovando que determinada parte viu e assinou os dados em questão; garantir
que os dados não foram alterados desde o momento quando foram assinados;
provar a um terceiro que a troca de dados ocorreu (GARGANO, 2016).
Como um resumo de mensagem (hash) é exclusivo a um documento específico (dentro de certas restrições criptográficas), é possível criar esse tipo
de resumo do documento ou de uma mensagem a ser assinada e, em seguida,
assiná-lo. A mensagem permanece em texto simples, dessa forma, a assinatura
e a mensagem são separáveis.
Para verificar a assinatura e, também, descriptografar o resumo da mensagem,
usamos a chave pública do remetente, em seguida, aplicamos o mesmo algoritmo
de resumo à mensagem assinada. Se os dois resumos corresponderem, a mensagem será a mesma que foi assinada pelo remetente (WINDLEY, 2023).
8
8
UN I C ES UMA R
Assinaturas digitais produzidas dessa forma nos fornecem evidências da integridade de um documento, porque alterar o documento, intencionalmente
ou não, resultaria em um resumo de mensagem diferente sendo calculado pelo
receptor. A assinatura digital também nos proporciona o não repúdio, pois é uma
evidência de que a pessoa criadora do resumo original teve acesso ao documento
idêntico e, desde que tenha mantido o controle de sua chave privada, é a única
que poderia ter produzido a assinatura.
Quando usada para fins de assinatura digital, a chave privada é, às vezes,
chamada de chave de assinatura, enquanto a chave pública é chamada de chave
de verificação. Tecnicamente, ambas operam da mesma maneira que os pares
de chaves públicas padrão; a terminologia indica, de forma simples e clara, qual
chave é usada para qual finalidade (WINDLEY, 2023).
Segundo Windley (2023), um certificado digital é uma estrutura de dados
que associa informações de identificação a uma chave pública . Esta é apenas
uma sequência de bits muito longa e, aparentemente, aleatória; não há como
olhar uma chave pública e dizer a quem ela pertence. Ao combiná-la com outras
informações de identificação — nome, endereço e assim por diante — podemos
identificar, mais facilmente, o proprietário dela e ter certeza de que é a chave certa.
Obviamente, queremos garantir a integridade do certificado digital fazendo
com que um terceiro confiável o assine, digitalmente, para que ninguém o adultere e o substitua por uma chave alternativa. Esse terceiro confiável é o emissor
do certificado digital.
8
8
T E MA D E APRE N D IZAGEM 4
Um certificado digital não precisa ser emitido para uma pessoa, na verdade, a
maioria não é. Os certificados digitais são emitidos a uma variedade de entidades, incluindo indivíduos, empresas, grupos, organizações, órgãos governamentais e coisas. A entidade cuja informação de identificação está associada à chave
pública no certificado é chamada de assunto do certificado (WINDLEY, 2023).
Os certificados digitais são criados para diversas finalidades com formas, ligeiramente, diferentes, chamadas de perfis. O uso mais difundido é a proteção do
tráfego HTTP no protocolo TLS, mas costumam ser usados, também, para
e-mail e assinatura de código, por exemplo.
Quando um certificado é criado, a sua estrutura de dados é preenchida, e o emissor assina o certificado criando um resumo da mensagem das informações, em
seguida, criptografa o resumo com a chave privada. Ao assinar o certificado, o
emissor está declarando que a chave pública contida no documento e as informações de identificação pertencem uma a outra. A assinatura digital garante a
integridade do certificado.
Os certificados digitais não são documentos legíveis por humanos, mas sim
estruturas de dados destinadas a serem usadas por programas de computador. No
entanto, com o auxílio de programas, como o OpenSSL, você consegue visualizar
o conteúdo de um certificado.
Um certificado digital possui duas partes principais: o bloco de dados e o bloco de algoritmo de
assinatura. O bloco de dados nos informa o número
Os certificados
de série do certificado, o assunto, o algoritmo de asdigitais não são
documentos legíveis sinatura usado e quem emitiu o certificado. O bloco
de dados também contém a chave pública real (2048
por humanos
bits, neste caso), além de uma lista de extensões. Enquanto isso, o bloco de algoritmo de assinatura contém o hash assinado real.
De acordo com Stallings (2014), um esquema foi aceito, universalmente,
para formatar certificados de chave pública: o padrão X.509. Certificados X.509
são usados na maioria das aplicações de segurança de rede, incluindo segurança
IP, Transport Layer Security (TLS) e S/MIME.
8
8
UN I C ES UMA R
“Professor, eu já ouvi falar sobre revogação de certificado. O que isso significa?” Dedicado(a) aluno(a), lembre-se que cada certificado inclui um período de validade, muito semelhante a um cartão de crédito. Em geral, um novo
certificado digital é emitido, imediatamente, antes da expiração do antigo. Além
disso, é possível desejar, na ocasião, revogar um certificado antes que ele expire,
por um dos seguintes motivos (STALLINGS, 2014):
1. A chave privada do usuário é considerada comprometida.
2. O usuário não é mais certificado pela Autoridade Certificadora. Os motivos para
isso incluem mudança do nome do sujeito, substituição do certificado ou não
emissão em conformidade com as políticas dessa autoridade.
3. O certificado da Autoridade Certificadora é considerado comprometido.
Falaremos mais acerca de Autoridades Certificadoras e infraestrutura de chave
pública, neste tema.
Embora a criptografia assimétrica também seja referida como criptografia de
chave pública, não é a mesma coisa que infraestrutura de chave pública (Public
Key Infrastructure – PKI). A PKI é baseada em criptografia de chave pública
e inclui muito mais do que somente a criptografia. Uma característica de uma
PKI é que, por meio de acordos, procedimentos e uma estrutura organizacional,
ela provê garantias de quais pessoas ou sistemas pertencem a uma chave pública
específica. Uma infraestrutura de chave pública é, frequentemente, gerenciada
por uma autoridade independente e confiável.
8
8
T E MA D E APRE N D IZAGEM 4
IN D ICAÇÃO DE FI LM E
Midway – Batalha em Alto Mar (2019)
Sinopse: com direção de Roland Emmerich, Midway – Batalha em Alto Mar retrata os acontecimentos da Batalha de Midway, confronto entre as forças americanas e a Marinha Imperial Japonesa e que marcou um ponto de virada fundamental
na Guerra do Pacífico, seis meses depois do ataque a Pearl
Harbor. O filme baseia-se em fatos históricos para contar a trajetória de líderes e soldados que usaram instinto e coragem
na superação das adversidades e, assim, mantiveram-se vivos
durante a guerra, no meio do maior oceano do planeta.
Comentário: o filme trata do uso de código criptográfico e
como uma quebra de criptografia é capaz de causar danos a
quem utiliza um código conhecido de um atacante.
A força de uma PKI depende, em grande medida, de aspectos não técnicos. A
forma como o usuário obtém a chave privada, por exemplo, é uma pedra angular
na confiança que outras pessoas têm na solução de PKI, mesmo se, tecnicamente,
elas usarem os mesmos algoritmos e tamanhos de chave.
Uma PKI cujos usuários podem obter uma chave privada solicitando-a por
e-mail, por exemplo, pelo Gmail, é, inerentemente, menos confiável em identificar uma pessoa com base em sua chave pública do que um sistema no qual os
usuários têm de se reportar a uma mesa e se identificar, por meio de um passaporte, antes de receberem uma chave privada.
Na internet, uma assinatura digital é utilizada
não só para assegurar que um documento (ou menUma assinatura
digital é utilizada
sagem) tenha sido assinado, eletronicamente, pela
não só para
pessoa que, supostamente, o assinou, mas também
assegurar que um
para garantir que alguém não negue, mais tarde, o
documento
fato de ter fornecido a assinatura, visto que uma assinatura digital só pode ser criada por uma pessoa.
Uma PKI é uma solução que visa a alcançar o não repúdio. A Organização
Internacional para Padronização (ISO, 2014) define o não repúdio como a
habilidade de provar a ocorrência de um evento ou de uma ação reivindicada e
suas entidades originárias, a fim de solucionar disputas sobre a ocorrência ou não
do evento ou ação bem como o envolvimento de entidades no evento.
8
8
UN I C ES UMA R
Imagine, aluno(a), o seguinte cenário hipotético, para a sua melhor visão
geral dos componentes em uma PKI: um usuário reporta-se a uma Autoridade
de Registro (RA) e, com base em credenciais (por exemplo, um passaporte), uma
requisição é enviada pela RA à Autoridade Certificadora (CA), a fim de emitir
um certificado. O par de chaves que será utilizado pelo usuário pode ser gerado
de diferentes formas, isso é parte da política utilizada pela PKI. Em algumas PKIs,
o usuário é capaz de gerar as chaves, em outras, uma instalação segura é utilizada
para as gerar. A CA emite um certificado, assinado por ela própria, atestando
que as chaves públicas pertencem ao usuário para quem o certificado é emitido.
Em uma ação subsequente, quando o usuário assina, por exemplo, um contrato com uma assinatura digital, a parte que recebe é apta a verificar se a assinatura, realmente, pertence ao usuário , validando-a por meio de uma Autoridade
de Validação (Validation Authority) que tem acesso à Autoridade Certificadora.
IN D ICAÇ ÃO DE LI V RO
Criptografia e Segurança de Redes: Princípios e Práticas
Comentário: Este livro de William Stallings se destaca por seu
viés prático e abordagem dinâmica. Com conteúdo abrangente
e profundo, incluindo mais de 300 problemas propostos de
diferentes níveis de dificuldade, Criptografia e Segurança
de Redes: Princípios e Práticas oferece aos estudantes e
profissionais da área de TI uma perspectiva atualizada tanto
do mundo real quanto da indústria de tecnologia. Esta sexta
edição traz importantes avanços tecnológicos, principalmente
sobre segurança de redes e dados. Ambos envolvem a criptografia por meio de definições detalhadas, sendo indicada a
cursos de graduação e pós-graduação em análise e desenvolvimento de sistemas, redes de computadores e segurança
da informação.
8
8
T E MA D E APRE N D IZAGEM 4
Estamos concluindo este Tema de Aprendizagem, mas, antes, falarei, um pouco,
das perspectivas profissionais para segurança da informação.
Um time que trabalha nessa área tem por objetivo a proteção dos dados e
informações das empresas, os quais, como vimos neste tema, podem ser criptografados para aumentar a confidencialidade da informação. Dessa forma, toda
equipe de segurança precisa de um profissional que saiba lidar com esses tópicos,
aqui, trabalhados: hash, criptografia, gerenciamento de chaves, certificados
digitais e assinatura digital.
A função hash é importante na área de segurança de redes. Um exemplo de
uso é no momento quando você precisa baixar do site do fabricante de determinada solução (por exemplo, roteadores Cisco) e precisa verificar se as imagens
de software têm somas de verificação baseadas em MD5 e SHA-512 disponíveis,
para que você, como técnico responsável, possa verificar a integridade das imagens baixadas. Dessa maneira, garante-se que não se trata de um golpe.
Um certificado digital é um documento eletrônico que contém a assinatura digital da Autoridade
Certificadora emissora. Esse certificado une uma
chave pública com uma identidade e pode ser usado
para verificar se uma chave pública pertence a deUm certificado
terminada pessoa ou entidade. Um exemplo comum
digital é um
do uso de certificados digitais é o serviço bancário
documento
provido pela internet. Um banco fornece a um
eletrônico
cliente um certificado SSL, permitindo que os servidores do banco identifiquem esse cliente e, dessa
forma, o autorizem a acessar as próprias contas. Já
imaginou se isso não ocorresse? As pessoas voltariam
a guardar dinheiro em colchões.
Em outro cenário, uma empresa fornece a um novo funcionário um certificado SSL de cliente, o qual permite os servidores da empresa identificarem esse
funcionário e, assim, autorizem o acesso dele aos servidores da empresa. Você,
como profissional de TI, muito provavelmente, receberá um certificado digital
da sua empresa para se autenticar e ter autorização a trabalhar, remotamente.
8
8
UN I C ES UMA R
Além disso, serviços governamentais em diversos países também têm sido implantados para apoiar transações eletrônicas utilizando certificação digital, inclusive
aqui no Brasil. No site do Governo Federal, há a proposta de garantir a identificação
de cada cidadão que acessa os serviços digitais do governo, entre outras opções.
Por meio de um certificado digital, é possível consultar a situação do seu CPF, receber o abono salarial, tratar da sua restituição do imposto de renda, obter a carteira
de trabalho, ou ainda, o certificado nacional de vacinação contra a Covid-19.
E M FO CO
Quer saber mais sobre o tema?
Acesse a aula que preparamos para você!
NOVOS DESAFIOS
Chegamos ao fim deste estudo! Tenha em mente que um ambiente computacional onde a gestão dos certificados digitais não é eficiente, causa desconfiança
ou falta de credibilidade na organização, por parte de seus clientes e usuários.
Até o Governo Federal, composto pelo Presidente da República e seus ministros, tem utilizado certificados digitais na tramitação eletrônica de documentos
oficiais que serão publicados no Diário Oficial da União. Um sistema interno do
governo faz o controle do fluxo dos documentos de forma automática, desde a origem até a publicação e o arquivamento. Várias organizações possuem sistemas semelhantes que necessitam de suporte a certificados digitais ou assinaturas digitais.
Mesmo que você não tenha interesse em trabalhar, diretamente, com este
tópico de criptografia, precisará, aluno(a), lidar com isso. A segurança da informação é uma área transversal à organização, mesmo profissionais que não são
de TI devem compreendê-la, minimamente. Logo, quanto mais conhecimento
você tiver, mais oportunidades na instituição, terá.
Aproveite para realizar algumas atividades e, assim, rever e fixar mais alguns
conceitos e, caso precise, retorne ao conteúdo.
8
8
VAMOS PRATICAR
1. A função de hash é baseada em uma função matemática unidirecional, relativamente,
fácil de calcular, mas, significativamente, difícil de reverter. Com relação ao resultado
da função hash, explique a principal característica dele. Tenha em mente o que todas
as funções de hash têm em comum.
2. Teobaldo deseja realizar o processamento inverso de um valor hash, com o objetivo de
obter o valor original da mensagem. Teobaldo conseguirá realizar esse procedimento?
Justifique a sua resposta.
3.
Conforme você viu neste tema, na criptografia simétrica, o emissor aplica uma chave
secreta a uma mensagem a ser enviada ao receptor, para alterar o conteúdo dela. Na
hipótese do emissor sempre utilizar essa mesma chave a todas as mensagens enviadas por ele, um destinatário, conhecendo essa chave, poderá descriptografar todas as
mensagens na qual ela for utilizada? Justifique a sua resposta.
4. Com relação às tecnologias criptográficas assimétrica e simétrica, assinale a alternativa correta:
a) A criptografia simétrica é muito mais cara, computacionalmente, do que a criptografia
assimétrica.
b) A criptografia por chave pública tem a propriedade de trabalhar com chaves distintas
que são usadas para criptografia e decriptação: uma chave pública e uma chave
privada.
c) A chave pública (ou “chave secreta”) deve ser, zelosamente, guardada, pois qualquer
pessoa que a possua é capaz de descriptografar qualquer mensagem criada pela
chave privada correspondente.
d) Na criptografia simétrica, o emissor usa a chave pública do receptor para criptografar
a mensagem, enquanto o receptor a decifra utilizando a sua chave privada exclusiva. Com esse processo, a transmissão da mensagem ganha em segurança, quando
comparada à criptografia assimétrica.
e) Por questões de simplicidade e velocidade, a criptografia assimétrica utiliza, para
criptografar e decriptar, a mesma chave secreta.
5. Explique com as suas palavras porque, para assinar, digitalmente, um documento, não
é utilizada a criptografia simétrica.
9
9
REFERÊNCIAS
CISO ADVISOR. Metade dos sites ainda usa chaves criptográficas legadas. 10 dez. 2021.
Disponível em: https://www.cisoadvisor.com.br/metade-dos-sites-ainda-usa-chaves-criptograficas-legadas/. Acesso em: 10 nov. 2022.
GARGANO, P. 31 Days Before Your CCNA Security Exam: a day-by-day review guide for
the IINS 210-260 certification exam. 1st ed. Indianapolis: Cisco Press, 2016.
ISO. ISO/IEC 27000:2014. Information Technology — Security Techniques — Information
Security Management Systems — Overview and Vocabulary. Geneve: ISO, 2014.
MICROSOFT. HMACSHA256 Class. [2022]. Disponível em: https://learn.microsoft.com/en-us/dotnet/api/system.security.cryptography.hmacsha256?view=net-7.0. Acesso em: 11
nov. 2022.
SILBERSCHATZ, A.; GALVIN, P. B.; GAGNE, G. Operating System Concepts Essentials. 2nd
ed. New York: Wiley, 2013.
STALLINGS, W. Criptografia e Segurança de Redes: Princípios e Práticas. 6. ed. São Paulo:
Pearson Universidades, 2014.
TANENBAUM, A. S. Sistemas Operacionais Modernos. 4. ed. São Paulo: Pearson Education
do Brasil, 2016.
WINDLEY, P. J. O’Reilly’s Learning Digital Identity: Design, Deploy and Manage Identity
Architectures. 1st ed. raw and unedited. Denver: Ping Identity, 2023. In press. Disponível em:
https://www.pingidentity.com/en/resources/content-library/ebooks/3682-learning-digital-identity.html. Acesso em: 11 nov. 2022.
9
9
CONFIRA SUAS RESPOSTAS
1. O resultado da função hash é caracterizada por ter a saída de tamanho fixo: independentemente do valor de entrada, as saídas possuem a mesma quantidade de letras e números.
2. O hash é gerado de tal forma que não é possível realizar o processamento inverso para
obter a informação original e qualquer alteração na informação original produzirá um hash
igual. Logo, Teobaldo não obterá êxito.
3. Na criptografia simétrica, uma chave secreta aplicada pelos remetentes nas mensagens
a serem enviadas altera o conteúdo dessas mensagens. No entanto o destinatário, conhecendo essa chave, poderá descriptografar todas as mensagens nas quais essa chave
for utilizada, pois, na criptografia simétrica, a mesma chave é usada para criptografar e
descriptografar.
4. B. As alternativas A e D contêm afirmações trocadas quanto ao uso de criptografia assimétrica e simétrica. A alternativa C traz informações trocadas quanto às chaves públicas
e privadas. Na alternativa E, a afirmação estaria correta se fosse relacionada à criptografia
simétrica.
5. Assinar um documento é a transformação da informação do documento para um resumo numérico, por meio da utilização de uma função matemática e da criptografia desse
resultado com a chave privada da pessoa que assina. Além disso, o destinatário de uma
mensagem assinada utiliza a chave pública do remetente, visando a garantir que essa
mensagem tenha sido enviada pelo próprio remetente. Caso não fosse usada uma chave
privada (assimétrica), seria impossível garantir que o emissor foi o remetente.
9
9
MEU ESPAÇO
9
9
TEMA DE APRENDIZAGEM 5
AMEAÇAS À SEGURANÇA –
ATAQUES
ME. ITALO GERVÁSIO CAVALCANTE
MINHAS METAS
Examinar a segurança de redes sob o olhar das ameaças à segurança
Conhecer quem os realiza
Identificar as diferenças entre os tipos de ataques
9
9
UN I C ES UMA R
INICIE SUA JORNADA
Olá, estudante! Seja bem vindo(a)!
Caro(a) estudante, você, certamente, sabe ou ouviu falar que a segurança da
informação de uma empresa é algo importante. Você sabia que, já em 2015, dois
terços das empresas brasileiras entrevistadas pela revista digital CIO — publicação com foco em informações para líderes de TI sobre carreira, gestão de equipe,
liderança e inovação — admitiram que sofreram incidentes de segurança (CIO,
2015, on-line)?
P L AY N O CO NHEC I M ENTO
Quer conhecer os equívocos comuns em segurança?
Então, ouça o nosso podcast dedicado a desvendá-los.
DESENVOLVA SEU POTENCIAL
AMEAÇAS À SEGURANÇA – ATAQUES
O incidente de segurança mais recorrente, citado por 83,56% das empresas, foi
a infecção por códigos maliciosos (malware). Esta porcentagem representa
quase o dobro da contabilizada nos demais países da América Latina, conforme
mostra o Quadro 1.
9
9
T E MA D E APRE N D IZAGEM 5
BRASIL
AMÉRICA LATINA
83,56%
44%
Exploração de vulnerabilidades
19%
14%
Acesso indevido
9%
44%
Indisponibilidade
7%
14%
Ataques de negação de serviço
6%
16%
Infecção por malware
Quadro 1 - Incidentes entre as empresas no Brasil e na América Latina / Fonte: CIO (2015, on-line)
Pelos dados apresentados no Quadro 1, empresas brasileiras e latino-americanas
têm sofrido muito com incidentes de segurança que causam impacto na operação
dos negócios da empresa e, também, nas suas receitas. Apesar da evolução, na
última década, na área de tecnologia da segurança da informação, as ameaças
ainda permanecem em patamares que demandam bastante atenção das empresas,
colocando em foco a eficácia das medidas de proteção ao longo desse período.
As medidas a serem adotadas dependem, além de bons procedimentos e
equipamentos, de bons profissionais de segurança da informação.
VOCÊ SABE RESPONDER?
Você consegue perceber que essa área pode trazer ganhos ou evitar prejuízos
ao negócio de uma empresa? Você já pensou por que ocorrem tantos incidentes de segurança?
Dilema entre a
usabilidade de um
sistema (ou app) e
a sua segurança
9
9
Isso costuma ocorrer porque existe um dilema entre
a usabilidade de um sistema (ou app) e a sua segurança. Então, aqui, você pode perceber que o trabalho dos profissionais é encontrar um equilíbrio entre
segurança e usabilidade.
UN I C ES UMA R
Conectar um sistema ou app, diretamente, à internet, sem nenhum firewall,
antivírus ou patches de segurança tornaria esse sistema, extremamente, vulnerável à infecção por malware ou à exploração de vulnerabilidades, como várias empresas entrevistadas pela revista (CIO, 2015, on-line). Por outro lado, os sistemas
dessas empresas seriam, altamente, acessíveis para seus colaboradores e usuários.
A realidade é que a equipe de segurança de uma organização é composta
pelos “chatos”, pois eles impedem a liberação de uma nova funcionalidade, exigem um duplo fator de autenticação, colocam os e-mails dos colaboradores em
quarentena, “atrapalhando” o restante da empresa a executar as suas tarefas.
As empresas enfrentam muito mais desafios relacionados à segurança da informação hoje do que no passado. Enquanto muitas delas costumavam ser feitas,
apenas, de tijolos e argamassa, agora, elas são tijolos e cliques, ou talvez, apenas
cliques. A Covid-19 empurrou muitas empresas para
um modelo, exclusivamente, remoto, fazendo-as enfrentar muitos desafios, incluindo uma força laboral
que trabalha em casa, o aumento da sofisticação dos
A Covid-19
cibercriminosos e a evolução de ameaças tão avanempurrou muitas
çadas quanto persistentes.
empresas para
um modelo,
Logo, uma maneira antiga de proteger um sisteexclusivamente,
ma de um ataque de rede que consistia em desconecremoto
tá-lo e torná-lo um sistema autônomo, sem acesso
aos demais sistemas ou à internet, não parece mais
ser uma solução viável com os sistemas em nuvem e
trabalhadores em home office.
Lembre-se que nenhuma pessoa ou empresa tem fundos ilimitados para proteger
tudo ou nem sempre pode adotar a abordagem mais segura. Então, a equipe de
segurança de rede deve possuir muito conhecimento para apoiar a organização,
no momento de encontrar um equilíbrio entre a acessibilidade de seus sistemas
e a segurança deles.
9
9
T E MA D E APRE N D IZAGEM 5
Após todas essas informações e situações, você percebe que existem contribuições da área de segurança de computadores em um ambiente corporativo? Mas,
e em sua vida cotidiana?
P E N SA N D O J UNTO S
Para tornar essa percepção mais evidente, procure entender como funcionam
certas questões de segurança que estão ao nosso redor e no nosso dia a dia.
Observe os seguintes cenários descritos e anote o que perceber:
• Quando você cadastra uma nova senha para um site, já reparou que a
senha deve atender alguns critérios mínimos, como: uma letra maiúscula,
um caractere especial ou coisas assim?
• Você possui algum antivírus no seu computador ou celular? Qual você usa?
Já pensou por que precisa de um?
• Consegue imaginar a relação entre um extenso congestionamento e a segurança da informação?
• Você já viu um caso real de segurança da informação aplicada ao contexto
de aplicativos de transporte?
A partir da experiência proposta, você deve ter percebido que, ao cadastrar
uma nova senha em um site, ela deve atender alguns critérios mínimos — uma
letra maiúscula, um caractere especial, pelo menos oito caracteres ou coisas do
tipo — tudo isso é para tornar a senha mais forte, diminuindo, assim, a chance
de sucesso de um ataque de força bruta.
Além disso, você deve ter notado que, provavelmente, tem ou já teve um antivírus no seu computador ou celular. Como o próprio nome diz, esse programa
verifica a existência de vírus no seu dispositivo.
Espero que você reflita, também, sobre a reportagem a qual associa um engarrafamento superestranho em uma grande cidade a um ataque hacker: após invadirem
o Yandex, maior aplicativo de táxis da Rússia, hackers causaram o caos em Moscou.
Isso ocorreu porque os sistemas estão cada vez mais acessíveis na internet e essa
exposição, associada a motivações de atacantes, leva a ações como essa.
9
9
UN I C ES UMA R
A segurança de rede é o ramo da ciência da computação que consiste em proteger
todos os componentes de uma rede de computadores para evitar acesso não autorizado a recursos e informações mantidas por computadores: roubo de dados, uso
indevido de uma conexão de rede, modificação de dados etc. (SADIQUI, 2020).
Caro(a) estudante, você, como futuro(a) membro(a) de uma equipe de segurança de redes, deve proteger todos os componentes de uma rede de computadores. Para este tema, você pode entender os componentes de uma rede como
tudo que possa estar conectado por uma rede de dados —computadores pessoais,
servidores, banco de dados, hypervisors, dispositivos móveis e elementos clássicos dessa rede, como: roteadores, switches e pontos de acesso sem fio — você
também deve evitar acesso não autorizado a recursos da organização, sendo eles
quaisquer objetos com valor para a sua empresa e que devam ser protegidos.
Quando os usuários agem e acessam os recursos
da organização em conformidade com o uso pretendido, entende-se que o ambiente da empresa é seguro. Infelizmente, a segurança total não pode ser alA segurança total
cançada, dessa forma, uma equipe de segurança deve
não pode ser
ter mecanismos para tornar as violações de seguranalcançada
ça — acesso não autorizado a recursos e informações
mantidas por computadores, roubo de dados, uso
indevido de uma conexão de rede ou modificação
de dados, etc. — uma ocorrência rara e não a norma.
9
9
T E MA D E APRE N D IZAGEM 5
Uma violação de segurança, normalmente, explora uma vulnerabilidade, a qual
é uma fraqueza em um sistema que pode ser explorada por uma ameaça. O que
é uma ameaça para uma organização? Ela pode ser entendida como um perigo
potencial a um recurso ou ao funcionamento de uma rede. Dentre as diversas
ameaças que uma organização arrisca ter, interessam a segurança de redes, as
ameaças envolvendo um ataque realizado para prejudicar um recurso ou a rede
como um todo. “Professor, então qual a diferença entre violação de segurança e
um ataque?” Um ataque é a tentativa em si de quebrar a segurança, enquanto a
violação de segurança é o êxito em quebrar a segurança de uma organização.
Caro(a) aluno(a), neste tema, serão usados os termos intruso e cracker àqueles
que tentam violar a segurança. “Professor, mas eu sempre escutei que os indivíduos
que realizam atividades ilegais por meio de computadores eram chamados de hacker”. Leia as definições, a seguir, para entender a distinção entre hacker e cracker.
ZO O M N O CO NHEC I M ENTO
• Originalmente, o termo “hacker” era usado para um entusiasta de
computadores.
• Um hacker era uma pessoa que gostava de entender o completo
funcionamento interno de um sistema de computador e da rede.
• Com o tempo, a imprensa começou a descrever os hackers como
indivíduos que invadiam, com intenção maliciosa, os computadores.
