Universidade do Minho

Mestrado em Engenharia de Telecomunicações e

Informática

TP1 Report – Simplified Risk Analysis /

Análise de Risco Simplificada
UC de Cibersegurança

Docentes:
Prof. Henrique Manuel Dinis Santos
Autores:
• Carlos Daniel Machado Salazar Dias - PG53718
• Carlos Daniel Silva Félix - PG54719
• Luís Filipe Oliveira Azevedo - PG54008
• Bruno Emanuel Nunes Ferreira - PG53707
• Tomás de Araújo Silva - PG54264
• Miguel Gonçalves Serafim - PG54098

Ano Letivo 2023/2024

Conteúdo

1 Introdução: 2

2 Vulnerabilidade 3

3 Ameaça 4

4 Ataques: 5
4.1 Tipos Comuns de Ataques Cibernéticos . . . . . . . . . . . . . . . . . . . . . 5

5 Tarefas 6
5.1 Tarefa 1 - Identificação do Risco . . . . . . . . . . . . . . . . . . . . . . . . . 6
5.2 Tarefa 2 - Maior Risco Detetado . . . . . . . . . . . . . . . . . . . . . . . . . 6
5.3 Tarefa 3 - Melhorias Aplicar . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6

6 Conclusão: 7

Lista de Tabelas
1 Tabela de Riscos. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6

1
1 Introdução:
Neste trabalho prático, é pretendido sensibilizar uma possível abordagem para caracterizar
a Segurança de Informação que se pode basear, fundamentalmente, pela confiança, sendo
também suportada pela integridade e disponibilidade.
Devido à subjetividade associada à perceção de segurança, existem modelos que tentam
traduzir o nível de risco, sendo que um desses se baseia na relação entre o valor material
deduzido pela perda e a probabilidade da ocorrência de um evento que está diretamente
associada a vulnerabilidades, ameaças e ataques.
De forma a auxiliar a tomada de decisão face a medidas de segurança, devem-se estudar
os conceitos que influenciam a probabilidade da ocorrência de um evento, para tal, indo
de encontro ao ponto fulcral deste trabalho prático, é pretendido identificar vulnerabilidades,
ameaças e ataques, numa determinada rede de computadores, com objetivo estimar o risco
e controlos de segurança que o atenuem.
Deste modo, foi criada uma situação fictícia onde fomos incumbidos do cargo de um Chief of
Security Officer, de uma determinada Infraestrutura Crítica, onde a 1ª tarefa foi a análise de
segurança de informação existente na infraestrutura, com objetivo de especificar possíveis
vulnerabilidades, ataques e ameaças.

2
2 Vulnerabilidade
Na cibersegurança, uma vulnerabilidade é uma fraqueza que pode ser explorada por ciber-
criminosos para obter acesso não autorizado a um sistema, podendo resultar na obtenção
de informações privadas.

Essas vulnerabilidades podem existir em diferentes níveis, desde o software até à infraes-
trutura de rede, e podem surgir devido a erros de programação, configurações inadequadas,
falta de atualizações de segurança ou design inadequado do sistema. Muitas vulnerabilida-
des afetam o software popular, colocando muitos clientes que o utilizam em risco de violação
de dados ou ataques à cadeia de abastecimento.
Algumas falhas podem ser:
• Falhas de software: Bugs ou erros de programação que permitem que um invasor
execute código malicioso no sistema;
• Falhas de configuração: Configurações incorretas de segurança que deixam bre-
chas para ataques, como senhas fracas, portas de rede abertas ou permissões ex-
cessivas;
• Falhas de protocolo: Vulnerabilidades em protocolos de comunicação que podem
ser exploradas para intercetar ou manipular dados transmitidos pela rede.
• Falhas físicas: Vulnerabilidades em hardware, como dispositivos de armazenamento
ou servidores, que podem ser exploradas fisicamente para acessar dados ou compro-
meter a segurança do sistema.

3
3 Ameaça
Uma ameaça em cibersegurança refere-se a qualquer evento ou processo que possa causar
danos, comprometer a segurança ou violar a integridade de sistemas de computadores,
redes ou dados.
Uma ameaça pode incluir ações que, embora não causem danos diretos ao sistema, são
utilizadas por terceiros para alcançar seus próprios objetivos.
Essas ameaças podem ser originadas por uma variedade de fontes, incluindo hackers mal
intencionados, ciber-criminosos, governos, insiders (pessoas dentro da empresa), ou mesmo
acidentes não intencionais.
Existem alguns tipos de ameaças mais comuns como:
• Hackers mal-intencionados: A entrada deste indivíduo na rede poderá levar a que
tenha acesso a informações comprometedoras e que poderão resultar num ataque;
• Malware: A presença deste tipo de software é utilizado para obter informações con-
fidenciais internas à rede, sendo muitas vezes introduzidos na rede de forma não in-
tencional;
• Falhas de energia: Se a rede ficar sem acesso a energia poderá dificultar operações
de segurança sobre a rede;
• Erros humanos: A inexperiência humana na sensibilidade para o ciber-crime propor-
ciona o acontecimento de ações prejudiciais à rede, como a introdução de software e
hardware desprotegido.

