Segurança de redes

Controle de segurança

O controle de segurança mais famoso é o firewall, que é o responsável pelo controle de acesso de rede.

Fonte: Shutterstock.

Deseja ouvir este material?

Áudio disponível no material digital.

Praticar para aprender

Nesta seção, você reforçará e aprofundará o entendimento dos princípios da segurança da informação (confidencialidade, integridade e disponibilidade), dos elementos do risco (ativos, vulnerabilidades, agentes de ameaça, ameaças, probabilidade e impacto) e dos relacionamentos com mecanismos de defesa, controles de segurança e técnicas de segurança de redes.

Para os profissionais de segurança da informação que buscam prevenção, detecção e resposta, é preciso entender onde, por que e como os ataques acontecem. Nesta seção, vamos detalhar alguns desses ataques e conhecer alguns controles de segurança que podem ser utilizados para a prevenção e detecção.

Para você alcançar a melhor estratégia de segurança, é importante entender que os elementos que compõem o risco de segurança se inter-relacionam o tempo todo. Por exemplo, ataques de negação de serviço (Denial of Service, DoS) afetam a disponibilidade e podem ser realizados por crackers que exploram vulnerabilidades em protocolos de rede. Há, ainda, outras variáveis que devem ser entendidas sobre os ataques DoS e tudo o que está envolvido, desde os pontos de ataques até os controles de segurança que podem ser aplicados.

Você é o responsável pela segurança da informação de uma empresa do setor químico que conta com os maiores cientistas brasileiros e possui unidades em São Paulo, Rio de Janeiro e Salvador. Além disso, ela tem acordo de cooperação internacional com uma empresa chinesa e outra suíça, bem como tem parceria com grandes investidores para o financiamento de seus projetos.

A sua atividade será focada em um grande projeto em andamento que já chegou a grandes resultados, uma vez que os cientistas descobriram um novo composto que será utilizado na indústria agrícola. Você, no entanto, está preocupado com a forma como os resultados do desenvolvimento estão sendo protegidos. O impacto pode ser gigantesco em caso de incidentes de segurança, principalmente com a concorrência também mobilizando grandes equipes para colocar no mercado os avanços para o setor.

Nesta disciplina, você já sensibilizou a diretoria executiva da empresa quanto à necessidade de ações para a segurança do projeto. Você fez uma apresentação envolvendo, conceitualmente, elementos do risco, como ativos, agentes de ameaça, vulnerabilidades, ameaças, impactos e controles de segurança, fazendo uma conexão com os princípios da segurança da informação (confidencialidade, integridade e disponibilidade).

Nesta segunda rodada de apresentação para a diretoria executiva, você detalhará os seguintes elementos:

• Pontos de ataques, representados por sistemas compostos por diferentes aspectos, que possuem vulnerabilidades: hardware, software, protocolos, aplicações.
• Pontos de ataques indicando os ativos humanos e físicos envolvidos.
• Agentes de ameaça, ameaças e técnicas de ataques.
• Controles de segurança para a autenticação dos usuários.
• Controles de segurança de rede.

Considere que o projeto está em execução pelas pessoas que têm as ideias e que essas informações vão, de forma digital, do notebook até o servidor da empresa, passando pela rede, e que nesse caminho as informações podem ser vazadas, alteradas ou destruídas (CID).

Você pode fazer um diagrama ou relacionar todos os elementos em uma lista, bem como fazer um breve resumo de cada caso ou situação presente nela. Por exemplo: uma situação que os diretores executivos precisam saber é que um cracker (agente de ameaça) pode explorar uma vulnerabilidade do sistema operacional do servidor (ativo) para contaminar o sistema com um exploit (técnica de ataque) e roubar (ameaça) as informações do novo composto químico (ativo). Apresente as situações envolvendo DoS, DDoS, ataque de força bruta e ataque do homem do meio. 

No final da apresentação, apresente uma sugestão de conjunto de controles de segurança, indicando quais situações cada um deles mitiga. A diretoria executiva, então, saberá que há diversos pontos de ataques e diferentes situações de segurança que podem ser resolvidos com a sua proposta de estratégia de segurança contendo um conjunto de controles.