• A indústria de TI respondeu desenvolvendo o termo cracker, que é a
abreviação, em inglês, de um hacker criminoso (CRiminal hACKER).
• O termo cracker foi desenvolvido para descrever indivíduos
que buscam comprometer a segurança de um sistema sem
permissão de uma parte autorizada.
O termo cracker “não pegou” fora da área de segurança da informação, como
você pode notar ao pesquisar no Google as notícias com o termo “hacker”. Logo,
o profissional de segurança que combate as invasões e protege a organização das
ações do cracker é um hacker ético; este age de modo, estritamente, legítimo.
Entretanto existem profissionais de segurança que atuam em uma área cinzenta
entre um hacker ético e um cracker.
1
1
1
UN I C ES UMA R
No Quadro 2, você pode ver a distinção entre as categorias mais comuns
encontradas na literatura.
TIPO DE HACKER
Hackers de chapéu
branco
DESCRIÇÃO
Esses indivíduos realizam
hackers éticos para ajudar a proteger empresas
e organizações. Eles
acreditam que você deve
examinar a sua rede da
mesma maneira que um
hacker criminoso, para
entender melhor as vulnerabilidades dela.
CURIOSIDADE
É comum os hackers
éticos serem chamados
de “hackers de chapéu
branco”.
O termo é derivado de
filmes de faroeste antigos
(não coloridos), nos quais
os mocinhos usavam
chapéus brancos.
Hackers de chapéu
preto
Esses indivíduos realizam
atividades ilegais, como o
crime organizado.
É comum os crackers serem chamados de “hackers de chapéu preto”.
O termo é derivado de
filmes de faroeste antigos
(não coloridos), nos quais
os bandidos usavam chapéus pretos.
Hackers de chapéu
cinza
Esses indivíduos, geralmente, seguem a lei, mas,
às vezes, aventuram-se
no lado mais sombrio do
hacking de chapéu preto.
Seria antiético empregar
esses indivíduos para
realizar tarefas de segurança à sua organização
porque você nunca sabe
muito bem de qual lado
eles estão.
Pense nesses hackers
como Luke Skywalker em
Star Wars. Embora Skywalker queira usar a força
para o bem, ele também é
atraído pelo lado sombrio.
Quadro 2 - Categorias mais comuns de hackers na literatura / Fonte: adaptado de Gregg e Santos (2022).
1
1
1
T E MA D E APRE N D IZAGEM 5
Tudo bem até aqui? Anteriormente, foi apresentada uma definição de segurança
de redes e dos indivíduos que tentam violar a segurança de uma organização. A
partir de agora, abordaremos algumas formas de violações de rede.
No Quadro 3, são apresentados os principais exemplos de violação de segurança de rede:
TIPO DE VIOLAÇÃO
DESCRIÇÃO
Violação de
confidencialidade
Este tipo de violação envolve a leitura não autorizada de
dados (ou roubo de informações). Normalmente, uma
quebra de confidencialidade é o objetivo de um intruso.
A captura de dados secretos de um sistema ou fluxo de
dados, como: informações de cartão de crédito ou informações de identidade para roubo de identidade, pode
resultar, diretamente, em dinheiro para o invasor.
Violação de
integridade
Esta violação envolve modificação não autorizada de
dados. Esses ataques podem, por exemplo, resultar na
transferência de responsabilidade para uma parte inocente, ou ainda, na modificação do código-fonte de um
aplicativo comercial importante.
Violação de
disponibilidade
Esta violação envolve a destruição não autorizada de
dados ou informações. Alguns crackers preferem causar
estragos e ganhar status ou se gabar do que ganhos
financeiros. A desfiguração de um site é um caso comum
deste tipo de violação de segurança
Quadro 3 - Principais violações de segurança / Fonte: adaptado de Silberschatz, Galvin e Gagne (2013).
1
1
1
UN I C ES UMA R
Além das violações de segurança apresentadas no Quadro 3, outro objetivo
dos intrusos costuma ser o roubo de serviço. Esta violação envolve o uso
não autorizado de recursos, por exemplo, quando um intruso (ou programa
de intrusão) instala um daemon em um sistema que atua como servidor de
arquivos. Outra violação de segurança, mais conhecida como negação de
serviço, envolve impedir o uso legítimo do sistema. Os ataques de negação
de serviço (Denial of Service – DOS) serão discutidos mais adiante.
Violações de segurança acontecem por alguns equívocos que existem no
mundo da segurança da informação.
Compreender os diferentes tipos de ataques de rede usados por crackers é
essencial, por isso, é útil, primeiro, categorizar os vários ataques, a fim de os
mitigar. Os crackers usam ataques de reconhecimento para fazer descobertas
e mapeamento não autorizados de sistemas, serviços ou vulnerabilidades.
Um ataque de reconhecimento é uma tentativa de aprender mais acerca
da vítima pretendida antes de tentar um ataque mais intrusivo. Ferramentas
como consultas de informações por meio do serviço WHOIS, varreduras de
ping e de portas, scanners de vulnerabilidade e ferramentas de exploração são
técnicas padrão usadas por hackers, ao realizarem ataques de reconhecimento
(GARGANO, 2016).
Outro tipo de ataque são os ataques de acesso, os quais exploram vulnerabilidades conhecidas em serviços de autenticação, de FTP e da web para
obter acesso a contas na internet, bancos de dados confidenciais e outras informações privadas. Os principais objetivos do hacker podem ser recuperar
informações protegidas, obter acesso a áreas seguras da rede ou aumentar os
seus privilégios de acesso (GARGANO, 2016).
O intruso, normalmente, tentará acessar a rede, somente, após coletar as informações necessárias no ataque de reconhecimento. Os ataques de acesso costumam
ser realizados da seguinte forma, segundo Gargano (2016) e Stallings (2014):
1
1
1
T E MA D E APRE N D IZAGEM 5
ATAQUE DE SENHA
Um hacker tenta descobrir senhas críticas do sistema, por meio de vários métodos. Por exemplo, engenharia social, ataques de dicionário, detecção de rede ou
ataques de força bruta.
ATAQUE POR FORÇA BRUTA
O atacante testa todas as chaves possíveis em um trecho do texto cifrado até́
obter uma tradução inteligível ao texto claro. Na média, metade de todas as
chaves possíveis precisam ser experimentadas para, então, haver sucesso.
EXPLORAÇÃO DE CONFIANÇA
Um hacker usa privilégios não autorizados para obter acesso a um sistema e,
possivelmente, compromete o alvo. Por exemplo, se um dispositivo da rede DMZ
tem acesso à rede interna, um invasor aproveita-se disso e obtém acesso ao dispositivo DMZ, então usa esse local para lançar os seus ataques à rede interna.
REDIRECIONAMENTO DE PORTA
Um hacker usa um sistema comprometido como base para ataques contra outros alvos.
ATAQUE DE ESTOURO DE BUFFER (BUFFER OVERFLOW ATTACK)
Um invasor explora uma vulnerabilidade de estouro de buffer, uma falha de
programação. Suponha que um serviço aceite a entrada e espere que as informações estejam dentro de um tamanho específico, mas não verifique o tamanho da entrada na recepção. O serviço obterá as informações e as gravará na
memória, preenchendo o buffer associado, em seguida, sobrescreve a memória
adjacente, isso pode corromper o sistema e causar falhas, resultando em um
DoS. Nesse caso, há vulnerabilidade a um ataque de estouro de buffer, o que significa que um invasor seria capaz de fornecer uma entrada mais extensa do que o
esperado. Nos piores casos, o invasor pode injetar código malicioso, o que leva ao
comprometimento do sistema.
1
1
1
UN I C ES UMA R
Você sabia que existe um tipo de ataque no qual um hacker intervém em uma
sessão de comunicação entre um cliente e um servidor? Ele é conhecido como homem no meio (man-in-the-middle), mas você pode encontrar, em alguns livros,
como ataque de interceptação, ataque de proxy ou ataque de macaco no meio.
Esse ataque envolve, geralmente, enganar o cliente, para que ele, em vez de
iniciar a sessão com o servidor pretendido, inicie com o computador do hacker.
Com o objetivo de que essa manobra não chame a atenção, o computador do
hacker funciona como um proxy ao servidor pretendido pelo cliente, dessa forma,
o cliente não percebe que, na sessão entre ele e o servidor, há alguém. Logo, no
ataque homem no meio, o hacker executa uma ação a qual resulta em uma conexão entre o cliente e o servidor proxy pelo hacker, permitindo que o criminoso
espione e manipule as comunicações.
Você pode estar se perguntando:
VOCÊ SABE RESPONDER?
Como o intruso consegue enganar o cliente dessa forma?
Esta é uma questão bastante pertinente. Os ataques de man-in-the-middle envolvem
um elemento de pré-ataque, no qual o cliente recebe informações falsas que o levam a solicitar uma sessão com o computador do hacker e não com o servidor real.
O hacker pode fazer isso usando um dos seguintes métodos de falsificação
(spoofing) elencados por Stewart e Kinsey (2020):
FALSIFICAÇÃO DE ARP
O protocolo de resolução de endereço (ARP) é um serviço de consulta de transmissão sem autenticação que solicita, por meio de um IP específico, o endereço
de controle de acesso de mídia (MAC) de um sistema. Se um hacker, executando
uma ferramenta de falsificação ARP, enviar uma resposta incorreta ao solicitante
antes que a resposta real retorne, o remetente usará o endereço MAC falso. Os
quadros subsequentes vão para o endereço MAC não autorizado que o computador do hacker usa e, como o protocolo ARP é de camada 2 e não roteável, a falsificação de ARP deve ocorrer em uma sub-rede.
1
1
1
T E MA D E APRE N D IZAGEM 5
FALSIFICAÇÃO DE MAC
Em algumas situações cujo servidor encontra-se inundado de requisições, sem
conseguir respondê-las, apropriadamente, o computador do hacker usa o endereço MAC de um servidor, dessa forma, o sistema do hacker recebe tráfego em
vez do servidor pretendido. Semelhante à falsificação de ARP, a falsificação
de MAC deve ocorrer em uma sub-rede.
FALSIFICAÇÃO DE DNS
O DNS é um serviço de consulta sem autenticação que solicita a resolução de
nomes de domínio, totalmente, qualificados em seu endereço IP relacionado. Um
hacker que hospeda uma ferramenta de falsificação de DNS não autorizada é
capaz de enviar respostas falsas de DNS.
ENVENENAMENTO DE DNS
Para executar o envenenamento de DNS, um hacker compromete um servidor
DNS (Sistema de Nomes de Domínio) e planta registros de mapeamento de nomes de domínio, totalmente, qualificados para IP falsos. A origem do DNS alimentará as consultas de usuários subsequentes com dados incorretos. Redirecionamento ICMP. Em sub-redes com vários roteadores, os redirecionamentos ICMP
podem fazer com que um host altere a sua tabela de roteamento. Esse ataque,
muitas vezes, redireciona o tráfego ao longo de uma rota diferente da padrão
(esperada ou ideal).
MANIPULAÇÃO DE PROXY
Um hacker altera a configuração de proxy de um cliente para realizar a manipulação dele. A solicitação de serviços vai para o sistema do hacker que atua como
um proxy de homem no meio.
DHCP DESONESTO
Um DHCP desonesto é um servidor de protocolo de configuração de host dinâmico (DHCP) falso capaz de fornecer concessões de configuração de endereço
IP para uma sub-rede exclusiva, definindo, assim, o gateway padrão, porque o
computador do hacker atua como um roteador/proxy.
1
1
1
UN I C ES UMA R
PONTO DE ACESSO NÃO AUTORIZADO
Para criar um ponto de acesso não autorizado, um hacker configura um ponto de
acesso sem fio não autorizado semelhante ao ponto de acesso autorizado real, a
fim de enganar os usuários, fazendo-os se conectar. A partir de então, esse ponto
de acesso não autorizado serve como um proxy para ataques de homem no meio.
Existe um tipo de ataque que impede um sistema
de atender a requisições legítimas, ele é chamado de
O ataque é
ataque de recusa de serviço (Denial-of-Service
executado pela
– DoS). Em muitos ataques DoS, o tráfego não auinundação dos
torizado satura os recursos de uma rede, restrinservidores com
gindo o acesso a usuários legítimos. Normalmente,
pacotes de dados
o ataque é executado pela inundação dos servidores
com pacotes de dados.
Ataques de recusa de serviço em geral requerem que uma rede de computadores trabalhe, simultaneamente, embora seja possível realizar alguns ataques
habilidosos com uma única máquina (DEITEL et al., 2005). Ataques de recusa
de serviço podem fazer com que computadores em rede caiam ou sejam desconectados, destruindo o serviço de um site web ou mesmo desativando sistemas
críticos, como telecomunicações ou centrais de controle de tráfego aéreo. Outro
tipo de ataque de recusa de serviço visa às tabelas de roteamento de uma rede.
Lembre-se de que tabelas de roteamento proporcionam uma visão da topologia da
rede e são usadas por um roteador com a função de determinar para onde enviar
os dados. Este tipo de ataque é executado modificando as tabelas de roteamento
e, assim, redirecionando, propositalmente, a atividade da rede (DEITEL et al.,2005).
1
1
1
T E MA D E APRE N D IZAGEM 5
Por exemplo, as tabelas de roteamento podem ser modificadas para que passem
a enviar todos os dados que chegam a um único endereço da rede. Um ataque
semelhante, o ataque ao sistema de nome de domínio (Domain Name System
– DNS), modifica o endereço para o qual o tráfego de um site web particular é
enviado. Ataques desse tipo são usados para redirecionar usuários desse site a
outro, inundando-o de requisições que não deveriam ir para lá.
Em um ataque de recusa de serviço distribuído (Distributed Denial-of-Service – DoS), a inundação de pacotes vem de vários computadores ao
mesmo tempo. Normalmente, é iniciado por um indivíduo que infectou diversos computadores, por meio de um vírus, com o intuito de obter acesso não
autorizado aos computadores e, assim, executar o ataque. Ataques de recusa de
serviço distribuído podem ser difíceis de interromper porque não é fácil determinar quais requisições de uma rede são de usuários legítimos e quais são parte
do ataque (DEITEL et al., 2005). Também é, particularmente, difícil identificar
o perpetrador desses ataques porque eles não são executados, diretamente, do
computador do invasor.
Exemplos de tipos de ataques DoS ou DDOs são apresentados, a seguir, segundo Gargano (2016):
PING DA MORTE
Um invasor envia um ping malformado ou mal-intencionado para um computador
da rede. Nesse ataque, um pacote maior do que o tamanho máximo de pacote de
65.535 bytes é enviado, fazendo com que os sistemas travem.
ATAQUE SMURF
Um hacker envia vários pacotes de ICMP echo-request para o endereço de
broadcast de uma rede extensa. Esses pacotes enviados contêm o endereço da
vítima como o endereço IP de origem. Cada host que pertence a essa rede responde enviando pacotes de resposta ICMP echo-reply para a vítima, inundando
a máquina dela com essas respostas.
1
1
1
UN I C ES UMA R
ATAQUE DE INUNDAÇÃO TCP SYN (SYN FLOOD ATTACK)
Um invasor explora o handshake de três vias TCP. Ele envia vários pacotes TCP
SYN com endereços de origem aleatórios para um host da vítima, o qual é forçado a responder e a esperar por um pacote ACK que nunca chega, deixando a vítima com muitas conexões TCP semiabertas. Essas conexões consomem recursos
do host atacado, sobrecarregando o alvo do ataque.
E M FO CO
Quer saber mais sobre o tema?
Acesse a aula que preparamos para você!
NOVOS DESAFIOS
Chegamos ao fim deste Tema de Aprendizagem!
Prezado(a) aluno(a), como você deve ter notado, os ataques à segurança do
computador estão se tornando mais sofisticados, logo, também devemos melhorar
as defesas contra eles. Por conta disso, os crackers estão, cada vez mais, combinando
os seus conhecimentos técnicos com habilidades de engenharia social, como meio
de obter o que desejam.
A engenharia social envolve convencer as pessoas a realizar ações que elas, normalmente, não fariam, o que envolve revelar certas informações ou ignorar certos
controles de segurança, dando ao engenheiro social acesso a informações ou instalações confidenciais (CONHEADY, 2014). A ação envolvida pode ser tão simples
quanto entrar por uma porta que alguém deixou aberta ou tão sofisticada quanto
configurar um golpe em longo prazo cujo engenheiro social torna-se um funcionário interno de sua organização-alvo e, depois, rouba informações da empresa.
1
1
1
VAMOS PRATICAR
1. Uma equipe de segurança deve evitar que haja violações de segurança. A violação que
envolve a leitura não autorizada de dados (ou roubo de informações) é do tipo:
a)
b)
c)
d)
e)
Autorização.
Responsabilidade.
Confidencialidade.
Integridade.
Disponibilidade.
2. Avalie o enunciado, a seguir:
Um ataque cujo invasor coloca-se na linha entre dois dispositivos legítimos que estão
se comunicando, com a intenção de realizar vigilância ou manipular os dados à medida
que esses dados se movem entre os dois dispositivos. O objetivo principal desse ataque
é espionar e, assim, ver todo o tráfego. O ataque pode acontecer na camada 2 ou 3.
Em relação ao tipo de ataque com as características descritas no enunciado, assinale a
alternativa correta:
a)
b)
c)
d)
e)
Man-in-the-middle.
Port scanning.
Buffer overflow.
Vírus.
Worm.
3. Os ataques que tentam consumir todos os recursos de um computador ou rede crítica
para o tornar indisponível ao uso adequado e que, normalmente, resulta em alguma
interrupção do serviço para usuários, dispositivos ou aplicativos é chamado de:
a)
b)
c)
d)
e)
1
1
1
Port scanning.
Buffer overflow.
Vírus.
Worm.
Recusa de serviço ou DOS.
REFERÊNCIAS
CIO. Dois terços das empresas brasileiras admitem incidentes de segurança. 2 nov.
2015. Disponível em: https://www.cio.pt/2015/11/02/dois-tercos-das-empresas-brasileiras-admitem-incidentes-de-seguranca/. Acesso em: 16 nov. 2022.
CONHEADY, S. Social Engineering in IT Security: Tools, Tactics and Techniques. New York:
McGraw-Hill, 2014.
DEITEL, H. M. et al. Sistemas Operacionais. 3. ed. São Paulo: Pearson Prentice Hall, 2005.
GARGANO, P. 31 Days Before Your CCNA Security Exam: a day-by-day review guide for
the IINS 210-260 certification exam. 1st ed. Indianapolis: Cisco Press, 2016.
GREGG, M.; SANTOS, O. CEH Certified Ethical Hacker: Cert Guide. 4th ed. New Jersey: Pearson IT Certification, 2022.
SADIQUI, A. Computer Network Security. New York: Wiley-ISTE, 2020.
SILBERSCHATZ, A.; GALVIN, P. B.; GAGNE, G. Operating System Concepts Essentials. 2nd
ed. New York: Wiley, 2013.
STALLINGS, W. Criptografia e Segurança de Redes: Princípios e Práticas. 6. ed. São Paulo:
Pearson Universidades, 2014.
STEWART, J. M.; KINSEY, D. Network Security, Firewalls and VPNs. 3rd ed. Boston: Jones
& Bartlett Learning, 2020.
1
1
1
CONFIRA SUAS RESPOSTAS
1. C. Uma violação de confidencialidade, pois envolve a leitura não autorizada de dados (ou
roubo de informações). Normalmente, uma quebra de confidencialidade é o objetivo de
um intruso.
2. A. Ataque man-in-the-middle é o ataque no qual um invasor se coloca na linha entre dois
dispositivos legítimos que estão se comunicando, com a intenção de realizar vigilância
ou manipular os dados à medida que esses dados se movem entre os dois dispositivos.
O objetivo principal desse ataque é espionar para ver todo o tráfego.
3. E. Ataques de recusa de serviço ou DOS, pois são os ataques que tentam consumir todos
os recursos de um computador ou rede crítica, tornando-o indisponível para uso adequado.
Normalmente, um DOS resulta em alguma interrupção do serviço pa usuários, dispositivos
ou aplicativos, pelo consumo dos recursos do servidor ou computador atacado.
1
1
1
MEU ESPAÇO
1
1
1
UNIDADE 4
TEMA DE APRENDIZAGEM 6
AMEAÇAS À SEGURANÇA –
ENGENHARIA SOCIAL E MALWARE
ME. ITALO GERVÁSIO CAVALCANTE
MINHAS METAS
Conhecer as duas fontes principais de ataques à rede: a engenharia social e o malware
Conhecer quem os realiza
Identificar as diferenças entre as fontes de ataques
1
1
1
UN I C ES UMA R
INICIE SUA JORNADA
Olá, estudante! Seja bem vindo(a)!
A engenharia social é capaz de ajudar a facilitar um ataque técnico, tornando-o mais rápido e fácil de executar, muitos dos ataques técnicos de que ouvimos
falar incluem um elemento dessa engenharia. Na maioria das vezes, no entanto,
a ofensiva não é relatada, às vezes, as pessoas sequer percebem que foram projetadas, socialmente, afinal, um bom ataque desse tipo é difícil de detectar. “Mas
professor, porque é difícil detectar um ataque que utiliza engenharia social?” As
vítimas conseguem identificar, apenas, o aspecto técnico da ofensiva e podem
não perceber que ela incluiu um componente de engenharia social. Quando reconhecem que caíram em um ataque desse tipo, as vítimas ficam com vergonha
de denunciar, temendo parecer ingênuas e de perder a credibilidade ao fazê-lo
(CONHEADY, 2014).
DESENVOLVA SEU POTENCIAL
AMEAÇAS À SEGURANÇA –
ENGENHARIA SOCIAL E MALWARE
Uma organização pode ter os melhores controles técnicos de segurança do mundo, mas esses controles, talvez, não a protegem contra um engenheiro social determinado e habilidoso, pois o fator humano é difícil de controlar. Os ataques de
engenharia social costumam ter consequências desastrosas, tanto para as finanças
quanto para a reputação da vítima. Por conta disso, educação e conscientização
são fundamentais na prevenção de ataques desse tipo.
P L AY N O CO NHEC I M ENTO
Ouça agora o podcast que preparamos
especialmente para você
1
1
1
T E MA D E APRE N D IZAGEM 6
VOCÊ SABE RESPONDER?
Como os ataques de engenharia social são realizados?
Te apresentarei alguns modos. A mais conhecida delas é chamada de phishing,
que se trata de uma das formas de fraude na internet. Tipicamente, a vítima
recebe um e-mail pedindo para ela verificar ou confirmar uma conta junto a
um banco ou provedor de serviços. Algumas vezes, mensagens instantâneas são
usadas e, até mesmo, contatos telefônicos (HINTZBERGEN et al., 2018). Tenha
em mente, aluno(a), que é difícil apanhar os autores de phishing.
Logo, usuários de internet devem permanecer,
particularmente, vigilantes e não devem nunca resÉ difícil apanhar
ponder a um pedido por e-mail ou WhatsApp para
os autores de
transferir dinheiro ou enviar informações pessoais
phishing.
(financeiras), tais como: números de conta de banco,
códigos PIN ou detalhes do cartão de crédito.
IN D ICAÇÃO DE FI LM E
Control Z (2020)
Sinopse: Control Z é uma série original da Netflix e acompanha a rotina dos alunos de uma prestigiada escola particular
no México. A vida dos estudantes vira de cabeça para baixo
depois que um hacker divulga o segredo sobre a identidade de
gênero de uma das alunas, Isabela de La Fuentes (Zion Moreno), levando a uma mudança completa na ordem social típica
do Ensino Médio. Sofia Herrera (Ana Valeria Becerril), uma adolescente introvertida e nada popular, resolve descobrir a identidade do misterioso transgressor antes que mais vazamentos
aconteçam e segredos pessoais sejam revelados. Ninguém
está a salvo da suspeita.
1
1
1
UN I C ES UMA R
Relembrando que a engenharia social é um ataque de acesso que tenta manipular
indivíduos para realizar ações ou divulgar informações confidenciais, portanto,
ele depende da disposição das pessoas em serem úteis; esse ataque também avança em direção às fraquezas das pessoas.
Além do phishing, as outras formas usadas por um engenheiro social, segundo Gargano (2016), são:
■ Ligar para um indivíduo e mentir com o objetivo de obter acesso a dados
privilegiados.
■ Usar o mesmo conceito de phishing, contudo empregando voz e sistema
telefônico como via ao invés do e-mail.
■ Usar o mesmo conceito de phishing, mas mensagens de texto SMS ou
WhatsApp são a via ao invés do e-mail.
■ Seguir, rapidamente, uma pessoa autorizada que está entrando em um
local seguro. Isso acontece muito em condomínios residenciais! Fique
atento(a)!
■ Deixar um dispositivo físico infectado por malware, como uma unidade
flash USB, em um local público, por exemplo, um banheiro corporativo
ou uma garagem. O localizador do dispositivo o carrega em seu computador, instalando o malware sem querer.
■ Solicitar informações pessoais de alguém em troca de algo, como um
presente gratuito ou uma vantagem.
■ Injetar anúncios maliciosos ou carregados de malware em redes de publicidade online legítimas e em páginas da web.
As violações de segurança mais comuns são oriundas da internet e, por meio delas, as vias disponíveis
à propagação de malware, o qual é definido como
“qualquer código adicionado, alterado ou removido de
um sistema de software para causar intencionalmente
danos ou subverter a função pretendida do sistema”
(IDIKA; MATHUR, 2007, p. 48, tradução minha).
Representa uma
séria ameaça
aos avanços da
tecnologia.
1
1
1
T E MA D E APRE N D IZAGEM 6
ZO O M N O CO NHEC I M ENTO
Spam é o nome usado para se referir a mensagens indesejadas. O termo é,
comumente, usado para e-mails indesejados, contudo mensagens publicitárias
indesejadas em sites também são consideradas spam. Os hackers podem usar
e-mails de spam com o intuito de induzir um usuário a clicar em um link infectado ou baixar um arquivo, também, infectado.
Um filtro de spam costuma aliviar, um pouco, o significativo desperdício de
tempo de remover mensagens indesejadas da caixa de correio eletrônico. Há
também algumas outras coisas que os usuários de computador podem fazer para combater o spam. Uma delas é nunca responder a uma mensagem
de spam, até mesmo “desativar” ou “cancelar” causam mais mensagens desse
tipo, pois você confirma ao remetente que o seu e-mail funciona, então o spam,
sem dúvida, aumentará. Além disso, não encaminhe essas mensagens nem
distribua endereços de e-mail. Para ocultar os endereços, use a função “cópia
oculta” (Cópia carbono oculta – Cco) disponível no cliente de e-mail.
O fato de o malware ser capaz de causar perda de informações e de dinheiro,
assim como pode prejudicar a vida profissional de uma pessoa ou de uma empresa (a depender do dano) representa uma séria ameaça aos avanços da tecnologia.
A classificação do malware depende das características de execução do programa; ele também é classificado de acordo com a sua carga útil, de como explora
ou torna o sistema vulnerável e da maneira com que se propaga (MATHUR;
HIRANWAL; BALAJI, 2013). Isso permite que o malware seja subdividido em
diferentes tipos, conforme discutiremos, a seguir.
O primeiro malware a ser abordado, aqui, é o
vírus. Ele é um programa malicioso autorreplicante,
existe como um executável e se espalha copiando a
si mesmo para outros sistemas host. Além disso, é
passivo e precisa ser transferido por meio de arquivos
É um programa
malicioso
de mídia ou de rede. Dependendo da complexidade
autorreplicante
do código, o vírus modifica as cópias replicadas de si
mesmo (HONIG; SIKORSKI, 2012) e pode ser usado para danificar computadores e redes host, roubar
informações, criar botnets, renderizar anúncios e
roubar dinheiro, entre outras atividades maliciosas.
1
1
1
UN I C ES UMA R
O segundo tipo de malware que abordaremos é o worm. Este é um programa
malicioso, ativo e autorreplicante que se espalha pela rede explorando várias
vulnerabilidades do sistema. Ele usa vulnerabilidades direcionadas no sistema
operacional ou no software instalado, contém rotinas prejudiciais, mas pode ser
usado para abrir canais de comunicação que servem como portadores ativos.
