Materia Comleta de Seguranca de Redes PDF

MÓDULO DE:
SEGURANÇA DE REDES
AUTORIA:
Gilberto Oliveira
Copyright © 2008, ESAB – Escola Superior Aberta do Brasil
1
Módulo de: Segurança de Redes
Autoria: Gilberto Oliveira
Primeira edição: 2009

Primeira revisão: 2011
Segunda revisão:2014
CITAÇÃO DE MARCAS NOTÓRIAS
Várias marcas registradas são citadas no conteúdo deste módulo. Mais do que simplesmente listar esses nomes
e informar quem possui seus direitos de exploração ou ainda imprimir logotipos, o autor declara estar utilizando
tais nomes apenas para fins editoriais acadêmicos.
Declara ainda, que sua utilização tem como objetivo, exclusivamente na aplicação didática, beneficiando e
divulgando a marca do detentor, sem a intenção de infringir as regras básicas de autenticidade de sua utilização
e direitos autorais.
E por fim, declara estar utilizando parte de alguns circuitos eletrônicos, os quais foram analisados em pesquisas
de laboratório e de literaturas já editadas, que se encontram expostas ao comércio livre editorial.
Todos os direitos desta edição reservados à

ESAB – ESCOLA SUPERIOR ABERTA DO BRASIL LTDA
http://www.esab.edu.br
Av. Santa Leopoldina, nº 840/07
Bairro Itaparica – Vila Velha, ES
CEP: 29102-040
2
A presentação
O módulo de Segurança de Redes
É vital para as organizações estarem acessíveis através da Web, para se manterem

competitivas perante o concorrido mercado globalizado. Neste novo cenário, a informação
torna-se o ativo mais importante da organização, pois é através de sua manipulação de
forma rápida e precisa que milhares de pessoas realizem negócios em tempo real, provando
a realização de transações comerciais a partir de um único clique.
O mundo atual é um sonho para muitos que se esforçaram para conseguirmos acessar
lugares distantes através de uma rede de computadores. Nem mesmo os inventores do TCP
/ IP, nem da Internet, poderiam imaginar a extensão e a extensão deste projeto, bem como
seu uso nos mais diversos segmentos mundiais, que causou em todo o mundo a propagação
de uma nova cultura digital.
Do ponto de vista técnico, alcançamos a era digital, sem termos acoplados os conceitos de
segurança para esta grande rede, pois o que seria apenas uma pequena rede militar, tornou-
se a grande rede mundial. Os protocolos não foram criados para serem utilizados em tão
larga escala em termos de segurança, pois apresentam diversas vulnerabilidades. Mas, é
complicado mudá-los, pois é um padrão mundial.
Se de um lado, temos a necessidade das organizações em dispor seus negócios de forma

rápida, fácil e acessível, de outro temos estes problemas técnicos.
Esta matéria tem como objetivo fornecer conceitos importantes de segurança para serem
aplicados em paradigmas do mundo real, como soluções a serem implantadas nos mais
diversos níveis da Internet, para que de acordo com o valor dispensado a esta meta, seja
feito o melhor aproveitamento possível da verba, direcionando os esforços a uma maior
segurança das informações.
3
Este esforço vem ao contrário dos objetivos da Internet, que é interligar todas as redes do
mundo, porém, sem este trabalho teríamos receio de acessar a Web e disponibilizar
informações pessoais ou comerciais. Este é um campo em ascensão e ainda, muito restrito,
porém promete grandes oportunidades para os que almejam atuar nesta área.
O bjetivo
1. Propiciar ao aluno condições de compreender e reconhecer as principais formas de

segurança em redes e, condições de avaliar os riscos mais comuns num sistema de
computação quanto a sua segurança e conscientizar sobre a necessidade da segurança de
redes.
2. Apresentar as principais técnicas de ataques a redes existentes e suas conseqüências.

Familiarizar o aluno com arquiteturas de firewalls, de sistemas de detecção de intrusão e de
redes virtuais privadas, caracterizando e diferenciar as tecnologias de segurança de rede.
E menta
Conceitos gerais de Segurança da Informação, gestão de risco e criptologia com suas

respectivas normas regulamentadora, legislações, políticas, investigação e ética, tipos de
ameaças e riscos a Segurança de uma Rede, tipos comuns de invasão (interna e externa),
vírus e ataques mais comuns.
4
S obre o Autor
Formação
Bacharel em Engenharia Elétrica com especialização em Telecomunicações e Licenciatura

Plena em Informática com especialização em Informática Educacional e professor de
Matemática (Ensino Fundamental e Médio).
Experiência
Professor desde 1987 e formação em Tutoria pelo convênio CEFET/Pelotas-RS e

UNIMINAS/Uberlândia-MG
5
S UMÁRIO
UNIDADE 1 ................................................................................................................................................................... 9
CONCEITUAÇÃO DE SEGURANÇA e AMEAÇAS ORGANIZACIONAIS........... 9
UNIDADE 2 ................................................................................................................................................................ 18
OS ATACANTES .............................................................................................................................................. 18
UNIDADE 3 ................................................................................................................................................................ 25
SEGURANÇA CONTINUADA................................................................................................................ 25
UNIDADE 4 ................................................................................................................................................................ 30
TIPOS DE ATAQUES E CLASSIFICAÇÃO ................................................................................ 30
UNIDADE 5 ................................................................................................................................................................ 44
CONTINUAÇÃO ................................................................................................................................................ 44
UNIDADE 6 ................................................................................................................................................................ 53
CONTINUAÇÃO ................................................................................................................................................ 53
UNIDADE 7 ................................................................................................................................................................ 62
CONTINUAÇÃO ................................................................................................................................................ 62
Objetivo: Conhecer o universo de estudo, Conceituação de Segurança e
Ameças..................................................................................................................................................................... 62
UNIDADE 8 ................................................................................................................................................................ 72
CONTINUAÇÃO ................................................................................................................................................ 72
UNIDADE 9 ................................................................................................................................................................ 74
PLANO DE CONTINGÊNCIA ................................................................................................................. 74
UNIDADE 10 ............................................................................................................................................................. 79
CONTINUAÇÃO ................................................................................................................................................ 79
UNIDADE 11 ............................................................................................................................................................. 84
NBR ISO/IEC DE SEGURANÇA.......................................................................................................... 84
UNIDADE 12 ............................................................................................................................................................. 93
6
ÁREAS DE CONTROLE DO ISO 17799....................................................................................... 93
UNIDADE 13 .......................................................................................................................................................... 102
MEDIDAS, MONITORAMENTO E RISCOS NA SEGURANÇA .............................. 102
UNIDADE 14 .......................................................................................................................................................... 112
POLÍTICAS, REGRAS E ESTATÍSTICAS DE INVESTIMENTOS EM
CONTINGÊNCIA DE GRANDES EMPRESAS ..................................................................... 112
UNIDADE 15 .......................................................................................................................................................... 118
COMPONENTES DE SEGURANÇA: FIREWALL .............................................................. 118
UNIDADE 16 .......................................................................................................................................................... 128
FILTROS E GATEWAYS ........................................................................................................................ 128
UNIDADE 17 .......................................................................................................................................................... 136
CONTINUAÇÃO ............................................................................................................................................. 136
UNIDADE 18 .......................................................................................................................................................... 142
NAT, VPN E LIMITAÇÕES NO USO DE FIREWALL ...................................................... 142
UNIDADE 19 .......................................................................................................................................................... 148
ARQUITETURA E PROJETO DE FIREWALL....................................................................... 148
UNIDADE 20 .......................................................................................................................................................... 154
SISTEMAS DE DETECÇÃO DE INTRUSÃO ......................................................................... 154
UNIDADE 21 .......................................................................................................................................................... 163
NIDS E HIDS ..................................................................................................................................................... 163
UNIDADE 22 .......................................................................................................................................................... 170
HONEYPOT E METODOLOGIA ....................................................................................................... 170
UNIDADE 23 .......................................................................................................................................................... 175
IDS E PADRONIZAÇÃO.......................................................................................................................... 175
UNIDADE 24 .......................................................................................................................................................... 179
VPN E CARACTERÍSTICAS ................................................................................................................ 179
UNIDADE 25 .......................................................................................................................................................... 185
FUNDAMENTOS E APROFUNDAMENTO SOBRE VPN............................................ 185
7
UNIDADE 26 .......................................................................................................................................................... 193
CRIPTOGRAFIA ............................................................................................................................................ 193
UNIDADE 27 .......................................................................................................................................................... 199
CHAVES CRIPTOGRÁFICAS ............................................................................................................ 199
UNIDADE 28 .......................................................................................................................................................... 208
ATAQUES A SISTEMAS CRIPTOGRÁFICOS ..................................................................... 208
UNIDADE 29 .......................................................................................................................................................... 211
AUTORIDADE CERTIFICADORA E CERTIFICADOS................................................... 211
UNIDADE 30 .......................................................................................................................................................... 215
AUTENTICAÇÃO........................................................................................................................................... 215
GLOSSÁRIO.......................................................................................................................................................... 231
BIBLIOGRAFIA ................................................................................................................................................... 232
8
U NIDADE 1
CONCEITUAÇÃO DE SEGURANÇA E AMEAÇAS ORGANIZACIONAIS
Objetivo: Conhecer o universo de estudo, Conceituação de Segurança e Ameças.
1. INTRODUÇÃO
Atualmente, as organizações por estarem acessíveis através da Web tornou-se vital e

vantagem competitiva perante o concorrido mercado globalizado. Neste novo cenário, a
informação torna-se o ativo mais importante da organização, pois é através de sua
manipulação de forma rápida e precisa que milhares de pessoas realizem negócios em
tempo real, provando a realização de transações comerciais a partir de um único clique.
Para muitos o mundo atual é um sonho para conseguir acessar lugares distantes através de
uma rede de computadores. Nem mesmo os inventores do TCP/IP e Internet poderiam
imaginar a extensão deste projeto, bem como seu uso nos mais diversos segmentos
mundiais, que causou em todo o mundo a propagação de uma nova cultura digital.
Tecnicamente, alcançamos a era digital sem termos acoplados os conceitos de segurança

para esta grande rede, pois o que seria apenas uma pequena rede militar tornou-se a grande
rede mundial. Os protocolos não foram criados para serem utilizados em tão larga escala em
termos de segurança, pois apresentam diversas vulnerabilidades. É complicado mudá-los,
pois é um padrão mundial. Se de um lado, temos a necessidade das organizações em dispor
seus negócios de forma rápida, fácil e acessível, de outro temos estes problemas técnicos.
O objetivo desta matéria não é esgotar ao máximo o tema e, sim, fornecer conceitos
importantes de segurança para serem aplicados em paradigmas do mundo real, como
soluções a serem implantadas nos mais diversos níveis da Internet, para que de acordo com
9
o valor dispensado a esta meta, seja feito o melhor aproveitamento possível da verba,
direcionando os esforços a uma maior segurança das informações.
Este esforço vem contrário aos objetivos da Internet, que é interligar todas as redes do
mundo, porém, sem este trabalho teríamos receio de acessar a Web e disponibilizar
informações pessoais ou comerciais. Este é um campo em ascensão e ainda muito restrito,
porém promete grandes oportunidades para os que almejam atuar nesta área.
2. CONCEITOS BÁSICOS DE SEGURANÇA
Não adianta uma organização estar atuando virtualmente se as

informações que alimentam o sistema estiverem vulneráveis. Da mesma
forma que este é um fator diferencial para a globalização, a vulnerabilidade
pode conduzir ao fracasso uma empresa.
A Era da Informação trouxe consigo uma série de problemas pertinentes a vulnerabilidades

de sistemas operacionais e protocolos, como o Code Red, que causou em torno de 2,9
bilhões de dólares de prejuízo por causar lentidão na rede devido aos sistemas operacionais
Windows NT e 2000, e os diversos ataques a sites, como Yahoo, Amazon, CNN, UOL, entre
outros. Também, a perda de privacidade de diversos clientes da CD Universe, devido a
ataque no site bem-sucedido, onde foram roubados os números de cartão de crédito dos
clientes.
Porém, os maiores ataques que causam prejuízos às organizações não são os externos,
mas os internos que ocorrem a partir da própria rede. Para complicar este cenário, antes
queríamos que as pessoas externas a organizações não conseguissem enxergar as redes
corporativas. Atualmente, o grande desafio das organizações é a disponibilização de
serviços através das redes externas, Internet, como se os parceiros comerciais estivessem
dentro da empresa, e para isto ocorre o acesso à rede interna.
10
2.1. A Tecnologia da Informação (TI) no mercado globalizado
Primeiramente, é preciso definir três palavras:
Dado: característica qualquer de um objeto, como um nome, data de nascimento de

alguém ou a cor dos olhos de uma pessoa. Em informática, é uma sequência qualquer
de bits armazenados.
Informação: ao associarmos o nome a uma pessoa específica, com sua cor de olhos e
pele, data de nascimento, temos uma informação, pois os dados começam a ter
sentido.
Conhecimento: ao termos um conjunto de informações, dados pessoais, comerciais e

religiosos de alguém, por exemplo, podemos traçar um melhor perfil da pessoa e
dependendo deste conjunto de informações posso atuar de diferentes formas. Este
agir diferente é o conhecimento, pois agrega valor ao ser humano e a organização,
podendo trazer vantagem competitiva.
Nas décadas 70-80, temos a informática como ferramenta de proteção da confidencialidade

dos dados. É a época marcada pela chegada dos mainframes, das empresas com muitos
funcionários que tinham dificuldades em realizar até mesmo a folha de pagamento e
contabilidade.
Nas décadas 80-90, com a chegada das redes corporativas, a TI é utilizada para guardar não
mais dados, mas informações consistentes e processadas. A informática avança na
administração e é parte da estratégia da empresa para minimizar seus custos. O importante
é a integridade da informação.
A partir da década de 90, temos uma nova preocupação: disponibilidade. Temos as redes IP,
tornando-se essencial aos negócios e são armazenadas nos sistemas informatizados não
mais informações, mas conhecimentos – o objeto a ser protegido nos computadores.
11
Atualmente, o mundo globalizado exige uma nova postura das empresas: alta
competitividade na disputa de novos mercados. Mas, como conseguir atingir o maior número
de mercado e ser mais eficiente do que o concorrente, oferecer um melhor produto, com
maior eficiência e manter um bom relacionamento? Através de sistemas interligados via
rede, que conseguem atingir clientes nos mais diversos pontos geográficos, com sistemas
que provêem esta nova visão mercadológica e globalizada.
Diante do exposto, para qualquer organização é necessário observar alguns requisitos, como
infra-estrutura em telecomunicações e sistemas informatizados capazes de prover as
necessidades do mundo atual, tornando a informática um acessório de auxílio na execução
de atividades de forma centralizada e mais rápida e, principalmente, parte do negócio da
organização que possibilita sua posição diante do cenário mundial.
Desta forma, surge a necessidade da criação dos chamados ambientes corporativos, que
nada mais é do que a interação de terceiros dentro da empresa, para que os parceiros de
negócios consigam atuar de forma mais rápida e eficiente, maximizando o tempo entre a
necessidade e o fechamento do negócio entre empresas, tornando-se, muitas vezes, peça
fundamental e seletiva entre empresas. Como exemplo, citamos as montadoras de
automóveis do Brasil.
Ao ser solicitado um carro, todas as peças são solicitadas on-line aos parceiros comerciais,
que as entregam dentro do prazo esquematizado, pois seguem um padrão de fabricação
dependendo da demanda, e faz com que na data prometida o carro solicitado seja entregue
ao cliente. Isto tudo oferece muitas vantagens às empresas, principalmente porque não é
mais necessário trabalhar com grandes estoques. A tecnologia oferece ainda a possibilidade
de dispor de acessos remotos a clientes externos e internos, usuários móveis e comunicação
entre filiais.
Do ponto de vista da segurança, temos algumas preocupações:
Diversidade de tecnologia: apesar da maioria das organizações utilizarem o TCP/IP,

cada uma possui suas peculiaridades: cultura, políticas internas, perfil de usuário, que
precisam ser estudadas com cuidado, pois extrapolam o lado técnico e operacional.
12
Preservação das informações: é vital para as organizações que possuem este tipo de
transação, a confiabilidade na proteção das informações, especialmente em casos
onde existe grande interação entre empresas, para que uma não consiga obter dados
não permitidos, nem da própria empresa nem das empresas parceiras.
Acesso de informação: quanto mais níveis de acesso têm as informações disponíveis,

maior é o custo e a complexidade do gerenciamento.
Agora iremos refletir como poderemos minimizar estes impactos negativos dentro da
organização, através de técnicas, metodologias e tecnologias de segurança.
Ambiente corporativo – Diversidade de conexões
2.2. Por que se proteger?
A proteção de uma organização em TI não é apenas contra hackers, vírus e funcionários

maliciosos, mas como uma garantia de que os negócios da empresa estarão disponíveis de
forma fácil e flexível, favorecendo e concretizando as diversas tendências da globalização,
como B2B (Business to Business), B2C (Business to Consumer) entre outros. Como
exemplo, citamos o caso da Ford no Brasil que no ano de 2000, através do B2C, conseguiu
13
realizar transações no valor de 3.311,00 milhões de dólares e do Banco do Brasil, que
obteve o valor de transações on-line na ordem de 4.077,40 bilhões de dólares. Com valores
tão expressivos, podemos mensurar o quanto é importante à instabilidade dos sistemas
informatizados para estas e muitas empresas mundiais. Esta é uma das preocupações que
temos que ter quando falamos em segurança.
Outros dados que precisamos saber é que de

acordo com pesquisas realizadas nos Estados
Unidos (Computer Security Institute e FBI),
temos um aumento substancial em incidentes
de segurança, sendo que 70% envolvem a
Internet, 31% sistemas internos e 18% acessos
remotos. De acordo com Information Security,
os números de servidores que sofreram ataques entre 2000 e 2001 dobraram e estão
distribuídos da seguinte forma: 48% sofreram ataques, 39% ficaram indisponíveis e 32%
ataque tipo overflow, podendo ter resultado em perda de confidencialidade. Apesar destes
dados estatísticos, os ataques que mais atingem as organizações são os vírus, worms e
Cavalo de Tróia, que chegou a um percentual de 89%. Estes dados estatísticos vêm reforçar
a idéia da necessidade da segurança, pois em qualquer tipo de incidente, existem grandes
probabilidades dos clientes não conseguirem realizar negócios devido à falta ou lentidão da
instabilidade dos sistemas informatizados. Isto para a organização é perda de dinheiro e
credibilidade, fator muito importante e buscado com afinco em empresas que oferecem este
tipo de serviço.
3. AS AMEAÇAS ORGANIZACIONAIS
São divididas em cinco:
Ameaças físicas.
Ameaças lógicas.
14
Ameaça ocupacional.
Ameaça à confidencialidade.
Ameaça ambiental.
3.1. Ameaças Físicas
São aquelas que os recursos materiais utilizados no ambiente de informação estão expostos,
colocando em risco a integridade operacional da organização. Infelizmente, em muitas
empresas, se gasta muito em segurança das informações e terminam se esquecendo de
proteger o patrimônio. Exemplos:
Catástrofes (momento de intensa e descontrolada distribuição): desabamento,

explosões, incêndios, inundações, paralisações, sabotagem, espionagem, roubo;
furtos, terrorismo, acidente, furacão, entre outros.
Supressão de serviços: infra-estrutura operacional da tecnologia vigente falha ou

deixa de existir causando interrupção ou descontinuidade às organizações.
Falha de energia.
Falha de equipamentos: defeito de fabricação, má revisão, uso inadequado, tempo de

vida útil do equipamento.
Temperatura do equipamento.
Queda de comunicação: por acidente natural ou erro operacional.
3.2. Ameaças lógicas
Ocorrem quando acontece uma modificação da capacidade funcional devido a dolo, acidente
ou erro de recursos:
15
Hacker ou usuários que conseguem acesso e usam de forma ilegais sistemas
corporativos.
Alteração e distribuição de dados de forma ilegal e destrutiva, através do uso

intencional de programas maliciosos. De ponto de vista da segurança, este ato é tão
criminoso quanto à destruição de bens tangíveis.
Vírus: São programas que se ocultam dentro de outros.
Vermes: Agem de forma independente, gerando cópias dele mesmo em outros

sistemas. De modo geral, sua atuação consiste em distribuir programas e interromper
o funcionamento da rede e sistemas computacionais.
Roubo de equipamentos portáteis, devido a informações restritas a organização.
Pirataria de software.
3.3. Ameaças ocupacionais
Ocorrem quando há uma desestabilização de recursos humanos, modificando a capacidade

funcional da organização:
Espaço físico.
Layout.
Temperatura.
Iluminação.
3.4. Ameaça à confidencialidade
Ocorre quando intencional ou acidentalmente alguém consegue acesso a um recurso que

não tem autorização de possuir. A privacidade é atingida por coletas ou mal uso de dados,
16
como o recebimento de e-mails, propaganda indesejáveis, como convite ao uso de cartão de
crédito em compras, tornando-se um grande problema quando acontece em excesso.
3.5. Ameaça ambiental
Acontece quando se aplicam os quatro itens anteriores à infra-estrutura do ambiente, ou

seja, a rede de computadores:
Destruição de informação ou de outros recursos.
Modificação ou deturpação da informação.
Roubo, remoção ou perda da informação ou de outros recursos.
Revelação de informações.
Interrupção de Serviços.
As ameaças podem ser acidentais, ou intencionais, podendo ser ambas ativas ou passivas:
Ameaças acidentais: não estão associadas à intenção premeditada, como os bugs de

software e hardware.
Ameaças intencionais: estão associadas à intenção premeditada, como a observação

de dados com ferramentas simples de monitoramento de redes e alteração de dados,
baseados no conhecimento do sistema.
Ameaças Passivas: quando realizadas não resultam em qualquer modificação nas

informações contidas em um sistema.
Ameaças Ativas: envolvem alterações de informações contidas no sistema, ou

modificações em seu estado ou operação.
17
U NIDADE 2
OS ATACANTES
Objetivo: Conhecer o mundo e o nome dos principais atacantes.
4. CONHECENDO OS ATACANTES
O Objetivo desta unidade é fazer com que você tenha conhecimento

dos tipos de atacantes, seu perfil, como atacam e exemplos de
incidentes ocorridos. Antes de conhecer como defender as
organizações é preciso conhecer um pouco dos tipos de atacantes e
ataques que as organizações estão sujeitas.
4.1. De quem preciso me proteger?
Hacker significa pessoas que utilizam seus conhecimentos para invadir sistemas de
computadores, com intuito de desafiar suas habilidades. Esta definição possui denotação
diferente daquela que muitas vezes empregamos: hacker é aquele que invade sistemas
computacionais visando causar transtornos às vitimas. Podemos dizer que a maioria dos
hackers são pessoas que colocam o conhecimento em informática como algo de destaque
em suas vidas, uma forma de poder. Em geral, são excelentes programadores de linguagens
de alto nível, como C, juntamente com assembler (que apesar de ser de baixo nível
apresenta compatibilidade e versatilidade) e, conhecem muito bem redes de computadores.
Antigamente, somente existiam hacker e cracker – aqueles que causavam danos a sistemas
e roubavam informações – e, como curiosidade, os hackers não gostavam, pois acabavam
sendo incorporados a eles esta característica. Atualmente, esta classificação foi alterada e
18
de acordo com estudos realizados, temos diversas outras classificações para os diversos
tipos e níveis de hacker. Os mais conhecidos:
Hackers. Phreakers.
Full Fledged ou Crackers. Insiders.
Script kiddies ou Newbies. Coders.
Lammers. White hat.
Wannabe. Gray hat.
Cyberpunks. Cyberterrorista.
Carders.
4.1.1. Hackers: no mundo da Ciência da Computação ou Ciência da Informação, os hackers

são analistas de sistemas que são especialistas em segurança e auditoria.
Com técnicas estudadas e algumas próprias, eles procuram brechas e possíveis falhas no
sistema, e relatam o que foi achado e se existe uma forma para consertar. Infelizmente este
conceito de hacker mudou depois de Kevin Mitinick, que utilizava estas técnicas para roubar
informações vitais principalmente do governo americano. Depois que Mitnick foi preso, a
mídia mundial o chamou de hacker, e o termo ficou assim conhecido por todos como sendo a
pessoa que invade e rouba informações de sistemas.
Com a nova economia gerada pelos computadores e pela Internet, é comum que as
empresas guardem suas informações em formato digital, e também é comum a contratação
de hackers por outras empresas, para espionagem industrial. Um hacker não age somente
na Internet. Para descobrir informações que possam levá-lo a conseguir completo controle
sobre o sistema, faz um verdadeiro trabalho de detetive.
19
Um livro que ilustra muito bem esta situação é “A Arte de Enganar”, do Kevin Mitnick. Hoje,
ele é proibido de acessar qualquer computador e presta consultoria de segurança para
diversas organizações mundiais, conforme a liberação do governo americano. No livro, ele
narra vários episódios de acesso a informações sigilosas. Ele não diz que foi ele quem
obteve o acesso, mas muita gente acredita que sim. Pelo sim ou pelo não, é válido ler para
verificar como podemos ser enganados facilmente.
4.1.2. Full Fledged ou Crackers: utiliza suas habilidades para invadir sistemas e roubar
informações secretas das empresas, sendo os verdadeiros terroristas da Internet, com intuito
de roubar e destruir dados. Não medem conseqüências, contanto que consigam o que
querem. Não são de confiança e costumam ser desprezados pelos próprios hackers.
É comum vender as informações para a própria vítima, ameaçando a divulgação do roubo,

no caso da empresa não negociar. Este ato é chamado de blackmail. Citamos o exemplo da
CD Universe que teve um cracker em seus sistemas. Ele capturou os dados de cartão de
crédito dos clientes e exigiu 100 mil dólares para não divulgar. A CD Universe não atendeu a
solicitação e houve a divulgação dos mesmos.
4.1.3. Script kiddies ou Newbies: ou “novatos” são os principiantes e apesar de muitos

descartarem este tipo, trazem diversos problemas para as empresa.
Em geral, são pessoas inexperientes, que possuem conhecimento médio sobre como
navegar na Internet, e utilizam pequenos programas para tentar invadir computadores
(normalmente de usuários domésticos) disponíveis na Internet. Eles não entendem o que
estão fazendo, nem o que significa o programa. São freqüentadores de salas de chat, onde
procuram trocar informações com pessoas mais experientes. São perigosos para as
organizações que não possuem uma política de segurança adequada, por isso apresentam
algumas vulnerabilidades, como atualização de patch em servidor, sistemas operacionais e
banco de dados. Porém, foi devido a este tipo de hacker que as organizações começaram a
20
perceber o valor da segurança e realizarem procedimentos que minimizem os efeitos deste
tipo de ataque, pois uma imensa maioria na Internet e também é o que mais causa incidente.
Um fator interessante é que pelos conhecimentos dos scripts kiddies serem limitados, muitas
vezes servidores Windows sofre ataques com comandos Unix.
4.1.4. Lammers: são script kiddies que estão começando a entender como o programa de
invasão funciona, e descobrem locais onde podem trocar informações e aprender alguma
técnica de hackerismo.
Gostam de falar em salas de chat que conseguem invadir sistemas, querendo se apresentar
a Internet. Às vezes, em chat fazem "flood" (ou inundação de informações). Felizmente, para
cada grupo de Lammers que aparecem hoje na Internet, somente uns poucos conseguem
chegar a se tornar hackers propriamente ditos.
4.1.5. Wannabe: são lammers que conseguiram invadir computadores com o uso de um
programa ou parar os sistemas de um provedor pequeno ou empresa utilizando alguma
técnica. O nome "Wannabe" surgiu devido ao número crescente de lammers, que "querem
ser" hackers, e possuem algum conhecimento para isto.
São aprendizes e se bem orientados, podem se tornar bons hackers. É comum escutar
notícias de sites na Internet pichados pelos wannabe.
4.1.6. Cyberpunks: são hackers que se dedicam à invasão por divertimento e desafio.
Possuem profundos conhecimentos e preservam sua privacidade, utilizando criptografia em
suas comunicações.
21
Eles acreditam que o governo tenta captar as informações das pessoas na Internet,
tornando-se um grande inimigo. São os mais extremistas que acreditam e divulgam as
teorias de conspiração que, muitas vezes, encontramos na Web.
Por terem um bom conhecimento e serem muito desconfiados, conseguem descobrir

diversas vulnerabilidades em sistemas, serviços e protocolos, ajudando à comunidade e aos
distribuidores a corrigir estes problemas. Infelizmente, as grandes empresas distribuidoras
contam com esta ajuda externa e não adotam a política do desenvolvimento com segurança,
caso contrário, não teríamos tantas correções em nossos sistemas computacionais.
4.1.7. Carders: são especialistas em roubar números de cartões de crédito e utilizar estes
números para comprar via Internet. Como os crackers, os carders são hackers que, ou
conseguiram invadir um sistema de uma operadora de cartões de crédito, ou trabalhavam no
setor de Informática de uma operadora. Este tipo de hacker costuma causar grandes
prejuízos as operadoras e empresas, obrigando estas a revisar a segurança constantemente.
4.1.8. Phreakers: são especialistas em telefonia e informática, com conhecimento suficiente

para invadir um sistema utilizando o sistema de telefonia de um país, diferente daquele que
está localizado.
4.1.9. Insiders: são os responsáveis pela maioria dos incidentes graves nas organizações.
Este tipo de ataque é originário da própria organização, podendo ser realizado a partir da
engenharia social ou até mesmo relação de funcionário com o chefe, através da espionagem
industrial e suborno.
Uma nova modalidade do crime organizado é a espionagem industrial, atribuída aos insiders.
E a demanda para estes hackers é grande, pois vivemos numa sociedade baseada no
22
conhecimento e informação. Muitas pessoas nas organizações não sabem do valor que
possuem em suas mãos.
Os ataques internos, apesar de ser em menor quantidade, apresentam maiores prejuízos às

organizações. É o que diz uma pesquisa realizada pela Computer Crime and Security Survey
– Computer Security Institute. A pesquisa mostra que os hackers são os maiores atacantes a
empresas (81%) contra os funcionários internos (76%). Porém, o ataque realizado por
funcionários internos resulta em maiores perdas financeiras, sendo o roubo de propriedade
intelectual da organização.
O valor do prejuízo por roubo destas informações correspondeu a 151 milhões de dólares e o
segundo colocado – a fraude financeira – a 93 milhões de dólares. Os funcionários são as
maiores ameaças para a empresa por possuírem fácil acesso a informações, por conhecer
pessoas de outros setores, ou seja, a fonte de informações importantes e ter acesso a
diversas informações da empresa.
Insiders geralmente são funcionários insatisfeitos com a empresa ou chefe, pois são mais
fáceis de ser manipulados por concorrentes, que sabem como persuadir as pessoas que se
encontram neste tipo de situação.
Os terceiros podem constituir um grave risco, por conhecerem a rotina da organização,

informações sigilosas, hábitos e pontos fracos da empresa. É possível que aceitem suborno
para transmissão destas informações, a fim de obter segredos industriais.
Outro controle importante é das pessoas da limpeza e manutenção predial, pois possuem
acessos a diversas áreas restritas. A engenharia social pode ser utilizada nestas pessoas
para a obtenção de diversas informações importantes.
4.1.10. Coders: são os hackers que compartilham seus conhecimentos escrevendo livros,
ministrando palestras e seminários sobre sua experiência. É uma atividade lucrativa para os
coders. Kevin Mitnick, mais uma vez, é um exemplo.
23
4.1.11. White hat: “hackers do bem”, “hackers éticos”, samurais ou sneakers, são os que
utilizam seus conhecimentos para descobrir vulnerabilidades nos sites, aplicando as
correções necessárias. Trabalham de forma legal dentro da organização, exercendo a
função de assegurar a segurança organizacional.
Em suas atividades estão os testes de invasões, para que se possa mensurar o nível de
segurança da rede, porém deve-se limitar este processo, para que dados sigilosos a
empresa não sejam expostos.
O serviço de um white hat é importante, mas deve-se tomar cuidado para que o mesmo não
queira cobrar a mais do que o combinado a fim de aplicar a correção à vulnerabilidade.
Infelizmente, é preciso constantemente realizar esta atividade, pois a cada nova implantação
podemos estar disponibilizando novas brechas de segurança.
4.1.12. Gray hat: são os black hats que fazem papel de white hats, exercendo função na
área de segurança, tendo conhecimento em hacking.
Empregar um gray hat é perigoso para a organização, pois muitas vezes provocam
incidentes para ajudar na resolução – e receber por isto. Existem casos de gray hats que
foram contratados para encontrar e corrigir vulnerabilidades, porém o serviço não foi feito.
4.1.13. Cyberterrorista: são aqueles que realizam ataques a um alvo direcionado, escolhido
cuidadosamente por questões religiosas, políticas ou comerciais, derrubando a comunicação
entre a Internet e a empresa, principalmente com ataques DoS (Denial of Service). Podemos
citar o ataque no site da SCO e Microsoft no ano de 2003, que devido a ataque coordenado
ficou indisponível e obteve na mídia grande destaque.
24
U NIDADE 3
SEGURANÇA CONTINUADA
Objetivo: Conhecer os tipos de Segurança Continuada.
4.2. Segurança Continuada
O mundo da segurança, seja pensando em violência urbana ou em hackers, é peculiar. Ele é

marcado pela evolução contínua, no qual novos ataques têm como resposta novas formas
de proteção, que levam ao desenvolvimento de novas técnicas de ataques, de maneira que
um ciclo é formado. Não é por acaso que é no elo mais fraco da corrente que os ataques
acontecem. De tempos em tempos os noticiários são compostos por alguns crimes “da
moda”, que vêm e vão. Como resposta, o policiamento é incrementado, o que resulta na
inibição daquele tipo de delito. Os criminosos passam então a praticar um novo tipo de crime,
que acaba virando notícia. E o ciclo assim continua. Já foi comprovada uma forte ligação
entre seqüestradores e ladrões de banco, por exemplo, na qual existe uma constante
migração entre as modalidades de crimes, onde o policiamento é geralmente mais falho.
Esse mesmo comportamento pode ser observado no mundo da informação, de modo que
também se deve ter em mente que a segurança deve ser contínua e evolutiva. Isso ocorre
porque o arsenal de defesa usado pela organização pode funcionar contra determinados
tipos de ataques; porém, pode ser falho contra novas técnicas desenvolvidas para driblar
esse arsenal de defesa.
25
Veja alguns fatores que devem ser considerados para a preocupação com a segurança
contínua:
a. Entender a natureza dos ataques é fundamental: é preciso entender que muitos

ataques são resultados da exploração de vulnerabilidades, as quais passam a existir devido
a uma falha no projeto ou na implementação de um protocolo, aplicação, serviço ou sistema,
ou ainda devido a erros de configuração e administração de recursos computacionais. Isso
significa que uma falha pode ser corrigida, porém novos bugs sempre existirão;
b. Novas tecnologias trazem consigo novas vulnerabilidades: é preciso ter em mente

