INSTITUTO POLITCNICO DE VISEUESCOLA SUPERIOR DE TECNOLOGIA E GESTO DE LAMEGO

INSTITUTO POLITCNICO DE VISEUESCOLA SUPERIOR DE TECNOLOGIA E GESTO DE LAMEGO

CRIMINALIDADE INFORMTICA E SEGURANA INFORMTICA

Lamego, Janeiro de 2015

INSTITUTO POLITCNICO DE VISEUESCOLA SUPERIOR DE TECNOLOGIA E GESTO DE LAMEGO

CRIMINALIDADE INFORMTICA E SEGURANA INFORMTICA

tica e Deontologia Profissional em InformticaDocente: Anabela Guedes

Autores:Filipe Fernandes n 2654Pedro Rodrigues n 2655Adriana Bastos n 2660

Lamego, Janeiro de 2015NDICE

INTRODUO4I.CRIMINALIDADE INFORMTICA5I.1Cibercrime5I.2Malware7I.3Botnets7I.4 Phishing9II.SEGURANA INFORMATICA11CONCLUSO15BIBLIOGRAFIA17

INTRODUO

O mundo est em constante mudana, onde os ltimos dez anos tm sido um palco de evoluo e alteraes nos hbitos e costumes sem precedentes.A informtica, sendo uma cincia da informao, transportou-nos para um novo mundo, onde os limites so quase inexistentes.A internet permitiu-nos fazer coisas que antes eram impensveis, tal como ter uma conversa com uma pessoa que se encontra no outro lado do mundo. Este fenmeno de globalizao, veio ao mesmo tempo, violar a privacidade do individuo nas mais diversas vertentes e expor-nos cada vez mais perante a nossa comunidade, mostrando cada passo do nosso dia-a-dia.Vivemos numa realidade muito diferente daquela que vivamos h cerca de trinta anos. Atualmente vivemos numa Sociedade Informtica, onde as tecnologias fazem parte do nosso quotidiano e sem as quais j quase no possvel conceber a nossa prpria existncia. Porm, nem sempre a mente humana segue a direo dos bons princpios, e desde cedo se percebeu que a informtica e a internet eram uma maneira mais fcil de praticar atividades delituosas. Este novo mundo cresceu to rpido, sem controlo, que nem as estruturas judiciais se mostraram inadequadas para acompanhar esta evoluo. Deste modo, a criminalidade informtica uma realidade incontornvel, em permanente mudana e evoluo e que nos remete cada vez mais para a importncia da segurana informtica.

I. CRIMINALIDADE INFORMTICA

Nos dias de hoje to importante como os transportes ou at mesmo a eletricidade so as redes de telecomunicaes e os sistemas de informao considerados como fator de desenvolvimento econmico e social. Esta importncia cresce cada vez mais devido dependncia criada pelas infraestruturas de suporte e tecnologias. medida que cresceu esta dependncia, cresceram tambm os crimes informticos, nomeadamente aqueles que se relacionam com malware (bots, spam e vrus).Segundo um estudo realizado pela Symantec em 2011, fabricante de software, calcula-se que os crimes informticos praticados na Internet tm um custo que rondam os oitenta mil milhes de euros por ano.Conforme podemos observar na pgina Web da Symantec, no ano passado mais de 430 milhes de adultos em 24 pases foram vtimas de crimes efetuados na Internet. Observamos tambm que estes crimes superam os trficos de marijuana, cocana e herona a nvel global no que respeita aos seus custos. (Relatrio Cybercrime, 2015)Como referimos anteriormente os crimes informticos so cada vez mais frequentes em todo o mundo, ser imprescindvel olharmos para este problema e perceber muito bem do que se trata o cibercrime, malware, botnets e spam.