O worm consome muita largura de banda e recursos de processamento por
meio de varredura contínua (SKOUDIS; ZELTSER, 2004), tornando o host instável, o que, às vezes, causa o travamento do sistema. Ele também costuma
conter uma carga útil — composta por pedaços de código escritos — para afetar
o computador com roubo de dados, exclusão de arquivos ou criação de um bot
que pode levar o sistema infectado a fazer parte de uma botnet. Enquanto o
vírus exige atividade humana para se espalhar, os worms têm a capacidade de se
distribuir e se replicar de forma independente (KORET; BACHAALANY, 2015).
O malware que fornece, automaticamente, anúncios vistos em anúncios pop-up de sites e exibidos por software é conhecido por adware. Ele é a abreviação
de software suportado por publicidade (do inglês ADvertisement = anúncio e
softWARE = programa). A maioria dos adwares é projetada para servir como
ferramentas de geração de receita pelos anunciantes e alguns vêm embalados
com spyware, o que é muito perigoso, pois pode rastrear a atividade e roubar
informações do usuário (THOMAS, 2015).
ZO O M N O CO NHEC I M ENTO
O malware que emprega um conjunto de ferramentas para evitar a detecção
em um sistema é conhecido como rootkit, em tradução literal, seria um conjunto de ferramentas. Os rootkits são programas muito avançados e complexos,
escritos para se esconder dentro dos processos legítimos do computador infectado, portanto, são muito invasivos e difíceis de remover. Eles são projetados
com a capacidade de assumir o controle total do sistema e obter os maiores
privilégios possíveis na máquina, entre outras atividades maliciosas (ELISAN;
HYPPONEN, 2013).
Se você, caro(a) aluno(a), solicitar a leitura de um arquivo malicioso com um
antivírus, o que acha que ocorrerá? Dentre as possibilidades, o rootkit pode filtrar a informação via API e bloquear a ação do antivírus. Devido às técnicas de
1
1
1
T E MA D E APRE N D IZAGEM 6
evasão ou esquiva usadas pelos rootkits, a maioria das soluções de fornecedores
de segurança não são eficazes em detectá-los e removê-los, portanto, a detecção
e remoção deles dependem muito de esforços manuais, os quais incluem análise
de despejo de armazenamento e verificação de assinatura de arquivo do sistema
e não estão limitados ao monitoramento do comportamento do sistema do computador para atividades anormais (NAMANYA et al., 2018).
O malware que mais preocupa as instituições, atualmente, é o ransomware.
Este é um programa que infecta um host ou uma rede e mantém o sistema bloqueado para uso regular, enquanto solicita um resgate dos usuários do sistema/rede. O
programa, de modo geral, criptografa os arquivos no sistema infectado ou o bloqueia, a fim de que os usuários não tenham acesso. Em seguida, exibe mensagens
as quais forçam os usuários a pagar para ter acesso, novamente, aos seus sistemas.
O ransomware usa os mesmos meios de propagação que um worm de computador para se espalhar e, portanto, a conscientização do usuário e as atualizações do sistema são medidas de mitigação importantes, como visto nos ataques
de ransomware WannaCrypt0r e Petyr (NAMANYA et al., 2018).
P E N SA N D O J UNTO S
Imagine, agora, caro(a) aluno(a), um programa que se apresenta como um software legítimo e, quando baixado e executado, incorpora rotinas ou arquivos
maliciosos no computador? O malware com essa característica é conhecido
como Cavalo de Tróia (KORET; BACHAALANY, 2015). Um Cavalo de Tróia é, comumente, referido como Trojan; na maioria dos casos, quando executado, instala um vírus ou não tem carga útil. Ele não tem capacidade de se autorreplicar
e depende dos operadores do sistema para ser ativado, no entanto tem capacidade de fornecer acesso remoto a um invasor cuja intenção seja executar
qualquer atividade maliciosa de interesse próprio.
Os programas Cavalos de Tróia têm diferentes maneiras de afetar o computador,
dependendo da carga útil anexada a eles, sendo, geralmente, disseminados por
meio de engenharia social (HONIG; SIKORSKI, 2012).
O seu nome é uma alusão ao cavalo de madeira descrito na Odisseia de Homero: de acordo com a mitologia grega e a epopeia homérica, foi um estratagema
decisivo na conquista da cidade fortificada de Tróia durante o período histórico
da Grécia Antiga, pois esse gigante cavalo de madeira foi disfarçado como um
1
1
1
UN I C ES UMA R
presente, mas, em seu interior, foram escondidos diversos soldados gregos com
o objetivo de adentrar as muralhas da cidade a ser conquistada e vencer a Guerra de Tróia. Fazendo essa analogia com a história, a linguagem computacional
aborda que a beleza do ataque do malware conhecido como Trojan é: ele não
exige que o autor viole o computador da vítima, ela própria faz todo o trabalho
(TANENBAUM, 2016).
Um programa malicioso que usa funções em um sistema operacional com a
intenção de espionar a atividade do usuário é o malware conhecido como spyware. Às vezes, os spywares têm recursos adicionais, como interferir nas conexões
de rede para modificar as configurações de segurança do sistema infectado. Na
maioria das vezes, vêm com programas freeware ou shareware, mas, geralmente,
são incluídos em software comercial e espalham-se anexando-se a softwares legítimos, a Cavalos de Tróia ou aproveitando vulnerabilidades conhecidas de software.
O spyware pode monitorar o comportamento do usuário, coletar pressionamentos de tecla, hábitos de uso da internet e enviar as informações ao autor do
programa (NAMANYA et al., 2018), sendo considerado uma variação do Cavalo
de Tróia, às vezes, acompanha um programa que o usuário escolheu instalar. O
objetivo do spyware é baixar anúncios para exibir
no sistema do usuário, criar janelas pop-up do naO spyware pode
vegador quando determinados sites são visitados ou
monitorar o
capturar informações do sistema do usuário e devolcomportamento
vê-las a um site central (SILBERSCHATZ; GALVIN;
do usuário
GAGNE, 2013).
1
1
1
T E MA D E APRE N D IZAGEM 6
Um tipo de programa ou pedaço de código que também é considerado um malware são os bots, os quais são programas projetados para realizar operações
específicas. Eles são derivados de “robôs” que foram desenvolvidos pela primeira
vez para gerenciar canais de chat do IRC – Internet Relay Chat, um protocolo de
comunicação com base em texto criado em 1989 (aqui, no Brasil, o MIRC foi o
exemplo de IRC mais conhecido). Alguns bots são usados para fins legítimos,
como programação de vídeo e concursos online, entre outras funções, os maliciosos são projetados com o objetivo de formar botnets.
A P RO F UNDA NDO
Uma botnet é definida como uma rede de computadores host (zumbis/bot)
controlada por um invasor ou botmaster. Os bots infectam e controlam outros
computadores que, por sua vez, infectam outras máquinas conectadas, formando, assim, uma rede de computadores comprometidos chamada botnet. Os
bots são muito usados como spambots, para ataques DDOS, webspiders, para
raspar dados do servidor e distribuir malware em sites de download. Os testes
captcha são usados por sites e visam à proteção contra bots, verificando os
usuários como humanos (ELISAN; HYPPONEN, 2013).
A Figura 1 representa como uma rede de bots é usada, às vezes, com finalidade
maliciosa. A rede, controlada pelo cracker chamado de botmaster (ou mestre dos
bots), usa computadores zumbis para instalar malwares em computadores individuais ou atacar redes de organizações por meio de ataques de negação de serviço.
1
1
1
UN I C ES UMA R
Figura 1 - Computadores sendo atacados por uma rede de bots / Fonte: CryptoID.
Descrição da Imagem: a figura apresenta, de forma esquemática e ilustrada, uma rede de bots atacando computadores pela rede. À esquerda, há uma pessoa vestindo um casaco preto e óculos, está sentada diante de um
notebook, embaixo dele, vê-se o nome botmaster indicando ser um atacante que controla uma rede de bots.
Do lado direito dessa pessoa, há uma seta apontando para quatro notebooks que levam o termo bot embaixo
de cada um. Todos eles apresentam, em suas respectivas telas, a imagem de um vírus em um fundo vermelho,
indicando ser uma rede de bots. No lado direito dos quatro computadores, há setas que levam para quatro figuras
que representam os tipos de malwares. A figura superior é um cavalo sobre rodas (Cavalo de Tróia) e, embaixo
dele, vê-se duas pequenas telas, sendo que, na tela da frente, há um símbolo de perigo (ataque por phishing).
Embaixo do ataque de phishing, está um envelope aberto e, no interior dele, há um papel com um símbolo de
perigo (vírus vindo por e-mail). Embaixo do vírus por e-mail há três foguetes com 315º de inclinação (ataque de
negação de serviço). No lado direito dessas quatro imagens, há setas apontando para três computadores cujas
telas estão na cor laranja com uma imagem que simboliza perigo no centro da tela, acompanhados pelo termo
“Vítima” embaixo de cada um, indicando que os computadores foram atacados.
Um meio para um cracker detectar as vulnerabilidades de um sistema que deseja
atacar é utilizar a varredura de portas (port scanning). A varredura de portas
é, geralmente, automatizada, envolvendo uma ferramenta que tenta criar uma
conexão TCP/IP para uma porta específica ou um intervalo de portas (TANENBAUM, 2016). Como as varreduras de portas são detectáveis, elas são, frequentemente, iniciadas a partir de sistemas zumbis.
1
1
1
T E MA D E APRE N D IZAGEM 6
Esses sistemas são independentes, anteriormente, comprometidos, que
atendem os seus proprietários enquanto são usados para fins nefastos, incluindo ataques de negação de serviço e retransmissão de spam. Os zumbis tornam
os crackers, particularmente, difíceis de processar, pois determinar a fonte do
ataque e a pessoa que o lançou é um desafio. Esta é uma das muitas razões para
proteger, também, sistemas “inconsequentes” e não, apenas, sistemas que contêm
informações ou serviços “valiosos” (SILBERSCHATZ; GALVIN; GAGNE, 2013).
Estimado(a) aluno(a), você acabou de conhecer diversos tipos de ataques
contra a segurança de sistemas.
P E N SA N D O J UNTO S
Peço que imagine o seguinte cenário: suponha que haja uma vulnerabilidade (ou
bug) conhecida no servidor de e-mail de uma empresa; um cracker pode lançar/
iniciar uma verificação de porta em porta para tentar se conectar, digamos, à porta 25 de determinado sistema ou a uma variedade de sistemas. Se a conexão
fosse bem-sucedida, o cracker (ou ferramenta) poderia tentar se comunicar com
o serviço de atendimento para determinar se o serviço era, de fato, o servidor de
e-mail e, em caso afirmativo, se era a versão com o bug. Lembro a você que a
porta 25 é aquela, normalmente, usada pelos serviços de e-mail, ok?
Nesse cenário hipotético, o cracker teria a possibilidade de usar o nmap
(https://nmap.org), um utilitário de código aberto muito versátil à exploração
de rede e auditoria de segurança. Quando apontado para um destino, ele determinará quais serviços estão sendo executados, incluindo nomes e versões
de aplicativos bem como identificar o sistema operacional do host e, também,
fornecer informações sobre defesas, por exemplo, como os firewalls estão defendendo o alvo. O nmap não explora nenhum bug conhecido, no entanto um
cracker conhecendo os bugs de um certo servidor é capaz de criar um shell de
comando privilegiado no sistema. A partir daí, o cracker pode instalar Cavalos
de Tróia, programas de back-door e assim por diante. Esse exemplo é somente
para você entender como os ataques se relacionam, não tente isso em casa!
Uma categoria completamente diferente de ataques é o que poderia ser chamado
de ataques internos. Eles são realizados por programadores e outros funcionários da empresa executando o computador a ser protegido ou produzindo um
software crítico. Tal categoria difere dos ataques externos, pois as pessoas de
dentro do sistema têm conhecimento especializado e acesso, privilégios que as
pessoas de fora não têm (TANENBAUM, 2016).
1
1
1
UN I C ES UMA R
A seguir, você pode conferir alguns exemplos:
BOMBA LÓGICA
Este dispositivo é um fragmento de código escrito por um dos programadores
(funcionários) da empresa e, secretamente, inserido no sistema de produção.
Enquanto o programador alimentar a sua senha diária, esse fragmento de código
não fará nada, no entanto se o programador for, subitamente, despedido e,
fisicamente, removido do local, sem aviso, a bomba lógica, no dia ou na semana
seguinte, não será alimentada com a senha diária e será detonada. Detonar pode
envolver limpar o disco, apagar arquivos de forma aleatória, fazer mudanças,
cuidadosamente, difíceis de serem detectadas em programas fundamentais ou
criptografar arquivos essenciais (TANENBAUM, 2016).
BACK-DOOR (PORTA DOS FUNDOS)
Este problema é criado por um código inserido no sistema por um programador
para driblar alguma verificação normal. Por exemplo, um programador poderia
acrescentar um código ao programa de login, a fim de permitir que qualquer
pessoa se conectasse usando o nome de login “zzzzz”, não importa qual fosse
o arquivo. Uma maneira de as empresas evitarem o back-door é ter revisões de
código como uma prática padrão (TANENBAUM, 2016). Este ataque também é
conhecido como alçapão ou trap door (este tipo de violação de segurança foi
mostrado no filme Jogos de Guerra). O projetista de um programa ou sistema
deixa um buraco no software que somente ele é capaz de usar, um alçapão inteligente costuma ser incluído em um compilador que, por sua vez, gera um código
de objeto padrão bem como um alçapão, independentemente do código-fonte
que está sendo compilado. Esta atividade é muito nefasta, pois uma busca no
código-fonte do programa não revelará nenhum problema, apenas o código-fonte do compilador conteria as informações. Os alçapões representam um problema difícil porque, para os detectar, é necessário analisar todo o código-fonte de
todos os componentes de um sistema. Dado que os sistemas de software podem
consistir em milhões de linhas de código, essa análise não é feita com frequência
e, muitas vezes, sequer é feita (SILBERSCHATZ; GALVIN; GAGNE, 2013).
1
1
1
T E MA D E APRE N D IZAGEM 6
MASCARAMENTO DE LOGIN
Uma variação do Cavalo de Tróia é um programa que emula um programa de
login. Um usuário desavisado começa a fazer login em um terminal e percebe
que, aparentemente, digitou, de forma incorreta, a sua senha. Ele tenta, novamente e, dessa vez, é bem-sucedido. Aconteceu que a chave de autenticação
e a senha desse usuário foram roubadas pelo emulador de login, o qual foi
deixado rodando no terminal pelo ladrão, mascarando a tela de login do sistema.
O emulador guardou a senha, imprimiu uma mensagem de erro de login e saiu, o
usuário recebeu, então, um prompt de login genuíno. Esse tipo de ataque pode
ser derrotado se o sistema operacional for induzido a imprimir uma mensagem de
uso no final de uma sessão interativa ou por uma sequência de teclas não interceptáveis, como a combinação control-alt-delete usada por todos os sistemas
operacionais Windows modernos (SILBERSCHATZ; GALVIN; GAGNE, 2013).
IN D ICAÇÃO DE FI LM E
Hacker – Todo Crime Tem Um Início (2017)
Sinopse: Alex Danyliuk cansou de viver rodeado dos diversos problemas financeiros de sua família e tomou uma decisão
drástica: entrar para o mundo do crime e mudar a vida de seus
pais. Ao lado de Sye e da hacker Kira, que conhecem bem o
mundo obscuro da criminalidade online, eles tornam-se uma
pedra no sapato do mercado financeiro e chegam aos ouvidos
de Z, líder da organização Anonymous.
Comentário: o filme mostra como atua o hacker de chapéu
preto ou cracker.
Estamos concluindo nosso estudo, mas, antes, falarei, um pouco, sobre as
perspectivas profissionais para segurança da informação, caso você pense em
atuar como hacker ético. A principal tarefa de um hacker ético é realizar um
teste de penetração (também chamado de pen test). Pense nisso como um
ataque e penetração, legalmente, aprovados em uma rede, dispositivo, aplicativo, banco de dados e similares, ou seja, como testar as fechaduras da casa.
Você, enquanto hacker ético, realizará as mesmas atividades que os crackers
fariam, mas sem intenção maliciosa.
1
1
1
UN I C ES UMA R
Hackers éticos devem trabalhar em estreita colaboração com a organização anfitriã para entender o que ela está tentando proteger, de quem eles estão
tentando proteger esses ativos e quanto dinheiro e recursos está disposta a gastar
nessa proteção. Lembrando que o vazamento de informações revela detalhes
críticos de uma organização, tais como: estrutura, ativos e mecanismos de defesa.
Ao seguir uma metodologia semelhante à de um invasor, os hackers éticos
procuram ver que tipo de informação pública está disponível sobre a organização.
Depois que eles coletam essas informações, elas são avaliadas para determinar se
representam algum risco potencial. Os hackers éticos sondam ainda mais, a rede
nesse momento, com o intuito de testar quaisquer fraquezas invisíveis.
Como você deve estar pensando, caro(a) aluno(a), esses hackers precisam
de habilidades práticas de segurança. Embora não precise ser um especialista
em tudo, você deve ter uma área de especialização, pois os testes de segurança,
geralmente, são realizados por equipes de indivíduos com uma área central de
especialização. Dessa forma, a equipe precisa ter as habilidades listadas, a seguir:
ROTEADORES
Conhecimento de roteadores, protocolos de roteamento e listas de controle de
acesso (ACLs). Certificações como Cisco Certified Network Associate (CCNA) e
Cisco Certified Internetworking Expert (CCIE) podem ser úteis.
MICROSOFT
Habilidades em operação, configuração e gerenciamento de sistemas que se
baseiam na Microsoft. Eles são capazes de executar a gama que vai do Windows
10 ao Windows Server 2019. Esses indivíduos costumam ser certificados pelo
Microsoft Certified Solutions Associate (MCSA) ou Microsoft Certified Solutions
Expert (MCSE).
LINUX
O bom entendimento do sistema operacional Linux/UNIX inclui configurações de
segurança, configuração e serviços como o Apache. Esses indivíduos podem ser
certificados pelo Fedora ou Linux+.
1
1
1
T E MA D E APRE N D IZAGEM 6
MAC OS
A boa compreensão dos sistemas da Apple (laptops, iPads e smartphones) é interessante, o que, dependendo da organização, compõem boa parte do ambiente
de computação.
FIREWALLS
O conhecimento acerca da configuração do firewall e da operação de sistemas
de detecção de intrusão (IDS) e sistemas de prevenção de intrusão (IPS) é útil
na realização de teste de segurança. Indivíduos com essas habilidades podem
ser certificados como Cisco Certified Network Associate Security Professional
(CCNA) ou Check Point Certified Security Administrator (CCSA).
PROGRAMAÇÃO
O conhecimento de linguagens de programação, como C++, Ruby, C# e C e linguagens de script, como PHP e Java e, também, em SQL é bem recebido.
MAINFRAMES
Embora não detenham mais a posição de domínio que já tiveram nos negócios,
ainda são, amplamente, utilizados. Se a organização que está sendo avaliada
tiver mainframes, as equipes de segurança se beneficiarão de ter na equipe
alguém com essa habilidade definida.
PROTOCOLOS DE REDE
As redes mais modernas são o Protocolo de Controle de Transmissão/Protocolo
da Internet (TCP/IP). Alguém com bom conhecimento de protocolos de rede,
de como eles funcionam e são manipulados tem a chance de desempenhar um
papel vital na equipe. Esses indivíduos costumam ter certificações em outros sistemas operacionais ou hardware, ou ainda, uma certificação CompTIA Network+,
Security+ ou Advanced Security Practitioner (CASP).
1
1
1
UN I C ES UMA R
GERENCIAMENTO DE PROJETOS
Alguém precisará liderar a equipe de teste de segurança e, se você for escolhido(a) para ser essa pessoa, necessitará de uma variedade de habilidades e
dos tipos de conhecimento listados, anteriormente. Também pode ser útil ter
boas habilidades de gerenciamento de projetos — os parâmetros de um projeto,
geralmente, são tempo, escopo e custo. Afinal, você definirá o escopo do projeto
ao liderar uma equipe de pen test — indivíduos nesta função se beneficiam caso
tenham a certificação Project Management Professional (PMP).
Só lembrando que nenhuma pessoa terá todos esses conhecimentos e habilidades listados, mas a equipe precisa tê-los. Além disso, os hackers éticos devem ter
boas habilidades de redação de relatórios bem como precisam estar sempre a par
das explorações, vulnerabilidades e ameaças emergentes atuais, porque, enquanto
profissionais, visam a manter-se um passo à frente dos hackers mal-intencionados.
E M FO CO
Quer saber mais sobre o tema?
Acesse a aula que preparamos para você!
NOVOS DESAFIOS
Chegamos ao fim deste Tema de Aprendizagem!
Espero que você se sinta motivado(a) a estudar e a se inserir na área de
hacker ético, a qual conta com um campo de atuação bem amplo e salários que
podem chegar na casa dos R$ 20 mil, dependendo da sua habilidade e tempo
na área. É um ótimo caminho profissional aos apaixonados por internet, TI e
segurança da informação.
Aproveite para realizar algumas atividades, rever e fixar, ainda mais, alguns
conceitos e, caso precise, retorne ao conteúdo.
1
1
1
VAMOS PRATICAR
1. Uma equipe de segurança deve evitar que haja violações de segurança. A violação que
envolve a leitura não autorizada de dados (ou roubo de informações) é do tipo:
a)
b)
c)
d)
e)
Autorização.
Responsabilidade.
Confidencialidade.
Integridade.
Disponibilidade.
2. Vimos, neste tema, que um hacker ético é diferente de um cracker. Em relação às
diferenças entre ambos, assinale a alternativa correta:
a) Hackers éticos nunca lançam ataques, somente os crackers.
b) Hackers éticos assinaram permissão por escrito para lançar ataques, enquanto os
crackers atacam, livremente.
c) Hackers éticos agem com objetivos maliciosos, enquanto os crackers possuem objetivos de interesse da organização.
d) Hackers éticos têm permissão verbal para lançar ataques, enquanto os crackers possuem permissão por escrito.
e) Hackers éticos utilizam chapéu cinza, enquanto os crackers usam chapéu preto.
3. Avalie o enunciado, a seguir:
Um ataque cujo invasor coloca-se na linha entre dois dispositivos legítimos que estão
se comunicando, com a intenção de realizar vigilância ou manipular os dados à medida
que esses dados se movem entre os dois dispositivos. O objetivo principal desse ataque
é espionar e, assim, ver todo o tráfego. O ataque pode acontecer na camada 2 ou 3.
Em relação ao tipo de ataque com as características descritas no enunciado, assinale a
alternativa correta:
a)
b)
c)
d)
e)
1
1
1
Man-in-the-middle.
Port scanning.
Buffer overflow.
Vírus.
Worm.
VAMOS PRATICAR
4. Os ataques que tentam consumir todos os recursos de um computador ou rede crítica
para o tornar indisponível ao uso adequado e que, normalmente, resulta em alguma
interrupção do serviço para usuários, dispositivos ou aplicativos é chamado de:
a)
b)
c)
d)
e)
Port scanning.
Buffer overflow.
Vírus.
Worm.
Recusa de serviço ou DOS.
5. O ataque que, geralmente, apresenta-se como uma mensagem de e-mail com um link
que parece um recurso confiável e, quando o usuário clica no link, é solicitado a divulgar
informações confidenciais, por exemplo, nomes de usuário/senhas, números de conta
ou números de CPF, é conhecido como:
a)
b)
c)
d)
e)
Ransomware.
Vírus.
Phishing.
Back-door.
Bomba lógica.
1
1
1
REFERÊNCIAS
CIO. Dois terços das empresas brasileiras admitem incidentes de segurança. 2 nov.
2015. Disponível em: https://www.cio.pt/2015/11/02/dois-tercos-das-empresas-brasileiras-admitem-incidentes-de-seguranca/. Acesso em: 16 nov. 2022.
CONHEADY, S. Social Engineering in IT Security: Tools, Tactics and Techniques. New
York: McGraw-Hill, 2014.
ELISAN, C. C.; HYPPONEN, M. Malware, Rootkits & Botnets: A beginner’s guide. New York:
McGraw-Hill, 2013.
GARGANO, P. 31 Days Before Your CCNA Security Exam: a day-by-day review guide for
the IINS 210-260 certification exam. 1st ed. Indianapolis: Cisco Press, 2016.
HINTZBERGEN, J. et al. Fundamentos de Segurança da Informação: com base na ISO
27001 e na ISO 27002. 1. ed. Rio de Janeiro: Brasport, 2018.
HONIG, A.; SIKORSKI, M. Practical Malware Analysis. San Francisco: No Starch Press,
2012.
IDIKA, N.; MATHUR, A. P. A survey of malware detection techniques. CERIAS, West Lafayette, v. 48, n. 2, p. 1-48, 2007.
KORET, J.; BACHAALANY, E. The Antivirus Hacker’s Handbook. New York: John Wiley &
Sons, 2015.
MATHUR, K.; HIRANWAL, S.; BALAJI, S. A survey on techniques in detection and analyzing
malware executables. International Journal of Advanced Research in Computer
Science and Software Engineering, v. 3, n. 4, p. 422-428, 2013.
NAMANYA, A. P. et al. The World of Malware: An Overview. In: IEEE – INTERNATIONAL CONFERENCE ON FUTURE INTERNET OF THINGS AND CLOUD (FICLOUD), 6., 2018, Barcelona.
Proceedings […]. Barcelona: IEEE, 2018. p. 420-427.
SILBERSCHATZ, A.; GALVIN, P. B.; GAGNE, G. Operating System Concepts Essentials.
2nd ed. New York: Wiley, 2013.
SKOUDIS, E.; ZELTSER, L. Malware: fighting malicious code. New York: Prentice Hall Professional, 2004.
TANENBAUM, A. S. Sistemas Operacionais Modernos. 4. ed. São Paulo: Pearson Education do Brasil, 2016.
THOMAS, F. Adware: The Only Book You’ll Ever Need. Morrisville: Lulu Press, 2015.
1
1
1
CONFIRA SUAS RESPOSTAS
1. C. Uma violação de confidencialidade, pois envolve a leitura não autorizada de dados
(ou roubo de informações). Normalmente, uma quebra de confidencialidade é o objetivo
de um intruso.
2. B. Hackers éticos não agem com objetivos maliciosos, no entanto eles assinam uma permissão por escrito para lançar ataques contra a sua própria organização, com o objetivo
de verificar a segurança em relação a contra-ataques. Hackers éticos são conhecidos
por hackers de chapéu branco. Enquanto isso, os crackers não possuem relação com a
organização que atacam e têm objetivos maliciosos.
3. A. Ataque man-in-the-middle é o ataque no qual um invasor se coloca na linha entre dois
dispositivos legítimos que estão se comunicando, com a intenção de realizar vigilância
ou manipular os dados à medida que esses dados se movem entre os dois dispositivos.
O objetivo principal desse ataque é espionar para ver todo o tráfego.
4. E. Ataques de recusa de serviço ou DOS, pois são os ataques que tentam consumir todos
os recursos de um computador ou rede crítica, tornando-o indisponível para uso adequado.
Normalmente, um DOS resulta em alguma interrupção do serviço pa usuários, dispositivos
ou aplicativos, pelo consumo dos recursos do servidor ou computador atacado.
5. C. Ataque de phishing é o ataque que, geralmente, apresenta-se como uma mensagem
de e-mail com um link que parece um recurso confiável. Quando o usuário clica no link, é
solicitado a divulgar informações confidenciais, por exemplo, nomes de usuário/senhas,
números de conta ou de CPF.
1
1
1
TEMA DE APRENDIZAGEM 7
FIREWALL
ME. ITALO GERVÁSIO CAVALCANTE
MINHAS METAS
Examinar o elemento de segurança mais comum em uma rede corporativa: o firewall
Conhecer onde os firewalls são utilizados e os tipos existentes
Identificar suas limitações
1
1
1
UN I C ES UMA R
INICIE SUA JORNADA
Olá, estudante! Seja bem vindo(a)!
Segundo um relatório publicado em 2017 pela Symantec — empresa do ramo
de segurança para usuários domésticos e corporações, como o Norton Antivírus,
um de seus produtos — mais de 3 bilhões de ataques de dia zero foram relatados
em 2016, e o volume e a intensidade desses ataques foram, substancialmente,
maiores do que os anteriores.
