Cartilha Seguranca Internet

Comit Gestor da Internet no Brasil
Cartilha de Segurana
para Internet
Verso 3.1
2006
Cartilha de Seguranc a
para Internet
Vers ao 3.1
2006
Centro de Estudos, Resposta e Tratamento
de Incidentes de Seguranca no Brasil
Comit e Gestor da Internet no Brasil
S ao Paulo
Copyright c 2006 Comit e Gestor da Internet no Brasil
Copyright c 2006 CERT.br
Cartilha de Seguranca para Internet, vers ao 3.1 / CERT.br S ao Paulo: Comit e Gestor da Internet no
Brasil, 2006.
ISBN: 978-85-60062-06-5
ISBN: 85-60062-06-8
Textos e Revis ao: Equipe do CERT.br
Jornalista Respons avel: Mariana Balboni, MTB 28.997
Comit e Gestor da Internet no Brasil
http://www.cgi.br/
Tel: +55 11 5509-3511
Fax: +55 11 5509-3512
Pref acio
A Cartilha de Seguranca para Internet e um documento com recomendac oes e dicas sobre como
o usu ario de Internet deve se comportar para aumentar a sua seguranca e se proteger de possveis
ameacas.
Produzido pelo Centro de Estudos, Resposta e Tratamento de Incidentes de Seguranca no Brasil
CERT.br, com o apoio do Comit e Gestor da Internet no Brasil CGI.br, o documento apresenta o
signicado de diversos termos e conceitos utilizados na Internet e fornece uma s erie de procedimentos
que visam melhorar a seguranca de um computador.
N os esperamos que esta Cartilha possa auxili a-lo n ao s o a compreender as ameacas do ambi-
ente Internet, mas tamb em a manter seu sistema mais seguro. Gostaramos ainda de lembrar que e
muito importante car sempre atento ao usar a Internet, pois somente aliando medidas t ecnicas a boas
pr aticas e possvel atingir um nvel de seguranca que permita o pleno uso da Internet.
Caso voc e tenha alguma sugest ao para este documento ou encontre algum erro, por favor, entre
em contato atrav es do endereco doc@cert.br.
Equipe do CERT.br
Outubro de 2006
Estrutura da Cartilha
Este documento conta com oito partes, que dividem o conte udo em diferentes areas relacionadas
com a seguranca da Internet, al em de um gloss ario, um checklist e uma compilac ao de dicas r apidas.
Parte I: Conceitos de Seguranca
Apresenta conceitos gerais de seguranca de computadores, importantes para o entendimento
das partes subseq uentes.
Parte II: Riscos Envolvidos no Uso da Internet e M etodos de Prevenc ao
Aborda diversos riscos envolvidos no uso da Internet e m etodos de prevenc ao, como programas
que possibilitam aumentar a seguranca de um computador e medidas preventivas no dia-a-dia
do uso da Internet.
Parte III: Privacidade
Discute quest oes relacionadas ` a privacidade do usu ario ao utilizar a Internet e aos cuidados que
ele deve ter com seus dados pessoais.
iii
iv Cartilha de Seguranca para Internet c 2006 CERT.br
Parte IV: Fraudes na Internet
S ao abordadas quest oes relacionadas a fraudes na Internet e medidas preventivas que devem ser
adotadas no acesso a sites de com ercio eletr onico ou Internet Banking.
Parte V: Redes de Banda Larga e Redes Sem Fio (Wireless)
E dedicada aos usu arios de conex oes banda larga e de redes sem o, sendo discutidas as
implicac oes de seguranca e m etodos de prevenc ao peculiares a estes ambientes.
Parte VI: Spam
S ao discutidos os problemas acarretados pelo spam, principalmente aqueles que possam ter
implicac oes de seguranca, e m etodos de prevenc ao.
Parte VII: Incidentes de Seguranca e Uso Abusivo da Rede
Trata dos conceitos relacionados a incidentes de seguranca, t ecnicas de detecc ao e recomenda-
c oes sobre como proceder para noticar ataques recebidos via Internet.
Parte VIII: C odigos Maliciosos (Malware)
Agrupa informac oes detalhadas sobre os tipos mais comuns de c odigos maliciosos que podem
infectar os computadores dos usu arios, dando enfase no tipo de ameaca que cada c odigo oferece
e quais s ao as medidas de prevenc ao especcas para cada caso.
Gloss ario
Apresenta denic oes de diversos termos usados na Cartilha.
Checklist
Consiste em um resumo das boas pr aticas discutidas ao longo da Cartilha e que devem ser
adotadas pelos usu arios para se previnirem das ameacas discutidas. Pode ser usado como um
guia r apido para conferir se as boas pr aticas est ao sendo seguidas.
Dicas
Compilac ao de dicas b asicas de seguranca, que re unem formas de prevenc ao contra os proble-
mas mais freq uentes enfrentados pelos usu arios de Internet.
Outros Formatos
A Cartilha de Seguranca para Internet e um documento p ublico e gratuito, disponvel no site
http://cartilha.cert.br/, em diversos formatos:
arquivo PDF deste livro;
arquivos PDF de cada uma das partes, do gloss ario e do checklist;
dois folders de dicas:
em frente e verso (dobr avel);
em tamanho A4;
vers ao em HTML de todo o conte udo.
Pref acio v
Licenca de Uso da Cartilha
Este documento e Copyright c 20002006 CERT.br. Ele pode ser livremente distribudo desde
que sejam respeitadas as seguintes condic oes:
1.

E permitido fazer e distribuir gratuitamente c opias impressas inalteradas deste documento,
acompanhado desta Licenca de Uso e de instruc oes de como obt e-lo atrav es da Internet.
2.

E permitido fazer links para a p agina http://cartilha.cert.br/, ou para p aginas dentro
deste site que contenham partes especcas da Cartilha.
3. Para reproduc ao do documento, completo ou em partes, como parte de site ou de outro tipo de
material, deve ser assinado um Termo de Licenca de Uso, e a autoria deve ser citada da seguinte
forma: Texto extrado da Cartilha de Seguranca para Internet, desenvolvida pelo CERT.br,
mantido pelo NIC.br, com inteiro teor em http://cartilha.cert.br/.
4.

E vedada a exibic ao ou a distribuic ao total ou parcial de vers oes modicadas deste docu-
mento, a produc ao de material derivado sem expressa autorizac ao do CERT.br, bem como a
comercializac ao no todo ou em parte de c opias do referido documento.
Informac oes sobre o Termo de Licenca de Uso podem ser solicitadas para doc@cert.br. Embora
todos os cuidados tenham sido tomados na preparac ao deste documento, o CERT.br n ao garante a
correc ao absoluta das informac oes nele contidas, nem se responsabiliza por eventuais conseq u encias
que possam advir do seu uso.
Hist orico da Cartilha
No incio de 2000, um grupo de estudos que, entre outros, envolveu a Abranet e o CERT.br (que
` a epoca chamava-se NBSO NIC BR Security Ofce), identicou a necessidade de um guia com
informac oes sobre seguranca que pudesse ser usado como refer encia pelos diversos setores usu arios
de Internet. Como conseq u encia, a pedido do Comit e Gestor da Internet no Brasil e sob supervis ao
do CERT.br, em julho do mesmo ano foi lancada a Cartilha de Seguranca para Internet Vers ao 1.0.
Em 2003 foi vericada a necessidade de uma revis ao geral do documento, que n ao s o inclusse
novos t opicos, mas que tamb em facilitasse sua leitura e a localizac ao de assuntos especcos. Neste
processo de revis ao a Cartilha foi completamente reescrita, dando origem ` a vers ao 2.0. Esta vers ao,
a primeira totalmente sob responsabilidade do CERT.br, consolidou o formato e a base de conte udo
que at e hoje comp oem o documento, trazendo a divis ao em partes, o checklist e o gloss ario. Tamb em
nesta vers ao foram introduzidas as sec oes relativas a fraudes na Internet, banda larga, redes sem o,
spam e incidentes de seguranca.
Na vers ao 3.0, de 2005, a Cartilha continuou com sua estrutura, mas, devido ` a evoluc ao da tec-
nologia, novos assuntos foram includos. Foi criada uma parte especca sobre c odigos maliciosos,
expandida a parte sobre seguranca de redes sem o e includos t opicos especcos sobre seguranca
em dispositivos m oveis, como telefones celulares e computadores de m ao. Esta vers ao tamb em foi
a primeira a disponibilizar um folheto com as dicas b asicas para protec ao contra as ameacas mais
comuns.
A vers ao 3.1 n ao introduziu partes novas, mas incorporou diversas sugest oes de melhoria recebi-
das, corrigiu alguns erros de digitac ao e atendeu a um pedido de muitos leitores: lanc a-la em formato
de livro, para facilitar a leitura e a impress ao do conte udo completo.
Agradecimentos
Agradecemos a todos leitores da Cartilha, que t emcontribudo para a elaborac ao deste documento,
enviando coment arios, crticas, sugest oes ou revis oes.
Agradecemos especialmente a Nelson Murilo pela contribuic ao na Parte V, em particular redes
sem o; a Luiz E. R. Cordeiro pelo texto da primeira vers ao; a Marcelo H. P. C. Chaves pela produc ao
da Vers ao 2.0, que deu origem ao documento atual, e por ser o principal mantenedor da Cartilha; e
a Rafael Rodrigues Obelheiro por ter sido nosso revisor externo e por ter contribudo com diversas
id eias para t opicos a serem abordados no documento.
vii
Sum ario
Pref acio iii
Agradecimentos vii
Lista de Figuras xix
Parte I: Conceitos de Seguranca 1
1.1 Seguranca de Computadores . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1
1.1.1 Por que devo me preocupar com a seguranca do meu computador? . . . . . . 1
1.1.2 Por que algu em iria querer invadir meu computador? . . . . . . . . . . . . . 2
1.2 Senhas . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2
1.2.1 O que n ao se deve usar na elaborac ao de uma senha? . . . . . . . . . . . . . 3
1.2.2 O que e uma boa senha? . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3
1.2.3 Como elaborar uma boa senha? . . . . . . . . . . . . . . . . . . . . . . . . 3
1.2.4 Quantas senhas diferentes devo usar? . . . . . . . . . . . . . . . . . . . . . 3
1.2.5 Com que freq u encia devo mudar minhas senhas? . . . . . . . . . . . . . . . 4
1.2.6 Quais os cuidados especiais que devo ter com as senhas? . . . . . . . . . . . 4
1.2.7 Que cuidados devo ter com o usu ario e senha de Administrator (ou root) em
um computador? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5
1.3 Cookies . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5
1.4 Engenharia Social . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6
1.4.1 Que exemplos podem ser citados sobre este m etodo de ataque? . . . . . . . . 6
1.5 Vulnerabilidade . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7
1.6 C odigos Maliciosos (Malware) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7
1.7 Negac ao de Servico (Denial of Service) . . . . . . . . . . . . . . . . . . . . . . . . 7
1.7.1 O que e DDoS? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8
ix
x Cartilha de Seguranca para Internet c 2006 CERT.br
1.7.2 Se uma rede ou computador sofrer um DoS, isto signica que houve uma
invas ao? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8
1.8 Criptograa . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8
1.8.1 O que e criptograa de chave unica? . . . . . . . . . . . . . . . . . . . . . . 9
1.8.2 O que e criptograa de chaves p ublica e privada? . . . . . . . . . . . . . . . 9
1.8.3 O que e assinatura digital? . . . . . . . . . . . . . . . . . . . . . . . . . . . 10
1.8.4 Que exemplos podem ser citados sobre o uso de criptograa de chave unica e
de chaves p ublica e privada? . . . . . . . . . . . . . . . . . . . . . . . . . . 10
1.8.5 Que tamanho de chave deve ser utilizado? . . . . . . . . . . . . . . . . . . . 10
1.9 Certicado Digital . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11
1.9.1 O que e Autoridade Certicadora (AC)? . . . . . . . . . . . . . . . . . . . . 11
1.9.2 Que exemplos podem ser citados sobre o uso de certicados? . . . . . . . . . 12
Parte II: Riscos Envolvidos no Uso da Internet e M etodos de Prevenc ao 13
2.1 Programas Leitores de E-mails . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13
2.1.1 Quais s ao os riscos associados ao uso de um programa leitor de e-mails? . . . 13
2.1.2

E possvel congurar um programa leitor de e-mails de forma mais segura? . 13
2.1.3 Que medidas preventivas devo adotar no uso dos programas leitores de e-mails? 14
2.2 Browsers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15
2.2.1 Quais s ao os riscos associados ao uso de um browser? . . . . . . . . . . . . 15
2.2.2 Quais s ao os riscos associados ` a execuc ao de JavaScripts e de programas Java? 15
2.2.3 Quais s ao os riscos associados ` a execuc ao de programas ActiveX? . . . . . . 15
2.2.4 Quais s ao os riscos associados ao uso de cookies? . . . . . . . . . . . . . . . 15
2.2.5 Quais s ao os riscos associados ` as pop-up windows? . . . . . . . . . . . . . . 16
2.2.6 Quais s ao os cuidados necess arios para realizar transac oes via Web? . . . . . 16
2.2.7 Que medidas preventivas devo adotar no uso de browsers? . . . . . . . . . . 16
2.2.8 Que caractersticas devo considerar na escolha de um browser? . . . . . . . 17
2.3 Antivrus . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17
2.3.1 Que funcionalidades um bom antivrus deve possuir? . . . . . . . . . . . . . 18
2.3.2 Como faco bom uso do meu antivrus? . . . . . . . . . . . . . . . . . . . . . 18
2.3.3 O que um antivrus n ao pode fazer? . . . . . . . . . . . . . . . . . . . . . . 19
2.4 Firewalls . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19
Sum ario xi
2.4.1 Como o rewall pessoal funciona? . . . . . . . . . . . . . . . . . . . . . . . 19
2.4.2 Por que devo instalar um rewall pessoal em meu computador? . . . . . . . 19
2.4.3 Como posso saber se est ao tentando invadir meu computador? . . . . . . . . 20
2.5 Vulnerabilidades . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 20
2.5.1 Como posso saber se os softwares instalados em meu computador possuem
alguma vulnerabilidade? . . . . . . . . . . . . . . . . . . . . . . . . . . . . 20
2.5.2 Como posso corrigir as vulnerabilidades dos softwares em meu computador? 20
2.6 Programas de Troca de Mensagens . . . . . . . . . . . . . . . . . . . . . . . . . . . 21
2.6.1 Quais s ao os riscos associados ao uso de salas de bate-papo e de programas
como o ICQ ou IRC? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21
2.6.2 Existem problemas de seguranca especcos nos programas de troca ins-
tant anea de mensagens? . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21
2.6.3 Que medidas preventivas devo adotar no uso de programas de troca de men-
sagens? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21
2.7 Programas de Distribuic ao de Arquivos . . . . . . . . . . . . . . . . . . . . . . . . 22
2.7.1 Quais s ao os riscos associados ao uso de programas de distribuic ao de arquivos? 22
2.7.2 Que medidas preventivas devo adotar no uso de programas de distribuic ao de
arquivos? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 22
2.8 Compartilhamento de Recursos do Windows . . . . . . . . . . . . . . . . . . . . . . 22
2.8.1 Quais s ao os riscos associados ao uso do compartilhamento de recursos? . . . 22
2.8.2 Que medidas preventivas devo adotar no uso do compartilhamento de recursos? 23
2.9 Realizac ao de C opias de Seguranca (Backups) . . . . . . . . . . . . . . . . . . . . . 23
2.9.1 Qual e a import ancia de fazer c opias de seguranca? . . . . . . . . . . . . . . 23
2.9.2 Quais s ao as formas de realizar c opias de seguranca? . . . . . . . . . . . . . 23
2.9.3 Com que freq u encia devo fazer c opias de seguranca? . . . . . . . . . . . . . 24
2.9.4 Que cuidados devo ter com as c opias de seguranca? . . . . . . . . . . . . . . 24
2.9.5 Que cuidados devo ter ao enviar um computador para a manutenc ao? . . . . 25
Parte III: Privacidade 27
3.1 Privacidade dos E-mails . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 27
3.1.1

E possvel algu em ler e-mails de outro usu ario? . . . . . . . . . . . . . . . . 27
3.1.2 Como e possvel assegurar a privacidade dos e-mails? . . . . . . . . . . . . . 27
3.1.3 A utilizac ao de programas de criptograa e suciente para assegurar a priva-
cidade dos e-mails? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28
xii Cartilha de Seguranca para Internet c 2006 CERT.br
3.2 Privacidade no Acesso e Disponibilizac ao de P aginas Web . . . . . . . . . . . . . . 28
3.2.1 Que cuidados devo ter ao acessar p aginas Web e ao receber cookies? . . . . . 28
3.2.2 Que cuidados devo ter ao disponibilizar uma p agina na Internet, como por
exemplo um blog? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29
3.3 Cuidados com seus Dados Pessoais . . . . . . . . . . . . . . . . . . . . . . . . . . . 30
3.3.1 Que cuidados devo ter em sites de redes de relacionamentos, como por exem-
plo o orkut? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 30
3.4 Cuidados com os Dados Armazenados em um Disco Rgido . . . . . . . . . . . . . 30
3.4.1 Como posso sobrescrever todos os dados de um disco rgido? . . . . . . . . 31
3.5 Cuidados com Telefones Celulares, PDAs e Outros Aparelhos com Bluetooth . . . . 31
3.5.1 Que riscos est ao associados ao uso de aparelhos com bluetooth? . . . . . . . 32
3.5.2 Que cuidados devo ter para evitar a exposic ao de informac oes de um aparelho
com bluetooth? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32
Parte IV: Fraudes na Internet 33
4.1 Engenharia Social . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33
4.1.1 Como me protejo deste tipo de abordagem? . . . . . . . . . . . . . . . . . . 33
4.2 Fraudes via Internet . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 34
4.2.1 O que e scam e que situac oes podem ser citadas sobre este tipo de fraude? . . 34
4.2.1.1 Sites de leil oes e de produtos com precos muito atrativos . . . . 34
4.2.1.2 O golpe da Nig eria (Nigerian 4-1-9 Scam) . . . . . . . . . . . . . 35
4.2.2 O que e phishing e que situac oes podem ser citadas sobre este tipo de fraude? 35
4.2.2.1 Mensagens que cont em links para programas maliciosos . . . . . . 36
4.2.2.2 P aginas de com ercio eletr onico ou Internet Banking falsicadas . . 38
4.2.2.3 E-mails contendo formul arios para o fornecimento de informac oes
sensveis . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 39
4.2.2.4 Comprometimento do servico de resoluc ao de nomes . . . . . . . 40
4.2.2.5 Utilizac ao de computadores de terceiros . . . . . . . . . . . . . . 40
4.2.3 Quais s ao os cuidados que devo ter ao acessar sites de com ercio eletr onico ou
Internet Banking? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 41
4.2.4 Como vericar se a conex ao e segura (criptografada)? . . . . . . . . . . . . 42
4.2.5 Como posso saber se o site que estou acessando n ao foi falsicado? . . . . . 43
4.2.6 Como posso saber se o certicado emitido para o site e legtimo? . . . . . . 43
Sum ario xiii
4.2.7 O que devo fazer se perceber que meus dados nanceiros est ao sendo usados
por terceiros? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 44
4.3 Boatos . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 45
4.3.1 Quais s ao os problemas de seguranca relacionados aos boatos? . . . . . . . . 45
4.3.2 Como evitar a distribuic ao dos boatos? . . . . . . . . . . . . . . . . . . . . 45
4.3.3 Como posso saber se um e-mail e um boato? . . . . . . . . . . . . . . . . . 46
Parte V: Redes de Banda Larga e Redes Sem Fio (Wireless) 47
5.1 Servicos de Banda Larga . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 47
5.1.1 Por que um atacante teria maior interesse por um computador com banda
larga e quais s ao os riscos associados? . . . . . . . . . . . . . . . . . . . . . 47
5.1.2 O que fazer para proteger um computador conectado por banda larga? . . . . 48
5.1.3 O que fazer para proteger uma rede conectada por banda larga? . . . . . . . 48
5.2 Redes Sem Fio (Wireless) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 49
5.2.1 Quais s ao os riscos do uso de redes sem o? . . . . . . . . . . . . . . . . . . 49
5.2.2 Que cuidados devo ter com um cliente de uma rede sem o? . . . . . . . . . 50
5.2.3 Que cuidados devo ter ao montar uma rede sem o dom estica? . . . . . . . . 51
Parte VI: Spam 53
6.1 Spam . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 53
6.1.1 Quais s ao os problemas que o spam pode causar para um usu ario da Internet? 53
6.1.2 Quais s ao os problemas que o spam pode causar para os provedores de acesso,
backbones e empresas? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 54
6.1.3 Como os spammers conseguem enderecos de e-mail? . . . . . . . . . . . . . 54
6.1.4 Como os spammers conrmam que um endereco de e-mail existe? . . . . . . 55
6.1.5 Como fazer para ltrar os e-mails de modo a barrar o recebimento de spams? 56
6.1.6 Para quem devo reclamar quando receber um spam? . . . . . . . . . . . . . 56
6.1.7 Que informac oes devo incluir numa reclamac ao de spam? . . . . . . . . . . 57
6.1.8 O que devo fazer ao identicar em um spam um caso de phishing/scam? . . . 57
6.1.9 Onde posso encontrar outras informac oes sobre spam? . . . . . . . . . . . . 57
Parte VII: Incidentes de Seguranca e Uso Abusivo da Rede 59
7.1 Incidentes de Seguranca e Abusos . . . . . . . . . . . . . . . . . . . . . . . . . . . 59
7.1.1 O que e incidente de seguranca? . . . . . . . . . . . . . . . . . . . . . . . . 59
xiv Cartilha de Seguranca para Internet c 2006 CERT.br
7.1.2 O que e poltica de seguranca? . . . . . . . . . . . . . . . . . . . . . . . . . 59
7.1.3 O que e poltica de uso aceit avel (AUP)? . . . . . . . . . . . . . . . . . . . 60
7.1.4 O que pode ser considerado uso abusivo da rede? . . . . . . . . . . . . . . . 60
7.2 Registros de Eventos (logs) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 60
7.2.1 O que s ao logs? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 60
7.2.2 O que e um sistema de detecc ao de intrus ao (IDS)? . . . . . . . . . . . . . . 61
7.2.3 Que tipo de atividade pode ocasionar a gerac ao de um log? . . . . . . . . . . 61
7.2.4 O que e um falso positivo? . . . . . . . . . . . . . . . . . . . . . . . . . . . 61
7.2.5 Que tipo de informac ao est a presente em um log? . . . . . . . . . . . . . . . 61
7.3 Noticac oes de Incidentes e Abusos . . . . . . . . . . . . . . . . . . . . . . . . . . 62
7.3.1 Por que devo noticar incidentes? . . . . . . . . . . . . . . . . . . . . . . . 62
7.3.2 Para quem devo noticar os incidentes? . . . . . . . . . . . . . . . . . . . . 62
7.3.3 Por que devo manter o CERT.br na c opia das noticac oes? . . . . . . . . . . 63
7.3.4 Como encontro os respons aveis pela m aquina de onde partiu um ataque? . . 63
7.3.5 Que informac oes devo incluir em uma noticac ao de incidente? . . . . . . . 64
7.3.6 Como devo proceder para noticar casos de phishing/scam? . . . . . . . . . 64
7.3.7 Onde posso encontrar outras informac oes a respeito de noticac oes de inci-
dentes? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 64
Parte VIII: C odigos Maliciosos (Malware) 65
8.1 Vrus . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 65
8.1.1 Como um vrus pode afetar um computador? . . . . . . . . . . . . . . . . . 65
8.1.2 Como o computador e infectado por um vrus? . . . . . . . . . . . . . . . . 65
8.1.3 Um computador pode ser infectado por um vrus sem que se perceba? . . . . 66
8.1.4 O que e um vrus propagado por e-mail? . . . . . . . . . . . . . . . . . . . . 66
8.1.5 O que e um vrus de macro? . . . . . . . . . . . . . . . . . . . . . . . . . . 66
8.1.6 Como posso saber se um computador est a infectado? . . . . . . . . . . . . . 67
8.1.7 Existe alguma maneira de proteger um computador de vrus? . . . . . . . . . 67
8.1.8 O que e um vrus de telefone celular? . . . . . . . . . . . . . . . . . . . . . 67
8.1.9 Como posso proteger um telefone celular de vrus? . . . . . . . . . . . . . . 68
8.2 Cavalos de Tr oia . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 68
8.2.1 Como um cavalo de tr oia pode ser diferenciado de um vrus ou worm? . . . . 69
Sum ario xv
8.2.2 Como um cavalo de tr oia se instala em um computador? . . . . . . . . . . . 69
8.2.3 Que exemplos podem ser citados sobre programas contendo cavalos de tr oia? 69
8.2.4 O que um cavalo de tr oia pode fazer em um computador? . . . . . . . . . . . 69
8.2.5 Um cavalo de tr oia pode instalar programas sem o conhecimento do usu ario? 70
8.2.6

E possvel saber se um cavalo de tr oia instalou algo em um computador? . . 70
8.2.7 Existe alguma maneira de proteger um computador dos cavalos de tr oia? . . 70
8.3 Adware e Spyware . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 70
8.3.1 Que exemplos podem ser citados sobre programas spyware? . . . . . . . . . 71
8.3.2

