Mecanismos de Segurança de Redes - Final

Mecanismos de Segurana de Redes
Braslia-DF.
Elaborao
Max Bianchi Godoy
Produo
Equipe Tcnica de Avaliao, Reviso Lingustica e Editorao

Sumrio
APRESENTAO.................................................................................................................................. 5
ORGANIZAO DO CADERNO DE ESTUDOS E PESQUISA..................................................................... 6
INTRODUO.................................................................................................................................... 8
UNIDADE I
CONCEITOS BSICOS DE SEGURANA................................................................................................... 9
CAPTULO 1
ESTRUTURA BSICA.................................................................................................................... 9
CAPTULO 2
TCNICAS E TECNOLOGIAS DISPONVEIS PARA DEFESA............................................................ 11
CAPTULO 3
MODELO DE SEGURANA....................................................................................................... 16
UNIDADE II
AMEAAS E ATAQUES........................................................................................................................... 18
CAPTULO 1
OS POTENCIAIS ATACANTES..................................................................................................... 18
CAPTULO 2
TERMINOLOGIAS DO MUNDO DOS HACKERS......................................................................... 20
CAPTULO 3
O PLANEJAMENTO DE UM ATAQUE.......................................................................................... 23
CAPTULO 4
TIPOS DE ATAQUES.................................................................................................................. 25
UNIDADE III
MECANISMOS DE SEGURANA............................................................................................................ 34
CAPTULO 1
POLTICA DE SEGURANA...................................................................................................... 34
CAPTULO 2
FIREWALL................................................................................................................................ 36
CAPTULO 3
IDS E IPS.................................................................................................................................. 38
CAPTULO 4
CRIPTOGRAFIA E PKI................................................................................................................ 39
CAPTULO 5
PROJETO HONEYNET............................................................................................................ 42
UNIDADE IV
MODELO DE SEGURANA.................................................................................................................... 44
CAPTULO 1
NVEIS HIERRQUICOS DE DEFESA........................................................................................... 44
CAPTULO 2
MODELO DE TEIAS.................................................................................................................. 46
PARA (NO) FINALIZAR...................................................................................................................... 51
REFERNCIAS................................................................................................................................... 52
Apresentao
Caro aluno
A proposta editorial deste Caderno de Estudos e Pesquisa rene elementos que se entendem
necessrios para o desenvolvimento do estudo com segurana e qualidade. Caracteriza-se pela
atualidade, dinmica e pertinncia de seu contedo, bem como pela interatividade e modernidade
de sua estrutura formal, adequadas metodologia da Educao a Distncia EaD.
Pretende-se, com este material, lev-lo reflexo e compreenso da pluralidade dos conhecimentos
a serem oferecidos, possibilitando-lhe ampliar conceitos especficos da rea e atuar de forma
competente e conscienciosa, como convm ao profissional que busca a formao continuada para
vencer os desafios que a evoluo cientfico-tecnolgica impe ao mundo contemporneo.
Elaborou-se a presente publicao com a inteno de torn-la subsdio valioso, de modo a facilitar
sua caminhada na trajetria a ser percorrida tanto na vida pessoal quanto na profissional. Utilize-a
como instrumento para seu sucesso na carreira.
Conselho Editorial
5
Organizao do Caderno
de Estudos e Pesquisa
Para facilitar seu estudo, os contedos so organizados em unidades, subdivididas em captulos, de
forma didtica, objetiva e coerente. Eles sero abordados por meio de textos bsicos, com questes
para reflexo, entre outros recursos editoriais que visam a tornar sua leitura mais agradvel. Ao
final, sero indicadas, tambm, fontes de consulta, para aprofundar os estudos com leituras e
pesquisas complementares.
A seguir, uma breve descrio dos cones utilizados na organizao dos Cadernos de Estudos
e Pesquisa.
Provocao
Textos que buscam instigar o aluno a refletir sobre determinado assunto antes
mesmo de iniciar sua leitura ou aps algum trecho pertinente para o autor
conteudista.
Para refletir
Questes inseridas no decorrer do estudo a fim de que o aluno faa uma pausa e reflita
sobre o contedo estudado ou temas que o ajudem em seu raciocnio. importante
que ele verifique seus conhecimentos, suas experincias e seus sentimentos. As
reflexes so o ponto de partida para a construo de suas concluses.
Sugesto de estudo complementar
Sugestes de leituras adicionais, filmes e sites para aprofundamento do estudo,

discusses em fruns ou encontros presenciais quando for o caso.
Praticando
Sugesto de atividades, no decorrer das leituras, com o objetivo didtico de fortalecer

o processo de aprendizagem do aluno.
Ateno
Chamadas para alertar detalhes/tpicos importantes que contribuam para a

sntese/concluso do assunto abordado.
6
Saiba mais
Informaes complementares para elucidar a construo das snteses/concluses

sobre o assunto abordado.
Sintetizando
Trecho que busca resumir informaes relevantes do contedo, facilitando o

entendimento pelo aluno sobre trechos mais complexos.
Exerccio de fixao
Atividades que buscam reforar a assimilao e fixao dos perodos que o autor/
conteudista achar mais relevante em relao a aprendizagem de seu mdulo (no
h registro de meno).
Avaliao Final
Questionrio com 10 questes objetivas, baseadas nos objetivos do curso,

que visam verificar a aprendizagem do curso (h registro de meno). a nica
atividade do curso que vale nota, ou seja, a atividade que o aluno far para saber
se pode ou no receber a certificao.
Para (no) finalizar
Texto integrador, ao final do mdulo, que motiva o aluno a continuar a aprendizagem

ou estimula ponderaes complementares sobre o mdulo estudado.
7
Introduo
O nico sistema verdadeiramente seguro aquele que est desligado, desplugado,
trancado num cofre de titanium, lacrado, enterrado em um bunker de concreto,
envolto por gs nervoso e vigiado por guardas armados muito bem pagos. Mesmo
assim, eu no apostaria minha vida nisso.
Gene Spafford (1999)
Destacamos os conceitos bsicos de segurana, tais como a estrutura bsica, as tcnicas e as

tecnologias disponveis para defesa e o modelo de segurana que devem ser apropriados empresa.
Dessa forma, mencionaremos as ameaas e a maioria dos tipos possveis de ataques, assim falar,
como alguns aspectos dos potenciais atacantes. Depois, citaremos algumas terminologias do mundo
dos hackers e dos pontos normalmente explorados, bem como do planejamento de um ataque e dos
tipos principais de ataques que podem ser perpetrados.
Aps essas definies, apresentaremos alguns dos principais mecanismos de segurana, tais como a
poltica de Segurana e equipamentos como o Firewall, os sistemas detetores de intruses (IDS) e os
sistemas que previnem intruses (IPS). Depois, falaremos da Criptografia e do PKI e discutiremos
sobre o Projeto Honeynet
Finalmente, estudaremos o modelo de segurana, especificando os nveis hierrquicos de defesa e

falaremos sobre o modelo de teias.
Objetivos
Fornecer os conceitos bsicos relacionados segurana.
Explicar como o estabelecimento de uma poltica de segurana.
Caracterizar a segurana lgica e fsica das Instalaes.
Explicar os procedimentos para a continuidade do negcio, os plano de segurana

e de contingncia.
8
CONCEITOS BSICOS UNIDADE I
DE SEGURANA
CAPTULO 1
Estrutura bsica
...os ativos fsicos, tecnolgicos e humanos fazem uso da informao, sustentando

processos que, por sua vez, mantm a operao da empresa. [...] contudo, nenhum
momento pode ser negligenciado, do contrrio, ir instalar-se uma vulnerabilidade
ou furo de segurana
Marcos Smola (2003).
A estrutura bsica de segurana varia em funo das ameaas e das vulnerabilidades de cada ativo
e, alm dessas, existem outros fatores que influenciam na apurao do risco, a partir da elaborao
das anlises de risco. Esses fatores so referentes situao, ao grau de exposio do ativo e do
ambiente fsico e/ou lgico que o cerca.
Assim, os fatores podem ser chamados de agregadores ou fragilizadores da segurana e devem ser
conhecidos e considerados, pois, respectivamente, diminuem ou aumentam o nvel de risco, que
podem ser, conjuntamente com as ameaas, os determinantes da escolha e do uso de dispositivos
de segurana.
Dessa forma, apesar de serem considerados esses fatores, podemos inferir que uma estrutura
bsica para um sistema de informao, que , nomalmente, composto por softwares (programas),
hardware (rede de computadores (cabeamentos, servidores, estaes), peopleware (pessoas que
operam o sistema) e infraestrutura (local, rede eltrica e de telecomunicaes), no que concerne aos
dispositivos de segurana, poderia constar do seguinte.
Estabelecimento de Poltica de Segurana definida de acordo com a realidade e o

ambiente da empresa.
Firewall (muro de fogo) dispositivo de hardware.
IDS Intrusion Detection System (Sistema Detetor de Intruses) dispositivo de

hardware.
Programa Antivrus atualizado dispositivo de software.
9
UNIDADE I CONCEITOS BSICOS DE SEGURANA
Programa Anti-Trojan atualizado dispositivo de software.
Controle de Acesso ao local onde se encontram os pontos de acesso ao sistema.
Controle de Acesso ao Sistema com organograma de chaves e senhas fortes (de

difcil deduo) e criptografadas.
Bancos de Dados protegidos e/ou criptografados.
Acesso Rede mediante senha individualizada e personalizada.
Contratos de responsabilidade para funcionrios, contratados e prestadores de

servio.
Normas e Procedimentos de uso do sistema bem definidos.
10
CAPTULO 2
Tcnicas e tecnologias disponveis para
defesa
[...] norma tem o propsito de definir regras, padres e instrumentos de controle

que deem uniformidade a um processo, produto ou servio.
Smola (2003).
Segundo a norma ISO/IEC 17799:2000, so consideradas como melhores prticas comuns para a
segurana das informaes, a existncia dos seguintes controles:
definio formal a poltica de segurana de informaes;
educao e treinamento de funcionrios e de outros usurios para segurana das

informaes;
alocao de responsabilidades quanto salvaguarda e segurana das informaes;
relatao de incidentes de segurana;
gerenciamento da continuidade do negcio.
Assim, tais controles, conforme a norma, podem ser aplicados grande maioria das instituies
e dos ambientes. Contudo, a relevncia de qualquer controle, como citamos anteriormente,
determinada pelos riscos especficos enfrentados pela organizao.
Dessa forma, a escolha dos controles adequados empresa devem estar baseados no resultado das
avaliaes de riscos realizadas e no desenvolvendo das diretrizes prprias, inerentes organizao.
Esses controles devem ser tidos como fundamentais sua segurana e manuteno ou desejveis,
a fim de proporcionar maior segurana, sem obstruir ou inviabilizar o processo operacional.
Desse modo, tais controles devem ser considerados como um incio do desenvolvimento de uma
orientao especfica para a organizao, que deve ser adaptada sua realidade e passvel de ser
seguida, implementada em todos os setores sensveis da empresa e revisada periodicamente.
O estabelecimento de uma poltica de segurana constitui-se em um dos elementos principais para a

segurana de qualquer empresa. Porm, o seu planejamento e a definio dos aspectos especficos a
serem tratados precisam de rigorosas avaliaes dos vrios aspectos envolvidos, que veremos mais
adiante.
Alm disso, devem ser considerados os obstculos que possam dificultar ou, mesmo, inviabilizar
a implementao da poltica de segurana a ser elaborada, sobretudo os concernentes falta de
informao aos setores envolvidos ou a consultas e avaliaes ineficientes, quando de sua elaborao.
11
Deve ser prevista, tambm, a utilizao de contramedidas , que correspondem a medidas de

segurana capazes de tratar eventuais ameaas quando de sua ocorrncia e, assim, poderem reduzir
significativamente a probabilidade de prejuzos quando da efetivao de um risco.
Segundo a norma ISO/IEC 17799:2000, a avaliao de risco corresponde avaliao das ameaas s
informaes e s facilidades de processamento, s vulnerabilidades e probabilidade de ocorrncia
de tais riscos e do seu impacto.
Segundo Schneier (2001), as tecnologias para preveno de ataques criminosos podem ter as
seguintes funes:
Autenticao e autorizao.
Garantia de privacidade nas comunicaes.
Defesa de rede.
Combinao das trs.
Autenticao e autorizao
Autenticao uma das funes de segurana mais importantes que um sistema operacional
deve fornecer e seu objetivo o controle de acesso. A autenticao permite identificar um usurio
(fornecendo garantia de que ele de fato quem diz ser) e associ-lo com o perfil necessrio para suas
funes (onde ter acesso, que tarefas poder executar e com que privilgios), autorizando ou no
o acesso requerido. Os mecanismos de autenticao, segundo SCUA INFORMATION SECURITY
(2003) podem ser baseado em:
algo que voc sabe apesar de relativamente inseguro, esse o mecanismo mais
utilizado. o par formado pelo nome do usurio e sua senha.
algo que voc tem dispositivos fsicos (como chaves de carro, cartes de banco)
que exigem a posse fsica de um dispositivo.
algo que voc impresses digitais, anlise de retina e reconhecimento de voz so