Com esse aumento no número de ataques de dia zero (ataques ainda não
conhecidos pelas ferramentas de segurança) projetados para atingir usuários da
internet, o relatório da Symantec (2017) indica que os ataques maliciosos se tornaram mais sofisticados, pois os autores do malware passaram a usam diferentes
técnicas de evasão para ocultar informações, visando a impedir a detecção por
um Sistema de Detecção de Intrusão (Intrusion Detection System – IDS).
P L AY N O CO NHEC I M ENTO
Quer saber mais sobre firewalls distribuídos? Então, acesse
o nosso podcast que será dedicado a esse tipo de firewall
bastante usado em ambientes virtualizados. Abordaremos,
especialmente, o conceito de microssegmentação, o qual amplia as possibilidades dos firewalls convencionais.
DESENVOLVA SEU POTENCIAL
FIREWALL, DETECÇÃO DE MALWARE
E DE INTRUSÃO (IDS E IPS)
Durante a pandemia de Covid-19, o uso da internet foi amplificado, levando as
empresas a adotarem soluções de trabalho remoto que as expôs a riscos de segurança para as quais não estavam preparadas. Nas pequenas e médias empresas
nacionais, ainda falta conhecimento sobre a importância de alocar recursos
econômicos e talentos que façam a diferença diante de um ciberataque.
1
1
1
T E MA D E APRE N D IZAGEM 7
Segundo a pesquisa elaborada pela Kaspersky ([s. d.] apud CISO ADVISOR,
2022b, on-line) para 27,5% dos responsáveis por essas empresas no Brasil, a
cibersegurança não é prioridade no orçamento, enquanto em cerca de 15% das
pequenas e médias empresas do país não há sequer uma pessoa responsável pela
tecnologia da informação.
Como você já sabe, para um malware entrar em uma rede, basta uma pequena
vulnerabilidade. Dessa forma, o desenho e posicionamento de um firewall, a sua
correta configuração, além de uma equipe de segurança bem capacitada em técnicas de detecção de intrusão são mais do que esperados por uma organização
que pretende se manter segura.
Além dessa lacuna de investimentos, também existe
uma expressiva falta de consciência dos proprietáFalta de
rios de pequenas e médias empresas, dado que elas
consciência dos
não possuem políticas de segurança cibernética para
proprietários
o uso de dispositivos ou acesso à rede corporativa,
de pequenas e
assim como não treinam os seus funcionários na
médias empresas
identificação desses ataques, o que evitaria que eles
fossem vítimas (CISO ADVISOR, 2022b, on-line).
Quando falamos que as organizações devem investir em segurança, deve
ser enfatizado o investimento em sistemas defensivos sobrepostos e de suporte
mútuo, de modo que elas se protejam contra falhas de ponto único em qualquer
tecnologia ou método de proteção específico. Como exemplo, as organizações
podem incluir a implantação de firewalls atualizados, regularmente, bem como
sistemas de proteção ou detecção de intrusão e de vulnerabilidade de site com
proteção contra malware.
A exploração de vulnerabilidades é uma tática, comumente, usada por grupos
de ataque direcionados. As equipes de segurança precisam receber alertas sobre
novas vulnerabilidades e ameaças nas plataformas dos fornecedores e, assim,
corrigir as vulnerabilidades conhecidas o mais rápido possível.
Logo, caro(a) aluno(a), a equipe de segurança de rede deve ter muito conhecimento para fazer com que a organização mantenha os seus sistemas funcionando
contra a quantidade crescente de ameaças à segurança deles.
1
1
1
UN I C ES UMA R
P E N SAN DO J UNTO S
Após todas essas informações e situações, você percebe que existem contribuições da área de segurança de computadores em um ambiente corporativo? Mas e em sua vida cotidiana? A fim de tornar essa percepção mais evidente,
procure entender como funcionam certas questões de segurança presentes no
dia a dia. Observe os seguintes cenários descritos e anote as suas percepções:
• Você já tentou baixar um anexo de e-mail e o seu provedor não permitiu?
Tem ideia do porquê isso ocorreu?
• Já passou pela situação de estar em uma rede e alguns sites não poderem
ser acessados?
• Já leu alguma notícia sobre ataques a alguma organização? Reparou que,
normalmente, a reportagem informa a origem dos ataques? Sabe como é
possível identificar a origem de atividades anormais?
A partir da experiência proposta, você deve ter percebido que, em algumas situações, um anexo de e-mail é indicado como um vírus ou outro tipo de arquivo malicioso. Isso ocorre porque os sistemas de webmail utilizam tecnologias de detecção
de malware para prevenir que os seus clientes sejam alvos de atividades maliciosas.
Além disso, se você já passou pela situação de estar em uma rede e alguns sites
não poderem ser acessados, é porque a rede que você estava acessando possuía
um firewall que limitava os sites a serem acessados. Os firewalls também podem
filtrar o conteúdo que passa por eles e, dessa forma, conseguem identificar a
origem do comportamento anormal.
E U IN D ICO
A seguir, você verá uma reportagem que aborda o volume
anormal de acessos oriundos da Rússia e da China à rede da
Procuradoria Geral da República. Clique aqui para acessar.
1
1
1
T E MA D E APRE N D IZAGEM 7
As redes atuais mudam e se desenvolvem, regularmente, para se adaptar a novas
situações de negócios — reorganizações, aquisições, terceirização, fusões, joint
ventures e parcerias estratégicas — aumentando, assim, a conexão das redes internas de uma organização à internet. A crescente complexidade dos negócios bem
como a necessidade de abertura da rede interna tornam a questão da segurança
mais complicada do que no passado, exigindo o desenvolvimento de sofisticadas
tecnologias de segurança de perímetro entre redes de diferentes domínios de
segurança, por exemplo, entre intranet e internet. Logo, caro(a) aluno(a), você
aprenderá que a melhor maneira de garantir a segurança de perímetro de uma
rede é pelo uso de um firewall.
O firewall pode ser definido como uma coleção de componentes ou um
sistema colocado entre duas redes e que possui as seguintes propriedades (CHESWICK; BELLOVIN; RUBIN, 2003):
■ Todo o tráfego de dentro para fora e vice-versa deve passar por ele.
■ Somente o tráfego autorizado, conforme definido pela política de segurança local, pode passar por ele.
■ O próprio firewall é imune à penetração.
Para ficar mais clara a definição, apresentarei a você alguns cenários hipotéticos:
1
1
1
UN I C ES UMA R
CENÁRIO 1
Teobaldo reside em uma casa onde todas as janelas têm grades. Logo, a única
forma de entrar ou sair dela é passar pela única porta externa da casa. Dessa forma, a porta externa da casa de Teobaldo funciona de modo análogo a um firewall,
ou seja, todo o tráfego de dentro para fora e vice-versa passa por ele.
CENÁRIO 2
A orientação, na casa de Teobaldo, é que ele e a família estão autorizados a entrar
e a sair da casa (passando pela porta) em qualquer horário. As demais pessoas só
podem entrar na com uma autorização específica, por exemplo:
• A diarista tem a permissão de entrar todas as segundas e quartas, entre 8h e 18h.
• O entregador do iFood só pode entrar quando houver um pedido feito, anteriormente.
• Funcionários uniformizados de serviços públicos (água, luz, censo etc.) entram
desde que se apresentem e em horário determinado.
• As demais pessoas não podem entrar na casa sob hipótese alguma.
Dessa forma, o acesso por meio da porta externa da casa de Teobaldo segue uma
política de segurança, permitindo a passagem de pessoas autorizadas em condições
e horários específicos. De modo análogo, um firewall também funciona assim.
CENÁRIO 3
Uma pessoa mal-intencionada observou que a casa de Teobaldo estava vazia
e tentou forçar a porta externa, sem sucesso. Isso ocorreu porque, de modo
análogo a um firewall, a porta externa da casa de Teobaldo é imune à penetração.
A porta, assim como o firewall, só permite a passagem (ou o tráfego de dados)
mediante regras, previamente, definidas.
Agora, você sabe que os firewalls são ferramentas essenciais para gerenciar, controlar e filtrar o tráfego de rede. Pode não ter ficado claro a você, caro(a) aluno(a),
porque precisamos de um firewall. Lembrando da analogia da casa de Teobaldo,
este confia no que está dentro da sua casa, pois foi montada e organizada do
modo que ele e a sua família desejaram. Em relação ao que está do lado de fora,
Teobaldo e a família não têm controle.
1
1
1
T E MA D E APRE N D IZAGEM 7
Pensando, agora, nessa casa como uma rede interna de uma organização, a
equipe de segurança dela sabe que os computadores, servidores e demais elementos dessa rede foram configurados segundo a política de segurança organizacional. Logo, na visão dessa organização, essa rede interna (dentro da organização)
é mais confiável do que outras redes que não seguem a mesma política. Esse
conceito de confiança será importante, daqui para frente.
A equipe de segurança confia que o tráfego de rede interno tem menos chance
de espalhar malwares ou iniciar ataques direcionados a ativos da organização.
Dessa forma, caro(a) aluno(a), os firewalls são implantados entre áreas de maior
e menor confiança, como uma rede privada e uma rede pública (por exemplo,
a internet), ou ainda, entre dois segmentos de rede os quais possuem níveis/
domínios/classificações de confiança diferentes.
Essa diferença de confiança tem a possibilidade de existir, também, entre
dois segmentos de rede da mesma organização, desde que esses segmentos
possuam níveis, domínios ou classificações de segurança diferentes. Um exemplo
que posso passar dos locais onde trabalhei: as redes cabeadas eram consideradas
mais seguras do que as redes sem fio.
Os firewalls de rede tradicionais podem impedir acessos e ataques não
autorizados, protegendo
os pontos de entrada.
Normalmente, os firewalls separam as redes
de confianças distintas
em três zonas de segurança, segundo Gargano
(2016) e Davies (2019):
1
1
1
UN I C ES UMA R
UMA ZONA INTERNA
Sendo essa zona uma rede interna ou intranet (privada) e confiável. Nela estão
localizados os ativos mais sensíveis da organização, como os bancos de dados e
as estações de trabalho.
UMA ZONA DESMILITARIZADA (DMZ)
A qual é uma sub-rede física ou lógica que permite ao público externo (oriundo de uma rede não confiável, geralmente, a internet) acessar determinados
serviços de rede organizacional enquanto essa organização mantém a segurança
de seus dispositivos internos. Podemos dizer que o objetivo de uma DMZ é adicionar uma camada de segurança à LAN de uma organização. “Professor, então
a DMZ é igual à extranet?” Existem algumas semelhanças entre DMZ e extranet,
mas, lembre-se: essa última fornece aos usuários internos acesso a serviços
que estão fora da organização, em organizações parceiras confiáveis. Enquanto
isso, em uma DMZ, a organização permite o acesso do público externo aos seus
próprios serviços. Tornar qualquer coisa acessível ao público externo traz consigo
riscos de segurança inerentes à organização, por isso é importante que, apenas,
os serviços, realmente, voltados ao público sejam colocados na DMZ. Servidores
voltados para o público que precisam de acessibilidade da internet são colocados
na DMZ, já os serviços comuns também colocados nela são servidores web e
servidor DNS (Domain Name System).
ZONA EXTERNA
Que é uma rede pública e não confiável, normalmente, a internet.
Um dos cenários de implantação comum a firewalls usando três zonas de segurança é apresentado na Figura 1.
Você pode ver que a DMZ foi implementada usando dois firewalls e, no caso
da Figura 1, o firewall B teria regras que, por meio da solicitação de acesso a um
servidor web localizado na DMZ, permitiriam o tráfego oriundo da internet.
Enquanto isso, o firewall A teria regras as quais bloqueariam solicitações de entrada oriundas da internet, mas permitiriam ao servidor web da DMZ acessar o
banco de dados da aplicação localizado na intranet.
1
1
1
T E MA D E APRE N D IZAGEM 7
Nessa implantação, um invasor externo que supere o firewall B é capaz de
obter acesso a equipamentos na DMZ, mas não a partes da rede atrás do firewall
A (STEWART; KINSEY, 2020). Devido ao maior potencial de comprometimento,
os hosts que precisam ser acessados, externamente, são colocados na DMZ, a fim
de proteger o restante da rede, caso um invasor tenha sucesso.
Servidor Web
DMZ
Banco de Dados
Intranet
(Rede Interna)
Usuário
Firewall A
Firewall B
Internet
(público)
Figura 1 - Implantação de firewalls com três zonas de segurança / Fonte: o autor.
Descrição da Imagem: a imagem mostra, por meio de um esquema ilustrado, três figuras que lembram uma nuvem,
representando uma rede de dados. A nuvem da esquerda está nomeada como “Intranet (rede interna)”, ela traz,
no seu interior, um cilindro nomeado como “Banco de dados”. A nuvem do centro chama-se “DMZ” e contém, em
seu interior, um retângulo descrito como “Servidor web”, enquanto a nuvem da direita está nomeada, na parte
inferior, como “Internet (público) e essa nuvem contém um ícone de um boneco descrito como “Usuário”. Entre
essas nuvens existem dois ícones de muro, os quais representam um firewall, e setas que vão da direita para a
esquerda, ligando, por meio de um fluxo, os objetos mencionados.
Se uma organização usasse os firewalls A e B do mesmo fabricante e houvesse uma
vulnerabilidade nesse modelo de firewall, a vulnerabilidade, provavelmente, seria
reproduzida em toda a rede. Por conta desse risco, algumas organizações optam
por comprar firewalls de dois fabricantes diferentes (DAVIES, 2019). Desse modo,
é improvável que uma vulnerabilidade em um modelo seja replicada na rede.
Outro cenário à implantação de firewall é chamado de sub-rede tripla, pois
há, apenas, um firewall para segregar as três redes (a rede externa, a DMZ e a rede
interna). Embora um único firewall esteja sendo utilizado, cada porta dele pode
ter regras diferentes. Por exemplo, a porta 1 permitiria o tráfego de solicitação
da web de entrada, enquanto a porta 2 bloquearia esse tráfego (DAVIES, 2019).
Embora essa implementação economize no custo, ao exigir, apenas, um firewall, ela aumenta o risco, afinal, caso esse firewall seja violado, tanto a DMZ
quanto a rede interna poderão ser comprometidas.
1
1
1
UN I C ES UMA R
E U IN D ICO
Para conhecer, um pouco mais, os firewalls virtuais, clique
aqui para acessar o conteúdo disponibilizado no site da Palo
Alto Networks, uma das maiores fabricantes de firewall do
mercado.
E U IN D ICO
Cada fabricante de firewall fornece recursos ou capacidades
que os diferenciam dos demais no mercado. Saiba como os
firewalls virtuais da fabricante Checkpoint atendem às necessidades de segurança, clicando aqui.
Um firewall é, muitas vezes, um componente de hardware ou um software projetado para proteger um segmento de rede de outro, sendo que a maioria dos firewalls
comerciais se baseiam em hardware (CHAPPLE; STEWART; GIBSON, 2021).
Dentre eles, os mais comuns são os firewalls virtuais criados para uso em um
ambiente virtualizado (com hipervisor) ou na nuvem. Um firewall virtual é uma
recriação de software de um firewall padrão com base em um host instalado em
uma máquina virtual, por meio de um sistema operacional convidado, normalmente, uma distribuição Linux (CHAPPLE; STEWART; GIBSON, 2021). Outra
variação dos firewalls que se baseiam em software são os firewalls distribuídos.
“Professor, como os firewalls filtram o tráfego de rede?” Eles fazem isso com
base em um conjunto definido de regras, também chamadas de filtros ou listas de controle de acesso (Access Control Lists – ACLs). Elas são, basicamente,
um conjunto de instruções usadas para distinguir o tráfego autorizado do tráfego
não autorizado e/ou malicioso. Somente o primeiro pode cruzar a barreira de
segurança fornecida pelo firewall.
“Professor, como funciona uma ACL de um firewall?” No Quadro 1, apresento um exemplo comum de como são as ACLs nos firewalls comerciais. Geralmente, elas possuem os seguintes campos:
1
1
1
T E MA D E APRE N D IZAGEM 7
NÚMERO DA ACL OU ID DA REGRA DO FIREWALL
Identifica a ACL, de modo que o analista de segurança consiga identificar que
uma liberação ou bloqueio na rede tenha ocorrido por conta de determinada ACL.
ORIGEM
Trata do IP de origem do pacote que chegou no firewall.
DESTINO
Trata do IP de destino do pacote que chegou no firewall.
SERVIÇO
Trata do serviço ou porta no destino (normalmente, na camada 4 do modelo OSI).
No Quadro 1, temos os exemplos de http (porta 80), https (porta 443) e ssh (porta
22). Lembrando que um serviço é capaz de rodar em uma porta diferente do
padrão. No Tomcat, a porta 8080 roda o serviço http.
AÇÃO
As ações que o firewall deve tomar ao receber um pacote. Normalmente, ele
permite ou rejeita a passagem ou realiza um drop no pacote. Caso você não se
lembre, por meio de um drop, o firewall barra um pacote, silenciosamente, não
devolvendo nenhuma resposta ao remetente (nenhuma mensagem de erro) e,
quando um pacote recebe uma rejeição (reject), o firewall também o barra, mas
devolve um erro ao remetente informando que o pacote foi barrado.
LOG OU REGISTRO
Informa ao firewall se é necessário registrar os pacotes que atenderam à regra
ou não. O mais comum é habilitar os logs ou registros para as regras de drop ou
reject, pois podem limitar o acesso de algum usuário legítimo.
1
1
1
UN I C ES UMA R
NÚMERO
DA ACL
ORIGEM
DESTINO
SERVIÇO
AÇÃO
LOG
1
internet
Servidor_web
http
https
Permite
Sim
2
rede_interna
Servidor_web
http
https
ssh
Permite
Não
3
all
Servidor_web
all
Rejeita
Sim
Quadro 1 - Exemplo de ACL de firewall / Fonte: o autor.
No quadro, temos três situações relacionadas a um servidor web localizado
em uma rede de servidores, dentro da organização. Para usuários oriundos da
internet (ACL número 1), o firewall permite acessar os serviços http e https, registrando os tráfegos passantes por ele mesmo. Para usuários oriundos da rede
interna (ACL número 2), o firewall permite acessar os serviços http, https e,
também, ssh, porque a política de segurança da organização entende que a rede
interna é mais confiável do que a internet, logo, usuários da rede interna podem
logar no servidor web por meio de ssh, sem a necessidade de o firewall registrar
os acessos. Fora do que foi permitido nas ACLs 1 e 2, todos os outros pacotes que
chegarem ao firewall serão rejeitados (ACL número 3).
Você já entendeu, até aqui, que um firewall é capaz de filtrar o tráfego de
rede por meio de ACLs, entretanto existem dois níveis de política de rede que
influenciam, diretamente, o projeto, a instalação e o uso de um sistema de firewall: política de nível superior e política de nível inferior (COBB, 1997).
A política de nível superior é a política de acesso ao serviço de rede, aquela
que estabelece quais serviços devem ser acessíveis e a quem e, também, como
devem ser usados. Após essa definição superior, o analista que escreverá as ACLs
no firewall deve entender a política de design do mesmo — de nível inferior — a
qual descreve como o firewall implementará a política de acesso ao serviço de
rede e, precisamente, como tomará as decisões de acesso por esse analista.
1
1
1
T E MA D E APRE N D IZAGEM 7
Existem duas políticas de design de firewalls e, somente, uma pode ser usada
por vez. O firewall permite qualquer serviço não, expressamente, negado ou nega
qualquer serviço não, expressamente, permitido (ABIE, 2000). Na primeira política de desenho de firewall — o mais utilizado em firewalls distribuídos — as ACLs
expressam uma lista de serviços proibidos, o que não estiver nela está permitido.
No segundo desenho — o mais difundido dos dois — as ACLs expressam uma lista
de serviços permitidos, o que não estiver nela está negado.
Recapitulando, atento(a) aluno(a): um firewall típico baseia-se na postura de
segurança negada por padrão ou negação implícita. Nessa proposta, somente as
comunicações que atendem uma exceção de permissão explícita são transmitidas
para o seu destino, conceito também conhecido como listagem de permissão
(CHAPPLE; STEWART; GIBSON, 2021). O exemplo apresentado no Quadro
1 representa um firewall com ACLs de negação por padrão, logo, as ACLs 1 e
2 (regras de permissão) são as exceções à regra padrão de negar tudo (ACL 3).
VOCÊ SABE RESPONDER?
A ordem em que as ACLs são escritas importa?
Alguns firewalls usam um mecanismo de primeira correspondência ao aplicar regras. Para eles, as regras de permissão permitem que o pacote continue em direção
ao seu destino, enquanto as regras de negação impedem que o pacote vá mais longe, sendo descartado pelo firewall. Quando a primeira correspondência é usada,
a primeira regra que se aplica ao pacote é seguida e nenhuma outra é considerada
(CHAPPLE; STEWART; GIBSON, 2021). Assim, caro(a) aluno(a), as regras precisam ser colocadas em uma ordem de prioridade. Uma regra final é a de negar tudo,
para que nada tenha permissão de atravessar o firewall, a menos que tenha sido
concedida uma exceção explícita.
Existem vários tipos básicos de firewalls que poRegras precisam
dem ser combinados para criar soluções de firewall híser colocadas em
bridas ou complexas. Uma classificação — quando se
uma ordem de
trata de como a filtragem de pacotes é feita — baseia-se
prioridade.
na diferenciação entre firewall estático e de contexto.
1
1
1
UN I C ES UMA R
Um firewall estático de filtragem de pacotes, também conhecido como
roteador de triagem, filtra o tráfego examinando os dados de um cabeçalho de
mensagem. Como o nome indica, um filtro de pacotes analisa pacotes individuais,
isoladamente. Com base no conteúdo do pacote e na política configurada, o filtro
toma uma decisão de permissão ou negação.
E M FO CO
Quer saber mais sobre o tema?
Acesse a aula que preparamos para você!
NOVOS DESAFIOS
Chegamos ao fim deste Tema de Aprendizagem!
Normalmente, as regras ou ACLs nesse tipo de firewall se referem a endereços
IP de origem e destino (camada 3 do modelo OSI) e números de porta (camada 4
do modelo OSI). Este também é um tipo de firewall sem estado, pois cada pacote é
avaliado individualmente, e não no contexto, o que é realizado por um firewall com
estado (CHAPPLE; STEWART; GIBSON, 2021). Um firewall sem estado analisa os
pacotes individualmente, em relação às ACLs ou regras de filtragem. O contexto da
comunicação, ou seja, quaisquer pacotes anteriores, não é usado para tomar uma
decisão de permissão ou negação no pacote atual.
Devido a essa simplicidade de operação (ausência de contexto da comunicação), um firewall estático de filtragem de pacotes tem a vantagem de velocidade
e eficiência (ABIE, 2000).
1
1
1
VAMOS PRATICAR
1. Os usuários de uma organização, em suas estações de trabalho, precisam acessar
sistemas que, talvez, estão na rede interna da organização, na rede desmilitarizada
(DMZ) ou na internet. Os fluxos de comunicação entre essas redes, normalmente, é
controlado por um firewall, por conta dos diferentes níveis de confiança delas.
Com relação às limitações ou permissões de tráfego por meio de firewalls, assinale a
alternativa que apresenta um fluxo de comunicação recomendável de ser configurado
em um firewall:
a) Os hosts na DMZ têm conectividade ilimitada a hosts específicos na rede interna.
b) Os hosts na DMZ têm conectividade com as redes externas, pois elas sempre são
confiáveis.
c) Usuários da rede interna possuem conectividade permitida com hosts na DMZ.
d) Usuários da internet possuem conectividade permitida com hosts na rede interna.
e) Usuários da internet possuem conectividade ilimitada com hosts na DMZ.
2. Um firewall é definido como uma coleção de componentes ou um sistema que é colocado entre duas redes de modo que todo o tráfego de dentro para fora e vice-versa
deve passar por ele, além de permitir, somente, o tráfego autorizado a passar por ele.
Considerando um firewall instalado, estrategicamente, onde a rede privada ou a intranet se conecta à internet pública, ele pode ter diversos usos.
Com base no conceito de firewall, analise as afirmativas, a seguir:
I - Ele pode tornar a rede privada mais segura.
II - É capaz de monitorar o tráfego que entra e sai de uma intranet.
III - É capaz de rastrear tentativas de invasão a rede privada.
IV - Pode tornar o acesso à rede privada inauditável.
V - É capaz de isolar sub-redes e fornecer camadas adicionais de proteção dentro da
organização.
É correto o que se afirma em:
a)
b)
c)
d)
e)
1
1
1
Somente I e II.
Somente III e IV.
Somente I, II e III.
Somente I, II, III e V.
I, II, III, IV e V.
REFERÊNCIAS
ABIE, H. An overview of firewall technologies. Telektronikk, v. 96, n. 3, p. 47-52, 2000.
CHAPPLE, M.; STEWART, J. M.; GIBSON, D. (ISC) 2 CISSP – Certified Information Systems
Security Professional Official Study Guide. 9th ed. Alameda: Sybex, 2021.
CHESWICK, W. R.; BELLOVIN, S. M.; RUBIN, A. D. Firewalls and Internet Security: Repelling
the Wily Hacker. 2nd ed. Boston: Addison-Wesley, 2003.
CISO ADVISOR. 15% das PMEs não têm ninguém em cibersegurança. 13 jul. 2022b. Disponível em: https://www.cisoadvisor.com.br/15-das-pmes-nao-tem-ninguem-em-ciberseguranca/. Acesso em: 17 nov. 2022.
CISO ADVISOR. PMEs do Brasil lideram como vítimas de ransomwares. 29 jun. 2022a.
Disponível em: https://www.cisoadvisor.com.br/pmes-do-brasil-lideram-como-vitimas-de-ransomware/. Acesso em: 17 nov. 2022.
COBB, S. Icsa Firewall Policy Guide – Version 2.0. Washington: NCSA, 1997. (NCSA Security
White Paper Series).
DAVIES, G. Networking Fundamentals. Birmingham: Packt, 2019.
GARGANO, P. 31 Days Before Your CCNA Security Exam: a day-by-day review guide for
the IINS 210-260 certification exam. 1st ed. Indianapolis: Cisco Press, 2016.
STEWART, J. M.; KINSEY, D. Network Security, Firewalls and VPNs. 3rd ed. Boston: Jones
& Bartlett Learning, 2020.
SYMANTEC. ISTR – Internet Security Threat Report. v. 22. Mountain View: Symantec, 2017.
Disponível em: https://docs.broadcom.com/doc/istr-22-2017-en. Acesso em: 17 nov. 2022.
1
1
1
CONFIRA SUAS RESPOSTAS
1. C. A rede de maior confiança é a rede interna, tendo a rede DMZ como zona de confiança
intermediária e a internet como rede não confiável. Dessa forma:
• O tráfego oriundo de uma rede menos confiável para uma rede mais confiável deve ter
conectividade limitada pelo firewall.
• O tráfego oriundo de uma rede mais confiável para uma rede menos confiável pode ter
conectividade permitida pelo firewall.
• Logo, os usuários da rede interna podem ter conectividade com hosts na rede DMZ.
2. D. Habilitando os logs ou registros de um firewall, pode-se tornar o acesso a uma rede
privada auditável.
1
1
1
MEU ESPAÇO
1
1
1
UNIDADE 5
TEMA DE APRENDIZAGEM 8
DETECÇÃO DE MALWARE E DE
INTRUSÃO (IDS E IPS)
ME. ITALO GERVÁSIO CAVALCANTE
MINHAS METAS
Aprofundar nos conceitos de detecção de malware
Conhecer os sistemas de detecção e prevenção de intrusão
Identificar suas limitações
1
1
1
UN I C ES UMA R
INICIE SUA JORNADA
Olá, estudante! Seja bem vindo(a)!
No passado, os cibercriminosos concentravam-se, principalmente, em clientes bancários, roubando contas de banco ou cartões de crédito (SYMANTEC,
2017). No entanto, a nova geração de malware tornou-se mais ambiciosa e tem
como alvo os próprios bancos, às vezes, tentando levar milhões de dólares em
um ataque. Por esse motivo, a detecção de ataques de dia zero bem como a identificação de malware desconhecido e ofuscado tornaram-se as prioridades das
equipes de segurança das organizações.
