Sumário

Esta é a aula mais cobrada em concursos de cargo administrativo, técnico e judiciário. Aqui você domina o tripé conceitual da segurança (Confidencialidade, Integridade, Disponibilidade), aprende criptografia, autenticação, controles de acesso, firewall, IDS/IPS, VPN e as normas ISO 27000.

1. CIA Triad e princípios estendidos

   Confidencialidade, Integridade, Disponibilidade + Autenticidade, Não-Repúdio
   p. 04
2. Ameaças, vulnerabilidades, riscos

   Glossário ABNT NBR ISO/IEC 27000, ativos, agente, vetor, impacto
   p. 08
3. Criptografia simétrica e assimétrica

   AES, DES, 3DES × RSA, ECC, Diffie-Hellman
   p. 12
4. Hash, assinatura e certificado

   MD5, SHA-256, SHA-3. Assinatura digital. PKI, ICP-Brasil, Let's Encrypt
   p. 16
5. Autenticação e MFA

   Senha, biometria, token, OTP/TOTP. SSO: OAuth 2.0, OpenID Connect, SAML
   p. 20
6. AAA e princípios complementares

   Autenticação, Autorização, Auditoria. Mínimo Privilégio, Defesa em Profundidade
   p. 24
7. Firewall, IDS/IPS, DLP, SIEM, VPN

   Tipos de firewall, NGFW, WAF, túnel cifrado, monitoramento
   p. 28
8. Normas ISO 27000 e NIST CSF

   SGSI 27001, controles 27002, riscos 27005, framework NIST
   p. 32
9. Mapa mental, revisão e questões comentadas

   10 questões fechando a aula
   p. 36

Meta desta aula

Operar a tríade CIA e os princípios estendidos. Distinguir criptografia simétrica × assimétrica. Compreender hash, assinatura e certificado digital. Aplicar AAA e mínimo privilégio. Identificar tipos de firewall, IDS/IPS. Conhecer ISO 27001/27002 e NIST CSF.

O que você vai aprender

Dica do Fuffu

Em prova, três pontos rendem 60%: 1) CIA Triad e seus 5 ou 6 atributos estendidos; 2) criptografia simétrica × assimétrica (mesma chave × par); 3) ISO/IEC 27001 (SGSI) é a norma certificável. Memorize esses 3 conceitos com firmeza.

Prof. Affonsinho explica, Módulo 01

1 A tríade da segurança

CIA Triad - Confidencialidade, Integridade, Disponibilidade

O modelo clássico de segurança da informação é a CIA Triad (em inglês) ou tríade CID (português). Três pilares:

• Confidencialidade (Confidentiality): a informação só pode ser acessada por quem está autorizado. Mecanismos: criptografia, controle de acesso, classificação de informação.
• Integridade (Integrity): a informação não pode ser alterada de modo não autorizado. Garante que o dado não foi adulterado. Mecanismos: hash, assinatura digital, controle de versões, logs.
• Disponibilidade (Availability): a informação deve estar acessível quando necessária por quem é autorizado. Mecanismos: backup, redundância, alta disponibilidade, contingência, proteção contra DoS/DDoS.

Em provas, é comum cobrar exemplos práticos:

• Quebra de confidencialidade: vazamento de dados, espionagem, intercepção.
• Quebra de integridade: alteração não autorizada, adulteração, corrupção.
• Quebra de disponibilidade: ataque DDoS, falha de hardware, ransomware (cripta arquivos), desastre natural.

Princípios estendidos: o "expandido CIA"

A doutrina moderna acrescenta princípios complementares à tríade original, especialmente em legislação como a LGPD e em normas ISO 27000:

• Autenticidade: a informação é genuinamente do remetente que diz ser. Garantida por assinatura digital.
• Não-Repúdio (Irretratabilidade): o autor não pode negar a autoria. Garantido por assinatura digital + carimbo de tempo (timestamp).
• Autorização: a entidade autenticada tem permissão para a operação solicitada.
• Legalidade: conformidade com leis e regulamentos (Marco Civil, LGPD).
• Privacidade: cuidado especial com dados pessoais. Reforçado pela LGPD.
• Auditabilidade: capacidade de verificar (logs).

DAD: Disclosure, Alteration, Destruction

O lado escuro da CIA: quando quebra um princípio, gera o oposto.

• Disclosure (Divulgação) = quebra Confidencialidade.
• Alteration (Alteração) = quebra Integridade.
• Destruction/Denial (Destruição/Negação) = quebra Disponibilidade.

Glossário básico (ABNT NBR ISO/IEC 27000)

• Ativo: qualquer coisa de valor para a organização (informação, sistema, equipamento, pessoa, marca).
• Ameaça: causa potencial de incidente que pode causar dano. Pode ser natural, humana, intencional ou acidental.
• Vulnerabilidade: fraqueza de um ativo que pode ser explorada por uma ameaça. Pode ser técnica, de processo, humana.
• Incidente: evento de segurança da informação confirmado.
• Risco: efeito da incerteza sobre os objetivos. Combinação de probabilidade × impacto.
• Controle: medida que modifica o risco (preventivo, detectivo, corretivo, dissuasivo).
• Política de Segurança da Informação (PSI): documento que estabelece direção e regras.
• SGSI (Sistema de Gestão de Segurança da Informação): conjunto coordenado de políticas, procedimentos e controles. Norma certificável: ISO/IEC 27001.