I.1 CibercrimeA definio do crime informtico corresponde, na essncia, a duas variaes: O crime com um objetivo e penetrao direcionados a sistemas informticos (Hacking) com o intuito de obter ou alterar informao, com fins de variada ordem (obteno de informao confidencial, motivos polticos, motivos sociais, alterao de informao privada, etc.) Os crimes no direcionados, expansivos, tambm perpetrados por cibercriminosos, e que visam a difuso de correio no solicitado, phishing, implantao de botnets e outras ameaas. (Serra, 2011, p. 13)As razes que prtica do cibercrime podem ser definidas em cinco variantes, segundo (Amoroso, 2010): Country-sponsored warfare - Confronto patrocinado por pases (e/ ou entidades com ligaes estreitas a governos) - usualmente envolvendo as grandes potencias mundiais e/ou os estados com sistemas de fraca democraticidade - hoje um dado adquirido que as ofensivas e defesas eletrnicas so uma das principais componentes militares. A capacidade de, distncia se inutilizar equipamento eletrnico, comunicaes e defesas, e a capacidade de se capturar ou corromper informao (intelligence) do adversrio so armas de magnitude superior ao armamento blico tradicional, para mais possibilitando que se esconda a provenincia desses ataques. Um ataque destes tem, por definio, capacidades e motivaes muito elevadas. A ttulo de exemplo, conhecido o treino, pela Coreia do Norte, de um exrcito de hackers, com o nico intuito de perpetrarem ataques, camuflados, contra naes inimigas. Terrorist attacks - Ataques terroristas - Se considerarmos o tipo de exposio a que um ataque ciberntico expe, se comparado com um ataque terrorista no sentido clssico do termo, entendvel que esta variante , nos dias que correm, encarada seriamente por alguns grupos terroristas. O impacto variado, mas os recursos so, acima de tudo, humanos, e menos tecnolgicos (no sentido de serem mais acessveis, se compararmos a aquisio de um servidor com a aquisio de, por exemplo, um lana-granadas). Commercially Motivated attack - Ataques motivados comercialmente - Sero porventura os ataques mais comuns entre entidades coletivas, se entendermos que um ataque no se restringe a infligir danos visveis, mas tambm a recolher informao confidencial e danificar reputao. A motivao , acima de tudo, obter algum tipo de vantagem comercial. Financially driven criminal attack - Ataque criminoso de motivao financeira - so os ataques mais comuns, quando perpetrados por indivduos ou grupos criminosos, e habitualmente correspondem a roubos de identidade, com o intuito de se roubar ou extorquir dinheiro, obtendo credenciais, acedendo a contas bancrias, ou mesmo chantageando os lesados em troca de dinheiro. Hacking - Uma designao comum que, no seu sentido mais verdadeiro se restringe a delinquncia (juvenil, mas tambm adulta) na internet, com motivaes centradas no alcance de reputao prpria (nas comunidades de hackers) ou sabotando a reputao de terceiros (por causas polticas, ideolgicas e sociais). De todos os ataques, aquele mais amador e de mais fcil anulao. O mbito criminal das atividades de hacking varia desde atividades no consagradas criminalmente (em alguns pases, a venda de cpias pirateadas de software) at crimes com alguma gravidade (danos de propriedade terceira, apropriao indevida de propriedade terceira, divulgao no autorizada de correspondncia e informao privada). (Serra, 2011, p. 14)

I.2 MalwareO termo malware usado para definir todos os programas que constituem um crime, ou seja, a utilizao de um programa para que seja obtido um fim ilcito, vejamos alguns desses programas: Botnet malware; Vrus; Worm; Trojan; Rootkit; Spyware; Downloader; Adware.Todos estes programas sem permisso do utilizador tm como finalidade capturar as comunicaes de dados transmitidos nas interaes de um utilizador com o computador, obteno do acesso a uma componente privada, instalao de software ou exibio ou extrao automtica de material publicitrio.

I.3 BotnetsDefinimos botnet como um computador que est infetado, onde so executadas aes numa rede ou at mesmo num computador sem que o proprietrio se aperceber. So considerados software inteligente, que tm definidos os seus alvos ou tambm se podem espalhar em vrios computadores da rede. O que comum acontecer a apropriao das contas de e-mail, passwords das contas dos utilizadores, roubos de identidades e envio de spam.No que respeitam ao spam, o envio de muitos e-mails possibilitam a distribuio automtica de grandes quantidades de spam de cariz criminoso, quer seja para a venda de produtos ou esquemas de phishing que vamos abordar no ponto seguinte.Todo este esquema vai trazer outros problemas, tais como: congestionamento do trfego de rede, bloqueios das contas e uma grande probabilidade de infeo dos destinatrios dos e-mails.Para nos ajudar a perceber melhor o que os botnets so e quais os lucros que podem vir a ser gerados, observemos a seguinte tabela:

BotnetsO negcio de Botnets & Spam; Exemplo

Uma rede de computadores infetados remotamente (bots), usados para envio de spam e vrus, roubos de dados e controlo da gesto dos computadoresNmero de spam enviado por uma pequena botnet, anualmente.4.000.000

Custos a enviar este spam.600

Recebimento por cada e-mail que seja aberto.0.25

Nmero de e-mails abertos necessrios para o break-even do spammer.2400

Se 1% das pessoas abrir o e-mail, o lucro seria de:40000.25-600 = 400

Lucro67%

Do spam recebido diariamente 80% so enviados por botnets.