exemplos de mecanismos biomtricos que podem ser usados para fornecer um nvel
bem alto de autenticao.
algum lugar onde voc est endereos de adaptador de rede, caller-ID, e sistema
baseado em Posicionamento Global via Satlite proveem informao de autenticao
baseada na localizao do usurio.
Todos os tipos de autenticao so vulnerveis a falhas, por isso, sistemas de autenticao robustos
exigem o uso simultneo de, pelo menos, dois desses mecanismos. Assim, a confidencialidade da
informao usada para autenticar os usurios extremamente importante.
12
CONCEITOS BSICOS DE SEGURANA UNIDADE I
Logs
Logs so registros gerados pelos sistemas, contendo informaes de eventos como: quais arquivos e
sistemas foram acessados, por quem e em que horrio. Trata-se de uma ferramenta til para auditoria
de acessos, para verificao do que est sendo utilizado e at para constatar falhas nos sistemas.
Alm disso, como h o registro de todas as atividades executadas, evita-se que um usurio negue a
autoria de uma dada transao. Essa ferramenta considerada uma medida bsica de segurana,
mas, muitas vezes, no utilizada pelos administradores, [...] ou por que est desativada, pois
dependendo do sistema e do hardware, a gerao do Log pode se tornar lenta, ou por que esquecem
ou no querem analis-lo, j que os logs geralmente so relatrios enormes. (SETTE, 2001).
Senhas
Senha de acesso o mtodo mais utilizado pelas empresas para a autenticao de usurios. Para
garantir o seu uso adequado, importante definir regras para a criao, uso, e troca peridica das
senhas. As regras definidas devero ser divulgadas a todos os funcionrios e colaboradores da
organizao. Os principais itens que devem constar em uma poltica de senhas so:
a senha sempre deve ser criada expirada, forando a sua alterao no primeiro
logon;
as contas de usurios demitidos, prestadores de servio, ou usurios de teste, devem

ser imediatamente bloqueadas quando no forem mais utilizadas;
os usurios devem poder alterar a prpria senha e devem faz-lo caso suspeitarem
que a sua senha foi descoberta;
o tamanho mnimo da senha dever ser de 7 caracteres;
a periodicidade da troca deve ser preferencialmente mensal. Caso no seja possvel,

deve ser feita, no mximo, trimestralmente;
a senha deve ser composta de uma combinao de caracteres maisculos e

minsculos, sinais e nmeros, que deve ser fcil de lembrar, porm difcil de ser
descoberta;
a senha no deve ser baseada em informaes pessoais tais como o prprio nome,
nome de familiares, bichos de estimao, nome de time de futebol, placa do
automvel, nome da empresa ou departamento;
no deve ser constituda de combinaes bvias de teclado, tais como 12345, asdfg;
no deve haver senha genrica: a senha pessoal e no deve ser compartilhada.
13
Biometria
A biometria uma tecnologia de autenticao que utiliza caractersticas humanas, como impresses
digitais, retina, rosto, padres de voz e de assinatura. A vantagem sobre as outras tecnologias que
o usurio identificado por caractersticas nicas, pessoais e intransferveis, dispensando o uso de
senhas, cartes ou crachs. utilizada tanto para controle de acesso fsico quanto para controle de
acesso lgico (SMOLA, 2003).
One-time password
Essa tecnologia consiste em fornecer uma senha de acesso diferente aps cada intervalo de tempo
predeterminado, permitindo que o usurio se conecte apenas naquele momento. As tecnologias de
one-time password tornam sem efeito a ao de sniffers, j que a cada conexo uma nova senha deve
ser informada. Para a gerao das senhas, so utilizados tokens no formato de cartes, chaveiros ou
aparelhos semelhantes a calculadoras. (SCHNEIER, 2001).
Privacidade nas Comunicaes
Criptografia
Criptografia o estudo da grafia secreta, isto , o estudo de mtodos que permitem ocultar o contedo
de mensagens ou dados armazenados e ser visto mais adiante.
Redes de Computador
Computadores interligados em rede esto particularmente sujeitos a ataques e a invases, portanto
exigem ateno especial nas empresas. Antivrus e firewalls so as medidas de segurana mais
conhecidas, porm h muitas outras opes para assegurar a proteo da informao que trafega
nas redes internas e na Internet.
Antivrus
Antivrus um software que verifica a existncia de vrus em uma mquina, pasta ou arquivo e, ao
encontr-lo, executa a limpeza. A maneira como isso feito pode ser totalmente configurada pelo
usurio, mas, normalmente, o antivrus faz a anlise e, quando encontra algum vrus, tentar eliminar
apenas ele e, caso no consiga, se o usurio autorizar, ele remover todo o arquivo (SCHNEIER,
2001; SMOLA, 2003).
14
Contudo, sabe-se que a velocidade de propagao dos vrus superior velocidade de criao e
distribuio das vacinas. Assim, preciso adotar outras medidas preventivas, tais como a proteo
dos disquetes e de outras mdias contra gravao, as restries no uso de programas de livre
circulao (de download gratuito).
DMZ
DMZ (de-militarized zone) uma zona desmilitarizada, um lugar entre a rede interna e a Internet
em que so colocados os servidores de acesso pblico. Para obter uma DMZ, preciso instalar
dois firewalls lgicos: um protegendo a DMZ do mundo externo e o outro, com mais restries,
protegendo a rede interna da DMZ. O resultado uma parte semipblica da rede e uma parte
privada, dotada de mais segurana (SCHNEIER, 2001, p.196).
Outras formas de proteo so os FIREWALLs, os IDS e os IPS e os HoneyPot, que sero detalhados
mais adiante.
15
CAPTULO 3
Modelo de Segurana
A Proteo dos sistemas de informao contra a negao de servio a usurios

autorizados, assim como contra a intruso e a modificao desautorizada de
dados ou informaes, armazenados, em processamento ou em trnsito, abrange,
inclusive, a segurana dos recursos humanos, da documentao e do material, das
reas e instalaes das comunicaes e computacional, assim como as destinadas a
prevenir, detectar, deter e documentar eventuais ameaas a seu desenvolvimento.
COMIT GESTOR DA SEGURANA DA INFORMAO (2003).
Segundo Gil (1998, p. 18), as medidas de segurana correspondem a aes projetadas e

operacionalizadas a fim de evitar, conter ou barrar (causas), ou com o intuito de minimizar ou
eliminar (consequncias) das ameaas latentes ou das potenciais, em face das vulnerabilidades de
um ativo dentro de seu permetro de proteo.
O permetro de proteo consiste em um ambiente ou linha imaginria, fsica ou lgica, em que a

ameaa pode ocorrer. Tal conceito de permetro teve origem nas estratgias militares de defesa e h
muito tempo utilizado pela rea de segurana patrimonial. A compartimentalizao correta dos
ambientes fsicos e lgicos permite a aplicao de controles mais adequados.
Dessa forma, as medidas de segurana podem ser preventivas (quando o objetivo evitar a ocorrncia
de determinada ameaa); de deteco (quando buscam flagrar a ocorrncia de uma ameaa);
corretivas (quando visam eliminar e minimizar as consequncias de determinada ameaa); ou
restauradoras (quando a meta restabelecer a sistemtica operacional e a situao de normalidade).
Em um ambiente cooperativo, devem ser considerados que usurios externos organizao podem
utilizar o sistema como sendo usurios no confiveis. Assim, devem ter seus acessos rede da
organizao registrados e todos os seus passos analisados e o seu acesso deve ser restrito apenas aos
recursos necessrios para a execuo de seus servios.
Assim, esse modelo de segurana, tido como convencional tem o objetivo de criar paredes de proteo
em redes, representado pelo equipamento conhecido como Firewall, que fica colocado entre a rede
interna da organizao e a rede pblica, limitando os acessos de usurios externos empresa.
Contudo, modernamente, algumas empresas comearam a disponibilizar vrios servios para o

acesso via rede pblica. Assim, como at ento o controle era realizado pelo firewall (que liberava
o acesso externo a uma rede especfica), esse acesso era possvel a partir de uma rea delimitada,
conhecida pelo nome de zona desmilitarizada (DMZ), e deixava a rede interna da organizao
protegida contra eventuais ataques externos.
Devido complexidade dessa nova realidade exemplificada pela massificao dos servios
disponibilizados via Internet (rede pblica), foi proposto um modelo conhecido como bolso de
16
segurana, por meio do qual, os usurios podem, segundo o seu nvel de acesso, acessar pores
delimitadas da rede interna, que devem ser protegidas.
Esse modelo utilizado em empresas, tambm, de uma forma interna na organizao, uma vez que
so definidos grupos ou perfis de acesso com nveis determinados, que tero um espao especfico na
rede e opes diferenciadas de acesso aos sistemas, no expondo todo o seu contedo e controlando
os acessos mediante a gerao de logs, os quais podem ser consultados no caso de eventualidades
ou, dependendo da estrutura e do risco a que esto submetidos, ser acompanhados e monitorados
constantemente.
17
AMEAAS E UNIDADE II
ATAQUES
CAPTULO 1
Os potenciais atacantes
[...] apenas aplicam ferramentas de software, scanners que automatizam o trabalho

de varredura procura de falhas de segurana e emitem um relatrio profundamente
tcnico e no contextualizado ao linguajar e s necessidades do negcio.
Smola (2002).
Segundo BLUM (2001, p. 210), apesar do termo hacker ser utilizado como termo genrico para
designar qualquer invasor de sistemas de informao, devemos notar que h distines importantes
entre os invasores, relacionadas basicamente sua motivao e ao modo de agir. Hacker todo
indivduo que gosta de explorar os detalhes dos computadores, testando seus limites. Ao contrrio
do que se pensa, ele no um criminoso, e, sim, um pesquisador que quebra sistemas de segurana
por curiosidade e pelo simples prazer de conseguir um feito indito.
O hacker que, depois da invaso, informa aos proprietrios do sistema sobre a existncia de uma
brecha, permitindo que ela seja consertada, conhecido tambm como white hat. Sneaker a pessoa
contratada para invadir um sistema de computador com o propsito especfico de testar seu nvel de
segurana. Por outro lado, quando o invasor deseja obter alguma vantagem financeira chamado
de cracker, ou black hat. O cracker o hacker malicioso, aquele que usa seu conhecimento para
praticar crimes.
Apesar das diferenas entre as categorias de invasores definidas, o termo hacker continua sendo o
mais usado popularmente para indicar os invasores de sistemas, talvez devido dificuldade prtica
de traar a linha divisria entre o bem e o mal na atuao desses indivduos. De fato, como observa
Blum (2001, p. 210), a conduta desses agentes agressores quase sempre progressiva, comeando
com o desejo de dominar e vencer a mquina, e passando rapidamente para a conscincia da
possibilidade de obter vantagem, o que os leva a cometer crimes.
Se, na vida real, a criminalidade praticada, sobretudo por indivduos das classes D e E, na comunidade
virtual os agentes criminosos so predominantemente das classes B e C. Mas importante ressaltar que
o perfil desses agressores em nada se assemelha ao esteretipo, criado por Hollywood e perpetuado pela
imprensa, do delinquente informtico como o estudante de classe mdia, de inteligncia excepcional,
bom nvel de escolaridade e conhecimento especializado em informtica. [...] Hoje, tais delinquentes
18
AMEAAS E ATAQUES UNIDADE II
so, em geral, pessoas que trabalham no ramo [de informtica], normalmente empregadas, no to
jovens e nem to inteligentes. (BLUM, 2001, p. 210)
O que impulsiona um hacker ou um cracker ao pode ser: o desejo de mostrar as falhas de

um sistema de informtica para que elas possam ser corrigidas; a disputa com outros hackers; a
tentativa de mostrar que so melhores do que os desenvolvedores do programa e que, portanto,
deveriam ser contratados logo pelas empresas. H inmeros relatos de hackers contratados por
rgos do governo para ajudar a combater os crimes de informtica. Foi isso que aconteceu na ndia,
onde a polcia contou com a assessoria de hackers com idades entre 14 e 19 anos. Alguns crackers,
cumprindo pena em estabelecimentos prisionais, tambm j tm emprego garantido, antes mesmo
de serem soltos. Por essas razes, Jean Daoun defende que no se apliquem penas privativas de
liberdade aos criminosos virtuais, de modo que se possa tirar proveito da capacidade tcnica desse
agente (BLUM, 2001, p. 210).
19
CAPTULO 2
Terminologias do mundo dos Hackers
[...] o nvel de segurana de uma empresa est diretamente associado sua porta
mais fraca.
Marcos Smola (2003, p. 18)
Existem vrias expresses e terminologias utilizadas por hackers, que listamos a seguir.
Hacker Em termos gerais um hacker algum que gosta de explorar todos os

aspectos dos sistemas de informtica, incluindo sistemas de segurana. A palavra
hacker significa, para a maioria dos utilizadores, a pessoa que viola a segurana
de sistemas de informtica. Disponvel em: <http://bvi.clix.pt/glossario/#e23>
Acesso em 16 abr. 2003.
Cracker Indivduo com aes mais destrutivas que hacker, pois invade o sistema
de segurana de um computador ou rede de computadores com o objetivo de
roubar, destruir ou apagar informaes. Disponvel em: <http://dicas.bol.com.br/
ferramentas/glossario.jhtm#h> Acesso em: 16 abr. 2003.
Cyberpunck Termo utilizado no romance Neuromancer, de Gibson, define um

indivduo que causa danos a outros provocando prejuzos, porm sem lucrar nada
diretamente. como uma espcie de pixador virtual.
Larval stage quando o indivduo abdica da sua vida real (podendo durar
entre 6 meses a 2 anos), para viver exclusivamente na busca de informaes e de
conhecimentos, de forma a se aprofundar cada vez mais em assuntos referentes a
sistemas e a programao.
White Hat Especialista em segurana que pode ou no pertencer a empresas

e presta servios a empresas ou a terceiros, para ajudar a aumentar a segurana
de um determinado software ou rede. As grandes empresas costumam recorrer
a estes especialistas; Disponvel em: <http://www.pplware.com/2007/06/13/
terminologias-%E2%80%9Chacking%E2%80%9D/> Acesso em: 20 set. 2008.
Grey Hat Por norma no costuma executar crimes nem tirar proveito do seu
conhecimento, mas podem faz-lo diretamente, sendo movidos por ambies
polticas, religiosas ou sociais; ou indiretamente, executando uma ao que
contra a lei do seu pas. Disponvel em: <http://www.pplware.com/2007/06/13/
terminologias-%E2%80%9Chacking%E2%80%9D/> Acesso em: 20 set. 2008.
Carder um fraudador de cartes de crdito, cujo objetivo roubar senhas,

nmeros de carto e cdigo de proteo para poder utilizar cartes de crdito
20
pertencentes a outras pessoas e, com esses, realizar compras, sacar ou transferir

dinheiro para si ou para outrem.
Phreaker o chamado cracker de telecomunicaes, que se utiliza de diversas

formas de ludibriar sistemas de telefonia para utiliz-los e de outras formas de
burla, tais como em tv a cabo, canais de internet.
War driver Corresponde a um cracker que especializado em redes wireless,

procurando pontos de acesso Internet sem fios, buscando utilizar a Internet de
outros sem custos ou invadir redes para obter alguma informao privilegiada.
As invases ocorrem a partir da explorao das vulnerabilidades dos sistemas de
terceiros.
War Chalking Pessoas que informam onde ficam os melhores pontos com
redes wireless, fazendo marcas com giz, smbolos ou tags. Atualmente, eles so
mais comuns na Europa.
Newbie Existem outras designaes como n00b, sendo basicamente um

novato, um recm-chegado a informtica, um utilizador final de um produto, que
passa a vida a fazer perguntas sobre como funcionam as coisas mais bsicas, mas
que quer aprender a dominar minimamente as ferramentas com que trabalha no
seu dia a dia.
Luser Trata-se de uma associao das palavras inglesas Looser (perdedor) e

