Antebellum SEC 110 - Tecnologia para proteção de dados críticos

Material do Aluno
Versão 1.0
PDF Gerado em baixa resolução
para demonstração do material
2
Este material foi impresso pela Ekofootprint, utilizan-
do papel reciclado e tecnologia de cera (Solid Ink) da
Xerox, que reduz o impacto ambiental das impressões
em 90%, se comparado à tecnologia Laser.
Tecnologias para proteção de dados críticos
978-85-66649-00-0
Autor: Fernando Fonseca
Direitos autorais garantidos para:
Antebellum Capacitação Profissional
Todos os direitos reservados. Este manual não pode ser copiado, fotocopiado, re-
produzido, traduzido para outras línguas ou convertido em qualquer forma eletrô-
nica ou legível por qualquer meio, em parte ou no todo, sem a aprovação prévia
por escrito da Antebellum Capacitação Profissional ®
320 Páginas - Editora Antebellum
www.antebellum.com.br
cursos@antebellum.com.br
Responsabilidade Social

5
Sumário
Conhecendo a Evolveris................................................... 6
1 - O Papel do CSO................................................................. 16
2 - Controles Físicos.............................................................. 32
3 - Controles Tecnológicos.................................................... 58
4 - Controles Organizacionais............................................... 62
5 - Criptografia de Dados....................................................... 66
6 - .Criptografia Assimétrica.................................................. 76
7 - Criptografia Aplicada........................................................ 90
8 - Controle de Acesso........................................................... 96
9 - Reference Monitor........................................................... 110
10 - Autenticação.................................................................... 122
11 - Gestão de Identidades..................................................... 130
12 - Zonas e Domínios de Confiança....................................... 138
13 - Monitoramento................................................................ 157
14 - Segurança em Software................................................... 163
15 - Atualização....................................................................... 181
16 - Programas Antimalware.................................................. 193
17 - Legislação Conformidade................................................ 220
18 - Avalição............................................................................ 231
6
A Evolveris (do Latim, que significa “Que está evoluindo”) é uma empresa
líder em educação de básica, média e universitária, além de oferecer dezenas
de cursos de extensão e capacitação profissional.
A Empresa foi fundada na década de 1970, por um grupo de professores com
uma proposta de atender à demanda de formação profissional que o Brasil se
encontrava, e começou oferecendo cursos de aperfeiçoamento profissional e
cursos técnicos em eletrônica, eletrotécnica e mecânica. Com o passar do
tempo e o sucesso do empreendimento o grupo aumentou a gama de cursos,
e por fim passou a oferecer cursos de graduação, pós-graduação e MBA, já
atuando em diversos estados brasileiros.

7
Em 2010, a Evolveris foi adquirida pela Antebellum Group, um grupo inter-
nacional, proprietário de diversas universidades e centros de treinamento
em todo o mundo. Desde então, e empresa tem realizando grandes esforços,
em todos os sentidos, para se adaptar ao nível de exigência das regulamen-
tações americanas e europeias, assim como atender aos anseios da governan-
ça corporativa da empresa.
8
A Evolveris é uma organização de ensino e venda de conteúdo. A empresa
possui centenas de produtos, que vão desde MBA’s até livros e cursos online
gratuitos. Dentre os dados que a empresa armazena estão:
 Cadastro pessoal - A instituição mantém um cadastro de alunos e co-
laboradores, com dados pessoais de todos, e
 Dados de cartão de crédito - Dados relacionado ao pagamento de ma-
trícula, material didático e cursos de extensão.
 Livros texto em formato eletrônico - Propriedade intelectual da Evol-
veris. Engloba todo o material, para todos os tipos de curso

9
 Dados acadêmicos - Informações sobre a vida acadêmica dos estudan-
tes de cursos regulares, que envolvem seu período na Evolveris e em
instituições anteriores. Informações sobre as notas e frequeência dos
estudantes de todos os tipos de curso no período de estudo atual, que
podem ser acessadas pelos alunos e modificadas pelos professores.
10
Hilda Pfeiffer foi indicada pelo conselho de acionistas como a nova presiden-
te do grupo Evolveris. Uma das principais metas de sua gestão é trazer
transparência para a área de governança e criar mecanismos para garantir o
controle do risco relacionado à não conformidade e vazamento de dados
confidenciais.
Hilda trabalhou em diversas empresas internacionais, muitas delas com for-
tes requisitos de proteção a dados críticos e valiosos ativos de propriedade
intelectual.
Durante sua gestão, Hilda aprenderá sobre os sistemas gestão da Evolveris e
sobre os controles aplicados na empresa. Ela deve avaliar, e sempre que pos-
sível otimizar os resultados das ações para reduzir riscos, responder a inci-
dentes e limitar a exposição legal da organização.

11
Dentre os pontos a serem otimizados, encontramos a segurança física, finan-
ceira e de pessoal, além da estratégia de continuidade de negócios da Evolve-
ris.
12
Na hierarquia da Evolveris, encontramos as seguintes personagens:
 Allan Garcia - Chief Security Officer (CSO) - Responsável pela segu-
rança corporativa
 Wallace Greco - Chief Information Security Officer (CISO) - Respon-
sável pela segurança da informação
 Willian Souza - Chief Information Officer (CIO) - Responsável pela
TI
 Olivia Nakamura - Legal and Corporate Affairs - Responsável pela
proteção da propriedade intelectual da empresa , além do aconselha-
mento em questões legais, regulatórias e éticas.

13
 Daniel Oliva - Chief Financial Officer (CFO) - responsável pela gestão
financeira da Evolveris, além de fazer parte do comitê de segurança da
informação, é responsável por aprovar orçamentos e solicitações de
despesas de TI e Segurança.
 Alex Tesla - Responsável pela infraestrutura de comunicação da Evol-
veris. Alex é conhecido pelos milagres que opera em situações críticas,
mantendo a estrutura da rede operando.
 Gabriel Nunes - Também conhecido como Lenda, é o responsável pela
desenvolvimento dos sistemas e gestão de todos os bancos de dados da
Evolveris, assim como pela segurança dos dados neles hospedados.
 Samuel Lopes - Responsável pela estrutura de servidores da Evolveris,,
Samuel é um entusiasta por segurança e criptografia, assim como sis-
temas operacionais. Samuel é o responsável pela segurança dos dados
hospedados hospedados nos hosts da Evolveris.
14
Um dos pontos principais para Hilda, e entender a estrutura da Evolveris
quando a empresa foi adquirida e a iniciativa de segurança começou, o está-
gio atual de maturidade da empresa, e o nível de maturidade necessário para
atender os anseios da governança.