E possvel proteger um computador de programas spyware? . . . . . . . . . 72
8.4 Backdoors . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 72
8.4.1 Como e feita a inclus ao de um backdoor em um computador? . . . . . . . . 72
8.4.2 A exist encia de um backdoor depende necessariamente de uma invas ao? . . . 72
8.4.3 Backdoors s ao restritos a um sistema operacional especco? . . . . . . . . . 73
8.4.4 Existe alguma maneira de proteger um computador de backdoors? . . . . . . 73
8.5 Keyloggers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 73
8.5.1 Que informac oes um keylogger pode obter se for instalado em um computador? 74
8.5.2 Diversos sites de instituic oes nanceiras utilizam teclados virtuais. Neste
caso eu estou protegido dos keyloggers? . . . . . . . . . . . . . . . . . . . . 74
8.5.3 Como e feita a inclus ao de um keylogger em um computador? . . . . . . . . 74
8.5.4 Como posso proteger um computador dos keyloggers? . . . . . . . . . . . . 74
8.6 Worms . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 75
8.6.1 Como um worm pode afetar um computador? . . . . . . . . . . . . . . . . . 75
8.6.2 Como posso saber se meu computador est a sendo utilizado para propagar um
worm? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 75
8.6.3 Como posso proteger um computador de worms? . . . . . . . . . . . . . . . 75
8.7 Bots e Botnets . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 76
8.7.1 Como o invasor se comunica com o bot? . . . . . . . . . . . . . . . . . . . 76
8.7.2 O que o invasor pode fazer quando estiver no controle de um bot? . . . . . . 76
8.7.3 O que s ao botnets? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 76
8.7.4 Como posso saber se um bot foi instalado em um computador? . . . . . . . . 77
8.7.5 Como posso proteger um computador dos bots? . . . . . . . . . . . . . . . . 77
8.8 Rootkits . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 77
xvi Cartilha de Seguranca para Internet c 2006 CERT.br
8.8.1 Que funcionalidades um rootkit pode conter? . . . . . . . . . . . . . . . . . 78
8.8.2 Como posso saber se um rootkit foi instalado em um computador? . . . . . . 78
8.8.3 Como posso proteger um computador dos rootkits? . . . . . . . . . . . . . . 78
Ap endice A: Gloss ario 79
Ap endice B: Checklist 87
B.1 Prevenc ao Contra Riscos e C odigos Maliciosos (Malware) . . . . . . . . . . . . . . 87
B.1.1 Contas e senhas . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 87
B.1.2 Vrus . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 87
B.1.3 Worms, bots e botnets . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 88
B.1.4 Cavalos de tr oia, backdoors, keyloggers e spywares . . . . . . . . . . . . . . 88
B.2 Cuidados no Uso da Internet . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 88
B.2.1 Programas Leitores de E-mails . . . . . . . . . . . . . . . . . . . . . . . . . 88
B.2.2 Browsers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 89
B.2.3 Programas de troca de mensagens . . . . . . . . . . . . . . . . . . . . . . . 89
B.2.4 Programas de distribuic ao de arquivos . . . . . . . . . . . . . . . . . . . . . 89
B.2.5 Compartilhamento de recursos . . . . . . . . . . . . . . . . . . . . . . . . . 90
B.2.6 C opias de seguranca . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 90
B.3 Fraude . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 90
B.3.1 Engenharia social . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 90
B.3.2 Cuidados ao realizar transac oes banc arias ou comerciais . . . . . . . . . . . 90
B.3.3 Boatos . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 91
B.4 Privacidade . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 91
B.4.1 E-mails . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 91
B.4.2 Cookies . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 91
B.4.3 Cuidados com dados pessoais em p aginas Web, blogs e sites de redes de rela-
cionamentos . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 92
B.4.4 Cuidados com os dados armazenados em um disco rgido . . . . . . . . . . . 92
B.4.5 Cuidados com telefones celulares, PDAs e outros aparelhos com bluetooth . 92
B.5 Banda Larga e Redes Sem Fio (Wireless) . . . . . . . . . . . . . . . . . . . . . . . . 92
B.5.1 Protec ao de um computador utilizando banda larga . . . . . . . . . . . . . . 92
B.5.2 Protec ao de uma rede utilizando banda larga . . . . . . . . . . . . . . . . . 93
Sum ario xvii
B.5.3 Cuidados com um cliente de rede sem o . . . . . . . . . . . . . . . . . . . 93
B.5.4 Cuidados com uma rede sem o dom estica . . . . . . . . . . . . . . . . . . 94
B.6 Spam . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 94
B.7 Incidentes de Seguranca e Uso Abusivo da Rede . . . . . . . . . . . . . . . . . . . . 94
B.7.1 Registros de eventos (logs) . . . . . . . . . . . . . . . . . . . . . . . . . . . 94
B.7.2 Noticac oes de incidentes . . . . . . . . . . . . . . . . . . . . . . . . . . . 94
Ap endice C: Dicas 95
Lista de Figuras
2.1 Exemplos de cones para recursos compartilhados. . . . . . . . . . . . . . . . . . . 22
4.1 https - identicando site com conex ao segura. . . . . . . . . . . . . . . . . . . . . . 42
4.2 Cadeado identicando site com conex ao segura. . . . . . . . . . . . . . . . . . . 42
4.3 Cadeado forjado. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 43
xix
Parte I: Conceitos de Seguranca
Esta parte da Cartilha apresenta conceitos de seguranca de computadores, onde s ao abordados
temas relacionados ` as senhas, engenharia social, malware, vulnerabilidade, ataques de negac ao de
servico, criptograa e certicados digitais. Os conceitos aqui apresentados s ao importantes para o
entendimento de partes subseq uentes desta Cartilha.
1.1 Seguranca de Computadores
Um computador (ou sistema computacional) e dito seguro se este atende a tr es requisitos b asicos
relacionados aos recursos que o comp oem: condencialidade, integridade e disponibilidade.
A condencialidade diz que a informac ao s o est a disponvel para aqueles devidamente autoriza-
dos; a integridade diz que a informac ao n ao e destruda ou corrompida e o sistema tem um desempe-
nho correto, e a disponibilidade diz que os servicos/recursos do sistema est ao disponveis sempre que
forem necess arios.
Alguns exemplos de violac oes a cada um desses requisitos s ao:
Condencialidade: algu em obt em acesso n ao autorizado ao seu computador e l e todas as informa-
c oes contidas na sua declarac ao de Imposto de Renda;
Integridade: algu em obt em acesso n ao autorizado ao seu computador e altera informac oes da sua
declarac ao de Imposto de Renda, momentos antes de voc e envi a-la ` a Receita Federal;
Disponibilidade: o seu provedor sofre uma grande sobrecarga de dados ou um ataque de negac ao
de servico e por este motivo voc e ca impossibilitado de enviar sua declarac ao de Imposto de
Renda ` a Receita Federal.
1.1.1 Por que devo me preocupar com a seguranca do meu computador?
Computadores dom esticos s ao utilizados para realizar in umeras tarefas, tais como: transac oes -
nanceiras, sejam elas banc arias ou mesmo compra de produtos e servicos; comunicac ao, por exemplo,
atrav es de e-mails; armazenamento de dados, sejam eles pessoais ou comerciais, etc.
E importante que voc e se preocupe coma seguranca de seu computador, pois voc e, provavelmente,
n ao gostaria que:
suas senhas e n umeros de cart oes de cr edito fossem furtados e utilizados por terceiros;
1
2 Cartilha de Seguranca para Internet c 2006 CERT.br
sua conta de acesso a Internet fosse utilizada por algu em n ao autorizado;
seus dados pessoais, ou at e mesmo comerciais, fossem alterados, destrudos ou visualizados
por terceiros;
seu computador deixasse de funcionar, por ter sido comprometido e arquivos essenciais do
sistema terem sido apagados, etc.
1.1.2 Por que algu em iria querer invadir meu computador?
A resposta para esta pergunta n ao e simples. Os motivos pelos quais algu em tentaria invadir seu
computador s ao in umeros. Alguns destes motivos podem ser:
utilizar seu computador em alguma atividade ilcita, para esconder a real identidade e localiza-
c ao do invasor;
utilizar seu computador para lancar ataques contra outros computadores;
utilizar seu disco rgido como reposit orio de dados;
destruir informac oes (vandalismo);
disseminar mensagens alarmantes e falsas;
ler e enviar e-mails em seu nome;
propagar vrus de computador;
furtar n umeros de cart oes de cr edito e senhas banc arias;
furtar a senha da conta de seu provedor, para acessar a Internet se fazendo passar por voc e;
furtar dados do seu computador, como por exemplo, informac oes do seu Imposto de Renda.
1.2 Senhas
Uma senha (password) na Internet, ou em qualquer sistema computacional, serve para autenticar
o usu ario, ou seja, e utilizada no processo de vericac ao da identidade do usu ario, assegurando que
este e realmente quem diz ser.
Se uma outra pessoa tem acesso a sua senha, ela poder a utiliz a-la para se passar por voc e na
Internet. Alguns dos motivos pelos quais uma pessoa poderia utilizar sua senha s ao:
ler e enviar e-mails em seu nome;
obter informac oes sensveis dos dados armazenados em seu computador, tais como n umeros de
cart oes de cr edito;
esconder sua real identidade e ent ao desferir ataques contra computadores de terceiros.
Portanto, a senha merece considerac ao especial, anal ela e de sua inteira responsabilidade.
1.2.1 O que n ao se deve usar na elaborac ao de uma senha?
Nomes, sobrenomes, n umeros de documentos, placas de carros, n umeros de telefones e datas
1
dever ao estar fora de sua lista de senhas. Esses dados podem ser facilmente obtidos e uma pessoa
mal intencionada, possivelmente, utilizaria este tipo de informac ao para tentar se autenticar como
voc e.
Existem v arias regras de criac ao de senhas, sendo que uma regra muito importante e jamais utili-
zar palavras que facam parte de dicion arios. Existem softwares que tentam descobrir senhas combi-
nando e testando palavras em diversos idiomas e geralmente possuem listas de palavras (dicion arios)
e listas de nomes (nomes pr oprios, m usicas, lmes, etc.).
1.2.2 O que e uma boa senha?
Uma boa senha deve ter pelo menos oito caracteres
2
(letras, n umeros e smbolos), deve ser simples
de digitar e, o mais importante, deve ser f acil de lembrar.
Normalmente os sistemas diferenciam letras mai usculas das min usculas, o que j a ajuda na com-
posic ao da senha. Por exemplo, pAraleLepiPedo e paRalElePipEdo s ao senhas diferentes.
Entretanto, s ao senhas f aceis de descobrir utilizando softwares para quebra de senhas, pois n ao pos-
suem n umeros e smbolos, al em de conter muitas repetic oes de letras.
1.2.3 Como elaborar uma boa senha?
Quanto mais baguncada for a senha melhor, pois mais difcil ser a descobr-la
3
. Assim, tente
misturar letras mai usculas, min usculas, n umeros e sinais de pontuac ao. Uma regra realmente pr atica
e que gera boas senhas difceis de serem descobertas e utilizar uma frase qualquer e pegar a primeira,
segunda ou a ultima letra de cada palavra.
Por exemplo, usando a frase batatinha quando nasce se esparrama pelo ch ao podemos gerar
a senha !BqnsepC (o sinal de exclamac ao foi colocado no incio para acrescentar um smbolo ` a
senha). Senhas geradas desta maneira s ao f aceis de lembrar e s ao normalmente difceis de serem
descobertas.
Mas lembre-se: a senha !BqnsepC deixou de ser uma boa senha, pois faz parte desta Cartilha.
Vale ressaltar que se voc e tiver diculdades para memorizar uma senha forte, e prefervel anot a-la
e guard a-la em local seguro, do que optar pelo uso de senhas fracas.
1.2.4 Quantas senhas diferentes devo usar?
Procure identicar o n umero de locais onde voc e necessita utilizar uma senha. Este n umero
deve ser equivalente a quantidade de senhas distintas a serem mantidas por voc e. Utilizar senhas
1
Qualquer data que possa estar relacionada com voc e, como por exemplo a data de seu anivers ario ou de familiares.
2
Existem servicos que permitem utilizar senhas maiores do que oito caracteres. Quanto maior for a senha, mais difcil
ser a descobr-la, portanto procure utilizar a senha de maior tamanho possvel.
3
Observe que a senha 1qaz2wsx parece ser sucientemente baguncada, mas n ao e considerada uma boa senha,
pois est a associada ` a proximidade entre esses caracteres no teclado.
diferentes, uma para cada local, e extremamente importante, pois pode atenuar os prejuzos causados,
caso algu em descubra uma de suas senhas.
Para ressaltar a import ancia do uso de senhas diferentes, imagine que voc e e respons avel por
realizar movimentac oes nanceiras em um conjunto de contas banc arias e todas estas contas possuem
a mesma senha. Ent ao, procure responder as seguintes perguntas:
Quais seriam as conseq u encias se algu em descobrisse esta senha?
E se fossem usadas senhas diferentes para cada conta, caso algu em descobrisse uma das senhas,
um possvel prejuzo teria a mesma proporc ao?
1.2.5 Com que freq u encia devo mudar minhas senhas?
Voc e deve trocar suas senhas regularmente, procurando evitar perodos muito longos. Uma su-
gest ao e que voc e realize tais trocas a cada dois ou tr es meses.
Procure identicar se os servicos que voc e utiliza e que necessitam de senha, quer seja o acesso
ao seu provedor, e-mail, conta banc aria, ou outro, disponibilizam funcionalidades para alterar senhas
e use regularmente tais funcionalidades.
Caso voc e n ao possa escolher sua senha na hora em que contratar o servico, procure troc a-la com
a maior urg encia possvel. Procure utilizar servicos em que voc e possa escolher a sua senha.
Lembre-se que trocas regulares s ao muito importantes para assegurar a condencialidade de suas
senhas.
1.2.6 Quais os cuidados especiais que devo ter com as senhas?
De nada adianta elaborar uma senha bastante segura e difcil de ser descoberta, se ao usar a senha
algu em puder v e-la. Existem v arias maneiras de algu em poder descobrir a sua senha. Dentre elas,
algu em poderia:
observar o processo de digitac ao da sua senha;
utilizar algum m etodo de persuas ao, para tentar convenc e-lo a entregar sua senha (vide se-
c ao 1.4.1);
capturar sua senha enquanto ela trafega pela rede.
Em relac ao a este ultimo caso, existem t ecnicas que permitem observar dados, ` a medida que estes
trafegam entre redes.

E possvel que algu em extraia informac oes sensveis desses dados, como por
exemplo senhas, caso n ao estejam criptografados (vide sec ao 1.8).
Portanto, alguns dos principais cuidados que voc e deve ter com suas senhas s ao:
certique-se de n ao estar sendo observado ao digitar a sua senha;
n ao forneca sua senha para qualquer pessoa, em hip otese alguma;
n ao utilize computadores de terceiros (por exemplo, em LAN houses, cybercafes, stands de
eventos, etc) em operac oes que necessitem utilizar suas senhas;
certique-se que seu provedor disponibiliza servicos criptografados, principalmente para aque-
les que envolvam o fornecimento de uma senha.
1.2.7 Que cuidados devo ter com o usu ario e senha de Administrator (ou root)
em um computador?
O usu ario Administrator (ou root) e de extrema import ancia, pois det em todos os privil egios em
um computador. Ele deve ser usado em situac oes onde um usu ario normal n ao tenha privil egios para
realizar uma operac ao, como por exemplo, em determinadas tarefas administrativas, de manutenc ao
ou na instalac ao e congurac ao de determinados tipos de software.
Sabe-se que, por uma quest ao de comodidade e principalmente no ambiente dom estico, muitas
pessoas utilizam o usu ario Administrator (ou root) para realizar todo e qualquer tipo de atividade. Ele
e usado para se conectar ` a Internet, navegar utilizando o browser, ler e-mails, redigir documentos,
etc.
Este e um procedimento que deve ser sempre evitado, pois voc e, como usu ario Administrator (ou
root), poderia acidentalmente apagar arquivos essenciais para o funcionamento do sistema operacio-
nal ou de algum software instalado em seu computador. Ou ainda, poderia instalar inadvertidamente
um software malicioso que, como usu ario Administrator (ou root), teria todos os privil egios que ne-
cessitasse, podendo fazer qualquer coisa.
Portanto, alguns dos principais cuidados que voc e deve ter s ao:
elaborar uma boa senha para o usu ario Administrator (ou root), como discutido na sec ao 1.2.3,
e seguir os procedimentos descritos na sec ao 1.2.6;
utilizar o usu ario Administrator (ou root) somente quando for estritamente necess ario;
criar tantos usu arios com privil egios normais, quantas forem as pessoas que utilizam seu com-
putador, para substituir assim o usu ario Administrator (ou root) em tarefas rotineiras, como
leitura de e-mails, navegac ao na Internet, produc ao de documentos, etc.
1.3 Cookies
Cookies s ao pequenas informac oes que os sites visitados por voc e podem armazenar em seu
browser. Estes s ao utilizados pelos sites de diversas formas, tais como:
guardar a sua identicac ao e senha quando voc e vai de uma p agina para outra;
manter listas de compras ou listas de produtos preferidos em sites de com ercio eletr onico;
personalizar sites pessoais ou de notcias, quando voc e escolhe o que quer que seja mostrado
nas p aginas;
manter a lista das p aginas vistas em um site, para estatstica ou para retirar as p aginas que voc e
n ao tem interesse dos links.
A Parte III: Privacidade apresenta alguns problemas relacionados aos cookies, bem como algumas
sugest oes para que se tenha maior controle sobre eles.
1.4 Engenharia Social
O termo e utilizado para descrever um m etodo de ataque, onde algu em faz uso da persuas ao,
muitas vezes abusando da ingenuidade ou conanca do usu ario, para obter informac oes que podem
ser utilizadas para ter acesso n ao autorizado a computadores ou informac oes.
1.4.1 Que exemplos podem ser citados sobre este m etodo de ataque?
Os dois primeiros exemplos apresentam casos onde foram utilizadas mensagens de e-mail. O
ultimo exemplo apresenta um ataque realizado por telefone.
Exemplo 1: voc e recebe uma mensagem e-mail, onde o remetente e o gerente ou algu em em nome
do departamento de suporte do seu banco. Na mensagem ele diz que o servico de Internet Bank-
ing est a apresentando algum problema e que tal problema pode ser corrigido se voc e executar
o aplicativo que est a anexado ` a mensagem. A execuc ao deste aplicativo apresenta uma tela
an aloga ` aquela que voc e utiliza para ter acesso a conta banc aria, aguardando que voc e digite
sua senha. Na verdade, este aplicativo est a preparado para furtar sua senha de acesso a conta
banc aria e envi a-la para o atacante.
Exemplo 2: voc e recebe uma mensagem de e-mail, dizendo que seu computador est a infectado por
um vrus. A mensagem sugere que voc e instale uma ferramenta disponvel em um site da
Internet, para eliminar o vrus de seu computador. A real func ao desta ferramenta n ao e eliminar
um vrus, mas sim permitir que algu em tenha acesso ao seu computador e a todos os dados nele
armazenados.
Exemplo 3: algum desconhecido liga para a sua casa e diz ser do suporte t ecnico do seu provedor.
Nesta ligac ao ele diz que sua conex ao com a Internet est a apresentando algum problema e,
ent ao, pede sua senha para corrig-lo. Caso voc e entregue sua senha, este suposto t ecnico
poder a realizar uma innidade de atividades maliciosas, utilizando a sua conta de acesso a
Internet e, portanto, relacionando tais atividades ao seu nome.
Estes casos mostram ataques tpicos de engenharia social, pois os discursos apresentados nos
exemplos procuram induzir o usu ario a realizar alguma tarefa e o sucesso do ataque depende unica e
exclusivamente da decis ao do usu ario em fornecer informac oes sensveis ou executar programas.
A Parte IV: Fraudes na Internet apresenta algumas formas de se prevenir deste tipo de ataque.
1.5 Vulnerabilidade
Vulnerabilidade e denida como uma falha no projeto, implementac ao ou congurac ao de umsoft-
ware ou sistema operacional que, quando explorada por um atacante, resulta na violac ao da seguranca
de um computador.
Existem casos onde um software ou sistema operacional instalado em um computador pode con-
ter uma vulnerabilidade que permite sua explorac ao remota, ou seja, atrav es da rede. Portanto, um
atacante conectado ` a Internet, ao explorar tal vulnerabilidade, pode obter acesso n ao autorizado ao
computador vulner avel.
A Parte II: Riscos Envolvidos no Uso da Internet e M etodos de Prevenc ao apresenta algumas
formas de identicac ao de vulnerabilidades, bem como maneiras de prevenc ao e correc ao.
1.6 C odigos Maliciosos (Malware)
C odigo malicioso ou Malware (Malicious Software) e um termo gen erico que abrange todos os
tipos de programa especicamente desenvolvidos para executar ac oes maliciosas em um computador.
Na literatura de seguranca o termo malware tamb em e conhecido por software malicioso.
Alguns exemplos de malware s ao:
vrus;
worms e bots;
backdoors;
cavalos de tr oia;
keyloggers e outros programas spyware;
rootkits.
A Parte VIII: C odigos Maliciosos (Malware) apresenta descric oes detalhadas e formas de identi-
cac ao e prevenc ao para os diversos tipos de c odigo malicioso.
1.7 Negac ao de Servico (Denial of Service)
Nos ataques de negac ao de servico (DoS Denial of Service) o atacante utiliza um computador
para tirar de operac ao um servico ou computador conectado ` a Internet.
Exemplos deste tipo de ataque s ao:
gerar uma grande sobrecarga no processamento de dados de um computador, de modo que o
usu ario n ao consiga utiliz a-lo;
gerar um grande tr afego de dados para uma rede, ocupando toda a banda disponvel, de modo
que qualquer computador desta rede que indisponvel;
tirar servicos importantes de um provedor do ar, impossibilitando o acesso dos usu arios a suas
caixas de correio no servidor de e-mail ou ao servidor Web.
1.7.1 O que e DDoS?
DDoS (Distributed Denial of Service) constitui um ataque de negac ao de servico distribudo,
ou seja, um conjunto de computadores e utilizado para tirar de operac ao um ou mais servicos ou
computadores conectados ` a Internet.
Normalmente estes ataques procuram ocupar toda a banda disponvel para o acesso a um com-
putador ou rede, causando grande lentid ao ou at e mesmo indisponibilizando qualquer comunicac ao
com este computador ou rede.
1.7.2 Se uma rede ou computador sofrer um DoS, isto signica que houve uma
invas ao?
N ao. O objetivo de tais ataques e indisponibilizar o uso de um ou mais computadores, e n ao
invad-los.

E importante notar que, principalmente em casos de DDoS, computadores comprometidos
podem ser utilizados para desferir os ataques de negac ao de servico.
Um exemplo deste tipo de ataque ocorreu no incio de 2000, onde computadores de v arias partes
do mundo foram utilizados para indisponibilizar o acesso aos sites de algumas empresas de com ercio
eletr onico. Estas empresas n ao tiveram seus computadores comprometidos, mas sim caram impos-
sibilitadas de vender seus produtos durante um longo perodo.
1.8 Criptograa
Criptograa e a ci encia e arte de escrever mensagens em forma cifrada ou em c odigo.

E parte de
um campo de estudos que trata das comunicac oes secretas, usadas, dentre outras nalidades, para:
autenticar a identidade de usu arios;
autenticar e proteger o sigilo de comunicac oes pessoais e de transac oes comerciais e banc arias;
proteger a integridade de transfer encias eletr onicas de fundos.
Uma mensagem codicada por um m etodo de criptograa deve ser privada, ou seja, somente
aquele que enviou e aquele que recebeu devem ter acesso ao conte udo da mensagem. Al em disso,
uma mensagem deve poder ser assinada, ou seja, a pessoa que a recebeu deve poder vericar se o
remetente e mesmo a pessoa que diz ser e ter a capacidade de identicar se uma mensagem pode ter
sido modicada.
Os m etodos de criptograa atuais s ao seguros e ecientes e baseiam-se no uso de uma ou mais
chaves. A chave e uma seq u encia de caracteres, que pode conter letras, dgitos e smbolos (como
uma senha), e que e convertida em um n umero, utilizado pelos m etodos de criptograa para codicar
e decodicar mensagens.
Atualmente, os m etodos criptogr acos podem ser subdivididos em duas grandes categorias, de
acordo com o tipo de chave utilizada: a criptograa de chave unica (vide sec ao 1.8.1) e a criptograa
de chave p ublica e privada (vide sec ao 1.8.2).
1.8.1 O que e criptograa de chave unica?
A criptograa de chave unica utiliza a mesma chave tanto para codicar quanto para decodicar
mensagens. Apesar deste m etodo ser bastante eciente em relac ao ao tempo de processamento, ou
seja, o tempo gasto para codicar e decodicar mensagens, tem como principal desvantagem a ne-
cessidade de utilizac ao de um meio seguro para que a chave possa ser compartilhada entre pessoas ou
entidades que desejem trocar informac oes criptografadas.
Exemplos de utilizac ao deste m etodo de criptograa e sugest oes para o tamanho mnimo da chave
unica podem ser vistos nas sec oes 1.8.4 e 1.8.5, respectivamente.
1.8.2 O que e criptograa de chaves p ublica e privada?
A criptograa de chaves p ublica e privada utiliza duas chaves distintas, uma para codicar e
outra para decodicar mensagens. Neste m etodo cada pessoa ou entidade mant em duas chaves: uma
p ublica, que pode ser divulgada livremente, e outra privada, que deve ser mantida em segredo pelo
seu dono. As mensagens codicadas com a chave p ublica s o podem ser decodicadas com a chave
privada correspondente.
Seja o exemplo, onde Jos e e Maria querem se comunicar de maneira sigilosa. Ent ao, eles ter ao
que realizar os seguintes procedimentos:
1. Jos e codica uma mensagem utilizando a chave p ublica de Maria, que est a disponvel para o
uso de qualquer pessoa;
2. Depois de criptografada, Jos e envia a mensagem para Maria, atrav es da Internet;
3. Maria recebe e decodica a mensagem, utilizando sua chave privada, que e apenas de seu
conhecimento;
4. Se Maria quiser responder a mensagem, dever a realizar o mesmo procedimento, mas utilizando
a chave p ublica de Jos e.
Apesar deste m etodo ter o desempenho bem inferior em relac ao ao tempo de processamento,
quando comparado ao m etodo de criptograa de chave unica (sec ao 1.8.1), apresenta como principal
vantagema livre distribuic ao de chaves p ublicas, n ao necessitando de ummeio seguro para que chaves
sejam combinadas antecipadamente. Al em disso, pode ser utilizado na gerac ao de assinaturas digitais,
como mostra a sec ao 1.8.3.
Exemplos de utilizac ao deste m etodo de criptograa e sugest oes para o tamanho mnimo das
chaves p ublica e privada podem ser vistos nas sec oes 1.8.4 e 1.8.5, respectivamente.
1.8.3 O que e assinatura digital?
A assinatura digital consiste na criac ao de um c odigo, atrav es da utilizac ao de uma chave privada,
de modo que a pessoa ou entidade que receber uma mensagem contendo este c odigo possa vericar
se o remetente e mesmo quem diz ser e identicar qualquer mensagem que possa ter sido modicada.
Desta forma, e utilizado o m etodo de criptograa de chaves p ublica e privada, mas emumprocesso
inverso ao apresentado no exemplo da sec ao 1.8.2.
Se Jos e quiser enviar uma mensagem assinada para Maria, ele codicar a a mensagem com sua
chave privada. Neste processo ser a gerada uma assinatura digital, que ser a adicionada ` a mensagem
enviada para Maria. Ao receber a mensagem, Maria utilizar a a chave p ublica de Jos e para decodicar
a mensagem. Neste processo ser a gerada uma segunda assinatura digital, que ser a comparada ` a pri-
meira. Se as assinaturas forem id enticas, Maria ter a certeza que o remetente da mensagem foi o Jos e
e que a mensagem n ao foi modicada.
E importante ressaltar que a seguranca do m etodo baseia-se no fato de que a chave privada e co-
nhecida apenas pelo seu dono. Tamb em e importante ressaltar que o fato de assinar uma mensagem
n ao signica gerar uma mensagem sigilosa. Para o exemplo anterior, se Jos e quisesse assinar a men-
sagem e ter certeza de que apenas Maria teria acesso a seu conte udo, seria preciso codic a-la com a
chave p ublica de Maria, depois de assin a-la.
1.8.4 Que exemplos podem ser citados sobre o uso de criptograa de chave
unica e de chaves p ublica e privada?
Exemplos que combinam a utilizac ao dos m etodos de criptograa de chave unica e de chaves
p ublica e privada s ao as conex oes seguras, estabelecidas entre o browser de um usu ario e um site, em
transac oes comerciais ou banc arias via Web.
Estas conex oes seguras via Web utilizam o m etodo de criptograa de chave unica, implementado
pelo protocolo SSL (Secure Socket Layer). O browser do usu ario precisa informar ao site qual ser a a
chave unica utilizada na conex ao segura, antes de iniciar a transmiss ao de dados sigilosos.
Para isto, o browser obt em a chave p ublica do certicado
4
da instituic ao que mant em o site.
Ent ao, ele utiliza esta chave p ublica para codicar e enviar uma mensagem para o site, contendo a
chave unica a ser utilizada na conex ao segura. O site utiliza sua chave privada para decodicar a
mensagem e identicar a chave unica que ser a utilizada.
A partir deste ponto, o browser do usu ario e o site podem transmitir informac oes, de forma si-
gilosa e segura, atrav es da utilizac ao do m etodo de criptograa de chave unica. A chave unica pode
ser trocada em intervalos de tempo determinados, atrav es da repetic ao dos procedimentos descritos
anteriormente, aumentando assim o nvel de seguranca de todo o processo.
1.8.5 Que tamanho de chave deve ser utilizado?
Os m etodos de criptograa atualmente utilizados, e que apresentam bons nveis de seguranca, s ao
publicamente conhecidos e s ao seguros pela robustez de seus algoritmos e pelo tamanho das chaves
que utilizam.
4
Certicados s ao discutidos na sec ao 1.9 e na Parte IV: Fraudes na Internet.
Para que um atacante descubra uma chave ele precisa utilizar algum m etodo de forca bruta, ou
seja, testar combinac oes de chaves at e que a correta seja descoberta. Portanto, quanto maior for
a chave, maior ser a o n umero de combinac oes a testar, inviabilizando assim a descoberta de uma
chave em tempo h abil. Al em disso, chaves podem ser trocadas regularmente, tornando os m etodos de
criptograa ainda mais seguros.
Atualmente, para se obter um bom nvel de seguranca na utilizac ao do m etodo de criptograa de
chave unica, e aconselh avel utilizar chaves de no mnimo 128 bits. E para o m etodo de criptograa
de chaves p ublica e privada e aconselh avel utilizar chaves de 2048 bits, sendo o mnimo aceit avel
de 1024 bits. Dependendo dos ns para os quais os m etodos criptogr acos ser ao utilizados, deve-se
considerar a utilizac ao de chaves maiores: 256 ou 512 bits para chave unica e 4096 ou 8192 bits para
chaves p ublica e privada.
1.9 Certicado Digital
O certicado digital e um arquivo eletr onico que cont em dados de uma pessoa ou instituic ao,
utilizados para comprovar sua identidade. Este arquivo pode estar armazenado em um computador ou
em outra mdia, como um token ou smart card.
Exemplos semelhantes a um certicado digital s ao o CNPJ, RG, CPF e carteira de habilitac ao
de uma pessoa. Cada um deles cont em um conjunto de informac oes que identicam a instituic ao ou
pessoa e a autoridade (para estes exemplos, org aos p ublicos) que garante sua validade.
Algumas das principais informac oes encontradas em um certicado digital s ao:
dados que identicam o dono (nome, n umero de identicac ao, estado, etc);
nome da Autoridade Certicadora (AC) que emitiu o certicado (vide sec ao 1.9.1);
o n umero de s erie e o perodo de validade do certicado;
a assinatura digital da AC.
O objetivo da assinatura digital no certicado e indicar que uma outra entidade (a Autoridade
Certicadora) garante a veracidade das informac oes nele contidas.
1.9.1 O que e Autoridade Certicadora (AC)?
Autoridade Certicadora (AC) e a entidade respons avel por emitir certicados digitais. Estes
certicados podem ser emitidos para diversos tipos de entidades, tais como: pessoa, computador,
departamento de uma instituic ao, instituic ao, etc.
Os certicados digitais possuem uma forma de assinatura eletr onica da AC que o emitiu. Gracas
` a sua idoneidade, a AC e normalmente reconhecida por todos como con avel, fazendo o papel de
Cart orio Eletr onico.
1.9.2 Que exemplos podem ser citados sobre o uso de certicados?
Alguns exemplos tpicos do uso de certicados digitais s ao:
quando voc e acessa um site com conex ao segura, como por exemplo o acesso a sua conta
banc aria pela Internet (vide Parte IV: Fraudes na Internet), e possvel checar se o site apresen-
tado e realmente da instituic ao que diz ser, atrav es da vericac ao de seu certicado digital;
quando voc e consulta seu banco pela Internet, este tem que se assegurar de sua identidade antes
de fornecer informac oes sobre a conta;
quando voc e envia um e-mail importante, seu aplicativo de e-mail pode utilizar seu certicado
para assinar digitalmente a mensagem, de modo a assegurar ao destinat ario que o e-mail e
seu e que n ao foi adulterado entre o envio e o recebimento.
A Parte IV: Fraudes na Internet apresenta algumas medidas de seguranca relacionadas ao uso de
certicados digitais.
Parte II: Riscos Envolvidos no Uso da
Internet e M etodos de Prevenc ao
Esta parte da Cartilha aborda diversos riscos envolvidos no uso da Internet e seus m etodos de
prevenc ao. S ao discutidos os programas que possibilitam aumentar a seguranca de um computador,
como antivrus e rewalls, e apresentados riscos e medidas preventivas no uso de programas leito-
res de e-mails, browsers, programas de troca de mensagens, de distribuic ao de arquivos e recursos
de compartilhamento de arquivos. Tamb em e discutida a import ancia da realizac ao de c opias de
seguranca.
2.1 Programas Leitores de E-mails
2.1.1 Quais s ao os riscos associados ao uso de um programa leitor de e-mails?
Grande parte dos problemas de seguranca envolvendo e-mails est ao relacionados aos conte udos
das mensagens, que normalmente abusam das t ecnicas de engenharia social (vide Parte I: Conceitos
de Seguranca e Parte IV: Fraudes na Internet) ou de caractersticas de determinados programas leitores
de e-mails, que permitem abrir arquivos ou executar programas anexados ` as mensagens automatica-
mente.
2.1.2