User (usurio) e significa um usurio inexperiente e que, tambm, no se dedica
ou no quer aprender nada. Aqueles que esto sempre com as mesmas dvidas e
povoam os Fruns, os Chats e as pginas de suporte tcnico de fabricantes e autores
de livros, sendo vtimas fceis de vrus e cavalos de troia (trojan) devido a esse
desconhecimento proposital.
Lamer Tambm podemos cham-los de script-kiddies. So utilizadores que

encontram uns programas na Internet (na sua maioria criados por crackers)
que exploram determinadas vulnerabilidades e bugs, infectam computadores de
terceiros com trojans e sempre se gabam dos seus feitos na Internet, se aclamando
como hackers, e vivem da utilizao do trio das seguintes ferramentas: scan, exploits
e trojan;
Wannabe Pode ser algo positivo ou negativo: positivo se o tipo bastante culto
sobre o assunto e est prestes a entrar na fase de larva; negativo se o indivduo vive
apenas o sonho do mundo hacker dos filmes e nem faz a mnima ideia do que a
realidade desse mundo.
21
UNIDADE II AMEAAS E ATAQUES
Os pontos explorados
[...] a probabilidade de que agentes, que so ameaas, explorem vulnerabilidades,
expondo os ativos a perdas de confidencialidade, integridade e disponibilidade,
e causando impactos nos negcios. Estes impactos so limitados por medidas
de segurana que protegem os ativos, impedindo que as ameaas explorem as
vulnerabilidades, diminuindo assim o risco.
Marcos Smola (2003, p. 56).
Nenhuma ameaa totalmente incua quando o assunto so os sistemas de informao de uma

empresa. O tempo desperdiado com a leitura de uma mensagem de correio eletrnico irrelevante,
por exemplo, j representa a perda de um ativo importante: o tempo. Entretanto, no h como
negar que a magnitude do impacto nos negcios pode variar, com repercusses muito ou pouco
significativas. Isso depende do uso que feito da informao, de como essa informao afeta o
negcio e principalmente at que ponto a divulgao, a corrupo ou a deleo da informao pode
afetar negativamente a organizao.
Os pontos explorados em tentativas de invaso so a vulnerabilidade dos ativos sistemas, locais e

pessoas. As Vulnerabilidades, constituem a fragilidade ou o ponto fraco de um ativo que o expe a
ameaas.
Para saber como e onde investir prioritariamente, os administradores precisam conhecer a real
situao de segurana da empresa. A anlise de riscos e vulnerabilidades o primeiro passo em
qualquer soluo de segurana e a principal ferramenta utilizada pelos administradores. Tambm
chamada simplesmente de avaliao de risco, essa ferramenta envolve a anlise de vulnerabilidades,
ameaas, probabilidade de ocorrncia, perda ou impacto e eficcia terica das medidas de segurana
escolhidas.
22
CAPTULO 3
O planejamento de um ataque
Hoje, tais delinquentes so, em geral, pessoas que trabalham no ramo [de
informtica], normalmente empregadas, no to jovens e nem to inteligentes.
Blum (2001, p. 210).
Os ataques so, normalmente, compostos por alguns passos que o atacante executa para invadir
uma rede ou um sistema.
Inicialmente, o atacante escolhe o alvo e realiza um levantamento de informaes a respeito dele.

Essa escolha baseada, normalmente, no papel que o alvo desempenha, na possibilidade de
conseguir algum lucro, na descoberta de vulnerabilidades ou na popularidade.
No que concerne ao papel desempenhado ou a propenso de conseguir vantagem ou lucro, a escolha

do alvo direcionada aos objetivos especficos do atacante como a posse dos dados armazenados ou
a possibilidade de alferir algum ganho direto ou indireto no processo.
J no caso da descoberta de vulnerabilidades, o alvo escolhido segundo as vulnerabilidades

apresentadas e no pelo papel que desempenha. Assim, um sistema muito vulnervel poder ser
escolhido como alvo, simplesmente por ser fcil o acesso do atacante a ele. Nesse caso, alguns
atacantes pesquisam a rede procura de uma vulnerabilidade comum e saem a procura de vrios
endereos IP (Internet Protocol Protocolo Insternet) e de sistemas que estejam com essa
vulnerabilidade.
Quanto popularidade: o atacante procura escolher um determinado alvo em virtude da popularidade

que ele apresenta. Normalmente, nesse caso, o desejo do atacante angariar fama ou, em outras
palavras, fazer seu nome vinculando-o ao alcance da invaso do sistema ou descaracterizao de
uma pgina na Internet.
O prximo passo do atacante, aps a escolha do alvo, invadi-lo e buscar esconder os indcios
de suas atividades no sistema. Assim, ele busca os artefatos ou as ferramentas corretas ou mais
compatveis com o seu alvo a fim de reduzir todos ou o mximo dos indcios de suas atividades, e
procura explorar as vulnerabilidades especficas descobertas antes.
Antes de se expor, um invasor experiente procura testar sua invaso em um ambiente controlado a
fim de garantir seu sucesso ao invadi-lo. Esse tipo de atacante, que se preocupa em apagar o mximo
de indcios de sua invaso, conhecido pelo nome de script clear, enquanto que o que apenas se
preocupa em invadir, deduz que ser dificilmente descoberto, age com pouca cautela e escolhe seus
artefatos e ferramentas com pouco critrio, conhecido como script kid.
23
Dessa forma, os invasores mais prudentes reduzem a quantidade de tentativas sem sucesso e
deixam poucos rastros ou, ainda, disfaram sua invaso, tentando retardar que ela seja notada ou
procurando evitar que sejam descobertos.
Como ltimo passo, os atacantes procuram criar uma nova forma de entrada mais segura para eles
e tentam aumentar os seus privilgios para preparar outras invases menos arriscadas. Essas novas
entradas so, normalmente, do tipo backdoor. Com isso, o invasor passa a desenvolver ou deixar
fcil novos ataques com um risco de exposio menor.
Normalmente, tais ataques se utilizam de mais de um artefato ou ferramenta e requerem um

planejamento por parte do atacante a fim de dificultar que seja descoberto, uma vez que todas as
investidas via Internet deixam algum tipo de rastro, que pode ser perseguido e levar descoberta
do agressor.
As tentativas de invaso so descobertas pelas equipes de segurana quando elas analisam

regularmente os arquivos de log, que devem estar adequadamente protegidos a fim de evitar que
o invasor possa apagar seus rastros. Assim, por intermdio de tal anlise regular, normalmente, as
equipes de gerenciamento de rede ou de segurana conseguem descobrir os primeiros sinais das
tentativas de ataque e impedem que ocorram, ou que causem danos maiores, caso tenham sido
efetivadas.
s vezes, os invasores procuram montar um ataque de negao de servio a fim de evitar que outros
usurios utilizem a rede ou algum aplicativo, e eles sejam descobertos ou quando no conseguem
ter acesso. Contudo, outros tipos de atacantes, tm o objetivo de utilizar esse tipo de ataque (de
negao de servio) desde o incio, como no caso de ataques do tipo syn flood, onde os invasores
se utilizam de um artefato (programa escuso) para enviar muitas solicitaes do tipo syn de TCP, a
fim de inundar a fila de conexes pendentes nos servidores, acarretando problemas de acesso dos
usurios rede.
24
CAPTULO 4
Tipos de ataques
As empresas podem gastar milhes de dlares em protees tecnolgicas, mas

isso ser um desperdcio se as pessoas puderem simplesmente ligar para algum
e convenc-lo a fazer algo que baixe as defesas do computador ou que revele as
informaes que esto buscando.
Schneier (2001)
Ataques de invaso de privacidade

Os ataques de invaso de privacidade podem ser usados como meio de espionagem, ou com o
propsito de obter informaes (como senhas, dados bancrios) que permitam ao invasor obter
lucro ilcito por intermdio de fraudes.
Sniffer (farejador)
O sniffer um grampo que faz escuta em uma rede de computadores. O atacante precisa estar
entre o remetente e o destinatrio para poder farejar o trfego. Isso fcil em empresas que
compartilham canais de comunicao em rede. Em um ambiente de rede normal, nomes e senhas
dos usurios so passadas por meio da rede em texto claro (ou raso), ou seja, no criptografado.
No difcil, portanto, para um intruso, utilizar um sniffer para obteno de senhas. A ao de
capturar informaes destinadas a uma outra mquina chamada sniffing. (SCUA INFORMATION
SECURITY).
War Driving
Esse um fenmeno relativamente novo, que surgiu com a popularizao do uso das redes sem
fio. A maior parte das pessoas que instala uma LAN1 sem fio no se preocupa ou no sabe como
amortecer o sinal o suficiente para evitar que ele seja acessado fora do edifcio. Como a LAN sem fio
pode alcanar uma rea maior que a do edifcio, um usurio de fora pode invadir a rede, obter acesso
gratuito Internet, ou at acessar registros e outros recursos da empresa. Tudo o que o fraudador
precisa fazer usar um laptop com um carto sem fio, instalar o Aerosniff (ou outro programa
farejador de pacote para rede sem fio) e literalmente dirigir pela cidade em busca de reas com
trfego sem fio (INFORMABR, 2003).
1 LAN (Local Area Network) Sistema de comunicao entre computadores de um edifcio ou grupos de edifcios, dentro de
um pequeno raio de distncia (alguns quilmetros quadrados) e que utiliza conexes em alta velocidade (2 to 100 megabits por
segundo).
25
Spyware
O spyware (software espio) definido por Steve Gibson como: [...] qualquer software que
empregue uma conexo de Internet na retaguarda (o chamado backchannel canal de fundo)
sem o conhecimento ou a permisso explcita do usurio. Por isso ele [...] culpado de roubo de
informaes e apropriadamente e com todo o direito classificado de software espio. (GIBSON,
2003). O objetivo do spyware extrair e transmitir informaes ou comportamentos dos usurios.
Muitos produtos espies coletam: referrer info ( informaes do navegador revelando as URL2
visitadas), endereo de IP 3, informaes do sistema (como a hora da visita, tipo de navegador usado,
sistema operacional, plataforma e velocidade da CPU).
Como acontece com os cavalos de Troia, essa pea de software precisa ser instalada na mquina do
usurio. Mas se o usurio soubesse de antemo o propsito do software, dificilmente o instalaria.
Por isso o spyware muitas vezes camuflado sob a forma de um software livre (freeware) que,
para poder continuar sendo gratuito, exibe propagandas enquanto utilizado. Como o software
espio deliberadamente camuflado, qualquer estimativa de ocorrncia tende impreciso, de
modo que se dispe apenas de sugestes sobre a verdadeira dimenso do problema. O caso mais
famoso o do spyware Aureate, cujo nome foi trocado para Radiate, responsvel pela distribuio
de cerca de 400 programas de vrias categorias, que em 2001 j rodavam em mais de 30 milhes de
PCs de todo o mundo (RODRIGUES, G., 2001).
Ataques de negao de servio