que novas vulnerabilidades surgem diariamente. Como novas tecnologias e novos sistemas
são sempre criados, é razoável considerar que novas vulnerabilidades sempre existirão e,
portanto, novos ataques também serão sempre criados. As redes sem fio (wireless), por
exemplo, trazem grandes benefícios para as organizações e os usuários, porém trazem
também novas vulnerabilidades que podem colocar em risco os negócios da organização;
c. Novas formas de ataques são criadas: a própria história mostra uma evolução constante
das técnicas usadas para ataques, que estão cada vez mais sofisticadas. A mistura de
diferentes técnicas, o uso de tecnologia para cobrir vestígios a cooperação entre atacantes e
a criatividade são fatores que tornam a defesa mais difícil do que o habitual;
d. Aumento da conectividade resulta em novas possibilidades de ataques: a facilidade

de acesso traz como conseqüência o aumento de novos curiosos e também da possibilidade
de disfarce que podem ser usados nos ataques. Além disso, novas tecnologias,
principalmente os novos protocolos de comunicação móvel, alteram o paradigma de
segurança. Um cenário onde os usuários de telefones celulares são alvos de ataques e
usados como porta de entrada para ataques a uma rede corporativa, por exemplo, é
completamente plausível;
26
e. Existência tanto de ataques direcionados quanto de ataques oportunísticos: apesar
de a maioria dos ataques registrados ser oportunística, os ataques direcionados também
existem em grande número. Esses ataques direcionados podem ser considerados mais
perigosos, pois, existindo a intenção de atacar, a estratégia pode ser cuidadosamente
pensada e estudada, e executada de modo a explorar o elo mais fraco da organização.
Esses são, geralmente, os ataques que resultam em maiores prejuízos, pois não são feitos
de maneira aleatória, como ocorre com os ataques oportunísticos. Isso pode ser observado
também pelo nível de agressividade dos ataques. Quanto mais agressivo é o ataque, maior é
o nível de esforço dispensado em um ataque a um alvo específico. É interessante notar
também que a agressividade de um ataque está relacionada com a severidade, ou seja,
maiores perdas;
f. A defesa é mais complexa do que o ataque: para o hacker, basta que ele consiga
explorar apenas um ponto de falha da organização. Caso uma determinada técnica não
funcione, ele pode tentar explorar outras, até que seus objetivos sejam atingidos. Já para as
organizações, a defesa é muito mais complexa, pois exige que todos os pontos sejam
defendidos. O esquecimento de um único ponto faz com que os esforços dispensados na
segurança dos outros pontos sejam em vão. Isso acaba se relacionando com uma das
principais falácias do mundo corporativo: a falsa sensação de segurança. É interessante
notar que, quando o profissional não conhece os riscos, ele tende a achar que tudo está
seguro com o ambiente. Com isso, a organização passa, na realidade, a correr riscos ainda
maiores, que é o resultado da negligência. Isso acontece com os firewalls ou com os
antivírus, por exemplo, que não podem proteger a organização contra determinados tipos de
ataques.
27
g. Aumento dos crimes digitais: o que não pode ser subestimado são os indícios de que
os crimes digitais estão se tornando cada vez mais organizados. As comunidades criminosas
contam, atualmente, com o respaldo da própria Internet, que permite que limites geográficos
sejam transpostos, oferecendo possibilidades de novos tipos de ataques. Além disso, a
legislação para crimes digitais ainda está na fase da infância em muitos países, o que acaba
dificultando uma ação mais severa para a inibição dos crimes.
FÓRUM I
As Ameaças Organizacionais
28
O que é assinatura digital.
http://www.jf.jus.br/cjf/tecnologia-da-informacao/identidade-digital/o-que-e-assinatura-digital
29
U NIDADE 4
TIPOS DE ATAQUES E CLASSIFICAÇÃO
Objetivo: Conhecer alguns tipos de ataques mais comuns e suas consequências.
5. CONHECENDO OS TIPOS DE ATAQUE
Como os hackers agem para conseguirem invadir

sistemas em ambientes cooperativos?
Existe algum tipo de planejamento antes de um

ataque?
Se sim, quais os pontos que são monitorados?
Qual é o pior tipo de ataque e o que mais compromete

a disponibilidade da organização?
Estas e outras perguntas serão respondidas neste

capítulo.
5.1. Como os hackers agem para conseguirem invadir sistemas em ambientes

cooperativos?
Há duas formas de um hacker conseguir informações de uma empresa: através da

engenharia social e utilização de invasões técnicas. Ambas exploram as deficiências no
projeto do sistema ou de seu gerenciamento. Inclusive, o gerenciamento de sistemas vem
30
sendo algo muito pesquisado e está aumentando oportunidades de se trabalhar nas
organizações nesta atividade.
O maior problema para as organizações é que os softwares adquiridos não estão sendo
desenvolvidos para atender o quesito segurança, mas por estratégia de marketing, que diz
que o produto realiza determinada tarefa e irá estar disponível no mercado em determinada
data, minimizando o tempo de desenvolvimento e teste. Construir sistemas seguros exige
maior disponibilidade de tempo e uma metodologia que propicie este comportamento.
Diversos testes devem ser realizados, mas a maior parte das organizações sequer testa
suas aplicações devidamente, sistemas operacionais e ferramentas para gerenciamento. É
fácil afirmar pela quantidade de atualizações que são necessárias no decorrer da vida útil
dos softwares que utilizamos.
Os hackers tentam explorar algumas condições:
As vulnerabilidades na implementação e no designer do sistema operacional, serviços

aplicativos e protocolos.
Utilização de senhas de fácil dedução que podem ser obtidas através de capturas
(packet sniffing).
Uso impróprio de ferramentas para gerenciamento, como sniffing – que serve para
diagnosticar problemas na rede – e por scanning – identifica portas ativas do sistema,
e serviços por porta.
Configuração, administração ou manutenção imprópria de sistemas coordenados por

componentes de segurança, o que salienta a necessidade de se realizar as
configurações dos componentes de forma apropriada. Ter um Firewall na rede não
significa que a rede está protegida, e se aplica aos Sistemas de Detecção de Intrusão
(IDS) mal configurados.
31
A maior parte dos hackers na Internet são os newbies ou script kiddies e seus ataques são
os mais simples (atacam vulnerabilidades do sistema operacional ou parecido, através de
programas disponíveis da Web). Ao menos, este tipo de ataque deve não comprometer a
continuidade dos negócios da empresa.
As ferramentas de defesa, monitoração de rede, planos de contingência e política de

respostas a incidentes vem a combater os hackers constantemente, porém é complicado
disponibilizar defesas a novos tipos de ataques, por isso é importante que existam políticas e
administradores de redes voltados à segurança.
5.2. Existe algum tipo de planejamento antes de um ataque?
Os motivos que levam um hacker a invadir um site são diversos. Os script kiddies nem
sabem o que estão fazendo, mas querem realizar ataques. Os insiders ou black hats têm um
perfil diferente, realmente querem roubar informações sigilosas e invadir sistemas causando
prejuízos às vitimas, causando os maiores transtornos aos sites. Os cyberterroristas também
são perigosos para seus alvos, pois podem comprometer a infra-estrutura até mesmo de
uma nação. Se um hacker com a experiência deles decidem invadir algum sistema obtendo
primeiramente a maior quantidade de informações de seu alvo.
Após conseguir o levantamento dos dados, eles utilizam os seguintes recursos:
Monitoração de rede.
Penetração no ambiente corporativo.
Inserção de códigos prejudiciais e/ou informações falsas no sistema.
Envio de muitos pacotes com a finalidade de derrubar o sistema.
32
As conseqüências são diversas, pois depende da segurança implementada na rede atacada.
Exemplos:
Monitoração por parte dos hackers na rede corporativa.
Roubo de informações confidenciais a empresa.
Alteração em sistemas corporativos, especialmente em base de dados e servidores.
Negação de serviços a usuários com permissão de acesso.
Fraudes e perdas financeiras.
Perda da credibilidade perante o mercado.
Trabalho extra e indisponibilidade para clientes devido à recuperação dos recursos.
Salienta-se o fato de que os hackers tentam esconder suas evidências de ataque, alterando
logs do sistema operacional, trocando arquivos de configuração, entre outros procedimentos.
Entretanto, existem formas de não permitir estes processos, através dos Sistemas de
Detecção de Intrusão.
Etapas básicas para a metodologia de ataque Extraído do site www.microsoft.com
33
5.3. Tipos de Ataques
O sucesso do ataque de um hacker está em obter informações de

um sistema sem ser percebido. Relacionaremos os principais tipos
de ataques e as técnicas utilizadas para obtenção de informações
confidenciais, dividindo-os nos seguintes tipos:
Ataques para obtenção de informações.
Ataques físicos.
Ataques de negação de serviços ou Denial Of Service (DoS).
Ataques ativos contra o protocolo TCP.
Ataque no nível de aplicação.
War Dialing.
5.3.1. Ataques para obtenção de informações:
a) Dumpster diving ou trashing: várias empresas desconhecem o valor do lixo de sua

empresa, ao contrário de um hacker que examina os lixos em busca de informações
importantes para o ataque, e conseguem na maioria das vezes. No livro “A Arte de
Enganar”, Kevin Mitnick mostra muitas situações semelhantes.
No Brasil, esta técnica é muito utilizada pelos hackers, pois nossa cultura é menosprezar
o valor do lixo. Para amenizar este risco, é importante distribuir fragmentadoras de
papéis, pra evitar que o cruzamento das informações, que constam em papéis
descartados no lixo, sejam cruzadas e transformadas em acesso a informações de
clientes ou usuários. Esta prática deve ser incorporada à política da empresa.
34
b) Engenharia social: é a técnica que explora as fraquezas humanas e sociais, ao invés da
tecnologia, com objetivo de persuadir as pessoas, enganando e empregando falsas
identidades, a fim de obter informações como senhas, ou dados que sejam importantes
para invadir o sistema.
Muitas vezes, é utilizado termos da própria organização para obter êxito neste processo.
De forma clássica, o hacker se passa por alguém da alta hierarquia da empresa e
consegue as informações que precisam, ou usa novos funcionários contratados para
conseguirem dados que de outra forma não conseguiriam.
Exemplos:
1: Um desconhecido liga para a sua casa e diz ser do suporte técnico do seu provedor, e que
sua conexão com a Internet está apresentando algum problema e, então, pede sua senha
para corrigi-lo. Caso você entregue sua senha, este suposto técnico poderá realizar uma
infinidade de atividades maliciosas, utilizando a sua conta de acesso a Internet e, portanto,
relacionando tais atividades ao seu nome.
2: Você recebe uma mensagem via e-mail, dizendo que seu computador está infectado por
um vírus. A mensagem sugere que você instale uma ferramenta disponível em um site da
Internet, para eliminar o vírus de seu computador. A real função desta ferramenta não é
eliminar um vírus, mas permitir que alguém tenha acesso ao seu computador e a todos os
dados nele armazenados.
3: Você recebe uma mensagem via e-mail, onde o remetente é o gerente ou o departamento de
suporte do seu banco. Na mensagem é mencionado que o serviço de Internet Banking está
apresentando algum problema e que tal problema pode ser corrigido se você executar o
aplicativo que está anexado a mensagem. A execução deste aplicativo apresenta uma tela
análoga àquela que você utiliza para ter acesso à conta bancária, aguardando que você digite
sua senha. Na verdade, este aplicativo está preparado para furtar sua senha de acesso
à conta bancária e enviá-la para o atacante.
35
Os discursos apresentados nos exemplos mostram ataques típicos de engenharia social que
procuram induzir o usuário a realizar alguma tarefa e o sucesso do ataque depende única e
exclusivamente da decisão do usuário em fornecer informações sensíveis ou executar
programas. Citamos o exemplo ocorrido à AOL em outubro de 1998, que através da
engenharia social, um hacker conseguiu alterar o DNS e direcionar todo o tráfego para um
outro servidor, que não era do provedor.
5.3.2. Ataques físicos
É caracterizado por roubo de equipamentos, softwares ou fitas magnéticas e é dos métodos

de ataques mais comuns. Citamos o exemplo do famoso Kevin Poulser, que roubou diversos
equipamentos do provedor de acesso de diversas organizações, quebrando o sigilo e
confidencialidade de diversas empresas.
Informações livres e disponíveis na Internet: distribuídas livremente na Internet e

consideradas não intrusivas são valiosas para ataques direcionados.
Citamos o exemplo das consultas ao DNS, análise de cabeçalhos de e-mail e busca de

informações em lista de discussões. Baseado nestes tipos de dados é possível descobrir
detalhes sobre sistemas, topologia e dados de usuários que podem servir num ataque,
mesmo de forma inconsciente para quem o fornece. Citamos também as listas de discussões
que muitas vezes constam informações da pessoa, como cargo e setor, e dos superiores em
caso de mensagens mal formadas de ausência. Outros exemplos são os protocolos Simple
Network Management Protocol (SNMP) e o Netbious, e serviços como finger, ruses, systat,
netstat, todos os casos disponibilizam informações do tipo de sistema operacional e sua
versão.
Packet Scanning ou eavesdropping: consiste na captura de pacotes que trafegam pela rede.
Diversos softwares realizam esta tarefa, como snoop do Solaris, tcpdump do Linux, utilizados
para resolução de problemas de rede.
36
As informações obtidas pelos sniffers são referentes a pacotes que trafegam pelo segmento
que o software esta funcionando. Disponibilizam diversas ferramentas de filtros, que auxiliam
na detecção de problemas e identificação de transações. Fazer sniffer na rede é muito
importante para os administradores, porém em mãos de hackers é um grave problema para
a organização. Para minimizar este problema, é recomendável segmentar a rede, através de
switch ou roteadores, pois este procedimento dificulta o entendimento do tráfego.
Outros tipos de informação capturada através de sniffers são as senhas sem criptografia, ou
seja, que trafegam com FTP, Telnet ou Pop. Os e-mails também perdem sua
confidencialidade através dos sniffers. Como medida de segurança, é recomendável o uso
de criptografia, como SSH ou IPSec, ao invés do Telnet. É importante também, o uso de
criptografia nos e-mails.
Há técnicas diversas para descobrir se um sniffer está sendo executado. Um deles e mais
simples é verificar se existe, em cada equipamento da rede, seu processo em execução,
porém é comum que os hackers o inibam da lista, dificultando a percepção dos
administradores. O mesmo ocorre com a verificação de equipamentos em execução de
modo promíscuo.
Uma forma de amenizar o problema de execução de sniffer por hackers é a utilização de

tráfego com senha. A identificação do hacker é feita quando o mesmo tentar acessar
recursos com uma senha não válida, porém ele consegue efetuar algumas transações de
forma legítima, inclusive com os dados do usuário que ele roubou.
. O Mac Detecction é uma forma de o hacker aproveitar a vulnerabilidade do endereço IP em

equipamentos que não estão implementados o TCP/IP corretamente, utilizando um MAC
Address falso, onde o IP não confere com o MAC Address de equipamentos em modo
promíscuo.
. O DNS Detecction utiliza a característica de alguns sniffers de realizar o DNS Reverso onde
um tráfego com endereço falso é colocado na rede e, o sniffer captura o tráfego e tenta
resolver o nome através do DNS. O DNS consegue saber quantos sniffers estão na rede,
porém não consegue localizar os segmentos.
37
. O Load Detecction é a detecção a partir do comportamento de um equipamento quanto a
tempo de resposta, levando em consideração que o equipamento onde está sendo
executado sniffer possui um tempo de resposta maior do que o normal. Em geral, é enviado
um pacote teste para realizar a análise estatística. Entretanto, esta técnica não funciona com
eficiência em redes de muito tráfego e banda considerável, pois torna-se semelhante o
tempo de resposta com e sem sniffer.
Um caso prático: Como proteger sua senha contra Sniffers: se o usuário possui uma senha
adequada, a troca é realizada com certa regularidade e um dia é surpreendido por uma
invasão em sua conta, por exemplo. As evidências indicam que invasões a contas de
terceiros partiram de sua conta e você não tem a menor idéia do que está acontecendo. Isto
é, alguém pode ter feito uso de sua conta e realizou estes atos como sendo você. Como isso
pode ter acontecido? Uma forte possibilidade é que você tenha sido vítima de um ataque de
sniffer. Mas, o que é isso?
Sniffers são programas que permitem a um atacante roubar sua senha e assim utilizar a sua
conta como se fosse você. Estes tipos de ataques são comuns. É muito importante que você,
como usuário Internet, tenha consciência de como suas senhas são vulneráveis e como
tomar medidas apropriadas para tornar sua conta mais segura. Selecionar uma boa senha e
regularmente trocar de senha ajuda bastante, mas também é muito importante que se
conheça quando se está vulnerável a sniffers e como lidar com eles.
Os sniffers são programas que permitem monitorar a atividade da rede registrando nomes
(username e senhas) sempre que estes acessam outros computadores da rede. Atuam
monitorando o fluxo de comunicação entre os computadores. Estes programas ficam
monitorando o tráfego da rede para capturar acessos a serviços de redes, como serviço de
e-mail remoto (IMAP e POP), acesso remoto (telnet, rlogin, etc), transferência de arquivos
(FTP), etc., com objetivo de obter a identificação de acesso à conta do usuário, caso esteja
nas mãos de um hacker. Cada um destes serviços utiliza um protocolo que define como uma
sessão é estabelecida, como sua conta é identificada e autenticada e como o serviço é
utilizado, e ao ser disponibilizado solicita uma autenticação, usuário e senha, neste momento
38
o hacker obtém sucesso na sua tentativa de saber dados alheios, ou seja, os dados que
mais interessam no snifffer, neste caso, são os do inicio da sessão.
A figura seguinte mostra o processo de "conversação" entre duas máquinas remotas, onde a
identificação do usuário passa "abertamente" pela rede de uma máquina para outra.
Transferência de arquivos via FTP
A máquina A inicia a conexão com a máquina B, que solicita identificação do usuário. Este
ao se autenticar na máquina remota B tem sua senha capturada pelo sniffer. Para entender
como um "sniffer" funciona é preciso saber que cada computador em uma LAN
compartilhada pode visualizar todos os pacotes de dados que transitam de um computador a
outro desta LAN. Assim, cada computador desta rede pode executar um programa sniffer
que verificará os pacotes, podendo os salvar em um arquivo.
39
Basicamente, os seguintes passos são executados por atacantes:
Passo 1: O atacante, ao penetrar em sua rede, quebrando uma determinada máquina.
Passo 2: Instala um programa sniffer.
Passo 3: Este programa monitora a rede em busca de acesso a serviços de rede, as

capturas são realizadas e registradas em um log file.
Passo 4: Em seguida, o arquivo de log é recuperado pelo atacante.
Existem diversas razões que levam pessoas a roubar senhas, desde para simplesmente para
perturbar alguém, desafiar conhecimentos ou praticar atividades ilegais (invasão em outros
40
computadores, roubo de informações, etc). Um atrativo para os hackers é a capacidade de
utilizar a identidade de terceiros nestas atividades.
Uma das principais razões que atacantes tentam quebrar sistemas e instalar sniffers é poder
capturar rapidamente o máximo de contas possível, a fim de ocultar seus ataques. Parece
desesperador dizer tudo o que um sniffer pode fazer para uma rede, em mãos erradas. Mas,
o importante é saber onde estão os riscos e tentar se proteger de forma adequada.
Quando você tem seu cartão de crédito roubado ou desconfia que alguém pode estar utilizando-
o indevidamente, você cancela o cartão e solicita outro. Da mesma forma, como senhas podem
ser roubadas, é fundamental que você a troque regularmente. Esta precaução limita a
quantidade de tempo que uma senha roubada possa ser utilizada por um atacante.
Nunca compartilhe sua senha com outros. Este compartilhamento torna difícil saber onde
sua senha está sendo utilizada (e exposta) e é mais difícil detectar uso não autorizado.
Nunca forneça sua senha para alguém alegando que precisa acessar sua conta para corrigir
algum problema ou quer investigar uma quebra do sistema. Este truque é um dos métodos
mais eficazes de hacking, conhecido como "engenharia social".
Outro aspecto que você deverá levar em consideração é o nível de segurança da rede que
você utiliza ou administra. Se você estiver viajando e necessita acessar computadores de
sua organização remotamente. Por exemplo, pegar algum arquivo em seu home directory e
você tem disponível um cybercafé ou uma rede de outra organização. Você tem certeza que
pode confiar naquela rede? Você tanto pode estar sendo monitorado com sniffers quanto
pode ter algum trojan fornecendo suas informações a algum hacker.
Se você não tiver nenhuma alternativa para acesso remoto seguro e só tem disponíveis
recursos como Telnet, por exemplo, você pode minimizar o efeito negativo trocando a senha
ao final de cada sessão. Lembre-se que somente os primeiros pacotes (200 a 300 bytes) de
cada sessão carregam informações de seu login. Portanto, ao trocar sempre sua senha
antes de encerrar a sessão, esta não será capturada e a senha anterior que esteve exposta
à rede não será mais válida. É claro que é possível se capturar tudo que passar pela rede,
41
mas atacantes não tem interesse de lotar o sistema de arquivo rapidamente e com isso ser
facilmente descobertos.
As redes continuam vulneráveis a sniffers devido a diversos fatores. Podemos dizer que a
maior parte do problema é que as empresas tendem a investir mais em novos recursos do
que em adicionar segurança. Novas funcionalidades de segurança podem deixar os sistemas
mais difíceis de configurar e menos convenientes para utilizar.
Outra parte do problema está relacionada a custos adicionados por switchesEthernet, hubs,
interfaces de rede que não suportam o modo especial promiscuous que sniffers podem
utilizar.
Os sniffers são aplicações passivas, não geram nada que possa ser sentido facilmente pelos
usuários e/ou administradores. Em geral, não deixam rastros. Uma forma de detectar um
sniffer é verificar todos os processos em execução. Isto não é totalmente confiável, mas é
um bom ponto de partida. Comandos para listar processos em execução variam de
plataforma para plataforma. Se você estiver em uma máquina Unix, o sniffer aparecerá em
uma lista do comando ps, a menos que este ps seja um trojan (programa implementado pelo
atacante que aparentemente funciona como o esperado, mas efetuar funções desconhecidas
pelo usuário). No Windows, basta verificar na lista de processos em execução e para isto,
basta teclar <CTRL><ALT><DEL>.
Outra alternativa é procurar por um sniffer conhecido. Existe uma grande chance de o
atacante estar utilizando uma versão freeware. Obviamente, existe a possibilidade de o
atacante ter escrito o seu próprio sniffer e neste caso a busca fica mais difícil. É preciso
gastar mais tempo em analisar o que pode ter sido alterado pelo atacante. Por exemplo,
comparar backup de dias diferentes ou utilizar alguns programas que possam ajudá-lo nesta
atividade, como TripWire, ATP e Hobgoblin que são programas interessantes para checagem
da integridade do sistema e arquivos.
Os sniffers podem ser disfarçados na listagem do ps (o próprio ps como a maioria dos

programas também pode). Basta trocar o argumento do seu argv[0] (o primeiro argumento)
para um nome qualquer e não parecerá ser um programa suspeito que esteja em execução.
42
Alguns utilitários permitem identificar se o seu sistema encontra-se em modo promíscuo e
levá-lo a encontrar uma máquina suspeita.
Muitas organizações que estão atentas a este problema utilizam:
Placas de redes que não podem ser colocadas em modo promíscuo. Assim, os
computadores não podem ser transformados em sniffer.
Normalmente, a interface Ethernet passa somente pacotes até o protocolo de nível

mais alto que são destinados a máquina local. De modo promíscuo esta interface
permite que todos os pacotes sejam aceitos e passados para a camada mais alta da
pilha de protocolos, permitindo que a seleção do que se deseja.
Nos pacotes em trânsito pela rede, os dados são criptografados, evitando assim que
senhas trafeguem às claras.
Considerando o último item, a prática de utilizar criptografia em sessões remotas, ajuda a

manter a segurança das informações e senhas. Porém, para uma segurança mais efetiva
somente quando implementado em todos os computadores que você utiliza em sua empresa
ou casa e nas organizações fora de sua empresa que eventualmente tenha conta.
Uma das tecnologias de criptografia bastante comum atualmente na comunicação segura

entre máquina remota é SSH (Secure Shell). O SSH encontra-se disponível para diferentes
plataformas. O seu uso não impede que a senha seja capturada, mas como esta se encontra
criptografada não servirá para o atacante. O SSH negocia conexões utilizando algoritmo
RSA. Depois que o serviço é autenticado, todo o tráfego subseqüente é criptografado
utilizando tecnologia IDEA. Este tipo de criptografia é bastante forte.
43
U NIDADE 5
CONTINUAÇÃO
PortScanning: é um conjunto de ferramentas utilizadas para obter informações dos serviços

executados por um equipamento, através do mapeamento de portas, pelo qual portas ativas
para um endereço IP são identificadas. Cada porta é designada para uma aplicação
específica (SMTP 25, SSH 22, etc).
Para um hacker, o port scanning favorece a redução de esforço quanto a ataques através de
portas que não estão disponíveis nenhum serviço, podendo atacar de forma mais
direcionada, conforme o serviço disponível e porta.
44
Pesquisar e instalar um port scanner (não blues ou nmap) - Método
O nmap é o port scanning mais utilizado, sendo empregado em auditorias de Firewall ou IDS,
além de determinar falhas na pilha TCP/IP, que podem ser exploradas em ataques do tipo
DoS. Através do método fingerpriting, ele consegue identificar o sistema operacional dos
equipamentos scanneados. Existe ainda, a possibilidade de informar a seqüência de pacotes
TCP, o que esta sendo feito em cada porta, por usuário, o nome DNS e se o endereço pode
se tornar uma vítima do smurf.
45
“Uma característica muito utilizada do nmap é o scanning paralelo que auxilia na detecção de
estado de hosts pelos pings paralelos, filtragem de portas, decoy scanning, fragmentação de
pacotes e flexibilidade na especificação de portas e alvo. Outra informação útil, é que o nmap
informa o status de cada porta aberta, se aberta (aceita conexões), filtrada (o Firewall
impede que seja especificado o estado da porta) e não filtrada. Muitos Firewalls podem
protegê-lo contra o port scanning. O Firewall é um programa que monitora conexões de
entrada e saída para o seu computador. Um Firewall pode abrir todas as portas do seu
sistema de forma a interromper efetivamente o scan (varredura) de mostrar qualquer porta.
Embora essa abordagem funcione em muitos casos, port scan avançou com novas técnicas
como “ICMP port scan inacessível” e “Null scan”. Assim como é melhor tentar filtrar todas
port scans para o seu computador, também é importante estar ciente de que qualquer porta
que está aberta e na escuta precisa ser investigada.”
Scanning de vulnerabilidades: realiza diversos testes na rede, tanto em protocolos,

serviços, aplicativos ou sistemas operacionais.
Se o hacker conseguir realizar o port scanning, conseguirá direcionar melhor seu ataque, na
porta e serviço disponibilizado correto, além de ter identificado o sistema operacional do alvo,
diminuindo o tempo gasto para causar o incidente de segurança.
Através do scanner, que examina roteadores, Firewalls, sistemas operacionais e outras

entidades IP, são detectados alguns riscos existentes na rede:
Compartilhamento de arquivos não protegidos por senha.
Configuração incorreta de roteadores, Firewall, navegadores ou serviços.
Software com atualizações faltantes.
Número de pacote TCP com facilidade de hackers descobrir.
Buffer overflow em serviços, softwares e sistemas operacionais.
46
Falhas de protocolos utilizados na rede.
Roteadores mal configurados que expõe a rede.
Checagem de trojans.
Verificação de senhas fáceis de deduzir.
Possibilidade de ataque de negação de serviço, ou Denial of Service (DoS).
O scanner consegue diagnosticar diversas vulnerabilidades de sistema, e é uma ferramenta

poderosa para a análise de riscos, segurança e auditoria. Ele vem alertar a organização de
suas fragilidades para que medidas de segurança sejam tomadas. Todo scanning resulta
num relatório, que deve ser avaliado pelos administradores de rede ou segurança, para
diagnosticar a existência de “falsos-positivos” (dedução do scanner de ataque quando na
47
verdade não é). Outro fator é a necessidade de se atualizar constantemente com assinaturas
de novos ataques, para que o scanning seja o mais preciso possível.
Vê-se que através do scanning podemos obter dados importantes da rede. Isto é válido para
administradores e para hackers. Por isso, é vital que exista na rede Sistema de Detecção de
Intrusão (IDS) para não permitir que hacker exerça esta atividade.
Firewalking: O firewalking é um analisador de pacotes similar ao traceroute, que

obtém informações de redes remotas protegidas por Firewall, através do protocolo
ICMP.
Obtém informações sobre uma rede remota protegida por um firewall, e tem o funcionamento
similar ao traceroute.
Os pacotes analisados são registrados mesmo que passem via gateways, permitindo o
mapeamento dos roteadores antes dos Firewalls. Através destas informações, é possível
gerar a topologia da rede e obter informações sobre filtragens de pacotes no Firewall.
Uma das formas de se proteger contra o firewalking é proibindo o tráfego de pacotes ICMP
na rede, utilização de proxy ou Network Address Translation – NAT no Firewall (o NAT faz
com que um certo IP externo tenha receba uma tradução dentro da rede interna, outro IP e
vice-versa).
48
IP Spoofing: é uma técnica onde o endereço real do atacante é mascarado, evitando
do mesmo ser encontrado. É bem utilizado em sistemas autenticadores e em ataque
de negação de serviço ou Denial of Service (DoS), nos quais os pacotes de respostas
não são esperados.
O IP Spoofing não consegue entregar a resposta das requisições, pois o IP na realidade não
existe.
Ilustração de ataque IP Spoofing

(http://www.las.ic.unicamp.br/edmar/Palestras/UFV/Seguranca_Vulnerabilidades.pdf)
Um administrador pode proteger a rede corporativa restringindo as interfaces de rede,

através de filtros de acordo com o endereço utilizado na rede externa. Citamos o exemplo de
49
que se a empresa tem endereços 200.246.200.0 disponíveis externamente, o Firewall deve
negar conexão onde a origem é 200.246.200.0.
O Land pode auxiliar na pesquisa da vulnerabilidade TCP/IP, fazendo com que a origem e
destino tenham a mesma porta, caso estejam dentro da rede corporativa, evitando o IP
Spoofing de endereços internos a rede.
Ilustração de ataque IP Spoofing

(http://www.las.ic.unicamp.br/edmar/Palestras/UFV/Seguranca_Vulnerabilidades.pdf)
5.3.3. Ataques de negação de serviços ou DoS
50
SYN flood ou ataque SYN é uma forma de ataque de negação de serviço (também
conhecido como Denial of Service – DoS) em sistemas computadorizados, na qual o
atacante envia uma seqüência de requisições SYN para um sistema-alvo e, ao atingirem um
alvo, deixam o sistema indisponível os usuários legítimos.
Na maioria das vezes, realizam o Syn Flood enviando grande número de conexões que não
são completadas, somente para aumentar o uso dos recursos aos equipamentos alvos. Um
exemplo, é o envio de Smurfs, que causam interrupção nos serviços.
A condição propícia para este tipo de ataque está no mau desenvolvimento de aplicações,
sistemas operacionais e protocolos, que fornecem brechas de segurança que podem ser
exploradas. Citamos como exemplo, os servidores Unix e Linu, que ao receberem um grande
número de conexões sem conseguir responder, seu processo sobe para o total de 1500,
causando uma parada no servidor. Do Windows, podemos citar o caso do mapeamento de
DLL, que ao ser acessado, pode referenciar outra DLL, com o mesmo nome, podendo
exercer atividade diferente.
Syn Flood: é o envio de conexões (Syn) em quantidade capaz de fazer com que o
servidor não consiga responder. A pilha da memória sofre overflow, desprezando as
requisições legítimas dos usuários. Pode ser evitado com a comparação com o
51
número de conexões novas e em aberto, alertando quando o valor padrão for
ultrapassado.
Outra vulnerabilidade é o controle dos pacotes que trafegam pela rede e sua seqüência, que
devem estar no padrão esperado. Para evitar este ataque deve-se aumentar a fila de
conexões e diminuindo o time-out handshake. Esta opção não elimina, mas minimiza o
problema.
FÓRUM II
Políticas De Segurança
52
U NIDADE 6
CONTINUAÇÃO
Fragmentação de pacotes: é preciso entender porque o protocolo IP permite a fragmentação

de pacotes. Se o tamanho do pacote > MTU do meio, então ocorre fragmentação.
É possível sobrescrever cabeçalhos durante a remontagem dos pacotes a fim de driblar as

regras de filtragem do firewall.
Existe a capacidade máxima de cada tipo de meio físico de tráfego de dados, denominada
Maximun Transfer Unit ou MTU. A rede Ethernet limita a transferência a 1500 octetos e a
FDDI a 4770 octetos, por exemplo.
Como existem informações maiores que este tamanho, o endereço IP especifica que é
permitido fragmentar em pacotes as mensagens com tamanho maior que o MTU, afim de
que as mesmas atinjam o destino. Neste caso, o pacote é fragmentado de um tamanho que
possa trafegar pela rede, após negociação entre os hosts, de forma que no host destino seja
remontado.
53
Existem alguns problemas neste processo:
. O primeiro é que o pacote pode alterar a porta de conexão no meio da transmissão,

facilitando o acesso a sistemas que não são permitidos ao usuário.
. O segundo é que se o reagrupamento de pacotes for maior do que o permitido ocorre

o chamado buffer overflow – causando indisponibilidade e travamento no sistema, um
DoS. No fim de 1996, ocorreu o Ping O´Death que nada mais foi do que a exploração
desta vulnerabilidade. Era enviado ping de tamanho grande, que gerava o travamento
de sistemas. O problema é resolvido através de patch, que corrigiram o que fazer
quando acontece overflow no kernel.
. O terceiro é que por ser processado no host, é complicado saber se é um ataque ou

não, para um Firewall ou sistema de detecção de intrusão, por melhor configurado que
seja.
. O quarto é que os filtros de pacotes não podem restringir a fragmentação. Usar NAT
não resolve estes problemas, pois o mesmo encontra-se vulnerável a este ataque.
Teardrop é uma ferramenta que explora a fragmentação de pacotes IP, auxiliando os

administradores para a defesa de ataque por fragmentação de pacotes.
Smurf e fraggle: Smurf é uma técnica que gera tráfego na rede através de broadcast
de ping (ICMPecho) na rede, a partir de um IP falsificado (IP Spoofing). Desta forma, a
rede tenta responder à requisição e não consegue, afetando o seu desempenho. O
fraggle seria a mesma técnica, porém utilizando o UDP echo.
54
Ataque Smurf e fraggle (http://www.las.ic.unicamp.br/edmar/Palestras/UFV/Seguranca_Vulnerabilidades.pdf)
Para resolver este problema, o administrador deve configurar os roteadores a não permitirem
broadcast, não permitindo desta forma o uso de ping na rede.
Outra forma de minimizar problemas com Smurf é o egress filtering. O método consiste em
somente aceitar requisições de ping da rede corporativa, evitando que endereços
55
desconhecidos trafeguem pela rede. A filtragem se torna fundamental, especialmente para
ataques coordenados.
5.3.4. Ataques ativos contra o TCP
Uma conexão TCP é definida por quatro informações básicas:
Endereço de IP do cliente.
Porta de TCP do cliente.
Endereço de IP do servidor.
Porta de TCP do servidor.
Todo byte enviado é identificado por uma seqüência de 32 bits, diferente em cada conexão e
de forma seqüencial, que é reconhecida pelo receptor da mensagem.
Aproveitando a desincronicidade do protocolo TCP, que não garante que a seqüência ser
preservada após estabelecida a conexão, dois hosts começam a trocar informações, então,
um terceiro host (do hacker) coloca a seqüência certa em seus pacotes, interferindo no meio
da comunicação, enviando pacotes válido, ocasionando o ataque chamado man-in-the-
middle. O problema deste ataque é a quantidade de TCP ACK, pois ao receber um ACK
invalido a seqüência é enviada a outro host sucessivamente, até que alguém o negue.
Existem dois métodos que auxiliam na desincronização de conexões: early desyncronization

