7. Mecanismos de segurança

7.1. Política de segurança

A política de segurança define os direitos e as responsabilidades de cada um em relação à segurança dos recursos computacionais que utiliza e as penalidades às quais está sujeito, caso não a cumpra.

É considerada como um importante mecanismo de segurança, tanto para as instituições como para os usuários, pois com ela é possível deixar claro o comportamento esperado de cada um. Desta forma, casos de mau comportamento, que estejam previstos na política, podem ser tratados de forma adequada pelas partes envolvidas.

A política de segurança pode conter outras políticas específicas, como:

Política de senhas: define as regras sobre o uso de senhas nos recursos computacionais, como tamanho mínimo e máximo, regra de formação e periodicidade de troca.

Política de backup : define as regras sobre a realização de cópias de segurança, como tipo de mídia utilizada, período de retenção e frequência de execução.

Política de privacidade: define como são tratadas as informações pessoais, sejam elas de clientes, usuários ou funcionários.

Política de confidencialidade: define como são tratadas as informações institucionais, ou seja, se elas podem ser repassadas a terceiros.

Política de uso aceitável (PUA) ou A cceptable U se P olicy (AUP): também chamada de "Termo de Uso" ou "Termo de Serviço", define as regras de uso dos recursos computacionais, os direitos e as responsabilidades de quem os utiliza e as situações que são consideradas abusivas.

A política de uso aceitável costuma ser disponibilizada na página Web e/ou ser apresentada no momento em que a pessoa passa a ter acesso aos recursos. Talvez você já tenha se deparado com estas políticas, por exemplo, ao ser admitido em uma empresa, ao contratar um provedor de acesso e ao utilizar serviços disponibilizados por meio da Internet, como redes sociais e Webmail .

Algumas situações que geralmente são consideradas de uso abusivo (não aceitável) são:

• compartilhamento de senhas;
• divulgação de informações confidenciais;
• envio de boatos e mensagens contendo spam e códigos maliciosos;
• envio de mensagens com objetivo de difamar, caluniar ou ameaçar alguém;
• cópia e distribuição não autorizada de material protegido por direitos autorais;
• ataques a outros computadores;
• comprometimento de computadores ou redes.

O desrespeito à política de segurança ou à política de uso aceitável de uma instituição pode ser considerado como um incidente de segurança e, dependendo das circunstâncias, ser motivo para encerramento de contrato (de trabalho, de prestação de serviços, etc.).

Cuidados a serem tomados:

• procure estar ciente da política de segurança da empresa onde você trabalha e dos serviços que você utiliza (como Webmail e redes sociais);
• fique atento às mudanças que possam ocorrer nas políticas de uso e de privacidade dos serviços que você utiliza, principalmente aquelas relacionadas ao tratamento de dados pessoais, para não ser surpreendido com alterações que possam comprometer a sua privacidade;
• fique atento à política de confidencialidade da empresa onde você trabalha e seja cuidadoso ao divulgar informações profissionais, principalmente em blogs e redes sociais (mais detalhes na Seção 11.1 do Capítulo Privacidade );
• notifique sempre que se deparar com uma atitude considerada abusiva (mais detalhes na Seção 7.2 ).

7.2. Notificação de incidentes e abusos

Um incidente de segurança pode ser definido como qualquer evento adverso, confirmado ou sob suspeita, relacionado à segurança de sistemas de computação ou de redes de computadores.

Alguns exemplos de incidentes de segurança são: tentativa de uso ou acesso não autorizado a sistemas ou dados, tentativa de tornar serviços indisponíveis, modificação em sistemas (sem o conhecimento ou consentimento prévio dos donos) e o desrespeito à política de segurança ou à política de uso aceitável de uma instituição.

É muito importante que você notifique sempre que se deparar com uma atitude que considere abusiva ou com um incidente de segurança. De modo geral, a lista de pessoas/entidades a serem notificadas inclui: os responsáveis pelo computador que originou a atividade, os responsáveis pela rede que originou o incidente (incluindo o grupo de segurança e abusos, se existir um para aquela rede) e o grupo de segurança e abusos da rede a qual você está conectado (seja um provedor, empresa, universidade ou outro tipo de instituição).

