Cyber - Security .Analytics - Technology.and - Automation

Machine Translated by Google
Sistemas Inteligentes, Controle e Automação:

Ciência e Engenharia
Martti Lehto
Editores Pekka Neittaanmäki
Cíber segurança:
Análise,
Tecnologia e
Automação
www.it-ebooks.info
Sistemas Inteligentes, Controle e Automação:

Ciência e Engenharia
Volume 78
Editor da série
SG Tzafestas, Atenas, Grécia
Conselho Consultivo Editorial
P. Antsaklis, Notre Dame, IN, EUA P.

Borne, Lille, França DG
Caldwell, Salford, Reino Unido
CS Chen, Akron, OH, EUA T.
Fukuda, Nagoya, Japão S.
Monaco, Roma, Itália RR
Negenborn, Delft, 1999; Holanda G.
Schmidt, Munique, Alemanha SG
Tzafestas, Atenas, Grécia F.
Harashima, Tóquio, Japão D.
Tobacco, Fairfax, VA, EUA K.
Valavanis, Denver, CO, EUA
www.it-ebooks.info
Mais informações sobre esta série em http://www.springer.com/series/6259
www.it-ebooks.info
Martti Lehto • Pekka Neittaanmäki

Editores
Segurança cibernética: análise,

Tecnologia e Automação
123
www.it-ebooks.info
Editores
Martti Lehto Pekka Neittaanmäki
Departamento de Informação Matemática Departamento de Informação Matemática
Tecnologia Tecnologia
Universidade de Jyväskylä Universidade de Jyväskylä
Jyväskylä Jyväskylä
Finlândia Finlândia
ISSN 2213-8986 ISSN 2213-8994 (eletrônico)

Sistemas Inteligentes, Controle e Automação: Ciência e Engenharia ISBN
978-3-319-18301-5 ISBN 978-3-319-18302-2 (e-book)
DOI 10.1007/978-3-319-18302-2
Número de controle da Biblioteca do Congresso: 2015938724
Springer Cham Heidelberg Nova York Dordrecht Londres © Springer

International Publishing Suíça 2015 Este trabalho está sujeito a
direitos autorais. Todos os direitos são reservados à Editora, quer se trate da totalidade ou de parte do material,
especificamente os direitos de tradução, reimpressão, reutilização de ilustrações, recitação, transmissão, reprodução em
microfilmes ou de qualquer outra forma física, e transmissão ou armazenamento de informações e recuperação, adaptação
eletrônica, software de computador ou por metodologia semelhante ou diferente agora conhecida ou desenvolvida
posteriormente.
O uso de nomes descritivos gerais, nomes registrados, marcas registradas, marcas de serviço, etc. nesta publicação não
implica, mesmo na ausência de uma declaração específica, que tais nomes estejam isentos das leis e regulamentos de
proteção relevantes e, portanto, gratuitos para uso geral. usar.
A editora, os autores e os editores podem assumir com segurança que os conselhos e informações contidos neste livro são
considerados verdadeiros e precisos na data de publicação. Nem o editor, nem os autores ou editores oferecem garantia,
expressa ou implícita, com relação ao material aqui contido ou por quaisquer erros ou omissões que possam ter sido
cometidos.
Impresso em papel sem ácido
Springer International Publishing AG Suíça faz parte da Springer Science+Business Media (www.springer.com)
www.it-ebooks.info
Prefácio
O ciberespaço global é constituído por redes de informação complexas e multicamadas que

abrangem as redes de comunicação do sector público, da comunidade empresarial, das
autoridades de segurança e dos sistemas de controlo e monitorização utilizados pela indústria e
pelas infra-estruturas críticas que, através da Internet, criam uma rede mundial. .
O processamento e a utilização imaginativos de dados, decorrentes das necessidades dos
cidadãos e da comunidade empresarial, são alguns dos elementos mais importantes de uma
sociedade próspera. A informação e o know-how tornaram-se “mercadorias” essenciais na
sociedade e podem ser utilizados de forma ainda mais eficiente através da tecnologia da informação.
Diferentes serviços eletrônicos interativos estão disponíveis de forma onipresente,
independentemente da hora e do local. Embora o setor público, a economia, a comunidade
empresarial e os cidadãos beneficiem de serviços em rede a nível mundial, a sociedade das TI
digitais contém vulnerabilidades inerentes que podem gerar riscos de segurança para os
cidadãos, para a comunidade empresarial ou para as funções vitais da sociedade.
A sociedade está gradualmente a transformar-se numa cultura de serviços baseada na
informação, proporcionando, cada vez mais, serviços digitais públicos e comerciais aos cidadãos.
As redes electrónicas de TIC e os serviços digitais são vitais para o funcionamento da sociedade.
Juntamente com as tendências gerais de mudança, os avanços na tecnologia e a utilização da
Internet, o ambiente operacional é fortemente influenciado pela natureza global deste sector em
crescente expansão e pelas mudanças de hábitos entre os utilizadores, bem como pelos desafios
associados à fiabilidade e segurança. .
Os riscos de segurança cibernética tornaram-se cada vez mais comuns. Riscos que antes
eram considerados improváveis aparecem agora com maior regularidade. Esta tendência resume
as novas formas de instrumentos e métodos utilizados nos ataques, bem como as vulnerabilidades
cada vez maiores e a maior motivação dos atacantes.
O impacto crescente dos ataques cibernéticos exige soluções novas, criativas e inovadoras para
mitigar os riscos. No passado, os atacantes eram indivíduos ou pequenos grupos de hackers;
hoje em dia, no entanto, várias organizações estatais que utilizam armas cibernéticas de última
geração estão, em particular, a realizar ataques direcionados. Estas chamadas Ameaças
Persistentes Avançadas (APTs) concentram-se em alvos cuidadosamente selecionados; seu
desenvolvimento requer conhecimentos sofisticados e ampla
recursos.
em
www.it-ebooks.info
nós Prefácio
Uma tendência global é que os serviços estejam sendo transferidos para a nuvem. Funcionários
públicos, empresas e cidadãos estão cada vez mais migrando para o armazenamento e a computação
em nuvem. Como conceito, a computação em nuvem ilustra uma mudança de paradigma, na qual os
serviços são fornecidos dentro de uma “nuvem” cujos detalhes técnicos permanecem opacos e fora do
controle dos usuários do serviço. A computação em nuvem apresenta um novo modelo de geração,
utilização e fornecimento de serviços de TIC, que inclui recursos virtuais dinamicamente escaláveis como
serviços prestados através da Internet. De acordo com a tendência predominante, as organizações
governamentais estão cada vez mais a transferir dados críticos relacionados com a infraestrutura de TI
para a nuvem, o que traz novos desafios de segurança cibernética. A computação em nuvem e os
serviços em nuvem estão integralmente ligados ao Big Data, que está sendo utilizado em uma plataforma
para a criação de novos serviços para usuários finais. Isto, por sua vez, exige uma cooperação estreita
entre os prestadores de serviços em nuvem e os fornecedores de soluções de segurança cibernética. No
futuro, os serviços em nuvem darão ênfase à geração de soluções específicas de segurança cibernética
e à proteção da identidade e da privacidade, bem como de soluções diversas associadas à criptografia
de dados.
A Internet das Coisas (IoT) representa a transformação da indústria onde os produtos industriais e a
produção industrial utilizam a Internet, a nanotecnologia e todo o setor das TIC. A IoT dá aos objetos, ou
“coisas”, identidades reconhecíveis e eles se comunicam através da rede global de TIC. Novos
equipamentos, como diferentes robôs industriais e de serviços, bem como sensores de recolha de
informações, estão a ligar-se a essas redes a um ritmo cada vez mais acelerado. O último passo neste
desenvolvimento envolve diferentes tipos de veículos, como carros, carrinhos e ônibus, bem como
diferentes tipos de maquinaria pesada.
Os carros modernos são dispositivos inteligentes com a maioria dos seus sistemas controlados por
computadores. A comunicação entre outros automóveis, sistemas de controlo de tráfego e dispositivos
de utilizador (por exemplo, smartphones) também está a aumentar. Embora os sistemas de
infoentretenimento forneçam muitos serviços ao motorista, eles também podem ser uma distração. Todo
esse tráfego de informações apresenta riscos de erros técnicos ou de usuário, e ainda possibilita ataques remotos contra
carros.
É necessária investigação interdisciplinar e holística sobre segurança cibernética para resolver estes
novos desafios. Devido à complexidade do campo, a pesquisa deve atender aos quatro paradigmas
básicos da ciência: as abordagens computacionais teóricas, experimentais, baseadas em modelos e
baseadas em dados.
A ciência computacional representa o terceiro paradigma da ciência, aquele que utiliza computadores
para simular fenômenos ou situações que ainda podem não existir no mundo real. Os rápidos avanços
na tecnologia de TI e na competência metodológica facilitam a introdução de modelos computacionais
cada vez mais complexos e realistas para resolver problemas relacionados à pesquisa. Os métodos da
ciência da computação também podem ser empregados com sucesso na busca de soluções para
situações em que os métodos tradicionais não conseguem gerar resultados suficientemente precisos.
Uma abordagem computacional pode aumentar a conscientização entre os setores da segurança
cibernética que são importantes para a sociedade. A abordagem computacional não apenas fortalece a
pesquisa multidisciplinar e interdisciplinar, mas também acelera e intensifica o desenvolvimento de
produtos.
Simultaneamente, ajuda a diminuir as barreiras entre os campos de investigação tanto no
www.it-ebooks.info
Prefácio vii
setor público e privado. Também estimula a inovação e gera novos avanços na pesquisa e no
desenvolvimento de produtos.
Em muitos casos, as simulações em grande escala são acompanhadas por desafios na
computação com uso intensivo de dados. Superar os desafios da computação com uso intensivo de
dados exigiu a otimização da movimentação de dados em vários níveis de hierarquias de memória.
Essas considerações tornaram-se ainda mais importantes à medida que nos preparamos para a
computação em exaescala.
O volume de informações e dados registrados no mundo digital é vasto. Ao combinar de forma
inteligente informação em tempo real, compilada de diferentes fontes, é possível criar tipos de
informação inteiramente novos que podem ajudar a quebrar barreiras entre sectores. A segurança
cibernética é vital para todas as aplicações do tipo Big Data e a integração dos pedaços de informação
gerados através da prospeção de dados exige software de alto nível e competência em TIC. O
desenvolvimento de métodos de pesquisa de Big Data oferece melhores oportunidades para
cientistas de diferentes áreas realizarem pesquisas em diferentes áreas e também encontrarem
soluções para suas questões. Além do desenvolvimento da metodologia Big Data, é importante
prestar atenção à multidisciplinaridade e promover a cooperação interdisciplinar, nomeadamente
entre matemáticos, cientistas das tecnologias da informação e cientistas sociais.
A segurança abrangente baseia-se na eliminação mais eficaz de todas as ameaças à vida dos
indivíduos. Hoje em dia, as TIC e as soluções concomitantes de segurança cibernética desempenham
um papel crítico na salvaguarda de uma segurança abrangente. A segurança nas suas inúmeras
formas, e especialmente a segurança cibernética, é um domínio que só crescerá em termos de
competências e oportunidades de negócio.
A competência em segurança cibernética é transversal aos diferentes setores e esferas da
educação. São necessários conhecimentos especializados de alto nível em matéria de cibersegurança
para gerar e melhorar o conhecimento situacional em matéria de cibersegurança, bem como planos
de contingência eficazes contra ameaças cibernéticas, criar sistemas que defendam infra-estruturas
críticas e desenvolver soluções funcionais de cibersegurança.
Jyväskylä Pekka Neittaanmäki

Outubro de 2014 Martti Lehto
www.it-ebooks.info
Conteúdo
Parte I O mundo cibernético hoje
Fenômenos no mundo cibernético ............................ 3

Martti Lehto
O mundo cibernético como sistema social . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31

Tuija Kuusisto e Rauno Kuusisto
Cidadãos no Mundo Cibernético – Despachos da “Clínica” Virtual . . . . . 45

Torsti Sirén e Aki-Mauri Huhtinen
Poderes e direitos fundamentais em segurança cibernética. . . . . . . . . . . . . . . 63

Riitta Ollila
Parte II Ameaças, Legalidade e Estratégia à Segurança Cibernética
Codificador, Hacker, Soldado, Espião. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 73

Kenneth Geers
Guerra Cibernética . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 89
Chuva Ottis
Decepção no mundo cibernético . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 97

William Hutchinson
Marco Legal da Segurança Cibernética. . . . . . . . . . . . . . . . . . . . . . . . . . 109

Eneken Tikk Ringas
Estratégia e implementação finlandesa de segurança cibernética . . . . . . . . . . . . . 129

Antti Sillanpää, Harri Roivainen e Martti Lehto
ix
www.it-ebooks.info
x Conteúdo
Parte III Tecnologia de Segurança Cibernética
Classificação de protocolo baseada em cluster

via Redução de Dimensionalidade . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 147
Gil David
Ataques de tempo e canal lateral . . . . . . . . . . . . . . . . . . . . . . . . . . . 183

Nezer Zaidenberg e Amit Resh
Descoberta de conhecimento a partir de registros de rede . . . . . . . . . . . . . . . . . . . . . 195

Tuomo Sipola
Computação confiável e DRM . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 205

Nezer Zaidenberg, Pekka Neittaanmäki,
Michael Kiperberg e Amit Resh
Parte IV Segurança Cibernética e Automação
Segurança Cibernética e Proteção de Sistemas ICS:

Um exemplo australiano . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 215
Matthew J. Warren e Shona Leitch
Rumo à automação confiável. . . . . . . . . . . . . . . . . . . . . . . . . . . . 229

Jari Seppälä e Mikko Salmenperä
Honeypots especializados para sistemas SCADA . . . . . . . . . . . . . . . . . . . . 251

Paulo Simões, Tiago Cruz, Jorge Proença
and Edmundo Monteiro
www.it-ebooks.info
Parte I
O mundo cibernético hoje
www.it-ebooks.info
Fenômenos no mundo cibernético
Martti Lehto
Resumo Este capítulo descreve e avalia o mundo cibernético, incluindo seus fenômenos, de uma
perspectiva estratégica. Como não existem definições universalmente aceites para o mundo
cibernético, a literatura e as publicações associadas abordam-no de muitas maneiras diferentes. Um
modelo de cinco camadas é construído para ameaças cibernéticas, que incluem vandalismo
cibernético, crime cibernético, inteligência cibernética, terrorismo cibernético e guerra cibernética.
Este capítulo descreve o modelo de risco baseado em padrões, as operações cibernéticas e o
armamento cibernético, bem como as estruturas críticas da sociedade como alvos. Além disso, são
fornecidas definições de segurança cibernética. Os fenômenos do mundo cibernético são abordados
com mais detalhes em outros capítulos deste livro.
1 O que significa 'cibernético'?
Acredita-se geralmente que a palavra ciber se origina do verbo grego ÿÿÿÿÿÿÿ (kybereo) – dirigir,
guiar, controlar. No final da década de 1940, Norbert Wiener (1894–1964), um matemático americano,
começou a usar a palavra cibernética para descrever sistemas de controle computadorizados.
Segundo Wiener, a cibernética trata das ciências que tratam do controle de máquinas e organismos
vivos por meio de comunicação e feedback. De acordo com o paradigma cibernético, o
compartilhamento e a manipulação de informações são utilizados no controle de sistemas biológicos,
físicos e químicos. A cibernética só se aplica a sistemas semelhantes a máquinas, nos quais o
funcionamento do sistema e o resultado final podem ser modelados e determinados matematicamente,
ou pelo menos previstos. O sistema cibernético é um sistema fechado, não trocando nem energia
nem matéria com o seu ambiente. (Porter 1969; Ståhle 2004)
O prefixo cibernético é frequentemente visto em conjunto com computadores e robôs.

William Gibson, um romancista de ficção científica, cunhou o termo ciberespaço em seu romance
M. Lehto (&)
Departamento de Tecnologia da Informação Matemática,
Universidade de Jyväskylä, Jyväskylä, Finlândia
e-mail: [email protected]
© Springer International Publishing Switzerland 2015 M. Lehto 3

e P. Neittaanmäki (eds.), Cyber Security: Analytics, Technology and
Automation, Intelligent Systems, Control and Automation: Science and Engineering
78, DOI 10.1007/978-3-319-18302- 2_1
www.it-ebooks.info
4 M. Lehto
Neuromante (Gibson 1984). A literatura e os filmes de ficção científica retratam o ciberespaço

gibsoniano, ou matriz, como uma rede global de informação informatizada na qual os dados são
codificados numa forma tridimensional e multicolorida. Os utilizadores entram no ciberespaço através
de uma interface de computador, podendo depois “voar” através do ciberespaço como avatares ou
explorar áreas urbanas entrando nos edifícios representados pelos dados.
O ciberespaço, como conceito, pode ser percebido através do seguinte modelo conceitual
(Kuusisto 2012):
• Mundo cibernético: a presença da existência humana pós-moderna na Terra. • Espaço

cibernético: um estado artificial dinâmico formado por bits • Domínio
cibernético: um domínio precisamente delineado controlado por alguém, • Ecossistema
cibernético: sistemas de uma comunidade cibernética e seu ambiente • Ambiente
cibernético: ambientes construídos que fornecem o cenário para a atividade cibernética humana e
onde as pessoas, instituições e sistemas físicos com quem interagem,
• Cultura cibernética: a totalidade dos aspectos mentais e físicos relacionados ao ciberespaço

conquistas de uma comunidade ou de toda a humanidade.
Muitos países estão a definir o que entendem por mundo cibernético ou segurança cibernética
nos seus documentos de estratégia nacional. O tema comum a todas estas definições variadas,
contudo, é que a segurança cibernética é fundamental para proteger os segredos governamentais
e permitir a defesa nacional, além de proteger as infra-estruturas críticas que permeiam e impulsionam
a economia global do século XXI.
A estratégia australiana de segurança cibernética define o ciberespaço com base na economia
digital da Austrália e na importância e nos benefícios das TIC para toda a economia nacional. De
acordo com a estratégia “a segurança nacional, a prosperidade económica e o bem-estar social da
Austrália dependem criticamente da disponibilidade, integridade e confidencialidade de uma série
de tecnologias de informação e comunicação (TIC). Isto inclui computadores desktop, a Internet,
dispositivos de comunicações móveis e outros sistemas e redes de computadores.” Em suma, trata-
se do mundo das redes e dos terminais (Lehto 2013).
A estratégia canadense de segurança cibernética começa com a definição de ciberespaço: “O

ciberespaço é o mundo eletrônico criado por redes interconectadas de tecnologia da informação e
pelas informações contidas nessas redes. É um bem comum global onde mais de 1,7 mil milhões de
pessoas estão ligadas entre si para trocar ideias, serviços e amizade.” O ciberespaço não se limita
apenas às redes físicas; pelo contrário, é um mundo que consiste na troca de informações,
comunicação e diferentes serviços (Ibid).
A estratégia de segurança cibernética da Finlândia afirma sucintamente: “Domínio cibernético

significa um domínio de processamento de informação eletrónica (dados) composto por uma ou
várias infraestruturas de tecnologia da informação. Representativa para o meio ambiente é a
utilização da eletrônica e do espectro eletromagnético para fins de armazenamento, processamento
e transferência de dados e informações através de redes de telecomunicações” (Ibid).
Na estratégia de segurança cibernética da Alemanha “O ciberespaço é o espaço virtual de todos

os sistemas de TI ligados a nível de dados em escala global. A base do ciberespaço é a
www.it-ebooks.info
Fenômenos no mundo cibernético 5
A Internet como uma rede de ligação e transporte universal e acessível ao público que pode ser
complementada e expandida por qualquer número de redes de dados adicionais. O ciberespaço inclui
todas as infra-estruturas de informação acessíveis através da Internet para além de todas as fronteiras
territoriais” (Ibid).
O Reino Unido define claramente o ciberespaço: “O ciberespaço é um domínio interactivo constituído
por redes digitais que é utilizado para armazenar, modificar e comunicar informação. Inclui a Internet,
mas também outros sistemas de informação que suportam os nossos negócios, infraestruturas e
serviços.” A estratégia ilustra a infra-estrutura crítica necessária para as actividades quotidianas da
sociedade (Ibid).
De acordo com o ponto de vista dos EUA, “o ciberespaço é o seu sistema nervoso [de infra-
estruturas críticas] – o sistema de controlo do nosso país. O ciberespaço é composto por centenas de
milhares de computadores, servidores, roteadores, switches e cabos de fibra óptica interconectados
que permitem o funcionamento de nossas infraestruturas críticas. Assim, o funcionamento saudável do
ciberespaço é essencial para a nossa economia e a nossa segurança nacional.”
A definição destaca a infra-estrutura crítica em vez dos serviços de rede, conteúdos de informação ou
utilizadores de serviços (Ibid).
Existem termos e conceitos associados ao ciberespaço que são difíceis de definir devido à própria
natureza do ciberespaço e aos seus diferentes fenómenos.
O ciberespaço é um ecossistema criado pelo homem. Embora os domínios terrestre, aéreo, marítimo e
espacial existam sem qualquer presença humana, o ciberespaço requer presença e atividades humanas
contínuas. O ciberespaço funde todas as redes TIC, bases de dados e fontes de informação num
sistema virtual global. As estruturas do ciberespaço incluem a economia, a política, as forças armadas,
a psicologia e a informação (Grobler et al. 2011).
Alguns pesquisadores também incluem domínios sociais e de infraestrutura no ciberespaço.
No entanto, a Internet é parte integrante e elementar deste novo mundo.
Os investigadores sul-africanos criaram um modelo das estruturas mais importantes do ciberespaço.
São eles a economia, a política, as forças armadas, a psicologia e a informação. De acordo com este
modelo, as estruturas económicas são um alvo significativo para ameaças cibernéticas. As estruturas
políticas são responsáveis pela manutenção da segurança nacional e pela viabilidade de uma sociedade
aberta. As forças armadas têm a tarefa de manter a segurança nacional e proteger a sociedade contra
as medidas da guerra cibernética. A dimensão psicológica desempenha um papel importante no mundo
cibernético; operações psicológicas podem influenciar o pensamento e o comportamento humanos. As
revoluções no Norte de África demonstraram a influência dos meios de comunicação social nas opiniões
das pessoas. A informação desempenha o papel mais importante em cada situação de ameaça
cibernética. As sociedades da informação ocidentais dependem da existência, credibilidade e
disponibilidade de informação (Ibid).
Usando a estrutura de Martin C. Libicki para o mundo cibernético, criou-se um modelo de mundo
cibernético de cinco camadas: física, sintática, semântica, de serviço e cognitiva. A camada física
contém os elementos físicos da rede de comunicações. A camada sintática é formada por diversos
programas e recursos de controle e gerenciamento do sistema que facilitam a interação entre os
dispositivos conectados à rede.
A camada semântica é o coração de toda a rede. Ele contém as informações e conjuntos de dados nos
terminais de computador do usuário, bem como diferentes funções administradas pelo usuário. A
camada de serviço contém todos os serviços públicos e comerciais que
www.it-ebooks.info
6 M. Lehto
Figura 1 As cinco camadas do mundo cibernético
os usuários usam na rede. A camada cognitiva retrata o ambiente de conscientização da informação

do usuário: um mundo no qual a informação está sendo interpretada e onde a compreensão contextual
da informação é criada. A camada cognitiva pode ser vista de uma perspectiva mais ampla como a
camada mental; incluindo a consciência cognitiva e emocional do usuário. Conceitos relacionados às
emoções, como confiança, aceitação e experiência, são centrais para a consciência emocional (Libicki
2007).
A Figura 1 mostra o modelo do mundo cibernético de cinco
camadas O ciberespaço é mais do que a Internet, incluindo não apenas hardware, software, dados
e sistemas de informação, mas também pessoas e interacção social dentro destas redes e toda a infra-
estrutura. A União Internacional de Telecomunicações
(UIT 2011) utiliza o termo para descrever os “sistemas e serviços ligados direta ou indiretamente à
Internet, às telecomunicações e às redes informáticas”. A Organização Internacional de Padronização
(ISO 2012) define ciberespaço como “o ambiente complexo resultante da interação de pessoas,
softwares e serviços na internet por meio de dispositivos tecnológicos e redes a ela conectados, que
não existe em nenhuma forma física .”
A Publicação Conjunta dos EUA 3-13 (Operações de Informação 2012) afirma que “O ciberespaço
é um domínio global dentro do ambiente de informação que consiste na rede interdependente de infra-
estruturas de tecnologia da informação e dados residentes, incluindo a Internet, redes de
telecomunicações, sistemas informáticos e processadores incorporados e controladores.”
Resumindo, o mundo cibernético pode ser definido como uma rede TIC global e multidimensional,
à qual o utilizador (homem ou máquina) pode conectar-se através de dados fixos ou móveis.
www.it-ebooks.info
terminais e virtualmente se movimentar dentro deles. Por outras palavras, o mundo cibernético é
uma amálgama da Internet, de outras redes físicas, de serviços digitais e de realidade virtual: é
um ambiente virtual multiutilizador.
2 fatores de mudança no mundo cibernético
O tempo, os dados, a rede e a inteligência impulsionaram mudanças no mundo cibernético.

Em apenas um minuto na web, 216.000 fotos são compartilhadas no Instagram, um total de
vendas de US$ 83.000 ocorrem na Amazon, há 3 dias de vídeos carregados no YouTube. O
Google realiza 2 milhões de pesquisas a cada minuto e 72 horas de vídeo são carregadas no
YouTube no espaço de 60 segundos. 70 novos domínios são registrados e 571 novos sites são
criados em um minuto online, ao mesmo tempo em que há 1,8 milhão de curtidas no Facebook,
204 milhões de e-mails enviados e 278 mil tweets postados. Há quase quatro vezes mais
pesquisas no Google do que há um ano e mais 180.000 tweets são enviados. Os uploads de
vídeos do YouTube aumentaram de 25 horas para 3 dias.
Parentes e amigos gastam agora o equivalente a 1,4 milhão de minutos conversando pelo Skype,
em comparação com 370.000 minutos no ano de 2012 (Woollaston 2013).
O worm de computador Slammer é um exemplo de mudança no que diz respeito ao fator
temporal. Slammer é um worm de computador que causou negação de serviço em alguns hosts
da Internet e reduziu drasticamente a velocidade do tráfego geral da Internet, começando às
05:30 UTC de 25 de janeiro de 2003. Estima-se que atingiu seu nível máximo de infecção global
na Internet em 10 min de lançamento. No máximo, aproximadamente 120.000 computadores
individuais em todo o mundo foram infectados e esses computadores geraram um agregado de
mais de 1 terabit/segundo de tráfego de infecção. No ponto de tráfego máximo de infecção, o
worm causou uma perda de aproximadamente 15% dos hosts na Internet, sendo as perdas
definidas pela falta de acessibilidade ao host (Travis et al. 2003).
O CEO do Google, Eric Schmidt, disse em outubro de 2010: “Foram criados 5 Exabytes de
informação entre o início da civilização e 2003, mas agora muita informação é criada a cada 2
dias, e o ritmo está aumentando”.
Produzimos 2,5 quintilhões (2,5 × 1018) bytes de informação todos os dias. Um exemplo de Big
Data é o Square Kilometer Array (SKA) planejado para ser construído na África do Sul e na
Austrália. Quando o SKA estiver concluído, em 2024, produzirá mais de um exabyte de dados
brutos por dia, o que é mais do que todo o tráfego diário da Internet atualmente. O Grande Colisor
de Hádrons, da Organização Europeia para Pesquisa Nuclear (CERN), que possui 150 milhões
de sensores e está criando 22 petabytes de dados em 2012 (Research Trends Issue 2012).
A utilização da tecnologia da informação cresceu exponencialmente e tornou-se um elemento

inseparável na vida das comunidades e dos indivíduos.
Enquanto em 1988, 3,6% da população mundial utilizava a Internet, actualmente existem cerca
de 2 mil milhões de utilizadores da Internet (30% da população mundial).
Mais de 210 mil milhões de mensagens de e-mail, 0,5 mil milhões de entradas em blogs e 2,2 mil
milhões de pesquisas no Google são feitas diariamente. Embora o Facebook tenha sido lançado
em 2004, seus usuários já somam aproximadamente 0,5 bilhão de pessoas. Mais de 4
www.it-ebooks.info
8 M. Lehto
mil milhões de pessoas em todo o mundo utilizam agora telemóveis e 675 milhões de smartphones foram
vendidos em 2012. Quase 90% da inovação nos automóveis está relacionada com software e sistemas
eletrónicos. Em breve, haverá 1 trilhão de dispositivos conectados no mundo, constituindo uma internet
das coisas.
O processamento e a utilização imaginativos de dados, decorrentes das necessidades dos cidadãos
e da comunidade empresarial, são alguns dos elementos mais importantes de uma sociedade próspera.
A informação e o know-how tornaram-se “mercadorias” essenciais na sociedade e podem ser utilizados
de forma ainda mais eficiente através da tecnologia da informação.
Diferentes serviços eletrônicos interativos estão disponíveis de forma onipresente, independentemente
da hora e do local. Embora o setor público, a economia e a comunidade empresarial, bem como os
cidadãos, beneficiem de serviços em rede a nível mundial, a sociedade das TI digitais contém
vulnerabilidades inerentes que podem gerar riscos de segurança para os cidadãos, para a comunidade
empresarial ou para as funções vitais da sociedade.
3 Ameaças e Vulnerabilidades Cibernéticas
3.1 Ameaças Cibernéticas
As ameaças às funções vitais da sociedade podem atingir direta ou indiretamente os sistemas nacionais
e/ou os cidadãos, dentro ou fora das fronteiras nacionais. O cenário de ameaças é uma lista de ameaças
que contém informações sobre agentes de ameaças e vetores de ataque. Ao explorar fraquezas/
vulnerabilidades, as ameaças podem levar à perda ou aquisição de ativos. As ameaças às funções vitais
da sociedade podem ser divididas em três entidades que são: ameaças físicas, ameaças económicas e
ameaças cibernéticas.
As ameaças físicas incluem:
• Desastres naturais (por exemplo, terramoto, tsunami, erupção vulcânica, inundação). •

Desastres ambientais (por exemplo, precipitação nuclear, derramamento de óleo, produtos químicos tóxicos
descargas).
• Perturbações técnicas generalizadas (especialmente nos sistemas TIC). • Guerra
convencional com sistemas de armas cinéticas. • Ataques terroristas
com sistemas de armas cinéticas, e • Agitação civil (violência,
sabotagem).
As ameaças económicas incluem:
• Profunda depressão nacional. •

Depressão global profunda. •
Perturbação nos mercados financeiros nacionais ou globais, e • Escassez
global súbita de bens e serviços.
As ameaças no ciberespaço podem ser classificadas de várias maneiras. O cenário de ameaças é

uma lista de ameaças que contém informações sobre agentes de ameaças e vetores de ataque. Ao
explorar fraquezas/vulnerabilidades, as ameaças podem levar à perda ou aquisição de ativos.
www.it-ebooks.info
A Agência Europeia para a Segurança das Redes e da Informação (ENISA) utiliza um modelo de
ameaças cibernéticas que consiste em ameaças. As ameaças incluem diferentes formas de ataques
e técnicas, bem como malware e ameaças físicas. No modelo ENISA “um agente de ameaça é
qualquer pessoa ou coisa que age (ou tem o poder de agir) para causar, transportar, transmitir ou
apoiar uma ameaça”. Alguns dos principais agentes de ameaça no ciberespaço são empresas,
cibercriminosos, funcionários, hacktivistas, estados-nação e terroristas (ENISA 2012b).
Um dos modelos de ameaça comuns é uma classificação quíntupla baseada em factores

motivacionais: ciberativismo, cibercrime, ciberespionagem, ciberterrorismo e guerra cibernética. Com
uma tipologia como esta os motivos podem ser reduzidos à sua própria essência: egoísmo, anarquia,
dinheiro, destruição e poder. Este modelo quíntuplo é derivado do modelo estrutural de Myriam Dunn
Cavelty (Cavelty 2010; Ashenden 2011).
O nível 1 consiste em ciberativismo que abrange cibervandalismo, hacking e hacktivismo. Para

uma única empresa ou indivíduo, as suas atividades podem causar perdas económicas significativas.
As atividades recentes dos hackers do Anonymous foram mais eficazes do que no passado.
O nível 2 consiste no crime cibernético. A Comissão das Comunidades Europeias define o

cibercrime como “atos criminosos cometidos através de redes de comunicações electrónicas e
sistemas de informação ou contra tais redes e sistemas”
(Comissão das Comunidades Europeias 2007).
O nível 3 consiste em espionagem cibernética. Isto pode ser definido como uma acção destinada
a obter informações secretas (sensíveis, proprietárias ou classificadas) de indivíduos, concorrentes,
grupos, governos e adversários com o objectivo de obter ganhos políticos, militares ou económicos
através do emprego de técnicas ilícitas na Internet, redes, programas ou computadores (Liaropoulos
2010).
O nível 4 consiste no terrorismo cibernético que utiliza redes em ataques contra sistemas críticos
de TIC e seus controles. O objectivo dos ataques é causar danos e aumentar o medo entre o público
em geral, e forçar a liderança política a ceder às exigências dos terroristas (Beggs 2006).
A guerra cibernética de nível 5 consiste em três entidades distintas: guerra cibernética estratégica,
guerra cibernética tática/operacional e guerra cibernética em conflitos de baixa intensidade. Não
existe nenhuma definição universalmente aceita para guerra cibernética; está sendo usado de forma
bastante liberal para descrever as operações dos atores estatais no ciberespaço. A guerra cibernética
por si só exige um estado de guerra entre Estados, sendo as operações cibernéticas apenas uma
parte de outras operações militares.
As ameaças às funções vitais da sociedade também podem ocorrer simultaneamente em cada
uma das três dimensões acima mencionadas. Por exemplo, as operações e ações cibernéticas
destinadas ao colapso da economia de um adversário podem ser incluídas na guerra convencional.
Quando se trata de terrorismo, diferentes operações no mundo cibernético e no sistema económico
podem ser incluídas em ataques que causam destruição física.
As interrupções podem impactar e aumentar em todas as dimensões. Por exemplo, uma catástrofe
natural pode causar perturbações generalizadas na rede eléctrica, o que pode afectar negativamente
o funcionamento dos sistemas de pagamento e a cadeia de distribuição alimentar.
Quando prolongados, podem resultar em distúrbios civis.
www.it-ebooks.info
10 M. Lehto
3.2 Ciberativismo
O cibervandalismo e o hacking viram a luz do dia em janeiro de 1985, quando dois irmãos
paquistaneses lançaram o Brain, o primeiro vírus de computador desenvolvido para o ambiente
de PC. Hackear era a atividade de amadores até 2000, quando malware codificado
profissionalmente começou a aparecer no ambiente de rede. O primeiro spyware surgiu em
meados da década de 2000, tendo como alvo a indústria de armamento, governos e ONG, entre
outros. A descoberta do worm de computador Stuxnet em 2010 marcou um novo amanhecer
no que diz respeito ao malware. O Stuxnet, co-criado pelos Estados Unidos e Israel, foi
descoberto enquanto se espalhava pela Europa, Índia e Médio Oriente. Havia rumores de que
continha até 20 explorações de dia zero. No espaço de 25 anos, a pirataria informática,
originalmente uma actividade amadora, evoluiu para uma guerra de informação gerida pelo
Estado em redes e sistemas globais (Hyppönen 2010).
O hacktivismo representa as diferentes formas de ativismo informático e online, principalmente
na Internet. O termo foi cunhado pela união das palavras hacker e ativismo.
Embora o hacktivismo tenha se tornado um campo específico de pesquisa no ativismo, o termo
em si ainda não foi totalmente estabelecido. A razão para isto é que, por um lado, o activismo
pode explorar uma série de instrumentos desenvolvidos por hackers e, por outro lado, os
hackers podem avançar a sua própria agenda (Hintikka 2013).
O hacktivismo refere-se frequentemente a movimentos sociais que, de forma independente
ou assistidos por hackers, aproveitam e utilizam as possibilidades oferecidas pelas redes
(McCaughey 2003). Jordan (2008) define o hacktivismo como uma atividade que só é possível
na Internet e que explora a manipulação da tecnologia. Em outras palavras, depende de
conhecimento tecnológico. Da mesma forma, os próprios hackers veem o hacking como um
ativismo que se opõe ao uso da tecnologia para limitar os direitos civis, como a censura na
Internet.
Vegh (2003) divide o ativismo online em duas categorias principais: melhorado pela Internet
e baseado na Internet. Segundo ele, o primeiro diz respeito ao activismo em que a Internet é
maioritariamente utilizada como canal extra de comunicação ou com o objectivo de sensibilização.
Este último só é possível na Internet, tal como afirma Jordan.
A tecnologia móvel e as redes sociais oferecem perspectivas inteiramente novas para a

enxameação cibernética moderna. Os arautos do novo modus operandi dos activistas estavam
no ar já em 1998 em Londres e em 1999 em Seattle, quando grupos de activistas foram
mobilizados através da Internet e liderados por telemóveis. A enxameação cibernética tem
diversas formas e motivos. As chamadas reuniões “Botellón”, onde os jovens espanhóis
socializam enquanto bebem álcool, estão no lado mais benigno do espectro. Os motins de 2011
na Grã-Bretanha e os acontecimentos associados à Primavera Árabe foram de natureza mais
grave. Durante os motins britânicos, as redes sociais foram utilizadas para organizar saques e
distúrbios. Portanto, o Reino Unido está actualmente a considerar limitações à utilização das
redes sociais em áreas onde ocorrem tumultos.
No Egipto, em 25 de Janeiro de 2011, aproximadamente 15.000 pessoas reuniram-se no
centro do Cairo para uma manifestação antigovernamental. A organização aconteceu nas redes
sociais. No dia seguinte, a liderança egípcia bloqueou o acesso a
www.it-ebooks.info
O Twitter, o Facebook e os serviços de Internet foram quase totalmente desativados na noite

de sexta-feira, 28 de janeiro. Na sexta-feira, os serviços de telefonia móvel foram totalmente
interrompidos em certas áreas. Ao interromper as comunicações sociais, o governo pretendia
impedir que as pessoas se organizassem, impedindo a sua consciência situacional e
coordenação através da enxameação cibernética. No entanto, as medidas foram tímidas e, no
final das contas, o Presidente perdeu o poder. A enxameação cibernética conquistou sua
primeira vitória notável.
3.3 Crime Cibernético
A Comissão das Comunidades Europeias define que o cibercrime é entendido como “actos
criminosos cometidos através de redes de comunicações electrónicas e sistemas de informação
ou contra tais redes e sistemas”. O crime cibernético é aplicado a três categorias de atividades
criminosas. A primeira abrange formas tradicionais de crime, como a fraude ou a falsificação,
embora, num contexto de cibercriminalidade, se refira especificamente a crimes cometidos
através de redes de comunicações electrónicas e sistemas de informação. A segunda diz
respeito à publicação de conteúdos ilegais em meios de comunicação electrónicos (ou seja,
material de abuso sexual de crianças ou incitamento ao ódio racial). O terceiro inclui crimes
exclusivos das redes electrónicas, ou seja, ataques contra sistemas de informação, negação
de serviço e pirataria informática. Estes tipos de ataques também podem ser dirigidos contra
infra-estruturas críticas cruciais na Europa e afectar os sistemas de alerta rápido existentes em
muitas áreas, com consequências potencialmente desastrosas para toda a sociedade (Comissão
das Comunidades Europeias 2007).
Até há poucos anos, a codificação de vírus ainda era um passatempo dos jovens, através
do qual procuravam prazer e aclamação entre os seus pares. Hoje em dia o crime online é uma
atividade profissional que visa obter ganhos financeiros. Embora os criminosos raramente
operem por conta própria, não formam necessariamente uma organização coesa.
A cooperação que se assemelha à terceirização é a prática mais comum, na qual os criminosos
assumem papéis específicos. Um programador habilidoso pode codificar malware e vendê-lo a
um operador de botnet. A operadora, por sua vez, venderá seus serviços de rede para
spammers ou chantagistas cibernéticos que ameaçam as empresas com ataques de negação
de serviço. Além disso, aqueles que vendem informações de cartões de crédito ou de contas
bancárias normalmente preferem vender as suas informações, em vez de utilizarem eles
próprios os dados. Estas cadeias complexas tornam extremamente difícil a resolução do crime,
especialmente quando os perpetradores podem estar espalhados por todo o mundo. Muitas
vezes os vestígios levam a países cujas autoridades não têm vontade, recursos ou poderes
para resolver tais casos. Como o risco de ser pego é insignificante, o crime online é um negócio extremamente
O grande número de vítimas potenciais mais do que compensa a baixa taxa de sucesso, ou
lucro marginal por unidade (Kääriäinen 2010).
O número de ataques cibernéticos aumentou dramaticamente nos últimos anos: mais do
que duplicou nos últimos três anos. Ao mesmo tempo, as consequências financeiras
aumentaram quase 40%. Em 2011, o custo médio anual para uma organização americana
ascendeu a 8,9 milhões de dólares. Hoje em dia, as perdas anuais
www.it-ebooks.info
12 M. Lehto
causadas pela cibercriminalidade ascendem a cerca de 400 mil milhões de dólares. De acordo com as previsões,
o valor das soluções utilizadas para impedir ataques de negação de serviço continua a crescer a uma taxa anual
de 18,2%, prevendo-se que atinja 870 milhões de dólares até 2017.
3.4 Espionagem Cibernética
A espionagem cibernética pode ser definida como uma ação que visa adquirir informações secretas (sensíveis,
proprietárias ou classificadas) de cidadãos, concorrentes, grupos, governos e adversários para obter ganhos
políticos, militares ou financeiros, utilizando métodos ilícitos na Internet ou em redes, programas ou computadores
(Liaropoulos 2010).
A espionagem cibernética ocorre continuamente e as organizações cibernéticas de diferentes países
hackeiam continuamente os sistemas dos seus potenciais adversários. Esta não é uma questão de
vandalismo; pelo contrário, trata-se de espionagem profissional que procura identificar o calcanhar de
Aquiles de um adversário, tentando descobrir informações de nível estratégico. Enquanto os EUA, a
China e a Rússia são os principais intervenientes estabelecidos, Israel, França, Irão e Coreia do Norte
também estão activos nesta área. A Índia, o Paquistão e a Coreia do Sul estão actualmente a desenvolver
as suas capacidades cibernéticas. O recém-chegado neste campo é o Brasil.
A China criou a sua primeira unidade de guerra cibernética como parte regular das suas forças armadas em 2003.
A Coreia do Norte tem quatro unidades de guerra cibernética e acredita-se que mantém uma estreita cooperação
com a China (Bergqvist 2010).
3.5 Ciberterrorismo
O ciberterrorismo utiliza ataques cibernéticos contra sistemas informáticos críticos e os seus sistemas de controlo.
O objetivo de tais ataques é causar danos e espalhar o medo entre as pessoas.
O ciberterrorismo visa criar um impacto tanto a nível nacional como internacional (Beggs 2006).
O ciberterrorismo é uma nova forma de capacidades terroristas disponibilizadas através de novas tecnologias
e redes. Torna possível que os terroristas realizem ataques quase sem qualquer risco físico para si próprios. É
difícil definir o ciberterrorismo: há um debate contínuo sobre se é um fenómeno distinto ou apenas uma forma de
guerra de informação conduzida por terroristas (Arquilla e Ronfeldt 2001).
O ciberterrorismo difere de outras tecnologias terroristas porque inclui capacidades informáticas ofensivas,
utilizadas isoladamente ou em conjunto com outros meios de ataque.
O foco do ciberterrorismo é criar danos físicos aos sistemas de TI ou ao pessoal e equipamentos por meio da
tecnologia da informação. Sendo assim, para o ciberterrorista a rede é um meio/veículo que facilita o ciberataque.
Essa guerra cibernética implica que vários armamentos cibernéticos (malwares variados) possam ser entregues
on-line ao alvo pretendido. Isto significa que os terroristas devem considerar cuidadosamente a escala dos danos
físicos ou tecnológicos que pretendem causar.
www.it-ebooks.info
alcançar dentro da rede, para que não deixe de funcionar como meio de propagação de armas
cibernéticas quando necessário (Ibid).
As redes de TI que não sejam redes de computadores também podem tornar-se alvos. Os ataques
contra eles podem degradar significativamente as operações de um governo e das forças armadas,
desde que dependam de redes comerciais, fornecedores de serviços e da Internet. Os ataques
cibernéticos concebidos para causar danos e perturbações são provavelmente realizados para apoiar
operações destinadas a causar danos físicos. O sequestro de rede ou a apreensão da rede sob seu
próprio controle pode ser feito para apoiar outra operação cibernética ou para atingir algum outro
objetivo independente.
O ciberterrorismo também pode ter como alvo sistemas de transmissão televisiva, caso em que os
terroristas podem demonstrar a sua autoridade, promover os seus objectivos nos meios de
comunicação social, criar o caos e exibir o seu poder (Ibid.).
O Federal Bureau of Investigation (FBI) dos EUA define o ciberterrorismo como uma atividade
criminosa que utiliza computadores e ferramentas de rede de uma forma que resulta em confusão,
incerteza e/ou danos aos serviços digitais. Isto é feito criando caos e incerteza entre a população civil,
de modo a intimidar ou coagir um governo ou o seu povo na promoção de objectivos políticos, sociais
ou ideológicos (Tereshchenko 2013).
Um grupo de investigadores da Universidade de Boston afirma que o objectivo dos ciberterroristas

é fomentar a ansiedade da morte e causar danos físicos e, ao fazê-lo, aumentar a vontade das
pessoas de concordarem com as suas exigências políticas ou financeiras. Um ciberterrorista considera
apenas a informação, as comunicações e a infraestrutura como alvos; ao atacá-los ele pode gerar
medo e terror ou usar o ataque como um multiplicador de força juntamente com outros meios de
ataque (Jacobs et al. 2010).
O motivo separa o cibercriminoso de um ciberguerreiro ou ciberterrorista.
Enquanto o cibercriminoso luta por ganhos financeiros, o ciberguerreiro luta pelos seus objectivos
militares e o ciberterrorista prossegue a sua própria agenda. De acordo com um relatório do Serviço
de Investigação do Congresso dos EUA, todos esses grupos utilizam tácticas e técnicas análogas.
Os motivos e objetivos fazem a distinção entre esses grupos.
(EUA-CRS 2008)
3.6 Guerra Cibernética
Como não existe uma definição geralmente aceite para a guerra cibernética, esta é utilizada de forma
bastante liberal na descrição de eventos e ações no mundo cibernético digital. O conceito de guerra
cibernética tornou-se extremamente popular em 2008-2010, substituindo parcialmente o conceito
anteriormente utilizado de guerra de informação, lançado na década de 1990.
Para alguns, a guerra cibernética é uma guerra conduzida no domínio virtual. Para outros, é a
contrapartida da guerra “cinética” convencional. De acordo com o relatório de 2001 da OCDE , as
doutrinas militares da guerra cibernética assemelham-se às da chamada guerra convencional:
retaliação e dissuasão. Os investigadores concordam com a noção de que a definição de guerra
cibernética deve abordar os objectivos e motivos da guerra, e não as formas de operações
cibernéticas. Eles acreditam que a guerra é sempre generalizada e
www.it-ebooks.info
14 M. Lehto
abrange todas as formas de guerra. Assim, a guerra cibernética é apenas uma forma de travar a guerra,
utilizada juntamente com ataques cinéticos (OCDE 2001).
Na década de 1990, a guerra cibernética estava associada ao conceito de informação
guerra (IW) como seu subconjunto. Libicki (1995) definiu os setores de RI da seguinte forma:
• Guerra de comando e controle, C2 W • Guerra

baseada em inteligência, IBW • Guerra
eletrônica, EW • Operações
psicológicas, PSYOPS • Hackerwar • Guerra
econômica de
informação, IEW • Guerra cibernética
Os Estados Unidos definem a guerra de informação como uma série de ações tomadas durante um
conflito ou guerra por meio de operações de informação (IO) para alcançar a superioridade da
informação sobre um adversário. A doutrina dos EUA inclui operações cibernéticas como parte de
operações de informação. O Documento de Doutrina da Força Aérea 2-5 (2005) define as operações
de informação da seguinte forma:
1. Operações de influência
a. Operações psicológicas, PSYOPS b. Engano

militar, MILDEC c. Segurança de
operações, OPSEC d. Operações de
contra-espionagem (CI) e. Operações de
contrapropaganda f. Operações de
relações públicas (PA)
2. Operações de guerra em rede
a. Ataque de rede, NetA b.

Defesa de rede, NetD c. Apoio à
guerra em rede, NS
3. Operações de Guerra Eletrônica
a. Ataque eletrônico b.
Proteção eletrônica c. Apoio
à guerra eletrônica
O conceito de Network Centric Warfare (NCW) surgiu no discurso americano no final da década
de 1990: na NCW a rede ganhou destaque sobre a informação. O conceito NCW foi lançado em 1998
na publicação do Instituto Naval dos EUA “Guerra Centrada em Rede: Sua Origem e Futuro”, escrita
pelo Vice-Almirante Arthur K. Cebrowski (1942–2005) (Diretor de Espaço, Guerra de Informação e
Comando e Controle no estado-maior da Marinha dos EUA) e John J. Garstka.
Eles sustentaram que “Durante quase 200 anos, as ferramentas e táticas de como lutamos evoluíram
com as tecnologias militares. Agora, mudanças fundamentais estão a afectar o próprio carácter da
guerra” (Cebrowski e Garstka 1998; Senenko 2007).
www.it-ebooks.info
Eles continuaram dizendo que a guerra centrada em rede e todas as suas

as revoluções nos assuntos militares surgem e extraem o seu poder das mudanças fundamentais na
sociedade americana. Estas mudanças foram dominadas pela
coevolução da economia, tecnologia da informação e processos de negócios e
organizações, e estão ligadas por três temas (Cebrowski e Garstka 1998):
• A mudança de foco da plataforma para a rede

• A mudança de ver os atores como independentes para vê-los como parte de um
ecossistema em constante adaptação
• A importância de fazer escolhas estratégicas para se adaptar ou mesmo sobreviver em tais
ecossistemas em mudança.
Mais tarde o conceito foi publicado no livro Network Centric Warfare escrito
por, além de John Gartska, David S. Alberts (Diretor, Pesquisa OASD-NII),
e Frederick P. Stein (MITRE Corporation). De acordo com sua definição, a guerra centrada em rede é “um
conceito de operações habilitado pela superioridade da informação”.
que gera maior poder de combate ao conectar sensores, tomadores de decisão e
atiradores para alcançar consciência compartilhada, maior velocidade de comando, ritmo mais alto
de operações, maior letalidade, maior capacidade de sobrevivência e um grau de auto-sincronização”
(Alberts et al. 2000).
“O termo guerra centrada em rede descreve amplamente a combinação de estratégias, táticas
emergentes, técnicas, procedimentos e organizações que são total ou
mesmo uma força parcialmente em rede pode ser empregada para criar um combate decisivo
vantagem” (Garstka 2003).
Todos os setores acima mencionados precisam ser analisados desde o aspecto ofensivo e
perspectiva defensiva. Quando se trata de GI e operações de informação, a informação está no centro do
pensamento. A informação é vista como o quarto fator operacional
que une os três fatores operacionais aceitos: força, espaço e tempo.
Em IW entende-se por informação o acúmulo de dados, presentes em qualquer formato ou
sistema, que pode ser utilizado na comunicação e interação. Além disso, IW
abrange os seguintes conceitos: sistemas de informação, ambiente de informação, funções de informação
e superioridade de informação (STAE 2008).
A guerra cibernética, na sua forma actual, pode ser entendida como incorporando tanto a IW como a
EW, estabelecendo assim um modus operandi que está em conformidade com a rede centrada
guerra. O pensamento cibernético espera trazer as estruturas do ciberespaço, ou seja, os aspectos críticos
infra-estrutura, juntamente com informações que estão no centro do ambiente de informação. Todas as
funções vitais da sociedade estão mais ou menos interligadas. Estar “em rede” refere-se a uma acção que
não está fixada em qualquer tempo ou lugar e a gestão
de funções. As estruturas de rede, juntamente com a informação, estão ganhando destaque. Outra
mudança significativa de paradigma é o fato de que, embora a informação
a guerra é geralmente percebida como ocorrendo durante conflitos e guerras, hoje em dia
ameaças - em todas as suas diferentes formas - tornaram-se parte da vida cotidiana das pessoas
e instituições.
A guerra cibernética pode ser dividida em guerra estratégica e guerra tático-operacional,
dependendo do papel atribuído às operações cibernéticas nas diferentes fases da guerra.
Atores estatais lançam operações cibernéticas ofensivas em situações em que os estados não estão
www.it-ebooks.info
16 M. Lehto
em guerra entre si. Neste caso, os ataques cibernéticos constituem um conflito cibernético num conflito
de baixa intensidade, como foi o caso da Estónia em 2007.
Na Primavera de 2007, a Estónia foi sujeita a uma série de ataques cibernéticos que duraram três
semanas e que visaram, entre outros, o governo, a polícia, o sistema bancário, os meios de comunicação
social e a comunidade empresarial. A campanha cibernética utilizou principalmente ataques de negação
de serviço (DOS) visando, entre outras coisas, servidores web, servidores de e-mail, servidores DNS e
roteadores (Ottis 2008).
A Guerra Russo-Georgiana, também conhecida como Guerra da Ossétia do Sul, foi travada durante
a primeira semana de agosto de 2008 entre a Geórgia e a Federação Russa e o exército da República
da Ossétia do Sul. Nesta guerra de curta duração, a guerra cibernética foi utilizada como parte de
operações “cinéticas” convencionais. Já em 8 de agosto, vários sites da Geórgia e da Ossétia do Sul
sofreram ataques de DOS. A campanha contra os websites georgianos começou na noite de 9 de
agosto. Os ataques tiveram como alvo os websites do governo e do presidente da Geórgia, e a Georgia-
online. Em 11 de Agosto, as autoridades georgianas decidiram combater a «desinformação» e
suspenderam todas as emissões de televisão russas no país. Caucasus Online, o principal provedor
de serviços de Internet da Geórgia, impediu o acesso a todas as páginas que tivessem o sufixo de
domínio de Internet a.ru. O site da agência de notícias russa RIA Novosti foi atacado e ficou fora do ar
por algumas horas no dia 10 de agosto. O site do canal de TV russo de língua inglesa RussiaToday foi
atacado em 12 de agosto e permaneceu inoperante por aproximadamente 24 horas. Os hackers
obtiveram acesso às páginas do Banco Central da Geórgia e do Ministério da Defesa e adulteraram
algumas imagens da mídia nelas contidas.
Libicki (2011) argumenta que um ataque cibernético usado em vez de métodos cinéticos cria mais
ambiguidade em termos de efeitos, fontes e motivos. Os ataques cibernéticos alteram o perfil de risco
de determinadas ações e, geralmente, de forma a torná-las opções mais atrativas. Ele apresenta quatro
usos hipotéticos de ataques cibernéticos. Em primeiro lugar, os ataques cibernéticos podem ser
utilizados por uma vítima de agressão em pequena escala para indicar o seu descontentamento, mas
com menos risco de escalada do que uma resposta física implicaria. Um estado rico em guerreiros
cibernéticos também pode usar a ameaça da guerra cibernética para dissuadir o alvo potencial contra
o apoio aos combatentes de guerra por procuração. Os ataques cibernéticos podem ser utilizados por
um Estado para afetar o resultado de um conflito noutro Estado, sem ter de assumir qualquer tipo de
compromisso visível, mesmo implícito. Os ataques cibernéticos não precisam de ser dirigidos aos
adversários, embora sejam óbvios os riscos de fazer novos inimigos se a origem dos ataques
cibernéticos for descoberta.
3.7 Vulnerabilidades do mundo cibernético
Ameaça, vulnerabilidade e risco formam um todo interligado no mundo cibernético. Primeiro, existe um
objecto físico valioso, uma competência ou algum outro direito imaterial que necessita de protecção e
salvaguarda. Uma ameaça é um evento cibernético prejudicial que pode ocorrer. O valor numérico da
ameaça representa o seu grau de probabilidade.
Vulnerabilidade é a fraqueza inerente ao sistema que aumenta a probabilidade de uma ocorrência ou
agrava as suas consequências. Vulnerabilidades podem ser divididas
www.it-ebooks.info
naqueles que existem na ação humana, processos ou tecnologias. Risco é o valor do dano
esperado. Risco é igual a probabilidade vezes a perda. Pode ser avaliada do ponto de vista
das suas consequências económicas ou da sua perda de prestígio. A gestão de riscos consiste
nos seguintes fatores: assunção de riscos, alívio de riscos, prevenção de riscos, limitação de
riscos, planejamento de riscos e transferência de riscos. As contramedidas podem ser
agrupadas nas três categorias seguintes: regulamentação, soluções organizacionais (gestão,
processos, métodos e procedimentos de segurança e cultura de segurança) e soluções
tecnológicas de segurança.
De acordo com a definição da ISO 27005, os riscos emergem do “potencial de que uma
determinada ameaça explore vulnerabilidades de um ativo ou grupo de ativos e, assim, cause
danos à organização”. O risco depende de:
• O Ativo que cobre sua importância comercial, vulnerabilidades existentes ou fraquezas

necessidades e nível de proteção implementados através de controles;
• A Ameaça consiste em um agente de ameaça que — dependendo de suas capacidades —
utiliza um vetor de ataque para comprometer um ativo ou conjunto de ativos. A eficácia de
um ataque depende da capacidade do agente de ameaça e da sofisticação do ataque;
• O Impacto que tem em conta o valor que o ativo representa para o negócio e as consequências
quando a confidencialidade, integridade, disponibilidade ou privacidade desse ativo é
comprometida através da ameaça (ENISA 2012b).
A Figura 2 mostra a interação entre ameaças, vulnerabilidades, riscos e países.

medidas térmicas de acordo com a norma ISO 15408:2005 (ENISA 2012b).
Fig. 2 Modelo de interação para ameaças cibernéticas, vulnerabilidades cibernéticas, riscos cibernéticos e contramedidas
www.it-ebooks.info
18 M. Lehto
3.8 Operações Cibernéticas
As operações cibernéticas podem ser definidas como uma estratégia para interromper os sistemas de
TI e baseados em informações de um adversário, protegendo ao mesmo tempo os próprios sistemas
com meios defensivos e ofensivos. Na guerra cibernética, as operações cibernéticas não são
operações totalmente independentes, isoladas de outras guerras. Pelo contrário, são parte integrante
da campanha global.
Dentro do domínio militar dos Estados Unidos, as Operações de Rede de Computadores (CNO)
são consideradas uma das cinco capacidades principais em Operações de Informação (IO)
Guerra de Informação. O CNO consiste em ataque a redes de computadores (CNA), defesa de redes
de computadores (CND) e exploração de redes de computadores (CNE). O Joint Pub 3-13 (2012) usa
o termo Operações Cibernéticas (CO). “CO é o emprego de capacidades do ciberespaço onde o
objetivo principal é atingir objetivos no ou através do ciberespaço. As capacidades do ciberespaço,
quando apoiam as IO, negam ou manipulam a tomada de decisão do adversário ou potencial
adversário, através do direcionamento de um meio de informação (como um ponto de acesso sem fios
na dimensão física), da própria mensagem (uma mensagem encriptada na dimensão da informação),
ou uma ciberpersona (uma identidade online que facilita a comunicação, a tomada de decisões e a
influência do público na dimensão cognitiva).” JP 3-12, Operações Conjuntas no Ciberespaço, é um
novo JP, assinado em 5 de fevereiro de 2013 e é classificado.
A Agência de Segurança Nacional (NSA) http://www.nsa.gov/careers/career_fields/ descreve que

a missão das Operações de Redes de Computadores envolve três funções principais (NSA 2013):
• Ataque a Redes de Computadores (CNA): Inclui ações realizadas através de redes de computadores
para interromper, negar, degradar ou destruir as informações contidas em computadores e redes
de computadores e/ou nos próprios computadores/redes. • Defesa de Redes de
Computadores (CND): Inclui ações tomadas através de redes de computadores para proteger,
monitorar, analisar, detectar e responder a ataques de rede, invasões, interrupções ou outras
ações não autorizadas que possam comprometer ou prejudicar sistemas e redes de informações
de defesa. • Exploração de Redes de Computadores (CNE):
Inclui ações facilitadoras e coleta de inteligência por meio de redes de computadores que exploram
dados coletados de sistemas ou redes de informação de alvos ou inimigos.
Rowe (2010) definiu técnicas para ataques cibernéticos reversíveis:
1. Ataque criptográfico 2.
Ataque de ofuscação 3.
Ataque de retenção de informações 4.
Ataque de fraude de recursos
As operações cibernéticas também podem ser divididas com base no meio: se uma
usa computadores e a rede como plataformas ou como alvos (Seruga 2011).
www.it-ebooks.info
3.9 Armamento Cibernético
Uma arma cibernética refere-se a um programa de computador que opera em computadores

que não sejam os do usuário, na mesma linha que um vírus de computador. Embora uma
arma cibernética, pela sua concepção, possa ser um vírus móvel e disseminador de forma
independente, a mobilidade não é uma pré-condição necessária. As armas cibernéticas mais
bem-sucedidas são fleumáticas por natureza, sendo quase ou totalmente inertes na rede local.
Neste último caso, a arma cibernética deve ser especificamente infiltrada em cada alvo
(Kiravuo et al. 2013).
O armamento cibernético detectado, como o Stuxnet e seus similares, Flame, Duqu e
Gauss, são todos malwares modulares. A funcionalidade desejada desse malware é construída
a partir de vários objetos de processo. Destes, os claramente identificáveis incluem a sua
“ogiva”, a carga útil do malware, e a sua plataforma, o módulo de entrega (Ibid).
A plataforma é controlada por um módulo de comando, controle e comunicação (C3) que

opera de forma independente ou em contato com seus servidores de comando e controle,
recebendo deles comandos adicionais. Este módulo visa e ativa os componentes da ogiva e
também pode baixar novas ogivas de seus servidores de comando e controle. O módulo
também controla a mobilidade da arma cibernética. O Stuxnet foi descoberto devido a uma
falha no módulo de comando, controle e comunicação que fez com que ele se espalhasse
mais rapidamente do que o inicialmente pretendido (Ibid).
Para atingir seu alvo, a arma carrega um ou mais módulos de exploração programados
para explorar vulnerabilidades do sistema. Existem muitos tipos de vulnerabilidades. Por
exemplo, pode-se permitir a instalação de código de programa em software de rede de tal
maneira que comece a executar o código. Uma vulnerabilidade diferente pode surgir de uma
senha padrão em um sistema automatizado.
Ao explorar estas vulnerabilidades, a arma cibernética assume o controlo parcial sobre o
sistema visado e, tendo ganho uma posição segura, consegue redistribuir-se por todo o
sistema (Ibid).
Com a ajuda dos módulos de ataque, os módulos de mobilidade e instalação implementam
a replicação e mobilidade reais do malware, instalando a arma no sistema operacional do
computador alvo. As armas cibernéticas conhecidas podem explorar os certificados dos
fabricantes de sistemas operacionais; isso torna possível que eles sejam instalados
furtivamente como drivers de dispositivo genuínos ou código de biblioteca. Uma arma
cibernética também pode conter uma funcionalidade de rootkit instalável que é ativada neste
estágio. Afeta o sistema operacional, ocultando os processos e arquivos em andamento da
arma cibernética no sistema de arquivos do computador durante a verificação do sistema (Ibid).
Se a arma cibernética for projetada para se espalhar na LAN da organização alvo, é
necessário primeiro conseguir inseri-la na rede protegida por firewall. Isto pode ser conseguido,
por exemplo, através de unidades flash USB infectadas ou enviando a arma cibernética por e-
mail ao seu alvo, como foi o caso do Trojan Duqu. Nesse caso, a arma penetra no seu alvo
por meio de um pacote conta-gotas que pode parecer um documento de processamento de
texto, por exemplo (Ibid.).
www.it-ebooks.info
20 M. Lehto
Fig.3 Uma arma cibernética padrão
Então o veículo de entrega, construído com os módulos acima mencionados, injetará uma ou mais
ogivas reais no alvo. Uma ogiva pode realizar inteligência, buscando certos tipos de arquivos no
computador alvo ou em servidores de rede, sequestrando senhas digitadas em teclados ou espionando
a sala através do microfone do computador, etc. bancos de dados e causando outros danos
semelhantes. (Ibidem) A Figura 3 ilustra o projeto de uma arma cibernética padrão.
Por outras palavras, as armas cibernéticas compreendem um grupo de programas de computador

extremamente sofisticados, cuja funcionalidade determina os seus alvos. O armamento cibernético é
utilizado em operações cibernéticas cujo objetivo é criar um efeito desejado no alvo por meio de
malware. As armas cibernéticas típicas incluem (DCSINT 2005):
• Adware •
Backdoor • Root-
kit • Scareware
• Sniffer •
Spyware •
Cavalo de
Tróia
– Bomba Lógica
– Bomba-relógio
• Vírus •
Vermes •
Zumbi
www.it-ebooks.info
A ENISA (2012b) utiliza um modelo de cenário de ameaças cibernéticas, que consiste em cenários de
ameaças. Esses cenários incluem métodos e técnicas de ataque, malware e ameaças físicas. Os métodos
e técnicas de ataque incluem o seguinte:
• Abuso de vazamento de informações •

Ataques de injeção de código •
Comprometimento de informações confidenciais •
Botnets •
Ataques de negação de serviço (DOS) • Ataque
distribuído de negação de serviço (DDOS) • Exploits drive-by
• Falsificação de e-mail •
Roubo de identidade •
Falsificação de
endereço IP • Registro de
keystore • Quebra de senha
• Phishing • Envenenamento
de mecanismo
de pesquisa • Spamming • Ataques
direcionados
Ao fundir os métodos e técnicas de ataque com o modelo de quatro camadas de Libicki, obtém-se a
sinopse ilustrada na Figura 4.
Fig. 4 Métodos de ataque às diferentes camadas do mundo cibernético
www.it-ebooks.info
22 M. Lehto
3.10 Estruturas Críticas da Sociedade como Metas
3.10.1 Infraestrutura Crítica
No mundo cibernético, a ameaça mais importante concentra-se na infraestrutura crítica (CI).