15
Hilda solicitou que Willian identificasse todos os tipo de dados que a Evol-
veris processa e armazena, Olívia por sua vez identificou as leis, normas e
regulamentações relacionadas a esses tipos de dados. Algumas se destaca-
ram:
 Código de Defesa do Consumidor
 ABNT ISO/IEC 27001 e 27002
 PCI DSS
16

17
Hilda então procura Allan, responsável pela segurança corporativa, e Allan
prontifica-se a apresentar-lhe os controles da Evolveris relacionados às
normas levantadas, e indica Wallace para apresentar-lhe dados sobre a se-
gurança da informação
18
A Evolveris denomina de CSO a pessoa responsável pela segurança de TI,
no caso Wallace, com a incorporação da organização pela Antebellum, o
cargo de CSO - Chief Securty Officer, foi atribuído a Allan, que passou a
responder estrategicamente no que se refere a estabelecer e manter um pro-
grama de segurança corporativa.
Como CSO, Allan é responsável por identificar, desenvolver, implementar e
manter processos de segurança em toda a organização, visando reduzir ris-
cos, responder a incidentes e limitar a exposição legal, através da manuten-
ção da segurança física, financeira e de pessoal, além da estratégia de conti-
nuidade de negócios da Evolveris.

19
A posição de CISO – Chief Information Security Officer é relativamente
novo a maioria organização, o CISO deve fornecer a visão e aconselhamento
tático do ponto de vista da Segurança da Informação e deve examinar as
novas tecnologias e suas ramificações de forma a agregar valor no produto
final.
Antes da incorporação da Evolveris pela Antebellum Corp, Wallace era vis-
to como um gerente dos recursos de segurança ( Firewalls, IDS, Sistemas de
Resposta a Incidentes, etc), e não como um gestor de riscos.
20
A função da segurança da informação é proteger as informações e os siste-
mas que as suportam contra acesso indevido, mal uso, vazamento, modifi-
cação ou destruição.
Como grande parte da doutrina acadêmica relacionada à Segurança da In-
formação foi desenvolvida dentro dos meios militares, muitas pessoas têm
uma tendência a ver a segurança pela perspectiva do ativo e do maior nível
de proteção que ele pode possuir,. Essa ótica não é adequada nas organiza-
ções, onde o nível de proteção deve ser proporcional ao valor do ativo, ou
ao dano causado pelo incidente. A segurança da informação deve mirar os
objetivos de negócio da empresa, o que pode levar os analistas a fazerem
concessões a favor da eficiência do processo, em detrimento do nível de
segurança.

21
A segurança próxima de 100% é uma meta normalmente buscada dentro do
meio militar, onde falhas podem custar vidas, ativo de valor imensurável.
Na Evolveris, a disponibilidade de dados é uma premissa de negócio, definida
pela governança da empresa. Alunos e professores precisam poder acessar e
modificar os dados do sistema em qualquer lugar que estejam, e os candida-
tos ou estudantes de e-learning precisam fazer todos os seus procedimentos
através do website da empresa.
Dentro deste contexto, procurou-se o melhor nível de segurança, que fosse
economicamente viável, e que não ferisse essas premissas. Durante os próxi-
mos capítulos apresentaremos as soluções encontradas.
22
Ao explicar as tarefas relacionadas à manutenção da segurança da informa-
ção dentro da Evolveris, Wallace as divide em 3 grupos:
 Processos: Definidos na política de segurança, são fundamentais
para a manutenção da segurança do ambiente, pois eles definem o
comportamento esperado dos colaboradores em relação à segurança
da informação, e as tecnologias a serem utilizadas para assegurar a
segurança da informação na organização.
 Pessoas: Todos os colaboradores da organização, sejam eles funcio-
nários, terceiros ou prestadores de serviço, necessitam de orientação
para que possam desempenhar suas obrigações quanto à segurança
da informação da melhor forma possível.

23
 Tecnologia: Apesar de ser o componente mais visível na manutenção
da segurança, não chega a ser o que mais requer esforço e investimen-
to. As ferramentas são essenciais para garantia a segurança da informa-
ção e monitorar o seu uso.
24
Continuando sua explicação, Wallace toma como exemplo um sistema de
ERP da Evolveris. Analisando as proteções de dentro para fora, podemos
encontrar os dados sensíveis criptografados dentro da aplicação. Outra apli-
cação que faz parte deste contexto é o banco de dados que guarda os dados
do ERP.
Essas aplicações são gerenciadas pelo sistema operacional do host (que tam-
bém pode gerenciar dados diretamente), e o Host (máquina hospedeira) por
sua vez, encontra-se na rede interna de uma empresa, que tem seu períme-
tro lógico defendido por Firewall, IDS e IPS) e físico defendido pelo contro-
le de acesso físico, com travas, fechaduras, guardas, etc.

25
Todas essas proteções dependem diretamente de processos bem definidos,
da execução de políticas bem elaboradas e de pessoas preparadas e compro-
metidas para segui-las corretamente.
Defesa em profundidade significa prover múltiplas camadas de proteção
contra ameaças em diversas partes da organização. Deve-se aplicar a segu-
rança no maior número de camadas possíveis.
26
Os controles de segurança da informação devem ter uma origem bem justifi-
cada, e sofrer uma revisão periódica para analisar sua aderência e eficiência.
Para definir os controles da Evolveris, a equipe de segurança solicitou a Olí-
via, do LCA (Legal and Corporate Affairs), que levantasse as leis e regula-
mentações vigentes. As organizações precisam atender às regulamentações
da área em que estão inseridas, e para isso precisam ter em sua política de
segurança controles que enderecem esses requisitos.
Alguns dos requisitos relacionados na construção da política de segurança
da informação vieram do padrão de dados de cartão de crédito (PCI DSS),
integridade de relatórios financeiros (Sarbanes-Oxley) e segurança da infor-
mação (ISO 27001 e ISO 27002.

27
Outra grande origem de controles são os requisitos de negócio. Se uma orga-
nização opera com projetos automobilísticos ou eletrônicos, ela precisa ga-
rantia a confidencialidade de seus projetos para sobreviver no mercado.
Por outro lado, se tratamos de uma organização que trabalha com venda de
informações, precisa garantir a integridade e confidencialidade das mesmas.
A Terceira e mais importante origem de controles é a análise de riscos. Não
que os itens anteriores não precisem passar por uma análise de risco, mas a
análise em questão é uma análise feita a partir da própria ISO 27002, para
verificar o “Gap” entre a situação ideal e a situação atual da empresa.
Os controles gerados são de três tipos: Físicos, organizacionais e Tecnológi-
cos, sendo que:
 Controles Físicos: roletas, catracas, portas, crachás e qualquer outra coisa
que auxilie no controle de acesso físico aos ativos ou ajude a preservar a
integridade física destes, como o sistema de refrigeração, estabilizadores e
nobreaks.
 Controles Organizacionais: Termos de aceitação da política de segurança,
treinamentos, e todo tipo de ação que discipline a forma de uso dos ativos
de informação.
 Controles Tecnológicos: Firewall, IPS, IDS, antivírus e qualquer outra
peça de hardware ou software que auxilie na preservação dos ativos.
28

29
Segundo a ISO 27002, os controles físicos previnem o acesso físico não
autorizado, danos e interferências com as instalações e informações da
organização.
A Norma especifica dois importantes pontos a serem tratados:
 Perímetro de segurança física: utilizar perímetros de segurança
(paredes, portões de entrada com cartões, etc) para proteger as
áreas processamento e armazenagem de informações
 Controles de entrada física: visam assegurar que somente pesso-
as autorizadas tenham acesso a um local.
30
Allan explica a Hilda que a Evolveris utiliza um sistema de controle de aces-
so físico, e que os todos receberam crachás com RFID nas cores vermelho
(alunos), verde (funcionários) e azul (terceiros) para acesso ao ambiente.
Sempre que um colaborador precisa de um novo crachá, ele deve trazer o
crachá anterior para ser avaliado, e no caso de perda do crachá ele deverá
solicitar ao gestor do seu centro de custo um novo crachá, cujo valor será
debitado de sua área. Em ambos os casos o funcionário recebe uma cartilha e
assina um termo de recebimento e responsabilidade sobre o crachá, reconhe-
cendo sua função como instrumento de acesso às instalações da empresa.
O Sistema de segurança da Evolveris divide a empresa em áreas, e cada área
possui um responsável, geralmente o gerente ou diretor da divisão.