Ao notificar um incidente, além de se proteger e contribuir para a segurança global da Internet, também ajudará outras pessoas a detectarem problemas, como computadores infectados, falhas de configuração e violações em políticas de segurança ou de uso aceitável de recursos.

Para encontrar os responsáveis por uma rede você deve consultar um "servidor de WHOIS", onde são mantidas as bases de dados sobre os responsáveis por cada bloco de números IP existentes. Para IPs alocados ao Brasil você pode consultar o servidor em http://registro.br/cgi-bin/whois/ , para os demais países você pode acessar o site http://www.geektools.com/whois.php que aceita consultas referentes a qualquer número IP e as redireciona para os servidores apropriados .

É importante que você mantenha o CERT.br na cópia das suas notificações , pois isto contribuirá para as atividades deste grupo e permitirá que:

• os dados relativos a vários incidentes sejam correlacionados, ataques coordenados sejam identificados e novos tipos de ataques sejam descobertos;
• ações corretivas possam ser organizadas em cooperação com outras instituições;
• sejam geradas estatísticas que reflitam os incidentes ocorridos na Internet brasileira;
• sejam geradas estatísticas sobre a incidência e origem de spams no Brasil;
• sejam escritos documentos, como recomendações e manuais, direcionados às necessidades dos usuários da Internet no Brasil.

A notificação deve incluir a maior quantidade de informações possível, tais como:

• logs completos;
• data, horário e fuso horário ( time zone ) dos logs ou da atividade que está sendo notificada;
• o e-mail completo, incluindo cabeçalhos e conteúdo (no caso de notificação de spam , trojan , phishing ou outras atividades maliciosas recebidas por e-mail );
• dados completos do incidente ou qualquer outra informação que tenha sido utilizada para identificar a atividade.

Outras informações e respostas para as dúvidas mais comuns referentes ao processo de notificação de incidentes podem ser encontradas na lista de questões mais frequentes (FAQ) mantida pelo CERT.br e disponível em http://www.cert.br/docs/faq1.html .

7.3. Contas e senhas

Contas e senhas são atualmente o mecanismo de autenticação mais usado para o controle de acesso a sites e serviços oferecidos pela Internet.

É por meio das suas contas e senhas que os sistemas conseguem saber quem você é e definir as ações que você pode realizar.

Dicas de elaboração, alteração e gerenciamento, assim como os cuidados que você deve ter ao usar suas contas e senhas, são apresentados no Capítulo Contas e senhas .

7.4. Criptografia

Usando criptografia você pode proteger seus dados contra acessos indevidos, tanto os que trafegam pela Internet como os já gravados em seu computador.

Detalhes sobre como a criptografia pode contribuir para manter a segurança dos seus dados e os conceitos de certificados e assinaturas digitais são apresentados no Capítulo Criptografia .

Detalhes sobre como a criptografia pode ser usada para garantir a conexão segura aos sites na Internet são apresentados na Seção 10.1 do Capítulo Uso seguro da Internet .

7.5. Cópias de segurança ( Backups )

Você já imaginou o que aconteceria se, de uma hora para outra, perdesse alguns ou até mesmo todos os dados armazenados em seu computador? E se fossem todas as suas fotos ou os dados armazenados em seus dispositivos móveis? E se, ao enviar seu computador para manutenção, você o recebesse de volta com o disco rígido formatado? Para evitar que estas situações aconteçam, é necessário que você aja de forma preventiva e realize cópias de segurança ( backups ).

Muitas pessoas, infelizmente, só percebem a importância de ter backups quando já é tarde demais, ou seja, quando os dados já foram perdidos e não se pode fazer mais nada para recuperá-los. Backups são extremamente importantes, pois permitem:

Proteção de dados: você pode preservar seus dados para que sejam recuperados em situações como falha de disco rígido, atualização mal-sucedida do sistema operacional, exclusão ou substituição acidental de arquivos, ação de códigos maliciosos/atacantes e furto/perda de dispositivos.

Recuperação de versões: você pode recuperar uma versão antiga de um arquivo alterado, como uma parte excluída de um texto editado ou a imagem original de uma foto manipulada.

