Universidade Federal do Rio de Janeiro Centro de Ciências Jurídicas e Econômicas Faculdade de Administração e Ciências Contábeis Biblioteconomia e Gestão de Unidades de Informação Segurança da Informação Fabrícia Sobral fabricia.protic@gmail.com
AULA 4 Principais Ataques 11:21 2
Phishing-scam Tentativa de obter dados pessoais e financeiros de um usuário, pela utilização combinada de meios técnicos e engenharia social. Em geral, ocorre por meio do envio de mensagens eletrônicas que tentam se passar pela comunicação oficial de uma instituição conhecida: um banco, empresa ou site popular; Atrai a atenção, por curiosidade, caridade ou possibilidade de obter vantagem financeira; 11:21 3
Phishing-scam Informam que a não execução dos procedimentos acarretará sérias consequências: perda de conta bancária ou cartão de crédito, exclusão de cadastro, inscrição em serviços de proteção de crédito; Induzem ao fornecimento de dados financeiros e pessoais por meio do acesso a páginas falsas da instituição; instalação de códigos maliciosos, projetados para coletar informações sensíveis; e do preenchimento de formulários contidos na mensagem ou em páginas Web. 11:21 4
Phishing-scam Exemplos: Mensagens com páginas falsas de comércio eletrônico ou Internet Banking Mensagens com páginas falsas de redes sociais ou companhias aéreas Mensagens contendo formulários Mensagens contendo links para códigos maliciosos Solicitação de recadastramento 11:21 5
Pharming Tipo específico de phishing que envolve o redirecionamento da navegação do usuário para sites falsos, por meio de alterações no serviço de DNS (Domain Name System). Ao acessar um site legítimo, o navegador é redirecionado, de forma transparente, para uma página falsa 11:21 6
site de comércio eletrônico fraudulento O golpista cria um site fraudulento, com o objetivo específico de enganar os possíveis clientes que, após efetuarem os pagamentos, não recebem as mercadorias. Para aumentar as chances de sucesso, o golpista costuma utilizar artifícios como: enviar spam, fazer propaganda via links patrocinados, anunciar descontos em sites de compras coletivas e ofertar produtos muito procurados e com preços abaixo dos praticados pelo mercado. 11:21 7
site de comércio eletrônico fraudulento Além do comprador, que paga mas não recebe a mercadoria, pode existir outras vítimas, como: A empresa, cujo nome tenha sido vinculado ao golpe; O site de compras, caso ele tenha intermediado a compra; uma pessoa, cuja identidade tenha sido usada para a criação do site ou para abertura de empresas fantasmas. G1: Fraude no site de comércio eletrônico Alibaba derruba diretores 11:21 8
Boato (Hoax) É uma mensagem que possui conteúdo alarmante ou falso e que, geralmente, tem como remetente, ou aponta como autor, alguma instituição, empresa importante ou órgão governamental. Por meio de uma leitura minuciosa de seu conteúdo, normalmente, é possível identificar informações sem sentido e tentativas de golpes, como correntes e pirâmides. 11:21 9
SPAM Termo usado para se referir aos e-mails não solicitados, que geralmente são enviados para um grande número de pessoas. É um dos grandes responsáveis pela propagação de códigos maliciosos, disseminação de golpes e venda ilegal de produtos. 11:21 10
SPAM Há muitos problemas que são causados pelo SPAM ao usuário, estouro de limite de cota de e-mail, perda de tempo para gerenciar os e-mails, conteúdo impróprio ou ofensivo, etc. Outros problemas estão associados a infraestrutura da organização, como por exemplo, saturação de banda, utilização excessiva de recursos computacionais, etc. 11:21 11
Ataques pela Internet 11:21 12
Exploração de vulnerabilidades Uma vulnerabilidade é definida como uma condição que, quando explorada por um atacante, pode resultar em uma violação de segurança. Exemplos: Falhas no projeto, na implementação ou na configuração de programas, serviços ou equipamentos. Um ataque de exploração de vulnerabilidades ocorre quando, utilizando-se de uma vulnerabilidade, tenta executar ações maliciosas: invadir um sistema, acessar informações confidenciais, disparar ataques contra outros computadores ou tornar um serviço inacessível. 11:21 13
Varredura em redes (Scan) É uma técnica que consiste em efetuar buscas minuciosas em redes, com o objetivo de identificar computadores ativos e coletar informações sobre eles como, por exemplo, serviços disponibilizados e programas instalados. Assim é possível associar vulnerabilidades aos serviços disponibilizados e aos programas instalados nos computadores ativos. 11:21 14
Varredura em redes (Scan) Varredura Legítima: por pessoas devidamente autorizadas, para verificar a segurança de computadores e redes e, assim, tomar medidas corretivas e preventivas. Varredura Maliciosa: por atacantes, para explorar as vulnerabilidades encontradas nos serviços disponibilizados e nos programas instalados para a execução de atividades maliciosas. 11:21 15
Varredura em redes (Scan) 11:21 16
Falsificação de e-mail (e-mail spoofing) Consiste em alterar campos do cabeçalho de um e-mail de forma a aparentar que ele foi enviado de uma origem quando, na verdade, foi enviado de outra. É possível devido a características do protocolo SMTP (Simple Mail Transfer Protocol) que permitem que campos do cabeçalho do e-mail sejam modificados. From - origem Reply-To - responder para Return-Path uso em casos de erros no envio 11:21 17
Falsificação de IP (IP spoofing) No contexto de redes de computadores, IP spoofing é um ataque que consiste em mascarar (spoof) pacotes IP utilizando endereços de remetentes falsificados. 11:21 18
Interceptação de tráfego (Sniffing) Consiste em inspecionar os dados trafegados em redes de computadores, por meio do uso de programas específicos chamados de sniffers. Legítima: por administradores de redes. Maliciosa: por atacantes. 11:21 19
Força Bruta (Brute force) Consiste em adivinhar, por tentativa e erro, um login e senha. Qualquer computador, dispositivos moveis equipamento de rede ou serviço que seja acessível via Internet, com um login e senha, pode ser alvo de um ataque de força bruta. 11:21 20
Força Bruta (Brute force) 11:21 21
Desfiguração de página (Defacement) Desfiguração de página, defacement ou pichação, é uma técnica que consiste em alterar o conteúdo da página Web de um site. Neste caso, o atacante é também de defacer! 11:21 22
Universidade Federal do Rio de Janeiro Centro de Ciências Jurídicas e Econômicas Faculdade de Administração e Ciências Contábeis Biblioteconomia e Gestão de Unidades de Informação Segurança da Informação Fabrícia Sobral fabricia.protic@gmail.com