Tipos de controle

• Preventivos: evitam o incidente. Firewall, criptografia, política de senha forte.
• Detectivos: identificam o incidente. IDS, SIEM, antivírus com varredura.
• Corretivos: minimizam impacto após o incidente. Backup, plano de recuperação.
• Dissuasivos: desencorajam o atacante. Câmera visível, banner de aviso, política disciplinar.
• Compensatórios: alternativos quando o controle primário não é viável.

Quanto à natureza:

• Físicos: catraca, fechadura, câmera.
• Lógicos / técnicos: firewall, criptografia, MFA.
• Administrativos / organizacionais: política, treinamento, contrato.

Bate-papo com o Seu Teoffilo

A CIA Triad é base. Em prova federal, banca cobra exemplos de violação de cada pilar. Decore: vazamento = confidencialidade; adulteração = integridade; DDoS/ransomware = disponibilidade. Mais um detalhe: ransomware fere principalmente DISPONIBILIDADE (você perde acesso aos arquivos), embora também atinja confidencialidade quando há vazamento prévio (double extortion). Banca explora essa nuance.

Prof. Affonsinho explica, Módulo 02

2 Gestão de risco

Equação básica de risco

Risco se materializa quando uma ameaça explora uma vulnerabilidade de um ativo, causando impacto. A fórmula conceitual:

Risco = Ameaça × Vulnerabilidade × Impacto

Para reduzir risco, atua-se em qualquer dos fatores: bloquear ameaça (firewall), corrigir vulnerabilidade (patch), reduzir impacto (backup, criptografia em repouso).

Tipos de ameaça

• Naturais: enchente, terremoto, raio, tempestade.
• Ambientais: queda de energia, falha de refrigeração, incêndio.
• Humanas intencionais: ataques cibernéticos, espionagem, sabotagem, fraude interna.
• Humanas não intencionais: erro de operação, configuração equivocada, deleção acidental.
• Técnicas: falha de hardware, bug de software, falha de rede.

Categorias de atacante

• Script Kiddie: amador, usa ferramentas prontas. Baixa habilidade.
• Hacktivista: motivado por causa política ou ideológica (Anonymous).
• Cibercriminoso: foco em lucro financeiro. Ransomware, fraudes, mercado negro.
• Insider: ameaça interna (funcionário, ex-funcionário, prestador). Pode ser malicioso ou negligente.
• APT (Advanced Persistent Threat): grupos sofisticados, geralmente patrocinados por Estado-nação. Ataques longos e direcionados (espionagem industrial e geopolítica).
• Concorrente: ataca por inteligência competitiva.

Tipos de vulnerabilidade

• Técnica: falha em software (zero-day, CVE), configuração errada, senha fraca.
• De processo: ausência de procedimento, controle ineficaz, papel mal definido.
• Humana: falta de treinamento, má conduta, suscetibilidade a engenharia social.
• Física: porta sem fechadura, cabo exposto, ausência de câmera.

CVE e CVSS

• CVE (Common Vulnerabilities and Exposures): catálogo público de vulnerabilidades, gerido pela MITRE. Cada vulnerabilidade ganha um identificador (ex: CVE-2025-12345).
• CVSS (Common Vulnerability Scoring System): escala 0-10 que mede gravidade. 9-10 = crítico; 7-8.9 = alto; 4-6.9 = médio; 0.1-3.9 = baixo.
• NVD (National Vulnerability Database): base americana com dados expandidos.

Tratamento de risco

Quatro respostas possíveis (ABNT NBR ISO/IEC 27005):

• Aceitar: aceitar o risco quando o custo de tratar é maior que o impacto.
• Reduzir / Mitigar: aplicar controles para baixar a probabilidade ou impacto.
• Transferir / Compartilhar: empurrar parte para terceiro (seguro, cloud, terceirização).
• Evitar: não realizar a atividade que gera o risco.

Ciclo de gestão de risco (ISO 27005)

1. Estabelecimento do contexto: escopo, critérios, partes interessadas.
2. Identificação: ativos, ameaças, vulnerabilidades, controles atuais, consequências.
3. Análise: probabilidade × impacto.
4. Avaliação: comparação com critérios de aceitação.
5. Tratamento: aceitar, reduzir, transferir, evitar.
6. Monitoramento e revisão: ciclo contínuo (PDCA).
7. Comunicação: partes interessadas informadas.

Vetores de ataque comuns

• Engenharia social: manipula a pessoa (phishing, pretexting). Veremos na aula 11.
• Malware: vírus, worm, trojan, ransomware, spyware. Aula 11.
• Web: SQL injection, XSS, CSRF, SSRF, RCE.
• Rede: ataque MITM (man-in-the-middle), DNS spoofing, ARP poisoning.
• Negação de serviço: DoS, DDoS.
• Físico: roubo de dispositivo, acesso indevido a data center.
• Supply chain: comprometimento de fornecedor.

Pegadinha da Dotôra Soffya

Banca explora confusão entre ameaça e vulnerabilidade. Regra: ameaça é externa (potencial dano vindo de fora ou de origem qualquer); vulnerabilidade é interna (fraqueza do ativo). Ameaça explora vulnerabilidade. Sem ameaça e sem vulnerabilidade não há risco. Atualizar software corrige vulnerabilidade; firewall barra ameaça.

Prof. Affonsinho explica, Módulo 03

3 Criptografia

O que é criptografia

A criptografia é a arte de transformar informação legível (texto claro / plaintext) em informação ilegível (texto cifrado / ciphertext) usando um algoritmo e uma chave. Só quem tem a chave correta consegue reverter (decifrar). Cobre todos os pilares CIA:

• Confidencialidade: cifragem.
• Integridade: hash.
• Autenticidade: assinatura digital.
• Não-repúdio: assinatura + timestamp.