A IC abrange as estruturas e funções vitais para o funcionamento ininterrupto da sociedade.
Compreende instalações e estruturas físicas, bem como funções e serviços eletrônicos. Para
protegê-los, é necessário identificar e proteger alvos críticos individuais, ao mesmo tempo que se
mantém constantemente atento ao funcionamento da infra-estrutura como um todo. (HVK 2013)
A maioria dos países tem uma definição detalhada das suas infra-estruturas críticas, incluindo a
sua importância para a sociedade, as ameaças associadas, as suas diferentes partes e sectores e,
muitas vezes, também a forma como são salvaguardadas. As definições normalmente viram a luz
do dia em conjunto com a nova legislação relacionada com a segurança interna.
Na maioria dos países, esta definição evoluiu ao longo dos anos para incluir uma gama cada
vez mais ampla de infra-estruturas. As definições nacionais diferem ligeiramente nos critérios
utilizados para definir a criticidade de uma infraestrutura. A maioria dos países e instituições utilizam
critérios transversais, que abrangem todas as infra-estruturas em todos os sectores. Na Alemanha,
as infra-estruturas críticas são aquelas “instalações e organizações de grande importância para a
comunidade, cuja falha ou deficiência causaria uma escassez sustentada de abastecimento,
perturbações significativas na ordem pública ou outras consequências dramáticas”.
(CRÍTICO 2009).
Nos Estados Unidos, infra-estrutura crítica significa “sistemas e activos, sejam físicos ou virtuais,
tão vitais para os Estados Unidos que a incapacidade ou destruição de tais sistemas e activos teria
um impacto debilitante na segurança, na segurança económica nacional, na saúde ou segurança
pública nacional, ou qualquer combinação dessas questões” (Ordem Executiva 2013).
No Reino Unido, a Infraestrutura Nacional Crítica compreende “os bens, serviços e sistemas
que apoiam a vida económica, política e social do Reino Unido, cuja importância é tal que a perda
pode causar perdas de vidas em grande escala, ter um sério impacto na economia nacional
economia, ter outras consequências sociais graves para a comunidade ou ser de preocupação
imediata para o governo nacional” (OCDE 2008).
É possível identificar três dimensões na salvaguarda da IC: política, económica e técnica. A

dimensão política surge dos interesses partilhados de diferentes países em proteger os seus
sistemas de IC e do consequente aumento da cooperação mútua.
A dimensão política implica legislação nacional e necessidades de segurança nacional, bem como
cooperação internacional associada em torno destes dois temas. A cooperação internacional visa
alcançar soluções análogas em países cujas necessidades sejam comparáveis. Legislação e
políticas de segurança uniformes facilitam a cooperação técnica, especialmente quando vários
países partilham infra-estruturas. A dimensão económica afecta todas as empresas e intervenientes
empresariais que constroem, possuem e administram sistemas e instalações de infra-estruturas, e
cujas operações são impulsionadas por interesses económicos. A dimensão económica também
inclui uma justa
www.it-ebooks.info
rateio dos custos de segurança entre as partes interessadas. A dimensão técnica abrange
os avanços tecnológicos, incluindo a sua utilização, e todas as soluções e medidas práticas
que os estados e as empresas incorporam para garantir o funcionamento das suas
infraestruturas críticas durante possíveis perturbações (HVK 2013).
O ponto de vista finlandês sobre infra-estruturas críticas pode ser deduzido dos cenários
de ameaça definidos na estratégia para garantir as funções vitais para a sociedade. São
eles (Estratégia de Segurança para a Sociedade 2010):
• A rede de transmissão e distribuição de energia, • A rede

de telecomunicações e sistemas de informação, • O sistema logístico
de transportes, • A rede tecnológica
comunitária, • A rede de abastecimento
alimentar, • A rede de sistemas
financeiros e de pagamentos, • O sistema de saúde
e bem-estar, e • A rede de segurança e proteção.
As redes acima mencionadas não são entidades isoladas. Em vez disso, formam a rede
nacional de infra-estruturas críticas, dentro da qual existem muitas interdependências.
Se um sistema fosse paralisado ou entrasse em colapso, haveria repercussões noutros
pontos da rede. Portanto, a análise da IC requer modelagem para determinar as
interdependências entre os diferentes elementos da rede (Pye e Warren 2011).
De acordo com a definição utilizada pela Agência Nacional de Abastecimento de

Emergência da Finlândia, a infra-estrutura crítica consiste em equipamentos e dispositivos,
serviços e sistemas de TI que são tão vitais para a nação que a sua falha ou destruição
degradaria a segurança nacional, a economia nacional, a saúde e segurança geral e o
funcionamento eficiente do governo central (HVK 2013).
De acordo com o livro verde da Comissão Europeia, “as infra-estruturas críticas incluem
os recursos físicos, serviços e instalações de tecnologia da informação, redes e activos de
infra-estruturas que, se perturbados ou destruídos, teriam um impacto grave na saúde,
segurança, protecção ou bem-estar económico dos cidadãos ou o funcionamento eficaz
dos governos.” As infraestruturas críticas podem ser danificadas, destruídas ou perturbadas
por atos deliberados de terrorismo, catástrofes naturais, negligência, acidentes ou pirataria
informática, atividades criminosas e comportamentos maliciosos. O objectivo do Programa
Europeu para a Protecção de Infra-estruturas Críticas (EPCIP) seria garantir que existam
níveis adequados e iguais de segurança protectora em infra-estruturas críticas, pontos
únicos mínimos de falha e mecanismos de recuperação rápidos e testados em toda a União
(Livro Verde da UE 2005). .
3.11 Infraestrutura Crítica de Informação
Do ponto de vista da segurança cibernética, surgiu um subconjunto importante dentro da

CI: a infraestrutura crítica de informação (CII).
www.it-ebooks.info
24 M. Lehto
Segundo a comissão da UE “o setor das TIC é vital para todos os segmentos da sociedade.
As empresas dependem do setor das TIC, tanto em termos de vendas diretas como para a eficiência
dos processos internos. As TIC são uma componente crítica da inovação e são responsáveis por
quase 40% do crescimento da produtividade. As TIC também estão presentes no trabalho dos
governos e das administrações públicas: a utilização de serviços de administração pública em linha
a todos os níveis, bem como novas aplicações, como soluções inovadoras relacionadas com a
saúde, a energia e a participação política, tornam o sector público fortemente dependente das TIC. .
Por último, e não menos importante, os cidadãos dependem e utilizam cada vez mais as TIC nas
suas atividades diárias: o reforço da segurança das CII aumentaria a confiança dos cidadãos nas
TIC, sobretudo graças a uma melhor proteção dos dados pessoais e da privacidade” (Comissão Europeia 2009).
A infra-estrutura crítica de informação é um conceito amplo que designa tanto a informação em
si como os canais através dos quais a informação é criada e transmitida. Por outras palavras, CII
são sistemas TIC que são infra-estruturas críticas para si ou que são essenciais para o funcionamento
de infra-estruturas críticas. A Protecção de Infra-estruturas Críticas de Informação (CIIP) é
geralmente entendida como incluindo tanto a protecção de dados (incluindo questões de
privacidade) como a protecção de infra-estruturas de informação (NATO 2007; Livro Verde da UE
2005).
3.12 Escada
Quando se trata de segurança cibernética, vários sistemas de controle de supervisão e aquisição

de dados (SCADA) da indústria tornaram-se setores de destaque em CI e CII.
O SCADA incorpora componentes físicos e de software que incluem sensores e dispositivos de
medição, redes de telecomunicações, drivers, equipamentos de comunicação, interface homem-
máquina (HMI) e aplicações. Os sistemas SCADA podem ser usados no monitoramento de
sistemas grandes ou pequenos. São utilizados em centrais nucleares e refinarias de petróleo e gás,
em redes de telecomunicações, em sistemas logísticos, em sistemas de controlo de instalações de
aquecimento, arrefecimento e eléctricos, bem como em sistemas de distribuição de água e de
gestão de águas residuais (SCADA 2004).
A ameaça cibernética nas redes SCADA chegou ao noticiário com a descoberta do worm
Stuxnet em 2010. Stuxnet é um worm de computador descoberto em junho de 2010 e criado pelos
Estados Unidos e Israel para atacar as instalações nucleares do Irã. O Stuxnet inicialmente se
espalha através do Microsoft Windows e tem como alvo os sistemas de controle industrial da
Siemens. É o primeiro malware descoberto que espiona e subverte sistemas industriais e o primeiro
a incluir um rootkit de controlador lógico programável (PLC). O worm inicialmente se espalha
indiscriminadamente, mas inclui uma carga útil de malware altamente especializada, projetada para
atingir apenas sistemas SCADA da Siemens configurados para controlar e monitorar processos
industriais específicos. O Stuxnet infecta CLPs subvertendo o aplicativo de software Step-7 usado
para reprogramar esses dispositivos (Cavelty 2011).
www.it-ebooks.info
4 Segurança Cibernética
As medidas de segurança cibernética estão associadas à gestão de riscos, à correção de

vulnerabilidades e à melhoria da resiliência do sistema. Os principais assuntos de pesquisa incluem
técnicas associadas à detecção de diferentes anomalias de comportamento de rede e malware, e
questões de TI relacionadas à segurança de TI. Dado que estes temas de investigação se
concentram principalmente nas camadas física, sintática e semântica, as atuais infraestruturas de
investigação centram-se no estudo dos fenómenos nas camadas acima mencionadas.
Em suma, a segurança cibernética pode ser definida como um conjunto de ações tomadas em
defesa contra ataques cibernéticos e as suas consequências e inclui a implementação das
contramedidas necessárias. A segurança cibernética baseia-se na análise de ameaças de uma
organização ou instituição. A estrutura e os elementos da estratégia de segurança cibernética de
uma organização e do seu programa de implementação baseiam-se nas ameaças estimadas e nas
análises de risco. Em muitos casos, torna-se necessário preparar várias estratégias e diretrizes de
segurança cibernética direcionadas para uma organização.
Segundo a UIT, a segurança cibernética não é um fim em si mesma; a segurança cibernética
como um meio para um fim. O objectivo deveria ser construir a confiança de que a infra-estrutura
de informação crítica funcionaria de forma fiável e continuaria a apoiar os interesses nacionais
mesmo quando sob ataque. Portanto, o foco das estratégias nacionais de segurança cibernética
deve estar nas ameaças com maior probabilidade de perturbar funções vitais da sociedade (UIT
2011).
Do ponto de vista da UE, “a Internet sem fronteiras e com múltiplas camadas tornou-se um dos
instrumentos mais poderosos para o progresso global sem supervisão ou regulamentação
governamental. Embora o sector privado deva continuar a desempenhar um papel de liderança na
construção e gestão quotidiana da Internet, a necessidade de requisitos de transparência,
responsabilização e segurança está a tornar-se cada vez mais proeminente.” A UE pretende
salvaguardar um ambiente em linha que proporcione a maior liberdade e segurança possíveis para
benefício de todos. São apresentadas à UE cinco prioridades estratégicas, que são (UE 2013):
• Alcançar a resiliência cibernética

• Reduzir drasticamente o crime cibernético
• Desenvolver políticas e capacidades de defesa cibernética relacionadas com o Comum
Política de Segurança e Defesa (PCSD)
• Desenvolver os recursos industriais e tecnológicos para a segurança cibernética. •
Estabelecer uma política internacional coerente de ciberespaço para a União Europeia e promover
os valores fundamentais da UE.
A Estratégia de Segurança Cibernética da Finlândia (2013) define a segurança cibernética da

seguinte forma: “Segurança cibernética significa o estado final desejado em que o domínio cibernético
é confiável e em que o seu funcionamento é garantido”. A estratégia acrescenta três notas à definição:
Nota 1: No estado final desejado, o domínio cibernético não comprometerá, prejudicará ou

perturbará o funcionamento de funções dependentes do processamento eletrónico de
informação (dados).
www.it-ebooks.info
26 M. Lehto
Nota 2: A confiança no domínio cibernético depende da implementação de procedimentos de

segurança da informação adequados e suficientes pelos seus intervenientes («segurança de dados
comunitários»). Estes procedimentos podem prevenir a materialização de ameaças cibernéticas e,
caso ainda se materializem, prevenir, mitigar ou ajudar a tolerar as suas consequências.
Nota 3: A segurança cibernética abrange as medidas relativas às funções vitais para a sociedade e às
infraestruturas críticas que visam alcançar a capacidade de gestão preditiva e, se necessário, a tolerância às
ameaças cibernéticas e aos seus efeitos, que podem causar danos ou perigos significativos à Finlândia ou
sua população.
A UIT (2011) criou o modelo da estratégia nacional de segurança cibernética, que tem quatro partes: contexto
estratégico, fins, formas e meios.
O contexto estratégico consiste em fatores que influenciam as atividades nacionais de segurança cibernética.
Os interesses nacionais fluem dos valores nacionais e orientam as decisões políticas. A realização dos interesses
nacionais atinge objectivos como a prosperidade económica, a segurança e a estabilidade do Estado, a protecção
das liberdades individuais e uma boa ordem internacional. As nações utilizam todas as ferramentas do poder
nacional para realizar os seus interesses nacionais.
As estratégias de segurança cibernética devem centrar-se no combate às ameaças com maior probabilidade de
impedir as agências governamentais e as empresas de realizarem missões críticas (UIT 2011).
Os Fins são os objetivos que uma estratégia nacional de segurança cibernética procura alcançar. Tal como
os interesses nacionais fluem dos valores nacionais, os fins descrevem o que uma nação tem de fazer para
apoiar os interesses nacionais no ciberespaço. Assim, as estratégias de segurança cibernética ajudam a
concentrar os esforços no sentido de garantir que o ciberespaço mantém um país seguro e próspero (Ibid).
Os Caminhos identificam as atividades estratégicas para ajudar os países a governar as áreas de segurança.
A governação define como as nações podem utilizar os recursos para alcançar os resultados que os fins prevêem.
No domínio multilateral da segurança cibernética, as formas definem como as nações podem alocar recursos,
coordenar e controlar as atividades de todas as partes interessadas relevantes (Ibid).
Os meios fluem dos caminhos. Os meios descrevem os recursos disponíveis para atingir os fins declarados.
Contém actividades concretas que cumpririam os objectivos da estratégia e um quadro de governação para a
implementação, avaliação e manutenção da estratégia. A estratégia de segurança cibernética também possui
um plano diretor para a implementação da estratégia e planos de ação concretos para cada atividade. As medidas
dependem das condições locais. Várias estratégias nacionais de segurança cibernética têm seis áreas prioritárias
(UIT 2011; Lehto 2013):
• Funções e responsabilidades da segurança cibernética •

Centro de segurança cibernética/consciência da situação •
Legislação e supervisão da legalidade das ações governamentais • Treinamento e pesquisa
em segurança cibernética • Produtos e serviços de
TIC seguros • Cooperação nacional e internacional
www.it-ebooks.info
À medida que a solução de segurança da organização está a ser construída, é necessário

encontrar um equilíbrio entre segurança cibernética, funcionalidade do sistema e facilidade de
utilização. Soluções inadequadas selecionadas pela funcionalidade e facilidade de uso se traduzem
em enorme vulnerabilidade para a organização.
Referências
Alberts DS, Garstka JJ, Stein FP (2000) Guerra centrada em rede: desenvolvendo e alavancando a superioridade da
informação, 2ª edição revisada. CCRP, Washington Arquilla J, Ronfeldt D
(eds) (2001) Redes e guerras em rede: o futuro do terror, do crime e
militância. Rand, Santa Mônica
Ashenden D (2011) Segurança cibernética: hora de engajamento e debate. In: Ottis R (ed) Anais da 10ª Conferência
Europeia sobre Guerra de Informação e Segurança (ECIW 2011, Tallinn).
Publicação Acadêmica, Reading, Reino Unido, pp 11–16
Beggs C (2006) Propôs medidas de minimização de risco para ciberterrorismo e redes SCADA na Austrália. In: Remenyi
D (ed) Anais da 5ª Conferência Europeia sobre Guerra de Informação e Segurança (ECIW 2006, Helsinque).
Academic Publishing, Reading, UK, pp 9–18 Bergqvist J (2010) Você está em guerra: A luta de algoritmos
sofisticados no ciberespaço.
Soldado finlandês 91(5):6–10
Campos de carreira, Agência de Segurança Nacional, http://www.nsa.gov/careers/career_fields/
Cavelty MD (2010) A realidade e o futuro da guerra cibernética, Resumo Parlamentar. Acessado em 30 de março
2010
Cavelty MD (2011) Desvendando o efeito stuxnet: de muita persistência e pouca mudança no
debate sobre ameaças cibernéticas. Estratégia Mil Aff 3(3):11–19
Cebrowski AK, Garstka JJ (1998) Guerra centrada em rede: sua origem e futuro. Proc Naval dos EUA
Inst 124(1):28–35
Comissão Europeia (2009) Proteção da infraestrutura crítica de informação, vol 149. Bruxelas, COM
(2009)
Ordem Executiva (2013) Ordens executivas sobre segurança nacional, Ordem 13.636 de 12 de fevereiro de 2013
Estratégia de Segurança Cibernética da Finlândia (2013) Resolução do governo 24.1.2013, secretariado do
Comissão de Segurança e Defesa. Helsinki, Finlândia
Garstka JJ (2003) A guerra centrada em rede oferece vantagem no combate, Signal, maio de 2003,
páginas 58–60
Gibson W (1984) Neuromante. Berkley Publishing Group, Livro Verde de Nova Iorque
sobre um programa europeu para a protecção de infra-estruturas críticas, COM(2005) 576 final,
Comissão das Comunidades Europeias, Bruxelas. Acessado em 17 de novembro de 2005
Grobler M, van Vuuren JJ, Zaaiman J (2011) Avaliando a conscientização sobre segurança cibernética na África do Sul.
In: Ottis R (ed) Anais da 10ª Conferência Europeia sobre Guerra de Informação e Segurança (ECIW 2011, Tallinn).
Academic Publishing, Reading, Reino Unido, pp 113–121 Hintikka Kari A (2013) Hacktivismo, o
portal de pesquisa da sociedade civil. http://kans.jyu.fi/
pasta de vocabulário/palavras/hacktivismo
HVK (2013) Huoltovarmuuskeskus, Agência Nacional de Abastecimento de Emergência, http://www.
huoltovarmuus.fi/tietoahuoltovarmuudesta/kriittinen-infrastruktuuri-kasite/
Operações de Informação (2005) Documento de doutrina da Força Aérea 2–5. http://www.iwar.org.uk/iwar/
recursos/usaf/afdd2-5-2005.pdf. Acessado em 11 de janeiro de 2005
UIT (2011) Guia de estratégia nacional de segurança cibernética da UIT,
Genebra Jacobs S, Chitkushev L, Zlateva T (2010) Identidades, anonimato e guerra de informação. In: Demergis J (ed)
Anais da 9ª conferência europeia sobre guerra de informação e segurança (Thessaloniki, 2010). Publicação
Acadêmica, Leitura, pp 120–127
Jordan T (2008) Hacking: mídia digital e determinismo tecnológico. Polity Press, Cambridge
www.it-ebooks.info
28 M. Lehto
Kääriäinen J (2010) Os perigos do crime cibernético, Haaste 3/2010 Kiravuo T,

Särelä M e Manner J (2013) Campos de batalha da guerra cibernética, Sotilasaikauslehti 88(3):46–49 KRITIS (2009)
Estratégia nacional para proteção de infraestrutura crítica (estratégia CIP ). Federal
Ministério do Interior, Berlim, (17 de junho de 2009)
Kuusisto R (2012) KYBER – como poderia ser definido? palestra 10.10.2012 Helsinki Lehto M (2013) Os caminhos,
meios e fins nas estratégias de segurança cibernética. In: Kuusisto R, Kurkinen E (eds) Anais da 12ª conferência europeia
sobre guerra de informação e segurança (Jyväskylä, 2013), Academic Publishing, Reading, pp 182–190
Liaropoulos A (2010) Guerra e ética no ciberespaço: conflito cibernético e teoria da guerra justa. In: Demergis J (ed)
Proceedings of the 9th European Conference on Information Warfare and Security, (Thessaloniki, 2010), Academic
Publishing, Reading, pp 177–182 Libicki MC (1995) O que é guerra de informação? fórum
estratégico, instituto de estudos estratégicos nacionais. Universidade de Defesa Nacional (Número 28; maio de 1995)
Libicki MC (2007) Conquista no ciberespaço – segurança nacional e guerra de informação.

Cambridge University Press Libicki
MC (2011) Os usos estratégicos da ambiguidade no ciberespaço. Mil Strateg Aff 3(3):3–10 McCaughey M, Ayers MD
(2003) Ciberativismo: ativismo online na teoria e na prática.
Routledge, Nova Iorque
NATO (2007) 162 CDS 07 E rev. 1 – a proteção de infraestruturas críticas, NATO
Assembleia Parlamentar
OCDE (2001) Projeto IFP sobre futuros choques globais, relatório: redução do risco sistêmico de segurança cibernética,
14.1.2001
OCDE (2008) Proteção de infraestruturas críticas e o papel das políticas de investimento relacionadas com
segurança nacional. OCDE, maio de 2008
Ottis R (2008) Análise dos ataques cibernéticos de 2007 contra a Estónia do ponto de vista da guerra de informação. In:
Anais da 7ª conferência europeia sobre guerra de informação e segurança (Plymouth, 2008), Academic Publishing,
Reading, pp 163–168 Porter A (1969) Cibernética simplificada. English Universities Press,
Londres Pye G, Warren M (2011) Análise e modelagem de sistemas de infraestrutura crítica. In:
Ottis R (ed.)
Anais da 10ª conferência europeia sobre guerra de informação e segurança (Tallinn, 2011), Academic Publishing,
Reading, pp 194–201
Research Trends (2012) Edição 30: edição especial sobre big data. http://scienceofsciencepolicy.net/
boletim informativo / pesquisa-tendências-edição-30-edição-especial-big-data
Rowe N (2010) Rumo a ataques cibernéticos reversíveis. In: Demergis J (ed) Anais da 9ª conferência europeia sobre guerra
de informação e segurança (Thessaloniki, 2010), Academic Publishing, Reading, pp 261–267
Estratégia de Segurança para a Sociedade (2010) Resolução do Governo 16.12.2010, Ministério da Defesa,
Helsínquia
Senenko CM (2007) Guerra centrada em rede e os princípios da guerra, dissertação de mestrado. Forças Conjuntas
Staff College, Escola Conjunta de Combate Avançado, Norfolk, VA
Seruga J (2011) Conscientização sobre segurança da informação e segurança empresarial. Palestra convidada no
Universidade de Jyväskylä, 18 de agosto de 2011
Avaliação e previsão militar, STAE (2008) Forças de defesa finlandesas: estimativa e previsão de tecnologias militares
Ståhle P (2004) A dinâmica da auto-renovação - pensamento sistêmico como base para a compreensão dos processos de
desenvolvimento, documento online
Sistemas de Supervisão de Controle e Aquisição de Dados (SCADA) (2004) Informações técnicas
boletim 04-1. Sistema Nacional de Comunicações, Arlington, outubro de 2004
Tereshchenko N (2013) Desafios da política externa dos EUA: terrorismo cibernético e infraestrutura crítica, e-
Relações Internacionais, 12 de junho de 2013
Agência Europeia para a Segurança das Redes e da Informação (ENISA) (2012b), cenário de ameaças da ENISA:
Respondendo ao ambiente de ameaças em evolução Agência Nacional de
Abastecimento de Emergência (2013) http://www.huoltovarmuus.fi/tietoa-huoltovarmuudesta/
www.it-ebooks.info
Rumo a uma política geral de luta contra o cibercrime (2007) COM (2007) 267 final, comissão das
comunidades europeias, Bruxelas. Acessado em 22 de maio de 2007 Travis G,
Balas E, Ripley D, Wallace S (2003) Análise do worm “SQL Slammer” e seus efeitos na universidade
de Indiana e instituições relacionadas, relatório. Laboratório Avançado de Gerenciamento de Rede,
Iniciativa de Segurança Cibernética, Universidade de Indiana, Bloomington, IN
Vegh S (2003) Classificando formas de ativismo online: o caso dos protestos cibernéticos contra o
Banco Mundial. In: McCaughey M, Ayers MD (eds) Ciberativismo: Ativismo Online em Teoria e
Prática. Routledge, Nova York, pp 71–95
Woollaston V (2013) Revelado, o que acontece em apenas UM minuto na internet, Daily Mail Online,
30 de julho de 2013
www.it-ebooks.info
O mundo cibernético como sistema social
Tuija Kuusisto e Rauno Kuusisto
Resumo A crescente aplicação das tecnologias de informação e comunicação está transformando a

sociedade em um terreno desconhecido do mundo cibernético em constante evolução. Isto desafia os
atores da sociedade e aumenta a complexidade.
O objetivo deste capítulo é formar uma hipótese sobre como identificar padrões, ou seja, fenômenos
emergentes sobre o mundo cibernético para o desenvolvimento da segurança na sociedade. O mundo
cibernético é considerado um sistema adaptativo complexo. Uma abordagem de modelagem de
sistemas para sistemas adaptativos complexos é brevemente delineada e um modelo de sistema social
de uma sociedade é introduzido como um método de análise de conteúdo para sistemas adaptativos
complexos. O modelo é preenchido com um pequeno conjunto de dados empíricos para se ter uma
visão preliminar da análise de conteúdo do mundo cibernético. Os resultados da análise de conteúdo
são padrões, ou seja, fenómenos emergentes do mundo cibernético. Eles podem ser utilizados para
focar a análise mais detalhada do mundo cibernético nas questões mais significativas do ponto de vista
do planejamento e implementação da segurança.
1. Introdução
O negócio digital global, bem como a digitalização das funções e estruturas da sociedade, proporciona
muitos benefícios ao governo, às empresas, aos clientes e aos cidadãos. Contudo, a crescente
aplicação das tecnologias de informação e comunicação está transformando a sociedade num terreno
desconhecido de
T. Kuusisto (&) R. Kuusisto National

Defense University, Helsinque, Finlândia e-mail:
[email protected]
R. Kuusisto
R. Kuusisto
Departamento de Tecnologia da Informação Matemática,
Universidade de Jyväskylä, Jyväskylä, Finlândia
© Springer International Publishing Switzerland 2015 M. Lehto e P. 31

Neittaanmäki (eds.), Cyber Security: Analytics, Technology and Automation,
Intelligent Systems, Control and Automation: Science and Engineering 78, DOI
10.1007/978-3-319-18302- 2_2
www.it-ebooks.info
32 T. Kuusisto e R. Kuusisto
o mundo cibernético em constante evolução. Esta transformação abrange todos os atores,

organizações e funções da sociedade e influencia a forma como os sistemas e processos da
sociedade são construídos e executados. Isto desafia os intervenientes e aumenta a
complexidade. A maioria das funções e serviços da sociedade, bem como as funções vitais, já
estão automatizadas e interligadas. Os atores dependem da confidencialidade, integridade e
disponibilidade de informações que orientam as funções e serviços. As informações no mundo
cibernético são vulneráveis a diversas ameaças à segurança. Portanto, os aspectos de
segurança da informação, bem como a segurança das estruturas e sistemas tecnológicos que
armazenam e contêm informações tornaram-se uma questão importante.
O mundo cibernético, enquanto domínio em constante expansão, oferece esplêndidas

oportunidades para novos e inovadores actores, estruturas e actividades que se manifestam.
No entanto, é necessário ter acesso a um potencial cibernético de alto nível para se tornar um
ator significativo no mundo cibernético. Este potencial é normalmente formado apenas pelos
recursos dos Estados-nação, porque se baseia em coisas como a prosperidade existente, o
sistema educativo, a ciência e a investigação, bem como os negócios e o comércio internacionais.
Alguns países desenvolverão mais potencial cibernético do que outros, mas mesmo as grandes
organizações empresariais precisam de uma nação anfitriã com recursos suficientes para criar
o potencial necessário.
No entanto, devido ao elevado potencial cibernético e à interligação existente, alguns dos
novos tipos de intervenientes do mundo cibernético surgirão e atrairão pessoas, pelo menos
durante algum tempo. Por exemplo, alguns dos fornecedores de compras online e de redes
sociais tiveram bom sucesso e grupos políticos e religiosos conseguiram recrutar seguidores
através da comunicação da sua mensagem no mundo cibernético. Estes actores globais
emergentes trarão muitas questões culturais com uma variedade e até mesmo divergência de
valores para competir nas mentes das pessoas. As interpretações das normas e do seu valor
tornar-se-ão mais inconsistentes e os requisitos para o desenvolvimento de regulamentos
permanecerão contraditórios. É necessária uma compreensão mais profunda e mais ampla das
características da sociedade em transformação no mundo cibernético para melhorar a segurança
da sociedade.
O objectivo deste capítulo é formar uma hipótese sobre como identificar padrões, ou seja,
fenómenos emergentes e ainda sobre regras simples sobre o mundo cibernético para o
desenvolvimento da segurança na sociedade. Esses padrões e regras podem ser usados para
compreender e talvez organizar a complexidade. Primeiro, os principais conceitos do mundo
cibernético são brevemente discutidos e a teoria do sistema adaptativo complexo (CAS) (Holland
1996) é referida para aumentar a compreensão sobre a natureza do mundo cibernético. Uma
abordagem de modelagem de sistemas para sistemas complexos é brevemente delineada e um
modelo de sistema social de uma sociedade é introduzido como um método de análise de
conteúdo para sistemas adaptativos complexos. O modelo de sistema social baseia-se nas
teorias dos sistemas sociais (Parsons 1951; Habermas 1984, 1989; Luhmann 1999). O modelo
é preenchido com um pequeno conjunto de dados empíricos para se ter uma visão preliminar
da análise de conteúdo do mundo cibernético. Os resultados da análise de conteúdo são
padrões, ou seja, fenómenos emergentes do mundo cibernético. Eles podem ser utilizados para
focar a análise mais detalhada do mundo cibernético nas questões mais significativas do ponto
de vista do planejamento e implementação da segurança.
www.it-ebooks.info
O mundo cibernético como sistema social 33
2 conceitos
2.1 Os Principais Conceitos do Mundo Cibernético
Os conceitos e modelos do mundo cibernético referidos e delineados neste capítulo baseiam-se na

filosofia da comunicação (Habermas 1984, 1989), sociologia (Parsons 1951; Luhmann 1999), filosofia
da cognição (Bergson 1911; Damasio 1999; Merleau-Ponty 1969), cultura organizacional (Schein 1992;
Hofstede 1984), informação (Polanyi 1966) e complexidade (Holland 1996; Kauffman 1995; Ball 2004).
Merriam-Webster (2013) dá uma definição comum para ciberespaço e define-o como “de, relacionado
a, ou envolvendo computadores ou redes de computadores (como a Internet)”. Pode-se notar que
mesmo que a maior parte do mundo cibernético seja construído de informação, as expressões explícitas
sobre o aspecto do processamento eletrônico de informações do ciberespaço não podem ser
encontradas nas definições comuns de ciberespaço.
Este artigo utiliza o conceito de mundo cibernético para enfatizar a natureza abrangente do
ciberespaço. Os mundos cibernético e físico estão parcialmente sobrepostos, conforme ilustrado na
Figura 1. Isto segue a percepção humana comum sobre a obscuridade dos limites desses dois mundos.
Por exemplo, os sistemas de gestão da cadeia de abastecimento e de controlo, bem como o fabrico
aditivo conhecido como impressão 3D, consistem em construções e itens do mundo cibernético e físico
que dependem uns dos outros.
Uma das definições para mundo é 'a terra com seus habitantes e todas as coisas sobre ela' e para
físico 'de ou relacionado a coisas materiais' (Merriam-Webster 2013).
Com base nestas definições, o mundo físico é definido como a terra com os seus habitantes e todas as
coisas sobre ela relacionadas com coisas materiais. As definições de mundo e cibernético dão à palavra
cibernética a seguinte definição: A terra com seus habitantes e todas as coisas sobre ela relacionadas
ou envolvendo computadores e redes de computadores.
Fig. 1 A relação entre o O mundo físico

mundo cibernético e o mundo Tempo O mundo cibernético
físico
A'
Espaço
www.it-ebooks.info
Tal como afirma a UIT (2011) , os termos ciberespaço, ambiente cibernético e

infraestrutura de informação crítica são utilizados indistintamente. A definição de mundo
cibernético está próxima da definição de ambiente cibernético em ITU-T (2008), que
diz que o ambiente cibernético 'inclui usuários, redes, dispositivos, todos os softwares,
processos, informações em armazenamento ou trânsito, aplicações, serviços e
sistemas que podem ser conectados direta ou indiretamente às redes”. Hathaway e
Klimburg (2012) apresentam pensamento semelhante quando argumentam que o
espaço cibernético contém pessoas e interação social nas redes, além de hardware,
software e sistemas de informação da internet.
O mundo cibernético inclui não apenas os computadores e as redes de dados e
informações, mas também o sistema completo e abrangente da existência humana
nessas redes. Esta interpretação do conceito de mundo cibernético permite lidar com
as questões e fenómenos essenciais que emergem deste novo domínio. Essas
questões incluem o comportamento social humano apoiado por soluções técnicas de informação.
Neste capítulo, a tecnologia da informação e comunicação é considerada um facilitador
e não um dominador da existência humana. Esta abordagem permite estudar os
fenômenos e características do mundo cibernético sem prender o estudo às restrições
estruturais de qualquer tecnologia.
2.2 A Estrutura do Mundo Físico e Cibernético
Uma estrutura para classificar aproximadamente as atividades dos mundos cibernético

e físico é descrita na Fig. 2. A estrutura apoia especialmente a modelagem de
atividades das partes sobrepostas dos mundos cibernético e físico. Pode ser aplicado
para aumentar a compreensão sobre como as atividades cibernéticas e físicas estão
interligadas. Além disso, serve, por exemplo, como ferramenta de modelagem na produção
Ocorrendo
Cibernético
Propagação de
Corte de um cabo de comunicação
malware
com espada
Execução
Execução
Cibernético Físico
Recebimento de quadro Guerra com

eletrônico de situação e ordens de espadas e
ações em campo escudos
Físico
Ocorrendo
Fig. 2 A estrutura do mundo físico e cibernético
www.it-ebooks.info
documentos de análise de requisitos. A estrutura pode ser usada para garantir que tanto os aspectos
do mundo cibernético quanto os do mundo físico estejam envolvidos.
A estrutura consiste em quatro campos: campos físico-físico, físico-cibernético, ciber-cibernético
e ciber-físico, conforme apresentado na Fig. 2. A colocação de uma atividade em um dos campos da
estrutura depende do mundo onde a atividade é executado e ocorre (Kuusisto e Kuusisto 2013). Uma
atividade que é executada e ocorre no mundo físico é colocada no campo físico-físico, mas uma
atividade que é executada no mundo físico e ocorre no mundo cibernético é colocada no campo físico-
cibernético. O número de atividades executadas e que ocorrem apenas no mundo físico está
diminuindo em comparação com as atividades que são executadas ou que ocorrem no mundo
cibernético.
Recentemente, o interesse pelo cibercinético aumentou. O cibercinético trata dos efeitos que
ocorrem no mundo físico causados pelas atividades executadas no mundo cibernético. São as questões
dos efeitos da rede tecnológica para o mundo real. Quando este fenômeno é estudado mais
detalhadamente, os seguintes exemplos podem ser formados.
A guerra tradicional com espadas e escudos é uma atividade executada e que ocorre no mundo
físico. Se o guerreiro desconectasse um cabo de comunicação com sua espada ele realizaria uma
atividade que é executada no mundo físico, mas ocorre no mundo cibernético. Se o guerreiro possui
um dispositivo móvel e o utiliza para espalhar malware no restante da rede ele realizaria uma atividade
que é executada e ocorre no mundo cibernético. Se o guerreiro recebesse uma imagem eletrônica da
situação e as ordens para as ações futuras em seu dispositivo móvel e ele implementasse as ações
solicitadas no espaço físico de batalha, aconteceriam atividades executadas no mundo cibernético e
ocorrendo no mundo físico.
Mais cruciais no cibercinético são os efeitos consequenciais de segunda ordem e de ordem

superior causados por danos em entidades individuais relacionadas ao ciberespaço. O dano à usina
interrompe muitas outras funções quase imediatamente. O tempo de recuperação pode ser intolerável
por muito tempo, causando mudanças fundamentais ou mesmo permanentes na existência da
comunidade local ou mesmo da sociedade. Isso, como é, não é novidade. Se funções e serviços
vitais da sociedade caírem, a sociedade sofrerá muito. A novidade é que esse dano pode ser
executado à distância e instantaneamente, sem o toque físico no alvo.
3 abordagens de modelagem de sistemas no mundo cibernético
3.1 O mundo cibernético como um sistema adaptativo complexo
O mundo cibernético está evoluindo continuamente ao longo do tempo. Todos os detalhes do mundo
cibernético não podem ser conhecidos por nenhum grupo de atores ou por um determinado momento.
Estas são algumas das características da complexidade. Como descrevem Kauffman (1995) e Ball
(2004) , complexidade significa que a abrangência da interação
www.it-ebooks.info
entidades e processos não é total ou completamente conhecido nem está sob controle preciso,
ou mesmo qualquer controle. Sistemas complexos emergirão resultados que não são
necessariamente previsíveis no conteúdo ou no tempo. O complexo não é completamente
conhecido por nenhum grupo de atores, mas pode ser compreendido, pelo menos até certo ponto, por alguns ato
Isso é diferente de complicado, que é uma entidade conhecida, mas tão grande que não pode
ser descrita por nenhum ator individual. Pode-se argumentar de forma simples que o significado
de complicação é relativamente degradante, enquanto o significado de complexidade está
aumentando no mundo cibernético. Fenômenos complicados são definidos deterministicamente,
mas complexos não podem ser definidos deterministicamente. No entanto, se as principais
características e fenômenos de um sistema complexo ou de um sistema de sistemas complexos
forem descobertos, será possível obter uma compreensão suficiente dos princípios de
comportamento desse sistema.
A teoria do sistema adaptativo complexo (CAS) (Holland 1996) é uma abordagem amplamente
aceita para aumentar a compreensão sobre a complexidade. Tem o ponto de vista de um ator
sobre a natureza caótica de um sistema interativo multiator. A teoria CAS visa explicar o
comportamento adaptativo de uma entidade em seu ambiente de atuação, categorizando as
características básicas da entidade. A teoria CAS divide os elementos básicos de uma entidade
em quatro propriedades e três mecanismos. Uma entidade CAS com esses elementos é mostrada
na Fig. 3. Uma breve descrição dos elementos é:
(1) Uma agregação é propriedade de uma entidade. Define que uma entidade procura categorizar
partes semelhantes em uma classe. Por exemplo, as peças dos veículos pertencem a uma
classe de veículos e todos os municípios pertencem ao governo local. Após a classificação
os membros dessas classes são tratados como equivalentes.
(2) A marcação é um mecanismo que fornece um símbolo descritivo (nome) para um
agregar.
(3) A não linearidade é uma propriedade que expressa que o resultado do todo não é a soma
das suas partes.
(4) Um fluxo é uma propriedade que informa o que é transferido entre blocos de construção. Um
fluxo pode ser informação, material, radiação ou símbolo.
Fig. 3 Uma entidade CAS e seus

elementos básicos (Kuusisto
2012)
www.it-ebooks.info
(5) Diversidade é uma propriedade que diz que uma totalidade contém certa (vária) quantidade de certos
(diferentes) tipos de nós que desempenham um papel adequado nessa totalidade.
(6) Uma modelagem interna ou esquema é um mecanismo que causa determinado comportamento
de uma entidade, quando ocorre determinado estímulo.
(7) Os blocos de construção são o mecanismo que permite construir modelos de uma forma
maneira simples (Holland 1996).
O mundo cibernético pode ser considerado como um sistema adaptativo complexo de sistemas
sociotecnológicos adaptativos complexos. Não é aleatório nem acidental. É uma coleção de elementos de
sistemas com certos tipos de características universais e o continuum de suas inter-relações. Isto faz com
que o mundo cibernético atue de uma forma não determinística que se torna compreensível se
percebermos o sistema no nível estrutural que se adapta ao nosso ponto de vista, ver Ball (2004),
Kauffmann (1995), Moffat (2003). O mundo cibernético não pode ser descrito minuciosamente nem definido
exatamente pela aplicação das teorias CAS. No entanto, o mundo cibernético pode ser abordado a partir
de uma visão de mundo e de um ponto de vista propositadamente escolhidos para aumentar a compreensão
de alto nível das suas características.
3.2 A Análise de Conteúdo do Mundo Cibernético
Uma abordagem de modelagem de sistema para a formação de regras simples a partir de sistemas
complexos é mostrada na Fig. 4. O processo de modelagem prossegue do canto inferior esquerdo para o
canto superior direito da figura. A formação de regras simples baseia-se tanto no aumento da compreensão
e na análise dos fenómenos emergentesmente reveladores dos sistemas complexos, como na
categorização e análise da informação recolhida através da utilização de modelos complicados. Esta
abordagem foi apresentada e aplicada pela primeira vez em Kuusisto (2008) no contexto dos sistemas de
apoio à colaboração.
Sistemas complexos têm tendência a produzir fenómenos emergentes, ver Ball (2004), Kauffmann
(1995), Moffat (2003). A primeira etapa do processo de modelagem é
Gategorização
Regras simples
Complicado
Modelagem
Complexo Encontrando fenômenos Emergente
Fig. 4 A análise de conteúdo do mundo cibernético
www.it-ebooks.info
compreender esses fenômenos abordando o conteúdo do sistema complexo a partir de uma

visão de mundo e ponto de vista escolhidos no nível estrutural que se adapta ao ponto de vista.
Esta análise é realizada segundo o método de análise de conteúdo de Krippendorff (2013) . A
utilização do modelo de sistema social que será apresentado a seguir neste capítulo é um
método para analisar o conteúdo de um sistema complexo.
Quando os fenômenos emergentes são reconhecidos, eles podem ser utilizados para focar
a modelagem adicional do sistema complexo. Esta modelação tem muitas vezes de se basear
em informações incompletas ou fragmentárias e os resultados da modelação revelam-se por
vezes como modelos complicados. No entanto, o simples é um componente do complexo.
Os modelos complicados podem ser simplificados abstraindo e categorizando ainda mais o
seu conteúdo com o apoio dos fenómenos identificados. Isso produz informações para a
formação de regras simples sobre o sistema complexo.
O mundo cibernético é um sistema adaptativo complexo que inevitavelmente produz algum
tipo de fenômeno logicamente compreensível ao longo do tempo. Estes fenómenos podem ser
identificados abordando o mundo cibernético a partir de uma visão e ponto de vista escolhidos.
O objetivo é descobrir alguns princípios dos conteúdos do mundo cibernético para focar a análise mais
detalhada nas questões mais significativas. Este capítulo dá um exemplo de como descobrir os fenômenos
emergentes, enquanto a modelagem adicional do mundo cibernético permanecerá objeto de pesquisas
futuras. A cosmovisão escolhida neste capítulo é o sistema social. Os principais atores do mundo
cibernético são as pessoas, por isso o uso de um modelo de sistema social foi escolhido como método
para modelar os conteúdos do mundo cibernético. O ponto de vista deste capítulo é a mudança do foco
da mídia pública em relação às notícias relacionadas ao ciberespaço. A seguir, um modelo de sistema
social é brevemente delineado e, em seguida, a abordagem de modelagem de sistema é aplicada em uma
pesquisa de mídia.
3.3 Um modelo de sistema social como visão de mundo para o ciberespaço

Mundo
Os sistemas sociais têm a perspectiva humana sobre a sociedade. Neste capítulo é a visão de
mundo escolhida para o mundo cibernético. Kuusisto (2004) apresenta um modelo geral de
sistema social baseado no pensamento de Habermas (1984, 1989) e Parsons (1951).
Este modelo é descrito na Figura 5, que é derivado de um modelo de dinâmica organizacional
apresentado em Kuusisto e Kuusisto (2009), Habermas (1984, 1989) afirma que um sistema
social tem um estado inicial e um estado objetivo e a orientação para a comunicação. A
operação do sistema é interna e externa, conforme ilustrado na Fig .
Habermas (1989) refere-se ao pensamento de Talcott Parsons (1951) e argumenta que a
informação que direciona as atividades de um ator consiste em quatro classes básicas: valores,
normas, objetivos e fatos externos. Estas estão descritas na parte inferior da Figura 5. As
atividades que utilizam informações estão na parte superior da figura. Estes são adaptação,
cumprimento de metas, integração e manutenção de padrões. Os fenômenos estruturais dos
sistemas sociais que consistem em cultura, comunidade, sistema político e instituições estão no
www.it-ebooks.info
A interação é orientada A interação é orientada

A interação é orientada externamente internamente
internamente
manutenção de padrão adaptação alcançe de objetivo integração
cultura organização política comunidade
valores fatos do presente metas normas

Estado inicial Estado da meta
Fig. 5 Um modelo de sistema de uma sociedade
meio da figura. Como diz Habermas (1989) , os sistemas culturais são mais sólidos do que
comunidades, que são novamente mais sólidas do que as estruturas e instituições políticas.
Existem relações de interatividade entre um item da Figura 5 e os itens acima
ou abaixo do item. Além disso, existe interação entre ações vizinhas e
itens de informação. A manutenção de padrões interage com normas e fatos do presente,
a adaptação interage com valores e objetivos, o alcance de objetivos interage com fatos de
presente e normas e integração interagem com objetivos e valores. Então, informação
de diferentes partes funcionais do sistema é uma combinação da influência de
partes vizinhas do sistema e entrada externa de cada subsistema do sistema abrangente. Pode ser
facilmente reconhecido que este tipo de sistema é complexo
sendo assim emergente.
O mundo cibernético pode ser considerado como um sistema de sistemas sociais. As pessoas são
atuando nas estruturas do mundo cibernético guiado pelas estruturas dos sistemas sociais
e obedecendo mais ou menos às normas internas. As pessoas que atuam no mundo cibernético são
produzindo informações tanto dentro de um sistema social quanto entre outros sistemas vizinhos.
sistemas sociais. Este tipo de fluxo de informação e surgimento contínuo de novas
tipos de interpretações formam um sistema complexo que pode ser difícil de entender
e isso é praticamente impossível de controlar. No entanto, o modelo de sistema social pode
ajudar a criar compreensão sobre a natureza complexa do mundo sempre interagindo e
sistema em evolução dinâmica de várias subpartes e fenômenos do mundo cibernético abrangente,
ajudando-nos assim a descobrir atos relevantes o suficiente para torná-lo
mais conveniente viver neste tipo de ambiente novo.
4 A Análise de Conteúdo do Mundo Cibernético
4.1 Pesquisas de mídia
A abordagem de modelagem de sistemas foi aplicada em duas pesquisas de mídia em 2011 e

2012. A visão de mundo desses estudos empíricos foi o modelo de sistema social e
www.it-ebooks.info
o ponto de vista foi a mudança do foco da mídia pública em relação às questões relacionadas ao ciberespaço.
notícias. O nível estrutural em que os dados empíricos foram coletados e analisados foi o
nível do governo estadual ou central. Os resultados das pesquisas são relatados em Kuusisto
e Kuusisto (2013). Eles são uma interpretação do complexo mundo cibernético
fenômenos emergentes.
As pesquisas da mídia mostram que as questões do mundo cibernético são discutidas publicamente, mas
o foco das discussões está mudando ao longo do tempo. A mudança no relatório
notícias cibernéticas (%) de acordo com as categorias do modelo de sistema social de
o ano de 2011 ao ano de 2012 é apresentado na Tabela 1.
As principais conclusões da primeira pesquisa de mídia em 2011 incluem que a organização
estruturas não foram discutidas. Isto significa que não era conhecido ou sob conhecimento geral
interesse saber quais eram as responsabilidades e quem era responsável por quê. Normas
e as regras também não foram discutidas. Isto significa que a integração interna do
comunidade não tinha um ponto de partida comummente acordado. Isso levou a sociedade a um
situação em que a adaptação à situação actual por si só seria provavelmente a solução
força motriz da tomada de decisões.
As principais conclusões do segundo inquérito aos meios de comunicação social realizado em 2012 mostram que o
discussões na sociedade sobre as normas e regras de atividades e comportamento cibernético
foram iniciados. Além disso, as discussões externas na sociedade sobre os fatos da cibersegurança
atividades e organização foram ampliadas em relação aos resultados de 2011. Estas
resultados significam que as pessoas querem saber que tipo de normas irão guiar o mundo e
como o mundo cibernético será percebido no futuro. Uma forte necessidade de organizar o
O mundo cibernético parece estar à nossa frente. No entanto, as formas de integração do
várias comunidades ainda não está claro. Isto significa que a questão básica é: Quem
queremos deixar que nos conduza?
A necessidade de organizar o mundo cibernético será provavelmente um fenómeno emergente

produzidos a partir do mundo cibernético. Do planejamento e implementação da segurança
ponto de vista, as informações sobre esta necessidade podem ser utilizadas na implementação
a análise mais detalhada do mundo cibernético. Esta análise pode ser implementada por
usando métodos de planejamento estratégico, como a análise de métricas de nível estratégico ou por
usando algumas das ferramentas básicas de estratégia, como análise SWOT.
Tabela 1 A mudança nas notícias cibernéticas relatadas (%) em Helsingin Sanomat (2011, 2012)
do outono de 2011 ao outono de 2012
A interação é A interação é externa A interação é

orientado internamente orientado orientado internamente
Ação Manutenção de padrões Adaptação Meta Integração
atendimento
ÿ3 ÿ4 ÿ11 ÿ1
Estrutura Cultura Organização 5 Política Comunidade
0 00
Valores de informação Fatos de Metas Normas
presente
1 7 ÿ2 7
Estado inicial Estado da meta
www.it-ebooks.info
4.2 Garantia de Informação
Um aspecto do planejamento e implementação da segurança é a proteção da informação. A

sociedade moderna depende dos aspectos de segurança da informação que orientam as
funções e serviços da sociedade no mundo cibernético. Especialmente, a integridade da
informação alcançou uma posição importante entre os atributos de segurança da informação do
espectro mútuo. Uma consequência disso é que as práticas de segurança da informação não
são mais suficientes para atender às crescentes exigências. A segurança da informação pode
ser considerada um fenômeno de um mundo complicado. Estratégias, políticas de segurança
da informação, seus princípios de gestão, prioridades e especialmente conjuntos de ferramentas
podem ser determinados de forma precisa. Isto também se expressa nos vários tipos de
sistemas de padronização de segurança da informação.
Pode-se argumentar que a segurança da informação é um conceito e uma prática maduros e
que pode ser praticada de maneira ordenada muito bem em uma organização típica.
Juntamente com a segurança da informação, o conceito de garantia da informação deve ser
levado seriamente em consideração. A segurança é normalmente definida como “o estado de
ter certeza ou certeza sobre algo” (Merriam-Webster 2013). Portanto, garantia da informação é
o estado de ter certeza ou certeza sobre a informação. Enquanto a segurança da informação no
seu significado tradicional se concentra na própria informação em organizações como, por
exemplo, empresas e estados e comunica, por exemplo, sociedades, a garantia da informação
concentra-se também na cultura de segurança, nos aparelhos de tomada de decisão, bem como
nas possíveis atividades de redes humanas e tecnológicas e sistemas. Sem um bom
desempenho e contexto relevante, as sociedades de garantia da informação, os estados, as
coligações, as empresas ou quaisquer outros intervenientes não podem cumprir a sua existência
no espírito da integridade da informação.
É necessária uma garantia abrangente da informação que consista em estratégia, política e
execução, incluindo segurança da informação. Isto não significa apenas a segurança dos dados
ou a sua disponibilização, mas também a criação de uma cultura de garantia da informação
funcional e suficientemente compreendida, estruturas de tomada de decisão, informação crítica
partilhada, bem como estruturas e funções para colocar em prática ações relevantes. A
informação é o agente básico para produzir ações relevantes, mas requer estruturas relevantes
para se tornar realismo. A garantia de informações bem planejada e comprovada é um fator
chave para isso.
5. Conclusões
Este capítulo apresentou uma abordagem de modelagem de sistemas para aumentar a

compreensão dos fenômenos que podem ser importantes no estudo do mundo cibernético para
o desenvolvimento da segurança na sociedade. A teoria do sistema adaptativo complexo foi
aplicada para compreender a natureza do mundo cibernético e um modelo de sistema social foi
introduzido como método para abordar o mundo cibernético. O capítulo mostrou como alguns
dos fenômenos emergentes do complexo mundo cibernético podem ser identificados usando
www.it-ebooks.info
o modelo do sistema social. O modelo foi aplicado para estudar a mudança no foco da mídia
pública em relação às notícias cibernéticas.
A abordagem de modelagem de sistemas parece apoiar o reconhecimento das questões
significativas do mundo cibernético. No entanto, esta abordagem descreve imagens aproximadas
do mundo cibernético. Abordagens e métodos de modelagem mais exatos são necessários para
produzir informações suficientes para a formação de regras simples do mundo cibernético. Essas
abordagens e métodos incluem planejamento estratégico e métodos de implementação, como
análise de métricas. Além disso, há necessidade de continuar o trabalho de investigação com
dados empíricos recolhidos de diversas fontes e representando períodos de tempo mais longos
para verificação e validação da abordagem de modelação de sistemas apresentada.
Os resultados dos inquéritos aos meios de comunicação mostram que a organização do

mundo cibernético provavelmente estará diante de nós. Parece que na actual era cibernética as
estruturas do mundo em mudança não são claras. O aparelho de tomada de decisão está a mudar
e os objectivos revelam-se de uma forma diferente do que antes. O campo global está se tornando
mais complexo, exigindo novas competências para quem nele atua. Os países cibernéticos
avançados, as empresas e as redes sociais têm sido interligados de uma forma impossível de
cancelar. Esse mundo interligado forma a esfera moderna onde ocorrem atividades relevantes ou
mesmo vitais. Num cenário futuro positivo, as comunidades que actuam colectivamente alcançam
o seu bom futuro, interligadas em todas as áreas de troca de informações que garantem
actividades relevantes.
As mudanças nas estruturas e nos sistemas de tomada de decisão de uma sociedade precisam
de ser abordadas pelos esforços de planeamento e implementação da segurança. Os sistemas
culturais são mais sólidos do que as outras estruturas de uma sociedade. Os valores interagem
com a cultura e influenciam as normas da sociedade. Assim, as atividades de planeamento e
implementação de segurança devem centrar-se no desenvolvimento da cultura de segurança e
na preparação da regulamentação para garantir a segurança no mundo cibernético em rápida
mudança. É necessário que sejam levantadas discussões na sociedade para aumentar o
entendimento mútuo sobre a interpretação dos valores relativos à cultura de segurança e às
normas que abrangem o mundo cibernético. As pessoas adoptarão a cultura de segurança e
aceitarão as normas se a cultura e as normas se basearem na compreensão mútua de valores. A
longo prazo, parece que as actividades de planeamento e implementação da segurança passarão
da preparação da regulamentação para a construção da comunidade do mundo cibernético.
Referências
Ball P (2004) Massa crítica: como uma coisa leva a outra. Heinemann, Londres Bergson H
(1911) Evolução criativa. Henry Holt and Company, Nova York Damasio A (1999) A
sensação do que acontece: corpo e emoção na formação da consciência. Harcourt Brace, Nova York
Habermas J (1984) A teoria da ação
comunicativa. Volume 1: Razão e a racionalização
da sociedade. Beacon Press, Boston
Habermas J (1989) A teoria da ação comunicativa. Volume 2: Mundo da vida e sistema: um
crítica da razão funcionalista. Beacon Press, Boston
www.it-ebooks.info
Hathaway M, Klimburg A (2012) Considerações preliminares: sobre segurança cibernética nacional. Capítulo In: Klimburg
A (ed), Manual Nacional da Estrutura de Segurança Cibernética. Centro de Excelência Cooperativo de Defesa
Cibernética da OTAN, Tallinn Helsingin Sanomat
(2011, 2012) O principal jornal diário impresso na Finlândia Hofstede G (1984) Consequências da cultura:
diferenças internacionais nos valores relacionados ao trabalho. Sage Publications, Beverly Hills Holland JH (1996) Ordem
oculta: como a adaptação cria
complexidade. Perseus Books, Nova York ITU-T (2008) X.1205: Visão geral da segurança cibernética. Recomendações
ITU-T, Série X: Redes de Dados, Comunicações de Sistema Aberto e Segurança. União Internacional de Telecomunicações
(UIT). http://www.itu.int/rec/T-REC-X.1205-200804-I. Acessado em 5 de novembro de 2013 ITU (2011) Guia de
estratégia nacional de segurança cibernética da ITU. União Internacional de Telecomunicações (UIT). http://
www.itu.int/ITU-D/cyb/cybersecurity/docs/itu-national-cybersecurity-guide.pdf.
Acessado em 5 de novembro de 2013
Kauffman SA (1995) Em casa no universo: a busca pelas leis da auto-organização e da complexidade. Oxford University
Press, Oxford Krippendorff K (2013) Análise de conteúdo:
uma introdução à sua metodologia, 3ª ed. Publicações SAGE, Newbury Park Kuusisto R (2004) Aspectos sobre
disponibilidade: uma aventura
teleológica de informação no mundo da vida.
Tese de doutorado, Edita Prima Oy, Helsinque
Kuusisto R (2008) Analisando os níveis de maturidade de comando e controle de organizações colaboradoras. In: Anais
do 13º Simpósio Internacional de Pesquisa e Tecnologia de Comando e Controle (13º ICCRTS) (Bellevue, Washington,
2008), Artigo 028 Kuusisto R, Kuusisto T (2009) Cultura de segurança da informação como sistema
social: algumas notas sobre disponibilidade de informação e compartilhamento. In: Gupta M, Sharman R (eds) Elementos
sociais e humanos da segurança da informação: tendências emergentes e contramedidas. IGI Global, Hershey,
Pensilvânia, pp 77–97
Kuusisto R (2012) Estrutura de compartilhamento de informações para comando e controle ágil em ambiente complexo de
colaboração entre domínios. In: Anais do 17º simpósio internacional de pesquisa e tecnologia de comando e controle
(Fairfax, Virginia, 2012), p 19 Kuusisto R, Kuusisto T (2013) Comunicação estratégica para liderança
em segurança cibernética. J Inf Warfare 12(3):41–48 Luhmann N (1999) Ökologishe kommunikation, 3ª ed. Westdeutcher
Verlag, Opladen/
Wiesbaden
Merleau-Ponty M (1969) O visível e o invisível. Imprensa da Universidade Northwestern, Evanston,
Illinois
Dicionário online Merriam-webster (2013). http://www.merriam-webster.com/. Acessado em 9 de setembro
2013
Moffat J (2003) Teoria da complexidade e guerra centrada em rede, comando e controle do DOD
pesquisar
Parsons T (1951) O sistema social. Free Press, Londres Polanyi M
(1966) A dimensão tácita. Routledge, Londres Schein EH (1992) Cultura
organizacional e liderança, 2ª ed. Wiley, Nova York (4ª edição,
Jossey-Bass, 2010)
www.it-ebooks.info
Cidadãos no Mundo Cibernético – Despachos da

“Clínica” Virtual
Torsti Sirén e Aki-Mauri Huhtinen
Resumo As pessoas não são “boas” ou “más”. Pessoas são pessoas e respondem a incentivos.
Eles quase sempre podem ser manipulados – para o bem ou para o mal – se você encontrar as
alavancas certas. Influência tem tudo a ver com aprender quais são as alavancas certas e como
aplicá-las (Mackay e Tataham 2011, p. 64). O conceito cibernético tem sido normalmente, pelo
menos implicitamente, entendido em termos tecnológicos, como sinónimo de redes baseadas
em computadores e na Internet. Este capítulo, no entanto, aborda o ciberespaço a partir de uma
perspectiva psicológica e argumenta que, além da sua dimensão tecnológica, o ciberespaço
também deve ser considerado como uma espécie de Ágora virtual, espaço de batalha mental
ou espaço mental global onde ideias podem ser mediadas, desafiadas e psicologicamente.
influência psicológica ensaiada de muitas maneiras e em muitas plataformas, uma das quais é
a Internet e as Mídias Sociais (ALGUMAS). O capítulo apoia-se teoricamente nas teorias
psicanalíticas de identidade freudiana-lacanianas, ambas as quais tratam da luta “eterna” entre
o passado, o presente e o futuro humano individual e social.
Os autores usaram a observação participante como método ao analisar vários tópicos de
discussão dos quais participaram no Facebook. O principal argumento do capítulo é triplo: (1)
Muitos dos confrontos atuais entre sociedades humanas são travados em meios de comunicação
(incluindo ALGUNS) longe dos campos de batalha cinéticos; (2) A velocidade de ALGUMAS
discussões (especialmente o Facebook) aproxima-se da velocidade das discussões cara a cara,
o que pode facilmente levar a comentários intolerantes por parte de um debatedor participante
da visão de mundo mais ampla em relação aos debatedores das visões de mundo mais estreitas;
(3) As batalhas mentais no Facebook contra as intolerantes fortalezas do ego freudiano-
lacanianas só podem ser vencidas pelos argumentos mais credíveis e, mesmo assim, não
apenas por um ego emancipatório capaz, mas com muitos de um tipo.
T. Sirén (&) A.-M. Departamento de

Liderança e Pedagogia Militar Huhtinen, Universidade Finlandesa
de Defesa Nacional, Helsinque, Finlândia e-mail: [email protected]
SOU. E-mail de
Huhtinen: [email protected]

10.1007/978-3-319-18302- 2_3
www.it-ebooks.info
46 T. Sirén e A.-M. Huhtinen
1. Introdução
Durante a época pré-moderna, as pessoas reuniam-se nas suas cavernas ou casas em torno
das fogueiras, do mercado comum ou Polis/Ágora para partilhar ideias e negociar. Na era pós-
moderna de hoje, as pessoas tendem a reunir-se em SOME, baseadas na Internet, como uma
Ágora virtual para partilhar e desafiar as suas ideias. A invenção da Internet em 1983 tornou-se
uma plataforma revolucionária para reunir pessoas em discussões virtuais. Em 1990, a Internet
existia há 7 anos e apenas três milhões de pessoas tinham acesso a ela em todo o mundo; 73%
destes viviam nos EUA e 15% na Europa Ocidental. Desde então, a Internet tornou-se uma
plataforma tecnológica, que mudou a forma como comunicamos. A Internet como plataforma,
juntamente com os SOMEs baseados na Internet (não há SOMEs sem seres humanos
discursivos), forma um ciberespaço ou mundo cibernético técnico-psicológico, cuja dimensão
psicológica é aqui chamada de Ágora virtual e mente global. espaço. Em Dezembro de 1995,
os utilizadores da Internet eram 16 milhões. Em dezembro de 2003, os usuários de internet já
eram 719 milhões e em setembro de 2010, 1.971 milhões (Miniwatts Marketing Group 2010;
Barbosa 2006; D'Amico e Nigro 2003). Hoje, existem mais de 2.000 milhões de usuários da
Internet e esse número está crescendo. As pessoas compartilham informações e se encontram
em locais de encontro virtuais de ALGUNS, como Facebook, Twitter, LinkedIn e assim por
diante. Por outras palavras, as pessoas estão globalmente ligadas, o que abre novas
possibilidades para as afectar e desafiar as suas identidades. A questão mais interessante, no
que diz respeito a ALGUMAS, é que quando as pessoas se tornam ativas em uma ou várias
aplicações de ALGUMAS aplicações, elas usam essas redes para divulgar as suas ideias
individuais ou ideias de algum grupo específico – é importante então ter tantos “amigos” com
opiniões diversas possível também no Facebook, se desejar influenciar o espaço mental local,
regional ou global (Rainie et al. 2011; ver também Sirén 2013a, p. 90).
A Internet e o SOME emanciparam as pessoas para se expressarem mesmo em sociedades

que não apoiam a liberdade de expressão. Consequentemente, governos repressivos
estabelecem restrições à Internet e ALGUMAS restrições e as pessoas tentam contorná-las.
Isto poderia ser descrito como uma corrida armamentista tecnológica no ciberespaço, mas
também se trata da necessidade universal de liberdade individual, e a Internet e os SOMEs
oferecem uma combinação de meios e formas para satisfazer essa necessidade. O mundo
actual, virtualmente globalizado, desafia todos os governos repressivos, a menos que estes
percebam que todos os governos são para os seus cidadãos com liberdades, e não para os
seus súbditos com restrições. Em Janeiro de 2011, por exemplo, a chamada revolução Jasmin
na Tunísia foi, pelo menos parcialmente, desencadeada pelo Wikileaks, que confirmou a visão
do povo tunisino sobre a corrupção do seu governo (Payne 2011). A revolução da Tunísia
inspirou protestos pelo menos no Egipto, na Líbia, no Iémen, na Jordânia e no Bahrein. Até a
China instalou firewalls em ALGUNS, temendo as reivindicações do seu povo por liberdade
política (Sirén 2013a, pp. 90-91).
O conceito cibernético tornou-se amplamente conhecido no início dos anos 2000 e foi
“doutrinado”, por exemplo, nos EUA em 2011 pelo Departamento de Defesa dos EUA.
Hoje, o conceito cibernético tornou-se popular, cujo conteúdo geralmente recebeu apenas
significado tecnológico, consistindo em hacking, espionagem, sabotagem,
www.it-ebooks.info
Cidadãos no Mundo Cibernético – Despachos da “Clínica” Virtual 47
ataques de negação de ataques e ataques às redes de energia elétrica através da internet. Por
outras palavras, o ciberespaço tem sido entendido, mais ou menos, como sinónimo de um conceito
militar tão tradicional como operações de redes informáticas (CNO) ou segurança de operações
eléctricas (OPSEC) – o mesmo conteúdo, embora com um “conceito guarda-chuva” diferente.
Cibernético refere-se então a operações/ações realizadas na Internet através de computadores –
é o quinto domínio operacional (além de terrestre, marítimo, aéreo e espacial), de acordo com os
militares do mundo (Departamento de Defesa 2011). Em Março de 2013, os ataques cibernéticos
[tecnológicos] foram considerados uma ameaça maior do que a Al Qaeda nos EUA (Dilanian 2013).
Cibernético ainda é geralmente considerado sinônimo de CNO ou OPSEC elétrico pelos

estados e organizações de segurança (ver, por exemplo, Valtioneuvosto [Conselho de Estado da
Finlândia] 2013, p. 12). De acordo com o Conselho de Estado da Finlândia, ciber raramente é
utilizado como uma palavra independente, mas geralmente como definição, por exemplo, da
palavra segurança (segurança cibernética). Mesmo assim, a segurança cibernética não consiste
numa dimensão psicológica, mas apenas tecnológica, pelo menos de acordo com o Conselho de
Estado da Finlândia. Os mesmos actores têm geralmente ignorado a dimensão psicológica do
ciberespaço, mesmo que figuras como o General Stanley McCrystal tenham argumentado que
muitas das batalhas cinéticas actuais são travadas nos meios de comunicação social (ou seja, nas
mentes humanas) ou em capitais distantes do próprio teatro de acção cinética (Mackay e Tatham).
2011). Isto é basicamente o que Carl von Clausewitz argumentou já no século XIX ao afirmar que
o conflito (cinético) é um choque de vontades. O velho ditado “viva e aprenda” deve ser revertido
no conflito cibernético, pois lá “aprendemos e vivemos”; caso contrário, morreremos. (Ver Mackay
e Tatham 2011, p. 155). A nova metáfora da nossa época é a rede, a interligação de todas as
coisas. Segundo Mackay e Tatham (2011, p. 161), a Rede é confusa e complexa, uma teia de
causa e efeito, difícil de compreender e impossível de conter. Requer um novo conjunto de
ferramentas analíticas, uma nova forma de ver e trabalhar.
Os sites de redes sociais (SNSs) são uma porta para novos tipos de comunicação, persuasão e
gerenciamento de percepção.
Neste capítulo, os autores contribuem para a discussão apresentada acima, tentando introduzir
novas ideias de cibersegurança, abordando-o teoricamente a partir da perspectiva das teorias
psicanalíticas de identidade freudiana-lacanianas. Pela sua natureza, o capítulo pode ser chamado
de “relatório de combate” ou observações (despachos) de “operações de influência” conduzidas
no Facebook pelos autores, embora escrito e estruturado de forma acadêmica, apoiando-se no
esquema tradicional do IMRD (Introdução, Método, Resultados e Discussão). O capítulo pergunta:
Como a influência sobre normas, narrativas e mitos habituais dos debatedores participantes do
Facebook poderia ser efetivamente ensaiada.
2 Teoria e Método
Os comportamentos e a conectividade social de alguns usuários têm sido amplamente pesquisados,
mas não explicitamente da perspectiva das teorias psicanalíticas de identidade, nas quais os
autores do capítulo se apoiam. Uma das poucas pesquisas relacionadas à identidade ALGUMAS são
www.it-ebooks.info
Artigo de Oliver Mannion “Lendo o Facebook através de Lacan” (2011) e artigo de Catalina
Toma “Sentindo-se melhor, mas fazendo pior: efeitos da autoapresentação do Facebook na
autoestima implícita e no desempenho de tarefas cognitivas” (2013).
No seu artigo, Oliver Mannion analisa os motivos das pessoas para aderirem ao Facebook
e se comprometerem em discussões virtuais com “amigos” basicamente desconhecidos,
apoiando-se implicitamente na hierarquia de necessidades em geral de Abraham Maslow e
na necessidade de auto-realização em particular (Maslow 2004) . [1943]). Em outras palavras,
o Facebook oferece uma maneira de satisfazer a necessidade humana de autoatualização,
ideia que Mannion complementa usando termos de Jacques Lacan como “o estágio do
espelho”, “o grande Outro”, “o inconsciente”, “ desejo” e “gozo”
(Lacan 1977 [1966]). Por outras palavras, as pessoas tendem a construir os seus egos
através dos Outros (o estágio do espelho) – não é importante então perguntar “Quem sou
eu”, mas “Quem sou eu para os Outros”, de acordo com Mannion. Mannion continua
argumentando que as pessoas tentam se expressar apresentando seu ego ideal em seus
perfis do Facebook com fotos, quantidade de amigos, interesses e atividades e assim por
diante. Para apresentar este ego ideal aos Outros, os utilizadores do Facebook não estão a
actualizar os seus murais do Facebook para qualquer indivíduo em particular, mas para um
espaço virtual, ou uma moldura (o grande Outro), que consequentemente define a sua
posição como sujeitos entre outros sujeitos. Os usuários do Facebook se familiarizam com as
maneiras adequadas de discutir e apresentar seus egos ideais aos seus colegas sujeitos
virtuais (o inconsciente), o que pode levar ao desejo narcisista de obter reconhecimento
positivo (Teoria do reconhecimento positivo; ver, por exemplo, Wendt 2003 , p. 496), ou pelo
menos algum tipo de reconhecimento por parte dos Outros. O reconhecimento positivo
sempre traz prazer, mas também pode levar a um vício nesse prazer (gozo) (Mannion 2011).
Catalina Toma está na mesma linha de Oliver Mannion ao analisar o desejo virtual
humano. Toma apoia-se aqui na chamada teoria da autoafirmação.
De acordo com Toma, a teoria da autoafirmação baseia-se na premissa de que as pessoas
têm uma necessidade fundamental de autoestima e integridade própria, ou de se verem como
boas, apropriadas, dignas e valiosas. Esta necessidade é satisfeita através da realização de
atividades que estimulam e protegem o Ser. Uma dessas atividades é a autoafirmação, ou
atendimento inconsciente às informações do ambiente que capturam aspectos essenciais do
Eu de maneira positiva e precisa. No Facebook, por exemplo, ninguém fala sobre pensar em
suicídio (Toma 2013).
Na sua investigação acima mencionada, Catalina Toma discute a questão: Como é que a
exposição a conteúdos mediáticos centrados nos próprios utilizadores e na sua identidade,
interesses e conectividade social afecta as percepções e comportamentos subsequentes. O
estudo aborda esta tarefa investigando os efeitos perceptivos e comportamentais que
decorrem da exposição ao próprio perfil no Facebook. Na frente perceptiva, Toma pergunta:
Como a autoapresentação do perfil do Facebook afeta a avaliação do Self pelo usuário,
operacionalizada como estado de autoestima. Na frente comportamental, Toma tenta
descobrir os efeitos da autoapresentação do Facebook no desempenho de tarefas cognitivas.
Num procedimento experimental da pesquisa de Toma, os participantes (N = 159) foram
designados aleatoriamente para examinar a autoapresentação do seu próprio perfil no
Facebook, que tende a destacar a conexão social e aspectos preciosos do Self, ou o perfil de
um estranho. Toma argumenta que os usuários do Facebook experimentaram um aumento significativo
www.it-ebooks.info
em estado de autoestima, se um estranho comum prestar atenção no próprio perfil do usuário

no Facebook. Toma também argumenta, por exemplo, que a motivação para atuar no Facebook
diminuiu quando os participantes não experimentaram nenhuma ameaça anterior ao ego
(Toma 2013). Por outras palavras, deveria ser necessário “sacudir” os refúgios mentais seguros
dos utilizadores do Facebook, desafiando-os com argumentos provocativos, a fim de aumentar
o seu nível de participação, se se quiser afectar os Eus dos debatedores participantes.
Embora os artigos e argumentos de Oliver Mannion e Catalina Toma ofereçam um bom
ponto de partida ao planejar “operações de influência” no Facebook, é preciso aprofundar-se
teoricamente nas teorias de identidade psicológica antes de lançar sua operação para estar
mais bem equipado na luta verbal e mental. durante as operações. Embora Mannion e Toma
tenham se apoiado teoricamente nas teorias de identidade psicológica de Sigmund Freud e
Jacques Lacan, explícita ou implicitamente, essas teorias deveriam ser elaboradas um pouco
mais.
Além dos artigos de Mannion e Toma, as teorias psicanalíticas da identidade de Sigmund Freud e Jacques Lacan
foram anteriormente utilizadas como teorias nas ciências sociais para analisar, por exemplo, a cultura estratégica e a política
externa da Federação Russa (ver, por exemplo, Heikka 1999, pp. 57–108). A teoria psicanalítica da identidade de Freud
baseia-se na relação entre mãe, filho e pai. Na fase pré-edipiana, a ligação entre mãe e filho é inquebrável até que o filho
perceba a sua diferença em relação à mãe (considerada aqui como uma analogia de ficar preso a narrativas e mitos
passados). Na fase edipiana, o filho torna-se consciente de si mesmo e também da diferença entre ele e sua mãe e seu pai
(considerado aqui como uma analogia de adoção igual das narrativas passadas e de novas experiências). Nesta fase, o
filho pode considerar o pai como um concorrente igual ou ameaçador para obter a atenção da mãe (ou seja, “o novo” é
reconhecido e aceite, ou “o novo” é reconhecido, mas não ousou ou quis reconhecer). Em outras palavras, o filho pode
permanecer na fase pré-edipiana (Complexo de Édipo), ou pode lutar pela “propriedade” da mãe com o pai. O filho também
pode transformar-se num indivíduo maduro e “descentrar” a agência original (isto é, o filho pré-edipiano) numa nova agência
que aceita a ligação original com a mãe, mas ao mesmo tempo aceita o pai como concorrente igual para ganhar. atenção
da mãe (Freud 1959 [1922], pp. 37–38).
Jacques Lacan complementou a teoria de Freud argumentando que a defesa do ego é

genética (veja mais sobre a discussão ego/auto em, por exemplo, Mead 1992, p. 182, Berger
e Luckmann 2005, p. 147, e Paden 2003, p . . 29).1 A formação do ego tem sido comparada a
um forte, que um indivíduo tenta desesperadamente defender. Os seres humanos e as nações,
analogicamente, estão tentando encontrar a sua própria identidade, significando o seu ego
com qualidades sempre novas, o que difere o ego de outros egos (por exemplo, liberal-
democrático, progressista, feminino, masculino, racional, etc.). Isto pode levar a uma defesa
histérica e até paranóica da “fortaleza do ego” (Lacan 1977 [1966], p. 5, 17; ver também Miller
1999, p. 119). Dessa forma, de acordo com a proposta de Freud
1
Segundo William Paden, as pessoas nascem em sociedades que lhes fornecem lentes, através
das quais percebem e interpretam o mundo simbolicamente.
www.it-ebooks.info
a teoria psicanalítica da identidade, a Rússia, por exemplo, pode ser interpretada como
estando presa na fase pré-edipiana; não abandonou a ideia mítica da “Mãe-Rússia”, cujo
objectivo é lutar contra todos os novos pensamentos introduzidos pelos indivíduos liberais,
pelo Ocidente em geral, ou pelos “agentes estrangeiros” apoiados pelo Ocidente, que
podem pôr em perigo a base narrativa mítica original e “segura” à qual o regime russo pelo
menos se habituou. Além disso, de acordo com a teoria da identidade de Lacan, a
Federação Russa pode ser interpretada como tendo narrado até mesmo novas camadas
de identidade nacionalista, que apoiam a defesa da sua “fortaleza do ego” (o destino da
Federação Russa, por exemplo, é unir todos as grandes civilizações do mundo), o que de
facto distingue ainda mais a Federação Russa de outros egos do mundo (especialmente
do Ocidente) (Heikka 1999, pp. 57-108).
Os indivíduos e as sociedades humanas possuem mitos muito fortes sobre o seu Eu
individual e os seus Eus sociais, que são representados simbolicamente, por exemplo, nos
perfis do Facebook. De modo geral, pode-se argumentar que a racionalidade seria uma
espécie de elemento básico do Eu humano, que determina a nossa vida cotidiana. Na
realidade, porém, somos muitas vezes seres irracionais, uma vez que podemos
comprometer-nos em acção directa e comunicar uns com os outros também de forma pré-
hermenêutica. Neste contexto, a Internet e os SOMEs podem ser considerados não só
como facilitadores do nosso “desejo virtual” emocional de expressar “com segurança” as
nossas estruturas de normas, símbolos e mitos individuais e sociais, mas também os
desafiando, uma vez que a Internet não é rede sistemática e totalmente controlável – é o
“rizoma”, como Gilles Deleuze e Félix Guattari (2004, p. 7) argumentaram a seguir:
O próprio rizoma assume formas muito diversas, desde a extensão superficial ramificada em todas as direções
até a concreção em bulbos e tubérculos. … qualquer ponto do rizoma pode estar conectado a qualquer outro, e
deve estar. … Um rizoma estabelece incessantemente conexões entre
cadeias semióticas, organizações de poder e circunstâncias relativas às artes, às ciências
e às lutas sociais.
Do ponto de vista da psicanálise, nossas observações nunca são, metodologicamente

falando, inocentes, mas referências a trauma(s) que não conseguimos simbolizar (de
acordo com Kuronen e Huhtinen 2013). Por outras palavras, não justapomos num campo
estático, mas damos sentido ao campo de diferentes maneiras e a partir de diferentes
pontos de vista. Além disso, como a psicanálise é uma arte clínica destinada a ajudar os
indivíduos com os seus problemas, a compreensão estrutural pode ser vista como um
ponto de partida epistémico para fazer uma intervenção benéfica (análise e terapia) em
vez de um fim epistémico em si mesmo. Assim, a prática psicanalítica não se restringe à
mera compreensão da humanidade no campo sócio-político, mas visa promover o bem-
estar do indivíduo que frequenta a clínica.
A Internet, os SOMEs e o conceito de cibernético podem ser considerados como
rizomas tecnológicos e virtuais, que existem em todos os lugares, afetando o rizoma social
multifacetado (incluindo estruturas de identidade) de indivíduos e sociedades humanas
(Kuronen e Huhtinen 2013). O rizoma tecnológico e social, em conjunto, facilita a
emancipação humana dos mitos, narrativas e símbolos do passado, oferecendo uma forma
de desenhar novas grandes narrativas nacionais e globais para gerir a transformação da
era cibernética moderna para a pós-moderna. Para tomar consciência desta possibilidade,
www.it-ebooks.info
no entanto, os cidadãos livres e os súditos reprimidos devem ser suficientemente corajosos