E possvel congurar um programa leitor de e-mails de forma mais se-
gura?
Sim. Algumas dicas de congurac ao para melhorar a seguranca do seu programa leitor de e-mails
s ao:
1. desligar as opc oes que permitem abrir ou executar automaticamente arquivos ou programas
anexados ` as mensagens;
2. desligar as opc oes de execuc ao de JavaScript e de programas Java (vide sec ao 2.2.2);
3. desligar, se possvel, o modo de visualizac ao de e-mails no formato HTML (mais detalhes na
Parte IV: Fraudes na Internet e Parte VI: Spam).
Estas congurac oes podem evitar que o seu programa leitor de e-mails propague automaticamente
vrus e cavalos de tr oia, entre outros. Existem programas leitores de e-mails que n ao implementam
tais func oes e, portanto, n ao possuem estas opc oes.
13
E importante ressaltar que se o usu ario seguir as recomendac oes dos itens 1 e 2, mas ainda assim
abrir os arquivos ou executar manualmente os programas que v em anexados aos e-mails, poder a ter
algum problema que resulte na violac ao da seguranca do seu computador.
2.1.3 Que medidas preventivas devo adotar no uso dos programas leitores de
e-mails?
Algumas medidas preventivas que minimizam os problemas trazidos com os e-mails s ao:
manter sempre a vers ao mais atualizada do seu programa leitor de e-mails;
n ao clicar em links que, por ventura, possam aparecer no conte udo do e-mail. Se voc e realmente
quiser acessar a p agina do link, digite o endereco diretamente no seu browser, seguindo as
orientac oes da sec ao 2.2.7;
evitar abrir arquivos ou executar programas anexados aos e-mails, sem antes veric a-los com
um antivrus;
desconar sempre dos arquivos anexados ` a mensagem, mesmo que tenham sido enviados por
pessoas ou instituic oes conhecidas. O endereco do remetente pode ter sido forjado
1
e o arquivo
anexo pode ser, por exemplo, um vrus ou um cavalo de tr oia;
fazer o download de programas diretamente do site do fabricante;
evitar utilizar o seu programa leitor de e-mails como um browser, desligando o modo de
visualizac ao de e-mails no formato HTML.
Atualmente, usu arios da Internet t em sido bombardeados com e-mails indesej aveis e, principal-
mente, com mensagens fraudulentas cuja nalidade e a obtenc ao de vantagens nanceiras. Alguns
exemplos s ao:
mensagens oferecendo grandes quantias em dinheiro, mediante uma transfer encia eletr onica de
fundos;
mensagens com ofertas de produtos com precos muito abaixo dos precos praticados pelo mer-
cado;
mensagens que procuram induzir o usu ario a acessar uma determinada p agina na Internet ou a
instalar um programa, abrir um album de fotos, ver cart oes virtuais, etc, mas cujo verdadeiro
intuito e fazer com que o usu ario forneca dados pessoais e sensveis, como contas banc arias,
senhas e n umeros de cart oes de cr edito.
Mais detalhes sobre estes tipos de e-mail, bem como formas de prevenc ao, podem ser vistos na
Parte IV: Fraudes na Internet.
1
Existem vrus e outros tipos de software malicioso que utilizam o e-mail como meio para sua propagac ao e quase
sempre forjam o endereco do remetente.
2.2 Browsers
2.2.1 Quais s ao os riscos associados ao uso de um browser?
Existem diversos riscos envolvidos na utilizac ao de um browser. Dentre eles, podem-se citar:
execuc ao de JavaScript ou de programas Java hostis;
execuc ao de programas ou controles ActiveX hostis;
obtenc ao e execuc ao de programas hostis em sites n ao con aveis ou falsos;
acesso a sites falsos, se fazendo passar por instituic oes banc arias ou de com ercio eletr onico;
realizac ao de transac oes comerciais ou banc arias via Web, sem qualquer mecanismo de segu-
ranca.
Nos dois primeiros casos o browser executa os programas automaticamente, ou seja, sem a inter-
fer encia do usu ario.
2.2.2 Quais s ao os riscos associados ` a execuc ao de JavaScripts e de programas
Java?
Normalmente os browsers cont em m odulos especcos para processar programas Java. Apesar
destes m odulos forneceremmecanismos de seguranca, podemconter falhas de implementac ao e, neste
caso, permitir que um programa Java hostil cause alguma violac ao de seguranca em um computador.
JavaScripts, entre outros scripts Web disponveis, s ao muito utilizados atualmente para incorporar
maior funcionalidade e melhorar a apar encia de p aginas Web. Apesar de nem sempre apresentarem
riscos, v em sendo utilizados por atacantes para causar violac oes de seguranca em computadores. Um
tipo de ataque envolvendo JavaScript consiste em redirecionar usu arios de um site legtimo para um
site falso, para que o usu ario instale programas maliciosos ou forneca informac oes pessoais.
2.2.3 Quais s ao os riscos associados ` a execuc ao de programas ActiveX?
Antes de receber um programa ActiveX, o seu browser verica sua proced encia atrav es de um
esquema de certicados digitais (vide Parte I: Conceitos de Seguranca e Parte IV: Fraudes na Internet).
Se voc e optar por aceitar o certicado, o programa e executado em seu computador.
Ao serem executados, os programas ActiveX podem fazer de tudo, desde enviar um arquivo qual-
quer pela Internet, at e instalar programas (que podem ter ns maliciosos) em seu computador.
2.2.4 Quais s ao os riscos associados ao uso de cookies?
Muitos sites utilizam cookies para obter informac oes, como por exemplo, as prefer encias de um
usu ario. Estas informac oes, muitas vezes, s ao compartilhadas entre diversas entidades na Internet e
podem afetar a privacidade do usu ario.
Maiores detalhes sobre os riscos envolvidos no uso de cookies, bem como formas de se ter maior
controle sobre eles, podem ser vistos na Parte III: Privacidade.
2.2.5 Quais s ao os riscos associados ` as pop-up windows?
Pop-up windows s ao janelas que aparecem automaticamente e sem permiss ao, sobrepondo a ja-
nela do browser, ap os o usu ario acessar um site. Este recurso tem sido amplamente utilizado para
apresentar mensagens com propaganda para usu arios da Internet e, por este motivo, tem sido tamb em
classicado como pop-up spam.
Em muitos casos, as mensagens contidas nas pop-up windows apresentam links, que podem redi-
recionar o usu ario para uma p agina fraudulenta ou induz-lo a instalar algum software malicioso para,
por exemplo, furtar senhas banc arias ou n umeros de cart oes de cr edito. Exemplos do uso malicioso
de pop-up windows podem ser vistos na Parte IV: Fraudes na Internet.
2.2.6 Quais s ao os cuidados necess arios para realizar transac oes via Web?
Normalmente as transac oes, sejam comerciais ou banc arias, envolvem informac oes sensveis,
como senhas ou n umeros de cart oes de cr edito.
Portanto, e muito importante que voc e, ao realizar transac oes via Web, certique-se da proced encia
dos sites e se estes sites s ao realmente das instituic oes que dizem ser. Tamb em e fundamental que
eles fornecam mecanismos de seguranca para evitar que algu em conectado ` a Internet possa obter
informac oes sensveis de suas transac oes, no momento em que estiverem sendo realizadas.
Maiores detalhes sobre estes cuidados, bemcomo formas de prevenc ao na realizac ao de transac oes
via Web podem ser vistos na Parte IV: Fraudes na Internet.
2.2.7 Que medidas preventivas devo adotar no uso de browsers?
Algumas medidas preventivas para o uso de browsers s ao:
manter o seu browser sempre atualizado;
desativar a execuc ao de programas Java na congurac ao de seu browser
2
. Se for absolutamente
necess ario o Java estar ativado para que as p aginas de um site possam ser vistas, basta ativ a-lo
antes de entrar no site e, ent ao, desativ a-lo ao sair;
desativar a execuc ao de JavaScripts antes de entrar em uma p agina desconhecida e, ent ao,
ativ a-la ao sair. Caso voc e opte por desativar a execuc ao de JavaScripts na congurac ao de seu
browser, e prov avel que muitas p aginas Web n ao possam ser visualizadas;
permitir que programas ActiveX sejam executados em seu computador apenas quando vierem
de sites conhecidos e con aveis;
2
Os programas Java n ao s ao utilizados na maioria das p aginas Web e, quando utilizados, a desativac ao de sua execuc ao
n ao costuma comprometer a visualizac ao da p agina.
manter maior controle sobre o uso de cookies, caso voc e queira ter maior privacidade ao navegar
na Internet (vide Parte III: Privacidade);
bloquear pop-up windows e permit-las apenas para sites conhecidos e con aveis, onde forem
realmente necess arias;
certicar-se da proced encia do site e da utilizac ao de conex oes seguras ao realizar transac oes
via Web (vide Parte IV: Fraudes na Internet);
somente acessar sites de instituic oes nanceiras e de com ercio eletr onico digitando o endereco
diretamente no seu browser, nunca clicando em um link existente em uma p agina ou em um e-
mail. Assim, voc e pode evitar ser redirecionado para uma p agina fraudulenta ou ser induzido a
instalar algum software malicioso, que tem como objetivo furtar seus dados pessoais (incluindo
senhas e n umeros de cart oes de cr edito).
2.2.8 Que caractersticas devo considerar na escolha de um browser?
Existem caractersticas muito importantes que voc e deve considerar no momento de escolher um
browser. Algumas destas caractersticas s ao:
hist orico de vulnerabilidades associadas ao browser e o tempo decorrido entre a descoberta da
vulnerabilidade e o lancamento da correc ao;
n ao instalac ao/execuc ao autom atica de programas;
facilidade para identicar se o site usa conex ao segura e para visualizar dados do certicado
digital;
disponibilidade de mecanismos para desabilitar a execuc ao de programas Java, JavaScript,
ActiveX, entre outros;
disponibilidade de mecanismos que permitam bloquear (incluindo bloqueio seletivo) cookies e
pop-up windows.
2.3 Antivrus
Os antivrus s ao programas que procuram detectar e, ent ao, anular ou remover os vrus de com-
putador. Atualmente, novas funcionalidades t em sido adicionadas aos programas antivrus, de modo
que alguns procuram detectar e remover cavalos de tr oia e outros tipos de c odigo malicioso
3
, barrar
programas hostis e vericar e-mails.
3
A denic ao de c odigo malicioso (malware) pode ser encontrada na Parte I: Conceitos de Seguranca.
2.3.1 Que funcionalidades um bom antivrus deve possuir?
Um bom antivrus deve:
identicar e eliminar a maior quantidade possvel de vrus e outros tipos de malware;
analisar os arquivos que est ao sendo obtidos pela Internet;
vericar continuamente os discos rgidos (HDs), exveis (disquetes) e unidades removveis,
como CDs, DVDs e pen drives, de forma transparente ao usu ario;
procurar vrus, cavalos de tr oia e outros tipos de malware em arquivos anexados aos e-mails;
criar, sempre que possvel, uma mdia de vericac ao (disquete ou CD de boot) que possa ser
utilizado caso um vrus desative o antivrus que est a instalado no computador;
atualizar as assinaturas de vrus e malwares conhecidos, pela rede, de prefer encia diariamente.
Alguns antivrus, al em das funcionalidades acima, permitem vericar e-mails enviados, podendo
detectar e barrar a propagac ao por e-mail de vrus, worms, e outros tipos de malware.
2.3.2 Como faco bom uso do meu antivrus?
As dicas para o bom uso do antivrus s ao simples:
mantenha o antivrus e suas assinaturas sempre atualizados;
congure-o para vericar automaticamente arquivos anexados aos e-mails e arquivos obtidos
pela Internet;
congure-o para vericar automaticamente mdias removveis (CDs, DVDs, pen drives, dis-
quetes, discos para Zip, etc);
congure-o para vericar todo e qualquer formato de arquivo (qualquer tipo de extens ao de
arquivo);
se for possvel, crie o disquete de vericac ao e utilize-o esporadicamente, ou quando seu com-
putador estiver apresentando um comportamento anormal (mais lento, gravando ou lendo o
disco rgido fora de hora, etc);
Algumas vers oes de antivrus s ao gratuitas para uso pessoal e podemser obtidas pela Internet. Mas
antes de obter um antivrus pela Internet, verique sua proced encia e certique-se que o fabricante e
con avel.
2.3.3 O que um antivrus n ao pode fazer?
Um antivrus n ao e capaz de impedir que um atacante tente explorar alguma vulnerabilidade (vide
sec ao 2.5) existente em um computador. Tamb em n ao e capaz de evitar o acesso n ao autorizado a um
backdoor
4
instalado em um computador.
Existem tamb em outros mecanismos de defesa, conhecidos como rewalls, que podem prevenir
contra tais ameacas (vide sec ao 2.4);
2.4 Firewalls
Os rewalls s ao dispositivos constitudos pela combinac ao de software e hardware, utilizados para
dividir e controlar o acesso entre redes de computadores.
Um tipo especco e o rewall pessoal, que e um software ou programa utilizado para proteger
um computador contra acessos n ao autorizados vindos da Internet.
2.4.1 Como o rewall pessoal funciona?
Se algu em ou algum programa suspeito tentar se conectar ao seu computador, um rewall bem
congurado entra em ac ao para bloquear tentativas de invas ao, podendo barrar tamb em o acesso a
backdoors, mesmo se j a estiverem instalados em seu computador.
Alguns programas de rewall permitem analisar continuamente o conte udo das conex oes, l-
trando vrus de e-mail, cavalos de tr oia e outros tipos de malware, antes mesmo que os antivrus
entrem em ac ao.
Tamb em existem pacotes de rewall que funcionam em conjunto com os antivrus, provendo um
maior nvel de seguranca para os computadores onde s ao utilizados.
2.4.2 Por que devo instalar um rewall pessoal em meu computador?
E comum observar relatos de usu arios que acreditam ter computadores seguros por utilizarem
apenas programas antivrus. O fato e que a seguranca de um computador n ao pode basear-se apenas
em um mecanismo de defesa.
Um antivrus n ao e capaz de impedir o acesso a um backdoor instalado em um computador. J a
um rewall bem congurado pode bloquear o acesso a ele.
Al em disso, um rewall poder a bloquear as tentativas de invas ao ao seu computador e possibilitar
a identicac ao das origens destas tentativas.
Alguns fabricantes de rewalls oferecem vers oes gratuitas de seus produtos para uso pessoal. Mas
antes de obter um rewall, verique sua proced encia e certique-se que o fabricante e con avel.
4
Detalhes sobre backdoors podem ser vistos na Parte VIII: C odigos Maliciosos (Malware).
2.4.3 Como posso saber se est ao tentando invadir meu computador?
Normalmente os rewalls criam arquivos em seu computador, denominados arquivos de registro
de eventos (logs). Nestes arquivos s ao armazenadas as tentativas de acesso n ao autorizado ao seu
computador, para servicos que podem ou n ao estar habilitados.
A Parte VII: Incidentes de Seguranca e Uso Abusivo da Rede apresenta um guia para que voc e n ao
s o identique tais tentativas, mas tamb em reporte-as para os respons aveis pela rede ou computador
de onde a tentativa de invas ao se originou.
2.5 Vulnerabilidades
2.5.1 Como posso saber se os softwares instalados em meu computador pos-
suem alguma vulnerabilidade?
Existem sites na Internet que mant em listas atualizadas de vulnerabilidades em softwares e sis-
temas operacionais. Alguns destes sites s ao http://www.cert.org/, http://cve.mitre.org/ e
http://www.us-cert.gov/cas/alerts/.
Al em disso, fabricantes tamb em costumam manter p aginas na Internet com considerac oes a res-
peito de possveis vulnerabilidades em seus softwares.
Portanto, a id eia e estar sempre atento aos sites especializados em acompanhar vulnerabilidades,
aos sites dos fabricantes, ` as revistas especializadas e aos cadernos de inform atica dos jornais, para
vericar a exist encia de vulnerabilidades no sistema operacional e nos softwares instalados em seu
computador.
2.5.2 Como posso corrigir as vulnerabilidades dos softwares em meu compu-
tador?
A melhor forma de evitar que o sistema operacional e os softwares instalados em um computador
possuam vulnerabilidades e mant e-los sempre atualizados.
Entretanto, fabricantes em muitos casos n ao disponibilizam novas vers oes de seus softwares
quando e descoberta alguma vulnerabilidade, mas sim correc oes especcas (patches). Estes patches,
em alguns casos tamb em chamados de hot xes ou service packs, t em por nalidade corrigir os pro-
blemas de seguranca referentes ` as vulnerabilidades descobertas.
Portanto, e extremamente importante que voc e, al em de manter o sistema operacional e os
softwares sempre atualizados, instale os patches sempre que forem disponibilizados.
2.6 Programas de Troca de Mensagens
2.6.1 Quais s ao os riscos associados ao uso de salas de bate-papo e de progra-
mas como o ICQ ou IRC?
Os maiores riscos associados ao uso destes programas est ao no conte udo dos pr oprios di alogos.
Algu em pode utilizar t ecnicas de engenharia social (vide Parte I: Conceitos de Seguranca e Parte IV:
Fraudes na Internet) para obter informac oes (muitas vezes sensveis) dos usu arios destes programas.
Voc e pode ser persuadido a fornecer em uma conversa amig avel seu e-mail, telefone, endereco,
senhas (como a de acesso ao seu provedor), n umero do seu cart ao de cr edito, etc. As conseq u encias
podem ser desde o recebimento de mensagens com conte udo falso/alarmante ou mensagens n ao so-
licitadas contendo propagandas, at e a utilizac ao da conta no seu provedor para realizar atividades
ilcitas ou a utilizac ao de seu n umero de cart ao de cr edito para fazer compras em seu nome (vide
Parte IV: Fraudes na Internet).
Al em disso, estes programas podem fornecer o seu endereco na Internet (endereco IP
5
). Um ata-
cante pode usar esta informac ao para, por exemplo, tentar explorar uma possvel vulnerabilidade em
seu computador.
2.6.2 Existem problemas de seguranca especcos nos programas de troca ins-
tant anea de mensagens?
Programas, tais como o ICQ, AOL Instant Messenger, Yahoo! Messenger e MSN Messenger, por
se comunicarem constantemente com um servidor (sen ao n ao teriam como saber quem est a no ar),
cam mais expostos e sujeitos a ataques, caso possuam alguma vulnerabilidade.
2.6.3 Que medidas preventivas devo adotar no uso de programas de troca de
mensagens?
Algumas medidas preventivas para o uso de programas de troca de mensagens s ao:
manter seu programa de troca de mensagens sempre atualizado, para evitar que possua alguma
vulnerabilidade (vide sec ao 2.5);
n ao aceitar arquivos de pessoas desconhecidas, principalmente programas de computadores;
utilizar um bom antivrus, sempre atualizado, para vericar todo e qualquer arquivo ou software
obtido atrav es do programa de troca de mensagens, mesmo que venha de pessoas conhecidas;
evitar fornecer muita informac ao, principalmente a pessoas que voc e acabou de conhecer;
n ao fornecer, em hip otese alguma, informac oes sensveis, tais como senhas ou n umeros de
congurar o programa para ocultar o seu endereco IP.
5
O signicado de endereco IP pode ser encontrado no Ap endice A: Gloss ario.
2.7 Programas de Distribuic ao de Arquivos
2.7.1 Quais s ao os riscos associados ao uso de programas de distribuic ao de
arquivos?
Existem diversos riscos envolvidos na utilizac ao de programas de distribuic ao de arquivos, tais
como o Kazaa, Morpheus, Edonkey, Gnutella e BitTorrent. Dentre estes riscos, podem-se citar:
Acesso n ao autorizado: o programa de distribuic ao de arquivos pode permitir o acesso n ao autori-
zado ao seu computador, caso esteja mal congurado ou possua alguma vulnerabilidade;
Softwares ou arquivos maliciosos: os softwares ou arquivos distribudos podem ter nalidades ma-
liciosas. Podem, por exemplo, conter vrus, ser um bot ou cavalo de tr oia, ou instalar backdoors
em um computador;
Violac ao de direitos autorais (Copyright): a distribuic ao n ao autorizada de arquivos de m usica, l-
mes, textos ou programas protegidos pela lei de direitos autorais constitui a violac ao desta lei.
2.7.2 Que medidas preventivas devo adotar no uso de programas de distribui-
c ao de arquivos?
Algumas medidas preventivas para o uso de programas de distribuic ao de arquivos s ao:
manter seu programa de distribuic ao de arquivos sempre atualizado e bem congurado;
ter um bom antivrus instalado em seu computador, mant e-lo atualizado e utiliz a-lo para veri-
car qualquer arquivo obtido, pois eles podem conter vrus, cavalos de tr oia, entre outros tipos
de malware;
certicar-se que os arquivos obtidos ou distribudos s ao livres, ou seja, n ao violam as leis de
direitos autorais.
2.8 Compartilhamento de Recursos do Windows
2.8.1 Quais s ao os riscos associados ao uso do compartilhamento de recursos?
Um recurso compartilhado aparece no Explorer do Windows como uma m aozinha segurando a
parte de baixo do cone (pasta, impressora ou disco), como mostra a gura 2.1.
Figura 2.1: Exemplos de cones para recursos compartilhados.
Alguns dos riscos envolvidos na utilizac ao de recursos compartilhados por terceiros s ao:
abrir arquivos ou executar programas que contenham vrus;
executar programas que sejam cavalos de tr oia ou outros tipos de malware.
J a alguns dos riscos envolvidos em compartilhar recursos do seu computador s ao:
permitir o acesso n ao autorizado a recursos ou informac oes sensveis;
permitir que um atacante possa utilizar tais recursos, sem quaisquer restric oes, para ns malici-
osos. Isto pode ocorrer se n ao forem denidas senhas para os compartilhamentos.
2.8.2 Que medidas preventivas devo adotar no uso do compartilhamento de
recursos?
Algumas medidas preventivas para o uso do compartilhamento de recursos do Windows s ao:
car qualquer arquivo ou programa compartilhado, pois eles podem conter vrus ou cavalos de
tr oia, entre outros tipos de malware;
estabelecer senhas para os compartilhamentos, caso seja estritamente necess ario compartilhar
recursos do seu computador. Procure elaborar senhas f aceis de lembrar e difceis de serem
descobertas (vide Parte I: Conceitos de Seguranca).
E importante ressaltar que voc e deve sempre utilizar senhas para os recursos que deseje com-
partilhar, principalmente os que est ao habilitados para leitura e escrita. E, quando possvel, n ao
compartilhe recursos ou n ao deixe-os compartilhados por muito tempo.
2.9 Realizac ao de C opias de Seguranca (Backups)
2.9.1 Qual e a import ancia de fazer c opias de seguranca?
C opias de seguranca dos dados armazenados em um computador s ao importantes, n ao s o para se
recuperar de eventuais falhas, mas tamb em das conseq u encias de uma possvel infecc ao por vrus, ou
de uma invas ao.
2.9.2 Quais s ao as formas de realizar c opias de seguranca?
C opias de seguranca podem ser simples como o armazenamento de arquivos em CDs ou DVDs,
ou mais complexas como o espelhamento de um disco rgido inteiro em um outro disco de um com-
putador.
Atualmente, uma unidade gravadora de CDs/DVDs e um software que possibilite copiar dados
para um CD/DVD s ao sucientes para que a maior parte dos usu arios de computadores realizem suas
c opias de seguranca.
Tamb em existem equipamentos e softwares mais sosticados e especcos que, dentre outras
atividades, automatizam todo o processo de realizac ao de c opias de seguranca, praticamente sem
intervenc ao do usu ario. A utilizac ao de tais equipamentos e softwares envolve custos mais elevados
e depende de necessidades particulares de cada usu ario.
2.9.3 Com que freq u encia devo fazer c opias de seguranca?
A freq u encia com que e realizada uma c opia de seguranca e a quantidade de dados armazenados
neste processo depende da periodicidade com que o usu ario cria ou modica arquivos. Cada usu ario
deve criar sua pr opria poltica para a realizac ao de c opias de seguranca.
2.9.4 Que cuidados devo ter com as c opias de seguranca?
Os cuidados com c opias de seguranca dependem das necessidades do usu ario. O usu ario deve
procurar responder algumas perguntas antes de adotar um ou mais cuidados com suas c opias de
seguranca:
Que informac oes realmente importantes precisam estar armazenadas em minhas c opias de
seguranca?
Quais seriam as conseq u encias/prejuzos, caso minhas c opias de seguranca fossem destrudas
ou danicadas?
O que aconteceria se minhas c opias de seguranca fossem furtadas?
Baseado nas respostas para as perguntas anteriores, um usu ario deve atribuir maior ou menor
import ancia a cada um dos cuidados discutidos abaixo.
Escolha dos dados. C opias de seguranca devem conter apenas arquivos con aveis do usu ario, ou
seja, que n ao contenham vrus e nem sejam algum outro tipo de malware. Arquivos do sistema
operacional e que facam parte da instalac ao dos softwares de um computador n ao devem fazer
parte das c opias de seguranca. Eles podem ter sido modicados ou substitudos por vers oes
maliciosas, que quando restauradas podem trazer uma s erie de problemas de seguranca para um
computador. O sistema operacional e os softwares de um computador podem ser reinstalados
de mdias con aveis, fornecidas por fabricantes con aveis.
Mdia utilizada. A escolha da mdia para a realizac ao da c opia de seguranca e extremamente im-
portante e depende da import ancia e da vida util que a c opia deve ter. A utilizac ao de alguns
disquetes para armazenar um pequeno volume de dados que est ao sendo modicados constan-
temente e perfeitamente vi avel. Mas um grande volume de dados, de maior import ancia, que
deve perdurar por longos perodos, deve ser armazenado em mdias mais con aveis, como por
exemplo os CDs ou DVDs.
Local de armazenamento. C opias de seguranca devem ser guardadas em um local condicionado
(longe de muito frio ou muito calor) e restrito, de modo que apenas pessoas autorizadas tenham
acesso a este local (seguranca fsica).
C opia em outro local. C opias de seguranca podem ser guardadas em locais diferentes. Um exemplo
seria manter uma c opia em casa e outra no escrit orio. Tamb em existem empresas especializadas
em manter areas de armazenamento com c opias de seguranca de seus clientes. Nestes casos e
muito importante considerar a seguranca fsica de suas c opias, como discutido no item anterior.
Criptograa dos dados. Os dados armazenados em uma c opia de seguranca podem conter informa-
c oes sigilosas. Neste caso, os dados que contenham informac oes sigilosas devem ser armaze-
nados em algum formato criptografado.
2.9.5 Que cuidados devo ter ao enviar um computador para a manutenc ao?
E muito importante fazer c opias de seguranca dos dados de umcomputador antes que ele apresente
algum problema e seja necess ario envi a-lo para manutenc ao ou assist encia t ecnica.
Em muitos casos, o computador pode apresentar algum problema que impossibilite a realizac ao de
uma c opia de seguranca dos dados antes de envi a-lo para a manutenc ao. Portanto, e muito importante
que o usu ario tenha disponvel c opias de seguranca recentes de seus dados. N ao se pode descartar
a possibilidade de, ao receber seu computador, ter a infeliz surpresa que todos os seus dados foram
apagados durante o processo de manutenc ao.
Tenha sempre em mente que procurar uma assist encia t ecnica de conanca e fundamental, princi-
palmente se existirem dados sensveis armazenados em seu computador, como declarac ao de Imposto
de Renda, documentos e outras informac oes sigilosas, certicados digitais, entre outros.
Parte III: Privacidade
Esta parte da Cartilha discute quest oes relacionadas ` a privacidade do usu ario ao utilizar a In-
ternet. S ao abordados temas relacionados ` a privacidade dos e-mails, ` a privacidade no acesso e
disponibilizac ao de p aginas Web, bem como alguns cuidados que o usu ario deve ter com seus da-
dos pessoais e ao armazenar dados em um disco rgido.
3.1 Privacidade dos E-mails
O servico de e-mails foi projetado para ter como uma de suas principais caractersticas a simplici-
dade. O problema deste servico e que foi comparado com o correio convencional, dando a falsa id eia
de que os e-mails s ao cartas fechadas. Mas eles s ao, na verdade, como cart oes postais, cujo conte udo
pode ser lido por quem tiver acesso a eles.
3.1.1

E possvel algu em ler e-mails de outro usu ario?
As mensagens que chegam ` a caixa postal do usu ario cam normalmente armazenadas em um
arquivo no servidor de e-mails do provedor, at e o usu ario se conectar na Internet e obter os e-mails
atrav es do seu programa leitor de e-mails.
Portanto, enquanto os e-mails estiverem no servidor, poder ao ser lidos por pessoas que tenham
acesso a este servidor
1
. E enquanto estiverem em tr ansito, existe a possibilidade de serem lidos por
alguma pessoa conectada ` a Internet.
3.1.2 Como e possvel assegurar a privacidade dos e-mails?
Se a informac ao que se deseja enviar por e-mail for condencial, a soluc ao e utilizar programas
que permitam criptografar o e-mail atrav es de chaves (senhas ou frases), de modo que ele possa ser
lido apenas por quem possuir a chave certa para decodicar a mensagem. Maiores informac oes sobre
criptograa podem ser encontradas na Parte I: Conceitos de Seguranca.
Alguns softwares de criptograa podem estar embutidos nos programas leitores de e-mails, outros
podem ser adquiridos separadamente e integrados aos programas leitores de e-mails.
Devem ser usados, preferencialmente, programas de criptograa que trabalhem com pares de
chaves, como o GnuPG, que pode ser obtido no site http://www.gnupg.org/.
1
Normalmente existe um consenso etico entre administradores de redes e provedores de nunca lerem a caixa postal de
um usu ario sem o seu consentimento.
27
Estes programas, apesar de serem muito utilizados na criptograa de mensagens de e-mail, tam-
b em podem ser utilizados na criptograa de qualquer tipo de informac ao, como por exemplo, um
arquivo sigiloso a ser armazenado em uma c opia de seguranca (vide Parte II: Riscos Envolvidos no
Uso da Internet e M etodos de Prevenc ao).
3.1.3 A utilizac ao de programas de criptograa e suciente para assegurar a
privacidade dos e-mails?
Os programas de criptograa s ao utilizados, dentre outras nalidades, para decodicar mensagens
criptografadas, recebidas por um usu ario, no momento em que este desejar l e-las.
Ao utilizar um programa de criptograa para decodicar uma mensagem, e possvel que o pro-
grama leitor de e-mails permita salvar a mensagem no formato decodicado, ou seja, em texto claro.
No caso da utilizac ao de programas leitores de e-mails com esta caracterstica, a privacidade do
conte udo da mensagem e garantida durante a transmiss ao da mensagem, mas n ao necessariamente no
seu armazenamento.
Portanto, e extremamente importante o usu ario estar atento para este fato, e tamb em certicar-
se sobre o modo como suas mensagens est ao sendo armazenadas. Como uma mensagem pode ser
decodicada sempre que o usu ario desejar l e-la, e aconselh avel que ela seja armazenada de forma
criptografada e n ao em texto claro.
3.2 Privacidade no Acesso e Disponibilizac ao de P aginas Web
Existem cuidados que devem ser tomados por um usu ario ao acessar ou disponibilizar p aginas na
Internet. Muitas vezes o usu ario pode expor informac oes pessoais e permitir que seu browser receba
ou envie dados sobre suas prefer encias e sobre o seu computador. Isto pode afetar a privacidade de
um usu ario, a seguranca de seu computador e at e mesmo sua pr opria seguranca.
3.2.1 Que cuidados devo ter ao acessar p aginas Web e ao receber cookies?
Cookies s ao muito utilizados para rastrear e manter as prefer encias de um usu ario ao navegar
pela Internet. Estas prefer encias podem ser compartilhadas entre diversos sites na Internet, afetando
assim a privacidade de um usu ario. N ao e incomum acessar pela primeira vez um site de m usica,
por exemplo, e observar que todas as ofertas de CDs para o seu g enero musical preferido j a est ao
disponveis, sem que voc e tenha feito qualquer tipo de escolha.
Al em disso, ao acessar uma p agina na Internet, o seu browser disponibiliza uma s erie de informa-
c oes, de modo que os cookies podem ser utilizados para manter refer encias contendo informac oes de
seu computador, como o hardware, o sistema operacional, softwares instalados e, em alguns casos,
at e o seu endereco de e-mail.
Estas informac oes podem ser utilizadas por algu em mal intencionado, por exemplo, para ten-
tar explorar uma possvel vulnerabilidade em seu computador, como visto na Parte I: Conceitos de
Seguranca e Parte II: Riscos Envolvidos no Uso da Internet e M etodos de Prevenc ao.
Portanto, e aconselh avel que voc e desabilite o recebimento de cookies, exceto para sites con a-
veis, onde sejam realmente necess arios.
As vers oes recentes dos browsers normalmente permitem que o usu ario desabilite o recebimento,
conrme se quer ou n ao receber e at e mesmo visualize o conte udo dos cookies.
Tamb em existem softwares que permitem controlar o recebimento e envio de informac oes entre
um browser e os sites visitados. Dentre outras func oes, estes podem permitir que cookies sejam
recebidos apenas de sites especcos
2
.
Uma outra forma de manter sua privacidade ao acessar p aginas na Internet e utilizar sites que
permitem que voc e que an onimo. Estes s ao conhecidos como anonymizers
3
e intermediam o envio
e recebimento de informac oes entre o seu browser e o site que se deseja visitar. Desta forma, o seu
browser n ao receber a cookies e as informac oes por ele fornecidas n ao ser ao repassadas para o site
visitado.
Neste caso, e importante ressaltar que voc e deve certicar-se que o anonymizer e con avel. Al em
disso, voc e n ao deve utilizar este servico para realizar transac oes via Web.
3.2.2 Que cuidados devo ter ao disponibilizar uma p agina na Internet, como
por exemplo um blog?
Um usu ario, ao disponibilizar uma p agina na Internet, precisa ter alguns cuidados, visando prote-
ger os dados contidos em sua p agina.
Um tipo especco de p agina Web que vem sendo muito utilizado por usu arios de Internet e o
blog. Este servico e usado para manter um registro freq uente de informac oes, e tem como principal
vantagem permitir que o usu ario publique seu conte udo sem necessitar de conhecimento t ecnico sobre
a construc ao de p aginas na Internet.
Apesar de terem diversas nalidades, os blogs t em sido muito utilizados como di arios pessoais.
Em seu blog, um usu ario poderia disponibilizar informac oes, tais como:
seus dados pessoais (e-mail, telefone, endereco, etc);
informac oes sobre seus familiares e amigos (como arvores geneal ogicas, datas de anivers ario,
telefones, etc);
dados sobre o seu computador (dizendo, por exemplo, . . . comprei um computador da marca
X e instalei o sistema operacional Y. . . );
dados sobre os softwares que utiliza (dizendo, por exemplo, . . . instalei o programa Z, que
acabei de obter do site W. . . );
informac oes sobre o seu cotidiano (como, por exemplo, hora que saiu e voltou para casa, data
de uma viagem programada, hor ario que foi ao caixa eletr onico, etc);
E extremamente importante estar atento e avaliar com cuidado que informac oes ser ao disponi-
bilizadas em uma p agina Web. Estas informac oes podem n ao s o ser utilizadas por algu em mal-
intencionado, por exemplo, emumataque de engenharia social (vide Parte I: Conceitos de Seguranca),
mas tamb em para atentar contra a seguranca de um computador, ou at e mesmo contra a seguranca
fsica do pr oprio usu ario.
2
Um exemplo deste tipo de software pode ser encontrado em http://internet.junkbuster.com/.
3
Exemplos desse tipo de site podem ser encontrados em http://anonymouse.org/ (servico gratuito) e http://
www.anonymizer.com/ (servico pago).
3.3 Cuidados com seus Dados Pessoais
Procure n ao fornecer seus dados pessoais (como nome, e-mail, endereco e n umeros de documen-
tos) para terceiros. Tamb em nunca forneca informac oes sensveis (como senhas e n umeros de cart ao
de cr edito), a menos que esteja sendo realizada uma transac ao (comercial ou nanceira) e se tenha
certeza da idoneidade da instituic ao que mant em o site.
Estas informac oes geralmente s ao armazenadas em servidores das instituic oes que mant em os
sites. Com isso, corre-se o risco destas informac oes serem repassadas sem sua autorizac ao para outras
instituic oes ou de um atacante comprometer este servidor e obter acesso a todas as informac oes.
Fique atento aos ataques de engenharia social, vistos na Parte I: Conceitos de Seguranca. Ao ter
acesso a seus dados pessoais, um atacante poderia, por exemplo, utilizar seu e-mail em alguma lista
de distribuic ao de spams (vide Parte VI: Spam) ou se fazer passar por voc e na Internet (atrav es do uso
de uma de suas senhas).
3.3.1 Que cuidados devo ter em sites de redes de relacionamentos, como por
exemplo o orkut?
Os sites de redes de relacionamentos, como o orkut, tiveram uma ampla aceitac ao e inserc ao de
usu arios da Internet, por proporcionarem o encontro de pessoas (amigos) e permitirem a criac ao e
participac ao em comunidades com interesses em comum.
Um site de redes de relacionamento normalmente permite que o usu ario cadastre informac oes
pessoais (como nome, enderecos residencial e comercial, telefones, enderecos de e-mail, data de
nascimento, etc), al em de outros dados que ir ao compor o seu perl. Se o usu ario n ao limitar o acesso
aos seus dados para apenas aqueles de interesse, todas as suas informac oes poder ao ser visualizadas
por qualquer um que utilize este site. Al em disso, e recomend avel que o usu ario evite fornecer
muita informac ao a seu respeito, pois nenhum site est a isento do risco de ser invadido e de ter suas
informac oes furtadas por um invasor.
Aparticipac ao de umusu ario emdeterminados tipos de comunidades tamb empode fornecer muita
informac ao para terceiros. Por exemplo, a comunidade de donos de um determinado veculo, ou dos
freq uentadores do estabelecimento X, pode dizer qual e a classe social de um usu ario, que locais ele
gosta de freq uentar, etc.
Desta forma, e extremamente importante estar atento e avaliar com cuidado que informac oes voc e
disponibilizar a nos sites de redes de relacionamentos, principalmente aquelas que poder ao ser vistas
por todos, e em que comunidades voc e participar a. Estas informac oes podem n ao s o ser utilizadas por
algu em mal-intencionado, por exemplo, em um ataque de engenharia social (vide Parte I: Conceitos
de Seguranca), mas tamb em para atentar contra a seguranca fsica do pr oprio usu ario.
3.4 Cuidados com os Dados Armazenados em um Disco Rgido
E importante ter certos cuidados no armazenamento de dados em um computador. Caso voc e