Criptografia simétrica

Usa a mesma chave para cifrar e decifrar. Características:

• Rápida: ideal para grande volume de dados.
• Problema: como compartilhar a chave com segurança? (problema da distribuição de chaves)
• Algoritmos: AES (Advanced Encryption Standard, 1998, padrão atual; chaves de 128, 192 ou 256 bits), DES (legado, chave de 56 bits, quebrável; obsoleto), 3DES (Triple DES) (DES aplicado 3 vezes, em desuso), RC4 (legado, obsoleto), ChaCha20 (moderno, alternativa ao AES em mobile).

Modos de operação simétrica (block cipher)

Algoritmos como AES operam em blocos (AES = 128 bits por bloco). Para cifrar mensagens maiores, usa-se um modo:

• ECB (Electronic Codebook): cada bloco cifrado independente. Inseguro: padrões repetidos no plaintext aparecem no ciphertext. Não usar.
• CBC (Cipher Block Chaining): cada bloco depende do anterior + IV (vetor de inicialização). Mais seguro que ECB.
• CTR (Counter): converte cifra de bloco em cifra de fluxo. Paralelizável.
• GCM (Galois/Counter Mode): CTR + autenticação (AEAD). Padrão atual. Provê confidencialidade + integridade simultâneas.
• OFB, CFB: legados.

Criptografia assimétrica (chave pública)

Usa um par de chaves: uma pública (compartilhada) e uma privada (sigilosa, só do dono).

• Cifrar com chave pública → decifra com chave privada: garante confidencialidade. Só o dono da privada lê.
• Cifrar (ou assinar) com chave privada → decifra (ou verifica) com chave pública: garante autenticidade e não-repúdio. Só o dono da privada poderia ter assinado.

Algoritmos:

• RSA (Rivest-Shamir-Adleman, 1977): clássico. Baseado em fatoração de primos grandes. Chaves de 2048 ou 4096 bits.
• ECC (Elliptic Curve Cryptography): mais moderno. Mesma segurança que RSA com chaves muito menores (256 bits ECC ≈ 3072 RSA). Mais rápido. Padrão emergente.
• Diffie-Hellman (1976): troca de chave (key exchange), não cifragem direta. Permite que duas partes acordem uma chave simétrica em canal inseguro.
• ElGamal: variante similar ao RSA.
• EdDSA, Ed25519: assinatura moderna baseada em curva elíptica.

Vantagens e desvantagens

Criptografia híbrida

Sistemas reais (HTTPS/TLS, GPG, S/MIME) usam ambas:

1. A simétrica é usada para cifrar os dados (rápida).
2. A assimétrica é usada para trocar a chave simétrica de forma segura.

É o melhor dos dois mundos: velocidade da simétrica + facilidade de distribuição da assimétrica.

Tamanhos de chave recomendados (NIST 2026)

• AES: mínimo 128 bits. Para dados ultrassensíveis ou longa duração, 256 bits.
• RSA: mínimo 2048 bits hoje. 3072 bits para uso até 2030. 15360 bits para "post-quantum" (provisório).
• ECC: 256 bits equivale a RSA 3072.
• SHA: SHA-256 mínimo. SHA-512 para alta segurança.

Criptografia pós-quântica

Computadores quânticos, quando viáveis (estimativa: 10-30 anos), poderão quebrar RSA e ECC clássicos via algoritmo de Shor. NIST lançou em 2022 os primeiros padrões pós-quânticos: CRYSTALS-Kyber (cifragem) e CRYSTALS-Dilithium (assinatura). Em 2026, há transição em curso.

Dica do Raffinha

Decora com mnemônico: simétrica = uma só, rápida (Ex: AES); assimétrica = duas, lenta (RSA, ECC). Em prática, sistemas reais usam híbrido: assimétrica para trocar chave, simétrica para cifrar dados. Em prova federal, sempre cobra essa combinação.

Prof. Affonsinho explica, Módulo 04

4 Hash, assinatura, PKI

Hash criptográfico

Um hash é uma função que transforma uma entrada de tamanho qualquer em uma saída de tamanho fixo. Propriedades de um hash criptográfico bom:

• Determinístico: mesma entrada gera mesma saída.
• Rápido: calcular o hash é eficiente.
• Resistente a pré-imagem: dado o hash, é inviável descobrir a entrada original.
• Resistente a segunda pré-imagem: dada uma entrada, é inviável encontrar outra com mesmo hash.
• Resistente a colisão: é inviável encontrar duas entradas diferentes com mesmo hash.
• Efeito avalanche: pequena mudança na entrada gera mudança radical no hash.

Algoritmos de hash

Para que serve hash

• Verificar integridade: você baixa um arquivo + o hash. Recalcula e compara. Se bate, o arquivo não foi alterado.
• Armazenar senha: nunca guardar senha em texto puro. Guarda-se hash com salt + algoritmo lento (bcrypt, Argon2). Quando o usuário se autentica, calcula-se o hash da senha digitada e compara.
• Identificador único: blockchains, controle de versão (Git usa SHA-1; em transição para SHA-256), deduplicação.
• Ingredientes da assinatura digital: assinatura é hash cifrado.