Arquivamento: você pode copiar ou mover dados que deseja ou que precisa guardar, mas que não são necessários no seu dia a dia e que raramente são alterados.

Muitos sistemas operacionais já possuem ferramentas de backup e recuperação integradas e também há a opção de instalar programas externos. Na maioria dos casos, ao usar estas ferramentas, basta que você tome algumas decisões, como:

Onde gravar os backups : você pode usar mídias (como CD, DVD, pen-drive , disco de Blu-ray e disco rígido interno ou externo) ou armazená-los remotamente ( online ou off-site ). A escolha depende do programa de backup que está sendo usado e de questões como capacidade de armazenamento, custo e confiabilidade. Um CD, DVD ou Blu-ray pode bastar para pequenas quantidades de dados, um pen-drive pode ser indicado para dados constantemente modificados, ao passo que um disco rígido pode ser usado para grandes volumes que devam perdurar.

Quais arquivos copiar: apenas arquivos confiáveis e que tenham importância para você devem ser copiados. Arquivos de programas que podem ser reinstalados, geralmente, não precisam ser copiados. Fazer cópia de arquivos desnecessários pode ocupar espaço inutilmente e dificultar a localização dos demais dados. Muitos programas de backup já possuem listas de arquivos e diretórios recomendados, você pode optar por aceitá-las ou criar suas próprias listas.

Com que periodicidade devo realizá-los: depende da frequência com que você cria ou modifica arquivos. Arquivos frequentemente modificados podem ser copiados diariamente ao passo que aqueles pouco alterados podem ser copiados semanalmente ou mensalmente.

Cuidados a serem tomados:

• mantenha seus backups atualizados, de acordo com a frequência de alteração dos dados;
• mantenha seus backups em locais seguros, bem condicionados (longe de poeira, muito calor ou umidade) e com acesso restrito (apenas de pessoas autorizadas);
• configure para que seus backups sejam realizados automaticamente e certifique-se de que eles estejam realmente sendo feitos ( backups manuais estão mais propensos a erros e esquecimento);
• além dos backups periódicos, sempre faça backups antes de efetuar grandes alterações no sistema (adição de hardware , atualização do sistema operacional, etc.) e de enviar o computador para manutenção;
• armazene dados sensíveis em formato criptografado (mais detalhes no Capítulo Criptografia );
• mantenha backups redundantes, ou seja, várias cópias, para evitar perder seus dados em um incêndio, inundação, furto ou pelo uso de mídias defeituosas (você pode escolher pelo menos duas das seguintes possibilidades: sua casa, seu escritório e um repositório remoto);
• cuidado com mídias obsoletas (disquetes já foram muito usados para backups , porém, atualmente, acessá-los têm-se se tornado cada vez mais complicado pela dificuldade em encontrar computadores com leitores deste tipo de mídia e pela degradação natural do material);
• assegure-se de conseguir recuperar seus backups (a realização de testes periódicos pode evitar a péssima surpresa de descobrir que os dados estão corrompidos, em formato obsoleto ou que você não possui mais o programa de recuperação);
• mantenha seus backups organizados e identificados (você pode etiquetá-los ou nomeá-los com informações que facilitem a localização, como tipo do dado armazenado e data de gravação);
• copie dados que você considere importantes e evite aqueles que podem ser obtidos de fontes externas confiáveis, como os referentes ao sistema operacional ou aos programas instalados;
• nunca recupere um backup se desconfiar que ele contém dados não confiáveis.

Ao utilizar serviços de backup online há alguns cuidados adicionais que você deve tomar, como:

• observe a disponibilidade do serviço e procure escolher um com poucas interrupções (alta disponibilidade);
• observe o tempo estimado de transmissão de dados (tanto para realização do backup quanto para recuperação dos dados). Dependendo da banda disponível e da quantidade de dados a ser copiada (ou recuperada), o backup online pode se tornar impraticável;
• seja seletivo ao escolher o serviço. Observe critérios como suporte, tempo no mercado (há quanto tempo o serviço é oferecido), a opinião dos demais usuários e outras referências que você possa ter;
• leve em consideração o tempo que seus arquivos são mantidos, o espaço de armazenagem e a política de privacidade e de segurança;
• procure aqueles nos quais seus dados trafeguem pela rede de forma criptografada (caso não haja esta possibilidade, procure você mesmo criptografar os dados antes de enviá-los).