Vamos, agora, explorar o mundo dos ataques que viraram notícias no mundo da segurança e que tanto afetam as empresas. É o entendimento dos assuntos desta seção que fará você compreender melhor o mercado de trabalho de segurança da informação, que sofre transformações constantes em linha com as evoluções dos ataques cibernéticos, dos novos negócios, das novas tecnologias e das novas ameaças.

conceito-chave

INCIDENTES DE SEGURANÇA

Em agosto de 2020, a bolsa de valores da Nova Zelândia sofreu paralisação de suas operações em virtude de ataques de negação de serviços por quatro dias (CPOM, 2020). Ataques de ransomware, que sequestram dados de servidores e usuários com a finalidade de resgates, continuam fazendo vítimas em todo o mundo (CRN, 2020).

Esses dois casos mostram que os ataques de crackers ou ataques cibernéticos continuam acontecendo e evoluindo numa alta velocidade, atingindo desde pequenos negócios até infraestruturas críticas de países.

O que há de comum entre os dois ataques citados é que eles podem ter sido causados pelos mesmos agentes de ameaça, os crackers, e resultaram em grandes impactos para as suas vítimas. Há, no entanto, um conjunto de elementos diferentes, que vai desde a ameaça até a técnica de ataque utilizada, a vulnerabilidade explorada, o princípio da segurança da informação atingido e o ponto de ataque ou ativo explorado, e são esses elementos que serão discutidos nesta seção, de modo que você possa entender a complexidade e as possibilidades de ataques existentes.

A Figura 1.2 mostra os elementos do risco. Agentes de ameaça exploram, com técnicas de ataques, as vulnerabilidades de ativos, e, quando isso ocorre, uma ameaça se torna um incidente de segurança. Como profissional de segurança, você deve conhecer esses elementos e, a partir do cálculo do risco (probabilidade e impacto), estabelecer uma estratégia de segurança com os controles de segurança a serem implementados. 

O CERT.br é o Grupo de Resposta a Incidentes de Segurança para a Internet no Brasil mantido pelo NIC.br, do Comitê Gestor da Internet no Brasil. Ele é responsável por tratar incidentes de segurança em computadores que envolvem redes conectadas à Internet no Brasil. A Figura 1.5 apresenta os incidentes de segurança reportados ao CERT.br de janeiro a junho de 2020, enquanto o Quadro 1.1 apresenta os ataques que fazem parte da estatística (CERT, 2020).

A partir desse entendimento da dinâmica dos ataques, você pode definir a melhor estratégia de segurança da informação, composta pelos elementos do risco para justificar as definições, e os controles de segurança a serem implementados.

OS PONTOS DE ATAQUES

Ativos são atacados pelos agentes de ameaça, que exploram as suas fraquezas ou pontos fracos ou vulnerabilidades. Em segurança da informação, a definição da estratégia de segurança é desafiadora justamente porque um cracker pode concretizar o seu ataque explorando uma única vulnerabilidade de um único componente ou ativo de um sistema. Por outro lado, você, como profissional de segurança, deve ser capaz de enxergar todas essas possibilidades, definir e implementar os controles de segurança que protegem a sua empresa. Isso deve ser feito de acordo com uma visão de riscos, ou seja, você deve definir os controles de acordo com as prioridades que resultam da avaliação da probabilidade e do impacto envolvido com cada ameaça existente.

E os pontos de ataques são muitos em um sistema (LIMA, 2017). Imagine que sua empresa disponibiliza um portal de fornecedores; nesse cenário, quais são os pontos de ataques que devem ser considerados? 

No caso do portal de fornecedores, há um conjunto de elementos ou ativos que fazem parte do sistema e que podem, assim, conter vulnerabilidades que são visadas pelos agentes de ameaça. Há, no portal de fornecedores, além da aplicação, o banco de dados, o middleware, o sistema operacional, o servidor, a comunicação ou a rede e os administradores que possuem o acesso a esses componentes. Todos eles representam pontos de ataques que podem levar à perda de confidencialidade, integridade ou disponibilidade.

Há, nesse exemplo, potenciais vulnerabilidades de hardware (servidor, disco rígido), software (aplicação, middleware, banco de dados, sistema operacional), protocolos (TCP/IP ou outro utilizado pela aplicação). Como tudo passa pela rede e a aplicação está na camada 7 da pilha de protocolos TCP/IP, o portal de fornecedores está sujeito às vulnerabilidades de rede e de hardware. 

Os pontos de ataques também devem ser avaliados de acordo com o estado da informação. A informação pode estar em processamento, também conhecido como Data-In-Use (DIU), ou em transmissão, conhecido como Data-In-Motion (DIM). Quando a informação está armazenada, o estado é conhecido como Data-At-Rest (DAR).

