2. Conjuntos de Normas e Boas Práticas (Frameworks de Segurança)

2.1 Principais Frameworks

• Basileia II: Norma da área financeira, focada em princípios de contabilidade e supervisão bancária.
• PCI-DSS (Payment Card Industry Data Security Standard): Padrão internacional que define requisitos para proteger dados de cartões de crédito e prevenir fraudes. Exige MFA e criptografia (ex.: openssl genrsa -out key.pem 2048 para gerar chaves).
• ITIL (Information Technology Infrastructure Library): Conjunto de boas práticas para gestão, operação e manutenção de serviços de TI, sempre guiado por valor ao cliente e processos padronizados.
• COBIT (Control Objectives for Information and related Technology): Framework para governança e gestão de TI, oferecendo objetivos de controle e métricas de desempenho.
• NIST 800 Series: Série de publicações do National Institute of Standards and Technology contendo guias, recomendações e padrões sobre segurança da informação (ex.: NIST SP 800-53 para controles de segurança e privacidade). Use Tenable.io para escanear vulnerabilidades (ex.: curl -X POST https://cloud.tenable.com/scans). tenable.com
• NIST SP 800-53: Use Security Onion para análise de tráfego (ex.: sudo so-analyzer-start). securityonion.net
• MITRE ATT&CK: Mapeia táticas de atacantes (ex.: T1566 - Phishing). attack.mitre.org
• CIS Benchmarks: Padrões para hardening (ex.: cis-cat -r /etc). cisecurity.org

2.2 Norma ISO 27001: SGSI e Ciclo PDCA

A ISO 27001 define um Sistema de Gestão de Segurança da Informação (SGSI) baseado no ciclo PDCA (Plan-Do-Check-Act):

• Plan (Planejar):

  Identifique riscos e planeje controles usando eramba, uma plataforma open-source para gestão de SGSI.

  Exemplo prático: eramba risk create --name "Vazamento de Dados" --likelihood 4 --impact 5

  Dica: Use a matriz de risco do eramba para priorizar ameaças.

  • Estabelecer a política de segurança e objetivos do SGSI.
  • Mapear e avaliar riscos de segurança da informação.
  • Definir processos e procedimentos para mitigar riscos.
• Do (Fazer/Executar):

  Implemente controles de segurança de forma automatizada com Ansible.

  Exemplo prático: ansible-playbook secure_servers.yml --tags "firewall,updates"

  Arquivo YML típico: Configura regras de firewall, atualizações e hardening.

  • Implementar controles, políticas e procedimentos definidos.
  • Operar fluxos de trabalho com requisitos de segurança.
• Check (Checar/Verificar):

  Monitore a eficácia dos controles com a stack ELK (Elasticsearch, Logstash, Kibana).

  Exemplo prático: sudo systemctl start kibana && sudo journalctl -u kibana -f

  Dica: Crie dashboards no Kibana para visualizar tentativas de acesso não autorizado.

  • Monitorar métricas de desempenho do SGSI.
  • Realizar auditorias internas e revisões gerenciais.
• Act (Agir):

  Corrija não conformidades através de auditorias manuais e revisão de políticas.

  Exemplo: Realize pentests trimestrais e atualize documentos do SGSI.

  • Executar ações corretivas e preventivas para não conformidades.
  • Aplicar melhorias contínuas ao SGSI.

• Splunk: Monitora logs para auditorias (ex.: index=main sourcetype=syslog | stats count by host). splunk.com

2.3 Norma ISO 27002: Boas Práticas de Controles

A ISO 27002 complementa a ISO 27001, detalhando controles recomendados em várias áreas:

• Política de Segurança da Informação:
  • Documento formal contendo conceitos, comprometimento da alta direção e requisitos de conformidade.
• Organizando a Segurança da Informação:
  • Definir responsabilidades claras para gestores, equipes de TI e usuários.
  • Estabelecer comitê ou representante multifuncional para coordenar a SI.
• Gestão de Ativos:
  • Identificar e classificar ativos de TI (hardware, software, dados).
  • Designar proprietários de cada ativo.
  • Exemplo de ferramenta: Use OCS-NG para inventário OCS-NG (Open Computer and Software Inventory Next Generation) — inventaria hardware e software, facilitando gestão de patches e licenças.
• Segurança em Recursos Humanos:
  • Treinar novos funcionários e fornecedores sobre políticas de segurança.
  • Definir cláusulas contratuais de confidencialidade e desligamento seguro.
• Controle de Acesso:
  • Autenticação: Confirmar identidade usando SYK (Something You Know), SYH (Something You Have) e/SYA (Something You Are). Exemplo: combinação de senha + token (MFA).
  • Autorização: Definir permissões após a autenticação, usando modelos como RBAC (Role-Based Access Control) e ACLs.
  • Classificação da Informação: Categorizar dados em Pública, Sensível, Privada ou Confidencial para aplicar controles adequados.
• Análise e Gerenciamento de Riscos:
  • Identificar eventos de risco à Confidencialidade, Integridade e Disponibilidade (CID).
  • Usar metodologias como ISO 31000, OCTAVE ou FAIR para priorizar riscos críticos.
  • Riscos: Aplique ISO 31000 com risky (ex.: risky analyze -f risks.csv). github.com/risky/risky

3. CSIRT (Centro de Atendimento a Incidentes de Segurança)

O CSIRT é o núcleo responsável por coordenar respostas a incidentes de segurança, como phishing e ransomware, em conformidade com a LGPD e PNSI.

• cert.br: mantido pelo Comitê Gestor da Internet do Brasil (cgi.br), produz guias, relatórios e ferramentas para tratamento de incidentes.
• Funções do CSIRT:
  • Receber e registrar incidentes reportados por usuários ou empresas.
  • Diagnosticar ameaças (vulnerabilidades, malwares, ataques DDoS).
  • Fornecer orientações de mitigação e boletins de alerta.
• Atividades Chave:
  • Publicar boletins técnicos (ex.: alertas de CVEs críticas).
  • Organizar campanhas de conscientização (ex.: Dia do Surf Seguro).
  • Coordenar exercícios de simulação de incidentes para melhoria contínua.

• TheHive: Gerencia incidentes (ex.: curl -X POST http://thehive:9000/api/case -d '{"title":"Ataque DDoS"}'). thehive-project.org
• MISP: Compartilha IoCs (ex.: mispcli.py --add-event --title "Phishing" --threat_level_id 2). misp-project.org

4. Plano de Continuidade de Negócio (PCN)

O PCN garante que processos críticos continuem em operação mesmo após incidentes, alinhados à LGPD e PNSI.

4.1 Importância dos Backups

• Tipos de Backup:
  • Completo: cópia de todos os dados.
  • Incremental: cópia apenas dos dados alterados desde o último backup (economiza espaço).
  • Diferencial: cópia dos dados alterados desde o último backup completo.
• Armazenamento Seguro:
  • Criptografar backups (ex.: gpg -c arquivo.tar.gz).
  • Manter cópias em local geograficamente separado (ex.: nuvem ou outro datacenter).
• Testar o Restore:

  “O maior problema de backups é não testar o restore.” Realizar simulações periódicas de recuperação de dados para validar eficácia.

• Veeam Backup: Cria backups criptografados (ex.: veeamconfig backup create --name daily). veeam.com
• Vuls: Escaneia vulnerabilidades antes de incidentes (ex.: vuls scan -config vuls.conf). vuls.io

4.2 Ferramentas de Backups

• Bacula: Gerencia backups corporativos (ex.: bacula-dir start). bacula.org
• Chkrootkit: Detecta rootkits (ex.: chkrootkit). chkrootkit.org

4.2 Exemplos e Estudos de Caso

• Notebook VENDIDO no eBay (2022): Ex-funcionário vendeu laptop sem apagar HD, expondo dados de 1 milhão de correntistas.

  Esse caso mostra como a falta de procedimentos de Hardening e PCN (limpeza segura de equipamentos) pode levar a vazamentos graves.