7.6. Registro de eventos ( Logs )

Log é o registro de atividade gerado por programas e serviços de um computador. Ele pode ficar armazenado em arquivos, na memória do computador ou em bases de dados. A partir da análise desta informação você pode ser capaz de:

• detectar o uso indevido do seu computador, como um usuário tentando acessar arquivos de outros usuários, ou alterar arquivos do sistema;
• detectar um ataque, como de força bruta ou a exploração de alguma vulnerabilidade;
• rastrear (auditar) as ações executadas por um usuário no seu computador, como programas utilizados, comandos executados e tempo de uso do sistema;
• detectar problemas de hardware ou nos programas e serviços instalados no computador.

Baseado nisto, você pode tomar medidas preventivas para tentar evitar que um problema maior ocorra ou, caso não seja possível, tentar reduzir os danos. Alguns exemplos são:

• se o disco rígido do seu computador estiver apresentando mensagens de erro, você pode se antecipar, fazer backup dos dados nele contidos e no momento oportuno enviá-lo para manutenção;
• se um atacante estiver tentando explorar uma vulnerabilidade em seu computador, você pode verificar se as medidas preventivas já foram aplicadas e tentar evitar que o ataque ocorra;
• se não for possível evitar um ataque, os logs podem permitir que as ações executadas pelo atacante sejam rastreadas, como arquivos alterados e as informações acessadas.

Logs são essenciais para notificação de incidentes, pois permitem que diversas informações importantes sejam detectadas, como por exemplo: a data e o horário em que uma determinada atividade ocorreu, o fuso horário do log , o endereço IP de origem da atividade, as portas envolvidas e o protocolo utilizado no ataque (TCP, UDP, ICMP, etc.), os dados completos que foram enviados para o computador ou rede e o resultado da atividade (se ela ocorreu com sucesso ou não).

Cuidados a serem tomados:

• mantenha o seu computador com o horário correto (o horário em que o log é registrado é usado na correlação de incidentes de segurança e, por este motivo, deve estar sincronizado );
• verifique o espaço em disco livre em seu computador ( logs podem ocupar bastante espaço em disco, dependendo das configurações feitas);
• evite registrar dados desnecessários, pois isto, além de poder ocupar espaço excessivo no disco, também pode degradar o desempenho do computador, comprometer a execução de tarefas básicas e dificultar a localização de informações de interesse;
• fique atento e desconfie caso perceba que os logs do seu computador foram apagados ou que deixaram de ser gerados por um período (muitos atacantes, na tentativa de esconder as ações executadas, desabilitam os serviços de logs e apagam os registros relacionados ao ataque ou, até mesmo, os próprios arquivos de logs );
• restrinja o acesso aos arquivos de logs . Não é necessário que todos os usuários tenham acesso às informações contidas nos logs . Por isto, sempre que possível, permita que apenas o usuário administrador tenha acesso a estes dados.

7.7. Ferramentas antimalware

Ferramentas antimalware são aquelas que procuram detectar e, então, anular ou remover os códigos maliciosos de um computador. Antivírus, antispyware , antirootkit e antitrojan são exemplos de ferramentas deste tipo.

Ainda que existam ferramentas específicas para os diferentes tipos de códigos maliciosos, muitas vezes é difícil delimitar a área de atuação de cada uma delas, pois a definição do tipo de código malicioso depende de cada fabricante e muitos códigos mesclam as características dos demais tipos (mais detalhes no Capítulo Códigos Maliciosos ( Malware ) ).

Entre as diferentes ferramentas existentes, a que engloba a maior quantidade de funcionalidades é o antivírus. Apesar de inicialmente eles terem sido criados para atuar especificamente sobre vírus, com o passar do tempo, passaram também a englobar as funcionalidades dos demais programas, fazendo com que alguns deles caíssem em desuso.

Há diversos tipos de programas antimalware que diferem entre si das seguintes formas:

Método de detecção: assinatura (uma lista de assinaturas é usada à procura de padrões), heurística (baseia-se nas estruturas, instruções e características que o código malicioso possui) e comportamento (baseia-se no comportamento apresentado pelo código malicioso quando executado) são alguns dos métodos mais comuns.