mantenha informac oes sensveis ou pessoais que voc e n ao deseja que sejam vistas por terceiros (como
n umeros de cart oes de cr edito, declarac ao de Imposto de Renda, senhas, etc), estas devem ser arma-
zenadas em algum formato criptografado.
Estes cuidados s ao extremamente importantes no caso de notebooks, pois s ao mais visados e,
portanto, mais suscetveis a roubos, furtos, etc.
Caso as informac oes n ao estejam criptografadas, se voc e necessitar levar o computador a alguma
assist encia t ecnica, por exemplo, seus dados poder ao ser lidos ou copiados por uma pessoa n ao auto-
rizada.
Para criptografar estes dados, como visto na sec ao 3.1.2, existem programas que, al em de serem
utilizados para a criptograa de e-mails, tamb em podem ser utilizados para criptografar arquivos.
Um exemplo seria utilizar um programa que implemente criptograa de chaves p ublica e privada
4
,
como o GnuPG. O arquivo sensvel seria criptografado com a sua chave p ublica e, ent ao, decodicado
com a sua chave privada, sempre que fosse necess ario.
E importante ressaltar que a seguranca deste m etodo de criptograa depende do sigilo da chave
privada. A id eia, ent ao, e manter a chave privada em um CD ou outra mdia (como pen drive, disco
rgido removvel ou externo) e que este n ao acompanhe o computador, caso seja necess ario envi a-lo,
por exemplo, para a assist encia t ecnica.
Tamb em deve-se ter um cuidado especial ao trocar ou vender um computador. Apenas apagar ou
formatar um disco rgido n ao e suciente para evitar que informac oes antes armazenadas possam ser
recuperadas. Portanto, e importante sobrescrever todos os dados do disco rgido (vide sec ao 3.4.1).
3.4.1 Como posso sobrescrever todos os dados de um disco rgido?
Para assegurar que informac oes n ao possam ser recuperadas de um disco rgido e preciso sobres-
crev e-las com outras informac oes. Um exemplo seria gravar o caracter 0 (zero), ou algum caracter
escolhido aleatoriamente, em todos os espacos de armazenamento do disco.
E importante ressaltar que e preciso repetir algumas vezes a operac ao de sobrescrever os dados de
um disco rgido, para minimizar a chance de recuperac ao de informac oes anteriormente armazenadas.
Existem softwares gratuitos e comerciais que permitem sobrescrever dados de um disco rgido e
que podem ser executados em diversos sistemas operacionais, como o Windows (95/98, 2000, XP,
etc), Unix (Linux, FreeBSD, etc), Mac OS, entre outros.
3.5 Cuidados com Telefones Celulares, PDAs e Outros Aparelhos
com Bluetooth
Telefones celulares deixaramde ser meramente aparelhos utilizados para fazer ligac oes telef onicas
e passaram a incorporar diversas funcionalidades, tais como: calend ario, despertador, agenda te-
lef onica e de compromissos, c amera fotogr aca, envio e recebimento de texto e imagens, etc.
Atecnologia bluetooth
5
temsido introduzida emdiversos tipos de telefones celulares para permitir
a transmiss ao de dados entre eles (por exemplo, contatos da agenda telef onica, agenda de compromis-
sos, texto, imagens, etc), bem como conectar um telefone a outros tipos de dispositivo (por exemplo,
4
Detalhes sobre criptograa de chaves p ublica e privada est ao disponveis na Parte I: Conceitos de Seguranca.
5
A denic ao deste termo pode ser encontrada no Ap endice A: Gloss ario.
fones de ouvido, sistema viva-voz de autom oveis, etc). Outros exemplos de aparelhos que podem
fornecer esta tecnologia s ao PDAs e notebooks.
O fato e que a inclus ao da tecnologia bluetooth em aparelhos como telefones celulares e PDAs,
entre outros, trouxe alguns riscos que podem afetar a privacidade de seus usu arios.
3.5.1 Que riscos est ao associados ao uso de aparelhos com bluetooth?
Muitas vezes, um aparelho que fornece a tecnologia bluetooth vem congurado de f abrica, ou
e posteriormente congurado, de modo que qualquer outro aparelho possa se conectar a ele, indis-
criminadamente. Esta congurac ao normalmente permite que dados sejam obtidos do aparelho sem
qualquer tipo de controle.
O problema n ao reside no fato do aparelho disponibilizar a tecnologia, mas sim na m a congura-
c ao das opc oes de bluetooth, que podem permitir que terceiros obtenham diversas informac oes de um
aparelho. Estas informac oes podem incluir: agenda telef onica, agenda de compromissos, arquivos,
imagens, entre outras.
Pode-se citar como exemplos os casos de algumas celebridades que tiveram todos os contatos
telef onicos armazenados em seus aparelhos furtados e disponibilizados na Internet.
3.5.2 Que cuidados devo ter para evitar a exposic ao de informac oes de um
aparelho com bluetooth?
E preciso tomar alguns cuidados para evitar a exposic ao de informac oes de um aparelho que
fornece a tecnologia bluetooth. Alguns dos principais cuidados s ao:
mantenha o bluetooth do seu aparelho desabilitado e somente habilite-o quando for necess ario.
Caso isto n ao seja possvel, consulte o manual do seu aparelho e congure-o para que n ao seja
identicado (ou descoberto) por outros aparelhos (em muitos aparelhos esta opc ao aparece
como Oculto ou Invisvel);
que atento ` as notcias, principalmente ` aquelas sobre seguranca, veiculadas no site do fabri-
cante do seu aparelho;
aplique todas as correc oes de seguranca (patches) que forem disponibilizadas pelo fabricante
do seu aparelho, para evitar que possua vulnerabilidades;
caso voc e tenha comprado uma aparelho usado, restaure as opc oes de f abrica (em muitos apare-
lhos esta opc ao aparece como Restaurar Congurac ao de F abrica ou Restaurar Congurac ao
Original) e congure-o como no primeiro item, antes de inserir quaisquer dados.
Parte IV: Fraudes na Internet
Esta parte da cartilha aborda quest oes relacionadas a fraudes na Internet. S ao apresentadas algu-
mas maneiras de prevenc ao contra ataques de engenharia social, situac oes envolvendo fraudes comer-
ciais e banc arias via Internet, bem como medidas preventivas que um usu ario deve adotar ao acessar
sites de com ercio eletr onico ou Internet Banking. Tamb em e apresentado o conceito de boato (hoax)
e s ao discutidas algumas implicac oes de seguranca e formas para se evitar sua distribuic ao.
4.1 Engenharia Social
Nos ataques de engenharia social, normalmente, o atacante se faz passar por outra pessoa e utiliza
meios, como uma ligac ao telef onica ou e-mail, para persuadir o usu ario a fornecer informac oes ou
realizar determinadas ac oes. Exemplos destas ac oes s ao: executar um programa, acessar uma p agina
falsa de com ercio eletr onico ou Internet Banking atrav es de um link em um e-mail ou em uma p agina,
etc.
O conceito de engenharia social, bem como alguns exemplos deste tipo de ataque, podem ser
encontrados na Parte I: Conceitos de Seguranca. Exemplos especcos destes ataques, envolvendo
diversos tipos de fraude, s ao abordados nas sec oes 4.2.1 e 4.2.2.
4.1.1 Como me protejo deste tipo de abordagem?
Em casos de engenharia social o bom senso e essencial. Fique atento para qualquer abordagem,
seja via telefone, seja atrav es de um e-mail, onde uma pessoa (em muitos casos falando em nome de
uma instituic ao) solicita informac oes (principalmente condenciais) a seu respeito.
Procure n ao fornecer muita informac ao e n ao forneca, sob hip otese alguma, informac oes sen-
sveis, como senhas ou n umeros de cart oes de cr edito.
Nestes casos e nos casos em que receber mensagens, procurando lhe induzir a executar programas
ou clicar em um link contido em um e-mail ou p agina Web, e extremamente importante que voc e,
antes de realizar qualquer ac ao, procure identicar e entrar em contato com a instituic ao envolvida,
para certicar-se sobre o caso.
33
4.2 Fraudes via Internet
Normalmente, n ao e uma tarefa simples atacar e fraudar dados em um servidor de uma instituic ao
banc aria ou comercial. Ent ao, atacantes t em concentrado seus esforcos na explorac ao de fragilidades
dos usu arios, para realizar fraudes comerciais e banc arias atrav es da Internet.
Para obter vantagens, os fraudadores t em utilizado amplamente e-mails com discursos que, na
maioria dos casos, envolvem engenharia social e que tentam persuadir o usu ario a fornecer seus dados
pessoais e nanceiros. Em muitos casos, o usu ario e induzido a instalar algum c odigo malicioso
ou acessar uma p agina fraudulenta, para que dados pessoais e sensveis, como senhas banc arias e
n umeros de cart oes de cr edito, possam ser furtados. Desta forma, e muito importante que usu arios
de Internet tenham certos cuidados com os e-mails que recebem e ao utilizarem servicos de com ercio
eletr onico ou Internet Banking.
A sec oes 4.2.1 e 4.2.2 ilustram algumas situac oes envolvendo estes tipos de fraudes. A sec ao 4.2.3
descreve alguns cuidados a serem tomados pelos usu arios de Internet, ao acessarem sites de com ercio
eletr onico ou Internet Banking. As sec oes 4.2.4, 4.2.5 e 4.2.6 apresentam alguns procedimentos para
vericar a legitimidade de um site. E a sec ao 4.2.7 recomenda o que o usu ario deve fazer se perceber
que seus dados nanceiros podem estar sendo usados por terceiros.
4.2.1 Oque e scame que situac oes podemser citadas sobre este tipo de fraude?
O scam (ou golpe) e qualquer esquema ou ac ao enganosa e/ou fraudulenta que, normalmente,
tem como nalidade obter vantagens nanceiras.
As subsec oes 4.2.1.1 e 4.2.1.2 apresentam duas situac oes envolvendo este tipo de fraude, sendo
que a primeira situac ao se d a atrav es de p aginas disponibilizadas na Internet e a segunda atrav es do
recebimento de e-mails. Observe que existem variantes para as situac oes apresentadas e outros tipos
de scam. Al em disso, novas formas de scam podem surgir, portanto e muito importante que voc e se
mantenha informado sobre os tipos de scam que v em sendo utilizados pelos fraudadores, atrav es dos
veculos de comunicac ao, como jornais, revistas e sites especializados.
4.2.1.1 Sites de leil oes e de produtos com precos muito atrativos
Voc e acessa um site de leil ao ou de venda de produtos, onde os produtos ofertados t em precos
muito abaixo dos praticados pelo mercado.
Risco: ao efetivar uma compra, na melhor das hip oteses, voc e receber a um produto que n ao condiz
com o que realmente foi solicitado. Na maioria dos casos, voc e n ao receber a nenhum produto, perder a
o dinheiro e poder a ter seus dados pessoais e nanceiros furtados, caso a transac ao tenha envolvido,
por exemplo, o n umero do seu cart ao de cr edito.
Como identicar: faca uma pesquisa de mercado sobre preco do produto desejado e compare com
os precos oferecidos. Ent ao, voc e deve se perguntar por que est ao oferecendo um produto com preco
t ao abaixo do praticado pelo mercado.
E importante ressaltar que existem muitos sites con aveis de leil oes e de vendas de produtos, mas
nesta situac ao a intenc ao e ilustrar casos de sites especicamente projetados para realizar atividades
ilcitas.
4.2.1.2 O golpe da Nig eria (Nigerian 4-1-9 Scam)
Voc e recebe um e-mail em nome de uma instituic ao governamental da Nig eria (por exemplo, o
Banco Central), onde e solicitado que voc e atue como intermedi ario em uma transfer encia internaci-
onal de fundos. O valor mencionado na mensagem normalmente corresponde a dezenas ou centenas
de milh oes de d olares.
Como recompensa, voc e ter a direito de car com uma porcentagem (que e normalmente alta) do
valor mencionado na mensagem. Para completar a transac ao e solicitado que voc e pague antecipa-
damente uma quantia, normalmente bem elevada, para arcar com taxas de transfer encia de fundos,
custos com advogados, entre outros.
Este tipo de golpe tamb em e conhecido como Advance Fee Fraud, ou a fraude de antecipac ao de
pagamentos, e j a foram registrados casos originados ou que mencionavam a

Africa do Sul, Angola,
Eti opia, Lib eria, Marrocos, Serra Leoa, Tanz ania, Zaire, Zimb abue, Holanda, Iugosl avia, Austr alia,
Jap ao, Mal asia e Taiwan, entre outros.
No nome dado a este tipo de fraude, Nigerian 4-1-9 Scam, o n umero 419 refere-se ` a sec ao do
c odigo penal da Nig eria que e violada por este golpe.

E equivalente ao artigo 171 do c odigo penal
brasileiro, ou seja, estelionato.
Risco: ao responder a este tipo de mensagem e efetivar o pagamento antecipado, voc e n ao s o perder a
o dinheiro investido, mas tamb em nunca ver a os milhares ou milh oes de d olares prometidos como
recompensa.
Como identicar: normalmente, estas mensagens apresentam quantias astron omicas e abusam da
utilizac ao de palavras capitalizadas (todas as letras mai usculas) para chamar a atenc ao do usu ario.
Palavras como URGENT (urgente) e CONFIDENTIAL (condencial) tamb em s ao comumente
usadas no assunto da mensagem para chamar a atenc ao do usu ario.
Voc e deve se perguntar por que foi escolhido para receber estes milhares ou milh oes de d olares,
entre os in umeros usu arios que utilizam a Internet.
4.2.2 O que e phishing e que situac oes podem ser citadas sobre este tipo de
fraude?
Phishing, tamb em conhecido como phishing scam ou phishing/scam, foi um termo originalmente
criado para descrever o tipo de fraude que se d a atrav es do envio de mensagem n ao solicitada, que se
passa por comunicac ao de uma instituic ao conhecida, como um banco, empresa ou site popular, e que
procura induzir o acesso a p aginas fraudulentas (falsicadas), projetadas para furtar dados pessoais e
nanceiros de usu arios.
A palavra phishing (de shing) vem de uma analogia criada pelos fraudadores, onde iscas
(e-mails) s ao usadas para pescar senhas e dados nanceiros de usu arios da Internet.
Atualmente, este termo v em sendo utilizado tamb em para se referir aos seguintes casos:
mensagem que procura induzir o usu ario ` a instalac ao de c odigos maliciosos, projetados para
furtar dados pessoais e nanceiros;
mensagem que, no pr oprio conte udo, apresenta formul arios para o preenchimento e envio de
dados pessoais e nanceiros de usu arios.
A subsec oes a seguir apresentam cinco situac oes envolvendo phishing, que v em sendo utilizadas
por fraudadores na Internet. Observe que existem variantes para as situac oes apresentadas. Al em
disso, novas formas de phishing podem surgir, portanto e muito importante que voc e se mantenha
informado sobre os tipos de phishing que v emsendo utilizados pelos fraudadores, atrav es dos veculos
de comunicac ao, como jornais, revistas e sites especializados.
Tamb em e muito importante que voc e, ao identicar um caso de fraude via Internet, notique a
instituic ao envolvida, para que ela possa tomar as provid encias cabveis
1
.
4.2.2.1 Mensagens que cont em links para programas maliciosos
Voc e recebe uma mensagem por e-mail ou via servico de troca instant anea de mensagens, onde o
texto procura atrair sua atenc ao, seja por curiosidade, por caridade, pela possibilidade de obter alguma
vantagem (normalmente nanceira), entre outras. O texto da mensagem tamb em pode indicar que a
n ao execuc ao dos procedimentos descritos acarretar ao conseq u encias mais s erias, como, por exemplo,
a inclus ao do seu nome no SPC/SERASA, o cancelamento de um cadastro, da sua conta banc aria ou
do seu cart ao de cr edito, etc. A mensagem, ent ao, procura induz-lo a clicar em um link, para baixar
e abrir/executar um arquivo.
Alguns exemplos de temas e respectivas descric oes dos textos encontrados em mensagens deste
tipo s ao apresentados na tabela 4.1.
Tabela 4.1: Exemplos de temas de mensagens de phishing.
Tema Texto da mensagem
Cart oes virtuais UOL, Voxcards, Humor Tadela, O Carteiro, Emotioncard, Cri-
anca Esperanca, AACD/Teleton.
SERASA e SPC d ebitos, restric oes ou pend encias nanceiras.
Servicos de governo eletr onico CPF/CNPJ pendente ou cancelado, Imposto de Renda (nova
vers ao ou correc ao para o programa de declarac ao, consulta
da restituic ao, dados incorretos ou incompletos na declara-
c ao), eleic oes (ttulo eleitoral cancelado, simulac ao da urna
eletr onica).
Albuns de fotos pessoa supostamente conhecida, celebridades, relacionado a

