Licensed to Edvando Franca - edvandofranca@gmail.

com

Segurança da
Informação: Segurança
em ambientes lógicos
Licensed to Edvando Franca - [email protected]

QUEIROZ, Z. C. L. S.
SST Segurança da Informação: Segurança em ambientes
lógicos / Zandra Cristina Lima Silva Queiroz
Ano: 2020
nº de p.: 10 páginas

Copyright © 2020. Delinea Tecnologia Educacional. Todos os direitos reservados.

Licensed to Edvando Franca - [email protected]

Segurança da Informação:
Segurança em ambientes lógicos

Apresentação
A segurança da informação diz respeito a cuidados também com os aspectos
lógicos, que necessitam de recursos para assegurar que invasores não tenham
acesso indevido às informações da organização. Nesta unidade vamos falar mais
sobre as formas de proteção lógica.

Os ambientes lógicos ultrapassam a estrutura física da empresa e se tornaram mais

comuns com o advento da internet, que permitiu a expansão das redes físicas para
uma rede mundial, denominada de ciberespaço.

Se imaginarmos as dificuldades em garantir a segurança da informação nos

ambientes físicos, as ameaças nos ambientes lógicos crescem exponencialmente,
pois, nesse ambiente, não temos como controlar, e, neste caso, nossas ações
voltam-se para a construção de barreiras contra ataques externos (invasões por
códigos maliciosos), além de uma vigilância interna constante a fim de evitar
brechas internas (erros, softwares desatualizados etc.).

Para compreensão dos itens que compõem a segurança lógica, trataremos sobre
segurança de: redes, de aplicativos, de sistema e do ambiente de usuário final, as
quais estudaremos a seguir.

Segurança de redes
A internet alterou completamente a forma de trabalho e comunicação das
organizações, assim como criou uma grande rede de negócios em que as redes
internas se comunicam com as dos fornecedores, clientes e parceiros, formando um
emaranhado de redes complexas, exigindo, assim, conhecimentos avançados para
garantir a segurança das informações que nela trafegam.

Para garantir a segurança das redes, um controle de acesso deve ser criado de
forma a proteger tanto o acesso não autorizado quanto a saída de informações
confidenciais. Os controles podem ser mais complexos quando envolvem redes
remotas, pois a variedade de sistemas existentes exige um conhecimento especial
para a segurança de cada um deles.

3
Licensed to Edvando Franca - [email protected]

Uma alternativa existente para delimitar e proteger as redes de ameaças é a

construção de barreiras virtuais, os firewalls. Por definição, um firewall (“barreira de
fogo”) é um equipamento de rede que atua como um ponto de acesso/controle entre
duas ou mais redes e desempenha o papel de controlar e analisar todo o tráfego de
entrada e saída das redes que trafegam por ele.

Existem modelos de firewall mais simples, que controlam somente a entrada e a

saída de informações, bem como os mais sofisticados, que possuem sistema de
registro detalhado de todos os dados acessados pelos usuários.

Quando falamos do uso de firewalls como barreira de segurança, podemos afirmar

que construímos um perímetro lógico de segurança, pois conseguimos delimitar os
limites de acesso separando a rede interna das demais. (BEAL, 2008)

Os firewalls podem ser implementados por meio de softwares ou equipamentos

especialmente projetados (hardware) e realizam um filtro dos pacotes de dados que
trafegam nessa interface com as ações de aceitação, rejeição e descarte. Os filtros
são criados por meio de políticas baseadas nos protocolos utilizados, endereços IP,
bem como portas até o nível da aplicação do pacote.

Os critérios para definição das políticas são baseados em dois tipos de listas: lista
negra ou lista branca. A lista negra trabalha com o conceito de que todos os pacotes
têm permissão de trafegar, exceto os que estão descritos na regra do firewall de
rejeição e descarte. No formato lista branca, todos os pacotes são descartados, com
exceção dos que estão descritos na regra.