AGENTES DE AMEAÇA, AMEAÇAS E TÉCNICAS DE ATAQUES

Os agentes de ameaça são elementos importantes para o entendimento dos riscos e da segurança; os mais comuns são as pessoas, que possuem facetas diferentes, de acordo com o ambiente em avaliação. Por exemplo, os crackers, a depender do contexto, são pessoas maliciosas que atacam sistemas de informação, mas há outras pessoas que também podem comprometer a sua empresa. Será que um funcionário mal-intencionado também não pode atacar a sua empresa? Fraudadores também são pessoas que podem atacar a sua empresa, explorando vulnerabilidades de funcionários desatentos, por exemplo. E há, ainda, os agentes de ameaça naturais, que podem comprometer a disponibilidade da informação em caso de uma inundação de datacenter, por exemplo.

Um agente de ameaça bastante crítico, que pode ser considerado também uma ameaça, é o malware ou o código malicioso. Malwares são programas desenvolvidos com o objetivo de gerar alguma ação danosa ou maliciosa em um computador. Existem diversos tipos de malware e cada um age de uma maneira; vírus e worm são exemplos. 

Outro exemplo de malware é o cavalo de Troia, que o usuário instala em seu sistema imaginando que o software executa somente aquela função que ele buscava, mas que, na realidade, realiza ações maliciosas, como o keylogger, para capturar o que o usuário digita ou a gravação e o envio de arquivos para o cracker.

Outro tipo de malware é o Backdoor. Esse código malicioso possibilita que o invasor realize acessos remotos não autorizados ao sistema sem que, muitas vezes, seja percebido. O Backdoor explora vulnerabilidades no sistema, por exemplo, softwares ou firewall desatualizados, pela abertura de portas, por exemplo, servidor, do roteador e firewall.

Há ainda, casos em que backdoors são inseridos por fabricantes de programas de forma proposital, com a justificativa de administração do sistema (CERT.BR, 2020).

Um malware crítico é o ransomware; ele sequestra informações com o uso de criptografia. O criminoso cifra os arquivos ou o disco e exige o pagamento de um resgate em troca da chave criptográfica que decifra as informações originais.

Agora, vamos discutir outro tipo de ataque que afeta a disponibilidade da informação. A informação pode existir em diferentes estados (DIM, DIU, DAR), e entender o fluxo dela do servidor para o usuário é importante para identificar como a disponibilidade pode ser afetada.

De forma geral, uma informação que está em um banco de dados (DAR) pode ser acessada por um usuário, e o fluxo passa pela aplicação, que pode fazer um processamento (DIU) antes de ser enviado pela rede (DIM), mas não sem antes passar pelo sistema operacional, e esses são os pontos em que a informação pode ser atacada.

No caso da disponibilidade, o ataque mais tradicional é a negação de serviço ou Denial-of-Service (DoS), que pode ser direcionado para qualquer um desses pontos de ataque. Imagine uma quantidade tão grande de requisições que uma aplicação não é mais capaz de atender. Não precisa nem mesmo ser um ataque, já que, em muitas ocasiões, o acesso a determinado serviço pode se tornar impossível quando há muitos acessos simultâneos, como para a compra online de ingressos ou o envio de documentos obrigatórios no final do prazo por todos os brasileiros. Quando há uma coordenação para que as requisições sejam enviadas simultaneamente, a partir de diferentes pontos, o ataque é conhecido como Distributed Denial-of-Service (DDoS).

A Figura 1.6 apresenta um ataque DDoS, em que o atacante utiliza masters e daemons para o ataque distribuído e coordenado à vítima. Os masters são máquinas controladas diretamente pelo atacante, enquanto os daemons são controlados pelos masters. Os daemons realizam efetivamente o ataque à vítima.

Os ataques DoS e DDoS podem tirar proveito também do próprio protocolo TCP com a manipulação das mensagens de conexão envolvendo o SYN (OLIVEIRA, 2017).

Outro ataque importante é o ataque do homem do meio ou Man-In-The-Middle (MITM), que pode ser visto na Figura 1.7.

Além da injeção de tráfego, permite, ainda, driblar proteções geradas por protocolos de autenticação, comprometendo, assim, a confidencialidade (tendo acesso às informações em trânsito), a integridade (alterando ou injetando informações na conexão) e mesmo a disponibilidade (descartando informações que deixam de chegar ao seu destino) (NAKAMURA; GEUS, 2007). Malenkivich (2013) cita alguns exemplos de ataques do homem do meio ou MITM.