algum fato noticiado (em jornais, revistas, televis ao), traic ao,
nudez ou pornograa, servico de acompanhantes.
Servico de telefonia pend encias de d ebito, aviso de bloqueio de servicos, detalha-
mento de fatura, cr editos gratuitos para o celular.
Antivrus a melhor opc ao do mercado, nova vers ao, atualizac ao de vaci-
nas, novas funcionalidades, eliminac ao de vrus do seu com-
putador.
Notcias/boatos fatos amplamente noticiados (ataques terroristas, tsunami, ter-
remotos, etc), boatos envolvendo pessoas conhecidas (morte,
acidentes ou outras situac oes chocantes).
Reality shows BigBrother, Casa dos Artistas, etc fotos ou vdeos envol-
vendo cenas de nudez ou er oticas, discadores.
continua na pr oxima p agina
1
Veja detalhes sobre como realizar a noticac ao na Parte VII: Incidentes de Seguranca e Uso Abusivo da Rede.
Tabela 4.1: Continuac ao.
Tema Texto da mensagem
Programas ou arquivos diversos novas vers oes de softwares, correc oes para o sistema operaci-
onal Windows, m usicas, vdeos, jogos, acesso gratuito a ca-
nais de TV a cabo no computador, cadastro ou atualizac ao de
currculos, recorra das multas de tr ansito.
Pedidos orcamento, cotac ao de precos, lista de produtos.
Discadores para conex ao Internet gratuita, para acessar imagens ou vdeos
restritos.
Sites de com ercio eletr onico atualizac ao de cadastro, devoluc ao de produtos, cobranca de
d ebitos, conrmac ao de compra.
Convites convites para participac ao em sites de relacionamento (como o
orkut) e outros servicos gratuitos.
Dinheiro f acil descubra como ganhar dinheiro na Internet.
Promoc oes diversos.
Pr emios loterias, instituic oes nanceiras.
Propaganda produtos, cursos, treinamentos, concursos.
FEBRABAN cartilha de seguranca, avisos de fraude.
IBGE censo.
Cabe ressaltar que a lista de temas na tabela 4.1 n ao e exaustiva, nem tampouco se aplica a todos
os casos. Existem outros temas e novos temas podem surgir.
Risco: ao clicar no link, ser a apresentada uma janela, solicitando que voc e salve o arquivo. Depois
de salvo, se voc e abr-lo ou execut a-lo, ser a instalado um programa malicioso (malware) em seu
computador, por exemplo, um cavalo de tr oia ou outro tipo de spyware, projetado para furtar seus
dados pessoais e nanceiros, como senhas banc arias ou n umeros de cart oes de cr edito
2
. Caso o seu
programa leitor de e-mails esteja congurado para exibir mensagens em HTML, a janela solicitando
que voc e salve o arquivo poder a aparecer automaticamente, sem que voc e clique no link.
Ainda existe a possibilidade do arquivo/programa malicioso ser baixado e executado no computa-
dor automaticamente, ou seja, sem a sua intervenc ao, caso seu programa leitor de e-mails possua
vulnerabilidades.
Esse tipo de programa malicioso pode utilizar diversas formas para furtar dados de um usu ario, dentre
elas: capturar teclas digitadas no teclado; capturar a posic ao do cursor e a tela ou regi oes da tela, no
momento em que o mouse e clicado; sobrepor a janela do browser do usu ario com uma janela falsa,
onde os dados ser ao inseridos; ou espionar o teclado do usu ario atrav es da Webcam (caso o usu ario a
possua e ela esteja apontada para o teclado). Mais detalhes sobre algumas destas t ecnicas podem ser
vistos na sec ao de keyloggers, na Parte VIII: C odigos Maliciosos (Malware).
Depois de capturados, seus dados pessoais e nanceiros ser ao enviados para os fraudadores. A partir
da, os fraudadores poder ao realizar diversas operac oes, incluindo a venda dos seus dados para tercei-
ros, ou utilizac ao dos seus dados nanceiros para efetuar pagamentos, transferir valores para outras
contas, etc.
Como identicar: seguem algumas dicas para identicar este tipo de mensagem fraudulenta:
2
O conceito de malware pode ser encontrado na Parte I: Conceitos de Seguranca. Os conceitos de cavalo de tr oia e
spyware est ao disponveis na Parte VIII: C odigos Maliciosos (Malware).
leia atentamente a mensagem. Normalmente, ela conter a diversos erros gramaticais e de orto-
graa;
os fraudadores utilizam t ecnicas para ofuscar o real link para o arquivo malicioso, apresentando
o que parece ser umlink relacionado ` a instituic ao mencionada na mensagem. Ao passar o cursor
do mouse sobre o link, ser a possvel ver o real endereco do arquivo malicioso na barra de status
do programa leitor de e-mails, ou browser, caso esteja atualizado e n ao possua vulnerabilidades.
Normalmente, este link ser a diferente do apresentado na mensagem;
qualquer extens ao pode ser utilizada nos nomes dos arquivos maliciosos, mas que particular-
mente atento aos arquivos com extens oes .exe, .zip e .scr, pois estas s ao as mais utiliza-
das. Outras extens oes freq uentemente utilizadas por fraudadores s ao .com, .rar e .dll;
que atento ` as mensagens que solicitam a instalac ao/execuc ao de qualquer tipo de arquivo/pro-
grama;
acesse a p agina da instituic ao que supostamente enviou a mensagem, seguindo os cuidados
apresentados na sec ao 4.2.3, e procure por informac oes relacionadas com a mensagem que
voc e recebeu. Em muitos casos, voc e vai observar que n ao e poltica da instituic ao enviar e-
mails para usu arios da Internet, de forma indiscriminada, principalmente contendo arquivos
anexados.
Recomendac oes:
no caso de mensagem recebida por e-mail, o remetente nunca deve ser utilizado como pa-
r ametro para atestar a veracidade de uma mensagem, pois pode ser facilmente forjado pelos
fraudadores;
se voc e ainda tiver alguma d uvida e acreditar que a mensagem pode ser verdadeira, entre em
contato com a instituic ao para certicar-se sobre o caso, antes de enviar qualquer dado, princi-
palmente informac oes sensveis, como senhas e n umeros de cart oes de cr edito.
4.2.2.2 P aginas de com ercio eletr onico ou Internet Banking falsicadas
Voc e recebe uma mensagem por e-mail ou via servico de troca instant anea de mensagens, em
nome de um site de com ercio eletr onico ou de uma instituic ao nanceira, por exemplo, um banco.
Textos comuns neste tipo de mensagem envolvem o recadastramento ou conrmac ao dos dados do
usu ario, a participac ao em uma nova promoc ao, etc. A mensagem, ent ao, tenta persuad-lo a clicar
em um link contido no texto, em uma imagem, ou em uma p agina de terceiros.
Risco: o link pode direcion a-lo para uma p agina Web falsicada, semelhante ao site que voc e real-
mente deseja acessar. Nesta p agina ser ao solicitados dados pessoais e nanceiros, como o n umero,
data de expirac ao e c odigo de seguranca do seu cart ao de cr edito, ou os n umeros da sua ag encia e
conta banc aria, senha do cart ao do banco e senha de acesso ao Internet Banking.
Ao preencher os campos disponveis na p agina falsicada e clicar no bot ao de conrmac ao (emmuitos
casos o bot ao apresentar a o texto Conrm, OK, Submit, etc), os dados ser ao enviados para os
fraudadores.
A partir da, os fraudadores poder ao realizar diversas operac oes, incluindo a venda dos seus dados
para terceiros, ou utilizac ao dos seus dados nanceiros para efetuar pagamentos, transferir valores
para outras contas, etc.
Como identicar: seguem algumas dicas para identicar este tipo de mensagem fraudulenta:
os fraudadores utilizam t ecnicas para ofuscar o real link para a p agina falsicada, apresentando
o que parece ser umlink relacionado ` a instituic ao mencionada na mensagem. Ao passar o cursor
do mouse sobre o link, ser a possvel ver o real endereco da p agina falsicada na barra de status
do programa leitor de e-mails, ou browser, caso esteja atualizado e n ao possua vulnerabilidades.
Normalmente, este link ser a diferente do apresentado na mensagem;
acesse a p agina da instituic ao que supostamente enviou a mensagem, seguindo os cuidados
apresentados na sec ao 4.2.3, e procure por informac oes relacionadas com a mensagem que
voc e recebeu;
sites de com ercio eletr onico ou Internet Banking con aveis sempre utilizam conex oes seguras
(vide sec ao 4.2.4) quando dados pessoais e nanceiros de usu arios s ao solicitados. Caso a
p agina n ao utilize conex ao segura, descone imediatamente. Caso a p agina falsicada utilize
conex ao segura, um novo certicado (que n ao corresponde ao site verdadeiro) ser a apresentado
e, possivelmente, o endereco mostrado no browser ser a diferente do endereco correspondente
ao site verdadeiro.
Recomendac oes:
no caso de mensagem recebida por e-mail, o remetente nunca deve ser utilizado como pa-
r ametro para atestar a veracidade de uma mensagem, pois pode ser facilmente forjado pelos
fraudadores;
se voc e ainda tiver alguma d uvida e acreditar que a mensagem pode ser verdadeira, entre em
contato com a instituic ao para certicar-se sobre o caso, antes de enviar qualquer dado, princi-
palmente informac oes sensveis, como senhas e n umeros de cart oes de cr edito.
4.2.2.3 E-mails contendo formul arios para o fornecimento de informac oes sensveis
Voc e recebe um e-mail em nome de um site de com ercio eletr onico ou de uma instituic ao banc aria.
O conte udo da mensagem envolve o recadastramento ou conrmac ao de seus dados, a participac ao
em uma nova promoc ao, etc.
A mensagem apresenta um formul ario, com campos para a digitac ao de informac oes envolvendo
dados pessoais e nanceiros, como o n umero, data de expirac ao e c odigo de seguranca do seu cart ao
de cr edito, ou os n umeros da sua ag encia e conta banc aria, senha do cart ao do banco e senha de
acesso ao Internet Banking. A mensagem, ent ao, solicita que voc e preencha o formul ario e apresenta
um bot ao para conrmar o envio das informac oes preenchidas.
Risco: ao preencher os dados e conrmar o envio, suas informac oes pessoais e nanceiras ser ao
transmitidas para fraudadores, que, a partir da, poder ao realizar diversas operac oes, incluindo a venda
dos seus dados para terceiros, ou utilizac ao dos seus dados nanceiros para efetuar pagamentos,
transferir valores para outras contas, etc.
Como identicar: o servico de e-mail convencional n ao fornece qualquer mecanismo de criptograa,
ou seja, as informac oes, ao serem submetidas, trafegar ao em claro pela Internet. Qualquer instituic ao
con avel n ao utilizaria este meio para o envio de informac oes pessoais e sensveis de seus usu arios.
4.2.2.4 Comprometimento do servico de resoluc ao de nomes
Ao tentar acessar um site de com ercio eletr onico ou Internet Banking, mesmo digitando o endere-
co diretamente no seu browser, voc e e redirecionado para uma p agina falsicada, semelhante ao site
verdadeiro.
Duas possveis causas para este caso de phishing s ao:
o atacante comprometeu o servidor de nomes do seu provedor (DNS), de modo que todos os
acessos a determinados sites passaram a ser redirecionados para p aginas falsicadas;
o atacante o induziu a instalar um malware, por exemplo, atrav es de uma mensagem recebida
por e-mail (como mostrado na sec ao 4.2.2.1), e este malware foi especicamente projetado para
alterar o comportamento do servico de resoluc ao de nomes do seu computador, redirecionando
os acessos a determinados sites para p aginas falsicadas.
Apesar de n ao ter uma denic ao consolidada na data de publicac ao desta Cartilha, os veculos
de comunicac ao t em utilizado o termo pharming para se referir a casos especcos de phishing, que
envolvem algum tipo de redirec ao da vtima para sites fraudulentos, atrav es de alterac oes nos servicos
de resoluc ao de nomes.
Risco: ao preencher os campos disponveis na p agina falsicada e conrmar o envio dos dados, suas
informac oes pessoais e nanceiras ser ao transmitidas para fraudadores, que, a partir da, poder ao
realizar diversas operac oes, incluindo a venda dos seus dados para terceiros, ou utilizac ao dos seus
dados nanceiros para efetuar pagamentos, transferir valores para outras contas, etc.
Como identicar: neste caso, onde fraudadores alteram o comportamento do servico de resoluc ao
de nomes, para redirecionar acessos para p aginas falsicadas, n ao s ao v alidas dicas como digitar
o endereco diretamente no seu browser, ou observar o endereco apresentado na barra de status do
browser.
Deste modo, a melhor forma de identicar este tipo de fraude e estar atento para o fato de que sites
de com ercio eletr onico ou Internet Banking con aveis sempre utilizam conex oes seguras quando
dados pessoais e nanceiros de usu arios s ao solicitados. Caso a p agina n ao utilize conex ao segura,
descone imediatamente. Caso a p agina falsicada utilize conex ao segura, um novo certicado, que
n ao corresponde ao site verdadeiro, ser a apresentado (mais detalhes sobre vericac ao de certicados
na sec ao 4.2.6).
Recomendac ao: se voc e ainda tiver alguma d uvida e acreditar que a p agina pode ser verdadeira,
mesmo n ao utilizando conex ao segura, ou apresentando um certicado n ao compatvel, entre em
contato coma instituic ao para certicar-se sobre o caso, antes de enviar qualquer dado, principalmente
informac oes sensveis, como senhas e n umeros de cart oes de cr edito.
4.2.2.5 Utilizac ao de computadores de terceiros
Voc e utiliza um computador de terceiros, por exemplo, em uma LAN house, cybercafe ou stand
de um evento, para acessar um site de com ercio eletr onico ou Internet Banking.
Risco: como estes computadores s ao utilizados por muitas pessoas, voc e pode ter todas as suas ac oes
monitoradas (incluindo a digitac ao de senhas ou n umero de cart oes de cr edito), atrav es de programas
especicamente projetados para este m (como visto na sec ao 4.2.2.1) e que podem ter sido instalados
previamente.
Recomendac ao: n ao utilize computadores de terceiros em operac oes que necessitem de seus dados
pessoais e nanceiros, incluindo qualquer uma de suas senhas.
4.2.3 Quais s ao os cuidados que devo ter ao acessar sites de com ercio eletr onico
ou Internet Banking?
Existem diversos cuidados que um usu ario deve ter ao acessar sites de com ercio eletr onico ou
Internet Banking. Dentre eles, podem-se citar:
realizar transac oes somente em sites de instituic oes que voc e considere con aveis;
procurar sempre digitar em seu browser o endereco desejado. N ao utilize links em p aginas de
terceiros ou recebidos por e-mail;
certicar-se de que o endereco apresentado em seu browser corresponde ao site que voc e real-
mente quer acessar, antes de realizar qualquer ac ao;
certicar-se que o site faz uso de conex ao segura (ou seja, que os dados transmitidos entre seu
browser e o site ser ao criptografados) e utiliza um tamanho de chave considerado seguro (vide
sec ao 4.2.4);
antes de aceitar um novo certicado, vericar junto ` a instituic ao que mant em o site sobre sua
emiss ao e quais s ao os dados nele contidos. Ent ao, vericar o certicado do site antes de iniciar
qualquer transac ao, para assegurar-se que ele foi emitido para a instituic ao que se deseja acessar
e est a dentro do prazo de validade (vide sec ao 4.2.6);
estar atento e prevenir-se dos ataques de engenharia social (como visto na sec ao 4.1.1);
n ao acessar sites de com ercio eletr onico ou Internet Banking atrav es de computadores de ter-
ceiros;
desligar sua Webcam (caso voc e possua alguma), ao acessar um site de com ercio eletr onico ou
Internet Banking.
Al em dos cuidados apresentados anteriormente e muito importante que voc e tenha alguns cuida-
dos adicionais, tais como:
manter o seu browser sempre atualizado e com todas as correc oes (patches) aplicadas;
alterar a congurac ao do seu browser para restringir a execuc ao de JavaScript e de programas
Java ou ActiveX, exceto para casos especcos;
congurar seu browser para bloquear pop-up windows e permit-las apenas para sites conheci-
dos e con aveis, onde forem realmente necess arias;
congurar seu programa leitor de e-mails para n ao abrir arquivos ou executar programas auto-
maticamente;
n ao executar programas obtidos pela Internet, ou recebidos por e-mail.
Com estes cuidados adicionais voc e pode evitar que seu browser contenha alguma vulnerabili-
dade, e que programas maliciosos (como os cavalos de tr oia e outros tipos de malware) sejam instala-
dos em seu computador para, dentre outras nalidades, furtar dados sensveis e fraudar seus acessos
a sites de com ercio eletr onico ou Internet Banking. Maiores detalhes sobre estes cuidados podem
ser obtidos na Parte II: Riscos Envolvidos no Uso da Internet e M etodos de Prevenc ao e Parte VIII:
C odigos Maliciosos (Malware).
4.2.4 Como vericar se a conex ao e segura (criptografada)?
Existem pelo menos dois itens que podem ser visualizados na janela do seu browser, e que signi-
cam que as informac oes transmitidas entre o browser e o site visitado est ao sendo criptografadas.
O primeiro pode ser visualizado no local onde o endereco do site e digitado. O endereco deve
comecar com https:// (diferente do http:// nas conex oes normais), onde o s antes do sinal de
dois-pontos indica que o endereco em quest ao e de um site com conex ao segura e, portanto, os dados
ser ao criptografados antes de serem enviados. A gura 4.1 apresenta o primeiro item, indicando uma
conex ao segura, observado nos browsers Firefox e Internet Explorer, respectivamente.
Alguns browsers podem incluir outros sinais na barra de digitac ao do endereco do site, que in-
dicam que a conex ao e segura. No Firefox, por exemplo, o local onde o endereco do site e digitado
muda de cor, cando amarelo, e apresenta um cadeado fechado do lado direito.
Figura 4.1: https - identicando site com conex ao segura.
O segundo item a ser visualizado corresponde a algum desenho ou sinal, indicando que a conex ao
e segura. Normalmente, o desenho mais adotado nos browsers recentes e de um cadeado fechado,
apresentado na barra de status, na parte inferior da janela do browser (se o cadeado estiver aberto, a
conex ao n ao e segura).
A gura 4.2 apresenta desenhos dos cadeados fechados, indicando conex oes seguras, observados
nas barras de status nos browsers Firefox e Internet Explorer, respectivamente.
Figura 4.2: Cadeado identicando site com conex ao segura.
Ao clicar sobre o cadeado, ser a exibida uma tela que permite vericar as informac oes referentes
ao certicado emitido para a instituic ao que mant em o site (veja sec ao 4.2.6), bem como informac oes
sobre o tamanho da chave utilizada para criptografar os dados.
E muito importante que voc e verique se a chave utilizada para criptografar as informac oes a
serem transmitidas entre seu browser e o site e de no mnimo 128 bits. Chaves menores podem
comprometer a seguranca dos dados a serem transmitidos. Maiores detalhes sobre criptograa e
tamanho de chaves podem ser obtidos na Parte I: Conceitos de Seguranca.
Outro fator muito importante e que a vericac ao das informac oes do certicado deve ser feita
clicando unica e exclusivamente no cadeado exibido na barra status do browser. Atacantes podem
tentar forjar certicados, incluindo o desenho de um cadeado fechado no conte udo da p agina. A
gura 4.3 ilustra esta situac ao no browser Firefox.
Figura 4.3: Cadeado forjado.
Compare as barras de status do browser Firefox nas guras 4.2 e 4.3. Observe que na gura 4.3
n ao e apresentado um cadeado fechado dentro da barra de status, indicando que a conex ao n ao e
segura.
4.2.5 Como posso saber se o site que estou acessando n ao foi falsicado?
Existem alguns cuidados que um usu ario deve ter para certicar-se que um site n ao foi falsicado.
O primeiro cuidado e checar se o endereco digitado permanece inalterado no momento em que
o conte udo do site e apresentado no browser do usu ario. Existem algumas situac oes, como visto
na sec ao 4.2.2, onde o acesso a um site pode ser redirecionado para uma p agina falsicada, mas
normalmente nestes casos o endereco apresentado pelo browser e diferente daquele que o usu ario
quer realmente acessar.
E um outro cuidado muito importante e vericar as informac oes contidas no certicado emitido
para a instituic ao que mant em o site. Estas informac oes podem dizer se o certicado e ou n ao legtimo
e, conseq uentemente, se o site e ou n ao falsicado (vide sec ao 4.2.6).
4.2.6 Como posso saber se o certicado emitido para o site e legtimo?
E extremamente importante que o usu ario verique algumas informac oes contidas no certicado.
Um exemplo de um certicado, emitido para um site de uma instituic ao e mostrado abaixo.
This Certificate belongs to: This Certificate was issued by:
www.example.org www.examplesign.com/CPS Incorp.by Ref.
Terms of use at LIABILITY LTD.(c)97 ExampleSign
www.examplesign.com/dir (c)00 ExampleSign International Server CA -
UF Tecno Class 3
Example Associados, Inc. ExampleSign, Inc.
Cidade, Estado, BR
Serial Number:
70:DE:ED:0A:05:20:9C:3D:A0:A2:51:AA:CA:81:95:1A
This Certificate is valid from Sat Aug 20, 2005 to Sun
Aug 20, 2006
Certificate Fingerprint:
92:48:09:A1:70:7A:AF:E1:30:55:EC:15:A3:0C:09:F0
O usu ario deve, ent ao, vericar se o certicado foi emitido para o site da instituic ao que ele deseja
acessar. As seguintes informac oes devem ser checadas:
o endereco do site;
o nome da instituic ao (dona do certicado);
o prazo de validade do certicado.
Ao entrar pela primeira vez em um site que usa conex ao segura, seu browser apresentar a uma
janela pedindo para conrmar o recebimento de um novo certicado. Ent ao, verique se os dados do
certicado correspondem ` a instituic ao que voc e realmente deseja acessar e se seu browser reconheceu
a Autoridade Certicadora que emitiu o certicado
3
.
Se ao entrar em um site com conex ao segura, que voc e utilize com freq u encia, seu browser apre-
sentar uma janela pedindo para conrmar o recebimento de um novo certicado, que atento. Uma
situac ao possvel seria que a validade do certicado do site tenha vencido, ou o certicado tenha
sido revogado por outros motivos, e um novo certicado foi emitido para o site. Mas isto tamb em
pode signicar que voc e est a recebendo um certicado ilegtimo e, portanto, estar a acessando um site
falsicado.
Uma dica para reconhecer esta situac ao e que as informac oes contidas no certicado normalmente
n ao corresponder ao ` as da instituic ao que voc e realmente deseja acessar. Al em disso, seu browser
possivelmente informar a que a Autoridade Certicadora que emitiu o certicado para o site n ao p ode
ser reconhecida.
De qualquer modo, caso voc e receba um novo certicado ao acessar um site e tenha alguma
d uvida ou desconanca, n ao envie qualquer informac ao para o site antes de entrar em contato com a
instituic ao que o mant em, para esclarecer o ocorrido.
4.2.7 O que devo fazer se perceber que meus dados nanceiros est ao sendo
usados por terceiros?
Caso voc e acredite que terceiros possam estar usando suas informac oes pessoais e nanceiras,
como o n umero do seu cart ao de cr edito ou seus dados banc arios (senha de acesso ao Internet Banking
e senha do cart ao de banco), entre em contato com a instituic ao envolvida (por exemplo, seu banco ou
operadora do seu cart ao de cr edito), informe-os sobre o caso e siga as orientac oes que ser ao passadas
por eles.
Monitore regularmente suas movimentac oes nanceiras, por exemplo, atrav es de extratos banc a-
rios e/ou de cart oes de cr edito, e procure por d ebitos, transfer encias ou cobrancas inesperadas.
E recomendado que voc e procure uma delegacia de polcia, para registrar um boletim de ocorr en-
cia, caso tenha sido vtima de uma fraude via Internet.
3
Os conceitos de Autoridade Certicadora e certicados digitais, bem como as principais informac oes encontradas em
um certicado podem ser encontradas na Parte I: Conceitos de Seguranca.
4.3 Boatos
Boatos (hoaxes) s ao e-mails que possuem conte udos alarmantes ou falsos e que, geralmente, t em
como remetente ou apontam como autora da mensagem alguma instituic ao, empresa importante ou
org ao governamental. Atrav es de uma leitura minuciosa deste tipo de e-mail, normalmente, e possvel
identicar em seu conte udo mensagens absurdas e muitas vezes sem sentido.
Dentre os diversos boatos tpicos, que chegam ` as caixas postais de usu arios conectados ` a Internet,
podem-se citar as correntes, pir amides, mensagens sobre pessoas que est ao prestes a morrer de c ancer,
entre outras.
Hist orias deste tipo s ao criadas n ao s o para espalhar desinformac ao pela Internet, mas tamb em
para outros ns maliciosos.
4.3.1 Quais s ao os problemas de seguranca relacionados aos boatos?
Normalmente, o objetivo do criador de um boato e vericar o quanto ele se propaga pela Internet
e por quanto tempo permanece se propagando. De modo geral, os boatos n ao s ao respons aveis por
grandes problemas de seguranca, a n ao ser ocupar espaco nas caixa de e-mails de usu arios.
Mas podem existir casos com conseq u encias mais s erias como, por exemplo, um boato que pro-
cura induzir usu arios de Internet a fornecer informac oes importantes (como n umeros de documentos,
de contas-corrente em banco ou de cart oes de cr edito), ou um boato que indica uma s erie de ac oes
a serem realizadas pelos usu arios e que, se forem realmente efetivadas, podem resultar em danos
mais s erios (como instruc oes para apagar um arquivo que supostamente cont em um vrus, mas que na
verdade e parte importante do sistema operacional instalado no computador).
Al em disso, e-mails de boatos podem conter vrus, cavalos de tr oia ou outros tipos de malware
anexados. Maiores detalhes podem ser encontrados na Parte VIII: C odigos Maliciosos (Malware).
E importante ressaltar que um boato tamb em pode comprometer a credibilidade e a reputac ao

tanto da pessoa ou entidade referenciada como suposta criadora do boato, quanto daqueles que o
repassam.
4.3.2 Como evitar a distribuic ao dos boatos?
Normalmente, os boatos se propagam pela boa vontade e solidariedade de quem os recebe. Isto
ocorre, muitas vezes, porque aqueles que o recebem:
conam no remetente da mensagem;
n ao vericam a proced encia da mensagem;
n ao checam a veracidade do conte udo da mensagem.
Para que voc e possa evitar a distribuic ao de boatos e muito importante checar a proced encia
dos e-mails, e mesmo que tenham como remetente algu em conhecido, e preciso certicar-se que a
mensagem n ao e um boato (veja sec ao 4.3.3).
E importante ressaltar que voc e nunca deve repassar este tipo de mensagem, pois estar a endos-
sando ou concordando com o seu conte udo.
4.3.3 Como posso saber se um e-mail e um boato?
Um boato normalmente apresenta pelo menos uma das caractersticas listadas abaixo. Observe
que estas caractersticas devem ser usadas apenas como guia. Nem todo boato apresenta uma destas
caractersticas e mensagens legtimas podem apresentar algumas delas.
Muitas vezes, um boato:
sugere conseq u encias tr agicas se uma determinada tarefa n ao for realizada;
promete ganhos nanceiros ou pr emios mediante a realizac ao de alguma ac ao;
fornece instruc oes ou arquivos anexados para, supostamente, proteger seu computador de um
vrus n ao detectado por programas antivrus;
arma n ao ser um boato;
apresenta diversos erros gramaticais e de ortograa;
apresenta uma mensagem contradit oria;
cont em algum texto enfatizando que voc e deve repassar a mensagem para o maior n umero de
pessoas possvel;
j a foi repassado diversas vezes (no corpo da mensagem normalmente e possvel observar cabe-
calhos de e-mails repassados por outras pessoas).
Existem sites especializados na Internet onde podem ser encontradas listas contendo os boatos
que est ao circulando e seus respectivos conte udos.
Alguns destes sites s ao:
Hoaxbusters http://hoaxbusters.ciac.org/
QuatroCantos http://www.quatrocantos.com/LENDAS/ (em portugu es)
Urban Legends and Folklore http://urbanlegends.about.com/
Urban Legends Reference Pages http://www.snopes.com/
TruthOrFiction.com http://www.truthorfiction.com/
Symantec Security Response Hoaxes http://www.symantec.com/avcenter/hoax.html
McAfee Security Virus Hoaxes http://vil.mcafee.com/hoax.asp
Al em disso, os cadernos de inform atica dos jornais de grande circulac ao, normalmente, trazem
mat erias ou avisos sobre os boatos mais recentes.
Parte V: Redes de Banda Larga e Redes Sem
Fio (Wireless)
Esta parte da Cartilha discute implicac oes de seguranca peculiares aos servicos de banda larga
e de redes sem o (wireless). Tamb em apresenta algumas recomendac oes para que usu arios destes
servicos possam utiliz a-los de forma mais segura.
5.1 Servicos de Banda Larga
Servicos de banda larga s ao aqueles que permitem ao usu ario conectar seus computadores ` a Inter-
net com velocidades maiores do que as normalmente usadas em linhas discadas. Exemplos desse tipo
de servico s ao ADSL, cable modem e acesso via sat elite.
Al em da maior velocidade, outra caracterstica desse tipo de servico e a possibilidade do usu ario
deixar seu computador conectado ` a Internet por longos perodos de tempo, normalmente sem limite
de uso ou custos adicionais.
5.1.1 Por que um atacante teria maior interesse por um computador com
banda larga e quais s ao os riscos associados?
Geralmente um computador conectado atrav es de banda larga possui boa velocidade de conex ao,
muda o endereco IP
1
com pouca freq u encia e ca por longos perodos ligado ` a Internet, mas n ao
possui os mesmos mecanismos de seguranca que servidores. Isto os torna alvos mais f aceis para os
atacantes.
Por estas caractersticas, estes computadores podem ser usados pelos atacantes para diversos
prop ositos, como por exemplo:
realizar ataques de negac ao de servico, aproveitando-se da maior velocidade disponvel. Di-
versas m aquinas comprometidas podem tamb em ser combinadas de modo a criar um ataque
de negac ao de servico distribudo. Maiores informac oes sobre ataque de negac ao de servico
podem ser encontradas na Parte I: Conceitos de Seguranca;
usar a m aquina comprometida como ponto de partida para atacar outras redes, dicultando o
rastreio da real origem do ataque;
1
O conceito de endereco IP pode ser encontrado no Ap endice A: Gloss ario.
47
furtar informac oes, tais como n umeros de cart oes de cr edito, senhas, etc;
usar recursos do computador. Por exemplo, o invasor pode usar o espaco disponvel em seu
disco rgido para armazenar programas copiados ilegalmente, m usica, imagens, etc. O invasor
tamb em pode usar a CPU disponvel para, por exemplo, quebrar senhas de sistemas compro-
metidos;
enviar spamou navegar na Internet de maneira an onima, a partir de certos programas que podem
estar instalados no seu computador, tais como AnalogX e WinGate, e que podem estar mal
congurados.
Vale ressaltar que todas essas atividades podem ser realizadas de maneira automatizada, caso o
computador seja infectado por um bot. Maiores detalhes sobre bots podem ser encontrados na Parte
VIII: C odigos Maliciosos (Malware).
5.1.2 O que fazer para proteger um computador conectado por banda larga?
Os usu arios de servicos de banda larga devem tomar os seguintes cuidados com o seu computador:
instalar um rewall pessoal e car atento aos registros de eventos (logs) gerados por este pro-
grama. Maiores detalhes sobre registros de eventos podem ser encontrados na Parte VII: Inci-
dentes de Seguranca e Uso Abusivo da Rede;
instalar e manter atualizado um bom programa antivrus;
atualizar as assinaturas do antivrus diariamente;
manter os seus softwares (sistema operacional, programas que utiliza, etc) sempre atualizados
e com as ultimas correc oes de seguranca aplicadas (patches);
desligar o compartilhamento de disco, impressora, etc;
mudar a senha padr ao do seu equipamento de banda larga
2
(modem ADSL, por exemplo) pois
as senhas destes equipamentos podem ser facilmente encontradas na Internet com uma simples
busca. Esse fato e de conhecimento dos atacantes e bastante abusado. A escolha de uma boa
senha e discutida na Parte I: Conceitos de Seguranca.
A Parte II: Riscos Envolvidos no Uso da Internet e M etodos de Prevenc ao mostra maiores detalhes
sobre os cuidados citados acima.
5.1.3 O que fazer para proteger uma rede conectada por banda larga?
Muitos usu arios de banda larga optam por montar uma pequena rede (dom estica ou mesmo em
pequenas empresas), com v arios computadores usando o mesmo acesso a Internet. Nesses casos,
alguns cuidados importantes, al em dos citados anteriormente, s ao:
2
Verique no contrato se e permitida a alterac ao da congurac ao do equipamento. Caso seja permitida, guarde a senha
original e lembre de restaur a-la sempre que for necess ario, como por exemplo em caso de manutenc ao do equipamento.
instalar um rewall separando a rede interna da Internet;
caso seja instalado algum tipo de proxy (como AnalogX, WinGate, WinProxy, etc), congur a-lo
para que apenas aceite requisic oes partindo da rede interna;
caso seja necess ario compartilhar recursos como disco ou impressora entre m aquinas da rede
interna, devem-se tomar os devidos cuidados para que o rewall n ao permita que este compar-
tilhamento seja visvel pela Internet.
E muito importante notar que apenas instalar um rewall n ao e suciente todos os computadores
da rede devem estar congurados de acordo com as medidas preventivas mencionadas na Parte II:
Riscos Envolvidos no Uso da Internet e M etodos de Prevenc ao.
Muitos equipamentos de banda larga, como roteadores ADSL, est ao incluindo outras funcionali-
dades, como por exemplo concentradores de acesso (Access Points) para redes wireless. Nesse caso,
al em de seguir as dicas dessa sec ao tamb em pode ser interessante observar as dicas da sec ao 5.2.3.
5.2 Redes Sem Fio (Wireless)
As redes sem o (wireless), tamb em conhecidas como IEEE 802.11, Wi-Fi ou WLANs, s ao redes
que utilizam sinais de r adio para a sua comunicac ao.
Este tipo de rede dene duas formas de comunicac ao:
modo infraestrutura: normalmente o mais encontrado, utiliza um concentrador de acesso (Access
Point ou AP);
modo ponto a ponto (ad-hoc): permite que um pequeno grupo de m aquinas se comunique direta-
mente, sem a necessidade de um AP.
Estas redes ganharam grande popularidade pela mobilidade que prov eem aos seus usu arios e pela
facilidade de instalac ao e uso em ambientes dom esticos e empresariais, hot eis, confer encias, aeropor-
tos, etc.
5.2.1 Quais s ao os riscos do uso de redes sem o?
Embora esse tipo de rede seja muito conveniente, existem alguns problemas de seguranca que
devem ser levados em considerac ao pelos seus usu arios:
estas redes utilizam sinais de r adio para a comunicac ao e qualquer pessoa com um mnimo de
equipamento
3
poder a interceptar os dados transmitidos por um cliente da rede sem o (como
notebooks, PDAs, estac oes de trabalho, etc);
por serem bastante simples de instalar, muitas pessoas est ao utilizando redes desse tipo em
casa, sem nenhum cuidado adicional, e at e mesmo em empresas, sem o conhecimento dos
administradores de rede.
3
Um PDA ou notebook com uma placa de rede sem o.
5.2.2 Que cuidados devo ter com um cliente de uma rede sem o?
V arios cuidados devem ser observados quando se pretende conectar ` a uma rede sem o como
cliente, seja com notebooks, PDAs, estac oes de trabalho, etc. Dentre eles, podem-se citar:
considerar que, ao conectar a uma WLAN, voc e estar a conectando-se a uma rede p ublica e,
portanto, seu computador estar a exposto a ameacas.

