Ameaças e vulnerabilidades de software
Pra escrever mais rápido, eu troquei "vulnerabilidades" pra VULs em algumas partes, então por favor, não se confunda.
Usamos softwares pra tudo e temos que ter cuidado com eles pois são importantes. Exemplo: Um usuário não checa a confiabilidade de uma loja online e faz uma compra com seu cartão de crédito, isso já é um problema pois os donos da loja podem ser criminosos. Mas, imagine que eles são honestos, só que não usam sistemas como garantia de proteção, muitas coisas ruins podem acontecer. O cybercriminoso pode descobrir falhas e aplicar golpes em todos.
Cybercriminosos buscam defeitos no software e brechas pra atacar, esses defeitos são as vulnerabilidades, pontos fracos no sistema que levam a ameaças.
Ameaça na segurança da informação é algo que possa explorar uma vul pra obter dados de forma indevida ou prejudicar o sistema. Como tentativas de ataque, roubos, acidentes, incêndios, perdas e corrupções de dados. Pra reduzir vuls e riscos de ameaça, tem vários termos e normas.
Vulnerabilidade
Fragilidades de um sistema, sistema num sentido amplo.
Exemplo: Um site que deixa você colocar uma senha muito fácil como senha é uma vulnerabilidade. Do mesmo modo, um site que SÓ deixa você escrever senhas muito complexas é outra vulnerabilidade, dificultando muito o acesso e fazendo os usuários anotar a senha em papeis.
Vulnerabilidades geram riscos, esses riscos são as ameaças. Pra parar ameaças, temos que identificar as vuls primeiro. Nem sempre a vul é erro de programação, é qualquer coisa que gere um risco.
Mesmo com uma proteção na vul, mais ameaças podem surgir, não só uma, tem que ficar super ligado e tentar impedir todas ou o máximo possível. Por exemplo: um incêndio, pensamos em um sistema anti-incêndio, com sprinklers, detectores de fumaça, extintores de incêndio, treinamentos, etc. São controles que envolvem equipamentos, pessoas e processos.
Tem que se avaliar e analisar todos os riscos, levando em consideração em conta até a região. Incêndio, enchente, energia elétrica, tudo. Depois da análise, vemos os valores e os ativos. Será que o custo de proteger esse ativo é maior do que o valor dele? Tem mesmo que usar tudo pra proteger esse um ativo? Pense como o seguro de um carro: se for algo simples, só concertar que sai mais barato. Se for algo mais sério, ai sim você aciona o seguro.
TIC é uma sigla importante. A Tecnologia da Informação e Comunicação é um conjunto de recursos tecnológicos que obtêm, processam e geram informação tornadas acessíveis por meio de redes de comunicação.
TIC inclui tudo que envolve informação (dados, sistemas, redes) e comunicação (internet, telefonia, redes móveis, etc.). No contexto da segurança da informação, proteger a TIC é proteger toda a base de funcionamento digital de uma organização.
UMA TANGENTE DO CURSO, É UMA TANGENTE MAS É IMPORTANTE
Uma empresa tem seu valor calculado por seus ativos. Ativos podem ser tangíveis ou intangíveis.
- TANGÍVEIS: Podemos medir o valor. Podem ser divididos em mais 3 categorias:
- LÓGICOS: Informação, softwares e algoritmos
- FÍSICOS: Equipamentos e infraestrutura. Coisas que conseguimos tocar
- HUMANOS: Colaboradores e prestadores de serviço
- INTANGÍVEIS: Não podemos diretamente medir o valor, como a imagem e reputação da empresa ou do produto.
A perda de um desses causa danos imensos. Quando Steve Jobs morreu, ações na Apple caíram, ele era uma ATIVO HUMANO. Pra proteger isso, usamos a segurança da informação.
Tipos de ameaças e vulnerabilidades
Se prepare pra vários tópicos.
São elas, FÍSICAS E LÓGICAS e elas podem ser divididas em mais.
- FÍSICAS: Fenômenos naturais, incêndios, enchentes, falhas de equipamento e instalações, perda de fitas backup durante o transporte.
- LÓGICAS: Corrupção de dados, acessos não autorizados, negação de serviço, software, algoritmos.
- AMEAÇA HUMANA: Causada por humanos.
- COLABORADORES: Por falta de conhecimento ou só por malícia mesmo, um colaborador com acesso aos dados fez algo errado e lascou tudo.
- HACKERS: Exploram vuls pra obter ganhos. Tem vários motivos, mas normalmente são maus motivos.
- AMEAÇA NÃO HUMANA: Natureza e insfraestrutura.
Medidas de prevenção são: identificar/mapear ameaças e desenvolver um plano de proteção. O máximo possível pra situação, e sempre ter planos preventivos bons. Deve fazer parte de seus planos a educação dos usuários do sistema também.
Abaixo, uma lista de ameaças e soluções pra elas.
- Acesso não autorizado:
- Relacionada a Confidencialidade
- Ameaça lógica
- Ameaça humana
- Solução: Uso de senhas ou de criptografia
- Perda de fitas backup durante o transporte:
- Relacionada a Confidencialidade
- Ameaça física
- Ameaça humana
- Solução: Uso de criptografia
- Escuta na ligação ou tráfego de rede:
- Relacionada a Confidencialidade
- Ameaça lógica
- Ameaça humana
- Solução: Uso de criptografia
- Alteração dos dados por pessoa/software/processo não autorizado:
- Relacionada a Integridade
- Ameaça lógica
- Ameaça humana
- Solução: Uso de métodos de autenticação
- Corrupção dos dados:
- Relacionada a Integridade
- Ameaça lógica
- Ameaça humana
- Solução: Uso de métodos de hashes
- Fenômenos oriundos de causas naturais, como incêndio e enchentes:
- Relacionada a Disponibilidade
- Ameaça física
- Ameaça não humana
- Solução: Uso de servidores de backup e/ou redundâncias.
- Ataques de negação de serviço:
- Relacionada a Disponibilidade
- Ameaça lógica
- Ameaça humana
- Solução: Uso de servidores de backup e/ou redundâncias.
Nenhum comentário:
Postar um comentário