para expor as suas visões do mundo e identidades à crítica pública. Este é o desafio
construído dentro da identidade da era cibernética. Para poder afetar de forma eficiente a
visão de mundo e a identidade das pessoas no Facebook, por exemplo, deve-se abrir seu
perfil e comentários a todos os participantes do Facebook. Isto muda a nossa ideia clássica
de privacidade e publicidade. Também pode ser um desafio seduzir outros a participarem
de discussões no Facebook em determinados horários pré-planejados, uma vez que a
participação não é pré-determinada por uma lista de e-mail ou qualquer outro mecanismo de
relacionamento explícito (ver, por exemplo, Bradley e McDonald 2011 , pp. 14–15).
Neste capítulo, a Internet e os SOMEs foram considerados como uma cibercasa virtual
(ver Fig. 1), que consiste no próprio edifício, incluindo várias tecnologias quotidianas, como
electricidade, aquecimento, bem como cablagem, baseada em fibra óptica e cabos
tradicionais, etc. O edifício mencionado é uma metáfora para o conteúdo do ciberespaço
sobre o qual os estados e os militares falam nas suas estratégias cibernéticas - para os
estados e os militares, o cibernético é sobre este edifício metafórico com infra-estrutura
tecnológica, mais ou menos. A cibercasa, no entanto, consiste em vários aspectos humanos
da vida dentro do próprio edifício. Dentro do edifício metafórico também se encontram
clínicas virtuais (ALGUMAS clínicas), onde os cidadãos “psicanalisam” uns aos outros. Cada
clínica (Facebook, Twitter, etc.) pode conter vários sofás para analisadores agradáveis
discutindo entre si e apenas entre si – discussões “entre sofás” são raras nessas clínicas.
Esta é metaforicamente a dimensão psicológica dos estados cibernéticos
Fig. 1 Espaço cibernético como cibercasa virtual bidimensional
www.it-ebooks.info
são basicamente ignorados. Assim, não há “psiquiatras do Estado” nas clínicas mencionadas, psiquiatras
que direcionariam as discussões para alguma direção específica, ou psiquiatras que tentariam expandir
o entendimento mútuo entre os debatedores, bem como ampliar suas visões de mundo, a fim de atender
os desafios do mundo futuro.
Pode-se encontrar, no entanto, um porteiro na portaria da casa (Polícia Virtual da Internet), que pode
pedir aos debatedores da clínica, de tempos em tempos, que mantenham a voz mais baixa ou culpá-los
por comentários racistas ou intolerantes, mas ainda faltam psiquiatras nas clínicas. Quando os estados
não estão interessados em alargar o espaço mental dos seus cidadãos (apesar dos seus benefícios para
os estados, a fim de lidar com a concorrência global cada vez mais acirrada entre os estados), alguns
indivíduos tomarão a iniciativa dos estados e tentarão alargar a capacidade de outros debatedores
participantes. visões de mundo entre os sofás da clínica. Raramente, no entanto, estes “psiquiatras
cidadãos” ad hoc conseguem penetrar através das fortalezas de ego tacanhas, racistas ou nacionalistas
dos “discutidores comuns”, mas a “psiquiatria cidadã” colectiva poderia ter a oportunidade de fazer
penetrações profundas até mesmo na maioria dos mentes opressivas da clínica por meio de argumentos
contundentes. Mas quem tem o direito de dizer isso por ser um “psiquiatra cidadão” ad hoc de mente
aberta em ALGUNS? De qualquer forma, os autores deste capítulo consideram-se “psiquiatras cidadãos”
com visões de mundo amplas e abertas. No entanto, as “sessões psiquiátricas cidadãs” no Facebook,
conduzidas pelos autores, revelaram aos autores que mesmo quão tolerante o “psiquiatra cidadão”
possa ser, ele/ela facilmente escorrega para o mesmo tom de discussão opressivo ou desdenhoso que
o seu “psiquiatra cidadão”. pacientes”, por causa da frustração ocasional e da velocidade discursiva no
Facebook. Se uma pessoa se autodenomina liberal e tolerante, ela tem que compreender até mesmo as
opiniões e visões de mundo mais angustiantes. Isto não significa, contudo, que devamos aceitar todas
as opiniões e visões de mundo intolerantes, mas sim dizer que se deve tentar compreendê-las primeiro
se quisermos combater a intolerância do mundo.
À medida que os autores encontraram alguns pontos de referência teórica nas ideias de Oliver
Mannion e na teoria da autoafirmação de Catalina Toma vis-à-vis as teorias psicanalíticas de identidade
freudiana-lacanianas aplicadas, eles também encontraram alguns pontos de referência metodológicos
na chamada netnografia. A netnografia tem sido usada para estudar a ética global e as percepções do
compartilhamento ilegal de arquivos peer-to-peer, para investigar o ativismo do consumidor e para
mostrar como a criação de conhecimento e a aprendizagem ocorrem através de um discurso reflexivo
de “reexperiência virtual” entre os membros de organizações inovadoras. comunidades online (Kozinets
2012, pp. 1–2). Consequentemente, pode-se argumentar que a tecnologia não determina a cultura, mas
apenas facilita a sua reconstrução. Podemos adotar vários papéis em SOMEs, como “interator”,
“marcador”, “espreitador” ou “rede”, todos facilitados pela Internet, mas necessariamente determinados
pela subjetividade humana acima de tudo. A virtualidade, no entanto, não existiria sem a tecnologia (ou
seja, a Internet neste contexto), mas também não existiria sem a realidade participante (ou seja, a
participação humana) (ver, por exemplo, Kozinets 2012, pp. 33-35, e Zizek 2004, pág. 26). Mesmo que
a ciência natural e a tecnologia começassem a definir e manipular o genoma humano, não dominariam
nem manipulariam a subjetividade humana. O que torna o ser humano “único” não é a nossa fórmula
genética nem a forma como as nossas disposições foram desenvolvidas devido à influência do ambiente,
mas a auto-relação única que emerge da interacção entre os dois.
www.it-ebooks.info
(Zizek 2004, p. 118). Se aceitarmos então, como definição básica, que as culturas são
aprendidas, consistindo em sistemas simbólicos de significado, dos quais a linguagem é
primária, teremos, consequentemente, de aceitar que os cidadãos membros das comunidades
online modificam e reconstroem as culturas humanas através da comunicação mediada por computador. .
Por outras palavras, as pessoas que conhecemos virtualmente online não são virtuais –
compreendem comunidades reais povoadas por pessoas reais, embora se encontrem
virtualmente (Kozinets 2012, p. 15).
Ao combinar todas as noções teóricas e metodológicas acima mencionadas, os autores
decidiram apoiar-se teoricamente em temas das teorias de identidade freudiano-lacanianas e
metodologicamente na chamada observação participante. A observação participante como
método, utilizado neste capítulo, necessita de uma situação ou plataforma em que o
pesquisador esteja participando. O Facebook, como um dos muitos SOMEs, foi escolhido para
ser usado como clínica (tanto para os próprios autores como para todos os outros debatedores)
ou plataforma para análise do conteúdo de três tópicos de discussão empírica iniciados pelos
autores. Os tópicos de discussão escolhidos centram-se em questões atuais e sensíveis a
valores na sociedade finlandesa, como a religião, a imigração e a lei do casamento com
neutralidade de género, que estão todas presentes na construção da identidade finlandesa
baseada no “lar, religião e pátria”. Todas as questões mencionadas estão interligadas, mas
foram analisadas e tematizadas aqui usando os três temas principais das teorias psicanalíticas
da identidade freudiana-lacaniana, a saber (1) a defesa do ego (habituação do ego em
narrativas e mitos passados) , (2) proteger o ego original inventando novas camadas narrativas
defensivas sobre ele (defesa impenetrável e paranóica do ego), e (3) descentrar o ego original
(ego penetrável e proteano).
3 Preparando-se para Batalhas Mentais na Clínica Virtual
Foi em 2009 que um dos autores (Sirén) juntou-se às comunidades do Twitter, LinkedIn e
Facebook para satisfazer a sua necessidade emancipatória de espalhar uma mensagem de
tolerância, pluralismo e razão no espaço mental finlandês, que ele considerava globalmente
como habituado ao passado. narrativas e fronteiras de alteridade entre “Nós” e “Eles”. Não
houve e ainda não existe nenhum programa ou plano oficial claro, partilhado por todos os
partidos políticos da Finlândia, para alargar as mentalidades dos cidadãos, a fim de enfrentar
os desafios de um mundo cada vez mais globalizado. Poderíamos até argumentar que o
Estado finlandês e os seus políticos são deficientes face ao aumento do nacionalismo e do
racismo na sociedade finlandesa, ao permitir que o povo se ancore mentalmente em narrativas
passadas de casa (lar apenas para os finlandeses “originais” e heteronormativos). religião
(Cristianismo) e pátria (ideia que se baseia principalmente na lembrança das vitórias da
Guerra de Inverno de 1939 e da Guerra de Continuação de 1941-1944) contra o “verdadeiro
Outro” da sociedade finlandesa – a União Soviética e a Federação Russa como seu estado
sucessor . Embora seja natural que os indivíduos tentem procurar asilo mental diante de um
mundo novo e assustador (isto é, em constante mudança), poderia, ou deveria mesmo, ser
uma das tarefas do Estado agir como um psiquiatra e ensaiar uma psicanálise construtiva
com as pessoas em todas ou algumas das clínicas da SOME. Isto quer dizer que normalmente
www.it-ebooks.info
as pessoas tendem a aprimorar e reificar os princípios de suas visões de mundo estreitas em ALGUNS
com as pessoas (“amigos” no Facebook) com a mesma visão de mundo. Isto não quer dizer que não
possam ser encontrados indivíduos capazes de emancipação na clínica do Facebook, que não possam
desafiar os comentários e visões de mundo mais opressivos, mas quer dizer que deveria haver mais de
um tipo, uma vez que o estado finlandês orientado para o futuro tem deixou seus cidadãos sozinhos
em sessões de terapia virtual, realizadas por elas mesmas.
O Facebook, de todos os SOMEs mencionados, foi considerado a melhor plataforma para afetar
os outros, uma vez que o Facebook é uma clínica verdadeiramente democrática e interativa, facilitando
discussões longas e aprofundadas. A primeira fase anterior ao lançamento da “operação de influência”
foi criar um perfil sedutor no Facebook, que iria, por design, capturar e visualizar a conectividade social
do autor (Sirén) com amigos e familiares. Desta forma, o perfil foi construído como uma versão de
alguma forma lisonjeira, mas honesta, do Self do autor. Consequentemente, a segunda fase foi pedir
ao maior número possível de pessoas que começassem a ser “amigas” do autor, porque seria uma
perda de tempo “obrigar” os concidadãos a participar em “sessões de terapia” a menos que se tivesse
o suficiente “. amigos” para discutir. Eventualmente esta fase foi encerrada quando o autor tinha 1.000
“amigos” em seu catálogo de amigos. Esse valor foi considerado como massa crítica suficiente, após a
qual não haveria necessidade de pedir a ninguém que se tornasse amigo do autor na “clínica”, vice-
versa, os demais pediriam ao autor que se tornasse seu amigo. A avaliação mostrou-se correta – hoje,
o autor tem cerca de 1.300 “amigos” em seu catálogo de amigos. Todos os “amigos” do autor não são
verdadeiramente “amigos”, mas sim “inimigos”, uma vez que não faz sentido discutir apenas com
amigos, se o objetivo for ampliar a visão de mundo das pessoas como era o objetivo do autor . A
terceira fase antes de iniciar as “aventuras” na clínica virtual foi definir o método de seduzir “amigos e
inimigos” para “discussões terapêuticas intra e inter-sofá” com o autor. Um argumento multifacetado ou
uma pergunta acabou sendo o melhor método para isso.
4 A Habituação do Ego às Narrativas e Mitos do Passado
O primeiro exemplo de batalhas mentais conduzidas ou “sessões de terapia” no Facebook é um

exemplo de uma discussão relacionada com “casa”, cujo significado era seduzir concidadãos a discutir
sobre o conteúdo do “Finlandês” e testar as suas fronteiras de alteridade. O tópico de discussão foi
lançado por um argumento como segue:
A Finlândia é o melhor país do mundo em muitos aspectos, mas será que somos uma
“nação” tão tolerante e pluralista como gostaríamos de ser para sobrevivermos como
“vencedores” no mundo pluralista do futuro? (A Finlândia é um dos melhores países do
mundo, de acordo com muitos indicadores, mas será que somos realmente uma “nação”
tão tolerante e pluralista como desejávamos ser para sobreviver como “vencedores” num
mundo futuro de pluralismo cada vez maior?) ( Sirene 2013b)
A discussão suscitou uma longa discussão com 114 comentários de 14 pessoas, além de 9 “Likers”
que não participaram da discussão. Apenas um dos debatedores participou claramente da discussão,
sentado em um sofá diferente da clínica.
www.it-ebooks.info
todos os outros debatedores. O argumento, no entanto, suscitou uma discussão entre sofás, o que é
importante notar. A discussão logo se transformou em uma briga aberta entre sofás entre um “inimigo”
e 13 “amigos” do autor também. Ao mesmo tempo, o conteúdo da discussão ampliou-se e acabou por
abordar todas as três narrativas/mitos mencionados da sociedade finlandesa. As narrativas finlandesas
sobre o lar, a religião e a pátria foram abordadas, por exemplo, com quatro comentários do “inimigo” do
autor, como segue:
Deus, se um homem não tem patriotismo, é simplesmente zero. O diabo não precisa de mais nada,
inclui casa, religião e pátria - Aqueles que venderam o seu país são meros renegados, para quem até
a morte é um castigo demasiado fácil! (Caramba, se um homem não tem patriotismo, ele é um puro
zero. Pelo amor de Deus, a religião e a pátria são os únicos ingredientes necessários para o patriotismo
- Aqueles que venderam seu país são puros vira-casacas, para quem até a morte é fácil demais. uma
punição!)
…
Você esquece [essas guerras deveriam] – Por que você geralmente tem liberdade de expressão? Sem eles [soldados Su-
Oma no inverno e na guerra de continuação] vocês seriam escravos! (Deveríamos esquecer então [as guerras passadas]
– Por que você tem liberdade de expressão em geral? Sem eles [soldados finlandeses das guerras
de inverno e de continuação] vocês seriam escravos!)
…
O patriotismo é inato.. os únicos que o possuem são os finlandeses básicos, por mais que doa no seio
da mãe. (O patriotismo é inerente.. os únicos que o possuem são os Verdadeiros Finlandeses [um dos
muitos partidos da Finlândia], apenas deslizando agora sob a saia da sua mãe.)
[…]
A Finlândia está prestes a se tornar um país em ruínas, habitado por tiranos, onde todos vivem, mas
não os finlandeses originais. (Em breve, como desejam os “tolerantistas”, a Finlândia tornar-se-á um
país atrasado, povoado por todos os outros, excepto pelos finlandeses originais.)
(Sirén 2013b)
Os “amigos” do autor (e o próprio autor) tentaram penetrar colectivamente, mais ou menos, através
da opressiva fortaleza do ego do “inimigo”, ignorando inicialmente os seus comentários. Foi
surpreendente notar que os “amigos” não atacaram verbalmente o opressor, mas continuaram a sua
argumentação “civilizada” dentro do sofá entre si. O autor, porém, e um ou dois de seus “amigos” logo
se frustraram com os comentários do “inimigo” e meio que despiram seus “capuzes de educação”,
esquecendo as regras da discussão civilizada ao começarem a gritar de um sofá para o outro. usando
o mesmo tom e linguagem contra o inimigo que o inimigo usou da seguinte forma:
Maria! [nome de fantasia], agora está ficando difícil de novo e além da compreensão. Somente a
Finlândia pluralista pode salvar a Finlândia como a Finlândia nos desafios do futuro (Maryyy! [o nome
do “inimigo” mudou], agora você está acelerando novamente com os argumentos que vão além da
compreensão. Somente a Finlândia pluralista pode salvar a Finlândia como sendo a Finlândia diante
dos desafios futuros.) (Sirén 2013b)
À medida que a discussão prosseguia, um dos amigos lançou subitamente um contra-ataque.

argumento ao autor, apoiando as declarações do inimigo, como segue:
Em que base é que o "pluralismo", cuja implementação prática consiste em encher os subúrbios com
imigrantes sem instrução e sem língua que vivem da assistência social, faz da Finlândia um "vencedor".
O que nos faz supor que sabemos e poderíamos os chamados integrar humanitários
www.it-ebooks.info
imigrantes melhor do que a rica Suécia? Na minha opinião, “pluralismo” significa praticamente queimar
Kontula, Suvela e Varissuota até ao final de 2025, o mais tardar.
(Com base em que base o “pluralismo”, cuja implicação prática é habitar subúrbios com imigrantes sem
instrução e analfabetos que vivem de apoio social, fará da Finlândia um “vencedor”? O que nos permite
sugerir que iríamos e poderíamos integrar a ajuda humanitária imigrantes melhor na sociedade finlandesa
do que a rica Suécia conseguiu integrar os seus imigrantes na sua sociedade. Acredito que o “pluralismo”,
na prática, significa queimar Kontula, Suvela e Varissuo [bairros de Helsínquia] até 2025, o mais tardar.)
(Sirén 2013b ). )
Esta sessão de terapia logo se acalmou depois que o inimigo, encorajado pelo
argumento acima apresentado, fez sua última declaração como segue: Seria bom
mudar do Canadá [no futuro] para a Finlândia, que se transformou na Somália. (Seria
bom imigrar [no futuro] do Canadá para a Finlândia, quando a Finlândia se
transformasse na Somália) (Sirén 2013b).
5 Defesa Impenetrável e Paranóica do Ego
A religião passou a ser uma questão que aparentemente divide mais a construção
identitária dos cidadãos participantes da clínica virtual. Os debatedores, que participam
de discussões relacionadas à religião em clínicas virtuais, podem ser categorizados
como crentes e não crentes. Isto não é novidade, mas foi decidido testar novamente
e desafiar as duas diferentes frentes de identidade numa discussão pública entre si
numa clínica virtual. A discussão, baseada no comunicado de que os círculos
religiosos praticam rituais de expulsão de demônios e diabos em uma das capelas
luteranas de Helsinque, foi iniciada pelo autor da seguinte forma:
É hora de OVNIs e ataques demoníacos na frente dos clubes religiosos. Um artigo bom e instigante do
MOT. Enquanto brincava, o menino ouviu aquelas histórias de demônios na TV e resolveu confirmar
suas suspeitas com o pai, perguntando que “nenhuma doença pode vir de um demônio”. “Claro que não”,
eu disse. Depois rimos juntos da loucura de todos os adultos. Então o menino tem 6 anos. (Pode-se
encontrar uma espécie de atividade demoníaca e de OVNIs na frente de clubes religiosos. Uma notícia
boa e atenciosa da MOT [uma empresa de radiodifusão finlandesa]. Meu filho estava brincando com
seus brinquedos, ouviu a notícia, mas estava bem. - informado o suficiente para vir até mim para
perguntar, “se alguma doença pode ser causada pelo demônio antigo”.) (Sirén 2013c)
O argumento suscitou uma discussão moderada com 19 comentários de 6 pessoas,

além de 16 “Likers” ao todo. Presumia-se que a discussão suscitaria uma discussão
acirrada entre os sofás, ou até mesmo gritos, na clínica. Apesar de alguns comentários
ressentidos de um debatedor do “sofá religioso”, a isca discursiva não foi
suficientemente eficaz. O primeiro comentário após o argumento principal, no entanto,
veio do sofá-religioso, cujo conteúdo prescreve muito bem a natureza impenetrável
da fortaleza do ego das pessoas religiosas, segundo a qual tudo na natureza e no
mundo humano vem de Deus e seus livros sagrados, como segue:
Sim, as doenças vêm dos demônios de Satanás, também está escrito na Bíblia, que é o guia de vida que
Deus nos deu. Nem todo mundo recebeu a capacidade de perceber essas coisas. A fronteira
www.it-ebooks.info
por trás de tudo é então revelado, mas não ajuda mais os incrédulos... A Bíblia é a Palavra de Deus escrita
sob a influência do Espírito Santo, mesmo que uma pessoa estivesse nela como um “escriba”. (As doenças
são verdadeiramente causadas pelos demônios, que são declarados até mesmo na Bíblia como um guia
de vida dado por Deus para os seres humanos. Contudo, nem todos nós tivemos o dom de perceber essas
coisas. Na vida após a morte, tudo será revelado. , mas não ajudará mais os infiéis... A Bíblia é escrita
sob a influência do Espírito Santo, mesmo que o ser humano tenha operado neste processo como um
"escriba".) (Sirén 2013c)
Com base nesta sessão de terapia, poder-se-ia presumir que as fortalezas religiosas do ego são
impenetráveis para visões de mundo alternativas. Esta suposição foi ainda mais fortalecida quando o
autor participou (como visitante) de outro tópico de discussão religiosa iniciado pelo mencionado
debatedor no sofá religioso da clínica. No entanto, com base em discussões inter-sofás entre visões de
mundo religiosas e não-religiosas, também não se pode argumentar que os debatedores com uma
visão de mundo religiosa criariam quaisquer camadas defensivas adicionais nas suas fortalezas do ego.
O que se pode deduzir dessas discussões é que o debatedor que inicia um tópico de discussão na
clínica facilmente fica frustrado consigo mesmo, ao perceber que a discussão entre sofás se transforma
em gritos entre sofás sem qualquer resultado construtivo. Autocriticamente, é preciso admitir que o
autor cometeu essa frustração e voltou a gritar sozinho ao encerrar o tópico de discussão da seguinte
forma:
Pluralismo e bom senso para o mundo. A Bíblia é apenas mais um livro de contos de fadas entre outros, e
nem mesmo o melhor, embora ainda estejam sendo feitos esforços para colocá-la nessa posição. (O mundo
precisa de pluralismo e bom senso. A Bíblia é apenas um livro de histórias entre outros e nem mesmo o
melhor, embora ainda se tente colocá-la nessa posição.) (Sirén 2013c)
6 Ego penetrável e proteico
Seria fácil assumir que colocar os conceitos de Pátria e de Forças Armadas da Finlândia, como “jóias
da coroa” da construção da identidade finlandesa, sob qualquer tipo de crítica discursiva na clínica,
terminaria em fortes gritos entre sofás. Isso foi testado pelo autor iniciando um tópico de discussão com
as palavras a seguir:
Suomen asevoimat (forças de defesa na Finlândia) é uma instituição de harmonização heteronormativa e

luterana? No dia da celebração da bandeira das nossas forças armadas, um padre luterano fala a
mensagem de um Deus luterano, embora muitos finlandeses nem sequer pertençam. denominação ou
pertencer a outra semelhante. Por que? o padre fala no evento? Porque é que os homossexuais têm a sua
própria organização beneficente nas forças armadas suecas, mas não nas forças armadas finlandesas?
Porque é que mesmo nos tão difamados EUA é possível que aqueles que servem nas forças armadas
reconheçam publicamente a sua relação/atitude, mas na verdade é um tabu para nós? Porque é que as
Forças Armadas Finlandesas não participam nas paradas do Orgulho, mas aparecem, por exemplo, nas
feiras nacionais? De quem são as forças armadas na Finlândia? (As Forças Armadas da Finlândia
[oficialmente as Forças de Defesa Finlandesas] são instalações de padronização heteronormativas e luteranas?
Padre luterano transmite mensagem de Deus na cerimônia do Dia da Bandeira de nossas Forças Armadas,
www.it-ebooks.info
embora muitos finlandeses não pertençam a essa Igreja, ou pertençam a outra do mesmo tipo.
Por que o padre luterano fala na cerimônia mencionada? Porque é que os homossexuais têm o seu
próprio sindicato nas Forças Armadas Suecas, mas não na Finlandesa? Porque é que até mesmo os
difamados EUA permitiram que homossexuais confessassem abertamente a sua relação/posição nas
suas Forças Armadas, mas a homossexualidade nas Forças Armadas Finlandesas é quase um tabu?
Porque é que as Forças Armadas Finlandesas não estão abertamente envolvidas nas Paradas do
Orgulho, mas sim nas feiras agrícolas? Quem são as Forças Armadas que temos na Finlândia?)
(Sirén 2012; Aljazeera 2012; Niskanen 2012)
Contra todas as expectativas do autor, a abertura provocativa deste tópico causou uma discussão
bastante moderada e longa, com 50 comentários e 16 curtidas. Dois debatedores até compartilharam
a provocação em suas próprias páginas no Facebook. Este foi um tópico de discussão intra-sofá, que
não seduziu nenhum inimigo a participar da discussão, embora o autor esperasse exatamente isso.
Foi interessante notar que os debatedores estavam geralmente dispostos a aceitar o questionamento
provocativo do conteúdo mais profundo da construção da identidade finlandesa. Simultaneamente, os
debatedores participantes alertaram, de qualquer forma, que os oficiais da ativa (o autor) deveriam ter
cuidado ao questionar as tradições de forma muito ativa, uma vez que isso “criaria rapidamente uma
imagem entre os reservistas [das Forças Armadas Finlandesas] de que 'eles [oficiais da ativa] têm
enlouqueceu lá agora'” (Sirén 2012).
Os primeiros comentários sobre a provocação do autor foram curtos e de natureza jocosa: “Por
que não é possível bater punheta durante os intervalos dos exercícios militares [nas Forças Armadas
Finlandesas]?” O autor aplicou o mesmo tom ao responder à pergunta: “claro que é possível – é só
bater uma punheta” (Sirén 2012). Logo os comentários começaram a adquirir um tom mais sério em
sua natureza, como segue:
Torst tem muitas perguntas, e provavelmente algumas questionáveis. Nada deveria ser evidente. Lar,
religião e pátria - essa é provavelmente a ligação do dia da bandeira. Não importa para mim quem é
patriota e como é sua orientação sexual... Infelizmente, alguns têm reservas quanto à religião e
orientação sexual. (São muitas perguntas, Torsti, e certamente parte delas são especulativas.
Qualquer assunto pode não ser óbvio. Casa, religião, pátria - essa provavelmente é a conexão com o
Dia da Bandeira. O espírito de defesa nacional e a orientação sexual de qualquer pessoa são os o
mesmo para mim… Infelizmente, alguns de nós tratamos a religião e a orientação sexual com cautela.)
…
Concordo com você, Torsti, sobre por que a posição da Igreja é tão forte no Estado e nas forças de defesa. Eu
mesmo aproveito o trabalho da igreja com a galera da SA (mesmo não pertencendo à igreja), mas sua pergunta
é legítima. Em vez disso, considero a questão gay mais multidimensional. (Concordo com você, Torsti, sobre a
questão relacionada ao forte status da Igreja no estado e nas Forças Armadas. Eu utilizo o trabalho eclesiástico
ao perfurar minha unidade de guerra, mas sua pergunta é justificada. A questão relacionada aos
gays, no entanto, considero mais multidimensional.) (Sirén 2012)
A discussão prosseguiu no mesmo tom tolerante e verdadeiramente discursivo apresentado acima,

mas só por causa disso o autor tentou seduzir os cidadãos da clínica a fazerem comentários mais
mordazes através de outro argumento provocativo seguinte:
Pátria é um conceito neutro. Nas palavras do bispo de campo, perguntei-me sobre a seguinte parte:
“Em última análise, a nossa liberdade é um dom de Deus, Aquele que, segundo a Bíblia, estabeleceu
as fronteiras das nações onde vivem. Em seu Filho ele nos libertou do pecado e
www.it-ebooks.info
Kuoleman Vallasta. Tässä hetkessä osoitamme kiitollisuuttamme hänelle, jolta kaikki hyvät lahjat
tulevat.” Kenen Jumala, miksi Raamattu, miten niin se Jumala on asettanut as-umisemme rajat
jne? (Pátria é um conceito neutro. O Discurso do Bispo do Exército incluía os seguintes elementos,
que me questionei: “Fundamentalmente, a nossa liberdade é um dom de Deus, o Deus que
determinou as fronteiras para as nações viverem, de acordo com o Bíblia. Em Seu Filho Ele nos
libertou do poder do pecado e da morte. Neste momento mostramos gratidão a Ele, de quem vêm
todas as boas dádivas. vivendo e assim por diante?)
(Sirén 2012; Niskanen 2012)
A argumentação cumpriu o seu propósito, pois pelo menos um debatedor passou a duvidar da
racionalidade do autor. Este episódio encerrou o terceiro tópico de discussão e captou bem toda a ideia
da necessidade de cidadãos emancipatórios capazes de nos emanciparmos das nossas narrativas,
tradições e visões de mundo estreitas do passado, a fim de construir o nosso mundo humano mais
pluralista da seguinte forma:
Vamos Torsti, você está falando sério? (Vamos, Torsti, você está brincando comigo?)
…
Sério, é "puxado". Em que parte você “bateu”? (Afirmado totalmente a sério. Em que parte você
não concorda?)
…
Somente aquele exército, igreja, homossexualidade, nada mais. Sou bastante conservador nas
minhas opiniões sobre as forças de defesa e pessoalmente não gosto desse tipo de mudança,
embora compreenda o seu ponto de vista num nível razoável. (Só aquela parte, que está
relacionada com as Forças Armadas. Igreja e homossexualidade [ou seja, basicamente tudo o que
o autor argumentou], nada mais: sou bastante conservador nas minhas opiniões sobre as Forças
Armadas e pessoalmente não gosto de tal abalo, mesmo embora eu entenda seu ponto de vista
no nível do bom senso.)
…
Nada avança se não for abalado – a nossa própria cabeça, principalmente a de cada um de nós. (Não há progresso,
a menos que alguém balance – especialmente as nossas próprias cabeças individualmente por cada um de nós.)
(Sirén 2012)
7 Discussão
O ciberespaço é geralmente entendido como a dimensão tecnológica das redes baseadas na Internet.
Neste capítulo, contudo, os autores argumentaram que os SOMEs, estruturados na base tecnológica da
Internet, devem ser entendidos como uma dimensão social e psicológica do cibernético – sem os
SOMEs não haveria necessidade de um conceito como cibernético. Os Estados só recentemente
despertaram para as dimensões sociais e psicológicas da cibersegurança, mas ainda ignoram as
possibilidades de tirar pleno partido dessas dimensões.
As redes sociais oferecem uma possibilidade de lidar com as injustiças sociais, tanto para os
cidadãos das democracias liberais como para os cidadãos dos Estados autoritários. Desta forma, os
cidadãos e os sujeitos são capazes de assumir uma posição progressista e construir no mundo humano
um lugar melhor para se viver. Nas “batalhas” mentais conduzidas em SOMEs, os cidadãos das
democracias liberais podem criticar as queixas das suas sociedades mais ou menos livremente. Cidadãos
www.it-ebooks.info
das democracias liberais também podem promover o “maravilhosismo” das suas sociedades, se as
considerarem como tal. Os governos autoritários, por outro lado, são prejudicados por permitirem que
os seus súbditos critiquem e desafiem os símbolos, mitos e narrativas “dados” das suas sociedades em
SOMEs. Então, a única maneira para os regimes autoritários é aumentar a monitorização dos SOMEs
ou cortar atempadamente ou totalmente as ligações à Internet dos seus súbditos.
Este capítulo tratou SOME como uma clínica virtual baseada no Facebook, onde os participantes
debatedores conduzem “sessões de terapia” uns com os outros. Os debatedores da clínica ocupam
visões de mundo homogêneas ou heterogêneas. As visões de mundo mencionadas foram tratadas aqui
como “sofás de terapia” da clínica. Esses sofás de terapia podem conduzir discussões intra-sofás entre
si ou discussões entre sofás entre sofás da clínica. O ponto principal, porém, é que nesta clínica virtual
falta psiquiatra. A falta de um “psiquiatra estatal” (ou seja, os estados não participam activamente em
sessões de terapia virtual) levou a uma situação em que cada participante que discute a clínica actua
como psiquiatra um para o outro.
Se o cidadão desejar espalhar alguma mensagem na referida clínica, deverá ter o maior número
possível de seguidores, curtidores, amigos e inimigos na clínica, pois é em vão participar de sessões
de terapia intra-sofá com debatedores de homossexualidade. -visões de mundo genéticas meramente.
Seguidores, curtidores e amigos com ampla visão de mundo podem apoiar o argumento ou a engenharia
psicológica iniciada por um deles, mas não é possível obrigá-los a fazê-lo. Assim, o argumento inicial
de um fio de discussão deve ser sempre provocativo para suscitar o maior interesse possível entre os
sofás da clínica.
Os resultados da observação participante, realizada pelos autores na clínica do Facebook, foram

relatados como despachos da “frente” (ou seja, primeiras impressões, baseadas nas próprias
experiências). Estes “relatórios de combate” de primeira impressão foram recolhidos a partir de três
tópicos de discussão escolhidos, que um dos autores (Sirén) iniciou com argumentos provocativos, cujo
conteúdo se concentrou nos elementos supostamente sensíveis da construção da identidade finlandesa
(ou seja, a casa , religião e pátria). Percebeu-se que a velocidade das discussões no Facebook às
vezes se aproxima da velocidade das discussões cara a cara, o que facilmente pode levar a comentários
intolerantes por parte de um debatedor da visão de mundo mais ampla em relação aos debatedores
das visões de mundo mais restritas. Percebeu-se também que as batalhas mentais no Facebook
contra as intolerantes fortalezas do ego freudiano-lacanianas só podem ser vencidas pelos argumentos
mais credíveis e, mesmo assim, não apenas por um ego emancipatório capaz, mas com muitos de um
tipo. A maneira mais eficaz de quebrar a fortaleza do ego intolerante do sofá vizinho na clínica pode, no
entanto, ser que algum debatedor emancipatório capaz do mencionado sofá vizinho intolerante iniciasse
uma infiltração emancipatória intra-sofá nas mentes dos debatedores do mesmo sofá.
Os autores, no entanto, deixaram isso para ser pesquisado para pesquisas futuras.
Em suma, esta investigação revelou que todos nós estamos habituados às nossas narrativas e
mitos nacionais (ou outros), mesmo que pensemos o contrário. Isto também conta para os autores,
embora possamos pensar o contrário. Isto não quer dizer que não possamos emancipar-nos destes,
mas sim dizer que a nossa “cortina” de educação e experiência de vida é muito tênue, quando os
nossos valores mais profundos foram desafiados
www.it-ebooks.info
durante as “operações mentais” em ALGUMAS clínicas. É preciso compreender todas as visões de mundo possíveis, se
alguma vez iniciarmos qualquer tipo de operação de influência mental na clínica do Facebook, para ter alguma chance de
obter sucesso nessas operações. No entanto, não temos de aceitar todos os tipos de visões do mundo, mas infiltrar-nos e
alargar as fronteiras das estreitas e intolerantes fortalezas do ego é verdadeiramente uma arte, cujo conteúdo ainda
permanece em grande parte uma espécie de mistério para os autores, mesmo depois deste estudo académico. ensaio.
Referências
Aljazeera (2012) O exército dos EUA permite uniformes na parada do orgulho gay. http://www.aljazeera.com/news/
americas/2012/07/20127205506531551.html . Acessado em 18 de junho de 2013
Barbosa GT (2006) Uso da Internet 1990. www.worldmapper.org. http://www.worldmapper.org/
pôsteres/worldmapper_map335_ver5.pdf. Acessado em 10 de março de 2011
Berger P, Luckmann T (2005) A construção social da realidade. Gaudeamus, Helsinque
Bradley AJ, McDonald MP (2011) A organização social. Como usar a mídia social para explorar a genialidade coletiva
de seus clientes e funcionários. Harvard Business Review Press, Boston D'Amico G, Nigro S (2003) Guerra do
Golfo e guerra pela liberdade no Iraque: uma comparação entre o papel da mídia. http://cyber.law.harvard.edu/wsis/
DAmico.html. Acessado em 12 de março de 2011 Deleuze G, Guattari F (2004) Mil platôs:
capitalismo e esquizofrenia. Contínuo,
Londres
Departamento de Defesa (2011) Estratégia para atuação no ciberespaço. http://www.defense.gov/
notícias/d20110714cyber.pdf. Acessado em 5 de agosto de 2013
Dilanian K (2013) Os ataques cibernéticos são uma ameaça maior do que a Al Qaeda, dizem as autoridades. Los
Angeles Times, 12 de março de 2013. http://articles.latimes.com/2013/mar/12/world/la-fg-worldwide-
threats-20130313 . Acessado em 5 de agosto de 2013
Freud S (1959 [1922]). Psicologia de grupo e análise do ego. WW Norton & Companhia,
Nova Iorque
Heikka H (1999) Além do neorrealismo e do construtivismo: desejo, identidade e política externa russa. In: Hopf T (ed)
Compreensão da política externa russa (introdução). Pennsylvania State University Press, Pensilvânia, pp 57–107
Kozinets RV (2012) Netnografia: fazendo pesquisa etnográfica online. Sage, Londres Kuronen T, Huhtinen
AM (2013) Liderança como instituição zero. Artigo da conferência, “Re-Working
lacan at work”, conferência, Paris, 14–15 de junho de 2013
Lacan J (1977 [1966]) Escritos: uma seleção (tradução de Alan Sheridan). WW Norton & Company, Nova York Mackay
A, Tatham S (2011)
Conflito comportamental: por que compreender as pessoas e suas motivações será decisivo em conflitos futuros.
Imprensa de Estudos Militares, Estados Unidos
Mannion O (2011) Lendo o Facebook através de Lacan. NZ Sociol 26(1):143–154 Maslow AH
(2004 [1943]) Uma teoria da motivação humana. Psicol Rev 50:370–396. http://www. altruistas.org/f62. Acessado em 2
de janeiro de 2014 Mead GH (1992) Mente, eu e
sociedade: do ponto de vista de um behaviorista social. In: Morris CW (ed) Obras de George Herbert Mead, vol 1.
University of Chicago Press, Estados Unidos Miller JA (ed) (1999) A ética da psicanálise 1959-1960: o seminário
de Jacques Lacan,
livro VII. Routledge, East Sussex
Miniwatts Marketing Group (2010) Estatísticas de crescimento da Internet: o caminho atual para o comércio eletrônico
e o comércio global, relatórios de tecnologia da Internet. http://www.internetworldstats.com/emarketing.htm.
Acessado em 8 de março de 2011
www.it-ebooks.info
Niskanen H (Bispo do Exército, Forças Armadas Finlandesas) (2012) Devocional de campo na Parada do Dia da Bandeira,
4 de junho de 2012. http://www. puostusvoimat.fi/wcm/Erikoissyuvusto/Lippujuhla2012/Suomeksi/Paraatipheet+ja
+tervehdykset/Kenttapipispan+puhe/. Acessado em 18 de junho de 2013 Paden W (2003) Interpretando
o sagrado: formas de ver a religião. Revise a edição atualizada.
Beacon Press, Nova York

Payne M (2011) Bradley Manning e a revolução do jasmim. http://www.thepaltrysapien.com/2011/01/bradley-manning-and-
the-jasmine-revolution . Acessado em 14 de março de 2011 Rainie L, Purcell K, Smith A (2011) O
lado social da internet. Centro de pesquisa Pew. http://www.pewinternet.org/Reports/2011/The-Social-Side-of-the-
Internet.aspx . Acessado em 14 de março de 2011
Sirén T (2012) Tópico de discussão no Facebook, 10 de agosto de 2012. https://www.facebook.com/torsti. sirene/linha do

tempo/2012. Acessado em 7 de junho de 2013. Material em posse do autor (Sirén)
Sirén T (2013a) Vencendo guerras antes que elas surjam: da guerra cinética às comunicações estratégicas como um
paradigma proativo e centrado na mente da arte da guerra. Editores Universais, Boca Raton
Sirén T (2013b) Tópico de discussão no Facebook, 25 de maio de 2013. https://www.facebook.com/torsti. sirene/linha do

tempo/2013. Acessado em 7 de junho de 2013. Material em posse do autor (Sirén)
Sirén, T (2013c) Tópico de discussão no Facebook, 25 de fevereiro de 2013. https://www.facebook.com/torsti. sirene/linha
do tempo/2013. Acessado em 7 de junho de 2013. Material em posse do autor (Sirén)
Toma CL (2013) Sentindo-se melhor, mas piorando: efeitos da autoapresentação do Facebook na autoestima implícita e no
desempenho de tarefas cognitivas. Media Psychol 16(2):199–220. http://dx.doi.org/10.1080/15213269.2012.762189 .
Acessado em 4 de junho de 2013
Valtioneuvosto [Conselho de Estado da Finlândia] (2013) Estratégia de Segurança Cibernética da Finlândia (Decisão de
Princípio do Conselho de Estado). Secretariado do Comitê de Segurança, Helsinque
Wendt A (2003) Por que um estado mundial é inevitável. Eur J Int Relat 9(4):491–542 Zizek S (2004)
Órgãos sem corpos: deleuze e consequências. Routledge, Nova York
www.it-ebooks.info
Poderes e direitos fundamentais no ciberespaço

Segurança
Riitta Ollila
Resumo A proteção da privacidade e das comunicações confidenciais são direitos fundamentais

cruciais na segurança cibernética. A proteção da privacidade e das comunicações confidenciais tem
duas vertentes, no sentido de que as etapas ativas de segurança nas comunicações podem exigir
interferência nas comunicações confidenciais. A detecção e o perfil de ameaças potenciais podem
levantar suspeitas sobre participantes inocentes nas comunicações. O NCSC-FI dentro da Autoridade
de Comunicações tem a tarefa inicial e os poderes para monitorar a segurança cibernética. O projeto
de lei do Código da Sociedade da Informação introduz novas obrigações em matéria de segurança da
informação e preparação para situações de emergência. Se novos poderes forem concedidos às
autoridades, estes deverão ser estreitamente adaptados e limitados às medidas necessárias. A
interferência nas comunicações confidenciais na recuperação de informações exige soluções legais
contra o abuso de poderes e a responsabilização constitucional das autoridades de segurança.
1. Introdução
As ameaças no espaço cibernético evoluíram desde o ativismo hacker até crimes e espionagem. O
ciberterrorismo e a guerra cibernética são escaladas de ameaças. Os poderes das autoridades para
observar as ameaças no ciberespaço ainda se baseiam nos poderes de investigação de crimes e nos
poderes da autoridade de comunicações na supervisão da segurança da informação. Estes poderes
baseiam-se na detecção de crimes específicos e ameaças à segurança nas redes de comunicações. A
segurança cibernética não é um conceito jurídico como tal e não significa poderes adicionais às
autoridades. Os poderes das autoridades devem basear-se na legislação existente. Se as ameaças
evoluirem para ataques massivos que ponham em risco as funções vitais da sociedade, os poderes
para a investigação de crimes individuais talvez não sejam suficientes.
R. Ollila (&)
Universidade de Jyväskylä, Jyväskylä,
Finlândia e-mail: [email protected]
© Springer International Publishing Switzerland 2015 M. 63

Lehto e P. Neittaanmäki (eds.), Cyber Security: Analytics,
Technology and Automation, Intelligent Systems, Control and Automation:
Science and Engineering 78, DOI 10.1007/978-3-319-18302- 2_4
www.it-ebooks.info
64 R. Olila
O Centro Nacional de Segurança Cibernética da Finlândia (NCSC-FI) foi estabelecido dentro

da Autoridade Reguladora de Comunicações Finlandesa (FICORA) desde 1º de janeiro de 2014.
O NCSC-FI continua as atividades anteriores do CERT-FI dentro da FICORA. O NCSC-FI
prepara orientações e acordos relativos às atividades de segurança nacional e ao tratamento de
informações classificadas internacionais. O NCSC-FI monitorizará as ameaças à segurança
cibernética de interesse nacional e produzirá serviços avançados de sensibilização para os seus
constituintes. Para facilitar isso, o NCSC-FI coleta e correlaciona informações de diversas fontes.
A criação do NCSC-FI baseou-se na resolução governamental 24.1.2013 relativa à estratégia

de segurança cibernética. As atividades do centro foram manifestadas no programa do centro.
De acordo com o artigo 119.º da Lei Constitucional, os poderes das autoridades públicas devem
ser regulados por uma lei do Parlamento se utilizarem o poder público no sentido de decidirem
os direitos dos indivíduos. Segue-se a questão: o NCSC-FI utiliza o poder público e interfere nos
direitos constitucionais dos indivíduos? As atividades do NCSC-FI assentam nas competências
prescritas na Lei sobre a Proteção da Privacidade nas Comunicações Eletrónicas. No entanto,
os poderes repousam nas atividades anteriores do CERT-FI e a lei não foi alterada para
introduzir novos poderes nas atividades do NCSC-FI.
Os poderes da polícia visam a investigação criminal e a prevenção da desordem e do crime.

No ciberespaço e nas redes de comunicações, esses poderes são exercidos através da
intercepção de telefones e mensagens e da monitorização dos dados dos assinantes. É
aprovada a observação geral do ciberespaço para efeitos de ameaças e prevenção de atividades
criminosas. A utilização dos dados de observação é possível para a proteção da segurança
nacional e para a prevenção de crimes e perigos imediatos para a segurança pública.
O serviço de inteligência de segurança e o serviço militar finlandês não têm direito à vigilância
geral e ilimitada em matéria de segurança cibernética. O Departamento de Defesa criou um
grupo de trabalho para preparar legislação relativa aos poderes em matéria de segurança
cibernética e à interferência nos direitos fundamentais dos indivíduos. Examino os poderes
existentes das autoridades em matéria de segurança cibernética e as necessidades de
alterações na legislação. A prevenção de infrações e danos é o objetivo principal da vigilância
da segurança cibernética e não das violações dos direitos fundamentais das pessoas comuns.
No entanto, as tentações de utilizar os dados para outros fins possíveis são alternativas se as
autoridades de vigilância obtiverem grandes quantidades de dados pessoais. Examino os riscos
e salvaguardas óbvios contra o uso indevido de dados pessoais.
2 Proteção Constitucional de Dados Pessoais e

Comunicações Confidenciais
A privacidade e a proteção dos dados pessoais devem ser consideradas nas circunstâncias em
que os dados se referem a pessoas singulares. O artigo 10.º da Lei Constitucional especifica a
protecção dos dados pessoais: “Disposições mais específicas sobre a protecção dos
www.it-ebooks.info
Poderes e direitos fundamentais em segurança cibernética 65
os dados pessoais serão prescritos e especificados por uma lei do Parlamento”. As bases para
o tratamento de dados pessoais devem ser previstas em lei. A Comissão Constitucional é a
comissão do Parlamento Finlandês que interpreta a constituição.
A Comissão Constitucional considerou que a finalidade do tratamento e o conteúdo dos dados,
o tratamento posterior dos dados, incluindo a entrega de dados, e as garantias legais do titular
dos dados devem ser prescritos por lei.
A Comissão Constitucional desenvolveu os seguintes princípios de interpretação na sua
prática:
1. A base dos sistemas de arquivo deve ser detalhadamente prevista na lei. O período de
armazenamento e remoção de dados pessoais não pode ser prescrito ao nível de decretos
administrativos inferiores a atos do Parlamento (PeVL 7/1997 e 11/1997)
2. Os titulares dos dados devem ter garantias legais. As garantias podem variar desde o direito
de acesso do titular dos dados até ao direito de acesso do Provedor de Dados, se os dados
que lhe dizem respeito são tratados e se o tratamento cumpre as condições previstas na
lei (PeVL 7/1997).
3. O tratamento de dados pessoais das autoridades públicas deve basear-se em
razões (como investigação criminal, PeVL 7/1997)
4. Ao requisito previsto na lei segue-se o requisito de exactidão.
“As razões prementes” não são suficientemente precisas se não tiverem sido concretizadas
na lei de nível (PeVL 27a/1998).
A Comissão Constitucional considerou na sua prática que o acesso amplo e não

especificado aos dados pessoais justificado por razões de necessidade para as atividades da
autoridade é problemático. De acordo com a Lei de Proteção de Dados, a especificação da
finalidade e o dever legal são condições gerais para o tratamento de dados pessoais nas
atividades das autoridades. A finalidade da autoridade é suficiente para o tratamento se a
autoridade não tratar os dados pessoais com o consentimento da pessoa em causa? Se a
autoridade recolher informações relacionadas com indivíduos, interfere com a vida privada ou
com as comunicações confidenciais de indivíduos protegidos no Artigo 10 da Constituição. A
interferência nesses direitos fundamentais deverá basear-se em razões justificadas e deverá
ser prescrita por lei.
A especificação da finalidade, os princípios de qualidade dos dados e as condições gerais
de legitimidade do tratamento são as condições cruciais para a divulgação de dados pessoais.
Todas essas condições deverão prevalecer e a divulgação deverá ser compatível com a
finalidade. As categorias especiais de processamento têm condições especiais de
processamento próprias. Programei todas as condições de divulgação em uma cadeia em que
a especificação da finalidade e os princípios de qualidade dos dados devem ser sempre
cumpridos, mas as condições de legitimidade e categorias especiais de tratamento têm
caminhos alternativos próprios (Tabela 1).
As condições gerais de legitimidade e as categorias especiais de processamento formam,
cada uma delas, caminhos e categorias especiais de processamento (Ollila 2004). Se não
houver consentimento ou contrato para o tratamento de dados pessoais, este deverá basear-
se em obrigação legal da autoridade. A especificação da finalidade é a condição predominante
para o tratamento de dados pessoais, mas deve ser regulamentada por lei ou por consentimento. Se o
www.it-ebooks.info
66 R. Olila
Tabela 1 Especificação da finalidade, princípios de qualidade dos dados e condições gerais de legitimidade do tratamento
Princípios de qualidade de dados Condições de legitimidade do

Especificação processamento
da finalidade • • Informações confidenciais

• Adequado Consentimento • Científicas •
• Relevante • Não • Contrato • Obrigação Históricas •
excessivo • legal • Interesse Estatísticas
Preciso • Atualizado vital • Cliente, funcionário, membro • Informações de crédito
• Fusão • • Quem é quem registra •
Serviço de pagamento Genealogia •
• Serviço público • Marketing direto
Permissão do quadro de dados
autoridade não tenha relação direta com o cliente em questões administrativas, as condições para o
tratamento de dados pessoais devem ser prescritas por lei.
As condições para interferência em comunicações confidenciais foram prescritas no artigo 10.º, n.º
3, da Lei Constitucional. Na investigação criminal, as restrições necessárias podem ser previstas por
uma lei do Parlamento na investigação de crimes que ponham em perigo a segurança de um indivíduo,
da sociedade ou de um lar. Nos processos judiciais e nos controlos de segurança e durante a privação
da liberdade pessoal, as restrições devem ser prescritas por uma lei do Parlamento, mas não existem
condições para a qualidade das restrições e infracções.
A proteção das comunicações confidenciais pode ser dividida na relação vertical entre o Estado e o
cidadão e nas relações horizontais entre participantes privados. Na relação vertical entre o Estado e o
cidadão a questão principal é a restrição à interferência do Estado nas comunicações privadas e as
justificações para a interferência. A restrição de interferências está em conformidade com o respeito
pelas comunicações confidenciais. As investigações criminais e os processos judiciais são os principais
motivos de interferência no sigilo das comunicações.
Nas relações horizontais entre os participantes e os prestadores de serviços das comunicações, a

questão principal é a proteção da confidencialidade contra violações de terceiros e as obrigações de
segurança dos prestadores de serviços para garantir a confidencialidade das comunicações. A protecção
da confidencialidade nas relações horizontais requer salvaguardas activas e legislação do Estado para
prevenir as violações e impor padrões de segurança para a confidencialidade. As operadoras de
telecomunicações são obrigadas a zelar pela segurança de suas redes.
A proteção da privacidade e das comunicações confidenciais tem duas vertentes, no sentido de que
as etapas ativas de segurança nas comunicações podem exigir interferência nas comunicações (Ollila
2005). A detecção de ameaças requer a identificação dos participantes que ameaçam as comunicações.
A definição de perfis de ameaças potenciais pode levantar suspeitas sobre participantes inocentes nas
comunicações.
www.it-ebooks.info
3 Os Poderes da Autoridade de Comunicações
A Autoridade Finlandesa de Comunicações exerce supervisão geral e atribui poderes com base na
Lei sobre a Proteção da Privacidade nas Comunicações Eletrónicas. Recolhe informações e investiga
violações e ameaças à segurança da informação em redes e serviços de comunicações. A agência
NCSC-FI realiza as tarefas de segurança de dados dentro da autoridade de comunicações. A NCSA-
FI é especializada em questões de garantia de informação em casos relativos à segurança técnica
da informação e à segurança das telecomunicações. A NCSA-FI é uma das autoridades de segurança
nacional, além do Ministério da Defesa, do Comando de Defesa e do Serviço Finlandês de
Inteligência de Segurança. O Ministério das Relações Exteriores atua como principal autoridade de
segurança nacional na implementação das obrigações de segurança internacional.
O NCSC-FI tem acesso à informação de identificação dos assinantes no contexto de vulnerabilidades

de comunicações e infracções de dados. Este direito abrange tanto os metadados como o conteúdo
das telecomunicações. O NCSC-FI não necessita de qualquer consentimento judicial para estas
atividades de vigilância. A ausência de recursos legais foi justificada pelo facto de o NCSC-FI receber
apenas endereços IP de dados e não os entregar a outras autoridades. Eles não processam dados
pessoais.
4 As atividades do NCSC-FI
• Relatórios de operadoras de telecomunicações e outras empresas obrigadas por lei •

Vigilância de fontes públicas em mídias tradicionais e sociais e rumores • Redes de troca de
dados em programas autoreporter e Havaro • Análise de dados
De acordo com o Artigo 20 da Lei de Proteção da Privacidade em Eletrônica

Comunicações, as medidas de segurança da informação incluem competências:
As medidas para manter a segurança da informação podem incluir:
(1) Análise automática do conteúdo da mensagem;

(2) Prevenção ou limitação automática da transmissão ou recepção de mensagens;
(3) Remoção automática de mensagens de software malicioso que represente uma ameaça à
segurança da informação;
(4) Quaisquer outras medidas técnicas comparáveis.
A análise automática do conteúdo da mensagem significa que nenhuma pessoa física lê o

conteúdo. Se o conteúdo de uma mensagem tiver sido processado manualmente, o remetente e o
destinatário serão informados do processamento.
Propõe-se que os poderes previstos no artigo 20.º sejam concedidos a todos os operadores e
prestadores de serviços de telecomunicações, de acordo com o projecto de lei do Código da
Sociedade da Informação. Os operadores de telecomunicações e prestadores de serviços terão
poderes semelhantes aos da Autoridade de Comunicações para as medidas necessárias para manter a informação
www.it-ebooks.info
68 R. Olila
segurança. Os operadores de telecomunicações e prestadores de serviços terão poderes para

tratar informações de identificação para fins de segurança da informação.
Os operadores de telecomunicações e prestadores de serviços são obrigados a informar a
autoridade de comunicações sobre violações de segurança. O NCSC-FI trata desses relatórios e
tem o direito de acessar quaisquer dados de identificação, dados de localização ou mensagens
para o desempenho de suas funções, se os dados forem necessários para esclarecer violações
significativas ou ameaças à segurança da informação. O NCSC-FI destruirá quaisquer informações
e dados quando essas informações não forem mais necessárias para o desempenho de suas
funções ou para qualquer processo criminal relativo às informações.
Os assinantes e operadores de telecomunicações têm o direito de lutar contra mensagens e
programas maliciosos, a fim de evitar danos. Esses programas de malware e mensagens
maliciosas como tais não pertencem às comunicações confidenciais protegidas e à liberdade de
expressão. Os assinantes têm o direito de processar os seus próprios dados para prevenir
programas maliciosos e vírus.
A análise de websites públicos e redes sociais está aberta a todos e até mesmo às autoridades.
As autoridades processam dados na aceção da lei de proteção de dados se copiarem e
armazenarem os dados públicos para fins futuros? Este conteúdo recuperado contém dados
pessoais, se alguma das páginas da web de origem contiver. A autoridade pode observar as
alterações da página web recuperando sucessivas páginas web de origem e analisando as
alterações do conteúdo. De acordo com o programa do NCSC-FI, enriquecer os dados públicos
com dados confidenciais e combinar e processar dados de diferentes fontes públicas significa
processar dados pessoais se os dados puderem ser ligados a indivíduos.
O funcionamento dos motores de busca foi analisado no parecer do advogado-geral Jääskinen
apresentado ao Tribunal de Justiça Europeu no acórdão Google Espanha.
Em segundo lugar, os resultados da pesquisa apresentados por um motor de pesquisa na
Internet não se baseiam numa pesquisa instantânea em toda a World Wide Web, mas são
recolhidos a partir de conteúdos que o motor de pesquisa na Internet processou anteriormente.
Isto significa que o motor de busca da Internet recuperou conteúdos de websites existentes e
copiou, analisou e indexou esse conteúdo nos seus próprios dispositivos. Este conteúdo
recuperado contém dados pessoais, caso alguma das páginas da web de origem contenha.
Se o motor de busca Google puder recuperar conteúdos de websites existentes e indexar
esse conteúdo nos seus próprios dispositivos, será difícil negar atividades semelhantes às
autoridades nacionais. No entanto, qualquer tratamento posterior de dados pessoais permanece
sujeito à legislação nacional sobre processamento de dados e à diretiva europeia sobre
processamento de dados. O Tribunal de Justiça Europeu considerou no caso C-73/07 que os
arquivos de clipping de mídia, incluindo material já publicado, permanecem sob a diretiva de
processamento de dados. Em comparação com websites públicos, isto pode significar que os
websites públicos são como arquivos de recorte no processamento posterior de dados pessoais.
www.it-ebooks.info
5 Os poderes da polícia no espaço cibernético
Os poderes da polícia assentam na legislação de meios coercivos para detectar crimes que já
aconteceram. Normalmente, a polícia inspeciona invasões de computadores, fraudes cibernéticas,
perturbações nas comunicações e espionagem através de sistemas de comunicações.
Os poderes de vigilância para detectar ameaças e prevenir crimes repousam nos poderes gerais da
legislação policial. As competências de monitorização e tratamento de dados provenientes de fontes
públicas e de páginas web assentam em competências gerais da legislação policial. As condições e
permissões regulamentadas na Lei de Meios Coercivos não serão aplicadas à vigilância de fontes
públicas. A interceptação de telefones e mensagens significa interferência em partes confidenciais das
comunicações. A vigilância de partes de mensagens disponíveis abertamente não significa intercepção
na acepção da Lei dos Meios Coercivos. De acordo com o artigo 23 do Cap. 10 da Lei dos Meios
Coercivos, a vigilância do computador e do seu conteúdo significa interferência com partes secretas do
mesmo.
A permissão para vigilância não é necessária para vigilância física e processamento de dados obtidos
de fontes públicas. No entanto, a lei relativa ao tratamento de dados pessoais nas atividades policiais
será aplicada a todo o tratamento de dados pessoais relativos a pessoas singulares.
6 Os poderes nas ameaças crescentes
O NCSC-FI dentro da Autoridade de Comunicações tem como tarefa inicial monitorar a segurança
cibernética. O NCSC-FI monitorizará as ameaças à segurança cibernética de interesse nacional e
produzirá serviços avançados de sensibilização para os seus constituintes.
No entanto, os poderes em situações em que as ameaças cibernéticas se transformam em ataques
massivos que ameaçam as infra-estruturas de comunicações e as infra-estruturas físicas críticas não
foram regulamentados por lei. O projeto de lei do Código da Sociedade da Informação inclui obrigações
de segurança da informação e preparação para situações de emergência. O projeto está sob
consideração no Parlamento em 2014.
O projeto de lei do Código da Sociedade da Informação exige que todas as operadoras e prestadores
de serviços de telecomunicações tomem medidas para a segurança da informação dos seus serviços.
Os operadores de telecomunicações e operadores de serviços têm poderes semelhantes aos da
Autoridade de Comunicações para análise automática, prevenção e remoção de mensagens que
possam incluir software malicioso. Eles devem relatar as ameaças à segurança da informação que
identificaram à Autoridade de Comunicações. Eles devem relatar as vulnerabilidades dos seus serviços
aos seus assinantes e outros clientes se as vulnerabilidades causarem ameaças graves aos seus
serviços.
Os operadores de telecomunicações e os detentores de radiofrequências são obrigados a elaborar
planos de preparação para situações de emergência. A Autoridade de Comunicações tem poderes para
impor regulamentos mais precisos sobre esses planos de preparação. Os operadores de
telecomunicações devem zelar para que o controlo e a manutenção das suas infra-estruturas críticas de
comunicações possam ser restaurados na Finlândia em
www.it-ebooks.info
70 R. Olila
situações de emergência. As propostas do projeto de lei do Código da Sociedade da

Informação aumentam os requisitos de preparação para situações de crise e emergência.
A Lei de Emergência exige um ataque militar ou ameaça de um ataque militar ou correspondente que
ponha em perigo as funções vitais da sociedade, para que o governo possa obter esses poderes de
emergência. Nos ataques cibernéticos, a distinção entre ataque militar e escalada de crimes cibernéticos
não é visível e claramente observável como nos ataques militares tradicionais. A Lei de Emergência exige
que as autoridades utilizem esses poderes de emergência de forma proporcional apenas para os fins
necessários.
O Ministério da Defesa ordenou que um grupo de trabalho considerasse os poderes das

autoridades de segurança para a implementação da Estratégia Cibernética e as necessidades
óbvias de nova legislação. O grupo de trabalho considera se é necessário conceder novos
poderes às autoridades de segurança na recuperação de informação. Esses poderes devem
ser equilibrados em relação às obrigações que decorrem dos direitos constitucionais e
humanos. A interferência nas comunicações confidenciais na recuperação de informações
exige soluções legais contra o abuso de poderes e a responsabilização constitucional das
autoridades de segurança. Os direitos constitucionais e humanos devem ser garantidos no
ciberespaço e na sociedade da informação.
Referências
Comissão de Direito Constitucional, Parlamento Finlandês (2012) Parecer da Comissão de Direito Constitucional
PeVL 18/2012 v.p.–HE 66/2012 v.p.
Tribunal de Justiça Europeu (2013) Conclusões do Advogado-Geral Jääskinen apresentadas em 25 de junho de
2013: Processo C–131/12 Google Spain SL e Google Inc. contra Agência Espanhola de Proteção de Dados
(AEPD) e Mario Costeja González, seção 34
Acórdão do Tribunal (Grande Secção) de 16 de Dezembro de 2008 Comissário para a Protecção de Dados
(Provedor de Dados) v. Satakunta Markkinapörssi Oy e Satamedia Oy (Directiva 95/46/CE – Âmbito de
aplicação – Processamento e fluxo de dados fiscais de natureza pessoal – Protecção de bens naturais
pessoa, liberdade de expressão), processo
C-73/07 Ollila R (2004) Liberdade de expressão e proteção da privacidade. Tese de doutorado, Edita Publishing
Oy, Helsinque. http://www.edilex.fi
Ollila R (2005) Segurança e proteção. Advogado 5(2005):781–791
www.it-ebooks.info
parte II
Ameaças, Legalidade e Estratégia de
Segurança Cibernética
www.it-ebooks.info
Codificador, Hacker, Soldado, Espião
Kenneth Geers
Resumo Um ataque cibernético é melhor entendido não como um fim em si mesmo, mas como um
meio para uma ampla variedade de fins, alguns dos quais têm sérias ramificações jurídicas, políticas,
militares ou económicas. Os ataques cibernéticos podem ser empregados para qualquer finalidade:
espionagem, crime, ativismo, terrorismo ou guerra. Eles são usados para obter vantagem competitiva
em toda e qualquer forma de conflito humano. Este capítulo procura ajudar os defensores cibernéticos
a classificar os ataques de forma adequada, para que possam alocar de forma mais eficiente os
recursos finitos para combater esta ameaça crescente.
1. Introdução
Um ataque cibernético é melhor compreendido não como um fim em si mesmo, mas como um meio
para uma ampla variedade de outros fins, alguns dos quais têm consequências políticas, militares,
criminais e sociais tangíveis. Um ataque cibernético não é uma estratégia, mas uma tática que pode
ser empregada como uma de muitas outras táticas cibernéticas e não cibernéticas para a consecução
de uma estratégia mais ampla. O objetivo final de um ciberataque pode ser qualquer coisa: diversão
pessoal, roubo de propriedade intelectual, revolução política, terrorismo ou mesmo guerra internacional.
Em qualquer competição, os rivais buscam vantagem competitiva. A tecnologia da informação, as

redes de computadores e o hacking são simplesmente novas formas de obtê-lo.
O hardware e o software do computador são vulneráveis a muitos tipos diferentes de ataques, incluindo
roubo de dados, negação de dados e modificação de dados. Os hackers são bons na exploração destas
vulnerabilidades, mas um ataque cibernético pode ter muito mais impacto se o hacker fizer parte de
uma equipa maior de criminosos, soldados ou espiões.
Este capítulo explora cinco tipos de conflito cibernético – espionagem, crime, ativismo, terrorismo e
guerra. Cada tipo é difícil de definir com precisão e há uma área cinzenta entre eles. No entanto, já está
claro, mesmo no início da era da Internet,
K. Geers(&)
FireEye, Reston, VA, EUA e-mail:
[email protected]