E muito importante que voc e tome os
seguintes cuidados com o seu computador:
instalar um rewall pessoal;
aplicar as ultimas correc oes em seus softwares (sistema operacional, programas que uti-
liza, etc);
desligar compartilhamento de disco, impressora, etc.
desabilitar o modo ad-hoc. Utilize esse modo apenas se for absolutamente necess ario e desli-
gue-o assim que n ao precisar mais;
sempre que possvel usar WEP (Wired Equivalent Privacy), que permite criptografar o tr afego
entre o cliente e o AP. Fale com o seu administrador de rede para vericar se o WEP est a habili-
tado e se a chave e diferente daquelas que acompanham a congurac ao padr ao do equipamento.
O protocolo WEP possui diversas fragilidades e deve ser encarado como uma camada adicional
para evitar a escuta n ao autorizada;
vericar com seu provedor de rede sem o sobre a possibilidade de usar WPA (Wi-Fi Protected
Access) em substituic ao ao WEP, uma vez que este padr ao pode aumentar signicativamente
a seguranca da rede. Esta tecnologia inclui duas melhorias em relac ao ao protocolo WEP que
envolvem melhor criptograa para transmiss ao de dados e autenticac ao de usu ario. Mesmo que
seu equipamento seja mais antigo, e possvel que exista uma atualizac ao para permitir o uso de
WPA;
considerar o uso de criptograa nas aplicac oes, como por exemplo, o uso de PGP para o envio
de e-mails, SSH para conex oes remotas ou ainda o uso de VPNs;
evitar o acesso a servicos que n ao utilizem conex ao segura, ao usar uma rede sem o em local
p ublico. Por exemplo, se for necess ario ler e-mails ou acessar a Intranet da sua empresa, d e
prefer encia a servicos que usem criptograa;
habilitar a rede sem o somente quando for us a-la e desabilit a-la ap os o uso. Algumas estac oes
de trabalho e notebooks permitem habilitar e desabilitar o uso de redes sem o atrav es de
comandos ou bot oes especcos. No caso de notebooks com cart oes PCMCIA, insira o cart ao
apenas quando for usar a rede e retire-o ao terminar de usar.
5.2.3 Que cuidados devo ter ao montar uma rede sem o dom estica?
Pela conveni encia e facilidade de congurac ao das redes sem o, muitas pessoas t em instalado
estas redes em suas casas. Nestes casos, al em das preocupac oes com os clientes da rede, tamb em s ao
necess arios alguns cuidados na congurac ao do AP. Algumas recomendac oes s ao:
ter em mente que, dependendo da pot encia da antena de seu AP, sua rede dom estica pode
abranger uma area muito maior que apenas a da sua casa. Com isto sua rede pode ser utilizada
sem o seu conhecimento ou ter seu tr afego capturado por vizinhos ou pessoas que estejam nas
proximidades da sua casa;
mudar congurac oes padr ao que acompanham o seu AP. Alguns exemplos s ao:
alterar as senhas. Dicas para a escolha de uma boa senha podem ser obtidas na Parte I:
Conceitos de Seguranca;
alterar o SSID (Server Set ID);
desabilitar o broadcast de SSID;
permitir que um computador se conecte ao AP para alterar as congurac oes apenas atrav es
da rede cabeada, se esta opc ao estiver disponvel. Desta maneira um possvel atacante
externo (via rede sem o) n ao poder a acessar o AP diretamente para promover mudancas
na congurac ao.Verique a documentac ao do seu AP sobre como efetuar estas mudancas,
caso estejam disponveis;
vericar se seus equipamentos j a suportam WPA (Wi-Fi Protected Access) e utiliz a-lo sempre
que possvel. Esta tecnologia e mais recente e inclui melhorias em relac ao ao protocolo WEP
para prover uma seguranca adicional contra acesso e escuta de tr afego n ao autorizada. Lembre-
se que atualizac oes para WPA est ao disponveis para a maior parte dos equipamentos mais
antigos;
caso o WPA n ao esteja disponvel, usar sempre que possvel WEP (Wired Equivalent Privacy),
para criptografar o tr afego entre os clientes e o AP. Vale lembrar que o protocolo WEP possui
diversas fragilidades e deve ser encarado como uma camada adicional para evitar a escuta n ao
autorizada;
se for utilizar WEP, trocar as chaves que acompanham a congurac ao padr ao do equipamento.
Procure usar o maior tamanho de chave possvel (128 bits);
desligar seu AP quando n ao estiver usando sua rede.
Existem congurac oes de seguranca mais avancadas para redes sem o, que requerem conheci-
mentos de administrac ao de redes. Estes conhecimentos n ao s ao abordados neste documento.
Parte VI: Spam
Esta parte da Cartilha aborda o conceito de spam e os problemas que ele pode acarretar para
usu arios, provedores e empresas. Tamb em s ao citadas t ecnicas de ltragem que podem ser utilizadas
por usu arios para tentar bloquear o recebimento de spams.
6.1 Spam
Spam e o termo usado para se referir aos e-mails n ao solicitados, que geralmente s ao enviados
para um grande n umero de pessoas. Quando o conte udo e exclusivamente comercial, este tipo de
mensagem tamb em e referenciada como UCE (do ingl es Unsolicited Commercial E-mail).
6.1.1 Quais s ao os problemas que o spam pode causar para um usu ario da
Internet?
Os usu arios do servico de correio eletr onico podem ser afetados de diversas formas. Alguns
exemplos s ao:
N ao recebimento de e-mails. Boa parte dos provedores de Internet limita o tamanho da caixa postal
do usu ario no seu servidor. Caso o n umero de spams recebidos seja muito grande o usu ario
corre o risco de ter sua caixa postal lotada com mensagens n ao solicitadas. Se isto ocorrer, o
usu ario n ao conseguir a mais receber e-mails e, at e que possa liberar espaco em sua caixa postal,
todas as mensagens recebidas ser ao devolvidas ao remetente. O usu ario tamb em pode deixar
de receber e-mails em casos onde estejam sendo utilizadas regras anti-spam inecientes, por
exemplo, classicando como spam mensagens legtimas.
Gasto desnecess ario de tempo. Para cada spamrecebido, o usu ario necessita gastar umdeterminado
tempo para ler, identicar o e-mail como spam e remov e-lo da caixa postal.
Aumento de custos. Independentemente do tipo de acesso a Internet utilizado, quem paga a conta
pelo envio do spam e quem o recebe. Por exemplo, para um usu ario que utiliza acesso discado
a Internet, cada spam representa alguns segundos a mais de ligac ao que ele estar a pagando.
Perda de produtividade. Para quem utiliza o e-mail como uma ferramenta de trabalho, o recebi-
mento de spams aumenta o tempo dedicado ` a tarefa de leitura de e-mails, al em de existir a
chance de mensagens importantes n ao serem lidas, serem lidas com atraso ou apagadas por
engano.
53
Conte udo impr oprio ou ofensivo. Como a maior parte dos spams s ao enviados para conjuntos ale-
at orios de enderecos de e-mail, e bem prov avel que o usu ario receba mensagens com conte udo
que julgue impr oprio ou ofensivo.
Prejuzos nanceiros causados por fraude. O spam tem sido amplamente utilizado como veculo
para disseminar esquemas fraudulentos, que tentam induzir o usu ario a acessar p aginas clona-
das de instituic oes nanceiras ou a instalar programas maliciosos projetados para furtar dados
pessoais e nanceiros. Este tipo de spam e conhecido como phishing/scam (maiores detalhes na
Parte IV: Fraudes na Internet). Ousu ario pode sofrer grandes prejuzos nanceiros, caso forneca
as informac oes ou execute as instruc oes solicitadas neste tipo de mensagem fraudulenta.
6.1.2 Quais s ao os problemas que o spam pode causar para os provedores de
acesso, backbones e empresas?
Para as empresas e provedores os problemas s ao in umeros e, muitas vezes, o custo adicional
causado pelo spam e transferido para a conta a ser paga pelos usu arios.
Alguns dos problemas sentidos pelos provedores e empresas s ao:
Impacto na banda. Para as empresas e provedores o volume de tr afego gerado por causa de spams
os obriga a aumentar a capacidade de seus links de conex ao com a Internet. Como o custo dos
links e alto, isto diminui os lucros do provedor e muitas vezes pode reetir no aumento dos
custos para o usu ario.
M a utilizac ao dos servidores. Os servidores de e-mail dedicam boa parte do seu tempo de proces-
samento para tratar das mensagens n ao solicitadas. Al em disso, o espaco em disco ocupado por
mensagens n ao solicitadas enviadas para um grande n umero de usu arios e consider avel.
Inclus ao em listas de bloqueio. O provedor que tenha usu arios envolvidos em casos de spam pode
ter sua rede includa em listas de bloqueio. Esta inclus ao pode prejudicar o recebimento de
e-mails por parte de seus usu arios e ocasionar a perda de clientes.
Investimento em pessoal e equipamentos. Para lidar com todos os problemas gerados pelo spam,
os provedores necessitam contratar mais t ecnicos especializados, comprar equipamentos e a-
crescentar sistemas de ltragem de spam. Como conseq u encia os custos do provedor aumen-
tam.
6.1.3 Como os spammers conseguem enderecos de e-mail?
Os spammers utilizam diversas formas para obter enderecos de e-mail, desde a compra de bancos
de dados come-mails variados, at e a produc ao de suas pr oprias listas de e-mails obtidos via programas
maliciosos, harvesting e ataques de dicion ario.
A obtenc ao atrav es de programas maliciosos e possvel devido ` a grande ligac ao entre os spam-
mers e aqueles que desenvolvem estes programas. Um programa malicioso, muitas vezes, e projetado
tamb em para varrer o computador onde foi instalado em busca de enderecos de e-mail, por exem-
plo, na lista de enderecos (address book) do usu ario. Os enderecos de e-mail coletados s ao, ent ao,
repassados para os spammers.
Parte VI: Spam 55
J a o harvesting e uma t ecnica utilizada por spammers que consiste em varrer p aginas Web, arqui-
vos de listas de discuss ao, entre outros, em busca de enderecos de e-mail.
Muitas vezes, os enderecos de e-mail aparecem de forma ofuscada. Exemplos s ao as p aginas Web
ou listas de discuss ao que apresentam os enderecos de e-mail com o @ substitudo por (at) e os
pontos substitudos pela palavra dot. Vale lembrar, entretanto, que os programas que implementam
as t ecnicas de harvesting utilizadas pelos spammers podem prever estas substituic oes.
Nos ataques de dicion ario, por sua vez, o spammer forma enderecos de e-mail a partir de listas
de nomes de pessoas, de palavras presentes em dicion arios e/ou da combinac ao de caracteres alfa-
num ericos.
6.1.4 Como os spammers conrmam que um endereco de e-mail existe?
Os spammers utilizam v arios artifcios para conrmar a exist encia de enderecos de e-mail. Um
destes artifcios consiste em enviar mensagens para os enderecos formados em ataques de dicion arios
e, com base nas respostas enviadas pelo servidores de e-mail que receberam as mensagens, identicar
quais enderecos s ao v alidos e quais n ao s ao.
Outro artifcio largamente utilizado e a inclus ao no spam de um suposto mecanismo para a
remoc ao da lista de e-mails, que pode ser um link ou endereco de e-mail. Ao receberem uma
solicitac ao de remoc ao, os spammers conrmam que o endereco de e-mail e v alido e realmente
algu em o utiliza.
Uma outra forma para vericar enderecos e o Web bug. Web bug e uma imagem, normalmente
muito pequena e invisvel, que faz parte de uma p agina Web ou de uma mensagem de e-mail, e que e
projetada para monitorar quem est a acessando esta p agina Web ou mensagem de e-mail.
Quando o Web bug e visualizado, diversas informac oes s ao armazenadas no servidor onde est a
hospedado, tais como: o endereco IP do computador que o acessou, a URL completa da imagem que
corresponde ao Web bug, o hor ario em que foi visualizado, etc.
Por exemplo, um spammer poderia utilizar Web bugs para a validac ao de enderecos de e-mail da
seguinte forma:
criando a imagem do Web bug com o nome do endereco de e-mail que quer validar;
Exemplo: fulano.png
hospedando o Web bug em um servidor onde tenha acesso a informac oes que ser ao geradas
quando o Web bug for visualizado;
criando uma mensagem de e-mail no formato HTML, que tenha em seu conte udo a URL com-
pleta da imagem correspondente ao Web bug;
Exemplo: http://www.dominio-do-spammer.example.org/fulano.png
enviando a mensagem criada para o endereco de e-mail a ser validado.
Exemplo: fulano@dominio-do-fulano.example.org
Quando o usu ario fulano abre a mensagem enviada pelo spammer em seu programa leitor de e-
mails, o Web bug e acessado e o spammer tem a conrmac ao de que o endereco de e-mail do fulano
e v alido.
Para impedir que este artifcio tenha sucesso e evitar que um endereco de e-mail seja validado por
um spammer, e possvel desabilitar no programa leitor de e-mails o modo de visualizac ao no formato
HTML.
6.1.5 Como fazer para ltrar os e-mails de modo a barrar o recebimento de
spams?
Existem basicamente dois tipos de software que podem ser utilizados para barrar spams: aque-
les que s ao colocados nos servidores, e que ltram os e-mails antes que cheguem at e o usu ario, e
aqueles que s ao instalados nos computadores dos usu arios, que ltram os e-mails com base em regras
individuais de cada usu ario.
Podem ser encontradas refer encias para diversas ferramentas de ltragem de e-mails nas p aginas
abaixo:
Spam e-mail blocking and ltering http://spam.abuse.net/userhelp/#filter
Anti Spam Yellow Pages http://www.antispamyellowpages.com/
Tamb em e interessante consultar seu provedor de acesso, ou o administrador de sua rede, para
vericar se existe algum recurso anti-spam disponvel e como utiliz a-lo.
6.1.6 Para quem devo reclamar quando receber um spam?
Deve-se reclamar de spams para os respons aveis pela rede de onde partiu a mensagem. Se esta
rede possuir uma poltica de uso aceit avel, a pessoa que enviou o spam pode receber as penalidades
que nela est ao previstas.
Muitas vezes, por em, e difcil conhecer a real origem do spam. Os spammers costumam enviar
suas mensagens atrav es de m aquinas mal conguradas, que permitem que terceiros as utilizem para
enviar os e-mails. Se isto ocorrer, a reclamac ao para a rede de origem do spam servir a para alertar os
seus respons aveis dos problemas com suas m aquinas.
Al em de enviar a reclamac ao para os respons aveis pela rede de onde saiu a mensagem, procure
manter o e-mail mail-abuse@cert.br na c opia de reclamac oes de spam. Deste modo, o CERT.br
pode manter dados estatsticos sobre a incid encia e origem de spams no Brasil e, tamb em, identicar
m aquinas mal conguradas que estejam sendo abusadas por spammers.
Vale comentar que recomenda-se n ao responder a um spam ou enviar uma mensagem solicitando
a remoc ao da lista de e-mails. Geralmente, este e um dos m etodos que os spammers utilizam para
conrmar que um endereco de e-mail e v alido e realmente algu em o utiliza.
Informac oes sobre como encontrar os respons aveis por uma rede s ao apresentadas na Parte VII:
Incidentes de Seguranca e Uso Abusivo da Rede.
Parte VI: Spam 57
6.1.7 Que informac oes devo incluir numa reclamac ao de spam?
Para que os respons aveis por uma rede possam identicar a origem de um spam e necess ario que
seja enviada a mensagem recebida acompanhada do seu cabecalho completo (header).
E no cabecalho de uma mensagem que est ao as informac oes sobre o endereco IP de origem da
mensagem, por quais servidores de e-mail a mensagem passou, entre outras.
Informac oes sobre como obter os cabecalhos de mensagens podem ser encontradas em http:
//www.antispam.org.br/header.html.
Informac oes sobre como entender os diversos campos normalmente encontrados nos cabecalhos
de e-mails est ao disponveis nas p aginas abaixo (em ingl es):
Reading Email Headers http://www.stopspam.org/email/headers.html
Tracking Spam http://www.claws-and-paws.com/spam-l/tracking.html
6.1.8 O que devo fazer ao identicar em um spam um caso de phishing/scam?
Ao identicar um spam como sendo um caso de phishing/scam, voc e deve enviar uma reclamac ao
para os respons aveis pela rede de onde partiu a mensagem e para os respons aveis pelo site onde o
esquema fraudulento est a sendo hospedado
1
. A reclamac ao deve conter n ao s o o cabecalho (como
visto na sec ao 6.1.7), mas tamb em o conte udo completo da mensagem recebida.
Dicas sobre como obter o conte udo completo de mensagens em diversos programas leitores de
e-mails est ao disponveis em http://www.spamcop.net/fom-serve/cache/19.html (em ingl es).
Al em de enviar a reclamac ao para os respons aveis pela rede de onde saiu a mensagem e pelo site
onde o esquema fraudulento est a sendo hospedado, procure manter o e-mail cert@cert.br na c opia
da reclamac ao. Deste modo, o CERT.br pode manter dados estatsticos sobre a incid encia e origem
de fraudes no Brasil e, tamb em, repassar a reclamac ao para os contatos dos respons aveis que, por
ventura, n ao tenham sido identicados.
E muito importante incluir o conte udo completo da mensagem na reclamac ao, pois s o assim ser a
possvel identicar o site utilizado para hospedar o esquema fraudulento, que pode ser uma p agina
clonada de uma instituic ao nanceira, um arquivo malicioso para furtar dados pessoais e nanceiros
de usu arios, entre outros.
Mais detalhes sobre phishing/scam e outros tipos de fraude via Internet podem ser encontrados na
Parte IV: Fraudes na Internet.
6.1.9 Onde posso encontrar outras informac oes sobre spam?
Diversas informac oes podem ser encontradas no site http://www.antispam.br/, mantido pelo
Comit e Gestor da Internet no Brasil (CGI.br), e que constitui uma fonte de refer encia sobre o spam.
Este site tem o compromisso de informar o usu ario e o administrador de redes sobre o spam, suas
implicac oes e formas de protec ao e combate.
1
Informac oes sobre como obter contatos dos respons aveis de uma rede est ao na Parte VII: Incidentes de Seguranca e
Uso Abusivo da Rede.
Parte VII: Incidentes de Seguranca e Uso
Abusivo da Rede
Esta parte da Cartilha aborda t opicos relativos a incidentes de seguranca e uso abusivo da rede.
S ao discutidos os conceitos de poltica de seguranca, poltica de uso aceit avel, registros de eventos e
sistemas de detecc ao de intrus ao. Tamb em s ao discutidos os procedimentos relativos ao processo de
identicac ao e noticac ao de incidentes de seguranca.
7.1 Incidentes de Seguranca e Abusos
7.1.1 O que e incidente de seguranca?
Um incidente de seguranca pode ser denido como qualquer evento adverso, conrmado ou sob
suspeita, relacionado ` a seguranca de sistemas de computac ao ou de redes de computadores.
S ao exemplos de incidentes de seguranca:
tentativas de ganhar acesso n ao autorizado a sistemas ou dados;
ataques de negac ao de servico;
uso ou acesso n ao autorizado a um sistema;
modicac oes em um sistema, sem o conhecimento, instruc oes ou consentimento pr evio do dono
do sistema;
desrespeito ` a poltica de seguranca ou ` a poltica de uso aceit avel de uma empresa ou provedor
de acesso.
7.1.2 O que e poltica de seguranca?
A poltica de seguranca atribui direitos e responsabilidades ` as pessoas que lidam com os recursos
computacionais de uma instituic ao e com as informac oes neles armazenados. Ela tamb em dene as
atribuic oes de cada um em relac ao ` a seguranca dos recursos com os quais trabalham.
Uma poltica de seguranca tamb em deve prever o que pode ser feito na rede da instituic ao e o que
ser a considerado inaceit avel. Tudo o que descumprir a poltica de seguranca pode ser considerado um
incidente de seguranca.
59
Na poltica de seguranca tamb em s ao denidas as penalidades ` as quais est ao sujeitos aqueles que
n ao cumprirem a poltica.
7.1.3 O que e poltica de uso aceit avel (AUP)?
A poltica de uso aceit avel (AUP, de Acceptable Use Policy) e um documento que dene como
os recursos computacionais de uma organizac ao podem ser utilizados. Tamb em e ela quem dene os
direitos e responsabilidades dos usu arios.
Os provedores de acesso a Internet normalmente deixam suas polticas de uso aceit avel dis-
ponveis em suas p aginas. Empresas costumam dar conhecimento da poltica de uso aceit avel no
momento da contratac ao ou quando o funcion ario comeca a utilizar os recursos computacionais da
empresa.
7.1.4 O que pode ser considerado uso abusivo da rede?
N ao h a uma denic ao exata do que possa ser considerado um uso abusivo da rede.
Internamente ` as empresas e instituic oes, situac oes que caracterizam o uso abusivo da rede est ao
denidas na poltica de uso aceit avel. Na Internet como um todo, os comportamentos listados abaixo
s ao geralmente considerados como uso abusivo:
envio de spam (mais informac oes na Parte VI: Spam);
envio de correntes da felicidade e de correntes para ganhar dinheiro r apido (mais informac oes
na Parte IV: Fraudes na Internet);
envio de e-mails de phishing/scam (mais informac oes na Parte IV: Fraudes na Internet);
c opia e distribuic ao n ao autorizada de material protegido por direitos autorais;
utilizac ao da Internet para fazer difamac ao, cal unia e ameacas;
ataques a outros computadores;
comprometimento de computadores ou redes.
7.2 Registros de Eventos (logs)
7.2.1 O que s ao logs?
Os logs s ao registros de atividades gerados por programas de computador. No caso de logs re-
lativos a incidentes de seguranca, eles normalmente s ao gerados por rewalls
1
ou por sistemas de
detecc ao de intrus ao.
1
Maiores detalhes na sec ao Firewalls da Parte II: Riscos Envolvidos no Uso da Internet e M etodos de Prevenc ao.
7.2.2 O que e um sistema de detecc ao de intrus ao (IDS)?
Um sistema de detecc ao de intrus ao (IDS Intrusion Detection System) e um programa, ou um
conjunto de programas, cuja func ao e detectar atividades maliciosas ou an omalas.
IDSs podem ser instalados de modo a monitorar as atividades relativas a um computador ou a uma
rede.
7.2.3 Que tipo de atividade pode ocasionar a gerac ao de um log?
Os rewalls, dependendo de como foram congurados, podem gerar logs quando algu em tenta
acessar um computador e este acesso e barrado pelo rewall. Sempre que um rewall gera um log in-
formando que um determinado acesso foi barrado, isto pode ser considerado uma tentativa de invas ao,
mas tamb em pode ser um falso positivo (vide sec ao 7.2.4).
J a os sistemas de detecc ao de intrus ao podem gerar logs tanto para casos de tentativa de invas ao,
quanto para casos em que um ataque teve sucesso. Apenas uma an alise detalhada pode dizer se uma
atividade detectada por um IDS foi um ataque com sucesso. Assim como os rewalls, os sistemas de
detecc ao de intrus ao tamb em podem gerar falsos positivos.
7.2.4 O que e um falso positivo?
O termo falso positivo e utilizado para designar uma situac ao em que um rewall ou IDS aponta
uma atividade como sendo um ataque, quando na verdade esta atividade n ao e um ataque.
Um exemplo cl assico de falso positivo ocorre no caso de usu arios que costumam se conectar em
servidores de IRC e que possuem um rewall pessoal. Atualmente boa parte dos servidores de IRC
possui uma poltica de uso que dene que um usu ario, para se conectar em determinados servidores,
n ao deve possuir em sua m aquina pessoal nenhum software que atue como proxy
2
. Para vericar se
um usu ario tem algum software deste tipo, ao receberem uma solicitac ao de conex ao por parte de um
cliente, os servidores enviam para a m aquina do cliente algumas conex oes que checam pela exist encia
destes programas. Se o usu ario possuir um rewall e quase certo que estas conex oes ser ao apontadas
como um ataque.
Outro caso comum de falso positivo ocorre quando o rewall n ao est a devidamente congurado e
indica como ataques respostas a solicitac oes feitas pelo pr oprio usu ario.
7.2.5 Que tipo de informac ao est a presente em um log?
Os logs relativos a ataques recebidos pela rede, em geral, possuem as seguintes informac oes:
Data e hor ario em que ocorreu uma determinada atividade;
Endereco IP
3
de origem da atividade;
2
A denic ao de proxy pode ser encontrada no Ap endice A: Gloss ario.
3
A denic ao de endereco IP pode ser encontrada no Ap endice A: Gloss ario.
Portas envolvidas;
Dependendo do grau de renamento da ferramenta que gerou o log ele tamb em pode conter
informac oes como:
O time zone
4
do hor ario do log;
Protocolo utilizado (TCP, UDP, ICMP, etc).
Os dados completos que foram enviados para o computador ou rede.
7.3 Noticac oes de Incidentes e Abusos
7.3.1 Por que devo noticar incidentes?
Quando um ataque e lancado contra uma m aquina ele normalmente tem uma destas duas origens:
um programa malicioso que est a fazendo um ataque de modo autom atico, como por exemplo
um bot ou um worm
5
;
uma pessoa que pode estar ou n ao utilizando ferramentas que automatizam ataques.
Quando o ataque parte de uma m aquina que foi vtima de um bot ou worm, reportar este incidente
para os respons aveis pela m aquina que originou o ataque vai ajud a-los a identicar o problema e
resolv e-lo.
Se este n ao for o caso, a pessoa que atacou o seu computador pode ter violado a poltica de uso
aceit avel da rede que utiliza ou, pior ainda, pode ter invadido uma m aquina e a utilizado para atacar
outros computadores. Neste caso, avisar os respons aveis pela m aquina de onde partiu o ataque pode
alert a-los para o mau comportamento de um usu ario ou para uma invas ao que ainda n ao havia sido
detectada.
7.3.2 Para quem devo noticar os incidentes?
Os incidentes ocorridos devem ser noticados para os respons aveis pela m aquina que originou a
atividade e tamb em para os grupos de resposta a incidentes e abusos das redes envolvidas. De modo
geral a lista de pessoas/entidades a serem noticadas inclui:
os respons aveis pela rede que originou o incidente, incluindo o grupo de seguranca e abusos, se
existir um para aquela rede;
o grupo de seguranca e abusos da rede em que voc e est a conectado (seja um provedor, empresa,
universidade ou outro tipo de instituic ao);
Mantenha o CERT.br (cert@cert.br) na c opia da mensagem, caso algum dos sites envolvidos
seja brasileiro.
4
Fuso hor ario. Mais informac oes em http://www.cert.br/docs/faq1.html.
5
Mais detalhes sobre bot e worm est ao na Parte VIII: C odigos Maliciosos (Malware).
7.3.3 Por que devo manter o CERT.br na c opia das noticac oes?
O Centro de Estudos, Resposta e Tratamento de Incidentes de Seguranca no Brasil (CERT.br
6
),
mantido pelo Comit e Gestor da Internet no Brasil (CGI.br), e respons avel pelo tratamento de inciden-
tes de seguranca em computadores envolvendo redes conectadas ` a Internet no Brasil.
Dentre as atribuic oes do CERT.br est ao:
ser um ponto central para noticac oes de incidentes de seguranca no Brasil, de modo a prover
a coordenac ao e o apoio no processo de resposta a incidentes, colocando as partes envolvidas
em contato quando necess ario;
manter estatsticas sobre os incidentes a ele reportados
7
;
desenvolver documentac ao
8
de apoio para usu arios e administradores de redes Internet.
Manter o CERT.br nas c opias das noticac oes de incidentes de seguranca e importante para per-
mitir que:
as estatsticas geradas reitam os incidentes ocorridos na Internet brasileira;
o CERT.br escreva documentos direcionados para as necessidades dos usu arios da Internet no
Brasil;
o CERT.br possa correlacionar dados relativos a v arios incidentes, identicar ataques coorde-
nados, novos tipos de ataques, etc.
7.3.4 Como encontro os respons aveis pela m aquina de onde partiu umataque?
Na Internet s ao mantidas diversas bases de dados com as informac oes a respeito dos respons aveis
por cada bloco de n umeros IP
9
existente. Estas bases de dados est ao nos chamados Servidores de
Whois.
O servidor de Whois para os IPs alocados ao Brasil pode ser consultado em http://registro.
br/. Para os demais pases e continentes existem diversos outros servidores. O site http://www.
geektools.com/whois.php aceita consultas referentes a qualquer n umero IP e redireciona estas
consultas para os servidores de Whois apropriados.
Os passos para encontrar os dados dos respons aveis incluem:
Acessar o site http://registro.br/ e fazer uma pesquisa pelo n umero IP ou pelo nome de
domnio da m aquina de onde partiu a atividade;
Se o IP da m aquina estiver alocado para o Brasil, os dados dos respons aveis ser ao exibidos;
6
Anteriormente denominado NBSO NIC BR Security Ofce.
7
http://www.cert.br/stats/
8
http://www.cert.br/docs/
9
O conceito de n umero IP pode ser encontrado no Ap endice A: Gloss ario.
Se aparecer a mensagem: Nao alocado para o Brasil, signica que o IP est a alocado
para algum outro pas. Uma consulta no site http://www.geektools.com/whois.php pode
retornar os e-mails dos respons aveis.
Vale lembrar que os e-mails que s ao encontrados a partir destas consultas n ao s ao necessaria-
mente os e-mails da pessoa que praticou o ataque. Estes e-mails s ao dos respons aveis pela rede onde
a m aquina est a conectada, ou seja, podem ser os administradores da rede, s ocios da empresa, ou
qualquer outra pessoa que foi designada para cuidar da conex ao da instituic ao com a Internet.
7.3.5 Que informac oes devo incluir em uma noticac ao de incidente?
Para que os respons aveis pela rede de onde partiu o incidente possam identicar a origem da
atividade e necess ario que a noticac ao contenha dados que permitam esta identicac ao.
S ao dados essenciais a serem includos em uma noticac ao:
logs completos;
data, hor ario e time zone (fuso hor ario) dos logs ou da ocorr encia da atividade sendo noticada;
dados completos do incidente ou qualquer outra informac ao que tenha sido utilizada para iden-
ticar a atividade.
7.3.6 Como devo proceder para noticar casos de phishing/scam?
Um caso de phishing/scam deve ser tratado de forma diferente de outros tipos de incidente, pois
n ao necessariamente haver a logs gerados por um rewall ou IDS, por exemplo.
O phishing/scam e uma mensagem de e-mail que procura induzir o usu ario a fornecer dados
pessoais e nanceiros. Desta forma, uma noticac ao de incidente deste tipo deve conter o cabecalho
e conte udo completos da mensagem recebida pelo usu ario.
A noticac ao deve ser enviada para os respons aveis pelas redes envolvidas, mantendo o CERT.br
(cert@cert.br) na c opia da mensagem de noticac ao. As informac oes de contato dos respons aveis
pelas redes envolvidas, ou seja, do servidor de onde partiu o e-mail e do site que est a hospedando o
esquema fraudulento, devem ser obtidas no cabecalho e conte udo da mensagem de phishing/scam.
Mais detalhes sobre phishing/scam podem ser obtidos na Parte IV: Fraudes na Internet. Infor-
mac oes sobre como obter cabecalhos e conte udos completos de mensagens de e-mail podem ser
encontradas na Parte VI: Spam.
7.3.7 Onde posso encontrar outras informac oes a respeito de noticac oes de
incidentes?
O CERT.br mant em uma FAQ (Frequently Asked Questions) com respostas para as d uvidas mais
comuns relativas ao processo de noticac ao de incidentes. A FAQ pode ser encontrada em: http:
//www.cert.br/docs/faq1.html.
Parte VIII: C odigos Maliciosos (Malware)
Esta parte da Cartilha aborda os conceitos e m etodos de prevenc ao para diversos c odigos malici-
osos (malwares), que s ao programas especicamente desenvolvidos para executar ac oes danosas em
um computador. Dentre eles ser ao discutidos vrus, cavalos de tr oia, spywares, backdoors, keyloggers,
worms, bots e rootkits.
8.1 Vrus
Vrus e um programa ou parte de um programa de computador, normalmente malicioso, que se
propaga infectando, isto e, inserindo c opias de si mesmo e se tornando parte de outros programas e
arquivos de um computador. O vrus depende da execuc ao do programa ou arquivo hospedeiro para
que possa se tornar ativo e dar continuidade ao processo de infecc ao.
Nesta sec ao, entende-se por computador qualquer dispositivo computacional passvel de infecc ao
por vrus. Computadores dom esticos, notebooks, telefones celulares e PDAs s ao exemplos de dispo-
sitivos computacionais passveis de infecc ao.
8.1.1 Como um vrus pode afetar um computador?
Normalmente o vrus tem controle total sobre o computador, podendo fazer de tudo, desde mostrar
uma mensagem de feliz anivers ario, at e alterar ou destruir programas e arquivos do disco.
8.1.2 Como o computador e infectado por um vrus?
Para que um computador seja infectado por um vrus, e preciso que um programa previamente
infectado seja executado. Isto pode ocorrer de diversas maneiras, tais como:
abrir arquivos anexados aos e-mails;
abrir arquivos do Word, Excel, etc;
abrir arquivos armazenados em outros computadores, atrav es do compartilhamento de recursos;
instalar programas de proced encia duvidosa ou desconhecida, obtidos pela Internet, de disque-
tes, pen drives, CDs, DVDs, etc;
ter alguma mdia removvel (infectada) conectada ou inserida no computador, quando ele e
ligado.
65
Novas formas de infecc ao por vrus podem surgir. Portanto, e importante manter-se informado
atrav es de jornais, revistas e dos sites dos fabricantes de antivrus.
8.1.3 Um computador pode ser infectado por um vrus sem que se perceba?
Sim. Existem vrus que procuram permanecer ocultos, infectando arquivos do disco e executando
uma s erie de atividades sem o conhecimento do usu ario. Ainda existem outros tipos que permanecem
inativos durante certos perodos, entrando em atividade em datas especcas.
8.1.4 O que e um vrus propagado por e-mail?
Um vrus propagado por e-mail (e-mail borne virus) normalmente e recebido como um arquivo
anexado ` a uma mensagem de correio eletr onico. O conte udo dessa mensagem procura induzir o
usu ario a clicar sobre o arquivo anexado, fazendo com que o vrus seja executado. Quando este tipo
de vrus entra em ac ao, ele infecta arquivos e programas e envia c opias de si mesmo para os contatos
encontrados nas listas de enderecos de e-mail armazenadas no computador do usu ario.
E importante ressaltar que este tipo especco de vrus n ao e capaz de se propagar automatica-
mente. O usu ario precisa executar o arquivo anexado que cont em o vrus, ou o programa leitor de
e-mails precisa estar congurado para auto-executar arquivos anexados.
8.1.5 O que e um vrus de macro?
Uma macro e um conjunto de comandos que s ao armazenados em alguns aplicativos e utilizados
para automatizar algumas tarefas repetitivas. Um exemplo seria, em um editor de textos, denir uma
macro que contenha a seq u encia de passos necess arios para imprimir um documento com a orientac ao
de retrato e utilizando a escala de cores em tons de cinza.
Um vrus de macro e escrito de forma a explorar esta facilidade de automatizac ao e e parte de um
arquivo que normalmente e manipulado por algum aplicativo que utiliza macros. Para que o vrus
possa ser executado, o arquivo que o cont em precisa ser aberto e, a partir da, o vrus pode executar
uma s erie de comandos automaticamente e infectar outros arquivos no computador.
Existem alguns aplicativos que possuem arquivos base (modelos) que s ao abertos sempre que o
aplicativo e executado. Caso este arquivo base seja infectado pelo vrus de macro, toda vez que o
aplicativo for executado, o vrus tamb em ser a.
Arquivos nos formatos gerados por programas da Microsoft, como o Word, Excel, Powerpoint e
Access, s ao os mais suscetveis a este tipo de vrus. Arquivos nos formatos RTF, PDF e PostScript
s ao menos suscetveis, mas isso n ao signica que n ao possam conter vrus.
8.1.6 Como posso saber se um computador est a infectado?
A melhor maneira de descobrir se um computador est a infectado e atrav es dos programas an-
tivrus
1
.
E importante ressaltar que o antivrus e suas assinaturas devem estar sempre atualizados, caso
contr ario poder a n ao detectar os vrus mais recentes.
8.1.7 Existe alguma maneira de proteger um computador de vrus?
Sim. Algumas das medidas de prevenc ao contra a infecc ao por vrus s ao:
instalar e manter atualizados um bom programa antivrus e suas assinaturas;
desabilitar no seu programa leitor de e-mails a auto-execuc ao de arquivos anexados ` as mensa-
gens;
n ao executar ou abrir arquivos recebidos por e-mail ou por outras fontes, mesmo que venham
de pessoas conhecidas. Caso seja necess ario abrir o arquivo, certique-se que ele foi vericado
pelo programa antivrus;
procurar utilizar na elaborac ao de documentos formatos menos suscetveis ` a propagac ao de
vrus, tais como RTF, PDF ou PostScript;
procurar n ao utilizar, no caso de arquivos comprimidos, o formato execut avel. Utilize o pr oprio
formato compactado, como por exemplo Zip ou Gzip.
8.1.8 O que e um vrus de telefone celular?
Um vrus de celular se propaga de telefone para telefone atrav es da tecnologia bluetooth
2
ou da
tecnologia MMS
3
(Multimedia Message Service). A infecc ao se d a da seguinte forma:
1. O usu ario recebe uma mensagem que diz que seu telefone est a prestes a receber um arquivo.
2. O usu ario permite que o arquivo infectado seja recebido, instalado e executado em seu aparelho.
3. O vrus, ent ao, continua o processo de propagac ao para outros telefones, atrav es de uma das
tecnologias mencionadas anteriormente.
Os vrus de celular diferem-se dos vrus tradicionais, pois normalmente n ao inserem c opias de si
mesmos em outros arquivos armazenados no telefone celular, mas podem ser especicamente proje-
tados para sobrescrever arquivos de aplicativos ou do sistema operacional instalado no aparelho.
Depois de infectar um telefone celular, o vrus pode realizar diversas atividades, tais como: des-
truir/sobrescrever arquivos, remover contatos da agenda, efetuar ligac oes telef onicas, drenar a carga
da bateria, al em de tentar se propagar para outros telefones.
1
Maiores detalhes sobre antivrus podem ser encontrados na Parte II: Riscos Envolvidos no Uso da Internet e M etodos
de Prevenc ao.
2
Mais detalhes sobre a tecnologia bluetooth podem ser encontrados na Parte III: Privacidade.
3
A denic ao deste termo pode ser encontrada no Ap endice A: Gloss ario.
8.1.9 Como posso proteger um telefone celular de vrus?
Algumas das medidas de prevenc ao contra a infecc ao por vrus em telefones celulares s ao:
mantenha o bluetooth do seu aparelho desabilitado e somente habilite-o quando for necess ario.
Caso isto n ao seja possvel, consulte o manual do seu aparelho e congure-o para que n ao seja
identicado (ou descoberto) por outros aparelhos (em muitos aparelhos esta opc ao aparece
como Oculto ou Invisvel);
n ao permita o recebimento de arquivos enviados por terceiros, mesmo que venham de pessoas
conhecidas, salvo quando voc e estiver esperando o recebimento de um arquivo especco;
que atento ` as notcias veiculadas no site do fabricante do seu aparelho, principalmente ` aquelas
sobre seguranca;
aplique todas as correc oes de seguranca (patches) que forem disponibilizadas pelo fabricante
do seu aparelho, para evitar que possua vulnerabilidades;
caso voc e tenha comprado uma aparelho usado, restaure as opc oes de f abrica (em muitos apare-
lhos esta opc ao aparece como Restaurar Congurac ao de F abrica ou Restaurar Congurac ao
Original) e congure-o como descrito no primeiro item, antes de inserir quaisquer dados.
Os fabricantes de antivrus t em disponibilizado vers oes para diversos modelos de telefones celu-
lares. Caso voc e opte por instalar um antivrus em seu telefone, consulte o fabricante e verique a
viabilidade e disponibilidade de instalac ao para o modelo do seu aparelho. Lembre-se de manter o
antivrus sempre atualizado.
8.2 Cavalos de Tr oia
Conta a mitologia grega que o Cavalo de Tr oia foi uma grande est atua, utilizada como instru-
mento de guerra pelos gregos para obter acesso a cidade de Tr oia. A est atua do cavalo foi recheada
com soldados que, durante a noite, abriram os port oes da cidade possibilitando a entrada dos gregos
e a dominac ao de Tr oia. Da surgiram os termos Presente de Grego e Cavalo de Tr oia.
Na inform atica, um cavalo de tr oia (trojan horse) e um programa, normalmente recebido como um
presente (por exemplo, cart ao virtual, album de fotos, protetor de tela, jogo, etc), que al em de exe-
cutar func oes para as quais foi aparentemente projetado, tamb em executa outras func oes normalmente
maliciosas e sem o conhecimento do usu ario.
Algumas das func oes maliciosas que podem ser executadas por um cavalo de tr oia s ao:
instalac ao de keyloggers ou screenloggers (vide sec ao 8.5);
furto de senhas e outras informac oes sensveis, como n umeros de cart oes de cr edito;
inclus ao de backdoors, para permitir que um atacante tenha total controle sobre o computador;
alterac ao ou destruic ao de arquivos.
8.2.1 Como um cavalo de tr oia pode ser diferenciado de um vrus ou worm?
Por denic ao, o cavalo de tr oia distingue-se de um vrus ou de um worm por n ao infectar outros
arquivos, nem propagar c opias de si mesmo automaticamente.
Normalmente um cavalo de tr oia consiste em um unico arquivo que necessita ser explicitamente
executado.
Podem existir casos onde um cavalo de tr oia contenha um vrus ou worm. Mas mesmo nestes
casos e possvel distinguir as ac oes realizadas como conseq u encia da execuc ao do cavalo de tr oia
propriamente dito, daquelas relacionadas ao comportamento de um vrus ou worm.
8.2.2 Como um cavalo de tr oia se instala em um computador?
E necess ario que o cavalo de tr oia seja executado para que ele se instale em um computador.
Geralmente um cavalo de tr oia vem anexado a um e-mail ou est a disponvel em algum site na Internet.
E importante ressaltar que existem programas leitores de e-mails que podem estar congurados
para executar automaticamente arquivos anexados ` as mensagens. Neste caso, o simples fato de ler
uma mensagem e suciente para que um arquivo anexado seja executado.
8.2.3 Que exemplos podem ser citados sobre programas contendo cavalos de
tr oia?
Exemplos comuns de cavalos de tr oia s ao programas que voc e recebe ou obt em de algum site
e que parecem ser apenas cart oes virtuais animados, albuns de fotos de alguma celebridade, jogos,
protetores de tela, entre outros.
Enquanto est ao sendo executados, estes programas podem ao mesmo tempo enviar dados con-
denciais para outro computador, instalar backdoors, alterar informac oes, apagar arquivos ou formatar
o disco rgido.
Existem tamb em cavalos de tr oia, utilizados normalmente em esquemas fraudulentos, que, ao
serem instalados com sucesso, apenas exibem uma mensagem de erro.
8.2.4 O que um cavalo de tr oia pode fazer em um computador?
O cavalo de tr oia, na maioria das vezes, instalar a programas para possibilitar que um invasor tenha
controle total sobre um computador. Estes programas podem permitir que o invasor:
tenha acesso e copie todos os arquivos armazenados no computador;
descubra todas as senhas digitadas pelo usu ario;
formate o disco rgido do computador, etc.
8.2.5 Um cavalo de tr oia pode instalar programas sem o conhecimento do u-
su ario?
Sim. Normalmente o cavalo de tr oia procura instalar, sem que o usu ario perceba, programas que
realizam uma s erie de atividades maliciosas.
8.2.6