(interrompe conexão e forma outra internamente com nova seqüência) e null data
desyncronization (envio de grande quantidade de dados para o servidor e clientes, de forma
que os mesmos não percebam).
56
5.3.5. Ataques coordenados ou DDoS
Modalidade de ataque onde existem vários hosts que são coordenados por um hacker para
atacar determinado site ou servidor. É muito eficiente, pois normalmente a vítima não tem
como minimizar a situação, por não saber identificar a origem do ataque.
Ataque DdoS (http://www.las.ic.unicamp.br/edmar/Palestras/UFV/Seguranca_Vulnerabilidades.pdf)
Os primeiros ataques DDoS utilizavam quatro níveis hierárquicos. O hacker coordena

diversos servidores master. Através das vulnerabilidades de sistemas conhecidas nestes
servidores, através de scannings, é instalado daemons – programas que irão atacar as
vítimas. Este tipo de ataque utiliza alta tecnologia, inclusive de criptografia entre servidores
master e daemons. A instalação de daemons é realizada de modo dinâmico e são
implementadas diversas formas de se esconder as evidencias do ataque.
Como exemplo de ferramentas utilizadas para ataques DDoS, podemos citar:
Trinoo: é um ataque DDoS para o protocolo UDP. Ele utiliza um reduzido número de
servidor máster e grande número de daemons, instruídos para atacar certos IP’s. O
trinoo não utiliza IP Spoofing e o tráfego com os servidores masters requerem senhas.
Em 1999, este tipo de ataque tornou indisponível o site da Universidade de Missota.
Porém, este tipo de ataque possui assinatura que pode ser colocada no IDS para sua
57
detecção, além de outros pontos falhos que podem ser diagnosticados, mas existe
aumento de complexidade de gerenciamento.
TFN: é um ataque DDoS para o protocolo TCP e implementa o IP Spoofing, TCP SYN
Flooding e ICMP . O processo é acionado quando o hacker dá especificação aos
masters para iniciar o ataque através dos daemons. Neste tipo de ataque, as origens
e os pacotes podem ser alterados de forma aleatória. Existe assinatura que ajudam
sua detecção na rede para IDS.
5.3.6. Ataque no nível de aplicação
Exploram as brechas de seguranças dos protocolos, servidores e aplicativos, no nível de

aplicação. Tipos mais comuns:
Buffer Overflow.
Ataque através de gateways da rede.
Vulnerabilidades no protocolo FTP e SNMP.
Vírus.
Trojans.
Worms.
Buffer Overflow: é um ataque onde o hacker envia mais dados do que o tamanho do
buffer, preenchendo o espaço da pilha, com intuito de que os dados sejam perdidos
devido a falha na camada de aplicação, sendo possível a execução de comandos que
podem dar permissão, até mesmo de administradores do sistema, reescrevendo o
código na pilha do sistema. É um dos ataques mais utilizados por hackers.
58
Frames no cache da pilha (www.inf.ufrgs.br)
Um exemplo prático que pode acontecer é um hacker enviar uma string na URL com
tamanho superior ao manipulável. Se a aplicação não estiver tratando esta situação, é
possível acontecer pane no sistema, ajudando a acontecer um ataque buffer overflow. Por
este ataque ser característico de cada aplicação sua prevenção é muito complicada – em
geral, está resumida à correção em aplicativos. A maior parte destas correções são geradas
a partir dos incidentes ocorridos, de forma reativa. É o famoso desenvolvimento voltado à
venda e não a segurança, conforme expomos nesta disciplina.
Há uma técnica que pode auxiliar neste processo, que na realidade vem localizar de forma
aleatória o buffer overflow, não permitindo que o hacker venha a gravar as informações da
maneira que lhe é interessante (seqüencialmente) e com conhecimento de sua localização
na pilha. Um produto que oferece este recurso é o Secured da Memco.
Ataques a gateways da rede: é um ataque que se aproveita das vulnerabilidades de

bugs em servidores, navegadores de Internet, Common Gateway Interface (CGI) e
Active Server Pages (ASP).
Ataques mais comuns:
Web defacement: alteração em conteúdo das paginas por hackers, chamadas

“pixações” de sites.
59
Poison null: possibilita a visualização do conteúdo dos diretórios, muitas vezes
permitindo a alteração e consulta através de servidores Web, utilizando o
mascaramento dos comandos de checagem de segurança CGI (null byte – pacote de
dados não detectados pelo scriptCGI).
Upload Bombing: ataque direcionado a sites com upload, cuja finalidade é enviar
arquivos que preencham o disco rígido da vítima, já que não é realizada a checagem
de espaço em disco disponível.
Web Spoofing ou Hyper Spoofing: são as famosas páginas falsas que muitas vezes
são sugeridas por links em e-mails. Neste ataque, as pessoas pensam estar numa
página legitima de uma organização, quando, na verdade, está fornecendo seus
dados pessoais a um hacker.
Como dica de segurança é sempre melhor a pessoa escrever a URL no browser, e não clicar
em links – caso clicar, verificar se a página que está aparecendo é a que realmente ela
pensa estar. Desabilitar o Javascript é bom, pois os scripts podem alterar características da
página, porém muitos sites perderão funcionalidades.
60
Conectividade
http://www.linorg.cirp.usp.br/Guias_Conectiva/Guias_V.10.0/servidor/pt_BR/ch14.html
61
U NIDADE 7
CONTINUAÇÃO
Problemas com protocolo SNMP: o Simple Network Management Protocol (SNMP) fornece
informações, como sistema, tabelas de rotas, tabela ARP (Address Resolution Protocol),
conexões UDP e TCP, entre outras informações para gerenciamento de rede.
Funcionamento do SMTP
O problema deste protocolo é que existem muitas vulnerabilidades de segurança,

principalmente quanto à facilidade de obter informações do sistema, motivo que é altamente
recomendável este tipo de sistema estar devidamente protegido.
O SNMP não possui mecanismo de travamento de senhas após x tentativas, possibilitando a

hackers utilizar programas de senhas para conseguir acesso, sem ser percebido. É também
um ponto de falha para softwares de segurança, como o TCP Wrapper. No entanto, o SNMP
é um protocolo útil para o gerenciamento e na maioria das organizações são utilizados.
62
Para minimizar os efeitos das vulnerabilidades, são adotados alguns procedimentos:
Habilitação somente de daemons e serviços específicos do SNMP, pois quanto maior

o número de serviços e daemons disponíveis, maior a probabilidade de ataques – isto
é valido não só para este protocolo, mas para qualquer tipo servidor e serviço.
Os nomes da comunidade devem ser manipulados como senhas, adotando políticas

de senhas, para que hackers não consigam prever as mesmas e acessar informações
secretas.
Permitir que somente hosts específicos consiga obter informações SNMP, com
usuários específicos, como o administrador.
Vírus e Worm: os vírus de computador são programas altamente sofisticados e

desenvolvidos em linguagens específicas de programação para infectar e alterar
sistemas. Normalmente eles possuem tamanhos reduzidos e são projetados por
programadores extremamente hábeis, visando afetar de forma adversa o seu
computador. Portanto, não os subestime. Os worms se diferem dos vírus somente por
se espalharem rapidamente, sem interação dos usuários.
A prevenção é a melhor vacina para se evitar a contaminação de

computadores por qualquer tipo de vírus. Uma das posturas preventivas
a ser adotada é estar sempre alerta com documentos ou arquivos que
são transmitidos pela Internet.
Manter sempre cópias de segurança dos arquivos mais importantes é

outro procedimento recomendável em qualquer situação, pois pode ser o último recurso para
salvaguardar informações. Não existe computador, principalmente que esteja conectado à
Internet, imune aos vírus.
63
Centenas de novos vírus são detectados mensalmente. Portanto, é importante atualizar o
programa de antivírus periodicamente, aumentando as chances de estar protegido dos vírus
já conhecidos. Porém, quanto aos vírus recém criados, existe o perigo de ser atacado sem
ter vacina disponível, mesmo com antivírus atualizado.
Salienta-se que sua segurança perfeita está no seu hábito de prevenção. Os poucos minutos
perdidos por dia podem valer horas, dias ou até meses de trabalho.
Trojans ou Trojan Horses: trojans são programas que são furtivamente instalados no
computador sem o conhecimento do usuário. Geralmente, o usuário instala o
programa no computador, sem saber, enquanto pensa estar instalando outro software
que deseja.
Com a disseminação da Internet, os trojans começaram a vir como

anexos em e-mails, ao abrir o anexo automaticamente o usuário instala
o programa em seu computador. Já existem trojans mais sofisticados
que podem ser instalados sem ação do usuário, através de scripts em
páginas web, aproveitando-se, principalmente das propriedades do ActiveX (em ambiente
Microsoft).
A origem do nome vem da mitologia grega, mais precisamente da odisséia de Ulisses, que
para vingar-se dos Troianos, com quem já batalhavam por dez anos e resgatar sua amada
Helena que por eles havia sido raptada, mandou construir um gigantesco cavalo de madeira
para presentear os troianos. No interior do cavalo, soldados gregos entraram em Tróia e
assaltaram a cidade. O elemento surpresa foi fundamental para o sucesso grego. Aliás, esta
história deu origem à expressão “presente de grego”.
Similarmente, os trojans se alojam no micro do incauto usuário que pensa estar acessando
algo de seu interesse. Os trojans são programas que podem ter ações das mais variadas,
64
dependendo apenas do código escrito pelo seu autor. Muitos podem danificar o sistema,
apagar arquivos e causar outros danos maiores.
Um tipo de trojan muito utilizado pelos crackers é o Backdor Trojan ou RemoteAccess Trojan
(RAT’s). Este tipo de trojan executa ações que preparam o computador da vítima para ser
invadido remotamente, através de programas que permitem uma conexão no sistema do
micro onde se instalam que passa a funcionar como servidor do micro invasor que executa o
programa cliente. Eles também podem conter programas keystroke-logging, para capturar
senhas e outras informações confidenciais.
Os mais famosos trojans são:
Back Orifice, NetBus (RAT);
K2pS (RAT+Keystroke-logging);
Portscan, Xitame: Busca portas abertas no micro.
O motivo para o surgimento de tantos trojans é a facilidade e rapidez de sua criação,

principalmente se comparado aos vírus, e não exigirem tanto conhecimento técnico para
desenvolvê-los. A grande maioria é desenvolvida em linguagens de alto nível, como Visual
Basic ou Delphi. Além disto, os trojans podem ser utilizados para objetivos mais concretos,
como espionagem industrial.
Os trojans não ficam circulando pela Internet, o que dificulta sua captura para análise e
criação de vacinas pelas empresas especializadas. Outro fator que torna os trojans mais
perigosos é que um vírus pode ser detectado pelas alterações que causa no sistema,
enquanto um trojan pode estar em atividade no computador sem que o usuário sequer
perceba. Por esta razão não bastam os antivírus para se proteger dos trojans. É necessário
também que se utilize programas anti-trojans, programas de detecção de intrusão, analisador
de conteúdos, analisador de vulnerabilidades, programas que chequem as chaves de
inicialização do sistema verificando os programas que iniciam automaticamente, aplicar as
65
correções de falhas de sistema fornecidas pelos fabricantes (Patchs) e, sobretudo, ter uma
conduta adequada, não abrindo anexos de e-mail antes de analisá-los, não utilizar
programas piratas ou baixados de redes p2p como KaZaa, ou iMesh.
War Dialing: ferramenta utilizada para verificar as informações dos números dos
modens na rede, que em tese não devem existir na rede, pois aumenta as
probabilidades de ataque, pois o tráfego não passa pelo Firewall.
É útil para a auditoria e nas mãos de hackers podem causar sérios problemas para a
organização, pois eles identificarão as maiores vulnerabilidades da rede.
5.3.7. SPAM
Não é propriamente um ataque, mas é algo que acarreta o aumento de tráfego na rede e
deve ser prevenido por todos. É uma forma de muitas vezes, usuários acessarem páginas
falsas, entre outros problemas.
O termo SPAM, longe do mundo virtual, é, na verdade, a

marca de um presunto enlatado americano
(http://www.spam.com/), que não tem relação com o envio
66
de mensagens eletrônicas não solicitadas, exceto pelo fato de que, na série de filmes de
comédia do Monty Python, alguns Vikings desajeitados pediam repetidas vezes o referido
presunto.
No ambiente da Internet, SPAM é considerado um abuso e se refere ao envio de um grande

volume de mensagens não solicitadas, ou seja, o envio de mensagens indiscriminadamente
a vários usuários, sem que estes tenham requisitado tal informação. O conteúdo do SPAM
pode ser propaganda de produtos e serviços, pedido de doações para obras assistenciais,
correntes da sorte, propostas de ganho de dinheiro fácil, boatos desacreditando o serviço
prestado por determinada empresa, dentre outros.
Com certa freqüência, os e-mails de SPAM são chamados de junk e-mails, ou seja, lixo.
Seguindo com a terminologia, quem envia SPAM é chamado de spammer.
O modo mais formal de se referir a SPAM é UBE, Unsolicited Bulk E-mail. Pode-se também
usar o termo UCE, Unsolicited Comercial E-mail, quando se trata de SPAM contendo
propaganda de modo geral.
Tipos mais comuns de SPAM, considerando conteúdo e propósito:
Boatos e correntes.
Propagandas.
Outras ameaças e brincadeiras.
Boatos e correntes: tanto boatos como correntes na Internet pedem para serem enviados a
todas as pessoas que você conhece. Tais e-mails se apresentam com diversos tipos de
conteúdo, sendo na maioria das vezes histórias falsas ou antigas. Para atingir seus objetivos
de propagação, os boatos e correntes apelam para diversos métodos de engenharia social.
Ainda dentre os boatos mais comuns na rede, pode-se citar aqueles que tratam de código
malicioso, como vírus ou cavalos de tróia. Neste caso, a mensagem sempre fala de vírus
67
poderosíssimos, capazes de destruir seu computador e assim por diante. Um dos mais
famosos é o GoodTimes, que circulou pela rede durante anos e, de vez em quando, ainda
aparece um remanescente enviado por internautas desavisados. Para maiores informações
sobre boatos e vírus, consulte o site Computer Virus Myths no site http://www.vmyths.com/.
Propagandas: com o intuito de divulgar produtos, serviços, novos sites, enfim,

propaganda em geral, os SPAMs têm ganhado cada vez mais espaço nas caixas
postais dos internautas. O objetivo não é discutir a legitimidade da propaganda por e-
mail, mas sim discutir SPAM, e muitas empresas têm usado este recurso para atingir
os consumidores. Isto sem contar a propaganda política que inundou as caixas
postais no último ano. Ressalta-se que, seguindo o próprio conceito de SPAM, se
recebemos um e-mail que não solicitamos, estamos sendo vítimas de SPAM, mesmo
que seja um e-mail que nos interessa.
O maior problema com a propaganda por SPAM é que a Internet se mostra como um
meio fértil para divulgação de produtos atinge um grande número de pessoas e a
baixo custo, sendo que na verdade, quem paga a conta é quem recebe a propaganda,
como discutido anteriormente.
Outras ameaças, brincadeiras, etc.: alguns SPAMs são enviados com o intuito de
fazer ameaças, brincadeiras de mau gosto ou apenas por diversão, como casos de
ex-namorados difamando ex-namoradas, e-mails forjados assumindo identidade
alheia e aqueles que dizem: "olá, estou testando uma nova ferramenta spammer e por
isto você está recebendo este e-mail", constituem alguns exemplos.
Não há legislação específica para casos de SPAM. No entanto, podem-se enquadrar

certos casos nas leis vigentes no atual Código Penal Brasileiro, como calúnia e
difamação, falsidade ideológica, estelionato, etc.
Alguns artifícios usados pelos spammers: são muitos os artifícios usados pelos
spammers para convencê-lo de ter recebido um e-mail válido e não um SPAM.
68
O One-time e-mail são aqueles que dizem que serão enviados somente uma vez e que você
não precisa se preocupar, pois não será importunado novamente. Trata-se de SPAM e é
bem provável que você receba outras cópias do mesmo tipo de e-mail.
"Caso não tenha interesse em continuar recebendo este tipo de mensagem, por favor,
solicite sua retirada de nossa lista de distribuição, enviando e-mail para remove-me-from-
list@...". Esta é outra categoria de disfarces usada em SPAM são as que pedem para serem
removidos ou ignorados, caso não sejam de seu interesse. Neste caso, antes de removê-lo,
reclame. Simplesmente deletar e não reclamar, ignorando o SPAM pode torná-lo conivente,
pois o spammer continuará atuando tranqüilamente.
"Você se cadastrou em nosso site e, portanto, está recebendo esta mensagem. Caso queira
sair de nossa lista de divulgação...". Uma variação do tipo remove-me. Alguns SPAMs se
utilizam dos recursos válidos de cadastro on-line de determinados sites para dar legitimidade
ao e-mail. Novamente, não responda e reclame.
Não se deve ignorar o recebimento de SPAM, pois encoraja cada vez mais este tipo de
prática, devendo reclamar. Em se tratando do usuário final, recomenda-se contactar o
administrador de sua rede, notificando o SPAM, enviando o e-mail recebido com o header
completo. Caso o usuário final decida reclamar ele próprio, então deve seguir as orientações
a seguir.
Com relação ao administrador de rede, é responsabilidade deste reclamar dos SPAMs

recebidos pelos usuários, assim como tomar providências em caso de uso de seu servidor
de e-mail como replay ou ainda, em casos de SPAMs enviados por usuários de sua rede.
Para reclamar de um SPAM recebido, deve-se:
Enviar a notificação ao administrador ou contato técnico da rede origem do SPAM,

nunca diretamente ao spammer. Deve ser enviada também para
abuse@dominio_spammer e para os grupos de segurança responsáveis pelas redes
vítima e spammer.
69
Anexar à reclamação, o header completo do e-mail de SPAM, peça principal a ser
investigada num SPAM, analise-o cuidadosamente, identificando a rede origem e
eventuais servidores usados como replay. Esta é a parte mais complicada, pois o
header de SPAM não é confiável e pode ter sido forjado em vários níveis.
Algumas dicas sobre análise de header:
Desconfie dos campos FROM e TO, pois podem conter usuários inválidos, domínios
inválidos ou "spoofados", isto é, os domínios usados no FROM e no TO podem ser
inexistentes, ou ainda não serem, de fato, a origem do SPAM. Este recurso é usado
para confundir e distrair a atenção do administrador ao tentar identificar a origem do
SPAM, ou em outros casos para difamar o domínio "spoofado".
Examine todos os números IP e domínios que aparecem no header, tente resolvê-los

pelo DNS.
Estude, detalhadamente. Se conhecer a sintaxe dos headers gerados, maiores serão

as chances de sucesso no processo de análise de headers de SPAM.
Cuidado com ferramentas de análise automática de headers, pois podem gerar

resultados falsos e originar reclamações incoerentes.
Anexar à reclamação, o conteúdo da mensagem de SPAM, somente se incluir

informações relevantes para uma eventual investigação.
Em caso de uso de relay, deve-se copiar a reclamação para o administrador ou

contato técnico pela rede que hospeda o servidor usado como relay, para
abuse@domínio_relay e para o grupo de segurança responsável pela rede em
questão.
Opcionalmente, pode-se encaminhar a reclamação com cópia para o MAPS através

do e-mail relays@mail-abuse.org, incluindo, no corpo da mensagem, a diretiva:
70
Relay:<IP-do-servidor-com-relay>, este procedimento é um tipo de denúncia
automática.
Se o administrador receber denúncias de SPAM partindo de sua rede, as recomenda-se:
Identificar o usuário que enviou o SPAM.
Advertir ou punir o usuário spammer de acordo com as
AUPs. Responder ao reclamante.
Caso a notificação seja de uso do servidor de e-mail como relay, o administrador deve tomar
as providências para corrigir o problema o mais rápido possível, sob pena de ser conivente
com o envio de SPAM, enquanto não solucionar a questão e responder aos reclamantes. No
caso de notificação recebida da ORBs, é necessário ainda solicitar a remoção do número IP
do servidor da base mantida pela entidade.
Atualmente os Servidores da UFSCarNet instalados na Secretaria Geral de Informática,

trabalham com filtragem de e-mail para barramento de vírus, e uma lista de controle de
"spammers" conhecidos. Sua ajuda é valiosa no combate a esta prática, na qual solicitam a
colaboração de todos. Para colaborar, basta enviar o e-mail SPAM de modo completo (com
todos os cabeçalhos, ou como um anexo na mensagem) para os endereços citados e para o
controle, como spam@power.ufscar.br ou abuse@power.ufscar.br.
71
U NIDADE 8
CONTINUAÇÃO
5.4. DMZ - Demilitaryzed Zone
É uma área de serviços da empresa que não é protegida, como por exemplo, serviços
externos de correio eletrônico e vários outros servidores www, ou seja, são servidores
públicos é uma estratégia utilizada para enganar e detectar intrusos. Serve também para
tentar detectar invasões onde alguns equipamentos são posicionados propositalmente sem
proteção, ou seja, atrás do Firewall, esses equipamentos são isolados da rede interna e
monitoram tentativas de ataques.
A DMZ se posiciona como uma sub-rede entre a rede local e a Internet, conhecida como
zona desmilitarizada, onde não é permitido o tráfego direto entre a rede local e a internet.
Ambas podem apenas acessar a sub-rede, normalmente através de um bastion host entre
esta e a rede privada.
Existe um filtro de pacotes entre a Internet e a sub-rede, e outro entre esta e a rede privada.
O primeiro tem como função impedir o tráfego direto entre a rede privada e a Internet. Já o
segundo tem por objetivo proteger a rede privada em caso de comprometimento do bastion
host. Isto pode ser feito limitando o acesso deste à rede local.
O conceito de zona desmilitarizada também pode ser obtido através de Firewalls de terceira
geração que agregam a capacidade de filtrar pacotes e proxies específicos numa única caixa
ou equipamento. Tais elementos podem tanto ser implementados puramente em software ou
através de roteadores comerciais.
72
Atualmente é comum o desenho de topologias de rede no modelo Internet/DMZ/Rede
Interna. Afinal de contas, é um modelo simples e de baixo custo de implementação. Em
poucos dias a empresa desloca todos os servidores que precisam ser acessados por
usuários na Internet para a rede DMZ, normalmente implementada através de uma terceira
placa no Firewall, e com isso corta todo o acesso direto da Internet para sua rede interna.
Os mais cuidadosos implementam servidores de relaySMTP e até mesmo um Proxyhttp para

evitar o acesso direto das estações à Internet também. Se forem consultados, os
especialistas em segurança provavelmente dirão que é uma rede segura.
Um desenho como este dificulta a invasão da rede interna através de um ataque aos
servidores da DMZ. Se o Firewall for bem configurado e esses servidores forem
constantemente atualizados, a possibilidade de invasão por este caminho torna-se realmente
muito pequena.
Exemplo de arquitetura de rede desmilitarazida
73
U NIDADE 9
PLANO DE CONTINGÊNCIA
Objetivo: instruir como adotar uma política de segurança e contingência que venha a ajudar
as empresa em situações catastróficas ou de incidentes de segurança.
6. POLÍTICA DE SEGURANÇA E DE CONTINGÊNCIA
Conhecemos nossos atacantes e como nos atacam. Mas, como posso preparar a
organização para não deixar que os hackers a invadam? E se formos atacados, como
proceder?
Preocupação mundial, e no Brasil temos normas que prevêem este tipo de incidentes. A
realidade é que não existe se formos atacados, mas quando.
6.1. Plano de Contingência: o que fazer quando os riscos se concretizam?
É necessário retornar no tempo para melhor entender o destaque que atualmente em nossa
sociedade se faz à segurança da informação e conseqüentemente a se ter um Plano de
Contingência.
Desde o início da civilização humana há uma preocupação com as informações e com os

conhecimentos agregados a elas. Visto que, ao longo da História, a vitória ficou nas mãos de
quem estava na vanguarda do conhecimento. Hoje, vivemos na Era da Informação, uma
época onde a comunicação e troca de experiência ganham seu lugar e passam a ser o
diferencial nos negócios. Fontes de riquezas deixam de ser físicas e a informação passa ser
mais do que uma base do negócio e sim, em muitos casos, o próprio negócio.
74
Com a chegada dos primeiros computadores, com o surgimento das máquinas de tempo
compartilhado, até chegar aos dias atuais, onde a economia encontra-se interligada por
redes eletrônicas em tempo real, a questão de segurança das informações torna-se cada vez
mais importante e crucial.
Independente do porte ou setor de atividade de uma empresa, sua estratégia de operação

visará ter vantagens competitivas. Para tanto, deve agregar cada vez mais valor aos seus
produtos e/ou serviços. Neste cenário globalizado, a informação, em conjunto com os meios
e formas de comunicá-las produtivamente, revela-se uma arma poderosa de gestão
empresarial. Contudo, esta maior comunicação gera visibilidade, o que também pode
significar vulnerabilidade. Sendo assim, garantir a segurança da informação torna-se um
diferencial estratégico, proporcionando vantagem competitiva e até mesmo a sobrevivência
de uma empresa.
É desnecessário dizer a importância de uma área de TI para as empresas, tornando para

seus gestores uma obrigação o reconhecimento e o gerenciamento de riscos através de
ações preventivas e pró-ativas, pois, por melhor que seja um sistema, nenhum é imune de
falhas. E é por isso que as empresas devem estar preparadas caso algo venha a acontece.
A adoção de um Plano de contingência é uma forma de amenizar os riscos em TI, ou até

mesmo de reduzi-los a um nível mínimo. Quando se fala em Plano de Contingência, muito
mais do que pensar em pura e simplesmente em tecnologia, se fala em definir prioridades e
regras de negócio. Deve-se pensar além, focar no sucesso dos negócios da empresa.
Podemos então definir Plano de Contingência em TI como sendo um plano elaborado,
escrito, divulgado, testado, mantido atualizado que objetiva manter o negócio contínuo,
mesmo que haja situações de risco, ou um sinistro que afete áreas/equipamentos/serviços
de TI.
O Plano deve ser bem mais do que um documento formal que defina diretrizes e normas em
relação a procedimentos a serem seguidos (por toda a empresa sem exceções) quando da
situação de risco. Deve agregar segurança física e lógica aos dados e ao capital intelectual
da empresa.
75
6.2. Importância do Plano de Contingência
Com o aumento crescente e a ampla utilização de tecnologias informatizadas nos ambientes

organizacionais, sejam quanto a formas para armazenamento de dados, sistemas
operacionais, ERP’s, comércio eletrônico, Intranet e Internet, sistemas interligados em redes
locais e mundiais, expomos a organização a uma série de vulnerabilidades, como:
Falta de energia por mais tempo do preventivo.
Sabotagem.
Fraudes eletrônicas.
Espionagem.
Vandalismo.
Danos com o servidor central ou pontos.
Vírus.
Invasores (hackers).
Tráfego de dados interrompidos.
Problemas com fornecedores de software, hardware e serviços.
Imprevisibilidade e catástrofes.
Um plano de contingência trata de manter uma estrutura para solucionar os problemas, que
não foram detectados e ou resolvidos nos sistemas de segurança e preventivos da empresa.
É quase inevitável, que em algum momento, um destes fatos, ou outras forças, danifiquem
os dados da empresa, podendo ocasionar desde pequenas paradas, até uma perda total de
dados e serviços, e conseqüentemente custos para restabelecê-los e prejuízos nos casos de
76
sistemas com relação direta ao negócio da empresa. É de extrema relevância um plano de
contingência, que aponte os pontos críticos do processo da empresa, permitindo uma rápida
solução do problema, garantindo a continuidade, de uma forma imperceptível aos usuários e
clientes, minimizando os impactos negativos, em custos e prejuízos. Deve garantir a
operacionalidade do processo, em todos os níveis, contando com profissionais que façam os
reparos no menor tempo possível.
Dependendo da área de atuação da empresa, o plano de contingência também pode ter a

abrangência, prevendo possíveis alterações fiscais e legais e quebras de fornecimento por
causas diversas, tais como greves, etc. Com um plano de contingência, bem definido,
revisado e testado regularmente, a empresa pode e deve renegociar com as companhias de
seguro um melhor custo, pois esta estaria se prevenindo contra estes problemas.
6.2.1. Segurança Física
Ameaças sempre presentes, nem sempre lembradas: incêndios, desabamentos, relâmpagos,

alagamentos, problemas na rede elétrica, acesso indevido de pessoas no CPD, treinamento
inadequado de funcionários, e etc.
Medidas de proteção física, como serviço de guarda, uso de no-breaks, alarmes e

fechaduras, circuito interno de televisão e sistemas de escuta, são realmente uma parte da
segurança de dados. As medidas de proteção física são freqüentemente citadas como
“segurança computacional”, visto que têm um importante papel na prevenção dos problemas
citados no parágrafo anterior.
O ponto-chave é que as técnicas de proteção de dados, por mais sofisticadas que seja, não
têm serventia nenhuma se a segurança física não for garantida. Por mais seguro que seu
ambiente seja, ele não estará 100% seguro se a pessoa que deseja invadir seu sistema tiver
acesso físico ao mesmo.
77
6.2.2. Segurança Lógica
Várias ameaças lógicas aos computadores foram criadas por pessoas inescrupulosas
denominadas crackers, script kidies e lamers, a diferença está no nível de conhecimento de
cada um. Os crackers são os que têm o maior nível de conhecimento, portanto são os mais
perigosos, sabem desenvolver vírus, cavalos de tróia e worms, além de dominar técnicas
avançadas de invasão de sistemas e engenharia reversa. Script kidies são aspirantes a
crackers, sabem fazer basicamente scripts maliciosos e invasões a sistemas desprotegidos.
Os lamers são apenas uns idiotas com um mínimo de conhecimento para invadir sistemas
com cavalos de Tróia e outras “ferramentas”, uma das principais armas dos lamers é
simplesmente a “habilidade” de convencer iniciantes a executarem cavalos de Tróia.
Um recurso muito utilizado para se proteger dos “bisbilhoteiros” da Internet é a utilização de

um programa de criptografia que embaralha o conteúdo da mensagem de modo que ela se
torna incompreensível para aqueles que não sejam o receptor ou emissor da mesma.
A Segurança Lógica requer um estudo maior, pois envolve investimento em softwares de

segurança ou elaboração dos mesmos. Tão importante quanto à segurança física, ou seja, o
controle de acesso, nesse caso menos é mais, se um empregado não precisa de acesso ao
arquivo X o mesmo não pode ter acesso a ele, aumentando assim a segurança dos dados.
Segurança do WAP
http://www.cic.unb.br/docentes/rezende/trabs/wap.pdf
78
U NIDADE 10
CONTINUAÇÃO
Objetivo: Conhecer o universo de Riscos e Planejamento
6.3. Especificação do Plano de Contingência
Para iniciar a lista de riscos (na fase de iniciação):
Reúna a equipe do projeto (que, nesta etapa, deverá ser bem pequena; se ela tiver mais de
cinco ou sete integrantes, limite o processo de avaliação de riscos aos líderes de atividade).
Quando identificamos riscos, consideramos 'o que pode dar errado'. É claro que, em termos
gerais, tudo pode dar errado. A questão é não atribuir uma visão pessimista ao projeto. No
entanto, queremos identificar possíveis barreiras ao seu êxito, para que possamos reduzi-las
ou eliminá-las. Para obter mais informações, consulte Diretrizes: Lista de Riscos. Mais
especificamente, estamos procurando os eventos que podem diminuir a probabilidade de
liberarmos o projeto com as características corretas, com o nível de qualidade exigido, no
prazo estabelecido e dentro do orçamento.
Usando técnicas de brainstorming, peça a cada membro para identificar um risco do projeto.
Perguntas de esclarecimento são permitidas, mas os riscos não deverão ser avaliados nem
comentados pelo grupo. Pergunte a todos no grupo até identificar o número máximo de
riscos. Envolva todas as partes no processo e não se preocupe muito com a forma ou
repetições; você poderá limpar a lista posteriormente. Use grupos de pessoas homogêneos
(clientes, usuários, equipe técnica e assim por diante). Isso facilita o processo de coleta de
riscos; os indivíduos ficam menos inibidos na frente de seus pares (em especialidade e
hierarquia) do que em um grupo maior heterogêneo.
Deixe claro aos participantes que apontar um risco não é o mesmo que se oferecer para
resolvê-lo. Se as pessoas acharem que apontar um risco resultará na responsabilidade pela
79
sua resolução, elas não identificarão nenhum risco (ou os riscos que apontarem serão
triviais).
Para dar o estímulo inicial, comece pelas listas de riscos genéricas, como Assessment and
Control of Software Risks de Capers Jones [JON94] ou Taxonomy-Based Risk Identification
estabelecida pelo Instituto de Engenharia de Software [CAR93]. Circule a lista de riscos: ver
o que já foi identificado costuma ajudar as pessoas a apontar mais riscos.
Para atualizar a lista de riscos (em fases posteriores): você pode solicitar
informações conforme identificado anteriormente. No entanto, com base no exemplo
da lista existente, novos riscos costumam ser identificados pelos membros da equipe
e capturados na Avaliação de Status regular do projeto. Consulte Atividade: Avaliar
Iteração.
Identificar Estratégias de Contingência: tem como finalidade desenvolver planos alternativos.
Para cada risco, independentemente de você ter ou não um plano para diminuí-lo
ativamente, decida quais ações deverão ser executadas em determinado momento ou se o
risco se materializar, ou seja, se ele se tornar um problema, um 'sinistro' no termo de
seguros, chamado de "plano 'B'" ou plano de contingência. Necessário quando houve falhas
na prevenção e na transferência de riscos, a diminuição de riscos não obteve o êxito
esperado e agora é necessário enfrentar o risco. Esse costuma ser o caso de riscos
indiretos, ou seja, os riscos sobre os quais o projeto não tem controle, ou quando as
estratégias de diminuição são caras demais para serem implementadas.
O plano de contingência deverá considerar:
Risco Indicador Ação