As grandes organizações passaram a investir bastante em segurança de redes ou cibersegurança, levando esse setor a faturar US$ 176,5 bilhões em 2020,
com expectativa de movimentar US$ 403 bilhões até 2027. Infelizmente, esses
investimento e segurança por parte de pequenas e médias empresas não ocorre
no nosso país. Segundo uma pesquisa global da Arcserve ([s. d.] apud CISO
ADVISOR, 2022a, on-line), o Brasil possui as pequenas e médias empresas mais
despreparadas para conter um ataque de ransomware, sendo melhor, apenas,
do que a Índia. Dessas empresas nacionais entrevistadas, 57% admitiram que
sofreram um ataque de ransomware.
P L AY N O CO NHEC I M ENTO
Ouça agora o podcast que preparamos
especialmente para você
DESENVOLVA SEU POTENCIAL#
DETECÇÃO DE MALWARE E DE INTRUSÃO (IDS E IPS)
Você deve estar pensando: como proteger uma rede em um cenário com ataques
tão sofisticados como os ataques de dia zero citados no relatório da Symantec
(2017)? Além disso, por que pequenas e médias empresas nacionais estão tão expostas a ataques de ransomware? Para te ajudar em situações diversas que envolvam
1
1
1
T E MA D E APRE N D IZAGEM 8
segurança em computadores, este Tema de Aprendizagem mostrará as tecnologias
de firewall e os mecanismos de detecção de malware e intrusão voltados tanto a
prevenir quanto a detectar a exploração de vulnerabilidades. Tais mecanismos e
tecnologias serão importantes para o seu cotidiano profissional na área de TI.
Enquanto um firewall estático de filtragem de pacotes controla o acesso pacote a pacote, os firewalls de inspeção de estado controlam o acesso sessão a
sessão. Isso significa que, quando o firewall toma decisões de controle de acesso,
ele pode levar em consideração as regras que regem as sessões na camada de
transporte e na camada de aplicação, juntamente com o conhecimento do que
aconteceu, anteriormente, na sessão. Os dados associados ao que aconteceu antes
nas sessões são armazenados em uma tabela de estado (GARGANO, 2016).
Os firewalls de inspeção de estado (também conhecidos como firewalls de filtragem dinâmica de pacotes ou firewall de contexto) avaliam o estado, a sessão
ou o contexto do tráfego de rede. Ao examinar os endereços de origem e destino,
o uso do aplicativo e a relação entre os pacotes atuais e os pacotes anteriores
da mesma sessão, os firewalls de inspeção de estado costumam conceder uma
gama mais ampla de acesso para usuários e atividades autorizados, além de observar e bloquear, ativamente, usuários e atividades não autorizados (CHAPPLE;
STEWART; GIBSON, 2021). Os firewalls de inspeção estado operam tanto nas camadas OSI 3 quanto nas superiores.
Um firewall de inspeção de estado está ciente de que qualquer comunicação de
saída válida, especialmente, relacionada ao TCP, acionará uma resposta correspondente da entidade externa. Assim, esse tipo de firewall cria, de forma automática, uma regra de resposta temporária à solicitação (CHAPPLE; STEWART; GIBSON, 2021). Mas essa regra existe, apenas, enquanto a conversa estiver ocorrendo.
Além disso, os firewalls de inspeção com estado são capazes de reter o conhecimento de pacotes anteriores em uma conversa para detectar tráfego indesejado
ou mal-intencionado que não é perceptível ou detectável ao avaliar, apenas, pacotes individuais, o que é conhecido como análise de contexto ou análise contextual.
Um firewall de inspeção de estado também pode realizar inspeção profunda de
pacotes, ou seja, a análise da carga útil ou do conteúdo de um pacote (CHAPPLE;
STEWART; GIBSON, 2021).
Você já sabe que, devido à simplicidade de operação de um firewall estático
de filtragem de pacotes, ele tem a vantagem de velocidade e eficiência com relação
a um firewall de inspeção de estado.
1
1
1
UN I C ES UMA R
VOCÊ SABE RESPONDER?
Então, por que utilizar este último tipo?
AP RO F U NDA NDO
A inspeção profunda de pacotes (Deep Packet Inspection – DPI), inspeção
de carga útil ou filtragem de conteúdo é o meio de avaliar e filtrar o conteúdo
da carga útil da comunicação e não, apenas, nos valores do cabeçalho. Essa
inspeção profunda também é conhecida como inspeção completa de pacotes
e extração de informações.
A inspeção profunda de pacotes costuma bloquear nomes de domínio, malware, spam, scripts maliciosos, conteúdo abusivo ou outros elementos identificáveis na carga útil de uma comunicação. Firewalls de camada de aplicativo
ou de inspeção de estado são, frequentemente, integrados ao DPI.
Fonte: adaptado de Chapple, Stewart e Gibson (2021).
Dada a compreensão das regras de sessão TCP (handshake de três vias, SYN,
SYN/ACK, ACK) juntamente com a existência da tabela de estados, os firewalls
com estado têm o potencial de garantir que essas regras sejam seguidas. Os ataques de rede, geralmente, quebram as regras, confundindo os sistemas, fazendo
com que eles se comportem de maneira não intencional. Quando os firewalls
com estado reconhecem que as regras estão sendo quebradas, eles descartam os
pacotes ofensivos e mitigam o ataque (GARGANO, 2016).
Para ficar mais claro, pense em conexões TCP. A conexão deve começar com
um pacote SYN, se a política do firewall permitir a sessão, o pacote será permitido e uma nova entrada na tabela de estados será criada. A tabela de estado
armazena informações como endereços IP de origem e destino bem como portas
TCP, sinalizadores TCP e números de sequência. Nesse ponto, há apenas um
pacote válido que pode seguir nessa sessão: é o pacote SYN-ACK do servidor
em resposta ao SYN do cliente e precisa reconhecer o número de sequência real
que foi, originalmente, apresentado pelo cliente.
1
1
1
T E MA D E APRE N D IZAGEM 8
Os firewalls com estado também fornecem inspeção com estado de aplicativos
que utilizam um canal de controle para facilitar conexões negociadas, dinamicamente. Aplicativos de voz sobre IP (VoIP) são exemplos comuns em redes modernas. O FTP é outro exemplo: com ele, o cliente conecta-se ao servidor na porta TCP
21, que é o canal de controle, e, quando o cliente solicita dados, um novo canal de
dados é aberto. Esta é uma conexão TCP negociada, de forma dinâmica, usando a
porta 20 ou um número de porta atribuído, dinamicamente (GARGANO, 2016)
A Figura 1 mostra uma sessão HTTP (TCP porta 80) estabelecida, com sucesso, entre duas estações de trabalho na rede interna (10.1.1.1 e 10.1.1.2) e um
servidor web na internet (200.1.2.3). Uma ACL na interface interna do firewall
permitiu a saída dos pacotes, mas uma entrada de regra ACL dinâmica (criada e
mantida enquanto a sessão está aberta) na interface externa permite pacotes de
resposta do servidor web aos clientes.
Figura 1 - Firewall de inspeção com estado / Fonte: o autor.
Descrição da Imagem: na parte superior e central da imagem, há uma seta que sai do lado esquerdo em direção
ao direito, no interior dela estão as informações “Porta de origem 1500” e “Porta destino 80”. Logo abaixo dessa
seta, há dois conjuntos de figuras idênticas, mas com setas invertidas, indicando o fluxo de informação. Cada conjunto de figuras contém dois computadores à esquerda, um nomeado “10.1.1.1” e o outro “10.1.1.2”, conectados
à figura de um muro, no centro, representando o firewall com estado, e conectados à figura de um retângulo que
lembra um computador de mesa sem monitor, à direita, nomeado de “Servidor 200.1.2.3”. O conjunto de figuras
com setas para a esquerda detalha o fluxo do computador ao servidor web, enquanto o conjunto de figuras com
setas para a direita detalha o retorno da comunicação.
1
1
1
UN I C ES UMA R
Agora que você entendeu a diferença entre firewalls de filtragem de pacotes com
ou sem estado, seguiremos com os demais tipos de firewall.
FIREWALLS EM NÍVEL DE CIRCUITO
Os firewalls em nível de circuito funcionam na camada de sessão do modelo
OSI e monitoram o handshake entre os pacotes, para decidir se o tráfego é legítimo. O tráfego para um computador remoto é modificado com o intuito de parecer
que se originou do firewall no nível do circuito. Essa modificação torna esse
firewall, particularmente, útil para ocultar informações sobre uma rede protegida,
mas tem a desvantagem de não filtrar pacotes individuais em determinada conexão (NOONAN; DUBRAWSKY, 2006). Como exemplo, se na Figura 2, tivéssemos
um firewall em nível de circuito, o IP presente no pacote que chegou ao servidor
web não seria 10.1.1.1 ou 10.1.1.2, e sim o IP da interface externa do firewall.
FIREWALL DE APLICAÇÃO
Um firewall de aplicação filtra o tráfego com base em um único serviço de internet, protocolo ou aplicativo. Esse firewall opera na camada de aplicativo (camada
7) do modelo OSI e pode ser implementado com ou sem estado (CHAPPLE; STEWART; GIBSON, 2021).
Um exemplo de firewall de aplicação é o firewall de aplicativo da web (Web Application Firewall – WAF), o qual é um dispositivo, complemento de servidor, serviço
virtual ou filtro do sistema que define um conjunto estrito de regras de comunicação com um site. Destina-se a evitar ataques a aplicativos da web (CHAPPLE;
STEWART; GIBSON, 2021).
Um firewall, comumente, funcionará como um computador bastião (bastion host) de
uma rede. Bastion host é um sistema projetado, especificamente, para resistir a ataques.
AP RO F U NDA NDO
A palavra “bastião” vem da arquitetura medieval do castelo. Uma guarita-bastião era posicionada em frente à entrada principal — tipicamente, do outro lado do fosso do castelo — onde controlava a entrada na ponte levadiça, a
fim de servir como uma primeira camada de proteção. Usar esse termo para
descrever um sistema indica que esse sistema está agindo como um host de
sacrifício que receberá todos os ataques de entrada.
1
1
1
T E MA D E APRE N D IZAGEM 8
Os firewalls, agora, evoluíram além da simples filtragem de pacotes e da inspeção
de estado. A maioria das empresas está implantando firewalls de última geração
para bloquear ameaças modernas, por exemplo, malware avançado e ataques de
camada de aplicativo (GARGANO, 2016).
Um firewall de próxima geração (NGFW) é um dispositivo multifuncional
composto por vários recursos de segurança, além de um firewall tradicional. Um
NGFW é conhecido como gerenciamento unificado de ameaças (CHAPPLE; STEWART; GIBSON, 2021).
Os recursos que podem ser incluídos em um firewall de próxima geração, segundo Gargano (2016), são:
■ Recursos de firewall padrão, como inspeção com estado.
■ Prevenção de intrusão integrada.
■ Filtragem de nome de domínio e URL.
■ Gerenciamento de QoS.
■ Reconhecimento e controle de aplicativos para ver e bloquear aplicativos e
URLs arriscados.
■ Reconhecimento de contexto: rastreia quem está se conectando, com o que,
de onde, usando qual dispositivo e a que horas.
■ Proteção avançada contra malware: fornece detecção, bloqueio, rastreamento, análise e correção.
■ Acesso seguro à internet com VPN e NAT.
■ Caminhos de atualização para incluir futuros feeds de informações.
■ Técnicas para lidar com ameaças de segurança em evolução.
Apesar das limitações dos firewalls e do fato de eles não serem a panaceia de todos
os aspectos de segurança de uma rede nem o único baluarte suficiente contra intrusões e, ainda, existir tendências de desenvolvimento que os ameaçam, eles ainda são
um poderoso mecanismo de proteção e continuarão a desempenhar um papel tão
importante quanto central na manutenção da segurança da rede por muitos anos,
desse modo, qualquer organização que ignore os firewalls o faz por sua conta e risco.
Os firewalls continuam a mudar e a desenvolver, e novos recursos serem adicionados, regularmente, conforme a necessidade. Se os desenvolvimentos seguirem a
tendência atual, os firewalls continuarão a combinar mecanismos configuráveis
de controle de acesso e autenticação com as suas funções tradicionais, proporcionando proteção mais poderosa e flexível a todas as redes, tornando-as mais seguras.
1
1
1
UN I C ES UMA R
Os firewalls só podem proteger as zonas de segurança da rede e não dentro
das zonas de segurança, sendo que um número significativo de ataques é iniciado
de dentro da rede confiável (GARGANO, 2016). Esses ataques são detectados por
meio de algumas técnicas.
A detecção de malware é o processo de identificação, por meio de um código
benigno, de um código malicioso, para que o sistema possa ser protegido ou
recuperado de quaisquer efeitos oriundos desse último.
A seguir, discutiremos as técnicas mais usadas.
A verificação de integridade é considerada muito importante na detecção
de quaisquer modificações no sistema, no entanto é mais um método de processo
de recuperação de incidentes do que um método de prevenção de infecção por
malware (NAMANYA et al., 2018). Comprometer um sistema de computação
ou uma rede requer algumas alterações no ambiente de destino.
Os verificadores de integridade são usados na detecção de intrusão, na premissa de que um arquivo existente dentro do ambiente operacional não comprometido é usado como uma medida para combater quaisquer alterações
futuras (SKOUDIS; ZELTSER, 2004). Uma função de hashing, tais como soma
md5, Sha1 ou Sha256, é usada para calcular o resumo do programa ou arquivo
que é armazenado no banco de dados. Posteriormente, os resumos do programa/
arquivo são recalculados e comparados com o hash, originalmente, calculado,
com o objetivo de verificar se o arquivo foi modificado.
1
1
1
T E MA D E APRE N D IZAGEM 8
Esse método de verificação da integridade apresenta alguns desafios:
■ O sistema, inicialmente, usado para calcular os hashes armazenados deve
ser considerado limpo, o que é difícil de garantir.
■ Atualizações do sistema e patches que muito prevalecem em sistemas
de computador modificam arquivos e programas do sistema. Por isso o
banco de dados de hashes precisa ser atualizado para cada atualização
ou haverá falsos positivos muito altos, afetando o método de detecção.
■ Há necessidade de garantir que o banco de dados de referência de hashes
seja armazenado offline e com segurança, caso contrário, apresentará um
único ponto de falha no mecanismo de detecção.
Outra técnica de detecção de malware é a detecção baseada em assinatura, a
qual usa sequências de código de byte específicas — identificadas como exclusivas
de uma amostra de malware em uma família específica ou variante — para detectar a presença de arquivos codificados semelhantes em um sistema (SKOUDIS;
ZELTSER, 2004). Os bytes exclusivos da sequência de código são salvos no banco
de dados do antivírus como assinaturas e são desenvolvidos por um grupo de
especialistas em malware, após análise detalhada de um número significativo de
malware (IDIKA; MATHUR, 2007).
Qualquer arquivo verificado pelo antivírus que contenha a assinatura da sequência de código de byte exclusiva é considerado mal-intencionado. Isso implica
a necessidade de manter pelo antivírus um banco de dados de assinaturas a ser
atualizado sempre que novas assinaturas são geradas para detectar novos malwares. Isso cria um dos principais desafios enfrentados pelos usuários do sistema,
pois a atualização dessas assinaturas requer acesso a recursos de rede que podem
não estar, prontamente, disponíveis o tempo todo (NAMANYA et al., 2018).
A detecção de malware baseada em semântica procura identificar o malware deduzindo a lógica do código e combinando-a com padrões lógicos maliciosos
já conhecidos. Ele segue a semântica das instruções de código dentro do arquivo,
em vez de observar as propriedades sintáticas, logo, é o oposto da detecção baseada
em assinatura. Isso permite que as abordagens de detecção baseadas em semântica
superem a ofuscação e detectem variantes de malware desconhecidas. Uma visão
geral das abordagens de detecção baseadas em semântica é fornecida por Preda et
al. (2007) em A Semantics-Based Approach to Malware Detection.
1
1
1
UN I C ES UMA R
As técnicas de detecção baseadas em comportamento se concentram no
comportamento e nas atividades específicas do sistema/aplicativo que são observados durante a análise dinâmica da amostra para, assim, formar padrões a
serem usados na identificação de softwares que invocam padrões semelhantes.
Embora essas técnicas sejam, amplamente, imunes à ofuscação, a aplicabilidade
dela é limitada pelo desempenho, pois a análise dinâmica requer tempo, e determinar tanto as atividades quanto os comportamentos inseguros no ambiente
é um desafio em evolução (LUH et al., 2017).
E U IN D ICO
Se você quiser conhecer mais sobre detecção de malware
com base em comportamento, leia a pesquisa de Jacob, Debar e Filiol (2008) em Behavioral detection of malware: from
a survey towards an established taxonomy. Clique aqui.
A última técnica a ser abordada, aqui, é a detecção baseada em heurística. A
ideia principal dessa técnica é: não há necessidade de saber muito sobre a estrutura interna ou lógica do programa que está sendo escaneado, o objetivo principal
é chegar o mais próximo possível de uma decisão conclusiva usando o melhor
caminho ideal. Portanto, as abordagens de detecção baseadas em heurística usam
algoritmos e/ou regras que verificam padrões conhecidos.
AP RO F U NDA NDO
As primeiras abordagens heurísticas são conhecidas por terem sido construídas
em 1989, para detectar vírus do sistema DOS (NAMANYA et al., 2018). A maioria
dos programas antivírus, hoje, usa uma combinação de mecanismos heurísticos e scanners que se baseiam em assinatura. Pesquisas recentes no uso de
datamining para detecção de malware são consideradas abordagens de detecção baseadas em heurística (SCHULTZ et al., 2001).
1
1
1
T E MA D E APRE N D IZAGEM 8
Lembrete 1: em computação, você pode pensar em heurística como busca por
tentativas ou por regras que são, apenas, vagamente, definidas.
Lembrete 2: quando uma vulnerabilidade é encontrada em um software,
os fabricantes dessa solução lançam ao público as correções de segurança (conhecidas também como hotfixes), as quais costumam vir junto das atualizações
dos programas, por isso tais atualizações devem ser instaladas pelos usuários.
Portanto, mantenha os seus softwares atualizados, ok?
Como você sabe, um malware tem o potencial de ser usado para permitir a
intrusão na rede da organização. Pensando que uma intrusão pode ser definida
como qualquer tipo de atividade não autorizada a qual cause danos a um sistema
de informação, isso significa que qualquer ataque que represente uma possível
ameaça à confidencialidade, à integridade ou à disponibilidade das informações
será considerado uma intrusão.
Um Sistema de Detecção de Intrusão (Intrusion Detection Systems – IDS)
é um sistema de software ou hardware que identifica ações maliciosas em sistemas
de computador, visando a permitir a manutenção da segurança do sistema
(LIAO et al., 2013). O objetivo de um IDS é identificar diferentes tipos de tráfego
de rede malicioso e uso de computador que não podem ser identificados por um
firewall tradicional, tal identificação é vital para obter alta proteção contra ações
que comprometam a disponibilidade, integridade ou confidencialidade dos sistemas de computador. Os sistemas IDS são, amplamente, categorizados em dois
grupos: Sistema de Detecção de Intrusão Baseado em Assinatura (SIDS) e Sistema
de Detecção de Intrusão Baseado em Anomalias (KHRAISAT et al., 2019).
1
1
1
UN I C ES UMA R
Os Sistemas de Detecção de Intrusão de Assinatura (SIDS) são baseados
em técnicas de correspondência de padrões para encontrar um ataque conhecido; também são conhecidos como Detecção Baseada em Conhecimento
ou Detecção de Uso Indevido (KHRAISAT; GONDAL; VAMPLEW, 2018).
No IDS de assinatura, os métodos de correspondência são usados para localizar
uma intrusão anterior; em outras palavras, quando uma assinatura de intrusão
coincide com a assinatura de uma intrusão anterior existente no banco de dados
de assinaturas, um sinal de alarme é acionado. Para IDS de assinatura, os logs
do host são inspecionados para encontrar sequências de comandos ou ações
identificadas, anteriormente, como malware. IDS de assinatura também foram
rotulados, na literatura, como Detecção Baseada em Conhecimento ou Detecção
de Uso Indevido (MODI et al., 2013).
A ideia principal é construir um banco de dados de assinaturas de intrusão e comparar o conjunto atual de atividades com as assinaturas existentes bem como
acionar um alarme se uma correspondência for encontrada. Por exemplo, uma
regra na forma de “se: antecedente - então: consequente” pode levar a “se (endereço IP de origem = endereço IP de destino) então rotular como um ataque”
(KHRAISAT et al., 2019).
O IDS de assinatura, geralmente, fornece excelente precisão de detecção para
intrusões, previamente, conhecidas (KREIBICH; CROWCROFT, 2004). No
entanto ele tem dificuldade em detectar ataques de dia zero porque não existe
nenhuma assinatura correspondente no banco de dados até que a assinatura do
novo ataque seja extraída e armazenada (KHRAISAT et al., 2019).
As abordagens tradicionais para IDS de assinatura examinam os pacotes de
rede e tentam comparar com um banco de dados de assinaturas, mas essas técnicas são incapazes de identificar ataques que abrangem vários pacotes. Como
o malware moderno é mais sofisticado, muitas vezes, é necessário extrair informações de assinatura em vários pacotes, o que requer a recuperação, pelo IDS,
do conteúdo dos pacotes anteriores (KHRAISAT et al., 2019).
A taxa crescente de ataques de dia zero tornou as técnicas IDS de assinatura,
progressivamente, menos eficazes porque não existe assinatura anterior para
esses ataques (SYMANTEC, 2017). As variantes polimórficas do malware e a
quantidade crescente de ataques direcionados têm a chance de minar, ainda mais,
1
1
1
T E MA D E APRE N D IZAGEM 8
a adequação desse paradigma tradicional. Uma solução potencial para esse problema seria usar técnicas de IDS de anomalias que operam traçando o perfil do
que é um comportamento aceitável e do que é anômalo (KHRAISAT et al., 2019).
No Sistema de Detecção de Intrusão Baseado em Anomalias, um modelo normal do comportamento de um sistema de computador é criado usando
aprendizado de máquina, métodos que se baseiam em estatística ou em conhecimento. Qualquer desvio significativo entre o comportamento observado e o
modelo é considerado uma anomalia, a qual pode ser interpretada como uma
intrusão. A suposição para esse grupo de técnicas é: o comportamento malicioso
difere do comportamento típico do usuário, portanto, os comportamentos de
usuários anormais que são diferentes dos comportamentos padrão são classificados como intrusões.
O desenvolvimento do IDS de anomalias compreende duas fases: a fase de treinamento e a fase
de testagem. Na de treinamento, o perfil de tráfego
O comportamento
malicioso difere do
normal é usado para aprender um modelo de comcomportamento
portamento normal e, na de teste, um novo conjuntípico do usuário
to de dados é usado com o objetivo de estabelecer a
capacidade do sistema de generalizar para intrusões
não vistas, anteriormente (KHRAISAT et al., 2019).
A principal vantagem do IDS de anomalias é a capacidade de identificar ataques de dia zero devido ao fato de que o reconhecimento da atividade anormal
do usuário não depende de um banco de dados de assinaturas (ALAZAB et al.,
2012). O IDS de anomalias aciona um sinal de perigo quando o comportamento examinado difere do comportamento usual, além disso, esse IDS traz vários
benefícios. Primeiro, ele tem a capacidade de descobrir atividades maliciosas
internas, isto é, se um invasor começar a fazer transações em uma conta roubada
não identificada na atividade típica do usuário, ele criará um alarme. Em segundo
lugar, é muito difícil para um cibercriminoso reconhecer o que é um comportamento normal do usuário sem produzir um alerta, pois o sistema é construído a
partir de perfis personalizados (KHRAISAT et al., 2019).
1
1
1
UN I C ES UMA R
Revisando para você as diferenças entre a detecção baseada em assinatura e a
detecção baseada em anomalias: o IDS de assinatura só pode identificar intrusões
bem conhecidas, enquanto a IDS de anomalias pode detectar ataques de dia zero.
No entanto, essa última tem a chance de resultar em uma alta taxa de falsos positivos porque as anomalias podem ser, apenas, novas atividades normais em vez
de intrusões genuínas.
Você já pensou qual é a fonte de dados para os sistemas de detecção de intrusão? Os IDSs também são classificados com base nas fontes de dados de entrada
usadas para detectar atividades anormais. Em termos de fontes de dados, existem, geralmente, dois tipos de tecnologias IDS, a saber: o IDS Baseado em Host
(HIDS) e o IDS Baseado em Rede (NIDS).
IDS BASEADO EM HOST
O IDS Baseado em Host (HIDS) inspeciona dados originados do sistema host e
fontes de auditoria, como: sistema operacional, logs do servidor, logs de firewalls,
auditorias do sistema de aplicativos ou logs de banco de dados. O HIDS é capaz de
detectar ataques internos que não envolvem tráfego de rede (CREECH; HU, 2013).
IDS BASEADO EM REDE
O IDS Baseado em Rede (NIDS) monitora o tráfego de rede que é extraído dela,
por meio de captura de pacotes, de NetFlow e de outras fontes de dados de rede,
e costuma ser utilizado para monitorar muitos computadores associados a uma
rede. O NIDS é capaz de monitorar as atividades maliciosas externas que podem
ser iniciadas a partir de uma ameaça externa em uma fase anterior, antes que as
ameaças se espalhem para outro sistema de computador. Por outro lado, os NIDSs
têm capacidade limitada de inspecionar todos os dados em uma rede de alta largura de banda devido ao volume de dados que passam pelas modernas redes de
comunicação de alta velocidade (BHUYAN; BHATTACHARYYA; KALITA, 2013).
1
1
1
T E MA D E APRE N D IZAGEM 8
O NIDS implantado em várias posições dentro de uma topologia de rede específica, junto com HIDS e firewalls, fornece proteção concreta, resiliente e multicamada contra os ataques externos e internos (KHRAISAT et al., 2019).
O Quadro 1 mostra um resumo das comparações entre IDS Baseado em Host
(HIDS) e IDS Baseado em Rede (NIDS).
TECNOLOGIA
VANTAGENS
DESVANTAGENS
HIDS
• Pode verificar o comportamento das comunicações criptografadas de ponta a ponta.
• Não requer hardware extra.
• Detecta invasões verificando
o sistema de arquivos do host,
chamadas de sistema ou eventos de rede.
• Cada pacote é remontado.
• Examina o item inteiro, não
apenas os fluxos.
• Atrasos na notificação de
ataques.
• Consome recursos do host.
• Precisa ser instalado em
cada host.
• Pode monitorar ataques,
apenas, na máquina onde
está instalado.
NIDS
• Detecta ataques verificando
pacotes de rede.
• Não é necessário instalar em
cada host.
• Capaz de verificar vários hosts
no mesmo período.
• Capaz de detectar as mais
amplas faixas de protocolos de
rede.
• Identificar ataques de
tráfego criptografado é um
desafio.
• Necessita de um hardware
dedicado.
• Suporta, apenas, a identificação de ataques de rede.
• Difícil análise de rede de
alta velocidade.
• Ataque interno é a ameaça
mais séria.
Quadro 1 - Comparação de tipos de tecnologia IDS com base nas fontes de dados de entrada
Fonte: adaptado de Khraisat et al. (2019).
Você aprendeu, até aqui, sobre sistemas de detecção de intrusão, mas quando
um dispositivo de software ou hardware possui todos os recursos de um IDS e,
também, tenta impedir possíveis incidentes, ele é chamado de Sistema de Prevenção de Intrusão (IPS).
1
1
1
UN I C ES UMA R
Um IPS pode responder a uma ameaça detectada de várias maneiras (PATEL;
QASSIM; WILLS, 2010):
■ Remoção do conteúdo malicioso de um ataque no tráfego de rede, para
filtrar os pacotes ameaçadores.
■ Reconfiguração de outros controles de segurança em sistemas como firewall ou roteador, para bloquear ataques futuros.
■ (Re)configuração de outros controles de segurança e privacidade nas configurações do navegador, a fim de evitar ataques futuros.
Normalmente, a desativação de recursos de prevenção em produtos IPS faz com
que funcionem como IDSs. Logo, os IPSs são considerados uma extensão dos IDSs.