10.1007/978-3-319-18302- 2_5
www.it-ebooks.info
74 K. Geers
que cada tipo não é apenas teoricamente possível, mas que existem numerosos exemplos do mundo
real para prová-lo. Finalmente, o autor espera que uma melhor capacidade de classificação de ataques
cibernéticos ajude o pessoal de defesa cibernética a compreender melhor as ameaças que enfrentam
e, como resultado, a ter a capacidade de preparar as suas defesas de forma mais eficaz.
2 Espionagem Cibernética
Vamos considerar a espionagem primeiro, porque neste caso um hacker não faz nada com seus dados
– exceto pegá-los e lê-los. Porém, a quantidade de dados que os hackers conseguem roubar já fez
desta geração a Era de Ouro da Espionagem. E à medida que cada vez mais as nossas vidas se
desenrolam online e à medida que computadores outrora isolados são ligados à Internet, o nível de
sensibilidade dos dados roubados continua a aumentar.
Por mais tênues que sejam, existem fios e/ou ondas de rádio que conectam todos os computadores
do planeta Terra. É trabalho do hacker descobrir como transferir dados entre dois deles, e os hackers
profissionais são muito bons em fazer isso acontecer.
Hoje, a informação digitalizada é roubada à escala industrial e os analistas de dados possuem
ferramentas poderosas para extrair esses dados muito rapidamente, a fim de separar o joio do trigo.
Os estados-nação têm-se envolvido em espionagem cibernética pelo menos nos últimos 30 anos.
Do Ovo do Cuco ao Moonlight Maze e Titan Rain, os laboratórios nacionais e agências governamentais
dos EUA têm sido os principais alvos dos hackers estrangeiros. E a dinâmica está acelerando, não
desacelerando. Em 2008, a Rússia foi a principal suspeita daquilo que o vice-secretário de Defesa dos
EUA, William Lynn, chamou de “a violação mais significativa de sempre dos computadores militares dos
EUA” – um ataque de vector USB ao Comando Central (CENTCOM) (Lynn 2010). Em 2012, Duqu,
Flame e Gauss atacaram o Irão (Bencsáth 2012) e o malware “Mahdi” (Simonite 2012) comprometeu
empresas de engenharia, agências governamentais, instituições financeiras e universidades em todo o
Médio Oriente (Zetter 2012). Acredita-se que o Irão, por sua vez, tenha comprometido uma autoridade
holandesa de certificados digitais, após o que emitiu mais de 500 certificados fraudulentos para grandes
empresas e agências governamentais (Charette 2011a, b), e possivelmente colocou um programa de
cavalo de Tróia dentro do Simurgh “ software proxy”, que é usado por ativistas de direitos humanos
(Marquis-Boire 2012). Em 2009, os planos para um novo helicóptero do Corpo de Fuzileiros Navais
Presidencial 1 dos EUA foram encontrados numa rede de partilha de ficheiros no Irão (Borak 2009). E
em 2013, a Índia foi considerada responsável pela “Operação Ressaca”, uma campanha de espionagem
cibernética em grande escala na qual as redes paquistanesas de TI, mineração, automotiva, jurídica,
engenharia, serviços de alimentação, militares e financeiras foram afetadas (“Operação… ” 2013).
No entanto, em 2013, o elefante na sala é a China, que é actualmente o maior interveniente

individual na espionagem cibernética mundial. A sua lista de alvos nos EUA, por si só, parece exaustiva:
no governo, o Departamento de Energia, que gere a tecnologia nuclear (Gerth e Risen 1999); nas forças
armadas, os planos para os mais avançados
www.it-ebooks.info
Codificador, Hacker, Soldado, Espião 75
Jato de combate dos EUA, o F-35 (Gorman et al. 2009a); em tecnologia, Google, Intel e Adobe (Gross
2011); nos negócios, o Morgan Stanley e a Câmara de Comércio dos EUA (Gorman 2011); na mídia,
The New York Times, Wall Street Journal e Washington Post (Perlroth 2013a, b).
E a China não está apenas interessada nos EUA. Na Europa, os hackers chineses têm como alvo a Câmara dos
Comuns do Reino Unido (Warren 2006), os empresários britânicos (Leppard 2010) e a Chancelaria Alemã (Espionagem
2007). Na Índia, um ataque altamente avançado a um quartel-general da Marinha utilizou alegadamente um vector USB
para colmatar o “air-gap” entre uma rede compartimentada e autónoma e a Internet (Pubby 2012). Na Coreia do Sul, muitos
computadores pessoais e PDAs pertencentes à liderança do governo sul-coreano foram comprometidos (Ungerleider 2010),
bem como um portal da Internet que continha informações pessoais de 35 milhões de cidadãos coreanos (Mick 2011). No
Japão, muitos setores económicos foram comprometidos e acredita-se que hackers chineses tenham até roubado
documentos confidenciais
(McCurry 2011; “Com base na China…” 2011). Na Austrália, foram roubadas as plantas do novo edifício
da Organização Australiana de Inteligência de Segurança, no valor de 631 milhões de dólares (“Relatório:
Planos…” 2013). E em todo o mundo, investigadores descobriram que hackers baseados na China
controlavam uma rede de espionagem cibernética em mais de 100 países (“Tracking…” 2009). Por
último, mas não menos importante, em 2010, uma empresa de telecomunicações chinesa transmitiu
informações de encaminhamento erradas para 37.000 redes de computadores, desviando parte do
tráfego da Internet através da China durante 20 minutos e expondo dados de 8.000 redes dos EUA,
1.100 redes australianas e 230 redes francesas (Vijayan 2010) . ).
Desde pelo menos 2010, muitas APTs, provavelmente baseadas na China, têm como alvo os
governos, militares e empresas da ASEAN, o grupo geopolítico e económico do Sudeste Asiático
composto por Brunei, Birmânia (Myanmar), Camboja, Indonésia, Laos, Malásia, Filipinas, Cingapura,
Tailândia e Vietnã. As indústrias visadas incluem telecomunicações, transportes, petróleo e gás, bancos
e grupos de reflexão. A motivação habitual é obter vantagem tática ou estratégica nos domínios político,
militar e/ou económico (Finkle 2011).
Acreditamos que muitas destas organizações económicas regionais são alvos atraentes para as
campanhas APT porque a informação que possuem é valiosa – enquanto o seu nível de sensibilização
para a segurança cibernética é baixo. Muitas vezes, essas organizações têm administração de sistema
inconsistente, gerenciamento pouco frequente de patches de software e/ou controle deficiente de
políticas. Assim, muitas dessas redes são “frutos ao alcance da mão” para os invasores. E para piorar a
situação, uma vez comprometidos, são usados como palco para novos ataques a alvos regionais,
através da instalação de servidores ilícitos de comando e controle, do abuso de contas de e-mail
legítimas e da disseminação de documentos de escritório roubados como “ isca."
Os pesquisadores da FireEye estão acompanhando vários atores do APT nesta região, incluindo
BeeBus, Mirage, Check Command, Taidoor, Seinup e Naikon. Sua tática mais comum é o spear-
phishing, muitas vezes usando documentos “iscas” legítimos relacionados à economia nacional, à
política ou a eventos regionais da vítima, como cúpulas da ASEAN, cúpulas da Cooperação Econômica
Ásia-Pacífico (APEC), exploração de energia ou operações militares. romances.
www.it-ebooks.info
76 K. Geers
Por exemplo, um grupo por trás de muitos ataques dignos de nota, denominado “Comment Crew”
(Sanger et al. 2013), parece ser um grande contratante do governo chinês. Uma das suas campanhas
pode ser considerada “estratégica” em todos os sentidos da palavra, centrando-se nas indústrias
aeroespacial e de defesa dos EUA (Pidathala et al. 2013).
A equipe de comentários é tão grande, na verdade, que quando o Federal Bureau of Investigation
(FBI) decodificou apenas um dos esconderijos de informações roubados do grupo, se impresso, teria
criado uma pilha de papel mais alta que um conjunto de enciclopédias ( Riley e Lawrence 2012).
É claro que é altamente improvável que a China esteja sozinha a realizar espionagem cibernética.
Em 2006, a China Aerospace Science and Industry Corporation (CASIC) encontrou spyware na sua
rede classificada (“Significant…” 2013). Em 2007, o Ministério da Segurança do Estado chinês afirmou
que hackers estrangeiros estavam a roubar informações chinesas, “42%” de Taiwan e “25%” dos
Estados Unidos (Ibidem). Em 2009, o primeiro-ministro chinês Wen Jiabao anunciou que um hacker
de Taiwan havia roubado o seu próximo relatório ao Congresso Nacional do Povo (Ibid). Em 2013,
Edward Snowden, antigo administrador de sistemas da Agência de Segurança Nacional (NSA),
publicou documentos sugerindo que os EUA conduziram espionagem cibernética contra a China
(Rapoza 2013); e a equipe chinesa de resposta a emergências informáticas (CERT) afirmou possuir
“montanhas de dados” sobre ataques cibernéticos dos EUA
(Hille 2013).
Mas o que exatamente eles estão procurando? Na verdade, procuram os mesmos tipos de
informação que os espiões sempre procuraram – comunicações de liderança, dados de investigação
e desenvolvimento, posições de negociação económica, segredos políticos, planos militares, etc. Em
suma, qualquer coisa que possa dar a um governo uma vantagem competitiva face aos seus rivais
(tanto internos como externos).
O elevado retorno do investimento transformou a espionagem cibernética numa empresa à

escala industrial, e a falta de estratégias de mitigação eficazes por parte dos defensores cibernéticos
sugere que este não é um problema que irá desaparecer em breve. Por enquanto, o governo russo
tomou recentemente a medida extrema de comprar um carregamento de máquinas de escrever
antigas (Ingersoll 2013).
3 Crime Cibernético
Os criminosos não são estranhos à tecnologia. A falsificação, por exemplo, é tão antiga quanto o
próprio dinheiro – o que significa a Grécia antiga. Hoje, é provável que seja muito mais fácil para os
falsificadores, uma vez que tanto o dinheiro como a propriedade intelectual existem em bits eletrónicos
que podem ser transmitidos em todo o mundo à velocidade da luz. Em 2011, o mercado de comércio
de carbono da União Europeia foi hackeado, resultando no roubo de mais de 7 milhões de dólares
em créditos, forçando o encerramento temporário do mercado (Krukowska e Carr 2011). Em 2012, a
Empresa Europeia de Defesa Aeronáutica e Espacial (EADS) e a siderúrgica alemã ThyssenKrupp
foram vítimas de grandes ataques de hackers chineses, que quase certamente utilizaram ataques
cibernéticos para ganhos económicos estratégicos (Rochford 2013).
www.it-ebooks.info
Para as empresas, surgiu uma tendência importante. Devem estar sempre atentos a ataques
cibernéticos de ameaças persistentes avançadas (APT) imediatamente antes e durante as
negociações internacionais. Só em 2011, a Comissão Europeia queixou-se de pirataria generalizada
antes de uma cimeira da UE (“Serious…” 2011), o governo francês foi comprometido antes de
uma reunião do G-20 (Charette 2011b), e pelo menos 10 organizações norueguesas de defesa e
energia empresas foram hackeadas durante negociações contratuais em grande escala, através
de phishing especificamente adaptado a cada empresa (Albanesius 2011). Na esfera económica,
o Fundo Monetário Internacional (FMI), com sede nos EUA, foi vítima de um ataque de phishing
em 2011, que foi descrito como uma “violação muito grave” (Sanger e Markoff 2011).
O crime cibernético pode ser simplesmente o uso de TI para facilitar crimes tradicionais, como
roubo, fraude, ou um ataque tático, como hackear um sistema de alarme antes de entrada não
autorizada. Tudo isto é possível a nível individual, organizacional ou estatal.
No caso de um ataque de um Estado-nação, não haverá nenhuma agência de aplicação da lei no
planeta capaz de concluir um processo com êxito; o único recurso seria a coerção diplomática,
económica ou militar.
O crime cibernético também pode ser crime “somente cibernético”, como o compartilhamento
ilegal de imagens, arquivos ou informações confidenciais. E grupos de hackers profissionais
também se enquadram nesta categoria; oferecem bens e serviços cibernéticos específicos a
qualquer pessoa, desde indivíduos desconhecidos a governos, que incluem ataques de negação
de serviço e propriedade de redes anteriormente comprometidas. No futuro, à medida que mais
vidas acontecerem online, a forma de crime exclusivamente cibernética só aumentará.
Forçosamente, esta evolução continuará a empurrar a aplicação da lei cada vez mais para o ciberespaço.
O poder incrível e assimétrico dos computadores, das redes e da pirataria informática está tão
disponível para os criminosos como para qualquer outra pessoa. Hoje, mais do que nunca, os
intervenientes não estatais possuem as ferramentas necessárias para desafiar a autoridade e, na
verdade, a supremacia de um Estado-nação. Em 2010, o “Exército Cibernético do Paquistão”
desfigurou e posteriormente encerrou o site do Central Bureau of Investigation, a principal agência
policial da Índia (“Índia…” 2010). Em 2011, a Polícia Alemã descobriu que servidores usados para
localizar criminosos graves e suspeitos de terrorismo foram invadidos após um ataque de phishing
bem-sucedido (“Hackers…” 2011).
Infelizmente, existe frequentemente uma zona cinzenta entre os ataques cibernéticos estatais
e não estatais, alguns dos quais incluem atividades criminosas. Os pesquisadores da FireEye já
viram um estado-nação desenvolver e usar um Trojan sofisticado e, mais tarde (depois que suas
próprias defesas anti-Trojan estavam em vigor) vendê-lo a criminosos cibernéticos no mercado
negro (Geers 2013).
O espaço da Internet na Rússia, por exemplo, criou algumas complicações para os defensores
cibernéticos enquanto tentam classificar adequadamente os ataques cibernéticos. Em 2009,
hackers russos foram responsabilizados pelo “Climategate”, uma violação da investigação
universitária em Inglaterra que parecia ter a intenção de minar as negociações internacionais sobre
a mitigação das alterações climáticas (Stewart e Delgado 2009; “Global…” 2011). E na FireEye, a
análise mostrou que algumas “portas secretas” russas para sistemas comprometidos são difíceis
de distinguir de invasões de criminosos cibernéticos avançados.
www.it-ebooks.info
78 K. Geers
4 Ciberativismo
Você diz que quer uma revolução? Hacktivismo é a arte de misturar hacking e ativismo, graças a grupos
com nomes como Cult of the Dead Cow e até mesmo a indivíduos como Edward Snowden. Hoje,
qualquer pessoa que possua um computador conectado à Internet possui o equivalente histórico de
uma impressora e de um transmissor de rádio. O ciberespaço é o local perfeito para promover qualquer
causa política, desde que as pessoas estejam dispostas a migrar para as ruas ou para as urnas. Os
websites podem ser usados para vender widgets ou para derrubar governos – basta perguntar a Hosni
Mubarak.
Historicamente, os Estados-nação desfrutaram de um quase monopólio no uso da violência e da

capacidade de calibrar a tensão internacional. Mas na era da Internet, qualquer pessoa pode participar
nos assuntos internacionais, o que cria um novo desafio para os decisores nacionais. Os cidadãos
comuns podem participar em conflitos internacionais – quer através da disseminação de propaganda
quer através da pirataria informática – sem se reportarem a qualquer cadeia de comando tradicional.
Assim, um aspecto fascinante do conflito na era da Internet é o fenómeno dos “hackers patrióticos” que
ostensivamente travam uma guerra cibernética em nome das suas nações, se não dos seus governos.
No início da World Wide Web, em meados da década de 1990, a Rússia estava envolvida numa luta
prolongada sobre o destino da Chechénia; no decurso dos acontecimentos, os chechenos tornaram-se
pioneiros na propaganda cibernética e os russos tornaram-se pioneiros no encerramento dos seus
websites. Em 1998, quando a Sérvia, aliada russa, estava sob ataque da OTAN por causa do destino
do Kosovo, hackers pró-sérvios entraram na briga, atacando a OTAN com ataques de negação de
serviço (DoS) e pelo menos vinte e cinco cepas de vírus infectados. e-mail. Em 2001, após o abate de
um avião da Marinha dos EUA e a detenção prolongada da sua tripulação na China, hackers pró-EUA e
pró-China iniciaram uma guerra patriótica de hackers com consequências incertas para a liderança
política. Em 2007, a Rússia foi o principal suspeito do mais famoso ataque internacional de ciberactivistas
até à data – o DoS punitivo distribuído à Estónia por ter movido uma estátua da era soviética. E em
2008, durante a guerra Russo-Georgiana, os analistas notaram que haverá uma relação estreita entre
as operações cibernéticas e convencionais em todas as futuras campanhas militares (Geers 2008). Em
2010, o “Exército Cibernético Iraniano” interrompeu o Twitter e o motor de busca chinês Baidu,
redirecionando os utilizadores para mensagens políticas iranianas (Wai-yin Kwok 2010).
O conflito árabe-israelense, que desperta interesse, discussão e paixão em todo o mundo, é um

bom estudo de caso na utilização de ataques cibernéticos para promover e defender uma causa. Pelo
menos desde o ano 2000, hackers pró-Israel têm como alvo websites de importância política e militar no
Médio Oriente (Geers 2008). Mas, sendo uma nação industrial avançada, Israel também depende da
tecnologia da informação e, de facto, provou ser bastante vulnerável a ataques cibernéticos, que muitas
vezes têm como alvo a economia israelita. Em 2009, durante a operação militar de Israel em Gaza,
hackers paralisaram brevemente muitos sites governamentais com um ataque DDoS de pelo menos
500 mil computadores. O ataque de 2009 consistiu em quatro ondas independentes, cada uma mais
forte
www.it-ebooks.info
do que o anterior, atingindo um pico de 15 milhões de entregas de lixo eletrônico por segundo.
O site israelense “Home Front Command”, que desempenha um papel fundamental nas
comunicações de defesa nacional com o público, ficou fora do ar por 3 horas. Devido às
semelhanças técnicas com o ataque cibernético de 2008 à Geórgia durante a guerra com a
Rússia, as autoridades israelitas presumiram que o ataque em si pode ter sido realizado por
uma organização criminosa na antiga União Soviética e pago pelo Hamas ou pelo Hezbollah (Pfeffer 2009). .
Hoje, a Síria está no meio de uma guerra civil, por isso há muita actividade cibernética para
analisar. De longe, o grupo de hackers mais proeminente é o Exército Eletrônico Sírio (SEA),
que é leal ao presidente sírio, Bashar al-Assad. A SEA conduziu ataques DDoS, phishing,
desfigurações pró-Assad e campanhas de spam contra governos, serviços online e meios de
comunicação considerados hostis ao governo sírio. A SEA invadiu Al-Jazeera, Anonymous,
Associated Press (AP), BBC, Daily Telegraph, Financial Times, Guardian, Human Rights
Watch, National Public Radio, New York Times, Twitter e muito mais (Fisher e Keller 2011;
“Syrian… ” 2013). A sua façanha mais famosa foi um anúncio através da conta Twitter da AP
de que a Casa Branca foi bombardeada e o Presidente Obama ferido – após o que os
mercados de ações caíram brevemente mais de 200 mil milhões de dólares (Manzoor 2013).
Somente no mês de julho de 2013, a SEA comprometeu três sites de comunicação on-line
amplamente utilizados: Truecaller (a maior lista telefônica do mundo)
(Khare 2013), Tango (um serviço de vídeo e mensagens de texto) (Kastrenakes 2013;
Albanesius 2013) e Viber (um aplicativo gratuito de chamadas e mensagens online)
(Ashford 2013). Compromissos bem-sucedidos como estes são significativos porque poderiam
dar à inteligência síria acesso às comunicações de milhões de pessoas, incluindo activistas
políticos na Síria, que poderiam então ser alvo de espionagem, intimidação e/ou prisão.
Para comprometer as suas vítimas, a SEA envia frequentemente e-mails de spear-phishing

de engenharia social para atrair activistas da oposição a abrirem documentos fraudulentos,
armados e maliciosos. Se o destinatário cair no golpe, o software Trojan Horse, Remote
Access Tool (RAT) é instalado no computador da vítima, que pode fornecer ao invasor
pressionamentos de teclas, capturas de tela, gravações de microfone/webcam, documentos
roubados e senhas. E, claro, a SEA provavelmente envia toda esta informação para um
endereço de computador situado no espaço do Protocolo Internet (IP) controlado pelo governo
sírio, para recolha e revisão de informações (Tsukayama 2013).
Como categoria de hackers, os ativistas normalmente não possuem a capacidade de
empregar os ataques cibernéticos avançados que são característicos de um Estado-nação.
Mas o que têm a seu favor é o dinamismo. Os intervenientes individuais podem agir por
capricho e responder rapidamente aos acontecimentos em curso na arena internacional. Em
contraste, as burocracias governamentais são notoriamente más em termos de espontaneidade
e flexibilidade. Assim, com o ciberativismo, a sofisticação relativa de um ataque pode ser
calculada menos na sofisticação tecnológica do ataque e mais nas formas inteligentes e
imprevisíveis como os ataques cibernéticos se desenrolam.
www.it-ebooks.info
80 K. Geers
5 Terrorismo Cibernético
Até certo ponto, todas as economias industriais avançadas tornaram-se dependentes da Internet
e parecem vulneráveis ao ciberterrorismo. Mas em 2013, ainda não há nenhum caso claro de
ciberterrorismo.
Existem alguns relatos limítrofes. Em 1998, o grupo de hackers L0pht alertou que poderia
desligar a Internet em 30 minutos (Schneier 1998). Em 2000, um funcionário insatisfeito
despejou, através de uma rede sem fio, 800.000 litros de esgoto não tratado nos cursos de água
australianos (Smith 2001). Em 2008, um funcionário da CIA informou numa conferência de
fornecedores de infra-estruturas críticas que hackers desconhecidos, em diversas ocasiões,
tinham conseguido interromper o fornecimento de energia em várias cidades estrangeiras
(Nakashima e Mufson 2008). Em 2013, a mídia iraniana informou que o exército sírio havia
realizado um ataque cibernético contra o abastecimento de água da cidade israelense de Haifa.
O professor Isaac Ben-Israel, conselheiro de segurança cibernética do primeiro-ministro Benjamin
Netanyahu, disse que o relatório era falso, mas que os ataques cibernéticos a infra-estruturas
críticas representam uma “ameaça real e presente” para Israel (Yagna 2013).
De momento, a maioria das organizações terroristas não estatais provavelmente ainda
temem mais a vigilância do Estado-nação do que confiam nas perspectivas incertas do ciberterrorismo.
Ainda não há casos de ciberterroristas que tenham causado danos físicos graves ou vítimas
humanas através da Internet. Contudo, tal como acontece com qualquer outra organização ou
subcultura, os grupos terroristas estão provavelmente satisfeitos com a capacidade da Internet
para os ajudar a organizar, recrutar, angariar dinheiro e disseminar propaganda.
Em todo o mundo, o nível geral de profissionalismo da defesa cibernética aumentou
consideravelmente. A capacidade dos Estados-nação para policiar a sua própria jurisdição
cibernética está a melhorar constantemente. Para o ciberterrorismo, isto significa que, cada vez
mais, os potenciais ciberterroristas podem necessitar de algum nível de patrocínio estatal.
Portanto, vamos considerar esta dinâmica mais de perto, possivelmente no candidato mais
provável a ser patrocinador do ciberterrorismo sancionado pelo Estado – a Coreia do Norte.
Pyongyang, um aliado da China, parece estar preso numa espécie de Idade da Pedra cibernética,
especialmente em relação à próspera Coreia do Sul, que é aliada dos EUA. A Coreia do Sul tem
atualmente as velocidades de download mais rápidas do mundo (McDonald 2011), e é o lar de
escolas onde os alunos receberão não livros, mas tablets até 2015 (Gobry 2011).
Contudo, da perspectiva da Coreia do Norte, a Internet oferece uma forma não só de projectar
o poder nacional, mas também de o fazer de uma forma altamente assimétrica. Os desertores
norte-coreanos descreveram um departamento de guerra cibernética em expansão com 3.000
funcionários, em grande parte treinados na China ou na Rússia. Salientaram que a Coreia do
Norte tem um “fascínio” crescente pelos ataques cibernéticos como uma forma rentável de
competir contra inimigos convencionalmente superiores. Eles acreditavam que a Coreia do Norte
está cada vez mais confortável e confiante neste novo domínio de guerra, avaliando que a Internet
não é apenas vulnerável a ataques, mas que uma estratégia de ataque cibernético pode criar
pressão psicológica sobre o Ocidente. Para este fim, a Coreia do Norte concentrou-se em desligar
os seus servidores importantes da Internet, ao mesmo tempo que construía uma “rede de ataque”
dedicada (Fisher 2013).
www.it-ebooks.info
Que ataques cibernéticos vimos na Coreia do Norte até agora? Em 2009, a Coreia do Norte lançou
o seu primeiro grande ataque aos websites dos governos dos EUA e da Coreia do Sul. Houve poucos
danos, mas o incidente ainda ganhou ampla exposição na mídia (Choe e Markoff 2009). Em 2013,
porém, os atores da ameaça haviam amadurecido. Um grupo apelidado de “Gangue DarkSeoul” foi
responsável por pelo menos 4 anos de ataques de alto perfil na Coreia do Sul, incluindo campanhas
DDoS e códigos maliciosos que limparam discos rígidos de computadores em bancos, meios de
comunicação, ISPs, empresas de telecomunicações e empresas financeiras. substituir dados legítimos
por mensagens políticas (“Quatro…” 2013). Os supostos ataques norte-coreanos a instituições
específicas dos EUA incluem elementos militares dos EUA na Coreia do Sul, o Comité para os Direitos
Humanos na Coreia do Norte, com sede nos EUA, e a Casa Branca.
6 Guerra Cibernética
Por último, mas não menos importante … a guerra cibernética é um mito ou é realidade? Os céticos concentram-se no
fato de que o hacking de computadores é uma disciplina técnica, não um míssil ou uma bomba. E
gostam de salientar que o número conhecido de vítimas humanas causadas por ataques cibernéticos é
zero. No entanto, os céticos provavelmente subestimam o ponto mais amplo de que a pirataria
informática não é um fim em si mesmo, mas um meio para uma ampla variedade de fins – alguns (não
todos) dos quais podem ter sérias ramificações políticas, militares ou económicas.
Como os computadores são usados para gerir tudo hoje em dia, incluindo a infra-estrutura crítica e
os sistemas de armas militares de uma nação, um hack bem sucedido pode levar à sabotagem do
sistema maior que ajuda a gerir. Num contexto de segurança nacional, pensemos na defesa aérea, na
rede eléctrica, nos mísseis nucleares. Qualquer líder nacional consideraria tal ataque um acto de guerra
e seria forçado a responder de alguma forma. E estes exemplos representam alvos militares “difíceis”;
em outras palavras, são provavelmente redes de computadores bem defendidas, mas talvez ainda
vulneráveis. Mas existem muitos outros tipos de alvos para organizações militares ou de inteligência
hostis que são alvos “fáceis” e quase certamente mal defendidos, incluindo meios de comunicação
públicos, investigação universitária e prestadores de serviços governamentais, como fornecedores de
logística. Para os praticantes de operações psicológicas e de guerra de informação, tais alvos
representam um campo de batalha fértil.
Ainda estamos no início da era da Internet, mas há numerosos incidentes de segurança cibernética
que sugerem que a guerra cibernética pode fazer parte do nosso futuro comum. Em 2007, Israel
alegadamente interrompeu as redes de defesa aérea sírias através de ataques cibernéticos (com alguns
danos colaterais nas suas próprias redes domésticas), a fim de facilitar a destruição pela Força Aérea
Israelita de uma alegada instalação nuclear síria (Carroll 2007).
Em 2008, havia provas claras de que as operações de redes informáticas desempenharam um papel de
apoio nos avanços militares russos durante a invasão da Geórgia (“Visão geral…” 2009). Em 2009,
aviões da Marinha Francesa foram imobilizados após uma infecção pelo worm Conficker (Willsher
2009). Também em 2009, os insurgentes iraquianos usaram software disponível no mercado por US$
26 para interceptar transmissões de vídeo ao vivo de drones Predator dos EUA, provavelmente dando-
lhes a capacidade de monitorar e escapar das operações militares dos EUA.
www.it-ebooks.info
82 K. Geers
(Gorman et al. 2009b). Em 2012, o Reino Unido admitiu que hackers tinham penetrado nas
redes secretas do Ministério da Defesa (Hopkins 2012). Em 2013, o DHS informou que 23
empresas de gasodutos foram hackeadas em uma potencial operação de sabotagem
(Clayton 2013), hackers chineses foram vistos no Inventário Nacional de Barragens do
Corpo de Engenheiros do Exército dos EUA (Gertz 2013) e na Rússia (seguindo o exemplo
de (EUA, China e Israel) anunciaram que estão a criar unidades específicas para a guerra
cibernética (Gorshenin 2013).
Mas o exemplo mais claro que os analistas têm hoje do que poderíamos chamar de
“guerra cibernética” é o Stuxnet (Sanger 2012), que foi igualmente chocante tanto a nível
táctico como estratégico. No nível tático, o Stuxnet contrasta fortemente com worms de
computador como o Slammer e o Code Red, que tentaram comprometer o maior número
possível de computadores. O Stuxnet fez o oposto, tentando comprometer o mínimo
possível. Em seguida, o seu comportamento malicioso foi elegantemente escondido sob
um verniz de dados operacionais aparentemente “legítimos”; em última análise, porém, o
malware causaria falha e destruição da centrífuga. Em termos de uma operação militar
tática, o Stuxnet (lembre-se, isso é apenas um pedaço de código de computador!) substituiu
até certo ponto um esquadrão de aviões de combate que teria violado o espaço aéreo
estrangeiro, lançado bombas guiadas a laser e deixado uma cratera fumegante no superfície
da Terra (Ibidem). De uma perspectiva estratégica, o Stuxnet foi revolucionário na medida
em que ofereceu a perspectiva de ganhos políticos e militares tangíveis na arena
internacional. A operação foi caracterizada como um “míssil cibernético” concebido com um
objectivo único em mente: perturbar o programa iraniano de enriquecimento nuclear e
ajudar a comunidade internacional a impedir a chegada de um novo membro ao “clube nuclear” mundial.
A “família” de malware Stuxnet, que provavelmente inclui Duqu, Flame e Gauss
(Bencsáth 2012), apresentou ao mundo uma nova classe de software – software de “nível
militar”. Esses programas – que, em primeiro lugar, nunca deveriam ver a luz do dia –
chegam ao seu destino de forma criptografada (muitas vezes com certificados digitais
roubados ou falsificados) e só podem ser descriptografados e instalados em um dispositivo
de destino específico. Essas táticas ajudam o malware a escapar dos olhares indiscretos
dos defensores cibernéticos e aumentam consideravelmente os obstáculos à descoberta e
à engenharia reversa. Além de tudo isso, considere que o Stuxnet empregou múltiplas
explorações de dia zero e empregou uma conquista computacional inédita no mundo em
uma “colisão de hash” criptográfica forçada (Goodin 2012).
Portanto, se forem possíveis ataques militares ofensivos no domínio cibernético, que
opções estão disponíveis para a vítima como forma de retaliação? A vítima mantém a luta
no domínio cibernético ou a resposta pode vir na forma de um ataque militar (ou terrorista)
tradicional? Em 2012, o Irão parece ter escolhido a primeira opção. Um grupo de hackers
chamado “Espada Cortante da Justiça” usou o vírus “Shamoon” para atacar a empresa
petrolífera nacional da Arábia Saudita, Aramco, excluindo dados de três quartos dos PCs
corporativos da Aramco (incluindo documentos, planilhas, e-mails e arquivos). e substituindo-
os pela imagem de uma bandeira americana em chamas (Perlroth 2012). E durante o ano
passado, outro grupo chamado Izz ad-Din al-Qassam lançou a “Operação Ababil”, uma
série de ataques DoS contra muitas instituições financeiras dos EUA, incluindo a Bolsa de
Valores de Nova Iorque (Walker 2013). Finalmente, em 2013, a Wall Street
www.it-ebooks.info
O Journal informou que os intervenientes iranianos aumentaram os seus esforços para comprometer as infra-
estruturas críticas dos EUA (Gorman e Yadron 2013).
Em 2013, o Presidente Obama assinou uma directiva segundo a qual os EUA deveriam ajudar os aliados
que fossem alvo de ataques cibernéticos estrangeiros (Shanker e Sanger 2013) e, como um passo em
direcção à distensão cibernética, os EUA e a Rússia assinaram um acordo para construir uma “linha directa”
cibernética – semelhante ao utilizado para sustos nucleares durante a Guerra Fria – para ajudar a neutralizar
quaisquer crises relacionadas com computadores no futuro (Gallagher 2013).
7. Conclusão
O futuro é desconhecido, mas este capítulo mostrou que o poder dos computadores e das redes informáticas
está a ser explorado por todos – incluindo espiões, criminosos, activistas, terroristas e soldados. Existem
exemplos conhecidos e claros de ataques cibernéticos que têm sido utilizados para facilitar a espionagem, o
crime, o ativismo, o terrorismo e a guerra.
No futuro, à medida que a Internet expande o seu alcance em todos os aspectos das nossas sociedades
nacionais e civis, e à medida que aprofundamos organicamente a nossa dependência dela, o número de
exemplos de ataques cibernéticos, bem como o seu impacto potencial nas nossas vidas, provavelmente
aumentará. aumentar. No nível individual, devemos nos preocupar com a liberdade e a privacidade. A nível
nacional, os decisores continuarão centrados no crime, no terrorismo, na guerra e na revolução.
Os ataques cibernéticos poderiam derrubar uma rede elétrica ou um mercado financeiro? Em teoria
sim… na prática ainda não sabemos. Mas sabemos que a Internet proporciona aos governos uma ferramenta
incrivelmente poderosa para manipular as nossas vidas e para conduzir a vigilância não só contra os seus
adversários, mas também contra os seus próprios cidadãos. Portanto, na era da Internet, é vital que os
governos coloquem uma ênfase crescente no respeito tanto pelo Estado de Direito como pelas Leis da
Guerra.
Referências
Albanesius C (2011) O ataque cibernético da Noruega tem como alvo os sistemas de petróleo e gás do país. Garon. http://www.
pcmag.com/article2/0,2817,2396611,00.asp. Acessado em 17 de novembro de 2013
Albanesius C (2013) Aplicativo de mensagens Tango alvo do Exército Eletrônico Sírio. Garon. http://
www.pcmag.com/article2/0,2817,2422129,00.asp. Acessado em 17 de novembro de 2013
Ashford W (2013) Hacktvisists sírios atingiram o segundo aplicativo móvel em uma semana. Computador semanal. http://
www.computerweekly.com/news/2240201656/Syrian-hacktvists-hit-second-mobile-app-in-a-week . Acessado em 17 de
novembro de 2013
Bencsáth B (2012) Duqu, chama, gauss: seguidores do stuxnet. Laboratório BME CrySyS RSA. http://www. rsaconference.com/
writable/presentations/file_upload/br-208_bencsath.pdf. Acessado em 17 de novembro de 2013
Borak D (2009) Fonte no Irã vê os projetos do Marine One. Tempos do Corpo de Fuzileiros Navais. http://www.
marinecorpstimes.com/article/20090303/NEWS/903030307/Source-in-Iran-views-Marine-One-blueprints . Acessado
em 17 de novembro de 2013
www.it-ebooks.info
84 K. Geers
Carroll W (2007) O tiro cibernético de Israel na Síria. Tecnologia de Defesa. http://defensetech.org/2007/11/26/

israels-cyber-shot-at-syria/. Acessado em 17 de novembro de 2013
Charette R (2011a) Ataque cibernético “espetacular” obtém acesso aos arquivos do G20 na França. Espectro IEEE. http://
spectrum.ieee.org/riskfactor/telecom/internet/spectacular-cyber-attack-gains-access-to-frances-g20-files . Acessado
em 17 de novembro de 2013 Charette R (2011b) A
violação da autoridade de certificação da DigiNotar prejudica o governo eletrônico na Holanda. Espectro IEEE. http://
spectrum.ieee.org/riskfactor/telecom/security/diginotar-certified-authority-breach-crashes-egovernment-in-the-
netherlands . Acessado em 17 de novembro de 2013. Servidores baseados na China no Japão, ataques cibernéticos
(28 de outubro de 2011) The Indian Express. http://www. indianexpress.com/news/chinabased-servers-in-japan-cyber-
attacks/866665/. Acessado em 17 de novembro de 2013
Choe SH, Markoff J (2009) Os ataques cibernéticos bloqueiam sites governamentais e comerciais nos EUA e na Coreia do Sul.
O jornal New York Times. http://www.nytimes.com/2009/07/09/technology/09cyber. html?_r=0. Acessado em 17 de
novembro de 2013
Clayton M (2013) Exclusivo: ataque cibernético deixa gasodutos de gás natural vulneráveis à sabotagem. O Monitor da Ciência
Cristã. http://www.csmonitor.com/Environment/2013/0227/Exclusive- Cyberattack-leaves-natural-gas-pipelines-vulnerable-
to-sabotage. Acessado em 17 de novembro de 2013 Relatório de espionagem: visita de Merkel à China marcada
por alegações de hacking (2007) Spiegel. http://www. spiegel.de/international/world/espionage-report-merkel-s-china-visit-marred-
by-hacking-alegações-a-502169.html . Acessado em 17 de novembro de 2013
Finkle J (2011) 'Ator estatal' por trás de uma série de ataques cibernéticos. Reuters. http://www.reuters.com/article/ 2011/08/03/
us-cyberattacks-idUSTRE7720HU20110803. Acessado em 17 de novembro de 2013 Fisher M (2013)
Coreia do Sul sob ataque cibernético: a Coreia do Norte é secretamente incrível em hacking? OWashington Post. http://
www.washingtonpost.com/blogs/worldviews/wp/2013/03/20/south-korea-under-cyber-attack-is-north-korea-secretly-
awesome-at-hacking/ . Acessado em 17 de novembro de 2013 Fisher M, Keller J (2011) Contra-revolucionários digitais da
Síria. O Atlantico. http://www. theatlantic.com/international/archive/2011/08/syrias-digital-counter-revolutionaries/244382/.
Quatro anos de ataques cibernéticos DarkSeoul contra a Coreia do Sul continuam no aniversário da guerra da Coréia (2013)
Symantec. http://www.symantec.com/connect/blogs/four-years-darkseoul-cyberattacks- against-south-korea-continue-
anniversary-korean-war. Acessado em 17 de novembro de 2013 Gallagher S (2013) EUA e Rússia
instalarão uma 'linha direta cibernética' para evitar guerras cibernéticas acidentais. Ars Técnica. http://arstechnica.com/
information-technology/2013/06/us-russia-to-install-cyber-hotline-to-prevent-accidental-cyberwar/ . Acessado em 17 de
novembro de 2013
Geers K (2008) Ciberespaço e a natureza mutável da guerra. Revista SC. http://www. scmagazine.com/cyberspace-and-
the-change-nature-of-warfare/article/115929/. Acessado em 17 de novembro de 2013
Geers K, Kindlund D, Moran N, Rachwald R (2013) Guerra Mundial C: compreendendo os motivos do Estado-nação por trás
dos ataques cibernéticos avançados de hoje. Laboratórios FireEye. http://www.fireeye.com/resources/pdfs/fireeye-wwc-
report.pdf . Acessado em 17 de novembro de 2013
Gerth J, Risen J (1999) Relatório de 1998 falou sobre violações de laboratório e ameaça da China. O jornal New York Times.
http://www.nytimes.com/1999/05/02/world/1998-report-told-of-lab-breaches-and-china-threat. html?pagewanted=all&src=pm.
Gertz B (2013) Droga! banco de dados sensível do exército sobre barragens dos EUA comprometido; Suspeita de hackers
chineses. O Washington Times. http://www.washingtontimes.com/news/2013/may/1/sensitive-army-database-us-dams-
compromised-chines/?page=all . Acessado em 17 de novembro de 2013 Aviso global: Novos vazamentos do
Climategate (2011) RT. http://rt.com/news/global-warming-climate-controverse-009/ . Acessado em 17 de novembro de 2013
Gobry PE (2011) A Coreia do Sul substituirá todo o
papel por tablets nas escolas até 2015. Negócios http://www.businessinsider.com/south-korea-tablets-in-schools-by-2015-2011-7 .
Interno.
Goodin D (2012) A descoberta da criptografia mostra que a chama foi projetada por cientistas de classe mundial. Ars
Técnica. http://arstechnica.com/security/2012/06/flame-crypto-breakthrough/. Acessado em 17 de novembro de 2013
www.it-ebooks.info
Gorman S (2011) Hackers chineses atacaram a câmara dos EUA. Jornal de Wall Street. http://online.wsj.com/news/articles/
SB10001424052970204058404577110541568535300 . Acessado em 17 de novembro de 2013
Gorman S, Yadron D (2013). O Irã hackeia empresas de energia, dizem os EUA. Jornal de Wall Street. http://on-line. wsj.com/
news/articles/SB10001424127887323336104578501601108021968. Acessado em 17 de novembro de 2013
Gorman S, Cole A, Dreazen Y (2009a) Espiões de computador violam projeto de caça a jato. Jornal de Wall Street. http://
online.wsj.com/news/articles/SB124027491029837401. Acessado em 17 de novembro de 2013 Gorman S, Dreazen Y,
Cole A (2009b) Insurgentes hackeiam drones dos EUA. Jornal de Wall Street. http://online.wsj.com/news/articles/
SB126102247889095011 . Acessado em 17 de novembro de 2013 Gorshenin V (2013) Rússia para criar
unidades de guerra cibernética. Verdade. http://english.pravda.ru/russia/politics/29-08-2013/125531-cyber_warfare-0/ . Acessado
em 17 de novembro de 2013 Gross MJ (2011) Entre no dragão cibernético. Feira da
Vaidade. http://www.vanityfair.com/culture/features/2011/09/chinese-hacking-201109 . Acessado em 17 de novembro de 2013
Hackers se infiltram nos computadores da polícia alemã e dos serviços
alfandegários (2011) Revista Infosecurity. http://www.infosecurity-magazine.com/view/19494/hackers-infiltrate-german-police-
and-customs-service-computers/ . Acessado em 17 de novembro de 2013
Hille K (2013) A China reivindica “montanhas de dados” sobre ataques cibernéticos dos EUA. Tempos Financeiros. http://
www.ft.com/intl/cms/s/0/921f47cc-cdce-11e2-a13e-00144feab7de.html#axzz2kwXMwlAz .
Hopkins N (2012) Hackers violaram sistemas ultrassecretos do Ministério da Defesa, admite o chefe de segurança cibernética.
O guardião. http://www.theguardian.com/technology/2012/may/03/hackers-breched-secret-mod-systems . Acessado em 17
de novembro de 2013
Índia e Paquistão na guerra cibernética (2010) Al-Jazeera. http://www.aljazeera.com/news/asia/2010/12/
20101241373583977.html. Acessado em 17 de novembro de 2013
Ingersoll G (2013) A Rússia recorre a máquinas de escrever para se proteger contra a espionagem cibernética. Insider de
negócios. http://www.businessinsider.com/russia-turns-to-typewriters-for-secrets-2013-7. Acessado em 17 de novembro de
2013
Kastrenakes J (2013) Exército Eletrônico Sírio alega roubar 'milhões' de números de telefone do aplicativo de bate-papo Tango.
A beira. http://www.theverge.com/2013/7/22/4545838/sea-giving-hacked-tango-database-government . Acessado em 17
de novembro de 2013
Khare A (2013) Exército Eletrônico Sírio hackeia banco de dados truecaller e obtém códigos de acesso a contas de mídia social.
iDigital Times. http://www.idigitaltimes.co.uk/articles/492337/20130719/syrian-electronic-army-hacks-truecaller-database-
gains.htm . Acedido em 17 de novembro de 2013 Krukowska E, Carr M (2011) O comércio de carbono na UE
diminui após alegados ataques de hackers suspenderem o mercado à vista. Bloomberg. http://www.bloomberg.com/news/
2011-01-20/carbon-trading-declines-as- eu-regulator-halts-spot-market-on-hacking-probe.html. Acessado em 17 de
novembro de 2013 Leppard D (2010) China incomoda e rouba a Grã-Bretanha. O Sunday Times. http://
www. thesundaytimes.co.uk/sto/news/uk_news/article196465.ece. Acessado em 17 de novembro de 2013 Lynn WJ (2010)
Defendendo um novo domínio: a estratégia cibernética do Pentágono. Foreign Aff 89(5):97–108. http://
www.foreignaffairs.com/articles/66552/william-j-lynn-iii/defending-a-new-domain.
Manzoor S (2013) Escravos do algoritmo: os gênios da matemática do mercado de ações, ou quants, são uma força para o
bem? Cidadão de Ottawa. http://www.ottawacitizen.com/business/Slaves+algorithm+stock
+market+math+geniuses+quants+force+good/8707964/story.html. Acessado em 17 de novembro de 2013 Marquis-
Boire M (2012) O software anticensura iraniano 'Simurgh' circulou com backdoor malicioso. Laboratório Cidadão. https://
citizenlab.org/2012/05/iranian-anti-censorship-software-simurgh-circulated-with-malicious-backdoor-2/ . Acessado em 17
de novembro de 2013
McCurry J (2011) O Japão está ansioso com os dados de defesa enquanto a China nega ter hackeado o fabricante de armas.
O guardião. http://www.theguardian.com/world/2011/sep/20/china-denies-hacking-attack-japan.
McDonald M (2011) A Internet doméstica pode ficar ainda mais rápida na Coreia do Sul. O jornal New York Times. http://
www.nytimes.com/2011/02/22/technology/22iht-broadband22.html. Acessado em 17 de novembro de 2013
www.it-ebooks.info
86 K. Geers
Mick J (2011) Hackers chineses conseguem roubar informações pessoais de 35 milhões de sul-coreanos. Tecnologia Diária.
http://www.dailytech.com/Chinese+Hackers+Score+Heist+of+35+Million+South+Koreans
+Pessoal+Informações/artigo22284.htm. Acessado em 17 de novembro de 2013
Nakashima E, Mufson S (2008) Hackers atacaram empresas de serviços públicos estrangeiras, diz analista da CIA.
Washington Post. http://www.washingtonpost.com/wp-dyn/content/article/2008/01/18/
AR2008011803277.html. Acessado em 17 de novembro de 2013
Ressaca de operação: perguntas e respostas sobre ataques (2013) Symantec. http://www.symantec.com/connect/blogs/

operação-ressaca-qa-ataques. Acessado em 17 de novembro de 2013
Visão geral da CCU dos EUA sobre a campanha cibernética contra a Geórgia em agosto de 2008 (2009) Um relatório especial da
CCU dos EUA, Unidade de Consequências Cibernéticas dos EUA. http://www.registan.net/wp-content/
uploads/2009/08/US-CCU-Georgia-Cyber-Campaign-Overview.pdf. Acessado em 17 de novembro de 2013
Perlroth N (2012) No ataque cibernético à empresa saudita, os EUA vêem o Irão revidar. O jornal New York Times.
http://www.nytimes.com/2012/10/24/business/global/cyberattack-on-saudi-oil-firm-disquiets-us.html . Acessado em
17 de novembro de 2013
Perlroth N (2013a) Washington post junta-se à lista de meios de comunicação hackeados pelos chineses. O novo
York Times. http://www.nytimes.com/2013/02/02/technology/washington-posts-joins-list-of-media-hacked-by-the-chinese.html .
Perlroth N (2013b) Wall Street Journal anuncia que também foi hackeado pelos chineses. O novo
York Times. http://www.nytimes.com/2013/02/01/technology/wall-street-journal-reports-ataque-by-china-hackers.html .
Pfeffer A (2009) Israel sofreu um ataque cibernético massivo durante a ofensiva em Gaza. Haaretz. http://www.
haaretz.com/news/israel-suffered-massive-cyber-attack-during-gaza-offensive-1.278094.
Pidathala V, Kindlund D, Haq T (2013) “Operação Beebus”, relatório avançado de ameaças da FireEye — 2H
2012. Laboratórios FireEye. http://www2.fireeye.com/rs/fireye/images/fireeye-advanced-threat-report-2h2012.pdf . Acessado
Pubby M (2012) Hackers chineses entram em bug na planta de computadores da Marinha para extrair dados confidenciais. O
Expresso Indiano. http://www.indianexpress.com/news/china-hackers-enter-navy-computers-plant-bug-to-extract-sensitive-
data/968897/ . Acessado em 17 de novembro de 2013
Rapoza K (2013) Os EUA invadiram universidades e telefones celulares na China, disse Snowden à China Press.
Forbes. http://www.forbes.com/sites/kenrapoza/2013/06/22/us-hacked-china-universities-mobile-phones-snowden-
tells-china-press/ . Acessado em 17 de novembro de 2013
Relatório: Planos para o QG de espionagem da Austrália hackeado pela China (2013) USA Today. http://www.usatoday.
com/story/news/world/2013/05/28/china-hackers-australia-spy-agency-headquarters/2364863/.
Riley M, Lawrence D (2012) Hackers ligados ao Exército da China vistos da UE até DC Bloomberg.
http://www.bloomberg.com/news/2012-07-26/china-hackers-hit-eu-point-man-and-dc-with-byzantine-candor.html . Acessado
Rochford O (2013) Espaço europeu, empresas industriais violadas em ataques cibernéticos: relatório. Segurança
Semana. http://www.securityweek.com/european-space-industrial-firms-breched-cyber-attacks-relatório . Acessado em 17 de
novembro de 2013
Sanger D (2012) Confrontar e ocultar: as guerras secretas de Obama e o uso surpreendente da tecnologia americana
poder. Broadway Books, Nova York, pp 188–225
Sanger D, Markoff J (2011) O FMI relata que o ataque cibernético levou a uma “violação muito grave”. Nova Iorque
Tempos. http://www.nytimes.com/2011/06/12/world/12imf.html. Acessado em 17 de novembro de 2013
Sanger D, Barboza D, Perlroth N (2013) Unidade do exército chinês é vista como ligada a hackers contra os EUA
O jornal New York Times. http://www.nytimes.com/2013/02/19/technology/chinas-army-is-seen-as-tied-to-hacking-against-us .
Schneier B (1998) Clique aqui para derrubar a internet. Schneier sobre segurança. https://www.
schneier.com/essay-003.html. Acessado em 17 de novembro de 2013
Ataque cibernético 'grave' a órgãos da UE antes da cimeira (2011) BBC. http://www.bbc.co.uk/news/
mundo-europa-12840941. Acessado em 17 de novembro de 2013
www.it-ebooks.info
Shanker T, Sanger D (2013) Os EUA ajudam aliados que tentam combater hackers iranianos. New York Times. http://
www.nytimes.com/2013/06/09/world/middleeast/us-helps-allies-trying-to-battle-iranian-hackers.html . Acessado em
17 de novembro de 2013
Incidentes cibernéticos significativos desde 2006 (2013) Centro de estudos estratégicos e internacionais. http://
csis.org/publication/cyber-events-2006. Acessado em 17 de novembro de 2013
Simonite T (2012) Espião cibernético desajeitado persegue o Irã. Revisão de tecnologia do MIT. http://www. technologyreview.com/
news/429046/bungling-cyber-spy-stalks-iran/. Acessado em 17 de novembro de 2013 Smith T (2001) Hacker preso por
vingança contra ataques de esgoto. O registro. http://www.theregister.co.
reino unido/2001/10/31/hacker_jailed_for_revenge_sewage/. Acessado em 17 de novembro de 2013
Stewart W, Delgado M (2009) Os serviços de segurança russos estavam por trás do vazamento de e-mails do 'Climategate'?
Correio diário. http://www.dailymail.co.uk/news/article-1233562/Emails-rocked-climate-change-campaign-leaked-
Siberian-closed-city-university-built-KGB.html . Acessado em 17 de novembro de 2013
Exército Eletrônico Sírio (2013) Wikipedia. http://en.wikipedia.org/wiki/Syrian_Electronic_Army.

Rastreando GhostNet: Investigando uma rede de espionagem cibernética (2009) Monitor de guerra de informação.
http://www.nartv.org/mirror/ghostnet.pdf. Acessado em 17 de novembro de 2013
Tsukayama H (2013) Ataques como o contra o New York Times deveriam colocar os consumidores em alerta. OWashington
Post. http://articles.washingtonpost.com/2013-08-28/business/41530263_1_hackers-security-researchers-fireeye . Acessado
Ungerleider N (2010) Estrutura de poder da Coreia do Sul hackeada, trilha digital leva à China. Empresa rápida. http://
www.fastcompany.com/1696014/south-koreas-power-structure-hacked-digital-trail-leads-china . Acessado em 17 de
novembro de 2013
Atualização de Vijayan J (2010): relatório soa alarme sobre o redirecionamento do tráfego de Internet dos EUA pela China.
Mundo de computador. http://www.computerworld.com/s/article/9197019/
Update_Report_sounds_alarm_on_China_s_rerouting_of_U.S._Internet_traffic . Acessado em 17
de novembro de 2013 Wai-yin Kwok V (2010) Baidu sequestrado pelo exército cibernético. Forbes. http://www.forbes.com/
2010/01/13/baidu-cyber-attack-markets-technology-china.html . Acessado em 17 de novembro
de 2013 Walker D (2013) Hacktivistas planejam retomar a campanha DDoS contra bancos dos EUA. Revista SC. http://
www.scmagazine.com/hacktivists-plan-to-resume-ddos-campaign-against-us-banks/article/283474/ . Acessado
Warren P (2006) Esmague e agarre, do jeito hi-tech. O guardião. http://www.theguardian.com/
política/2006/jan/19/tecnologia.segurança. Acessado em 17 de novembro de 2013
Willsher K (2009) Aviões de combate franceses aterrados por vírus de computador. O telégrafo. http://www. telegraph.co.uk/news/
worldnews/europe/france/4547649/French-fighter-planes-grounded-by-computer-virus.html . Acessado em 17 de novembro
de 2013 Yagna Y (2013) Ex-general nega declarações
sobre ataques cibernéticos na Síria. Haaretz. http://www. haaretz.com/news/diplomacy-defense/ex-general-denies-statements-
regarding-syrian-cyberattack.premium-1.525941. Acessado em 17 de novembro de 2013
Zetter K (2012) Mahdi, o Messias, encontrou sistemas infectantes no Irã, Israel. COM FIO. http://www.
wired.com/threatlevel/2012/07/mahdi/. Acessado em 17 de novembro de 2013
www.it-ebooks.info
Guerra Cibernética
Chuva Ottis
Resumo Este capítulo explora o conceito de guerra cibernética sob dois ângulos diferentes.
Primeiro, da perspectiva do direito internacional público sobre conflitos armados (doravante
denominado direito internacional). É importante compreender isto, uma vez que aborda o papel
da guerra cibernética no contexto do uso da força (armada) em conflitos internacionais. Em
segundo lugar, o capítulo explora a guerra cibernética como uma capacidade militar em
desenvolvimento, que está a encontrar o seu lugar entre outras capacidades (muitas vezes mais
maduras), como a guerra electrónica ou a defesa antimísseis. Em vez de cobrir a amplitude de
cada tópico, o capítulo identifica os pontos-chave que ajudam a compreender a natureza da
guerra cibernética.
1. Introdução
A guerra cibernética e as operações cibernéticas (militares) tornaram-se termos populares nos

últimos anos. No entanto, em muitos casos, os termos são usados com pouca compreensão do
conceito subjacente. Por exemplo, referir-se aos acontecimentos na Estónia em Abril e Maio de
2007 como guerra cibernética, ou mesmo “Primeira Guerra na Web” (Davis 2007) , cria
compreensivelmente confusão sobre a existência e a natureza da guerra cibernética.
Este capítulo tenta esclarecer essas questões.
O capítulo baseia-se no ponto de vista de que a guerra cibernética é principalmente um
empreendimento militar. Além das operações cibernéticas militares, o conceito abrange
operações cibernéticas ofensivas (discretas) realizadas por agências de inteligência, mas exclui
a espionagem. O termo guerra cibernética é usado para se referir à disciplina como um todo
(incluindo doutrina, táticas, tecnologias, etc.), enquanto o termo operação cibernética é usado
para se referir a um ato específico que utiliza os métodos e/ou meios da guerra cibernética.
R. Ottis (&)
Universidade de Tecnologia de Tallinn, Tallinn, Estônia e-mail:
[email protected]
Universidade R. Ottis Jyväskylä, Jyväskylä, Finlândia

10.1007/978-3-319-18302- 2_6
www.it-ebooks.info
90 R. Ottis
Embora a guerra cibernética tenha um lado defensivo e um lado ofensivo, apenas este último é
discutido, uma vez que há muito menos problemas conceituais e legais com a defesa, e as ações e
tecnologias defensivas são bem conhecidas e não exclusivas das entidades militares. Observe que, por
uma questão de clareza, conceitos como defesa ativa ou defesa proativa são considerados de natureza
ofensiva. Isto não significa que todas as formas de operações cibernéticas ofensivas devam ser
consideradas ameaçadoras. Por exemplo, Red Teaming ou sondagem de vulnerabilidades nos próprios
sistemas é uma técnica comumente aceita e relativamente incontroversa, onde ferramentas e métodos
ofensivos são usados.
O capítulo não abrange a espionagem cibernética, o crime cibernético ou o hacktivismo, embora os

conflitos (cibernéticos) modernos incluam frequentemente, se sobreponham ou tenham ligações diretas
entre alguns ou todos esses elementos e as operações militares. Consideremos, por exemplo, o papel
dos chamados “hackers patrióticos” na guerra entre a Rússia e a Geórgia em 2008 (Carr 2009).
A discussão sobre a capacidade da guerra cibernética não se limita a uma visão estritamente binária
da guerra e da paz, mas existe em todo o espectro da violência (e da lei correspondente). Para ilustrar
a imprecisão deste espectro, consideremos o caso do Stuxnet, onde uma (suposta) operação cibernética
dos EUA foi usada para sabotar uma instalação de enriquecimento de urânio iraniana, apesar de esses
estados não estarem envolvidos num conflito armado na altura. Outro exemplo do mesmo conflito é o
de 2011, quando o Irão conseguiu manipular remotamente um drone militar dos EUA para aterrar no
Irão para que pudesse ser capturado. Embora os detalhes exactos de como isto foi conseguido não
estejam disponíveis publicamente, especula-se que esteve envolvida alguma forma de capacidade de
guerra cibernética. Embora os EUA estejam preocupados há anos com potenciais ataques contra a sua
infra-estrutura, documentos recentemente expostos indicam que os EUA já lançaram numerosas
operações cibernéticas contra outros estados. Portanto, a capacidade de guerra cibernética evoluiu
claramente de uma possibilidade teórica para a realidade (independentemente de como os exemplos
acima são categorizados em termos jurídicos) (ver, por exemplo, Falliere et al. 2011; Gellman e
Nakashima 2013; Peterson 2011; Rawnsley 2011) .
O capítulo está dividido em quatro partes. Após a introdução, a segunda parte analisa a guerra
cibernética na perspectiva do direito internacional. Ele apresenta alguns termos-chave da arte e ilustra
o significado deles respondendo a duas perguntas.
Esta parte está necessariamente focada na extremidade mais violenta do espectro. A terceira parte
analisa a guerra cibernética como uma capacidade militar (emergente) que ainda está em desenvolvimento.
O capítulo termina com algumas observações finais.
2 Guerra Cibernética na Perspectiva Internacional

Lei
Ao considerar a guerra cibernética na perspectiva do direito internacional, é importante esclarecer

alguns termos jurídicos da arte, nomeadamente, conflito armado, ataque armado e ameaça ou uso da
força. Em vez de guerra ou guerra, o direito internacional geralmente utiliza o termo conflito armado (há
exceções, como o termo prisioneiro de guerra). Daí a expressão Lei do Conflito Armado (LOAC), que se
refere ao órgão
www.it-ebooks.info
Guerra Cibernética 91
do direito internacional que aborda os aspectos jurídicos da condução das hostilidades nas relações
internacionais.
Deve-se notar que o direito internacional como tal não pode e não impede conflitos armados. A
decisão de facto de se envolver num conflito armado cabe aos Estados e está muitas vezes mais
preocupada com a realidade política e militar do que com os quadros jurídicos, especialmente se estes
últimos tiverem alguma margem de interpretação. É provável que uma análise flexível semelhante seja
observada em conflitos futuros que envolvam operações cibernéticas.
Do ponto de vista da guerra cibernética, um dos principais instrumentos do direito internacional é a

Carta das Nações Unidas que, entre outras coisas, estabelece o padrão para o uso (ou restrição da
mesma) da força entre Estados. Embora a “ameaça ou uso da força” seja geralmente proibido [artigo
2.º, n.º 4], a Carta oferece algumas excepções. Especificamente, o Artigo 42.º permite à ONU sancionar
operações para “manter ou restaurar a paz e a segurança internacionais” e o Artigo 51.º abre a
excepção para os Estados que se envolvam em autodefesa (coletiva) em resposta a um “ataque
armado” (Nações Unidas 1945). .
A Carta das Nações Unidas (Nações Unidas 1945) não fornece uma definição clara para o uso da
força ou ataque armado. Embora outras fontes do direito internacional (tais como tratados e práticas
estatais) forneçam alguma orientação, ainda há terreno substancial para interpretação, especialmente
para tópicos emergentes como guerra cibernética ou operações. Por um lado, isto é um problema,
porque os estados podem (e muitas vezes o fazem) interpretar estes limiares de forma diferente. Por
outro lado, isso proporciona longevidade à lei. Consideremos, por exemplo, se a Carta (ou algum outro
documento) listasse especificamente os tipos de coisas que seriam qualificadas como um ataque
armado. Esse documento teria de ser atualizado sempre que fosse desenvolvida uma nova tecnologia
ou tática com influência suficiente, como operações cibernéticas ou nanotecnologia. Este mecanismo
de atualização provavelmente seria muito lento para ter importância em conflitos reais.
Quando novas tecnologias e tácticas estiverem disponíveis, terão de ser analisadas do ponto de
vista do direito internacional. Especificamente, se são abrangidos por esta lei e, em caso afirmativo,
como é que o direito internacional se aplica nesse caso. Em termos de guerra cibernética, armas
cibernéticas, operações cibernéticas, etc., este debate ainda está em curso, mas já há muita investigação
e políticas disponíveis. Alguns estados desenvolveram manuais e políticas internas sobre o assunto e
muitos estudiosos abordaram vários aspectos do assunto ao longo dos anos (por exemplo, Schmitt
1999, 2002; Ziolkowski 2012).
Talvez um dos tratamentos internacionais mais abrangentes sobre o assunto seja o Manual de Tallinn
sobre o Direito Internacional Aplicável à Guerra Cibernética (Schmitt 2013), que explora questões
relevantes sobre soberania, responsabilidade do Estado, uso da força, condução de hostilidades, etc.
O Manual de Tallinn, como tal, não é vinculativo para os Estados, mas fornece uma análise aprofundada
da legislação e das práticas estatais existentes (em termos de guerra cibernética) no momento da
redação.
Exploremos duas questões para ilustrar por que o direito internacional é importante no contexto da
guerra cibernética. Em primeiro lugar, será que uma operação cibernética ofensiva ou uma série de
operações desse tipo, por si só, pode atingir o limiar do ataque armado? Se a resposta for não, então
há pouco que impeça os estados de utilizarem operações cibernéticas ofensivas uns contra os outros.
Contudo, se a resposta for sim, então o nível de risco muda significativamente para o
www.it-ebooks.info
92 R. Ottis
lado atacante, porque o alvo pode legalmente usar a força em resposta (autodefesa nos termos do Artigo
51 da Carta das Nações Unidas), se a operação em questão atingir o limiar de ataque armado. É
importante perceber que não há exigência de simetria na legítima defesa. Se um lado conduz uma
operação cibernética que chega ao nível de ataque armado, então o outro lado pode contra-atacar com
mísseis de cruzeiro, ação naval, operação cibernética, etc. , mas estes não limitam necessariamente o
tipo de força utilizada. Embora o limiar de “escala e efeitos” permaneça em debate, parece claro que a
comunidade do direito internacional está geralmente de acordo que uma operação cibernética pode
atingir o estatuto de ataque armado (Schmitt 2013).
A segunda questão interessante, ainda que teórica, é se a guerra cibernética pode existir por
si só. Ou seja, pode haver uma guerra propriamente dita que só ocorra no ou através do
ciberespaço, sem movimentos de tropas, armas convencionais, etc.? Dado que parece possível
que uma operação cibernética possa atingir o nível de ataque armado (desencadeando um
conflito armado) e que as seguintes ações por parte de atores oponentes também possam ser
limitadas a operações cibernéticas, então a resposta é sim. No entanto, este tipo de cenário não
parece provável, uma vez que restringiria desnecessariamente o campo de jogo dos intervenientes
adversários, que provavelmente também terão outras opções ao seu dispor.
Embora o limiar de ataque armado seja elevado, isso não significa que operações cibernéticas
menores não importem. Uma vez iniciado um conflito armado (independentemente do tipo ou da
legalidade do evento que o iniciou), as operações cibernéticas estarão sujeitas à LOAC.
Terão de seguir os princípios da distinção (visando apenas objectivos militares), da
proporcionalidade, etc., tal como todas as outras operações militares (Schmitt 2013).
3 A Guerra Cibernética como Capacidade Militar
O campo das operações cibernéticas militares ou da guerra cibernética ainda está em rápido
desenvolvimento e, portanto, ainda não se estabeleceu no quadro de disciplinas e tecnologias de
combate mais maduras, como o combate aéreo ou os mísseis superfície-superfície. Este processo
de experimentação e acumulação de experiência prática ocorre naturalmente sempre que um
novo desenvolvimento tecnológico ou tático chega ao campo de batalha. A visão geral das
primeiras décadas de combate aéreo (com aeronaves mais pesadas que o ar) na primeira metade
do século XX feita por Rattray (2001) fornece muitos paralelos com os argumentos que temos
visto nos últimos anos sobre a natureza da guerra cibernética. . Por exemplo, a discussão sobre
a necessidade de um novo tipo de soldado ou de um novo modelo de carreira para os
“combatentes” que não têm contacto direto com o inimigo (um argumento semelhante está
atualmente em curso com os pilotos militares de drones) (Ver, por exemplo, Rattray 2001 ;
Talvez a melhor analogia dentro das capacidades militares mais maduras e amplamente
aceites seja a guerra electrónica. Tal como acontece com a guerra cibernética, os efeitos directos
da guerra electrónica visam a tecnologia e são difíceis de detectar com os sentidos humanos.
Ambos são de natureza muito técnica. Ambos são considerados parte das Operações de
Informação pelo JP 3-13, embora o JP 3-13 use o termo operações no ciberespaço
www.it-ebooks.info
(a versão de 2006 do JP 3-13 usava o termo operações de rede de computadores (CNO),

que foi posteriormente categorizado em defesa de rede de computadores (CND), ataque de
rede de computadores (CNA) e exploração de rede de computadores (CNE)) (Joint Chiefs of
Staff 2006, 2012). A principal diferença parece ser o tempo que tiveram para amadurecer,
uma vez que a guerra electrónica já existe há muito mais tempo.
A capacidade da guerra cibernética pode ser vista a partir de dois contextos muito
diferentes. Primeiro, a guerra cibernética pode ser vista como parte de operações de
informação, onde a ênfase está na informação. Isto é, gerir ou manipular o conteúdo e a
disponibilidade da informação para afectar os grupos de interesse relevantes (amigáveis, neutros ou hostis).
Esta é uma abordagem suave, onde o ciberespaço é uma das formas de afetar o processo
de decisão (capacidade) do adversário (Joint Chiefs of Staff 2012). Possíveis exemplos
incluem desfiguração (substituição do conteúdo do sistema alvo), utilização de infraestrutura
de comunicações adversária para disseminar informações (como o envio de mensagens de
texto contendo propaganda ou avisos de um ataque iminente), degradação ou desativação
dos sistemas de comunicação para os fins de bloqueio de informações, etc.
Em segundo lugar, a guerra cibernética pode ser vista no contexto das capacidades
militares habilitadas (e dependentes) da tecnologia da informação. Nas últimas décadas, a
guerra através de tecnologia superior e capacidade de rede (conforme ilustrado pela
Operação Tempestade no Deserto em 1991) tem sido discutida sob diferentes nomes, tais
como guerra centrada em rede, capacidade habilitada em rede ou revolução em assuntos
militares. Esta segunda abordagem à guerra cibernética tem como alvo a tecnologia,
especificamente a tecnologia da informação que aumenta a eficácia das armas e tácticas
“convencionais”. O papel das operações cibernéticas ofensivas é manipular (destruir,
degradar, negar, etc.) os sistemas inimigos para que a sua capacidade de combate seja
(significativamente) reduzida, se não completamente neutralizada. Por exemplo, corromper
bancos de dados logísticos, desativar terminais GPS, degradar a qualidade da alimentação dos sensores, et
Um argumento comum contra (a utilidade da) guerra cibernética é que é difícil produzir
um efeito duradouro, ao contrário da maioria das capacidades convencionais, onde
ferimentos, morte e destruição são bastante fáceis de conseguir. O alvo de uma operação
cibernética ofensiva pode ter que reiniciar o servidor, instalar um patch, reinstalar o sistema
operacional, etc., mas geralmente o sistema pode retornar ao status operacional, com tempo
suficiente. No caso de ataques distribuídos de negação de serviço, o alvo pode apenas ter
que esperar até que o ataque termine e o serviço seja restaurado. Portanto, deve ficar claro
que a maioria das operações cibernéticas terá, de facto, um efeito temporário no sistema
alvo. No entanto, é muito mais importante considerar os efeitos que as operações cibernéticas
têm nas operações maiores que apoiam.
Consideremos, por exemplo, o ataque aéreo israelita à alegada instalação nuclear na
Síria, em Setembro de 2007. As defesas aéreas sírias não funcionaram como pretendido e
os aviões israelitas conseguiram regressar em segurança depois de destruírem a instalação.
Embora os detalhes da operação não tenham sido publicados, tem havido muita especulação
sobre o uso de capacidades de guerra electrónica ou cibernética para neutralizar
temporariamente o sistema de defesa aérea sírio. Independentemente do método utilizado
para alcançar o resultado, este exemplo demonstra claramente o valor (potencial) dos efeitos
temporários (por operações cibernéticas), desde que estejam bem integrados com uma
operação maior (ver, por exemplo, Adee 2008; Fulghum 2007).
www.it-ebooks.info
94 R. Ottis
Outro equívoco comum sobre operações cibernéticas ofensivas (militares) é que elas estão a
apenas um toque de um botão, exigindo pouco ou nenhum planejamento prévio.
Embora existam exemplos como este, normalmente não são significativos no contexto de operações
militares. Por exemplo, é fácil montar uma botnet antes de um conflito e usá-la para lançar um ataque
distribuído de negação de serviço contra qualquer alvo que esteja conectado à mesma rede (em geral,
a Internet). Da mesma forma, é possível lançar ataques (relativamente) não direcionados com pouca
ou nenhuma preparação antecipada contra alvos de oportunidade, verificando e explorando
vulnerabilidades conhecidas.
No entanto, e os alvos de missão crítica que não estão conectados a redes externas (air gapped),
usam hardware ou software personalizado ou precisam ser afetados em um momento ou maneira
muito específica? E se o ataque precisar permanecer furtivo por meses ou anos após ser executado?
Consideremos, por exemplo, o caso do Stuxnet, onde um software foi utilizado para sabotar uma
central de enriquecimento de urânio no Irão. Uma operação cibernética deste tipo exigiria um longo
período de preparação, que inclui a coleta de informações sobre o sistema alvo (versões de hardware
e software, diagrama de rede, processo físico a ser afetado, sistemas de controle, medidas de
segurança, etc.), desenvolvimento e teste o software de ataque (que pode exigir hardware e software
personalizados ou simulados) e entregá-lo ao alvo (saltando o espaço aéreo). Portanto, tais ataques
só podem ser ordenados, se a preparação tiver sido feita previamente (como plano de contingência)
ou se houver tempo suficiente para completar a preparação para o ataque. Este foi provavelmente
o caso do Stuxnet, onde o período de preparação parece ter durado vários anos (ver, por exemplo,
Falliere et al. 2011, Sanger 2012).
Em termos práticos, isto significa que existem dois tipos de operações cibernéticas ofensivas –
contra alvos de oportunidade e contra alvos (anteriormente) especificados.
Indiscutivelmente, estes últimos são mais perigosos, mas raros. Tais operações podem ser
preparadas como contingências, se o adversário e os alvos prováveis forem determinados com anos
ou meses de antecedência. No entanto, esta preparação também aumenta o risco de deteção
(recolha de informações sobre um alvo específico, construção de locais de teste semelhantes, fugas
de informações, etc.) e pode agravar as tensões entre os dois intervenientes.
4. Conclusão
A capacidade militar da guerra cibernética está a passar por um período de rápido desenvolvimento
na compreensão da aplicabilidade e aplicação das normas estabelecidas, tanto em termos do direito
internacional como da tradição militar. Os Estados experimentam os limites da política, da lei e da
tecnologia, a fim de encontrar o equilíbrio certo, uma reminiscência da discussão sobre a guerra
aérea há um século atrás.
Infelizmente, o termo guerra cibernética é frequentemente utilizado de forma muito liberal,
abrangendo por vezes o hacktivismo, o crime cibernético ou mesmo a espionagem. Este capítulo
explorou a guerra cibernética do ponto de vista de que é um empreendimento principalmente militar.
www.it-ebooks.info
Especificamente, o capítulo explorou a guerra cibernética da perspectiva do direito

internacional e como uma capacidade militar em desenvolvimento.
É claro que as operações cibernéticas conduzidas no contexto de conflitos armados (internacionais) são abrangidas
pelo direito internacional. Talvez o mais importante seja que as operações cibernéticas ofensivas com escala e efeito
suficientes podem atingir o nível de ataque armado, o que permite ao Estado vítima usar a força em autodefesa. Contudo,
uma vez iniciado um conflito armado, todas as operações cibernéticas militares terão de seguir a LOAC.
Notavelmente, as operações cibernéticas devem cumprir os princípios da proporcionalidade,

distinção, etc.
Enquanto capacidade militar, a guerra cibernética ainda está a encontrar o seu lugar entre
outras disciplinas (muitas vezes mais maduras). Contudo, as questões doutrinárias sobre a
guerra cibernética não são novas – as mesmas questões foram colocadas sobre aviões e
radares, quando estas tecnologias entraram no campo de batalha. A guerra cibernética pode
ser vista a partir de duas posições principais. Num deles, o objetivo da guerra cibernética é
(ajudar) a manipular o conteúdo dos sistemas (informações, dados), a fim de afetar o
processo de tomada de decisão do público-alvo. No outro, o objectivo da guerra cibernética
é manipular sistemas a fim de enfraquecer ou neutralizar as capacidades técnicas (militares)
do adversário.
A guerra cibernética continuará a mudar com o desenvolvimento e a adoção de novas
tecnologias. Os avanços na inteligência artificial, na Internet das Coisas e na computação
quântica são apenas algumas fontes possíveis de inovação na guerra cibernética.
No entanto, continuará a estar sujeito ao direito internacional e terá provavelmente de passar
por um período turbulento de resolução, como foi o caso de outros desenvolvimentos militares
no passado.
Referências
Adee S (2008) A caça ao interruptor de interrupção. Espectro IEEE, maio. http://spectrum.ieee.org/semiconductors/design/the-hunt-for-

the-kill-switch/0 . Acessado em 02 de outubro de 2013 Carr J (2009) Por dentro da guerra cibernética:
mapeando o submundo cibernético. O'Reilly Media, Sebastopol Conti G, Surdu J (2009) Exército, marinha, força aérea e cibernética -
é hora de um ramo de guerra cibernética do
militares? Boletim IA 12(1):14–18
Davis J (2007) Hackers derrubam o país mais conectado da Europa. Revista Wired, 15.09. http://www.wired.com/politics/security/
magazine/15-09/ff_estonia. Acessado em 02 de outubro de 2013 Falliere N, Murchu LO, Chien E (2011) Dossiê W32.Stuxnet.
Symantec. http://www.symantec. com/content/en/us/enterprise/media/security_response/whitepapers/w32_stuxnet_dossier.pdf.
Acessado em 02 de outubro de 2013
Fulghum D (2007) Por que as defesas aéreas da Síria não conseguiram detectar israelenses. Semana da Aviação, 3 de outubro. http://
www.aviationweek.com. Acessado em 02 de outubro de 2013
Gellman B, Nakashima E (2013) As agências de espionagem dos EUA organizaram 231 operações cibernéticas ofensivas em 2011,
mostram documentos. Washington Post. http://www.washingtonpost.com/world/national-security/us-spy-agencies-mounted-231-
offensive-cyber-operations-in-2011-documents-show/ 2013/08/30/d090a6ae-119e- 11e3-b4cb-fd7ce041d814_story.html.
Acessado em 02 de outubro de 2013 Hoagland B (2013) Tripulando a próxima força aérea não tripulada: desenvolvendo
pilotos RPA do futuro.
Documento político, centro para segurança e inteligência do século 21 em Brookings
Estado-Maior Conjunto (2006) Operações de informação. Publicação Conjunta 3-13
www.it-ebooks.info
96 R. Ottis
Estado-Maior Conjunto (2012) Operações de informação. Publicação Conjunta 3-13

Peterson S (2011) Exclusivo: Irã sequestrou drone dos EUA, diz engenheiro iraniano (Vídeo), Christian Science
Monitor, 15 de dezembro. http://www.csmonitor.com/World/Middle-East/2011/1215 / Vídeo exclusivo-Irã-
sequestrado-de-drone-dos-EUA-diz-engenheiro-iraniano. Acessado em 02 de outubro de 2013 Rawnsley
A (2011) Suposto hackeamento de drones do Irã: difícil, mas possível. Com fio, 16 de dezembro. http://www.
wired.com/dangerroom/2011/12/iran-drone-hack-gps/. Acessado em 02 de outubro de 2013
Rattray G (2001) Guerra estratégica no ciberespaço. MIT Press, Cambridge Sanger D (2012)
A ordem de Obama acelerou a onda de ataques cibernéticos contra o Irã. NYTimes.com, 1º de junho. http://
www.nytimes.com/2012/06/01/world/middleeast/obama-ordered-wave-of-cyberattacks- against-iran.html?
_r=2&pagewanted=2&seid=auto&smid =tw-nytimespolitics&pagewanted= todos. Acessado em 02 de outubro de
2013
Schmitt M (1999) Ataque a redes de computadores e uso da força no direito internacional: reflexões sobre um
quadro normativo. Lei Columbia J Transnatl 37:885–937
Schmitt M (2002) Guerra com fio: ataque à rede de computadores e jus in bello. Int Rev Cruz Vermelha 84
(846):365–399
Schmitt M (ed) (2013) Manual de Tallinn sobre o direito internacional aplicável à guerra cibernética.
Cambridge University Press, Cambridge Nações
Unidas (1945) Carta das Nações Unidas Ziolkowski K (2012) Ius
ad bellum no ciberespaço – algumas reflexões sobre os “critérios Schmitt” para o uso da força. In: Czosseck C, Ottis
R, Ziolkowski K (eds) Anais da 4ª conferência internacional sobre conflito cibernético. Publicações CCD COE da
OTAN, Tallinn
www.it-ebooks.info
Decepção no mundo cibernético
William Hutchinson
Resumo Como qualquer outro meio de comunicação, o ciberespaço tem sido utilizado para o
engano desde a sua criação. Originalmente um meio que dava alcance global imediato a
mensagens enganosas, também fornecia um meio para contradizer qualquer mensagem
enganosa enviada. É claro que as mensagens não são necessariamente verdadeiras ou falsas,
mas transmitem uma opinião sobre a realidade que o destinatário aceita ou não. A principal
preocupação dos gestores destas informações tem sido que as mensagens não tenham sido
corrompidas por pessoas com intenções malévolas. Assim, no seu nível mais simples, a
integridade da mensagem (no sentido de segurança da informação) é o objetivo principal. No
caso de mensagens mais complexas, o uso de técnicas de propaganda que tentam influenciar
opiniões é preocupante. Um meio como a Internet pública, com o seu baixo custo de entrada e
acesso ubíquo, é ideal para isso e, devido ao seu formato multimédia e interactivo, proporciona
uma taxa de sucesso muito melhor do que os meios de comunicação “convencionais”. Nos
últimos anos, o ciberespaço entrou rapidamente numa nova fase, com a utilização quase
universal de dispositivos móveis online, dos quais muitos indivíduos e organizações estão a
tornar-se cada vez mais dependentes. Neste ambiente, dois outros desenvolvimentos têm
implicações significativas para a prática do engano, que altera o grau em que altera a relação
entre máquinas, engano e humanos. Esses novos fatores são: o desenvolvimento da
neurociência e das tecnologias associadas, e da robótica em rede. Estes são examinados neste
capítulo e as consequências do engano ao nível dos indivíduos e dos grandes grupos são
examinadas.
1 Introdução: definindo o cenário
O engano é uma parte intrínseca de toda a vida; ajuda na sobrevivência. Na sociedade, os

humanos praticam o engano de formas subtis e complexas e vivem numa bolha de informação
onde os dados que entram no seu sistema são imperfeitos. Assim, as decisões
W. Hutchinson (&)
Instituto de Pesquisa de Segurança, Universidade Edith Cowan, Joondalup, Austrália e-mail:
[email protected]
© Springer International Publishing Switzerland 2015 97