Outro problema relacionado à autenticação dos usuários é que uma senha pode ser adivinhada (password guessing) ou descoberta com o uso de técnicas como o ataque do dicionário, em que palavras de dicionários são testadas, ou o ataque de força bruta, em que diferentes combinações de caracteres são testadas em busca do acesso. Assim, um dos mecanismos de segurança que podem ser utilizados é a trava de tentativas de acessos após determinado número de tentativas inválidas de senhas.

CONTROLES DE SEGURANÇA E PROTEÇÃO

Já vimos os principais pontos de ataques e as relações entre agentes de ameaça, ameaças e as principais técnicas de ataques utilizadas. Agora, vamos complementar o entendimento com os controles de segurança e proteção, começando com a proteção à rede. Após uma discussão sobre firewall, Intrusion Prevention System (IPS) e antimalware, apresentaremos algumas das principais ferramentas de proteção de informações.

A proteção à rede considera que, no fluxo da informação, todo acesso passa pela rede, sendo este, portanto, um bom local para controles de segurança. De fato, uma boa estratégia de segurança deve levar em consideração a rede, com uma arquitetura de redes segura, considerando segmentação, uso de zonas desmilitarizadas (DeMilitarized Zone, DMZ), controle de acesso de rede e detecção de ataques (OLIVEIRA, 2017).

O controle de segurança mais famoso é o firewall, que é o responsável pelo controle de acesso de rede. Na realidade, o firewall começou funcionando na camada de rede e, atualmente, ele atua também na camada de aplicação, realizando a proteção contra ataques que vão além de ataques de rede, com o Web Application Firewall (WAF).

Um firewall tradicional funciona como um avaliador de pacotes de rede, filtrando as conexões de acordo com os cabeçalhos dos pacotes e as regras definidas. Dessa forma, um dos principais desafios do uso do firewall é a sua configuração, composta por regras que consideram, pelo menos, os diferentes segmentos de rede, os serviços disponibilizados pela empresa e os serviços que podem ser acessados pelos usuários internos. A complexidade dessas regras pode fazer com que conexões que não devem passar pelo firewall consigam o acesso a recursos.

Na Figura 1.8, o firewall é configurado com regras que possibilitam algumas conexões para a empresa e que são utilizadas pelos usuários, mas que também podem ser utilizadas por um cracker para os ataques.

Assim, é importante que você saiba que a existência de um firewall na empresa é uma das principais fontes da falsa sensação de segurança, já que o papel dele é filtrar tudo aquilo que não é permitido. É como se um muro protegesse a sua empresa, mas uma série de portas ou furos existisse nesse muro para permitir as conexões necessárias para a sua empresa. Com isso, ataques aos serviços não podem ser protegidos por um firewall tradicional, já que as conexões, inclusive dos ataques direcionados àquele serviço, passam livremente pelo controle, uma vez que as regras permitem.

Reforçando a importância da defesa em camadas, o controle complementar ideal para o firewall é o sistema de detecção de intrusão ou Intrusion Detection System (IDS). Esse controle de segurança analisa diferentes informações, como as conexões, os logs e os fluxos de dados para detectar ataques em andamento, em tempo real (Figura 1.9). 

O Intrusion Prevention System (IPS) é uma evolução do IDS, funcionando não somente com a detecção de ataques, mas também tomando ações automáticas de contenção dos ataques em tempo real. Há vários aspectos a serem considerados na tecnologia, como a possibilidade de ataques que visam justamente à paralisação dos acessos aos serviços da empresa com o envio de mensagens que ativam o IPS, que, acreditando haver um ataque em andamento, fecha as conexões e impossibilita o acesso legítimo.

Os avanços tecnológicos continuam e os sistemas de detecção e prevenção de intrusão atuais incorporam técnicas de inteligência artificial para diminuir a quantidade de falsos positivos (alarmes falsos) e falsos negativos (ataques não detectados).

Um ponto importante a considerar é que o contexto da segurança da informação continua a sua evolução com o uso de nuvem (LIMA, 2017) e os perímetros das empresas alterando-se rapidamente, de modo que o ambiente corporativo atual vai além do perímetro físico da empresa e alcança os parceiros de negócios e a residência dos funcionários. Aliados à transformação digital, aspectos de segurança ganham ainda mais importância; com isso, os controles de segurança são essenciais também nos próprios dispositivos, constituindo, assim, a segurança de ponta ou segurança de endpoint. Os próprios firewall, IPS e antimalware fazem parte do arsenal de defesa dos endpoints ou dispositivos, complementando a segurança de redes.