Embora o IPS e o IDS examinem o tráfego de rede em busca de ataques,
existem diferenças críticas. Ambos detectam tráfego malicioso ou indesejado e o
fazem da maneira tão completa quanto precisa, mas diferem no tipo de resposta
fornecida por cada um. A principal função de um produto IDS é alertar sobre
atividades suspeitas, enquanto o IPS é projetado e desenvolvido para proteção
mais ativa bem como à melhora do IDS e às outras soluções de segurança tradicionais, as quais têm o potencial de reagir em tempo real, para bloquear ou
impedir essas atividades (PATEL; QASSIM; WILLS, 2010).
IN D ICAÇÃO DE FI LM E
Privacidade Hackeada (2020)
Sinopse: O escândalo da empresa de consultoria Cambridge
Analytica e do Facebook é recontado por meio da história de
um professor americano. Ao descobrir que, junto com 240
milhões de pessoas, as suas informações pessoais foram
hackeadas para criar perfis políticos e influenciar as eleições
americanas de 2016, ele embarca em uma jornada com o objetivo de levar o caso à Corte, já que a lei americana não protege as suas informações digitais, mas a lei britânica sim.
Comentário: o escândalo com o Facebook e a empresa Cambridge Analytica foi de conhecimento mundial. O filme/documentário da Netflix aborda um dos efeitos possíveis quando a
ausência de confidencialidade de dados privados é explorada.
1
1
1
T E MA D E APRE N D IZAGEM 8
Em Tecnologia da Informação (TI), a experiência do profissional é muito valorizada. No entanto, as certificações de TI continuam sendo um diferencial para
alavancar a carreira dos profissionais, pois elas são, ainda, um meio para demonstrar que o profissional detém conhecimentos e habilidades específicas.
Com o constante aumento da competitividade no mercado de trabalho, a
disputa por uma vaga fica cada vez mais acirrada entre os profissionais de TI,
exigindo, de forma crescente, competência do candidato e qualificação profissional na área escolhida.
Diante desse cenário, ocorre a busca por diferenciais competitivos, mas, a
meu ver, é importante o profissional contar com pós-graduação e certificações
em seu currículo. Posso te alertar que, por vezes, uma certificação fora do escopo
técnico também ajuda a dar aquele salto na carreira. Por exemplo, quem tem
uma certificação em inglês — como a TOEFL — no currículo, com certeza, terá
destaque em uma seleção, ainda mais, atualmente, com o mercado de empresas
estrangeiras buscando profissionais de TI no Brasil aquecido.
Resolvi listar duas certificações que podem ajudar bastante a carreira do profissional de segurança da informação:
1
1
1
UN I C ES UMA R
COMPTIA SECURITY +
É uma certificação global que valida as habilidades básicas necessárias para
desempenhar as funções básicas de segurança e buscar uma carreira em segurança de TI.
• Você aprenderá a avaliar a postura de segurança de um ambiente corporativo, além de recomendar e implementar soluções de segurança apropriadas.
• Monitorar e proteger ambientes híbridos, incluindo nuvem, celular e IoT.
• Operar com consciência das leis e políticas aplicáveis, incluindo princípios de
governança, risco e conformidade.
• Identificar, analisar e responder a incidentes e eventos de segurança.
CCNP SECURITY
A certificação de segurança de nível profissional da Cisco, a CCNP Security, trata
dos Firewall Cisco e Sistema de Prevenção de Intrusão (IPS), também, da Cisco.
• A fabricante Cisco possui uma das maiores participações de mercado de
componentes de arquitetura de rede com presença global, como: roteadores,
switches, firewalls e Sistemas de Prevenção de Intrusões, logo, a obtenção
de uma certificação dessa empresa garante que você tenha uma sólida compreensão dos princípios de rede de computadores junto com as soluções de
rede da Cisco.
• As certificações de nível profissional da Cisco têm sido parte importante
do setor de computação por muitos anos e continuarão sendo mais importantes. Existem muitas razões para obter certificações da Cisco, porém as
mais citadas são a credibilidade e a aceitabilidade.
• Se todos os outros fatores forem iguais, um funcionário, consultor ou candidato a emprego certificado pela Cisco é considerado mais valioso do que um
não certificado.
• O CCNP Security é uma das certificações de segurança cibernética mais
respeitadas do setor. A obtenção da CCNP Security comprova as habilidades
em nível profissional com as soluções de segurança cibernética da Cisco.
Para obter essa certificação, você precisa passar em dois exames: um exame
básico que abrange as principais tecnologias de segurança da Cisco e testa
o seu conhecimento de infraestrutura de segurança e um exame de concentração de segurança de sua escolha, para que você possa personalizar sua
certificação em sua área técnica de foco.
• O foco do teste é em Firewalls da Série ASA, como o 5550 e equipamentos de
Sistema de Prevenção de Intrusão (IPS).
1
1
1
T E MA D E APRE N D IZAGEM 8
E M FO CO
Quer saber mais sobre o tema?
Acesse a aula que preparamos para você!
NOVOS DESAFIOS
Espero que você se sinta motivado(a) a estudar e a se inserir na área de segurança,
principalmente trabalhando com firewalls ou Sistemas de Prevenção de Intrusão.
Lembrando que, além das certificações citadas, as certificações dos principais
fabricantes de equipamentos (como Palo Alto Network ou Check Point são bem
aceitas pelo mercado. É um ótimo caminho profissional aos apaixonados por
segurança da informação.
Aproveitar para realizar algumas atividades e, assim, revermos e fixarmos
alguns conceitos. Caso precise, retorne ao conteúdo para.
1
1
1
VAMOS PRATICAR
1. Os usuários de uma organização, em suas estações de trabalho, precisam acessar
sistemas que, talvez, estão na rede interna da organização, na rede desmilitarizada
(DMZ) ou na internet. Os fluxos de comunicação entre essas redes, normalmente, é
controlado por um firewall, por conta dos diferentes níveis de confiança delas.
Com relação às limitações ou permissões de tráfego por meio de firewalls, assinale a
alternativa que apresenta um fluxo de comunicação recomendável de ser configurado
em um firewall:
a) Os hosts na DMZ têm conectividade ilimitada a hosts específicos na rede interna.
b) Os hosts na DMZ têm conectividade com as redes externas, pois elas sempre são
confiáveis.
c) Usuários da rede interna possuem conectividade permitida com hosts na DMZ.
d) Usuários da internet possuem conectividade permitida com hosts na rede interna.
e) Usuários da internet possuem conectividade ilimitada com hosts na DMZ.
2. Uma organização tem alguns serviços que precisam ou devem ser acessados por usuários externos a ela. Dessa forma, esses serviços precisam estar disponíveis ao acesso
pela internet. Quando isso ocorre, os servidores que os hospedam são colocados na
rede DMZ, entretanto, há serviços que não podem ser acessados, diretamente, por
terceiros da organização.
Assinale a alternativa a qual apresenta um servidor que deve estar localizado na rede
interna porque não deve estar acessível a usuários externos:
a)
b)
c)
d)
e)
Servidor web.
Servidor de e-mail.
Servidor de banco de dados.
Servidores FTP (File Transfer Protocol).
Servidor DNS.
1
1
1
VAMOS PRATICAR
3. Um firewall é definido como uma coleção de componentes ou um sistema que é colocado entre duas redes de modo que todo o tráfego de dentro para fora e vice-versa
deve passar por ele, além de permitir, somente, o tráfego autorizado a passar por ele.
Considerando um firewall instalado, estrategicamente, onde a rede privada ou a intranet se conecta à internet pública, ele pode ter diversos usos.
Com base no conceito de firewall, analise as afirmativas, a seguir:
I - Ele pode tornar a rede privada mais segura.
II - É capaz de monitorar o tráfego que entra e sai de uma intranet.
III - É capaz de rastrear tentativas de invasão a rede privada.
IV - Pode tornar o acesso à rede privada inauditável.
V - É capaz de isolar sub-redes e fornecer camadas adicionais de proteção dentro da
organização.
É correto o que se afirma em:
a)
b)
c)
d)
e)
Somente I e II.
Somente III e IV.
Somente I, II e III.
Somente I, II, III e V.
I, II, III, IV e V.
4. Embora os Sistemas de Detecção e Prevenção de Intrusão sejam semelhantes em vários aspectos importantes, eles também têm algumas diferenças importantes. Assinale
a alternativa que apresenta uma diferença entre IPS e IDS:
a) O IDS é uma solução baseada em controle que aceita ou rejeita pacotes de rede com
base em conjuntos de regras predeterminados, enquanto um IPS é construído para
detecção e vigilância.
b) Depois que uma ameaça é detectada, o IDS interrompe o fluxo de tráfego malicioso,
enquanto o IPS alerta a equipe de segurança humana a ações adicionais.
c) Um IPS pode fazer o trabalho de um IDS, mas o inverso não é possível.
d) O IDS é uma solução de segurança proativa, enquanto o IPS conta com a intervenção
de equipes de TI para evitar ameaças.
e) O IPS e o IDS detectam tráfego malicioso ou indesejado, no entanto o IDS pode reagir,
em tempo real, para bloquear ou impedir atividades maliciosas.
1
1
1
VAMOS PRATICAR
5. Em termos de fontes de dados, geralmente, existem dois tipos de tecnologias IDS:
IDS Baseado em Host (HIDS) e IDS Baseado em Rede (NIDS). Sobre as características
desses dois tipos de IDS, assinale a alternativa correta:
a) Com base nos registros (logs) do sistema, um IDS Baseado em Rede é capaz de verificar o sucesso ou a falha de um ataque.
b) Uma vantagem do IDS Baseado em Host é a sua independência da topologia da rede,
podendo ser utilizado em redes separadas por switches.
c) Um IDS Baseado em Rede possui a desvantagem de haver a necessidade de o instalar
em cada host, assim como o IDS Baseado em Host.
d) Com o IDS Baseado em Rede, é possível verificar o comportamento das comunicações
criptografadas de ponta a ponta.
e) Caso um atacante consiga invadir um host, apagando os logs do sistema, mesmo com
o IDS Baseado em Rede funcionando, é impossível detectar a atividade do hacker.
1
1
1
REFERÊNCIAS
ALAZAB, A. et al. Using feature selection for intrusion detection system. In: ISCT – INTERNATIONAL SYMPOSIUM ON COMMUNICATIONS AND INFORMATION TECHNOLOGIES, 12.,
2012, Gold Coast. Proceedings [...]. Gold Coast: ISCT, 2012. p. 296-301.
BHUYAN, M. H.; BHATTACHARYYA, D. K.; KALITA, J. K. Network anomaly detection: methods,
systems and tools. IEEE Communications Surveys and Tutorials, v. 16, n. 1, p. 303-336,
2013.
CHAPPLE, M.; STEWART, J. M.; GIBSON, D. (ISC) 2 CISSP – Certified Information Systems
Security Professional Official Study Guide. 9th ed. Alameda: Sybex, 2021.
CISO ADVISOR. 15% das PMEs não têm ninguém em cibersegurança. 13 jul. 2022b.
Disponível em: https://www.cisoadvisor.com.br/15-das-pmes-nao-tem-ninguem-em-ciberseguranca/. Acesso em: 17 nov. 2022.
CISO ADVISOR. PMEs do Brasil lideram como vítimas de ransomwares. 29 jun. 2022a.
Disponível em: https://www.cisoadvisor.com.br/pmes-do-brasil-lideram-como-vitimas-de-ransomware/. Acesso em: 17 nov. 2022.
CREECH, G.; HU, J. A semantic approach to host-based intrusion detection systems using
contiguous and discontiguous system call patterns. IEEE – Transactions on Computers,
v. 63, n. 4, p. 807-819, 2013.
GARGANO, P. 31 Days Before Your CCNA Security Exam: a day-by-day review guide for
the IINS 210-260 certification exam. 1st ed. Indianapolis: Cisco Press, 2016.
IDIKA, N.; MATHUR, A. P. A survey of malware detection techniques. CERIAS, West Lafayette, v. 48, n. 2, p. 1-48, 2007.
JACOB, G.; DEBAR, H.; FILIOL, E. Behavioral detection of malware: from a survey towards an
established taxonomy. Journal in Computer Virology, v. 4, n. 3, p. 251-266, 2008. Disponível
em: https://link.springer.com/article/10.1007/s11416-008-0086-0. Acesso em: 22 nov. 2022.
KHRAISAT, A. et al. Survey of intrusion detection systems: techniques, datasets and challenges. Cybersecurity, v. 2, n. 1, p. 1-22, 2019.
KHRAISAT, A.; GONDAL, I.; VAMPLEW, P. An anomaly intrusion detection system using c5 decision tree classifier. In: PAKD – PACIFIC-ASIA CONFERENCE ON KNOWLEDGE DISCOVERY AND
DATA MINING, 22., 2018, Melbourne. Proceedings [...]. Melbourne: PAKD, 2018. p. 149-155.
1
1
1
REFERÊNCIAS
KREIBICH, C.; CROWCROFT, J. Honeycomb: creating intrusion detection signatures using
honeypots. ACM SIGCOMM Computer Communication Review, New York, v. 34, n. 1, p.
51-56, 2004.
LIAO, H.-J. et al. Intrusion detection system: A comprehensive review. Journal of Network
and Computer Applications, v. 36, n. 1, p. 16-24, 2013.
LUH, R. et al. Semantics-aware detection of targeted attacks: a survey. Journal of Computer Virology and Hacking Techniques, v. 13, n. 1, p. 47-85, 2017.
MODI, C. et al. A survey of intrusion detection techniques in cloud. Journal of Network
and Computer Applications, v. 36, n. 1, p. 42-57, 2013.
NAMANYA, A. P. et al. The World of Malware: An Overview. In: IEEE – INTERNATIONAL CONFERENCE ON FUTURE INTERNET OF THINGS AND CLOUD (FICLOUD), 6., 2018, Barcelona.
Proceedings […]. Barcelona: IEEE, 2018. p. 420-427.
NOONAN, W. J.; DUBRAWSKY, I. Firewall Fundamentals. Indianapolis: Cisco Press, 2006.
PATEL, A.; QASSIM, Q.; WILLS, C. A survey of intrusion detection and prevention systems.
Information Management & Computer Security, v. 18, n. 4, p. 278-290, 2010.
PREDA, M. D. et al. A semantics-based approach to malware detection. ACM Sigplan Notices, New York, v. 42, n. 1, p. 377-388, 2007.
SCHULTZ, M. G. et al. Data mining methods for detection of new malicious executables. In:
IEEE – INTERNATIONAL SYMPOSIUM ON SECURITY AND PRIVACY, 2001, Oakland. Proceedings [...]. Oakland: S&P, 2001. p. 38-41.
SKOUDIS, E.; ZELTSER, L. Malware: fighting malicious code. New York: Prentice Hall Professional, 2004.
STEWART, J. M.; KINSEY, D. Network Security, Firewalls and VPNs. 3rd ed. Boston: Jones
& Bartlett Learning, 2020.
SYMANTEC. ISTR – Internet Security Threat Report. v. 22. Mountain View: Symantec, 2017.
Disponível em: https://docs.broadcom.com/doc/istr-22-2017-en. Acesso em: 17 nov. 2022.
1
1
1
CONFIRA SUAS RESPOSTAS
1. C. A rede de maior confiança é a rede interna, tendo a rede DMZ como zona de confiança
intermediária e a internet como rede não confiável. Dessa forma:
• O tráfego oriundo de uma rede menos confiável para uma rede mais confiável deve ter
conectividade limitada pelo firewall.
• O tráfego oriundo de uma rede mais confiável para uma rede menos confiável pode
ter conectividade permitida pelo firewall.
• Logo, os usuários da rede interna podem ter conectividade com hosts na rede DMZ.
2. C. O servidor de banco de dados possui muitos dados sensíveis, logo, ele deve estar localizado na rede interna. O servidor que precisar acessar o banco de dados tem a possibilidade
de estar localizado na DMZ, desde que haja um firewall entre eles filtrando o tráfego.
3. D. Habilitando os logs ou registros de um firewall, pode-se tornar o acesso a uma rede
privada auditável.
4. C. Um IPS é capaz de fazer o trabalho de um IDS, mas o inverso não é possível. Nas demais
alternativas, o que é atribuído como função do IPS é, na verdade, do IDS, o que é atribuído
como função do IDS é, na verdade, do IPS.
5. B. Um IDS Baseado em Host é instalado em servidores, logo, o seu uso é independência
da topologia da rede, podendo ser utilizado em redes separadas por switches. Enquanto
isso, se houver mudança na topologia da rede, os IDSs Baseados em Rede serão afetados.
1
1
1
MEU ESPAÇO
1
1
1
TEMA DE APRENDIZAGEM 9
VPN, PROTOCOLOS DE SEGURANÇA
E SEGURANÇA EM REDES SEM FIO
MINHAS METAS
Examinar os fundamentos das tecnologias de Rede Privada Virtual
(VPN – Virtual Private Network)
Conhecer os principais tipos de VPN
Examinar a segurança do protocolo de internet (IPsec)
Conhecer os conceitos relacionados à segurança de redes sem fio
1
1
1
UN I C ES UMA R
INICIE SUA JORNADA
Olá, estudante! Seja bem vindo(a)!
Durante a pandemia de Covid-19, o regime das organizações foi impactado
de um modo cujos profissionais de TI ainda não conheciam. De acordo com o
estudo Índice de Gerenciamento de Acesso 2022 publicado pela Thales Group
(2022) — empresa do ramo de cibersegurança e proteção de dados — os impactos da pandemia reduziram as preocupações dos funcionários com o trabalho
remoto, pois as estratégias de trabalho em casa tornaram-se mais comuns em
várias organizações.
Ainda de acordo com o estudo da Thales Group (2022), as redes privadas
virtuais (VPNs) continuam a liderar como principal método para os funcionários acessarem aplicativos internos, remotamente. Mesmo no fim da pandemia,
quase metade dos entrevistados do estudo planeja manter as suas VPNs existentes
enquanto adiciona novas tecnologias de segurança.
P L AY N O CO NHEC I M ENTO
Quer saber a respeito da segurança de dispositivos sem fio?
Então, acesse o nosso podcast dedicado à segurança de
clientes e a pontos de acesso wireless.
1
1
1
T E MA D E APRE N D IZAGEM 9
DESENVOLVA SEU POTENCIAL
VPN, PROTOCOLOS DE SEGURANÇA E
SEGURANÇA EM REDES SEM FIO
No geral, as atitudes em relação às tecnologias de trabalho remoto permaneceram, relativamente, inalteradas em relação ao ano de 2021. Em 2022, 59% dos
entrevistados globais selecionaram as VPNs como o principal método para que
os funcionários acessem aplicativos, de forma remota, o que é, aproximadamente, o mesmo índice de 2021 (60%). Além disso, apenas 21% dos entrevistados
planejavam reduzir o número de usuários de VPN, e 48% planejavam expandir
o número de usuários para VPNs existentes. Isso é um indicativo de que a tecnologia de redes privadas virtuais ainda é muito relevante no mercado. Mais da
metade (57%) gostaria de manter as suas VPNs enquanto adicionam novas tecnologias, fortalecendo os métodos de autenticação das implantações existentes
(THALES GROUP, 2022).
Nem tudo são flores quando se trata de VPNs.
Estas costumavam ser a resposta certa quando as orRedes privadas
ganizações tinham todas as suas informações seguras
virtuais ainda é
muito relevante no em seu próprio datacenter, em vez de sistemas espamercado
lhados por nuvens e contêineres. Hoje, dependendo
da implantação, a VPN adotada pode não ser a melhor solução às empresas que operam com a nuvem e
que ainda necessitam de toda a sua força de trabalho
produtiva em casa.
Algumas dificuldades que as equipes de segurança da informação costumam enfrentar em tempos de
trabalho remoto massivo são:
VPNs de origem questionável, incluindo diversos serviços de VPN gratuitos ou de
baixo custo (AGUIRRE, 2020, on-line). Geralmente, em serviços gratuitos de internet, a mercadoria são os dados dos usuários.
1
1
1
UN I C ES UMA R
Agora, considerando que equipes de segurança as quais receberam a missão de
facilitar o trabalho remoto aos seus membros acabem recorrendo às VPNs:
VOCÊ SABE RESPONDER?
O que essas equipes precisam ter em mente para não permitir acessos não
seguros? Quais tipos de dispositivos são usados para permitir o uso de VPNs? É
simples aumentar o número de usuários em uma VPN?
As respostas a essas perguntas apresentadas até aqui são baseadas nos conhecimentos aos quais você terá acesso neste Tema de Aprendizagem. Para te ajudar nessas
e em outras situações envolvendo redes privadas virtuais, este tema será dedicado
a essa problemática.
As equipes de segurança ao redor do mundo que, regularmente, recebem a
missão de facilitar o trabalho remoto para as equipes da organização, recorrem às
VPNs, pois os firewalls de borda, usados na limitação do tráfego entre a rede local
e a internet, costumam ter uma função de estabelecer túneis seguros VPN. Por
conta disso, basta que a equipe de TI disponibilize um cliente VPN para ser instalado no dispositivo do funcionário remoto e, devido ao uso desse cliente, é possível
estabelecer uma rede privada segura sobre a internet entre o computador remoto e a
rede da organização, por meio do firewall (ou concentrador VPN). Não se preocupe,
isso será melhor detalhado ao longo deste tema.
Dessa forma, aumentar o número de usuários
em uma VPN é bem simples, afinal, basta que
mais clientes VPNs sejam disponibilizados aos
funcionários. Obviamente, há um limitador: ele
é, muitas vezes, a quantidade de processamento e
licenças VPNs disponíveis no concentrador VPN.
A equipe de segurança deve estar atenta ao
melhor desenho de VPN a ser adotado, pois, veremos, a seguir, a existência de classificações distintas de VPN, dependendo da camada OSI
que se trabalha ou do número de usuários
ou do tipo de equipamento utilizado.
1
1
1
T E MA D E APRE N D IZAGEM 9
P E N SA N D O J UNTO S
Após todas essas informações, você consegue perceber que existem contribuições da área de segurança de informação em sua vida cotidiana? Para tornar essa percepção mais clara, procure entender como funcionam certos conceitos de segurança da informação, os quais estão à sua volta, todos os dias.
Observe os seguintes cenários descritos, a seguir, e anote o que observar:
1. Você utiliza ou conhece algum serviço de VPN que te permite receber um
IP de outro país?
2. Já tentou usar a Netflix com uma VPN ativa? Reparou que os títulos disponíveis ficaram limitados a séries e filmes cujos direitos globais pertencem à Netflix?
3. Já pensou em como uma empresa ou órgão público conecta os escritórios localizados em diversas cidades? Consegue imaginar como o uso de
VPNs apoia essas organizações?
4. Você já notou que existem várias redes sem fios disponíveis, algumas que
solicitam senha e outras não?
A partir da experiência proposta, caso já tenha utilizado ou mesmo conheça
um serviço de VPN desses disponíveis em navegadores — que permitem ao seu
computador adquirir um IP de outro país — você conseguiu acessar conteúdos
distintos dos exibidos no Brasil em diversos sites, desde site de companhias áreas
nacionais até plataformas de streaming ou de jogos. Eu mesmo faço uso desse
serviço de VPN quando aparece um jogo grátis para usuários de outros países
na Epic Games ou na Steam.
Se você utilizou esses serviços de VPN para receber um IP fora do Brasil
e acessou a Netflix, verificou que o catálogo ficou bem restrito, somente com
séries e filmes cujos direitos globais pertencem à plataforma. Isso ocorre porque
a Netflix possui uma ferramenta que analisa se o usuário está utilizando algum
serviço de VPN e, quando ela contata esse uso, bloqueia os conteúdos que só
devem ficar disponíveis a um país específico, por questão de acordos comerciais. Outras empresas têm postura mais rigorosa e sequer permitem o acesso
a determinado conteúdo, caso notem que o usuário está utilizando um serviço
VPN. Logo, fique atento(a).
1
1
1
UN I C ES UMA R
Uma grande empresa ou órgão público precisa
conectar os escritórios localizados, muitas vezes, em
cidades distintas (imagine um Banco do Brasil ou
uma Caixa Econômica presente em várias cidades
A proteção
adequada desses
do país). Passar as fibras óticas por conta própria ou
dispositivos de
alugar esse serviço de conexão entre tantos escritórios
rede é necessária
pode ser bastante caro, por conta disso, essas organizações fazem uso de VPNs site a site a alguns cenários cujo custo das outras soluções citadas é muito
alto para manter a operação do escritório distante da
sede. Esse tipo de VPN será discutido, aqui, logo mais.
Agora, você, certamente, já notou existirem redes sem fios disponíveis, para
conectar o seu celular, tablet ou computador e, também, percebeu que algumas
dessas redes solicitam senha e outras não. Já pensou em como funciona essa
autenticação e as vantagens que ela pode trazer em termos de segurança?
As redes corporativas das organizações são construídas com roteadores,
switches e outros dispositivos de rede que mantêm os aplicativos e serviços em
execução. Como você deve ter percebido, a operação contínua dos negócios é
fundamental para uma organização, portanto, a proteção adequada desses dispositivos de rede é necessária.
A infraestrutura de rede é, cada vez mais, o alvo direto de atividades maliciosas. Logo, você, como um(a) profissional de TI, deve tomar as medidas necessárias, a fim de garantir, dentro da sua competência, a segurança, a confiabilidade
e a disponibilidade dessa infraestrutura.
Uma coisa que deve ficar clara a você, caro(a) aluno(a), é: dependendo da arquitetura de rede da organização, as ameaças à segurança e as proteções necessárias
são distintas. Por exemplo: uma rede de campus, também conhecida como rede
local, possui ameaças de segurança exclusivas, as quais devem ser abordadas. Uma
rede local fornece acesso à infraestrutura de rede para usuários finais e dispositivos
localizados na mesma localização geográfica. Dessa forma, a segurança pode se
concentrar na borda da rede — a qual fornece conectividade à internet e atua como
a porta de entrada da empresa aos clientes — usando um firewall de nova geração.
1
1
1
T E MA D E APRE N D IZAGEM 9
P E N SA N D O J UNTO S
Agora, pense comigo: como uma organização fornece acesso seguro aos usuários
internos, caso eles estejam dispersos, geograficamente? À medida que a popularidade da internet cresceu, as empresas recorreram à própria internet como um meio
de estender as suas redes. Entretanto, a solução adotada por muitas empresas é
criar as suas próprias Redes Privadas Virtuais (Virtual Private Network – VPN)
para acomodar as necessidades de funcionários remotos e escritórios distantes.
“Professor, porque esse recurso de VPN se chama Redes Privadas Virtuais?” Uma
VPN usa uma rede pública — geralmente, a internet — para conectar sites ou usuários remotos, mas usa recursos de segurança na criação de túneis que simulam uma
rede privada, pois, em cada uma das pontas da comunicação, estão dois dispositivos da mesma organização. Logo, caro(a) aluno(a), ao invés de a organização usar
uma conexão dedicada ao mundo real, como uma linha alugada de uma operadora
de telecom, uma VPN usa conexões “virtuais” roteadas pela internet, conectando
a rede privada da organização à outra rede local ou a um funcionário remoto.
No contexto de redes de dados, o termo “site” é, comumente, usado para se referir a redes locais (Local Area Networks – LANs). Logo, uma VPN Site-to-Site
significa que duas redes LANs estão conectadas sobre a internet, enquanto uma
VPN Client-to-Site significa que um usuário em um computador está conectado
a uma rede LAN, também sobre a internet.
Uma VPN fornece serviços de segurança ao tráfego que atravessa uma rede,
relativamente, menos confiável entre dois sistemas ou redes, relativamente, mais
confiáveis. De modo geral, a rede menos confiável é a internet pública.
Uma VPN é virtual, pois transporta informações em uma rede privada, mas essas
informações são, na verdade, transportadas, fisicamente, por uma rede pública. Uma
VPN também é privada, pelo fato de o tráfego ser criptografado para manter os dados confidenciais enquanto são transportados pela rede pública (GARGANO, 2016).
AP RO F U N DA NDO
No contexto de redes de dados, o termo linha alugada é usado, comumente,
para se referir a uma conexão contratada junto a uma operadora de telecomunicações, logo, essa linha de comunicação não é própria da organização.