Qual é o risco? Como você saberá que o O que deverá ser feito para
risco se concretizou? Como resolver o 'sinistro' (como você
o 'sinistro' será poderá conter o prejuízo?)
reconhecido?
80
Identificar Indicadores de Risco: é possível monitorar alguns riscos com o uso de métricas do
projeto e a observação de tendências e limites; por exemplo:
Retrabalho restante excessivo.
Quebra restante excessiva.
Gastos reais muito acima do planejado.
É possível monitorar alguns riscos com base nos requisitos do projeto e resultados de testes,
como por exemplo, tempos de resposta uma ordem de grandeza acima do exigido.
Alguns riscos estão associados a eventos específicos:
a) Componente de software não liberado no prazo por um terceiro: existem muitos outros
indicadores "mais flexíveis", nenhum dos quais diagnosticará totalmente o problema. Por
exemplo, há sempre um risco de o ânimo diminuir (na verdade, em determinadas etapas
do projeto, isso é quase (previsível). Existem diversos indicadores, como reclamações,
"humor negro", prazos não cumpridos, qualidade precária e assim por diante. Nenhuma
dessas "medidas" é um indicador preciso; as brincadeiras sobre a futilidade de um
produto liberado específico podem ser uma forma saudável de aliviar o stress. No
entanto, se elas persistirem, podem indicar que a equipe tem uma sensação cada vez
maior de fracasso iminente.
Fique atento a todos os indicadores sem julgá-los. É fácil rotular o portador de 'más notícias'
como alguém que apresenta uma atitude incorreta; por trás do cinismo, há geralmente um
fundo de verdade. Em geral, o 'portador de más notícias' está atuando como a 'consciência
do projeto'. A maioria das pessoas deseja o êxito do projeto e fica frustrada quando o ânimo
está levando o projeto na outra direção.
b) Identificar Ações contra "Perdas" ou o "Plano B": em casos simples, o plano de

contingência enumera soluções alternativas. O impacto costuma ser custos e atrasos
para se desfazer da solução atual e implementar a nova solução.
81
No caso de outros riscos "mais flexíveis", não costuma existir apenas uma ação a ser
executada quando há uma perda, mas várias. Quando o ânimo diminui, por exemplo, é
melhor reconhecer a condição e unir-se como um grupo para discutir as atitudes
predominantes do projeto. Ouça as questões, identifique problemas e, em geral, deixe as
pessoas extravasarem. No entanto, após determinado período de extravasamento, comece a
abordar as causas de interesse. Use a lista de riscos como uma forma de focar a discussão.
Transforme as questões em um plano de ação concreto, redefinindo a prioridade de riscos e
reformulando os planos de iteração para resolver os principais riscos de forma sistemática.
Ações positivas têm um efeito mais intenso do que palavras positivas (mas vazias).
Apesar do ânimo no momento, a ocorrência de perda tem um lado positivo: ela força uma
ação. Muitas vezes, o grupo poderá adiar riscos facilmente ignorando-os, levado à
complacência pela calmaria aparente. Quando perdas ocorrem, é preciso agir, pois o risco
deixa de ser um risco e não há mais nenhuma dúvida sobre a sua ocorrência. Porém, uma
ocorrência de perda também é uma falha para evitar ou diminuir riscos. Deverá forçar uma
reavaliação da lista de riscos para determinar se a equipe do projeto pode ter algumas
deficiências sistemáticas. Tão difícil quanto a auto-avaliação sincera, poderá evitar outros
problemas posteriormente.
Reavaliar Riscos Durante a Iteração: tem como finalidade assegurar que a lista de riscos
se mantenha atualizada ao longo do projeto.
A avaliação de riscos é, na verdade, um processo contínuo, e não um processo que ocorre

apenas em intervalos específicos durante o projeto. No mínimo, você deverá:
Reavaliar a lista semanalmente para verificar as mudanças.
Permitir que todo o projeto visualize os dez itens mais importantes e insistir que sejam
tomadas providências sobre eles. Em geral, é possível anexar a lista de riscos atual
aos relatórios de Avaliação de Status.
82
Reavaliar Riscos no Final da Iteração: tem como finalidade assegurar que a lista de riscos
se mantenha atualizada ao longo do projeto.
No final de uma iteração, restabeleça o foco nas metas da iteração com relação à lista de
riscos:
Elimine os riscos que foram diminuídos ao máximo.
Apresente novos riscos descobertos recentemente.
Reavalie a magnitude da lista de riscos e reorganize-a.
Não se preocupe muito se descobrir que a lista de riscos cresce durante as fases de
iniciação e elaboração. À medida que desenvolve o trabalho, os membros do projeto
percebem que algo considerado trivial na verdade contém riscos. No início da integração,
você poderá encontrar dificuldades que estavam ocultas. No entanto, os riscos deverão
diminuir uniformemente à medida que o projeto chega ao fim da elaboração e durante a
construção. Caso contrário, talvez você não esteja administrando os riscos apropriadamente
ou o seu sistema seja muito complexo ou impossível de ser construído de forma sistemática
e previsível. Para obter mais informações, consulte Diretrizes: Lista de Riscos.
Antes de dar continuidades aos seus estudos é fundamental que você acesse sua
SALA DE AULA e faça a Atividade 1 no “link” ATIVIDADES.
83
U NIDADE 11
NBR ISO/IEC DE SEGURANÇA
Objetivo: Conhecer as normas e órgãos normatizadores.
6.3.1. NBR ISO/IEC 17799
É a versão internacional da BS7799, homologada pela International Standartization

Organization em dezembro de 2000, e a versão brasileira da norma ISO, homologada pela
ABNT em setembro de 2001. ISO (International Standartization Organization) trata-se de
uma organização internacional formada por um conselho e comitês com membros oriundos
da maioria dos países. Seu objetivo é criar normas e padrões universalmente aceitos sobre
como realizar as mais diversas atividades comerciais, industriais, científicas e tecnológicas.
IEC (International Engineering Consortium) é uma organização voltada para o
aprimoramento da indústria da informação. Uma associação entre as duas instituições
produz normas e padronizações internacionais.
Informações que são protegidas com a implantação da norma NBR ISO IEC 17799:
Dados armazenados nos computadores.
Informações transmitidas por meio de redes.
Conversações telefônicas.
Informações impressas ou escritas no
papel. Informações enviadas por fax.
Dados armazenados em fitas, discos ou microfilmes.
84
Introdução: os gerentes de segurança vem há muito tempo esperando por alguém
que produza um conjunto razoável de padrões de segurança de informações
reconhecido globalmente. Muitos acreditam que um código de prática ajudaria a
suportar os esforços dos gerentes de TI. E, também influenciariam decisões,
aumentariam a cooperação entre os vários departamentos em nome do interesse
comum pela segurança e ajudaria a tornar a segurança, uma das prioridades
organizacionais.
Desde o seu lançamento pela Organização de Padrões Internacionais (International

Standards Organization) em dezembro de 2000, o ISO 17799 se tornou o padrão de
segurança mais reconhecido em todo o mundo. É definido como "um abrangente
conjunto de controles formado pelas melhores práticas em segurança de
informações".
As origens do ISO 17799: por mais de 100 anos, o British Standards Institute (BSi) e
o International Organization for Standardization (ISO) vêm fornecendo referências
globais para padrões operacionais, de fabricação e de desempenho, mas não tinham
ainda proposto era um padrão para a segurança de informações.
Em 1995, o BSi lançou seu primeiro padrão de segurança, BS 7799, criado com a intenção
de abranger assuntos de segurança relacionados ao comercio eletrônico, ou e-commerce.
Nesse mesmo ano, problemas como o Y2K e EMU tornaram-se precedentes sobre todos os
outros assuntos. Para piorar, o BS 7799 foi considerado inflexível e não foi adotado
85
globalmente. O momento não era correto e questões de segurança não despertavam grande
interesse naquele tempo. Quatro anos mais tarde, maio de 1999, o BSi tentou novamente,
lançando a segunda versão do BS 7799, uma enorme revisão da versão anterior. Essa
edição continha vários aperfeiçoamentos e melhoras desde a versão de 1995. Foi nessa
época que o ISO identificou a oportunidade e começou a trabalhar na revisão do BS 7799.
Em dezembro de 2000, o ISO adotou e publicou a primeira parte do BS 7799 como seu
próprio padrão, chamando-o ISO 17799. Nessa mesma época, de um modo formal de
credenciamento e certificação de compatibilidade com os padrões foram adotadas. O Y2K,
EMU e outras questões foram concluídas ou reduzidas no ano 2000, e a qualidade geral do
padrão melhorou dramaticamente. A adoção do BS 7799 Parte 1 (o critério padrão) pelo ISO
foi mais aceitável por um eleitorado internacional, e foi nessa época que um conjunto de
padrões de segurança finalmente recebeu reconhecimento global.
Uma estrutura de recomendações: O padrão ISO 17799 elimina a segunda parte do

BS 7799, que abrange implementação.
O ISO 17799 é uma compilação de recomendações para melhores práticas de segurança,

que podem ser aplicadas por empresas, independentemente do seu porte ou setor. Foi
criado com a intenção de ser um padrão flexível, não guiando seus usuários a seguir uma
solução de segurança específica ao invés de outra.
86
As recomendações do ISO 17799 continuam neutras com relação à tecnologia e não
fornecem nenhuma ajuda na avaliação ou entendimento de medidas de segurança já
existentes. Por exemplo, discute a necessidade de Firewalls, mas não aprofunda nos tipos
de Firewalls e como devem ser usadas. Isso leva alguns opositores a dizer que o ISO 17799
é muito vago e pouco estruturado para ter seu valor realmente reconhecido.
A flexibilidade e imprecisão do ISO 17799 são intencionais, pois é muito difícil criar um
padrão que funcione para todos os variados ambientes de TI, e que seja capaz de crescer
com a mutante paisagem tecnológica atual. Ele simplesmente fornece um conjunto de
regras, em uma indústria onde elas não existiam.
Dez áreas de controle do ISO 17799:
1. Política de Segurança: necessário para determinar as expectativas para segurança, o

que fornece direção e suporte ao gerenciamento. Deve também ser usada como uma
base para revisões e avaliações regulares.
Tem como objetivo é prover à direção uma orientação e apoio para a segurança da
informação. Convém que a direção estabeleça uma política clara e demonstre apoio e
comprometimento com a segurança da informação através da emissão e manutenção de
uma política de segurança da informação para toda a organização.
O documento da política deve ser aprovado pela direção, publicado e comunicado, de forma
adequada, para todos os funcionários. Convém que este expresse as preocupações da
direção e estabeleça as linhas-mestras para gestão da segurança da informação. No
mínimo, convém que as seguintes orientações sejam incluídas:
a) Definição de segurança da informação, resumo das metas e escopo e a importância

da segurança como um mecanismo que habilita o compartilhamento da informação.
b) Declaração de comprometimento da alta direção, apoiando as metas e princípios da

segurança da informação.
87
c) Breve explanação das políticas, princípios, padrões e requisitos de conformidade de
importância específica para organização, por exemplo:
Conformidade com a legislação e cláusulas contratuais.
Requisitos na educação de segurança.
Prevenção e detecção de vírus e software maliciosos.
Gestão da continuidade do negócio.
Conseqüências das violações na política de segurança da informação.
d) Definição das responsabilidades gerais e específicas na gestão da segurança da

informação, incluindo o registro dos incidentes de segurança.
e) Referências à documentação que possam apoiar a política, por exemplo, políticas e

procedimentos de segurança mais detalhado de sistemas de informação específicos
ou regras de segurança que convém que os usuários sigam.
A política deve ser comunicada através de toda a organização para os usuários na forma que
seja relevante, acessível e compreensível para o leitor em foco.
2. Organização da Segurança: sugere que uma estrutura de gerenciamento seja

determinada dentro da empresa, explicando quais os grupos são responsáveis por
certas áreas de segurança e um processo para o gerenciamento de respostas a
incidentes.
Empresas de todos os setores dependem de regulamentações e padrões definidos por

associações como a Associação Médica Americana (American Medical Association – AMA)
ou o Instituto de Engenheiros Elétricos e Eletrônicos (Institute of Electrical and Electronics
Engineers – IEEE). As mesmas idéias valem para a segurança da informação. Muitas
consultorias e fabricantes da área de segurança concordam com o modelo de segurança
padrão conhecido, como CIA ou Confidentiality, Integrity, and Availability (Confidencialidade,
88
Integridade e Disponibilidade). Esse modelo de três pilares é um componente geralmente
aceito para avaliar riscos às informações delicadas e para estabelecer uma política de
segurança:
a) Confidencialidade: informações delicadas devem estar disponíveis apenas para um

conjunto pré-definido de indivíduos. A transmissão ou o uso não autorizado de
informações devem ser restritos. Citamos como exemplo, a confidencialidade da
informação garante que as informações pessoais ou financeiras de um cliente não
sejam obtidas por um indivíduo não autorizado para propósitos maldosos como roubo
de identidade ou fraude de crédito.
b) Integridade: as informações não devem ser alteradas de modo a torná-las incompletas

ou incorretas. Usuários não autorizados devem ter restrições para modificar ou
destruir informações delicadas.
c) Disponibilidade: as informações devem estar acessíveis a usuários autorizados

sempre que precisarem. A disponibilidade é a garantia de que aquela informação
pode ser obtida com uma freqüência e periodicidade pré-definidas. Isto é
freqüentemente medido em termos de porcentagens e definido formalmente nos
Acordos de Nível de Serviço (Service Level Agreements – SLAs) usados por
provedores de serviços de rede e seus clientes corporativos.
Tem como objetivo orientar à necessidade da criação de uma estrutura de gerenciamento

para iniciar e controlar a implementação de segurança da informação dentro da organização.
Incentiva a criação de fóruns apropriados de gerenciamento com liderança da direção sejam
estabelecidos para aprovar a política de segurança da informação, atribuir as funções e
coordenar a implementação da segurança através da organização. Se necessário, é
recomendado a criação de uma fonte especializada em segurança da informação seja
estabelecida e disponibilizada dentro da organização.
89
São recomendados contatos com especialistas de segurança externos, para se manter
atualizado com as tendências do mercado, monitorar normas e métodos de avaliação, além
de fornecer o principal apoio, durante os incidentes de segurança.
Convêm que um enfoque multidisciplinar na segurança da informação seja incentivado, tais

como o envolvimento, cooperação e colaboração de gestores, usuários, administradores,
projetistas de aplicações, auditores, equipes de segurança e especialistas em áreas como
seguras e gerenciamento de risco.
Tópicos mais importantes desta norma:
Gestão do fórum de segurança da informação.
Coordenação da segurança da informação.
Atribuição das responsabilidades em segurança da informação.
Processo de autorização para as instalações de processamento da informação.
Consultoria especializada em segurança da informação.
Cooperação entre organizações.
Análise crítica independente de segurança da informação.
Segurança no acesso de prestadores de serviços.
Terceirização.
Classificação e Controle do Patrimônio: exige um inventário do patrimônio de informações da

empresa e, com esse conhecimento, garante que o nível de proteção apropriado seja
aplicado.
90
3. Tem como objetivo manter a proteção adequada dos ativos da organização. Convém
que todos os principais ativos de informação sejam inventariados e tenham um
proprietário responsável. O inventário dos ativos ajuda a assegurar que a proteção
está sendo mantida de forma adequada. Convém que os proprietários dos principais
ativos sejam identificados e a eles seja atribuída a responsabilidade pela manutenção
apropriada dos controles.
A responsabilidade pela implementação dos controles pode ser delegada, mas a

responsabilidade pela prestação de contas é recomendada que fique com o proprietário
nomeado do ativo.
Ativos de informação: base de dados e arquivos, documentação de sistema, manuais

de usuários, material de treinamento, procedimentos de suporte, planos de
continuidade, procedimentos de recuperação, informações armazenadas.
Ativos de software, aplicativos, sistemas, ferramentas de desenvolvimento e utilitários.
Ativos físicos.
Serviços: computação e serviços de comunicação, iluminação, eletricidade.
4. Segurança dos Funcionários: indica a necessidade de educar e informar os

funcionários atuais ou potenciais sobre a expectativa da empresa para com eles, com
relação a assuntos confidenciais e de segurança, e como sua função na segurança se
enquadra na operação geral da empresa. Tenha um plano de relatórios de incidentes.
Tem como objetivo reduzir os riscos de erro humano, roubo, fraude ou uso indevido das
instalações. É recomendada que responsabilidades de segurança sejam atribuídas na fase
de recrutamento, incluídas em contratos e monitoradas durante a vigência de cada contrato
de trabalho.
91
Os candidatos potenciais devem ser devidamente analisados, especialmente para trabalhos
sensíveis, que todos os funcionários e prestadores de serviço, usuários das instalações de
processamento da informação, assinem um acordo de sigilo.
Este acordo deve constar:
Segurança nas responsabilidades do trabalho.
Seleção e política de pessoal.
Acordos de confidencialidade.
Termos e condições de trabalho.
Treinamento do usuário.
Educação e treinamento em segurança da informação.
Respondendo aos incidentes de segurança e ao mau funcionamento.
Notificação dos incidentes de segurança.
Processo disciplinar.
5. Segurança Física e Ambiental: aborda a necessidade de proteger áreas seguras,

equipamentos de segurança e controles gerais.
Tem como objetivo prevenir acesso não autorizado, dano e interferência às informações
físicas da organização.
É recomendável que os recursos e instalações de processamento de informações críticas ou

sensíveis do negócio sejam mantidos em áreas seguras, protegidas por um perímetro da
segurança definido, com barreiras de segurança apropriadas e controles de acesso. Convém
que estas áreas sejam fisicamente protegidas de acesso não autorizado, dano ou
interferência.
92
U NIDADE 12
ÁREAS DE CONTROLE DO ISO 17799
Objetivo: Conhecer as áreas de controle do ISSO 17799.
6. Gerenciamento de Operações e Comunicações: tem como objetivos:
Garantir instalações para a operação correta e segura do processamento de

informações.
Minimizar o risco de falhas dos sistemas.
Proteger a integridade do software e/ou das informações.
Manter a integridade e disponibilidade do processamento de informações e

comunicações.
Garantir a proteção das informações em redes e da infra-estrutura de suporte.
Evitar danos ao patrimônio e interrupções nas atividades da empresa.
Prevenir perdas, modificações ou uso inadequado das informações trocadas entre

empresas.
Tem como objetivo garantir a operação segura e correta dos recursos de processamento da
informação. Convém que os procedimentos e responsabilidades pela gestão e operação de
todos os recursos de processamento das informações sejam definidos. Isto abrange o
desenvolvimento de procedimentos operacionais apropriados e de respostas a incidentes.
93
Procedimentos operacionais recomendados:
Documentação dos procedimentos de operação.
Controle de mudanças operacionais.
Procedimentos para o gerenciamento de incidentes.
Segregação de funções.
Separação dos ambientes de desenvolvimento e produção.
Gestão de recursos terceirizados.
Verifica-se a existência do planejamento e aceitação dos sistemas onde, as preparações

prévias são requisitos para garantir a disponibilidade adequada da capacidade e recursos.
As projeções da demanda de recursos e da carga de máquina futura devem ser feitas para
reduzir o risco de sobrecarga dos sistemas.
Alguns itens sobre o planejamento:
Planejamento da Capacidade.
Aceitação dos Sistemas.
Proteção contra o software
malicioso. Housekeeping.
Cópias de Segurança.
Registro de operação.
Registro de falhas.
Gerenciamento de Rede.
94
Controle da Rede.
Gerenciamento de mídias removíveis.
7. Controle de Acesso: identifica a importância da monitoração e controle do acesso a

recursos da rede e de aplicativos, para proteger contra abusos internos e intrusões
externas.
8. Manutenção e Desenvolvimento de Sistemas: reforça os esforços de TI, tudo deve ser

implementado e mantido com a segurança em mente, usando os controles de
segurança em todas as etapas do processo.
Tem como objetivo garantir a segurança seja parte integrante dos sistemas de informação.
Isto incluirá infra-estrutura, aplicações do negócio e aplicações desenvolvidas pelo usuário.
O projeto e a implementação dos processos do negócio que dão suporte às aplicações e aos
serviços podem ser cruciais para segurança.
Os requisitos de segurança devem ser identificados e acordados antes do desenvolvimento

dos sistemas de informação. Convém que todos os requisitos de segurança, incluindo a
necessidade de acordos de contingências, sejam identificados na fase de levantamento de
requisitos de um projeto e justificados, acordados e documentados como parte do estudo de
caso de um negócio para um sistema de informação.
9. Gerenciamento da Continuidade dos Negócios: recomenda que as empresas se

preparem com maneiras de neutralizar as interrupções às atividades comerciais, e
protejam os processos comerciais cruciais, no evento de uma falha ou desastre.
Tem como objetivo não permitir a interrupção das atividades do negócio e proteger os
processos críticos contra efeitos de falhas ou desastres significativos.
95
O processo de gestão da continuidade deve ser implementado para reduzir, para um nível
aceitável, a interrupção causada por desastres ou falhas da segurança, através de
combinações de ações de prevenção e recuperação.
É importante que as conseqüências de desastres, falhas de segurança e perda de serviços

sejam analisadas, recomenda-se que os planos de contingência sejam desenvolvidos e
implementados para garantir que os processos do negócio possam ser recuperados dentro
da requerida escala de tempo. É importante que tais planos sejam mantidos e testados de
forma a se tornarem parte integrante de todos os outros processos gerenciais.
A gestão da continuidade do negócio deve incluir controles para a identificação e redução de

riscos, a limitação das conseqüências dos danos do incidente e a garantia da recuperação
tempestiva das operações vitais.
Tópicos importantes dentro da continuidade do negócio:
Processo de gestão da continuidade do negócio.
Análise do Impacto.
Documentando e Implementando planos de continuidade.
Estrutura do plano.
Testes, manutenção dos planos de continuidade.
10. Compatibilidade: instrui as empresas a observar como a sua compatibilidade com o

ISO 17799 se integra ou não com outros requisitos legais como o European Unions
Directive on Privacy (Diretivas da União Européia sobre Privacidade), Health
Insurance Portability and Accountability Act (Decreto de Responsabilidade e
Portabilidade de Seguro de Saúde, HIPAA) e o Gramm-Leach-Bliley Act (GLBA). Essa
seção exige também uma revisão da política de segurança e compatibilidade técnica,
96
além de considerações a serem feitas com relação ao sistema do processo de
auditoria, para garantir que cada empresa se beneficie o máximo possível.
Instrui as empresas a observar como a sua compatibilidade com o

ISO 17799 se integra ou não com outros requisitos legais como o
European Union's Directive on Privacy (Diretivas da União Européia sobre Privacidade),
Health Insurance Portability and Accountability Act (Decreto de Responsabilidade e
Portabilidade de Seguro de Saúde,
HIPAA) e o Gramm-Leach-Bliley Act (GLBA).
Benefícios do ISO 17799:
Com o certificado ISO 17799 uma empresa pode fazer mais negócios do que aquelas sem
certificação. Se um cliente em potencial estiver escolhendo entre dois serviços diferentes, e a
segurança for uma preocupação, eles geralmente selecionarão a opção certificada. Além
disso, uma empresa certificada oferecerá:
Segurança corporativa aprimorada.
Planejamento e Gerenciamento de segurança mais efetivo.
Parcerias e e-commerce mais seguros.
Confiança aprimorada do cliente.
Auditorias de segurança mais seguras e precisas.
Redução de responsabilidades legais.
97
Status do ISO 17799:
O ISO está atualmente revisando o 17799 para torná-lo mais aceitável pelo seu público
global. Determinou o primeiro padrão e suas recomendações principais e idéias serão
criadas e expandidas de acordo com as necessidades futuras. Até então o ISO 17799 é o
padrão a ser seguido.
Se a sua empresa não possui um programa de proteção de informações, o ISO 1779 pode
fornecer as diretrizes para a criação de um. Mesmo que você não queira se tornar
certificado, o ISO 17799 pode servir como um guia para a criação da postura de segurança
da sua empresa. Você pode pensar nesse padrão como uma boa diretriz de segurança a ser
usada pela sua empresa. Porém, você poderá descobrir que os benefícios da certificação
podem ser muito abrangentes.
6.4. Avaliação e Riscos de um Plano de Contingência
Riscos inerentes às atividades da empresa devem ser identificados, avaliados e gerenciados

de modo a evitar a ocorrência de acidentes e/ou assegurar a minimização de seus efeitos.
Requisitos:
Implementação de mecanismos que permitam, de forma sistemática, identificar e

avaliar a freqüência e as conseqüências de eventos indesejáveis, visando a sua
prevenção e/ou máxima redução de seus efeitos.
Implementação de mecanismos para priorização dos riscos identificados, bem como a

documentação, a comunicação e o acompanhamento das medidas adotadas para
controlá-los.
Incorporação de processos de avaliação de risco a todas as fases dos

empreendimentos e produtos, incluindo os relacionados à proteção da força de
trabalho, comunidades vizinhas e consumidor final.
98
Realização de avaliações de risco periódicas ou à medida que se identifiquem
mudanças nos processos.
Implementação de gestão de riscos de acordo com sua natureza e magnitude, nos

diversos níveis administrativos.
6.4.1. Introdução
A grande maioria das empresas que operam no Brasil espera enfrentar algum tipo de
problema de segurança virtual (Oitava Pesquisa Nacional de Segurança da Informação,
realizada pela empresa Módulo). Segundo o estudo, 82% dos entrevistados esperam
enfrentar mais problemas, enquanto 43% das companhias reconheceram ter sofrido ataques
aos seus sistemas de segurança, sendo que 24% desses eventos ocorreram nos últimos
seis meses.
A pesquisa revela que, embora a grande maioria dos pesquisados reconheça que a
tendência de crescimento desse problema seja real, somente 49% dessas empresas têm
algum plano de ação formalizado em caso de ataques. A preocupação com a segurança, no
entanto, entrou definitivamente na pauta dos investimentos dos empresários: 77% admitem
gastar mais neste item em 2003, com duas tendências claras: 81% vão investir na
capacitação técnica de pessoal e 76% pretendem implementar uma política de segurança.
Neste sentido, 75% dos entrevistados reconhecem serem conscientes para a necessidade
das empresas realizarem análises de riscos. Segundo um balanço realizado pela Modulo, os
hackers são os principais responsáveis por 48% dos ataques e invasões no ano passado,
representando um aumento de 15% com relação ao ano de 2001. Empregados das próprias
empresas saltaram de 24% para 31%; e ex-funcionários somam 8% e os concorrentes
saíram do 1% para 4%.
A Oitava Pesquisa Nacional de Segurança da Informação ouviu, entre março e agosto deste
ano, 547 profissionais – o triplo dos entrevistados em 2001 – ligados às áreas de tecnologia
99
e segurança da informação de todos os segmentos econômicos, abrangendo mais de 30%
das mil maiores empresas do País, revelou a Módulo.
Na verdade, a TI representa apenas um componente das operações de negócios com as

quais as pessoas têm de se preocupar. Embora as ameaças cibernéticas aumentem
diariamente, o perigo de danos causados por desastres naturais e por indivíduos está
sempre presente, e não deve ser subestimado.
As empresas devem contar com medidas implementadas que protejam todos os aspectos de
seus negócios, desde a segurança física até emergências de segurança da TI e dos
negócios em geral. Os eventos catastróficos de 11 de setembro de 2001 mostraram ao
mundo a importância crucial do planejamento contra desastres e veio a dar maior impulso a
continuidade de negócios em todos os segmentos organizacionais, aumentando a
necessidade de se ter redundância e os chamados Discovery Recovery.
Um sistema de segurança eficiente ocorre quando a administração compreende suas

prioridades e continua a avaliar a segurança para ir ao encontro aos interesses da empresa
protegendo sua rede contra falhas na segurança, e ainda ficar aberto o suficiente para que
as funções principais dos negócios sejam conduzidas com eficiência.
FÓRUM III
Autenticação
100
Segurança da Informação
http://www.scribd.com/doc/323333/20070914-Seguranca-da-Informacao
101
U NIDADE 13
MEDIDAS, MONITORAMENTO E RISCOS NA SEGURANÇA
Objetivo: Conhecer as medidas de segurança, de monitoramento e riscos.
6.4.2. Medidas de Segurança
O que são Medidas de Segurança? São

esforços como procedimentos, software,
configurações, hardware e técnicas
empregadas para atenuar as vulnerabilidades
com intuito de reduzir a probabilidade de
ocorrência da ação de ameaças e, por
conseguinte, os incidentes de segurança.
Como tudo envolve custo, antes de decidir pela

estratégia a ser adotada, é importante atentar para o nível de aceitação dos riscos. Este
deve definir os níveis de investimentos das medidas de segurança que serão adotadas pela
empresa.
Qual a melhor medida de segurança? Muitos acreditam que possa existir um modelo ideal
de segurança pronto e que seja encontrado em livrarias, supermercados, ou quem sabe em
lojas de conveniência! Seria muito bom se isso fosse verdade!
Longe desta realidade, modelos de segurança devem ser preparados por profissionais
especializados na área, segundo diversos fatores como tipo de negócio, estratégia, ambiente
operacional, cultura da empresa, entre outros. Muitas vezes, a combinação de várias
estratégias pode ser a saída para que a empresa consiga atingir o nível de segurança
desejado e que é requerido em função de seu tipo de negócio.
102
Existem algumas estratégias que podem ser aplicadas em um ambiente computacional. A
seguir, apresentamos três estratégias de segurança que podem ser utilizadas, como Medida
Preventiva, Detectiva e Corretiva.
a) Medida Preventiva: estratégia com foco na prevenção da ocorrência de incidentes de

segurança. Todos os esforços estão baseados na precaução e, por esta razão, o
conjunto de ferramentas e/ ou treinamentos estão voltados para esta necessidade.
As ações preventivas devem estar previamente orçadas, contratadas, acompanhadas

e atuantes em pré-ocorrências do risco. Podem se restringir a uma ação puramente
técnica controlada internamente ou pode requerer uma ação externa (fornecedores,
terceiros, etc.).
b) Medida Detectiva: estratégia utilizada quando se tem a necessidade de obter

auditabilidade, monitoramento e detecção em tempo real de tentativas de invasão.
Exemplos:
Monitoramento.
Monitoração de ataques.
Controle sobre os recursos.
Controle das atividades de
usuários. Auditoria.
Trilhas.
Documentação.
Log.
c) Medida Corretiva: são ativadas pós-ocorrência do risco. Pode ser o último estágio
antes do acionamento de um Plano de Contingência. Ações corretivas em demasia
podem ser o resultado de um planejamento ou operações inadequadas ou mesmo a
103
falta deles. Muitas das vezes, ocorrem de forma emergencial, sem planejamento e
dependendo do procedimento e das ferramentas adotados podem ser mais nocivas
para o ambiente de TI do que benéficas. Podem ser evitadas caso haja ações
Preventivas.
6.4.3. Definição de Incidente de Segurança
A questão não é "se”, mas “quando”, ou seja, em algum momento teremos um incidente de
segurança em nossa rede com um maior ou menor nível de gravidade, desta forma, faz-se
necessário definirmos claramente o que é um incidente de segurança. Esta definição deve
estar contida em nossa política de segurança, mas de forma genérica podemos classificar
como incidente de segurança: "Invasões de computador, ataques de negação de serviços,
furto de informações por pessoal interno e/ou terceiros, atividades em redes não autorizadas
ou ilegais”· Desta forma, além de termos claramente definidos o que é um incidente de
segurança devemos estabelecer medidas de pré e pós-incidente, ou seja, devemos estar
preparados para a ocorrência de um incidente.
Medidas pré-incidentes:
Classificação dos recursos a serem protegidos.
Implementação de mecanismos de segurança.
Definição de equipe multidisciplinar para atuar em caso de incidentes.
Classificação dos incidentes quanto ao nível de gravidade.
Elaboração da estrutura administrativa de escalonamento do incidente (do operador,

passando pelos gerentes até o presidente).
Montagem de kit de ferramentas para atuar em incidentes em plataforma diversas.
Definição de procedimentos a serem adotados.
104
Entre as medidas pós-incidentes podemos incluir:
Procedimentos de coleta e preservação de evidências.
Procedimentos de recuperação dos sistemas afetados.
Procedimentos de rastreamento da origem.
Elaboração de processo legal contra o causador do incidente.
6.4.4. Avaliação de Riscos
Talvez seja a parte mais complexa da segurança. Nesta fase, sua empresa deve determinar
a força e vulnerabilidade de sua rede. Você deve priorizar os recursos comerciais e avaliar
se estes recursos chaves estão protegidos pelas soluções de segurança atuais.
É fundamental a segurança centralizar-se em capacitar um sistema a manter dados

particulares confidenciais, proteger a integridade da informação quando esta for enviada de
um ponto a outro, e assegurar-se da identidade dos usuários.
Ainda não há um sistema totalmente seguro. Falhas nos computadores são inevitáveis.
Desde que as arquiteturas de rede são complexas e o ambiente da computação está sempre
mudando, existem sempre novos riscos e exposições para a rede. O assunto a ser enfocado
é se as vulnerabilidades de uma empresa - os riscos que ela corre – são administráveis ou
não.
Uma dica neste estágio é priorizar os ativos da empresa e destacar os mais cruciais que
requerem atenção imediata em caso de evento inesperado.
105
Passos para seguir nesta fase:
PASSO 1: Identificar onde existe a vulnerabilidade: avaliar a arquitetura e a política de

acesso da rede, o uso das soluções como Firewalls e codificação, usando sistemas de
verificação como um software de detecção de intrusos, filtros de e-mail e antivírus.
PASSO 2: Analisar as vulnerabilidades: deve ser incluída uma análise da relação custo-
benefício para os riscos nas vulnerabilidades. Para fazer isto, você deve ter um senso claro
das informações das propriedades dos negócios.
PASSO 3: Reduzir os Riscos: conforme as redes de computadores vão se tornando mais

complexas, a avaliação também precisa reduzir os riscos. Classifique este aspecto
respondendo a perguntas sobre soluções e políticas de segurança interna, por exemplo,
senhas utilizadas, compartilhamento de informações, entre outros.
De modo a auxiliar no processo de mapeamento e pontuação do grau de criticidade dos

recursos, devem-se observar alguns pontos:
Identificação dos ativos a serem protegidos: dados (quanto a confidencialidade,

integridade e disponibilidade), recursos (quanto à má utilização, indisponibilidade,
outros) e reputação (imagem, credibilidade, outros).
Identificação dos possíveis atacantes: concorrentes, funcionários, ex-funcionários,

pessoal terceirizado, visitantes, vândalos, espiões.
Identificação dos tipos de ataque: Denial of Service (Negação de Serviço), roubo de

informação, erros ou acidentes.
Classificação dos ativos: quanto ao grau de impacto para o negócio, caso seja
comprometido.
106
Elaboração da documentação da rede e arquitetura atual: sistemas operacionais
utilizados, versão do sistema operacional, fornecedor, serviços habilitados,
responsáveis pelo sistema, etc.
Definição de diretivas: quanto ao monitoramento da rede e sistemas (e-mail, sites

acessados, programas utilizados).
Definição de diretivas: referentes à propriedade intelectual;
Identificar instituições: federais, internacionais e os profissionais especializados, bem

como estabelecer acordo de cooperação, como FAPESP, RNP e DPF, EMBRATEL,
TELECOM em geral, entre outras.
Definir uma estratégia: de proteção dos ativos conforme o grau de criticidade do