31
O Sistema possui perfis de acesso pré-autorizados, dessa forma, a cada vez
que um novo colaborador entra em determinada função ele recebe os aces-
sos previstos em seu perfil. A Cada vez que é necessário conceder um novo
acesso a um determinado colaborador, este entra no sistema e solicita o
acesso. O sistema emite um e-mail ao gestor do colaborador que aprova ou
não sua solicitação, e uma vez aprovada essa solicitação vai para a aprova-
ção do gestor da área, que dá a palavra final sobre o acesso. Após essa apro-
vação o crachá já é aceito na área solicitada, sem nenhuma necessidade de
intervenção da área de segurança.
Um relatório diário de acessos concedidos é enviado à área de segurança
patrimonial. Pesquisas por número de concessões e solicitações também
podem ser executadas, além do sistema fornecer alertas quando esses nú-
meros ultrapassam um determinado parâmetro.
Quando um colaborador encerra suas atividades na Evolveris, o crachá é
bloqueado e ele deve ser devolvido pelo mesmo. Ao ser transferido, um cola-
borador perde todas suas permissões, e recebe as permições de acordo com
o perfil de sua nova função. Qualquer acesso adicional tem que ser solicita-
do ao seu gestor, conforme explicado anteriormente.
O Acesso ao sistema de emissão de crachás é restrito a um pequeno grupo, e
requer o uso de um crachá nível 2, que possui um chip RSA, para autentica-
ção do mesmo.
Palestras de conscientização sobre o valor do crachá são ministradas regu-
larmente.
32
Na Evolveris, os visitantes são claramente identificados por um crachá ama-
relo, em oposição aos vermelhos (alunos), verdes (funcionários) e azuis
(terceiros). Estes crachás são somente para identificação, e apesar de regis-
trar a passagem do visitante pelas instalações da empresa não permitem seu
acesso a nenhum local, somente a sua saída.
Os visitante somente entram na empresa acompanhados por um colaborador,
e nas áreas menos sensíveis. Nas áreas com pontos de rede ativos e/ou outros
ativos de informação, eles devem permanecer sempre acompanhados.
Os crachás de visitante possuem uma validade definida no ato de sua emis-
são, o que nunca ultrapassa um dia. A devolução do crachá é obrigatória na
última catraca de saída da empresa.

33
Ao passar por um ponto de entrada, o visitante precisa apresentar seu cra-
chá para registro via RFID, apesar deste registro não abrir nenhuma porta
para entrada do mesmo.
O registro criado contém o nome do visitante, a empresa representada e o
funcionário que está autorizando o acesso físico. Pela regulamentação do
PCI DSS, este registro deveria ser mantido por pelo menos três meses, mas a
deliberação da Evolveris é a de mantê-lo por 5 anos.
34
As áreas comuns das instalações da Evolveris (salas de aula, sala de professo-
res, bibliotecas, etc.) possuem pontos de acesso com e sem fio (wireless) e
são segregados fisicamente por switches e um firewall. Na política da Evolve-
ris, todos os pontos de rede localizados fora do perímetro de segurança física
são ligados na rede pública (de alunos).
As áreas da rede administrativa da Evolveris possuem portas com fechaduras
eletrônicas e o datacenter é hospedado em uma nuvem privada dentro de
uma sala cofre na sua matriz, em Belo Horizonte. Os professores somente
tem acesso aos sistemas quando nas salas de professores, que possuem um
controle de acesso físico adequado.

35
Cada unidade de Evolveris possui uma pequena sala de servidores, com
acesso biométrico, restrito a poucos técnicos, somente com os servidores de
autenticação e outras redundâncias para garantir a continuidade em caso de
perda de comunicação com a matriz.
Os leitores biométricos e de crachás são ligados à rede administrativa e
transmitem seus logos a um centralizador localizado na matriz
36
Toda a entrada e saída de pessoas nas áreas sensíveis é monitorada por câ-
meras IP, que armazenam localmente as imagens. por um período de 3 me-
ses, e transmitem imagens estáticas à sede, para evitar um excesso de uso de
banda e armazenamento.
 As câmeras são protegidas fisicamente contra adulteração ou desati-
vação
 Os dados locais são armazenados por 3 meses
 A sede armazena as imagens estáticas por 2 anos

37
Verifique se o acesso físico a pontos sem fio de acesso, gateways, dispositi-
vos portáteis, hardwares de comunicação/rede e linhas de telecomunicação
é adequadamente restrito.
Os pontos de rede:
 Devem ser ativados somente quando necessário e pelos funcionários
autorizados
 Devem estar protegidos contra adulteração ou desativação
 Visitantes Devem sempre ser acompanhados nas áreas com pontos de
rede ativos
38
Allan explica a Hilda que apesar de toda a preocupação com a segregação
física das áreas administrativas, ainda existe um risco residual de acesso não
autorizado e a ameaça interna.
Para conter essa ameaça, a Evolveris aposta em um programa de conscienti-
zação para criar o hábito em todos os colaboradores de bloquear suas esta-
ções, quando estas estiverem desassistidas.
Os administradores , em especial, são orientados a nunca deixarem As con-
soles de servidores e estações desbloqueadas, para impedir o uso não autori-
zado dos privilégios administrativos.

39
A equipe de TI implementou uma política de bloqueio automático para as
estações após 5 minutos sem uso. Para servidores o bloqueio ocorre a cada 2
minutos, e as sessões iniciadas em sistemas que manipulam dados críticos
se esgotam por ociosidade em no máximo 15 minutos.
A Auditoria interna trabalha fortemente esse ponto, testando os colabora-
dores quanto a este quesito da política de segurança
40
A Evolveris adota uma política de mesa e tela limpa, evitando que papeis e
mídias removíveis fiquem acessíveis a terceiros, obedecendo a política de
classificação da informação e requisitos legais.
Todos os colaboradores devem evitar que papeis e mídias removíveis fiquem
expostos, adotando regras proporcionais à classificação da informação. Den-
tre as ações indicadas encontramos:
 Colaboradores devem retirar seus papeis imediatamente das impres-
soras
 Controle de uso de copiadoras
 Correios e fax devem ser protegidos