Como exemplo de operadoras que prestam esse serviço no Brasil, temos a Claro/Embratel, a Algar, a Level 3/CenturyLink/Cirion e a OI.
1
1
1
UN I C ES UMA R
“Professor, quais os benefícios no uso de VPNs?” Listaremos, a seguir, com base
em Gargano (2016), alguns deles:
ECONOMIA DE CUSTOS
As organizações usam VPNs para reduzir os seus custos de conectividade.
SEGURANÇA
Os protocolos avançados de criptografia e autenticação protegem os dados.
ESCALABILIDADE
As organizações usam a internet a fim de interconectar, facilmente, novos escritórios.
COMPATIBILIDADE
VPNs podem ser implementadas em uma ampla variedade de opções de link WAN.
Até aqui, você aprendeu que uma VPN permite expandir a rede local (LAN) da
sede de uma organização a pontos, geograficamente, distantes. Existem dois
tipos principais de VPNs: as Site-to-Site e as de acesso remoto. Inicialmente,
falaremos do primeiro tipo.
Uma VPN site a site conecta diferentes localidades por meio de redes não
confiáveis. O objetivo, de modo geral, é fornecer a vários usuários ou dispositivos
em um local — site remoto — o acesso a recursos em outro local — site principal
(MUNIZ; CHIMES; RISLER, 2021). Dessa forma, esse tipo de rede privada virtual estende a rede local de uma organização e, assim, disponibiliza recursos de
um computador local para usuários, geograficamente, distantes (SINGH; MALLICK, 2017). Por exemplo, imagine uma organização com vários escritórios e que
precisa compartilhar dados entre cada local, mantendo a segurança. Esse tipo de
VPN existe em vários órgãos públicos e empresas que precisam atuar em cidades
ou estados distintos.
1
1
1
T E MA D E APRE N D IZAGEM 9
O desenho mais comum a uma VPN Site-to-Site é o desenho hub-and-spoke:
um local, como a sede principal, atua como hub e se conecta a várias filiais, que
são os spokes. Para esse projeto de VPN, um túnel VPN separado é estabelecido
entre o hub e cada escritório remoto individual, os escritórios spoke são capazes
de se comunicar com outros escritórios spoke somente se o tráfego passar pelo
local do hub da matriz (MUNIZ; CHIMES; RISLER, 2021).
Esse tipo de desenho é ideal quando há pouca comunicação entre os sites
remotos. A Figura 1 mostra um exemplo básico de uma VPN Site-to-Site no
desenho hub-and-spoke.
Figura 1 - VPN Site-to-Site / Fonte: adaptada de Bakni (2019a, on-line).
Descrição da Imagem: no canto superior esquerdo da imagem, a partir da palavra “Filial”, saem três setas em
direção a três círculos distribuídos, paralelamente, de formar irregular. Cada um deles contém um desenho de um
prédio e, na frente, a ilustração de um disco com quatro setas na superfície. De cada um dos círculos parte um
tubo e, apontando em direção a esses três tubos, há três setas com a palavra “Túnel VPN”, que é o nome deles.
Esses tubos estão dentro de uma figura com formato de nuvem, no centro da imagem, essa nuvem representa a
“Rede de transporte VPN”. Por fim, os três tubos direcionam-se para o canto inferior direito da imagem, onde há um
círculo denominado “Sede corporativa”, ele contém a ilustração de três prédios e um disco com setas na superfície.
É importante lembrar você, caro(a) aluno(a), que cada par (site 1, site 2) é uma
conexão distinta. Dessa forma, deve haver um concentrador de VPN em cada site
e deve ser configurada a conexão para cada par (site 1, site 2). Por exemplo, no
1
1
1
UN I C ES UMA R
meu local de trabalho atual, o escritório principal fica em Brasília, onde há um
firewall atuando como concentrador de VPN e, nesse firewall, há 26 conexões
site-to-site configuradas, uma para cada escritório regional localizado em uma
capital de estado brasileiro.
O segundo tipo de VPN é a VPN de acesso remoto, a qual fornece a usuários
remotos o acesso a dispositivos fora de uma rede confiável (MUNIZ; CHIMES;
RISLER, 2021). Por exemplo, usuários remotos que utilizam dispositivos de end-point específicos — laptops, tablets e smartphones — e precisam de acesso à
rede corporativa interna, usariam uma VPN de acesso remoto.
Essencialmente dedicado(a) aluno(a), uma VPN de acesso remoto permite
que um computador se conecte a uma rede segura a partir de uma rede não
confiável. A Figura 2 mostra um exemplo básico de uma VPN de acesso remoto.
Nesta figura, fica mais claro que o meio ou canal físico o qual conecta o cliente
(no computador) ao servidor localizado na rede local da organização é a internet.
A ligação em vermelho entre cliente e servidor é feita por meio da VPN, em uma
conexão virtual, privada e segura.
Figura 2 - VPN de acesso remoto / Fonte:https://makertips.wordpress.com/2011/02/20/atualizacao-remota-de-sistemas-em-maker/. Acesso 15/06/2023.
Descrição da Imagem: ilustração de dois computadores, no canto inferior esquerdo, conectado a um servidor, no
canto inferior direito. Computador e servidor estão conectados por uma linha: está escrito “VPN” e, na segunda
linha, está escrito, dentro de uma nuvem “Internet”. A linha do canal físico atravessa três imagens de nuvens
que simbolizam redes, duas nuvens estão nomeadas como “Redes local”, enquanto outra está nomeada como
“Rede pública”.
1
1
1
T E MA D E APRE N D IZAGEM 9
“Professor, isso ainda não ficou claro”. Imagine que você é funcionário(a) de uma
empresa e gosta de trabalhar em uma cafeteria. A rede desse local é considerada
não segura, na visão da sua empresa, pois não segue os padrões de segurança
por ela estabelecidos. No entanto, mesmo utilizando a rede da cafeteria — não
segura — você pode usar uma VPN de acesso remoto para transferir informações
entre o seu laptop e a rede interna de sua empresa.
As arquiteturas de VPN de acesso remoto atuais exigem dois componentes
fundamentais. Primeiro, você precisa de algum tipo de concentrador ou gateway
VPN, o qual pode ser um servidor dedicado ou um aplicativo de software. Um
usuário remoto conecta-se a um concentrador VPN para acessar a rede confiável
de uma rede externa não confiável (normalmente, a internet). O citado gateway é
responsável por validar as credenciais do usuário usando o seu próprio processo
de autenticação ou referenciado por uma solução de autenticação separada (MUNIZ; CHIMES; RISLER, 2021). O outro componente necessário é o software do
lado do cliente, que é a tecnologia VPN no sistema que tenta acessar o gateway
VPN do site principal. Esse software ou aplicativo VPN do lado do cliente remoto,
usualmente, é um cliente do mesmo fabricante do já citado concentrador.
AP RO F U N DA NDO
Você já pensou como é o roteamento dos pacotes do computador remoto
conectado a um site principal, por meio de uma VPN? Primeiramente, lembre-se
que um computador, por padrão, só possui uma interface física de rede.
Logo, o usuário do computador pode ter um IP 192.168.1.7, que o permitiria trocar
pacotes com o modem de internet da operadora contratada. Quando a VPN é
fechada entre o cliente VPN instalado no computador remoto e o concentrador
VPN do site principal, esse cliente insere uma interface virtual com um IP da
rede local da organização, por exemplo, 10.1.1.2, e default gateway como concentrador VPN no computador remoto. Quando a conexão VPN é encerrada,
essa interface virtual e a respectiva rota são excluídas.
1
1
1
UN I C ES UMA R
Então, só é possível para uma organização manter uma VPN site a site ou de
acesso remoto? Na verdade, o mais comum é que as duas alternativas funcionem,
de modo conjunto, no dia a dia das organizações.
A Figura 3 mostra um exemplo de uma VPN Site-to-Site e de uma VPN de
acesso remoto funcionando ao mesmo tempo. Essa separação em dois tipos de
VPNs é, apenas, para fins didáticos.
Figura 3 - VPN Site-to-Site e VPN de acesso remoto funcionando ao mesmo tempo
Fonte: adaptada de Bakni (2019c, on-line).
Descrição da Imagem: no centro da imagem, há a figura de uma nuvem, simbolizando uma rede de dados. Em cima
dessa rede, há três tubos simbolizando uma rede de transporte VPN. No lado esquerdo dessa nuvem, um dos tubos
conecta a ilustração de uma casa, nomeada de “Usuário baseado em casa”, a um círculo com a expressão “Sede
corporativa”, o qual se encontra no canto inferior direito da imagem. Dentro desse círculo, há um desenho de um
prédio grande e de um disco com setas na superfície, este último simbolizando um concentrador VPN. O segundo
tubo conecta a ilustração de um homem com uma pasta na mão, localizado no centro da figura, nomeado de
“Usuário móvel”, ao círculo chamado “Sede corporativa”. Estes dois primeiros tubos são nomeados como “Túnel VPN
(modo voluntário)”. O terceiro tubo conecta esse círculo à figura de um cubo que tem setas na face externa, esse
cubo simboliza um servidor de acesso à rede e se conecta, por meio de uma figura de nuvem, a qual representa
a rede de acesso, à outra imagem de um homem com uma pasta na mão, localizada na parte superior da imagem.
1
1
1
T E MA D E APRE N D IZAGEM 9
Uma variação da VPN de acesso remoto é a VPN SSL. Ela fornece um conjunto
de serviços de segurança semelhantes aos fornecidos pelo IPsec. A tecnologia
SSL VPN tornou-se popular para a implementação de VPNs de acesso remoto
com ou sem o uso de software-cliente. As VPNs baseadas em SSL aproveitam
o protocolo SSL, inicialmente, desenvolvido pela Netscape, na década de 1990.
Mais tarde, a Internet Engineering Task Force (IETF) produziu uma alternativa
mais segura baseada em padrões, chamada TLS. Existem pequenas diferenças
entre SSL e TLS, mas os protocolos permanecem semelhantes; os termos, às vezes,
são usados de forma intercambiável, mas, curiosamente, os protocolos não são
interoperáveis.
Um dos recursos mais populares de uma VPN SSL sem cliente é a capacidade
de iniciar um navegador e, simplesmente, conectar-se ao endereço do dispositivo
VPN, em vez de executar um programa-cliente VPN separado, a fim de estabelecer uma conexão VPN IPsec.
A Figura 4 mostra um exemplo básico de uma
A tecnologia SSL
VPN SSL sem cliente, na qual a comunicação entre
VPN tornou-se
cliente e gateway é criptografada e, após o dado
popular para a
encontrar-se na rede local da organização, a comuimplementação
nicação entre o servidor e o gateway SSL VPN pode
de VPNs
ocorrer em texto claro, dependendo da política de
segurança da organização.
1
1
1
UN I C ES UMA R
Figura 4 - VPN SSL sem cliente / Fonte: adaptada de Bakni (2019d, on-line).
Descrição da Imagem: na parte superior da figura, há uma seta de duas pontas com a expressão “Túnel VPN
SSL”. Na parte central da figura, no lado esquerdo, há um servidor conectado a um cubo com um cilindro interno,
no centro da figura, representando um gateway SSL VPN. Esse cubo está conectado à figura de uma nuvem,
nomeada de internet, a qual está conectada a um computador, localizado do lado direito da imagem, nomeado
“Cliente SSL VPN”. Na parte inferior da imagem, há a expressão “Comunicação de texto claro” no lado esquerdo
e, do lado direito, a expressão “Comunicação SSL VPN”.
Como você viu há pouco, uma VPN de acesso remoto permite que usuários individuais estabeleçam uma
conexão segura com uma rede de computadores remota. O desafio que muitas organizações enfrentam
não é, apenas, o de provisionar esse acesso, mas também aplicar as práticas recomendadas de acesso com
privilégios mínimos bem como fornecer, somente, o
acesso necessário para atender aos requisitos de negócios desse usuário (MUNIZ; CHIMES; RISLER,
2021). No entanto permitir o acesso remoto pode ser
um desafio para muitas organizações, porque há a
possibilidade de existir muitos tipos de usuários que
precisam ser autenticados, diferentes níveis de acesso
que precisam ser autorizados, continuamente, e uma
contabilidade a qual necessita ser incluída, a fim de
monitorar como os recursos são acessados.
Aplicar as práticas
recomendadas
de acesso com
privilégios
mínimos
1
1
1
T E MA D E APRE N D IZAGEM 9
Os usuários individuais podem estar usando vários tipos de dispositivos,
desde laptops a telefones celulares, bem como diferentes sistemas operacionais
e navegadores da web (MUNIZ; CHIMES; RISLER, 2021). Imagine você, como
responsável por gerenciar os acessos remotos de uma VPN em uma organização,
precisando acomodar qualquer tipo de usuário — por exemplo, um usuário de
telefone Android que requer, apenas, acesso a um aplicativo interno específico
ou um administrador exigindo acesso total à rede interna a partir de uma área
de trabalho do Windows — esses fatores afetarão a abordagem recomendada ao
projeto de VPN de acesso remoto em uma organização.
Eu fui responsável, por bastante tempo, pelo gerenciamento dos acessos remotos no Exército Brasileiro. Era muito trabalhoso, pois os softwares-cliente deveriam funcionar para as diferentes versões dos sistemas operacionais Windows e
distribuições Linux. Quando um sistema operacional atualizava, eventualmente,
o aplicativo cliente VPN do usuário parava de funcionar.
Do ponto de vista do modelo de referência básico OSI, existem três tipos
principais de VPN (ISO, 2013):
VPNS DE CAMADA 2
As VPNs de camada 2 oferecem um recurso de LAN simulado, usando conexões
VPN executadas em uma rede de hospedagem, por exemplo, a rede de um provedor, para vincular sites de uma organização ou fornecer uma conexão remota a
uma organização. As ofertas típicas de provedores nessa área incluem o Virtual
Private Wire Service (VPWS), que fornece uma simulação de “conexão apenas
com fios”, ou o Virtual Private LAN Service (VPLS), o qual fornece um serviço de
LAN simulado mais completo.
VPNS DE CAMADA 3
As VPNs de camada 3 oferecem um recurso de WAN simulado, novamente, usando VPNs executadas em uma infraestrutura de rede. Essas ofertas fornecem aos
sites conectividade OSI Network Layer simulada. Uma atração básica, aqui, é a capacidade de usar esquemas de endereçamento IP privado em uma infraestrutura
pública, uma prática que não seria permitida em uma conexão IP pública “normal”.
Embora os endereços privados possam ser usados em redes públicas via NAT
(Network Address Translation), tal ação complicaria o estabelecimento e o uso da
VPN IPsec, ainda que existam soluções alternativas disponíveis.
1
1
1
UN I C ES UMA R
VPNS DE CAMADA SUPERIOR
As VPNs de camada superior são usadas para proteger transações em redes
públicas. Elas, normalmente, fornecem um canal seguro entre os aplicativos de
comunicação, garantindo, assim, a confidencialidade e a integridade dos dados
durante a transação. Esse tipo também pode ser conhecido como VPN de camada 4 porque a conexão VPN, de modo geral, é estabelecida sobre TCP, que é um
protocolo de camada 4.
O principal objetivo de segurança de uma VPN é a
proteção contra o acesso não autorizado. As VPNs
A segurança dos
podem, portanto, ser usadas para cumprir objetivos
clientes VPN
também não deve
mais amplos de segurança de rede, como: salvaguarser negligenciada
dar a informação em redes, em sistemas ligados a
redes e os serviços por eles utilizados, proteger a infraestrutura de rede de suporte e os sistemas de gestão
de rede (ISO, 2013).
Para atingir os objetivos descritos no parágrafo anterior, as VPNs devem ser
implementadas de forma a garantir a confidencialidade e a integridade dos
dados em trânsito entre terminais VPN, a autenticidade e autorização de usuários
e administradores de VPN, além da disponibilidade de terminais VPN e infraestrutura de rede (FRAHIM; SANTOS, 2010). Você aprenderá sobre cada um desses
requisitos em detalhes, a seguir.
A confidencialidade dos dados em trânsito no túnel não deve ser comprometida, o uso de tecnologias de túnel implica que dados e códigos em trânsito
não sejam visíveis a outros usuários da rede. No entanto, isso não significa que o
tráfego seja mantido em sigilo; em particular, os dados e códigos que fluem em
túneis não são protegidos de determinadas inspeções as quais usam analisadores
ou interceptores de dados. A preservação da confidencialidade dos dados e do
código durante o trânsito em túneis é, portanto, crucialmente dependente da
probabilidade de ocorrência de tais inspeções, o que, por sua vez, é um fator do
grau de confiança existente na rede subjacente que suporta a VPN, e esse grau
varia dependendo da propriedade da rede de trânsito.
Essa rede de trânsito, caso não esteja em um domínio confiável, ou caso os
dados e o código a serem transmitidos forem considerados confidenciais, poderão
1
1
1
T E MA D E APRE N D IZAGEM 9
ser necessários controles de segurança adicionais para proteger a confidencialidade. Nestas situações, o mecanismo de túnel empregado deve suportar criptografia
ou os itens a serem enviados devem ser criptografados offline, antes da transmissão pela VPN. A segurança dos clientes VPN também não deve ser negligenciada.
AP RO F U N DA NDO
Para aumentar a segurança de uma organização, os requisitos de segurança
aos end-points VPN também precisam ser considerados. Dessa forma, os computadores ou dispositivos móveis que possuem um cliente VPN da organização
instalados (end-points) devem garantir que haja, somente, tráfego de rede
controlado entre a rede atual do dispositivo e a VPN.
Pense o seguinte: antes de fechar a VPN entre o cliente VPN do seu computador e a
rede LAN da organização, você acessava a internet, livremente. Após o estabelecimento da conexão VPN entre o concentrador e o cliente, a organização tem a possibilidade de limitar o roteamento que existia antes do estabelecimento do túnel VPN.
Em algumas organizações, dispositivos móveis só conseguem estabelecer a conexão VPN se um app, previamente, instalado da organização verificar que o usuário
do dispositivo móvel está com o sistema operacional e o antivírus atualizados.
A integridade dos dados que estão em trânsito, no túnel, não deve ser comprometida. Os mecanismos utilizados para implementar o túnel VPN devem
suportar a verificação da integridade dos dados e códigos em trânsito, utilizando
técnicas como: códigos de verificação de mensagens, códigos de autenticação de
mensagens e mecanismos antirreplay. Se tal proteção não estiver disponível na
implementação do túnel ou se os dados ou o código a serem transmitidos forem,
particularmente, sensíveis, os controles de proteção de integridade precisam ser
implementados nos sistemas finais, de modo que essa proteção seja fornecida
de ponta a ponta.
A autenticidade das informações que cruzam redes IP públicas deve ser fornecida entre os pares participantes em uma VPN. O estabelecimento do túnel e o
processo de operação precisam ser apoiados por controles de autenticação, de modo
que cada extremidade do túnel possa ter certeza de estar se comunicando com o
ponto de extremidade do parceiro correto — o qual pode ser um sistema de acesso
remoto — e que os dados recebidos são originados da fonte autorizada correta.
1
1
1
UN I C ES UMA R
O estabelecimento do túnel e o processo de operação devem ser apoiados por
controles de autorização e incluir ACLs, o que garante que cada extremidade
do túnel seja um ponto de extremidade de parceiro autorizado — o qual pode
ser um sistema de acesso remoto — e que os dados recebidos são originados da
fonte autorizada correta.
A disponibilidade de túneis e, portanto, de VPNs, é uma função da disponibilidade da infraestrutura de rede de suporte e dos sistemas de ponto final, mas os
controles de segurança voltados a combater ataques de negação de serviço específicos aos mecanismos de túneis precisam ser incorporados, sempre que possível.
AP RO F U NDA NDO
Normalmente, os túneis VPN site a site são encerrados entre dois ou mais dispositivos de infraestrutura de rede, ao contrário da VPN de acesso remoto, cujos
túneis são formados por um dispositivo head-end VPN, uma estação de trabalho do usuário final ou um cliente VPN de hardware.
1
1
1
T E MA D E APRE N D IZAGEM 9
Até este ponto do Tema de Aprendizagem, você já leu, algumas vezes, o termo
IPsec. Já pensou por que ele é relevante quando se fala de VPN? IPsec é a sigla
para Segurança do Protocolo da Internet (Internet Protocol Security) e muitas
tecnologias VPN usam o encapsulamento IPsec para VPNs.
O IPsec é um conjunto de protocolos — incluindo AH, ESP, HMAC, IPComp e IKE — para proteger as comunicações IP por meio da autenticação do
remetente e do fornecimento de proteção de integridade e, opcionalmente, confidencialidade aos dados transmitidos. Ele usa criptografia de chave pública
para fornecer criptografia, controle de acesso, não repúdio e autenticação de
mensagens, todos usando protocolos com base em IP. O IPsec é um padrão de
extensões de segurança IP usado como complemento para IPv4 e integrado ao
IPv6 (CHAPPLE; STEWART; GIBSON, 2021).
O IPsec, como dito, anteriormente, não é um
protocolo único, mas sim uma coleção de protocoO IPsec é um
conjunto de
los. Abordaremos, com base em Chapple, Stewart e
protocolos
Gibson (2021), cada um deles, brevemente, a seguir.
CABEÇALHO DE AUTENTICAÇÃO (AUTHENTICATION HEADER – AH)
Fornece garantias de integridade e não repúdio da mensagem. O AH também
fornece a função de autenticação primária para IPsec, implementa o controle de
acesso à sessão e evita ataques de repetição.
ENCAPSULAMENTO DE CARGA ÚTIL DE SEGURANÇA (ENCAPSULATING
SECURITY PAYLOAD – ESP)
Fornece confidencialidade e integridade do conteúdo da carga útil. O ESP fornece
criptografia, oferece autenticação limitada e evita ataques de repetição. O moderno IPsec ESP, normalmente, usa criptografia padrão de criptografia avançada
(AES). A autenticação limitada permite que o ESP estabeleça os seus próprios
links sem usar AH bem como execute a reautenticação periódica no meio da
sessão, para detectar e responder ao sequestro de sessão. O ESP pode operar no
modo de transporte ou no modo de túnel e, enquanto ele executa, por meio de
criptografia, autenticação e confidencialidade, o protocolo Authentication Header
(AH) executa, apenas, a autenticação. Por conta disso, o AH não tem sido muito
usado e está obsoleto.
2
2
2
UN I C ES UMA R
CÓDIGO DE AUTENTICAÇÃO DE MENSAGEM BASEADO EM HASH
(HASH-BASED MESSAGE AUTHENTICATION CODE – HMAC):
É o principal mecanismo de hash ou integridade usado pelo IPsec.
COMPRESSÃO DE CARGA DE IP (IP PAYLOAD COMPRESSION – IPCOMP)
É uma ferramenta de compactação usada pelo IPsec para compactar dados antes de o
ESP criptografá-los e, assim, tentar acompanhar a transmissão de velocidade do cabo.
A NEGOCIAÇÃO E O GERENCIAMENTO DE PROTEÇÕES DE SEGURANÇA IPSEC
E AS CHAVES SECRETAS ASSOCIADAS SÃO TRATADAS PELO PROTOCOLO
INTERNET KEY EXCHANGE (IKE)
O IPsec usa criptografia de chave pública e criptografia simétrica para fornecer
criptografia (também conhecida como criptografia híbrida), troca segura de
chaves, controle de acesso, não repúdio e autenticação de mensagens, tudo
usando protocolos e algoritmos padrão da internet. O mecanismo do IPsec que
gerencia as chaves de criptografia é o Internet Key Exchange (IKE), o qual é composto por três elementos: OAKLEY, SKEME e ISAKMP.
O OAKLEY é um protocolo de geração e troca de chaves semelhante ao Diffie-Hellman. O Secure Key Exchange Mechanism (SKEME) é um meio de trocar
chaves com segurança, semelhante a um envelope digital. As implementações
modernas de IKE também usam, às vezes, ECDHE para troca de chaves. O Internet Security Association and Key Management Protocol (ISAKMP) é tem a função
de organizar e gerenciar as chaves de criptografia que foram geradas e trocadas
pela OAKLEY e SKEME. Uma associação de segurança é o método acordado
de autenticação e criptografia usado por duas entidades (um pouco como um
chaveiro digital). O ISAKMP costuma ser empregado em negociação e fornecimento de material de chave autenticado (um método comum de autenticação) às
associações de segurança, de maneira segura.
Cada VPN IPsec usa duas associações de segurança, uma para transmissão
criptografada, outra para recepção criptografada. Assim, cada VPN IPsec é
composta por dois canais de comunicação simplex que são criptografados, independentemente. O uso de duas associações de segurança por VPN pelo ISAKMP
permite que o IPsec ofereça suporte a várias VPNs simultâneas de cada host
(CHAPPLE; STEWART; GIBSON, 2021).
2
2
2
T E MA D E APRE N D IZAGEM 9
Caro(a) aluno(a), após compreender o IPsec, você será capaz de compreender o
último tópico de VPN deste tema. O uso principal do IPsec é destinado a redes
privadas virtuais (VPNs), portanto, ele pode operar no modo de transporte ou
no modo túnel.
MODO DE TRANSPORTE
As VPNs de modo de transporte são ancoradas ou terminam nos hosts individuais conectados entre si (CHAPPLE; STEWART; GIBSON, 2021). No modo de
transporte, o IPsec fornece proteção de criptografia apenas à carga útil, deixando
o cabeçalho da mensagem original intacto. Neste tipo de VPN, a comunicação
permanece criptografada enquanto está em trânsito entre os hosts conectados
e, como as VPNs de modo de transporte não criptografam o cabeçalho de uma
comunicação, é melhor usá-las, somente, em uma rede confiável entre sistemas
individuais. Se os dados a serem trafegados precisarem cruzar redes não confiáveis ​​ou se conectar a vários sistemas, o modo de túnel é o mais recomendado.
MODO TÚNEL
As VPNs de modo túnel terminam ou são ancoradas em dispositivos VPN nos
limites das redes conectadas ou em um dispositivo remoto (CHAPPLE; STEWART;
GIBSON, 2021). No modo de túnel, o IPsec fornece proteção de criptografia para a
carga útil e, também, para o cabeçalho da mensagem, encapsulando todo o pacote
de protocolo LAN original, adicionando o seu próprio cabeçalho IPsec temporário.
Com o objetivo de evidenciar a distinção entre esses dois modos de operação,
você deve observar, inicialmente, a Figura 5. Nela, a VPN de modo de transporte está ancorada, nas duas pontas, em hosts individuais conectados entre si,
enquanto a VPN de modo túnel é ancorada, nas duas extremidades, por gateways VPN (ou concentradores VPN) nas bordas das redes conectadas.
2
2
2
UN I C ES UMA R
Figura 5 - VPNs operando em modo de transporte e em modo de túnel
Fonte: adaptada de Wikimedia Commons (2010, on-line).
Descrição da Imagem: na parte superior esquerda da imagem, está a expressão “Modo transporte” logo acima
de duas figuras de computadores conectados por um tubo que atravessa uma nuvem nomeada “Internet”. Na
parte inferior esquerda, está a expressão “Modo túnel” logo acima de duas figuras nuvens que têm, em cada uma
delas, as figuras de três computadores e de um cubo com uma chave desenhada na face externa. Essas duas
nuvens com itens no seu interior estão conectadas por um tubo que atravessa uma nuvem nomeada “Internet”.
A segunda diferença entre os modos de operação que deve ficar claro é destacada
na Figura 6. No modo de transporte, o IPsec fornece proteção de criptografia,
apenas, para a carga útil (TCP + Payload) deixando o cabeçalho da mensagem
original intacto (IP). Por outro lado, o IPsec no modo de túnel fornece proteção de criptografia à carga útil e, também, ao cabeçalho da mensagem original
(IP + TCP + Payload). Para haver roteamento, o IPsec ESP adiciona o seu próprio
cabeçalho IPsec temporário (IP + ESP header).
2
2
2
T E MA D E APRE N D IZAGEM 9
Figura 6 - Uso do IPsec Encapsulating Security Payload (ESP) nos modos túnel e transporte
Fonte: adaptada de Wikimedia Commons (2020, on-line).