Outro mecanismo utilizado para segurança em redes interligadas pela internet é o

uso do tunelamento. Essa técnica complementa o uso de firewalls, pois permite a
construção de uma via (túnel) segura para a comunicação entre duas redes ou um
computador remoto e um servidor. O túnel é construído por meio de criptografia dos
dados com o uso de chaves de encriptação e decriptação entre a origem e o destino.

Quando falamos de segurança de aplicativos em rede, o item 13.1.2 da norma

ISO 27002 dedica atenção especial aos mecanismos de segurança que devem
ser observados para a segurança tanto da rede interna, quanto da segurança na
comunicação com a rede externa.

Os serviços de rede incluem fornecimento de conexões, serviços de rede privados,

redes de valor agregado e soluções de segurança de rede gerenciadas, como
firewalls e sistemas de detecção de intrusos.

4
Licensed to Edvando Franca - [email protected]

Informações adicionais da norma ISSO 27002 – 13.1.2

Funcionalidades de segurança de serviços de rede:

a) Tecnologias aplicadas b) parâmetros técnicos c) procedimentos para o
para segurança de serviços requeridos para uma uso de serviços de rede
de redes como autenticação, conexão segura com os para restringir o acesso
encriptação e controles de serviços de rede de acordo a serviços de rede ou
conexões de rede com as regras de conexão aplicações
de redes e segurança

Fonte: ABNT (2005)

As redes wireless também são um desafio para a segurança de redes, pois

também expandem o perímetro de rede da empresa e utilizam o ar como meio de
transmissão, o que permite facilmente a interceptação de dados caso não esteja
devidamente protegida.

Rede wireless

Fonte: Plataforma Deduca (2017).

Segurança de aplicativos
A segurança de softwares refere-se ao uso de programas (aplicativos) para fins de
garantir a segurança das informações e complementar as soluções apresentadas
anteriormente (firewalls e tunelamento). Em alguns casos, são nativos do sistema
operacional ou acrescentados a ele.

5
Licensed to Edvando Franca - [email protected]

Os softwares de antivírus são exemplo de programas especializados em resguardar

as informações e que atuam para impedir ataques de códigos maliciosos (vírus) nos
arquivos armazenados nos computadores e servidores.

Curiosidade
Vírus de computador: são programas (softwares) que, quando
executados, possuem função de danificar total ou parcialmente
as informações armazenadas, tais como: apagar ou modificar
arquivos, formatar discos, dentre outros.

O vírus de computador age da mesma forma que um vírus biológico; ao infectar um

computador, o utiliza para espalhar-se para outros computadores e, em alguns casos,
fica inativo por um período de tempo, esperando encontrar alguma vulnerabilidade.

São quatro fases de execução: dormente (fica hospedado aguardando um

momento para execução e não ser detectado), em seguida, propagação (momento
que contamina outros arquivos/equipamentos), ativação (fase que se instala e
se prepara), para iniciar a fase de ação (em que executa a ação maliciosa para
a qual ele foi criado, por exemplo, eliminar arquivos essenciais do disco rígido).
(GOODRICH; TAMASSIA, 2013)

Segundo Beal (2008), a segurança de aplicativos deve proporcionar mecanismos

de controle que garantam a validação de entrada e de saída de dados, controle do
processamento interno e controle da transmissão de mensagens entre o aplicativo e
o meio externo.

Dessa forma, é possível validar a comunicação em todos os níveis de acesso do

aplicativo, prevenindo falhas de transmissão.

Uma recomendação importante quanto ao controle de softwares é que a equipe de

segurança da informação realize um inventário dos aplicativos válidos por usuário,
desse modo previne-se o acesso não autorizado e a execução indevida. Assim sendo,
uma rotina periódica de avaliação e inspeção poderá suprimir essa vulnerabilidade.