Antimalware busca códigos maliciosos e, basicamente, funciona com a verificação de assinaturas ou códigos que identificam um malware já identificado anteriormente e que possui vacina específica. Se, por um lado, os códigos maliciosos podem alterar seu próprio código ou gerar polimorfismo para não serem detectados pelo antimalware, do outro lado, o controle de segurança adota, cada vez mais, a inteligência artificial para detectar comportamentos anômalos que podem representar perigo para as empresas.

Outro conjunto de controles de segurança visa ao controle de acesso, tanto de usuários quanto de conteúdo. A autenticação é um dos principais controles de segurança ao validar a identidade dos usuários, a fim de que possam ter acesso aos recursos. Já vimos que o ataque de força bruta busca a descoberta da senha, que representa um fator de autenticação baseado em alguma coisa que o usuário sabe. Como há outros ataques, como a adivinhação de senhas ou o furto com o uso de malwares ou engenharia social, é importante considerar o uso de outros fatores de autenticação. Há possibilidade de usar códigos ou Tokens em dispositivos móveis, como os enviados via SMS (alguma coisa que o usuário possui) ou mesmo a biometria (alguma coisa que o usuário é). Quando dois fatores diferentes de autenticação, como a senha e o SMS, são utilizados, a autenticação é de duplo fator ou de múltiplo fator.

Para finalizar, o controle de conteúdo faz parte dos controles de segurança das empresas ao filtrar o acesso a conteúdos impróprios ou que levam à perda de produtividade de seus funcionários. Normalmente, atuando em conjunto com o firewall, o filtro de conteúdo pode ser baseado em endereços web ou em palavras-chave.

Chegamos, assim, ao final desta seção, em que você pôde se aprofundar em aspectos fundamentais para a concepção da melhor estratégia de segurança para a sua empresa. Você viu que diferentes pontos de ataque podem ser explorados pelos agentes de ameaça: da aplicação ao sistema operacional, passando pelo datacenter, pela rede e pelos próprios funcionários, entre outros. Você viu, ainda, que há uma série de técnicas de ataques que pode ser utilizada pelos agentes de ameaça e que essas técnicas são variadas, passando de ataques de rede até ataques de aplicação, existindo, ainda, ataques aos próprios controles de segurança, como os ataques que comprometem a autenticação dos usuários. Tudo isso é importante para que você defina os controles de segurança mais condizentes com a sua empresa.

Faça valer a pena

Referências

CERT.BR. Cartilha de Segurança para Internet. [s.d.]. Disponível em: https://cartilha.cert.br/malware/. Acesso em: 1 dez. 2020.

CERT.BR. Incidentes reportados ao CERT.br -- janeiro a junho de 2020. 2020. Disponível em: https://bit.ly/39KCd2a. Acesso em: 1 dez. 2020.

HOPE, A. New Zealand stock exchange shut down by DDoS cyber attack. 2020. Disponível em: https://bit.ly/2YIFRDk. Acesso em: 1 dez. 2020. 

HOUAISS, A. Grande dicionário Houaiss da Língua Portuguesa. 1 ed. Rio de Janeiro: Ed. Objetiva, 2001. 

LIMA, A. C. de. Segurança na computação em nuvem. São Paulo: Editora Senac, 2017.

MALENKOVICH, S. O que é um Ataque Man-in-the-Middle? 2013. Disponível em: https://bit.ly/2MUb5Vi. Acesso em: 1 dez. 2020.

NAKAMURA, E. T.; GEUS, P. L de. Segurança de redes em ambientes cooperativos. São Paulo: Editora Novatec, 2007.

NOVINSON, J. The 11 Biggest Ransomware Attacks Of 2020 (So Far). 2020. Disponível em: https://bit.ly/3at60vA. Acesso em: 1 dez. 2020.

OLHAR DIGITAL. Confira 5 dos maiores ataques DDoS dos últimos anos. 2020. Disponível em: https://bit.ly/3jfjiiZ. Acesso em: 1 dez. 2020.

OLIVEIRA, R. C. Q. Segurança em redes de computadores. São Paulo: Editora Senac, 2017.

SOUZA, R. de. Relatório aponta aumento no número de ataques DDoS no segundo trimestre de 2020. 2020. Disponível em: https://bit.ly/3rjlb0Y. Acesso em: 1 dez. 2020.

THE HACK. The hack. 2020. Disponível em: https://thehack.com.br. Acesso em: 1 dez. 2020.