Os ataques de negao de servio, ou DoS (Denial of Service) consistem em sobrecarregar um
servidor com uma quantidade excessiva de solicitaes de servios. Eles podem ser preldios de
ataques criminosos, pois acabam induzindo o usurio, impaciente com o problema, a retirar os
controles de segurana.
Ataque DDoS
Os ataques distribudos de negao de servio (Distributed Denial of Service DDoS), so ataques
que podem ser efetuados a partir de diversos computadores, como num sistema distribudo,
jogando todas as mquinas contra uma nica vtima. O ataque funciona mediante a explorao de
vulnerabilidades para obter acesso privilegiado a mquinas que operem preferencialmente em redes
de banda larga. Aps a invaso, criada uma lista dos IPs das mquinas exploradas para formar
a rede de ataque. Nesse ponto, cada uma das mquinas listadas j possui instalado o software
necessrio para efetuar o ataque propriamente dito.
2 URL (Universal Resource Locator) O endereo de uma pgina web que se escreve na barra de endereos do browser
(Internet Explorer por exemplo) uma URL. Uma URL consiste geralmente de quatro partes: protocolo, por exemplo http://),
servidor ou domnio (www.servidor.pt), caminho e nome do arquivo (por exemplo: /index.html). Disponvel em: <http://www.
informabr.com.br/glossario.htm> Acesso em 25 fev. 2003.
3 IP (Internet Protocol) Internet Protocol ou Protocolo Internet. Informao que define o endereo de um computador dentro
de um protocolo TCP/IP com o propsito de localiz-lo dentro da Internet. Entre suas funes est a definio das melhores rotas
para envio de mensagens, reconhecimento de mensagens recebidas etc. Disponvel em: <http://www.uol.com.br/publicidade/
glossario.htm> Acesso 18 de maio de 2003.
26
O prximo passo envolve a escolha das mquinas que atuaro como MASTERs (recebendo os
comandos de ataque e comandando os agentes) e daquelas que atuaro como AGENTES (efetivamente
concretizando o ataque). Nos agentes, instalado e executado o software necessrio e eles passam
a anunciar ao master a sua presena. Assim, para efetuar o ataque, basta que o master fornea o IP
a ser atacado, o tempo de ataque e todos os agentes que entraro em atividade. Como consequncia,
pode-se saturar o link ou paralisar os servios oferecidos pela vtima. Como, normalmente, os
proprietrios sequer sabem que suas mquinas esto infectadas e funcionando como atacantes, a
melhor defesa ainda o uso de antivrus ou similares (SCHNEIER, 2001; SMOLA, 2003).
Spoofing e Smurfing
Fazer um spoof significa forjar uma identidade. Usa-se mais comumente os spoofers para forjar
endereos de IP (IP spoofing) e ento realizar o ataque smurfing. O smurfing feito enviando um
pacote nico para um endereo de transmisso (broadcast) e indicando a vtima como endereo de
origem. Todas as mquinas dentro do domnio do broadcast respondem vtima, sobrecarregando
sua conexo com a Internet. Os provedores esto comeando a levar esses ataques mais a srio e j
comearam a implementar medidas em seus roteadores que verificam endereos de origem vlidos
antes de repassarem os pacotes (INFORMABR, 2003).
Fraudes
As fraudes multiplicaram-se com a popularizao da Internet e do comrcio eletrnico, dando
origem a uma nova categoria de criminosos que faz o possvel para que seus esquemas fraudulentos
sejam confundidos com os bens e servios oferecidos por empresas honestas no mundo virtual.
Dessa forma, alm de trazerem prejuzo financeiro para organizaes, consumidores e investidores,
tambm minam a confiana da populao na Internet como um todo. (ESTADOS UNIDOS, 2002).
O Ministrio da Justia dos Estados Unidos define o termo fraude via internet como:
[...] qualquer esquema fraudulento que utiliza um ou mais componentes

da Internet (ex.: salas de bate-papo, e-mail, painel de mensagens ou sites)
para apresentar ofertas enganosas a potenciais vtimas, realizar transaes
fraudulentas, ou transferir os recursos provenientes da fraude a instituies
financeiras e outros ligados ao esquema (ESTADOS UNIDOS, 2002).
Segundo notcia veiculada no jornal O Globo, em 13 de abril de 2001, a Europay, brao europeu da
administradora de cartes de crdito Mastercard, declarou que as perdas com operaes fraudulentas
passaram, em um ano, de US$ 2,87 milhes para US$ 10 milhes, s na Gr-Bretanha. No resto da
Europa, os prejuzos chegaram a US$ 430 milhes (FRAUDE, 2001).
As fraudes que hoje ocorrem on-line so basicamente as mesmas que ocorriam no passado, sendo
que com refinamentos particulares trazidos pelo advento da tecnologia da Internet. Sero descritos,
a seguir, os principais tipos de fraude segundo classificao do Internet Fraud Report (Relatrio de
Fraude via Internet) (NATIONAL WHITE COLLAR CRIME CENTER, 2002.).
27
Fraude bancria
Para cometer uma fraude bancria, o estelionatrio pode simplesmente telefonar para um
correntista, passando-se por gerente ou funcionrio de um banco, e dizer, por exemplo, que h uma
soma a ser creditada na conta da vtima. O golpista solicita que a vtima digite pelo computador, ou
no prprio telefone, o nmero de sua conta corrente e da senha, para poder efetuar a transao. De
posse de tais dados, realiza transferncias via internet de todo o saldo existente na conta da vtima
para uma outra conta corrente aberta com documentos falsos ou pertencentes a laranjas. Outra
fraude bancria bastante popular, hoje em dia, a transferncia on-line entre agncias. Esse golpe
acontece com a participao de funcionrios ou ex-funcionrios de agncias bancrias conhecedores
dos sistemas de computao que, acessando os dados de determinada conta corrente ou poupana
de clientes, efetuam transferncias ou saques (POUPETEMPO, 2002).
Roubo de identidade e fraude

Os termos roubo de identidade e fraude via internet so usados em referncia a crimes que
envolvem obteno e uso ilcitos dos dados cadastrais (identidade, CPF, conta bancria e carto de
crdito), de uma outra pessoa, por intermdio de fraude ou engano, normalmente com fim de obter
ganho econmico. Nos Estados Unidos e Canad, so inmeros os casos de saques no autorizados
de contas bancrias ou fundos de investimento. Nos casos mais srios, o estelionatrio assume
totalmente a identidade de um inocente, fazendo dvidas enormes e cometendo crimes em nome da
vtima. Assim, alm do prejuzo financeiro, a vtima da fraude incorre em custos significativos para
tentar limpar seu nome e restaurar sua reputao (ESTADOS UNIDOS, 2002).
Segundo o FBI, o furto de identidade o crime de colarinho branco que mais cresce nos EUA. Cerca
de 500 mil americanos tm suas identidades usurpadas por ano e proliferam os sites vendendo
identidades falsas na rede. O problema to grave que quatro companhias americanas de seguro j
oferecem aplices para cobrir furto de identidade e os prejuzos que causam s vtimas (GUEIROS,
2001, p. 4).
Fraude de carto de crdito

A clonagem de cartes de crdito outro tipo de fraude que, segundo Nehemias Gueiros (2001), est
se tornando uma praga mundial. O autor lembra que j existe at uma gangue virtual, aparentemente
sediada na frica, com o nome Cyberstalkers (assaltantes cibernticos). Em 2001, o site de msica
Universe sofreu prejuzos quando, cerca de 300 mil nmeros de cartes de crdito foram roubados.
No mesmo ano, o Bibliofind, subsidiria da Amazon, tambm teve os nomes, endereos e nmeros
de cartes de 98 mil clientes furtados.
Clonagem de sites
No primeiro semestre de 2001, o FBI desbaratou uma rede russa de fraude: os hackers estavam
envolvidos no que foi chamado de website spoofing (clonar um site e se beneficiar de seus servios e
28
usurios). A facilidade encontrada para registrar nomes de domnio praticamente iguais a outros j
existentes possibilita a ao de fraudadores. Bancos so frequentemente alvo dos spoofers. O Bank
of America, um dos maiores dos EUA, teve seu nome de domnio imitado com a simples supresso
do ponto aps o www (wwwbankofamerica.com), enganando milhares de clientes que, acreditando
estar tratando com o banco verdadeiro, acabaram informando seus dados pessoais (GUEIROS,
2001).
Em maro de 2003, no Brasil, comearam a circular pela Internet dois e-mails falsos sobre a declarao
de Imposto de Renda, com o objetivo de enganar os contribuintes. Uma das mensagens (supostamente
enviada pela Receita Federal) anunciava que a Receita enviaria, em breve, por e-mail, o programa para
declarao do IR, e pedia que o contribuinte preenchesse um cadastro, em anexo, com dados pessoais.
A outra mensagem alertava para os perigos da declarao pela rede, devido ao risco de interceptao
dos dados. A notcia confundiu os contribuintes e obrigou a Receita a reforar sua campanha de
esclarecimento sobre as formas corretas de declarar o Imposto de Renda (advertindo que o programa
para declarao s est disponvel no site da Receita e garantindo tambm a segurana na transmisso
de dados das declaraes feitas pela Internet). (OSWALD, 2003).
Esquemas de venda no varejo on-line e sites de

leilo
Segundo o Federal Trade Commission (Comisso Federal de Comrcio, nos EUA) e o Internet Fraud
Watch (Centro de Observao de Fraudes na Internet), esquemas fraudulentos em sites de leilo
constituem a forma de fraude de Internet mais frequentemente notificada. Trata-se de esquemas
de venda no varejo on-line e sites de leilo, que induzem a vtima a enviar dinheiro pelos produtos
prometidos, mas depois, ou no fazem a entrega, ou enviam produtos de valor bem inferior ao
prometido (ex.: produtos falsificados ou modificados) (ESTADOS UNIDOS, 2002).
O Internet Fraud Watch, que publica anualmente um ranking dos servios com maior nmero de
queixas de estelionato na Web, revelou que, em 2000, os sites de leilo foram os campees com 78%
de denncias (RODRIGUES, J., 2001). Em 2002, esse nmero j chegava aos 90% (NATIONAL
CONSUMERS LEAGUE, 2003).
Esquemas de grandes negcios on-line

So esquemas fraudulentos que usam a Internet para divulgar oportunidades de negcio que
supostamente daro lucro de milhares de dlares por ms de atividades sem sair de casa. Tais
esquemas normalmente exigem um pagamento que pode variar de US$ 35 a algumas centenas de
dlares, mas no enviam os materiais ou a informao que tornariam a atividade sem sair de casa
um negcio efetivamente vivel (ESTADOS UNIDOS, 2002).
29
Esquemas de Investimento on-line

Os criminosos esto usando dois mtodos bsicos para manipular os mercados de valores
mobilirios em seu prprio benefcio. o chamado esquema de pump-and-dump. Primeiro
divulgam informaes falsas com o objetivo de causar grandes altas de preo de aes de baixo valor
(o pump) depois, quase que imediatamente, e antes que as aes retornem ao nvel baixo real, eles
vendem sua participao (o dump), obtendo assim lucros significativos. Quem quer que se envolva
na compra dessas aes sem estar a par da falsidade das informaes divulgadas, torna-se vtima do
esquema (ESTADOS UNIDOS, 2002).
Segundo pesquisa do IFCC (Internet Fraud Complaint Center Centro de Reclamaes sobre
Fraudes via Internet) apud NACIONAL WHITE COLLAR CRIME CENTER (2003, p.12), as formas
de contato utilizadas pelo fraudador para cometer o crime so:
Correio Eletrnico 68,4%
Site 13,4%
Telefone 9,6%
Correio convencional 4,2%
Material Impresso 1,9%
Pessoalmente 1,0%
Sala de bate-papo 0,8%
Fax 0,8%
Engenharia Social
Engenharia Social uma nova forma de ataque, de baixo custo e altamente eficaz. O termo
utilizado pelos hackers, para descrever o processo de obteno de informaes importantes, ou o
acesso indevido a ambiente ou sistema de uma empresa, por meio da interao com seus usurios e
colaboradores. Essa forma de ataque se baseia em tcnicas de persuaso que exploram a ingenuidade
e a tendncia do ser humano em confiar no outro, alm da falta de conscientizao dos membros da
organizao a respeito de cuidados bsicos de segurana (MAIA, 2001).
A engenharia social se popularizou graas ao hacker americano, Kevin Mitnick, condenado por vrios
crimes de informtica, entre eles o roubo de cerca de 20.000 nmeros de carto de crdito. Kevin
adotava tcnicas de trashing (procura de informaes valiosas em lixo informtico) ou contatos
telefnicos, simulando ser funcionrio da equipe tcnica e solicitando informaes restritas por meio
de fax. Em seu testemunho perante o Congresso dos EUA, em 2000, Kevin revelou que raramente
precisava usar um ataque tcnico, pois a engenharia social j oferecia vulnerabilidade suficiente
Segundo ele: As empresas podem gastar milhes de dlares em protees tecnolgicas, mas isso
30
ser um desperdcio se as pessoas puderem simplesmente ligar para algum [...] e convenc-lo a
fazer algo que baixe as defesas do computador ou que revele as informaes que esto buscando.
(SCHNEIER, 2001)
Segundo Bruce Schneier (2001), a engenharia social pode ser realizada por intermdio de telefonemas,
envio de mensagens por correio eletrnico, salas de bate-papo e at pessoalmente, mas o meio mais
comum de ataque continua sendo o telefnico. Primeiro, o hacker se informa sobre a empresa, para
parecer convincente, depois, telefona para um funcionrio desavisado e o induz a fornecer nomes,
senhas, nmeros de conta e outras informaes confidenciais. Em 1994, por exemplo, um hacker
francs ligou para o escritrio do FBI em Washington e, fazendo-se passar por funcionrio do FBI
a servio na embaixada americana em Paris, convenceu a pessoa do outro lado da linha a explicar
como poderia se conectar ao sistema de teleconferncia do Bureau. O resultado foram US$ 250.000
debitados na conta telefnica do FBI.
Maia (2001) acredita que o fator emocional seja o aspecto mais explorado da engenharia social. Os
ataques por correio eletrnico ou em salas de bate-papo, tm sido realizados com maior frequncia
entre (supostos) membros do sexo oposto que tentam manipular os sentimentos das pessoas para
fisgar alguma informao preciosa. At os vrus e worms modernos se utilizam do fator emocional
numa prtica que poderia caracterizar um vrus de engenharia social. Com linha de assunto e
texto plausveis, o verme ILOVEYOU se disseminou rapidamente porque parecia ter sido enviado
por uma pessoa conhecida (ele havia invadido o caderno de endereos da vtima anterior) e, assim,
levava o receptor da mensagem a no desconfiar do fato e abrir o anexo.
Outra ttica de engenharia social envolve a explorao da Sndrome do Pnico, simulando uma
situao de emergncia que precisa ser resolvida de imediato pela vtima (VARGAS, 2002). Exemplo
disso ocorreu em 1999, quando os usurios da AOL receberam mensagens que pareciam ter sido
enviadas pelo provedor, com o seguinte alerta: Um erro de banco de dados apagou informaes
para mais de 25 mil contas, incluindo a sua. Para podermos acessar o backup, precisamos de sua
senha. Assustados com a possibilidade de perder o direito ao acesso, muitos usurios forneceram
sua senha e acabaram com horas de acesso creditadas em sua conta indevidamente (SCHNEIER,
2001, p. 267).
So inmeros os tipos de ataque de engenharia social: pessoas que se fingem de tcnicos da

manuteno ou da limpeza, para terem acesso s dependncias da empresa; falsas entrevistas de
emprego, que na realidade visam obter informaes sobre a concorrncia; visitas com disfarce de
estudante, estagirio ou outra pessoa aparentando ingenuidade; e muitos outros. Mas importante
lembrar que nem sempre os ataques de Engenharia Social so os principais responsveis pela
obteno da informao. Muitas vezes, eles servem apenas como intermedirios, e s em um
segundo contato, por meio da Internet ou pessoalmente, ocorrer efetivamente a transmisso da
informao crucial para o ataque (VARGAS, 2002).
Para minimizar o risco de ataques, Marco Aurlio Maia (2001) sugere algumas medidas de precauo.
Estabelecer uma poltica de controle de acesso fsico na empresa.
31
Classificar as informaes da empresa em nveis de confidencialidade, de modo que

todos saibam o que pode ser divulgado e para quem.
Dar ateno aos telefonemas: reter o mximo de informaes possveis de estranhos.