mesmo para a instituição. Uma regra universal para definição dos investimentos é "o
valor investido na proteção do ativo não deve ser maior que o valor do mesmo", na
definição dos valores deve-se considerar fatores, como tempo de recuperação,
impacto ao negócio entre outros.
6.4.5. Monitorando Sistemas e Brechas
O monitoramento da segurança deve ser classificado de acordo com o quanto ele é sensível,
registra e reage ao uso ou mau uso da rede, e como cuida de novos problemas e soluções
disponíveis a partir de uma comunidade de peritos.
Leve em conta seus parceiros: a sua empresa trabalha com e depende de outras
empresas para a execução de algumas funções essenciais aos seus negócios.
Certifique-se de que seus principais fornecedores e parceiros comerciais também
tenham planos contra desastres implementados.
Compromisso ao nível executivo: assim como acontece com qualquer outra iniciativa
de segurança que envolva tempo e recursos, os seus planos de contingência e de
recuperação de desastre terão de ser financiados pela empresa. Isso poderá requerer
107
um compromisso por parte dos executivos de sua organização, a fim de demonstrar a
necessidade de tal plano, e de testar tais planos regularmente, estando preparado
para fornecer à administração análises e documentação demonstrando o risco de
possíveis perdas financeiras caso um desastre ocorra e sua empresa não possa se
recuperar.
Teste o plano: a fim de provar o seu compromisso com o planejamento de

recuperação de desastres, é preciso que você teste completamente o seu plano. Não
espere até que um incidente ocorra para descobrir se seus planos são efetivos.
Encare isso como um treinamento de incêndio – é possível que um incêndio nunca
aconteça, porém é importante que todos saibam o que fazer, e que o equipamento
seja testado, nesse caso detectores de fumaça e de alarme, caso um incêndio real
aconteça. A freqüência com que você testa a integridade de seu sistema deveria ser
uma parte abrangente de suas conquistas nessa área. Como parte do monitoramento,
um sistema de segurança faz verificações periódicas nos arquivos chaves do sistema,
e as gravações dessas verificações podem ser então comparadas detectando assim,
invasões ou alterações indesejadas. Este processo ajuda a estabelecer uma visão
detalhada dos pontos fracos e fortes das redes. A TI pode criar políticas de segurança
e soluções baseadas nesses resultados.
Atualize o plano: ao alterar elementos importantes em seu plano de negócios, a

eficácia do plano é afetada, portanto é hora de revisá-lo. As alterações em sua
estrutura operacional, tais como novos softwares, novos parceiros de negócios ou a
adição de redes sem fio podem indicar que é hora de revisar o plano e atualizá-lo para
que reflita as mudanças. Mesmo que a empresa classifique a infra-estrutura de
segurança como excelente neste momento deve, num curto espaço de tempo,
reavaliá-la a fim de prevenir novas ameaças à rede por ataques de hackers e vírus
que se tornarão cada vez mais complicados à medida que a Internet for se integrando
aos seus negócios. A capacidade crescente do comércio eletrônico aumenta a
vulnerabilidade da rede aos vírus e invasores. Uma segurança eficiente irá requerer
108
reavaliação constante no modo como sua empresa avalia, monitora, planeja, e testa a
segurança das redes.
Juntamente com os principais executivos das áreas centrais de negócios, os gerentes de TI

são as pessoas mais indicadas para avaliar a qualidade e os métodos do plano de
segurança. Eles podem determinar melhor quais recursos da rede são considerados mais
valiosos para os objetivos da empresa, construindo um plano claro e sólido, identificando os
pontos com maiores vulnerabilidades e essenciais à empresa. Em intervalos regulares, eles
também são as pessoas mais indicadas para reavaliar e classificar o plano de segurança e
seu desempenho. Entretanto, eles não devem ser os únicos preocupados com a segurança,
este plano deve ser bem conhecido pelos funcionários e deve deixar bem claro quem deve
ser o primeiro contatado para que possa responder e tomar decisões.
6.4.6. A Organização e os Riscos
Após a identificação de um possível incidente devemos:
Confirmar a ocorrência do mesmo, de forma a evitar esforço desnecessário, ou seja,

distinguir entre o “falso-positivo” e incidente real.
Registrar todas as ações tomadas.
Definir o nível de criticidade do incidente.
Identificar sistemas atingidos direta ou indiretamente.
Observar se o incidente continua em curso.
Acionar os especialistas necessários para a resposta ao incidente.
Notificar a gerência quanto ao estado do sistema, tempo estimado de recuperação e

ações de contra-resposta.
109
Isolar os sistemas atingidos até a recuperação do mesmo e coleta das evidências.
Devemos notar que ações de contra-resposta não significam bombardear a origem do

ataque, caso tenhamos identificado a mesma, mas sim os procedimentos de
preservação das evidências, e recuperação do sistema. Esta questão é fundamental,
pois realizar uma ação de "ataque" contra o agressor não é uma medida muito
inteligente visto que:
o Seu tempo será gasto com uma ação que poderá complicá-lo.
o Você mostra ao agressor que o mesmo foi descoberto.
o Estará utilizando os recursos de sua instituição de forma incorreta.
o Estará contribuindo para a elevação do nível de lixo na Internet como um todo.
Recomenda-se os procedimentos discrição e ações para identificação da técnica utilizada

para comprometer o sistema. Somente as pessoas certas devem ser notificadas, com
informações claras do ocorrido, as ações que devem ser tomadas e o tempo estimado para
normalização do sistema.
Montar uma equipe de resposta a incidente não é tarefa fácil, desta forma devemos
identificar dentro da instituição profissionais com diferentes perfis e acioná-los no caso de
intrusão. É necessário que passem por treinamento para familiarização dos procedimentos
de resposta a incidentes e entendimentos das ações e hierarquias a serem respeitadas, ou
seja, podemos ter uma equipe relativamente pequena de profissionais altamente
especializados em resposta a incidentes, sendo que esta equipe sabe que pode acionar
outros interlocutores internos ou até mesmo externos, no processo de resposta a um
incidente de segurança.
A equipe deve contar com profissionais multidisciplinares e/ou com especialidade tais como:
criptografia, banco de dados, TCP/IP, Firewall, sistema de detecção de intrusão ou IDS,
110
elementos de conectividade, plataformas variadas, estenografia, estrutura de arquivos, e
outras especializações.
Em conjunto com outros setores a equipe de resposta a incidente deve classificar os

mesmos quanto gravidade, prioridade, valor do ativo, técnica utilizada, entre outros quesitos.
Salienta-se a todos os envolvidos no processo da hierarquia de escalonamento, que no caso

da ocorrência de um incidente de segurança, deve-se ter um interlocutor entre a equipe de
resposta e a direção da instituição, em nenhum momento membros da equipe devem
comentar as ações com outras pessoas, sobre o risco de comprometer a continuidade dos
trabalhos, pois o incidente pode ter origem interna. É importante lembrar que uma equipe de
resposta a incidente deve ter direito de acesso a setores, recursos e dados de forma a poder
executar seu trabalho.
111
U NIDADE 14
POLÍTICAS, REGRAS E ESTATÍSTICAS DE INVESTIMENTOS EM CONTINGÊNCIA DE
GRANDES EMPRESAS
Objetivo: Conhecer as Políticas, Regras e Estatísticas de Investimentos.
6.4.7. Política de Segurança de Senhas
Uma senha fácil de deduzir é a causa mais comum dos problemas de segurança.
Alguns critérios que devem ser seguidos por todo para a troca de senha:
Nunca criar senhas tomando por base o próprio nome, mesmo que seja o seu nome
de trás para frente.
A senha não pode ser fácil de adivinhar, como o nome do marido ou da mulher, do
namorado ou namorada, do seu cão, a placa do carro, a rua onde mora, a data do
nascimento ou outra informação conhecida. Os hackers costumam usar os programas
e dicionários on-line para adivinhar expressões como, por exemplo, “dedicação”.
A dica é ser criativo, utilizando, por exemplo, frases, como: “Até que a morte nos
separe querida” e utilizando a primeira letra de cada palavra “aqamnsq”. Dessa forma,
a senha não é propriamente uma palavra, mas é fácil de lembrar e difícil de adivinhar.
É aconselhável combinar palavras com números.
Nunca crie uma senha somente com números, pois é muito fácil adivinhar.
112
Regras:
Existem algumas regras recomendáveis para a criação de usuários e senhas, que podem ser
utilizadas para minimização com problemas de senhas.
Quanto aos usuários:
Não usar a conta do superusuário ou administrador para outros setores/funcionários.
Criar grupos por setores/áreas afins.
Criar contas dos usuários de acordo com seus nomes, dentro dos grupos..
Como sugestão de senhas, não utilizar:
o Mesmo nome de usuário, nome de login.
o Senha em branco.
o Palavras óbvias, como senha, pass ou password.
o A mesma senha para diversos usuários.
o Primeiro e último nome do usuário.
o Nome da esposa/marido, pais ou filhos.
o Informação sobre si mesmo, como placa do carro, data de nascimento, telefone,

CPF, etc.
o Palavra com menos de seis caracteres.
Quanto a senhas, podemos sugerir o uso de:
Letras maiúsculas e minúsculas.
Palavras com caracteres não alfabéticos como números ou sinais.
113
Fácil de lembrar para não ter que escrever.
Fácil de digitar, sem ter que olhar o teclado.
6.5. Estatísticas de Investimentos em Contingência de Grandes Empresas
Iremos mencionar as medidas de contingência de sete grandes

empresas para se ter uma idéia da necessidade e aderência do
mercado quanto a necessidade de continuidade de seus negócios.
Salienta-se que o fato de não utilizar a contingência ou investir

ainda não garante a continuidade dos negócios para uma
organização. É importante colocar em pauta a quantidade de tempo que é necessária para
que a operacionalidade da empresa retorne e seu status, o quanto pode estar defasada as
informações se comparada ao momento de incidente.
6.5.1. Volkswagen
Faturamento em 2007: 21,2 bilhões de reais.
Investimento em proteção de dados e contingência: não informado.
Tipo de contingência: centro de dados de emergência em outro local.
Já teve de usar os sistemas de contingência? Sim, por causa de greves em algumas

unidades.
Os atentados nos Estados Unidos afetaram os planos de contingência? O centro de dados

foi construído em 1985. Nada mudou nos planos.
114
6.5.2. Shell
Investimento em proteção de dados e contingência: 5% do investimento

anual com TI.
Tipo de contingência: centro de dados de emergência em outro local.
Já teve de usar os sistemas de contingência? Não.
Os atentados nos Estados Unidos afetaram os planos de contingência? Não. Os planos de

contingência existem desde a época dos mainframes. Nada foi alterado.
6.5.3. Credicard
Faturamento em 2007: Não Disponível.
Investimento em proteção de dados e contingência: a contingência

aumenta em 20% os custos de T.
Tipo de contingência: sistemas distribuídos em três locais no Brasil
Já teve de usar os sistemas de contingência? Sim, por causa de um prédio danificado.
Os atentados nos Estados Unidos afetaram os planos de contingência? Os procedimentos

de proteção de dados são bastante rígidos, mas talvez sejam reforçados.
6.5.4. CSN
Tipo de contingência: sistemas redundantes no centro de dados.
115
Já teve de usar os sistemas de contingência? Não informado.
Os atentados nos Estados Unidos afetaram os planos de contingência? Os computadores

ficam em salas-cofres. Nenhuma medida adicional foi tomada.
6.5.5. Bristol-Myers Squibb
Investimento em proteção de dados e contingência: 4% do investimento

anual de TI.
Tipo de contingência: contingência terceirizada.
Os atentados nos Estados Unidos afetaram os planos de contingência? Tem planos de

contingência há mais de 20 anos. Não vai fazer mais investimentos.
6.5.6. Deutsche Bank
Investimento em proteção de dados e contingência: 1 milhão de reais por

ano
Tipo de contingência: contingência terceirizada.
Os atentados nos Estados Unidos afetaram os planos de contingência? Vai investir em

proteção, mas afirma que isso já estava planejado antes dos atentados.
116
6.5.7. GVT
Faturamento em 2007: 980,7 milhões de reais.
Tipo de contingência: sistemas redundantes no centro de dados.
Já teve de usar os sistemas de contingência? Sim, por causa de falha em equipamentos.
Os atentados nos Estados Unidos afetaram os planos de contingência? Estuda a contratação

de um serviço terceirizado de recuperação de desastres.
117
U NIDADE 15
COMPONENTES DE SEGURANÇA: FIREWALL
Objetivo: Conhecer a funcionalidade, composição e filtros dos componentes de segurança.
7. FIREWALL
Um dos principais componentes de segurança de uma empresa, como também o mais

conhecido e antigo. Significa “barreira de fogo”, que nas organizações é implantado para que
os usuários da Internet não acessem dados das Intranets, restringindo a visibilidade das
informações, conforme as permissões de cada um, ou seja, entre duas redes ele é a barreira
que permite ou não o acesso de dados. Um Firewall é, portanto, um software ou hardware
que verifica informações que entra em PC pela internet ou por uma rede ele bloqueia ou
permite que estas informações entre em sua máquina, dependendo de como esta
configurado seu PC.
118
Um Firewall pode ajudar a impedir que hackers ou softwares mal-intencionados (como
worms) obtenham acesso ao seu computador através de uma rede ou da Internet. É utilizado
para evitar que o tráfego não autorizado possa fluir de um domínio de rede para o outro.
“Firewall é um ponto entre duas ou mais redes no qual circula todo o tráfego. A partir deste
tráfego é possível controlar e autenticar o tráfego, além de registrar por meio de logs, todo o
tráfego da rede, facilitando sua auditoria. É um dos maiores destaques para hackers, pois se
o mesmo conseguir acessá-lo pode alterar suas permissões e alcançar o bem mais valioso
das empresas – a informação” (Bill Cheswick e Steve Bellovin, em Firewall and Internet
Security: Reppeling the Wily Hackers).
“Firewall é um componente ou conjunto de componentes que restringe o acesso entre uma

rede protegida e a Internet, ou entre conjuntos de redes” (Chapman).
Na Internet, define-se Firewall com o intuito de restringir o acesso que a Internet possibilita,
quebrando o paradigma da “conectividade sem limites”. Porém, possuir um Firewall não
resolve os possíveis problemas de segurança, pois o componente sozinho não é uma
barreira, mas suas configurações é que faz esta função ser atingida.
Os primeiros Firewalls foram implantados em roteadores, no final da década de 80, por

estarem em posição privilegiada – conectando redes distintas. As regras de filtragem eram
baseadas na origem, destino e tipo de pacote. Com a chegada da Web, foi necessário
separar as funcionalidades do Firewall dos roteadores. Assim, Para atender as questões de
segurança, houve aumento de complexidade, surgindo as mais diversas tecnologias, como
filtro de pacote ou estado, proxies, híbridos e adaptativos. Outras funcionalidades foram
implementadas, como o Firewall reativo e individual.
Atualmente, existe uma tendência a serem adicionados mais serviços aos Firewalls, mesmo
não estando diretamente associado à segurança, como por exemplo, gerenciamento de
banda, balanceamento de cargas, servidor de e-mail ou Proxy, entre outros.
119
Este capítulo irá ilustrar o funcionamento dos principais tipos de Firewalls, tecnologias,
arquiteturas, principais produtos comerciais e componentes integrantes na arquitetura.
7.1. A funcionalidade do Firewall e sua composição
Um Firewall é um sistema ou grupo de sistemas que reforça uma política de segurança de

dados existente entre uma organização e eventuais usuários situados fora da mesma,
especialmente os de origem na Internet, criando uma barreira inteligente através da qual só
passa o tráfego autorizado.
A solução certa para a construção de um Firewall é raramente constituída de uma única

técnica. É, ao contrário, um conjunto balanceado de diferentes técnicas para resolver
diferentes problemas. Os problemas que devem ser resolvidos dependem de quais serviços
a organização pretende tornar disponíveis e de quais riscos esta considera aceitáveis. As
técnicas a serem empregadas para a solução destes problemas dependem do tempo,
recursos financeiros e conhecimento técnico disponível na organização.
O objetivo de qualquer Firewall é criar um perímetro de defesa projetado para proteger os

recursos internos de uma organização. Para tal, deve atender a alguns requisitos:
Deve ser parte integrante da política global de segurança da organização, de modo a

evitar contornar facilmente por meios disponíveis a qualquer dos usuários internos.
120
Todo o tráfego de dados para dentro ou para fora da rede corporativa deve passar
obrigatoriamente pelo Firewall, para poder ser inspecionado.
Deve permitir apenas a passagem do tráfego especificamente autorizado (política

conservadora "o que não for expressamente permitido é proibido"), bloqueando
imediatamente qualquer outro.
Deve ser imune à penetração, uma vez que não pode oferecer nenhuma proteção ao
perímetro interno uma vez que um atacante consiga atravessá-lo ou contorná-lo.
Um Firewall age como uma barreira que controla o tráfego entre duas redes. O mais seguro
de todos os tipos seria aquele que bloqueasse todo o tráfego com o mundo exterior, mas isto
derrubaria o propósito de fazer conexões com redes externas. O degrau seguinte na escala
seria permitir tráfego com o mundo exterior, mas manter severo controle sobre ele, de modo
seguro. Assim, o Firewall pode ser encarado como um par de mecanismos: um existe para
bloquear tráfego e o outro existe para permiti-lo. A definição do equilíbrio entre estas duas
políticas será sempre baseada numa política global de segurança da organização.
Firewall típico
121
Como o Firewall gerencia todo e qualquer acesso entre a rede interna e a Internet, sem ele
cada componente do sistema na rede interna estaria exposto a ataques externos e, portanto,
deveria possuir capacidades de segurança acentuada. Além disso, o nível de segurança
geral da rede interna seria delimitado, por baixo, pelo elemento mais "fraco" desta rede.
A existência do Firewall permite ao administrador da rede definir um ponto de controle único,

através do qual pode impedir acessos não autorizados, proibir que serviços e dados
potencialmente vulneráveis saiam da rede interna e fornecer proteção contra diversos tipos
de ataques, pela concentração de esforços e tecnologias de forma consolidada neste único
ponto. Outra vantagem do uso de um Firewall é a possibilidade de monitoração centralizada
e geração de alarmes de invasão. De modo geral, pode-se dizer que, para uma organização
que mantém conexões permanentes com a Internet, a questão não é se os ataques
ocorrerão, mas sim quando ocorrerão.
Os administradores de rede devem dispor de ferramentas adequadas para gerar relatórios

de segurança e verificar o estado de suas defesas. Se o administrador de rede não tiver
meios de saber que houve uma tentativa de invasão e se foi ou não bem sucedida, não
precisaria ter um Firewall.
Outro benefício do uso de Firewalls é que tornou-se locais ideais para a colocação de
Tradutores de Endereços de Rede (NAT – Network Address Translators), essenciais para
aliviar a crescente escassez de endereços IP registrados. Assim, a organização necessita ter
apenas um endereço IP conhecido e fornecido por um ISP (Internet Service Provider), sendo
os demais criados internamente e geridos pelo NAT.
O Firewall é composto por diversos componentes, que isoladamente são responsáveis por
algum tipo de serviço específico, que de acordo com o tipo
disponível, vai definir o papel do Firewall e seu nível de
segurança.
De acordo com a divisão clássica temos quatro tipos de
122
funcionalidades de Firewall:
1. Filtros.
2. Proxies.
3. Bastion Hosts.
4. Zonas Desmilitarizadas.
Por apresentarem o mesmo papel, porém de forma mais atualizada, atores modernos
incluem nesta lista os seguintes itens:
NAT – Network Address Translation.
VPN – Virtual Private Network.
As aplicações de Firewall abrangem desde a camada de rede (camada 3 no modelo OSI, ou

camada IP, no modelo TCP/IP) até a camada de aplicação (camada 7 no modelo OSI, ou
camada 5 no modelo TCP/IP).
Os Firewalls que operam no nível da rede geralmente baseiam suas decisões nos endereços
de origem e destino e nas portas contidas em pacotes IP individuais. Um roteador simples é
a forma mais típica de um Firewall operando no nível da rede. Um roteador não é capaz de
decisões sofisticadas sobre o conteúdo ou a origem de um pacote. Por outro lado, este tipo
de Firewall é bastante rápido e transparente para os usuários. No outro extremo, Firewalls
que atuam no nível da aplicação, são geralmente computadores executando servidores
proxy, que não permitem fisicamente a existência de tráfego entre redes, e que efetuam
elaboradas operações de verificação nos dados que por eles trafegam. Além disso, Firewalls
deste tipo são excelentes também como tradutores de endereços de rede (NAT), já que o
tráfego "entra" por um lado e "sai" por outro, depois de passar por uma aplicação que
123
efetivamente mascara a origem da conexão inicial. Este tipo de Firewall é certamente menos
transparente para os usuários e pode até causar alguma degradação no desempenho.
7.1.1. Filtros
São os responsáveis por rotear pacotes de forma seletiva, aceitando ou descartando, através
da analise de cabeçalho. Esta seleção é definida a partir da política de segurança adotada
pela organização.
Existem dois tipos de filtros:
1. Filtros de Pacotes: tipo mais antigo e comum é colocado entre uma rede confiável e
outra não confiável. Opera na camada de Rede e Transporte, toma suas decisões
baseado no endereço IP e nos campos dos pacotes, permite ou proíbe o forward do
pacote usando informações contidas nos Headers dos pacotes, como Endereço IP
124
fonte ou de destino, portas TCP/UDP de destino ou de origem, por protocolos (ICMP,
TCP, UDP, SNMP, etc..), etc. Pode ser dividido em três tipos:
2. Filtragem Estática: implementado na maioria dos roteadores. Suas regras devem ser
alteradas manualmente.
a. Filtragem Dinâmica: modifica suas regras de acordo com o comportamento do

tráfego, como por exemplo, só faz o forward de conexões ssh caso ela tenha
sido iniciada por um host dentro da rede ou ainda, só permite pacotes ICMP
type 8 (echo request) a uma taxa de 3 pacotes por segundo, passando disso
ele nega o tráfego desse protocolo.
b. Filtragem por Status: muito semelhante a filtragem dinâmica, só que agrega

uma profundidade maior na análise do pacote. Um exemplo seria permitir o
forward entre hosts dependendo do status da conexão, permitir conexões
apenas com status de established e related.
c. As filtragens Dinâmicas e por Status, mantêm uma tabela de estados que é

atualizada de acordo com eventos. O filtro de pacotes é caracterizado por
realizar filtros, baseados no cabeçalho do pacote, quanto à origem, porta de
origem, destino, porta de destino e direção de conexões. Para configurar, são
relacionados os filtros com IP ou serviço (TCP, UDP, etc) permitindo ou
proibindo o tráfego. Estes filtros são estáticos, por isso este tipo de tecnologia
também é conhecido por static packet filtering. Para pacotes ICMP, o filtro é
realizado a partir de código ou mensagem de erro.
125
Firewall de filtro de pacotes
Principais vantagens em utilizar esta tecnologia:
Por exercer sua função na camada de rede e transporte, a tecnologia é mais flexível,
barata e fácil de ser implementada.
Os roteadores, que atuam como gateway, podem ser configurados para exercer esta
função.
Proporciona baixo overhead/alto throughtput.
É transparente para o usuário.
Melhor desempenho, comparado aos proxies.
Algumas desvantagens:
O grau de segurança é menor, pois se pode criar pacotes que passem pela
filtragem. Não consegue distinguir entre pacotes verdadeiros ou falsos.
126
É preciso configurar o sentido dos pacotes para que não ocorra IP spoofing, para
determinar se o pacote vem da rede interna ou externa. Isto impossibilita o IP spoofing
de máquinas internas, mas os endereços externos ficam vulneráveis neste caso.
Também é preciso configurar corretamente para a rede não sofrer port scanning,
fingerpriting ou outros ataques.
Existe dificuldade no gerenciamento.
Problemas com protocolos que utilizam portas dinâmicas, como RPC, X11 e H.323,
pois somente o cabeçalho não fornece todos os dados necessários.
O primeiro pacote fragmentado é validado e os demais não são totalmente verificados,

expondo a rede a uma grave brecha de segurança.
ECDSA (Elliptic Digital Signiture Algorith)
http://msdn.microsoft.com/pt-br/library/system.security.cryptography.ecdsa.aspx
127
U NIDADE 16
FILTROS E GATEWAYS
Objetivo: Conhecer o funcionamento dos filtros em componentes de Segurança.
1. Funcionamento do Filtro de Pacote: realizado de forma seletiva por Firewalls que

funcionam com sistemas de filtragem de pacotes entre computadores internos e externos à
rede corporativa.
Um roteador é um dispositivo que recebe pacotes de uma rede e os envia a outra rede. Um
roteador com filtragem de pacotes é conhecido como screening router (ou roteador
examinador).
Tem como objetivo decidir se aceita/recusa o tráfego de cada pacote que recebe,
examinando cada datagrama para determinar se atende a alguma de suas regras de
filtragem de pacotes. Estas regras baseiam-se na informação contida nos cabeçalhos dos
pacotes, que consiste nos seguintes itens:
Endereço IP da origem.
128
Endereço IP do destino.
Protocolo encapsulado (TCP, UDP, ICMP ou IP
Túnel). A porta de origem TCP/UDP.
A porta de destino TCP/UDP.
O tipo de mensagem ICMP.
Se houver coincidência nas informações e a regra permitir a entrada do pacote, este é

encaminhado de acordo com a informação da tabela de roteamento. Se, por outro lado,
houver coincidência, mas a regra exigir a rejeição do pacote, este é descartado. Se não, um
parâmetro padrão determinará se haverá rejeição ou aceitação do pacote.
Algumas regras típicas de filtragem:
Permitir entrada de sessões Telnet somente para determinada lista de computadores

internos.
Permitir entrada de sessões FTP somente para determinada lista de computadores

internos.
Permitir saída de todas as sessões Telnet.
Permitir saída de todas as sessões FTP.
Rejeitar todas as conexões de sistemas externos à rede corporativa, exceto para

conexões SMTP (para a recepção de e-mail).
Rejeitar todo tráfego de entrada e saída oriundo de determinadas redes externas.
Para entendermos como funciona a filtragem de pacotes é preciso saber a diferença entre
um roteador comum e um screening router. Um roteador comum simplesmente observa o
129
endereço de destino de cada pacote e decide qual o melhor caminho para enviar o pacote ao
seu destino. Então, a decisão de como tratar o pacote é baseada somente no endereço de
destino. Existem, então, duas possibilidades: ou o roteador sabe como enviar o pacote ao
seu destino, e o faz, ou não sabe, e retorna-o à origem, com uma mensagem ICMP para o
destino inalcançável.
Um screening router, por outro lado, observa as características do pacote mais detidamente.
Além de determinar se pode ou não rotear o pacote ao seu destino, também determina se
deve fazê-lo, de acordo com as regras de segurança que o roteador deve fazer cumprir.
Observamos a seguir a posição típica de um screening router num sistema.
Usando um screening router para a filtragem de pacotes
A maioria dos sistemas Firewall existentes em conexões à Internet baseiam-se em um

screening router, uma decisão motivada principalmente pelo baixo custo desta solução, já
que a filtragem de pacotes é uma característica incluída como parte integrante dos softwares
que acompanham qualquer roteador. Além disso, mesmo que o screening router não seja a
única ferramenta de proteção, certamente estará presente mesmo em arquiteturas mais
elaboradas, já que a filtragem de pacotes no nível do roteador fornece um grau de segurança
inicial muito bom, numa camada baixa da rede (a camada 3).
130
Posição da filtragem de pacotes usando um screening router, como vista pelo modelo de camadas TCP/IP
Embora seja possível ter apenas um screening router como medida de segurança entre a
rede interna e a Internet, isto coloca grande responsabilidade neste dispositivo, já que é a
única medida de proteção da rede. Se falhar, toda a rede interna estará exposta. Além disso,
não é capaz de modificar serviços ou de proteger operações individuais dentro de um
serviço, podendo apenas negá-lo ou permiti-lo, o que exige normalmente o uso de
arquiteturas mais complexas.
2. Filtros de Pacotes por estado:
Buscando suprir as deficiências do filtro de pacotes, foi criado o filtro de pacotes por estado
como uma evolução, com o desenvolvimento do dynamic packet filter ou stateful packet filter
– que filtra os pacotes a partir das informações dos pacotes e sua tabela de estado. Um Firewall
que utiliza esta metodologia verifica as informações do primeiro pacote, de acordo com a
filtragem – como no filtro de pacotes. É alimentada a tabela de conexões com a entrada deste
pacote, juntamente com suas informações e estado da conexão, sendo a única diferença entre o
filtro de pacotes, mas que corrige o problema da fragmentação de pacotes. É importante
ressaltar, que a tabela de conexões gera um log para posteriores pesquisas.
131
As principais vantagens são:
Bom desempenho, por trabalhar no nível de transporte e
rede. Log de conexões abertas ou não.
Abertura temporária da rede.
Baixo overhead e alto throughtput
Compatibilidade com quase todos os tipos de protocolos.
As principais desvantagens são:
Permite conexão direta para máquinas internas da rede externa.
A autenticação é somente realizada via gateway de aplicação (application gateway).
Apesar de divulgarem que o filtro de pacotes por estado atua na camada de aplicação
é necessário, na maioria dos Firewalls, outros softwares para realizar esta atividade.
7.1.2. Proxies
O Proxy nada mais é do que um tradutor de endereços de aplicações. Trabalha tanto na

camada de sessão, transporte e aplicação.
132
Seu objetivo é não permitir que estações internas se comuniquem a servidores externos sem
reendereçamento, promovendo assim, uma maior segurança dentro da rede, já que
externamente o endereço interno está mascarado.
Um Proxy funciona como um daemon e não utiliza um mecanismo único para controle do
tráfego, sendo necessário um código especial para cada tipo de aplicação. Sua
implementação é simples, minimizando ataque no mesmo. Por possuir um sistema de
alarme, é possível registrar todo o tráfego da rede, tanto interno quanto externo.
Existem dois tipos de proxys, os gateways de circuito e de aplicação. Sua principal diferença
está na camada TCP na qual atua. O primeiro atua como relay entre cliente e servidor
externo, não verificando os serviços executados. Este procedimento pode causar problemas
de segurança, pois o gateway de pacote não sabe diferenciar os serviços, permitindo sua
entrada na rede. Por exemplo, pode-se utilizar a porta 80 (http), para trafegar outro tipo de
informação, sem a percepção do Firewall. O segundo realiza esta verificação, fazendo com
que o payload dos pacotes sejam filtrados.
Gateway de Circuito:
É uma função especializada que pode ser realizada por um gateway de aplicação (uma estação
segura – um computador – que permite aos usuários se comunicarem com a Internet através de
um servidor Proxy, código especial que aceita ou recusa características ou comandos
específicos de certas aplicações, ou mesmo aceita ou recusa a própria aplicação). Este tipo de
Firewall opera na camada de sessão do modelo OSI (camada 4), ou camada de transporte, no
modelo TCP/IP, usa as conexões TCP/IP como Proxy, pois um circuito proxy é instalado entre o
roteador da rede e a Internet. É este Proxy que se comunica com a Internet, em lugar da própria
rede local, e só o seu endereço IP é tornado público na Internet.
133
A posição de um Firewall baseado em um gateway de circuito, como vista pelo modelo de camadas TCP/IP
Os gateways de circuito monitoram a troca de informações entre pacotes para determinar se

uma determinada sessão que está sendo requerida é legítima ou não. As informações
passadas a um computador remoto através de um gateway de circuito parecem ser
originárias do próprio gateway. Com isto, omitem-se informações mais detalhadas sobre a
rede interna. Entretanto, este tipo de Firewall ainda não realiza qualquer filtragem ou
processamento de pacotes individualmente. Suas aplicações típicas são as conexões de
saída, quando os usuários internos que as utilizam são considerados "confiáveis". Desta
forma, uma configuração bastante utilizada é um computador (o bastion host, um sistema
especificamente configurado e protegido para resistir aos ataques externos, como será
detalhado mais adiante) que opera como gateway de aplicação para conexões entrando no
sistema e como gateway de circuito, para as que saem. Isto torna o sistema Firewall mais
transparente e fácil de usar para os usuários internos que desejam acesso direto à Internet,
enquanto provê as funções necessárias à proteção da rede interna contra o tráfego que vem
da Internet.
A figura a seguir ilustra a operação de uma típica conexão Telnet através de um gateway de
circuito. Este simplesmente transmite as informações, sem nenhum exame ou filtragem dos
pacotes. Todavia, como a conexão parece, aos usuários externos, gerada e gerenciada no
134
gateway de circuito, informações sobre a rede interna não estão disponíveis. Só o endereço
IP do gateway é conhecido.
Uma conexão Telnet através de um gateway de circuito
135
U NIDADE 17
CONTINUAÇÃO
Objetivo: Conhecer o funcionamento dos filtros em componentes de Segurança.
Gateway de Aplicação:
Um gateway no nível (ou camada) de aplicação permite ao administrador de redes

implementar uma política de segurança muito mais restritiva do que um roteador. Ao invés de
contar com uma ferramenta genérica de filtragem de pacotes para gerenciar o fluxo de
serviços da e para a Internet, uma aplicação especial (servidor Proxy) é instalada no gateway
para cada serviço desejado.
Se o servidor Proxy para uma dada aplicação não for instalado, o serviço não estará
disponível e os pacotes correspondentes não atravessarão o Firewall. Além disso, o servidor
Proxy pode ainda ser configurado para permitir que apenas algumas características da
aplicação sejam oferecidas, a critério do administrador.
A filtragem de pacotes num servidor Proxy continua, então, sendo efetuada, com a diferença
de que, como o servidor examina intensivamente os pacotes recebidos no nível da aplicação
(camada 7 do modelo OSI, ou camada 5 do modelo TCP/IP), pode filtrar comandos
específicos desta, o que seria impossível para um roteador. Assim, por exemplo, um serviço
http pode estar sendo oferecido, mas determinados comandos, como http:post e http:get,
podem ser bloqueados.
136
A posição da filtragem de pacotes usando um gateway de aplicação, com vista pelo modelo de camadas TCP/IP
A figura a seguir esquematiza e esclarece a posição ocupada pelo servidor Proxy na

filtragem de pacotes, no qual não há comunicação direta entre a rede interna e a Internet; a
rede interna conecta-se ao computador que age como um gateway (ou portão de acesso) e
este conecta-se à Internet, o que reduz as chances de um ataque externo e ainda permite a
inspeção dos dados que passam através do Firewall. Este computador é muitas vezes
conhecido por bastion host, ou bastião, porque é o sistema especificamente projetado para
suportar ataques externos.
Um servidor proxy entre a Internet e a rede interna
137
Um bastion host apresenta características de projeto bem específicas, com a finalidade de
prover segurança por restrição de acesso, como:
A plataforma de hardware do bastion host executa uma versão segura do sistema

operacional, especialmente projetada para protegê-lo das vulnerabilidades do sistema
operacional típico.
Somente os serviços considerados essenciais são instalados no bastion host, pois um

serviço não disponível não pode ser alvo de ataques.
Exigência de autenticação de usuário para acesso aos serviços Proxy.
Somente um subconjunto de comandos do conjunto padrão de uma aplicação é

disponibilizado aos usuários autenticados.
Somente os computadores que gerenciam determinado serviço estão disponíveis aos

usuários autenticados.
Cada servidor Proxy é independente dos demais operando no bastion host, de modo a
impedir que vulnerabilidades específicas afetem a segurança como um todo.
Os gateways de aplicação oferecem aos administradores de redes completo controle sobre

cada serviço individual, porque o servidor Proxy limita os serviços disponíveis, os comandos
138
disponíveis dentro de cada serviço e os computadores conectados para atenderem às
requisições de serviço. Simplificam igualmente a negação de serviço, bastando não
disponibilizar um servidor Proxy para a aplicação.
Outras duas vantagens inerentes a este arranjo são a possibilidade de ocultar os nomes dos
computadores internos e a viabilidade de analisar os conteúdos dos pacotes para verificar se
são "apropriados" e seguros, como rejeitar e-mails que contenham certas palavras).
A principal limitação de gateways de aplicação é a exigência de modificação nos modos de

conexão de usuários aos serviços, ou seja, a falta de transparência para os usuários.
7.1.3. Stateful Multi-Layer Inspection Firewalls
Esta tecnologia de Inspeção de estado multi-camada, considerada a terceira geração dos