150.000 Computadores so infetados todos os dias.

As maiores botnets conhecidas so a Bredolab (30 milhes de computadores infetados), a Mariposa (12 milhes) e a Conficker (10,5 milhes)

Por exemplo, a botnet Mariposa chegou a ter 12 milhes de mquinas infetadas. Incluindo: 50% das empresas Fortune 500 e 40 bancos.

Por exemplo, a botnet Rustock envia por dia: 200.000.000.000 spam. O Hacker que criou a Mariposa tinha 23 anos.

Algumas botnets servem s se dedicam ao roubo de dados e controlo remoto de mquina infetada, como no clebre caso vrus/botnet Stuxnet, tendo sabotado reatores nucleares no Iro.

Por exemplo, uma botnet brasileira serviu para infetar 200 contas, em 6 bancos e roubar cerca de 4 milhes de euros.

(Serra, 2011, p. 16)

I.4 PhishingEste crime informtico Phishing obteve um crescimento exponencial, sendo presentemente um drama real com fortes repercusses e penalizaes na sociedade e na economia.. (Teixeira, 2013, p. 11)A finalidade do Phishing consiste em pescar, como o termo ingls deixa transparecer, informao cofidencial e pessoal dos cidados, tais como o nome de utilizador, senha, entre outros elementos pessoais.O Phishing geralmente de cariz bancrio/financeiro e tem como objetivo principal utilizar os dados pessoais obtidos, para assim causar prejuizo s suas vitimas. O processo mais usado o envio de mensagens de correio-eletronico sb a capa de instituies oficiais, aparentemente genunas.Atravs de mensagens enviadas, a publicidade bastante apelativa, so solicitadas renovaes de registo, e so enviadas para milhares de endereos de e-mail que foram previamente recolhidos. A entrega das mensagens realizada por computadores que esto sob o controlo dos criminosos, e incluem, servidores web com fragilidades de segurana e em alguns casos, os computadores foram injetados com cavalos de troia (trojans), para assim permitir o envio de e-mails em massa (spam).As mensagens contm anexos que o recetor descarga, nunca julgando que um programa malicioso.O virus fica alojado na raiz dos sistema operativo, onde permanece inerente at o utilizador tentar aceder pgina oficial do seu banco. Quando o utilizador acede pgina, o vrus assumir um papel interventivo, pois nesta fase que o utilizador acede a uma pgina idntica do seu banco original, mas em que os banners no passam de simples imitaes o que d mais credibilidade ao site.Outra das caractersticas funcionais deste vrus o Key Logger 1, onde gravado tudo o que digitado pelo utilizador, onde mais tarde os agentes do crime descarregaro toda a informao.Como vimos, a cibercriminalidade molda-se de um conjunto de atributos que a tornam uma atividade atrativa, e esse facto tem ajudado para uma dilatao do nmero de cibercriminosos e um aumento ainda maior no nmero de vtimas. Visto que os lucros ilcitos so potencialmente muito volumosos, alguns grupos de criminosos esto a adotar prticas empresariais do mundo das tecnologias de informao para aumentarem mais e melhores ferramentas para as atividades de cibercriminalidade. Novos relatriosafirmam o aumento da j mencionada tendncia para o alistamento de estudantes, embora muitas vezes estes no tenham perceo de que nos bastidores das empresas de incorporao esto grupos de crime organizado. O impacto avaliado da cibercriminalidade apenas a parte visvel deste sombrio icebergue que oculta nas suas profundezes uma gigantesca rede de benefcios criminosos escala global.

__________________1 Key logger (registo do teclado em ingls) um programa de computador do tipo spyware cuja finalidade registar tudo o que digitado, quase sempre a fim de capturar senhas, nmeros de carto de crdito e afins. Muitos casos de phishing, assim como outros tipos de fraudes informticas, baseiam-se no uso de algum tipo de key logger, instalado no computador sem o conhecimento da vtima, que captura dados sensveis e os envia a um criminoso que depois os utiliza para a realizao de fraudes. (Teixeira, 2013, p. 14)