E possvel saber se um cavalo de tr oia instalou algo em um computador?
A utilizac ao de um bom programa antivrus (desde que seja atualizado freq uentemente) normal-
mente possibilita a detecc ao de programas instalados pelos cavalos de tr oia.
E importante lembrar que nem sempre o antivrus ser a capaz de detectar ou remover os progra-
mas deixados por um cavalo de tr oia, principalmente se estes programas forem mais recentes que as
assinaturas do seu antivrus.
8.2.7 Existe alguma maneira de proteger umcomputador dos cavalos de tr oia?
Sim. As principais medidas preventivas contra a instalac ao de cavalos de tr oia s ao semelhantes ` as
medidas contra a infecc ao por vrus e est ao listadas na sec ao 8.1.7.
Uma outra medida preventiva e utilizar um rewall pessoal. Alguns rewalls podem bloquear o
recebimento de cavalos de tr oia, como descrito na Parte II: Riscos Envolvidos no Uso da Internet e
M etodos de Prevenc ao.
8.3 Adware e Spyware
Adware (Advertising software) e um tipo de software especicamente projetado para apresentar
propagandas, seja atrav es de um browser, seja atrav es de algum outro programa instalado em um
computador.
Em muitos casos, os adwares t em sido incorporados a softwares e servicos, constituindo uma
forma legtima de patrocnio ou retorno nanceiro para aqueles que desenvolvem software livre ou
prestam servicos gratuitos. Um exemplo do uso legtimo de adwares pode ser observado no programa
de troca instant anea de mensagens MSN Messenger.
Spyware, por sua vez, e o termo utilizado para se referir a uma grande categoria de software que
tem o objetivo de monitorar atividades de um sistema e enviar as informac oes coletadas para terceiros.
Existem adwares que tamb em s ao considerados um tipo de spyware, pois s ao projetados para
monitorar os h abitos do usu ario durante a navegac ao na Internet, direcionando as propagandas que
ser ao apresentadas.
Os spywares, assim como os adwares, podem ser utilizados de forma legtima, mas, na maioria
das vezes, s ao utilizados de forma dissimulada, n ao autorizada e maliciosa.
Seguem algumas funcionalidades implementadas em spywares, que podem ter relac ao com o uso
legtimo ou malicioso:
monitoramento de URLs acessadas enquanto o usu ario navega na Internet;
alterac ao da p agina inicial apresentada no browser do usu ario;
varredura dos arquivos armazenados no disco rgido do computador;
monitoramento e captura de informac oes inseridas em outros programas, como IRC ou proces-
sadores de texto;
instalac ao de outros programas spyware;
monitoramento de teclas digitadas pelo usu ario ou regi oes da tela pr oximas ao clique do mouse
(vide sec ao 8.5);
captura de senhas banc arias e n umeros de cart oes de cr edito;
captura de outras senhas usadas em sites de com ercio eletr onico.
E importante ter emmente que estes programas, na maioria das vezes, comprometema privacidade
do usu ario e, pior, a seguranca do computador do usu ario, dependendo das ac oes realizadas pelo
spyware no computador e de quais informac oes s ao monitoradas e enviadas para terceiros.
A sec ao 8.3.1 apresenta alguns exemplos de spywares usados de modo legtimo e de spywares
maliciosos.
8.3.1 Que exemplos podem ser citados sobre programas spyware?
Alguns exemplos de utilizac ao de programas spyware de modo legtimo s ao:
uma empresa pode utilizar programas spyware para monitorar os h abitos de seus funcion arios,
desde que tal monitoramento esteja previsto em contrato ou nos termos de uso dos recursos
computacionais da empresa;
um usu ario pode instalar um programa spyware para vericar se outras pessoas est ao utilizando
o seu computador de modo abusivo ou n ao autorizado.
Na maioria das vezes, programas spyware s ao utilizados de forma dissimulada e/ou maliciosa.
Seguem alguns exemplos:
existem programas cavalo de tr oia que instalam um spyware, al em de um keylogger ou screen-
logger. O spyware instalado monitora todos os acessos a sites enquanto o usu ario navega na
Internet. Sempre que o usu ario acessa determinados sites de bancos ou de com ercio eletr onico,
o keylogger ou screenlogger e ativado para a captura de senhas banc arias ou n umeros de cart oes
de cr edito;
alguns adwares incluem componentes spyware para monitorar o acesso a p aginas Web durante a
navegac ao na Internet e, ent ao, direcionar as propagandas que ser ao apresentadas para o usu ario.
Muitas vezes, a licenca de instalac ao do adware n ao diz claramente ou omite que tal monito-
ramento ser a feito e quais informac oes ser ao enviadas para o autor do adware, caracterizando
assim o uso dissimulado ou n ao autorizado de um componente spyware.
A sec ao 8.3.2 apresenta algumas formas de se prevenir a instalac ao de programas spyware em um
computador.
8.3.2

E possvel proteger um computador de programas spyware?
Existem ferramentas especcas, conhecidas como anti-spyware, capazes de detectar e remover
uma grande quantidade de programas spyware. Algumas destas ferramentas s ao gratuitas para uso
pessoal e podem ser obtidas pela Internet (antes de obter um programa anti-spyware pela Internet,
verique sua proced encia e certique-se que o fabricante e con avel).
Al em da utilizac ao de uma ferramenta anti-spyware, as medidas preventivas contra a infecc ao por
vrus (vide sec ao 8.1.7) s ao fortemente recomendadas.
Uma outra medida preventiva e utilizar um rewall pessoal
4
, pois alguns rewalls podem bloquear
o recebimento de programas spyware. Al em disso, se bem congurado, o rewall pode bloquear o
envio de informac oes coletadas por estes programas para terceiros, de forma a amenizar o impacto da
possvel instalac ao de um programa spyware em um computador.
8.4 Backdoors
Normalmente um atacante procura garantir uma forma de retornar a um computador comprome-
tido, sem precisar recorrer aos m etodos utilizados na realizac ao da invas ao. Na maioria dos casos,
tamb em e intenc ao do atacante poder retornar ao computador comprometido sem ser notado.
A esses programas que permitem o retorno de um invasor a um computador comprometido, utili-
zando servicos criados ou modicados para este m, d a-se o nome de backdoor.
8.4.1 Como e feita a inclus ao de um backdoor em um computador?
A forma usual de inclus ao de um backdoor consiste na disponibilizac ao de um novo servico ou
substituic ao de um determinado servico por uma vers ao alterada, normalmente possuindo recursos
que permitam acesso remoto (atrav es da Internet). Pode ser includo por um invasor ou atrav es de um
cavalo de tr oia.
Uma outra forma e a instalac ao de pacotes de software, tais como o BackOrice e NetBus, da
plataforma Windows, utilizados para administrac ao remota. Se mal congurados ou utilizados sem o
consentimento do usu ario, podem ser classicados como backdoors.
8.4.2 A exist encia de um backdoor depende necessariamente de uma invas ao?
N ao. Alguns dos casos onde a exist encia de um backdoor n ao est a associada a uma invas ao s ao:
instalac ao atrav es de um cavalo de tr oia (vide sec ao 8.2).
inclus ao como conseq u encia da instalac ao e m a congurac ao de um programa de administrac ao
remota;
4
Mais informac oes podem ser obtidas na Parte II: Riscos Envolvidos no Uso da Internet e M etodos de Prevenc ao.
Alguns fabricantes incluem/incluam backdoors em seus produtos (softwares, sistemas operacio-
nais), alegando necessidades administrativas.

E importante ressaltar que estes casos constituem uma
s eria ameaca ` a seguranca de um computador que contenha um destes produtos instalados, mesmo que
backdoors sejam includos por fabricantes conhecidos.
8.4.3 Backdoors s ao restritos a um sistema operacional especco?
N ao. Backdoors podem ser includos em computadores executando diversos sistemas operacio-
nais, tais como Windows (por exemplo, 95/98, NT, 2000, XP), Unix (por exemplo, Linux, Solaris,
FreeBSD, OpenBSD, AIX), Mac OS, entre outros.
8.4.4 Existe alguma maneira de proteger um computador de backdoors?
Embora os programas antivrus n ao sejam capazes de descobrir backdoors em um computador,
as medidas preventivas contra a infecc ao por vrus (sec ao 8.1.7) s ao v alidas para se evitar algumas
formas de instalac ao de backdoors.
A id eia e que voc e n ao execute programas de proced encia duvidosa ou desconhecida, sejam eles
recebidos por e-mail, sejam obtidos na Internet. A execuc ao de tais programas pode resultar na
instalac ao de um backdoor.
Caso voc e utilize algum programa de administrac ao remota, certique-se de que ele esteja bem
congurado, de modo a evitar que seja utilizado como um backdoor.
Uma outra medida preventiva consiste na utilizac ao de um rewall pessoal
5
. Apesar de n ao eli-
minarem os backdoors, se bem congurados, podem ser uteis para amenizar o problema, pois podem
barrar as conex oes entre os invasores e os backdoors instalados em um computador.
Tamb em e importante visitar constantemente os sites dos fabricantes de softwares e vericar a
exist encia de novas vers oes ou patches para o sistema operacional ou softwares instalados em seu
computador.
Existem casos onde a disponibilizac ao de uma nova vers ao ou de um patch est a associada ` a des-
coberta de uma vulnerabilidade em um software, que permite a um atacante ter acesso remoto a um
computador, de maneira similar ao acesso aos backdoors.
8.5 Keyloggers
Keylogger e um programa capaz de capturar e armazenar as teclas digitadas pelo usu ario no te-
clado de um computador.
5
8.5.1 Que informac oes um keylogger pode obter se for instalado em um com-
putador?
Um keylogger pode capturar e armazenar as teclas digitadas pelo usu ario. Dentre as informac oes
capturadas podem estar o texto de um e-mail, dados digitados na declarac ao de Imposto de Renda e
outras informac oes sensveis, como senhas banc arias e n umeros de cart oes de cr edito.
Em muitos casos, a ativac ao do keylogger e condicionada a uma ac ao pr evia do usu ario, como
por exemplo, ap os o acesso a um site especco de com ercio eletr onico ou Internet Banking. Normal-
mente, o keylogger cont emmecanismos que permitemo envio autom atico das informac oes capturadas
para terceiros (por exemplo, atrav es de e-mails).
8.5.2 Diversos sites de instituic oes nanceiras utilizam teclados virtuais. Neste
caso eu estou protegido dos keyloggers?
As instituic oes nanceiras desenvolveram os teclados virtuais para evitar que os keyloggers pudes-
sem capturar informac oes sensveis de usu arios. Ent ao, foram desenvolvidas formas mais avancadas
de keyloggers, tamb em conhecidas como screenloggers, capazes de:
armazenar a posic ao do cursor e a tela apresentada no monitor, nos momentos em que o mouse
e clicado, ou
armazenar a regi ao que circunda a posic ao onde o mouse e clicado.
De posse destas informac oes um atacante pode, por exemplo, descobrir a senha de acesso ao
banco utilizada por um usu ario.
8.5.3 Como e feita a inclus ao de um keylogger em um computador?
Normalmente, o keylogger vem como parte de um programa spyware (veja a sec ao 8.3) ou cavalo
de tr oia (veja a sec ao 8.2). Desta forma, e necess ario que este programa seja executado para que o
keylogger se instale em um computador. Geralmente, tais programas v em anexados a e-mails ou est ao
disponveis em sites na Internet.
Lembre-se que existem programas leitores de e-mails que podem estar congurados para executar
automaticamente arquivos anexados ` as mensagens. Neste caso, o simples fato de ler uma mensagem
e suciente para que qualquer arquivo anexado seja executado.
8.5.4 Como posso proteger um computador dos keyloggers?
Para se evitar a instalac ao de um keylogger, as medidas s ao similares ` aquelas discutidas nas sec oes
de vrus (8.1.7), cavalo de tr oia (8.2.7), worm (8.6.3), bots (8.7.5) e na Parte IV: Fraudes na Internet.
8.6 Worms
Worm e um programa capaz de se propagar automaticamente atrav es de redes, enviando c opias de
si mesmo de computador para computador.
Diferente do vrus, o worm n ao embute c opias de si mesmo em outros programas ou arquivos
e n ao necessita ser explicitamente executado para se propagar. Sua propagac ao se d a atrav es da
explorac ao de vulnerabilidades existentes ou falhas na congurac ao de softwares instalados em com-
putadores.
8.6.1 Como um worm pode afetar um computador?
Geralmente o worm n ao tem como conseq u encia os mesmos danos gerados por um vrus, como
por exemplo a infecc ao de programas e arquivos ou a destruic ao de informac oes. Isto n ao quer dizer
que n ao represente uma ameaca ` a seguranca de um computador, ou que n ao cause qualquer tipo de
dano.
Worms s ao notadamente respons aveis por consumir muitos recursos. Degradam sensivelmente
o desempenho de redes e podem lotar o disco rgido de computadores, devido ` a grande quantidade
de c opias de si mesmo que costumam propagar. Al em disso, podem gerar grandes transtornos para
aqueles que est ao recebendo tais c opias.
8.6.2 Como posso saber se meu computador est a sendo utilizado para propa-
gar um worm?
Detectar a presenca de um worm em um computador n ao e uma tarefa f acil. Muitas vezes os
worms realizam uma s erie de atividades, incluindo sua propagac ao, sem que o usu ario tenha conhe-
cimento.
Embora alguns programas antivrus permitam detectar a presenca de worms e at e mesmo evitar
que eles se propaguem, isto nem sempre e possvel.
Portanto, o melhor e evitar que seu computador seja utilizado para propag a-los (vide sec ao 8.6.3).
8.6.3 Como posso proteger um computador de worms?
Al em de utilizar um bom antivrus, que permita detectar e at e mesmo evitar a propagac ao de
um worm, e importante que o sistema operacional e os softwares instalados em seu computador n ao
possuam vulnerabilidades.
Normalmente um worm procura explorar alguma vulnerabilidade disponvel em um computador,
para que possa se propagar. Portanto, as medidas preventivas mais importantes s ao aquelas que pro-
curam evitar a exist encia de vulnerabilidades, como discutido na Parte II: Riscos Envolvidos no Uso
da Internet e M etodos de Prevenc ao.
Uma outra medida preventiva e ter instalado em seu computador um rewall pessoal
6
. Se bem
6
congurado, o rewall pessoal pode evitar que um worm explore uma possvel vulnerabilidade em
algum servico disponvel em seu computador ou, em alguns casos, mesmo que o worm j a esteja
instalado em seu computador, pode evitar que explore vulnerabilidades em outros computadores.
8.7 Bots e Botnets
De modo similar ao worm (sec ao 8.6), o bot e um programa capaz se propagar automaticamente,
explorando vulnerabilidades existentes ou falhas na congurac ao de softwares instalados em um com-
putador. Adicionalmente ao worm, disp oe de mecanismos de comunicac ao com o invasor, permitindo
que o bot seja controlado remotamente.
8.7.1 Como o invasor se comunica com o bot?
Normalmente, o bot se conecta a um servidor de IRC (Internet Relay Chat) e entra em um canal
(sala) determinado. Ent ao, ele aguarda por instruc oes do invasor, monitorando as mensagens que
est ao sendo enviadas para este canal. O invasor, ao se conectar ao mesmo servidor de IRC e entrar no
mesmo canal, envia mensagens compostas por seq u encias especiais de caracteres, que s ao interpre-
tadas pelo bot. Estas seq u encias de caracteres correspondem a instruc oes que devem ser executadas
pelo bot.
8.7.2 O que o invasor pode fazer quando estiver no controle de um bot?
Um invasor, ao se comunicar com um bot, pode enviar instruc oes para que ele realize diversas
atividades, tais como:
desferir ataques na Internet;
executar um ataque de negac ao de servico (detalhes na Parte I: Conceitos de Seguranca);
furtar dados do computador onde est a sendo executado, como por exemplo n umeros de cart oes
de cr edito;
enviar e-mails de phishing (detalhes na Parte IV: Fraudes na Internet);
enviar spam.
8.7.3 O que s ao botnets?
Botnets s ao redes formadas por computadores infectados com bots. Estas redes podem ser com-
postas por centenas ou milhares de computadores. Um invasor que tenha controle sobre uma botnet
pode utiliz a-la para aumentar a pot encia de seus ataques, por exemplo, para enviar centenas de milha-
res de e-mails de phishing ou spam, desferir ataques de negac ao de servico, etc.
8.7.4 Como posso saber se um bot foi instalado em um computador?
Identicar a presenca de umbot emumcomputador n ao e uma tarefa simples. Normalmente, o bot
e projetado para realizar as instruc oes passadas pelo invasor sem que o usu ario tenha conhecimento.
Embora alguns programas antivrus permitam detectar a presenca de bots, isto nem sempre e
possvel. Portanto, o melhor e procurar evitar que um bot seja instalado em seu computador (vide
sec ao 8.7.5).
8.7.5 Como posso proteger um computador dos bots?
Da mesma forma que o worm, o bot e capaz de se propagar automaticamente, atrav es da ex-
plorac ao de vulnerabilidades existentes ou falhas na congurac ao de softwares instalados em um
computador.
Portanto, a melhor forma de se proteger dos bots e manter o sistema operacional e os softwares
instalados em seu computador sempre atualizados e com todas as correc oes de seguranca (patches)
disponveis aplicadas, para evitar que possuam vulnerabilidades.
A utilizac ao de um bom antivrus, mantendo-o sempre atualizado, tamb em e importante, pois
em muitos casos permite detectar e at e mesmo evitar a propagac ao de um bot. Vale lembrar que o
antivrus s o ser a capaz de detectar bots conhecidos.
Outra medida preventiva consiste em utilizar um rewall pessoal
7
. Normalmente, os rewalls
pessoais n ao eliminam os bots, mas, se bem congurados, podem ser uteis para amenizar o problema,
pois podem barrar a comunicac ao entre o invasor e o bot instalado em um computador.
Podem existir outras formas de propagac ao e instalac ao de bots em um computador, como por
exemplo, atrav es da execuc ao de arquivos anexados a e-mails. Portanto, as medidas apresentadas
na Parte II: Riscos Envolvidos no Uso da Internet e M etodos de Prevenc ao tamb em s ao fortemente
recomendadas.
8.8 Rootkits
Um invasor, ao realizar uma invas ao, pode utilizar mecanismos para esconder e assegurar a sua
presenca no computador comprometido. O conjunto de programas que fornece estes mecanismos e
conhecido como rootkit.
E muito importante car claro que o nome rootkit n ao indica que as ferramentas que o comp oem
s ao usadas para obter acesso privilegiado (root ou Administrator) em um computador, mas sim para
mant e-lo. Isto signica que o invasor, ap os instalar o rootkit, ter a acesso privilegiado ao computador
previamente comprometido, sem precisar recorrer novamente aos m etodos utilizados na realizac ao da
invas ao, e suas atividades ser ao escondidas do respons avel e/ou dos usu arios do computador.
7
8.8.1 Que funcionalidades um rootkit pode conter?
Um rootkit pode fornecer programas com as mais diversas funcionalidades. Dentre eles, podem
ser citados:
programas para esconder atividades e informac oes deixadas pelo invasor (normalmente presen-
tes em todos os rootkits), tais como arquivos, diret orios, processos, conex oes de rede, etc;
backdoors (vide sec ao 8.4), para assegurar o acesso futuro do invasor ao computador compro-
metido (presentes na maioria dos rootkits);
programas para remoc ao de evid encias em arquivos de logs;
sniffers
8
, para capturar informac oes na rede onde o computador est a localizado, como por exem-
plo senhas que estejam trafegando em claro, ou seja, sem qualquer m etodo de criptograa;
scanners
9
, para mapear potenciais vulnerabilidades em outros computadores;
outros tipos de malware, como cavalos de tr oia, keyloggers, ferramentas de ataque de negac ao
de servico, etc.
8.8.2 Como posso saber se um rootkit foi instalado em um computador?
Existem programas capazes de detectar a presenca de um grande n umero de rootkits, mas isto
n ao quer dizer que s ao capazes de detectar todos os disponveis (principalmente os mais recentes).
Alguns destes programas s ao gratuitos e podem ser obtidos pela Internet (antes de obter um programa
para a detecc ao de rootkits pela Internet, verique sua proced encia e certique-se que o fabricante e
con avel).
Como os rootkits s ao projetados para carem ocultos, ou seja, n ao serem detectados pelo res-
pons avel ou pelos usu arios de um computador, sua identicac ao e, na maioria das vezes, uma tarefa
bem difcil. Deste modo, o melhor e procurar evitar que um rootkit seja instalado em seu computador
(vide sec ao 8.8.3).
8.8.3 Como posso proteger um computador dos rootkits?
Apesar de existirem programas especcos para a detecc ao de rootkits, a melhor forma de se
proteger e manter o sistema operacional e os softwares instalados em seu computador sempre atuali-
zados e com todas as correc oes de seguranca (patches) disponveis aplicadas, para evitar que possuam
vulnerabilidades.
Desta forma, voc e pode evitar que um atacante consiga invadir seu computador, atrav es da explo-
rac ao de alguma vulnerabilidade, e instalar um rootkit ap os o comprometimento.
8
A denic ao de sniffer pode ser encontrada no Ap endice A: Gloss ario.
9
A denic ao de scanner pode ser encontrada no Ap endice A: Gloss ario.
Ap endice A: Gloss ario
802.11 Refere-se a um conjunto de especicac oes desenvolvidas pelo IEEE para tecnologias
de redes sem o.
AC Veja Autoridade certicadora.
ADSL Do Ingl es Asymmetric Digital Subscriber Line. Sistema que permite a utilizac ao das
linhas telef onicas para transmiss ao de dados em velocidades maiores que as permiti-
das por um modem convencional.
Adware Do Ingl es Advertising Software. Software especicamente projetado para apresentar
propagandas. Constitui uma forma de retorno nanceiro para aqueles que desenvol-
vem software livre ou prestam servicos gratuitos. Pode ser considerado um tipo de
spyware, caso monitore os h abitos do usu ario, por exemplo, durante a navegac ao na
Internet para direcionar as propagandas que ser ao apresentadas.
Antivrus Programa ou software especicamente desenvolvido para detectar, anular e eliminar
de um computador vrus e outros tipos de c odigo malicioso.
AP Do Ingl es Access Point. Dispositivo que atua como ponte entre uma rede sem o e
uma rede tradicional.
Artefato De forma geral, artefato e qualquer informac ao deixada por um invasor em um sis-
tema comprometido. Pode ser um programa ou script utilizado pelo invasor em ativi-
dades maliciosas, um conjunto de ferramentas usadas pelo invasor, logs ou arquivos
deixados em um sistema comprometido, a sada gerada pelas ferramentas do invasor,
etc.
Assinatura digital
C odigo utilizado para vericar a integridade de um texto ou mensagem. Tamb em
pode ser utilizado para vericar se o remetente de uma mensagem e mesmo quem diz
ser.
Atacante Pessoa respons avel pela realizac ao de um ataque. Veja tamb em Ataque.
Ataque Tentativa, bem ou mal sucedida, de acesso ou uso n ao autorizado a um programa ou
computador. Tamb em s ao considerados ataques as tentativas de negac ao de servico.
Autoridade certicadora
Entidade respons avel por emitir certicados digitais. Estes certicados podem ser
emitidos para diversos tipos de entidades, tais como: pessoa, computador, departa-
mento de uma instituic ao, instituic ao, etc.
79
Backdoor Programa que permite a um invasor retornar a um computador comprometido. Nor-
malmente este programa e colocado de forma a n ao ser notado.
Banda Veja Largura de banda.
Bandwidth Veja Largura de banda.
Bluetooth Termo que se refere a uma tecnologia de r adio-freq u encia (RF) de baixo alcance,
utilizada para a transmiss ao de voz e dados.
Boato E-mail que possui conte udo alarmante ou falso e que, geralmente, tem como reme-
tente ou aponta como autora da mensagem alguma instituic ao, empresa importante
ou org ao governamental. Atrav es de uma leitura minuciosa deste tipo de e-mail, nor-
malmente, e possvel identicar em seu conte udo mensagens absurdas e muitas vezes
sem sentido.
Bot Programa que, al em de incluir funcionalidades de worms, sendo capaz de se propa-
gar automaticamente atrav es da explorac ao de vulnerabilidades existentes ou falhas
na congurac ao de softwares instalados em um computador, disp oe de mecanismos
de comunicac ao com o invasor, permitindo que o programa seja controlado remo-
tamente. O invasor, ao se comunicar com o bot, pode orient a-lo a desferir ataques
contra outros computadores, furtar dados, enviar spam, etc.
Botnets Redes formadas por diversos computadores infectados com bots. Podem ser usadas
em atividades de negac ao de servico, esquemas de fraude, envio de spam, etc.
Cable modem Modem projetado para operar sobre linhas de TV a cabo.
Cavalo de tr oia
Programa, normalmente recebido como um presente (por exemplo, cart ao virtual,
album de fotos, protetor de tela, jogo, etc), que al em de executar func oes para as
quais foi aparentemente projetado, tamb em executa outras func oes normalmente ma-
liciosas e sem o conhecimento do usu ario.
Certicado digital
Arquivo eletr onico, assinado digitalmente, que cont em dados de uma pessoa ou ins-
tituic ao, utilizados para comprovar sua identidade. Veja tamb em Assinatura digital.
C odigo malicioso
Termo gen erico que se refere a todos os tipos de programa que executam ac oes ma-
liciosas em um computador. Exemplos de c odigos maliciosos s ao os vrus, worms,
bots, cavalos de tr oia, rootkits, etc.
Com ercio eletr onico
Tamb em chamado de e-commerce, e qualquer forma de transac ao comercial onde
as partes interagem eletronicamente. Conjunto de t ecnicas e tecnologias computa-
cionais utilizadas para facilitar e executar transac oes comerciais de bens e servicos
atrav es da Internet.
Comprometimento
Veja Invas ao.
Conex ao segura
Conex ao que utiliza um protocolo de criptograa para a transmiss ao de dados, como
por exemplo, HTTPS ou SSH.
Correc ao de seguranca
Correc ao especicamente desenvolvida para eliminar falhas de seguranca em um
software ou sistema operacional.
Criptograa Ci encia e arte de escrever mensagens em forma cifrada ou em c odigo.