41
A Evolveris possui uma solução de no-break, ou fornecedor ininterrupto de
energia (UPS- Uninterruptible Power Supply), que garante a continuidade
da alimentação elétrica mesmo que a energia principal venha a falhar.
O tempo suportado pelo equipamento varia de acordo com a carga suporta-
da por suas baterias. Normalmente o nobreak suporta o ambiente por alguns
minutos ou algumas horas, depois desse tempo é necessário que seja utiliza-
do um gerador externo para recarregar suas baterias.
Allan destacou que dentre os projetos para o próximo exercício fiscal, en-
contra-se a compra de um gerador para o Datacenter, projeto que não foi
aprovado no ano anterior, e solicitou a atenção de Hilda para este assunto.
42
A ISO 27002 destaca em suas diretrizes para implementação que convém que
todas as utilidades, tais como suprimento de energia elétrica, suprimento de
água, esgotos, calefação/ventilação e ar condicionado sejam adequados para
os sistemas que eles suportam.
A norma recomenda também que estes sejam sempre inspecionados em in-
tervalos regulares e testados de maneira apropriada para assegurar seu funci-
onamento correto e reduzir os riscos de defeitos ou interrupções do funcio-
namento, garantindo também um suprimento adequado de energia elétrica,
de acordo com as especificações do fabricante dos equipamentos.
Recomenda-se o uso de UPS (No-break) para suportar as paradas e desliga-
mento dos equipamentos ou para manter o funcionamento contínuo dos
equipamentos que suportam operações críticas dos negócios.
Convém que seja considerado um gerador de emergência, e um suprimento
de combustível adequado, caso seja necessário que o processamento continue
mesmo se houver uma interrupção prolongada do suprimento de energia.
A norma também aconselha que a capacidade dos geradores e nobreaks se-
jam verificados em intervalos regulares para assegurar que eles tenham capa-
cidade adequada, e sejam testados de acordo com as recomendações do fabri-
cante. Além disto, deve ser considerado o uso de múltiplas fontes de energia
ou de uma subestação de força separada, se o local for grande o suficiente.

43
A Norma ainda traz as seguintes recomendações:
 Convém que as chaves de emergência para desligamento da energia
fiquem localizadas na proximidade das saídas de emergência das salas
de equipamentos para facilitar o desligamento rápido da energia em
caso de uma emergência.
 Convém que seja providenciada iluminação de emergência para o caso
de queda da energia.
 Convém que os equipamentos de telecomunicações sejam conectados
à rede pública de energia elétrica através de pelo menos duas linhas
separadas, para evitar que a falha de uma das conexões interrompa os
serviços de voz.
Destaca ainda a norma em informações adicionais que, as opções para assegu-
rar a continuidade do suprimento de energia incluem linhas de entrada re-
dundantes, para evitar que uma falha em um único ponto comprometa o su-
primento de energia.
Mesmo com todos estes cuidados, é recomendável que hajam planos de con-
tingência de energia referentes às providências a serem tomadas em caso de
falha do UPS e/ou gerador.
44
A climatização é tão essencial quanto a energia elétrica para um datacenter.
Ela garante que os equipamentos tenham um ambiente propício para seu
funcionamento, livre de aquecimento e umidade em excesso.
Existem inúmeros relatos de indisponibilidade e até mesmo perda de dados
devido a superaquecimento. Os computadores dispersam muito calor, e sem
um tratamento adequado o ambiente rapidamente chaga a uma temperatura
onde há perda de integridade física (e consequentemente lógica) e/ou os
próprios equipamentos deixam de funcionar para evitarem danos a si mes-
mos.
No clima tropical da América do Sul, uma climatização redundante é tão
essencial como um nobreak para a disponibilidade dos dados.

45
Os meios de transmissão, com ou sem fio, estão sujeitos a interferências, que
podem comprometer a integridade e disponibilidade dos recursos de comu-
nicação da empresa, ou ainda a confidencialidade caso sofram um ataque com
o objetivo de roubar dados.
A ISO 27002 atenta para os seguintes fatos:
 Segurança do Cabeamento, que se aplica ao cabeamento de energia e
de telecomunicações:
 As linhas de energia e de telecomunicações que entram nas instalações
de processamento da
 informação sejam subterrâneas (ou fiquem abaixo do piso), sempre
que possível, ou recebam uma proteção alternativa adequada;
46
 Cabeamento de redes seja protegido contra interceptação não autori-
zada ou danos, por exemplo, pelo uso de conduítes ou evitando traje-
tos que passem por áreas públicas;
 Os cabos de energia sejam segregados dos cabos de comunicações,
para evitar interferências;
 Nos cabos e nos equipamentos, sejam utilizadas marcações clara-
mente identificáveis, a fim de minimizar erros de manuseio, como
por exemplo, fazer de forma acidental conexões erradas em cabos da
rede;
 Seja utilizada uma lista de documentação das conexões para reduzir
a possibilidade de erros;

49
Wallace promete a Hilda uma apresentação sobre o grau de maturida-
de da Evolveris se comparado à norma ISO 27001 e ao padrão PCI
DSS.
O CISO da empresa aproveita para alertar a Hilda sobre a necessidade
de investimentos para se estabelecer e manter um Sistema de Gestão
da Segurança da Informação.
50
A política de segurança da Evolveris prevê a destruição de dados ao final da
vida útil dos mesmos, e abrange todas as mídias, inclusive os materiais im-
pressos, que devem ser picotados, triturados, incinerados ou amassados pa-
ra que haja garantia razoável de que não possam ser reconstituídos.
Os contêineres de armazenamento usados para as informações a serem des-
truídas devem ter controles de segurança física aplicados, para que seu con-
teúdo não seja acessado.
A política prevê que os dados de alta sensibilidade existentes nas mídias
eletrônicas tornem-se irrecuperáveis por meio de um programa de limpeza
segura (wipe), de acordo com os padrões, que consistem em sobrescrever
todo o disco por uma ou mais vezes, ou padrões mais “fortes” chegam a so-
brescrever os discos dezenas de vezes, com sequências aleatórias de dados.

51
Para as mídias com maior requisito de disponibilidade e integridade, uma
remoção mais simples dos dados pode ser o suficiente para atender os requi-
sitos de segurança.
Para mídias que possuem um maior requisito de confidencialidade pode ser
necessário lançar mão das técnicas de desmagnetização ou destruição física
da mídia.
52
A Criptografia é uma ciência milenar, responsável por manter os segredos
da antiga Roma, peça fundamental na Segunda Guerra Mundial e atual-
mente é estrela do mundo da Segurança da Informação.
Diversos sistemas operacionais, bancos de dados, protocolos de comunica-
ção ou simples sistemas de armazenamento de arquivos chegam aos consu-
midores providos desta função de embaralhar os dados. Através do uso de
um algoritmo (sequência de passos para o embaralhamento) os dados a se-
rem protegidos e de uma chave (conjunto de bits) transforma-se textos ou
dados abertos em códigos ilegíveis.
A chave existe para se misturar ao texto e embaralha-lo (encriptá-lo) e pos-
teriormente, ser misturada ao texto criptografado e recuperá-lo (decriptar).
Isso é Criptografia no mundo computacional, e isso era Criptografia há mil
anos. Porém, se hoje temos computadores para criptografar dados e proces-
sar informações que antes eram impossíveis. Os mesmos computadores são
usados para quebrar algoritmos e descobrir a chave que foi usada
(criptoanálise). Uma chave com poucos caracteres é fácil de ser adivinhada.
Podem-se tentar algumas possibilidades até que se consiga chegar na chave
certa.
A criptografia é um componentes vital da proteção de dados críticos, e para
garantir que todos os dados recebam o tratamento devido, a Evolveris man-
tém um inventário de todas os locais onde os dados críticos estão armazena-
dos, e uma forte política de criptografia de dados em diversos dispositivos,
principalmente em mídias removível (por exemplo, fitas de back-up)