Salt e pepper

• Salt: valor aleatório único adicionado à senha antes do hash. Impede ataques de tabela arco-íris (rainbow table). Cada usuário tem seu próprio salt.
• Pepper: valor secreto global, adicionado adicionalmente. Armazenado fora do banco.

Assinatura digital

A assinatura digital é o equivalente eletrônico da assinatura manuscrita, com mais garantias. Funciona assim:

1. O remetente calcula o hash da mensagem.
2. Cifra esse hash com sua chave privada. O resultado é a assinatura.
3. Envia mensagem + assinatura.
4. O destinatário decifra a assinatura com a chave pública do remetente, obtendo o hash original.
5. Calcula o hash da mensagem recebida.
6. Compara: se baterem, a mensagem não foi alterada (integridade) e veio mesmo do remetente (autenticidade), e ele não pode negar (não-repúdio).

Garantias da assinatura digital:

• Autenticidade ✓
• Integridade ✓
• Não-repúdio ✓
• Não garante confidencialidade (a mensagem em si não é cifrada, só o hash). Para confidencialidade, cifrar com a chave pública do destinatário separadamente.

Certificado digital

Já vimos na aula 8. Um certificado X.509 vincula uma chave pública a uma identidade, atestado por uma Autoridade Certificadora (CA). Sem certificado, qualquer um pode publicar uma chave pública e dizer ser fulano.

PKI - Public Key Infrastructure

Conjunto de hardware, software, pessoas, políticas e procedimentos que viabiliza certificados digitais. Componentes:

• AC (Autoridade Certificadora): emite e revoga certificados. Possui sua chave privada (a mais protegida do sistema).
• AR (Autoridade de Registro): valida a identidade do solicitante antes da AC emitir.
• Repositório: publica certificados emitidos.
• CRL (Certificate Revocation List): lista de certificados revogados.
• OCSP (Online Certificate Status Protocol): consulta em tempo real do status do certificado.

ICP-Brasil

A Infraestrutura de Chaves Públicas Brasileira é a hierarquia oficial. Estabelecida pela Medida Provisória 2.200-2/2001, que conferiu validade jurídica a documentos eletrônicos assinados com certificado ICP-Brasil. AC Raiz: ITI (Instituto Nacional de Tecnologia da Informação). Tipos de certificado pessoal:

• e-CPF: pessoa física.
• e-CNPJ: pessoa jurídica.
• NF-e: específico para nota fiscal eletrônica.
• Tipos A1 (em arquivo, no computador) e A3 (em token físico ou cartão), com validades distintas.

Lei 14.063/2020 - tipos de assinatura eletrônica no setor público

A Lei 14.063/2020 classifica em três níveis para uso em interações com órgãos públicos:

• Simples: identifica e atribui autoria. Ex: gov.br nível bronze.
• Avançada: usa certificado não emitido pela ICP-Brasil mas com identidade verificada. Ex: gov.br prata, ouro.
• Qualificada: usa certificado ICP-Brasil. Equivalente jurídico à assinatura manuscrita.

Alerta do Examinador

Memorize: MD5 e SHA-1 são obsoletos para segurança em 2026. SHA-256 (família SHA-2) é o padrão atual. SHA-3 é alternativa. Para senha: nunca use SHA simples; use bcrypt, scrypt ou Argon2 (que são lentos de propósito). Em prova de Cebraspe, frequente cobrar isso.

Prof. Affonsinho explica, Módulo 05

5 Autenticação multifator

Os três fatores de autenticação

Tradicionalmente, autenticação se baseia em três categorias:

• Algo que você sabe (knowledge): senha, PIN, resposta a pergunta.
• Algo que você tem (possession): token físico (YubiKey), smartphone com autenticador, cartão inteligente, certificado A3.
• Algo que você é (inherence/biometria): impressão digital, face, íris, voz, padrão venoso.

A doutrina moderna acrescenta dois fatores complementares:

• Algo que você faz (behavior): padrão de digitação, movimento do mouse, andar.
• Em algum lugar (location): localização geográfica, IP autorizado.

Senhas: o fator mais frágil

Senhas continuam sendo o mecanismo mais usado, e o mais explorado. Boas práticas:

• Comprimento mínimo: 12+ caracteres. NIST recomenda 8 mínimo, 64+ permitido.
• Complexidade: maiúsculas, minúsculas, números, símbolos. NIST atual desencoraja regras rígidas em favor de comprimento.
• Sem palavras de dicionário ou padrões óbvios.
• Não reutilizar entre contas.
• Trocar quando comprometida (NIST 2017 desencoraja troca periódica forçada que faz o usuário criar senha previsível).
• Gerenciador de senhas: 1Password, Bitwarden, KeePass.
• Passphrase: frase com 4-6 palavras aleatórias é mais forte e mais memorável que "P@ssw0rd!" típico.

2FA e MFA

• 2FA (Two-Factor Authentication): exige dois fatores de categorias diferentes. Senha + SMS já é 2FA.
• MFA (Multi-Factor Authentication): dois ou mais fatores. Termo mais geral.

Senha + outra senha NÃO é 2FA (mesmo fator). Senha + impressão digital É 2FA.

OTP, TOTP, HOTP

• OTP (One-Time Password): senha de uso único. Pode chegar via SMS, e-mail, autenticador, token físico.
• TOTP (Time-Based OTP, RFC 6238): código que muda a cada 30 segundos. Usado por Google Authenticator, Authy, Microsoft Authenticator. Padrão atual recomendado.
• HOTP (HMAC-Based OTP, RFC 4226): código que muda a cada uso. Usado em alguns tokens físicos.