M. Lehto e P. Neittaanmäki (eds.), Cyber Security: Analytics,
www.it-ebooks.info
98 W.Hutchinson
feitos também são imperfeitos. Os seres humanos, como todos os seres vivos, têm sensores
limitados, bem como processadores que são programados para “esperar o esperado” e, portanto,
podem ser enganados e enganados por ilusões que sabem conscientemente serem incorretas,
mas não podem reverter essa ilusão. Animais e plantas usam o engano como parte de sua
sobrevivência (Forbes 2009). Mesmo em animais superiores, como os humanos, exemplos
como a ilusão da “máscara oca” (Hill e Johnston 2007) ilustram isto. Este fenômeno é ainda
mais surpreendente porque quem observa as imagens das máscaras sabe que é uma ilusão,
mas o cérebro não permite que a imagem “correta” seja observada.
Outra ocorrência surpreendente é a falta de ver algo à vista devido à desatenção e/ou distração
– o chamado fenômeno do “Gorila em Nosso Meio” (Simons e Chabris 1999) – uma entidade
física está obviamente lá quando a desatenção é removida. Isso ilustra que o engano pode
ocorrer tanto com fenômenos físicos quanto com fenômenos puramente conceituais. No mundo
cibernético, estas ainda podem ocorrer, mas outra dimensão foi acrescentada – um mundo
virtual criado artificialmente. É especialmente relevante para aqueles encarregados de observar
telas como aquelas usadas em sistemas de circuito fechado de televisão.
Este capítulo examinará o engano neste ambiente, bem como o desenvolvimento

mundo robótico em rede.
2 Por que engano?
Todos os nossos estímulos e dados de entrada são limitados por capacidade e oportunidade. Os dados
que recebemos são filtrados por nós mesmos, pela nossa sociedade e pelo nosso conhecimento
limitado. Para influenciar qualquer coisa, um influenciador precisa ter certeza de que a sociedade e os
indivíduos dentro dela compreenderam bem os limites da informação. Embora isto seja um anátema
para os libertários, realmente não pode ser de outra forma. Os humanos são limitados por si mesmos e
por seu ambiente social. Portanto, mesmo que se acredite que a informação dada seja a “verdade”, ela
só pode ser uma versão bem-intencionada dela. No entanto, se uma organização ou indivíduo quiser
“vender” uma ideia para seu próprio benefício, isso deve envolver algum tipo de engano. Cinicamente,
Maquiavel (1532/1983) notou isto quando exortou os “príncipes” a deixarem de lado o comportamento
moralista “normal”, mas ao mesmo tempo devem parecer misericordiosos e humanos. Este princípio
permeou muitos líderes contemporâneos.
O engano só faz sentido se existir uma verdade percebida – se esta ideia se tornar flexível,
como acontece frequentemente neste mundo relativista em rápida evolução, então não existe
engano: apenas se torna outra versão da realidade. A decepção no mundo moderno passou
apenas por não dizer a verdade, mas se desenvolveu em uma arte onde o ambiente de
informação é moldado para se adequar a uma percepção desejada.
A informação e a comunicação sempre foram fundamentais para a obtenção e manutenção
do poder. Influência e engano são fatores intrínsecos a esses processos. Existe uma ligação
entre poder e influência; ambos têm a capacidade de mudar o comportamento. A influência
pode ser política, autoritária, económica, financeira ou social.
No entanto, todos necessitam de relações entre os actores sociais para se desenvolverem com
a população afectada (Castells 2007).
www.it-ebooks.info
Decepção no mundo cibernético 99
A decepção tem um produto final desejado e os esforços podem ser concebidos para um
objectivo operacional limitado ou estratégico a longo prazo. A teoria da influência e também a
estratégia podem auxiliar na compreensão do engano. Na teoria da influência, Cragin e Gerwehr
(2005, pp. 14-21) desenvolveram um modelo com três fases necessárias para permitir a influência e
subsequentemente mudar o comportamento. Começando pela fase simples e de curto prazo de
“conformidade”; isto requer um esforço de curto prazo e utiliza táticas como coerção e aliciamento.
A segunda fase, “conformidade”, exige um esforço de médio prazo e utiliza tácticas como a
manipulação social e ambiental. Por último, vem a “conversão”, que exige um esforço a longo prazo
e tenta moldar a visão do mundo das pessoas e limita o âmbito da sua percepção.
Um modelo semelhante de três estágios em relação ao poder foi desenvolvido por Lukes (2005),
onde são introduzidos três níveis distintos de poder. A primeira visão é onde uma parte pode obrigar
outra parte a fazer algo que de outra forma não teria feito, por exemplo, quando um inimigo se rende.
A segunda visão do poder inclui a visão anterior, mas onde uma parte cria ou reforça valores e
práticas dentro de uma situação que limita o âmbito de opções para outra. Aqui o conflito pode ser
aberto ou encoberto. A terceira visão do poder acrescenta a ideia de moldar percepções e cognições
de modo que diversas opções nem sequer sejam pensadas; o conflito pode estar latente nessas
situações. É esta última situação que as operações de fraude tentam imitar.
Cada um destes modelos de influência e poder tem um continuum desde objectivos de curto prazo
até objectivos estratégicos de muito mais longo prazo. No que diz respeito ao alvo do engano, uma
população-alvo que seja “convertida” e um nível de poder que corresponda ao terceiro nível de poder
seria o objectivo final – se o esforço valesse a pena.
3 O mundo cibernético: outra dimensão
Este capítulo especula sobre as consequências do comportamento social e da implementação da

tecnologia digital dentro da bolha da informação ou talvez devesse ser chamada de “sudário da
informação”. É algo que as pessoas optimistas e orientadas para a tecnologia raramente parecem
fazer. A atitude é muitas vezes a seguinte: “Podemos construir estes dispositivos, cabe ao destino
ver para onde vão” – uma espécie de filosofia laissez faire para a tecnologia e as suas
consequências. No entanto, a tecnologia tem implicações para a sociedade e estas devem ser
examinadas criticamente.
O mundo cibernético pode ser visto sob duas perspectivas:
• O mundo cibernético faz parte do mundo normal com as suas limitações. Aqui se aplicam leis
normais e naturais, ou • O
mundo cibernético é uma entidade independente, com suas próprias regras e realidade.
É a mesma dicotomia retratada no filme de ficção Matrix (1999) ou no romance Neuromancer de

Gibson (1984) : “Matrix: uma alucinação consensual vivenciada diariamente por bilhões de usuários:
um mundo dentro de um mundo…” Na verdade, a dicotomia entre o mundo real e o mundo percebido
é o que o enganador precisa explorar; nunca existe um mundo completamente 'verdadeiro' como ele
é
www.it-ebooks.info
100 W.Hutchinson
construído dinamicamente dentro do cérebro e, no mundo contemporâneo, também por

máquinas inteligentes. Embora isto possa parecer fantasioso, a mudança de uma população
geral basicamente com fobia de computadores para uma população que compreendeu os
dispositivos móveis inteligentes e conectados em rede com uma velocidade e entusiasmo que é notável.
O número de aplicações cresceu exponencialmente e com isso a dependência destas máquinas para comunicação, vida
social e negócios. A aceitação e utilização de software associado, como o Facebook e o Twitter, permitiu uma verdadeira
matriz de pessoas e organizações. Com isto surgiu outra oportunidade – enganar audiências de massa ou alvos com igual
facilidade. As crenças e percepções das pessoas são governadas em grande parte pelos dados que podem receber –
quando estes dados são recebidos através de uma rede electrónica, podem ser manipulados. Contudo, isto é mais do que
a censura “normal” de limitar a informação; é mais dinâmico onde informações agradáveis e fáceis de entender podem ser
direcionadas a indivíduos ou grupos simplesmente escolhendo um subconjunto da população. O engano baseado nos
princípios padrão de “Ocultar o Real” (dissimulação) e/ou “Mostrar o Falso” (simulação) pode ser enviado por influenciadores
qualificados e experientes em multimídia. É claro que isto se aplica a outros com mensagens opostas e assim surge uma
competição para moldar a percepção da verdade pelas pessoas. Uma classificação mais completa e exemplos dos tipos
de táticas enganosas podem ser encontrados em Bell e Whaley (1991) e Bennett e Waltz (2007).
A decepção na Matrix (isto é, a combinação de redes) é relativamente fácil com as

competências cibernéticas multimédia, psicológicas e técnicas disponíveis. O desenvolvimento
conjunto de redes, de dispositivos informáticos atractivos e fáceis de utilizar, da inteligência
artificial, da robótica e da neurociência uniram-se para produzir uma matriz que é
fundamentalmente diferente da bastante “pitoresca” Internet de há alguns anos atrás. No
passado, o engano na Internet ou apenas no ciberespaço era muito parecido com o mundo
físico que o precedeu. Por exemplo, a propaganda poderia ser apresentada como era antes
nos jornais ou na televisão – este novo meio permitiu que práticas enganosas fossem
realizadas para públicos-alvo de uma forma convincente. Dado que o público podia agora
produzir o seu próprio contributo através de meios como as redes sociais, havia uma
percepção geral de que os utilizadores controlavam a agenda.
O mundo está a desenvolver-se de tal forma que todas as principais redes de informação,
armazenamento de dados e apresentação de informação serão digitais. Muitas organizações
não têm planos de contingência para enviar ou armazenar os seus dados que não sejam de
base digital. O lado positivo dos dados digitais é que eles são muito flexíveis e fáceis de
alterar; no entanto, esse atributo o torna vulnerável a alterações não autorizadas. A flexibilidade
dos dados digitais facilita a cópia ou alteração de arquivos, sejam imagens, vídeos, texto, som
ou instruções. A implicação disto é que a aceitação de qualquer arquivo digital deve ser
tomada com cuidado. O engano depende de percepções sutilmente alteradas e o ambiente
digital está cheio de oportunidades para o enganador.
www.it-ebooks.info
4 O Uso Estratégico do Engano no Novo Mundo
A utilização estratégica da informação e da tecnologia digital precisa de ser examinada, pois é apenas
a este nível que compreendemos as consequências tácticas no mundo como um todo. Como tal, não
há intenção de nos concentrarmos aqui na utilização das Redes Sociais, que na verdade são apenas
uma ferramenta muito parecida com qualquer outra ferramenta de comunicação de massa, mas sim o
ponto mais fundamental de como funciona a influência. Mas vejamos primeiro o que se passa neste
momento.
O engano deliberado ocorre em atividades como Influência e Operações Psicológicas, Assuntos
Públicos e Comunicações Estratégicas (por governos) e marketing e relações públicas (na indústria).
Cada uma delas tem um significado ligeiramente diferente, mas na verdade equivale à mesma coisa. :
fazer com que a população-alvo pense e se comporte de uma maneira específica. O objetivo final é que
essas técnicas mudem o comportamento e não apenas a opinião.
Até há cerca de uma década, a maioria das estratégias eram executadas através de meios cinéticos
ou dos meios de comunicação de massa, mas tendiam a ser controladas por um “poder” central. Foi um
processo “um para muitos”, onde a influência ou o engano foram vendidos a uma população e seguiram
um plano específico para produzir o efeito desejado. No entanto, recentemente estas tácticas não
funcionaram tão bem, uma vez que o mundo está agora verdadeiramente interligado electronicamente.
Contudo, as velhas técnicas ainda funcionam – os primeiros indícios ocorreram na Guerra do Iraque de
1991, quando as percepções ocidentais eram perfeitamente controladas pela máquina mediática aliada.
Apesar das redes de comunicação relativamente abertas e acessíveis, o público em geral recebeu uma
versão aceitável com pouca dissidência. Isto foi conseguido através de propaganda chauvinista e
incessante, bem como do acesso restrito a uma variedade de pontos de vista. Os principais meios de
comunicação social foram “tomados” de forma semelhante ao que aconteceu na invasão do Iraque em
2003 – foi “um engano à vista de todos”.
O mundo cibernético contemporâneo consiste em muitas pessoas e máquinas conectadas sem fio.
Se os dispositivos digitais móveis fossem vírus, pensaríamos que estávamos a viver uma pandemia.
Após cerca de 50 anos de resistência do público em geral, em geral, aos encantos dos computadores,
existe agora uma situação de epidemia de pessoas que estão agora “apaixonadas” pelas suas máquinas
pessoais e pelo software associado. Uma pessoa não pode entrar num comboio, num autocarro ou num
avião sem que a maioria das pessoas agarre amorosamente e quase desesperadamente o dispositivo
inteligente – “se eu te perdesse – a minha vida estaria acabada”. O desenvolvimento e a expansão das
tecnologias móveis tiveram um efeito profundo na comunicação de informação. Isto permitiu a
capacidade de influenciar indivíduos diretamente e grupos indiretamente (através de uma história
espalhada de forma viral de indivíduos-alvo para a sua rede de pares). A natureza do uso de dispositivos
móveis é que se pode presumir que uma meta pode ser alcançada 24 horas por dia. As características
desta tecnologia significam que os utilizadores podem ser direccionados para um utilizador individual ou
escolhidos pela sua posição geográfica; de facto, quando acoplados a bases de dados e motores de
pesquisa, quaisquer critérios armazenados nessas bases de dados podem ser utilizados se puderem
ser ligados a identificações do usuário. A nível de serviço, isto pode significar que todos os dispositivos
móveis numa área geográfica podem ser alertados sobre algum perigo iminente, como
www.it-ebooks.info
102 W.Hutchinson
um incêndio florestal ou, num nível mais tortuoso, um grupo com uma faixa etária pode ser alvo de
venda de um produto ou de uma ideia onde quer que esteja.
Os dispositivos móveis tornaram-se onipresentes na última década e são ideais para campanhas de
influência. Fogg (2003) explica a atratividade dos dispositivos digitais móveis e oferece três metáforas
para explicar a sua atração:
• A metáfora do coração: nós os amamos • A

metáfora do relógio de pulso: eles estão sempre conosco • A
metáfora da varinha mágica: eles têm muita capacidade.
Esta atração influencia os proprietários destes dispositivos em rede – quase todas as informações
utilizadas pelos proprietários vêm através destes dispositivos. Um alvo perfeito para enganadores: uma
fonte confiável de informações e um alvo em tempo real para tudo o que o enganador precisa promover.
Essa euforia técnica é relevante quando os neurosistemas forem discutidos mais adiante neste capítulo.
O efeito que isto teve sobre os estrategistas de influência e engano é que eles agora têm populações com uma série
definitiva e auto-selecionada de públicos-alvo que estão ansiosos e dispostos a desistir de toda a informação pessoal que
possa ser classificada, peneirada e alocada. Influência nunca foi tão fácil. É verdade que existem alguns dissidentes, mas
eles podem ser geridos, pois a grande maioria fica feliz em aceitar as normas sociais estabelecidas. 'Dê às pessoas o que
elas acham que querem'.
Frederico, o Grande, disse “O exército é a Prússia e a Prússia é o exército”, tal foi a intrusão que o
exército fez na sociedade prussiana. O exército estava por toda parte. Na sociedade moderna
poderíamos dizer “A Internet é a sociedade e a sociedade é a Internet?” ou talvez “O telemóvel inteligente
é a sociedade e a sociedade é o iPhone”.
5 Ciberengano do Velho Estilo: Ciberengano do Novo Estilo
A fraude está mais frequentemente associada a áreas criminais ou político-militares e a fraude cibernética
não é diferente. Em termos de segurança: os ataques são baseados em força bruta ou em engano (ou
ambos). Em termos de rede, a segurança pode ser física, mas também virtual. Os invasores usam o
engano por meio de software ou manipulando as pessoas diretamente. Portanto, o ataque seria
direcionado ao software, hardware ou wetware. Os métodos de ataque à rede incluem ataques sniffer,
ataques de falsificação de identidade e assim por diante: todos eles envolvem fraude. A defesa de
sistemas também pode envolver fraude, por exemplo, pelo uso de honeynets (redes falsas que podem
ser atacadas como se fossem “reais”) ou honeyfiles (arquivos com nomes atraentes, mas que são
realmente “inexistentes” para o sistema ativo, então ninguém deve acessá-los, porém, se for feita uma
tentativa, um sinalizador será enviado para a segurança).
As fraudes em sistemas cibernéticos são basicamente direcionadas a pessoas, software,

armazenamento de dados ou componentes de sistema. Muito foi escrito sobre todos eles e alguns são
muito técnicos e mudam rapidamente – basta observar a taxa de alterações nos verificadores de vírus.
O número de ataques de vírus, spyware e firewall (tentativas) é enorme.
www.it-ebooks.info
Os humanos têm dois sistemas de pensamento – um que é rápido, automático e emocional, e um

lógico mais lento, que requer mais esforço cerebral. O primeiro sistema não tem tempo para parar e
pensar, é um “fazedor” e não um pensador. A segunda é mais ponderada, mas chega a conclusões
mais resilientes. A velocidade do mundo contemporâneo e dos sistemas cibernéticos parece estar a
levar-nos a confiar num sistema mais rápido. Na verdade, encoraja-nos ativamente a fazer isso – os
jogos de simulação de computador incentivam os nossos filhos a tomar decisões imediatamente. A
sociedade espera que os gestores apresentem soluções imediatas. Como alternativa, é por isso que é
imperativo ter planos de contingência executáveis, atualizados e relevantes. O desastre da central
nuclear de Fukushima foi um exemplo supremo de um desastre previsível que foi ignorado devido a
prazos, restrições financeiras e uma atitude de “posso fazer” quando os impactos foram enormes e
varridos para debaixo do tapete devido à conveniência e auto-estima. interesse (Willacy 2013).
“No início…havia a Internet”, que era um subconjunto do mundo real, será agora o próprio mundo
ou pelo menos o seu sistema nervoso penetrante? Criou um mundo totalmente novo com as suas
próprias formas de vida e ambientes dentro dos quais os meros humanos e a informação que obtêm
podem ser controlados?
O conceito de que o ciberespaço é um subconjunto do mundo real pode ser facilmente compreendido,
mas o fenómeno de um reino cibernético semiautónomo não o é.
O mundo cibernético não tem o mesmo período de tempo que o mundo “real”; nem tem as mesmas
restrições de distância, localização, limites e jurisdições. É fluido, reduz barreiras de entrada e
expressão, obscurece a identidade e evita responsabilidades. Contudo, este ambiente traz consigo
mudanças e desafios (uma palavra pós-moderna para “problemas”) que não foram enfrentados ou
investigados. Mas a dimensão do poder não mudou realmente – o mundo corporativo/governamental
ainda domina e tem potencial para se expandir à medida que as culturas do mundo tendem a fundir-se
numa só. As sociedades estão virtualmente a tornar-se consistentes e, portanto, propensas aos mesmos
enganos e influências. Os esforços políticos no domínio cibernético apoiam objectivos “reais” no
domínio físico – pelo menos, este é o modelo convencional, embora no domínio único do mundo
cibernético os esforços sejam auto-referenciados e se reforcem sem qualquer referência ao mundo
real. Assim, o engano torna-se quase sem sentido, pois a realidade é flexível e pode ser inventada
quase à vontade.
Tudo isto está a desenvolver-se num mundo que está interligado em rede, de modo que o poder é
exercido de formas diferentes das do passado. Tradicionalmente, o poder era o exercício do poder
físico onde a coerção garantia a conformidade, agora pode-se argumentar que o poder pode ser
exercido mais no domínio da informação, onde o poder garante a conformidade.
No entanto, isso ainda exige esforço e é bastante reversível. A batalha pela mente humana é em grande
parte executada nos processos de comunicação. As redes digitais ampliam a capacidade de
comunicação em todos os domínios da vida social e podem tornar-se cada vez mais personalizadas.
Como resultado, as relações de poder que controlam a sociedade estão em constante mudança – ou
pelo menos parecem estar. Poder é a capacidade de um ator social impor, de uma forma ou de outra,
sua vontade sobre outros atores sociais. A legitimidade política é muitas vezes governada pela
capacidade de utilizar eficazmente os meios de comunicação para impor a sua vontade. Estes meios
de comunicação não são os detentores do poder em si, mas constituem o espaço onde o poder é
decidido. A ascensão da autocomunicação com
www.it-ebooks.info
104 W.Hutchinson
(aparentemente) o conteúdo autogerado mudou a variedade de material nas redes – é função do

influenciador estratégico garantir que a agenda na qual estes pontos de vista supostamente
independentes são apresentados seja adequada.
A extensão e o alcance das redes digitais garantem a capacidade de se estenderem à vida de todos
e, embora as relações de poder sejam conflituosas, a tecnologia pode fazer desaparecer o conflito entre
governantes e governados. Isto traz a próxima fase da doutrinação, onde o poder cognitivo requer não
só o controlo da informação produzida e recebida (tradicionalmente através da censura e da propaganda),
mas também os próprios processos de pensamento são manipulados. O produto final disto deveria ser
a “conversão”.
Entre na neurociência moderna como mais um jogador no jogo da influência, do engano e do poder.
Um evento significativo aqui foi o uso bem-sucedido de um implante chamado Braingate, que permitiu a
uma mulher, que havia perdido o uso dos membros após um acidente vascular cerebral, controlar os
braços de um robô apenas por meio de processos de pensamento. Outra inovação é o uso de exames
cerebrais que têm o potencial de fazer coisas como examinar pessoas para obter autorização de
segurança ou avaliar sua capacidade de serem selecionados como mergulhadores autorizados. Já
foram produzidos capacetes de baixo custo que permitem aos usuários controlar remotamente coisas
como armas e veículos aéreos não tripulados. Quanto tempo duraria uma fila fora dos novos
fornecedores se estes fossem disponibilizados ao público? A passagem de sinais elétricos fracos
através do crânio usando estimulação transcraniana por corrente contínua pode alterar o desempenho
das pessoas. Rao (2013) descreve as Interfaces Cérebro-Computador (BCIs) que estão sendo
investigadas. Esta técnica já foi usada para melhorar a capacidade das pessoas de reconhecer
Dispositivos Explosivos Improvisados (IEDs) e atiradores de elite. Considera-se que as BCI conectam
cérebros diretamente a equipamentos militares – quem então controla a tecnologia, a pessoa ou o
sistema? Tudo isto poderia produzir um novo mundo onde todos estivessem conectados; estamos
quase lá com os iPhones. Com a atividade cerebral em rede, a capacidade de manipulação é múltipla.
Ao longo da história, os poderes de coerção física, bem como a comunicação e a informação têm
sido fundamentais para o exercício do controlo; agora o controle direto do pensamento pode ser
adicionado àqueles que buscam poder sobre as mentes dos cidadãos. Moldar mentes dura muito mais
tempo do que a coerção física. Aqueles que podem controlar o espaço físico, informativo e cognitivo
controlarão todos aqueles conectados ao sistema; e se os iPhones servirem de referência, a população
estará disposta e ansiosa para aderir. Estas técnicas não coercivas já estão a ser utilizadas para garantir
o cumprimento, a obediência, bem como a mudança comportamental e de atitudes.
Um bom exemplo de formação de mentes é o uso de jogos eletrônicos de orientação militar que
podem simular de forma realista cenas de batalha. A utilização de cenários irreais pode treinar as
pessoas para adquirirem as competências necessárias numa situação do mundo real, onde a situação
já não é uma simulação, mas se parece notavelmente com ela. Este software muito sofisticado pode
dar ao usuário a ilusão de estar numa situação real; então como o usuário sabe quando é real ou não
(Stahl 2010). À medida que os princípios da neurociência “invadem” o mundo cibernético, a integração
destas tecnologias pode criar um novo mundo com novas regras muito superiores à divisão do mundo
cibernético/físico mencionada na Secção. 2. À medida que o software e a inteligência artificial avançam
na capacidade de realmente mudar a capacidade cognitiva
www.it-ebooks.info
processos online com o uso de 'agentes de software' que começam como uma ferramenta de resolução
de problemas para um indivíduo, mas uma co-evolução poderia ocorrer onde seria difícil separar quem/o
que tomou uma decisão sobre um tópico - a pessoa ou o agente de software (Clark 2014). Em outras
palavras, a parte cognitiva do humano é indistinguível da parte cibernética. A luta de uma guerra como
um jogo torna-se a mesma para o controlador no ciberespaço, seja ela real ou não. No entanto, esta
ilusão tem um efeito profundo sobre os receptores dos resultados - se for puramente na esfera
cibernética, então continua a ser um jogo, se não for uma guerra na guerra física com todo o sofrimento
explícito e trauma psicológico envolvido (Singer 2009). Isto é um engano tendo um efeito no mundo real.
6 robôs em rede
Com a marcha das redes eletrônicas desenvolveu-se uma série de dispositivos acionados por computador
que utilizam tecnologia moderna que integra inteligência artificial, tecnologia computacional e neurociência.
Um bom exemplo desta integração é o desenvolvimento de drones: robôs que podem trabalhar de
forma independente, dentro ou fora do controle humano. Embora estas máquinas não sejam utilizadas
exclusivamente para fins militares, a sua rápida evolução e desenvolvimento foram certamente
financiados por militares de todo o mundo. Singer (2009) apresenta um relato detalhado do efeito
profundo que isto terá nos equilíbrios de poder militar e internacional, bem como nas implicações civis.
A ideia de redes móveis está quase no seu auge quando uma pessoa situada na América ou na Grã-
Bretanha pode controlar um drone aéreo no Afeganistão para vigilância ou ataque – matando pessoas
de todo o mundo em tempo real (Benjamin 2013).
As táticas clássicas de engano podem ser usadas contra drones, assim como contra um ataque
convencional. Wesson e Humphries (2013) mostram como práticas “convencionais”, como “spoofing” ou
“jamming”, permitem que um enganador assuma o controle de um veículo aéreo não tripulado (UAV);
enquanto Peacock e Johnstone (2013) mostram como um drone específico pode ser desativado. Ambas
as táticas envolvem enganar a máquina: embora abordagens mais sofisticadas, como falsificar os sinais
enviados de volta ao “piloto”, requerem muito mais experiência. Contudo, a camuflagem do alvo também
pode ser usada. No entanto, estes são limitados devido ao uso de vários sensores em drones, como
infravermelho (térmico) e radar. A ideia de se esconder de um robô em rede está se tornando cada vez
mais difícil devido ao grande número de sensores que podem ser usados. A recolha de informações
passou da mera visão para o registo de todo o espectro electromagnético, das emissões sónicas e
sísmicas e para observações comportamentais, como a marcha e os padrões de marcha dos indivíduos
(Clark 2010). É claro que meios cinéticos também podem ser usados ou táticas enganosas mais indiretas,
como a propaganda. O jogo muda ligeiramente se o drone for autônomo, pois então o engano deve ser
direcionado ao próprio veículo, ou seja, seus sensores, seus processos lógicos ou outras partes
funcionais, como seu sistema de navegação ou outros sistemas internos. Como Libicki (2007) descreve,
existem três modos básicos de ataque: na camada física (ou seja, a manipulação de bits e dos
componentes físicos que permitem isso), o
www.it-ebooks.info
106 W.Hutchinson
camada sintática (aquelas instruções e serviços que permitem ao(s) sistema(s) usar informações) e a
camada semântica que permite a interpretação das informações do sistema – cada uma delas pode
ser enganada.
7 Resumo
A Internet e outras redes estão a ser impulsionadas por desenvolvimentos como a nanotecnologia,
técnicas de software, tecnologia de armazenamento e comunicação, neurociência e robótica para
desenvolver um novo mundo cibernético. A nova combinação de sensores, processadores e uma
infinidade de periféricos complementares estão criando um “novo mundo”. Há alguns (por exemplo,
Barrat 2013) que acreditam que o desenvolvimento da neurociência porá fim à era humana, à medida
que as máquinas assumirem o controle e substituirem os humanos, ou pelo menos as nossas funções
cognitivas. Outros (como Satel e Lilienfeld 2013) consideram que isto é exagerado e, embora se deva
ter cautela, é apenas uma parte da evolução da ciência e da tecnologia. Seja como for, o resultado do
uso do engano mudará significativamente, mesmo que os princípios básicos e a razão para fazê-lo não
o sejam.
O engano pode ser altruísta, mas muitas vezes é apenas um desejo de infligir uma visão de mundo às
pessoas para obter algum tipo de vantagem. Inicialmente, coisas como a Internet prometiam a
capacidade de escolher em qual visão de mundo você poderia acreditar. Claro, também era um bom
veículo para enganar. O possível futuro da transferência de pensamento através da rede sem fio tem
implicações profundas com um novo nível de engano, que vai diretamente para a cognição humana, e
não através dos sentidos.
Enganação é manipulação, e o mundo cibernético em desenvolvimento e as suas redes
omnipresentes podem ser uma oportunidade para os enganadores trabalharem a nível global. Embora
existam freios e contrapesos no sistema, também é possível reter informações neste mundo,
direcionando as populações para locais específicos e populares. A decepção como forma de arte não
está morta, apenas é mais sofisticada.
Referências
Barrat J (2013) Nossa invenção final: inteligência artificial e o fim da era humana. Thomas Dunne
Books, New York Bell JB,
Whaley B (1991) Trapaça e engano. Transaction Publishers, New Brunswick Benjamin M (2013)
Guerra de drones: matar por controle remoto. Verso, London Bennett M, Waltz E
(2007) Princípios de contra-engano e aplicações para a segurança nacional.
Casa Artech, Norwood
Castells M (2007) Comunicação, poder e contrapoder na sociedade em rede. Int J Commun 1:238–266 Clark A (2014)
Mindware: uma introdução
à filosofia da ciência cognitiva, 2ª ed. Oxford
University Press, Oxford
Clark RM (2010) A coleção técnica de inteligência. CQ Press, Washington, DC Cragin K,
Gerwehr S (2005) Dissuadindo o terror: influência estratégica e a luta contra
terrorismo. Rand, Santa Mônica
www.it-ebooks.info
Fogg BJ (2003) Tecnologia persuasiva: usando computadores para mudar o que pensamos e fazemos. Morgan
Editores Kaufmann, São Francisco
Forbes P (2009) Deslumbrado e enganado: mimetismo e camuflagem. Imprensa da Universidade de Yale, New
Haven Gibson W (1984) Neuromancer. Harper Collins, London Hill
H, Johnston A (2007) A ilusão da face oca: conhecimento específico do objeto, suposições gerais ou propriedades
do estímulo? Percepção 36(2):199–223. doi:10.1068/p5523 Libicki MC (2007) Conquista no ciberespaço:
segurança nacional e guerra de informação. Cambridge University Press, Nova York
Lukes S (2005) Poder: uma visão radical, 2ª ed. Palgrave MacMillan, Basingstoke Machiavelli N
(1532/1983) O príncipe (trad: Bull G). Penguin Books, London Matrix (1999) Matrix, DVD, 131
minutos. Village Roadshow Films Peacock M, Johnstone M (2013) Rumo à
detecção e controle de veículos aéreos não tripulados civis. In: Valli C (ed) Anais da 14ª conferência australiana de
guerra de informação (Perth, 2013). Universidade Edith Cowan, Perth, pp 9–15
Rao RPN (2013) Interface cérebro-computador: uma introdução. Cambridge University Press,
Nova Iorque
Satel S, Lilienfeld SO (2013) Lavagem cerebral: o apelo sedutor da neurociência estúpida. Básico
Livros, Nova York
Simons DJ, Chabris CF (1999) Gorilas em nosso meio: cegueira desatencional sustentada para dinâmica
eventos. Percepção 28(9):1059–1074
Singer PW (2009) Preparado para a guerra: a revolução e o conflito da robótica no século XXI. Pinguim
Books, Nova York
Stahl R (2010) Militainment Inc.: guerra, mídia e cultura popular. Routledge, Nova York Wesson K,
Humphreys T (2013) Hackeando drones. Sci Am 309(5):54–59 Willacy M (2013)
Fukushima. MacMillan, Sydney
www.it-ebooks.info
Marco Legal da Segurança Cibernética
Eneken Tikk Ringas
Resumo O tema da segurança cibernética passou a mesclar as implicações sociais,

econômicas, políticas e militares do uso das TIC por diferentes atores para diversos fins.
Apesar da ausência de um quadro jurídico único dedicado para abordar o domínio cibernético,
o ciberespaço e as ações nele contidas são abordados por inúmeras disciplinas jurídicas e
instrumentos normativos que, infelizmente, nem sempre fornecem soluções imediatas e
convincentes para as atuais questões de segurança cibernética. Este capítulo irá delinear o
âmbito e as principais áreas da segurança cibernética de uma perspectiva jurídica; introduzir
instrumentos jurídicos e autoridades selecionados que abordem a segurança cibernética nas
suas múltiplas facetas; e algumas conclusões recentes sobre a aplicabilidade e suficiência
da legislação de segurança cibernética para lidar com preocupações emergentes de
segurança cibernética. Concluirá com uma discussão de algumas das razões por detrás da
diminuição da segurança jurídica neste domínio e das potenciais implicações do declínio da
autoridade da lei no contexto da segurança cibernética.
1. Introdução
Em 1996, o juiz Frank Easterbrook chocou a comunidade jurídica e os participantes de uma

conferência realizada na Universidade de Chicago, ao propor que não havia mais uma
(necessidade de) “lei do ciberespaço” do que uma “Lei do Cavalo”.
(Páscoa Brook 1996). A lei aplicável a empreendimentos especializados, como, na sua
concepção, o ciberespaço, deveria ser encontrada em regras gerais e quaisquer disciplinas
jurídicas deveriam iluminar toda a lei (Easterbrook 1996). Seguiu-se um debate acalorado
nas comunidades jurídicas (mais notavelmente Lessig 1999). Menos de duas décadas
depois, o dilema parece ter resolvido por si só – o ciberespaço é um assunto que não pode
ser abordado sem esclarecer toda a lei e embora não tenha
E. Tikk-Ringas (&)
Baltic Defense College, Tartu, Estônia
© Springer International Publishing Switzerland 2015 109

M. Lehto e P. Neittaanmäki (eds.), Cyber Security: Analytics,
www.it-ebooks.info
110 E. Tikk Ringas
desenvolvido como uma área jurídica central, abordá-lo como um quadro ou disciplina jurídica distinta é útil
para delinear inúmeras regras aplicáveis ao comportamento no ciberespaço.
O tema da segurança cibernética passou a não apenas incluir, mas também a combinar as implicações
sociais, económicas, políticas e militares da utilização das TIC por diferentes intervenientes para diversos
fins. Após cerca de 40 anos de evolução, as normas jurídicas que abordam o comportamento no ciberespaço
e, consequentemente, o quadro jurídico da segurança cibernética, constituem uma amálgama de autoridade
reguladora e mecanismos normativos.
A totalidade dos regimes e instrumentos jurídicos aplicáveis à segurança cibernética é difícil de
compreender por qualquer especialista jurídico e impossível de enquadrar em qualquer área jurídica distinta.
Não existe um instrumento jurídico ou autoridade único para abordar principalmente este conjunto de
questões. Em vez disso, os problemas jurídicos relacionados com a segurança cibernética enquadram-se
em vários assuntos, disciplinas e instrumentos jurídicos. A ausência de um quadro jurídico único e
dedicado, a vasta gama e multiplicidade de questões de segurança cibernética, e talvez o legado do
discurso inicial sobre a legislação da Internet, levou muitos a concluir que a lei existente é irrelevante ou
insuficiente para resolver questões contemporâneas de segurança cibernética ( por exemplo, Barlow 1996,
em seus respectivos campos também Hollis 2007). As recentes operações cibernéticas e os modi operandi
dos governos e dos intervenientes não estatais no ciberespaço justificam esse cepticismo.
Por outro lado, existem conclusões e provas fidedignas sobre a aplicabilidade da legislação existente
no e para o ciberespaço. Nos últimos anos, ocorreram várias revisões dos quadros jurídicos existentes,
indicando falhas e inconsistências nas disciplinas jurídicas existentes, concluindo ainda que vários quadros
e instrumentos jurídicos são aplicáveis no ciberespaço (por exemplo, Estudo abrangente sobre crime
cibernético 2013; Schmitt 2013). .1 Com opiniões divididas quanto à existência e suficiência de ferramentas
jurídicas para moldar o comportamento no ciberespaço,
no centro da conversa sobre segurança cibernética e legislação está a divisão entre compromissos e
promulgação, teoria e prática, palavras e ação. Na verdade, é o mesmo grupo de países que, apelando à
paz cibernética, estão a anunciar e a implantar capacidades cibernéticas militares. Apesar das reafirmações
verbais dos direitos humanos online e dos apelos a uma ratificação mais ampla da Convenção do Conselho
da Europa sobre o Crime Cibernético, a privacidade e a aplicação da lei contra o crime cibernético são de
eficácia questionável.
Este capítulo explicará porque é que a segurança cibernética não pode ser categoricamente vista como
um domínio sem lei, mas também porque é que os instrumentos normativos existentes nem sempre
fornecem soluções imediatas e convincentes para as actuais questões de segurança cibernética. Depois de
delinear o âmbito e as principais áreas da segurança cibernética de uma perspectiva jurídica, o capítulo
apresentará os instrumentos jurídicos e as autoridades que actualmente abordam a segurança cibernética
nas suas múltiplas facetas, acompanhados de posições seleccionadas sobre a aplicabilidade da segurança cibernética.
1
Ver também a conclusão do Comité dos Direitos Humanos da ONU de que os direitos humanos se aplicam tanto
online como offline (documento sobre direitos humanos 2012) e a nota do Grupo de Peritos Governamentais da
ONU de que o direito internacional, em particular a Carta das Nações Unidas, é aplicável e é essencial para manter
a paz e a estabilidade e promover um ambiente de TIC aberto, seguro, pacífico e acessível (Declaração sobre o
consenso alcançado pelo Grupo de Peritos Governamentais da ONU sobre questões cibernéticas, Comunicado de
Imprensa do Estado dos EUA, 7 de junho de 2013).
www.it-ebooks.info
Marco Legal da Segurança Cibernética 111
instrumentos jurídicos existentes pelas autoridades competentes. Apresentará algumas

conclusões oficiais recentes sobre a aplicabilidade e suficiência da legislação em matéria de
segurança cibernética e concluirá com uma discussão de algumas das razões subjacentes à
diminuição da segurança jurídica neste domínio e às potenciais implicações do declínio da
autoridade da lei no contexto da segurança cibernética.
2 Segurança cibernética de uma perspectiva jurídica
O âmbito e o ponto focal do par de palavras “segurança cibernética” podem ser estabelecidos
enfatizando as diversas aplicações de ambos os termos. Cada uma das palavras permite
ampla interpretação.
'Cyber' como forma de combinação (cyber-) ou como adjetivo refere-se a 'relacionado a
(uso de) computadores e redes' (Dicionário Merryam-Webster: Cyber 2013). As tecnologias
relevantes sofreram uma evolução alucinante desde o seu surgimento em meados do século
XX e, no discurso atual, fazem parte das tecnologias de informação e comunicação (TIC).2 Os
ataques contra computadores e os dados que estes detêm surgiram já no final da década de
1950 e início da década de 1960, ou seja, muito antes de a Internet existir. Os incidentes
cibernéticos, que subsequentemente levantam questões sobre o equilíbrio adequado entre a
liberdade individual e a segurança colectiva, têm sido objecto de debates jurídicos há mais de
quarenta anos. O hacking adolescente entrou em cena na década de 1970 e cresceu na
década de 1980. As comunidades de inteligência de sinais se acostumaram com a Internet à
medida que ela se expandia pelo mundo na década de 1980. As primeiras operações
governamentais secretas de exploração das TIC datam da mesma época. Na década de 1990,
surgiu o hacking com objetivos políticos e sociais, florescendo na década de 2000. O fator de
ganho económico surgiu com o boom do domínio .com e do comércio eletrónico no início da
década de 1990 e transformou-se numa enorme indústria criminosa no início do milénio. No
final da última década, tanto o crime cibernético como os incidentes cibernéticos com
motivação política representavam uma parte substancial de todos os ataques cibernéticos.
Agora, como concluem Farwell e Rohozinski após uma análise do Stuxnet e da operação dos
Jogos Olímpicos, a comunidade internacional entrou na era do conflito cibernético entre
Estados, potencialmente guerra, com atores estatais e não estatais envolvidos (Farwell e
Rohozinski 2011 ; Farwell e Rohozinski 2012).
Segurança como o estado de estar protegido ou protegido contra danos ou coisas feitas
para tornar as pessoas ou lugares seguros (Dicionário Merryam-Webster: Segurança 2013)
também se expandiu, tanto como preocupação quanto como condição, com o surgimento de
novas ameaças e atores de ameaças em ciberespaço. A mais recente expansão do conceito
que muitos associam à segurança técnica e à garantia de informação de rotina ocorreu no
domínio da segurança nacional. Negação de serviço de funções governamentais, sabotagem
2
De acordo com (Proteção de funções de missão crítica para alcançar sistemas e redes confiáveis, instrução
5200.44 do DoD. Departamento de Defesa dos Estados Unidos da América 2012), as TIC incluem todas as
categorias de tecnologia onipresente usada para coleta, armazenamento, transmissão, recuperação ou
processamento de Informação.
www.it-ebooks.info
112 E. Tikk Ringas
dos processos industriais por razões políticas e o lançamento de milícias cibernéticas contra concorrentes
carregam um forte tom de segurança nacional.
Somada ao escopo bastante amplo dos termos bot está a ambiguidade que eles carregam no contexto político. O que
constitui uma questão de “segurança nacional” está longe de ser acordado entre a comunidade internacional. Na verdade, o
grau de imposição da jurisdição nacional sobre pessoas, objectos e acontecimentos está frequentemente sujeito a tensões
e desacordos entre governos. É essencial notar que mesmo que a segurança informática atinja o limiar de interesse da
segurança nacional, nem todas as preocupações relacionadas com a utilização das TIC se tornam uma questão estratégica
por si só. Wolfers enfatiza que quando fórmulas políticas específicas ganham popularidade (como é hoje a “segurança
cibernética”), deve-se examinar cuidadosamente tais conceitos para evitar permitir que todos rotulem qualquer política que
favoreçam com um nome atraente (Wolfers 1952). Ao mesmo tempo, abordagens puramente técnicas e táticas à segurança
cibernética podem não ser suficientes no contexto de ameaças transfronteiriças e intercontextuais.
As conotações acima e as suas variações coexistem, inter-relacionam-se e alimentam a discussão

geral sobre “segurança cibernética”. Curiosamente, a maioria das tendências de ameaças cibernéticas
sobreviveram ao longo do tempo e criaram uma simbiose única. Hoje em dia, os sindicatos do crime
estão a desenvolver e a implementar ferramentas que se revelam úteis para os governos utilizarem
como parte do seu arsenal cibernético. Os script kiddies com atitude patriótica formam milícias que
conseguem voar abaixo do radar do quadro jurídico internacional. Os guardiões dos sistemas de
informação empresarial, no entanto, revelam-se um elo útil na cadeia de defesa cibernética.
Classificando o risco cibernético entre os três principais riscos empresariais em 2013, o Lloyds
observa que a percepção deste risco está a evoluir do crime financeiro para ataques políticos e
ideológicos (índice de risco do Lloyd's 2013). Por outras palavras, as fronteiras entre incidentes
cibernéticos de natureza pessoal, económica, ideológica e política estão a esbater-se. Conclusões
semelhantes podem ser tiradas quando se analisam incidentes como a retirada off-line das operações
comerciais da Saudi Aramco (ver mais sobre Bronk e Tikk-Ringas 2013) ou a negação de serviço contra
grandes bancos dos EUA no início deste ano.
A derrubada dos sites da Interpol, da CIA e da Boeing, a suspensão do pregão da moeda alternativa
Bitcoin, o roubo em massa de senhas do site de relacionamento profissional LinkedIn, a exfiltração em
grande escala de segredos de defesa de governos e empreiteiros de defesa, o fechamento do as
operações comerciais da maior empresa petrolífera e os programas secretos de vigilância online não
são baseados, executados ou remediados pelo mesmo conjunto de ferramentas, métodos e
intervenientes.
As palavras “cibernética” e “segurança” combinadas servem como um guarda-chuva para uma série
de disciplinas, desde dados técnicos e garantia de informações até resiliência e confiabilidade de
processos empresariais e industriais até segurança de operações (militares). Em suma, portanto, a
segurança cibernética constitui uma área abrangente e complexa de preocupações políticas, industriais,
técnicas e operacionais que envolvem e combinam ambições e compromissos públicos e privados, civis
e militares e, portanto, são cobertas por ramificações jurídicas muito diferentes, tanto nacionais como
internacionais. .
www.it-ebooks.info
3 Instrumentos e Áreas do Direito Abordando o Ciberespaço

Segurança
Tentativas de criar um pensamento estruturado e uma compreensão dos aspectos legais da cibersegurança
segurança exigem paciência e criatividade. Além disso, há muitas maneiras de estruturar
estamos pensando em segurança cibernética e legislação.
Podem-se determinar as áreas e conceitos jurídicos, que em suma compõem o
quadro de segurança cibernética, a partir de atualizações de conceitos cibernéticos. Na sequência de um recente
conceituação do ciberespaço, este domínio global consiste em interdependentes
rede de infra-estruturas de tecnologia da informação, incluindo a Internet, redes de telecomunicações, sistemas
informáticos e processadores e controladores incorporados (operações no ciberespaço 2010). Todos estes
componentes estão sujeitos a
inúmeras ramificações legais. A legislação da Internet por si só abrange questões jurídicas como comércio
eletrônico, responsabilidade civil, proteção ao consumidor, privacidade, crime cibernético, regulamentação de conteúdo e
proteção da propriedade intelectual (Rustad 2009). As infra-estruturas de TIC e as redes de telecomunicações
estão sujeitas a vários regimes jurídicos, tais como a lei relativa ao
telecomunicações internacionais, satélites e cabos submarinos. Diferentes áreas de
regulamentação de conteúdos surgiu ao longo do tempo (protecção de dados pessoais, xenófoba
conteúdo, pornografia infantil). De forma um tanto vaga, os componentes de TIC estão sujeitos a
responsabilidade do produto e regimes de proteção da propriedade intelectual.
Do ponto de vista do direito internacional público, as questões de segurança cibernética enquadram-se
principalmente em sete áreas jurídicas que correspondem aos principais campos do ciberespaço:
infra-estrutura, regulação de acesso e conteúdo, utilidade económica das TIC e vários
atos maliciosos (crime, ameaça à segurança nacional e uso da força) dentro e contra
ciberespaço. As categorizações individuais das áreas jurídicas internacionais aplicáveis variam
(ver, por exemplo, Ziolkowski 2013).
Questões como liberdade de informação e direito à privacidade são incorporadas
sob a lei dos direitos humanos. O Conselho de Direitos Humanos da ONU confirmou que
os direitos humanos aplicam-se da mesma forma tanto online como offline (Documento sobre direitos humanos
2012). Declaração Universal dos Direitos Humanos (Declaração Universal de
Direitos Humanos 1948), a Convenção Europeia dos Direitos Humanos (Europa
convenção sobre direitos humanos de 1950) e muitos outros instrumentos regionais prevêem
o direito à privacidade e ao acesso à informação. A regulamentação do intercâmbio de dados está relativamente
bem estabelecida nos países da UE. Diretiva 95/46/CE (Diretiva 95/46/CE
do Parlamento Europeu e do Conselho de 24 de Outubro de 1995) (Dados
Diretiva de Proteção de Dados) serve de base para atos jurídicos de proteção de dados pessoais em
quase 30 sociedades de informação avançadas. Nos termos do artigo 10.º do Tratado Europeu
Convenção dos Direitos Humanos existe um direito geral de receber e transmitir informações. De acordo com o
artigo 4.º, n.º 2, da Diretiva relativa à privacidade e aos dados eletrónicos
Comunicações (Diretiva 2002), em caso de risco específico de violação do
segurança da rede, o fornecedor de um serviço de comunicações electrónicas acessível ao público deve
informar os assinantes desse risco.
O direito penal proporciona mecanismos para investigações e ações penais transfronteiriças, extradição e
execução de decisões judiciais. Tais arranjos são
www.it-ebooks.info
114 E. Tikk Ringas
com base em acordos multilaterais e bilaterais. Apesar das baixas taxas de ratificação, a Convenção
do Conselho da Europa sobre o Cibercrime (Convenção sobre o Cibercrime de 2001) proporciona uma
base jurídica para investigar e processar o crime cibernético. Nos termos do artigo 23.º da Convenção
sobre o Crime Cibernético, solicita-se às Partes que cooperem entre si através da aplicação de
instrumentos internacionais relevantes sobre cooperação internacional em matéria penal, de acordos
acordados com base em legislação uniforme ou recíproca e de leis nacionais. , na medida do possível,
para efeitos de investigações ou procedimentos relativos a infrações penais relacionadas com sistemas
e dados informáticos, ou para a recolha de provas em formato eletrónico de uma infração penal
(Branscomb 1986). Existem vários outros instrumentos do Conselho da Europa que abordam a questão
da cooperação jurídica/judicial transfronteiriça em matéria penal. A mais relevante no contexto da
investigação pré-julgamento do cibercrime é a Convenção Europeia sobre Assistência Mútua em
Matéria Penal, com os seus protocolos adicionais. O pedido da Estónia de assistência à Federação
Russa em 2007 baseou-se no Acordo de Assistência Jurídica Mútua. Especialistas do Conselho da
Europa concluíram que as convenções internacionais existentes e outros instrumentos que promovem
a harmonização do direito substantivo e processual nacional e também da cooperação internacional
são aplicáveis a estes usos indevidos da Internet para fins terroristas.
A lei das telecomunicações descreve o regime jurídico de operação e manutenção da infra-estrutura

internacional de telecomunicações. Disposições especiais relacionadas com cabos submarinos
decorrem do direito do mar e certos aspectos das comunicações por satélite são abrangidos pelo direito
espacial. Trabalhos acadêmicos explicam como as disposições dos tratados da União Internacional de
Telecomunicações (UIT) se aplicam à segurança cibernética (Rutkowski 2011). Em 1986, um dos
primeiros estudos jurídicos sobre redes globais de comunicações foi publicado pela American Bar
Association (Branscomb 1986). Os autores concluíram que o direito do público à correspondência
através de serviços internacionais de correspondência pública está estabelecido tanto na Convenção
da UIT como nos tratados de amizade, comércio e navegação. Observou-se também que as instalações
de comunicação dentro de um país não seriam abrangidas por tais acordos e que o direito de transmitir
dados para um determinado país dependeria da abordagem à transmissão de dados por esse país
(Branscomb 1986, p. 19).
Rutkowski conclui que as obrigações gerais de segurança de rede derivam da Convenção da UIT
existente (Rutkowski 2011).
Vários instrumentos no domínio do comércio e do comércio internacional tratam do ciberespaço
como um ambiente económico, abordando questões como a protecção da propriedade intelectual,
impostos, tarifas e protecção do consumidor.
A Lei dos Conflitos Armados (LOAC) compreende o jus ad bellum e o jus in bello e, portanto, dita
as premissas e limitações legais para travar a guerra. O direito à autodefesa em resposta a incidentes
cibernéticos ao abrigo do direito dos conflitos armados precisa de ser avaliado à luz do conceito mais
amplo do uso da força cibernética amplamente discutido na teoria jurídica antes e depois da ascensão
do ciberespaço (ver, por exemplo, , Brownlie 1963, também Benatar 2009). Com referência ao caso da
Nicarágua, Schmitt conclui que o uso da linha da força deve situar-se algures entre a coerção
económica e o uso da força armada (Schmitt 1998–1999, p. 914). Schmitt oferece ainda critérios para
www.it-ebooks.info
delimita a coerção económica e política do uso da força armada e acentua que não se trata de
qualquer uso da força, mas de um “ataque armado” que dá ao Estado o direito de responder
em legítima defesa (Schmitt 1998-1999, p. 920). ). O Manual de Tallinn coloca a Lei dos
Conflitos Armados no contexto das operações cibernéticas contemporâneas, oferecendo uma
reformulação “cibernética” da lei de segurança rígida.
Todas estas áreas do direito têm uma cobertura razoável tanto nas comunidades
académicas como nas comunidades profissionais, oferecendo potencialmente soluções para
preocupações graves de segurança cibernética. Herrera observa que a “ausência de lugar” da
Internet não é absoluta e elementos de computação confiáveis, como certificados, firewalls,
gerenciamento de direitos digitais ou endereços IP estáticos, transformam segmentos da
Internet em um espaço rigidamente controlado e pesquisado (Herrera 2005) . ). Cox explica
que muitos governos regulamentaram com sucesso o ciberespaço e que as nações estão cada
vez mais a agir em conjunto para lidar com a natureza aparentemente sem fronteiras do
ciberespaço (Cox 2002). Codificados nos Artigos da Comissão de Direito Internacional sobre a
Responsabilidade do Estado (doravante também “os Artigos”), os fundamentos jurídicos da
responsabilidade do Estado definem um ato ilícito ou omissão de um Estado como sendo (a)
atribuível ao Estado ao abrigo do direito internacional; e (b) constituindo uma violação de uma
obrigação internacional desse estado (Comissão de Direito Internacional 2001).
Menos atenção tem sido dada à legislação de segurança nacional no contexto da
segurança cibernética internacional. Este campo é constituído a partir das margens externas
dos dispositivos legais. Por exemplo, o artigo 27 (4) da Convenção de Budapeste sobre Crime
Cibernético autoriza uma Parte a recusar assistência ao abrigo da Convenção se o pedido
disser respeito a um delito que a Parte requerida considere um delito político ou um delito
relacionado com um delito político, ou se a Parte requerida considerar que a execução do
pedido é suscetível de prejudicar a sua soberania, segurança, ordem pública ou outros
interesses essenciais. Isto significa que, pelo menos de uma perspectiva puramente jurídica,
um Estado pode optar por não aplicar a Convenção caso tal decisão apoie os seus interesses
nacionais. O artigo 34.º da Convenção da UIT permite aos Estados-Membros cortar, de acordo
com a sua legislação nacional, telecomunicações que possam parecer perigosas para a
segurança do Estado ou contrárias às suas leis, à ordem pública ou à decência. A Convenção
do Conselho da Europa para a Protecção das Pessoas no que diz respeito ao Tratamento
Automático de Dados Pessoais (artigo 9.º, n.º 2) permite derrogações às disposições desta
convenção, tal como previsto pela legislação da Parte, quando constitui uma medida necessária
num sociedade democrática no interesse da proteção da segurança do Estado, da segurança
pública, dos interesses monetários do Estado ou da repressão de infrações penais ou seja
necessária para proteger o titular dos dados ou os direitos e liberdades de terceiros. Na
verdade, à luz das recentes operações cibernéticas, vários países parecem estar a explorar
intensamente estas premissas legais.
Outro campo ainda a ser reafirmado com autoridade é o da responsabilidade do Estado.
A responsabilidade constitui o elemento central da ordem jurídica e atinge todas as áreas e
níveis do direito. No direito internacional, a responsabilidade é considerada o 'corolário
necessário' da igualdade dos Estados, um dos princípios fundamentais do direito internacional.
Com referência a SS Wimbledon, (SS Wimbledon (UK v.
Japão) 1923, pp. 4, 25), Pellet observa que a possibilidade de um Estado incorrer em
responsabilidade 'é um atributo da soberania do Estado', assim como o direito de entrar em
www.it-ebooks.info
116 E. Tikk Ringas
Fig. 1 Esquema de direito internacional público aplicável à segurança cibernética
compromissos internacionais (Pellet 2010, p. 4). Uma situação em que um Estado gozasse de
imunidade de responsabilidade seria inconcebível ao abrigo do direito internacional devido à igualdade
dos Estados, uma vez que esta prerrogativa de soberania se estende a todos os soberanos devido à
sua igualdade (Declaração sobre os princípios do direito internacional relativos às relações amistosas
e à cooperação entre os Estados em de acordo com a Carta das Nações Unidas, Resolução 2625),
que proíbe o dever de respeitar a personalidade, a integridade territorial e a independência política
de outros Estados e o direito de escolher e desenvolver livremente os seus sistemas políticos, sociais,
económicos e culturais. A lei da Responsabilidade do Estado compreende os princípios que regem
quando e como um Estado é responsabilizado pela violação de uma obrigação internacional. Ao
contrário de outras áreas substantivas do direito internacional, o direito da responsabilidade do Estado
determina, em geral, quando uma obrigação foi violada e quais são as consequências jurídicas
dessa violação. Devido a esta generalidade, as regras de responsabilidade do Estado podem ser
aplicadas no contexto de quaisquer obrigações internacionais primárias.
O Projeto de Artigos da ILC sobre Responsabilidade do Estado estabelece as condições para que
determinado comportamento do Estado seja qualificado como ato internacionalmente ilícito; as
circunstâncias em que os atos de funcionários, particulares e outras entidades são atribuíveis a um
Estado e as consequências da responsabilidade (Fig. 1).
Embora muitas das áreas jurídicas acima tenham sido desenvolvidas tendo em mente questões
de segurança cibernética ou recentemente atualizadas neste contexto, não tem havido muita
discussão sobre a aplicabilidade de alguns conceitos jurídicos não específicos do ciberespaço no e
para o ciberespaço, com a notável exceção da Lei dos Conflitos Armados. Especialmente, a
aplicabilidade de princípios gerais de direito, como por exemplo a boa-fé e a humanidade; e conceitos
jurídicos seleccionados (neutralidade, relações amistosas, não intervenção e soberania) merecem
mais atenção por parte da comunidade jurídica à luz das próximas conversações sobre direito
internacional na ONU.
www.it-ebooks.info
Tabela 1 Instrumentos juridicamente vinculativos da União Europeia e do Conselho da Europa que abordam
aspectos da segurança cibernética
Convenção COE nº 108 de 1981, A Proteção dos Indivíduos em Relação à Proteção Automática
Tratamento de Dados Pessoais
1991 EU Dir 91/250/EEC A Proteção Legal de Programas de Computador
1995 EU Dir 95/46/EC Proteção de Indivíduos com Relação ao Processamento de
Dados Pessoais e sobre a Livre Circulação desses Dados
UE Res 96/C 329/01 sobre a interceptação legal de telecomunicações

EU Dir 95/144/EC Avaliação Comum da Segurança da Tecnologia da Informação
Critério
1996 EU Dir 96/9/EC A Proteção Legal de Bancos de Dados

1997 EU Dir 97/7/EC A Proteção dos Consumidores em Relação a Contratos à Distância
1998 EU Dir 98/84/EC A Proteção Legal de Serviços Baseados em, ou Consistindo em,
Acesso Condicional
1999 EU Dir 1999/93/EC Framework para Assinaturas Eletrônicas

2000 EU Dir 2000/31/EC Comércio Eletrônico
2001 COE Con No 185 Crime Cibernético

2002 EU Dir 2002/58/EC Privacidade e Comunicações Eletrônicas
Diretiva de Acesso EU Dir 2002/19/EC
Diretiva de Autorização EU Dir 2002/20/EC
Diretiva-Quadro UE Dir 2002/21/CE

Diretiva UE 2002/22/CE Diretiva de Serviço Universal
2003 EU Dir 2003/98/EC Reutilização de Informações do Setor Público
COE Adicionar Prot No 189 (C 185) Atos de natureza racista e xenófoba

Cometido por meio de sistema de computador
2005 UE Dezembro 2005/222/JAI Ataques contra Sistemas de Informação
Diretiva UE 2006/24/CE sobre retenção de dados
2009 EU Dir 2009/140/EC Comunicações Eletrônicas, Redes e Serviços
Uma análise crítica dos instrumentos jurídicos revela que a maioria das obrigações
juridicamente vinculativas deriva dos instrumentos da União Europeia e do Conselho da
Europa.3 Isto transforma muitas disposições jurídicas existentes em indicadores para um diálogo
normativo internacional mais amplo. Pode-se também observar que, na maioria das outras
regiões, o ponto focal da regulamentação da segurança cibernética tem sido o crime cibernético
e, em vez de instrumentos vinculativos, surgiu uma prática generalizada de leis modelo e
convenções-quadro regionais.4 À luz dos incidentes cibernéticos amplamente cobertos em
noutros capítulos, é evidente que a acção legal raramente é invocada contra os intervenientes
quando os incidentes têm um tom político e que a lei não se revela uma ferramenta suficiente
nas mãos dos responsáveis pela aplicação da lei na ausência de quadros jurídicos nacionais vazios e de melhor
3
Consulte a Tabela 1 para obter uma lista da regulamentação da UE no domínio da segurança cibernética.
4
Consulte a Tabela 2 para abordagens regionais selecionadas para a segurança cibernética.
www.it-ebooks.info
118 E. Tikk Ringas
Tabela 2 Iniciativas Regionais e Internacionais Selecionadas para Reformar a Lei de Segurança Cibernética
1996 UNCITRAL Lei Modelo sobre Comércio Eletrônico

ASEAN 2000 Acordo-Quadro e-ASEAN
CEI 2001 Acordo sobre Cooperação no Combate a Delitos relacionados com
Informações do computador
Lei Modelo da Commonwealth de 2002 sobre Provas Eletrônicas
Lei Modelo da Commonwealth sobre Computadores e Relacionados a Computadores

Crimes
2004 OEA Estratégia para combater ameaças à segurança cibernética
Liga dos Árabes Lei Modelo de Combate a Delitos de Tecnologia da Informação

Estados
APEC 2005 Estratégia de segurança cibernética para garantir confiança, segurança e sustentabilidade
Ambiente on-line
CEDEAO 2007 Harmonização do quadro jurídico que rege as TIC no Ocidente
Estados Africanos
2008 Projecto de quadro jurídico da Comunidade da África Oriental para leis cibernéticas
2009 SCO Acordo de Cooperação no Domínio Internacional
Segurança da Informação
CEDEAO Projeto de diretiva relativa à luta contra a cibercriminalidade
Liga Árabe de 2010 Convenção sobre Combate às Ofensas de Tecnologia da Informação

Estados
COMESA 2011 Projeto de lei modelo de segurança cibernética
Projecto de quadro jurídico da Comunidade da África Oriental para leis cibernéticas

CEDEAO Diretiva sobre o Combate ao Crime Cibernético na CEDEAO
União Africana 2012 Convenção sobre o Estabelecimento de um Quadro Legal
Conducente à Cibersegurança em África (Rascunho)
SADC Lei Modelo sobre Crimes Informáticos e Cibercrimes
capacidade de atribuição, atualmente ainda uma prerrogativa dos cibercriminosos mais capazes
poderes.
A nível nacional, a segurança cibernética está dividida em ainda mais áreas jurídicas.
Sieber lista as primeiras seis ondas de reformas legislativas nos sistemas jurídicos ocidentais: privacidade
proteção (meados da década de 1970); repressão ao crime económico relacionado com a informática (início da década de 1980);
proteção da propriedade intelectual (meados da década de 1980); conteúdos ilegais e prejudiciais

