FolioPierEstudos de TI

Revisão de segurança, privacidade e proxy

Nota 9 de 9 · 18 min de leitura
Nesta página
  1. Erros comuns
  2. Checklist de dados pessoais no atendimento
  3. Checklist de credenciais
  4. Checklist de um acesso remoto
  5. Checklist de um arquivo bloqueado pelo antivírus
  6. Checklist de uma suspeita de ransomware ou de golpe
  7. Checklist de uma integração bloqueada na rede
  8. Glossário
  9. Para continuar estudando
  10. Referências

Este capítulo reúne o conteúdo de segurança, privacidade e proxy para revisão: os erros mais comuns, os checklists de atendimento, o glossário, as referências e perguntas que misturam vários assuntos.

Erros comuns

  • Copiar a base de clientes para o computador do técnico. Os dados saem do ambiente da farmácia, e o diagnóstico no próprio servidor resolve sem a cópia.
  • Enviar planilhas e backups por aplicativo de mensagens. O arquivo fica em aparelhos e serviços fora do controle da farmácia, e o canal oficial do atendimento existe para isso.
  • Apagar o cadastro de um cliente direto no banco a pedido dele. A decisão é da farmácia, e a guarda dos documentos fiscais e as vendas ligadas ao cadastro limitam a eliminação.
  • Esperar a confirmação de um incidente para avisar a farmácia. O prazo de comunicação é curto, e a farmácia precisa saber logo para avaliar o caso.
  • Anexar ao chamado o arquivo de configuração inteiro. Senhas, tokens e strings de conexão seguem junto, e o trecho necessário vai com os valores mascarados.
  • Mascarar apagando o campo. A informação de que o campo estava vazio ou preenchido se perde, e ela ajuda no diagnóstico.
  • Apagar a mensagem com a senha e considerar o caso encerrado. A mensagem pode ter sido lida ou copiada, e a credencial precisa ser trocada.
  • Usar o root do MySQL nas integrações. Uma senha vazada dá acesso total ao banco, e um usuário próprio com permissões mínimas limita o estrago.
  • Pedir a senha do usuário para fazer o atendimento. O usuário digita a própria senha na sessão remota, ou o administrador cria um acesso para o atendimento.
  • Encaminhar a porta 3389 do roteador para o servidor da loja. A Área de Trabalho Remota fica exposta a tentativas automáticas de senha, e a VPN ou a ferramenta de acesso assistido evitam a porta aberta.
  • Conectar pela Área de Trabalho Remota em um caixa em uso. Os Windows 10 e 11 aceitam uma sessão por vez, e a conexão tira a sessão de quem está no caixa.
  • Deixar o acesso não assistido com uma senha fraca ou repetida. O computador fica aberto a quem descobrir a senha, e cada computador precisa de uma senha longa e única.
  • Encerrar uma sessão com o logoff sem avisar o usuário. Os programas da sessão fecham, e o que não foi salvo se perde.
  • Desligar o antivírus para resolver um bloqueio. O computador fica exposto, e uma exclusão estreita, com o caminho completo, resolve o caso confirmado.
  • Excluir da análise o disco C ou as pastas temporárias. Pastas amplas e temporárias são usadas por ataques, e a Microsoft desaconselha essas exclusões.
  • Restaurar da quarentena sem confirmar a origem do arquivo. Um arquivo malicioso volta a ser executado, e a confirmação com o fornecedor vem antes.
  • Incluir uma exclusão com o comando Set-MpPreference. O comando substitui a lista inteira, e o Add-MpPreference inclui a exclusão sem apagar as outras.
  • Manter dois antivírus ativos no Windows Server. O Defender não se desativa sozinho no Windows Server, e os dois antivírus disputam os mesmos arquivos.
  • Guardar o backup em um disco ligado o tempo todo ao servidor. O ransomware alcança o disco e criptografa a cópia junto com os dados.
  • Tratar a pasta sincronizada com a nuvem como backup. Os arquivos criptografados também são sincronizados, e só o histórico de versões permite voltar.
  • Desligar o computador atacado antes de tirá-lo da rede. O desligamento apaga vestígios, e o isolamento da rede vem primeiro.
  • Restaurar as cópias sem descobrir a entrada do ataque. O ataque volta pelo mesmo caminho, e a causa é tratada antes da restauração.
  • Confirmar um pedido pelo telefone que veio na própria mensagem. O golpista atende do outro lado, e o contato do cadastro é o canal seguro.
  • Aceitar o comprovante de Pix na tela do cliente. O comprovante pode ser falso, e o Pix vale quando aparece no extrato da loja.
  • Testar a integração só pelo navegador. O navegador usa o proxy do usuário, e o serviço pode usar o WinHTTP, a configuração do programa ou nenhum proxy.
  • Liberar uma integração no filtro pelo endereço IP. Os serviços mudam de endereço, e a liberação pelo nome do domínio acompanha essas mudanças.
  • Desligar a verificação de certificado para contornar a inspeção de HTTPS. A conexão fica aberta a interceptações, e a exceção de inspeção resolve sem esse risco.