E parte de
um campo de estudos que trata das comunicac oes secretas.

E usada, dentre outras
nalidades, para: autenticar a identidade de usu arios; autenticar transac oes banc arias;
proteger a integridade de transfer encias eletr onicas de fundos, e proteger o sigilo de
comunicac oes pessoais e comerciais.
DDoS Do Ingl es Distributed Denial of Service. Ataque de negac ao de servico distribudo,
ou seja, um conjunto de computadores e utilizado para tirar de operac ao um ou mais
servicos ou computadores conectados ` a Internet. Veja Negac ao de servico.
DNS Do Ingl es Domain Name System. Servico que traduz nomes de domnios para ende-
recos IP e vice-versa.
DoS Do Ingl es Denial of Service. Veja Negac ao de servico.
E-commerce Veja Com ercio eletr onico.
Endereco IP Este endereco e um n umero unico para cada computador conectado ` a Internet, com-
posto por uma seq u encia de 4 n umeros que variam de 0 at e 255, separados por ..
Por exemplo: 192.168.34.25.
Engenharia social
M etodo de ataque onde uma pessoa faz uso da persuas ao, muitas vezes abusando da
ingenuidade ou conanca do usu ario, para obter informac oes que podem ser utiliza-
das para ter acesso n ao autorizado a computadores ou informac oes.
Exploit Programa ou parte de um programa malicioso projetado para explorar uma vulnera-
bilidade existente em um software de computador.
Falsa identidade
Ato onde o falsicador atribui-se identidade ilegtima, podendo se fazer passar por
outra pessoa, com objetivo de obter vantagens indevidas, como por exemplo, obter
cr edito, furtar dinheiro de contas banc arias das vtimas, utilizar cart oes de cr edito de
terceiros, entre outras.
Firewall Dispositivo constitudo pela combinac ao de software e hardware, utilizado para divi-
dir e controlar o acesso entre redes de computadores.
Firewall pessoal
Software ou programa utilizado para proteger um computador contra acessos n ao
autorizados vindos da Internet.

E um tipo especco de rewall.
GnuPG Conjunto de programas gratuito e de c odigo aberto, que implementa criptograa de
chave unica, de chaves p ublica e privada e assinatura digital.
GPG Veja GnuPG.
Harvesting T ecnica utilizada por spammers, que consiste em varrer p aginas Web, arquivos de
listas de discuss ao, entre outros, em busca de enderecos de e-mail.
Hoax Veja Boato.
HTML Do Ingl es HyperText Markup Language. Linguagem universal utilizada na elabora-
c ao de p aginas na Internet.
HTTP Do Ingl es HyperText Transfer Protocol. Protocolo usado para transferir p aginas Web
entre um servidor e um cliente (por exemplo, o browser).
HTTPS Quando utilizado como parte de uma URL, especica a utilizac ao de HTTP com
algum mecanismo de seguranca, normalmente o SSL.
Identity theft Veja Falsa identidade.
IDS Do Ingl es Intrusion Detection System. Programa, ou um conjunto de programas, cuja
func ao e detectar atividades maliciosas ou an omalas.
IEEE Acr onimo para Institute of Electrical and Electronics Engineers, uma organizac ao
composta por engenheiros, cientistas e estudantes, que desenvolvem padr oes para a
ind ustria de computadores e eletro-eletr onicos.
Invas ao Ataque bem sucedido que resulte no acesso, manipulac ao ou destruic ao de informa-
c oes em um computador.
Invasor Pessoa respons avel pela realizac ao de uma invas ao (comprometimento). Veja tam-
b em Invas ao.
IP Veja Endereco IP.
Keylogger Programa capaz de capturar e armazenar as teclas digitadas pelo usu ario no teclado de
um computador. Normalmente, a ativac ao do keylogger e condicionada a uma ac ao
pr evia do usu ario, como por exemplo, ap os o acesso a um site de com ercio eletr onico
ou Internet Banking, para a captura de senhas banc arias ou n umeros de cart oes de
cr edito.
Largura de banda
Quantidade de dados que podem ser transmitidos em um canal de comunicac ao, em
um determinado intervalo de tempo.
Log Registro de atividades gerado por programas de computador. No caso de logs rela-
tivos a incidentes de seguranca, eles normalmente s ao gerados por rewalls ou por
IDSs.
Malware Do Ingl es Malicious software (software malicioso). Veja C odigo malicioso.
MMS Do Ingl es Multimedia Message Service. Tecnologia amplamente utilizada em tele-
fonia celular para a transmiss ao de dados, como texto, imagem, audio e vdeo.
Modem Dispositivo que permite o envio e recebimento de dados utilizando as linhas te-
lef onicas.
Negac ao de servico
Atividade maliciosa onde o atacante utiliza um computador para tirar de operac ao
um servico ou computador conectado ` a Internet.
N umero IP Veja Endereco IP.
Opt-in Regra de envio de mensagens que dene que e proibido mandar e-mails comerci-
ais/spam, a menos que exista uma concord ancia pr evia por parte do destinat ario. Veja
tamb em Soft opt-in.
Opt-out Regra de envio de mensagens que dene que e permitido mandar e-mails comerci-
ais/spam, mas deve-se prover um mecanismo para que o destinat ario possa parar de
receber as mensagens.
P2P Acr onimo para peer-to-peer. Arquitetura de rede onde cada computador tem funci-
onalidades e responsabilidades equivalentes. Difere da arquitetura cliente/servidor,
onde alguns dispositivos s ao dedicados a servir outros. Este tipo de rede e normal-
mente implementada via softwares P2P, que permitem conectar o computador de um
usu ario ao de outro para compartilhar ou transferir dados, como MP3, jogos, vdeos,
imagens, etc.
Password Veja Senha.
Patch Veja Correc ao de seguranca.
PGP Do Ingl es Pretty Good Privacy. Programa que implementa criptograa de chave
unica, de chaves p ublica e privada e assinatura digital. Possui vers oes comerciais e
gratuitas. Veja tamb em GnuPG.
Phishing Tamb em conhecido como phishing scam ou phishing/scam. Mensagem n ao solici-
tada que se passa por comunicac ao de uma instituic ao conhecida, como um banco,
empresa ou site popular, e que procura induzir usu arios ao fornecimento de dados
pessoais e nanceiros. Inicialmente, este tipo de mensagem induzia o usu ario ao
acesso a p aginas fraudulentas na Internet. Atualmente, o termo tamb em se refere ` a
mensagem que induz o usu ario ` a instalac ao de c odigos maliciosos, al em da mensa-
gem que, no pr oprio conte udo, apresenta formul arios para o preenchimento e envio
de dados pessoais e nanceiros.
Porta dos fundos
Veja Backdoor.
Proxy Servidor que atua como intermedi ario entre um cliente e outro servidor. Normal-
mente e utilizado em empresas para aumentar a performance de acesso a determi-
nados servicos ou permitir que mais de uma m aquina se conecte ` a Internet. Proxies
mal congurados podem ser abusados por atacantes e utilizados como uma forma de
tornar an onimas algumas ac oes na Internet, como atacar outras redes ou enviar spam.
Rede sem o Rede que permite a conex ao entre computadores e outros dispositivos atrav es da
transmiss ao e recepc ao de sinais de r adio.
Rootkit Conjunto de programas que tem como nalidade esconder e assegurar a presenca
de um invasor em um computador comprometido.

E importante ressaltar que o
nome rootkit n ao indica que as ferramentas que o comp oem s ao usadas para obter
acesso privilegiado (root ou Administrator) em um computador, mas sim para manter
o acesso privilegiado em um computador previamente comprometido.
Scam Esquemas ou ac oes enganosas e/ou fraudulentas. Normalmente, t em como nalidade
obter vantagens nanceiras.
Scan T ecnica normalmente implementada por um tipo de programa, projetado para efetuar
varreduras em redes de computadores. Veja Scanner.
Scanner Programa utilizado para efetuar varreduras em redes de computadores, com o intuito
de identicar quais computadores est ao ativos e quais servicos est ao sendo dispo-
nibilizados por eles. Amplamente utilizado por atacantes para identicar potenciais
alvos, pois permite associar possveis vulnerabilidades aos servicos habilitados em
um computador.
Screenlogger Forma avancada de keylogger, capaz de armazenar a posic ao do cursor e a tela apre-
sentada no monitor, nos momentos em que o mouse e clicado, ou armazenar a regi ao
que circunda a posic ao onde o mouse e clicado. Veja tamb em Keylogger.
Senha Conjunto de caracteres, de conhecimento unico do usu ario, utilizado no processo de
vericac ao de sua identidade, assegurando que ele e realmente quem diz ser.
Site Local na Internet identicado por um nome de domnio, constitudo por uma ou mais
p aginas de hipertexto, que podem conter textos, gr acos e informac oes multimdia.
SMS Do Ingl es Short Message Service. Tecnologia amplamente utilizada em telefonia
celular para a transmiss ao de mensagens de texto curtas. Diferente do MMS, per-
mite apenas dados do tipo texto e cada mensagem e limitada em 160 caracteres alfa-
num ericos.
Sniffer Dispositivo ou programa de computador utilizado para capturar e armazenar dados
trafegando em uma rede de computadores. Pode ser usado por um invasor para cap-
turar informac oes sensveis (como senhas de usu arios), em casos onde estejam sendo
utilizadas conex oes inseguras, ou seja, sem criptograa.
Soft opt-in Regra semelhante ao opt-in, mas neste caso prev e uma excec ao quando j a existe uma
relac ao comercial entre remetente e destinat ario. Desta forma, n ao e necess aria a
permiss ao explcita por parte do destinat ario para receber e-mails deste remetente.
Veja Opt-in.
Spam Termo usado para se referir aos e-mails n ao solicitados, que geralmente s ao enviados
para um grande n umero de pessoas. Quando o conte udo e exclusivamente comercial,
este tipo de mensagem tamb em e referenciada como UCE (do Ingl es Unsolicited
Commercial E-mail).
Spammer Pessoa que envia spam.
Spyware Termo utilizado para se referir a uma grande categoria de software que tem o obje-
tivo de monitorar atividades de um sistema e enviar as informac oes coletadas para
terceiros. Podem ser utilizados de forma legtima, mas, na maioria das vezes, s ao
utilizados de forma dissimulada, n ao autorizada e maliciosa.
SSH Do Ingl es Secure Shell. Protocolo que utiliza criptograa para acesso a um compu-
tador remoto, permitindo a execuc ao de comandos, transfer encia de arquivos, entre
outros.
SSID Do Ingl es Service Set Identier. Conjunto unico de caracteres que identica uma
rede sem o. O SSID diferencia uma rede sem o de outra e um cliente normalmente
s o pode conectar em uma rede sem o se puder fornecer o SSID correto.
SSL Do Ingl es Secure Sockets Layer. Protocolo que fornece condencialidade e integri-
dade na comunicac ao entre um cliente e um servidor, atrav es do uso de criptograa.
Veja tamb em HTTPS.
Time zone Fuso hor ario.
Trojan horse Veja Cavalo de tr oia.
UCE Do ingl es Unsolicited Commercial E-mail. Termo usado para se referir aos e-mails
comerciais n ao solicitados.
URL Do Ingl es Universal Resource Locator. Seq u encia de caracteres que indica a locali-
zac ao de um recurso na Internet, como por exemplo, http://cartilha.cert.br/.
Vrus Programa ou parte de um programa de computador, normalmente malicioso, que se
propaga infectando, isto e, inserindo c opias de si mesmo e se tornando parte de outros
programas e arquivos de um computador. O vrus depende da execuc ao do programa
ou arquivo hospedeiro para que possa se tornar ativo e dar continuidade ao processo
de infecc ao.
VPN Do Ingl es Virtual Private Network. Termo usado para se referir ` a construc ao de uma
rede privada utilizando redes p ublicas (por exemplo, a Internet) como infra-estrutura.
Estes sistemas utilizam criptograa e outros mecanismos de seguranca para garantir
que somente usu arios autorizados possam ter acesso a rede privada e que nenhum
dado ser a interceptado enquanto estiver passando pela rede p ublica.
Vulnerabilidade
Falha no projeto, implementac ao ou congurac ao de um software ou sistema opera-
cional que, quando explorada por um atacante, resulta na violac ao da seguranca de
um computador.
Web bug Imagem, normalmente muito pequena e invisvel, que faz parte de uma p agina Web ou
de uma mensagem de e-mail, e que e projetada para monitorar quem est a acessando
esta p agina Web ou mensagem de e-mail.
WEP Do Ingl es Wired Equivalent Privacy. Protocolo de seguranca para redes sem o
que implementa criptograa para a transmiss ao dos dados. Este protocolo apresenta
algumas falhas de seguranca.
Wi-Fi Do Ingl es Wireless Fidelity. Termo usado para se referir genericamente a redes sem
o que utilizam qualquer um dos padr oes 802.11.
Wireless Veja Rede sem o.
WLAN Do Ingl es Wireless Local-Area Network. Refere-se a um tipo de rede que utiliza
ondas de r adio de alta freq u encia, ao inv es de cabos, para a comunicac ao entre os
computadores.
Worm Programa capaz de se propagar automaticamente atrav es de redes, enviando c opias de
si mesmo de computador para computador. Diferente do vrus, o worm n ao embute
c opias de si mesmo em outros programas ou arquivos e n ao necessita ser explici-
tamente executado para se propagar. Sua propagac ao se d a atrav es da explorac ao
de vulnerabilidades existentes ou falhas na congurac ao de softwares instalados em
computadores.
WPA Do Ingl es Wi-Fi Protected Access. Protocolo de seguranca para redes sem o de-
senvolvido para substituir o protocolo WEP, devido a suas falhas de seguranca. Esta
tecnologia foi projetada para, atrav es de atualizac oes de software, operar com pro-
dutos Wi-Fi que disponibilizavam apenas a tecnologia WEP. Inclui duas melhorias
em relac ao ao protocolo WEP que envolvem melhor criptograa para transmiss ao de
dados e autenticac ao de usu ario.
Ap endice B: Checklist
Este checklist resume as principais recomendac oes contidas na Cartilha de Seguranca para In-
ternet. A numerac ao adotada neste checklist n ao possui relac ao com a adotada nas outras partes da
Cartilha.
B.1 Prevenc ao Contra Riscos e C odigos Maliciosos (Malware)
B.1.1 Contas e senhas
elaborar sempre uma senha que contenha pelo menos oito caracteres, compostos de letras,
n umeros e smbolos;
jamais utilizar como senha seu nome, sobrenomes, n umeros de documentos, placas de carros,
n umeros de telefones, datas que possam ser relacionadas com voc e ou palavras que facam parte
de dicion arios;
utilizar uma senha diferente para cada servico;
alterar a senha com freq u encia;
criar tantos usu arios com privil egios normais, quantas forem as pessoas que utilizam seu com-
putador;
utilizar o usu ario Administrator (ou root) somente quando for estritamente necess ario.
B.1.2 Vrus
atualizar as assinaturas do antivrus, de prefer encia diariamente;
congurar o antivrus para vericar os arquivos obtidos pela Internet, discos rgidos (HDs),
exveis (disquetes) e unidades removveis, como CDs, DVDs e pen drives;
desabilitar no seu programa leitor de e-mails a auto-execuc ao de arquivos anexados ` as mensa-
gens;
n ao executar ou abrir arquivos recebidos por e-mail ou por outras fontes, mesmo que venham
de pessoas conhecidas. Caso seja necess ario abrir o arquivo, certique-se que ele foi vericado
pelo programa antivrus;
87
utilizar na elaborac ao de documentos formatos menos suscetveis ` a propagac ao de vrus, tais
como RTF, PDF ou PostScript;
n ao utilizar, no caso de arquivos comprimidos, o formato execut avel. Utilize o pr oprio formato
compactado, como por exemplo Zip ou Gzip.
B.1.3 Worms, bots e botnets
seguir todas as recomendac oes para prevenc ao contra vrus;
manter o sistema operacional e demais softwares sempre atualizados;
aplicar todas as correc oes de seguranca (patches) disponibilizadas pelos fabricantes, para cor-
rigir eventuais vulnerabilidades existentes nos softwares utilizados;
instalar um rewall pessoal, que em alguns casos pode evitar que uma vulnerabilidade existente
seja explorada ou que um worm ou bot se propague.
B.1.4 Cavalos de tr oia, backdoors, keyloggers e spywares
seguir todas as recomendac oes para prevenc ao contra vrus, worms e bots;
instalar um rewall pessoal, que em alguns casos pode evitar o acesso a um backdoor j a insta-
lado em seu computador, bloquear o recebimento de um cavalo de tr oia, etc;
utilizar pelo menos uma ferramenta anti-spyware e mant e-la sempre atualizada.
B.2 Cuidados no Uso da Internet
B.2.1 Programas Leitores de E-mails
manter seu programa leitor de e-mails sempre atualizado;
n ao clicar em links no conte udo do e-mail. Se voc e realmente quiser acessar a p agina do link,
digite o endereco diretamente no seu browser;
desligar as opc oes que permitem abrir ou executar automaticamente arquivos ou programas
anexados ` as mensagens;
n ao abrir arquivos ou executar programas anexados aos e-mails, sem antes veric a-los com um
antivrus;
desconar sempre dos arquivos anexados ` a mensagem, mesmo que tenham sido enviados por
pessoas ou instituic oes conhecidas. O endereco do remetente pode ter sido forjado e o arquivo
anexo pode ser, por exemplo, um vrus ou um cavalo de tr oia;
fazer o download de programas diretamente do site do fabricante;
evitar utilizar o seu programa leitor de e-mails como um browser, desligando as opc oes de
execuc ao de JavaScript e Java e o modo de visualizac ao de e-mails no formato HTML.
B.2.2 Browsers
manter o seu browser sempre atualizado;
desativar a execuc ao de programas Java na congurac ao de seu browser, a menos que seja
estritamente necess ario;
desativar a execuc ao de JavaScripts antes de entrar em uma p agina desconhecida e, ent ao,
ativ a-la ao sair;
permitir que programas ActiveX sejam executados em seu computador apenas quando vierem
de sites conhecidos e con aveis;
manter maior controle sobre o uso de cookies, caso voc e queira ter maior privacidade ao navegar
na Internet;
bloquear pop-up windows e permit-las apenas para sites conhecidos e con aveis, onde forem
realmente necess arias;
certicar-se da proced encia do site e da utilizac ao de conex oes seguras ao realizar transac oes
via Web;
somente acessar sites de instituic oes nanceiras e de com ercio eletr onico digitando o endereco
diretamente no seu browser, nunca clicando em um link existente em uma p agina ou em um
e-mail.
B.2.3 Programas de troca de mensagens
manter seu programa de troca de mensagens sempre atualizado;
n ao aceitar arquivos de pessoas desconhecidas, principalmente programas de computadores;
utilizar um bom antivrus, sempre atualizado, para vericar todo e qualquer arquivo ou software
obtido, mesmo que venha de pessoas conhecidas;
evitar fornecer muita informac ao, principalmente a pessoas que voc e acabou de conhecer;
n ao fornecer, em hip otese alguma, informac oes sensveis, tais como senhas ou n umeros de
congurar o programa para ocultar o seu endereco IP.
B.2.4 Programas de distribuic ao de arquivos
manter seu programa de distribuic ao de arquivos sempre atualizado e bem congurado;
car qualquer arquivo obtido, pois eles podem conter vrus, cavalos de tr oia, entre outros tipos
de malware;
certicar-se que os arquivos obtidos ou distribudos s ao livres, ou seja, n ao violam as leis de
direitos autorais.
B.2.5 Compartilhamento de recursos
ter um bom antivrus instalado em seu computador, mant e-lo atualizado e utiliz a-lo para ve-
ricar qualquer arquivo ou programa compartilhado, pois eles podem conter vrus, cavalos de
tr oia, entre outros tipos de malware;
estabelecer senhas para os compartilhamentos, caso seja estritamente necess ario compartilhar
recursos do seu computador.
B.2.6 C opias de seguranca
fazer c opias dos dados do computador regularmente;
criptografar dados sensveis;
armazenar as c opias em local acondicionado, de acesso restrito e com seguranca fsica;
considerar a necessidade de armazenar as c opias em um local diferente daquele onde est a o
computador.
B.3 Fraude
B.3.1 Engenharia social
n ao fornecer dados pessoais, n umeros de cart oes e senhas atrav es de contato telef onico;
car atento a e-mails ou telefonemas solicitando informac oes pessoais;
n ao acessar sites ou seguir links recebidos por e-mail ou presentes em p aginas sobre as quais
n ao se saiba a proced encia;
sempre que houver d uvida sobre a real identidade do autor de uma mensagem ou ligac ao te-
lef onica, entrar em contato com a instituic ao, provedor ou empresa para vericar a veracidade
dos fatos.
B.3.2 Cuidados ao realizar transac oes banc arias ou comerciais
seguir todas as recomendac oes sobre utilizac ao do programa leitor de e-mails e do browser de
maneira segura;
estar atento e prevenir-se dos ataques de engenharia social;
realizar transac oes somente em sites de instituic oes que voc e considere con aveis;
procurar sempre digitar em seu browser o endereco desejado. N ao utilize links em p aginas de
terceiros ou recebidos por e-mail;
certicar-se de que o endereco apresentado em seu browser corresponde ao site que voc e real-
mente quer acessar, antes de realizar qualquer ac ao;
certicar-se que o site faz uso de conex ao segura (ou seja, que os dados transmitidos entre seu
browser e o site ser ao criptografados) e utiliza um tamanho de chave considerado seguro;
antes de aceitar um novo certicado, vericar junto ` a instituic ao que mant em o site sobre sua
emiss ao e quais s ao os dados nele contidos. Ent ao, vericar o certicado do site antes de iniciar
qualquer transac ao, para assegurar-se que ele foi emitido para a instituic ao que se deseja acessar
e est a dentro do prazo de validade;
n ao acessar sites de com ercio eletr onico ou Internet Banking atrav es de computadores de ter-
ceiros;
desligar sua Webcam (caso voc e possua alguma), ao acessar um site de com ercio eletr onico ou
Internet banking.
B.3.3 Boatos
vericar sempre a proced encia da mensagem e se o fato sendo descrito e verdico;
vericar em sites especializados e em publicac oes da area se o e-mail recebido j a n ao est a
catalogado como um boato.
B.4 Privacidade
B.4.1 E-mails
utilizar criptograa sempre que precisar enviar um e-mail com informac oes sensveis;
certicar-se que seu programa leitor de e-mails grava as mensagens criptografadas, para garantir
a seguranca das mensagens armazenadas no disco.
B.4.2 Cookies
desabilitar cookies, exceto para sites con aveis e onde sejam realmente necess arios;
considerar o uso de softwares que permitem controlar o envio e recebimento de informac oes
entre o browser e o site visitado.
B.4.3 Cuidados com dados pessoais em p aginas Web, blogs e sites de redes de
relacionamentos
evitar disponibilizar seus dados pessoais ou de familiares e amigos (e-mail, telefone, endereco,
data de anivers ario, etc);
evitar disponibilizar dados sobre o seu computador ou sobre os softwares que utiliza;
evitar fornecer informac oes sobre o seu cotidiano (como, por exemplo, hora que saiu e voltou
para casa, data de uma viagem programada, hor ario que foi ao caixa eletr onico, etc).
nunca fornecer informac oes sensveis (como senhas e n umeros de cart ao de cr edito), a me-
nos que esteja sendo realizada uma transac ao (comercial ou nanceira) e se tenha certeza da
idoneidade da instituic ao que mant em o site.
B.4.4 Cuidados com os dados armazenados em um disco rgido
criptografar todos os dados sensveis, principalmente se for um notebook;
sobrescrever os dados do disco rgido antes de vender ou se desfazer do seu computador usado.
B.4.5 Cuidados comtelefones celulares, PDAs e outros aparelhos combluetooth
manter o bluetooth do seu aparelho desabilitado e somente habilite-o quando for necess ario;
car atento ` as notcias, principalmente ` aquelas sobre seguranca, veiculadas no site do fabricante
do seu aparelho;
aplicar todas as correc oes de seguranca (patches) que forem disponibilizadas pelo fabricante do
seu aparelho, para evitar que possua vulnerabilidades;
caso voc e tenha comprado uma aparelho usado, restaurar as opc oes de f abrica e congur a-lo
como no primeiro item, antes de inserir quaisquer dados.
B.5 Banda Larga e Redes Sem Fio (Wireless)
B.5.1 Protec ao de um computador utilizando banda larga
instalar um rewall pessoal e car atento aos registros de eventos (logs) gerados por este pro-
grama;
manter os seus softwares (sistema operacional, programas que utiliza, etc) sempre atualizados
e com as ultimas correc oes aplicadas;
desligar o compartilhamento de disco, impressora, etc;
mudar, se possvel, a senha padr ao do seu equipamento de banda larga (modem ADSL, por
exemplo).
B.5.2 Protec ao de uma rede utilizando banda larga
instalar um rewall separando a rede interna da Internet;
caso seja instalado algum tipo de proxy (como AnalogX, WinGate, WinProxy, etc), congur a-lo
para que apenas aceite requisic oes partindo da rede interna;
caso seja necess ario compartilhar recursos como disco ou impressora entre m aquinas da rede
interna, devem-se tomar os devidos cuidados para que o rewall n ao permita que este compar-
tilhamento seja visvel pela Internet.
B.5.3 Cuidados com um cliente de rede sem o
instalar um rewall pessoal;
aplicar as ultimas correc oes em seus softwares (sistema operacional, programas que utiliza,
etc);
desligar compartilhamento de disco, impressora, etc;
desabilitar o modo ad-hoc. Utilize esse modo apenas se for absolutamente necess ario e desli-
gue-o assim que n ao precisar mais;
usar WEP (Wired Equivalent Privacy) sempre que possvel;
vericar a possibilidade de usar WPA (Wi-Fi Protected Access) em substituic ao ao WEP, uma
vez que este padr ao pode aumentar signicativamente a seguranca da rede;
considerar o uso de criptograa nas aplicac oes, como por exemplo o uso de PGP para o envio
de e-mails, SSH para conex oes remotas ou ainda o uso de VPNs;
evitar o acesso a servicos que n ao utilizem conex ao segura, ao usar uma rede sem o em local
p ublico;
habilitar a rede wireless somente quando for us a-la e desabilit a-la ap os o uso.
B.5.4 Cuidados com uma rede sem o dom estica
mudar congurac oes padr ao que acompanham o seu AP;
vericar se seus equipamentos j a suportam WPA (Wi-Fi Protected Access) e utiliz a-lo sempre
que possvel;
caso o WPA n ao esteja disponvel, usar sempre que possvel WEP (Wired Equivalent Privacy);
se for utilizar WEP, trocar as chaves que acompanham a congurac ao padr ao do equipamento.
Procure usar o maior tamanho de chave possvel (128 bits);
desligar seu AP quando n ao estiver usando sua rede.
B.6 Spam
seguir todas as recomendac oes sobre utilizac ao do programa leitor de e-mails;
considerar a utilizac ao de um software de ltragem de e-mails;
vericar com seu provedor ou com o administrador da rede se e utilizado algum software de
ltragem no servidor de e-mails;
evitar responder a um spam ou enviar um e-mail solicitando a remoc ao da lista.
B.7 Incidentes de Seguranca e Uso Abusivo da Rede
B.7.1 Registros de eventos (logs)
vericar sempre os logs do rewall pessoal e de IDSs que estejam instalados no computador;
vericar se n ao e um falso positivo, antes de noticar um incidente.
B.7.2 Noticac oes de incidentes
incluir logs completos, com data, hor ario, time zone (fuso hor ario), endereco IP de origem,
portas envolvidas, protocolo utilizado e qualquer outra informac ao que tenha feito parte da
identicac ao do incidente;
enviar a noticac ao para os contatos da rede e para os grupos de seguranca das redes envolvidas;
manter cert@cert.br na c opia das mensagens.
Ap endice C: Dicas
Este Ap endice cont em um folheto com dicas b asicas de seguranca, uma compilac ao feita com
base no conte udo da Cartilha.
Este folheto est a disponvel para impress ao na p agina http://cartilha.cert.br/dicas/, onde
tamb em pode ser encontrado o mesmo conte udo em formato de folder dobr avel e em formato HTML.
95

Atualize seu antivrus diariamente.
No clique em links recebidos por e-mail.
No execute arquivos recebidos por e-mail ou via
servios de mensagem instantnea.

Mantenha todos os programas que voc usa sempre
atualizados.
Instale todas as correes de segurana.
Use antivrus, firewall pessoal e anti-spyware.
Mais detalhes em:
http://cartilha.cert.br/fraudes/
http://cartilha.cert.br/malware/

Mantenha seu navegador sempre atualizado.
Desative Java e ActiveX. Use-os apenas se for
estritamente necessrio.
S habilite JavaScript, cookies e pop-up windows ao
acessar sites confiveis.

Mantenha o programa leitor de e-mails sempre
atualizado.
Desative a visualizao de e-mails em HTML.
Desative as opes de execuo automtica de
arquivos anexados.
Desative a execuo de JavaScript e Java.
Mais detalhes em:
http://cartilha.cert.br/prevencao/

Use senhas com letras, nmeros e smbolos.
Nunca use como senha dados pessoais ou palavras
de dicionrios.
No coloque dados pessoais em pginas Web, blogs
ou sites de redes de relacionamentos.

Habilite bluetooth s quando for utiliz-lo.
Consulte o fabricante sobre atualizaes para seu
aparelho.
No aceite qualquer arquivo enviado para seu
aparelho. Cheque a procedncia.
Mais detalhes em:
http://cartilha.cert.br/privacidade/

Use antivrus e firewall pessoal.
Desligue o compartilhamento de recursos.
Mantenha todos os programas que voc usa sempre
atualizados.
Instale todas as correes de segurana.

Use antivrus e firewall pessoal.
Use WEP ou WPA sempre que possvel.
Use somente servios com conexo segura.
Implemente tambm as dicas para quem usa banda
larga.
Mais detalhes em:
http://cartilha.cert.br/bandalarga/
Cartilha de Segurana para Internet Verso 3.1 - 2006 CERT.br

Cartilha Seguranca Internet

Загружено:

Сведения о документе

Авторское право

Доступные форматы

Поделиться этим документом

Поделиться или встроить документ

Параметры публикации

Этот документ был вам полезен?

Это неприемлемый материал?

Авторское право:

Доступные форматы

Cartilha Seguranca Internet

Загружено:

Авторское право:

Доступные форматы

Comit Gestor da Internet no Brasil

E importante ter certos cuidados no armazenamento de dados em um computador. Caso voc e

Albuns de fotos pessoa supostamente conhecida, celebridades, relacionado a

E importante ressaltar que um boato tamb em pode comprometer a credibilidade e a reputac ao

Вам также может понравиться