Métodos de MFA: do mais ao menos seguro

1. Chaves de segurança hardware (YubiKey, Titan): protocolo FIDO2/WebAuthn. Mais resistente a phishing.
2. Apps autenticadores (TOTP): Google Authenticator, Authy. Funciona offline.
3. Push notifications: aprovação pelo app (Microsoft Authenticator, Duo).
4. SMS: recebido por mensagem de texto. Vulnerável a SIM swapping (golpe de troca de chip). NIST desencoraja desde 2016.
5. E-mail: similar ao SMS, vulnerável.

Biometria

• Vantagens: difícil de "esquecer" ou "perder"; não compartilhável; rápido.
• Desvantagens: não pode ser trocada se vazada (você só tem 10 dedos); falsos positivos/negativos; preocupação de privacidade.
• Tipos: digital (impressão), face, íris, retina, voz, padrão venoso, geometria da mão.
• Métricas: FAR (False Acceptance Rate, taxa de aceitação falsa), FRR (False Rejection Rate), EER (Equal Error Rate, ponto de equilíbrio).

Single Sign-On (SSO)

Permite que o usuário se autentique uma vez e acesse múltiplas aplicações. Padrões:

• OAuth 2.0 (RFC 6749): autorização (não autenticação por si). Usado em "Login com Google/Facebook/Apple".
• OpenID Connect (OIDC): camada de identidade construída sobre OAuth 2.0. Adiciona autenticação. Padrão moderno.
• SAML 2.0 (Security Assertion Markup Language): padrão XML, usado em ambientes corporativos. SP (Service Provider) + IdP (Identity Provider).
• Kerberos (MIT, anos 1980): protocolo de autenticação por tickets. Base do Active Directory.
• LDAP (Lightweight Directory Access Protocol): diretório de usuários.
• RADIUS, TACACS+: protocolos AAA usados em redes (Wi-Fi corporativo, VPN).

gov.br e níveis de acesso

O sistema brasileiro de identidade digital governamental (gov.br) tem três níveis:

• Bronze: identificação básica via CPF + senha.
• Prata: validação adicional (banco, biometria facial).
• Ouro: certificado digital ICP-Brasil ou validação biométrica em ponto físico.

Quanto mais alto o nível, mais serviços e operações sensíveis liberadas. Reforça a autenticação para serviços que envolvem dados pessoais ou movimentações financeiras com a Administração.

Bate-papo com o Seu Teoffilo

Em prova federal, três pontos centrais. Primeiro: 2FA exige fatores de categorias diferentes (senha + senha = NÃO é 2FA). Segundo: SMS como segundo fator é frágil (SIM swapping); apps autenticadores (TOTP) e chaves físicas (FIDO2) são melhores. Terceiro: biometria não substitui senha; é só mais um fator. Detalhe importante: senha vazou, troca; biometria vazou, problema permanente.

Prof. Affonsinho explica, Módulo 06

6 AAA e princípios da segurança

Os três A: Autenticação, Autorização, Auditoria

• Autenticação (Authentication): quem é você? Verifica a identidade. Senha, biometria, certificado, MFA.
• Autorização (Authorization): o que você pode fazer? Permissões e privilégios após identificada a pessoa. Listas de controle de acesso (ACL), papéis (RBAC), atributos (ABAC).
• Auditoria (Accounting/Auditing): o que você fez? Registro de ações em logs para análise posterior.

Em alguns autores, o "A" final é "Accounting" (contabilização) ou "Audit" (auditoria). Em outros, somam-se: AAAA com Adicionais (Authorization + Authentication + Accounting + Auditing).

Modelos de controle de acesso

• DAC (Discretionary Access Control): o dono do recurso decide quem acessa. Padrão Windows clássico.
• MAC (Mandatory Access Control): regras impostas centralmente, baseadas em rótulos de classificação (público, interno, confidencial, secreto). Padrão militar e SELinux.
• RBAC (Role-Based Access Control): permissões atribuídas a papéis (administrador, gerente, usuário); pessoas recebem papéis. Mais comum em corporativo.
• ABAC (Attribute-Based Access Control): regras baseadas em atributos (cargo, departamento, horário, localização, tipo de dado). Mais flexível, mais complexo.
• RuBAC (Rule-Based Access Control): regras pré-definidas (ex: firewall, IPS).

Princípio do menor privilégio

Cada usuário, processo ou sistema deve ter apenas as permissões mínimas necessárias para realizar sua função. Sem mais. Reduz superfície de ataque.

Aplicação prática:

• Não usar conta administrador para tarefas comuns.
• Servidores web rodam como usuário não-privilegiado (www-data, nginx).
• Acessos temporários expiram automaticamente.
• Permissões são revisadas periodicamente.

Separação de funções (Segregation of Duties, SoD)

Funções críticas devem ser divididas entre pessoas diferentes para evitar fraude e erro. Exemplos:

• Quem aprova pagamento ≠ quem executa o pagamento.
• Quem desenvolve ≠ quem coloca em produção.
• Quem solicita acesso ≠ quem aprova ≠ quem provisiona.

Defesa em profundidade (Defense in Depth)

Múltiplas camadas de controle, de modo que se uma falhar, outra protege. Camadas típicas:

1. Política e treinamento (humano).
2. Segurança física (catraca, câmera).
3. Perímetro (firewall de borda, IPS).
4. Rede interna (VLANs, segmentação, NAC).
5. Host (antivírus, EDR, hardening).
6. Aplicação (WAF, validação de entrada).
7. Dados (criptografia em repouso, em trânsito, DLP).

