SEGURANÇA E AUDITORIA DE SISTEMAS Autarquia Educacional do Vale do São Francisco – AEVSF Faculdade de Ciências Sociais e Aplicadas de Petrolina – FACAPE Curso de Ciências da Computação SEGURANÇA E AUDITORIA DE SISTEMAS “Segurança de Informações” Analisando Ameaças Cynara Carvalho cynaracarvalho@yahoo.com.br

Segurança de Informações Analisando ameaças Ameaça é tudo aquilo que pode comprometer a segurança de um sistema, podendo ser acidental (falha de hardware, erros de programação/usuários, etc...), ou deliberada (roubo, espionagem, sabotagem, invasão, etc...). Pode ser uma pessoa, uma coisa, um evento, uma idéia capaz de causar dano. Ameaças deliberadas: Passivas – envolvem invasão e/ou monitoramento, sem alteração de informações. Ativas – Envolvem alteração nos dados. A magnitude de uma ameaça deliberada está relacionada com a oportunidade, motivação e forma de detecção e punição de quebras de segurança.

Segurança de Informações Analisando ameaças - tipos Vazamento de informações - informações desprotegidas/reveladas Violação de integridade – comprometimento da consistência Indisponibilidade de serviços – impedimento ao acesso aos recursos Acesso e uso não autorizado –pessoa ou uso não autorizado. Após as ameaças se efetivarem em um ataque: Mascaramento – uma entidade ou pessoa se passa por outra Desvio de controles – falhas nos controles permitem acessos Violação autorizada – usuário autorizado com propósitos não autorizados Ameaças Programadas – códigos de softwares embutidos nos sistemas para violar segurança, alterar ou destruir dados. Ameaças Vulnerabilidades ou Fragilidades Impactos LISTA DE AMEAÇAS – RECURSOS IMPACTADOS – OBJETIVOS AFETADOS – GRAU DE IMPACTO

Segurança de Informações Bugs de Software Bug - erro num programa de computador que o faz executar incorretamente. Bugs trazem aborrecimentos e muitas vezes prejuízo. Back doors – Bugs propositalmente inseridos nos programas para permitir acesso não autorizado (brechas de segurança). Hackers estão sempre em busca de back doors para invadir sistemas. Ameaças programadas Programas podem passar a ter comportamentos estranho, pela execução de códigos gerados para danificar ou adulterar o comportamento normal dos softwares. Podem ser confundidos ou identificados como vírus. Mais freqüentes em microcomputadores.

Segurança de Informações Vírus – Perigo real, imediato e crescente. Surgimento de novas pragas, cada vez mais eficientes e desastrosas e de longo alcance. Ambiente Internet contribui para disseminação. Atualização do antivírus não acontece na mesma freqüência. Diferentes Nomenclaturas para ameaças programadas São classificadas pela forma de como se comportam, como são ativados ou como se espalham: Vírus Worms Bactéria Bomba Lógica Cavalo de Tróia

Segurança de Informações Tipos de Vírus Vírus de Boot - move ou altera o conteúdo original do boot, ocupando aquele espaço e passando atuar como se fosse o próprio boot do sistema. Vírus parasita – utilizam arquivos executáveis (.com, .exe) como hospedeiros, inserindo códigos de desvio para o código do vírus. Vírus camuflados – para dificultar o seu reconhecimento pelos anti-vírus. Vírus polimórficos – mudam seu aspecto cada vez que infectam um novo programa. Vírus de macro – macros são pequenos programas embutidos em planilhas e arquivos de texto. Como esses arquivos são os mais comuns, tratam-se de excelente meio de propagação.

Segurança de Informações Vírus de Macro - Atuação NORMAL.DOT MACROS TEXTO TEXTO Macro com vírus Macro com vírus Doc1.doc Doc2.doc

Segurança de Informações Fontes de infecção por Vírus Disquetes Redes Cd-Rom´s de revistas E-mails Softwares Anti-Vírus Prevenção Detecção Remoção

Segurança de Informações Analisando impactos e calculando riscos Em função do tempo em que um impacto, causado por uma ameaça, permanece afetando a instituição: curto ou longo prazo. Escala de Classificação: 0 - Impacto irrelevante. 1 – Pouco significativo, sem afetara a maioria dos processos. 2 – Sistemas não disponíveis por um período de tempo, pequenas perdas financeiras e de credibilidade. 3 – Perdas financeiras de maior vulto e de clientes. 4 – Efeitos desastrosos, sem comprometer a sobrevivência da instituição. 5 – Efeitos desastrosos, comprometendo a sobrevivência da instituição.

Segurança de Informações Analisando impactos e calculando riscos Além do nível do impacto, temos também os tipos de impacto, definidos a critério de cada instituição. Exemplos de tipos de impactos: 01 – Modificação dados. 02 – Sistemas vitais não disponíveis 03 – Divulgação de informações não confidenciais 04 – Fraudes. 05 – Perda de credibilidade 06 – Possibilidade de processo contra a instituição 07 – Perda de clientes para a concorrência

Segurança de Informações Analisando impactos e calculando riscos Assim como os impactos, as probabilidades de ameaças podem ser distribuídas em uma escala Escala de Classificação: 0 – Ameaça completamente improvável de acontecer. 1 – Probabilidade de ocorrer mais de uma vez por ano. 2 – Probabilidade de ocorrer pelo menos uma vez por ano. 3 – Probabilidade de ocorrer pelo menos uma vez por mês. 4 – Probabilidade de ocorrer pelo menos uma vez por semana. 5 – Probabilidade de ocorrer diariamente.

Segurança de Informações Matriz de Relacionamento entre Ameaças, Impactos e Probabilidades Ameaças Genéricas Tipo Impacto 0-5 Probabilidade Erros Humanos Ameaças associadas à identificação Cavalos de Tróia Ameaças associadas à disponibilidade Desastres Naturais Ameaças associadas à confidencialidade Monitoramento tráfego rede interna Ameaças associadas à integridade Modificações deliberadas das informações Ameaças associadas ao controles de Acesso Acesso a arquivos de senhas