II. SEGURANA INFORMATICA

Segundo Alberto Mesquita, a segurana informtica tem sido ao longo dos anos, motivo de discusso e anlise em diversos meios referentes s tecnologias de informao.Existem diferentes perspetivas e abordagens ao problema que nunca coincidem. No s esto em causa diferentes sensibilidades, mas tambm existe alguma dificuldade em determinar um conjunto de pressupostos tericos que deixem organizar a anlise da realidade.Segundo o autor, muitas vezes distinguem-se dificuldades em integrar conceitos relacionados segurana informtica. Este tipo de dificuldades , em grande parte, graas evoluo vertiginosa das tecnologias de informao, cujas transformaes permanentes complicam uma anlise global de todas as suas implicaes. Enquanto o manuseamento de informao classificada, que se encontra em suporte de papel, era suportada por uma legislao nacional, o mesmo no se regista em relao segurana informtica em computadores, legislao essa, que embora fornea algumas indicaes importantes, no se encontra de acordo atual realidade. A segurana da informao foi at ao surgimento dos computadores, um problema importante, mas de soluo simples. A flexibilidade e acessibilidade so caractersticas desejveis de um sistema informtico, mas so tambm caractersticas inimigas da segurana. Antigamente, as pessoas ou as empresas para proteger a informao que se considerava importante, bastava protege-la fisicamente, pois a informao encontrava-se em papis, fotografias, entre outros. A informao estava restrita ao ambiente da prpria pessoa ou da empresa.O aparecimento dos computadores veio dar uma nova perspetiva ao problema. possvel prever num futuro prximo, que este problema em ambientes informatizados venha-se a pr com uma maior intensidade. medida que mais pessoas vo possuindo maior know-how informtico, que os sistemas de informao envelhecerem e que mais informao vital venha a ser armazenada informaticamente, maior ser o n de casos divulgados de fuga de informao e menor ser a credibilidade desses sistemas. (Mesquita, 1994, p. 7)

Do conjunto dos problemas j existentes, no assumiu, por enquanto, a dimenso de um verdadeiro problema que inquiete as chefias da maioria das organizaes. Quando vier a acontecer, ser certamente desejvel que exista um referencial terico, abstrato e organizado que d suporte aos desenvolvimentos prticos de todos aos que esto envolvidos no crescimento das tecnologias da informao. Seria conveniente que existisse uma linguagem comum entre os diversos intervenientes e pelo menos um nmero restrito de metodologias de abordagem ao problema.Espera-se que a legislao existente cumpra o objetivo de constituir ao mesmo tempo uma base doutrinria e pragmtica para o problema da segurana informtica. Conforme dito anteriormente, a legislao nacional s se aplica informao que se encontra no suporte em papel.O SEGNAC 1 contm Instrues para a segurana nacional, salvaguarda e defesa das matrias classificadas com o objetivo de combater a sabotagem, espionagem e evitar falhas humanas que podem causar quebras de segurana. O SEGNAC 2 engloba uma coleo de normas e instrues, mas relacionado com a segurana industrial, tecnolgica e de investigao. O SEGNAC 3 refere-se segurana das telecomunicaes globais e o SEGNAC 4 refere-se segurana informtica. Podia-se dizer que se os computadores no existissem, o primeiro e segundo iriam constituir uma base slida e funcional quer na prtica, quer na teoria para as questes da segurana da informao. No SEGNAC 3 no feita nenhuma referncia ao ambiente informtico. Quanto ao quarto, este estabelece uma referncia indispensvel sobre o tema da segurana informtica, contendo um nmero alargado de definies e procedimentos, mas no consegue satisfazer os requisitos mnimos.Em relao legislao comunitria, a situao diferente. O assunto tem estado a ser o centro de uma ateno crescente.Segundo o autor, a segurana informtica no tem sido um assunto favorecido pelas pessoas ligadas investigao cientfica, talvez pelo facto de ser uma rea do mbito tecnolgico e cientifico que exija uma metodologia de abordagem terica, parecida com a que se usa nas cincias sociais.