Zero Trust

Modelo emergente que substitui o paradigma "rede interna confiável, externa não". Princípio: nunca confiar, sempre verificar. Cada acesso é autenticado e autorizado independentemente da localização. Pilares:

• Verificação contínua.
• Privilégio mínimo.
• Microsegmentação.
• Assumir violação (assume breach).

Padronizado pelo NIST em SP 800-207 (2020).

Outros princípios da segurança

• Fail safe / Fail secure: em falha, o sistema fica em estado seguro (negar por padrão).
• Open design: a segurança não deve depender do segredo do mecanismo (princípio de Kerckhoffs).
• Mediação completa: cada acesso é verificado.
• Mecanismo menos comum: minimizar compartilhamento de recursos entre usuários.
• Aceitabilidade psicológica: a segurança deve ser usável.
• Economia de mecanismo: simples é mais seguro.

Logs e auditoria

Logs registram eventos para análise posterior. Devem ser:

• Centralizados: SIEM coleta de fontes diversas.
• Imutáveis: não podem ser alterados sem rastro.
• Sincronizados: NTP em todos os hosts.
• Retidos: por tempo conforme regulação (Marco Civil: 1 ano para conexão, 6 meses para aplicação).
• Monitorados: alertas em eventos críticos.

Pegadinha da Dotôra Soffya

Cuidado: autenticação ≠ autorização. Autenticação é "quem é você?" (login). Autorização é "o que você pode fazer?" (permissão). Banca troca os dois sempre. Outro ponto: o "A" central do AAA pode ser Authorization ou Accounting, dependendo do autor; em prova federal, geralmente é Authentication, Authorization, Auditing/Accounting.

Prof. Affonsinho explica, Módulo 07

7 Tecnologias de defesa

Firewall

O firewall filtra tráfego de rede com base em regras. É o primeiro perímetro defensivo. Tipos por geração:

1. 1ª geração - Filtro de pacotes (stateless): examina cabeçalho de cada pacote isoladamente. Camada 3/4 (IP, porta, protocolo). Rápido, mas sem contexto. Ex: ACLs em roteador.
2. 2ª geração - Stateful (inspeção com estado): mantém tabela de conexões. Sabe se um pacote pertence a uma sessão estabelecida. Mais seguro. Padrão dos anos 2000.
3. 3ª geração - Application Layer / Proxy: opera na camada de aplicação. Compreende protocolos (HTTP, FTP, SMTP). Pode bloquear conteúdo malicioso. Mais lento.
4. 4ª geração - Next-Generation Firewall (NGFW): combina stateful + IPS + proxy + decryption SSL/TLS + identificação de aplicação (deep packet inspection). Padrão atual em corporativo.
5. WAF (Web Application Firewall): especializado em proteger aplicações web contra OWASP Top 10 (SQL injection, XSS, CSRF). Camada 7. Cloudflare, ModSecurity, AWS WAF.

Posicionamento de firewall

• Borda (perímetro): entre internet e rede interna.
• Interno (segmentação): entre VLANs, entre departamentos.
• DMZ: zona desmilitarizada com firewalls em ambos os lados.
• Host (firewall pessoal): software no próprio computador (Windows Defender Firewall, ufw).

IDS / IPS

• IDS (Intrusion Detection System): detecta atividade maliciosa e gera alerta. Não bloqueia.
• IPS (Intrusion Prevention System): detecta e bloqueia em tempo real.

Tipos por posicionamento:

• NIDS / NIPS: Network-based, monitora tráfego de rede.
• HIDS / HIPS: Host-based, instalado no host.

Métodos de detecção:

• Por assinatura: compara com banco de padrões conhecidos. Eficaz contra ameaças conhecidas; ineficaz contra zero-day.
• Por anomalia: aprende comportamento normal e alerta sobre desvios. Eficaz contra zero-day; gera mais falsos positivos.
• Por heurística: regras baseadas em comportamento típico de malware.

DLP - Data Loss Prevention

O DLP previne vazamento de dados sensíveis (CPF, cartão, número de processo, segredo comercial). Monitora dados em três estados:

• Em uso (data in use): no endpoint, durante processamento.
• Em trânsito (data in motion): na rede, e-mail, web.
• Em repouso (data at rest): em disco, banco, nuvem.

Quando detecta tentativa de vazamento (envio de e-mail com CPFs em massa, upload de arquivo confidencial em pen drive), age: bloqueia, alerta, audita.

SIEM - Security Information and Event Management

O SIEM agrega logs de toda a infraestrutura (firewall, servidores, aplicações, endpoints), correlaciona eventos e gera alertas. Funções:

• Coleta centralizada de logs.
• Normalização: formatos diversos viram modelo comum.
• Correlação: cruzamento de eventos. Ex: 5 logins falhos + 1 sucesso de IP estrangeiro = alerta.
• Alertas.
• Forense: busca em histórico após incidente.
• Compliance: relatórios para auditorias.

SIEMs conhecidos: Splunk, IBM QRadar, ArcSight, Elastic SIEM, Microsoft Sentinel.

SOAR e XDR

• SOAR (Security Orchestration, Automation and Response): automatiza resposta a incidentes (playbooks).
• XDR (Extended Detection and Response): unifica detecção em endpoint (EDR), rede (NDR), nuvem, identidade.
• SOC (Security Operations Center): time que opera SIEM/SOAR/XDR 24/7.