• Vazamentos por Falta de Backup: Empresas que não tinham cópias externas perderam informações críticas em ataques de ransomware, atrasando retomada das operações em semanas.
• Vivo (2023): Equipamentos descartados sem limpeza expuseram dados, evitável com PCN robusto.

5. Conexão com Vazamentos de Dados e Impactos Legislativos

Mesmo com PCN e hardening, vulnerabilidades ou negligência podem resultar em vazamentos de dados.

5.1 Impacto da LGPD

• A LGPD (Lei nº 13.709/2018) exige notificação de incidentes em até 72 horas e aplicação de medidas para proteger dados pessoais.
• Empresas devem documentar evidências de boas práticas (ex.: políticas ISO 27001, PCN testado) para demonstrar conformidade e evitar multas.
• PhishTank: Verifica URLs de phishing (ex.: curl -X POST https://checkurl.phishtank.com/checkurl/). phishtank.com
• vt-cli: Analisa arquivos e URLs (ex.: vt url https://site-suspeito.com). github.com/VirusTotal/vt-cli

• DeHashed: Busca credenciais vazadas (ex.: curl -X POST https://api.dehashed.com/search -d '{"email":"user@exemplo.com"}'). dehashed.com
• YARA: Identifica malware (ex.: yara -r regras.yar /diretorio). virustotal.github.io/yara

# Script de teste para deteccao YARA
MALWARE_SIGNATURE_KALI_LINUX
# O texto em hexa abaixo corresponde a "DOWNLOAD_EXEC"
echo "444f574e4c4f41445f45584543" > comando.hex
payload_id=PID-98765-B

rule Detecta_Malware_De_Teste {
    meta:
        descricao = "Detecta um arquivo de teste com assinaturas específicas."
    strings:
        $txt = "MALWARE_SIGNATURE_KALI_LINUX"
        $hex = { 44 4F 57 4E 4C 4F 41 44 5F 45 58 45 43 } // "DOWNLOAD_EXEC"
        $regex = /payload_id=PID-\d{5}-[A-Z]/
    condition:
        2 of them // Aciona se encontrar 2 das 3 assinaturas
}

yara minha_regra.yar arquivo_malicioso_teste.txt

Detecta_Malware_De_Teste arquivo_malicioso_teste.txt

5.2 Boas Práticas Complementares

• Inventário de Ativos: Atualizar continuamente a base de dados de hardware e software, utilizando OCS-NG.
• Treinamento Contínuo: Realizar campanhas de conscientização para reforçar o “elo mais fraco” — o usuário, evitando ataques de phishing e engenharia social.
• Auditorias Periódicas: Verificar conformidade com frameworks e normativas (ISO 27001, PCI-DSS, NIST). Auditorias trimestrais ou semestrais são recomendadas. Use lynis para auditorias de sistema (ex.: lynis audit system). cisofy.com/lynis
• Treinamento: Simule phishing com GoPhish.

• Auditorias: Use lynis audit system para verificações regulares.
• Treinamento: Simule phishing com king-phisher (ex.: king-phisher server). github.com/securestate/king-phisher

6. Estruturas de Segurança Essenciais

Além dos frameworks já abordados, existem conjuntos de controles e guias complementares que ajudam a priorizar ações e medir maturidade:

• CIS Controls Conjunto de 18 controles críticos publicados pelo Center for Internet Security.
  • Exemplo: “Inventory and Control of Hardware Assets” (Controle 1) e “Continuous Vulnerability Management” (Controle 3).
• NIST Cybersecurity Framework (CSF) Estrutura baseada em cinco funções:
  • Identify (Identificar): mapeamento de ativos e riscos.
  • Protect (Proteger): controles de acesso e proteção de dados.
  • Detect (Detectar): monitoramento e detecção de anomalias.
  • Respond (Responder): planos e processos de resposta a incidentes.
  • Recover (Recuperar): continuidade de negócio e restauração de serviços.

  Use o CSF para alinhar processos internos a boas práticas reconhecidas internacionalmente.