Firewalls, permite examinar cada pacote em todas as suas camadas do modelo OSI, desde a
rede (camada 3) até a aplicação (camada 7), sem a necessidade de processar a mensagem.
Posição da Inspeção de Estado Multicamada, como vista pelo modelo de camadas TCP/IP
Com a tecnologia SMLI, o Firewall usa algoritmos de verificação de dados da camada de

aplicação ao invés de executar servidores Proxy específicos para cada aplicação, otimizados
para altas velocidades de inspeção, enquanto os pacotes são simultaneamente comparados
139
a padrões conhecidos de pacotes amigáveis. Por exemplo, ao ter acesso a algum serviço
externo, o Firewall armazena informações sobre a requisição de conexão original, tais como
o número da porta, o endereço de destino e o de origem. No retorno da informação, o
Firewall compara os pacotes recebidos com as informações armazenadas, para determinar
se serão admitidos na rede interna. Desta forma, a SMLI oferece a velocidade e a
transparência ao usuário típicas de um filtro de pacotes, aliadas à segurança e à flexibilidade
de um gateway de aplicação.
A principal limitação desta tecnologia é que ela expõe os endereços IP das máquinas
internas à rede, já que permite que os pacotes internos alcancem a Internet. Esta limitação
pode ser contornada com a adição de servidores Proxy em conjunto, o que eleva ainda mais
a segurança.
7.1.4. Bastion Hosts
São os equipamentos que prestam serviços à Internet. É a sua presença pública na Internet.
Imagine a recepção de um prédio, onde estranhos podem não ter permissão de subir as
escadas nem utilizar os elevadores, mas podem vagar livremente pela recepção e se
informarem do que necessitam. Como numa recepção de edifício, os Bastion Hosts são
expostos a possíveis elementos hostis, que tendo ou não permissão, precisam inicialmente
passar pelo Bastion Hosts antes de alcançarem a rede interna. Quando mais simples forem,
mais simples será mantê-lo seguro.
Por estarem em contato direto com conexões

externas, devem estar protegidos da melhor
forma possível. Isso significa que deve executar
somente os serviços e aplicativos essenciais,
bem como ter a ultima versão de atualizações e
patches de segurança instalados em sua configuração, assim que disponibilizado ao
mercado.
140
O bastion host é a ponte de interação com a zona desmilitarizada, pois os serviços
disponíveis à DMZ devem ser impreterivelmente instalados nestes equipamentos protegidos.
7.1.5. DMZ – Zonas Desmilitarizadas
É uma rede que fica entre a rede interna e externa.
Esta segmentação garante que caso algum equipamento bastion host seja atacado na rede
DMZ, a rede interna continuará sua operacionalidade de forma intacta e segura.
Usualmente encontrada como sendo uma rede entre a Internet e a intranet da empresa.
141
U NIDADE 18
NAT, VPN E LIMITAÇÕES NO USO DE FIREWALL
Objetivo: Conhecer solução econômica de IP, redes sobre a infra-estrutura de uma rede
pública e as limitações do Firewall.
7.1.6. NAT - Network Address Translation
É uma das soluções que existem para a economia de endereços IP. É um tradutor de
endereços de rede que visa minimizar a escassez dos endereços IP, pois o crescimento da
Internet tem sido grande e, para que uma máquina tenha acesso à rede, é preciso ter um
endereço IP válido.
Para o tradutor funcionar, é preciso usar endereços IP privados, note que, tais endereços só
podem ser utilizados em redes corporativas, pois, não são propagados pela Internet. A
tradução pode ocorrer de forma estática, onde se estabelece uma relação entre endereços
locais e endereços da Internet ou dinâmica, onde o mapeamento de endereços locais e
endereços da Internet é feito conforme a necessidade de uso. As traduções estáticas são
úteis quando disponibilizamos serviços na rede interna, como um site Web. Nesse quadro,
quando o pedido de conexão chega ao roteador, o NAT consulta a tabela de endereços e
transcreve para o IP interno correspondente, permitindo assim, que seja possível fazer uma
conexão no sentido
da Internet para a rede interna.
As traduções dinâmicas são úteis quando se pretende dar

acesso aos computadores no sentido da rede corporativa
para Internet. Funciona da seguinte forma: o computador
da rede corporativa faz uma requisição que passa pelo
142
roteador e ele, aloca em sua tabela, o endereço da máquina interna que requisitou a
informação e o endereço Internet configurado no roteador (esse endereço pode ser único ou
uma faixa de endereços), e quando os dados retornam da Internet, o NAT consulta a tabela
de traduções e responde a máquina que fez a requisição.
Mostraremos agora a tabela de endereços IP reservados,

inválidos ou privativos, descritos no RFC 1918:
10.0.0.0/8 a 10.255.255.255 (máscara

255.255.255.0)
172.16.0.0 a 172.31.255.255 /12 (máscara

255.240.0.0)
192.168.0.0 a 192.168.255.255 /16 (máscara 255.255.255.0)
O NAT está definido na RFC 1631.
7.1.7. VPN - Virtual Private Network
Rede Privada Virtual é uma rede construída sobre a infra-estrutura de uma rede pública,
normalmente a Internet, ou seja, utiliza-se a infra-estrutura da Internet ao invés de se utilizar
links dedicados ou redes de pacotes (como Frame Relay e X.25) para conectar redes
remotas.
143
Motivada pelo lado financeiro, onde os links dedicados são caros, e do outro lado está a
Internet, que por ser uma rede de alcance mundial, tem pontos de presença espalhados pelo
mundo.
As conexões com a Internet podem ter um custo mais baixo que links dedicados,
principalmente quando as distâncias são grandes, esse tem sido o motivo pelo qual, as
empresas cada vez mais utilizam a infra-estrutura da Internet para conectar a rede privada.
A utilização da Internet como infra-estrutura de conexão entre hosts da rede privada é uma
ótima solução em termos de custos, mas não em termos de privacidade, pois a Internet é
uma rede pública, onde os dados em trânsito podem ser lidos por qualquer equipamento.
Então como fica a questão da segurança e a confidencialidade das informações da
empresa?
144
Criptografia é a resposta. Incorporando criptografia à comunicação entre hosts da rede
privada de forma que, se os dados forem capturados durante a transmissão, não possam ser
decifrados. Os túneis virtuais habilitam o tráfego de dados criptografados pela Internet e
esses dispositivos, são capazes de entender os dados criptografados formando uma rede
virtual segura sobre a rede Internet.
Os dispositivos responsáveis pelo gerenciamento da VPN devem ser capazes de garantir a

privacidade, integridade, autenticidade dos dados.
7.1.8. Limitações no uso de Firewall
Um Firewall não pode proteger uma rede interna de ataques que não passem por ele. Se o
uso de canais de discagem por parte dos usuários da rede for irrestrito, usuários internos
poderão realizar conexões diretas dos tipos PPP (Point-to-Point Protocol) ou SLIP (Serial
Line Internet Protocol), que contornam as barreiras de segurança do Firewall e oferecem
significativo risco de ataques por trás.
145
Conexão SLIP contornando o Firewall
O Firewall não pode prover proteção contra usuários internos agindo de má fé ou por
ignorância. Usuários podem remover dados confidenciais por meio de disquetes, cartões de
notebooks, ou serem vítimas de hackers fazendo-se passar por administradores de sistemas
e solicitando que revelem uma senha, por exemplo. O mesmo se pode dizer quanto à
proliferação de vírus de computador: as organizações devem dispor de softwares anti-vírus
em toda a rede interna, para sua proteção.
Outra forma de ataque contra a qual os Firewalls não são totalmente eficazes são ataques
acionados por dados. Nestes casos, dados aparentemente inofensivos são introduzidos no
interior da rede interna, seja através de e-mail, seja por cópia de arquivos. Neste caso, a
execução de um programa determinado pode disparar alterações significativas em arquivos
relacionados à segurança do sistema, tornando-o vulnerável.
Deficiências do SLIP (Serial Line Internet Protocol):
Há vários recursos que muitos usuários gostariam que o SLIP disponibiliza-se.
Falhas mais comuns notadas no protocolo SLIP:
Endereçamento: em uma ligação SLIP ambos os computadores necessitam conhecer

outros endereços IP para possibilitar o roteamento. Ao usar SLIP para hosts ligados
por linha discada a um roteador, o esquema de endereçamento pode ser
completamente dinâmico e o roteador pode necessitar informar ao host que discou o
seu endereço IP de host. O SLIP atualmente fornece mecanismos para hosts
comunicarem informações de endereçamento sobre uma conexão SLIP.
146
Identificação de Tipos: o protocolo SLIP não possui um campo de tipo. Assim,
somente um protocolo pode percorrer a conexão SLIP, então em uma configuração
que ligue dois computadores que usem outro protocolo além do TCP/IP somente este
poderá usar a linha, não havendo esperança de compartilhar a linha entre os
protocolos.
Detecção/Correção de Erros: linhas telefônicas ruidosas afetarão pacotes em trânsito.

Se a linha for muito lenta (2400bps) a retransmissão de pacotes será muito
dispendiosa. A detecção de erros em nível de SLIP não é absolutamente necessária,
pois as aplicações IP detectarão os danos nos pacotes (checksums de cabeçalho IP,
TCP e UDP), embora aplicações como "NFS" usualmente ignorem o checksum e
dependam do meio da rede para detectar os danos. Por isto, seria melhor que o SLIP
fornecesse um método próprio de correção de erros.
Compressão: por serem as linhas discadas muito lentas (2400bps), a compressão de

pacotes causará grande melhoria no throughput dos pacotes. Usualmente, o fluxo de
pacotes em uma conexão TCP simples possui poucos campos alterados nos
cabeçalhos IP e TCP, então um algoritmo de compressão simples poderá enviar
apenas as partes diferentes dos cabeçalhos em vez dos cabeçalhos completos.
Algum trabalho para solucionar algum ou todos esses problemas vem sendo feito por vários
grupos de trabalho para projetar e implementar um sucessor para o SLIP.
147
U NIDADE 19
ARQUITETURA E PROJETO DE FIREWALL
Objetivo: Conhecer a Arquitetura e projeto de Firewall.
7.1.9. Decisões básicas de projeto para Firewalls
No projeto de Firewalls para proteção de redes corporativas durante conexões à Internet,

algumas questões devem ser abordadas pelo administrador de sistemas:
A orientação do Firewall quanto à passagem de dados.
A política global de segurança da organização.
O custo da solução escolhida.
Os blocos componentes do sistema Firewall.
A orientação do Firewall quanto à passagem de recursos pode ser resumida duas a posições
diametralmente opostas:
Tudo o que não for especificamente permitido é proibido: posição que determina que o
Firewall deva bloquear todo e qualquer tráfego e que cada serviço ou aplicação
desejada deve ser implementada caso-a-caso, sendo esta a mais segura e
recomendada. Sua desvantagem é dar à questão da segurança maior peso que à
questão da facilidade de uso.
Tudo o que não for especificamente proibido é permitido: posição que determina que o
Firewall deva permitir a passagem de todo e qualquer tráfego, e que serviços ou
148
aplicações potencialmente perigosas devem ser desabilitadas caso-a-caso, criando
um ambiente mais flexível, oferecendo mais serviços aos usuários, mas sua
desvantagem é colocar a facilidade de uso num patamar de importância maior que a
segurança.
O Firewall é parte integrante de uma determinada política de segurança da

organização, fator que define os parâmetros e os requisitos do que denominamos
defesa do perímetro. Por outro lado, o terceiro fator que determinará qual a solução
técnica a ser adotada é, sem dúvida, o custo. Este determinará qual a complexidade e
a abrangência da proteção a ser oferecida.
Levando-se em conta os três fatores acima, uma organização pode definir os itens
integrantes do sistema Firewall. Um sistema típico poderá conter um ou mais dos seguintes
blocos componentes:
Roteador com filtragem de pacotes.
Gateway em nível de aplicação (ou servidor Proxy).
Gateway em nível de circuito.
Exemplos de arquiteturas de Firewall:
O sistema mais comum de Firewall consiste em nada mais que um roteador com filtragem de
pacotes, colocado entre a rede interna e a Internet, executando as tradicionais funções de
rotear o tráfego de pacotes entre redes e usar regras de filtragem para aceitar ou recusar
este tráfego. Neste arranjo, os computadores da rede interna têm acesso direto à Internet,
enquanto os externos só dispõem de acesso limitado à rede interna. A política de segurança
mais adotada nesta arquitetura é "tudo o que não for especificamente permitido é proibido".
149
Roteador com filtragem de pacotes
Vantagens:
Baixo custo.
Transparência para os usuários
Desvantagens:
Exposição a ataques por configuração inadequada dos filtros.
Exposição a ataques perpetrados através de serviços permitidos (já que não há

exame do conteúdo dos pacotes).
Necessidade de segurança adicional e autenticação de usuários para cada

computador acessível a partir da Internet.
Exposição da estrutura da rede interna (já que a troca de pacotes entre usuários
internos e externos é permitida, há a exposição dos endereços IP internos).
Se o roteador for atacado, toda a rede interna fica desprotegida.
O segundo exemplo de arquitetura emprega a filtragem de pacotes, que aliada a um

computador especificadamente projetado e protegido contra ataques externos, o bastion
host. Esta arquitetura provê maior grau de segurança porque implementa tanto a filtragem de
150
pacotes, em primeira instância, quanto o fornecimento de serviços através de servidores
Proxy (aplicações com finalidades especiais, instaladas no bastion host, intermediando a
comunicação entre os meios interno e externo, impedindo a direta troca de pacotes entre
eles). Neste esquema, um roteador com filtragem de pacotes é colocado entre o bastion host
e a Internet. As regras de filtragem de pacotes só permitem que o tráfego externo tenha
acesso ao bastion host; o tráfego dirigido a qualquer outro computador da rede interna é
bloqueado.
Como os sistemas internos residem na mesma rede que o bastion host, a política de
segurança determina se os sistemas internos terão acesso direto à Internet ou se deverão
utilizar os serviços de Proxy concentrados no bastion host, o que pode ser reforçado pelo
bloqueio de todo o tráfego de saída que não se origine no bastion host.
As vantagens deste arranjo são:
Um servidor público (que forneça serviços Web ou FTP) pode ser colocado no mesmo
segmento da rede situado entre o bastion host e o roteador, permitindo acesso direto
de usuários externos sem comprometer a rede interna (protegida pelo bastion host).
O mesmo servidor pode situar-se após o bastion host e estar disponível apenas
através de serviços Proxy, tanto para usuários internos quanto externos.
Screened host Firewall (Single-homed bastion host)
151
Um arranjo ainda mais seguro, visto na seguir, pode ser construído com um bastion host que
apresenta duas interfaces de rede: uma com a rede interna e outra com a Internet, passando
pelo roteador. Neste arranjo, conhecido por dual-homed bastion host, não há mais nenhuma
possibilidade de acesso direto entre os sistemas da rede interna e a Internet; todo o tráfego é
bloqueado no bastion host e o uso dos serviços de proxy passa a ser compulsório mesmo
para os usuários internos. Deve-se, entretanto, evitar que usuários externos tenham a
possibilidade de efetuar um login diretamente ao bastion host, sob pena de comprometer a
segurança obtida com este arranjo.
Screened host Firewall (Dual-homed bastion host)
Este arranjo emprega ainda um bastion host e um roteador para acesso à Internet, mas
adiciona um segundo roteador interno (na interface bastion host-rede interna), criando o que
se convencionou chamar de "zona desmilitarizada", ou DMZ. Este arranjo é o que de mais
seguro se pode conceber em termos de arquiteturas de Firewall, pois aplica conceitos de
segurança desde a camada de rede até a de aplicação, além de restringir o acesso a tudo o
que é público (bastion host, servidores públicos, modems, etc.) a uma área restrita, a zona
desmilitarizada. Esta funciona como se fosse uma pequena rede isolada, situada entre a
152
Internet e a rede interna. O tráfego direto através desta é proibido e os sistemas, tanto os
internos quanto os externos, só têm acesso limitado à zona desmilitarizada.
Para o tráfego externo, o roteador mais externo oferece proteção contra os ataques externos
mais comuns, bem como gerencia o acesso da Internet à sub-rede DMZ. Somente o bastion
host (ou, às vezes, o servidor público, dependendo da rigidez da política de segurança deste)
está disponível para acesso. Já o roteador interno provê uma segunda linha de defesa,
gerenciando o acesso da sub-rede DMZ à rede interna, aceitando somente o tráfego
originado no bastion host.
Para o tráfego de saída, as regras são semelhantes. Os sistemas internos à rede privada
somente têm acesso ao bastion host, através do controle exercido pelo roteador interno. E as
regras de filtragem do roteador externo exigem o uso de serviços Proxy para o acesso à
Internet, ou seja, só permite o tráfego externo que se origina do bastion host.
Este arranjo traz diversos benefícios importantes: três níveis de segurança (roteador externo,
bastion host e roteador interno) separam a Internet do meio interno; somente a sub-rede
DMZ é conhecida na Internet, de modo que não há meio de se conhecerem rotas de acesso
à rede interna; da mesma forma, somente a sub-rede DMZ é conhecida para a rede interna e
não existem rotas diretas para o acesso à Internet.
153
U NIDADE 20
SISTEMAS DE DETECÇÃO DE INTRUSÃO
Objetivo: Conhecer os Sistemas de Detecção de Intrusão, seus objetivos e características.
8. IDS – SISTEMAS DE DETECÇÃO DE INTRUSÃO (INTRUSION DETECCTION SYSTEM)
< p>
154
É um conjunto de técnicas e métodos usados para detectar atividades suspeitas na rede e no
host. São divididos em duas técnicas de detecção:
1. Baseado em assinatura e sistemas de detecção de anomalias, em que intrusos tem

assinaturas, como vírus de computadores, podem ser detectados usando-se software.
Tenta-se achar pacotes de dados que contenham quaisquer assinaturas conhecidas
relacionadas a intrusos ou anomalias relacionadas a protocolos de Internet.
2. Baseado em um conjunto de assinaturas e regras, o sistema de detecção pode achar

atividades suspeitas e gerar alertas. Detecção de intrusos baseadas em anomalias
geralmente dependem de anomalias nos pacotes presentes nos cabeçalhos dos
pacotes, podendo produzir resultados melhores comparados aos IDS baseados em
assinaturas. Geralmente, IDS capturam dados da rede e aplicam suas regras a esses
dados ou detectam anomalias neles. Os sistemas de detecção de intrusão é um
componente muito importante para detecção de ataques, portanto torna-se essencial
para ambientes cooperativos. Uma vez que, aos termos este tipo de ambiente
favorece entrada aos sistemas internos a terceiros. O IDS é importante, mas é preciso
definir com cuidado sua localização para que sua funcionalidade seja realizada
adequadamente.
OS primeiros IDS’s surgiram no início dos anos 80. Um bom estudo foi conduzido por
Stanfort Research Institute, de julho de 1983 a 1986 – o Project 6169: Statistical Techniques
Development for Audit Trail System.
155
Onde monitorar?
8.1. Objetivos e características de um IDS
O Firewall é um componente de segurança que bloqueia ou não acessos entre redes,

exercendo uma função de segurança
nas bordas por sua principal tarefa ser
liberar ou não acessos. O IDS vem
complementar os componentes de
segurança, pois tem como principal
objetivo monitorar e acompanhar as
atividades internas ao sistema ou rede.
Em outras palavras, o IDS tem
finalidade de verificar se os acesso
liberados aos bolsões de segurança (extranet e redes desmilitarizadas que tem como
característica a interconexão de organizações) estão sendo realizados da forma esperada,
ou estão sendo uma brecha de segurança. Deve monitorar não apenas estes bolsões, como
também a própria Internet e sistemas internos, pois muitas pesquisas demonstram que
ataques internos são os maiores responsáveis por perdas financeiras.
156
Desta forma, IDS é um detector de anomalias, atividades impróprias ou incorretas de
sistemas corporativos, através de verificação de portas e usuários que são permitidos a
realizar acesso a informações. O Firewall nega o acesso e o IDS tem poder de verificar se o
acesso é legitimo e de rastrear requisições que foram barradas pelo Firewall. Pode alarmar
aos responsáveis dos problemas ocorridos e, dependendo do caso, reconhecer o problema.
Principais características de um IDS, conforme a HAL 98, SAN 99-2 e BEC 99:
Monitoração e análise das atividades dos usuários e sistemas.
Avaliação de integridade de sistemas e dados.
Analise estatística do comportamento de sistemas e de padrões de ataque.
Detecção de erros de configuração de sistemas.
Fornecimento de informações em tempo real.
Resposta apropriada a cada ocorrência apontada com anomalia.
Identificação de origem e destino do ataque.
Capacidade de registro dos ataques para aprendizagem.
Flexibilidade de resposta.
157
Configuração apropriada para evitar "falso-positivos".
Cada empresa adota uma política após a detecção de ataque.
Exemplos [GRA99][BE 99]:
Reconfiguração do Firewall.
Aviso SNMP para sistemas como Tívoli, Open View ou Spectrum.
Registro no Event Viewer.
Geração de log no Syslog.
Comunicação aos responsáveis por e-mail ou Pager.
Gravação das informações de ataque e evidências, para aprendizagem.
Execução de programas que manipulam eventos.
8.2. Tipos de IDS
Sistemas baseados em estação ou Host-Based Intrusion Detection (HIDS).
Sistemas baseados em redes ou Network-Based Intrusion Detection (NIDS).
Hybrid IDS ou IDS híbrido.
158
Existem, ainda, os honeypots, que apesar de não serem IDS, podem ser utilizados por
administradores de sistemas para aprender as formas de ataques, detectando e
armazenando seus tipos.
8.2.1. Sistemas baseados em estação ou Host Based intrusion detection (HIDS)
Realiza o monitoramento através de arquivos de logs ou agentes de auditoria, podendo

monitorar acessos e alterações em arquivos de sistemas, privilegio de usuários, processos,
programas executados, uso de CPU, entre outras informações. Citamos como exemplo um
sistema de coleta de dados que seria um sistema de registros (logs), responsáveis pelo
armazenamento de ocorrências em aplicações que rodam na estação. As aplicações estão
configuradas para enviar seus registros para este sistema e ele é o encarregado de
armazená-los em uma série de arquivos. Um eventual sistema de análise usaria essa base
de registros do sistema comparando-a com padrões pré-estabelecidos com o objetivo de
detectar intrusões.
159
Arquitetura de um sistema de registros
O checksum é uma das formas de realização da checagem de integridade dos arquivos de

sistema. Isto é interessante para detecção de backdoors, por exemplo, pois em geral são
ferramentas cujo arquivo é corrompido. Um exemplo de IDS que realiza estas atividades é o
Tripwire.
Para analisar logs, o IDS verifica com excelência os ataques de força bruta, ou seja, aqueles
com maiores direcionamentos de máquinas para determinados serviços. Ataques mais
sofisticados são mais difíceis de serem identificados através do IDS. Um exemplo de
software é o Swatch. Ele envia alerta quando é detectado um comportamento suspeito do
serviço ou equipamento, ou seja, quando o mesmo apresentar um padrão diferente do
definido como padrão.
Para monitoração de portas, ou seja, verificação de tentativas de ataques e acesso a portas

não utilizadas pelo sistema, caracterizado por um servidor tentar se logar ou realizar
atividade em diversas portas de um servidor. O Portsentry, Abacus Project faz este tipo de
verificação. Através das informações fornecidas e com o auxílio de ferramentas como o TCP
Wrapper, pode-se alertar os administradores do sistema por meio de e-mail, Pager e até
mesmo a interação com o Firewall na colocação de regras de filtragem. Porém,
particularmente, não recomendo este procedimento. Faz-se necessário que alguma pessoa
responsável por a segurança verifique o caso e tome as medidas cabíveis. Se deixar por
responsabilidade do IDS, é perigoso fechar portas, serviços ou IP que não devem ser
fechados indisponibilizando os serviços da organização, maior objetivos dos hackers.
160
Maiores vantagens do HIDS:
Verificação de tentativas de ataques, baseadas em logs, em tempo real.
Monitoração de acesso a arquivos, modificações em permissões de arquivos ou

usuários, logs de usuários no sistema, funções de administrador.
Ataques centrados em servidor (keyboard attack) podem ser detectados facilmente –

muitas requisições para o mesmo servidor.
Garantia de verificação de ataques, mesmo se forem trafegados dados criptografados,

pois o sistema operacional os decifra antes da analise do HIDS.
É independente da topologia de redes, podendo estar associados entre hubs ou

switches.
Em geral, fornece pouco "falso-positivos".
Não necessitam de hardware adicional, somente softwares.
Desvantagens:
Difícil gerenciamento e configuração nos hosts monitorados.
É dependente do Sistema Operacional, já que cada um possui um sistema de log

diferente.
Não e capaz de detectar ataques de rede, como scanning de rede ou smurf – somente
de servidores isolados.
Caso o HIDS seja atacado, as informações são perdidas.
Necessita de grande disponibilidade de espaço em disco para os registros do sistema.
No Windows 98 não é muito eficiente, pois registra poucos logs do sistema e auditoria.
Os hosts monitorados apresentam queda de desempenho.
161
Antes de dar continuidades aos seus estudos é fundamental que você acesse sua
SALA DE AULA e faça a Atividade 2 no “link” ATIVIDADES.
162
U NIDADE 21
NIDS E HIDS
Objetivo: Conhecer os Sistemas baseados na Rede e Sistema de Detecção de Intrusão

híbrido.
8.2.2. Sistemas baseados na Rede (SDIR) ou Network-Based Intrusion Detection

System (NIDS)
Realiza o monitoramento através do tráfego do segmento de rede, atuando de forma

promíscua. Sua análise é realizada a partir dos cabeçalhos e conteúdos dos pacotes,
comparando com os padrões estabelecidos.
Os sistemas baseados na rede ou Network-based Intrusion Detecction System funcionam da

seguinte forma: os pacotes são capturados e é feita uma análise em cada um deles para
verificar se este está dentro de padrões pré-determinados ou não, indicando respectivamente
tráfego normal ou uma tentativa de ataque. Em um meio compartilhado de difusão, os
pacotes passam livremente e todas as interfaces a ele conectadas recebem estes pacotes.
Dependendo do endereço de destino do nível de enlace do pacote, a interface o passa para
o barramento interno da máquina para processamento posterior. Mas, a princípio, todas as
interfaces recebem todo o tráfego. Sendo assim, é necessário posicionar o SDIR na rede que
se quer proteger para que ele possa receber os pacotes necessários para sua análise.
Detecção de intrusão em uma rede local de difusão
163
Salienta-se que estações de trabalho conectadas à rede também podem receber pacotes
destinados a outras estações. Para que uma interface de rede consiga receber pacotes não
destinados a ela, é necessária que ela trabalhe em um modo especial, chamado modo
promíscuo.
Existem basicamente dois modos de operação em uma interface de rede:
Normal: cada interface de rede verifica o endereço de destino do nível de enlace,

também chamado endereço MAC (Medium Access Control), ou ainda endereço físico.
O endereço do pacote é idêntico ao endereço da interface, o pacote é repassado para
processamento interno.
Promíscuo: a verificação feita no modo anterior é completamente ignorada e todos os

pacotes são repassados para processamento. Esse processo também é chamado de
sniffing na rede e pode trazer problemas tanto para a estação de trabalho, que pode
não suportar o processamento de todos os pacotes de uma rede local (seria
necessário verificar o endereço de destino da camada de rede por software), quanto
para a segurança da rede, que pode ficar comprometida devido à exposição de dados
sigilosos, como autenticações.
Os NDIS ou SDIRs precisam trabalhar em modo promíscuo para que mesmo os pacotes não
destinados a ele possam ser analisados. Tendo todas as informações que trafegam pela
rede, é possível ao sistema, por exemplo, detectar varreduras de portas, monitorar conexões
ou datagramas maliciosos, que caracteriza um ataque antigo ao IIS (no pacote com destino
ao servidor web) ou ainda verificar ataques de negação de serviço (através da falta de
resposta de um servidor a uma requisição de um serviço).
Em redes comutadas, cada máquina recebe o tráfego que corresponde somente a ela, ou seja,
uma máquina A não receberia tráfego destinado a máquina B e vice-versa. Isso se deve ao
conhecimento da localidade física de onde está conectada cada estação pelo comutador,
164
ou seja, em qual porta está qual máquina, e ao fato da análise do endereço de destino do
cabeçalho da camada de enlace.
Para detectar intrusões em redes desse tipo, seria necessário algum tipo de artifício no
comutador com o objetivo de fazer com que todo o tráfego que passa por ele seja enviado,
além da porta do destinatário, para a porta onde está conectado o SDIR. Esse artifício é
chamado de espelhamento de portas e tem objetivo de refletir o tráfego de outras portas para
uma porta específica.
O modo como ele é feito é mostrado na figura a seguir na estação A passa um quadro para a
estação B e este é refletido na porta do SDIR.
Detecção de intrusão baseado em espelhamento de portas no comutador
Ao contrário do HIDS, é muito eficiente contra ataques de portscanning, IP spoofing e SYN

flooding, detectando buffer overflow e ataques a um determinado servidor.
Vantagens:
Por ser analisado pacotes, a monitoração e válida para diversas plataformas.
Ataques de port scanning, IP spoofing e SYN flooding são detectados.
Pode ser configurado para monitorar atividades suspeitas em portas conhecidas.
Identifica ataque em tempo real, permitindo ao administrador responder o mais breve

possível ao evento.
Registra os ataques e tentativas.
165
É difícil para um hacker conseguir apagar os rastros num NIDS, caso o mesmo
consiga invadir o equipamento.
O hacker tem dificuldade de saber se existe ou não um NIDS.
Não causa queda de performance na rede.
Desvantagens:
Perda de pacotes quando a rede esta saturada.
Dificuldade de compreensão de alguns tipos de protocolos, como o
SMB. Não consegue decifrar pacotes criptografados.
Dificuldade de utilização em redes segmentadas por switches.
Para amenizar o problema da segmentação de redes com switches, tendência natural

das redes modernas, os administradores de redes vêm utilizando técnicas como:
o Utilizações de IDS incorporadas ao switch, porém é limitada sua capacidade de

detecção e poder de processamento.
o Utilização de porta para monitoração nos switches, porém recebe uma

velocidade menor que causa perda de pacotes monitorados.
o Utilização de HIDS e NIDS em conjunto.
Existem algumas técnicas utilizadas por hackers para não serem monitorados pelo NIDS.
Envio de pacotes fragmentados devido a alguns NIDS não serem capazes de tratar.
Ataques a portas não convencionais, como do DNS (53), para envio de backdoors.
166
Slow Scan – Ataque de forma pausada para que o IDS não perceba o ataque. Para
evitar este tipo de atitude com sucesso, é preciso configurar o IDS apropriadamente.
Ataques por diferentes origens ou coordenados, ficando mais difícil a caracterização

de ataque.
Através do IP spoofing ou proxy mal configurado, o hacker pode executar o ataque e

não ser identificado.
Mudança nos padrões do IDS, para que o ataque não seja reconhecido.
Para manter o NIDS é preciso algumas precações, pois é grande o volume de

informações que são armazenadas no sistema.
Quanto maior o armazenamento das conexões TCP, maior a probabilidade de

detecção de ataques. Para isto, é preciso mais memória nos equipamentos.
Para solucionar o problema da fragmentação, é preciso que seja utilizada a memória

para montagem deste tipo de pacote.
Para o caso scanning, slow scan, o IDS deve armazenar o máximo de tempo possível
às informações.
A maioria das organizações utiliza um sensor ou agente de segmento para monitoração, que
captura os pacotes e os tratam antes de enviar a console, utilizando criptografia,
principalmente o algoritmo assimétrico RSA para formação de um canal seguro.
8.2.3. HIDS – Hybrid Intrusion Detection System
O IDS híbrido tem como objetivo agregar as vantagens do NIDS e HIDS, de forma a melhorar a
detecção de tentativas de ataques e intrusões. A medida que os HDIS atuam somente em
estações críticas, o NDIS atua analisando todo o tráfego de rede, inclusive aquele para
167
estações que não contem um sistema de detecção rodando. Uma configuração bastante
comum seria a de um SDIR para a rede local e SDIEs rodando nos servidores principais.
Detecção de intrusão híbrida
O IDS híbrido, como o NIDS, captura o tráfego da rede, processa, detecta e responde a
ataques. Porém, a estratégia que ele utiliza é diferente: existe o processamento a partir
dos pacotes do próprio sistema, como o HIDS, eliminando o problema do desemepnho.
Porém, existe o problema da escalabilidade. É necessário instalar em cada estação para
que seja efetuada a monitoração.
HIDS x NIDS (http://web.tagus.ist.utl.pt/~carlos.ribeiro/slides/3-3-42-Firewalls.pdf)
168
Breves considerações sobre a Criminalidade Informática e a Legislação Penal no Brasil
http://revista.grupointegrado.br/revista/index.php/discursojuridico/article/viewFile/163/60
169
U NIDADE 22
HONEYPOT E METODOLOGIA
Objetivo: Conhecer configurações de proteção contra Intrusos.
8.3. Honeypot
É uma forma de aprender a partir de intrusões e ataques. Os sistemas de detecção

aprendem a partir das ocorrências e padrões definidos, mas o honeypot é uma experiência
ao vivo e a cores de um ataque. É também conhecido por sacrificial lamb, decoy, booby trap,
lures ou fly-traps.
170
O honeypot é uma armadilha onde existem
em um ou mais equipamentos que estão, em
geral, em uma rede separada que
aparentemente contém informações
importantes da empresa para que os hackers
os acessem.
Um estudo detalhado das técnicas utilizadas e

do ataque está em estudo, podendo estar
associado a um sniffer, para identificar os
hackers – nem sempre utilizado devido à
dimensão da coleta, e o IDS – para aprender
a partir das técnicas empregadas no ataque.
É recomendado que o honeypot esteja em

uma rede em paralelo por questões de
segurança, pois é mais fácil chegar em
máquinas com aplicações normais se estiverem na mesma rede, pois a partir da máquina a
pessoa consegue ter maior visibilidade. Independente da solução a ser adotada no caso, é
preciso preservar a rede de ataques a partir do honeypot.
Como curiosidade, na Internet existe um projeto com oito honeypots que fornecem
informações sobre tentativas de ataques, a título de aprendizagem. É o HoneynetProject.
Existem diversas plataformas (Windows, Solaris, Linux) e as estatísticas das tentativas são
compartilhadas, gratuitamente, na Internet.
Vantagens:
Como Honeypot é isolado, o fluxo de informações para análise é pequeno comparado

com a uma rede de produção.
Firewall e IDS não são sobrecarregados com grande tráfego.
Exige poucos recursos.

