Segurança da Informação

1. Segurança da Informação está relacionada à proteção de um conjunto de dados. Se refere tando a proteção das informações corporativas como às pessoais.

2. Norma ISO 27002: foi reservada para tratar de padrões de segurança da informação.

3. Estrutura de um NDA

3.1. Escopo

3.2. Limites

3.3. Plano de Comunicação

4. Fases do processo de invasão

4.1. Conhecer: coleta de informações sobre o alvo.

4.2. Analisar: Interpretação dos dados coletados.

4.3. Explorar: utilização dos dados para obter acesso.

5. Ética e código de conduta

5.1. Definição: Conjunto de princípios que orientam o comportamento correto dos profissionais da área.

5.2. Importância: Garante responsabilidade, confiança e proteção de dados durante testes e análises.

6. Mecânismos de Segurança

6.1. Controles físicos: são barreiras que limitam o contato ou acesso direto à informação ou á infraestrutura. (portas, trancas, paredes...)

6.2. Controles lógicos: são barreiras que impedem ou limitam o acesso à informação que está em um ambiente controlado.

6.2.1. Mecanismos de Criptografia

6.2.2. Assinatura digital

6.2.3. Mecanismos de garantia de integridade da informação

6.2.4. Mecanismos de controle de acesso

6.2.5. Mecanismos de certificação

6.2.6. Integridade

6.2.7. Honeypot

6.3. Ferramentas e sistemas que pretender fornecer segurança: detectores de intrusões, antivírus, firewalls, filstros antispam, fuzzers, analisadores de código etc.

7. Ameaças à Segurança

7.1. Perda de Confidencialidade: ocorre quando há perda de sigilo de uma informação, permitindo exposição de informações rstritas.

7.2. Perda de Integridade: acontece quando uma informação fica exposta a manuseio por uma pessoa não autorizada, que efetua alterações não autorizadas.

7.3. Perda de Disponibilidade: ocorre quando a informação deixa de estar acessível a quem necessita dela.

8. Tríade CIA

8.1. Confidencialidade: limita o acesso à informação tão somente às entidades legítimas.

8.2. Integridade: garante que a informação manipulada mantenha todas as características originais estabelecidas pelo proprietário da informação.

8.3. Disponibilidade: garante que a informação esteja sempre disponível para o uso legítimo, pelos usuários autorizados pelo proprietário.

9. Tipos de Hackers

9.1. White Hat: Profissionais éticos, atuam com permissão para identificar vulnerabilidades.

9.2. Black Hat: Hackers maliciosos, invadem sistemas para ganho pessoal ou dano.

9.3. Grey Hat: Atuam sem autorização, mas sem intenção maliciosa ainda é antiético.

10. Consequências do Uso Indevido

10.1. Legais: Processos, multas, e até prisão por invasão e danos a sistemas.

10.2. Profissionais: Perda de credibilidade, certificações e oportunidades de trabalho.

10.3. Morais: Comprometimento da confiança e ética do profissional.

11. Fabio Souza de Morais Filho

11.1. Mapa mental Segunraça da Informação

12. Aspectos Legais

12.1. Regulação por normas ISO

12.2. No Brasil, o Direito Digital orienta o uso seguro e legal da tecnologia.

12.3. Lei Carolina Dieckman: tipica crimes cibernéticos.

13. NDA- Acordo de Confidencialidade: é um acordo em que as pastes que assinam concordam em manter determinadas informações confidenciais

13.1. Vantagem: reduz risco de vazamento de informações; facilita ações jurídicas; define penalidades para descumprimento.

14. Código de Ética Profissional

14.1. EC-Council: Promove uso legal das habilidades, respeito à privacidade e integridade.

14.2. ISC2: Defende proteção da sociedade, honestidade, e respeito à lei e à confiança pública.

15. Práticas Éticas no Pentest

15.1. Autorização: Testes só devem ser realizados com consentimento formal do cliente.

15.2. Escopo Definido: Limites claros do que será testado para evitar abusos.

15.3. Divulgação Responsável: Relatar falhas apenas aos responsáveis de forma segura.

16. Padrão PTES (Penetration Testing Execution Standard)

16.1. Pré-engajamento: Planejamento, contratos e definição de escopo.

16.2. Coleta de Informações: Obter dados públicos sobre o alvo.

16.3. Modelagem de Ameaças: Entender possíveis atacantes e métodos.

16.4. Análise de Vulnerabilidades: Identificação de falhas no sistema.

16.5. Exploração: Teste prático das vulnerabilidades encontradas.

16.6. Pós-Exploração: Avaliação do impacto das brechas.

16.7. Relatório: Entrega dos resultados com recomendações seguras.