53
A política prevê também uma separação dos hashes de dados da versão trun-
cada dos mesmos, e quando isso não é possível a utilização de controles adi-
cionais para garantir que as duas versões dos dados não possam ser utiliza-
das para reconstruí-los.
Wallace preparou uma apresentação, para explicar os diferentes tios de crip-
tografia utilizados para embaralhar os dados nos sistemas, bancos de dados e
canais de comunicação da Evolveris.
A Criptografia simétrica é a mais antiga das formas de criptografia. Também
conhecida como criptografia de chave compartilhada ou de chave secreta,
possui dois elementos fundamentais: um algoritmo e uma chave que deve ser
compartilhada entre os participantes na comunicação, daí o nome de simétri-
ca ou de chave compartilhada. Na criptografia simétrica, a mesma chave é
usada para codificar e decodificar as mensagens.
O Conhecimento do algoritmo a empregado não interfere na segurança do
sistema, uma vez que esta segurança vem do algoritmo em si, mas principal-
mente do sigilo da chave utilizada.
Para que um algoritmo possa ser considerado seguro, a única forma de se ob-
ter o texto original a partir do texto cifrado, sem o conhecimento prévio da
54
chave, é tentar todas as combinações de chaves possíveis, o que chamamos de
ataque de força bruta.
Assim, os fatores envolvidos na quebra de um algoritmo de chave simétrica
seguro são, basicamente, tempo e recursos, que estão diretamente ligados:
quanto maior o capital empregado em equipamentos para a quebra da cripto-
grafia, menor o tempo necessário.
A Evolveris mantém um processo de homologação de sistemas, que analisa o
tipo de sistema criptográfico utilizado, ao algoritmos utilizados e a forma
como foram configurados, além de uma detalhada documentação sobre os
sistemas que inclui:
 Fornecedor do sistema
 Tipo de sistema
 Algoritmos utilizados
 Configuração dos algoritmos

55
Métodos para minimizar os riscos, podemos truncar alguns dados críticos,
quando o armazenamento completo não for necessário (Ex: número de car-
tão de crédito)
A Truncagem de um número difere-se do hash, por eliminar permanente-
mente parte do conteúdo, e impossibilitar que se compare uma truncagem a
outra para verificar se o número original é o mesmo
O Hash não pode ser utilizado para substituir a truncagem de um dado
56
Funções de hash baseados em criptografia forte podem ser utilizados para
proteger dados críticos, como o número de cartões de crédito, desde que se-
jam aplicadas ao numero como um todo.
As funções hash, tomam como entrada uma mensagem qualquer e geram
como saída o que chamamos de “mensagem digerida” (message digest), em
um tamanho fixo de bits (128, 160, 256, etc). Essas funções não são desenha-
dos para que os dados possam ser decriptados, e são utilizados simplesmen-
te para verificar se um determinado dado é válido.
Os algoritmos de Hash mais comumente utilizados são Message Digest 5
(MD5) e Secure Hash Standard (SHA-1).

59
O Conceito de chaves assimétricas nasceu oficialmente com os trabalhos de
Whitfield Diffie e Martin Hellman, no início da década de 1970. A proposta
era a de criar operações criptográficas que dependessem de duas chaves ma-
tematicamente relacionadas: uma pública e outra privada. Este sistema, tam-
bém chamado de criptografia de chave pública, veio a resolver dois dos gran-
des problemas existentes com as cifras simétricas: troca segura de chaves e
escalabilidade.
Samuel, o especialista de infraestrutura da Evolveris é um entusiasta em
criptografia. Ele é o responsável pela implantação da ICP (Infraestrutura de
Chaves Públicas) da Evolveris, e a única foto em sua baia é a de sua conversa
com Whitfield Diffie na Defcon.
60
Na criptografia assimétrica uma chave é capaz de abrir o que a outra chave
criptografou, mas nunca o que ela mesmo criptografou. Utilizamos a cripto-
grafia com chave pública para garantir confidencialidade, e com chave priva-
da para garantir autenticidade, que é um dos componentes da integridade.
No exemplo acima, Samuel precisa enviar uma mensagem confidencial para
Hilda. Para que isso seja possível, ele solicita a chave pública de Hilda, crip-
tografa a mensagem com ela, e a envia tranquilamente por um meio inseguro.
Como vimos, uma chave não abre o que ela mesmo criptografou. Se alguém
interceptou a comunicação de Samuel e Hilda, ele interceptou a chave públi-
ca, mas ela é inútil para abrir o conteúdo. Somente a chave privada abrirá o
conteúdo criptografado com a chave pública, e vice-versa.

61
No exemplo acima a operação se repete, mas dessa vez Allan utiliza uma
chave privada para criptografar o hash, antes de anexá-lo ao texto e enviá-lo
a Olívia.
Olívia adquire a chave pública de Allan na ICP da Evolveris e abre a mensa-
gem criptografada pela chave privada. O sucesso da operação indica que o
hash enviado foi criptografado pela chave pública de Allan, mas ainda não
atesta a integridade do texto.
Ao comparar o hash extraído com a chave pública de Allan com o hash ane-
xado ao texto Olívia certifica-se que o texto está íntegro.
62
Explicar a diferença entre o CISO e o CSO

63
O Sistemas de criptografia de discos do Windows (2000 em diante) traz
uma abordagem híbrida, utilizando o melhor da criptografia simétrica e assi-
métrica. Primeiramente é gerado um par de chaves assimétricas EFS, e com a
chave pública do par é gerado um certificado digital. A chave privada é guar-
dada no perfil do usuário.
Em seguida, é gerada uma a FEK (File Encryption Key), e o arquivo é cripto-
grafado com ela. A FEK é uma chave simétrica, mais apropriada para a crip-
tografia de grandes volumes por ser mais rápida e requerer um menor esforço
computacional. Em seguida a FEK é criptografada com chave pública do
usuário e do agente de recuperação do domínio. As duas FEK criptografadas
são anexadas ao arquivo, e este só poderá ser descriptografado com a chave
privada do usuário ou do agente de recuperação do domínio.
64

65
A Evolveris possui uma política de controle de acesso fortemente documen-
tada e divulgada, que considera os seguintes itens:
 Requisitos de segurança de aplicações de negócios individuais;
 política para disseminação e autorização da informação (necessidade
de conhecer princípios e níveis de segurança e classificação da infor-
mação);
 segregação de regras de controle de acesso (pedido de acesso, autori-
zação e administração);
 requisitos para autorização formal de pedidos de acesso;
 requisitos para análise crítica periódica de controles de acesso;
 remoção de direitos de acesso.
66