No divulgar nada e pedir o nmero de retorno para garantir que a ligao
procedente.
Evitar compartilhar a senha de acesso.
Desconfiar de mensagens de correio eletrnico de remetentes desconhecidos.

Convites para entrevistas, seminrios, informaes para pesquisa e outras. so
formas de atrair a ateno para obter informaes da empresa.
Schneier (2001, p. 256) acredita que uma empresa que codifica todos os seus dados nos
computadores, mas no tranca seus gabinetes de arquivo ou no tritura seu lixo [em papel], est
aberta ao ataque. De fato, informao para um hacker sempre informao, independentemente
do meio, e, muitas vezes, informaes em papel so at mais facilmente utilizadas do que aquelas
gravadas em arquivos digitais. Por isso, necessrio ter cuidado tambm com os documentos
impressos dentro da empresa, evitando que papis amassados e jogados no lixo, por exemplo, caiam
nas mos de fraudadores.
Pragas de Computador
Vrus, worms (vermes), e trojans (cavalos de Troia) so as chamadas pragas de computador,
softwares maliciosos com capacidade de causar dano e se propagar. O dano pode variar em
intensidade desde a simples exibio de uma mensagem incmoda na tela, at a completa
reformatao do disco rgido da vtima. Desde que Robert Morris lanou seu verme da Internet, em
2 de novembro de 1988, vrus, vermes e outras pragas de computador tm fascinado o pblico e a
mdia (CRONKHITE; McCULLOUGH, 2001).
O vrus de computador uma sequncia de cdigo ou um conjunto de instrues executveis com

habilidade para danificar arquivos ou para exibir mensagens estranhas. O nome faz referncia
semelhana com o vrus biolgico. De fato, assim como o vrus biolgico precisa de uma clula
hospedeira para se duplicar, o vrus de computador tambm no existe sozinho: ele precisa se
prender a outro programa. Quando isso acontece, ele utiliza os recursos do programa para fazer
cpias de si mesmo e prend-las a outros programas. A contaminao ocorre basicamente por meio
da execuo de programas ou do uso de disquetes infectados. Nesse momento, o vrus se instala no
equipamento e aguarda o momento certo para entrar em funcionamento (normalmente uma data
especfica ou uma ao predeterminada em seu cdigo). Quando o vrus se torna ativo, ele pode
causar (ou no) danos de leves a irreparveis (SCHNEIER, 2001).
O worm (verme) um programa malicioso, de autoduplicao, muito semelhante ao vrus. Porm, ao

contrrio do vrus, ele no precisa se esconder em outro programa. O verme existe por conta prpria
e ataca computadores ligados em rede, enviando cpias dele mesmo. Exemplos so: LittleDavinia,
LoveLetter, Navidad e todas as variantes do ILOVEYOU. Tanto os vermes quanto os vrus tm
32
como objetivo principal a sua propagao e ambos podem ser igualmente destrutivos. A diferena
que os vermes podem substituir arquivos, porm no podem se incorporar a eles, enquanto os vrus
podem se incorporar a arquivos mas no podem substitu-los (PEST PATROL, 2003).
Trojan todo cdigo incorporado a um software, com o objetivo de induzir o usurio a pensar
que se trata de um programa benigno. Tambm chamado de cavalo de Troia (trojan horse em
ingls), em aluso ao presente de grego que acabou causando a queda dos troianos, na Grcia
antiga. Assim como o cavalo de Troia de madeira enviado pelos gregos, que escondia no seu interior
soldados prontos para o ataque, os trojans tambm tm um propsito escondido (SCHNEIER,
2001).
Um exemplo de trojan o Cute, sobre o qual Benito Piropo (colunista do jornal O Globo) j advertia
em 20 de maio de 2002 (PIROPO, 2002). Essa cavalo de Troia se dissemina atravs de uma
mensagem de correio eletrnico com um arquivo anexado que, ao ser aberto, instala um programa
que danifica firewalls4 e programas antivrus, permitindo que a mquina do usurio seja invadida. O
invasor, ento, tem poderes para enviar mensagens por meio dela, iniciar ataques do tipo denial of
service (negao de servio)5, copiar, mover e remover arquivos. Outro exemplo de trojan o Xin.
Em 05 de fevereiro de 2003, a equipe do Securenet.com divulgou o alerta da empresa McAfee para
o aparecimento deste novo cavalo de Troia, capaz de infernizar a vida do usurio de computador. O
Xin trava o teclado ou o mouse da mquina e se copia para o System do Windows, instalando um
cdigo que ser carregado quando da inicializao do sistema. Depois de travar o mouse e o teclado,
ele pode ocupar a memria do sistema, paralisando o computador (VRUS, 2003).
A maioria dos trojans criada para danificar micros, mas alguns so desenhados para furtar
informaes. Nesse caso, os cavalos de Troia so usados como veculo para carregar programas
de bisbilhotagem, que, uma vez instalados, permitem que estranhos penetrem no PC da vtima para
espion-la. O Back Orifice, por exemplo, invade e domina o micro e espiona senhas e at teclas
digitadas. Sites como o <hack.co.za> e o <astalavista.box.sk> auxiliam a planejar ataques. Nas
palavras de um hacker annimo: Hoje, qualquer idiota que saiba digitar capaz de assaltar um
computador. (GUEIROS, 2001, p.4).
Segundo avaliao da equipe de consultores do site <www.modulo.com.br>, para o ano de 2003, o

mercado de produtos antivrus aponta como tendncia o crescimento de outro tipo de ameaa virtual:
os Remote Access Trojans ou RATs (cavalos de Troia de acesso remoto). Tratam-se de programas
que permitem uma conexo no sistema da vtima por meio de uma backdoor6, capturando senhas e
outras informaes confidenciais do sistema da vtima.
4 Firewalls - dispositivos utilizados na proteo de redes de computadores contra ataques externos, dificultando o trnsito de
invasores entre as redes. (Dias, 2000). Disponvel em: <http://www.geocities.com/claudiaad/glossario.html> Acesso em: 25
fev. 2003.
5 Denial of service (Negao de Servio) - O impedimento do acesso autorizado aos recursos ou o retardamento de
operaes crticas. Disponvel em: <http://www.portaldeinformatica.com.br/seguranca_ glossario.htm> Acesso 16 abr. 2003.
6 Back door (porta dos fundos) Um mecanismo escondido no software ou no hardware para permitir que outras pessoas
entrem no sistema e executem determinadas funes. Normalmente pode ser ativado de alguma maneira aparentemente
inocente, como o acionamento de uma sequncia especial de teclas ou conexo uma porta especfica de rede. Disponvel em:
<http://www.securitymagazine.com.br/glossario.htm> Acesso em: 14 de fevereiro de 2003.
33
MECANISMOS DE UNIDADE III
SEGURANA
CAPTULO 1
Poltica de segurana
A poltica de segurana um documento formal que define as diretrizes e normas em relao

segurana e aos procedimentos a serem seguidos por toda a empresa, sem exceo.
Segundo Abreu (2002), poderamos dizer que [...] poltica de segurana no nada alm de um
apelido que demos para a ferramenta (na forma de documentao) que expressa a formalizao
dos anseios da empresa para que suas informaes mantenham-se ntegras, disponveis e em sigilo.
Por isso mesmo, cada empresa precisa desenvolver sua prpria Poltica de Segurana. Ela deve
ser definida em conjunto com a alta direo da empresa e deve ser vlida para todos, desde o
presidente at o nvel operacional. Alm disso, estritamente necessrio que tenha a aprovao e
o compromisso do mais alto executivo da empresa, pois uma poltica de segurana no consegue
sobreviver sem apoio financeiro que garanta sua implementao.
Segundo Godoy (2004), existem alguns cuidados bsicos a serem tomados durante a definio
da poltica de segurana. De nada adianta, por exemplo, negar acesso Internet a determinados
usurios e, por outro lado, deixar o drive de disquetes habilitado no computador desse usurio.
De fato, pesquisas revelam que ataques internos (realizados por usurios autorizados ou no
autorizados) podem ser mais perigosos que ataques externos realizados via Internet.
Segundo a RFC 2196 (2000), a Poltica de Segurana um documento que descreve as recomendaes,
as regras, as responsabilidades e as prticas de segurana vigentes na empresa e abrangentes a todos
os funcionrios, contratados e prestadores de servio, que utilizem os sistemas de informao, seus
produtos ou seus dados. Tal poltica deve ser moldada realidade de cada empresa, no havendo
um modelo de poltica que pode ser adaptado sem restries ou ajustes reais especificidade de
cada empresa.
Quanto definio dos elementos da Poltica de Segurana, devemos lembrar que o documento que
compe a poltica no precisa ser complexo e nem excessivamente tcnico, mas deve apresentar
regras e procedimentos bem claros e definidos, tais como:
definio dos agentes envolvidos em segurana da informao dentro da Empresa;
34
MECANISMOS DE SEGURANA UNIDADE III
classificao das informaes;
poltica de acessos externos e internos;
poltica de uso da Intranet e da Internet;
eventos mnimos a serem logados nos Sistemas Corporativos;
trilhas de auditoria;
poltica de backup;
poltica de uso de software;
acesso fsico e lgico.
Contudo, tais elementos devem ser adequados realidade da empresa e, de preferncia, devem ter
sido acordados com os diversos setores (representados pelos nveis gerenciais e tcnicos) at como
forma de disseminao e, posterior, interiorizao da poltica.
As normas so uma especificao da poltica e correspondem aos procedimentos que devem ser
seguidos a fim de se cumprir a Poltica de Segurana. Assim como ela, as normas devem ser
elaboradas de forma clara e com maior participao tcnica a fim de serem exequveis e bem aceitas.
J os procedimentos referem-se s prticas, ou seja aos passos especficos que devem ser seguidos
ou mesmo as formas de utilizao, a fim de garantir o cumprimento das normas e, assim, agir em
total acordo com as polticas definidas.
Alm disso, segundo a ISO/IEC17799 (2000), a Poltica de Segurana deve apresentar algumas
caractersticas, tais como:
ser aprovada pela diretoria;
ser divulgada e publicada de forma ampla para todos os colaboradores;
ser revisada regularmente, com garantia de que, em caso de alterao, ela ser
revista;
estar em conformidade com a legislao e as clusulas dos contratos firmados pela

e com a empresa;
definir as responsabilidades gerais e especficas;
dispor as consequncias das violaes dessas regras.
35
CAPTULO 2
Firewall
Firewalls so barreiras de proteo fsica, mquinas projetadas para conter os

problemas dentro de uma pequena rea de uma rede.
Schneier (2001, p. 191).
O conceito de firewall (barreira de proteo contra incndios) surgiu na poca do trem a vapor.
Eram paredes de ferro, construdas para evitar que o fogo provocado pelo p de carvo se alastrasse
das locomotivas para os vages de passageiros, causando um incndio. Essa ideia se assemelha
muito funo original dos firewalls no mundo digital. Inicialmente, eles eram usados para impedir
que um software ruim em parte da rede, prejudicasse a rede toda, atuando como [...] barreiras de
proteo fsica, mquinas projetadas para conter os problemas dentro de uma pequena rea de uma
rede (SCHNEIER, 2001, p. 191).
Hoje, os firewalls so fundamentais em qualquer ambiente de rede que preze pela segurana. Eles
proporcionam proteo do segmento de rede corporativo interno, em relao ao mundo exterior,
mas tambm so utilizados para segmentar os diferentes departamentos de uma corporao, criando
outras barreiras para invases internas ou dificultando os passos para uma possvel invaso externa.
(FREIRE, 2002). Firewalls podem ser definidos, portanto, como [...] dispositivos [constitudos
pela combinao de software e hardware utilizados na proteo de redes de computadores contra
ataques externos, dificultando o trnsito de invasores entre as redes (GEOCITIES, 2003).
Eles podem ser divididos em dois grandes grupos, segundo a forma de bloqueio de trfego utilizada.
O firewall baseado em filtragem de pacotes utiliza endereos IP e portas de acesso para, por meio
de um conjunto de regras estabelecidas pelo administrador, bloquear ou permitir o trfego entre
duas redes, geralmente a Internet. O firewall baseado em aplicaes trabalha como se fosse um
intermediador nas comunicaes entre duas redes, verificando as requisies provenientes de
usurios remotos e bloqueando ou no a sua utilizao. Ao invs de cliente e servidor conversarem
diretamente, o servidor proxy 7 intermedia a conexo e analisa, de acordo com as regras definidas, a
autorizao para a conexo, permitindo ou bloqueando. (SCUA INFORMATION SECURITY, 2003).
Com respeito s funcionalidades, o firewall composto por uma srie de componentes, em que
cada um deles tem uma funcionalidade diferente e desempenha um papel que influi diretamente no
nvel de segurana do sistema. As quatro primeiras funcionalidades (Filtros, Proxies, Bastion Hosts,
DMZ) fazem parte desse grupo; as trs funcionalidades restantes so Network Address Translation
(NAT), Virtual Private Network (VPN), autenticao/certificao.
Os filtros realizam o roteamento de pacotes de maneira seletiva, ou seja, aceitam ou descartam

pacotes por meio da anlise das informaes de seus cabealhos. Essa deciso tomada de acordo
com as regras de filtragem definidas na poltica de segurana da organizao. Os filtros podem, alm
7 Servidor proxy um servidor que intercepta todas as mensagens que entram ou saem de uma rede. Ele fica entre uma
aplicao cliente e um servidor de dados, filtrando requisies. Disponvel em: <http://pcworld.terra.com.br/pcw/testes/
utilitarios/0033.html> Acesso em: 16 de maro de 2003.
36
de analisar os pacotes utilizando um conjunto de regras de filtragem estticas e informaes dos

cabealhos, tomar deciso com base nos estados das conexes.
Assim, os chamados proxies so software que atuam como um gateway entre duas redes, permitindo
as requisies dos usurios internos e as respostas dessas requisies, de acordo com a poltica de
segurana definida. Eles podem atuar simplesmente como um relay, podendo tambm realizar uma
filtragem mais apurada dos pacotes, por atuar na camada de aplicao do modelo ISO/OSI.
Desta forma, os bastion hosts constituem os equipamentos em que so instalados os servios a

serem oferecidos para a Internet. Como estaro em contato direto com as conexes externas, os
bastion hosts devem ser protegidos da melhor maneira possvel. Essa mxima proteo possvel
significa que o bastion host deve executar apenas os servios e aplicativos, sempre com patches de
segurana instalados imediatamente aps sua criao.
Zona Desmilitarizada (DMZ)