4
4 Ataques:
Ataques cibernéticos são ações deliberadas executadas por agentes de ameaça para ex-
plorar vulnerabilidades e afetar adversamente a integridade, confidencialidade e disponibili-
dade dos sistemas ou redes de computadores. Estes ataques podem ter diversos objetivos,
desde o roubo de informações sensíveis até a interrupção de serviços críticos.

4.1 Tipos Comuns de Ataques Cibernéticos

A seguir, uma lista dos ataques mais frequentes na paisagem digital contemporânea:
• Ataque de Negação de Serviço (DoS e DDoS):
– Descrição: Inundação do alvo com tráfego excessivo para sobrecarregar recursos
e impedir o acesso dos usuários legítimos.
– Impacto: Interrupção de serviços críticos, danos à reputação e perdas financeiras.
• Phishing:
– Descrição: Técnicas de engenharia social para obter informações confidenciais,
como credenciais e dados financeiros.
– Impacto: Roubo de identidade, fraude financeira e acesso não autorizado a sis-
temas.
• Malware:
– Descrição: Softwares mal-intencionados projetados para danificar, desativar ou
assumir o controle de sistemas.
– Impacto: Perda de dados, comprometimento da segurança e prejuízos operacio-
nais.
• Ransomware:
– Descrição: Malware que criptografa os dados do usuário, exigindo pagamento
para restauração do acesso.
– Impacto: Extorsão financeira e potencial perda irreversível de dados críticos.
• Ataques Man-in-the-Middle (MitM):
– Descrição: Interceptação da comunicação entre duas partes para roubo ou ma-
nipulação de dados.
– Impacto: Comprometimento da privacidade, espionagem e corrupção de dados.
• SQL Injection:
– Descrição: Exploração de falhas em aplicações de banco de dados para executar
operações não autorizadas.
– Impacto: Vazamento de dados, perda de integridade de dados e danos ao sistema
de banco de dados.

5
5 Tarefas
5.1 Tarefa 1 - Identificação do Risco

Tabela 1: Tabela de Riscos.

Ameaça Ataque Vulnerabilidade Prob. Risco

Servidor Down DoS WebServers Baixa Baixo
Aquisição de
DataBase
dados não SQL Injection Baixa Baixo
Server
autorizados
Phishing Funcionários Alta Alto
Danificar
Malware Hardware Alta Alto
Hardware

O grupo decidiu adotar uma escala de risco que varia de baixo, médio a alto para avaliar
a Probabilidade/Risco das ameaças, fundamentando essa escolha em dados extraídos das
referências [1] e [2].

5.2 Tarefa 2 - Maior Risco Detetado

O recurso que evidencie maior risco é o phising, uma vez que, é um tipo de ataque muito
comum devido à sua natureza enganosa e às várias formas como pode ser realizado. Os
atacantes usam técnicas eficazes para manipular as pessoas, muitas vezes se passando
por fontes confiáveis. Eles conseguem alcançar um grande número de pessoas rapida-
mente, enviando emails ou mensagens em massa. Além disso, utilizam uma variedade de
métodos, como emails, mensagens de texto e até ligações telefónicas, o que torna difícil evi-
tar esses ataques. Uma das razões pelas quais o phishing é tão perigoso é que os golpes
são frequentemente difíceis de detetar, já que os atacantes criam mensagens que parecem
autênticas, dificultando a distinção entre o real e o falso.

5.3 Tarefa 3 - Melhorias Aplicar

Controlo de segurança para atenuar o risco de Phising: implementação de programas abran-
gentes de conscientização e treinamento em segurança cibernética. Os funcionários devem
ser educados sobre as ameaças de phishing e instruídos a serem cautelosos ao lidar com
e-mails suspeitos ou solicitações de informações confidenciais.

6
6 Conclusão:
Após a conclusão deste trabalho, é fundamental fazer uma análise cuidadosa do trabalho
realizado. Antes de começarmos, enfrentamos algumas dificuldades em distinguir entre
ameaças e ataques no nosso quotidiano, pois inicialmente pareciam ser conceitos seme-
lhantes. No entanto, através da pesquisa realizada para este projeto e da sua execução,
o grupo conseguiu adquirir um entendimento claro da diferença entre esses termos, o que
se revela extremamente valioso em termos académicos e profissionais, especialmente no
contexto da Segurança em Redes.
No que diz respeito ao segundo aspeto a ser analisado, as vulnerabilidades, o grupo já
possuía algum conhecimento prévio, adquirido na primeira aula prática onde foi abordado
este tema. No entanto, neste desafio não foi fácil de compreender a dinâmica da rede para
identificar as vulnerabilidades presentes, uma vez que a complexidade da arquitetura da
infraestrutura era grande.
Em suma, consideramos que este projeto prático foi extremamente enriquecedor, pois per-
mitiu expandir significativamente o nosso conhecimento, com ênfase particular na análise
de segurança da informação da infraestrutura em questão.

7
Referências
[1] Centro Nacional de Cibersegurança. Relatório de riscos e conflitos de cibersegu-
rança 2021, 2021. Acesso em 15/02/2024. URL: [Link]
[Link].
[2] Centro Nacional de Cibersegurança. Estatísticas de cibersegurança, 2024. Acesso em
15/02/2024. URL: [Link]