171
Desvantagens:
Visão limitada de tráfego.
Risco de ser invadido e utilizado para prejudicar outros sistemas.
Localização de Honeypot
8.4. Metodologia
Existem dois tipos de abordagem que os IDS utilizam para detecção de intrusão ou ataque.
Knowledge-Based Intrusion Detection.
Behavior-Based Intrusion Detection.
8.4.1. Knowledge-Based Intrusion Detection
Este tipo de detecção de ataque atua como um antivírus, utilizando um conjunto de

assinatura conhecido e armazenado em uma base de dados. As assinaturas são tipos de
conexões e tráfegos que indicam um ataque, tendo uma taxa de acertos boa. Porém, não
são reconhecidas como ataque as assinaturas que não estiverem na base de conhecimento.
172
Para adotar este tipo de IDS e o mesmo atuar de forma eficaz, é preciso manter atualização
constante na base.
A atualização da base depende do sistema operacional, versão, plataforma e aplicações

utilizadas na rede, que a partir das vulnerabilidades dispõe de assinatura para identificação.
O alarme disparado no caso de identificação de ataque, no Knowledge-Based Intrusion Detection

é chamado do burlar alarm. Seu funcionamento é semelhante a um alarme residencial,
disparando conforme eventos e momentos definidos e da forma que o administrador da rede
configurar, ou seja, adequado a Política de Segurança da organização.
Vantagens:
Apresenta poucos “falso-positivos”, o que aumenta a credibilidade do componente e

diminui o tempo de verificação dos administradores, lembrando que muitos alarmes
falsos, dependendo da rede, inviabilizam o trabalho.
Os administradores podem criar sua própria assinatura para refinar os “falsos-

positivos”, fazendo scripts para atingir este objetivo.
Desvantagens:
Não consegue detectar ataques que não estão armazenados no banco de dados sua
assinatura – semelhante aos antivírus.
173
Caso algum hacker coloque espaços em branco em partes da assinatura, ele não
reconhece o ataque, já que o processo dele está associado à identicidade da base de
dados.
Necessidade de alta disponibilidade de recursos computacionais, especialmente em

ataque distribuído coordenado, já que muitas vezes existem grandes volumes de
pacotes a serem avaliados e pela detecção ser em tempo real. Exigiria menos recurso
se fossem avaliados os logs ou pacotes de rede, porém o ataque não seria detectado
em tempo real.
Existem assinaturas que detectam falhas de conexões TCP em diversas portas, identificando
assim scanning na rede. Este tipo de assinatura é dividido em três:
String: realiza uma avaliação se é possível ser um ataque. Normalmente, é necessário

realizar algum tipo de procedimento com a string a fim de refiná-la ou utilizar
assinatura composta (mais do que uma assinatura) para identificar o ataque. No Unix
ou Linux é comum utilizar o "cat " ++ ">;.rhosts", para refinar pesquisa e utilizar
assinaturas compostas, como cgi-bin, IFS e aglimpse para detectar intrusão, sem
gerar muitas falsos positivos.
Portas: verifica as tentativas de conexão na porta.
Cabeçalho: rastreia por combinações sem lógica ou perigosa nos cabeçalhos dos
pacotes. Como exemplo temos a identificação de pacotes com SYN e FIN,
significando que o cliente deseja iniciar e finalizar uma conexão ao mesmo tempo, o
que normalmente não acontece, demonstrando claro indicio de ataque.
174
U NIDADE 23
IDS E PADRONIZAÇÃO
Objetivo: Conhecer os métodos, localização e padronização de IDS.
8.4.2. Behavior-Based Intrusion Detection
Este tipo de detecção é baseado através de desvios normais de comportamento dos

usuários ou sistemas. Existe uma classificação do modelo da normalidade por os
administradores, que devem estudar e conhecer a normalidade para que o ataque seja
detectado, comparando constantemente com a situação andamento.
A decisão de ser um
ataque é realizada de
forma estatística ou
heurística, apontando
comportamentos diferentes
quanto ao tráfego,
utilização de CPU,
atividade de disco, logon
de usuários e horários,
acesso a determinado
disco, entre outros.
175
Principais vantagens:
Mesmo que não esteja definida uma assinatura, o IDS irá identificar o ataque por a
mudança de comportamento, detectando a intrusão até mesmo de novos tipos de
ataques.
Este IDS é independente de plataforma ou sistema operacional.
Principais aspectos negativos:
Geração de “falsos-negativos” (ataque que não causa mudança significativa na

medição do tráfego), ou seja, é um ataque e não é alarmado.
Grande número de “falsos-positivos” (alterações perceptivas que não são ataques),

podendo ser bug no sistema de monitoramento ou erro na analise de medição.
Existem projetos de inteligência artificial para sanar estes tipos de problemas, com
redes neurais e lógicas fuzzy.
8.5. A padronização dos IDS
A padronização dos IDS’s ainda está em andamento e tem como finalidade a criação de
formatos e procedimentos para compartilhamento de informações entre sistemas. Este
trabalho vem sendo realizado por a IETF (Internet Engineering Task Force). O nome do
projeto é Intrusion Detection Exchange Format (IDWG) [IET 01].
Principais objetivos:
Definição de formatos de dados e procedimentos para troca de resposta.
176
Definição de formatos de dados e procedimentos para compartilhamento de
informações
Definição de métodos de gerenciamento dos sistemas que necessitarem interagir com

outros.
Depois da criação do projeto, é esperado que seja definida uma forma única
(linguagem comum a todos os IDS’s) de formatos de dados e procedimentos, para
comunicação entre IDS e exigências que os equipamentos devem se preocupar, tanto
para gerenciamento quanto para troca de informações. Outro resultado esperado é a
obtenção de um melhor protocolo para comunicação entre IDS’s.
Existem alguns documentos que já foram criados:
Intrusion Detection Exchange Protocol (IDXP).
Utilização de XML para troca de mensagens de intrusão.
Túnel que passa entre o Firewall, utilizando o gerenciamento do IDS.
8.6. Onde deve estar localizado o IDS na rede
Na realidade, o IDS pode ser colocado em qualquer lugar dentro da rede, mas cada lugar
possui um tipo de proteção específico.
177
Localização de IDS
Se utilizarmos um IDS na entrada dos acessos da Internet na rede corporativa, estaremos

detectando possíveis ataques e intrusões contra toda a rede da organização, até mesmo
aqueles que não teriam nenhum efeito contra servidores protegidos. Este tipo de IDS é bem
utilizado, pois fornece uma rica fonte dos tipos de tentativas de intrusão, auxiliando ate
mesmo os administradores a reconhecerem assinaturas e atualizarem as bases dos HIDS.
Se utilizarmos um IDS próximo de um Firewall, principalmente os que possuem o core-

business, outro tipo comum de localização, conseguimos identificar ataques contra o
Firewall, e como já foi explicado, pode ser configurado para que regras sejam aplicadas
bloqueando o acesso.
Outro ponto também importante é próximo a DMZ, que identifica o tráfego de empresas
coligadas que podem estar sendo usadas como ponte para alcançar a organização, ou até
mesmo elas próprias. O mesmo se aplica a VPN.
Com a chegada dos bolsões de segurança e o acesso a recurso interno cada vez maior, é
interessante colocar IDS dentro do ambiente cooperativo também. Porém, não é uma prática
muito comum nas empresas devido ao custo.
178
U NIDADE 24
VPN E CARACTERÍSTICAS
9. REDE PRIVADA VIRTUAL OU VPN
Virtual Private Network é uma rede de comunicações privada normalmente utilizada por uma
empresa ou um conjunto de empresas e/ou instituições, construída em cima de uma rede de
comunicações pública (como a Internet). O tráfego de dados é levado pela rede pública
utilizando protocolos padrão, não necessariamente seguros.
9.1. O que é VPN?
Uma rede privada nada mais é do que computadores interligados, por hubs ou switchs,
compartilhando informações ao grupo que formam. Observamos que esta solução vem
resolver problemas de redes com equipamentos no mesmo local, com o mínimo de
segurança.
Conexão VPN entre duas redes interligadas (http://www.clubedasredes.eti.br)
179
Quanto maior a rede privada maior seu custo, pois precisaremos utilizar fibra ótica, por
exemplo, para conseguirmos conexão. Esta é solução para diversas empresas que são
grandes e possuem uma infra-estrutura que suporta este tipo de medidas, como bancos.
Vivemos num mundo globalizado, onde muitas empresas são virtuais ou pequenas e
representadas em diversas partes do mundo. Como estas empresas devem se comunicar é
a constante preocupação, pois soluções como fibra ótica, possuem um alto custo que não
corresponde à realidade das mesmas.
A rede pública que temos é a Internet, onde tudo é compartilhado e existe conexão entre
diversos equipamentos, pessoas e serviços do mundo. Porém, não existem regras de
propriedade e segurança, muito menos administradores dos computadores interconectados.
Pensando na rede pública e privada trabalhando juntas, surgiu o VPN, um estudo onde o que
se quer é ter uma rede privada de segurança dentro da rede pública, a fim de minimizar
custos, porém com a segurança de uma rede privada.
Esta solução vem sendo cada vez mais empregada devido à expansão das intranets, onde
não é necessário adquirir novos produtos para manipular suas informações, somente o
browser. Os funcionários possuem uma visão da organização que lhe é necessária através
dos sistemas, com suas permissões, centralizando as informações em servidores, que
distribuem as informações, banco de dados e arquivos.
Para associar todas estas vantagens on-line, em qualquer lugar, surgem mais uma vez a
necessidade de tomada de decisões, sem estar necessariamente dentro da organização.
Como fazer com que o acesso a intranet seja feito via rede pública e de forma confiável? A
VPN vem a ser uma solução, mais simples e barata, de alcançar este objetivo.
9.2. A proteção da VPN
A segurança depende do valor do que se quer proteger. Quando falamos de bens materiais,
tomamos por base os preços de mercado. Porém, quando o assunto é informação digital, é
180
preciso que os responsáveis pelo dado consigam mensurar, tanto em quantidade quanto em
qualidade, quais são as informações que mais precisam ser protegidas. Esta análise é
baseada em quanto à organização pode perder em caso de roubo da informação.
É preciso saber visualizar as informações da empresa de forma macro, ter percepção, para
identificar o nível de segurança apropriado, pois se sermos extremistas, podemos ver
necessidade de colocar autenticação por retina em salas de servidores. Esta é uma atitude
certa do ponto de vista da segurança, porém, em termos econômicos, não é decisão viável
em muitos casos.
O ideal na formação de VPN corporativa é conseguir analisar as necessidades da

organização como um todo, e subdividi-las conforme os grupos que necessitam do mesmo
tipo de informação, ou seja, é recomendado fazer uma divisão em subgrupos dentro da rede
corporativa.
A partir do momento que temos esta divisão, é preciso identificar quais grupos terão um nível
de segurança maior, de acordo com o tipo de informação manipulada e os prejuízos que
podem ocorrer em caso de perda da confidencialidade.
Considerando que a informação será trafegada pela Internet, sendo fragmentada em pacotes
visíveis pela rede, o túnel VPN possui algumas premissas que visam fazer com que as
informações transmitidas tenham segurança, como se estivesse em rede privada.
Privacidade.
Integridade.
Autenticidade.
Não-repúdio.
Facilidade.
181
9.2.1. Privacidade
Deve garantir que somente as informações ao grupo de VPN do usuário estejam disponíveis
para o acesso dele, como se estivesse numa rede corporativa. Outro ponto importante, é que
apesar de utilizar a Internet como conexão, qualquer pessoa que consiga capturar as
informações não consiga identificá-las. Para resolver este problema, é preciso utilizar
técnicas de criptografia algoritmos matemáticos que visam dificultar o entendimento dos
pacotes e para conseguir decifrá-los seria necessário muito tempo e esforço para descobrir o
algoritmo reverso.
9.2.2. Integridade
A mensagem enviada deve ser idêntica à mensagem recebida. A integridade de dados é

obtida através da função hash. Se for utilizada a função hash no documento ou mensagem
antes de trafegar via Web e durante sua transmissão não ter nenhuma tentativa de alterar os
182
dados, a mesma função hash conseguirá abrir a mensagem no destino. Caso contrário, o
resultado será diferente e o destino saberá que houve alguma interrupção no caminho.
9.2.3. Autenticidade
É necessário ter certeza que as informações enviadas foram entregues ao destinatário. Esta
garantia é dada pelo uso da Infra-estrutura de Chave Pública, na forma da assinatura digital.
Calcula-se o hash da mensagem cifrando-o com a chave privada da origem. É a chamada

assinatura digital que é adicionada ao final da mensagem. Quando o destinatário recebe a
mensagem, usa a chave pública da origem para decifrar a assinatura digital. A partir deste
momento, descobre-se o hash, que permite descobrir se houve ou não alteração na
mensagem.
A chave privada é de uso exclusivo do autor, garantindo que não há como outra pessoa
utilizá-la, fazendo com que a premissa da autenticidade seja validada. A assinatura digital
possui valor legal, na legislação brasileira.
9.2.4. Não-repúdio
O não-repúdio está na afirmação que determinado usuário realizou determinada tarefa e não
pode ser negado posteriormente, devido a registros. A assinatura digital consegue garantir o
não-repúdio juntamente com a autenticidade.
9.2.5. Facilidade
É a premissa que possui menos aspectos técnicos e maior entendimento entre os

componentes da empresa. É preciso que todos os envolvidos estejam conscientes da política
de segurança e consigam acessar as informações de forma simples, independente do nível
de conhecimento do usuário. Quanto mais fácil o ambiente, maior a aderência dos usuários.
183
Algoritmo Criptográfico Posicional
http://revista.pcs.usp.br/n2/r002a004.pdf
184
U NIDADE 25
FUNDAMENTOS E APROFUNDAMENTO SOBRE VPN
Objetivo: Conhecer as implicaçoes, características e protocolos de segurança.
9.3. Implicações da VPN em termos de segurança
Os conceitos acima se referem a uma tecnologia perfeita ou pelo menos, ideal. Na realidade,
nem sempre temos disponível a assinatura digital em redes VPN. Através da VPN,
informações são trafegadas na Web, sofrendo grandes riscos de perderem sua
confidencialidade.
Pessoas não autorizadas podem bisbilhotar o conteúdo de mensagens
Caso a VPN não estiver utilizando uma arquitetura de criptografia, como a PKI, são
necessários alguns cuidados adicionais com ataques e dados recebidos da Internet. Como
185
exemplo de ataque, citamos o packet sniffing, onde qualquer indivíduo consegue capturar os
dados trafegados, destruindo a confidencialidade, caso não esteja devidamente protegido.
Ataque contra conexões TCP é outro tipo de problema que a integridade pode ser
comprometida, Existe ainda o IP Spoofing, no caso de um usuário passar por outro,
causando problemas de autenticação e autorização.
9.4. Fundamentos da VPN e criptografia
A VPN é fundamentada na criptografia para que possa garantir a autenticidade,

confidencialidade, integridade e não-repúdio das conexões. Por estar na camada três do
modelo OSI, a criptografia é independente da rede ou aplicação. Outro fundamento da VPN
é o tunelamento. Ele permite a comunicação entre diversos protocolos, através da criação de
um túnel virtual entre a origem e destino da conexão.
Cabeçalho IP mais os cabeçalhos de extensão (www.redes.unb.br)
186
Os túneis VPN podem ser criados tanto na rede corporativa, quanto na estação do próprio
usuário, procedimento comum em acesso remoto.
Para usuários dentro da rede corporativa, a VPN é como se a rede externa fosse interna, de
forma transparente, chamado gateway-to-gateway. Para caso de usuários isolados, é
necessário que seja iniciado o processo de conexão ao túnel, a partir do próprio
equipamento, não sendo tão transparente quanto na rede corporativa, chamado client-to-
gateway, pois é realizado através de um software no cliente.
Criptografia na camada de enlace, na de rede e na aplicação (www.gta.ufrj.br)
9.5. Acesso remoto e VPN
Salienta-se a importância do acesso remoto para as organizações atualmente. Porém, se as

informações das empresas perderem sua confidencialidade, este recurso torna-se
desnecessário e sua necessidade torna-se questionada.
187
Exemplo de ambiente para proteger o acesso remoto (http://www.microsoft.com/brasil/security/guidance)
Algumas situações que devem ser revisadas quando disponibilizamos este tipo de serviço:
A segurança de conexões tem como base o protocolo IPSec, que tem demonstrado
segurança em VPN, sendo que a integridade, autenticação e confidencialidade são
negociadas por ele. Entretanto, é necessário saber implementá-lo, caso contrário,
pode-se comprometer a segurança, principalmente quanto a algoritmos criptográficos.
Os arquivos do certificado digital e chave assimétrica, bem como parâmetros para a

geração do túnel, são armazenados em um arquivo que deve ser importado pelo
cliente, causando um incidente em caso de roubo do equipamento ou captura do
arquivo, caso um hacker o obtenha. Neste caso, o hacker necessitaria também da
chave de importação do arquivo. Daí, a importância da implantação e exigência
destes dois fatores na conexão VPN.
188
Inclusão na política de segurança da necessidade de cuidado ao envio de notebooks
para assistência técnica, onde alguém pode copiar os dados e informações
necessárias a VPN, ou empréstimo destes equipamentos.
É recomendável inserir senhas de acesso a VPN no cliente e estudar a melhor forma de

armazená-la bem como será criptografada para envio ao servidor.
9.6. Protocolos de tunelamento
O tunelamento é um pilar da VPN, e pode ser realizadas nas camadas dois e três do modelo
OSI, com vantagens e desvantagens.
Esquema de um túnel VPN (www.abusar.org)
Como exemplo de protocolos na camada dois, temos: Point-to-Point Tunneling Protocol

(PPTP), Layer 2 Forwarding (L2F), Layer 2 Tunneling Protocol (L2TP), entre outros. Na
camada três temos o IP Security (IPSec) ou Mobile IP.
Vantagens dos protocolos na camada dois:
Simplicidade.
Compressão e codificação completa.
189
Inicialização bidirecional de túnel.
Vantagens dos protocolos da camada três:
Estabilidade.
Segurança.
Confiabilidade.
O tunelamento nível dois (ou seja, aquele que utiliza protocolo na camada dois) é mais
indicado para redes de acesso discado ou acessos que associam tráfego à utilização.
Desvantagens:
Padronização em desenvolvimento.
Baixa preocupação com escalabilidade.
Segurança.
Confiabilidade.
190
PPTP x L2TP (www.abusar.org)
Desvantagens do tunelamento de nível três:
Poucos fabricantes (apesar de muitos fabricantes estarem implementando o
IPSec). Maior complexidade no desenvolvimento.
Apesar disto, vem se tornando o padrão mais aceito em redes VPN.
9.7. Controle de Tráfego e Gerenciamento
O controle de tráfego para uma VPN é essencial para garantir a qualidade do serviço
disponibilizado. É obtido através do gerenciamento de banda, que determina a dimensão da
191
banda que cada protocolo pode utilizar (IP Sec, FTP, http, entre outros), para que a VPN
tenha um bom desempenho e não gaste seus recursos somente em um tipo de protocolo.
Tem como finalidade, integrar a política de segurança da organização (de forma centralizada
local ou remota), aumentando a escalabilidade da solução. Existem softwares no mercado
que oferecem serviços de monitoramento, detecção e solução de problemas.
Existem provedores de VPN que a partir de ferramentas contabilizam o acesso e o valor a

ser pago pela organização. Em caso de seguir o caminho de contratação deste serviço, é
preciso estar ciente dos fatores a seguir:
Área de cobertura.
Acesso.
Desempenho.
Segurança.
Gerenciamento.
Largura de banda.
Garantia de qualidade de serviços.
192
U NIDADE 26
CRIPTOGRAFIA
Objetivo: Conhecer os fundamentos, funcionamento e caracterisiticas da criptografia.
10. CRIPTOGRAFIA
Extraída de http://www-asc.di.fct.unl.pt/sd1/aulas-teoricas-0506/materiais/cap4-0506-6pp.pdf
Palavra de origem grega e significa a arte de escrever em códigos de forma a esconder a

informação na forma de um texto incompreensível. A informação codificada é chamada de
texto cifrado. O processo de codificação ou ocultação é chamado de cifragem, e o processo
inverso, ou seja, obter a informação original a partir do texto cifrado chama-se decifragem.
Ambos são realizados por programas de computador chamados de cifradores e decifradores,
e além de receber a informação a ser cifrada ou decifrada, recebe um número chave que é
utilizado para definir como o programa irá se comportar. Os cifradores e decifradores se
comportam de forma diferente para cada valor da chave. Sem o conhecimento da chave
correta não é possível decifrar um dado texto cifrado. Assim, para manter uma informação
secreta, basta cifrar a informação e manter em sigilo a chave.
193
10.1. O que é criptografia?
A criptografia vem para garantir a privacidade no mundo virtual. De acordo com diversos
estudos, é complicado impedir todas as formas que pessoas consigam capturar pacotes que
trafegam pela rede. Já que é muito difícil garantir via infra-estrutura, a criptografia vem como
uma forma de garantir a privacidade das informações, embaralhando-a de forma eficiente,
através de algoritmos específicos para esta finalidade.
(http://www.di.ufpe.br/~flash/ais98/cripto/Image3.gif)
194
A importância da criptografia vem crescimento gradativamente dentro das organizações,
garantindo a confidencialidade, integridade, autenticação, certificação e não-repúdio. Estas
características estão presentes em protocolos com Secure Shell (SSH) e IP Security (IPSec),
sendo um ponto importante dentro de Rede Privada Virtual (VPN – Virtual Private Network)
ou Infra-Estrutura de Chave Publica (PKI – Public Key Infrastructure).
Criptografia significa estudo de códigos e cifras. Sua origem é do grego kryptos significa
oculto e graphen significa escrever. A palavra saphar significa dar números, motivo que a
maioria das criptografias estão associadas a algoritmos matemáticos. A criptografia não é
moderna, como muitos pensam.
Em V a.C., os espartanos já utilizam a criptografia no exército. Eles cifravam e ocultavam as

mensagens usando um bastão de madeira. A mensagem era escrita num papel ou pano e
era enrolada no formato do bastão. O destinatário recebia a mensagem e caso não se
encaixasse dentro do bastão que tinha, idêntico ao que foi utilizado para enrolar a
mensagem, era porque alguém leu a mensagem e tentou adulterá-la.
A criptografia por substituição foi inventada pelo imperador Julio César, a mais ou menos,
2000 anos atrás. Ele enviava mensagens trocando as letras do alfabeto por três letras
subseqüentes (A -> D, B -> E, e assim sucessivamente).
O segredo da criptografia está em como as partes saberão criptografar e descriptografar a

mensagem, ou seja, nas chaves e não no algoritmo empregado. Os melhores sistemas
criptográficos são os de domínio públicos, pois diversos cientistas os analisam e validam
quanto a falhas ou vulnerabilidades.
Quando falamos em criptografia, temos dois tipos diferentes de chaves: chaves simétricas,
(secretas), e as chaves assimétricas (públicas).
195
10.2. Tipos de Chaves
Criptografia Simétrica Criptografia Assimétrica
No universo de sistemas criptográficos, um método é seguro se atender a dois quesitos:
O algoritmo deve ser conhecido e testado laboriosamente pelos cientistas,

aumentando assim, sua estabilidade quanto a falhas de segurança.
A chave deve ser um segredo difícil de descobrir, mesmo com tentativas exaustivas
de processamento.
A seguir constam os principais tipos de chaves (pública e privada) e como elas atuam para
alcançar este objetivo.
10.2.1. Chaves Simétricas ou Secretas
A chave simétrica surgiu em 1972 pela IBM e depois foi revista em 1977, pelo Nacional
Institute of Standards (NIST), Federal Information Processing Standards (FIPS-46-1) e
American Nation Standards Institute (ANSI X9.32), com o nome de Data Encryption Standard
ou DES. O padrão criado utiliza uma chave com 64 bits, sendo 56 para chave e 8 de
paridade. Para a época foi um grande avanço, pois se acreditava que somente em 228
milhões de anos (com testes a cada 100ms) o algoritmo poderia descobrir a chave.
196
Uma curiosidade quanto aos 56 bits de tamanho da chave simétrica é que esta foi uma
imposição de restrição do governo americano. O uso de chaves maiores só é permitido para
fins militares. Entretanto, os cientistas anunciaram a quebra da DES por volta de 1997,
fazendo com que os que utilizam esta chave tenham receio.
Foram implementadas algumas variantes da DES, por exemplo, a 3DES, que nada mais é do
que o uso de três chaves DES que embaralhadas formam a mensagem. Até agora a 3DES
vem sendo mais utilizada e não foi quebrada, pelo menos por enquanto.
A característica das chaves simétricas é que a chave é conhecida na origem e destino,

sendo a mesma. O grande problema é conseguir que o emissor e receptor consigam
conhecer a chave, somente eles, da mesma forma que as alterações que ocorram na chave
sejam conhecidas em ambas as partes. Para isto, é preciso ter uma comunicação segura
entre o receptor e emissor.
A maior vantagem no uso de chaves simétricas é sua velocidade, principalmente se

comparada a chaves assimétricas. Porém, existem algumas desvantagens que devem ser
analisadas:
Constante troca de chave secreta: o segredo de uma chave é compartilhado por duas
organizações que precisam interagir para obter as chaves para comunicação, antes
que seja efetuada a transação, de forma não digital, preferencialmente. Este detalhe
eleva o custo da solução em alguns casos, além de ser um processo lento. Por ser de
forma não digital, pessoas não autorizadas podem ter acesso a este material,
colocando em perigo a confidencialidade, portanto se faz necessário constantemente
à troca de chave.
Difícil gerenciamento de chaves em larga escala: se considerarmos os fatores de

quantidades de entidades que a empresa se comunica e multiplicarmos por chaves,
teremos uma enorme quantidade. Se juntarmos ainda, as trocas feiras regularmente,
teremos um processo critico para gerenciar.
197
Problemas na troca de chave inicial: muitas vezes, é complicado saber com quem
estamos lidando na Internet, ou se a pessoa que receber a chave terá a idoneidade de
utilizá-la corretamente, sem divulgar a terceiros. Para este problema, surgiram os
Centros de Distribuição de Chaves (KDC – Key distribution Center). São os
responsáveis pela distribuição de chaves para usuários desconhecidos, por isso é
necessário estar sempre on-line. Deve ser um foco de atenção aos administradores,
pois um ataque neste ponto único desestrutura a empresa na distribuição das chaves.
Outro tópico importante é a gerencia do servidor para usuários externos a
organização.
Não permitem a assinatura e certificação digital.
198
U NIDADE 27
CHAVES CRIPTOGRÁFICAS
Objetivo: Conhecer as chaves e diferenciamento.
10.2.2. Chaves Assimétricas
Na criptográfica com chave assimétrica temos um segredo dividido em duas partes

relacionadas matematicamente, por dois números primos grandes fatorados entre si. Uma
parte da chave é distribuída livremente – a chave pública – e a outra é conhecida somente
da pessoa que a gerou – a chave privada.
A chave assimétrica demonstra segurança maior do que a simétrica devido aos recursos
computacionais disponíveis atualmente, que não conseguem em centenas de anos descobrir
quais os números primos que originaram a chave.
Em vias normais, a chave privada é armazenada usando a chave simétrica AES, pois
aumenta a segurança na parte mais importante do processo. A chave privada é a garantia
que somente quem tem a chave publica utilizada ira descobrir a mensagem enviada.
Ao enviarmos uma mensagem, usamos a nossa chave privada e a chave pública do

destinatário para criptografar os dados. Para abrir a mensagem de um destinatário,
utilizamos a nossa chave privada para descriptografar a mensagem original.
Uma necessidade das chaves assimétricas é um repositório onde as pessoas que precisam
se comunicar busque a chave publica para criptografar e enviar os dados ao destinatário.
Neste caso, este repositório deve ser confiável ou esta irá ser uma grande falha, pois ao
buscar uma chave você precisa ter certeza que está criptografando para a pessoa certa
descriptografar. Por isso, é recomendável os cuidado a seguir:
199
Estabelecimento de relação de confiança no repositório de chaves públicas.
Encontrar formas de confiar na integridade da informação recebida.
Para estabelecer esta relação de confiança, surgiu o Certificado Digital, que será explicado
em outro tópico deste capítulo.
10.2.3. Comparando as chaves
Como escolher o modelo mais apropriado de criptografia? Em primeiro lugar, é preciso

esclarecer as principais diferenças:
Criptografia Simétrica Criptografia Assimétrica
Processamento rápido Processamento lento
Gerenciamento e distribuição Gerenciamento e distribuição

de chaves complicadas de chaves de forma simples
Relacionamento com Facilidade em estabelecer

entidades desconhecidas de relacionamento com
forma não digital ou em entidades desconhecidas
servidores centralizadores
Não suporta assinatura digital Suporta assinatura digital
Em segundo lugar, os modelos de criptografias podem ser combinados. Existem casos onde
se opta pelas mensagens serem enviadas via chave simétrica, por ser mais rápida a
transmissão, e a distribuição das chaves através das chaves assimétricas. Tudo irá depender
da arquitetura e nível de segurança das informações. Os seguintes protocolos aceitam o
sistema de criptografia híbrido: IPSec, SSL e TLS, PGP, S / MIME, Set, X.509.
200
10.3. Algoritmos
Vários algoritmos matemáticos foram implementados para suprir as necessidades para

atender os serviços das chaves assimétricas ou simétricas. A seguir, temos os principais e
seus objetivos.
10.3.1. Diffie-Hellman
Baseado no problema do logaritmo discreto, e o criptosistema de chave pública mais antiga

ainda em uso. O conceito de chave pública foi introduzido pelos autores deste criptosistema
em 1976. Contudo, ele não permite nem ciframento nem assinatura digital. O sistema foi
projetado para permitir a dois indivíduos entrarem em um acordo ao compartilharem um
segredo tal como uma chave, muito embora eles somente troquem mensagens em público.
Este algoritmo tem o nome de seus inventores Whitfield Diffie Martin Helann. O objetivo
deste algoritmo é prover de forma rápida e eficiente a troca de chaves (pública e privada)
entre sistemas, baseadas nas duas partes da chave de cada usuário.
Apesar de apresentar-se de forma simples, possui uma desvantagem: no momento de

trafegar a chave pública do outro usuário, a comunicação é realizada de forma insegura.
201
Outro usuário pode se passar pelo destinatário. Isto se deve a preocupação do algoritmo ser
somente na criptografia e não incluir a autenticação.
10.3.2. RSA
É um algoritmo de encriptação proposto por Ron Rivest, Adi Shamir e Leonard Adleman,
pesquisadores do MIT em 1977 e fundadores da atual empresa RSA Data Security, Inc. É
um dos mais velhos algoritmos de criptografia de chaves públicas, porém utiliza-se da
eficiência da multiplicação de grandes números primos e retorno de tempo não hábil para a
operação reversa. Algoritmo, até a data (2008), é a mais bem sucedida implementação de
sistemas de chaves assimétricas, e fundamenta-se em Teorias Clássicas dos Números. É
considerado dos mais seguros, já que mandou por terra todas as tentativas de quebrá-lo. Foi
também o primeiro algoritmo a possibilitar encriptação e assinatura digital, e uma das
grandes inovações em criptografia de chave pública.
Pode ser utilizado em diversos contextos:
Criptografar e descriptografar dados.
Assinar e validar uma assinatura digital.
Estabelecimento de chaves públicas e privadas entre
sistemas. Garantia da integridade de informações.
10.3.3. DAS
Outro algoritmo de chave pública utilizado para gerenciamento de chaves. Sua matemática
difere da utilizada no RSA, mas também é um sistema comutativo. O algoritmo envolve a
manipulação matemática de grandes quantidades numéricas. Sua segurança advém de algo
denominado problema do logaritmo discreto. Assim, o ElGamal obtém sua segurança da
202
dificuldade de se calcular logaritmos discretos em um corpo finito, o que lembra bastante o
problema da fatoração.
O DAS é uma proposta padrão de assinatura digital baseada no algoritmo de Schnorr e