A zona desmilitarizada (DMZ) uma rede que fica entre a rede interna que deve ser protegida, e a
externa. Essa segmentao faz com que, caso algum equipamento dessa rede desmilitarizada seja
comprometido, a rede interna continue intacta.
Os Network Address Translation (NAT) no foram criados originalmente para serem componentes
de segurana, mas por tratar problemas em redes de grande porte, nas quais a escassez de endereos
de IP poderia ser um problema. Dessa maneira, rede interna pode utilizar endereos de IP reservados,
sendo NAT responsvel pela converso desses endereos invlidos para endereos reservados,
quando a rede externa acessada. O NAT pode, assim, esconder os endereos dos equipamentos da
rede interna e, consequentemente, sua topologia de rede, dificultando os eventuais ataques externos.
As Virtual Private Networks (VPN) foram criadas, inicialmente, para que protocolos diferentes
do IP pudessem trafegar pela rede de IP. Como no era aceitvel que as informaes trafegassem
sem codificao pela Internet, a VPN passou a utilizar conceitos de criptografia para manter a
confidencialidade dos dados.
Mais do que isso, o protocolo padro das VPN (Virtual Private Networks) o IPSec, que visa
garantir a correta autenticao, a confidencialidade e a integridade dos dados.
37
CAPTULO 3
IDS e IPS
Quem olhar o mundo como um risco de terror, torne-se incapaz de agir. esta a
primeira armadilha armada pelos terroristas. A segunda: a manipulao poltica
da percepo do risco de terrorismo desencadeia a necessidade de segurana,
que suprime a liberdade e a democracia. Justamente as coisas que constituem a
superioridade da modernidade. Se nos confrontarmos com a escolha entre liberdade
e sobrevivncia ser j demasiado tarde, pois a maioria das pessoas escolher situar-
se contra a liberdade. O maior perigo, por isso, no o risco mas a percepo do
risco, que liberta fantasias de perigo e antdotos para elas, roubando dessa maneira
sociedade moderna a sua liberdade de ao
Beck (2002, p.1)
IDS Intrusion Detection System

Mais conhecido pela sigla em ingls IDS (Intrusion Detection System), o sistema de deteco de
intrusos um sistema complementar ao firewall, que monitora a rede procura de comportamentos
suspeitos, alertando para ataques ocorridos ou em andamento. O IDS funciona como uma espcie
de enciclopdia, consultada a todo momento para avaliar a probabilidade de determinado
comportamento ser efetivamente um ataque. O maior problema desse ferramenta a alta taxa de
falso-positivos, ou seja, de alarmes falsos. De fato, quando um IDS emite alarmes falsos por muito
tempo, a tendncia que seja logo desativado. Por isso, na opinio de Marcos Smola, o IDS deve
apenas servir como instrumento auxiliar de sinalizao. Uma vez emitido um alarme, caber aos
tcnicos avaliar a situao e decidir pelo bloqueio ou permisso de acesso (SMOLA, 2003, p. 121).
Segundo pesquisa da Internet Security Systems (ISS), com 100 empresas brasileiras, entre elas
30 bancos, apenas 2,75% possuem software para detectar invasores on-line. O risco iminente, o
sistema altamente vulnervel. Hoje, na Internet, existem programas para invadir todos os tipos de
sistema, diz Leonardo Scudere, presidente da ISS no Mercosul.(DAOUN, 2003).
IPS Intrusion Prevention System

O IPS (Intrusion Prevention System Sistema de Preveno de Intrusos) semelhante ao IDS pois
detecta invases, porm, alm de detectar o acesso irregular, tambm tem a capacidade de trat-los.
Dessa forma, verifica-se que existe alguma similaridade entre os IPS (Intrusion Prevention System)
e os IDS (Intrusion Detection System). Contudo esses ltimos so voltados apenas para a preveno
de ataques a redes de computadores, enquanto que os IPS no apenas detectam um trfego estranho
na rede, mas so capazes de trat-lo. Assim, torna-se possvel se obter uma maior segurana em
redes de computadores.
38
CAPTULO 4
Criptografia e PKI
As pessoas querem comunicar-se e o sistema de segurana , no mximo, algo que

no prejudique esse desejo.
Schneier (2001, p.260).
Criptografia
Criptografia o estudo da grafia secreta, isto , o estudo de mtodos que permitem ocultar o contedo
de mensagens ou dados armazenados. As aplicaes bsicas da criptografia so: confidencialidade
(garantir que apenas quem autorizado pode ler os dados) e autenticao/integridade (garantir
que os dados tm a origem correta e que no foram alterados entre origem e destino). Na cifragem,
a mensagem original transformada em algo ininteligvel, utilizando um cdigo secreto a chave
criptogrfica. A chave como uma senha, uma informao secreta que precisa ser fornecida para
cifrar e, posteriormente, decifrar a mensagem. Na decifragem ocorre o processo inverso, isto ,
a recuperao da mensagem original a partir de sua forma criptografada (SCHNEIER, 2001;
SMOLA, 2003).
A criptografia simtrica, tambm conhecida por criptografia tradicional, utiliza uma nica chave
que serve tanto para cifrar como para decifrar. O risco ocorre no momento em que a cpia da chave
enviada ao destinatrio, pois, se essa confidencialidade for quebrada, todo o processo estar
comprometido.
Criptografia tradicional
Fonte: <http://www.magnet.com.br/classic/raiox/cripto1.html>
Na criptografia de chave pblica (public-key cryptography) tambm conhecida como criptografia

assimtrica, esse problema contornado com o uso de duas chaves. Uma delas, chamada chave
pblica, usada para cifrar as mensagens, e a outra, a chave privada, serve para decifr-las. Cada
um dos interlocutores possui uma cpia de chaves. A chave de codificao (pblica) pode e deve ser
compartilhada e estar disponvel a qualquer pessoa interessada em enviar uma mensagem, pois
impossvel, a partir dela, deduzir a chave de decodificao correspondente.
39
UNIDADE III MECANISMOS DE SEGURANA
Criptografia de chave pblica
Fonte: <http://www.magnet.com.br/classic/raiox/cripto1.html>
Nesse caso, a mensagem cifrada s pode ser lida por quem possui a chave privada associada quela
chave pblica que foi usada para cifrar a mensagem. A caracterstica mais importante desse esquema
que a chave privada dos usurios no precisa circular, tornando a transmisso dos dados mais
segura.
Outro benefcio da criptografia com chave pblica a assinatura digital, que permite garantir a
autenticidade de quem envia a mensagem, associada integridade do seu contedo. A mensagem
cifrada com a chave privada do remetente e enviada, em um processo denominado assinatura
digital. Os destinatrios decifram a mensagem utilizando a chave pblica do remetente e verificam
a validade da assinatura digital (essa a garantia de que a mensagem foi mesmo enviada por aquela
pessoa). A assinatura digital no serve para garantir a confidencialidade. Como na prtica seria
invivel utilizar apenas algoritmos de chave pblica para assinaturas digitais, (poderia levar de
minutos a horas para cifrar uma grande mensagem) empregada a funo hashing, uma funo
matemtica que reduz os dados a um valor menor, porm representativo de toda a mensagem
(assim como o dgito verificador de uma conta-corrente est para o nmero da conta, ou como a
impresso digital est para o indivduo) (PAGLIUSI, 2001).
Segundo Schneier (2001, p.261), renomado consultor na rea de criptografia e segurana da

informao, ocorreu certa feita um caso em que uma empresa, sua cliente, lhe pedira para resolver o
problema dos executivos que usavam telefones desprotegidos (fixos ou mveis) para fazer negcios.
A soluo apresentada foi de aparelhos mais seguros, porm maiores, menos atraentes e com
qualidade de voz inferior. Alm disso, havia um atraso de vrios segundos no incio da chamada
(enquanto ela era criptografada). Obviamente a ideia foi rejeitada por questes de convenincia e os
executivos continuaram usando seus telefones desprotegidos.
O consultor acredita que isso faz parte da natureza humana e lembra que nem mesmo os militares
so disciplinados ao ponto de evitar todo e qualquer contato quando no possvel garantir total
segurana das comunicaes. Ele acredita que o bom analista de segurana entende a importncia
do fator humano e sabe que o sistema s funcionar se a segurana passar despercebida ao usurio;
do contrrio, ela ser rejeitada, abrindo assim uma nova brecha no sistema de segurana da empresa.
40
Certificado digital
O certificado digital de chave pblica pode ser definido como um documento eletrnico, assinado
digitalmente por uma terceira parte confivel (uma autoridade de certificao funcionando como
um cartrio eletrnico), que associa o nome (e atributos) de uma pessoa ou instituio a uma chave
criptogrfica pblica. Isso evita que um intruso possa interceptar as mensagens e enviar chaves
pblicas falsas, fazendo-se passar por um ou at por ambos os interlocutores e causando um
verdadeiro estrago na comunicao.
PKI
O padro PKI (Public Key Infrasctucture Infraestrutura de Chave Pblica) um dos padres
tecnolgicos que estabelecem os alicerces da segurana na Rede Mundial de computadores e
fundamental para o comrcio eletrnico. Trata-se de uma combinao de software, tecnologias de
criptografia e servios que permitem que as empresas protejam a segurana de suas comunicaes
e transaes nas redes. O padro PKI integra certificados digitais, criptografia de chave pblica e
autoridades certificadoras (CA Certification Authority) em uma arquitetura empresarial completa
de segurana de rede (PROJETO, 2003).
41
CAPTULO 5
Projeto Honeynet
Com a espantosa popularizao de redes fornecendo os mais variados servios,

aumentou a dependncia tecnolgica de uma grande parcela da populao aos
servios oferecidos. Falhas nesses servios podem ser catastrficas para a segurana
da populao ou para a imagem e reputao das empresas.
Weber (2007)
Honeypot
Os Honeypots Honey Pot (potes de mel) so formas de defesa que consistem no uso de computadores
e sub-redes fictcias inteiras, projetadas para serem atacadas por hackers. Seu objetivo servir de
isca e enganar o invasor, deixando-o pensar que conseguiu invadir a empresa, enquanto a equipe
de segurana ganha tempo para rastrear o ataque. Quando um hacker entra na rede e comea a
explorar o aparentemente interessante pote de mel, soa o alarme.
O honeypot passa, ento, a monitorar todos os movimentos do hacker, reunindo dados que facilitaro
a perseguio. Alguns autores nacionais chamam este recurso de boi de piranha. A vantagem do
pote de mel que o administrador pode aproveitar seu profundo conhecimento da rede para criar
potes de mel com alarmes especficos que dificilmente sero notados pelo hacker (CRONKHITE,
2001; SCHNEIER, 2001).
HoneyNet
Segundo SPITZNER (2000), o Honeynet Project teve incio em 1999, a partir de um grupo
de profissionais da rea de segurana e pesquisadores que comearam a criar uma rede que foi
projetada para ser invadida. Dessa forma, o projeto tem como objetivo o de revelar as ferramentas,
tticas e motivaes da maioria do invasores.
Aps ser instaurado o Projeto Honeynet, houve a criao da Honeynet Research Alliance 2, que
props um trabalho conjunto de diversas instituies internacionais envolvidas com pesquisa na
rea de honeynets.
Assim, a Honeynet composta por diversos hosts, que so chamados de honeypots com sistemas
operacionais e diversas arquiteturas, a fim de possibilitar a observao do comportamento dos
eventuais invasores nas diversas plataformas disponveis. Assim, um dos hosts serve como um
servidor de nomes da Honeynet, pois possui um servio de syslog, isto , como uma central de
logs servindo os outros hosts.
42
Durante sua operao, a Honeynet detectou inmeras varreduras e diversas invases que
permitiram: coletar artefatos e ferramentas, acompanhando as vulnerabilidades que so mais
exploradas pelos invasores; verificar como se processa e em que velocidade a troca de informaes
entre os diferentes invasores e a identificao de ataques automatizados a servidores Apache e IIS,
feitos por intermdio de worms.
Honeynet.BR
Em 2002, houve a criao de uma Honeynet brasileira, conhecida como Honeynet.BR, tendo seu
projeto iniciado em fins de 2001, onde foram tomados os primeiros direcionamentos quanto s suas
caractersticas (ferramentas, sistemas operacionais e sua topologia dividida em: Rede Administrativa
e a Honeynet) e o desenvolvimento de ferramentas especficas para a anlise e para a conteno do
trfego de rede.
A Honeynet.BR se utiliza do sistema operacional OpenBSD e teve seus principais mecanismos de

conteno de trfego e gerao de alertas desenvolvidos pelos prprios membros do projeto, o que
a diferencia das demais.
Assim, a Honeynet.BR, da mesma forma que as demais, de grande utilidade para a coleta de
artefatos e na avaliao das atividades invasivas perpetradas contra as redes brasileiras, o que refora
a ideia de que necessrio utilizar e at desenvolver novas formas de monitorao e proteo.
43
MODELO DE UNIDADE IV
SEGURANA
CAPTULO 1
Nveis hierrquicos de defesa
a subjetividade no processo de valorao dos ativos e os impactos em cascata,

diretos e indiretos, potencialmente provocados por uma quebra de segurana e a
metodologia de anlise qualitativa tem demonstrado eficincia superior.
Smola (2003, p.108-113).
Nveis hierrquicos de defesa