VPN - Virtual Private Network

Cria túnel cifrado entre dois pontos sobre rede pública. Usos:

• Site-to-site: conecta filiais.
• Remote access: funcionário acessa intranet de casa.
• Pessoal: privacidade do usuário (NordVPN, ExpressVPN).

Protocolos:

• IPsec: padrão corporativo. Operação em camada 3. Modos transport e tunnel.
• OpenVPN: open source, baseado em TLS.
• WireGuard: moderno, simples, rápido. Em ascensão.
• SSL/TLS VPN: via navegador, sem cliente.
• L2TP, PPTP: legados (PPTP é considerado inseguro).

Outras tecnologias

• EDR (Endpoint Detection and Response): monitora endpoints em tempo real, com IA.
• NAC (Network Access Control): controle de quem pode entrar na rede (802.1X).
• CASB (Cloud Access Security Broker): controle entre usuários e serviços em nuvem.
• SASE (Secure Access Service Edge): rede + segurança em nuvem unificadas.
• ZTNA (Zero Trust Network Access): substituto moderno da VPN, baseado em Zero Trust.
• Honeypot: armadilha para atrair atacantes e estudar.
• Sandbox: ambiente isolado para executar arquivos suspeitos.

Coach Jeff manda a real

Em prova, três distinções rendem questão garantida. Primeira: IDS detecta, IPS bloqueia. Segunda: NIDS é de rede; HIDS é de host. Terceira: VPN cria túnel cifrado; firewall filtra tráfego. Não se confundem. NGFW (Next-Gen Firewall) é a evolução que junta firewall + IPS + DPI; veio nos anos 2010 e domina hoje.

Prof. Affonsinho explica, Módulo 08

8 Normas e frameworks

Família ISO/IEC 27000

A família ISO/IEC 27000 é o conjunto de normas internacionais sobre segurança da informação, adotadas no Brasil pela ABNT como NBR ISO/IEC 27000.

ISO/IEC 27001 (SGSI) em detalhe

A 27001 estabelece requisitos para implantar, operar, monitorar e melhorar um SGSI. Estrutura (Anexo SL):

1. Contexto da organização.
2. Liderança.
3. Planejamento.
4. Apoio.
5. Operação.
6. Avaliação de desempenho.
7. Melhoria.

Adota o ciclo PDCA (Plan-Do-Check-Act). É a única norma certificável da família 27000. Empresas certificam-se para demonstrar conformidade.

ISO/IEC 27002:2022 - 93 controles

A versão atualizada da 27002 (publicada em 2022) reorganizou os controles em 4 temas:

• Organizacionais (37 controles): políticas, papéis, gestão de ativos, controle de acesso.
• Pessoas (8 controles): triagem, termos contratuais, conscientização, disciplinar.
• Físicos (14 controles): perímetro, controle de entrada, descarte seguro.
• Tecnológicos (34 controles): dispositivos, criptografia, backup, monitoramento, segurança de rede.

Cinco atributos: tipo de controle (preventivo/detectivo/corretivo), propriedades de segurança (CIA + outros), conceito de cibersegurança (Identify/Protect/Detect/Respond/Recover), capacidades operacionais e domínios de segurança.

NIST Cybersecurity Framework

O NIST CSF (National Institute of Standards and Technology, EUA) é um framework voluntário para gestão de cibersegurança. Versão 2.0 (2024) tem 6 funções:

1. Govern (Governar): estabelece governança. Adicionada em 2024.
2. Identify (Identificar): ativos, riscos, ambiente.
3. Protect (Proteger): controles para reduzir risco (acesso, treinamento, dados).
4. Detect (Detectar): identificar incidentes (anomalias, monitoramento).
5. Respond (Responder): resposta a incidentes (planejamento, comunicação).
6. Recover (Recuperar): restauração após incidente.

Antes de 2024, eram apenas 5 funções (sem Govern). Em prova mais antiga, pode aparecer com 5.

Outras normas e frameworks

• COBIT (Control Objectives for Information and Related Technology, ISACA): governança de TI. Versão atual: COBIT 2019.
• ITIL (Information Technology Infrastructure Library): boas práticas de gestão de serviços de TI. ITIL 4 (2019).
• PCI-DSS (Payment Card Industry Data Security Standard): obrigatório para quem processa cartão.
• OWASP: organização sem fins lucrativos, conhecida pelo Top 10 de vulnerabilidades web.
• CIS Controls: 18 controles críticos de segurança.
• MITRE ATT&CK: matriz de táticas e técnicas de adversários.
• CSA STAR: certificação para serviços de nuvem.

Legislação brasileira correlata

• Lei 12.965/2014 (Marco Civil da Internet): princípios, garantias, direitos e deveres do usuário e do provedor. Já vimos na aula 7.
• Lei 13.709/2018 (LGPD): proteção de dados pessoais. Aula 14.
• Lei 12.527/2011 (LAI): acesso à informação pública.
• Decreto 9.637/2018: institui a Política Nacional de Segurança da Informação.
• Lei 14.063/2020: tipos de assinatura eletrônica para o setor público.
• Lei 13.709/2018 + Lei 14.058/2020 + LGPD na esfera pública.
• Lei 9.296/1996: interceptação de comunicações.
• Lei 12.737/2012 (Lei Carolina Dieckmann): tipifica crimes cibernéticos no Código Penal.
• Lei 12.965/2014 + Decreto 8.771/2016: regulamento Marco Civil.