67
O termo “Triple A” define a tríade de acesso lógico à informação, composta
por autenticação, autorização e auditoria.
Ao solicitar um acesso, a primeira parte da solicitação é a autenticação, com-
posta por identificação e autenticação. Nela o usuário se apresenta e mostra
algum comprovante (algo que sabe, que é ou que possui) de que realmente é
a pessoa que diz ser. Posteriormente, o sistema consulta a base de dados de
autorização e concede ou não o acesso. Neste momento, o sistema consulta a
base de dados de auditoria e verifica se aquela solicitação, independente do
resultado positivo ou negativo, deve ser registrada para auditoria posterior.
Os usuários devem sempre estar familiarizados com os procedimentos e po-
líticas de autenticação.
68
O reference monitor é o componente do sistema de controle de acesso, res-
ponsável por mediar todos os acessos feitos pelos sujeitos aos objetos. Na
prática, a cada solicitação de acesso que o sistema recebe, o reference moni-
tor verifica todas as credenciais do sujeito e dos grupos aos quais ele perten-
ce (UID do UNIX, SID do Windows, etc) e verifica se no objeto existe uma
permissão ou negação explicita para algumas daquelas credenciais, autori-
zando ou negando o acesso de acordo com as regras de acesso e do sistema.
Em sistemas mais modernos como o Windows Vista, Windows Server 2008
e Windows 7, o sistema pode fazer uma segunda verificação, para checar a
integridade do aplicativo que solicitou o acesso, e não somente as credenci-
ais do usuário. Dessa forma, o mesmo usuário teria acesso permitido a um
determinado arquivo, se estiver utilizando o Word, mas poderá ter seu aces-
so negado se tentar acessar o mesmo arquivo utilizando o Internet Explorer.

69
Outra funcionalidade importante dessa mediação de acesso é a auditoria de
eventos. Cada objeto possui, além da lista de sujeitos que podem acessá-lo,
uma lista de auditoria, que descreve quais tipos de acesso devem ser regis-
trados para quais sujeitos. Ex:
Pasta: LCA
Grupo Todos: Registrar falha de acesso de escrita/leitura
Grupo LCA: Registrar sucesso na alteração/remoção de documentos
O Sistema de acesso deva valer para todos os componentes do sistema e de-
vem estar configurados para impor os privilégios concedidos às pessoas
com base na classificação e função do cargo.
A configuração padrão dos sistemas de controle de acesso deve ser “recusar
tudo”, e a partir dai os acessos específicos devem ser concedidos aos grupos.
70
As DACL’s listam, para um determinado recurso, quais são os usuários que
podem acessá-lo e quais ações podem ser praticadas
Elas são chamadas de discricionárias porque o administrador do recurso
pode atribuir permissões a quem desejar, ao contrário das mandatórias
(MAC), onde o criador da informações atribui o nível de classificação da
mesma, e o sistema atribui as permissões.

71
Listam que tipos de ações que um determinado usuário realiza em um deter-
minado recurso devem ser registradas.
 Base para auditoria
 Grande granularidade de ações
 Requer planejamento para não impactar na performance
 Essencial para ações de forense
72
A política da Evolveris define que as trilhas de auditoria devem ser protegi-
das e analisadas da forma a seguir:
 Apenas os indivíduos que têm uma necessidade relacionada à função
podem visualizar arquivos de trilha de auditoria.
 Os arquivos de trilha de auditoria atuais estão protegidos de modifi-
cações não autorizadas por meio de mecanismos de controle de aces-
so, separação física e/ou segregação de redes.
 As trilhas de auditoria atualizadas são prontamente salvas em um ser-
vidor de log centralizado
 Os logs de tecnologias com acesso externo (wireless, firewalls, DNS,
mail, etc.) são transferidos imediatamente para um centralizado de
log.

73
 Deve-se instalar softwares de monitoramento de integridade (FIM—
File Integrity Monitor) dos arquivos ou detecção de mudanças nos
logs.
 Os registros de segurança são analisados diariamente e existe um
procedimento formal para o acompanhamento das exceções é exigi-
do.
 O Centralizados realiza-se de log de todos os componentes do siste-
ma.
 Os registros de auditoria são retidos por cinco anos.
 Os últimos três meses de log estão disponíveis para a análise imedia-
ta.
74

75
Os sistemas Windows possuem um banco de dados de contas de usuários
locais, chamado SAM (Security Account Manager). Ele é semelhante ao mé-
todo de autenticação do Unix utilizando passwd e shadow.
Neste modelo, usuário e senha são comparados permitindo a autenticação e
autorização ao sistema. Apesar de este método de autenticação ser muito
utilizado, ele não permite a replicação dos dados e obriga que o cadastro dos
usuários seja feito em cada host da rede
A política da Evolveris exige que as senhas dos usuários devem permanecer
criptografadas durante a transmissão e armazenamento em todos os siste-
mas da organização
76

77
A Política de controle de acesso da Evolveris destaca que cada colaborador
deve possuir identificação exclusiva em seus sistemas da para assegurar que
cada indivíduo seja exclusivamente responsável pelas suas ações
A política prevê também que não podem existir senhas genéricas (Ex: Usuá-
rio: Portaria, Senha: Guarda), ou senhas de grupo (Ex: Usuário: porteiros).
Outra preocupação da política, é a de que não se compartilhe senhas do tipo
administrador ou root. Para esses casos, a Evolveris desabilita essas contas,
ou cria uma senha em que dois administradores sabem somente metade dela,
a esta fica lacrada em um envelope, e depois cria um usuário com direitos
administrativos para cada pessoa com necessidade de negócio para adminis-
trar aquele servidor
78
A Política de gestão de senhas da Evolveris exige que se modifique todas as
senhas padrão de dispositivos e sistemas adquiridos antes que os mesmos
entrem em operação
Para os Access Points de redes sem fio, a política prevê especificamente que
as chaves de criptografia sejam alteradas do padrão na instalação e sempre
que qualquer pessoa que conheça as chaves sai da empresa ou troca de cargo.
Prevê também que os nomes de comunidades de SNMP padrão sejam altera-
dos, que o firmware nos dispositivos sejam atualizado para ser compatível
com a criptografia robusta para a autenticação e a transmissão em redes sem
fio, e que outros padrões ligados à segurança do fornecedor wireless sejam
alterados sempre que necessário.