(década de 1980); reformas no domínio do direito processual penal (final da década de 1980); e segurança
lei5 (década de 1990) (Sieber 1998, pp. 26–31). Cada uma dessas ondas criou novos
conceitos que são difíceis de enquadrar em nominadores comuns uniformes devido a diferenças nos
sistemas e estruturas jurídicas. O Serviço de Pesquisa do Congresso dos EUA
concluiu que mais de 50 estatutos nacionais abordam vários aspectos da cibersegurança
segurança, direta ou indiretamente, incluindo áreas como segurança da informação
5
Sieber refere-se à segurança como obrigações mínimas para medidas de segurança no público em geral
interesse, incluindo proibições e controles de exportação de criptografia (Sieber 1986, p. 5).
www.it-ebooks.info
gestão, proteção de infraestruturas críticas, partilha de informações, proteção da privacidade,

crime cibernético e força de trabalho em segurança cibernética (Fisher 2013).
A segurança de computadores e redes está sujeita a numerosos padrões que, combinados
com princípios jurídicos como o dever de diligência, a devida diligência e os quadros jurídicos
para operações comerciais e governamentais, constituem limites estabelecidos e aplicáveis.
Nos termos da Diretiva 95/45/CE da UE, o responsável pelo tratamento6 deve implementar
medidas técnicas e organizacionais adequadas para proteger os dados pessoais contra
destruição acidental ou ilegal ou perda acidental, alteração, divulgação ou acesso não
autorizado, em particular quando o tratamento envolve a transmissão de dados. através de
uma rede e contra todas as outras formas ilegais de tratamento (artigo 17.º, n.º 1). Nos
termos da Directiva 2000/31/CE, é fornecida a norma para a responsabilidade do fornecedor
de alojamento. Em caso de conhecimento efetivo de atividades ilegais e conhecimento dos
factos e circunstâncias que evidenciam a atividade ou informação ilegal, o prestador de
serviços de informação é obrigado a agir para remover ou impedir o acesso a essas
informações (artigo 14.º, n.º 1). A Convenção do Conselho da Europa sobre o Crime
Cibernético estabelece uma norma internacional para o crime cibernético, obrigando as
Partes a adoptar as medidas legislativas e outras que possam ser necessárias para
estabelecer como infracções penais ao abrigo do direito interno, quando cometidas
intencionalmente, o acesso à totalidade ou a qualquer parte de um sistema informático sem direito (artigo 2.º
Além de numerosos instrumentos jurídicos, as normas relativas à segurança cibernética
são abundantes nos instrumentos de política internacional. Como observa Warner, durante
o meio século em que a questão cibernética amadureceu, surgiram inúmeras políticas,
padrões e doutrinas, que consequentemente moldaram as respostas dos EUA à emergência
mais ampla da questão da segurança cibernética no final da década de 1990 (Warner 2012 ).
O mesmo se aplica à Europa e a vários outros países. Ao longo das últimas duas a três
décadas, as organizações internacionais adoptaram mais de 150 declarações políticas que
tratam de aspectos da utilização das TIC que vão desde a privacidade e protecção do
consumidor até aos deveres dos fornecedores de infra-estruturas de telecomunicações, até à
criminalização de crimes relacionados com computadores e redes. As práticas estatais
relativas à implementação destas políticas evoluíram e amadureceram ao longo do tempo, e
estabeleceram e implementaram numerosas estratégias e doutrinas nacionais e colectivas
(ver, por exemplo, Estratégias e políticas. Centro de Excelência Cooperativo de Defesa
Cibernética da OTAN 2015).
Além dos tratados e outros instrumentos jurídicos, a jurisprudência do Tribunal Europeu
dos Direitos Humanos (CEDH) e do Tribunal de Justiça Europeu (TJE) aborda questões
como privacidade, liberdade de informação e processos penais no contexto da tecnologia da
informação (ver Tikk e Taliharm 2010). Estudos sobre a prática estatal e o direito
consuetudinário surgiram no campo cibernético. Como observa Brown, mesmo que se
desconsidere o incidente do oleoduto siberiano e considere Moonlight Maze (1998-2001) o
primeiro grande incidente cibernético entre Estados, pode-se avaliar a última dúzia de incidentes cibernéticos
6
O artigo 2.º, alínea d), da (Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995) define o
responsável pelo tratamento como a pessoa singular ou coletiva, autoridade pública, agência ou qualquer outro organismo
que, isoladamente ou em conjunto com outros, determine as finalidades e os meios de tratamento dos dados pessoais.
www.it-ebooks.info
120 E. Tikk Ringas
anos de prática geral para determinar o que constitui o direito consuetudinário no ciberespaço. Os
incidentes ocorridos durante este período estabeleceram precedentes para o que os estados consideram
um comportamento cibernético aceitável. O que é notável é a falta de protestos por parte de nações
cujos sistemas foram de alguma forma degradados por actividades cibernéticas maliciosas (Brown e
Poellet 2012, p. 132). Polanski discutiu a regulamentação internacional da Internet a partir da
perspectiva do direito consuetudinário (Polanski 2007).
Demidov também sugere uma análise mais detalhada dos princípios e instrumentos jurídicos existentes
e da sua interpretação pelos Estados para avaliar qual prática estatal é suficiente para se qualificar e
ser aceite como direito consuetudinário (Demidov 2012).
Finalmente, pode-se abordar o quadro jurídico da segurança cibernética observando as ramificações
jurídicas relacionadas com inúmeras questões em aberto. À luz da crescente quantidade e sofisticação
dos ataques cibernéticos, é iminente uma obrigação geral de proteger redes, serviços, dados e
conteúdos. Os elementos dessa obrigação podem ser encontrados na lei das telecomunicações, na
regulamentação das atividades dos ISP, nos princípios do dever de diligência e na devida diligência.
Alguns desenvolvimentos jurídicos nacionais indicam uma norma separada para a obrigação de
segurança e proteção dos fornecedores de infraestruturas críticas.
Ainda não foi discutido qual o papel que a lei de responsabilidade do produto e de proteção ao
consumidor desempenhará no contexto da segurança cibernética. É, portanto, justo perguntar se os
acordos e práticas existentes no domínio dos serviços de telecomunicações e da protecção de dados
estabelecem o dever de proteger os sistemas e serviços de informação sob a sua jurisdição. Poder-se-
ia argumentar que existe um dever de cooperação e de prestação de assistência mútua em caso de
ataques cibernéticos ao abrigo dos tratados de segurança colectiva; acordos de assistência criminal
mútua; e princípios gerais de boa fé e relações amistosas.
Dada a natureza transfronteiriça da maioria dos incidentes, é essencial uma obrigação geral de
assistência. Foi sugerido que as disposições de defesa colectiva do Tratado do Atlântico Norte seriam
aplicadas no caso de um ataque cibernético atingir o limiar de um ataque armado. No entanto, existem
outras redes de assistência 24 horas por dia, 7 dias por semana, como no âmbito da Convenção de
Budapeste. Um futuro conjunto de obrigações está relacionado com a comunicação de um incidente e
possivelmente com a partilha de informações sobre ameaças e vulnerabilidades.
As obrigações de processar e ajudar nas investigações estão reflectidas em vários tratados, mas
podem exigir uma revisão no contexto das excepções de segurança nacional e da recusa russa em
cooperar com a Estónia após os ataques de 2007. Por outras palavras, a prática não oferece boas
respostas sobre o que satisfaz a obrigação de cooperar (tempo, qualidade – como se aplicam noutras
áreas – o que é razoável?) e não fornece os critérios do padrão “incapaz e relutante” no contexto.
À luz das preocupações apresentadas pela Rússia e pela China, é essencial compreender até que
ponto e em que circunstâncias diferentes entidades (Estado, ISP, vítima) têm o direito de restringir o
acesso às suas redes, dados e serviços? Os casos da Síria e do Egipto que encerraram a Internet no
seu território indicam uma prática estatal neste domínio, tal como o caso da Estónia em 2007.
Uma área jurídica bem estabelecida que necessita de reformulação e melhor aplicação é a da
privacidade. De acordo com o regulamento da UE, os indivíduos têm acesso e supervisão
www.it-ebooks.info
de seus dados processados pelo governo e pelo setor privado. O mesmo direito não se aplica
internacionalmente e os dados recolhidos para uma finalidade podem ser utilizados para outras finalidades?
A lei da privacidade alimenta directamente os requisitos e a justificação da vigilância e precisa de ser
equilibrada com os conceitos jurídicos de retenção de dados e os requisitos de segurança nacional.
Aparentemente, a lei da Propriedade Intelectual precisa de ser submetida a uma análise semelhante
na ausência de mecanismos eficazes para coibir a espionagem económica e industrial.
As jurisdições envolvidas, as ferramentas e os métodos implementados, as motivações

subjacentes e os intervenientes perpetradores definem o panorama jurídico para cada incidente
único. É necessário analisar a essência e o contexto de um incidente para concluir a (disponibilidade
de) uma resposta e ação adequadas. Embora de uma perspectiva puramente técnica, os incidentes
cibernéticos possam envolver alvos semelhantes (websites governamentais), métodos (desfiguração,
ataques de negação de serviço) e até mesmo contexto (tensões políticas entre duas nações), as
soluções legais para tais incidentes podem variar drasticamente.
4 implicações da diminuição da segurança jurídica
O trabalho académico e as práticas actuais não dizem muito sobre como o direito internacional
resolverá um problema específico ou apoiará um objectivo específico; na verdade, o direito é muitas
vezes reacionário e não antecipatório no seu desenvolvimento. Numa área complexa e multifacetada
como a segurança cibernética, onde as respectivas capacidades, preocupações e prioridades
nacionais para vários estados diferem dramaticamente, é necessário primeiro examinar o problema
concreto que se espera que uma determinada lei resolva para a comunidade internacional, para um
aliança ou um único ator. Este desafio destaca dois pontos adicionais. Em primeiro lugar, é difícil
fornecer uma avaliação jurídica de um caso sem factos e [por não seguir?] procedimentos adequados.
De uma perspectiva analítica, mesmo os incidentes cibernéticos de grande repercussão deixam os
juristas com mais perguntas do que respostas. Em segundo lugar, a resolução de problemas é ainda
mais complicada pelo facto de qualquer área ou conceito jurídico enfrentar dificuldades em acomodar
todos os tipos de questões cibernéticas, tais como acomodar o modelo multilateral de governação
da Internet com controlo estatal exclusivo sobre a Internet, ou aplicar a guerra cibernética ao direito
dos conflitos armados, ao mesmo tempo que, em primeiro lugar, exclui efectivamente a guerra
cibernética. Múltiplas áreas de especialização jurídica e níveis de autoridade envolvidos com
dificuldade complicam a ação legal. Por último, abordagens inteligentes de intervenientes mal-
intencionados exploram falhas nos quadros jurídicos existentes, combinando jurisdições com
estruturas jurídicas fracas, com problemas de atribuição e falta de recursos de aplicação da lei.
O cepticismo sobre a relevância do quadro jurídico existente para resolver os desafios da

segurança cibernética tem crescido ao longo dos anos, tanto na ausência de um quadro jurídico
abrangente, como também devido à taxa bastante baixa de remediação bem-sucedida da quantidade
cada vez maior de incidentes cibernéticos. A falta de ações legais decisivas tende a estender-se a
vários subconjuntos de segurança cibernética: apesar das amplas garantias de privacidade nos
instrumentos jurídicos existentes, os indivíduos queixam-se de perda de privacidade online; contra
milhões de 'ataques cibernéticos' diariamente as estatísticas de reclamações e reivindicações
www.it-ebooks.info
122 E. Tikk Ringas
as perdas operam apenas com centenas de milhares; e, mais notavelmente, os ataques

cibernéticos de alto perfil com conotações políticas não resultam em nenhuma ação legal ou são
ignorados pela retórica política.
Algumas das diferenças entre os números estatísticos e reais de incidentes cibernéticos podem
ser atribuídas à inconsistência das definições, à categorização jurídica não uniforme e às
estatísticas inconsistentes. No entanto, o estudo abrangente sobre o cibercrime realizado pelo
UNODC em 2013 observa que a proporção de vitimização real do cibercrime comunicada à
polícia varia acima de apenas 1% (Estudo abrangente sobre o cibercrime 2013, p. 117, 119). A
Symantec concluiu que 80% das vítimas individuais dos principais crimes cibernéticos não
denunciam o crime à polícia (relatório Norton sobre crimes cibernéticos de 2012). Entre 50 e 100%
dos atos de cibercriminalidade detetados pela polícia envolvem um elemento transnacional (Estudo
abrangente sobre a cibercriminalidade , 2013, p. 118). Embora os incidentes cibernéticos ocorram
globalmente e sejam relatados localmente, a baixa proporção de incidentes cibernéticos relatados
indica desafios na aplicação da lei e na cooperação jurídica.
Existem sinais alarmantes de uma atitude emergente de laissez-faire em relação à lei de segurança cibernética.
Fazendo justiça pelas próprias mãos, as entidades e os indivíduos vitimizados recorrem frequentemente à auto-ajuda ou
à auto-remediação, minando ainda mais a segurança jurídica no domínio cibernético. A questão do “hack-back” ilustra as
escolhas frequentemente feitas pelo sector privado de confiar na sua própria experiência operacional em vez de
procedimentos legais formais, morosos e reveladores. Da mesma forma, calcular as perdas de roubo de identidade e
fraude de cartão de crédito no risco comercial e remediar os clientes em detrimento dos lucros resultou na tendência de
mitigação não legal de segmentos essenciais do crime cibernético e na baixa exigência de atenção e remediação do
incidente por parte de clientes.
Lidar com a maioria dos incidentes cibernéticos hoje não pode ser considerado um envolvimento
único. Uma intrusão na rede de um fornecedor de telecomunicações pode ser um incidente único,
mas também parte de uma campanha ou operação que só se torna evidente quando se comparam
notas com outros fornecedores, CERTs ou vítimas numa fase posterior.
Antes de um incidente atingir o limiar de um ataque relevante para a segurança nacional ou
mesmo de um ataque armado, ele poderia ser tratado e monitorado por diversas instituições. Os
factos recolhidos sobre a origem, duração, aspectos técnicos, etc. do incidente podem
desempenhar um papel significativo na determinação de uma resposta proporcional no caso de
o ataque eventualmente envolver autoridades de segurança nacional e militares. É, portanto,
essencial que os casos não fiquem limitados às fronteiras das operações comerciais ou da
experiência anterior.
As operações no ciberespaço não oferecem melhores observações. Em vez disso, destacam
as tensões crescentes entre as autoridades executivas e parlamentares em torno da extensão e
da essência das operações no ciberespaço ou da expectativa de privacidade, são ilustrativos da
www.it-ebooks.info
uma tendência mais ampla de diminuição do valor do Estado de direito. Analisando a operação Jogos
7
, operação cibernética dos EUA e de Israel para
Olímpicos (ver Farwell e Rohozinski 2012), uma alegada
retardar o progresso do Irão no desenvolvimento de armas nucleares, Farwell e Rohozinski sugeriram
que, ao conceber a operação, a Casa Branca excedeu a sua jurisdição sob a Constituição dos EUA,
que reserva ao Congresso o direito de declarar guerra, ou ao abrigo da Resolução dos Poderes de
Guerra (Farwell e Rohozinski 2012).
Dado o foco dividido e difuso das organizações internacionais, a principal responsabilidade pela
abordagem às ameaças e respostas à segurança cibernética cabe atualmente aos governos nacionais.
Sem uma compreensão profunda das ameaças e soluções disponíveis a nível nacional, qualquer
debate a nível internacional perderia o foco. Somente após o trabalho de casa nacional as áreas de
preocupação comum poderão ser referidas com detalhes suficientes para debater construtivamente as
soluções adicionais necessárias.
Após uma análise exaustiva dos instrumentos existentes, pode parecer que a lei já contém
obrigações aplicáveis para que os fornecedores de infra-estruturas e de serviços garantam os seus
serviços. Esta revelação pode alterar o cálculo daqueles que anteriormente concluíam que apenas
alterações na legislação nacional clarificariam o âmbito das obrigações para algumas partes interessadas.
5. Conclusão
Está a emergir um consenso relativamente à aplicabilidade do direito internacional no e para o

ciberespaço. Há muitas evidências de que a legislação de tratados internacionais existente afeta os
assuntos cibernéticos entre atores estatais e não estatais. Os Estados Unidos, a Rússia e a China
discordaram fortemente sobre uma série de questões fundamentais, incluindo a forma de definir e
enquadrar as questões cibernéticas e o modelo apropriado de governação da Internet, e a admissibilidade
da guerra cibernética. O relatório GGE da ONU de 2010 concluiu que “os acordos existentes incluem
normas relevantes para a utilização das TIC pelos Estados” (Relatório do grupo de peritos
governamentais sobre a evolução no domínio da informação e das telecomunicações no contexto da
segurança internacional. A/65/ 201, Assembleia Geral, Nações Unidas 2010) e reiterou no relatório de
2013 que o direito internacional se aplica aos conflitos cibernéticos (Declaração sobre o consenso
alcançado pelo Grupo de Peritos Governamentais da ONU sobre questões cibernéticas, Comunicado
de Imprensa do Estado dos EUA, 7 de junho de 2013). O recém-publicado Manual de Tallinn sobre o
Direito Internacional Aplicável à Guerra Cibernética
7
O Stuxnet, o componente mais conhecido da operação dos Jogos Olímpicos, foi o primeiro caso alegadamente
identificado de código informático ou malware transformado em arma visando o programa iraniano de
enriquecimento de urânio e amplamente considerado como um “uso da força”. Dois outros vírus informáticos
direcionados para espionagem surgiram pouco depois: Duqu em setembro de 2011 e Flame em maio de 2012.
Supostamente 20 vezes mais complexo que o Stuxnet, o Flame afetou computadores no Líbano, nos Emirados
Árabes Unidos, na Cisjordânia e no Irão. Diz-se que ele reuniu informações registrando toques no teclado,
gravando conversas ativando microfones e tirando capturas de tela. No Ministério do Petróleo e no terminal de
exportação de petróleo do Irão, o vírus também apagou informações em discos rígidos durante a recolha de
informações. Muitos atribuem isso aos Estados Unidos e a Israel. Essas alegações não foram confirmadas por
nenhum dos governos.
www.it-ebooks.info
124 E. Tikk Ringas
explica como se podem aplicar normas do Direito Internacional dos Conflitos Armados e do Direito
Internacional Humanitário às operações cibernéticas (Schmitt 2013).
As áreas de legislação potencialmente aplicável já estão praticamente cristalizadas. À luz dos ataques cibernéticos cada
vez mais sofisticados e generalizados e da intensificação do confronto entre Estados, muitas questões não hipotéticas e
declarações de interesse relevantes para o direito internacional foram levantadas a nível internacional.
Os desenvolvimentos e a quantidade de normas relacionadas com a segurança cibernética adotadas

no âmbito de uma variedade de mandatos regionais e internacionais deixam poucas dúvidas de que as
negociações no domínio do direito internacional e do ciberespaço estão em ascensão. Com a questão
agora a ser formulada como “como” em vez de “se”, os estados terão de discutir e chegar a acordo sobre
quais as normas existentes que são relevantes para a segurança cibernética e qual é a extensão da sua
aplicabilidade aos atuais assuntos cibernéticos.
Esta não é uma tarefa fácil de realizar. Normas juridicamente vinculativas relevantes para a segurança
cibernética são encontradas em diferentes áreas jurídicas, abrangendo desde os direitos humanos e as
telecomunicações até o comércio eletrónico, o crime cibernético, a legislação de segurança nacional e a
Lei dos Conflitos Armados. O alcance geopolítico das normas internacionais potencialmente aplicáveis é
muitas vezes menor do que o alcance global e as interpretações nacionais de normas distintas variam
consideravelmente, tal como as opiniões académicas. A orientação política sobre segurança cibernética
está espalhada por dezenas e dezenas de instrumentos que datam da década de 1980. No entanto,
muitas questões e soluções levantadas ao longo do tempo ainda são diretamente relevantes para
aquelas com as quais nos debatemos hoje. Entre outras advertências, os juristas notaram desde cedo a
dicotomia política básica entre os Estados Unidos e o resto do mundo sobre a propriedade e o controlo
dos sistemas de comunicações; os perigos resultantes dos conceitos de territorialidade e de Estado da
natureza transfronteiriça das comunicações globais; e a dificuldade que as leis existentes têm em
responder eficazmente a modelos de comunicação que não discriminam entre tipos de serviços de
comunicação (Branscomb 1986).
Um dos desafios advém do facto de a maioria das normas existentes exigirem uma revisão minuciosa
e possivelmente uma reformulação no contexto da segurança cibernética contemporânea, a fim de serem
“qualificadas” como soluções para a contestação cibernética generalizada. O Manual de Tallinn
compromete-se a colocar o Direito dos Conflitos Armados no contexto das operações cibernéticas
contemporâneas, oferecendo assim uma reformulação “cibernética” da lei de segurança rígida. Os
deveres internacionalmente reconhecidos de não intervenção e de proibição do uso da força, embora
aplicáveis globalmente, exigem uma compreensão mais coerente do que significam no contexto
cibernético. Por sua vez, a “lei cibernética”, que abrange tudo, desde a privacidade e os direitos de
autor até ao crime informático, precisa de ser revista numa perspectiva (dura) de segurança. Só depois
de reavaliar os direitos individuais e as considerações de segurança nacional seremos capazes de
aplicar normas de privacidade dentro do paradigma da segurança nacional e exercer a segurança
nacional tendo em mente os interesses empresariais e civis.
Numerosas normas de segurança cibernética são regionais e, portanto, carecem de implementação

e aplicação uniformes, exigindo potencialmente a codificação e a extensão da sua aplicabilidade. Em
alguns domínios, especialmente nas telecomunicações, pode ocorrer concorrência de normas regionais
e internacionais devido à falta de compreensão comum do que é “cibernético” e à diferença de interesses
e estratégias nacionais. Além disso, diferente
www.it-ebooks.info
escolas de pensamento e prática jurídica levam a diversas normas nacionais, ocasionalmente até
mesmo entre países com ideias semelhantes.
Recuperar a iniciativa de reparação legal no domínio da segurança cibernética será um desafio
tanto para as organizações internacionais como para os governos. No entanto, deixar de fazê-lo
quase não é uma opção.
Referências
Protocolo adicional à Convenção Europeia sobre Assistência Mútua em Matéria Penal. Conselho da Europa, Estrasburgo,
assinado em 17 de março de 1978. http://www.conventions.coe.int/Treaty/EN/ Treaties/HTML/099.htm
Acordo entre a República da Estónia e a Federação da Rússia sobre assistência jurídica e cooperação jurídica em
matéria civil, familiar e penal. Assinado em 26 de Janeiro de 1993, entrou em vigor em 19 de Março de 1995. Riigi
Teataja (Diário do Estado) II 1993, 16, 27; RT II 2002, 14, 58 Barlow JP (1996) Uma declaração de
independência no ciberespaço. http://homes.eff.org/*barlow/Declaration-Final.html Acessado em 5 de maio de 2011
Benatar M (2009) O uso da força cibernética: necessidade
de justificativa legal? Lei Internacional 1 de Goettingen J
(3):375–396
Branscomb AW (ed) (1986) Rumo a uma lei das redes globais de comunicações. Longman, Novo
Iorque
Bronk C, Tikk-Ringas E (2013) O ataque cibernético à Saudi Aramco. Survival: Global Politics and Strategy, 55(2):81–96
Brown G, Poellet K (2012)
O direito internacional consuetudinário do ciberespaço. Estratégia Stud Quar 6
(3):126–145
Brownlie I (1963) Direito internacional e o uso da força pelos estados. Clarendon Press, Comitê de Especialistas em
Terrorismo de Oxford (CODEXTER), 12ª reunião em Estrasburgo, 23–24 de abril de 2007, Relatório da reunião
CODEXTER (2007) 16. http://www.coe.int/t/dlapil/codexter/Source/meetings /codexter_m12_report_en.pdf Estudo
abrangente sobre crimes cibernéticos
(2013). Nações Unidas, 2013 http://www.unodc.org/documents/organized-crime/UNODC_CCPCJ_EG.4_2013/
CYBERCRIME_STUDY_210213 . pdf
Convenção sobre Crime Cibernético (2001). ETS 185, Conselho da Europa, assinado em 23 de Novembro de 2001,
entrada em vigor em 1 de julho de 2004
Cox N (2002) A regulação do ciberespaço e a perda da soberania nacional. Inf Commun Technol Law 11(3):241–253
Operações no ciberespaço (2010).
Documento de Doutrina da Força Aérea 3–12, Força Aérea dos Estados Unidos, Declaração de 2010 sobre os princípios
do direito internacional relativos às relações amistosas e à cooperação entre os Estados, de acordo com a Carta das
Nações Unidas. Resolução 2625 (XXXV) de 24 de outubro de 1970, Assembleia Geral, Nações Unidas
Demidov O (2012) Regulamentação internacional da segurança da informação e dos interesses nacionais da Rússia.
Índice de segurança: A Russ J Int Secur 18(4):15–32
Dinstein Y (2005) Guerra, agressão e autodefesa, 4ª ed. Cambridge University Press,
Cambridge
Directiva 2000/31/CE do Parlamento Europeu e do Conselho, de 8 de Junho de 2000, relativa a certos aspectos jurídicos
dos serviços da sociedade da informação, em particular do comércio electrónico, no Mercado Interno (Directiva sobre
o comércio electrónico). Jornal Oficial, (L 178), 17/7/2000, pp 0001— 0016
Diretiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de julho de 2002, relativa ao tratamento de dados
pessoais e à proteção da privacidade nas comunicações eletrónicas
www.it-ebooks.info
126 E. Tikk Ringas
sector (Directiva relativa à privacidade e às comunicações electrónicas). Jornal Oficial, (L 201), 31/07/2002
Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das
pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados.
Jornal Oficial, (L 281), 23/11/1995, pp 0031–0050
Easterbrook FH (1996) Ciberespaço e a Lei do Cavalo. Convenção Europeia do Fórum Legal da Universidade de
Chicago sobre direitos humanos (1950). Tribunal Europeu dos Direitos Humanos, Estrasburgo,
1950
Convenção Europeia sobre Assistência Mútua em Matéria Penal (1959). Conselho da Europa, Estrasburgo, assinado em
20 de abril de 1959. http://www.conventions.coe.int/Treaty/en/Treaties/Html/ 030.htm
Farwell JP, Rohozinski R (2011) Stuxnet e o futuro da guerra cibernética. Survival: Global Politics and Strategy,
53(1):23–40 Farwell JP,
Rohozinski R (2012) A nova realidade da guerra cibernética. Sobrevivência: Estratégia Política Globa, 54
(4):107–120
Farwell J, Rohozinski R (2012) A nova realidade da guerra cibernética. QI de defesa. http://www.defenceiq.
com/cyber-defence/articles/the-new-reality-of-cyber-wa/
Fisher EA (2013) Leis federais relacionadas à segurança cibernética: visão geral e discussão das revisões
propostas. Relatório CRS para o Congresso, Serviço de Pesquisa do Congresso, Washington, DC
Herrera GL (2005) Ciberespaço e soberania: reflexões sobre o espaço físico e o espaço digital.
Preparado para a 1ª conferência internacional CISS/ETH sobre a revolução da informação e a face mutável das
relações internacionais e da segurança, Lucerna, Suíça, Maio de 2005, pp 23–25
Hollis DB (2007) Por que os estados precisam de uma lei internacional para a operação da informação. Lewis
Clark Law Rev 11(4):1023–
1061 Documento de direitos humanos A/HRC/20/L.13 (2012). Nações Unidas,
Comissão de Direito Internacional de 2012 (2001) Projeto de artigos sobre a responsabilidade dos Estados por
atos internacionalmente ilícitos. Suplemento nº 10 (A/56/10), cap.IV.E.1, disponível em: http://www.refworld.
org/docid/3ddb8f804.html
Lessig L (1999) A Lei do Cavalo: O que a lei cibernética pode ensinar. Lei de Harvard Rev 113:501–
546
Lista dos tratados decorrentes do tema: Cooperação jurídica em matéria penal. Conselho da Europa (2008) http://
www.conventions.coe.int/Treaty/Commun/ListeTraites.asp?MA= 20&CM=7&CL=ENG. Acessado em 11 de
abril de 2008
Índice de risco Lloyd's (2013). http://www.lloyds.com Acessado em 5 de maio de
2011 Dicionário Merriam-Webster: Cyber (2013). http://www.merriam-webster.com/dictionary/cyber Acessado em
5 de maio de 2011
Dicionário Merriam-Webster: Segurança (2013). http://www.merriam-webster.com/dictionary/
segurança Acessado em 5 de maio
de 2011 Relatório Norton sobre crimes cibernéticos
(2012) Symantec, 2012 Pellet A (2010) A definição de responsabilidade no direito internacional. In: Crawford J,
Pellet A, Olleson S, Parlett K (eds) O direito da responsabilidade internacional. Imprensa da Universidade de
Oxford, Oxford, pp 3–16
Polanski PP (2007) Direito consuetudinário da Internet. In: a busca por um ciberespaço supranacional
lei. TMC Asser Press, Haia
Proteção de funções de missão crítica para obter sistemas e redes confiáveis, instrução DoD 5200.44.
Departamento de Defesa dos Estados Unidos da América, Relatório de 2012
do grupo de peritos governamentais sobre a evolução no domínio da informação e das telecomunicações no
contexto da segurança internacional. A/65/201, Assembleia Geral, Nações Unidas, 2010
Rustad ML (2009) Lei da Internet em poucas palavras. Thomson Reuters, Saint Paul, Minnesota
Rutkowski A (2011) Direito internacional público dos instrumentos internacionais de telecomunicações:
disposições do tratado de segurança cibernética desde 1850. Info 13(1):13–31
www.it-ebooks.info
Schmitt MN (1998–1999) Ataque a redes de computadores e o uso da força no direito internacional: reflexões sobre
uma estrutura normativa. Columbia Journal of Transnational Law 37:885—937 Schmitt MN (ed) (2013) Manual
de Tallinn sobre o direito internacional aplicável à guerra cibernética.
Cambridge University Press, Nova Iorque
Segundo protocolo adicional à convenção europeia sobre assistência mútua em matéria penal.
Conselho da Europa, Estrasburgo, assinado em 8 de Novembro de 2001. http://www.conventions.coe.int/ Tratado/
EN/Treaties/HTML/182.htm
Sieber U (1986) O manual internacional sobre crimes informáticos: crimes económicos relacionados com computadores
e as violações da privacidade. Wiley, Nova York
Sieber U (1998) Aspectos jurídicos do crime informático na sociedade da informação: estudo COMCRIME. Comissão
Europeia SS Wimbledon (Reino
Unido v. Japão) (1923) Publicações do tribunal permanente de justiça internacional, Série A—No. 1; Coleção de
Julgamentos e Ordens, Editora AW Sijthoff, Leyden
Declaração sobre o consenso alcançado pelo Grupo de Peritos Governamentais da ONU sobre questões cibernéticas,
comunicado de imprensa do Estado dos EUA, 7 de junho de 2013. http://www.state.gov/r/pa/prs/ps/
2013/06/210418.htm Estratégias e políticas. Centro Cooperativo de Excelência em Defesa Cibernética da OTAN 2015. www.
ccdcoe.org/strategies-policies.html
Tikk E, Talihärm AM (eds) (2010) Procedimentos jurídicos e políticos de segurança cibernética internacional.
CCD COE, Declaração
Universal dos Direitos Humanos de Tallinn (1948). Nações Unidas, 1948 Warner M
(2012) Cibersegurança: Uma pré-história. Intell National Secur 27(5):781–799 Wingfield T, Tikk E (2010)
Estruturas para segurança cibernética internacional: o cubo, a pirâmide e a tela. Tikk E, Taliharm AM. Procedimentos
legais e políticos internacionais de segurança cibernética. CCD COE, Tallinn, pp 16–22 Wolfers A (1952) A
segurança nacional como um símbolo ambíguo.
Political Sci Quart 67(4):481–502 Ziolkowski K, ed. (2013) Regime em tempo de paz para atividades estatais no
ciberespaço: relações internacionais e diplomacia. OTAN, Tallinn , http://www.ccdcoe.org/publications/books/Peacetime-
Regime.pdf
www.it-ebooks.info
Estratégia e implementação finlandesa de

segurança cibernética
Antti Sillanpää, Harri Roivainen e Martti Lehto
Resumo Soluções técnicas e automatizadas e redes de informação, que tornam

possível o planeamento, a orientação e a implementação de forma rápida e económica,
são amplamente utilizadas na sociedade da informação finlandesa. O outro lado deste
desenvolvimento é a crescente dependência de sistemas técnicos e redes de informação
extensos e complicados. As falhas nestes sistemas ou, por exemplo, no seu
fornecimento de energia podem afectar rapidamente a segurança global da sociedade.
As ameaças contra a segurança na sociedade tornaram-se mais multifacetadas e,
consequentemente, mais complicadas. As ameaças já não podem ser divididas
claramente em ameaças militares e não militares ou em ameaças internas e externas;
muitas vezes estão interligados entre si, são difíceis de prever e podem ocorrer num
curto espaço de tempo. A segurança interna e a segurança externa estão cada vez
mais interligadas e muitas vezes não é apropriado ou mesmo possível separá-las uma
da outra. A espionagem, os crimes e as operações cibernéticas entre Estados têm
vindo a crescer e a tendência parece estar a aumentar (Turvallinen Suomi: Tietoja Suomen kokonaistu
1. Introdução
A Estratégia de Segurança para a Sociedade da Finlândia, que foi actualizada em 2010,

tem em conta as ameaças cibernéticas, que significam ameaças contra ambientes de
informação e redes de informação na sociedade da informação. Vários estados e
A. Sillanpää (&) H. Roivainen

Comitê de Segurança, Ministério da Defesa, Helsinque,
H. Roivainen
M. Lehto
Departamento de Tecnologia da Informação Matemática da Universidade de Jyväskylä, Jyväskylä, Finlândia

www.it-ebooks.info
130 A. Sillanpää et al.
organizações internacionais também levantaram a questão da preparação para ameaças

cibernéticas no planeamento e desenvolvimento das suas atividades. As ameaças
cibernéticas surgiram como um elemento central quando se considera a segurança geral
da sociedade, tanto na Finlândia como em outros países de alta tecnologia. Devido à
própria natureza das ameaças à segurança de base ampla, preparar-se para elas e enfrentá-
las exige uma forte cooperação nacional e internacional e acordos de cooperação acordados.
A Estratégia de Segurança Cibernética da Finlândia, publicada como Resolução do
Governo em 24.1.2013, faz parte da implementação da estratégia abrangente de segurança
da sociedade. Na estratégia são definidos os principais objectivos e políticas com os quais
os desafios do domínio cibernético são enfrentados e o seu funcionamento é garantido.
Através da elaboração de políticas da Estratégia de Segurança Cibernética e das medidas
necessárias para a sua implementação, a Finlândia será capaz de gerir a nível nacional os
efeitos adversos intencionais e não intencionais do domínio cibernético, para os enfrentar
e para recuperar deles. A implementação da estratégia foi iniciada e será implementada à
maneira finlandesa, observando os princípios de segurança abrangente, onde cada ramo
administrativo e ator é responsável pela sua parte na consecução dos objetivos apresentados
na estratégia.
2 Segurança Abrangente
A segurança abrangente como modelo operacional na Finlândia é o resultado de um

desenvolvimento que se estende por décadas. O trabalho começou em 1958 sob a forma
de planeamento de contingência regional que se desenvolveu no conceito de defesa nacional total.
Durante a última década, surgiu o conceito de segurança abrangente. No Relatório de
Política Externa e de Segurança de 2012, a preparação é definida da seguinte forma:
A preparação da sociedade finlandesa materializa-se no conceito abrangente de segurança,

o que significa que as funções vitais da sociedade são garantidas através da colaboração
entre as autoridades, a comunidade empresarial, as organizações e os cidadãos.
A segurança abrangente não se trata apenas de cooperação entre ramos administrativos,

mas refere-se às diversas formas de beneficiar dos recursos da sociedade e à continuidade
do modelo de preparação da Finlândia. O funcionamento da sociedade é garantido para
que cada interveniente, por sua vez, seja responsável pela preparação e pela acção em
tempos de crise, a fim de alcançar o objectivo nacional definido em conjunto.
A Estratégia de Segurança para a Sociedade da Finlândia, publicada como Resolução
do Governo em 16.12.2010, define os fundamentos para uma segurança abrangente na
sociedade. Com base no conceito abrangente de segurança, as funções vitais para a
sociedade e as ameaças contra elas, as responsabilidades e tarefas estratégicas dos
diferentes ramos administrativos e os fundamentos da gestão de crises são definidos na
Estratégia. Contém também os princípios do acompanhamento e desenvolvimento da sua
implementação, bem como os princípios da formação para a preparação e gestão de crises.
A Estratégia de Segurança para a Sociedade sublinha a preparação e a segurança das
funções vitais da sociedade em todas as circunstâncias. As funções vitais para
www.it-ebooks.info
Estratégia e implementação finlandesa de segurança cibernética 131
sociedade incluem a gestão dos assuntos governamentais, a actividade internacional, a

capacidade de defesa da Finlândia, a segurança interna, o funcionamento da economia e das
infra-estruturas, a segurança do rendimento da população e a capacidade de funcionamento, e
a resiliência psicológica à crise. Os cenários de ameaça da estratégia dizem respeito ao
fornecimento de energia eléctrica, aos sistemas de telecomunicações e às TIC electrónicas, aos
sistemas de transportes, aos serviços públicos, ao abastecimento alimentar, aos sistemas
financeiros e de pagamentos, à disponibilidade de financiamento público, à saúde e ao bem-
estar da população, aos acidentes graves, aos fenómenos naturais extremos e ao impacto
ambiental. ameaças, terrorismo e outras formas de criminalidade que põem em perigo a ordem
social, a segurança das fronteiras, a pressão política, económica e militar e o uso da força militar.
Apoiado na reunião dos chefes de preparação dos ministérios, o Comité de Segurança é
responsável pelo acompanhamento conjunto e desenvolvimento da implementação da Estratégia.
A resolução do Governo sobre segurança abrangente foi publicada em 5.12.2012 com o
objetivo de clarificar a organização e as responsabilidades pela segurança abrangente,
particularmente a nível governamental. O chefe de preparação de cada ministério auxilia o
secretário permanente na implementação das tarefas de preparação e de segurança. A reunião
dos secretários permanentes e a reunião dos chefes de preparação são órgãos de cooperação
permanente. A reunião dos secretários de preparação auxilia os chefes de preparação. De
acordo com a resolução, o Comité de Segurança foi criado para servir como um órgão de
cooperação permanente, na busca de uma preparação proactiva para uma segurança abrangente.
Os seus membros incluem um secretário de Estado, nomeado para o mandato do Primeiro-

Ministro, secretários permanentes dos ministérios, Secretário-Geral do Gabinete do Presidente,
Chefe do Comando de Defesa da Finlândia, Chefe da Guarda de Fronteira Finlandesa, CEO do
Serviço Nacional de Emergência Agência de Abastecimento, Diretor-Geral do Departamento de
Serviços de Resgate, Comissário Nacional da Polícia e Diretor-Geral das Alfândegas
Finlandesas. O Comité de Segurança tem como missão:
• ajudar o Governo e os seus ministérios nos preparativos para uma implementação abrangente
segurança e na coordenação dessa preparação
• acompanhar e avaliar como as mudanças no ambiente da política de segurança e defesa da
Finlândia e na sociedade impactam os acordos de segurança abrangentes • acompanhar as
medidas tomadas pelos diferentes ramos e níveis de administração para manter e desenvolver
uma preparação abrangente relacionada com a segurança
• quando necessário, integrar questões extensas e importantes relacionadas com a preparação,

tais como a coordenação da preparação nacional e o desenvolvimento de formas de
cooperação, modelos operacionais, investigação e exercícios (Resolução do Governo:
Segurança Abrangente 2012).
Uma das tarefas do Comité de Segurança é coordenar a preparação das principais estratégias
relacionadas com a segurança. Não tem a função de liderar ou orientar quando ocorre uma
perturbação ou outro tipo de situação de crise ou emergência; as autoridades competentes são
responsáveis pelas medidas de preparação e orientação nos seus ramos administrativos.
O Comité de Segurança coordena a preparação para a segurança cibernética, monitoriza a
implementação da Estratégia de Segurança Cibernética e apresenta propostas para medidas futuras
www.it-ebooks.info
desenvolvimento. O Comité de Segurança atua em estreita cooperação com outros órgãos de

cooperação que coordenam questões relacionadas com a segurança cibernética no âmbito das suas
próprias tarefas.
O Governo orienta e monitoriza a preparação proactiva e cada ministério faz o mesmo nas suas
respectivas áreas de responsabilidade. Exemplos de preparação proactiva incluem planos de contingência
e planos para gerir incidentes, preparativos técnicos e estruturais antecipados face a condições ou
perturbações de emergência, modelos de cooperação e modelos operacionais, formação e exercícios,
e instalações e recursos críticos atribuídos. A preparação também abrange o planeamento da
comunicação e do processamento de informações durante condições de emergência e perturbações. O
Governo, as autoridades administrativas, as agências, os estabelecimentos e os municípios são
responsáveis pela implementação da preparação proactiva
medidas.
Nas perturbações, a legislação existente e os princípios introduzidos na Estratégia de Segurança

para a Sociedade são seguidos enquanto a autoridade competente dirige as operações. A autoridade
responsável inicia as medidas relacionadas à gestão de incidentes e informa a situação em tempo real,
com precisão e de acordo com as práticas acordadas. Outras autoridades participarão na gestão da
situação, fornecendo assistência executiva de acordo com os regulamentos, conforme necessário. A
premissa é agir através da organização regular das autoridades e de acordo com modelos operacionais
regulares.
3 Segurança Cibernética como Parte de uma Segurança Abrangente
A crescente intensidade de informação da sociedade, o aumento da propriedade estrangeira e da

externalização, a integração entre as tecnologias de informação e comunicação, a utilização de redes
abertas, bem como a crescente dependência da electricidade estabeleceram requisitos totalmente novos
para garantir as funções vitais da sociedade em condições normais, durante perturbações graves. em
condições normais e em condições de emergência.
As ameaças contra o domínio cibernético têm repercussões cada vez mais graves para os indivíduos,
as empresas e a sociedade em geral. Os perpetradores são mais profissionais do que antes e hoje as
ameaças incluem até intervenientes estatais. Ao explorar as vulnerabilidades do sistema, a abertura do
domínio cibernético possibilita a realização de ataques de todo o mundo. Tais vulnerabilidades existem
na acção humana, nos processos organizacionais e na tecnologia TIC utilizada. É muito difícil proteger-
se contra malware complexo e sofisticado e identificar ou localizar os autores. A crescente proliferação
da tecnologia da informação na produção industrial e nos sistemas de controlo criou novas vulnerabilidades
e possíveis alvos para ataques cibernéticos. Os ataques cibernéticos podem ser utilizados como meio
de pressão política e económica; numa crise grave, a pressão pode ser exercida como um instrumento
de influência ao lado dos meios tradicionais de força militar.
No modelo finlandês o domínio cibernético também é visto como uma possibilidade e um recurso.
Um domínio cibernético seguro torna mais fácil para indivíduos e empresas
www.it-ebooks.info
planeiam as suas actividades, o que por sua vez estimula a actividade económica. Um ambiente
de trabalho adequado também aumenta o apelo da Finlândia para os investidores internacionais.
Além disso, a própria segurança cibernética é uma área de negócio nova e em fortalecimento. A
segurança cibernética nacional está interligada com o sucesso das empresas finlandesas.
Dado que a Estratégia de Cibersegurança da Finlândia será implementada em consonância
com os princípios da Estratégia de Segurança para a Sociedade, as autoridades competentes são
responsáveis pela gestão de incidentes e pela preparação relacionada. O Estado de direito e a
divisão de funções existente são seguidos na gestão de incidentes cibernéticos. Os mesmos
princípios são seguidos em condições normais e em condições de emergência.
A divisão de funções das autoridades e o modi operandi dos órgãos de cooperação permanecerão
em condições normais. O Ministério dos Transportes e Comunicações é responsável por garantir
as funções dos sistemas de TIC, enquanto o Ministério das Finanças é responsável por garantir
as funções de TI e a segurança da informação, bem como os sistemas de serviços comuns no
governo central. A Estratégia de Segurança Cibernética e a sua implementação fazem parte da
implementação da Estratégia de Segurança para a Sociedade. O objetivo é manter o fluxo
ininterrupto e seguro de diferentes funções na vida cotidiana e durante perturbações. Os seguintes
princípios são seguidos no desenvolvimento da segurança cibernética (Estratégia de Segurança
Cibernética da Finlândia de 2013):
1. Sendo a segurança cibernética uma parte essencial da segurança abrangente da sociedade, a

abordagem para a sua implementação segue os princípios e procedimentos estabelecidos na
Estratégia de Segurança para a Sociedade.
2. A segurança cibernética depende dos mecanismos de segurança da informação de toda a
sociedade. A segurança cibernética depende de soluções adequadas e suficientes de
segurança das redes de TIC e de telecomunicações, estabelecidas por todos os intervenientes
que operam no mundo cibernético. Vários acordos e exercícios colaborativos avançam e
apoiam a sua implementação.
3. A abordagem para a implementação da segurança cibernética baseia-se na recolha eficiente e
abrangente de informações, num sistema de análise e recolha, bem como na consciência
comum e partilhada da situação, na cooperação nacional e internacional na preparação. Isto
requer a criação de um Centro de Segurança Cibernética, bem como o desenvolvimento de
mecanismos de segurança da informação 24 horas por dia, 7 dias por semana, para toda a
sociedade.
4. Os acordos de segurança cibernética seguem a divisão de funções entre as autoridades,
empresas e organizações, de acordo com os estatutos e a cooperação acordada. A rápida
adaptabilidade, bem como a capacidade de aproveitar novas oportunidades e reagir a
situações inesperadas, exige uma consciência de agilidade estratégica e conformidade por
parte dos intervenientes, à medida que continuam a desenvolver e a gerir as medidas que
visam alcançar a segurança cibernética.
5. A segurança cibernética está sendo construída para atender aos seus requisitos funcionais e
técnicos. Além da acção nacional, estão a ser dados contributos para a cooperação
internacional, bem como para a participação em I&D e exercícios internacionais.
A implementação de P&D e educação em segurança cibernética em diferentes níveis
www.it-ebooks.info
não só fortalece os conhecimentos nacionais, como também reforça a Finlândia como sociedade
da informação.
6. O desenvolvimento da segurança cibernética investirá fortemente na investigação e desenvolvimento
cibernético, bem como na educação, no emprego e no desenvolvimento de produtos, para que a
Finlândia possa tornar-se um dos países líderes em segurança cibernética.
7. A fim de garantir o desenvolvimento da segurança cibernética, a Finlândia assegurará a existência
de legislação e incentivos adequados para apoiar as atividades empresariais e o seu desenvolvimento
neste domínio. O conhecimento básico na área é adquirido por meio da atividade empresarial.
4 Estratégia de Segurança Cibernética
A nível político, o desenvolvimento da segurança cibernética é um dos principais projectos do Governo.

De acordo com o programa do Governo, a Finlândia preparará uma estratégia cibernética sobre
segurança da informação nacional e participará activamente na cooperação internacional neste domínio.
Como parte deste trabalho, a resolução do Governo sobre a Estratégia de Segurança Cibernética da
Finlândia foi publicada em 24 de janeiro de 2013.
Embora o objectivo definido pela liderança política forneça um mandato claro para procurar novos
modelos operacionais no domínio cibernético, o trabalho depende, no entanto, dos pontos fortes
existentes. Sendo um país de alta tecnologia, a Finlândia tem excelentes condições prévias para se
tornar um país líder no domínio da segurança cibernética. Os sectores público e privado, bem como os
diferentes ramos administrativos, têm uma longa história de cooperação estreita e confiável. A visão da
segurança cibernética da Finlândia é que:
• A Finlândia é capaz de proteger as funções vitais para a sociedade contra ameaças cibernéticas
em todas as situações
• Cidadãos, autoridades e empresas podem beneficiar do domínio cibernético e da competência gerada

para protegê-lo de forma eficiente, tanto a nível nacional como internacional.
• Em 2016, a Finlândia é reconhecida internacionalmente como pioneira na preparação para ameaças

cibernéticas e na gestão dos incidentes por elas causados.
A estratégia de segurança cibernética e o seu dossiê de base sugerem que tipo de investimentos a
sociedade deve fazer para a segurança cibernética. Aqui, o foco está na definição de políticas
estratégicas através das quais podem ser criadas condições prévias para cumprir uma visão nacional
para a segurança cibernética, conforme descrito acima. Abaixo estão as diretrizes estratégicas que são
seguidas pelas avaliações dos redatores.
1. Criar um modelo colaborativo eficiente entre as autoridades e outros intervenientes com o objectivo
de promover a segurança cibernética e a defesa cibernética nacionais. A primeira diretriz apresenta o
esboço mais claro da estratégia como parte do conceito de segurança abrangente. Modi operandi
comuns têm sido usados e treinados na Finlândia, mas quando os incidentes cibernéticos que avançam
rapidamente e se cruzam facilmente declaram
www.it-ebooks.info
limites e áreas de responsabilidades ocorrem, o papel dos modi operandi comuns é destacado. A
consciência situacional abrangente, a formação e os exercícios e todo o desenvolvimento de
capacidades exigem cooperação na nova situação. A troca de informações entre as autoridades e a
vida empresarial também surge como um elemento-chave.
2. Melhorar a sensibilização abrangente para a situação de segurança cibernética entre os principais

intervenientes que participam na garantia de funções vitais da sociedade. A
segunda orientação sublinha a importância da sensibilização para a situação. O objetivo é produzir
informações atualizadas, completas e analisadas sobre vulnerabilidades e incidentes e seu impacto na
sociedade, com o objetivo de gerar um quadro abrangente sobre a possível escalada de problemas.
Um quadro de situação de base ampla incorpora, assim, perspectivas políticas, militares, sociais,
culturais, técnicas, tecnológicas e económicas. Na prática, é muito difícil criar uma visão tão abrangente
numa situação em rápida evolução.
A capacidade transformacional das ameaças cibernéticas coloca grandes desafios à abordagem

proativa. Os investigadores raramente são capazes de prever o que vai acontecer e quando,
especialmente se nada semelhante aconteceu antes. Se, no entanto, um fenómeno fosse de alguma
forma previsível, a credibilidade de uma avaliação seria baixa. Uma coisa radicalmente nova não pode
ser absorvida pelo público ou pelos leitores.
O papel da abordagem proactiva pode, portanto, ser dividido entre uma imagem da situação mais
operacional e a investigação. A tarefa da pesquisa é procurar formas completamente novas de
manifestação, enquanto um quadro de situação começa com a combinação de observações separadas
e compará-las com casos semelhantes o mais rápido possível. Devido à sua natureza multidimensional,
a criação de uma imagem da situação de segurança cibernética baseia-se numa abordagem em rede.
O futuro Centro de Cibersegurança estará no centro destas atividades. Os seus serviços incluem a
recolha de informação e a criação, compilação, manutenção e divulgação do quadro da situação.
Como o Centro não será capaz de fazer isto sozinho, cooperará estreitamente com parceiros nacionais
e internacionais. No entanto, a criação do Centro não altera o facto de o controlo dos danos dos
incidentes cibernéticos ser da responsabilidade das autoridades e das empresas a quem o incidente
diz respeito. A cooperação entre o Centro de Cibersegurança e o Centro de Situação Governamental
(GOVSITCEN) garante que a capacidade de reação de sensibilização para a situação seja melhorada
também a nível político e operacional.
3. Manter e melhorar as capacidades das empresas e organizações críticas para as funções vitais da
sociedade no que diz respeito à detecção e repelir ameaças e perturbações cibernéticas que
comprometam qualquer função vital e as suas capacidades de recuperação como parte da gestão de
continuidade da comunidade empresarial. A maior parte da infra-estrutura crítica é propriedade
privada e gerida comercialmente. O papel das empresas é central na produção de segurança
abrangente. Durante muito tempo, diversas empresas estiveram envolvidas em trabalhos significativos
na segurança da organização do abastecimento. A organização baseia-se em rede, mantendo e
desenvolvendo a segurança do abastecimento sob o princípio da parceria público-privada. Cerca de
duas mil empresas e organizações essenciais para as funções vitais da sociedade contribuem para a
Agência Nacional de Abastecimento de Emergência.
www.it-ebooks.info
Há uma longa história de segurança e planejamento de contingência em empresas onde os

incidentes cibernéticos são um fenômeno novo. Ao melhorar a sua própria preparação, as
empresas também apoiam a preparação de toda a sociedade. A avaliação de riscos, a detecção
e identificação de incidentes e a minimização dos efeitos prejudiciais foram assumidos como
objectivos na definição das directrizes. Quando os efeitos prejudiciais são minimizados e a
capacidade de recuperação é reduzida, a tolerância é melhorada. A organização de segurança
do abastecimento apoia esta atividade através de relatórios, instruções e treinamento.
4. Garantir que a polícia tenha capacidades suficientes para prevenir, expor e resolver o crime
cibernético Como regra,
quando os crimes estão relacionados com o domínio cibernético, a polícia é a autoridade
competente na prevenção, resolução e denúncia de crimes para a apresentação de acusações.
Uma rede de informação é um ambiente lucrativo com uma relação risco-recompensa atraente
para os perpetradores cometerem crimes com fins económicos ou terroristas. Também o crime
organizado mais tradicional explora as vulnerabilidades das redes e sistemas de informação. Os
ataques cibernéticos podem ser usados para pôr em perigo a infraestrutura crítica da sociedade
e realizar ataques terroristas. Além dos actos terroristas, também as fraudes, o abuso sexual de
crianças e a espionagem industrial são cada vez mais perpetrados no domínio cibernético.
A Estratégia e a sua implementação exigem que a polícia tenha poderes e recursos

suficientes no novo ambiente operacional. Em questões relacionadas com poderes, é útil
comparar as práticas finlandesas com as dos seus homólogos estrangeiros.
A cooperação internacional e o intercâmbio de informações são extremamente importantes para
combater a criminalidade transfronteiriça. Os parceiros mais fortes encontram-se nas autoridades
e organizações responsáveis pela aplicação da lei, como a Europol, dos países da UE.
5. As Forças de Defesa Finlandesas criarão uma capacidade abrangente de defesa cibernética
para as suas tarefas estatutárias. Na
Finlândia, a “cibernética” não se tornou uma dimensão militar separada; os seus efeitos
manifestam-se em todos os ramos de serviço e amplamente nas Forças de Defesa. De acordo
com as diretrizes, uma capacidade militar de defesa cibernética abrange inteligência, bem como
capacidades de ataque cibernético e de defesa cibernética. Para garantir capacidades, serão
desenvolvidas informações e medidas proactivas no mundo cibernético como elementos de outras forças militare
Do ponto de vista militar, o quadro da situação cibernética deve ser compilado para gerar um
alerta precoce, garantir o tempo de preparação e causar impacto. Da mesma forma que a polícia,
a administração da defesa deve reflectir sobre as questões relacionadas com os poderes e
possíveis necessidades legislativas.
As Forças de Defesa têm exercido tradicionalmente com outras autoridades e intervenientes; a
dimensão cibernética pode afetar a natureza dos exercícios conjuntos e aumentar a procura dos
mesmos.
6. Reforçar a segurança cibernética nacional através da participação activa e eficiente nas
actividades de organizações internacionais e fóruns colaborativos que são críticos para a
segurança cibernética. Na
cooperação internacional, as autoridades são responsáveis pelos seus próprios ramos.
O objetivo é que cada ator pratique a cooperação com precursores internacionais para que a
troca de informações e a aprendizagem acelere o próprio processo de aprendizagem.
www.it-ebooks.info
Além dos parceiros individuais, as orientações destacam a importância dos países nórdicos, da União
Europeia e de muitas organizações internacionais no desenvolvimento da segurança cibernética. Estes
incluem a ONU, a OSCE, a NATO e a OCDE. O papel da UE, que coopera com os Estados e as organizações,
está a tornar-se mais importante também nesta área.
7. Melhorar os conhecimentos e a sensibilização cibernética de todos os intervenientes sociais

Dado que o sistema educativo finlandês tem sido frequentemente classificado como o melhor do mundo,
deve ser incluído nas áreas claramente fortes da estratégia de segurança cibernética. À medida que a
importância da segurança cibernética aumenta, haverá uma procura crescente de uma abordagem
profissional e de uma maior sensibilização geral. Melhorar a competência tem sido visto como a forma mais
económica de melhorar a segurança. A educação e a formação disponíveis, bem como as contribuições
para a investigação, deverão satisfazer estas necessidades.
A investigação, o desenvolvimento de produtos, a educação e a formação a diferentes níveis apoiam a
sociedade e os seus membros, proporcionando competências funcionais numa nova situação.
Após a publicação da Estratégia de Segurança Cibernética, as empresas e os estabelecimentos de

ensino começaram a desenvolver novas formas de cooperação. A Agência Finlandesa de Financiamento
para a Tecnologia e Inovação (TEKES), que oferece financiamento público, apoia também o desenvolvimento
de redes cibernéticas. Financiado principalmente pela TEKES, um importante centro estratégico de ciência,
tecnologia e inovação na Finlândia, o DIGILE tem a tarefa de reunir e sistematizar a investigação e o
desenvolvimento e torná-los mais eficazes. Outro exemplo é o Laboratório de Segurança Cibernética, que é
um projeto do Centro de Pesquisa Técnica VTT da Finlândia e do Cluster Finlandês de Segurança da
Informação, FISC. Os seus novos serviços irão melhorar a preparação e o grau de origem nacional da
segurança da informação. Um exemplo de cooperação entre estabelecimentos de ensino é o programa
Cidades Inovadoras (INKA), liderado pela cidade de Jyväskylä e que envolve universidades e politécnicos.
8. Garantir as condições prévias para a implementação de medidas eficazes de segurança cibernética

através da legislação nacional. Quando analisados
do ponto de vista legislativo, tanto os acontecimentos no mundo cibernético como os incidentes resultantes
no mundo real devem ser tidos em conta.
É por isso que, para além dos interesses da polícia e das Forças de Defesa, como afirmado anteriormente,
as questões relacionadas com o ciberespaço levam facilmente à identificação das necessidades de mudança.
A legislação deve dotar as autoridades competentes e outros intervenientes em diferentes domínios de
meios e poderes suficientes para garantir as funções vitais da sociedade e, especialmente, a segurança do
Estado contra ameaças cibernéticas. Ao avaliar ramos administrativos específicos, podem ser identificadas
obrigações baseadas em tratados internacionais, resultando na necessidade de revisão de disposições.
Isto pode dizer respeito à troca de informações, por exemplo.
A possibilidade de particulares e empresas beneficiarem eficazmente do domínio cibernético seguro é

destacada na visão estratégica. A concretização das possibilidades significa também que a legislação deve
proporcionar um ambiente favorável ao desenvolvimento das atividades empresariais.
www.it-ebooks.info
9. Atribuir tarefas relacionadas com a segurança cibernética, modelos de serviços e padrões

comuns de gestão da segurança cibernética às autoridades e intervenientes na comunidade
empresarial.
A primeira diretriz que trata da criação de um modelo colaborativo está intimamente ligada à
diretriz discutida aqui. A atribuição de responsabilidades e tarefas é muito importante, mas
também parece ser, em alguns aspectos, difícil. Ao trabalhar em uma diretriz emergem as
avaliações de risco e análises de maturidade dos ramos administrativos; com base nestas áreas
problemáticas significativas e ferramentas de gestão podem ser identificadas. Os programas de
implementação nacionais e sectoriais destacam ferramentas com as quais é possível enfrentar
desafios e progredir em direcção à visão desejada. O setor público apoia a elaboração de planos
de ação para a comunidade empresarial em cooperação com a organização da segurança do
abastecimento.
Os modelos de organização da segurança do abastecimento também dão suporte neste trabalho.
10. A implementação da Estratégia e a sua conclusão serão monitorizadas. A implementação da
Estratégia de Segurança Cibernética segue a ordem regular: os ministérios e agências são
responsáveis pelo trabalho atribuído aos seus ramos administrativos. A autoridade competente
toma as decisões com base no que está previsto na lei. Os ministérios, agências e
estabelecimentos devem incluir os recursos para a implementação da Estratégia de Segurança
Cibernética nos seus planos operacionais e financeiros. O Conselho de Gestão da Segurança da
Informação do Governo (VAHTI), localizado no Ministério das Finanças, processará e coordenará
as principais directrizes de segurança da informação e segurança cibernética do governo central.
É tarefa do Comité de Segurança monitorizar e coordenar a implementação da estratégia.

Os objetivos da coordenação são evitar a sobreposição de medidas, identificar possíveis
deficiências e estabelecer responsabilidades. A implementação e a orientação serão discutidas
posteriormente (Fig. 1).
Figura 1 Diretrizes estratégicas da Estratégia de Segurança Cibernética da Finlândia
www.it-ebooks.info
5 Processo Genérico de Estratégia Cibernética
5.1 Caráter do Processo
Uma estratégia normalmente implica mudança organizacional. Envolve ser orientado para
o futuro, com o objetivo de fazer as coisas no futuro melhor do que foram feitas
anteriormente. O processo estratégico implica a realização do potencial de uma organização
para alcançar algo que seja mais desenvolvido ou melhor em comparação com a situação
actual. O processo abrange a situação actual e os seus problemas, e cria o desejo de
pensar fora do quadro actual e avançar em direcção ao futuro. Existem muitas maneiras de
definir o processo estratégico e de descrever suas diferentes fases. A visão predominante
abrange um processo estratégico contínuo no qual as fases do processo são continuamente
repetidas e criam crescimento e desenvolvimento contínuos.
O que significa estratégico? A estratégia, enquanto conceito, está normalmente
associada à acção da gestão de topo e tem-lhe grande importância atribuída. Embora a
decisão estratégica de uma organização ou instituição possa ser interpretada como
“estratégica”, pode a sua implementação nos níveis mais baixos da organização ser
considerada uma acção estratégica?
O objetivo da segurança cibernética é determinar e confirmar os papéis e
responsabilidades dos diferentes intervenientes, identificar as principais prioridades e criar
os calendários de desenvolvimento e métodos de verificação para a implementação. Em
vez de ser o objetivo final, uma estratégia de segurança cibernética é um processo contínuo.
Nenhum país iniciou este processo do zero – nem nenhum país conseguiu finalizar o processo.
O processo de estratégia cibernética pode ser dividido em três subprocessos, que são:
análise estratégica, prioridade estratégica e implementação da estratégia.
Dentro do governo central, a gestão total da segurança cibernética é normalmente feita
em três níveis. Do ponto de vista da segurança cibernética, o nível mais alto abrange o
Governo e o comité do gabinete, que são responsáveis por fornecer orientação política para
a segurança cibernética, bem como pela preparação para as questões importantes da
segurança interna e da defesa abrangente. O nível político é o principal responsável pela
prioridade estratégica.
Como parte das suas funções abrangentes de segurança, o comité de segurança
cibernética ou o comité de segurança prepara e implementa a coordenação intersetorial da
segurança cibernética. As suas tarefas e responsabilidades podem variar muito de país para país.
Normalmente, é neste nível que a estratégia de segurança cibernética é preparada e a sua
implementação gerida. A análise estratégica e a prioridade estratégica, elementos do
processo de estratégia cibernética, materializam-se através de uma estreita interação entre
a gestão de topo e o comité de segurança.
O nível funcional da segurança cibernética compreende diferentes ramos administrativos
que executam as medidas incluídas na estratégia de segurança cibernética, tais como
planeamento de contingência e recuperação, gestão de perturbações, bem como I&D em
segurança cibernética (Fig. 2).
www.it-ebooks.info
Fig. 2 O processo de estratégia cibernética
5.2 Análise Estratégica
A análise estratégica pode ser dividida em três subprocessos, que são: análise da situação
actual, avaliação do ambiente operacional e benchmarking. A análise estratégica produz um
estudo preliminar que estabelece as bases para a prioridade estratégica.
A análise da situação actual determina o nosso próprio estatuto, ou seja, a forma como
nos situamos em relação ao ambiente operacional e aos seus diferentes elementos. Quando
se trata de estratégia cibernética, isto implica uma análise do ambiente de ameaças
cibernéticas, a identificação das vulnerabilidades nas funções vitais da sociedade e uma
avaliação dos riscos consequentes. A análise gera modelos de risco e cenários de ameaças a partir de
www.it-ebooks.info
as perspectivas dos cidadãos, da comunidade empresarial e das funções vitais da sociedade.

Além disso, é analisado o desempenho da segurança cibernética, incluindo as suas deficiências.
O processo de avaliação do ambiente operacional identifica os fenómenos dentro do ambiente
de segurança cibernética, elabora as definições necessárias para a estratégia e identifica os
projetos nacionais de segurança cibernética já em curso, incluindo planos e projetos auxiliares. A
segurança cibernética não é um elemento isolado no ambiente de segurança. Pelo contrário, faz
parte da segurança nacional abrangente.
O processo de benchmarking adquire informações das estratégias de segurança cibernética de

outros países e identifica as melhores práticas que podem ser utilizadas localmente.
O benchmarking também oferece a oportunidade de promover a cooperação internacional como
parte da estratégia nacional de segurança cibernética.
A fase de análise estratégica produz um estudo preliminar que nos situa no ambiente cibernético
nacional e internacional, lançando as bases para uma acção continuada sob a forma de orientação
política e análises adicionais.
5.3 Prioridade Estratégica
A prioridade estratégica pode ser dividida em três subprocessos, que são: avaliação de opções,
decisão estratégica e elaboração da estratégia. A análise estratégica produz uma estratégia de
segurança cibernética que estabelece as bases para a implementação de medidas de segurança
cibernética e da própria estratégia.
Através do processo de avaliação das opções são definidas as opções para os diferentes
sectores da estratégia, tais como modelos de estrutura de gestão de cibersegurança ou opções de
configuração e práticas do centro de cibersegurança. A avaliação gera diferentes cenários de
ameaças, incluindo soluções recomendadas. O processo coloca ênfase em recursos e competências
económicas realistas. Esta fase define o estado final desejado e os recursos necessários
(competência, pessoal, financiamento, instalações e equipamentos). O caminho para o resultado
final desejado pode incluir alternativas
cursos.
As organizações devem ser mais eficientes na definição e alcance dos seus objetivos. Num
ambiente operacional cada vez mais volátil, as organizações devem ser capazes de fazer as
perguntas certas no meio de mudanças constantes, bem como aprender e avaliar diferentes
cenários futuros. (Flood e Jackson 1991, pp. 143–157).
No processo de avaliação de opções, a tarefa da futurologia é fornecer opiniões fundamentadas
do ponto de vista do futuro, incluindo os muitos cursos alternativos de desenvolvimento, para servir
de base ao planeamento, à tomada de decisões e à acção. A Futurologia explora os principais
cursos de desenvolvimento e intenções que têm ou estão proporcionando vislumbres da realidade
futura. Através da investigação, podem ser formadas possíveis opções alternativas para eventos e
decisões nas organizações humanas – tanto causais como intencionais –, bem como uma avaliação
das mudanças em valores e bases factuais. A futurologia cientificamente válida contorna a ação
reativa, tornando possível o planejamento estratégico e a tomada de decisões proativas (Malaska
2000).
www.it-ebooks.info
Através do processo de tomada de decisão estratégica, o estado final desejado é

selecionado, incluindo as medidas necessárias para alcançá-lo, entre as diferentes opções.
Além disso, são definidas as capacidades cibernéticas desejadas e as ações necessárias.
A decisão estratégica fornece a base para a versão final da estratégia. A orientação política
está incorporada na decisão estratégica.
O projeto de estratégia de segurança cibernética determina a estrutura da estratégia e
o seu formato. A fase de redação inclui diversas iterações durante as quais o texto escrito
é lido, relido e polido até sua forma final. As diferentes versões do projecto de estratégia
são promulgadas tão extensivamente quanto possível, de modo a receber um número
suficiente de comentários para consideração. As apresentações provisórias garantem que
a decisão estratégica seja corretamente interpretada no rascunho. A fase de elaboração
culmina com a apresentação da estratégia e a sua adoção pela liderança política.
5.4 Implementando a Estratégia
As duas primeiras fases do processo estratégico resultaram na adopção do documento estratégico. A

estratégia inclui um plano para a sua implementação e outro plano sobre como manter o processo
estratégico como um “documento vivo”. O plano de implementação também pode ser preparado como
um documento separado após a publicação da estratégia. Neste contexto a implementação da estratégia
pode ser dividida em três subprocessos, que são: gestão da mudança, melhoria da actividade e alocação
de recursos.
Na fase de gestão da mudança, a estratégia será implementada através da aplicação

prática das recomendações da estratégia a diferentes níveis administrativos e
organizacionais. Será criado um sistema de medição e monitorização da gestão da
mudança, que permitirá avaliar o sucesso da implementação. O estado do processo de
implementação será regularmente comunicado à liderança política.
A melhoria da atividade é um processo que monitoriza a evolução no domínio cibernético

e, quando necessário, orienta as unidades administrativas na implementação dos princípios
da estratégia. O objetivo é manter constantemente o “quadro geral” do mundo cibernético
e, se necessário, fornecer orientações sobre a elaboração de subestratégias. Este processo
também desencadeia revisões estratégicas, momento em que o trabalho começa na fase
de análise estratégica. A organização responsável pelos trabalhos indicará à liderança
política a necessidade de revisão completa da estratégia de segurança cibernética.
A alocação de recursos é um elemento importante na implementação da estratégia. A
nível prático, a eficiência e a eficácia são directamente proporcionais aos recursos
económicos e mentais disponíveis. A orientação orçamental do Governo cria o quadro para
o fornecimento de recursos para a segurança cibernética. No âmbito da sua autoridade
orçamental, as unidades administrativas responsáveis alocam recursos para a
implementação prática da segurança cibernética, tais como a criação de um quadro de situação, I&D e form
O processo de segurança cibernética deve ser dinâmico e capaz de reagir às mudanças
no ambiente operacional. Definições adequadas do processo estratégico e
www.it-ebooks.info
Os níveis de gestão auxiliam na implementação da ação correta nos níveis corretos, bem como na
preservação do conteúdo da estratégia no nível apropriado.
O nível superior do governo central deve definir objectivos políticos sobre os quais os intervenientes da
administração pública e do sector privado possam agir e atingir os objectivos da forma mais eficaz
possível. Um comité de segurança nacional ou um comité de segurança cibernética dedicado é uma
solução comprovada quando se trata de implementar a estratégia de segurança cibernética ou qualquer
processo de desenvolvimento contínuo.
6 Processo Finlandês de Implementação e Direção
A Estratégia Nacional de Segurança Cibernética da Finlândia atraiu muita atenção. A versão inglesa foi
descarregada com mais frequência do que a finlandesa, o que reflecte o interesse demonstrado também
a nível internacional. Estimada empiricamente, a atenção dada à estratégia na Finlândia tem sido mais
crítica do que a atenção no estrangeiro. Recebeu elogios especialmente pela sua abordagem
interadministrativa e transversal à sociedade. Os escassos recursos atribuídos até agora ao Centro de
Cibersegurança e poucas medidas concretas foram criticadas.
O plano de acção para implementar o processo estratégico aborda, por seu lado, os problemas
acima mencionados e baseia-se nos referidos elementos positivos. O objectivo dos planos de acção é
também concretizar as orientações. O Comité de Segurança elabora um plano de acção para
implementação nacional, mas depende das opiniões dos ramos administrativos. Cada ministério e a
Agência Nacional de Abastecimento de Emergência têm o direito de sugerir medidas e práticas ou de
propor alterações à legislação a serem incluídas na implementação nacional. As medidas devem basear-
se nas deficiências identificadas na situação atual. O objectivo do papel de coordenação do Comité de
Segurança é evitar duplicações, identificar possíveis deficiências e garantir quem é o actor responsável.
Os ramos administrativos trazem medidas importantes e concretas para o programa nacional para
promover a segurança cibernética. Os ramos administrativos trabalham em paralelo ou iniciam o seu
próprio programa de implementação. As medidas que estão abaixo do nível nacional ou que
permanecem claramente dentro do poder administrativo permanecem no programa próprio do poder
administrativo. A capacidade dos ramos administrativos para preparar programas de implementação
varia muito: alguns ministérios estão muito avançados no seu trabalho, enquanto outros apenas
começaram. O programa nacional é elaborado primeiro para que os ramos administrativos possam
beneficiar dele no seu próprio trabalho.
O Comité de Segurança acompanhará a materialização das medidas e princípios referidos no
programa nacional de implementação, bem como o progresso dos programas de implementação
específicos do setor (Estratégia de Cibersegurança da Finlândia 2013). A participação da comunidade
empresarial também será avaliada. Para implementar a cibersegurança é necessário aplicar de forma
coerente os princípios da estratégia também a nível regional e local. Isto exige que haja cooperação
suficiente entre os vários intervenientes e que sejam utilizadas as melhores práticas.
www.it-ebooks.info
O acompanhamento da implementação da estratégia deverá permitir medidas de manutenção e

desenvolvimento oportunas e bem direcionadas. Isto também produzirá informações em tempo real
sobre se os recursos foram atribuídos corretamente, em conformidade com os objetivos da estratégia.
O Comité de Segurança apresentará anualmente um relatório ao Governo sobre a implementação da
estratégia de segurança cibernética.
A comunicação bidirecional da Estratégia Cibernética é importante para o desenvolvimento. Haverá
observações a nível regional ou local que poderão ser utilizadas no trabalho de acompanhamento. O
envolvimento dos intervenientes que tomam medidas garante que os documentos de estratégia não
sejam esquecidos, mas fornecerão a base para o planeamento das próprias actividades.
A revisão anual realizada pelo Comité de Segurança garante que a estratégia esteja atualizada e
que as medidas registem progressos. O Comité de Segurança também apresentará propostas sobre
a forma como a estratégia poderá ser desenvolvida. É provável que secções da Estratégia de Segurança
Cibernética sejam incorporadas na Estratégia de Segurança para a Sociedade na próxima atualização.
A realidade digital e a nossa compreensão dos problemas relacionados com ela mudam rapidamente. Isto apresenta
grandes desafios para manter a legislação, as instruções, as práticas e o orçamento atualizados. É necessário assegurar um
processo de desenvolvimento contínuo e a preparação atualizada de todos os principais intervenientes. A segurança
cibernética diz respeito a todos nós.
Referências
Segurança Abrangente (2012) Resolução do Governo, 5 de dezembro de 2012

Estratégia de Segurança Cibernética da Finlândia (2013) Resolução do Governo, 24 de
dezembro de 2013 Política de Segurança e Defesa da Finlândia (2012) Publicações do Gabinete do Primeiro
Ministro 1/2013. http://vnk.fi/julkaisukansio/2012/j05-suomen-turvallisuus-j06-finlands-sakerhet/PDF/
VNKJ0113_ LR_En.pdf
Flood RL, Jackson MC (1991) Resolução criativa de problemas: intervenção total em sistemas. Wiley,
Chichester
Malaska P (2000) Conhecimento e informação em futurologia. Foresight 2(2):237–244 Finlândia
Segura: Informações sobre a segurança geral da Finlândia (2013) http://www.puolustusvoimat.
fi/wcm/erikoissyvutot/konaissekkulitti/em finlandês
www.it-ebooks.info
Parte III
Tecnologia de segurança cibernética
www.it-ebooks.info
Classificação de protocolo baseada em cluster via redução

de dimensionalidade
Gil David
Resumo Propomos uma estrutura única baseada em processos de difusão e outras metodologias
para encontrar descrições geométricas significativas em conjuntos de dados de alta dimensão.
Mostraremos que as autofunções das matrizes de Markov subjacentes geradas podem ser usadas
para construir processos de difusão que geram representações eficientes de estruturas geométricas
complexas para análise de dados de alta dimensão. Isto é feito por transformações não lineares
que identificam padrões geométricos nestes enormes conjuntos de dados que encontram as
conexões entre eles enquanto os projetam em espaços de baixa dimensão. Nossos métodos
classificam e reconhecem automaticamente protocolos de rede. O núcleo principal da metodologia
proposta é baseado no treinamento do sistema para extrair características heterogêneas que
classificam automaticamente (sem supervisão) protocolos de rede. Então, os algoritmos são
capazes de classificar e reconhecer em tempo real os dados recebidos da rede. Os algoritmos são
capazes de agrupar os dados em variedades que são incorporadas em um espaço de baixa
dimensão, analisadas e visualizadas. Além disso, a metodologia parametrizou os dados no espaço
de baixa dimensão.
1. Introdução
A classificação e reconhecimento do tráfego de rede é um componente crítico em muitas aplicações

da Internet, como controle de tráfego (prioriza a navegação em detrimento de outro tráfego),
interceptação legal (requer reconhecimento de todo o tráfego de voz), mineração geral de dados
para rastrear o comportamento do usuário final, identificação de aplicações específicas, garantia
de QoS, eliminando a transmissão de lixo e assim garantindo que a largura de banda seja utilizada
de forma eficiente, etc.
G. David (&)
Departamento de Tecnologia da Informação Matemática, Universidade de
Jyväskylä, PO Box 35 (Agora), 40014 Jyväskylä,

www.it-ebooks.info
148 G. David
Até recentemente, a classificação era feita principalmente pela inspeção de carga útil de
pacotes de tráfego, para procurar uma assinatura de aplicação (string ou expressões regulares,
estrutura de mensagem, etc.). Embora as técnicas de inspeção de carga tenham funcionado bem
no passado, elas sofrem das seguintes limitações principais:
1. Aplicativos como o Skype usam técnicas que fornecem um cabeçalho de aparência aleatória e
(opcionalmente) carga útil para evitar a identificação passiva do protocolo; 2. A
escalabilidade do desenvolvimento de assinaturas, que afeta o tempo de resposta dos fornecedores
de equipamentos de análise de tráfego (desde o momento em que um novo método/protocolo
é introduzido até que uma assinatura seja encontrada, distribuída e absorvida), torna-se uma
questão importante; 3. A carga torna-
se criptografada; 4. Muitos novos protocolos são
introduzidos anualmente; 5. Muitos
protocolos tornam-se furtivos; 6. A inspeção da carga útil pode violar a privacidade do remetente.
Atualmente, existem muitos protocolos em uso e novos protocolos são frequentemente

introduzidos, tornando assim o desenvolvimento reativo de uma assinatura para cada novo
protocolo uma tarefa desafiadora, por um lado, e impraticável, por outro.
Métodos de classificação de protocolos não baseados em carga útil são necessários para duas
tarefas amplas: classificação do tráfego de rede em famílias de aplicativos e reconhecimento de
aplicativos específicos, mesmo que tentem se esconder (furtivos) ou mascarar. Por exemplo, algumas
famílias de interesse incluem:
• Voz (por exemplo, Skype, GoogleTalk, Yahoo Messenger); •

Vídeo sobre P2P (por exemplo, Joost, Zatoo) ou vídeo sobre HTTP (por exemplo, YouTube);
• Bate-papo (por exemplo, Yahoo, mensageiros
MSN); • P2P (ex. BitTorrent, Gnutella, Emule); •
Jogos.
O desafio é desenvolver métodos robustos e com desempenho eficiente, que possam classificar
e reconhecer o tráfego de rede com precisão, mesmo que o comportamento da aplicação seja
dinâmico (por exemplo, mudanças entre versões), que possam ser usados para identificar
aplicações da mesma família. O foco está na classificação baseada no comportamento da aplicação/
host e não nas informações internas da carga útil.
A seguir estão diversas propriedades desejadas que uma solução deve satisfazer. O algoritmo
deve funcionar em tempo real e classificar o tráfego de rede logo após o início de uma sessão (em
oposição à classificação de sessões no término). O algoritmo deve ser adequado para operação
em equipamentos de rede atribuídos na borda da rede, em links que conectam um número de
assinantes (por exemplo, 10.000) à nuvem da Internet. Além disso, pode-se supor que, como
resultado da classificação, o tráfego de rede será controlado (largura de banda limitada, etc.), o
que pode causar alterações nos padrões de tráfego de rede de uma aplicação adaptativa. Além
disso, as cargas são criptografadas. Isso torna a inspeção de carga útil inútil. Portanto, em contraste
com a inspeção profunda de pacotes (DPI) comum, a solução proposta não inspeciona a carga útil.
Neste artigo, propomos uma estrutura única baseada em processos de difusão e outras
metodologias para encontrar descrições geométricas significativas em conjuntos de dados de alta
dimensão. Mostraremos que as autofunções do gerado
www.it-ebooks.info
Classificação de protocolo baseado em cluster… 149
matrizes de Markov subjacentes podem ser usadas para construir processos de difusão que geram
representações eficientes de estruturas geométricas complexas para análise de dados de alta
dimensão. Isto é feito por transformações não lineares que identificam padrões geométricos nestes
enormes conjuntos de dados que encontram as conexões entre eles enquanto os projetam em espaços
de baixa dimensão. Nossos métodos classificam e reconhecem automaticamente protocolos de rede.
O núcleo principal da metodologia proposta é baseado no treinamento do sistema para extrair

características heterogêneas que classificam automaticamente (sem supervisão) protocolos de rede.
Então, os algoritmos são capazes de classificar e reconhecer em tempo real os dados recebidos da
rede. Os algoritmos são capazes de agrupar os dados em variedades que são incorporadas no espaço
de baixa dimensão, analisadas e visualizadas. Além disso, a metodologia parametrizou os dados no
espaço de baixa dimensão.
2 Trabalhos Relacionados e Formação Matemática
Nossos métodos propostos são baseados em métodos de redução de dimensionalidade [mapas de

difusão (DM) (Coifman e Lafon 2006a), harmônicos geométricos (Coifman e Lafon 2006b)] e algoritmos
de agrupamento. Portanto, apresentamos aqui breves descrições desses métodos.
2.1 Redução de Dimensionalidade
2.1.1 Mapas de Difusão (DM)
Esta seção descreve a estrutura de difusão que foi introduzida em Coifman e Lafon (2006a, b) e Nadler et al. (2006). Mapas
de difusão e distâncias de difusão fornecem um método para encontrar estruturas geométricas significativas em conjuntos
de dados. Na maioria dos casos, o conjunto de dados contém pontos de dados de alta dimensão em Rn. Os mapas de
. fornece uma métrica de
difusão constroem coordenadas que parametrizam o conjunto de dados e a distância de difusão
preservação local para esses dados. Uma redução de dimensionalidade não linear, que revela informações geométricas
globais, é construída por estruturas locais sobrepostas. Seja C = fx1; ...; xmg é um conjunto de pontos em Rn e l é a
distribuição dos pontos em C. Construímos o gráfico GðV; EÞ, jVj ¼ m, jEjm2, em C para estudar a geometria intrínseca
deste conjunto. Uma função de peso Nós , weðxi; É introduzido xjÞ que mede a semelhança de pares entre os pontos. Para
todos os xi; xj 2 C, a função peso tem as seguintes propriedades:
simetria: weðxi; xjÞ ¼ weðxj; xiÞ não

simetria: weðxi; xjÞ 0
www.it-ebooks.info
150 G. David
semidefinido positivo: para todas as funções limitadas de valor real f definidas em C,
quaxi; xjÞfðxiÞfðxjÞdlðxiÞdlðxjÞ 0: ð1Þ

COM COM
C C
Uma das escolhas comuns para Nós é
weðxi; xjÞ ¼ ekxixjk2 e :

ð2Þ
A propriedade de não negatividade de We permite normalizá-la em uma matriz de

transição de Markov P onde os estados do processo de Markov correspondente são os dados
pontos. Isso permite analisar C como um passeio aleatório. A construção de P é conhecida
como o gráfico normalizado Laplaciano (Chung 1997).
Formalmente, P ¼ fpðxi; xjÞgi;j¼1;...;m é construído como
quaxi; xjÞ
pðxi; xjÞ ¼ ; ð3Þ
dðxiÞ
onde
ð4Þ
dðxiÞ ¼ Z C nós xi; xj dlðxjÞ
é o grau de xi. P é uma matriz de Markov, pois a soma de cada linha em P é 1 e

pðxi; xjÞ 0. Assim, pðxi; xjÞ pode ser visto como a probabilidade de passar de xi para xj em
passo único. Ao elevar esta quantidade a uma potência t (avanço no tempo), esta influência
é propagado para nós na vizinhança de xi e xj e o resultado é o
probabilidade desse movimento em t intervalos de tempo. Denotamos esta probabilidade por ptðxi; xjÞ.
Essas probabilidades medem a conectividade entre os pontos do gráfico.
O parâmetro t controla a escala da vizinhança além da escala
controle fornecido por e.
Construção de
ffiffiffiffiffiffiffiffi
dðxiÞ p
~pðxi; xjÞ ¼ ffiffiffiffiffiffiffiffi
pdxi; xjÞ: ð5Þ

dðxjÞ p
que é um kernel semidefinido simétrico e positivo leva à seguinte decomposição

própria:
~pðxi; xjÞ ¼ Xm kkvkðxiÞvkðxjÞ: ð6Þ

k0
www.it-ebooks.info
Uma decomposição própria semelhante
~ptðxi; xjÞ ¼ Xm id kvkðxiÞvkðxjÞ ð7Þ

k0
é obtido após avançar t vezes no gráfico. Aqui pt e ~pt são a probabilidade de

transição de xi para xj em t intervalos de tempo.
Um rápido decaimento de fkkg é obtido pela escolha apropriada de e. Assim, apenas alguns
termos são necessários na soma em (7) para obter uma cobertura relativa gðdÞ para d[ 0.
Uma família de mapas de difusão foi introduzida em Coifman e Lafon (2006a). Eles
são UtðxÞm2N dados por
km
0 v0ðxÞ
0 km 1
v1ðxÞ
UtðxÞ ¼ 1
..
@ . QUE:
O mapa Hum : C! eu N incorpora o conjunto de dados em um espaço euclidiano. Eles também

introduzi a distância de difusão
D2t dxi; xjÞ ¼ X ð~ptðxi; xkÞ ~ptðxk; xjÞÞ2 :

k0
Esta formulação é derivada da distância de caminhada aleatória conhecida na Teoria do Potencial. É mostrado (ver
Coifman et al. 2005 para uma prova) que a distância de difusão pode ser expressa em termos dos autovetores certos de P:
D2t k vkðxjÞÞ2 :
dxi; xjÞ ¼ X k2t ðvkðxiÞ
k0
Segue-se que para calcular a distância de difusão, pode-se simplesmente usar os

autovetores de P~. Além disso, isto facilita a incorporação dos pontos originais em
por: um espaço euclidiano
RgðdÞ1
Nt : xi ! ðkt 0v0ðxiÞ; kt 1v1ðxiÞ; kt 2v2ðxiÞ; ...; id gðdÞvgðdÞðxiÞÞ:
Isso também fornece coordenadas no conjunto C. Essencialmente, gðdÞn devido ao

rápido decaimento espectral do espectro de P. Além disso, gðdÞ depende apenas da
variabilidade intrínseca primária dos dados capturados pelo passeio aleatório e não da
dimensionalidade original de os dados. Este método baseado em dados permite a
parametrização de qualquer conjunto de pontos - abstratos ou não - desde que a matriz de
similaridade dos pontos We esteja disponível.
Nadler et al. (2006) estenderam a teoria do mapa de difusão para dados amostrados de
alguma distribuição de probabilidade desconhecida e para sistemas dinâmicos que evoluem
no tempo de acordo com uma equação diferencial parcial estocástica.
www.it-ebooks.info
152 G. David
2.1.2 Harmônicos Geométricos
Harmônicos Geométricos (GH) é um método para estender o espaço de incorporação de baixa dimensão,
que foi calculado no conjunto de dados de entrada, para a chegada de novos pontos de dados para
determinar se eles pertencem ou não aos clusters pré-computados.
Suponha que C = fx1; ...; xmg é um conjunto de pontos em Rn e Ut é seu mapa de incorporação de
difusão. O esquema geométrico harmônico estende Ut para um novo conjunto de dados C em Rn .
Primeiro, apresentamos uma visão geral da extensão Nyström, que é um método comum para
extensão de funções de um conjunto de treinamento para novos pontos de dados. Seja e 0 uma
extensão de escala e considere os autovetores e autovalores de um kernel gaussiano de largura e
no conjunto de treinamento C:
kxyk
e
klulðxÞ ¼ X e2 ulðyÞ; x2C: ð8Þ
o2C
Como o kernel pode ser avaliado para qualquer x 2 Rn, (8) pode ser escrito como
kxyk
e
1 ulðxÞ X e2 ulðyÞ; x 2Rn : ð9Þ
¼ kl
o2C
Isso é conhecido como extensão de Nyström. A distância de extensão de ul do conjunto de treinamento

é proporcional a e. Além desta distância, a extensão numérica desaparece. Seja f uma função no conjunto
de treinamento C. Como as autofunções do kernel formam uma base do conjunto de funções no conjunto
de treinamento, f pode ser decomposto
como
fðxÞ ¼ X ul hi; f ulðxÞ; x2C: ð10Þ

eu
Usando a extensão de Nyström, podemos definir f para pontos em Rn como
fðxÞ ¼ X ul hi; f ulðxÞ; x 2Rn : ð11Þ

eu
Ao escolher uma Gaussiana de largura e, a distância de extensão é proporcional a e.