Forma de obtenção: podem ser gratuitos (quando livremente obtidos na Internet e usados por prazo indeterminado), experimentais ( trial , usados livremente por um prazo predeterminado) e pagos (exigem que uma licença seja adquirida). Um mesmo fabricante pode disponibilizar mais de um tipo de programa, sendo que a versão gratuita costuma possuir funcionalidades básicas ao passo que a versão paga possui funcionalidades extras, além de poder contar com suporte.

Execução: podem ser localmente instalados no computador ou executados sob demanda por intermédio do navegador Web . Também podem ser online , quando enviados para serem executados em servidores remotos, por um ou mais programas.

Funcionalidades apresentadas: além das funções básicas (detectar, anular e remover códigos maliciosos) também podem apresentar outras funcionalidade integradas, como a possibilidade de geração de discos de emergência e firewall pessoal (mais detalhes na Seção 7.8 ).

Alguns exemplos de antimalware online são:

• Anubis - Analyzing Unknown Binaries
  http://anubis.iseclab.org/
• Norman Sandbox - SandBox Information Center
  http://www.norman.com/security_center/security_tools/
• ThreatExpert - Automated Threat Analysis
  http://www.threatexpert.com/
• VirusTotal - Free Online Virus, Malware and URL Scanner
  https://www.virustotal.com/

Para escolher o antimalware que melhor se adapta à sua necessidade é importante levar em conta o uso que você faz e as características de cada versão. Observe que não há relação entre o custo e a eficiência de um programa, pois há versões gratuitas que apresentam mais funcionalidades que versões pagas de outros fabricantes. Alguns sites apresentam comparativos entre os programas de diferentes fabricantes que podem guiá-lo na escolha do qual melhor lhe atende, tais como:

• AV-Comparatives - Independent Tests of Anti-Virus Software
  http://www.av-comparatives.org/
• Virus Bulletin - Independent Malware Advice
  http://www.virusbtn.com/

Cuidados a serem tomados:

• tenha um antimalware instalado em seu computador (programas online , apesar de bastante úteis, exigem que seu computador esteja conectado à Internet para que funcionem corretamente e podem conter funcionalidades reduzidas);
• utilize programas online quando suspeitar que o antimalware local esteja desabilitado/comprometido ou quando necessitar de uma segunda opinião (quiser confirmar o estado de um arquivo que já foi verificado pelo antimalware local);
• configure o antimalware para verificar toda e qualquer extensão de arquivo;
• configure o antimalware para verificar automaticamente arquivos anexados aos e-mails e obtidos pela Internet;
• configure o antimalware para verificar automaticamente os discos rígidos e as unidades removíveis (como pen-drives , CDs, DVDs e discos externos);
• mantenha o arquivo de assinaturas sempre atualizado (configure o antimalware para atualizá-lo automaticamente pela rede, de preferência diariamente);
• mantenha o antimalware sempre atualizado, com a versão mais recente e com todas as atualizações existentes aplicadas;
• evite executar simultaneamente diferentes programas antimalware (eles podem entrar em conflito, afetar o desempenho do computador e interferir na capacidade de detecção um do outro);
• crie um disco de emergência e o utilize-o quando desconfiar que o antimalware instalado está desabilitado/comprometido ou que o comportamento do computador está estranho (mais lento, gravando ou lendo o disco rígido com muita frequência, etc.).

7.8. Firewall pessoal

Firewall pessoal é um tipo específico de firewall que é utilizado para proteger um computador contra acessos não autorizados vindos da Internet.

Os programas antimalware , apesar da grande quantidade de funcionalidades, não são capazes de impedir que um atacante tente explorar, via rede, alguma vulnerabilidade existente em seu computador e nem de evitar o acesso não autorizado, caso haja algum backdoor nele instalado. Devido a isto, além da instalação do antimalware , é necessário que você utilize um firewall pessoal.