Bate-papo com o Seu Teoffilo

Em prova federal, decore: ISO/IEC 27001 é a única certificável da família 27000. Estabelece o SGSI. A 27002 traz os controles. A 27005 cuida de gestão de riscos. NIST CSF tem 5 funções (versão 1) ou 6 (versão 2.0 de 2024, com Govern adicionada). Nesses 4 fatos resolve a maior parte das questões de normas.

! Encontro com o vilão

O Desembargador Severo é o vilão desta aula. Gosta de pegadinha em divergência doutrinária e jurisprudência rara. Em informática, ele cobra: a versão exata do NIST CSF (5 ou 6 funções), a diferença sutil entre IDS e IPS, qual norma da família 27000 é certificável (somente a 27001), o que MD5 e SHA-1 hoje são (obsoletos), se 2FA com duas senhas serve (não serve).

O vilão da aula: Desembargador Severo

Ele troca ameaça × vulnerabilidade, autenticação × autorização, simétrica × assimétrica, IDS × IPS, SHA × bcrypt, 27001 × 27002. Atenção redobrada nas questões.

Como derrotar o Severo:

1. Memorize a CIA Triad (Confidencialidade, Integridade, Disponibilidade) + atributos estendidos.
2. Memorize: simétrica = uma chave (AES); assimétrica = par chaves (RSA, ECC).
3. Memorize: MD5 e SHA-1 obsoletos; SHA-256 e SHA-3 são padrão; bcrypt/Argon2 para senhas.
4. Memorize: 2FA exige fatores diferentes (senha + senha NÃO é).
5. Memorize: autenticação ≠ autorização; IDS detecta, IPS bloqueia.
6. Memorize: 27001 é certificável; 27002 = controles; 27005 = riscos. NIST CSF = 6 funções (Govern, Identify, Protect, Detect, Respond, Recover).

◆ Mapa mental

↻ Revisão relâmpago

5 minutos antes da prova, leia só isto.

1. CIA Triad: Confidencialidade, Integridade, Disponibilidade. + Autenticidade, Não-Repúdio, Autorização, Legalidade.
2. DAD: Disclosure (quebra C), Alteration (quebra I), Destruction/Denial (quebra D).
3. Risco = Ameaça × Vulnerabilidade × Impacto. Ameaça externa; vulnerabilidade interna.
4. Tratamento: aceitar, reduzir, transferir, evitar.
5. Criptografia simétrica: 1 chave. Rápida. AES (128/192/256), DES (legado), ChaCha20.
6. Modos AES: ECB (ruim), CBC, CTR, GCM (atual, autenticado).
7. Criptografia assimétrica: par (pública + privada). Lenta. RSA (2048+), ECC (256+), Diffie-Hellman (troca).
8. Híbrida: assimétrica troca chave + simétrica cifra dado. Padrão TLS, GPG, S/MIME.
9. Hash: MD5 e SHA-1 obsoletos. SHA-256/SHA-3 padrão. Para senha: bcrypt, scrypt, Argon2 (lentos).
10. Assinatura digital: hash + chave privada. Garante autenticidade + integridade + não-repúdio. NÃO confidencialidade.
11. Certificado X.509 emitido por CA. PKI: AC, AR, repositório, CRL, OCSP.
12. ICP-Brasil: MP 2.200-2/2001. AC Raiz: ITI. e-CPF, e-CNPJ. Tipos A1 (arquivo) e A3 (token).
13. Lei 14.063/2020: assinatura simples, avançada, qualificada (ICP-Brasil).
14. 3 fatores autenticação: sabe (senha), tem (token), é (biometria).
15. 2FA exige fatores diferentes. SMS é frágil (SIM swap); TOTP e FIDO2 melhores.
16. SSO: OAuth 2.0 (autorização), OpenID Connect (autenticação sobre OAuth), SAML 2.0 (XML, corporativo), Kerberos.
17. AAA: Autenticação (quem é), Autorização (o que pode), Auditoria (o que fez).
18. Modelos acesso: DAC (dono), MAC (rígido), RBAC (papéis), ABAC (atributos).
19. Princípios: mínimo privilégio, separação de funções, defesa em profundidade, Zero Trust.
20. Firewall: stateless (1ª) → stateful (2ª) → proxy/aplicação (3ª) → NGFW (4ª). WAF para web.
21. IDS detecta + alerta; IPS detecta + bloqueia. NIDS rede; HIDS host. Por assinatura ou anomalia.
22. DLP: previne vazamento. SIEM: agrega logs e correlaciona. SOAR: automatiza resposta. EDR/XDR: detecção em endpoint.
23. VPN: túnel cifrado. IPsec, OpenVPN, WireGuard. PPTP é inseguro.
24. ISO/IEC 27001: SGSI, certificável. 27002: 93 controles em 4 temas (org, pessoas, físicos, tec). 27005: gestão de riscos. 27701: privacidade (LGPD/GDPR).
25. NIST CSF 2.0: 6 funções (Govern, Identify, Protect, Detect, Respond, Recover). Versão 1 tinha 5.

Você está pronto

25 pontos densos sobre segurança da informação. Bora para as questões.

? 10 questões comentadas

Foco em CIA Triad, criptografia, hash, assinatura, autenticação MFA, AAA, firewall/IDS/IPS, ISO 27000.

Dica do Fuffu

Em prova, três distinções fundamentais: CIA Triad (3 pilares), simétrica × assimétrica (1 chave × par), IDS × IPS (detecta × bloqueia). Resolvem 50% das questões.