Checklist de dados pessoais no atendimento

  • O acesso se limita às linhas e às colunas que o chamado exige?
  • O diagnóstico acontece no próprio servidor, sem cópias da base fora dele?
  • As capturas de tela e os trechos de log do chamado estão com os dados pessoais encobertos?
  • As cópias temporárias do atendimento foram eliminadas?
  • A farmácia foi avisada de qualquer exposição percebida, com o registro do que foi visto?

Checklist de credenciais

  • Algum arquivo, log ou captura do chamado mostra uma senha, um token, uma chave ou uma string de conexão?
  • Os valores mascarados indicam se cada campo estava preenchido ou vazio?
  • A credencial exposta foi trocada, atualizada nos programas e revogada?
  • As integrações usam usuários próprios, com o mínimo de permissões?

Checklist de um acesso remoto

Antes da conexão

  • O pedido chegou por um canal conhecido, e o usuário autorizou o acesso?
  • O computador e o momento do acesso foram combinados, principalmente nos caixas?

Durante e depois

  • O acesso se limitou ao que o chamado pede?
  • A sessão foi encerrada, e os acessos temporários foram retirados?
  • O chamado registra o horário, o computador acessado e o que foi feito?
  • A porta 3389 continua fechada para a internet?

Checklist de um arquivo bloqueado pelo antivírus

  • O Histórico de proteção mostra uma detecção, com o arquivo e a data?
  • A origem do arquivo foi confirmada pelo fornecedor?
  • A exclusão usa o caminho completo e o menor alcance possível?
  • A exclusão ficou registrada no chamado, com o motivo?
  • No Windows Server, existe outro antivírus ativo ao lado do Defender?

Checklist de uma suspeita de ransomware ou de golpe

Ransomware

  • O computador saiu da rede e continua ligado?
  • Os outros computadores e as pastas compartilhadas foram conferidos?
  • A farmácia foi avisada, com o registro dos horários e das mensagens?
  • Existe uma cópia desligada ou fora da loja, anterior ao ataque?
  • A porta de entrada foi identificada antes da restauração?

Golpe

  • O pedido foi confirmado por um canal conhecido, e não pelo contato da mensagem?
  • A senha exposta foi trocada em todos os lugares em que era usada?
  • O banco foi acionado, e as evidências foram guardadas?

Checklist de uma integração bloqueada na rede

  • A rede usa proxy, e qual configuração o programa usa, a do usuário, a do WinHTTP ou a própria?
  • O teste com o curl pelo proxy e sem ele mostra resultados diferentes?
  • O DNS da rede devolve o endereço esperado para o domínio da integração?
  • O certificado recebido foi emitido pela autoridade do serviço ou pela autoridade do filtro?
  • Os domínios da integração estão liberados no filtro e fora da inspeção de HTTPS?