Os nveis hierrquicos de segurana mais inferiores representam as maiores barreiras contra os
ataques mais genricos. A Filtragem, alm do firewall cooperativo, e do modo como o Iptables
trabalha com as regras de filtragem, uma abordagem com base em diferentes nveis/hierrquicos
de defesa tambm pode facilitar a compreenso do esquema de segurana. A diviso em nveis
hierrquicos facilita o desenvolvimento, a implementao e o gerenciamento de segurana de todas
as conexes em um ambiente cooperativo. Essa diviso auxilia, tambm, na definio das protees
necessrias para os trs tipos de recursos identificados (pblicos, privados, internos).
A segmentao feita em cinco nveis hierrquicos. O firewall cooperativo uma arquitetura

de segurana que, em conjunto com os cinco nveis hierrquicos propostos, ajuda a facilitar a
implementao das medidas de segurana necessrias.
Assim, os nveis hierrquicos de defesa compreendem as regras de filtragem e, tambm, as

autenticaes que devem ser realizadas para o acesso aos recursos da organizao. Os cinco nveis
formam uma barreira gradual, que atinge uma maior granularidade, de acordo com o aumento
hierrquico do nvel de defesa, que vai cada vez mais se posicionando em direo rede interna da
organizao.
O segundo nvel hierrquico de defesa responsvel pela autenticao dos usurios que acessam
os servios pblicos localizados na zona desmilitarizada. Assim, nesse nvel, inexistem as regras
de filtragem e a utilizao da autenticao no obrigatria, como nos casos dos servios pblicos
disponibilizados. Tais servios exigem apenas uma autenticao do usurio a fim de que o acesso seja
44
MODELO DE SEGURANA UNIDADE IV
liberado para uso e nesse nvel as regras de filtragem, que controlam esse acesso entre os servidores
e os bancos de dados, estaro definidas pelo terceiro nvel de defesa.
O terceiro nvel hierrquico de defesa apresenta uma certa complexidade nas regras de filtragem
uma vez que por meio desse conjunto de regras que os usurios tero acesso s informaes e aos
servios definidos que sejam pertinentes a esse nvel. Assim, a porta de entrada da rede interna est
protegida e est dividida em duas partes que correspondem definio das regras para o acesso
rede interna e s formas definidas de filtragem para segunda zona desmilitarizada.
A segunda zona desmilitarizada onde so definidas as regras de filtragem e, dessa maneira, os

bancos de dados dos sistemas podem ser acessados apenas pelo servidor definido como na primeira
zona desmilitarizada. Assim, a certificadora poder ser acessada apenas pelo dispositivo da rede
privada virtual, fazendo com que as suas informaes e os recursos importantes nessa zona
desmilitarizada estejam bem protegidos e possam ser acessados pelos usurios externos ao sistema.
Por isso, as regras para o acesso rede interna devem ser estipuladas de forma que apenas usurios
que forem autenticados possam atravessar este nvel de defesa e, dessa forma, garantir que acessem
apenas os recursos que estejam permitidos a eles. Assim, uma grande parte da complexidade da
segurana est neste nvel, e importante uma abordagem como a que utilizada pelo iptables.
Tal abordagem refere-se forma de diviso das regras de filtragem por diversas cadeias, em que
cada uma corresponde a setores, divises ou empresas integrantes desse ambiente cooperativo.
O quarto nvel hierrquico de defesa referencia o processo de autenticao dos usurios para o
acesso aos servios e s informaes internos da organizao. a autenticao realizada como se
os usurios estivessem fisicamente na organizao. A partir desse nvel hierrquico, portanto, a
segurana baseia-se na proteo existente internamente na organizao, como as senhas para o
acesso a sistemas internos.
Nenhuma filtragem realizada nesse nvel, e toda autenticao pode ser feita em conjunto com
a entidade certificadora, de modo que os recursos sejam acessados de acordo com os certificados
digitais de cada usurio.
O chamado quinto nvel hierrquico de defesa refere-se ao acesso e ao controle dos usurios que
esto acessando a rede interna da organizao. Esse nvel pode ser considerado como uma espcie de
firewall interno, com a adio de sistemas de deteco de intruses (IDS) para o monitoramento
das atividades dos usurios.
45
CAPTULO 2
Modelo de teias
[...] todos se lembram do pessoal da Segurana ou da Contingncia, no como uma

rea profissional, mas, sim, como um bombeiro, chamado para apagar o incndio.
Antunes (2002).
O Modelo de Teias apresenta alguns dos elementos necessrios para que a segurana se torne um fato
gerencivel nas organizaes. Para tanto, foi constitudo com resultado de diversas experincias em
que, principalmente em grandes ambientes, os aspectos de segurana relevantes no so tratados
com sua devida importncia.
Dessa forma, o modelo facilita a compreenso da maioria dos problemas envolvidos e tambm da
implementao da segurana. Ao estud-lo, percebemos que ainda h coisas a serem desenvolvidas
nele, mas o seu conceito contribui para o desenvolvimento dos assuntos relacionados ao
gerenciamento da complexidade da segurana.
Elementos
O modelo proposto constitudo de sete fases e de uma figura, e cada uma das fases tem um papel
fundamental no modo como a segurana deve ser trabalhada. As sete fases definidas ajudam na
elaborao da estratgia de segurana (se o prprio modelo no for a estratgia de segurana),
minimizando as chances de algum aspecto ser esquecido.
A finalizao das sete fases gera, como resultado, uma relao de medidas de segurana que, se forem
implementadas em cada recurso, um nvel de segurana poder ser alcanado. Alm disso, possvel
obter uma visualizao clara, por meio do desenvolvimento da figura do modelo do nvel de segurana
de diferentes entidades, como, por exemplo, a organizao, os departamentos, os setores, as reas e
de modelos de diferentes recursos (cerca de 127, como, por exemplo, roteadores, firewall, servidores).
Esse nvel de segurana, definido pelo modelo, tem como base a relao existente entre os diferentes
elementos de segurana relacionados a cada recurso. J o nvel de segurana de cada entidade pode
ser estabelecido de acordo com o nvel de segurana de cada recurso que compe essa entidade,
assegurando assim uma viso hierrquica do nvel de segurana da organizao. Em outras palavras,
uma entidade pode dispor de diversos recursos, que tm os seus nveis de segurana medidos de
acordo com os elementos de segurana relacionados.
Os elementos de segurana correspondem aos itens que sero analisados para a definio do nvel
de segurana do recurso. Assim, existem oito elementos de segurana que representam, grosso
modo, a situao atual (nvel de segurana atual do recurso ou do ativo) e a situao desejada (que
se refere ao nvel de segurana julgado ideal e representando o objetivo a ser alcanado)
46
Assim, esse modelo compreende sete fases que indicam as tarefas que precisam ser realizadas para
a confeco do modelo de teias:
1. Definir os Elementos de Segurana
Objetiva definir um conjunto elementos de segurana que sero utilizados pelas

prximas fases como um framework.
Assim, os elementos de seguranas so definidos quando houver condies de os

avaliar, e devem ser analisado quanto execuo de algum tipo de influncia direta no
nvel de segurana de um recurso especfico.
Um exemplo de Framework com elementos de segurana seria o composto pelos

seguintes elementos.
Controle de acesso.
Senhas.
Situao das atualizaes de segurana.
Segurana fsica.
Pontos de acesso abertos ao sistema.
Arquitetura de rede.
Procedimentos de segurana.
Resposta a eventuais ataques.
Verses dos sistemas operacionais e dos servios.
Vulnerabilidades.
2. Definir os Recursos da Organizao
Refere-se definio dos recursos, que devem ser determinados e analisados e que
fazem parte dos ativos da organizao. A partir desse conjunto de recursos seria
possvel determinar a viso hierrquica da situao da segurana na organizao.
Pode-se exemplificar tais recursos como os servidores de e-mail, os roteadores, os

bancos de dados e o firewall.
3. Analisar a Segurana
Corresponde fase tcnica do Modelo de Teias e ocorre quando a anlise de

segurana efetivamente realizada sobre cada elemento de segurana (definidos na
fase 1), que esto intimamente ligados com cada recurso (especificados na fase 2),
47
UNIDADE IV MODELO DE SEGURANA
Assim, a anlise de segurana realizada sobre o recurso, considerando os elementos aplicveis a

este, as entrevistas com os funcionrios responsveis e as ferramentas de segurana.
A experincia e o conhecimento do profissional so essenciais nessa fase, porque sem isso falhas e
vulnerabilidades podem ser esquecidas ou superestimadas. Uma anlise contendo erros compromete
seriamente as fases posteriores, por no fornecer uma viso real da situao do recurso.
4. Classificar os Recursos
A classificao dos recursos um reflexo do nvel de segurana de cada um de seus

elementos e, assim, essa fase crucial, pois, em caso de erro, uma falsa sensao de
segurana pode ser gerada. E quando a situao superestimada, como resultado de
uma anlise mal feita na Fase 3, esforos desnecessrios sero gastos na definio e
implementao das medidas de segurana, que devem ser definidas na Fase 7.
Tal classificao da situao atual deve ser sempre revista, pois uma nova
vulnerabilidade pode ser descoberta, ou uma nova tcnica de ataque pode ser
desenvolvida a qualquer momento. Isso significa que, o que considerado seguro
hoje pode no ser seguro amanh, exigindo, portanto, uma vigilncia constante.
5. Avaliar os Riscos
Assim, o objetivo da fase 5, chamada de avaliao de riscos, a de mensurar os riscos

envolvidos em cada recurso analisado. A experincia e o conhecimento da cultura da
organizao consistem em um ponto-chave nesse fase, pois sem isso no possvel
avaliar os riscos adequadamente. Quando um grande risco considerado pequeno,
e vice e versa, o resultado pode ser os riscos e o desperdcio de esforos.
6. Definir o Nvel de Segurana
Na fase 6 h a definio do nvel de segurana desejado Essa fase representada

pelo trao em cinza da figura do Modelo de Teias, que traado de acordo com
a avaliao de riscos (fase 5), combinado com a importncia do recurso para a
continuidade dos negcios da organizao. Se, por exemplo, a indisponibilidade do
recurso significa perda de ativos, ento, o nvel de segurana desejado para esse
recurso deve ser grande. Mais do que uma segurana eficiente, um elevado nvel de
segurana significa que a grande disponibilidade do recurso fundamental para a
organizao.
Outro aspecto que deve ser analisado antes de se definir o nvel de segurana
desejado diz respeito aos custos envolvidos para que o recurso fique protegido
adequadamente. Se os custos para elevar o nvel de segurana do recurso forem
muito altos, talvez seja melhor manter o atual nvel de segurana do recurso. Porm,
isso deve ser avaliado cuidadosamente, considerando a implicao que poder
acarretar no ambiente como um todo.
48
No se pode esquecer de que uma parte ineficiente pode comprometer toda uma
organizao caso ela seja afetada, mas que tambm os riscos devem ser assumidos
eventualmente. Assim, aps a figura do modelo de teias estar completa, possvel
verificar qual a distncia que pode existir entre o nvel de segurana atual e o nvel
de segurana desejado.
7. Definir as Medidas de Segurana
Nessa fase, so especificadas as medidas de segurana que devem ser tomadas

para que essa distncia seja eliminada. E, nesse ponto, um bom conhecimento
e entendimento das tcnicas e das tecnologias de segurana disponveis so
fundamentais. Com isso, ser possvel definir a melhor soluo, que contemple a
necessidade da organizao. Sero essas medidas que vo ditar os prximos passos
rumo a um ambiente mais seguro, mais confivel e com mais disponibilidade.
Dessa forma, os nveis de segurana no Modelo de Teias podem ser definidos de acordo com a
capacidade e a necessidade da organizao. Algumas empresas podem estabelecer um modelo com
quatro ou cinco nveis de segurana, enquanto outras podem utilizar um mtodo mais avanado de
definio dos nveis, como, por exemplo, tendo como base nveis tridimensionais ou nveis sem um
ponto fixo, contnuo ou bem determinado. A classificao dos nveis de segurana de cada recurso
no sempre a mesma, ou seja, ela sofre alteraes constantes, medida que a experincia do
profissional aumenta e novas vulnerabilidades vo sendo encontradas, ou novas tcnicas de ataque
so desenvolvidas. E pode-se dizer que esse um fato corriqueiro no mundo da segurana.
No Modelo de Teias a anlise de segurana realizada em diversos elementos de segurana que

esto relacionados com cada recurso. Porm, alguns elementos podem ter um menor nvel de
segurana, enquanto outros apresentam um nvel mais alto. Isso dificulta a classificao do recurso
como todo, quanto segurana. Se um recurso tiver diversos elementos com um nvel elevado de
segurana, e um nico elemento com um nvel inferior, ainda assim, o recurso deve ser considerado
desprotegido, pois ele precisa ser classificado de acordo com seu menor nvel de segurana, que
onde existe a maior possibilidade de um ataque. Analisando esse fato mais consistentemente, outro
recurso pode ter dois elementos com um baixo nvel de segurana.
Uma questo a ser respondida seria: Ser que esse recurso deve ser considerado mais inseguro do
que os recursos anteriores, que tem apenas um elemento com baixo nvel?. Tal questo pode ser
resolvida facilmente pelo Modelo de Teias, uma vez que o nvel de segurana de cada recurso pode
ser classificado, considerando-se os aspectos de concavidade/convexidade em uma figura e na rea
dessa figura.
Portanto, a concavidade importante, porque mostra a equivalncia entre os nveis de segurana