O esquema de harmônicos geométricos permite que esta faixa de extensão cresça considerando duas
observações:
1. A escala e do kernel usado para extensão deve ser a maior possível; 2. Esta escala não deve ser a
mesma para todas as funções que tentamos estender. Deve depender da complexidade da função.
Um processo iterativo para encontrar uma extensão apropriada e para uma determinada função é
descrito em Coifman e Lafon (2006b) e Lafon et al. (2006).
www.it-ebooks.info
2.2 Técnicas de Clustering
O agrupamento em metodologias de mineração de dados identifica padrões relacionados nos dados

subjacentes. Uma formulação comum do problema é: Dado um conjunto de dados S de n pontos de
dados em Rd e um inteiro k, o objetivo é particionar os pontos de dados em k clusters
que otimizam uma determinada função de critério em relação a uma medida de distância. Cada
ponto de dados é uma matriz de d componentes (recursos). É uma prática comum assumir
que o conjunto de dados foi processado numericamente e, portanto, um ponto de dados é um ponto em Rd.
A partição inclui k subconjuntos disjuntos aos pares de S, denotados como fSigk e um

eu¼1,
conjunto de k pontos representativos fCigkeu¼1 que pode ou não fazer parte do original
conjunto de dados S. Em alguns casos, também permitimos classificar um ponto de dados em S como um outlier,
o que significa que o ponto de dados é uma anomalia. Em algumas aplicações, os valores discrepantes podem ser
descartados, enquanto outros aplicativos podem procurar por esses valores discrepantes.
A função de critério mais comumente usada para agrupamento de dados é o quadrado
erro:
X X kx Cik2 / ¼ ð12Þ
eu¼1 x 2
onde em muitos casos Ci é o centróide de Si, ou seja, a média do cluster Si é
P x
x2
médiaSiÞ ¼ :
ð13Þ
jSij
Encontrar uma solução exata para este problema é NP-difícil, mesmo para um k pequeno fixo.
Portanto, algoritmos de agrupamento tentam aproximar a solução ótima, denotada
/opt, para uma determinada instância do problema. Neste capítulo, usamos o k-means
algoritmo para agrupamento dos dados, porém, pode ser substituído por outro
técnicas baseadas em centróides [por exemplo, SOM (Kohonen 1990)].
2.2.1 k-médias e suas derivadas
O algoritmo k-means (Lloyd 1982) é provavelmente o algoritmo de agrupamento mais popular

algoritmo usado hoje. Embora apenas garanta a convergência para um mercado local
ideal, sua simplicidade e velocidade o tornam atraente para diversas aplicações.
O algoritmo k-means funciona da seguinte forma:
1. Inicialize um conjunto arbitrário fC0 eu eu¼1

valeu
de k centros. Normalmente, esses centros são
escolhido aleatoriamente com probabilidade uniforme de um conjunto de dados S.
2. Atribua cada ponto x 2 S ao seu centro mais próximo. Deixe Sj eu

seja o conjunto de todos os pontos em S
atribuído ao centro Cj eu
na fase j.
www.it-ebooks.info
154 G. David
3. Recalcule os centros Cjþ1 1ÿ4 médiaðSj iÞ.

eu
4. Repita as duas últimas etapas até a convergência. É garantido que / em (12) é

diminuindo monotonicamente.
O algoritmo k-means pode produzir resultados ruins, pois / não é garantido que seja /opt
limitado. No entanto, se um erro limitado for desejado, é possível usar outras estratégias de
inicialização em vez do Passo 1. Em outras palavras, podemos semear o algoritmo k-means gk com
um conjunto inicial fC0 que foi escolhido com mais cuidado do que apenas amostragem. S
eu¼1 eu
aleatoriamente. k-means+
+ (Arthur e Vassilvitskii 2007) é um desses métodos. Em vez de gk escolher fC0
eu eu¼1
aleatoriamente, em k-means++ a seguinte estratégia é usada:
1. Selecione C0 uniformemente aleatoriamente de S.

1
2. Para i 2 f2; ...; kg, selecione C0 ¼ x0 aleatoriamente de S com probabilidade

eu
2 2
Diðx0Þ =P x2S
DiðxÞ , onde DiðxÞ ¼ mini2f1;...;i1g kx Cik2.
O uso desta abordagem para semear o algoritmo k-means garante que a expectativa de /
seja limitada (ver Arthur e Vassilvitskii 2007). /optar
Kernel k-means (Zhang e Rudnicky 2002) é um esquema de agrupamento de kernel, baseado
em k-means para grandes conjuntos de dados. Ele introduz um esquema de agrupamento que
altera a ordem de agrupamento de uma sequência de amostras para uma sequência de kernels. Ele
emprega uma estratégia baseada em disco para controlar os dados.
3 conjuntos de dados de avaliação
Nossos resultados de classificação e reconhecimento de protocolo são baseados em conjuntos de

dados que contêm tráfego de rede real capturado em tempo real de uma rede de grande empresa.
Os conjuntos de dados contêm tráfego de rede entre centenas de usuários da rede interna para outros
usuários da rede interna e para outros usuários da Internet.
Esses dados não estão disponíveis ao público.
Os conjuntos de dados consistem em 41.000 fluxos de rede que foram gerados por um produto
comercial integrado à rede corporativa. Cada fluxo de rede contém estatísticas de sessão de
pacotes de diferentes intervalos. Por exemplo, um único fluxo de rede pode conter estatísticas dos
pacotes 30–90 ou pacotes 90–190 ou pacotes 190–240 etc., de uma sessão específica. Cada fluxo
de rede corresponde a uma única sessão de rede. Como resultado, uma sessão que contém 240
pacotes é representada por três fluxos de rede correspondentes diferentes: o primeiro fluxo de rede
representa os pacotes 30 a 90, o segundo fluxo de rede representa os pacotes 90 a 190 e o terceiro
fluxo de rede representa os pacotes 190 a 240.
Cada fluxo de rede é rotulado (classificado) por um produto comercial baseado em carga que
usa assinaturas (padrões) para classificação de protocolo. Este produto usa profundidade
www.it-ebooks.info
técnicas de inspeção de pacotes para análise e rotulagem de carga útil. Aqui estão alguns rótulos
possíveis para cada fluxo de rede:
1. HTTP (por exemplo, áudio, vídeo, binário, flash e navegação); 2.

P2P (por exemplo, Gnutella, BitTorrent, Emule e Warez); 3. Correio
(por exemplo, pop3 e smtp); 4. Bate-
papo (ex. MSN Messenger e ICQ); 5. Voz (por
exemplo, gole e Skype).
Cada fluxo de sessão contém três grupos de parâmetros:
1. A rotulagem de protocolo de um fluxo de rede conforme foi rotulada pelo comercial

produtos:
• Nome do protocolo – o nome exato deste protocolo (por exemplo, transferência de arquivos
BitTorrent, rede BitTorrent, vídeo sobre HTTP, binário sobre HTTP, Skype VOIP); • Família
de protocolos - o nome geral da família deste protocolo (por exemplo, P2P, HTTP,
correspondência).
2. Estatísticas não relacionadas à carga útil coletadas para o fluxo de rede pelo produto comercial:
• Intervalo de pacotes — o intervalo de pacotes amostrados (o intervalo de pacotes no todo

sessão);
• Pacote inicial — o índice do primeiro pacote de dados (o primeiro pacote que contém carga útil)
que foi enviado durante o intervalo de pacotes; • Total de
pacotes – o número total de pacotes, incluindo o pacote inicial, que foram enviados de ambas as
direções (cliente e servidor) durante o intervalo dos pacotes; • Total de pacotes do cliente —
o número total de pacotes que foram enviados pelo cliente
durante o alcance dos pacotes;
• Total de pacotes do servidor — o número total de pacotes que foram enviados pelo servidor
durante o intervalo de pacotes; • Pacote
médio do cliente – o tamanho médio dos pacotes que foram enviados pelo cliente durante o
intervalo de pacotes; • Pacote médio
do servidor — o tamanho médio dos pacotes que foram enviados pelo servidor durante o intervalo
de pacotes; • Taxa de pacotes do
cliente – o número de pacotes por segundo que foram enviados pelo cliente durante o intervalo
de pacotes; • Taxa de pacotes do
servidor – o número de pacotes por segundo que foram enviados pelo servidor durante o intervalo
de pacotes; • Taxa de bits do cliente –
o número de Kbits por segundo que foram enviados pelo cliente
• Taxa de bits do servidor – o número de Kbits por segundo que foram enviados pelo servidor
• Variação média de pacotes do cliente – a variação do tamanho médio dos pacotes que foram
enviados pelo cliente durante o intervalo de pacotes; • Variação média de
pacotes do servidor – a variação do tamanho médio dos pacotes que foram enviados pelo
servidor durante o intervalo de pacotes;
www.it-ebooks.info
156 G. David
• Intervalo de tempo médio entre pacotes – o tempo médio entre chegadas entre pacotes que
foram enviados em ambas as direções durante o intervalo dos pacotes; • Variação do
intervalo de tempo – a variação do tempo médio entre chegadas entre pacotes que foram
enviados em ambas as direções durante o intervalo dos pacotes; • Volume total do cliente —
o total de bytes (dados) que foram enviados pelo cliente
• Volume total do servidor — o total de bytes (dados) que foram enviados pelo servidor
• Tempo total – o número de segundos decorridos desde a chegada do primeiro pacote até a
chegada do último pacote durante o intervalo de pacotes; • Proporção de volume — a
proporção entre o volume total do cliente e o total do servidor
volume.
3. A identificação dos anfitriões que participam na sessão:
• IP do servidor — o endereço IP do servidor; • IP do

cliente — o endereço IP do cliente; • Porta do
servidor — o número da porta do servidor; • Porta do
cliente — o número da porta do cliente; • Protocolo – o
protocolo da camada de transporte (udp/tcp).
O corpus definido para nosso processo de avaliação foi gerado a partir da rede completa
fluxos selecionando os pontos de dados de acordo com as seguintes diretrizes:
1. Selecione apenas fluxos de rede que foram associados a protocolos que tenham pelo menos 1%
de presença em todos os protocolos (pelo menos 1% dos fluxos de rede pertencem ao mesmo
protocolo do fluxo de rede);
2. Selecione apenas fluxos de rede cujo protocolo foi bem rotulado pelo produto comercial. Em
outras palavras, estes são os fluxos de rede que o produto comercial soube rotular.
O conjunto de corpus resultante foi processado e analisado pelo tráfego orientado a fluxo
analisador que é apresentado na Seção. 4.
4 Analisador de Tráfego
Os conjuntos de dados de classificação de protocolo contêm três grupos de parâmetros (Seção 3):
1. A rotulagem do protocolo do fluxo da rede; 2. As

estatísticas não relacionadas à carga útil coletadas para o fluxo da rede; 3. A
identificação dos anfitriões que participam da sessão.
A fim de comprovar a validade do protocolo de classificação e reconhecimento (PCR) proposto

e suas capacidades de acordo com os desafios descritos na Seção. 1, optamos por usar apenas
alguns dos parâmetros de cada fluxo de rede sem usar quaisquer métodos e parâmetros baseados
em carga útil e sem depender de
www.it-ebooks.info
as portas conhecidas de aplicações específicas. Também optamos por utilizar apenas o primeiro
intervalo de pacotes em cada sessão para provar que a classificação do protocolo pode ser determinada
logo no início de cada sessão. Como resultado, usamos apenas parâmetros do segundo grupo de
parâmetros: Estatísticas sem carga útil de cada fluxo.
A Figura 1 apresenta um fluxograma do analisador de tráfego.
5 Aplicação Sequencial do Tráfego Orientado a Fluxo

Analisador
1. Obtenha uma nova chegada de um fluxo de

rede; 2. Para cada fluxo de rede, o analisador verifica o alcance deste pacote. O analisador lida
apenas com fluxos de rede para o primeiro intervalo de pacotes (por exemplo, pacotes 30 a 90 em
cada sessão). Todos os outros fluxos de rede são ignorados; 3. O analisador seleciona as
seguintes estatísticas de cada fluxo de rede (estas estatísticas selecionadas representam este fluxo):
• Início do pacote de dados;

• Número de pacotes (total de cliente e servidor); • Tamanho
médio dos pacotes (cliente, servidor) e seu desvio padrão; • Taxa de pacotes (cliente,
servidor); • Taxa de bits do pacote
(cliente, servidor); • Volume total (cliente,
servidor) e sua relação; • Intervalo de tempo entre pacotes
e seu desvio padrão; • Tempo total (duração) do fluxo analisado.
A saída deste processo é uma matriz estatística que contém uma única linha para cada fluxo de
rede. Cada linha contém os 18 valores (recursos) acima que possuem escalas diferentes. Por exemplo,
o número total de pacotes é no máximo 60 (o intervalo de pacotes é sempre de 30 a 90 neste exemplo),
enquanto o tamanho total pode ser de dezenas de milhares (de bytes). O conjunto de corpus resultante
contém 5.500 fluxos de rede.
Portanto, a matriz estatística do conjunto de dados de fluxos de rede, produzida pelo analisador de
tráfego, é de tamanho 5; 500 18. Esta matriz é a entrada para os processos de classificação de
protocolos (treinamento e classificação). Esses 18 valores são os recursos que decidimos escolher para
demonstrar o desempenho do algoritmo.
Isso representa uma opção para escolher. É claro que podem ser escolhidos menos, mais e outros
recursos com outras relações entre os recursos. A escolha do vetor de características é crítica e deve
ser feita com a compreensão da natureza “física” da rede de comunicação subjacente.
www.it-ebooks.info
158 G. David
Fig. 1 Analisador de tráfego de classificação de protocolo
www.it-ebooks.info
6 Classificação de protocolo baseada em cluster

via redução de dimensionalidade
Esta seção descreve como classificar protocolos por meio da redução de dimensionalidade. Os
algoritmos são explicados através de sua aplicação à rede comercial descrita na Seção. 3. Mas
a metodologia proposta é geral e genérica e adapta-se a outros tipos de conjuntos de dados e
redes.
A entrada para este processo é a matriz gerada pelo analisador de tráfego de classificação
de protocolo (ver Seção 4). Esta matriz contém informações estatísticas sobre os metadados
(estatísticas não relacionadas à carga útil). Esta matriz contém estatísticas sobre vários valores
de metadados que foram coletados pelo analisador de tráfego.
A classificação e reconhecimento do protocolo são realizados em tempo real. O protocolo
de classificação e reconhecimento contém uma etapa inicial de treinamento por um período de
treinamento pré-determinado e só depois a classificação é aplicada em tempo real.
A etapa de treinamento gerou a infraestrutura para a etapa de classificação.
A próxima seção fornece uma descrição completa do algoritmo de PCR proposto.
6.1 Esboço do Processo de Classificação do Protocolo em Tempo Real
Este algoritmo possui duas etapas sequenciais:
1. Treinamento: Estudo e análise dos conjuntos de dados de treinamento e projeção deles em

espaço de dimensão inferior. Em seguida, são aplicados agrupamento, classificação e
reconhecimento dos pontos de dados projetados. Isso é feito em modo offline por um
período de tempo predeterminado para cada rede. A sua aplicação frequente depende do
perfil de comportamento do sistema que esta PCR classifica. A saída desta etapa permite
classificar os protocolos na Etapa 2. A Figura 2 mostra um diagrama de alto nível da etapa
de treinamento.
Fig. 2 Classificação e reconhecimento do protocolo: diagrama de etapas de treinamento
www.it-ebooks.info
160 G. David
Fig. 3 Classificação e reconhecimento do protocolo: diagrama de etapas de classificação em tempo real
2. Classificação e reconhecimento: Aplicação de ferramentas automáticas não supervisionadas que

permitem a classificação e reconhecimento em tempo real do tráfego de rede e detecção de problemas
(anomalias, trojans, fugas de dados e intrusões). Classifica cada ponto de dados recém-chegado como
um dos protocolos já conhecidos (normal, de acordo com a fase de treinamento) ou anormal (não
pertence a nenhum dos clusters do conjunto de treinamento). A Figura 3 mostra um diagrama de alto
nível da etapa de classificação em tempo real.
A etapa de treinamento é baseada no algoritmo de detecção de intrusão offline descrito em David

(2009). No entanto, existem várias modificações e extensões feitas neste algoritmo. A etapa de
normalização é substituída por uma normalização logarítmica. Essa normalização é muito rápida e
eficiente. No entanto, o restante das etapas do algoritmo offline permanece o mesmo. No final deste
processo aplicamos o agrupamento K-Means (MacQueen 1967) aos dados reduzidos. Cada cluster é
classificado como uma das famílias de aplicativos descritas na Seção. 3. O resultado desta etapa de
treinamento é o perfil básico para um processo de classificação em tempo real.
A Figura 4 apresenta um fluxograma do processo do modo de treinamento.

A primeira etapa na classificação em tempo real envolve calcular o logaritmo do ponto de dados recém-
chegado. Depois que esse ponto de dados recém-chegado foi normalizado, aplicamos os harmônicos
geométricos para estender a matriz de linha de base de incorporação (reduzida) com o ponto de dados
recém-chegado. Como resultado, obtemos uma nova incorporação para o ponto de dados recém-chegado.
Finalmente, utilizamos o perfil de linha de base para classificar o ponto de dados recém-chegado como
pertencente a um dos clusters de treinamento (normal) ou como anormal. Desta forma classificamos todos
os pontos de dados e detectamos todas as anomalias em tempo real.
A Figura 5 apresenta um fluxograma do processo do modo de classificação.
www.it-ebooks.info
Fig. 4 Classificação do protocolo: processo do modo de treinamento
www.it-ebooks.info
162 G. David
Fig. 5 Classificação do protocolo: processo do modo de classificação
www.it-ebooks.info
6.1.1 Descrição de Alto Nível do Algoritmo PCR
Aqui estão as principais etapas do algoritmo PCR:
1. Etapa de treinamento:
(a) Aplicação do analisador de tráfego para produção de uma matriz com dados estatísticos.
O processo de seleção do vetor de características foi descrito na Seção. 4; (b) Cada
coluna (vetor de características) da matriz é normalizada usando o logaritmo do seu valor; (c) A
matriz normalizada é
processada pelos mapas de difusão para derivar sua matriz de incorporação:
• As distâncias aos pares na matriz normalizada são calculadas de acordo com o método
da distância euclidiana ponderada, onde o vetor de peso é selecionado aleatoriamente.
• A matriz de distâncias é analisada através da aplicação de mapas de difusão (ver Secção

2.1.1). Ele retorna os primeiros 10 vetores próprios. Esses autovetores são a matriz de
incorporação.
• O vetor de peso e a matriz de incorporação calculada são salvos como linha de base para
a classificação em tempo real, Etapa 2.
(d) Clustering e classificação usando a incorporação:
• Todos os pontos na matriz de incorporação são agrupados usando K-Means

agrupamento:
– O valor de K é inicializado.
– O agrupamento K-Means é aplicado.
– A precisão de cada um dos K clusters é determinada.
– Este processo é repetido com valores diferentes para K. K é escolhido aquele que
atinge a melhor precisão.
• Cada um dos K clusters é classificado (rotulado) como um dos aplicativos

famílias. •
Cada cluster é representado pelo seu centróide. • O raio
de cada cluster é determinado encontrando a distância máxima entre o centróide do cluster
e cada um dos pontos associados ao cluster.
• Os K centróides e seus raios e rótulos correspondentes (o cluster classificado

correspondente) são salvos como linha de base para a classificação em tempo real na
Etapa 2.
(e) Otimizando a precisão do agrupamento:
• As etapas (c) e (d) são repetidas com diferentes vetores de peso. • O vetor
de peso que atinge a melhor precisão é escolhido. Está salvo
como linha de base para a classificação em tempo real na Etapa 2.
www.it-ebooks.info
164 G. David
2. Etapa de classificação:
(a) Aplicação on-line (pode ser feita em tempo real) do analisador de tráfego para produzir as
estatísticas do ponto de dados recém-chegado (vetor linha); (b) Cada valor
(característica) neste novo vetor linha é normalizado usando o logaritmo de seu valor;
(c) Este vetor linha normalizado é processado pela aplicação do geo-

harmônicos métricos para derivar seu vetor de incorporação:
• Este vetor linha é analisado pela aplicação dos harmônicos geométricos usando a
matriz de incorporação da linha de base (foi calculada e salva na etapa de treinamento)
e o vetor de peso da linha de base. Ele retorna a extensão da matriz. Esta extensão é
o novo vetor de incorporação do ponto de dados recém-chegado.
(d) Classificação do ponto de dados recém-chegado como pertencente a um protocolo de

aplicação conhecido de um dos clusters de treinamento (normal) ou não pertencente, o
que significa que é um anormal:
• As distâncias entre o vetor de incorporação do ponto de dados recém-chegado e os K

centróides (foram calculados e salvos na etapa de treinamento) são calculadas de
acordo com a distância euclidiana ponderada (o vetor de peso foi calculado e salvo na
etapa de treinamento). • O ponto de dados recém-chegado está associado
ao cluster do seu centróide mais próximo (um dos K centróides). • Um ponto de dados,
que é mapeado para um cluster cuja
distância do centróide do cluster é maior que o raio da linha de base deste cluster, é
classificado como um ponto anormal. Caso contrário, ele é classificado como ponto
normal e sua classificação é determinada de acordo com o rótulo da linha de base do
cluster correspondente (os raios e os rótulos foram calculados e salvos na etapa de
treinamento).
6.1.2 Descrição detalhada e formal do algoritmo PCR
1. Etapa de treinamento:
Processando o conjunto de dados de treinamento: Seja H um conjunto de dados como fluxos de

rede. Seja C uma matriz de tamanho mn que foi produzida a partir de H pelo analisador de tráfego.
m é o número de fluxos de rede en é o número de recursos que foram coletados para cada fluxo de
rede.
Normalização da matriz C: A matriz C é normalizada tomando o valor logarítmico de cada recurso. Suponha que r; 1 rm, é uma linha em C
denotada por D fcri : 1 i ng. O vetor normalizado ar é construído por ar = logðcr Þ, cr = r = 1; ...; m. A matriz de treinamento normalizada A é salva
como linha de base para a etapa de detecção em tempo real.
www.it-ebooks.info
Processando a matriz normalizada A - derivação de sua matriz de incorporação ÿ: Nós

reduzir a dimensionalidade dos dados de n (número de recursos) para 10 (pode ser
qualquer número). Este processo aplica os mapas de difusão. Denotamos o vetor linha
D !¼
eu; 1 im, na matriz normalizada A é ai A sua faik : 1 k de. Calculamos para
matriz de distâncias aos pares A~ cujas entradas são ~aij usando um dos seguintes
métricas de distância:
Métrica de distância euclidiana:
ffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiff
D ! T
~ aij¼ q Dai também !Þðai ! também !Þ : eu; j = 1; ...; eu:
Métrica de distância euclidiana ponderada:

ffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiff
8 ! ! ! ! 9
D comer também T
: eu; j = 1; ...; eu
:~ aij¼
<
d
ah ! É isso !Em Þ
=
:é ;:
D
onde !w ¼ fwk : 1 k ng é um vetor de fator de ponderação. À medida que wk se torna maior, o
! !
influência do k-ésimo recurso na distância entre ai e aj fica menor.
Métrica de distância cosseno:
8 ! !T 9
D 01 comer também
1 eu
~ aij¼ ffiffiffiffiffiffiffiffiffiffiffiffiffiffiff
ffiffiffiffiffiffiffiffiffiffiffiffiffiffiff
:
>< >=
! Você !T
>: @ !q tem comer

! qtambém também
CA: eu; j = 1; ...; >;
Métrica de distância de Mahalanobis:
ffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiff
D ! ! T
~ aij¼ f q Dai aj !Þ R1 ðai também !Þ : eu; j = 1; ...; eu
e R é a matriz de covariância da amostrag:
R também pode ser a matriz de recursos.

Construímos um kernel gaussiano
Veja ¼ e~aij e ; eu; j = 1; ...; eu:
Como e é fixo para todas as entradas em A~, ele fornece um controle de escala grosseiro. Um melhor
o controle de escala pode ser alcançado da seguinte forma: Primeiro, construímos o Gaussiano inicial
kernel K~ij com o controle de escala fixa e,
K~ij ¼ e~aij e ; eu; j = 1; ...; eu:
www.it-ebooks.info
166 G. David
Então, construímos um kernel gaussiano com um controle de escala mais preciso
~a
eu j
eu
P q¼1
K~iq
eu; j = 1; ...; eu:
Olha ¼ e ;
Este controle de escala mais preciso fornece uma descrição melhor e compacta do local
propriedades geométricas da matriz de distâncias aos pares A~. Este processo é repetido
até que o fator de escala seja suficientemente fino e Kij represente de forma ideal a natureza do
geometria local de A~. Kij é normalizado em uma matriz Pij por um dos seguintes
métodos:
Matriz laplaciana do gráfico:
Grudar
Beba ¼ :
ffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiff ffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiff
PMKiq q
q¼1 PMKjq q
q =1
Matriz Laplace-Beltrami: Primeiro, calculamos o gráfico da matriz Laplaciana
Grudar
P~ij ¼ ffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiff ffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiff :
PMKiq q
q¼1 PMKjq q
q =1
Repetimos este processo e obtemos a matriz Laplace-Beltrami
P~ij
:
Beba ¼
ffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiff ffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiffiff
PM PM
P~iq q¼1
q P~jq q¼1
q
Como Pij é um kernel semidefinido positivo simétrico, ele permite o seguinte

decomposição própria:
! !
Xm1 kwww ai vw aj
::Pij ¼ em ~x::
onde kw são os autovalores e vw são os autovetores. Por fim, construímos o

matriz de incorporação W. Denotamos a i-ésima coluna de W por Wi .
Tomamos os primeiros 10 autovetores da autodecomposição desse processo. O
as saídas deste processo são o vetor de peso w e a matriz de incorporação W. w e
W são salvos para a etapa de detecção em tempo real (online).
Agrupamento e classificação dos pontos na incorporação W: Usamos o
incorporando a matriz W para agrupar os pontos no conjunto de dados usando agrupamento K-Means
www.it-ebooks.info
(MacQueen 1967). Para cada K, 5 K 100, aplicamos o agrupamento K-Means para

W. Para cada K, denote a saída do agrupamento K-Means por
CLUSTK ¼ fCLUSTK eu
:1 eu kg
CENTRK ¼ fCENTRK eu
:1 eu kg:
CLUSTK contém os pontos em W que foram associados pelo K-Means ao i-ésimo

eu
cluster em CLUSTK e CENTRK é o valor do centróide correspondente em CLUSTK

eu eu .
Calculamos o raio RADIUSK eu para cada CLUSTK

calculando o máximo eu
distância entre todos os pontos em W que pertencem a CLUSTK e entre eu
CENTRKeu . Denotamos os raios dos clusters K-Means CLUSTK por
RAIO ¼ Fradius eu : 1 i Kg:
Para cada i, os pontos em CLUSTK eu são agrupados de acordo com seus rótulos (tipo
de aplicação do treinamento). A classificação CLASSK do cluster CLUSTK é
eu eu
determinado de acordo com o rótulo do grupo mais popular. Denote este grupo por
POP . Para cada i, a precisão ACCUK
eu
do cluster CLUSTK é calculado por
eu eu
jPOPK eu j
ACCUK eu
¼
;
jCLUSTK eu j
onde jPOPK eu j é o número de pontos em CLUSTK eu que pertencem aos mais populares
grupo e jCLUSTK eu j é o número total de pontos em CLUSTK . Nós denotamos o
eu
precisão dos clusters baseados em K-Means CLUSTK por
ACCUK ¼ fACCUK eu
:1 eu kg:
Repetimos esse processo para cada K, 5 K 100. Por fim, escolhemos o K que
alcança os melhores resultados precisos. Salvamos as classificações K CLASSK, o
correspondentes K centróides CENTRK e os K raios correspondentes RADIUSK
como linha de base para a classificação on-line (em tempo real) na Etapa 2.
Otimizando a precisão do agrupamento: lembramos da etapa de treinamento que, embora
processando a matriz normalizada A para derivação de sua matriz de incorporação W, nós
use um vetor de peso aleatório w. Repetimos a etapa de treinamento com pesos diferentes
vetores onde cada vez usamos um vetor aleatório diferente w. O vetor de peso w,
que alcança os melhores resultados de precisão ACCUK, é escolhido. Este vetor é salvo como
uma linha de base para a classificação em tempo real na Etapa 2.
www.it-ebooks.info
168 G. David
As saídas desta etapa de treinamento são a matriz normalizada A, o vetor de peso w, a matriz de
incorporação de 10 dimensões W e os parâmetros dos melhores (mais precisos) clusters K-Means (as
classificações correspondentes CLASSK, os centros CENTRK e os raios RADIUSK ). Esses resultados
são os parâmetros básicos para o processo de classificação em tempo real (online) descrito na Etapa 2.
2. Etapa de classificação:
Processamento em tempo real de um ponto de dados recém-chegado: Seja P um vetor linha de

tamanho 1 n que é produzido pelo analisador de tráfego em tempo real para cada novo fluxo de rede,
onde n é o número de recursos reunidos para cada fluxo . Esses recursos foram descritos na Seção. 4.
Normalização on-line do ponto de dados P: O vetor P é normalizado tomando o valor logarítmico de

cada recurso. O vetor normalizado A é construído por A = logðPÞ. No final deste processo, o vetor linha
original P é substituído pelo vetor linha normalizado A.
Processando o vetor normalizado A - derivação de seu vetor de incorporação ÿ: A matriz de

incorporação de linha de base W, que foi salva na etapa de treinamento, é usada. A dimensionalidade
de A é reduzida de n para 10. Este processo utiliza a aplicação de harmônicos geométricos, que foi
descrito na Seção. 2.1.2, para estender a matriz de incorporação W com o vetor normalizado A
recentemente calculado. Usamos o vetor de peso da linha de base w para calcular as distâncias aos
pares de A neste processo. A saída deste processo é a extensão da matriz. Esta extensão é o novo
vetor de incorporação w do ponto de dados recém-chegado.
Classificação em tempo real de um ponto de dados recém-chegado ÿ: A matriz de incorporação da

linha de base W, o vetor de peso da linha de base w e os parâmetros K-Means da linha de base
CLASSK, CENTRK e RADIUSK, que são as classificações, centros e raios correspondentes à linha
de base), respectivamente, que foram salvos na etapa de treinamento (Etapa 1). Esses parâmetros de
linha de base são usados para classificar o ponto de dados recém-chegado como pertencente (normal)
ao protocolo de aplicação de um dos clusters de treinamento ou não (anormal). As distâncias entre o
vetor de incorporação w do ponto de dados recém-chegado e os K centróides CENTRK são calculadas
usando a métrica de distância euclidiana ponderada e o vetor de peso da linha de base w. O ponto de
dados recém-chegado está associado ao cluster de seu centróide mais próximo (dos K centróides).
Denotamos a distância de w de seu centróide mais próximo por DISK
j
onde j é o número do cluster ao qual o novo ponto de dados está associado. O ponto de dados recém-chegado é
classificado como anormal se sua distância do centróide do cluster associado for maior que o raio correspondente.
Formalmente, w é anormal se DISK j
RADIUSK j .
Caso contrário, w é classificado como ponto normal e seu rótulo de classificação é CLASSK j .
A saída deste processo em tempo real é um vetor de incorporação de dez dimensões w e um

mecanismo de decisão que determina se o ponto de dados recém-chegado é normal ou anormal. Esta
etapa de classificação determina se cada ponto de dados recém-chegado é normal ou anormal.
www.it-ebooks.info
Nosso algoritmo de classificação em tempo real foi testado em conjuntos de dados reais de uma grande
rede empresarial. As entradas são as estatísticas desses conjuntos de dados (gerados pelos analisadores de
tráfego). A seção 7 apresenta alguns resultados experimentais nesses conjuntos de dados após a aplicação do
algoritmo PCR.
7 Resultados Experimentais
Na seita. 7.1, o algoritmo PCR foi testado em conjuntos de dados que contêm tráfego de rede real capturado de
uma rede de grande empresa (Seção 3). Na seita. 7.2, ele foi testado em 16 conjuntos de dados públicos do
repositório UCI (Blake e Merz 1998), e seus resultados de agrupamento foram comparados com vários
algoritmos de agrupamento conhecidos. Esses conjuntos de dados são de domínios diferentes e o objetivo
deste experimento é mostrar que o PCR é genérico e pode caber em domínios diferentes.
7.1 Classificação e Reconhecimento do Protocolo
As entradas são as estatísticas das sessões desses conjuntos de dados [como foram geradas pelo analisador
de tráfego orientado a fluxo (Seção 4)]. A seção 7.1.1 apresenta os resultados experimentais no conjunto de
dados de treinamento que contém 5.500 pontos de dados. A seção 7.1.2 apresenta os resultados experimentais
no conjunto de dados de teste que contém 2.000 pontos de dados.
7.1.1 Resultados experimentais em conjuntos de dados de treinamento
Esta seção apresenta os resultados experimentais no conjunto de dados de treinamento que contém 5.500
pontos de dados. Lembramos da Seita. 6 que a redução da dimensionalidade da matriz estatística [que foi
gerada pelo analisador de tráfego orientado a fluxo (Seção 4)] envolve um cálculo das distâncias aos pares
nesta matriz. A métrica usada para calcular a distância entre pares é uma das seguintes (ver Seção 6.1.2):
• Distância euclidiana (L2) ; •

Distância de Mahalanobis; •
Distância cosseno; •
Distância euclidiana ponderada (WL2) .
Nesta seção, apresentamos os resultados experimentais para cada métrica.

Lembramos da Seita. 6 que os pontos na matriz incorporada são agrupados usando o agrupamento K-
Means para diferentes valores de K (5 K 100).
www.it-ebooks.info
170 G. David
Lembramos da Seita. 6.1.2 que a precisão ACCUi do cluster CLUSTi é calculada por
jPOPi j
ACCUi ¼
jCLUSTi j
onde jPOPi j é o número de pontos em CLUSTi que pertencem ao grupo mais popular e jCLUSTi j é o
número total de pontos em CLUSTi .
Para cada método de distância e para cada valor K-Means, calculamos o número de clusters onde
suas precisões nos K clusters são superiores a um determinado nível de precisão. Definimos a razão
entre este número e o número total de clusters (K) como a precisão entre clusters. Para avaliar o
desempenho de diferentes métricas de distância e diferentes valores de K-Means, usamos os seguintes
níveis de precisão:
1. Nível de precisão de 95%; 2.

Nível de precisão de 90%; 3. Nível
de precisão de 85%.
Além disso, calculamos o número de fluxos associados a clusters cuja precisão é superior a um
determinado nível de precisão. Definimos a relação entre este número e o número total de fluxos como
a cobertura intercluster.
Esta seção apresenta os resultados experimentais na seguinte ordem:
1. Os resultados de precisão entre clusters do algoritmo de classificação de acordo com diferentes

métricas de distância e de acordo com diferentes valores de K-Means; 2. A cobertura
inter-cluster resulta do algoritmo de classificação de acordo com diferentes métricas de distância e de
acordo com diferentes valores de K-Means.
O eixo X em cada figura representa diferentes valores de K e o eixo Y representa

os resultados do índice (precisão ou cobertura) em porcentagens.
Os resultados de precisão entre clusters do algoritmo PCR
A Figura 6 mostra os resultados de precisão entre clusters do algoritmo PCR de acordo com as quatro
métricas de distância diferentes e de acordo com diferentes K, onde a precisão é de 95%.
PCR com distância de Mahalanobis e PCR com distância euclidiana ponderada (WL2) alcançam os
melhores resultados em termos de precisão. A PCR com distância cosseno atinge resultados menos
precisos, enquanto a PCR com distância euclidiana (L2) atinge os piores resultados em termos de
precisão.
A Figura 7 mostra os resultados de precisão entre clusters do algoritmo PCR de acordo com as
quatro métricas de distância diferentes e de acordo com diferentes valores de K, onde a precisão é de
90%.
www.it-ebooks.info
Fig. 6 Classificação e reconhecimento do protocolo: resultados de precisão entre clusters com nível de precisão de 95%
Fig. 7 Desempenho de PCR: resultados de precisão entre clusters com nível de precisão de 90%
Para os primeiros 35 clusters, o PCR com distância de Mahalanobis e o PCR com distância
euclidiana ponderada (WL2) alcançam os melhores resultados em termos de precisão.
A PCR com distância cosseno atinge resultados menos precisos, enquanto a PCR com distância
euclidiana (L2) atinge os piores resultados em termos de precisão. Do cluster 35 ao
www.it-ebooks.info
172 G. David
Fig. 8 Classificação e reconhecimento do protocolo: resultados de precisão entre clusters com nível de precisão de 85%
cluster 50, PCR com distância euclidiana ponderada (WL2) alcança os melhores resultados em termos
de precisão. Do cluster 50 ao cluster 60, não há diferença significativa entre as distâncias Mahalanobis,
Cosseno e Euclidiana Ponderada (WL2), enquanto a PCR com distância Euclidiana (L2) ainda atinge
os piores resultados. A partir do 60º cluster, o PCR com distância euclidiana ponderada (WL2) alcança
os melhores resultados em termos de precisão.
quatro métricas de distância diferentes e de acordo com diferentes valores de K, onde a precisão é de
85%.
Para os primeiros 20 clusters, não há diferença significativa entre as distâncias Mahalanobis,
Cosseno e Euclidiana Ponderada (WL2), enquanto a PCR com distância Euclidiana (L2) alcança os
piores resultados em termos de cobertura. Do cluster 20 ao cluster 40, a PCR com distância de
Mahalanobis e a PCR com distância euclidiana ponderada (WL2) alcançam os melhores resultados
em termos de precisão. A PCR com distância cosseno atinge resultados menos precisos, enquanto a
PCR com distância euclidiana (L2) atinge os piores resultados em termos de precisão. Do cluster 40
ao cluster 50, o PCR com distância euclidiana ponderada (WL2) alcança os melhores resultados em
termos de precisão. Do cluster 50 ao cluster 60, não há diferença significativa entre as distâncias
Mahalanobis, Cosseno e Euclidiana Ponderada (WL2), enquanto a PCR com distância Euclidiana (L2)
ainda atinge os piores resultados. A partir do 60º cluster, o PCR com distância euclidiana ponderada
(WL2) alcança os melhores resultados em termos de
precisão.
www.it-ebooks.info
O Inter-Cluster cobre os resultados do algoritmo de classificação
A Figura 9 mostra os resultados da cobertura entre clusters do algoritmo PCR de acordo com as quatro
métricas de distância diferentes e de acordo com diferentes valores de K, onde a precisão dos clusters
é de 95%.
Para os primeiros 20 clusters, o PCR com distância euclidiana ponderada (WL2) e o PCR com
distância de Mahalanobis alcançam os melhores resultados em termos de cobertura. PCR com distância
cosseno e PCR com distância euclidiana (L2) alcançam os piores resultados.
Do cluster 20 ao cluster 50, o PCR com distância euclidiana ponderada (WL2) alcança os melhores
resultados em termos de cobertura. A partir do 50º cluster, o PCR com distância de Mahalanobis
alcança os melhores resultados.
quatro métricas de distância diferentes e de acordo com diferentes valores de K, onde a precisão dos
clusters é de 90%.
distância de Mahalanobis alcançam os melhores resultados em termos de cobertura. PCR com distância
cosseno alcança os piores resultados. Do cluster 20 ao cluster 50, o PCR com distância euclidiana
ponderada (WL2) alcança os melhores resultados em termos de cobertura, enquanto o PCR com
distância euclidiana (L2) alcança os piores resultados. A partir do 50º cluster, não há diferença
significativa entre as distâncias Mahalanobis, Cosseno e Euclidiana Ponderada (WL2), enquanto a PCR
com distância Euclidiana (L2) ainda alcança os piores resultados.
A Figura 11 mostra os resultados da cobertura entre clusters do algoritmo PCR de acordo com as
quatro métricas de distância diferentes e de acordo com diferentes valores de K, onde a precisão dos
clusters é de 85%.
Fig. 9 Desempenho de PCR: resultados de cobertura intercluster com nível de precisão de 95%
www.it-ebooks.info
174 G. David
distância de Mahalanobis alcançam os melhores resultados em termos de cobertura. A PCR com
distância euclidiana (L2) alcança os piores resultados. Do cluster 30 ao cluster 50, não há diferença
significativa entre Mahalanobis, Cosseno e Ponderado
www.it-ebooks.info
Fig. 12 Desempenho de PCR: resultados de cobertura intercluster para a métrica de distância euclidiana
Distâncias euclidianas (WL2) enquanto PCR com distância euclidiana (L2) ainda alcança os piores
resultados. A partir do 50º cluster, o PCR com distância euclidiana ponderada (WL2) e o PCR com
distância cosseno alcançam os melhores resultados em termos de cobertura.
A Figura 12 mostra os resultados da cobertura inter-cluster do algoritmo PCR de acordo com a
métrica de distância euclidiana e de acordo com diferentes valores de K onde a precisão dos clusters é
de 95, 90 e 85%, respectivamente.
Para os primeiros 15 clusters, os resultados de cobertura para clusters com precisão de 90 e 85%
são idênticos, enquanto os resultados para clusters com precisão de 95% são os piores.
Para os clusters 15 a 40, os resultados de cobertura para clusters com precisão de 85% são os melhores, enquanto os
resultados para clusters com precisão de 95% ainda são os piores. A partir do 40.º cluster, não há diferença significativa
entre os resultados de cobertura para clusters com precisão de 90 e 85%, enquanto os resultados para clusters com
precisão de 95% são os piores.

métrica de distância de Mahalanobis e de acordo com diferentes valores de K, onde a precisão dos
clusters é de 95, 90 e 85%, respectivamente.
Para os primeiros 80 clusters, os resultados de cobertura para clusters com precisão de 85% são
os melhores, enquanto os resultados para clusters com precisão de 95% são os piores. A partir do 80.º
cluster, não há diferença significativa entre os resultados de cobertura para clusters com precisão de
90 e 85%, enquanto os resultados para clusters com precisão de 95% ainda são os piores.

métrica de distância Cosseno e de acordo com diferentes valores de K onde a precisão dos clusters é
de 95, 90 e 85%, respectivamente.
Os resultados de cobertura para clusters com precisão de 85% são os melhores, enquanto os
resultados para clusters com precisão de 95% são os piores.
www.it-ebooks.info
176 G. David
Fig. 13 Desempenho de PCR: resultados de cobertura entre clusters para a métrica de distância Mahalanobis
Fig. 14 Desempenho de PCR: resultados de cobertura entre clusters para métrica de distância cosseno

métrica de distância euclidiana ponderada e de acordo com diferentes valores de 95 K, onde a precisão
dos clusters é de 95, 90 e 85%, respectivamente.
Para os primeiros 80 clusters, os resultados de cobertura para clusters com precisão de 85% são
os melhores, enquanto os resultados para clusters com precisão de 95% são os piores. A partir do 80.º
cluster, não há diferença significativa entre os resultados de cobertura para clusters com precisão de
90% e 85%, enquanto os resultados para clusters com precisão de 95% ainda são os piores.
www.it-ebooks.info
Fig. 15 Desempenho de PCR: resultados de cobertura intercluster para métrica de distância euclidiana ponderada
7.1.2 Resultados experimentais em conjuntos de dados de teste
Esta seção apresenta os resultados da classificação experimental em 2.000 pontos de dados.

O perfil de linha de base, utilizado para a classificação, foi gerado pelo algoritmo PCR na fase de
treinamento. O perfil da linha de base foi construído usando a métrica de distância euclidiana ponderada
onde K = 55.
Na fase de classificação, cada fluxo (ponto de dados) no conjunto de dados de teste foi associado a um
dos clusters da linha de base de acordo com o algoritmo PCR.
A taxa de classificação foi calculada como a razão entre o número de fluxos de teste, que foram classificados
com sucesso, e o número total de fluxos de teste. A taxa de classificação incorreta foi calculada como a
razão entre o número de fluxos de testes, que foram classificados sem sucesso, e o número total de fluxos
de testes. 97% dos fluxos de testes foram classificados com sucesso, enquanto apenas 3% dos fluxos de
testes foram classificados incorretamente. 2,8% dos fluxos classificados incorretamente estavam associados
a clusters que incluem o seu tipo de protocolo.
7.2 Conjuntos de dados UCI
Utilizamos em nossos experimentos 16 conjuntos de dados públicos do repositório UCI (Blake e Merz 1998).
Esses conjuntos de dados pertencem a uma ampla variedade de domínios e problemas de mineração de
dados e aprendizado de máquina. A Tabela 1 mostra as propriedades de cada conjunto de dados. O primeiro
www.it-ebooks.info
178 G. David
Tabela 1 As propriedades dos conjuntos de dados que foram utilizados para analisar o desempenho do
algoritmos
Nome do conjunto de dados Descrição Tipo Núm. de Núm. de Núm. de
dimensões Aulas amostras
Íris Tamanhos de plantas Iris Numérico 4 3 150
Vinho Análise química de vinhos Numérico 13 3 178
Vidro Elementos e características de Numérico 9 7 214
copos
Segmentação Dados de segmentação de imagem Numérico 19 7 2310
Ionosfera Radar de data Numérico 34 2 351

Coração Diagnóstico de cardiopatia única Numérico 44 2 80
SPECTF Emissão de prótons computada
Imagens de tomografia (SPECT)
Ecoli Sites de localização de proteínas Numérico 7 8 336
Levedura Sites de localização de proteínas Numérico 8 10 1484
Sentado
Valores multiespectrais de pixels em Numérico 36 6 4435
uma imagem de satélite
Bloco de páginas Blocos do layout da página de Numérico 10 5 5473

documentos
Soja Características da soja Nominal 33 19 310

e
numérico
Dermatologia Clínica e Histopatológica Nominal 33 6 366

características dos pacientes e
numérico
Adulto Dados do censo Nominal 14 2 30.612
base de dados e
numérico
Coração Diagnóstico da clínica de Cleveland Nominal 13 5 303
Cleveland Fundação e
Numérico
Legal Características dos animais Nominal 17 7 101
e
numérico
Vogal Proporção de área logarítmica derivada de LPC Nominal 12 11 528
coeficientes
coluna da tabela apresenta os nomes dos conjuntos de dados. A segunda coluna apresenta
a descrição do conjunto de dados. A terceira coluna apresenta o tipo do conjunto de dados:
alguns conjuntos de dados contêm dados numéricos, alguns contêm dados nominais e alguns contêm
mistura de dados numéricos e nominais. A quarta coluna apresenta o número de
dimensões (recursos) em cada conjunto de dados: o menor número de dimensões é 4 e o
o maior é 44. A quinta coluna apresenta o número de classes em cada conjunto de dados: o
o número mínimo de classes é 2 e o número máximo é 19. A sexta coluna
apresenta o número de amostras em cada conjunto de dados: o número mínimo de amostras é
80 e o número máximo é 30.612.
www.it-ebooks.info
Tabela 2 Descrições dos algoritmos comparados onde num = numérico e nom = nominal
Algoritmo Descrição Ref. Dados

nome tipo
aleatório – –
Cada ponto é associado aleatoriamente a um dos k
clusters - este método é usado como ponto de referência,
a fim de estimar o desempenho dos algoritmos de cluster
Nosso método proposto neste
PCR – Num
artigo Um dos algoritmos de cluster mais
k-significa usados que foi projetado para agrupar números dados Lloyd (1982) Num
(ver Seção 2)
k-means++ Um algoritmo para escolher os valores iniciais para agrupamento k- Artur e Num
means. Ele inicializa os centros do cluster antes de Vassilvitskii
prosseguir com as iterações padrão de otimização k- (2007)
means (consulte a Seção 2)
Kernel Kernel k-means mapeia os dados para um espaço Zhang e Num
k-meios de recursos de dimensão superior usando uma função Rudnicky
não linear. Em seguida, ele particiona os pontos por (2002)
separações lineares no novo espaço (ver Seção 2)
PCA Primeiro, usamos o PCA para reduzir a Pearson (1901) e Num
k-médias dimensionalidade dos dados, projetando-os nos Lloyd (1982)
primeiros componentes principais. Em seguida, agrupamos
os dados projetados usando k-means Um algoritmo
bétula hierárquico aglomerativo que é usado para agrupar Zhang et al. Num
grandes conjuntos de dados numéricos Surgiu do (1996)
modos k algoritmo k-means e foi projetado para agrupar conjuntos Huang (1998) Nome
de dados categóricos
K-prototypes O algoritmo k-prototypes integra os algoritmos k-means e k- Huang (1998) Misturar
modes para permitir o agrupamento de dados mistos
Gower O algoritmo k-means aplicado ao índice de similaridade Lloyd (1982) e Num,

k-meios de Gower para permitir o agrupamento de dados mistos Gower (1971) substantivo,
misturar
Para avaliar o desempenho do PCR, comparamos seus resultados de agrupamento com

vários algoritmos de agrupamento conhecidos. A Tabela 2 descreve cada um desses algoritmos
de agrupamento. A última coluna desta tabela apresenta o tipo de dados que cada algoritmo foi
projetado para agrupar: alguns algoritmos foram projetados para agrupar dados numéricos,
alguns dados nominais e alguma combinação de dados numéricos e nominais.
Para cada algoritmo medimos o índice de precisão (pureza) (Tan et al. 2005).
A Tabela 3 apresenta os resultados de precisão da aplicação dos diferentes algoritmos aos
conjuntos de dados de avaliação. Para cada algoritmo de agrupamento e cada conjunto de
dados, escolhemos k como o número de classes no conjunto de dados (conforme Tabela 1).
A aplicação do agrupamento aleatório aos conjuntos de dados Ionosphere e Pageblock
obteve os mesmos resultados que todos os algoritmos alcançados (nestes dois conjuntos de dados).
Embora o objetivo principal do PCR fosse classificar e reconhecer dados e protocolos de rede,
o PCR obteve melhores resultados para 5 dos 14 conjuntos de dados restantes.
www.it-ebooks.info
180
algoritmos
diferentes
e
PCR
entre
comparação
geral:
acurácia
de
Resultados
3
Tabela
Coração
Ionosfera
Segmentação
Glass
Wine
Iris Sábado
Ecoli
Levedura Adulto
Coração
Dermatologia
Soja
Pageblock zoológico
do
Vogal
SPECTF Cleveland
PCR 0,9 0,71 0,65 0,62 0,89 0,75 0,53

0,87 0,9
0,73 0,68 0,41 0,75 0,67 0,34
0,87
aleatório 0,41
0,39 0,41 0,19 0,89 0,56 0,35
0,45 0,9
0,26 0,24 0,32 0,74 0,55 0,17
0,43
k- 0,7
0,89 0,59 0,59 0,89 0,68 0,53
0,86 0,9
0,73 0,74 0,42 0,75 0,56 0,29
0,86
0,7
0,89
+
k- 0,6 0,59 0,89 0,68 0,53
0,85 0,9
0,73 0,73 0,37 0,75 0,59 0,31
0,86
Núcleo 0,5
0,96 0,65 0,24 0,89 0,71 0,89
0,28
0,56
0,87 0,68 0,41 0,74 0,6 0,31
0,89
k-
PCA 0,7
0,89 0,65 0,62 0,89 0,68 0,49
0,79 0,9
0,73 0,6 0,43 0,75 0,56 0,29
0,86
k-
www.it-ebooks.info
BÉTULA 0,7
0,89 0,58 0,63 0,89 0,66 0,53
0,86 0,9
0,73 0,76 0,43 0,75 0,55 0,31
0,83
k
modos 0,47
0,46
0,59 0,24 0,89 0,64 0,38
0,47 0,9
0,48 0,63 0,8 0,81 0,83 0,9 0,15
– – – – ––
–
–
––
protótipos
k- 0,77 0,75 0,67 0,42
0,88
Gower 0,56
0,96
0,88 0,64 0,89 0,56 0,53
0,82 0,9
0,73 0,59 0,85 0,79 0,58 0,17
0,88
k-
alcançada
precisão
melhor
a
representam
itálico
e
negrito
em
números
Os
G. David
8 Conclusão
Apresentamos uma estrutura única baseada em processos de difusão e outras metodologias para
encontrar descrições geométricas significativas em conjuntos de dados de alta dimensão. Mostramos
que as funções próprias das matrizes de Markov subjacentes geradas podem ser usadas para construir
processos de difusão que geram representações eficientes de estruturas geométricas complexas para
análise de dados de alta dimensão.
Nossos métodos propostos classificam e reconhecem automaticamente protocolos de rede com
alta precisão e taxa de classificação, ao mesmo tempo que minimizam a taxa de classificação incorreta.
Além disso, mostrou bons resultados durante testes em tarefas de cluster de uso geral.
Referências
Arthur D, Vassilvitskii S (2007) k-means++: as vantagens da semeadura cuidadosa. In: SODA '07 Anais do décimo
oitavo simpósio anual ACM-SIAM sobre algoritmos discretos, Filadélfia, PA. SIAM, pp 1027–1035 Blake CL, Merz
CJ (1998) Repositório UCI de bancos de dados
de aprendizado de máquina. Universidade da Califórnia, Departamento de Informação e Ciência da Computação. http://
www.ics.uci.edu/mlearn/MLRepository.html Chung FRK (1997) Teoria dos grafos espectrais, volume 92 da série de
conferências regionais
CBMS em
Matemática. AMS
Coifman RR, Lafon S (2006a) Mapas de difusão. Appl Comput Harmon Anal 21(1):5–30 Coifman RR, Lafon S
(2006b) Harmônicos geométricos: uma nova ferramenta para multiescala fora da amostra
extensão de funções empíricas. Appl Comput Harmon Anal 21(1):31–52
Coifman RR, Lafon S, Lee AB, Maggioni M, Nadler B, Warner F, Zucker SW (2005) Difusões geométricas como
ferramenta para análise harmônica e definição de estrutura de dados: Mapas de difusão. Proc Natl Acad Sci USA
102(21):7426–7431 David G (2009) Detecção e
classificação de anomalias via processos de difusão em hiper-redes.
Tese de doutorado, Universidade de Tel Aviv
Gower JC (1971) Um coeficiente geral de similaridade e algumas de suas propriedades. Biometria 27
(4):857–871
Huang Z (1998) Extensões ao algoritmo k-means para agrupar grandes conjuntos de dados com categorias categóricas
valores. Data Min Knowl Discov 2(3):283–304
Kohonen T (1990) O mapa auto-organizado. Proc IEEE 78(9):1464–1480 Lafon S, Keller
Y, Coifman RR (2006) Fusão de dados e correspondência de dados multicue por mapas de difusão.
Padrão Trans IEEE Anal Mach Intell 28(11):1784–1797
Lloyd S (1982) Quantização de mínimos quadrados em PCM. IEEE Trans Inform Theory 28(2):129–137 MacQueen
JB (1967) Alguns métodos para classificação e análise de observações multivariadas.
In: Anais do 5º Simpósio de Berkeley sobre Estatística Matemática e Probabilidade, vol 1, Berkeley, CA. Imprensa
da Universidade da Califórnia, pp 281–297
Nadler B, Lafon S, Coifman RR, Kevrekidis IG (2006) Mapas de difusão, agrupamento espectral e coordenadas de
reação de sistemas dinâmicos. Aplicativo Comput Harmon Anal 21(1):113–127
www.it-ebooks.info
182 G. David
Pearson K (1901) Sobre linhas e planos de ajuste mais próximo a sistemas de pontos no espaço. Philos Mag
2(6):559–572
Tan PN, Steinbach M, Kumar V (2005) Introdução à mineração de dados. Addison-Wesley, Boston Zhang R,
Rudnicky AI (2002) Um esquema de agrupamento em grande escala para kernel k-means. In: Anais da 16ª
conferência internacional sobre reconhecimento de padrões (ICPR 02), vol 4, Nova York. IEEE, páginas
289–292
Zhang T, Ramakrishnan R, Livny M (1996) BIRCH: Um método eficiente de agrupamento de dados para muito
grandes bancos de dados. SIGMOD Recomendação 25(2):103–114
www.it-ebooks.info
Ataques de tempo e canal lateral
Nezer Zaidenberg e Amit Resh
Resumo Como você saberia que o Pentágono dos EUA está planejando um ataque ao Iraque?
Um plano possível é infiltrar-se no Pentágono usando espiões, lançando traidores, etc. Mas isto
parece muito trabalhoso e é um trabalho perigoso. Essa é a abordagem direta.
Outro plano possível é perguntar aos entregadores de pizza da região. As pessoas que planejam
um ataque provavelmente significam muitas pessoas tentando cumprir prazos com urgência,
ficando até tarde no escritório e pedindo pizza. Então os entregadores de pizza sabem de um
ataque pendente! Os entregadores de pizza não sabem a natureza do ataque, mas sabem que
“algo está acontecendo” no pentágono porque há alguns dias as pessoas ficam até tarde no
escritório e pedem pizza em horários irregulares. A abordagem da pizza é o ataque de canal lateral.
Este ataque ao Pentágono não é um ataque direto ao canal.
Nenhum espião foi usado. Nenhum ataque às defesas do Pentágono. É um ataque de canal lateral.
Ataque os efeitos colaterais de planejar algo. As pessoas que planejam precisam trabalhar mais
tempo e também precisam comer.
1. Introdução
Na segurança da computação, existem vários ataques de canal lateral aos efeitos colaterais da
verificação da eficácia. Não se trata de ataques concebidos na linha primária que foi protegida, mas
nos seus efeitos secundários. Um exemplo trivial é superar a proteção do PIN do smartphone em
smartphones roubados. Normalmente existem 10.000 combinações de PIN. No entanto, se o
invasor conseguir decifrar os dígitos do PIN estudando a mancha deixada pelos dedos do
proprietário no dispositivo, o problema pode se tornar um problema de 1:24, o que é
significativamente mais fácil (Genkin et al. 2013).
N. Zaidenberg (&) A. Resh

Departamento de Tecnologia da Informação Matemática, Universidade
de Jyväskylä, Jyväskylä, Finlândia e-mail:
[email protected]
A. Resh e-
mail: [email protected]

10.1007/978-3-319-18302- 2_11
www.it-ebooks.info
184 N. Zaidenberg e A. Resh
Este tipo de ataque é muito poderoso. Schneier (2012) estima que a NSA é capaz de quebrar a
criptografia AES usando ataque de canal lateral. Embora nenhum método desse tipo tenha sido
publicado.
2 pílulas azuis e pílulas vermelhas do hipervisor
2.1 Conceito de Subversão e Pílula Azul
Um hipervisor é um tipo de software que permite executar vários sistemas operacionais em um único
hardware. O hipervisor trata um sistema operacional convidado de maneira semelhante à forma como
um sistema operacional trata os processos. O hipervisor gerencia o mapa de memória para vários
sistemas operacionais de maneira semelhante à MMU de sistemas operacionais para processos. O
hipervisor possui uma MMU semelhante para dispositivos de E/S, portanto, um sistema operacional
não é afetado pela E/S de outro sistema operacional.
O x86 permite múltiplos anéis de proteção, os 2 mais comumente usados são o Anel 0 para o
Sistema Operacional (modo supervisor) e o Anel 3 para o código do usuário. Recentemente, o x86
adicionou proteção ring-1, um anel para o hipervisor, que adiciona instruções para criar e interceptar
operações do sistema operacional. Existem dois conjuntos de instruções diferentes para hardware
AMD e Intel (instruções AMD-v e VT-x), mas os dois conjuntos de instruções são em sua maioria polimórficos.
Existem dois hipervisores possíveis em ambientes x86. O tipo 1 (hipervisor bare metal) funciona
diretamente no hardware. A máquina inicializa diretamente no hipervisor. O hipervisor pode então ser
usado para inicializar outros sistemas operacionais. Não lidamos com hipervisor tipo 1.
O hipervisor tipo 2, que nos interessa, inicia como um processo (no anel 3) em um sistema
operacional (o sistema operacional inicializa normalmente no hardware). Após o início do processo,
ele executa instruções que permitem que ele se torne um hipervisor. Assim, o hipervisor ganha mais
permissões que o sistema operacional que o iniciou. Após iniciar (como um processo do anel 3) o
hipervisor transfere o SO que iniciou o processo para um tipo de convidado (entrando no anel-1) (Fig.
1).
Rutkowska (2006) introduziu o conceito “bluepill”, um hipervisor quase imperceptível. O hipervisor
começa como um processo de usuário, mas obtém controle completo do sistema (fazer com que o
usuário execute o processo é um problema diferente). Rutkowska descreve vários desses métodos,
por exemplo, empregadas de hotel atacando laptops de hóspedes de hotéis, etc.
2.2 Red Pills do hipervisor local – ataque direto

e subcanal
Como o usuário pode saber que não está executando algum rootkit de hipervisor (como a pílula azul)
em seu computador? Os ataques diretos ao Bluepill envolvem a tentativa ativa de atacar
www.it-ebooks.info
Ataques de tempo e canal lateral 185
Hipervisor tipo 1 Hipervisor tipo 2
O hardware O hardware
Hipervisor
Sistema operacional
(como VMWare ESX)
O hipervisor
Um ou mais convidados
(como VMWare Desktop ou Virtual box)
um ou mais convidados
Figura 1 Hipervisor tipo 1 e tipo 2
o hipervisor para efeitos que podem não estar bem ocultos ou instruções de chamada que deveriam
ser permitidas se nenhum hipervisor estiver instalado, mas que devem ser evitadas se um hipervisor já
estiver em execução.
Foi demonstrado que o Bluepill pode ser desenvolvido para ocultar muito bem tentativas de
detecções de mascaramento por meios diretos e até mesmo permitir chamadas de hipervisor
infinitamente recursivas. Isso levou a ataques indiretos em subcanais à pílula azul, medindo os efeitos
colaterais da execução do hipervisor (Rutkowska 2006).
Talvez os ataques neste contexto não sejam claros. Como é o hacker que tenta instalar um root kit
invisível, os ataques neste contexto são cometidos pelo usuário legal que tenta detectar e remover o
rootkit “invisível”.
Embora um hipervisor malicioso possa se mascarar de um invasor, há certos ataques que podem
causar efeitos colaterais. Por exemplo, chamar a instrução assembler CPUID normalmente deve levar
cerca de 200 ciclos. Mas se um hipervisor estiver envolvido, ele consumirá aproximadamente 5.000
ciclos como resultado das alternâncias de contexto da CPU entre o modo convidado e o modo hipervisor
(o CPUID sempre sai para o hipervisor).
Assim, um ataque a um bluepill ingênuo poderia ser:
1. Meça o tique do clock da CPU

2. Chame o CPUID
3. Meça o tique do clock da CPU
4. Se a diferença entre 1 e 3 for maior, os 400 ciclos avisam sobre a pílula azul
www.it-ebooks.info
É claro que à medida que os rootkits baseados em hipervisor se tornam mais complexos, esse ataque pode
também ser prevenido. Por exemplo, interceptando a chamada para obter o tempo de CPU.
Existe agora um jogo de gato e rato no qual mais efeitos colaterais podem ser medidos (por exemplo, falhas
de cache) e mais ataques podem ser evitados pelo hipervisor, que causam mais efeitos colaterais que também
podem ser atacados (Rutkowska e Tereskin 2007).
2.3 Pílulas Vermelhas do Hipervisor Remoto
O método descrito acima demonstra como o computador local pode detectar um rootkit de hipervisor malicioso,
bem como meios que o hipervisor pode usar para se esconder melhor, capturando cada vez mais instruções.
O problema é que o hipervisor pode controlar o convidado, fazendo-o acreditar que o hipervisor não existe.
Além disso, como as ferramentas da pílula vermelha são oferecidas aos usuários, os autores maliciosos de
hipervisores podem fazer engenharia reversa de qualquer pílula vermelha e construir um hipervisor que consiga
se mascarar contra a referida pílula vermelha. No entanto, podemos realmente eliminar o jogo do gato e do rato.
O problema está na nossa verificação, que é feita localmente por meio de ferramentas de medição que
estão todas sob o controle do hipervisor. No entanto, o usuário pode executar seu teste de sanidade não
localmente, mas usando um servidor em nuvem.
O hipervisor não controla a nuvem, portanto, um terceiro pode detectar com eficiência se o hipervisor está
em execução. (Pode ser possível para o hipervisor controlar a resposta da nuvem conforme ela é capturada
pelo sistema operacional, mas também é possível para o servidor da nuvem informar ao usuário que ele está
executando um rootkit malicioso usando um subcanal que o hipervisor não controla como outro computador).
Kennell e Jamieson (2003) sugeriram um método para verificação remota da autenticidade de uma máquina
virtual.1 Kennel et al. também incluem um mecanismo para trocar uma chave criptografada com o host
autenticado que foi removido do nosso resumo (Shankar et al. 2004).
A brincadeira do método do canil pode ser resumida da seguinte forma:
1. A nuvem gera um teste aleatório. Os testes não são idênticos e contêm vários
passos.
Em cada etapa, os efeitos colaterais da etapa anterior são inseridos como entrada para a nova etapa.
2. O teste é executado no host inspecionado.

3. O host inspecionado envia uma resposta.
4. O serviço de nuvem verifica a resposta, bem como o tempo que levou para gerá-la. 5. Se o teste foi
bem-sucedido e dentro do tempo estipulado, o servidor de nuvem conclui
que o host é genuíno.
1
Os artigos usam o termo “genuinidade”, porém o termo correto em inglês é genuinidade. Usaremos
o termo correto em inglês neste capítulo.
www.it-ebooks.info
As etapas do Kennell Memory Test incluem varreduras de memória e instruções executadas no

sistema operacional inspecionado. Os efeitos colaterais incluem falhas de TLB e outros efeitos que
podem produzir diferentes efeitos colaterais se um hipervisor malicioso estiver em execução.
Kennell e Jamieson (2003) argumentam que se o host estiver executando algum hipervisor, é provável
que haja diferentes efeitos colaterais. Se o host estiver executando um emulador eficiente que também
emula todos os efeitos colaterais, a resposta demorará muito para chegar.
3 diferenças de caracteres invisíveis
Vamos supor que temos alguma tela de login (com nome de usuário e senha) (Fig. 2).
O login pode falhar por vários motivos, como:
• Usuário não existe

• O nome de usuário expirou
• O nome de usuário está
bloqueado • A senha está incorreta
É claro que para um invasor os diferentes casos exigem comportamentos diferentes. Se o nome de usuário estiver
errado, não haverá futuro com esse nome de usuário. Se o nome de usuário expirou, o invasor poderá tentar novamente
mais tarde. Se o nome de usuário estiver bloqueado, é possível que as atividades do invasor tenham sido detectadas.
Também é possível tentar mais tarde. Claro se
Fig. 2 Processo de falha

de nome de usuário e senha
verifique se o nome de usuário existe (se
expirado, retorne o erro. Se

verdadeiro, continue)
Verifique se o usuário não expirou.