Glossário

  • Acesso assistido: o acesso remoto em que o usuário abre a ferramenta, informa o código ao técnico e acompanha a sessão.
  • Acesso controlado a pastas: a proteção do Windows que só deixa programas confiáveis alterarem os arquivos das pastas protegidas.
  • Acesso não assistido: o acesso remoto com a ferramenta instalada como serviço e uma senha fixa, sem ninguém diante do computador.
  • Anonimização: o tratamento que faz um dado perder a possibilidade de associação a uma pessoa.
  • ANPD: a Agência Nacional de Proteção de Dados, que regulamenta e fiscaliza a aplicação da LGPD.
  • Área de Trabalho Remota: o recurso do Windows que abre uma sessão em outro computador pelo protocolo RDP.
  • Assistência Rápida: a ferramenta de acesso assistido do Windows, com um código de segurança de validade limitada.
  • Bloqueio de conta: a política que bloqueia uma conta depois de um número de senhas erradas.
  • cacerts: o arquivo com as autoridades certificadoras em que os programas Java confiam.
  • Cache: a cópia de conteúdos frequentes guardada pelo proxy para responder mais rápido.
  • Certificado fixado: o certificado que um programa exige de um serviço, com a recusa de qualquer outro.
  • Código 407: a resposta do proxy que exige autenticação antes de liberar a requisição.
  • CONNECT: o método HTTP que pede ao proxy um túnel até o destino, usado no HTTPS.
  • Controlador: quem toma as decisões sobre o tratamento de dados pessoais, como a farmácia em relação aos clientes.
  • Cópia de sombra: a versão anterior dos arquivos guardada pelo Windows, que os grupos de ransomware costumam apagar.
  • Cópia imutável: a cópia guardada em um armazenamento que impede apagar e alterar o conteúdo por um período.
  • Credencial: a informação que comprova a identidade de uma pessoa ou de um sistema, como uma senha, um token ou um certificado.
  • Dado pessoal: a informação relacionada a uma pessoa natural identificada ou identificável.
  • Dado pessoal sensível: o dado pessoal sobre saúde, vida sexual, origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização, dado genético ou biométrico.
  • DDA: o Débito Direto Autorizado, que mostra no banco da empresa os boletos emitidos em nome dela.
  • Dupla extorsão: a tática de copiar os dados antes da criptografia e ameaçar publicá-los.
  • Encarregado: a pessoa indicada como canal de comunicação entre o controlador, os titulares e a ANPD.
  • Engenharia social: a manipulação de pessoas para obter acesso, dados ou pagamentos, com urgência, autoridade e pedidos fora do normal.
  • Exceção de inspeção: a regra do filtro que deixa um domínio passar sem a inspeção de HTTPS.
  • Exclusão: o item que o antivírus deixa de analisar, como um arquivo, uma pasta, uma extensão ou os arquivos abertos por um processo.
  • Falso positivo: a detecção de um arquivo legítimo como ameaça.
  • Filtro de conteúdo: o controle que bloqueia sites e serviços por categoria, por nome ou por endereço, no proxy, no firewall ou no DNS.
  • Gerenciador de senhas: o programa que guarda as senhas protegidas e controla quem acessa cada uma.
  • Histórico de proteção: a tela da Segurança do Windows que mostra as detecções e as ações tomadas.
  • Imagem limpa: a cópia de uma instalação sem infecção, usada para reconstruir os computadores.
  • Incidente de segurança: o evento adverso confirmado que viola a confidencialidade, a integridade, a disponibilidade ou a autenticidade dos dados pessoais.
  • Inspeção de HTTPS: a técnica em que o filtro abre a conexão protegida e apresenta um certificado da própria autoridade.
  • LGPD: a Lei Geral de Proteção de Dados Pessoais, a Lei nº 13.709/2018.
  • Lista de exceções: os destinos que não passam pelo proxy, como os endereços da rede interna.
  • Mascaramento: a troca de parte de um valor, ou do valor inteiro, por caracteres que não revelam o conteúdo.
  • MED: o Mecanismo Especial de Devolução, que permite contestar um Pix pelo banco.
  • Menor privilégio: o princípio de dar a cada conta só as permissões de que ela precisa.
  • Microsoft Defender Antivírus: o antivírus dos Windows 10 e 11, gerenciado pelo aplicativo Segurança do Windows.
  • NLA: a autenticação no nível da rede, que exige a autenticação antes da criação da sessão remota.
  • Operador: quem trata os dados pessoais em nome do controlador e segue as instruções dele.
  • PAC: o arquivo de configuração automática que define qual proxy usar para cada destino.
  • Phishing: a mensagem falsa que imita uma empresa conhecida para roubar dados ou instalar um programa malicioso.
  • Proxy: o servidor intermediário que recebe as requisições dos computadores e as repassa à internet.
  • Proxy explícito: o proxy cujo endereço e porta estão configurados no programa ou no Windows.
  • Proxy reverso: o proxy que fica na frente de um serviço e recebe as conexões vindas da internet.
  • Proxy transparente: o proxy que recebe o tráfego desviado pela rede, sem configuração no computador.
  • Quarentena: a área isolada em que o antivírus guarda os arquivos detectados, sem que eles possam ser executados.
  • Ransomware: o programa malicioso que criptografa os arquivos e cobra um resgate para devolvê-los.
  • RDP: o protocolo da Área de Trabalho Remota, na porta 3389.
  • Regra 3-2-1: a estrutura de três cópias dos dados, em dois tipos de mídia, com uma cópia fora do local.
  • SmartScreen: a proteção do Windows que avalia a reputação dos programas baixados da internet.
  • Titular: a pessoa a quem os dados pessoais se referem.
  • Tratamento: qualquer operação com dados pessoais, como coletar, consultar, copiar, armazenar e eliminar.
  • Verificação em duas etapas: a autenticação que pede algo além da senha, como um código gerado por um aplicativo no celular.
  • WinHTTP: a biblioteca de acesso à internet usada por serviços do Windows, com uma configuração de proxy para o computador inteiro.
  • WPAD: o protocolo que localiza na rede o script de configuração automática do proxy.