6
Licensed to Edvando Franca - [email protected]

Comunicações eletrônicas
Muito comuns nos ambientes organizacionais, as comunicações eletrônicas são
um desafio para a segurança. Devido à infinidade de aplicativos, é preciso definir
padrões de utilização e definição clara do modo de uso.

Apesar de toda infraestrutura disponível para segregação de redes, firewalls e

controles de acesso, a segurança da informação não alcança o nível de segurança
desejado para o envio e recepção de e-mails. Tal comunicação está vulnerável ao
conhecimento do usuário que recebe e envia os e-mails, visto que um simples anexo
com código malicioso poderá comprometer toda a rede de dados.

E-mail

Fonte: Plataforma Deduca (2017).

Os sistemas de e-mail utilizam diversos protocolos para troca de mensagens,

sendo o Simple Mail Transfer Protocol (SMTP) o mais conhecido, que se baseia em
texto. Essa simplicidade converte-se em uma grande ameaça, pois esse nível de
transmissão não garante a autenticidade e a integridade da mensagem fim a fim.

7
Licensed to Edvando Franca - [email protected]

Nesse sentido,

A segurança de rede não é suficiente, por exemplo, para impedir a

adulteração de uma mensagem de e-mail enquanto ela é transportada
passando por diversas sessões de rede diferentes, e sendo armazenada
em um grande número de sistemas desconhecidos quando em trânsito:
uma adulteração da mensagem poderia ocorrer em vários pontos da
transmissão, como num gateway que realiza uma função de armazenar
e reenviar o e-mail, não sendo possível atribuir um grau de confiança
adequado a esses sistemas intermediários. (BEAL, 2008, p. 99)

Devido ao grau de exposição a falhas de segurança dos sistemas de e-mail, é

fundamental que a política de segurança da empresa atribua responsabilidades
aos funcionários quanto ao uso consciente do e-mail referente ao conteúdo, forma
de envio, anexos permitidos e uso estritamente como ferramenta de trabalho. Tais
diretrizes estão contidas na norma ISO 27002, item 13.2.1.

Ainda falando sobre segurança de aplicativos, outro meio comum e que cresce
a cada dia é o comércio eletrônico, pois requer os mesmos cuidados técnicos
descritos anteriormente e uma atenção especial ao fator humano, como roubo de
dados bancários, cartões de crédito e dados pessoais. Algumas recomendações
são indicadas aos usuários para garantir a sua segurança ao realizar compras
virtualmente, a saber:

• uso de softwares antivírus atualizados nos computadores de acesso ao site;

• uso de firewall nos computadores de acesso ao site;
• verificar se o site está hospedado dentro de páginas do tipo HTTPS;
• verificar se aparece o cadeado no site (símbolo que representa o uso de certi-
ficado digital pelo site).

Saiba mais
Pesquisa revela que brasileiros estão mais seguros em comprar
pela internet. De acordo com a pesquisa realizada pelo Serviço
de Proteção ao Crédito (SPC) e pela Confederação Nacional de
Dirigentes Lojistas (CNDL), 9 em cada 10 consumidores, estão
satisfeitos com esse tipo de compra.

8
Licensed to Edvando Franca - [email protected]

Fechamento
Ao final desta unidade, temos claro que as redes de telecomunicação e aplicações
precisam ser protegidas para que as ações e os dados do usuário aconteçam
sempre de forma segura, protegendo o que é importante e privado.

9
Licensed to Edvando Franca - [email protected]

Referências
ABNT. ISO/IEC 27002 – Tecnologia da informação – Técnicas de segurança –
Código de prática para a gestão de segurança da informação. 2005.

BEAL, A. Segurança da informação: princípios e melhores práticas para a proteção

dos ativos de informação nas organizações. São Paulo: Atlas, 2008.

GOODRICH, M. T.; TAMASSIA, R. Introdução à segurança de computadores. Porto

Alegre: Bookman, 2013.

10