79
Quanto às senhas de usuário, a política exige usuários alterem as senhas
pelo menos a cada 60 dias, que tenham pelo menos oito caracteres de com-
primento, e três das quatro categorias de caracteres (numéricos, maiúscu-
los , minúsculos e especiais).
As senhas também não podem ser as mesas das seis últimas senhas utiliza-
das, e devem ser bloqueadas após, seis tentativas inválidas de efetuar login,
e que assim permaneçam por 30 minutos ou até que um administrador do
sistema a desbloqueie.
80
O Sistema de gestão de identidades da Evolveris é o mesmo utilizado para
conceder acesso físico às instalações da organização.
O Sistema possui perfis de acesso em que os privilégios são concedidos às
pessoas com base na classificação e na atribuição da função (também cha-
mada de “role-based access control” ou RBAC), dessa forma, a cada vez que
um novo colaborador entra em determinada função ele recebe os acessos
previstos em seu perfil.
A Cada vez que é necessário conceder um novo acesso a um determinado
colaborador, este entra no sistema e solicita o acesso. O sistema emite um e-
mail ao gestor do colaborador que aprova ou não sua solicitação, e uma vez
aprovada essa solicitação vai para a aprovação do gestor da área, que dá a

81
palavra final sobre o acesso. Após essa aprovação o acesso é automatica-
mente atribuído ao perfil do usuário.
Um relatório diário de acessos concedidos é enviado à área de segurança da
informação. Pesquisas por número de concessões e solicitações também
podem ser executadas, além do sistema fornecer alertas quando esses núme-
ros ultrapassam um determinado parâmetro.
Quando um colaborador encerra suas atividades na Evolveris, todos os seus
privilégios são bloqueados, e ao ser transferido, um colaborador perde todas
suas permissões, e recebe as permissões de acordo com o perfil de sua nova
função. Qualquer acesso adicional tem que ser solicitado ao seu gestor, con-
forme explicado anteriormente.
O Acesso ao sistema gestão de identidades é restrito a um pequeno grupo, e
requer o uso de um crachá nível 2, que possui um chip RSA, para autentica-
ção do mesmo.
82
A Evolveris mantém sempre atualizado um diagrama da rede atualizado que
mostra os fluxos de todos os dados sensíveis e registra todas as conexões
com relação a estes dados, incluindo quaisquer redes sem fio. O diagrama
lista também os serviços, protocolos e portas necessárias para os negócios -
por exemplo, protocolos HTTP (hypertext transfer protocol) e SSL (Secure
Sockets Layer), SSH (Secure Shell) e VPN (Virtual Private Network)
A Organização mantém também um documento de padrões de configuração
do firewall e do roteador, com uma descrição dos grupos, funções e responsa-
bilidades quanto ao gerenciamento lógico dos componentes da rede.
A Evolveris não permite o uso de serviços, protocolos e portas inseguras e
exige a instalação de firewalls de perímetro entre quaisquer redes sem fio e

83
sistemas que armazenam dados críticos, que recusem ou controlem (se esse
tráfego for necessário para fins comerciais) qualquer tráfego entre esses dois
ambientes. Além disso, o tráfego de saída do ambiente de dados para a Inter-
net deve estar explicitamente autorizada.
As configurações de firewall devem evitar a divulgação de endereços de IP
privados e informações de roteamento das redes internas para a Internet.
Todas as regras do firewall foram enviadas pela área de SI, e qualquer altera-
ção ou criação de nova regra tem que ser feita através da abertura de um
ticket no sistema de gestão de mudanças, e seguir o fluxo de aprovação. A
cada mudança o diagrama de rede é atualizado
A política de configuração do firewall e do roteador exigem a análise dos
conjuntos de regras pelo menos a cada seis meses.
84
As vulnerabilidades estão sendo continuamente descobertas por indivíduos
mal-intencionados e pesquisadores, e são apresentadas por novos softwares.
Os componentes do sistema, processos e softwares personalizados devem
ser testados com frequência para assegurar que os controles de segurança
continuam adequados a um ambiente em constante transformação.
Como parte da sua política de monitoramento de vulnerabilidades, a Evol-
veris possui um processo para detectar e identificar trimestralmente pontos
de acesso sem fio.
O sistema de monitoramento gera um alerta caso cartões WLAN sejam inse-
ridos nos componentes do sistema ou dispositivos portáteis sem fio sejam

85
conectados aos componentes do sistema por USB, ethernet, etc.
No caso de detecção de qualquer tipo de dispositivo como estes, um ticket é
aberto automaticamente e um técnico vai ao local. Após o registro do ocor-
rido as ações disciplinares cabíveis são tomadas.
A Evolveris possui colaboradores qualificado, que executam varreduras por
vulnerabilidade internas e externas trimestralmente e um ticket de proble-
ma é aberto para cada vulnerabilidades definidas como "Alto".
A Evolveris realiza um teste de penetração na camada de rede, e de invasão
na camada de aplicação uma vez por ano e após quaisquer mudanças signifi-
cativas no ambiente. Caso haja qualquer vulnerabilidades explorável, um
ticket de problema é aberto, a vulnerabilidade é corrigida e os testes repeti-
dos.
86
A Evolveris desenvolveu um processo para desenvolvimento de software
seguro, baseado no SDL (Secure Development Lifecycle) da Microsoft, que
inclui a segurança da informação desde o início do ciclo de vida de desenvol-
vimento.
A política ainda reza que as mudanças no código de todas as aplicações são
revisadas por indivíduos que não sejam os autores do código, e por indiví-
duos que tenham experiência em técnicas de revisão de código e práticas de
código seguro. Os resultados da revisão do código são analisados e aprova-
dos pela gestão antes de serem lançados e as correções apropriadas são im-
plementadas antes do lançamento do software

87
A Política de desenvolvimento da Evolveris prevê que:
 Existam ambientes de desenvolvimento e testes separados do ambien-
te de produção, com controle de acesso implementado para garantir, a
separação.
 Existe uma separação de funções entre o pessoal designado para de-
senvolvimento/teste e o pessoal designado para o ambiente de produ-
ção.
 Dados de produção não são utilizados para teste ou desenvolvimento.
 Contas e dados de teste são removidos antes que um sistema em pro-
dução seja ativado.
88
O Código acima mostra uma falha é simples, um clássico Buffer Over-
flow, o programa incrementava o ponteiro pwszServerName com o va-
lor de pwszTemp enquanto o cliente de RPC não enviasse a string “”.
Considerando-se que o programador escreveu o cliente e o servidor,
essa lógica estaria perfeita, uma vez que o cliente era bem comportado e
sempre enviaria a string corretamente.
O problema é que o serviço de RPC espera por essa string através de
uma porta de rede, onde qualquer aplicação pode se conectar e dizer
que é o cliente RPC, até mesmo um vírus, que ao invés de mandar a
string “” encheria o buffer da aplicação com seu próprio código, para
posteriormente ser executado na própria máquina de destino.