Quando bem configurado, o firewall pessoal pode ser capaz de:

• registrar as tentativas de acesso aos serviços habilitados no seu computador;
• bloquear o envio para terceiros de informações coletadas por invasores e códigos maliciosos;
• bloquear as tentativas de invasão e de exploração de vulnerabilidades do seu computador e possibilitar a identificação das origens destas tentativas;
• analisar continuamente o conteúdo das conexões, filtrando diversos tipos de códigos maliciosos e barrando a comunicação entre um invasor e um código malicioso já instalado;
• evitar que um código malicioso já instalado seja capaz de se propagar, impedindo que vulnerabilidades em outros computadores sejam exploradas.

Alguns sistemas operacionais possuem firewall pessoal integrado. Caso o sistema instalado em seu computador não possua um ou você não queira usá-lo, há diversas opções disponíveis (pagas ou gratuitas). Você também pode optar por um antimalware com funcionalidades de firewall pessoal integradas.

Cuidados a serem tomados:

• antes de obter um firewall pessoal, verifique a procedência e certifique-se de que o fabricante é confiável;
• certifique-se de que o firewall instalado esteja ativo (estado: ativado);
• configure seu firewall para registrar a maior quantidade de informações possíveis (desta forma, é possível detectar tentativas de invasão ou rastrear as conexões de um invasor).

As configurações do firewall dependem de cada fabricante. De forma geral, a mais indicada é:

• liberar todo tráfego de saída do seu computador (ou seja, permitir que seu computador acesse outros computadores e serviços) e;
• bloquear todo tráfego de entrada ao seu computador (ou seja, impedir que seu computador seja acessado por outros computadores e serviços) e liberar as conexões conforme necessário, de acordo com os programas usados.

7.9. Filtro antispam

Os filtros antispam já vem integrado à maioria dos Webmails e programas leitores de e-mails e permite separar os e-mails desejados dos indesejados ( spams ). A maioria dos filtros passa por um período inicial de treinamento, no qual o usuário seleciona manualmente as mensagens consideradas spam e, com base nas classificações, o filtro vai "aprendendo" a distinguir as mensagens.

Mais informações sobre filtros antispam e cuidados a serem tomados podem ser encontradas em http://antispam.br/ . Mais detalhes sobre outras formas de prevenção contra spam são apresentadas no Capítulo Spam .

7.10. Outros mecanismos

Filtro antiphishing : já vem integrado à maioria dos navegadores Web e serve para alertar os usuários quando uma página suspeita de ser falsa é acessada. O usuário pode então decidir se quer acessá-la mesmo assim ou navegar para outra página.

Filtro de janelas de pop-up : já vem integrado à maioria dos navegadores Web e permite que você controle a exibição de janelas de pop-up . Você pode optar por bloquear, liberar totalmente ou permitir apenas para sites específicos.

Filtro de códigos móveis: filtros, como o NoScript, permitem que você controle a execução de códigos Java e JavaScript . Você pode decidir quando permitir a execução destes códigos e se eles serão executados temporariamente ou permanentemente - http://noscript.net/

Filtro de bloqueio de propagandas: filtros, como o Adblock, permitem o bloqueio de sites conhecidos por apresentarem propagandas - http://adblockplus.org/

Teste de reputação de site : complementos, como o WOT ( Web of Trust ), permitem determinar a reputação dos sites que você acessa. Por meio de um esquema de cores, ele indica a reputação do site , como: verde escuro (excelente), verde claro (boa), amarelo (insatisfatória), vermelho claro (má) e vermelho escuro (péssima) - http://www.mywot.com/

Programa para verificação de vulnerabilidades: programas, como o PSI ( Secunia Personal Software Inspector ), permitem verificar vulnerabilidades nos programas instalados em seu computador e determinar quais devem ser atualizados -
http://secunia.com/vulnerability_scanning/personal/

Sites e complementos para expansão de links curtos: complementos ou sites específicos, como o LongURL, permitem verificar qual é o link de destino de um link curto. Desta forma, você pode verificar a URL de destino, sem que para isto necessite acessar o link curto -
http://longurl.org/

Anonymizer : sites para navegação anônima, conhecidos como anonymizers , intermediam o envio e recebimento de informações entre o seu navegador Web e o site que você deseja visitar. Desta forma, o seu navegador não recebe cookies e as informações por ele fornecidas não são repassadas para o site visitado - http://www.anonymizer.com/