Outra razo para que haja um desinteresse relativo segurana informtica, segundo o autor, o facto de que no meio universitrio, as fugas de informao contriburem para uma maior difuso da informao, que leva a um aumento da produo cientfica.As intervenes cientficas sobre este assunto tm sido efetuadas sobre uma perspetiva do hardware, software, algoritmos criptogrficos, ou dos modelos de risco a tomar em certas situaes. A literatura existente torna-se ao fim de dois ou trs anos, obsoleta.Assim, no tem em evidncia as especificidades dos novos sistemas que vo aparecendo, como no fornece uma estrutura de raciocnio que as permita examinar.Assim, nenhuma das abordagens tericas conhecidas conseguiu impor-se, mas nos ltimos tempos tm havido algumas novidades.Segundo Alberto Mesquita, no ambiente dos mainframes que mais se faz sentir o problema da segurana informtica. Pois, os mainframes a nvel global, esto omnipresentes nas grandes empresas coexistindo com ligaes perifricas a sistemas de menor porte, encontrando-se geralmente a informao vital. Por outro lado, nas grandes companhias que o prejuzo maior em caso de falha da segurana informtica. nos grandes bancos e empresas que se sente mais esta preocupao, levando a fazerem, maiores investimentos. Quanto aos sistemas operativos, cada um possui uma diferente predisposio para a execuo de sistemas de segurana, visto que as diferenas estruturais so significativas.Qualquer um destes sistemas considerado muito possante, tendo incorporado fortes subsistemas de segurana.Em termos de software, os programas-produto e as aplicaes contm uma coleo vasta de ferramentas na rea da segurana. Apesar de existir um grande nmero de softwares de segurana existentes no mercado, o problema encontra-se no prprio sistema operativo que mostra fraquezas em relao a ameaas dos utilizadores, programadores de sistemas e vrus.Segundo o autor, apesar do grande nmero de ferramentas de segurana existentes fosse possvel encontrar empresas prestadoras de servios que dispusessem de metodologias e tcnicas para responder aos problemas existentes na segurana informtica, tais como os pontos fracos de um sistema j instalado e as medidas a tomar para eliminar os pontos fracos, o nvel de segurana necessrio da empresa face realidade em que se encontra, entre outros. Tal no o caso, visto que este tipo de empresas tem uma perspetiva somente comercial sobre o assunto, e a procura deste servio no suficiente para despertar uma abordagem genrica e integrada ao problema.A procura existente bastante particular, como no caso dos bancos, onde existem empresas dispostas a pagar muito bem pelo servio personalizado prestado, apesar de no estarem com qualquer interesse, antes pelo contrrio, querem difundir as metodologias que usam.

CONCLUSO

O uso das tecnologias de informao ostentam imensos desafios de segurana, colocam questes ticas importantes e afetam a sociedade de forma expressiva. As reas afetadas com as tecnologias de informao so as seguintes: criminalidade, privacidade, individualidade, emprego, sade, condies de trabalho, entre outras. Mas nem tudo negativo com este uso, trouxeram tambm alguns benefcios. Quando falamos na tica direcionada informtica por vezes deparamo-nos com um problema, como qualquer pessoa de qualquer rea de estudo pode estudar informtica, at mesmo pessoas que no tm qualquer curso superior, torna-se muito difcil produzir uma regulamentao que um profissional desta rea deve seguir quando se deparar com situaes em que necessrio definir o que certo ou errado.Mas para quem se rendeu rea de informtica, deve seguir certamente um cdigo de deontologia profissional, visto possurem muitas oportunidades para praticar o bem/mal. Mas para que estas oportunidades sejam praticadas apenas para o bem, os aderentes a esta rea devem seguir um cdigo de tica e prtica profissional, onde esto definidas as relaes ticas responsveis nas quais, grupos e organizaes participam e onde existem obrigaes para cada relao.Para a existncia destes cdigos deontolgicos, contriburam empresas como, a Association for Computing Machinery, o InstituteforCertificationofComputing Professional, a InternationalFederationforInformationProcessing ou a Ordem dos Engenheiros. Cada uma destas organizaes estabeleceu um cdigo de tica para os seus membros.Descrevemos anteriormente quais as regras de conduta que devem ser seguidas pelos profissionais de informtica. Mas o problema da criminalidade no se rege apenas por esses profissionais, mas tambm pelos utilizadores comuns. Ao realizarmos um download de um software pirateado, estamos a contribuir para que a criminalidade informtica cresa cada vez mais. Se queremos que a criminalidade seja diminuda, devemos optar por deixarmos de ser parte ativa nesta problemtica, que nos dias de hoje atinge precurses enormes.Por outro lado, existe criminalidade que nos imposta, como exemplos que referimos neste trabalho, o phishing, o spam, entre outros. A tica e a moral so questes naturais sociedade. Quanto mais complexa a sociedade, quanto mais desenvolvida, mais depressa ser sujeita criao de novas questes ticas e morais, o que verificamos na sociedade atual, nomeadamente no que respeita informtica.

BIBLIOGRAFIA

Amoroso, E. G. (2010). Cyber Attacks: Protecting National Infrastructure . EUA: Elsevier.Mesquita, A. (Setembro de 1994). A Segurana Informtica - A Perspectiva da NATO. Instituto Superior de Estatstica e Gesto da Informao.Relatrio Cybercrime. (20 de 01 de 2015). Obtido de Relatrio Cybercrime: http://br.norton.com/cybercrimereport/promoSerra, R. (Novembro de 2011). Mitigao do malware para o desenvolvimento empresarial em Portugal. Lisboa, Portugal: ISCTE Business School - Instituto Universitrio de Lisboa.Teixeira, P. (Fevereiro de 2013). O Fenmenodo Phising - Enquadramento Jurdico-Penal. Lisboa: Universidade Autnoma de Lisboa.

17tica e Deontologia Profissional em Informtica