dos elementos que compem o recurso. A convexidade pode ser interpretada como um sinal no
muito bom, porque significa que um dos elementos tem um nvel de segurana menor do que os
outros elementos. E se ele tiver um nvel menor, pode ser atacado com maior facilidade significando,
portanto, que o recurso em si no tem um nvel adequado de segurana.
49
UNIDADE IV MODELO DE SEGURANA
Dessa forma, outro aspecto que deve ser considerado a rea da figura formada, sendo que,
quanto maior for a rea da figura, maior ser o nvel de segurana do recurso. Assim, se obtm
informaes sobre a concavidade e a rea do trao da figura, sendo possvel classificar o recurso
como seguro ou no.
Assim, o gerenciamento da segurana por meio do uso do Modelo de Teias um processo constante.
Os nveis de segurana mudam frequentemente, e as medidas a serem adotadas em busca de um
avano podem ser definidas com mais exatido e mais eficincia, aps a execuo das sete fases
definidas pelo modelo.
Dessa forma, possvel verificar que no Modelo de Teias existem todos os elementos para um
gerenciamento adequado. Os nveis de segurana atual e de segurana adequada esto claramente
indicados, e as medidas de segurana para que sejam alcanados podem ser facilmente visualizadas
em uma nica figura. Com isso, as chances de falhas ou esquecimentos so minimizadas, o que
essencial quando se trabalha com segurana dos recursos da organizao.
Com todas essa informaes oferecidas pelo modelo, pode-se perceber que o que era difcil de
gerenciar se torna, pelo menos, gerencivel.
Sem essas informaes, a falha em reconhecer como a organizao est exposta a brechas de
segurana em seus recursos pode provocar aes criminais e civis, alm da divulgao de notcias
perigosas e embaraosas para o pblico e os investidores. Alm disso, a visualizao hierrquica
resultante da aplicao do modelo faz com que todos passem a entender e trabalhar em prol de uma
organizao cada vez mais segura.
50
Para (no) finalizar
Nesta disciplina conhecemos os Mecanismos de Segurana em Redes, por intermdio dos conceitos
bsicos de segurana, sendo definidas a estrutura bsica de segurana, as tcnicas e tecnologias
disponveis para a defesa e buscamos um modelo de segurana.
Depois, verificamos as principais ameaas e os tipos de ataques, definindo os potenciais atacantes,

as terminologias utilizadas no mundo dos hackers, vimos os pontos explorados, o planejamento de
um ataque e os tipos de ataques, a fim de que possamos melhor nos defender.
A seguir, estudamos os mecanismos de segurana a partir da definio da poltica de segurana, de

equipamentos conhecidos como firewall, os IDS e os IPS. Verificamos , tambm, a criptografia e PKI
e descortinamos o projeto Honeynet e sua verso brasileira, a HoneynetBR.
Finalmente, buscamos por um modelo de segurana a partir do nveis hierrquicos de defesa e do

modelo de teias.
Assim, o que vimos nesta disciplina se constitui de uma linha de raciocnio que visa apresentar
os principais problemas de segurana e algumas formas de se defender eficientemente deles, uma
vez que vivemos em uma sociedade da informao, rodeados de sistemas em rede que devem ser
corretamente protegidos das ameaas e dos problemas enfrentados em nosso dia a dia.
51
Referncias
ANDERSON, Ross. Security Engineering A Guide to Building Dependable Distributed Systems,
John Wiley & Sons, 2001.
ANTUNES, Edson. Planejamento de Contingncia e Continuidade de Negcios. Mdulo

Security Magazine, 26 jun. 2002. Disponvel em: <http://www.modulo.com.br> Acesso em: 30 de
julho de 2002.
ASSOCIAO BRASILEIRA DE NORMAS TCNICAS. ISO/IEC 17799 Tecnologia da

informao - Cdigo de prtica para a Gesto da Segurana da Informao. International
Organization for Standardization, Switzerland, 2000.
ATKINS, D., et. al. Internet Security: Professional Reference. New Rides Publishing, 2n Ed. 1997.
BLUM, Renato Opice (Org.). Direito eletrnico: a internet e os tribunais. So Paulo: Edipro,
2001.
CHESWICK, W.R. Firewalls and internet security, Addison-Wesley, 1994.
COMIT GESTOR DA SEGURANA DA INFORMAO. Segurana da Informao. Disponvel

em: <http://www.presidencia.gov.br/gsi/cgsi/seguranca_infor.htm> Acesso em 25 de maro de
2003.
DAOUN, Alexandre J. Os novos crimes de informtica. Disponvel em: http://www.

advogadocriminalista.com.br/home/cybercrimes/ Acesso em 17 de maro de 2003.
ESTADOS UNIDOS. Ministrio da Justia. What are identity theft and identity fraud? Disponvel
em: <http://www.usdoj.gov/criminal/fraud/text/Internet.htm> Acesso em: 7 de julho de 2002.
GARFINKEL, S.; SPAFFORD, G. Comrcio & segurana na Web - Riscos, tecnologias e

estratgias. Market Books Brasil, 1999.
GIBSON, Willian. Neuromancer. So Paulo: Aleph, 1984.
GIL, Antonio de Loureiro. Segurana em informtica. 2 ed. So Paulo: Atlas.1998.
GODOY, Max Bianchi. A segurana da informao e sua importncia para o sucesso das
organizaes: Rio de Janeiro: Kirios, 2004.
GUEIROS, Nehemias. Insegurana no Mundo Virtual: h remdio? O Globo, Rio de Janeiro,

26 nov. 2001. p. 4.
INFORMABR. Glossrio. Disponvel em: <http://www.informabr.com.br/glossario.htm> Acesso

21 de fevereiro de 2003.
52
REFERNCIAS
INTERNATIONAL ORGANISATION FOR STANDARDISATION. DRAFT BS 7799-2:2002:

Information security management specification for information security management systems.
British Standard Institute, London, 2001.
JALOTE, P. Fault tolerance in distributed systems. Prentice Hall, Englewood Cliffs, New
Jersey, 1994.
NAKAMURA, E. T.; GEUS, P. L. Segurana de redes em ambientes cooperativos. So Paulo:

Berkeley, 2002.
NATIONAL WHITE COLLAR CRIME CENTER. IFCC 2001 Internet Fraud Report. 2002. Disponvel
em: <http://www1.ifccfbi.gov/strategy/IFCC_2001_AnnualReport.pdf> Acesso em: 5 de julho de
2002.
OBRIEN, James. Sistemas de Informao e as Decises Gerenciais na Era Internet. So

Paulo: Saraiva, 2002.
OSWALD, Vivian. E-mails falsos sobre IR assustam contribuintes. O Globo, Rio de Janeiro,
p. 23, 14 mar. 2003.
PEST PATROL. Glossary. Disponvel em: < http://pestpatrol.com/PestInfo/G/Glossary.asp >.

Acesso em: 15 de dezembro de 2003.
PLACHTA, Claudio. Plano de continuidade de negcios. Mdulo Security Magazine, 22 nov.

2001. Disponvel em: <http://www.modulo.com.br> Acesso em: 30 de julho de 2002.
POUPETEMPO. Golpes e contos do vigrio. Disponvel em: <http://www.poupetempo.com.

br/seguranca/golpes.htm> Acesso em: 7 de julho de 2002.
RODRIGUES, G. Travieso, L. da; COSTA, F.; VILAS BOAS P. Characterization of complex

networks: A survey of measurements, Condmat: 2005.
RODRIGUES, J. Metodologia cientfica. So Paulo: Avercamp, 2006.
RUFINO, N.M.O. Segurana nacional tcnicas e ferramentas de ataque e defesa de Redes de

Computadores. Novatec, 2002.
SCHNEIER, Bruce. Applied cryptography: protocols, algorithms and source code in C, 2 ed.
John Wiley & Sons, 1996.
_____. Segurana.com? Segredos e mentiras sobre a proteo na vida digital. Rio de Janeiro:
Campus, 2001.
SMOLA, Marcos. Gesto da Segurana da Informao: Uma Viso Executiva. Rio de Janeiro:
Campus, 2003
SOUZA, Luciane Caliari de. Tratamento de Riscos no Mercado Brasileiro de Energia

Eltrica, no perodo de 1998-2002. Florianpolis: UFSC, 2004.
53
REFERNCIAS
SPITZNER, Lance . Learning the tools and the tactics of the enemy with honeynets.
In Proceedings of the 12th Annual Computer Security Incident Handling Conference, Chicago,
Illinois, USA, 2000.
STALLING, W. Cryptography and network secutiry principles and practice. 3 ed.,

Prentice-Hall, 2003.
STEWART, Thomas A. Capital intelectual: A nova vantagem competitiva das empresas. 2 ed.,
Rio de Janeiro: Campus, 1998.
VARGAS, Alexandre. Ameaa alm do Firewall: Por que as empresas devem se preparar contra
a engenharia social? Mdulo Security Magazine, 10 abr. 2002. Disponvel em: <http://www.
modulo.com.br> Acesso em: 30 de julho de 2002.
Sites de pesquisa:
http://www.ogc.gov.uk/
http://www.ibgc.org.br/
http://www.itil.org
http://www.itil.co.ok
http://www.modulo.com.br
http://www.segurancadainformacao.com/
http://www.honeynet.org.
http://www.ieee.org
http://www.pinkelephant.com
http://www.itsmf.com
http://www.lac.inpe.br/
54

Mecanismos de Segurança de Redes - Final

Diunggah oleh

Informasi Dokumen

Judul Asli

Hak Cipta

Format Tersedia

Bagikan dokumen Ini

Bagikan atau Tanam Dokumen

Opsi Berbagi

Apakah menurut Anda dokumen ini bermanfaat?

Apakah konten ini tidak pantas?

Hak Cipta:

Format Tersedia

Mecanismos de Segurança de Redes - Final

Diunggah oleh

Hak Cipta:

Format Tersedia

Mecanismos de Segurana de Redes

Max Bianchi Godoy

Equipe Tcnica de Avaliao, Reviso Lingustica e Editorao

ORGANIZAO DO CADERNO DE ESTUDOS E PESQUISA..................................................................... 6

PARA (NO) FINALIZAR...................................................................................................................... 51

Sugesto de estudo complementar

Sugestes de leituras adicionais, filmes e sites para aprofundamento do estudo,

Sugesto de atividades, no decorrer das leituras, com o objetivo didtico de fortalecer

Chamadas para alertar detalhes/tpicos importantes que contribuam para a

Informaes complementares para elucidar a construo das snteses/concluses

Trecho que busca resumir informaes relevantes do contedo, facilitando o

Questionrio com 10 questes objetivas, baseadas nos objetivos do curso,

Para (no) finalizar

Texto integrador, ao final do mdulo, que motiva o aluno a continuar a aprendizagem

Gene Spafford (1999)

Destacamos os conceitos bsicos de segurana, tais como a estrutura bsica, as tcnicas e as

Finalmente, estudaremos o modelo de segurana, especificando os nveis hierrquicos de defesa e

Explicar como o estabelecimento de uma poltica de segurana.

Caracterizar a segurana lgica e fsica das Instalaes.

Explicar os procedimentos para a continuidade do negcio, os plano de segurana

...os ativos fsicos, tecnolgicos e humanos fazem uso da informao, sustentando

Marcos Smola (2003).

Estabelecimento de Poltica de Segurana definida de acordo com a realidade e o

Firewall (muro de fogo) dispositivo de hardware.

IDS Intrusion Detection System (Sistema Detetor de Intruses) dispositivo de

Programa Antivrus atualizado dispositivo de software.

Programa Anti-Trojan atualizado dispositivo de software.

Controle de Acesso ao local onde se encontram os pontos de acesso ao sistema.

Controle de Acesso ao Sistema com organograma de chaves e senhas fortes (de

Bancos de Dados protegidos e/ou criptografados.

Acesso Rede mediante senha individualizada e personalizada.

Contratos de responsabilidade para funcionrios, contratados e prestadores de

Normas e Procedimentos de uso do sistema bem definidos.

[...] norma tem o propsito de definir regras, padres e instrumentos de controle

definio formal a poltica de segurana de informaes;

educao e treinamento de funcionrios e de outros usurios para segurana das

alocao de responsabilidades quanto salvaguarda e segurana das informaes;

relatao de incidentes de segurana;

gerenciamento da continuidade do negcio.

O estabelecimento de uma poltica de segurana constitui-se em um dos elementos principais para a

Deve ser prevista, tambm, a utilizao de contramedidas , que correspondem a medidas de

Garantia de privacidade nas comunicaes.

Combinao das trs.

algo que voc impresses digitais, anlise de retina e reconhecimento de voz so

as contas de usurios demitidos, prestadores de servio, ou usurios de teste, devem

o tamanho mnimo da senha dever ser de 7 caracteres;

a periodicidade da troca deve ser preferencialmente mensal. Caso no seja possvel,

a senha deve ser composta de uma combinao de caracteres maisculos e

no deve haver senha genrica: a senha pessoal e no deve ser compartilhada.

Privacidade nas Comunicaes

A Proteo dos sistemas de informao contra a negao de servio a usurios

COMIT GESTOR DA SEGURANA DA INFORMAO (2003).

Segundo Gil (1998, p. 18), as medidas de segurana correspondem a aes projetadas e

O permetro de proteo consiste em um ambiente ou linha imaginria, fsica ou lgica, em que a

Contudo, modernamente, algumas empresas comearam a disponibilizar vrios servios para o

[...] apenas aplicam ferramentas de software, scanners que automatizam o trabalho

O que impulsiona um hacker ou um cracker ao pode ser: o desejo de mostrar as falhas de

Marcos Smola (2003, p. 18)

Hacker Em termos gerais um hacker algum que gosta de explorar todos os

Cyberpunck Termo utilizado no romance Neuromancer, de Gibson, define um

White Hat Especialista em segurana que pode ou no pertencer a empresas

Carder um fraudador de cartes de crdito, cujo objetivo roubar senhas,

pertencentes a outras pessoas e, com esses, realizar compras, sacar ou transferir