Descrição da Imagem: na parte central da imagem, há três blocos simbolizando um pacote TCP/IP. Da esquerda
para a direita, os blocos são nomeados como “IP”, “TCP” e “Payload”. Na parte superior da imagem, há seis blocos
ao lado da expressão “Modo transporte ESP”. Da esquerda para a direita, os blocos são nomeados como “IP”,
“Cabeçalho ESP”, “TCP”, “Payload”, “ESP trailer” e “Autenticação ESP”, além de um bloco nomeado “Criptografado”,
logo acima dos blocos TCP e “Payload”, e um bloco intitulado “Autenticado”, acima dos blocos “Cabeçalho ESP”,
“TCP”, “Payload” e “ESP trailer”. Na parte inferior da imagem, há sete blocos ao lado da expressão “Modo túnel
ESP”. Da esquerda para a direita, os blocos são nomeados como “IP”, “Cabeçalho ESP”, “IP”, novamente, “TCP”,
“Payload”, “ESP trailer” e “Autenticação ESP”, além de um bloco nomeado “Criptografado”, logo abaixo dos blocos
“IP”, “TCP” e “Payload”. Também há um bloco intitulado “Autenticado”, logo acima dos blocos “Cabeçalho ESP”, “IP”,
“TCP” “Payload” e “ESP trailer”.
Como foi apresentado neste tema, as organizações têm a possibilidade de utilizar VPN para integrar trabalhadores remotos ou escritórios em locais distantes.
Logicamente, os usuários da rede interna — os quais estão dentro das instalações
da organização — não precisam da VPN, pois podem usar a rede LAN cabeada.
Entretanto, mesmo dentro das instalações da organização, os usuários da rede
interna se locomovem, tornando muito útil o recurso de redes sem fios (wireless). As redes sem fios possuem uma série de problemas de segurança não
encontrados nas redes com fios ou redes cabeadas.
Relembrando: a rede wireless, normalmente, envolve comunicações entre dois
tipos de dispositivos — um cliente e um ponto de acesso — por broadcast, o que
torna essas comunicações muito mais suscetíveis à espreita e à interferência do
que as redes cabeadas.
2
2
2
UN I C ES UMA R
Esse dispositivo cliente pode ser um notebook, celulares ou outros dispositivos
portáteis. Com exceção dos notebooks, os dispositivos wireless, como smartphones e tablets, podem ter sistemas operacionais sofisticados, porém com recursos mais limitados de memória e processamento para combater as ameaças
— incluindo negação de serviço e malware — do que computadores pessoais
(STALLINGS, 2014). Para alguns dispositivos wireless específicos, como sensores e robôs, a sua localização costuma ser uma dificuldade adicional, quando
comparada a redes cabeadas, pelo fato de esses dispositivos terem a capacidade
de ficar isolados em locais remotos e/ou hostis, aumentando bastante a vulnerabilidade a ataques físicos.
Outra característica dos dispositivos wireless que contribui para o risco mais
alto à segurança das redes sem fio, em comparação com as redes cabeadas, é a sua
mobilidade, a qual resulta em uma série de riscos, afinal, uma rede local cabeada
oferece um grau de privacidade mais alto, limitando a recepção de dados a estações conectadas, fisicamente, a LAN, enquanto em uma rede sem fios, qualquer
estação wireless móvel dentro do alcance do rádio pode receber ou transmitir.
O ambiente sem fio consiste em três componentes que oferecem pontos de
ataques para hackers (ROHLING, 2020):
■ O cliente wireless.
■ O ponto de acesso wireless.
■ O meio de transmissão, que transporta as ondas de rádio para transferência de dados, também é uma fonte de vulnerabilidade.
Na transmissão dos dados entre os clientes ou terminais sem fio e o ponto de
acesso, os sinais são propagados pelo espaço aberto, sendo disseminados por todo
o ambiente e, assim, passíveis de captura por um hacker. Portanto, é necessário
implementar um mecanismo de segurança para garantir que os dados, casas
sejam capturados, não possam ser decodificados. O mecanismo utilizado para
essa proteção é uma técnica de criptografia que consiste em alterar os dados de
forma que eles não sejam decodificados sem a chave correta (ROHLING, 2020).
Dessa maneira, caro(a) aluno(a), mesmo em posse dos dados sejam capturados,
o hacker precisará conhecer a chave utilizada para, então, os decodificar.
2
2
2
T E MA D E APRE N D IZAGEM 9
VOCÊ SABE RESPONDER?
Como os dados da comunicação wireless podem ser capturados?
O modo mais comum é por meio de um ataque conhecido como war driving:
ele consiste no uso de equipamentos computacionais com antenas de alto ganho
— o que permite a esse equipamento, geralmente, um notebook, estar distante,
fisicamente, do ponto de acesso — além de softwares específicos para a captura
dos pacotes da rede, como o Wireshark. O atacante, com esses equipamentos e
recursos de software, consegue obter informações da rede, tais como criptografia,
SSID (“nome da rede wifi”) e outras informações facilitadoras de um futuro ataque. Você, como um(a) futuro(a) profissional de segurança, deve ficar atento(a)
ao fato de ser mais fácil para o hacker fazer o acesso já dentro da rede interna,
pela rede WLAN, pois o acesso à rede interna das empresas a partir da internet
é dificultada pelo uso de equipamentos de firewall.
Para a prevenção dos ataques às redes wireless,
as duas principais técnicas utilizadas são a autenticação e a criptografia. O padrão IEEE 802.11 oriConsiste no uso
ginal definiu dois métodos que os clientes sem fio
de equipamentos
podem usar para se autenticar em pontos de acesso
computacionais
sem fio antes que as comunicações de rede normais
com antenas de
alto ganho
tenham a chance de ocorrer no link wireless. Esses
dois métodos são a autenticação de sistema aberto e
a autenticação de chave compartilhada (CHAPPLE;
STEWART; GIBSON, 2021).
2
2
2
UN I C ES UMA R
AP RO F U NDA NDO
No padrão aberto, não é necessária a utilização de senha, significando que
nenhuma autenticação real é necessária. Dessa forma, desde que um sinal de
rádio possa ser transmitido entre o cliente e o ponto de acesso, as comunicações são permitidas (ROHLING, 2020). Também acontece de as redes sem fio
que usam autenticação de padrão aberto, normalmente, transmitirem tudo em
texto não criptografado, ou seja, sem sigilo ou segurança (CHAPPLE; STEWART;
GIBSON, 2021). Esse modelo é, de modo geral, utilizado em redes que fornecem
acesso gratuito à internet, como algumas cafeterias em grandes cidades. A autenticação de sistema aberto é menos segura do que a autenticação de chave
compartilhada, pois, nessa última, o tráfego é criptografado.
Na implementação da autenticação de chave compartilhada, alguma forma de
autenticação deve ocorrer antes que as comunicações na rede sem fio tenham
chance de ocorrer. Por conta disso, é utilizada uma senha secreta, que também é
chamada de chave. Esta deve ser a mesma tanto no ponto de acesso quanto nas
estações terminais que se conectam ao ponto de acesso (CHAPPLE; STEWART;
GIBSON, 2021). A chave secreta precisa ser conhecida, apenas, pelo terminal e
pelo ponto de acesso, não deve ser transmitida pela rede wireless (ROHLING,
2020). Atualmente, a maior parte dos estabelecimentos comerciais oferecem uma
rede sem fio para o acesso à internet com autenticação de chave compartilhada,
obrigando os clientes a questionarem: “qual a senha do wifi?”
Como discutimos, a autenticação de chave compartilhada utiliza criptografia.
Serão apresentados, a seguir, os principais protocolos de comunicação para uso
em redes sem fio que incorporam os recursos de autenticação e criptografia.
Segundo Rohling (2020), o primeiro padrão de criptografia adotado, publicado em 1999, se propunha a implementar o mesmo nível de segurança de uma
rede cabeada, de onde vem o seu nome “privacidade equivalente com fio” (Wired
Equivalent Privacy – WEP). O WEP foi definido pelo padrão IEEE 802.11 original e se baseia em um processo de criptografia de chaves simétricas, ou seja,
a mesma chave deve ser configurada no terminal e no ponto de acesso.
O WEP usa uma chave secreta compartilhada predefinida do Rivest Cipher 4
(RC4) para autenticação e criptografia durante todo o processo de comunicação,
mas, em virtude da evolução da capacidade de processamento dos dispositivos,
tornou-se vulnerável à quebra de chave por força bruta, isto é, por tentativa e erro
2
2
2
T E MA D E APRE N D IZAGEM 9
(CHAPPLE; STEWART; GIBSON, 2021). Desde 2004, esse padrão não é mais
reconhecido pela Wi-Fi Alliance como um método de criptografia a ser utilizado
em redes wireless (ROHLING, 2020). Por ser um método chamado de legado,
entretanto, praticamente todos os dispositivos wifi ainda o suportam, tendo-o
como opção na configuração dos dispositivos.
Com os computadores existentes, hoje, é possível quebrar a segurança do
WEP em menos de um minuto. Felizmente, existem alternativas ao WEP que
você deve usar (CHAPPLE; STEWART; GIBSON, 2021).
Tendo o padrão WEP tornado-se inseguro, foi
publicado o padrão Acesso Protegido por Wi-Fi
(Wi-Fi Protected Access – WPA), em 2003, com um
É possível quebrar
nível de segurança muito mais alto do que o WEP,
a segurança do
apesar de se basear nele. O WPA era uma correção
WEP em menos de
temporária para substituir o WEP até que a nova
um minuto
emenda ao padrão IEEE 802.11i fosse concluída
(CHAPPLE; STEWART; GIBSON, 2021).
O WPA é uma melhoria significativa em relação ao WEP, porque não usa a mesma chave estática para criptografar todas as comunicações, em vez disso, o WPA
negocia um conjunto de chaves exclusivo com cada host (CHAPPLE; STEWART;
GIBSON, 2021). A principal alteração foi a utilização de chaves temporais, modificando a chave secreta a cada pacote transmitido. Dessa forma, o ataque
do tipo força bruta é neutralizado, afinal, para esse tipo de ataque ser eficiente, é
necessário usar a mesma chave que, ao ser quebrada, permite a decodificação de
toda a transmissão (ROHLING, 2020).
Além disso, o WPA separou a autenticação da criptografia, porque usa o algoritmo RC4 e emprega o Temporal Key Integrity Protocol (TKIP), o qual processa a
troca de chave durante a transmissão. O TKIP foi projetado como uma medida
temporária para oferecer suporte a recursos WPA, mas dispensando a exigência
da substituição de hardware sem fio legado.
Caros(as) alunos(as), o WPA, no entanto, não é mais seguro. Ataques específicos tornaram a segurança dele não confiável, e o WPA foi, oficialmente, substituído pelo WPA2, enquanto o TKIP foi descontinuado e não é mais considerado
seguro desde 2012 (CHAPPLE; STEWART; GIBSON, 2021).
2
2
2
UN I C ES UMA R
O IEEE 802.11i ou Wi-Fi Protected Access 2 (WPA2) substituiu o WEP
e o WPA. O padrão WPA2 utiliza um algoritmo de criptografia mais forte do
que o RC4: o Advanced Encryption Standard (AES). Como é de se esperar, um
algoritmo mais complexo, como o AES, certamente, exige mais capacidade de
processamento dos dispositivos sem fio, podendo afetar a percepção do usuário
quanto à velocidade de acesso à rede, devido ao fato de o equipamento precisar
decodificar todos os pacotes com um algoritmo matemático complexo, o que
torna a comunicação mais lenta (ROHLING, 2020). Por conta disso, alguns equipamentos wireless mais antigos não suportam o WPA 2.
O WPA2/802.11i definiu duas opções de autenticação, ambas conhecidas como chave pré-compartilhada e IEEE 802.1X ou empresarial. Já vimos
O IEEE 802.11i ou
que a chave pré-compartilhada trata do uso de uma
Wi-Fi Protected
senha fixa estática à autenticação, mas, como noviAccess 2 (WPA2)
dade, a autenticação IEEE 802.1X ou empresarial
substituiu o WEP e
permite a utilização de um serviço de Autenticação,
o WPA
Autorização e Auditoria (AAA) existente na organização — como RADIUS ou TACACS+ — para autenticação (CHAPPLE; STEWART; GIBSON, 2021).
ZO O M N O CO NHEC I M ENTO
O RADIUS é um sistema cliente-servidor distribuído que protege as redes
contra o acesso não autorizado. O cliente é executado em switches e envia
solicitações de autenticação para o servidor central, que contém todas as informações de autenticação de usuário e acesso ao serviço de rede. O RADIUS
é um protocolo, totalmente, aberto, distribuído em formato de código-fonte,
que pode ser modificado para funcionar com qualquer sistema de segurança,
atualmente, disponível no mercado. Esse sistema utiliza, de forma geral, a porta
UDP 1812 para comunicação.
TACACS+ é um protocolo cliente-servidor que usa TCP (porta TCP 49) aos requisitos de transporte. Também é utilizado em serviços de Autenticação, Autorização e Auditoria.
2
2
2
T E MA D E APRE N D IZAGEM 9
Apesar do protocolo WPA2 ainda estar ativo, já existe o protocolo Wi-Fi Protected Access 3 (WPA3), lançado em janeiro de 2018. O WPA3 substituiu a autenticação de chave pré-compartilhada pela autenticação simultânea de iguais
(Simultaneous Authentication of Equals – SAE). A autenticação simultânea de
iguais (SAE) ainda usa uma senha, porém não criptografa mais e envia essa senha
pela conexão, a fim de realizar a autenticação.
O SAE executa um processo de prova de conhecimento zero conhecido como
Dragonfly Key Exchange, um derivado do algoritmo Diffie-Hellman. O processo
usa a senha predefinida bem como os endereços MAC do cliente e do ponto de
acesso para realizar a autenticação e a troca de chaves de sessão (CHAPPLE;
STEWART; GIBSON, 2021). Alguns dispositivos 802.11ac/Wi-Fi 5 foram os
primeiros a suportar ou adotar o WPA3.
Estamos concluindo este tema, mas, antes, falarei um pouco sobre as perspectivas de carreira na cibersegurança. Devido ao crescimento exponencial do
mercado digital e, também, à evolução da sua complexidade, a necessidade de
profissionais de cibersegurança é cada vez maior. De acordo com a pesquisa intitulada Cybersecurity Workforce Study, da Security Certifications Organization
(ISC2, 2022), a escassez global de profissionais na área atingiu 4,7 milhões em
2022, tendo aumentado 1,8 milhões há apenas cinco anos, em 2017.
A pesquisa da Security Certifications Organization (ISC2, 2022) apontou a
defasagem de 2,7 milhões de profissionais no mundo, sendo mais de 400 mil no
Brasil. Segundo a pesquisa, o déficit de mão de obra de cibersegurança ocasiona
diversos riscos aos negócios, tais como: sistemas lentos e/ou mal configurados,
lentidão na correção de problemas, vulnerabilidade das redes e maiores brechas
para cibercrimes (ISC2, 2022).
2
2
2
UN I C ES UMA R
Agora que já sabe da existência de um mercado na área de cibersegurança, você, provavelmente, quer saber como o profissional pode atuar nessa área.
Apresentarei as subáreas de atuação, então, você buscará se especializar na que
mais te interessar:
SEGURANÇA DA REDE
O profissional desse setor é responsável por garantir que todos os componentes
de rede da empresa estejam protegidos contra ameaças e possíveis vazamentos
de informações, ou seja, ele costuma ser a primeira linha de defesa da organização. Para trabalhar nesse departamento, é necessário ter conhecimento em
protocolos de segurança de rede e, também, em ameaças mais comuns a esses
sistemas.
SEGURANÇA DE INFORMAÇÕES E DADOS
Quem atua nessa área precisa proteger os dados da empresa, inclusive os dos
usuários, contra roubos, mudanças e remoção. Se quiser ser um bom especialista
nesse tipo de cibersegurança, o profissional precisa ter conhecimento em gerenciamento de riscos, políticas ISO e arquitetura de segurança.
SEGURANÇA DA NUVEM
Com tantos arquivos e dados sendo compartilhados na nuvem, não é à toa que
existe uma área da cibersegurança, totalmente, dedicada a essa situação. O
profissional dessa área garante que os usuários façam o uso seguro de aplicativos, da web e da transferência de arquivos. Para atuar nesse setor, é interessante conhecer linguagens de programação, como a Phyton, e plataformas de
serviços na nuvem, como a Amazon AWS.
SEGURANÇA DE APLICAÇÃO
Nesse departamento, o especialista fica responsável por encontrar e ajustar
vulnerabilidades no código-fonte dos computadores, da web e dos dispositivos
móveis. É interessante que esse profissional seja familiarizado com, pelo menos,
uma linguagem de programação.
2
2
2
T E MA D E APRE N D IZAGEM 9
E M FO CO
Quer saber mais sobre o tema?
Acesse a aula que preparamos para você!
NOVOS DESAFIOS
Chegamos ao fim deste Tema de Aprendizagem!
Assim como qualquer área da tecnologia, a cibersegurança tem como premissa profissionais que estejam capacitados, tecnicamente, bem como atualizados
a respeito das principais demandas do mercado. Desse modo, o primeiro passo
para ser um profissional desse setor é estar apto a aprender de forma contínua.
Assim, aproveite e realize algumas atividades, a fim de rever e fixar mais
alguns conceitos. Caso você precise, retorne ao conteúdo.
2
2
2
VAMOS PRATICAR
1. O uso de VPNs pelas organizações pode trazer alguns benefícios à operação diária
dela. Analise os itens, a seguir, e identifique qual deles contém todos os itens corretos:
I - As organizações podem usar VPNs para reduzir os seus custos de conectividade, em
comparação ao aluguel de um link de uma operadora.
II - Os protocolos de criptografia e autenticação em uma VPN não são tão avançados na
proteção dos dados da organização.
III - As organizações podem usar a internet para interconectar, facilmente, novos escritórios, por meio da VPN.
IV - Só há um modo possível de implementar uma VPN.
É correto o que se afirma em:
a)
b)
c)
d)
e)
Somente I e II.
Somente I e III.
Somente I e IV.
Somente II e III.
Somente II e IV.
2. As VPNs têm vários tipos de classificação. Eles possuem relação com quais dispositivos
são usados no estabelecimento da comunicação segura, ou ainda, com o número de
usuários que estão utilizando a VPN. Com relação aos tipos de VPN, assinale a alternativa correta:
a) Uma VPN site a site conecta diferentes localidades por meio de redes confiáveis,
como a internet.
b) Usuários remotos que utilizam laptops, tablets ou smartphones e precisam de acesso
à rede corporativa interna não podem fazer uso de VPN de acesso remoto.
c) As arquiteturas de VPN de acesso remoto atuais exigem dois componentes fundamentais: o cliente VPN e o concentrador VPN.
d) Uma variação da VPN de acesso remoto é a VPN SSL, mas, nesse modo, o acesso
remoto ainda precisa utilizar um software cliente de VPN.
e) Em alguns cenários, a comunicação entre dois dispositivos VPN tem chance de ocorrer
sem criptografia.
2
2
2
VAMOS PRATICAR
3. Do ponto de vista do modelo de referência básico OSI, é possível estabelecer VPNs em
diferentes camadas do modelo OSI. Assinale a alternativa a qual apresenta as camadas
do modelo OSI para as quais existem tipos de VPN disponíveis:
a)
b)
c)
d)
e)
Camadas 2, 3 e 4.
Camadas 2, 3 e 5.
Camadas 2, 4 e 5.
Camadas 3, 4 e 5.
Camadas 1, 2 e 3.
4. O IPsec é um conjunto de protocolos para proteger as comunicações IP por meio da
autenticação do remetente e do fornecimento de proteção de integridade e, opcionalmente, confidencialidade aos dados transmitidos. Com relação ao IPsec e os seus
componentes, assinale a alternativa correta:
a) O Authentication Header (AH) executa autenticação e confidencialidade, por meio de
criptografia, enquanto o protocolo Encapsulating Security Payload (ESP) executa,
apenas, a autenticação.
b) IP Payload Compression (IPComp) é o principal mecanismo de hash ou integridade
usado pelo IPsec.
c) No modo de transporte, o IPsec fornece proteção de criptografia para a carga útil e,
também, para o cabeçalho da mensagem.
d) A negociação e o gerenciamento de proteções de segurança IPsec e as chaves secretas associadas são tratadas pelo Internet Key Exchange (IKE).
e) No modo de túnel, o IPsec fornece proteção de criptografia, apenas, à carga útil,
deixando o cabeçalho da mensagem original intacto.
2
2
2
VAMOS PRATICAR
5. As redes sem fios possuem uma série de problemas de segurança não encontrados
nas redes com fios ou redes cabeadas. Analise os itens, a seguir sobre redes sem fio,
e veja a qual contém todos os itens corretos.
I - O WEP usa uma chave secreta compartilhada predefinida do Rivest Cipher 4 (RC4)
que é um algoritmo de criptografia mais forte do que o Advanced Encryption Standard (AES).
II - O ambiente sem fio consiste em três componentes que oferecem pontos de ataques
a hackers: o cliente wireless, o ponto de acesso wireless e o meio de transmissão.
III - Na autenticação de sistema aberto, não é necessária a utilização de senha, significando, assim, que nenhuma autenticação real é necessária. Logo, a autenticação de
sistema aberto é mais segura do que a autenticação de chave compartilhada.
IV - A autenticação IEEE 802.1X ou empresarial trazida pelo WPA2 permite a utilização de
um serviço de Autenticação, Autorização e Auditoria existente na organização, como
RADIUS ou TACACS+, para autenticação.
É correto o que se afirma em:
a)
b)
c)
d)
e)
Somente I e II.
Somente I e III.
Somente I e IV.
Somente II e III.
Somente II e IV.
2
2
2
REFERÊNCIAS
AGUIRRE, A. Trabalho remoto e VPNs: como garantir sua segurança. Ciso Advisor, 22 abr.
2020. Disponível em: https://www.cisoadvisor.com.br/trabalho-remoto-e-riscos-das-vpns-como-garantir-sua-seguranca/. Acesso em: 29 nov. 2022.
BAKNI, M. Remote Acess VPN-eng.svg. 2019c. 1 gravura. Disponível em: https://commons.wikimedia.org/wiki/File:Remote_Acess_VPN-en.svg. Acesso em: 30 nov. 2022.
BAKNI, M. Site-to-Site VPN-en.svg. 2019a. 1 gravura. Disponível em: https://commons.
wikimedia.org/wiki/File:Site-to-site_VPN-en.svg. Acesso em: 29 nov. 2022.
BAKNI, M. SSL VPN Topology-en.svg. 2019d. 1 gravura. Disponível em: https://commons.
wikimedia.org/wiki/File:SSL_VPN_Topology-en.svg. Acesso em: 30 nov. 2022.
BAKNI, M. VPN overview-en.svg. 2019b. 1 gravura. Disponível em: https://commons.wikimedia.org/wiki/File:VPN_overview-en.svg. Acesso em: 29 nov. 2022.
CHAPPLE, M.; STEWART, J. M.; GIBSON, D. (ISC) 2 CISSP – Certified Information Systems
Security Professional Official Study Guide. 9th ed. Alameda: Sybex, 2021.
FRAHIM, J.; SANTOS, O. Cisco ASA: All-in-One Firewall, IPS, Anti-X, and VPN Adaptive Security Appliance. 2nd ed. Indianapolis: Cisco Press, 2010.
GARGANO, P. 31 Days Before Your CCNA Security Exam: a day-by-day review guide for
the IINS 210-260 certification exam. 1st ed. Indianapolis: Cisco Press, 2016.
ISC2. Cybersecurity Workforce Study: Security Certifications Organization 2022. [S. l.]:
ISC2, 2022. Disponível em: https://www.isc2.org//-/media/ISC2/Research/2022-WorkForce-Study/ISC2-Cybersecurity-Workforce-Study.ashx. Acesso em: 30 nov. 2022.
ISO. ISO/IEC 27033:2013. Information Technology – Security Techniques – Network Security — Part 5: Securing Communications Across Networks Using Virtual Private Networks
(VPNs). Geneva: ISO, 2013.
MUNIZ, J.; CHIMES, S.; RISLER, J. CCNP Security Virtual Private Networks SVPN 300730: Official Cert Guide. Indianapolis: Cisco Press, 2021.
ROHLING, L. J. Segurança de Redes de Computadores. 1. ed. Curitiba: Contentus, 2020.
Disponível em: https://www.bvirtual.com.br/NossoAcervo/Publicacao/191628. Acesso em:
30 nov. 2022.
SINGH, A.; MALLICK, A. A Survey on Virtual Private Network. In: NCCRICS – NATIONAL
CONFERENCE ON CONTEMPORARY RESEARCH AND INNOVATIONS IN COMPUTER SCIENCE,
2017, [s. l.]. Proceedings [...]. [S. l.]: NCCRICS, 2017.
STALLINGS, W. Criptografia e Segurança de Redes: Princípios e Práticas. 6. ed. São Paulo: Pearson Universidades, 2014.
2
2
2
REFERÊNCIAS
THALES GROUP. 2022 Thales Access Management Index: Building Zero Trust with Modern
Access Security. [S. l.]: Thales Group, 2022. 8 slides, color. Disponível em: https://cpl.thalesgroup.com/sites/default/files/2022-09/2022-access-management-index-in.pdf. Acesso
em: 29 nov. 2022.
WIKIMEDIA COMMONS. IPsec-esp-tunnel-and-transport.svg. 2020. 1 gravura. Disponível em: https://en.wikipedia.org/wiki/File:Ipsec-esp-tunnel-and-transport.svg. Acesso em:
30 nov. 2022.
WIKIMEDIA COMMONS. IPsec-modes.svg. 2010. 1 gravura. Disponível em: https://commons.wikimedia.org/wiki/File:Ipsec-modes.svg. Acesso em: 30 nov. 2022.
2
2
2
CONFIRA SUAS RESPOSTAS
1. B. Os protocolos avançados de criptografia e autenticação em uma VPN são suficientes
para proteger os dados de uma organização. No tema de aprendizagem, foram apresentados diversos modos de implementação de VPN, como site a site e de acesso remoto.
2. C. Uma VPN site a site conecta diferentes locais por meio de redes não confiáveis, tipo
a internet. Usuários remotos que utilizam laptops, tablets ou smartphones e precisam
de acesso à rede corporativa interna têm a opção de usar VPN de acesso remoto. Uma
variação é a VPN SSL. Ela fornece um conjunto de serviços de segurança semelhantes
aos serviços de segurança fornecidos pelo IPsec. A tecnologia SSL VPN tornou-se popular
para a implementação de VPNs de acesso remoto com ou sem o uso de software cliente.
Não existe nenhum cenário em que a comunicação entre dois dispositivos VPN possa
ocorrer sem criptografia.
3. A. Do ponto de vista do Modelo de Referência Básico OSI, existem três tipos principais de
VPN: as VPNs de camada 2, 3 e 4.
4. D. A negociação e gerenciamento de proteções de segurança IPsec e as chaves secretas associadas são tratadas pelo Internet Key Exchange (IKE). Lembrete: o ESP executa
autenticação e confidencialidade (por meio de criptografia); o protocolo Authentication
Header (AH) executa, apenas, a autenticação; O HMAC é o principal mecanismo de hash
ou integridade usado pelo IPsec; No modo de transporte, o IPsec fornece proteção de
criptografia, apenas, para a carga útil, deixando o cabeçalho da mensagem original intacto. No modo de túnel, o IPsec fornece proteção de criptografia à carga útil e, também,
ao cabeçalho da mensagem.
5. E. Como vimos no tema, o ambiente sem fio consiste em três componentes que oferecem pontos de ataques para hackers: o cliente wireless, o ponto de acesso wireless e
o meio de transmissão. A autenticação IEEE 802.1X ou empresarial, trazida pelo WPA2,
permite a utilização de um serviço de Autenticação, Autorização e Auditoria existente na
organização, como RADIUS ou TACACS+, para autenticação. Lembrete: o WEP usa uma
chave secreta compartilhada predefinida do Rivest Cipher 4 (RC4), mas esse algoritmo de
criptografia é menos forte do que o Advanced Encryption Standard (AES). A autenticação de sistema aberto é menos segura do que a autenticação de chave compartilhada,
pois, nessa última, o tráfego é criptografado.
2
2
2