ElGamal. Em seu lançamento, foi muito atacado e considerado um algoritmo perigoso.
Diversas questões técnicas foram questionadas, principalmente pelo fato do padrão
reconhecido ser o RSA. Atualmente, é explicitamente recomendado para autenticação de
assinatura digital, ou seja, integridade das informações- não podendo ser utilizado para
criptografia ou troca de chaves. Para complementar as funções do DAS, sugere-se o Digital
Signiture Scheme (DSS).
10.3.4. ECDSA (Elliptic Digital Signiture Algorith) e ECDH (Elliptic Curve Diffie-Helman)
Em 1985, Neal Koblitz e V. S. Miller propuseram de forma independente a utilização de

curvas elípticas para sistemas criptográficos de chave pública. Eles não chegaram a inventar
um novo algoritmo criptográfico com curvas elípticas sobre corpos finitos, mas
implementaram algoritmos de chave pública já existentes, como o algoritmo de Diffie e
Hellman, usando curvas elípticas. Assim, os sistemas criptográficos de curvas elípticas
consistem em modificações de outros sistemas (o ElGamal, por exemplo), que passam a
trabalhar no domínio das curvas elípticas, em vez de trabalharem no domínio dos corpos
finitos. Eles possuem o potencial de prover sistemas criptográficos de chave pública mais
segura, com chaves de menor tamanho.
Muitos algoritmos de chave pública, como o Diffie-Hellman, o ElGamal e o Schnorr, podem

ser implementados em curvas elípticas sobre corpos finitos. Assim, fica resolvido um dos
maiores problemas dos algoritmos de chave pública: o grande tamanho de suas chaves.
Porém, os algoritmos de curvas elípticas atuais, embora possuam o potencial de serem
rápidos, são em geral mais demorados do que o RSA.
O ECDSA e ECDH, na realidade, não são algoritmos, mas uma forma de implementação que
altera a forma que funcionam, para curvas elípticas.
203
Alterando os algoritmos para trabalharem de forma elíptica, o algoritmo se torna mais seguro
e tem um menor tamanho, resolvendo um dos maiores problemas dos algoritmos de chave
pública. Porém, o tempo de processamento é maior do que o RSA.
10.3.5. Funções hash
Funções Descrição
É uma função de espalhamento unidirecional inventada por Ron
Rivest, do MIT, que também trabalha para a RSA Data Security. A
MD5
sigla MD significa Message Digest. Este algoritmo produz um valor
hash de 128 bits, para uma mensagem de entrada de tamanho
204
arbitrário. Foi inicialmente proposto em 1991, após alguns ataques de
criptoanálise terem sidos descobertos contra a função Hashing prévia
de Rivest: a MD4. O algoritmo foi projetado para ser rápido simples e
seguro. Seus detalhes são públicos, e têm sido analisados pela
comunidade de criptografia. Foi descoberta uma fraqueza em parte do
MD5, mas até agora ela não afetou a segurança global do algoritmo.
Entretanto, o fato dele produzir um valor hash de somente 128 bits é o
que causa maior preocupação; é preferível uma função Hashing que
produza um valor maior.
O Secure Hash Algorithm, uma função de espalhamento unidirecional
inventada pela NSA, gera um valor hash de 160 bits, a partir de um
tamanho arbitrário de mensagem. O funcionamento interno do SHA-1
é muito parecido com o observado no MD4, indicando que os
estudiosos da NSA basearam-se no MD4 e fizeram melhorias em sua
segurança. De fato, a fraqueza existente em parte do MD5, citada
SHA-1
anteriormente, descoberta após o SHA-1 ter sido proposto, não ocorre
no SHA-1. Atualmente, não há nenhum ataque de criptoanálise
conhecido contra o SHA-1. Mesmo o ataque da força bruta torna-se
impraticável, devido ao seu valor hash de 160 bits. Porém, não há
provas de que, no futuro, alguém não possa descobrir como quebrar o
SHA-1.
O MD4 é o precursor do MD5, tendo sido inventado por Ron Rivest.
Após terem sido descobertas algumas fraquezas no MD4, Rivest
escreveu o MD5. O MD4 não é mais utilizado. O MD2 é uma função de
espalhamento unidirecional simplificada, e produz um hash de 128
MD2 e MD4
bits. A segurança do MD2 é dependente de uma permutação aleatória
de bytes. Não é recomendável sua utilização, pois, em geral, é mais
lento do que as outras funções hash citadas e acredita-se que seja
menos seguro.
205
A assinatura digital precisa de um mecanismo para seu adequado emprego, devido a
lentidão dos algoritmos assimétricos, ou seja, devido ao tamanho das mensagens, torna-se
inviável utilizar somente chaves assimétricas por causa do tempo necessário para realizar a
criptografia.
A função hash tem como objetivo calcular um valor de tamanho fixo baseado na mensagem
que se deseja assinar, chamado de Digest ou valor hash. Esta função fornece maior
agilidade e integridade confiável. Com a alteração de qualquer bit dentro da mensagem,
ocorre a alteração do valor hash, que indica a mudança da origem ao destino da mensagem.
Alguns exemplos de função hash são SHA-1, MD5, MD4 e MD2, sendo a mais utilizada e
considerada mais segura a SHA-1.
10.3.6. Comparação de algoritmos
Tanto o DH quanto o DSS apresentam algumas desvantagens quanto ao RSA:
Os dados criptografados com RSA apresentam a metade do tamanho.
O limite da padronização da assinatura DSS é de 1024, enquanto a RSA utiliza

chaves de 2.048 ou 4.096, dependendo da implementação.
Maior tempo de processamento do algoritmo DH ou DSS comparado ao RSA.
Principais vantagens do uso de DH ou DSS:
Não possuem patentes e podem ser utilizados universalmente.
ElGamal é considerado com melhor desempenho em criptografia do que o RSA.
Serviços separados, garantindo a revogação de chaves sem comprometer assinaturas

relacionadas.
206
Segurança da informação digital na saúde
http://www.einstein.br/biblioteca/artigos/131%20132.pdf
207
U NIDADE 28
ATAQUES A SISTEMAS CRIPTOGRÁFICOS
Objetivo: Conhecer Ataques a sistemas criptográficos.
10.4. Ataques a sistemas criptográficos
http://www.redegalega.org/synapsis/091/criptogr.gif
Basicamente são quatro tipos de ataques a sistemas criptográficos:
Ataque só com texto criptografado: o criptoanalista conhece todos os textos

criptografados que se transmitem.
208
Ataque com texto original conhecido: o criptoanalista conhece algumas parelhas texto
original - texto criptografado.
Ataque com texto original escolhido: o criptoanalista pode obter o texto criptografado
de qualquer texto original que introduza.
Ataque com texto criptografado escolhido: o criptoanalista pode obter o texto original
de qualquer texto criptografado que introduza.
Ao contrário dos componentes de segurança, os ataques a sistemas criptográficos, em sua

maioria, não ocorrem pelo testes de chaves possíveis, ou força-bruta, mas através da
exploração de falhas no projeto, implementação e instalação dos sistemas. O perfil do
atacante de sistemas criptográficos é diferente dos de rede. É preciso possuir um ótimo
conhecimento matemático para conseguir encontrar alguma vulnerabilidade e explorá-la.
Os ataques que mais preocupam são os que procuram descobrir informações como tempo,
consumo de energia e radiação de dispositivos de tokens ou smartcard. São os chamados
209
side-channel attack. Outro ataque é o failure analysis, que forçam diversos erros durante a
operação visando derrubar a segurança dos smartcard.
Os sistemas criptográficos podem ser decifrados se acontecer uma análise detalhada do

comportamento do sistema e como as diferentes chaves se relacionam, sem quebrar o
algoritmo, mesmo o RSA. São os chamados timings attack e fazem análise do
comportamento e tempo de criptografia. É utilizado para obter chaves privadas RSA, obter a
seqüência de tokens, smart card e atingir servidores de comércio eletrônico.
210
U NIDADE 29
AUTORIDADE CERTIFICADORA E CERTIFICADOS
Objetivo: Conhecer os certificados e órgãos certificadores.
10.5. Certificados Digitais
Um certificado digital é um documento (eletrônico) contendo a chave pública de um usuário

(ou processo) e dados de identificação do mesmo. Este documento deve ser assinado por
uma autoridade confiável, a Autoridade Certificadora, atestando sua integridade e origem.
Usualmente, certificados digitais são utilizados para garantir a integridade e origem de
chaves públicas depositadas em bases de dados de acesso público.
O padrão mais comumente utilizado para certificados digitais é denominado X-509, o qual
prevê, entre outras informações possíveis, os seguintes dados de identificação:
Chave pública do usuário.
Nome do usuário proprietário da chave.

211
Nome da organização associada.
Data de emissão do certificado.
Período de validade da chave.
Obtendo-se uma chave pública de um usuário associado a tal certificado, confiando-se na

autoridade certificadora e verificando-se sua assinatura no certificado, pode-se ter certeza de
que a chave realmente pertence ao alegado usuário, e que, pretensamente, somente ele
dispõe da correspondente chave secreta que o capacita a decifrar mensagens cifradas com
aquela chave pública, ou assinar documentos com a correspondente chave secreta.
Os certificados digitais são a resposta tecnológica atual para o problema de autenticação de

usuários na crescente demanda por segurança nos serviços oferecidos via Internet, desde
home banking, passando por compras on-line, indo até serviços de informação por
assinatura. Eles podem ser vistos como um passaporte eletrônico, onde estão contidas as
informações e garantias necessárias sobre a identidade do portador, além de sua chave
pública.
Exemplos semelhantes a um certificado são o RG, CPF e carteira de habilitação de uma

pessoa, cada um contém um conjunto de informações que identificam a pessoa e alguma
autoridade (para estes exemplos, órgãos públicos) garantindo sua validade.
Algumas das principais informações encontradas em um certificado digital são:
Dados que identificam o dono (nome, número de identificação, estado,
etc.). Nome da Autoridade Certificadora (AC) que emitiu o certificado.
O número de série do certificado.
O período de validade do certificado.
A assinatura digital da AC.
212
O objetivo da assinatura digital no certificado é indicar que uma outra entidade (a
Autoridade Certificadora) garante a veracidade das informações nele contidas.
10.5.1. O que é Autoridade Certificadora (AC)?
Autoridade Certificadora (AC) é a entidade responsável por emitir certificados digitais. Estes
certificados podem ser emitidos para diversos tipos de entidades, como pessoa, computador,
departamento de uma instituição, instituição, etc.
Os certificados digitais possuem uma forma de assinatura eletrônica da AC que o emitiu.

Graças à sua idoneidade, a AC é normalmente reconhecida por todos como confiável,
fazendo o papel de “Cartório Eletrônico”.
Exemplos do uso de certificados digitais:
Quando você acessa um site com conexão segura, como o acesso a sua conta
bancária pela Internet é possível checar se o certe apresentado é realmente da
instituição que diz ser, através da verificação de seu certificado digital.
213
Quando você consulta seu banco pela Internet, este tem que assegurar-se de sua
identidade antes de fornecer informações sobre a conta.
Quando você envia um e-mail importante, seu aplicativo de e-mail pode utilizar seu
certificado para assinar “digitalmente” a mensagem, de modo a assegurar ao
destinatário que o e-mail é seu e que não foi adulterado entre o envio e o recebimento.
Autoridades de certificação, como Verisign, Cybertrust e Nortel, assinam certificados digitais

garantindo sua validade. Uma CA também tem a responsabilidade de manter e divulgar uma
lista com os certificados revogados (Certificate Revocation List – CRL). Certificados nesta
lista podem ter sido roubados, perdidos ou, simplesmente, estar sem utilidade. As CAs
podem estar encadeadas em hierarquias de certificação, onde a CA de um nível inferior
valida sua assinatura com a assinatura de uma CA mais alta na hierarquia.
214
U NIDADE 30
AUTENTICAÇÃO
Objetivo: Conhecer as formas de autenticação.
11. Autenticação
É a capacidade de se garantir que a pessoa de fato é quem diz ser, dentro de um contexto.
Definir um contexto é importante, pois uma pessoa pode ser autêntica numa situação e, em
outra não. Citamos como exemplo um passaporte, que é válido somente dentro de um país.
Para autenticar alguém, o autenticador necessita de informações de autenticação que podem
ser:
Algo que definimos como usuário é senha, da forma mais insegura, apesar de ser a
mais conhecida e utilizada.
Algo físico que possuímos como cartão de banco, passaporte, entre outros.
Algo que somos como impressões digitais, retina, reconhecimento de voz, rosto e
padrão de assinatura.
Componentes baseados em localização geográfica, como GPS.
Desta forma, a identificação é a função declarada pelo usuário, citadas acima, e a

autenticação é a verificação da veracidade das informações fornecidas.
215
11.1. Autenticação baseada em definições
Tipo de autenticação mais utilizada, por apresentar o custo mais reduzido e a maior parte
dos sistemas aceitarem este tipo de autenticação de forma simplificada.
Podemos associar a este tipo de autenticação as senhas, chaves criptográficas ou chave

privada da assinatura digital (somente quem as gerou é quem sabe – apesar de ser
recomendável o uso de sua gravação em outro dispositivo).
11.2. Senhas
Mesmo sendo as mais utilizadas, são as que mais possuem vulnerabilidades, sendo
considerado o elo mais fraco da cadeia de segurança, vindo após dos seres humanos.
A maior desvantagem deste método é que a manutenção e confidencialidade da senha estão

nas mãos de quem a utiliza, podendo ser quebrada através:
Adivinhação.
Observação por pessoas mal intencionadas na introdução de senhas.
Quebra de confidencialidade, através da própria pessoa, na divulgação de sua senha,

ou engenharia social.
Monitoração e captura de pacotes através de snnifers.
Acesso a arquivos de senhas em servidores.
Ataques utilizando forca bruta.
Processos de logging spoofing realizado por hackers, que capturam tudo o que a
pessoa digitar em seu micro.
Entre outros.
216
Uma forma de minimizar os efeitos negativos do uso de senha é a utilização das mesmas
uma única vez, sendo trocada a cada novo acesso. Porém, o usuário não se sentirá
confortável nesta situação.
Mesmo desta forma, existem ataques que podem ser realizados pelos hackers:
Man-in-the-middle: o hacker se coloca entre o usuário e o servidor, captura pacotes,

modifica e responde para os dois lados da comunicação.
Race: aproveita a vulnerabilidade dos protocolos que trafegam byte a byte, porém são
poucos. O hacker controla o envio dos bytes e antes do envio da última série tenta se
conectar no lugar do usuário.
11.3. Autenticação baseada em objetos
É dividida em dois tipos de dispositivos: de memória ou inteligente. Os dispositivos de

memória são conhecidos como memorytokens, armazenando informações e não as
processando. Quando utilizado em conjunto com senhas, forma a chamada autenticação
forte – combinação de mais de um método de autenticação.
Principais desvantagens:
Alto custo, de implementação e dos próprios dispositivos.
Dificuldade de administração.
Possibilidade de perda ou roubo.
Os dispositivos inteligentes são os memory tokens que possuem capacidade de

processamento, ou os chamados smarttokens. Resolve o problema das senhas comuns,
através da criptografia ou geração dinâmica de chaves.
217
Em geral, os smarts tokens geram a cada novo acesso uma nova seqüência sincronizada
com o servidor de autenticação, que juntamente com o PIN (senha comum), permite ou não
a autenticação do usuário ao recurso, minimizando as chances de colocação de senhas
inapropriadas.
As principais desvantagens são iguais aos dispositivos de memória.
11.4. Autenticação baseada nas características físicas
Considerada a mais segura, por somente depender de fatores humanos, senhas ou perda de
objeto, sendo sua principal vantagem. É baseado na biometria que através das
características físicas ou comportamento do individuo, verifica sua autenticação, baseada
nas informações armazenadas que devem ser idênticas as do individuo. Ao ser concedida, é
transmitido o perfil da autorização. É importante que as informações de cada usuário sejam
criptografadas em seus servidores para que, em mãos erradas, não aconteçam problemas a
organização.
Exemplos:
Composição química de odor
corporal. Características faciais.
Emissões técnicas.
Retina.
Íris.
Impressão digital.
Geometria das mãos.
Poros da pele.
218
Analise de assinaturas.
Padrões de escrita.
Voz.
São diversas as formas de autenticação com biometria, conforme visto, porém somente
duas, segundo pesquisas, são únicas: íris dos olhos e impressão digital.
Algumas desvantagens da biometria são:
Pessoas acreditarem que os equipamentos biométricos não são higiênicos (os que
coletam a impressão digital precisam ser limpos a todo o momento) ou podem
provocar problemas na saúde (caso do laser na íris).
As informações dos usuários em servidores devem ser criptografadas
11.5. Single Sign-On (SSO)
É um método de identificação e autorização de usuário que utiliza autenticação única e

transparente, para diversos sistemas corporativos, facilitando a administração de senhas –
tanto por parte dos usuários quanto por parte dos administradores de sistema. Esta solução
pode utilizar qualquer metodologia de autenticação, desde certificados digitais, até tokens,
smartcards ou senha.
219
(http://support.citrix.com/article/html/images/CTX108095-1.gif)
Principais vantagens:
Combinação única de usuário e senha.
Centralização das atividades administrativas de sistemas.
Integração de autenticação nas aplicações corporativas.
Acesso mais fácil a recursos disponíveis e autorizados ao usuário.
Possibilidade de padronização de nome de usuário e senhas, conforme política de

segurança da empresa.
Minimização de custos com suporte técnico de produtos e help desk para usuários.
Principais desvantagens:
É necessário manter bom nível de segurança nas sessões de logon e armazenamento

das informações dos usuários.
A identificação única permite que se ocorrer alguma quebra de confidencialidade, o

hacker poderá acessar varias aplicações.
220
O servidor de armazenamento é um ponto de invasão visado, pois com este ataque o
hacker conseguirá acessar todas as informações da organização.
O serviço de autenticação é um ponto de falha considerável. Em caso de instabilidade,

todos os sistemas ficam comprometidos.
11.6. Os protocolos de autenticação
Estaremos comentando dois protocolos, o Radius e o Kerberos, que são geralmente

utilizados na autenticação de acesso remoto nas organizações:
11.6.1. Protocolo Radius
(http://www.nisled.org/wiki/images/c/c8/Figura1.jpg)
Baseado em um modelo de segurança distribuída previamente definido pela (IETF), o Radius

provê um sistema de segurança Cliente/Servidor aberto e escalonável. O servidor Radius
pode ser adaptado facilmente para trabalhar com produtos de segurança de terceiros ou em
sistemas de segurança proprietário. Qualquer mecanismo de comunicação, software ou um
hardware que utilize o protocolo cliente Radius pode se comunicar com um servidor Radius.
Como funciona? O Radius autentica através de uma série de comunicações entre o cliente e
o servidor. Uma vez que o usuário é autenticado, o cliente proporciona a ele, o acesso aos
serviços apropriados.
221
O protocolo Radius é adequado em sistemas de serviços remotos discados. O Radius
autentica através de uma série de comunicações entre o cliente e o servidor. Uma vez que o
usuário é autenticado, o cliente proporciona a ele, o acesso aos serviços apropriados.
Passos envolvida no processo de autenticação no Radius:
PASSO 1: O PortMaster cria um pacote de dados com as informações e o chamado pedido

de autenticação. Este pacote inclui a informação que identifica o PortMaster específico que
envia o pedido de autenticação, a porta que está sendo usada para a conexão de modem,
identificação do usuário e a senha. Para proteger os dados de hackers que possam estar
escutando a conexão, o PortMaster age como um cliente Radius e codifica a senha antes
que seja enviada em sua jornada ao servidor Radius.
PASSO 2: Quando um pedido de autenticação é recebido, o servidor de autenticação valida

o pedido e então decifra o pacote de dados para ter acesso a identificação do usuário e
senha. Esta informação é passada para o sistema de segurança apropriado.
PASSO 3: Se o usuário e senha estiverem corretos, o servidor envia um reconhecimento de

autenticação que inclui informação sobre o usuário e as exigências dos serviços. Por
exemplo, o servidor Radius contará para o PortMaster que um usuário precisa do Protocolo
PPP (ponto-a-ponto) para se conectar à rede. O reconhecimento pode também, conter filtros,
com informações sobre os limites de acesso do usuário para os recursos específicos na
rede. Se o usuário e a senha não estiverem corretos, o servidor Radius envia um sinal ao
PortMaster e o usuário terá o acesso negado a rede.
PASSO 4: O servidor Radius envia uma chave de autenticação, ou assinatura, se

identificando para o cliente Radius e permitindo então, a configuração necessária para que
os serviços de envios e recepções personalizados funcione para o usuário autenticado.
222
11.6.2. Protocolo Kerberos
(http://www.nisled.org/wiki/images/6/68/Figura2.jpg)
O Kerberos possuirá uma chave secreta associada a cada cliente e cada serviço, sendo
conhecidas como chave de cliente e chave de serviço respectivamente. Essa chave é obtida
a partir da senha fornecida pelo cliente/serviço no momento de seu cadastramento. Sendo
assim, apenas o próprio cliente/serviço conhece sua chave secreta, além do Kerberos.
Passo 1: Quando um cliente deseja acessar um serviço qualquer protegido pelo Kerberos,
antes de conseguir acessá-lo, ele deverá autenticar-se. Nesse momento, o cliente envia uma
requisição de autenticação para o SA, que verifica os dados fornecidos pelo cliente
(identificação do cliente e uma identificação do tipo da mensagem), busca em sua base de
dados as chaves secretas correspondentes ao cliente (origem da requisição) e ao TGS (onde
223
o cliente deseja autenticar-se), e cria uma chave de sessão que será utilizada por ambos,
cliente e TGS. O SA responde ao pedido de autenticação do cliente, quando a validação de
seus dados é positiva, enviando-lhe um ticket que permite acessar o TGS. Esse ticket é
composto da seguinte forma: nome do cliente, nome do TGS, tempo corrente, tempo de vida
do ticket, IP do cliente e a chave de sessão. Antes de ser enviado, o ticket é criptografado
utilizando-se a chave de serviço que apenas o próprio serviço e o Kerberos conhecem. Além
disso, tanto o ticket, já criptografado, quanto a chave de sessão, são criptografados
utilizando-se a chave de cliente.
Passo 2: Ao receber a resposta do SA, o cliente deve descriptografar a mensagem utilizando

sua chave secreta. No entanto, para que isso seja possível, a senha de acesso será
solicitada ao cliente. Somente a senha correta será capaz de gerar a chave secreta válida
para que o processo de descriptografia tenha êxito. Uma vez que a senha correta tenha sido
informada, o cliente terá acesso ao ticket e a chave de sessão, enviados pelo SA. O ticket
permitirá ao cliente comunicar-se com o TGS, e assim finalmente, obter um novo ticket para
o serviço que deseja acessar. É importante ressaltar, que a senha do cliente só foi solicitada
durante o processo de autenticação uma única vez. Sendo que mesmo nesse momento, não
foi necessário enviá-la através da rede, onde ela poderia ser capturada alguém sem
autorização. A chave secreta do cliente, obtida através da senha, é apagada da memória
após ter sido utilizada. Não é possível obter a chave secreta sem o conhecimento da senha
do cliente.
Passo 3: O cliente deve enviar a requisição ao TGS. Na requisição deverão constar: um

autenticador, o ticket enviado pelo SA, devidamente criptografado com a chave secreta do
serviço, e a identificação do serviço requisitado. O autenticador é uma mensagem onde
constam, uma identificação do cliente (nome + IP) e uma identificação do tipo de mensagem,
semelhante a utilizada na requisição feita no Passo 1. O autenticador é criptografado
utilizando-se a chave de sessão fornecida pelo SA.
Passo 4: Ao receber a requisição, o TGS utiliza sua chave secreta para descriptografar o
ticket, e utiliza a chave de sessão que acabou de receber, na própria requisição, para
descriptografar o autenticador. No final desse processo, o TGS utiliza os dados que obteve
224
para validar a requisição do cliente. Os nomes do cliente, os IPs obtidos e o tempo corrente,
tanto do ticket quanto do autenticador, são comparados. Sendo todos os dados comparados,
válidos, uma nova chave de sessão é criada pelo TGS. Um novo ticket é criado, dessa vez
contendo as informações referentes ao cliente e serviço. A chave de serviço é utilizada para
criptografar o ticket. Em seguida, a chave de sessão e o ticket, já criptografado, são
criptografados juntos utilizando-se a chave de sessão enviada pelo próprio cliente.
Finalmente, a mensagem de resposta é enviada para o cliente.
Passo 5: A partir de agora, o cliente será capaz de utilizar o serviço que deseja. Porém,
antes disso, é preciso descriptografar a mensagem utilizando a chave de sessão. Terminado
esse processo, o cliente tem em “mãos” o ticket que lhe permitirá acessar o serviço, e
também, a nova chave de sessão que será utilizada para estabelecer a comunicação entre
os dois. Para finalizar o processo de autenticação, o cliente deve criar um autenticador,
contendo seu nome, IP e tempo corrente. Criptografar esse autenticador com a chave de
sessão, e junto com ticket fornecido pelo TGS, formar uma requisição que será enviada
diretamente para o serviço que se deseja acessar. Só resta agora que o serviço verifique a
requisição recebida. Com sua chave secreta o serviço consegue descriptografar o ticket
recebido. Dentre outras informações, consta no ticket a chave de sessão criada pelo TGS,
que o permitirá descriptografar o autenticador enviado pelo cliente. Os nomes do cliente, os
IPs obtidos e o tempo corrente, tanto do ticket quanto do autenticador, são comparados.
Considerando os dados válidos, o serviço tem certeza quanto a veracidade da identidade do
cliente e a autenticação é finalizada.
A comunicação entre o cliente e o serviço poderá ser feita de três formas diferentes:
Normal: apenas a autenticação inicial é exigida. A partir daí, não é feita mais nenhuma
autenticação e as mensagens também não são criptografadas.
Safe Messages: todas as mensagens são autenticadas, porém não são

criptografadas.
Private Message: é a forma mais segura e também a mais custosa. Todas as

mensagens são criptografadas e autenticadas.
225
O protocolo Kerberos é um serviço de autenticação distribuído que permite que um cliente,
através de um usuário, provê sua identidade a um servidor de autenticação, passando em
seguida por um verificador de sessão, para que então, estabeleça a transferência das
informações com o host destino, evitando assim, a violação da conexão estabelecida.
Esse protocolo foi desenvolvido no meado dos anos oitenta como parte do Projeto de MIT
Athena. Hoje em dia, é uma das soluções aos problemas de segurança em rede, pois
fornece ferramentas de autenticação e criptografia para trabalhos em redes públicas como a
Internet. Pode ser utilizado através de qualquer tipo de conexão, a autenticação e um dos
pontos forte na segurança de qualquer sistema, pois tem a finalidade de atravessar os
mecanismos de segurança para autenticar o usuário, autorizando ou não a sua conexão.
Muitos dos protocolos usados na Internet não provêem segurança. Ferramentas que varrem
senhas fora da rede são usadas em brechas de sistemas. Assim, aplicações que enviam
senha sem criptografia pela rede Internet são extremamente vulneráveis. Contudo, em
muitas aplicações cliente/servidor que são desenvolvidas e implementadas, não é dada a
devida atenção sobre os aspectos aqui mencionados.
Alguns administradores tentam usar Firewalls para resolver os problemas de segurança de

rede. Infelizmente, os Firewalls assumem que os acessos ruins estão todos do lado de fora,
o que freqüentemente, é uma suposição não muito boa, pois usuários e colaboradores em
trânsito ficam restringidos de usar a rede interna, pois os mecanismos de segurança vão
descartar suas tentativas de acesso.
O sistema Kerberos usa ingressos eletrônicos para autenticar um usuário para um servidor.
Um ingresso só é bom para um único servidor e um único usuário durante certo período de
tempo e para uma mensagem codificada que contém o nome do usuário, o seu servidor, o
endereço da rede do servidor do usuário, um selo de tempo e uma chave de sessão.
Uma vez que o usuário adquire este ingresso, ele pode usar isto para ter acesso ao servidor
quantas vezes forem necessárias até que o ingresso se expire. O usuário não pode decifrar o
226
ingresso, mas pode apresentá-lo ao servidor. Com isso, escutas clandestinas não podem
violar o ingresso quando este estiver em curso na rede Internet.
O protocolo Kerberos envolve dois servidores: um de autenticação e o outro (TGS) que

concede os ingressos.
Passos no processo da autenticação do protocolo Kerberos
(http://www.linhadecodigo.com.br/artigos/img_artigos/bruno_spinelli/Kerberos_1.jpg)
Passos que representam a autenticação com o protocolo Kerberos:
PASSO 1: Obter um ingresso para um servidor designado. O usuário primeiro pede ao

servidor de autenticação Kerberos um ingresso para o Kerberos TGS. Este pedido leva a
227
forma de uma mensagem que contém o nome do usuário e o nome do TGS (pode haver
vários).
PASSO 2: O servidor de autenticação verifica o usuário em seu banco de dados e então gera
uma chave de sessão para ser usada entre o usuário e o TGS. Kerberos codifica esta chave
de sessão que usa a chave de segredo do usuário (processo de uma só direção com senha
do usuário). Então cria um TGT (ingresso que concede ingresso) para o usuário apresentar
ao TGS e codifica o TGT usando a chave de segredo do TGS (que só é conhecido pelo
servidor de autenticação e o servidor TGS). O Servidor de Autenticação envia de volta as
mensagens codificadas ao usuário.
PASSO 3: O usuário decifra a primeira mensagem e recupera a chave de sessão. Logo, o

usuário cria um autenticador que consiste em seu nome, seu endereço de rede e um selo de
tempo, tudo codificado com a chave de sessão gerada pelo servidor de autenticação
Kerberos. O usuário envia o pedido então ao TGS para fazer ingresso a um servidor
designado. Este pedido contém o nome do servidor, o TGT Kerberos (que foi codificado com
o a chave de segredo do TGS), e o autenticador codificado.
PASSO 4: O TGS decifra o TGT com sua chave secreta e então usa a chave de sessão
incluída no TGT para decifrar o autenticador. Compara a informação do autenticador com a
informação do ingresso, o endereço da rede do usuário com o endereço foi enviado no
pedido e o tempo estampado com o tempo atual. Se tudo se emparelhar, permite a
continuação do pedido. O TGS cria uma chave de sessão nova para o usuário e o servidor
final com esta chave em um ingresso válido para o usuário apresentar ao servidor. Este
ingresso também contém o nome do usuário, endereço da rede, um selo de tempo, e um
tempo de vencimento para o ingresso codificado com a chave de segredo do servidor
designado e o seu nome. Também codifica a nova chave de sessão designada que vai ser
compartilhada entre o usuário e o TGS. Envia ambas as mensagens de volta ao usuário.
PASSO 5: O usuário decifra a mensagem e a chave de sessão para uso com o servidor
designado. O usuário está agora pronto para se autenticar com o servidor. Ele cria um
autenticador novo codificado com a chave de sessão de usuário e servidor final que o TGS
228
gerou. Para pedir acesso ao servidor final, o usuário envia junto ao ingresso recebido de
Kerberos (que já é codificado com a chave de segredo do servidor designado) o autenticador
codificado. O autenticador contém o texto plano codificado com a chave de sessão, prova
que o remetente sabe a chave. Da mesma forma que é importante, codificar o tempo para
prevenir que intrometidos que venham registrar o ingresso e o autenticador, possam tentar
usar as informações em futuras conexões.
PASSO 6: O servidor designado decifra e confere o ingresso e o autenticador e também

confere o endereço do usuário e o selo de tempo. Se tudo confirmar, o servidor sabe agora
que o usuário é que esta reivindicando o acesso é realmente ele, e podem usar a chave de
criptografia para comunicação segura. Como só o usuário e o servidor compartilham esta
chave, eles podem assumir que uma recente mensagem codificou aquela chave originada
com a outra chave anterior.
PASSO 7: Para aplicações que requerem autenticação mútua, o servidor envia para o
usuário uma mensagem que consiste no selo de tempo mais 1, codificada com a chave de
sessão. Isto serve como prova ao usuário que o servidor soube da sua chave secreta de fato
e pôde decifrar o ingresso e o autenticador.
Criptografia Posicional: Uma solução para Segurança de Dados
http://143.54.31.10/reic/edicoes/2001e2/cientificos/CriptografiaPosicional.pdf
229
Antes de iniciar sua Avaliação Online, é fundamental que você acesse sua SALA
DE AULA e faça a Atividade 3 no “link” ATIVIDADES.
Atividades dissertativas
Acesse sua sala de aula, no link “Atividade Dissertativa” e faça o exercício proposto.
Bons Estudos!
230
G LOSSÁRIO
Caso haja dúvidas sobre algum termo ou sigla utilizada, consulte o link Glossário em sua
sala de aula, no site da ESAB.
231
B IBLIOGRAFIA
Caso haja dúvidas sobre algum termo ou sigla utilizada, consulte o link Bibliografia em sua
sala de aula, no site da ESAB.
232

Materia Comleta de Seguranca de Redes PDF

Загружено:

Сведения о документе

Оригинальное название

Авторское право

Доступные форматы

Поделиться этим документом

Поделиться или встроить документ

Параметры публикации

Этот документ был вам полезен?

Это неприемлемый материал?

Авторское право:

Доступные форматы

Materia Comleta de Seguranca de Redes PDF

Загружено:

Авторское право:

Доступные форматы

MÓDULO DE:

Copyright © 2008, ESAB – Escola Superior Aberta do Brasil

Primeira edição: 2009

CITAÇÃO DE MARCAS NOTÓRIAS

Todos os direitos desta edição reservados à

O módulo de Segurança de Redes

É vital para as organizações estarem acessíveis através da Web, para se manterem

Se de um lado, temos a necessidade das organizações em dispor seus negócios de forma

1. Propiciar ao aluno condições de compreender e reconhecer as principais formas de

2. Apresentar as principais técnicas de ataques a redes existentes e suas conseqüências.

Conceitos gerais de Segurança da Informação, gestão de risco e criptologia com suas

Bacharel em Engenharia Elétrica com especialização em Telecomunicações e Licenciatura

Professor desde 1987 e formação em Tutoria pelo convênio CEFET/Pelotas-RS e

Objetivo: Conhecer o universo de estudo, Conceituação de Segurança e Ameças.

Atualmente, as organizações por estarem acessíveis através da Web tornou-se vital e

Tecnicamente, alcançamos a era digital sem termos acoplados os conceitos de segurança

2. CONCEITOS BÁSICOS DE SEGURANÇA

Não adianta uma organização estar atuando virtualmente se as

A Era da Informação trouxe consigo uma série de problemas pertinentes a vulnerabilidades

Primeiramente, é preciso definir três palavras:

Dado: característica qualquer de um objeto, como um nome, data de nascimento de

Conhecimento: ao termos um conjunto de informações, dados pessoais, comerciais e

Nas décadas 70-80, temos a informática como ferramenta de proteção da confidencialidade

Do ponto de vista da segurança, temos algumas preocupações:

Diversidade de tecnologia: apesar da maioria das organizações utilizarem o TCP/IP,

Acesso de informação: quanto mais níveis de acesso têm as informações disponíveis,

Ambiente corporativo – Diversidade de conexões

2.2. Por que se proteger?

A proteção de uma organização em TI não é apenas contra hackers, vírus e funcionários

Outros dados que precisamos saber é que de

São divididas em cinco:

3.1. Ameaças Físicas

Catástrofes (momento de intensa e descontrolada distribuição): desabamento,

Supressão de serviços: infra-estrutura operacional da tecnologia vigente falha ou

Falha de equipamentos: defeito de fabricação, má revisão, uso inadequado, tempo de

Queda de comunicação: por acidente natural ou erro operacional.

3.2. Ameaças lógicas

Alteração e distribuição de dados de forma ilegal e destrutiva, através do uso

Vírus: São programas que se ocultam dentro de outros.

Vermes: Agem de forma independente, gerando cópias dele mesmo em outros

Roubo de equipamentos portáteis, devido a informações restritas a organização.

3.3. Ameaças ocupacionais

Ocorrem quando há uma desestabilização de recursos humanos, modificando a capacidade

3.4. Ameaça à confidencialidade

Ocorre quando intencional ou acidentalmente alguém consegue acesso a um recurso que

3.5. Ameaça ambiental

Acontece quando se aplicam os quatro itens anteriores à infra-estrutura do ambiente, ou

Destruição de informação ou de outros recursos.

Modificação ou deturpação da informação.

Roubo, remoção ou perda da informação ou de outros recursos.

Ameaças acidentais: não estão associadas à intenção premeditada, como os bugs de

Ameaças intencionais: estão associadas à intenção premeditada, como a observação

Ameaças Passivas: quando realizadas não resultam em qualquer modificação nas

Ameaças Ativas: envolvem alterações de informações contidas no sistema, ou

Objetivo: Conhecer o mundo e o nome dos principais atacantes.

O Objetivo desta unidade é fazer com que você tenha conhecimento

4.1. De quem preciso me proteger?

Full Fledged ou Crackers. Insiders.

Script kiddies ou Newbies. Coders.

Lammers. White hat.

Wannabe. Gray hat.

4.1.1. Hackers: no mundo da Ciência da Computação ou Ciência da Informação, os hackers

É comum vender as informações para a própria vítima, ameaçando a divulgação do roubo,