89
O Buffer é a memória utilizada para guardar as entradas de um usuário, e ge-
ralmente tem um tamanho pré-fixado. Quando um usuário envia mais dados
do que o Buffer foi programado para suportar, estes dados passam então a
ocupar um espaço de memória destinado a guardar outras entradas de usuá-
rios e até mesmo um ponteiro, destinado a guardar o endereço de memória
onde o programa deve executar a próxima instrução.
90
A Injeção de código SQL (SQL
Injection), é uma forma de ataque a
aplicações onde o usuário ao invés de
entrar com um dado “inocente” como
um nome (Ex: Pietro) ou
identificador (Ex: 1001) entra com
uma expressão SQL, que altera o
funcionamento da aplicação para
realizar alguma ação que poderá
comprometer a confidencialidade,
disponibilidade e integridade das
aplicações.
string Status = "No";
string sqlstring ="";
try {
SqlConnection sql= new SqlConnection(
@"data source=localhost;" +
"user id=sa;password=password;");
sql.Open();
sqlstring="SELECT HasShipped" +
" FROM detail WHERE ID='" + Id + "'";
SqlCommand cmd = new SqlCommand
(sqlstring,sql);
if ((int)cmd.ExecuteScalar() != 0)
Status = "Yes";
} catch (SqlException se) {
Status = sqlstring + " failednr";
foreach (SqlError e in se.Errors) {
Status += e.Message + "nr";
}
} catch (Exception e) {
Status = e.ToString();
}

93 94
Após o lançamento de um software, uma vulnerabilidade não detecta-
da nas fases de teste permanece latente até que algum pesquisador
(esse sim, geralmente um Hacker) contratado pelo próprio fabricante,
por terceiros ou independente a encontre.
A índole do pesquisador vai ditar as regras de quando ele irá publicar
a vulnerabilidade. Se o pesquisador estiver apoiando o fabricante, e
este tratar segurança como algo sério, a vulnerabilidade somente será
publicada após uma correção estar disponibilizada para os usuários.
Caso ele não se importe com o fabricante ou com os usuários, a vulne-
rabilidade pode ser publicada assim que ele a descobrir ou quando ele
já tiver um código que a explore.

95
Outra possibilidade a que ele não venha a publicá-la, e sim a disponi-
bilizá-la para um criador de vírus que utilizam se de “zero-days”, ou
seja, exploração de vulnerabilidades zero ou menos dias antes da pu-
blicação da correção.
Uma vez que a correção é publicada inicia-se o período de homologa-
ção por parte do usuário, que pode levar de horas a dias. Os últimos
estudos mostram que os vírus baseados em zero-days ou em corre-
ções recém lançadas tem tido uma penetração maior em empresas do
que em usuários domésticos, porque estes contam com um serviço de
atualização automática, e as organizações perdem um tempo valioso
em seu processo de homologação, que apesar de importante deve ser
tratado com prioridade para que essa não fique exposta a ameaças
durante muito tempo.
96
O cavalo de Tróia tem como característica trazer junto a um programa qual-
quer um outro programa de código malicioso, o qual será instalado na má-
quina no momento em que o programa principal for executado. Esta técnica
pode trazer diferentes ameaças, com vírus, adware, spyware, key loggers etc.
O Nome vem da lendária guerra entre Gregos e Troianos, onde os gregos
deixam para os Troianos um enorme cavalo de madeira, que é interpretado
como um símbolo de rendição e um presente para o vencedor da guerra. Po-
rém, o ―Presente de Grego‖ encontra-se ―recheado‖ de soldados gregos
que finalmente conseguem se infiltrar nas muralhas de Troia, sem no entan-
to ter que superá-las.

97
Assim como na lenda de Troia, o programa ―Cavalo de tróia‖ é normalmen-
te enviado como um Phishing, um falso presente para a vítima, utilizando
um tema que desperte seu interesse abrir o presente e inserir o Malware no
computador sem o conhecimento do usuário e sem que este tenha que pas-
sar pelo firewall ou outra proteção.
Os trojans podem vir dentro de uma infinidade de tipos de arquivo, alguns
exemplos são os cartões virtuais, descansos de tela, cracks‖, apresentações,
vídeos e até fotos.
Os trojans contam mais com o despreparo da vítima do que com as qualifi-
cações do atacante, por esse motivo é considerado um ferramenta básica
para atacantes iniciantes (Script Kids).
O Trojan Horse é um dos Malwares mais encontrados em computadores
domésticos, e podem desempenhar diversas funções (Spyware, vírus, back-
door, etc) dependendo da finalidade com que foram concebidos.
98
Alerta: trojan bancário se passa por instalador do Google Chrome
Segundo a Trend Micro, o malware aplica técnica ousada para fisgar
suas vítimas
Uma nova ameaça dedicada ao roubo de dados bancários, o TSPY_ Ban-
ker.EUIQ foi descoberto pelos pesquisadores da TrendLabs Brasil, laborató-
rio da Trend Micro. Segundo a companhia, o malware atacou mais de três
mil usuários nos últimos dias, a maior parte deles aqui no país.
A equipe de pesquisadores brasileiros encontrou algumas URLs suspeitas
indicando caminhos não comuns para download do arquivo ChromeSe-
tup.exe, que iludiam a vítima ao fazê-los acreditar que o arquivo estava hos-
pedado em domínios como Facebook, Terra, Google, entre outros.
Algumas das URLs são (para sua segurança, não tente testá-las):
 hxxp://b r.msn.com/ChromeSetup.exe
 hxxp://www.faceb ook.com.b r/ChromeSetup.exe
 hxxp://www.faceb ook.com/ChromeSetup.exe
 hxxp://www.glob o.com.b r/ChromeSetup.exe
 hxxp://www.google.com.b r/ChromeSetup.exe
 hxxp://www.terra.com.b r/ChromeSetup.exe

99
A ação dos especialistas mostrou que os endereços estavam sendo manipu-
lados por um malware bancário multi-modular, que utilizava uma aborda-
gem inusitada para fazer o ataque. Ao acessar estas URLs, os usuários eram
direcionados a outros endereços que não pertenciam aos domínios legíti-
mos.
De acordo com Alberto Medeiros, especialista da Trend Micro, a ameaça
age induzindo a vítima a realizar o download do seu módulo principal, o
ChromeSetup.exe. "Após a infecção, o malware envia informações da má-
quina do usuário como IP, nome de host Windows da máquina, sistema
operacional e versão para um servidor de C&C - Comando e Controle", ex-
plica. Na sequência, a ameaça faz outro download, dessa vez de um arquivo
que redireciona o acesso a páginas bancárias falsas sempre que o usuário
tenta visitar sites bancários legítimos, apresentando sempre a seguinte
mensagem: “Aguarde, carregando o sistema”
Medeiros alerta para um detalhe importante que pode ajudar o usuário a
identificar o malware. "A página falsa do banco apresenta um caractere sub-
linhado (como mostrado na tela baixo), no título da janela, antes do nome
do banco, como pode ser observado nas imagens acima. Caso isso aconteça,
o usuário não deve cadastrar seus dados e senhas. Outro ponto de atenção é
o fato do redirecionamento que o malware realiza para o link utilizado pe-
los cibercriminosos. Sempre que for acessar contas bancárias, os usuários
devem fazê-lo por meio de domínios válidos", finaliza.
http://www.administradores.com.br/informe-se/tecnologia/alerta-trojan-bancario-
se-passa-porinstalador-do-google-chrome/55300/
100

Antebellum SEC 110 - Tecnologia para proteção de dados críticos

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Andere mochten auch

Andere mochten auch (9)

Ähnlich wie Antebellum SEC 110 - Tecnologia para proteção de dados críticos

Ähnlich wie Antebellum SEC 110 - Tecnologia para proteção de dados críticos (20)

Kürzlich hochgeladen

Kürzlich hochgeladen (20)

Antebellum SEC 110 - Tecnologia para proteção de dados críticos