Para continuar estudando

  • Segmentação da rede: a separação dos caixas, dos servidores e da rede de visitantes em redes diferentes.
  • Atualizações de segurança: a priorização das correções dos sistemas, dos roteadores e dos equipamentos.
  • Centralização de logs: a reunião dos registros de vários computadores para perceber tentativas de acesso.
  • Criptografia de disco: o BitLocker e a proteção dos dados de notebooks e servidores furtados.
  • Normas de segurança: a ISO/IEC 27001, sobre a gestão da segurança da informação, e o PCI DSS, sobre os dados de cartão.

Referências

As referências a seguir reúnem a legislação, a documentação da Microsoft e de outros fabricantes, as cartilhas do CERT.br e os guias de órgãos de segurança sobre os principais assuntos de segurança, privacidade e proxy. Parte do material está em inglês.

Proteção de dados pessoais

Senhas e credenciais

Acesso remoto

Antivírus e proteção do Windows

Ransomware e cópias de segurança

Golpes e engenharia social

Proxy, filtros e certificados

No suporte

Qualquer atendimento que toca em segurança passa por quatro perguntas:

  • quais dados e quais credenciais o atendimento expõe, e como eles ficam protegidos;
  • quem autorizou o acesso, e por qual canal o pedido chegou;
  • qual proteção bloqueou ou alterou o caminho, entre o antivírus, o proxy, o filtro e a inspeção de HTTPS;
  • quem precisa saber, como a farmácia diante de um incidente.

Com essas perguntas, o atendimento resolve o problema sem abrir outro e deixa as decisões sobre os dados e os riscos com quem responde por eles.

Para guardar

  • A farmácia decide sobre os dados pessoais, e o suporte trata esses dados em nome dela, com o mínimo de acesso.
  • As credenciais aparecem mascaradas nos chamados, e uma credencial exposta é trocada e revogada.
  • O acesso remoto parte de um pedido confirmado e termina com a sessão encerrada e registrada.
  • As exclusões do antivírus são estreitas, com o caminho completo e o registro do motivo.
  • Contra o ransomware, vale a cópia que o ataque não alcança e que já foi restaurada em teste.
  • O proxy, o filtro e a inspeção de HTTPS mudam o caminho das integrações e explicam falhas que parecem do serviço.
A funcionária do caixa 01 recebe um telefonema de alguém que se apresenta como o suporte do sistema e pede a instalação de uma ferramenta de acesso remoto para uma atualização urgente. Qual é a orientação?

A confirmação pelo canal conhecido do suporte, e não pelo número de quem ligou. A urgência e o pedido de instalação são sinais de golpe, e o acesso remoto só é liberado quando a própria loja procurou o suporte. Se a ferramenta já foi instalada, o caixa sai da rede, e a farmácia é avisada.

Para pedir ajuda ao fornecedor de uma integração, um técnico precisa enviar um trecho de log que mostra o token de acesso e o CPF dos clientes em cada requisição. Como preparar o envio?

O trecho necessário vai com o token mascarado, deixando visíveis só os últimos caracteres, e com os CPFs encobertos, pelo canal oficial do atendimento. O fornecedor localiza a falha pelos identificadores e pelos horários, sem receber a credencial nem os dados pessoais. Se o log já circulou sem a máscara, o token é trocado, e a farmácia avalia a exposição dos dados.

Na filial 01, um filtro novo passou a inspecionar o HTTPS. No mesmo dia, a integração de preços em Java do servidor da loja falhou com PKIX path building failed, e a emissão de NFC-e falhou na negociação TLS. O que as duas falhas têm em comum?

A inspeção de HTTPS. O Java não confia na autoridade do filtro, porque usa o próprio cacerts, e a comunicação fiscal usa o certificado do cliente, que o filtro não consegue apresentar em nome da loja. A exceção de inspeção para os domínios dos dois serviços resolve, sem desligar a verificação de certificado.

Um ransomware criptografou o servidor da loja, incluindo a pasta de dados do MySQL, e o backup diário ficava em uma pasta compartilhada do próprio servidor. Existe ainda uma cópia semanal em um disco guardado fora da loja. Qual é a ordem do atendimento?

O isolamento do servidor e dos computadores com acesso às pastas compartilhadas, mantidos ligados, e o aviso imediato à farmácia, que avalia a comunicação do incidente, porque o ataque pode ter copiado dados de clientes. Depois da identificação da porta de entrada e da limpeza, a restauração parte da cópia semanal guardada fora da loja, e as senhas das contas envolvidas são trocadas.

Publicado a partir do Obsidian · FolioPier