Execute outras verificações.
(Se o nome de usuário não existir, retorne um erro.

Caso contrário, continue)
Verifique a senha.
Se houver erro de reexecução incorreto, permita o acesso
www.it-ebooks.info
a senha está incorreta, o invasor agora tem um nome de usuário correto. O invasor pode
usar o nome de usuário correto para adivinhar a senha (usando dicionários ou força bruta)
ou usar o nome de usuário correto para outros ataques.
Supondo que um invasor deseje apenas descobrir o nome de usuário correto, seria
fundamental que todas as telas de falha parecessem idênticas. Como ter uma tela de
falha diferente para cada caso – seria possível adivinhar o nome de usuário correto por
força bruta.
Porém, se as telas parecerem idênticas, é possível que existam diversas diferenças “invisíveis”. Por
exemplo, se a comunicação for uma comunicação http que transmite uma página web, podem existir
diferentes propriedades web (configuração de cookies, etc.) para cada um dos casos.
4 ataques cronometrados
Os ataques de temporização ocorrem ao medir o tempo que um sistema leva para

responder. Se o tempo para receber uma resposta variar, não devido à variação aleatória
no meio de entrega (como o tempo da rede), mas devido a diferenças nas respostas e
falhas (por exemplo, diferentes tipos de falha), um invasor pode usar a variação de tempo
para perceber que tipo de falha ocorreu. As informações obtidas por meio de medições
de tempo podem posteriormente ser usadas para atacar o sistema.
4.1 Ataque de senha de DVD do GameCube
O GameCube (console de videogame da Nintendo) não deveria reproduzir DVD gravado

(cópias piratas). O DVD original foi lançado com sistema de proteção contra cópia que
não era trivial de replicar. As cópias piratas deveriam ser detectadas pelo sistema de
proteção contra cópia e rejeitadas pelo sistema.
O DVD, entretanto, tinha um override programável (modchip) para proteção.
A substituição pode ter sido usada pela Nintendo no desenvolvimento de seu sistema. Se
a senha tivesse permanecido oculta, nunca teríamos ouvido falar dela.
No entanto, a Nintendo verificou a senha usando memcmp comparando byte após
byte. O processo de verificação terminou quando o primeiro byte incorreto da senha foi
detectado (retornando falha) ou quando todos os bytes foram comparados com sucesso.
Assim, se a senha obteve o primeiro byte corretamente, a verificação da senha será um
pouco mais longa (verificando dois bytes em vez de um) do que se errarmos o primeiro
byte (verificando apenas um byte). Usando este método, um por um, todos os bytes que
abrangem a senha podem ser revelados.
Assim, a senha realmente vazou e surgiram modchips do GameCube de 2ª geração
(Domke 2004). Embora este método fosse bem conhecido, a Nintendo teve um problema
idêntico com o Wii, que foi lançado 5 anos depois (Domke 2006).
www.it-ebooks.info
Suponha que um servidor web tenha uma seção protegida por senha onde nome de usuário e
senha são necessários para fazer login. Quando o usuário digita seu nome de usuário e senha, o
algoritmo da Sect. 2 ocorre. O sistema primeiro verifica o nome de usuário. Se tal usuário não existir
(ou se o usuário tiver expirado), o sistema retornará com um erro. Se o usuário estiver bem, o sistema
agora verifica a senha. Se a senha não estiver correta, uma mensagem de erro aparecerá.
Supondo que a resposta seja imediata, ao cronometrar os tempos de resposta, um invasor pode
usar esse ataque de temporização para revelar nomes de usuário corretos. Além disso, mesmo que a
resposta ocorra em alguma rede que adicione atraso aleatório (mas um atraso aleatório semelhante
tanto para o nome de usuário correto quanto para o nome de usuário incorreto — um invasor ainda
poderá ser capaz de adivinhar a senha (Domke 2004).
Adicionar pequenos atrasos aleatórios à verificação de senha não evita ataques de temporização.
Desde que os atrasos não sejam significativos, pode ser demonstrado que um invasor ainda pode
distinguir entre duas classes, como nome de usuário incorreto e nome de usuário correto, mas senha
incorreta (Domke 2004).
5 ataques de canal lateral AES
5.1 Histórico AES
AES (Advanced Encryption Standard) é o algoritmo padrão de criptografia de chave simétrica de

dados eletrônicos, especificado pelo NIST (Instituto Nacional de Padrões e Tecnologia dos EUA) desde
2001 (AES 2001). Foi rotulado pelo NIST como publicação FIPS 197 e é baseado no algoritmo Rijndael,
proposto por dois criptógrafos da Bélgica: Daemen e Rijmen (2013). Além de ser adotado pelo governo
dos EUA, também é utilizado para transferência e comunicação de dados em todo o mundo, como
sucessor dos algoritmos criptográficos Triple-DES, DES e RCx. Isso é usado em muitas implementações,
principalmente no protocolo SSL3/TLS, bem como na criptografia e autenticação de disco.
AES é usado para criptografar e descriptografar blocos fixos de 128 bits (16 bytes). O algoritmo
criptográfico usa três tamanhos de chave possíveis: 128 bits, 192 bits ou 256 bits.
A criptografia e descriptografia AES são realizadas em diversas iterações, chamadas “Rodadas”.
Durante cada rodada, 4 etapas (apenas 3 etapas na última rodada) são executadas no bloco de dados
intermediário para progredir a criptografia de um texto simples de 16 bytes (ptext) para um texto cifrado
(ctext). Durante a descriptografia, etapas semelhantes são executadas para conseguir o oposto:
descriptografar o ctext para restaurar o ptext. O número de rodadas utilizadas depende do tamanho da
chave: 10, 12 e 14 rodadas são utilizadas para tamanhos de chaves de: 128, 192 e 256 bytes.
O processo de criptografia pode ser resumido da seguinte forma:
A. Expansão de chave: A chave original de 128 bits é expandida para 10, 12 ou 14 chaves redondas.
O bloco de dados em cada rodada é combinado com a tecla Round correspondente a essa
rodada.
www.it-ebooks.info
B. Rodada inicial: Cada byte ptext é combinado com a chave original C. Rodadas (todas menos a
última): ativam 4 transformações no buffer de dados: SubBytes; ShiftRows; Misturar colunas; Combine com a tecla D.
Última rodada: ative 3 transformações: SubBytes; ShiftRows; Combina com
chave redonda
O procedimento de descriptografia é semelhante, usando a mesma chave original, mas com

transformações inversas.
5.2 Implementação do Software AES
As implementações de software do AES normalmente fazem uso de tabelas de pesquisa em favor do desempenho e da
eficiência. As tabelas de consulta são utilizadas para determinar rapidamente os resultados da transformação, que são
ativados nas rodadas AES. Embora teoricamente seja possível calcular as transformações sem recorrer a tabelas de
consulta, utilizando apenas operações aritméticas, lógicas e booleanas, isto acarreta um custo significativo de
desempenho que é naturalmente evitado.
O acesso a tabelas de pesquisa que possuem um tamanho substancial (como é o caso da criptografia/descriptografia
AES) interage com o mecanismo de cache da arquitetura subjacente. Como veremos abaixo, isso proporciona uma
abertura para um ataque de canal lateral criado para revelar a chave.
5.3 Memória Cache
Os sistemas modernos de CPU possuem vários níveis de armazenamento. Eles diferem geralmente por uma
compensação entre capacidade e velocidade de acesso.
A memória cache é usada para armazenar em buffer o conteúdo da memória obtido durante um ciclo de memória,
para que possa ser fornecido muito mais rapidamente quando necessário em um ciclo de memória seguinte. As
operações de cache são geralmente transparentes para o software e hardware dedicado é usado para gerenciar os
ciclos de buffer e utilização do cache.
A memória cache é subdividida em linhas de cache. Quando um elemento de memória é armazenado em cache,
uma linha de cache inteira (que contém esse elemento de memória) é armazenada em cache. O circuito de cache entra
em ação a cada acesso à memória física.
A operação do cache durante um ciclo de leitura de memória é melhor explicada com um exemplo:
Quando um local de memória é lido pelo processador, o cache é primeiro inspecionado para
determinar se o valor necessário pode ser obtido do cache. Se possível, esse evento é chamado
de “acerto de cache” e o valor é fornecido à CPU diretamente do cache. Esse ciclo de memória
é significativamente mais rápido do que recuperar o valor da memória principal. Se o valor
requerido não estiver no cache, isso é chamado de “cache miss” e o valor deve ser recuperado
da memória principal. Neste caso, o valor é fornecido à CPU e armazenado no cache. O evento
cache-miss faz com que uma linha de cache inteira seja recuperada da memória e armazenada no cache,
www.it-ebooks.info
chamado de preenchimento de linha de cache. O próximo acesso a qualquer local de memória dentro dessa linha de
cache será um cache-hit.
Quando ocorre uma falta de cache e, conforme explicado acima, uma linha de cache é recuperada
e armazenada no cache – algumas linhas de cache armazenadas anteriormente precisam ser removidas
do cache para liberar espaço para a nova. Normalmente, as linhas de cache são removidas de acordo
com um algoritmo LRU (Least-Recently-Used).
Conforme mencionado acima, os elementos de memória são armazenados no cache em quantidades
integrais de linhas de cache. O endereço de um elemento de memória é subdividido em 3 campos. O
campo de índice determina qual slot de cache será usado. Observe que todos os locais de endereço
que contêm o mesmo valor de índice compartilham o mesmo slot de cache. Cada slot de cache também
armazena a tag, além do conteúdo da linha de cache. A tag é usada para definir a localização exata da
memória da linha de cache que está atualmente no slot de cache. Os LSBits são o campo de
deslocamento e definem o deslocamento do elemento de memória dentro da linha de cache.
Este mapeamento é conhecido como 'Associação de Cache'. Veja a Fig. 3 que mostra a estrutura
e associação do cache. Quando ocorre uma operação de preenchimento de linha de cache, um slot de
cache será primeiro removido (gravado de volta na memória) e então preenchido com o novo conteúdo
da linha de cache.
A Figura 3 acima mostra o mapeamento entre um endereço de memória e um slot de cache
específico. Isso é chamado de associação unilateral. Os designs modernos de cache aumentam o
desempenho aumentando o número de slots de cache disponíveis para cada valor de índice.
Quando existem mais slots, uma linha de cache não é necessariamente removida quando um novo
local de memória com o mesmo índice precisa ser armazenado em cache.
Por exemplo, em uma associação bidirecional, cada índice de linha de cache possui 2 slots
disponíveis separados. Quando uma nova linha de cache é preenchida, apenas um slot deve ser
despejado para dar lugar ao novo. Veja a Figura 4. Um algoritmo LRU (Least-Recently-Used) geralmente
é usado para decidir qual slot deve ser removido. Essa arquitetura aumenta o desempenho, uma vez
que os valores de memória usados recentemente têm uma chance melhor de permanecer no cache e,
portanto, aumentar a taxa de acertos do cache. Não é incomum nas arquiteturas modernas de CPU ter
designs de cache associativo de conjunto de 4 e 8 vias.
marcação
Bloco de dados da linha de cache
marcação
marcação
índice desvio
::
marcação
: Endereço de memória
:
marcação
marcação
Memória cache
Fig.3 Estrutura de cache e associação de memória
www.it-ebooks.info
marcação
marcação
marcação
índice desvio
::
marcação
Endereço de memória
::
marcação
marcação
Memória cache
Fig. 4 Cache associativo de conjunto de 2 vias
5.4 Ataques de canal lateral em AES
Várias estratégias de ataque foram desenvolvidas contra o algoritmo AES. Alguns tentam adquirir
o conteúdo da memória da aplicação AES usando diferentes tipos de técnicas furtivas, como
ataques DMA, ataques Cold-Boot ou uso de Firewire, PCI, etc.
Outra categoria de métodos recorre a uma estratégia indirecta, que não tenta aceder
directamente à aplicação AES, mas aproveita os efeitos secundários que ocorrem no sistema
informático em resultado da execução da aplicação AES e que podem eventualmente levar à
revelação da chave. Conforme explicado acima, estes pertencem à categoria de ataques “Side-
Channel”.
Os ataques de canal lateral de temporização de cache baseiam-se no fato de que o processador
acessa um elemento de memória em cache (cache-hit) em um tempo de ciclo significativamente
mais rápido do que um elemento não armazenado em cache (cache-miss). Diferentes aplicativos
no mesmo sistema são protegidos uns dos outros com memória virtual; entretanto, a mesma
estrutura de cache subjacente atende todos os processos executados em paralelo na mesma CPU.
O multiprocessamento é suportado por praticamente todos os sistemas operacionais em uso atualmente.
Conseqüentemente, se um processo afetar o subsistema de cache, outro processo paralelo poderá
medir esse efeito, mesmo que esteja restrito a acessar seu próprio espaço de endereço privado.
As diferenças de tempo entre um acerto e uma falha no cache são um fator de x10–x20. Isso deixa
ampla margem de manobra para um processo, executando ao lado de outro processo na mesma
CPU para medir com precisão esses efeitos.
Lembre-se de que os aplicativos AES orientados por software fazem uso extensivo de tabelas
de consulta. Quando uma entrada da tabela de pesquisa é referenciada, ela será recuperada do
cache no caso de um acerto no cache. Caso contrário, no caso de cache-miss, ele deverá ser
recuperado da memória principal com penalidade de tempo. Uma rotina do invasor, executada em
paralelo ao processo AES, pode medir o tempo de criptografia ou descriptografia e comparar as
medições quando uma entrada específica da tabela de pesquisa existe e não existe no cache.
Uma maneira de o processo de ataque conseguir isso é remover a entrada de pesquisa específica
do cache. Para fazer isso, basta fazer referência à memória
www.it-ebooks.info
elementos de seu próprio espaço de memória, que possui o mesmo índice da entrada da tabela de
consulta. Fazer isso para elementos de memória suficientes (pelo menos as formas de associação de
cache) garante que a entrada da tabela de pesquisa seja removida do cache. Por exemplo, em um
cache associativo de 4 vias, 4 referências a elementos de memória com o mesmo índice expulsarão a
entrada da tabela de consulta. Depois disso, 2 descriptografias AES consecutivas são acionadas e
cronometradas. Se a primeira medição de tempo for maior que a segunda, pode-se concluir que a
entrada específica da tabela de consulta em questão foi referenciada. Caso contrário, o inverso é
verdadeiro. Como as referências à tabela de consulta ocorrem em função do valor-chave, a repetição
desse processo para diferentes entradas da tabela de consulta pode ser usada para revelar o valor-
chave. Detalhes adicionais podem ser encontrados no trabalho de Osvik et al. (2006).
Métodos alternativos podem ser empregados pelo processo de ataque para empregar os mesmos
princípios. Por exemplo, todo o cache pode ser removido (geralmente é uma única instrução), seguido
pelo acionamento de uma descriptografia AES. O estado do cache refletiria então todas as entradas da
tabela de pesquisa que foram referenciadas. Agora, o processo de ataque pode cronometrar referências
a elementos de memória em seu próprio espaço de memória, que possuem o mesmo valor de índice
que uma entrada específica da tabela de consulta. Se o tempo medido corresponder a um acerto no
cache, pode-se presumir que a entrada da tabela de consulta foi referenciada durante o processo AES.
Se o tempo medido corresponder a uma falha de cache, o inverso pode ser concluído.
A implementação do software AES pode ser escrita para ocultar o uso de tabelas de consulta de
tal forma que se torne impossível relacionar seu uso a valores-chave.
Alternativamente, a implementação pode evitar completamente o uso de tabelas de consulta. A
desvantagem desses métodos é a penalidade de desempenho. O uso de tabelas de consulta é a
implementação mais rápida (embora vulnerável).
Em 2010, a Intel introduziu um novo conjunto de instruções na família de processadores Westmere
para realizar cálculos AES em hardware. Este conjunto de instruções é denominado AES-NI.
O conjunto de instruções consiste em 6 códigos de operação de instrução: 2 para expansão de chave
e 4 para criptografia e descriptografia. Ao usar essas instruções, todo o processo AES é realizado em
hardware em tempo fixo e independente de dados. Como resultado, os ataques de temporização de
cache tornam-se completamente inúteis (Gueron 2012).
6 Ataques Baseados em Poder
RSA é um método criptográfico comum que se baseia em operações matemáticas (principalmente

multiplicações e divisões). No entanto, a multiplicação tem requisitos de potência diferentes para bits
contendo 0 (doravante “bits 0”) em comparação com bits contendo 1 (doravante “bits 1”). Devido à
natureza aritmética da multiplicação, a multiplicação envolvendo “0 bits” é equivalente a NOP. A
multiplicação de “1 bits”, por outro lado, consome mais energia para as operações da CPU.
Supondo que o invasor tenha acesso à plataforma onde o RSA ou algoritmo de proteção semelhante
está em execução, durante a validação da chave correta. Foi demonstrado que
www.it-ebooks.info
usando o consumo de energia da plataforma, o invasor pode detectar os “1 bits” na chave, quebrando
assim a criptografia (AES 2001).
A proteção contra ataques baseados em energia envolve realizar operações semelhantes para
“0 bits” e “1 bits”, fazendo cálculos aleatórios para “0 bits”. Este método aumenta o tempo de cálculo
do RSA e algoritmos semelhantes, pois adiciona cálculos aleatórios. Também ainda é vulnerável a
ataques, pois a computação não é 100% idêntica, no entanto, foi demonstrado que, ao adicionar
trabalho aleatório da CPU a “0 bits”, a diferença de consumo de energia entre “0 bits” e “1 bits” pode
ser eliminado.
Intimamente relacionados aos ataques de canal lateral de análise de potência, estão os ataques
de canal lateral acústico. Os sistemas de computador emitem som acústico (ultrassônico) como
resultado de picos de corrente através de componentes eletrônicos, como capacitores e bobinas.
Monitorar e analisar esses sons pode revelar o gráfico de consumo atual subjacente do sistema de
computador. Portanto, um sistema criptográfico pode ser atacado da mesma forma que aquele cujo
uso de energia é monitorado. Para detalhes de implementação veja o trabalho de Genkin et al.
(2013). O monitoramento acústico tem uma vantagem distinta, pois não é necessária uma conexão
física, pois as medições podem ser realizadas apenas com o uso de um microfone sensível.
As contramedidas que derrotam esses ataques podem ser gerar uma variedade aleatória de sons
no mesmo espectro, enquanto computam os algoritmos criptográficos críticos.
O ruído branco também pode ser usado para abafar acusticamente as emissões do canal lateral.
Referências
Advanced Encryption Standard (AES) (2001) Publicação Federal de Padrões de Processamento de Informações 197,
Instituto Nacional de Padrões e Tecnologia dos Estados Unidos (NIST)
Daemen J, Rijmen V (2013) Proposta AES: Rijndael sl, Instituto Nacional de Padrões e
Tecnologia, página 1
Domke F (2004) Console hacking 2004. In: CCC 2004 Domke F (2006)
Console hacking 2006. In: CCC, 16 de novembro de 2006 Genkin D, Shamir A,
Tromer E (2013) Extração de chave RSA por meio de criptoanálise acústica de baixa largura de banda. tau.ac.il, 2013
Gueron S (2012) Conjunto de
instruções do Intel® Advanced Encryption Standard (AES) – Rev 3.01. sl Kennell R, Jamieson LH (2003) Estabelecendo
a genuinidade de sistemas de computador remotos. In: SSYM'03 Proceedings of the 12th USENIX Security Symposium,
vol 12, pp 295–310, USENIX Association Berkeley, CA, 2003 Osvik DA, Shamir A, Tromer E (2006) Ataques e
contramedidas de cache: o caso do AES. In:
Pointcheval D (ed), Topics in Cryptology — CT-RSA 2006. Lecture Notes in Computer Science, vol 3860. Springer, Nova
York, pp 1–20
Rutkowska J (2006) Apresentando a pílula azul, o blog do laboratório de coisas invisíveis. http://theinvisiblethings.
blogspot.fi/2006/06/introduzindo-blue-pill.html Rutkowska
J, Tereskin A (2007) IsGameOver() Alguém? Apresentação técnica no Black Hat, Las Vegas, Invisible Things Lab, 2 de
agosto de 2007 Schneier B (2012) A NSA pode
quebrar o AES? Schneier no blog de segurança. www.schneier.com/blog/archives/2012/03/can_the_nsa_bre.htmlShankar
U, Chew M, Tygar JD (2004) Os efeitos colaterais
não são suficientes para autenticar o software.
Relatório nº UCB/CSD-04-1363, setembro de 2004, Universidade da Califórnia, Berkeley, CA
www.it-ebooks.info
Descoberta de conhecimento a partir de registros de rede
Tuomo Sipola
Resumo As redes de comunicação modernas são sistemas complexos, o que facilita comportamentos
maliciosos. Os serviços web dinâmicos são vulneráveis a intrusões desconhecidas, mas as medidas
tradicionais de segurança cibernética baseiam-se na impressão digital. A detecção de anomalias difere
da impressão digital porque encontra eventos que diferem do tráfego de linha de base.
A metodologia de detecção de anomalias pode ser modelada com o processo de descoberta de
conhecimento. Descoberta de conhecimento é um termo de alto nível para todo o processo de obtenção
de conhecimento acionável de bancos de dados. Este artigo apresenta a teoria por trás dessa
abordagem e apresenta pesquisas que produziram ferramentas e métodos de análise de log de rede.
1 Detecção de anomalias de rede
Uma rede de comunicações moderna é um conjunto de computadores interconectados.

O número destes computadores e os caminhos de comunicação detalhados são geralmente
desconhecidos na visão global, são apenas partes anônimas de uma enorme maquinaria. É muito
desafiador saber quem está conectado à rede e que tipo de clientes e servidores existem em um
determinado momento. Portanto, existem muitos esconderijos para clientes maliciosos. Há uma
necessidade crescente de encontrar esses invasores e impedir suas ações por meio de métodos de
segurança cibernética.
Os serviços web dinâmicos são vulneráveis a invasões desconhecidas que concedem acesso a
sistemas que não são destinados ao público público. A confiança entre a rede
Este artigo é parcialmente baseado na dissertação do autor (Sipola 2013). A afiliação atual do
autor é com CAP Data Technologies.
T. Sipola (&)
Departamento de Tecnologia da Informação Matemática, Universidade de
Jyväskylä, PO Box 35 (Agora), 40014 Jyväskylä,

www.it-ebooks.info
196 T.Sipola
participantes é quebrada, pois recursos legítimos podem ser usados para acesso indesejado (Mukkamala e Sung
2003). No entanto, os logs do servidor contêm informações interessantes sobre o tráfego de rede. Encontrar
ataques nesses logs melhora naturalmente a segurança dos serviços. Os chamados sistemas de detecção de
intrusão analisam os logs para encontrar tráfego malicioso e os invasores (Di Pietro e Mancini 2008).
1.1 Impressão digital
As medidas tradicionais de segurança cibernética baseiam-se na impressão digital ou em regras predefinidas. O

tráfego de entrada é comparado a um banco de dados de ataques conhecidos e depois filtrado de acordo com as
regras. Todos os firewalls, listas negras de IP e sistemas tradicionais de detecção de intrusão são baseados nesta
abordagem. É uma forma eficaz de controlar a rede, mas com os atuais serviços e protocolos web dinâmicos não é
possível controlar tudo com regras estáticas. Além disso, os canais existentes podem ser utilizados para ataques e
bloqueá-los inibiria o uso normal da rede.
1.2 Detecção de anomalias
Anomalias, ou valores discrepantes, são amostras de dados que diferem enormemente do tráfego de linha de base.
Técnicas de detecção de anomalias são usadas em muitas áreas de aplicação, uma das quais é a segurança.
Existem muitos métodos de detecção de anomalias, cada um com suas próprias vantagens (Chandola et al. 2009).
As anomalias nas redes são, em certo sentido, ocasiões muito comuns. Sempre acontece algo novo e toda a rede
como um sistema está evoluindo à medida que o tempo avança. No entanto, nem todos os novos eventos são o
tipo de anomalia que interessa aos administradores de sistema. É um estado natural que a rede mude.
Portanto, há necessidade de construir um perfil, ou linha de base, de funcionamento limpo da rede. A detecção
de anomalias difere da impressão digital porque encontra eventos que diferem do tráfego de referência, mesmo que
tais desvios não sejam previamente conhecidos. A impressão digital, por outro lado, revela e previne apenas
ameaças conhecidas.
2 Ambiente de Rede
A Figura 1 mostra os diferentes componentes de uma rede modelo. A Internet conecta todos os computadores entre
si. Usuários normais fazem consultas aos servidores e obtêm respostas com conteúdo. Já os invasores tentam
acessar os servidores, coletar informações ou interromper operações. Alguns servidores não estão protegidos
enquanto
www.it-ebooks.info
Descoberta de conhecimento a partir de registros de rede 197
Fig. 1 Ambiente de rede esquemático
outros dependem de proteção tradicional, como firewalls. O sistema de detecção de anomalias é implantado
no servidor protegido, além das medidas tradicionais.
3 Processo de descoberta de conhecimento
A metodologia de detecção de anomalias pode ser modelada com o processo de descoberta de

conhecimento. Descoberta de conhecimento é um termo de alto nível para todo o processo de obtenção de
conhecimento acionável de bancos de dados. Apresentar a mineração de dados como parte do processo de
descoberta de conhecimento coloca os desafios técnicos num âmbito mais amplo. O processo de descoberta
de conhecimento em bancos de dados (KDD) sugere as etapas necessárias para extrair conhecimento de
negócios dos dados disponíveis (Brachman e Anand 1996; Fayyad et al. 1996a, b, c).
A Figura 2 mostra o fluxo de trabalho esquemático durante o processo de descoberta de conhecimento

processo. As etapas são descritas com mais detalhes abaixo.
Figura 2 Etapas do processo de descoberta de conhecimento segundo Fayyad et al. (1996b)
www.it-ebooks.info
198 T.Sipola
3.1 Bancos de dados
No contexto da segurança cibernética, as bases de dados relevantes incluem registos de servidores e

utilizadores, dados de pacotes capturados e, em última análise, quaisquer informações recolhidas sobre o
funcionamento do sistema. A implementação técnica do armazenamento de dados é um desafio, uma vez
que os volumes dessas massas de dados são enormes. Porém, se todos os dados não forem necessários
para referência posterior, o armazenamento não será um grande problema.
3.2 Seleção
Na etapa de seleção de dados são selecionadas as fontes de dados mais relevantes. Geralmente acontece
que muitas fontes de dados e recursos de dados estão disponíveis. Devem ser selecionadas aquelas fontes
que possam conter informações importantes, o que requer conhecimento do domínio. O processo de seleção
depende muito da tarefa de descoberta de conhecimento. Nas tarefas de segurança cibernética, isso
significaria que os arquivos de log e os prazos deveriam ser selecionados. Algumas outras fontes também
podem ser necessárias para fornecer informações básicas.
3.3 Pré-processamento
Depois que os dados de destino forem definidos, eles precisam ser pré-processados. Além do pré-
processamento, a limpeza de dados também é relevante. Converter e coletar os dados para formatos corretos
exige esforço. A remoção de ruído é uma etapa típica de pré-processamento. Entradas de dados incompletas
e grandes alterações conhecidas precisam ser contabilizadas. Combinar e limpar vários bancos de dados é
um processo bastante mecânico, mas às vezes apresenta situações problemáticas. A quantidade de trabalho
necessária nesta fase é geralmente subestimada no trabalho prático.
3.4 Transformação
Os dados pré-processados são transformados em uma forma mais adequada para agrupamento e
classificação. Isso envolve extração e seleção de recursos, redução de dimensionalidade e outras
transformações. Os recursos selecionados dependem do caso de mineração de dados, assim como o número
de recursos finais necessários.
www.it-ebooks.info
3.5 Mineração de Dados
A própria etapa de mineração de dados tenta extrair padrões dos dados transformados.
Sumarização, classificação, regressão e agrupamento são algumas tarefas comuns nesta fase. O
objetivo do processo de descoberta de conhecimento é compatível com os métodos relevantes de
mineração de dados. Freqüentemente, isso inclui análise exploratória dos dados, o que auxilia na
decisão dos modelos e parâmetros mais adequados para os métodos.
Os produtos finais desta etapa são regras, árvores de decisão, regressões e agrupamento dos dados.
3.6 Interpretação e Avaliação
Finalmente, o valor comercial dos resultados deve ser compreendido. Nesta etapa, a interpretação
dos padrões cria o resultado final real do processo de descoberta de conhecimento. A avaliação
dos resultados obtidos também é importante porque algumas suposições podem estar erradas, os
dados podem ter sido insuficientes ou pode ter havido algum problema durante as etapas anteriores.
Nem todos os resultados têm significado empresarial, mesmo que apresentem alguma informação
nova que tenha novidade científica ou estatística.
Esta pesquisa concentra-se nas etapas de transformação e mineração de dados do processo

de descoberta de conhecimento. As outras etapas estão intimamente ligadas aos dados utilizados,
mas os métodos de mineração de dados são geralmente módulos separados que podem ser
descritos como sistemas independentes. Isto não quer dizer, contudo, que em todos os casos a
seleção do método de mineração de dados seja independente do problema de descoberta de
dados e conhecimento. Ferramentas corretas devem ser usadas com conjuntos de dados diferentes.
A etapa real de mineração de dados geralmente usa um método de aprendizado de máquina.
Um sistema de aprendizado de máquina supervisionado é primeiro treinado usando rotulagem de
dados conhecida (portanto, supervisão) e, em seguida, o desempenho do sistema é testado. Os
resultados dos testes revelam a qualidade do modelo aprendido, desde que o material de teste
reflita adequadamente os dados em uma situação real. Esta ideia de treinamento e teste é ilustrada
na Figura 3.
4 Algumas abordagens propostas
Esta seção apresenta algumas abordagens para descoberta de conhecimento a partir de logs de
rede. Esses artigos de pesquisa fornecem um ponto de vista sobre o problema, mas não são os
únicos.
Abordagens baseadas em mapas de difusão têm sido usadas para detecção de injeção SQL e
classificação de tráfego de rede (David 2009; David e Averbuch 2012; David et al.
2010). Essas metodologias extraem os recursos relevantes dos dados e criam um
www.it-ebooks.info
200 T.Sipola
Figura 3 Aprendizado de
máquina: o treinamento cria
um modelo, enquanto o teste
classifica novos dados usando o modelo
apresentação em baixa dimensão da estrutura dos dados, que podem ser agrupados e classificados
para identificar o tráfego anômalo.
O objetivo de Sipola et al. (2011) é encontrar ataques de segurança a partir de dados de rede. O
esquema de detecção de anomalias proposto inclui extração de características de n-gramas (Damashek
1995), redução de dimensionalidade e agrupamento linear no estilo de agrupamento espectral (Meila e
Shi 2001; Shi e Malik 2000). Pode ser usado para análise de log de consultas em situações reais. Na
prática, a fronteira entre normal e anômalo pode não ser tão clara como neste exemplo. No entanto, a
relativa estranheza da amostra pode indicar a gravidade de um alerta. Os dados em questão são
bastante esparsos e as características discriminatórias são bastante evidentes na matriz de
características. Este é o mérito da extração de recursos n-gram, que cria um espaço de recursos que
separa o comportamento normal de uma boa maneira. Os recursos descrevem os dados com clareza e
são fáceis de processar posteriormente. O método de detecção de anomalias apresentado funciona
bem em dados reais. Como um algoritmo não supervisionado, esta abordagem é adequada para
encontrar intrusões anteriormente desconhecidas. Este método pode ser aplicado a clustering offline,
bem como estendido a um sistema de detecção de intrusão em tempo real.
Esses resultados são elaborados em Sipola et al. (2012). A estrutura de redução de dimensionalidade
se adapta aos dados de registro. Ele assume que apenas algumas variáveis são necessárias para
expressar as informações interessantes e encontra um sistema de coordenadas que descreve a
estrutura global dos dados. Estas coordenadas poderiam ser utilizadas para análises adicionais das
características de atividades anômalas. Os resultados práticos mostram que comportamento anormal
pode ser encontrado nos logs HTTP. Os principais benefícios desta estrutura incluem:
www.it-ebooks.info
• A quantidade de linhas de registro que precisam ser inspecionadas é reduzida. Isto é útil para
administradores de sistema que tentam identificar invasões. O número de linhas de log
interessantes é baixo comparado ao número total de linhas no arquivo de log. • A
natureza não supervisionada e a capacidade de adaptação do quadro. Os métodos propostos
adaptam-se à estrutura dos dados sem treinamento ou conhecimento prévio. Isto o torna
adequado para exploração e análise de dados sem exemplos anteriores ou assinaturas de
ataque. Isso significa que a estrutura também pode detectar ataques de dia zero. • Funciona
na camada de
aplicação da rede. Os próprios ataques devem, de alguma forma, atingir os aplicativos reais em
execução no computador. Esses logs podem estar mais disponíveis do que dados puros de
pacotes de rede de baixo nível. • Visualização de dados de log de texto. É
muito mais fácil analisar a estrutura do tráfego
usar visualizações do que ler registros textuais brutos.
A extração de recursos do web log é atualmente feita com n-gramas.

No entanto, este é apenas um método e outros recursos focados em texto podem descrever
melhor o conjunto de dados. Além disso, o esquema de redução da dimensionalidade poderia
ser desenvolvido para se adaptar a este tipo de dados de forma mais eficiente, e a qualidade da
redução também poderia ser avaliada. Finalmente, a detecção automatizada da causa raiz
tornaria o sistema mais utilizável na prática.
Em Juvonen e Sipola (2012) uma estrutura para pré-processamento, agrupamento e
visualização de dados de log de servidores web é apresentada e usada para detecção de
anomalias, visualização e análise exploratória de dados. Os resultados indicam que existem
estruturas de tráfego que podem ser visualizadas a partir de informações de consulta HTTP. O
clustering de tráfego pode fornecer novas informações sobre os usuários. Eles poderiam ser
categorizados com mais precisão e publicidade ou conteúdo individual poderiam ser oferecidos.
Usando métodos de mineração de dados, a estrutura subjacente e as anomalias são encontradas
nos logs HTTP e esses resultados podem ser visualizados e analisados para encontrar padrões e anomalias.
O artigo Juvonen e Sipola (2013) trata da extração de regras dos resultados de agrupamento
fornecidos por uma estrutura de treinamento de mapas de difusão. A tecnologia moderna de
mineração de dados no contexto de segurança de rede nem sempre cria resultados
compreensíveis para os usuários finais. Portanto, este chamado sistema de caixa preta não é um
objectivo final desejável. Regras conjuntivas simples (Craven e Shavlik 1994; Ryman-Tubb e
d'Avila Garcez 2010) são mais fáceis de entender, e a extração de regras a partir de técnicas
complexas de mineração de dados pode facilitar a aceitação do usuário. O principal benefício
desta estrutura é que o resultado final é um conjunto de regras. Nenhuma implementação de
caixa preta é necessária, pois o resultado final é um sistema de correspondência de regras
simples e fácil de entender. Os dados de treinamento podem conter intrusões e anomalias, desde
que a etapa de agrupamento possa diferenciá-las. Além disso, a correspondência de regras é
uma operação rápida em comparação com algoritmos mais complexos. A estrutura proposta é
útil em situações onde conjuntos de dados de alta dimensão precisam ser usados como base
para detecção de anomalias e classificação rápida. Tais conjuntos de dados são comuns hoje
em dia em ambientes de investigação, bem como na indústria, porque a recolha de dados é generalizada.
Nosso caso de exemplo foi a segurança de rede, que traz benefícios reais para qualquer pessoa
www.it-ebooks.info
202 T.Sipola
usando redes de comunicação modernas. As ferramentas fornecidas são úteis para

administradores de rede que estão tentando compreender comportamentos anômalos em suas redes.
Em Shmueli et al. (2013) outra abordagem é adotada para criar um sistema mais online.
A fase de treinamento é computacionalmente cara em algoritmos de aprendizado de máquina.
A evolução dos conjuntos de dados exige a atualização do treinamento. O método proposto
atualiza o perfil de treinamento usando o algoritmo de iterações de potência recursivas
(Shmueli et al. 2012) e um algoritmo de janela deslizante para processamento online. Os
algoritmos assumem que os dados são modelados por um método de kernel que inclui
decomposição espectral. Um log de solicitação do servidor web onde se sabe que um ataque
de intrusão real ocorreu é usado para ilustrar o processamento on-line. A atualização contínua
do kernel evita o problema de vários treinamentos dispendiosos.
5. Conclusão
A descoberta de conhecimento a partir de logs de rede é um avanço na tentativa de impedir

que invasores usem tipos de ataque anteriormente desconhecidos. Esta abordagem
complementa as tecnologias tradicionais que utilizam impressões digitais para detectar os
atacantes. A detecção de anomalias encontra o tráfego incomum das redes e alerta as
operadoras ou usa contramedidas automatizadas que impedem a ocorrência do ataque. Esta
proteção aumenta a segurança da web e cria uma rede de comunicações mais eficiente para
todos os participantes.
Referências
Brachman RJ, Anand T (1996) In: Fayyad UM, Piatetsky-Shapiro G, Smyth P, Uthurusamy R (eds) Avanços na
descoberta de conhecimento e mineração de dados, cap. O processo de descoberta de conhecimento em bancos
de dados. Inteligência Artificial da Associação Americana, pp 37–57. http://dl.acm. org/citation.cfm?id=257938.257944
Chandola V, Banerjee A, Kumar V (2009) Detecção de anomalias: uma pesquisa. Sobrevivência de computação ACM
(CSUR) 41(3):15
Craven M, Shavlik JW (1994) Usando amostragem e consultas para extrair regras de redes neurais treinadas. In:
Anais da décima primeira conferência internacional sobre aprendizado de máquina, Morgan Kaufmann, pp 37–45
Damashek M (1995) Medindo
similaridade com n-gramas: categorização independente de linguagem de
texto. Ciência 267(5199):843–848
David G (2009) Detecção e classificação de anomalias via processos de difusão em hiper-redes.
Tese de doutorado, Universidade de Tel-Aviv
David G, Averbuch A (2012) Organização hierárquica de dados, clustering e remoção de ruído por meio de localização
pastas de difusão. Aplicativo Comput Harmon Anal 33(1):1–23
David G, Averbuch A, Coifman R (2010) Clustering hierárquico por meio de pastas de difusão localizadas.
In: Aprendizagem múltipla e suas aplicações: artigos do simpósio de outono da AAAI (FS-10-06).
Associação para o Avanço da Inteligência Artificial (AAAI), pp 28–31 Di Pietro R, Mancini LV
(eds) (2008) Sistemas de detecção de intrusão. Springer, Berlim
www.it-ebooks.info
Fayyad U, Piatetsky-Shapiro G, Smyth P (1996a) Da mineração de dados à descoberta de conhecimento em

bancos de dados. AI Magá 17(3):37–54
Fayyad U, Piatetsky-Shapiro G, Smith P (1996b) O processo KDD para extrair utilidade
conhecimento a partir de volumes de dados. Comum ACM 39(11):27–34
Fayyad UM, Piatetsky-Shapiro G, Smyth P (1996c) Descoberta de conhecimento e mineração de dados: rumo a uma
estrutura unificadora. In: Procedimentos KDD-96 da Associação para o Avanço da Inteligência Artificial (AAAI),
pp 82–88 Juvonen A, Sipola T (2012) Estrutura
adaptativa para classificação de tráfego de rede usando redução de dimensionalidade e clustering. In: anais do 4º
congresso internacional IEEE de 2012 sobre telecomunicações ultramodernas e sistemas e workshops de
controle (ICUMT), Nova York, pp 274–279
Juvonen A, Sipola T (2013) Combinando extração de regras conjuntivas com mapas de difusão para detecção de
intrusão de rede. In: Anais do simpósio IEEE de 2013 sobre computadores e comunicações (ISCC), Nova York,
pp 411–416
Meila M, Shi J (2001) Uma visão de passeios aleatórios de segmentação espectral. In: IA e ESTATÍSTICAS
(AISTAS) 2001
Mukkamala S, Sung AH (2003) Um estudo comparativo de técnicas para detecção de intrusão. In: Anais da 15ª
conferência internacional IEEE sobre ferramentas com inteligência artificial, Nova York, pp 570–577
Ryman-Tubb NF, d'Avila Garcez A (2010) Soar - extração de regras adaptativas baseadas em oráculo esparso:
extração de conhecimento de conjuntos de dados em grande escala para detectar fraudes de cartão de crédito.
In: Anais da conferência conjunta internacional IEEE de 2010 sobre redes neurais (IJCNN), Nova York, pp 1–9
Shi J, Malik J (2000) Cortes normalizados e segmentação de imagens. IEEE Trans Pattern Anal Mach Intell
22(8):888–905 Shmueli
Y, Wolf G, Averbuch A (2012) Atualizando métodos de kernel em decomposição espectral por
perturbações de afinidade. Álgebra Linear Appl 437(6):1356–1365
Shmueli Y, Sipola T, Shabat G, Averbuch A (2013) Usando perturbações de afinidade para detectar anomalias de
tráfego da web. In: Anais da 10ª conferência internacional sobre teoria e aplicações de amostragem (SampTA
2013), EURASIP, Bremen, pp 444–447
Sipola T (2013) Descoberta de conhecimento usando mapas de difusão. Ph.D. tese, Universidade de Jyväskylä
Sipola T, Juvonen A, Lehtonen J (2011) Detecção de anomalias em logs de rede usando mapas de difusão. In: Iliadis
L, Jayne C (eds) Aplicações de engenharia de redes neurais, IFIP avança em tecnologia de informação e
comunicação, vol 363. Springer, Boston, pp 172–181 Sipola T, Juvonen A, Lehtonen J (2012) Estrutura
de redução de dimensionalidade para detecção de anomalias em logs de rede. Eng Intell System 20(1–2):87–97
www.it-ebooks.info
Computação confiável e DRM
Nezer Zaidenberg, Pekka Neittaanmäki, Michael Kiperberg e Amit Resh
Resumo Trusted Computing é um ramo especial da segurança de computadores. Um ramo da

segurança informática envolve a proteção de sistemas contra ataques externos. Nesse ramo incluímos
todos os métodos usados pelos proprietários do sistema contra invasores externos, por exemplo
Firewalls, IDS, IPS etc. Em todos esses casos, o proprietário do sistema instala software que usa seus
próprios meios para determinar se um usuário remoto é malicioso e encerra o ataque. (Esses meios
podem ser muito simples, como detectar assinaturas de ataques, ou muito complexos, como
aprendizado de máquina e detectar anomalias no padrão de uso do usuário remoto). Outro ramo de
ataques requer proteção do proprietário do sistema contra usuários internos. Esses ataques incluem
impedir que os usuários leiam os dados uns dos outros, usem mais do que sua cota de recursos
atribuída, etc. Até certo ponto, o software antivírus/anti-spam também está incluído aqui.
Toda a proteção por senha e software de gerenciamento usado estão incluídos neste ramo.
O terceiro ramo, Trusted Computing, envolve a verificação de um host remoto de que a máquina do
usuário se comportará de uma certa maneira previsível, ou seja, proteção contra o atual proprietário da
máquina. O exemplo mais comum desse tipo de exigência é a distribuição de mídia digital. A mídia
digital é distribuída em algum modo de acesso condicional (alugado, pagamento por visualização,
vendido para uso pessoal, etc.).
A obtenção de mídia digital geralmente não confere ao usuário direitos ilimitados. O usuário geralmente
não pode redistribuir ou editar a mídia digital e nem mesmo ter permissão para consumi-la após uma
determinada data. (Aluguel de mídia, pay per view)
N. Zaidenberg (&) P. Neittaanmäki M. Kiperberg A. Resh

Departamento de Tecnologia da Informação Matemática, Universidade de Jyväskylä,
Jyväskylä, Finlândia
P. Neittaanmäki
E-mail de M.
Kiperberg: [email protected]
A. Resh e-

Lehto e P. Neittaanmäki (eds.), Cyber Security: Analytics, Technology
and Automation, Intelligent Systems, Control and Automation: Science and
Engineering 78, DOI 10.1007/978-3-319-18302- 2_13
www.it-ebooks.info
206 N. Zaidenberg et al.
Porém, como o usuário está consumindo mídia em sua máquina privada. Como o provedor de mídia
pode garantir que um usuário mal-intencionado não mexa na máquina para que o conteúdo não seja
replicado? O problema de segurança contra o proprietário da máquina é a região problemática da Trusted
Computing. Na computação confiável, ao contrário de outros ramos da segurança, o “atacante” não está
limitado a alguma superfície de ataque que foi exposta a ele, mas também pode usar um ferro de solda
para acessar barramentos, substituir chips e outras peças do sistema, etc. outras ferramentas de proteção
contra o proprietário atual (ou possuidor da máquina, se não for o proprietário legal). Por exemplo,
proteção de dados confidenciais ou soluções de criptografia de disco para laptops e telefones celulares
que podem ser potencialmente roubados.
A computação confiável também pode ser usada na nuvem para garantir que o host não inspecione um
servidor em nuvem e que o software em execução no servidor não seja roubado. A mais recente
tecnologia de computação confiável envolve meios para garantir que os comandos sejam sensatos e não
maliciosos, por exemplo, em computadores em carros e aviônicos. Neste capítulo, revisaremos soluções
de DRM e de computação confiável de diversas fontes.
1 Ética – Computação Confiável ou Traiçoeira
Os usuários não gostam de computação confiável. Em primeiro lugar, o conceito de acesso condicional
leva a numerosos debates sobre direitos digitais. Por exemplo, se eu comprei conteúdos legalmente, não
deveria ser permitido fazer backups desses conteúdos? Especialmente porque atualmente nenhum
fornecedor de mídia está propondo oferecer substituições gratuitas (ou mesmo baratas) de conteúdos de
mídia corrompidos! No entanto, se permitirmos a replicação dos meios de comunicação social, como
poderemos proibir cópias ilegais? O que impede o usuário de redistribuir cópias ou “backups”? Como
podemos distinguir o uso legal de cópias (backups) e cópias ilegais do mesmo conteúdo?
Secundário, já que muitos dispositivos de computação confiáveis exigem que o usuário instale
ativamente algo em sua máquina (um chip TPM, firmware EFI, etc.). E o referido componente de hardware
não contribui em nada para os recursos do sistema do usuário final (se alguma coisa, a computação
confiável apenas limita o usuário). Por que o usuário gastaria dinheiro e instalaria algum hardware em
seu computador que serve apenas para limitar o que ele pode ou não fazer? Todas essas razões levaram
Richard Stallman a chamar a computação confiável de computação traiçoeira e vários hackers a tentarem
ataques a chips TPM e plataformas confiáveis.
No momento em que este capítulo foi escrito, não havia um vencedor claro nesta batalha tecnológica.
Por um lado, ainda não existe uma base instalada massiva para soluções de computação confiáveis e,
por outro lado, o grupo de computação confiável ainda está vivo e lançando novos módulos e
especificações de plataformas confiáveis.
www.it-ebooks.info
Computação confiável e DRM 207
2 O Módulo de Processamento Confiável da TCG
O módulo de plataforma confiável, conforme demonstrado na Figura 1 , é um chip de

computador separado que é adicionado à placa-mãe do computador e é frequentemente
conectado à CPU usando o barramento LPC (baixa contagem de pinos). O TPM é um
coprocessador criptográfico capaz de realizar diversas funções criptográficas, bem como gerar e armazenar ch
O TPM também pode verificar o hardware e o software em que o sistema é executado e
atestar a integridade do sistema.
Quando um host remoto está consultando a sanidade do sistema, ele pode usar o TPM
para verificar se o software em que ele é executado não foi adulterado. O TPM oferece suporte
a dois métodos de atestado: Atestado Remoto e Atestado Anônimo Direto.
2.1 Atestado Remoto
A solução de atestado proposta pelo TCG (especificação TPM v1.1) requer um terceiro
confiável, ou seja, uma autoridade de certificação de privacidade (CA de privacidade). Cada
TPM possui um par de chaves RSA chamado Endorsement Key (EK), incorporado dentro do
TPM (que o usuário não pode acessar - pelo menos não facilmente). Para se atestar, o TPM
gera um novo par de chaves RSA (Attestation Identity Key ou AIK).
O Atestado Remoto é um processo típico de terceiros confiáveis. Supondo que Alice queira
atestar que Bob e Bob querem ser reconhecidos por Alice, mas nenhum dos dois quer revelar
Fig. 1 Módulo de plataforma confiável
www.it-ebooks.info
seu código de identificação privado entre si, sugere-se o atestado remoto. Requer uma parte
confiável em que ambos possam confiar.
Bob atesta assinando o AIK público usando o EK, para terceiros de confiança. O terceiro confiável verifica Bob usando
o EK público de Bob. É claro que a CA pode e deve colocar TPMs na lista negra se receber muitas solicitações usando a
mesma chave simultaneamente. Alice pode posteriormente verificar com o CA que Bob foi realmente atestado.
2.2 Atestado Anônimo Direto
O protocolo Direct Anonymous Attestation (doravante DAA) só foi adicionado ao padrão TPM na
versão 1.2. DAA é baseado em três entidades e duas etapas. As entidades são a plataforma TPM,
o emissor DAA e o verificador DAA. O emissor é cobrado para verificar a plataforma TPM durante
a etapa de adesão e emitir credenciais DAA para a plataforma. A plataforma usa as credenciais
DAA com o verificador durante a etapa de assinatura. O verificador pode verificar as credenciais
sem tentar violar a privacidade da plataforma [prova de conhecimento zero (Quisquater et al. 1990;
Blum et al. 1988)]. O protocolo também suporta uma capacidade de lista negra, para que os
verificadores possam identificar atestados de TPMs que foram comprometidos.
DAA permite diferentes níveis de privacidade. O uso de interações DAA é sempre anônimo,
mas o usuário/verificador pode negociar se o verificador é capaz de vincular transações (com o
mesmo usuário, mas não com um usuário específico). A verificação de transações permitiria que
dados persistentes fossem salvos durante as sessões e permitiria criar perfis e rastrear vários logins.
3 Zona de confiança Intel TXT e AMD/ARM
A tecnologia Intel TXT define extensões exclusivas para o conjunto de instruções da CPU para
permitir uma execução confiável. Usando o Intel TXT, é possível atestar o hardware, o sistema
operacional e o software atualmente em execução e garantir um estado de sistema estável (em
oposição a adulterado). O Intel TXT usa o TPM para medições e funções criptográficas para atestar
a terceiros e garantir que o software do sistema ou o sistema operacional em execução no momento
seja realmente confiável e não seja adulterado.
Os registros PCR no TPM contêm medições e hashes SHA-1 de vários estágios e códigos do
sistema e, ao verificar essas medições, o sistema pode ser confiável para inicializar um software
não adulterado.
AMD/ARM Trustzone é a implementação ARM/AMD de computação confiável.
É aproximadamente correspondente ao Intel TXT. A implementação Trustzone é usada tanto pela
AMD quanto pela ARM. Trustzone permite que sistemas operacionais seguros assinados sejam
carregados, por exemplo, usando AMD/ARM SVM.
www.it-ebooks.info
4 Outras Arquiteturas para “Computação Confiável”
Estas arquiteturas fornecem meios para evitar a replicação de dados e, assim, introduzir
confiança em vários sistemas. Neste capítulo, nos concentramos principalmente na entrega
de conteúdo de vídeo. Diferentes sistemas para prevenir software homebrew e pirata em
consoles de jogos (que é outra forma de computação confiável) são abordados no Cap. 3.
4.1 HDMI e HDCP e seus predecessores
A indústria de vídeo sempre se interessou por objetivos mistos:
1. Ela procurou maneiras de entregar vídeo de alta qualidade na casa do usuário. Gerando
uma nova fonte de receita a partir de vídeos que não apareciam mais nos cinemas (aluguel
de vídeos/DVDs).
2. Buscou formas de impedir que o usuário obtivesse acesso permanente ao
equipamento de vídeo que ela alugou fazendo cópias ilegais.
Até certo ponto, a batalha foi uma causa perdida porque o usuário sempre poderia apontar
uma câmera padrão para a tela e apenas gravar usando a câmera (ou criar cópias de baixa
qualidade usando tecnologia mais antiga e já quebrada). Porém, a indústria estava interessada
em impedir que o usuário fizesse cópias de alta qualidade (por exemplo, cópias com qualidade
digital no caso de HDMI). Esta abordagem levou a diversas tecnologias cujo objetivo era
contornar a capacidade do usuário de criar cópias ilegais.
4.2 Macrovisão, CSS e DeCSS
Os dispositivos de vídeo VHS antigos tinham um dispositivo de macrovisão que impedia a criação direta
de cópias de mídia VHS conectando dois dispositivos de vídeo entre si. Os dispositivos Macrovision
modificaram o fluxo de saída de uma forma que era imperceptível para os usuários, mas impediram
que os dispositivos VHS criassem cópias de fitas VHS por meio de dispositivos de encadeamento em
série.
CSS ou Content Scrambling System é um sistema de criptografia usado em todos os
principais DVDs. CSS era um sistema de criptografia de 40 bits. O uso de CSS deveria
impossibilitar a cópia do conteúdo de vídeo diretamente do DVD para um vídeo. Isso foi feito
porque as chaves de criptografia foram mantidas em local ilegível (por reprodutores de DVD
de dados). CSS também é permitido para regiões de DVD, Macrovision etc.
O DVD CSS foi quebrado em 1999, cerca de 3 anos depois de ter sido introduzido com a
introdução do software DeCSS. Um bug inerente foi usado para reduzir as chaves de 40 bits
para apenas 16 bits e a maioria dos jogadores conseguiu quebrar essa criptografia em menos
de 1 minuto por força bruta.
www.it-ebooks.info
Dois dos autores do DeCSS permanecem desconhecidos até hoje. O terceiro foi um adolescente
norueguês: Jon Lech Johansen. O Sr. Johansen foi levado a julgamento e absolvido pelo tribunal
norueguês. A acusação apelou e o Sr. Johansen foi absolvido pela segunda vez. Quando o DVD foi
substituído pelo Blu-Ray e o HD-DVD, o CSS foi substituído pelo AACS (sistema de conteúdo de
acesso avançado, que foi quebrado por meio de chaves vazadas).
4.3 HDMI e HDCP
HDMI ou Interface de mídia de alta definição é uma interface de mídia de alta qualidade que permite
transferência de mídia de alta qualidade para monitores e telas. O HDMI levantou o problema de criar
réplicas exatas ou quase exatas de conteúdo de vídeo de alta qualidade.
Para evitar a cópia do conteúdo, o HDCP criptografará o conteúdo que viaja entre dois pontos finais
do HDMI e fornecerá conteúdo apenas para dispositivos com chaves confiáveis. Essas chaves podem
ser revogadas posteriormente se forem roubadas. Em 2010, a chave mestra do HDCP vazou, tornando
inúteis todas as listas de revogação. É possível que a chave de revogação tenha sido usada muitas
vezes e tenha fornecido dados suficientes que facilitaram a quebra da chave.
5 outros usos para computação confiável
Vários ataques ao usuário podem ser realizados após o invasor obter controle total ou mesmo parcial
do dispositivo do usuário final. Por exemplo, o invasor pode estar interessado no conteúdo do disco
rígido do usuário após obter o controle do laptop do usuário (por exemplo, roubando-o). Esses métodos
confiáveis de proteção de conteúdo de computação envolvem o uso de armazenamento protegido
(criptografado) onde as chaves são salvas no TPM.
O Microsoft Bitlocker é uma solução completa de criptografia de disco que pode ser usada em
computadores (especialmente laptops) para garantir que o conteúdo do disco seja ilegível para um
invasor, mesmo que o computador/laptop tenha sido roubado. O disco completo é criptografado e a
chave para decifrar o conteúdo do disco fica ilegível e salva no TPM.
Os telefones celulares contêm dados privados que podem ser expostos se o telefone for perdido ou
roubado. Inúmeras tecnologias foram geradas por diversas fontes, desde o uso de TPM e criptografia
no dispositivo até uma abordagem mais biométrica. Os exemplos incluem o uso da Apple de dispositivos
de leitura de impressões digitais no dispositivo iPhone, necessários para desbloquear um telefone
roubado.
Outras tecnologias incluem um código kill que é usado para limpar o dispositivo e impedir que ele
se conecte à rede novamente.
www.it-ebooks.info
6 ataques à computação confiável
O TPM é frequentemente conectado ao barramento LPC (baixa contagem de pinos). Um legado retarda o
barramento que existe em praticamente todos os PCs. Ataques contra isso existem há mais de 10 anos.
Um dos primeiros casos de ataques a este barramento ocorreu no primeiro XBox (Stiel 2005). Ao conectar-
se e espionar o bug do LPC, vários hackers conseguiram interceptar e redefinir o TPM.
Em 2010 (Tarnovsky 2012) e mais tarde em 2012 (Tarnovsky 2010) Chris Tarnovsky demonstrou
ataques físicos contra chips TPM da Infineon e ST microelec-tronic. Tarnovsky atacou os TPMs eliminando
partes do invólucro térmico dos chips TPM e atacando (ou seja, conectando dispositivos externos) aos
próprios chips.
Tarnovsky demonstrou que os chips ST e Infineon são feitos de chips de processadores mais antigos
do passado. Ele demonstrou que, atacando fisicamente os próprios chips, ele poderia expor e modificar o
conteúdo do próprio chip TPM. Os métodos de Tarnovsky requerem um laboratório especial, produtos
químicos e equipamentos que podem não estar ao alcance de todos os hackers. Mas definitivamente não
está fora do alcance de invasores e hackers profissionais.
Um dos recursos da CPU Intel é o SMM ou modo de manutenção de software.
SMM é usado para permitir a atualização do código da CPU (microcódigo). O código SMM é executado
com permissões mais altas do que o código do usuário, kernel ou hipervisor na plataforma Intel.
Portanto, considera-se que o SMM é executado no anel de permissão 2 (se o anel 3 for o código do espaço
do usuário, o anel 0 for o código do kernel e o anel 1 for o hipervisor).
Rafal Wojtczuk e Joanna Rutkowska demonstraram quebrar as limitações do TXT usando SMM
(Wojtczuk e Rutkowska 2009). Esses ataques podem ter sido o principal motivo da Intel para desenvolver a
extensão SGX. Esses ataques são possíveis porque a proteção TXT bloqueia a execução e a permissão
nos anéis 3 (espaço do usuário), 0 (kernel) e 1 (hipervisor), mas a defesa da memória TXT ainda é
vulnerável a ataques no Anel 2 usando o nível de permissão SMM que não requer qualquer permissões
especiais e podem ser utilizados mesmo após o SO ter sido atestado pelo TPM.
7 Além da confiança – SGX
SGX ou Software Guard Extension é uma tecnologia inovadora da Intel que será implementada em chips
futuros. SGX fornece uma solução para o problema de computação confiável em plataformas Intel. A
tecnologia SGX permite criar um contêiner de execução para cada processo no qual está contida a memória
do processo. Esta abordagem é semelhante à abordagem adotada pelo desenvolvimento do sistema
operacional Qubes para criar separação usando código hipervisor entre aplicativos, de modo que diferentes
aplicativos sejam executados em diferentes sistemas operacionais virtuais (Blum et al. 1988) e por software
de computação confiável, como TrulyProtect, que mantém segredos na camada do hipervisor (Zaidenberg
2013). No momento em que este capítulo foi escrito, o SGX não estava disponível com nenhuma CPU Intel
no mercado (portanto, não há ataques conhecidos ao SGX).
www.it-ebooks.info
Referências
Blum M, Feldman P, Micali S (1988) Conhecimento zero não interativo e suas aplicações. In: Anais do
vigésimo simpósio anual da ACM sobre teoria da computação (STOC '88).
ACM, Nova York, pp 103–112
Tecnologia de execução confiável da Intel — tecnologia baseada em hardware para proteção avançada
de servidor. http://www.intel.com/content/www/us/en/trusted-execution-technology/trusted-execution-
technology-security-paper.html , http://www.intel.com/content/dam/www/public/us/en/documents/white-
papers/trusted-execution-technology-security-paper.pdf
Quisquater JJ, Guillou LC, Berson TA (1990) Como explicar protocolos de conhecimento zero para seus
filhos. In: Avanços em criptologia - procedimentos CRYPTO '89, notas de aula em ciência da
computação, vol 435. Springer, Berlim, pp 628–631
Stiel M (2005) 17 erros que a Microsoft cometeu com o sistema de segurança do Xbox. In: 22º computador
conferência do clube do caos
Tarnovsky C (2010) Hackeando o chip do cartão inteligente. Blackhat,

DC Tarnovsky C (2012) DEF CON 20: atacando TPM parte 2
TPM Reset Attack Evan Sparks. http://www.cs.dartmouth.edu/*pkilab/sparks/ Wojtczuk
Rl, Rutkowska J (2009) Atacando a tecnologia de execução confiável da Intel®. Coisas invisíveis
Laboratório, Blackhat, DC
Zaidenberg N (2013) TrulyProtect 2.0 e ataques ao TrulyProtect 1.0. apresentação de Poster. In: ECIW
2013 — 12ª Conferência Europeia sobre Guerra de Informação e Segurança (Jyväskylä)
www.it-ebooks.info
Parte IV
Segurança Cibernética e Automação
www.it-ebooks.info
Segurança Cibernética e Proteção de ICS

Sistemas: um exemplo australiano
Matthew J. Warren e Shona Leitch
Resumo Muitos aspectos da nossa sociedade moderna têm agora uma dependência direta ou implícita
da tecnologia da informação. Como tal, um compromisso da disponibilidade ou integridade em relação
a estes sistemas (que podem abranger domínios tão diversos como a banca, o governo, os cuidados
de saúde e a aplicação da lei) poderia ter consequências dramáticas do ponto de vista social. Esses
sistemas-chave são frequentemente chamados de infraestrutura crítica. A infraestrutura crítica pode
consistir em sistemas de informação corporativos ou sistemas que controlam processos industriais
essenciais; esses sistemas específicos são chamados de sistemas ICS (Sistemas de Controle da
Indústria). Os sistemas ICS evoluíram desde a década de 1960, passando de sistemas autônomos para
arquiteturas de rede que se comunicam através de grandes distâncias, utilizam redes sem fio e podem
ser controladas pela Internet.
Os sistemas ICS fazem parte da infra-estrutura crítica chave de muitos países, incluindo a Austrália.
São utilizados para monitorizar e controlar remotamente a prestação de serviços e produtos essenciais,
como eletricidade, gás, água, tratamento de resíduos e sistemas de transporte. A necessidade de
medidas de segurança nestes sistemas não foi prevista nas fases iniciais de desenvolvimento, uma vez
que foram concebidos para serem sistemas fechados e não sistemas abertos para serem acessíveis
através da Internet. Também estamos vendo esses ICS e seus sistemas de suporte serem integrados
em sistemas corporativos organizacionais.
1. Introdução
Este capítulo se concentrará na segurança cibernética e nas possíveis ameaças à Austrália. Muitos
críticos rejeitam a ameaça à segurança cibernética para a Austrália como sendo “exagerada ou exagerada”
(Warren 2013) mas, na verdade, com base nas estatísticas disponíveis, a Austrália teve
MJ Warren (&)
Faculdade de Administração e Direito, Deakin University, Victoria, Austrália e-mail:
[email protected]
S. Leitch
College of Business, RMIT University, Melbourne, Austrália e-mail:
[email protected]

10.1007/978-3-319-18302- 2_14
www.it-ebooks.info
216 MJ Warren e S. Leitch
ocorre um número significativo de ataques cibernéticos. Entre o período de 2011 e 2012, ocorreram
438 incidentes cibernéticos contra a Austrália, exigindo uma resposta significativa por parte do
Governo Federal Australiano e do Centro de Operações de Segurança Cibernética (Governo
Australiano 2013).
O capítulo descreverá as questões de segurança cibernética em relação aos sistemas ICS (e
seus componentes de suporte) e à protecção destes sistemas de infra-estruturas críticas num
contexto australiano, considerando tanto as questões técnicas como as considerações de política
de segurança. Irá refletir sobre o incidente de segurança hídrica de Maroochy na Austrália como
um exemplo dos possíveis incidentes que a Austrália enfrenta.
Também será discutido o conceito de estratégia de segurança de confiança como forma de mitigar
ameaças à segurança, com base em exemplos relacionados com o Governo Federal Australiano.
O capítulo terminará examinando os riscos e problemas de segurança futuros em relação à
segurança dos ICS.
2 Segurança do ICS
Os sistemas ICS (e seus componentes) evoluíram desde a década de 1960, passando de sistemas
autônomos para arquiteturas em rede que se comunicam através de grandes distâncias. Sua
implementação migrou de hardware e software personalizados para plataformas padrão de
hardware e software (Krutz 2006).
Sistema de controle industrial (ICS) é um termo geral que abrange vários tipos de sistemas de
controle, incluindo sistemas de controle de supervisão e aquisição de dados (SCADA); sistemas
de controle distribuído (DCS); e outras configurações de sistemas de controle, como controladores
lógicos programáveis (CLP) montados em skids, frequentemente encontrados nos setores
industriais, e infraestruturas críticas (Stouffer et al. 2011). Os sistemas SCADA são sistemas
altamente distribuídos usados para controlar ativos geograficamente dispersos, muitas vezes
espalhados por milhares de quilômetros quadrados, onde a aquisição e o controle centralizados de
dados são essenciais para a operação do sistema. Os dispositivos de campo controlam operações
locais, como abertura e fechamento de válvulas e disjuntores, coleta de dados de sistemas de
sensores e monitoramento do ambiente local em busca de condições de alarme. Os DCS são
usados para controlar processos industriais, como geração de energia elétrica, refinarias de
petróleo, tratamento de água e esgoto e produção química, alimentícia e automotiva.
Os DCS são integrados como uma arquitetura de controle contendo um nível de controle de
supervisão supervisionando múltiplos subsistemas integrados que são responsáveis por controlar
os detalhes de um processo localizado (Stouffer et al. 2011).
Outros componentes-chave dos sistemas ICS incluem (Stouffer et al. 2011):
• Unidade Terminal Remota (RTU). A RTU, também chamada de unidade remota de telemetria, é
uma unidade especial de aquisição e controle de dados projetada para suportar estações
remotas SCADA. As RTUs são dispositivos de campo frequentemente equipados com
interfaces de rádio sem fio para suportar situações remotas onde as comunicações baseadas
em fio não estão disponíveis;
www.it-ebooks.info
Segurança Cibernética e Proteção de Sistemas ICS… 217
• Controlador Lógico Programável (CLP). O PLC é um pequeno computador industrial originalmente projetado
para executar as funções lógicas executadas por hardware elétrico (relés, interruptores e temporizadores/
contadores mecânicos). Os PLCs evoluíram para controladores com capacidade de controlar processos
complexos e são usados substancialmente em sistemas SCADA e DCS.
Neste artigo nos referiremos ao ICS, mas isso também inclui SCADA e DCS
sistemas, a menos que especialmente descrito.
A necessidade de medidas de segurança nestes sistemas não foi prevista no início da era de
desenvolvimento dos ICS, uma vez que foram concebidos para serem sistemas fechados e não acessíveis
através da Internet. A infraestrutura cada vez mais interligada e em rede dos sistemas SCADA modernos
mudou esses planos iniciais de segurança (Beggs e McGowan 2011).
Os riscos e vulnerabilidades de segurança dos sistemas ICS surgiram devido ao desenvolvimento de

sistemas baseados em padrões de comunicação abertos, como comunicações Ethernet. As empresas de
software ICS adotaram o Transmission Control Protocol e o Internet Protocol (TCP/IP) para melhorar a
integração entre vários sistemas. No entanto, estes desenvolvimentos expuseram o sector industrial a
vulnerabilidades comuns da Internet nos protocolos de comunicação que aumentam o risco de ataques (Pollet
2002).
Muitos dos recursos de segurança usados para proteger sistemas ICS também são usados para proteger
redes corporativas. A Tabela 1 dá um exemplo de controles de segurança de TI típicos encontrados para
proteger sistemas ICS.
Outros investigadores argumentam que os principais aspectos da segurança dos ICS baseiam-se numa
visão holística da segurança, incluindo segurança física, segurança de TI e segurança específica dos ICS
(Weiss 2010).
Também estamos vendo o desenvolvimento de padrões de segurança específicos de ICS em relação à
segurança de ICS. A visão holística, a segurança do ICS, também é refletida pelos padrões. A Tabela 2
reflete a visão do NIST sobre a segurança do ICS.
Tabela 1 Controles de segurança típicos de ICS de TI (Krutz 2006)
Áreas de segurança Descrição
Logs de auditoria e monitoramento Ferramentas forenses para análise de incidentes

Biometria Autenticação biométrica para acesso ao sistema
Firewalls Controlando o acesso entre o SCADA e redes corporativas
Sistemas de detecção de intrusão Monitorando o tráfego de rede e determinando

acesso
Detecção e eliminação de códigos Identificação e remoção de código malicioso do SCADA

maliciosos sistemas
Senhas Mecanismo de autenticação para acesso a sistemas
Criptografia de chave pública e chave Garantindo a integridade dos dados dentro dos sistemas SCADA
simétrica
Controle de acesso baseado em função Restringir o acesso a parte dos sistemas SCADA com base na função do
trabalho, por exemplo, acesso do operador
www.it-ebooks.info
Tabela 2 Visão NIST 800-82 da

Caso de negócios Determine vulnerabilidades e riscos do ICS
segurança ICS (Stouffer et al. 2011)
Preparar caso de negócios
Desenvolva um plano de segurança abrangente

Arquitetura Firewalls
de rede
Redes de controle separadas localmente
Segregação de rede
Arquitetura de defesa em profundidade
Controles de Controles de gerenciamento

segurança do ICS
Controles de operação
Controles técnicos
A Sociedade Internacional de Automação (ISA) tem 30.000 membros em todo o mundo e

desenvolve padrões em relação a Sistemas de Automação (incluindo sistema ICS). Eles
também focaram especificamente no ICS e na segurança, por meio do qual desenvolveram um
grupo de trabalho com o objetivo de desenvolver um conjunto de padrões de segurança
específicos do ISA ICS para seus membros. O tipo e o status das diferentes diretrizes de
segurança do ISA ICS são mostrados na Tabela 3.
Há um grande desafio com a segurança do ICS: muitos sistemas ICS legados mais antigos
não são compatíveis com as novas tecnologias de segurança, como criptografia avançada e
dispositivos de detecção de intrusão (Beggs 2008). Isso pode representar um problema de
segurança em sistemas ICS mais antigos, pois pode retardar as operações do ICS (Weiss 2010).
Tabela 3 Diretrizes de segurança ISA ICS (ISA (International Society of Automation) 2013)
Tipo de área de orientação

Em geral Conceitos e modelos terminológicos (publicados como norma ISA-99.00.01- 2007)
Glossário de termos (em desenvolvimento)
Métricas de reclamação de segurança do sistema (em desenvolvimento)
Ciclo de vida de segurança e caso de uso (planejado)

Políticas e Requisitos para um sistema de gerenciamento de segurança (publicado como padrão
procedimentos ISA-99.02.01-2009)
Orientação de implementação (planejada)
Gerenciamento de patches (em desenvolvimento)
Requisito para suprimentos de solução (em desenvolvimento)
Sistema Tecnologias de segurança (publicado como padrão ISA-TR99.00.01-2007)
Controles técnicos (em desenvolvimento)
Níveis de segurança para zona e conduítes (em desenvolvimento)
Requisitos de segurança do sistema e níveis de segurança (em desenvolvimento)
Componentes Requisitos de desenvolvimento de produto (em desenvolvimento)
Requisitos técnicos de segurança para componentes (em desenvolvimento)
www.it-ebooks.info
Uma diferença de segurança interessante entre os sistemas ICS e os sistemas

corporativos é que os sistemas ICS se concentram na disponibilidade contínua do processo
industrial conectado, por exemplo, produção de energia e processamento de água. Em
contraste, os sistemas corporativos estão focados em proteger as informações contidas
nesses sistemas contra ataques ou corrompimentos (Weiss 2010). Historicamente, os
sistemas ICS eram sistemas fechados e autónomos, agora estão a ser interligados em
redes corporativas e ligados à Internet para permitir acesso e monitorização remotos. Estas
novas inovações tecnológicas introduzem novos riscos de segurança (Shaw 2006).
3 Estudo de caso de segurança Maroochy SCADA
A natureza dos sistemas SCADA na Austrália é frequentemente muito complexa devido à

vastidão do país e ao afastamento de muitas das usinas e estações de campo (Slay e Miller
2008) dentro dos sistemas SCADA. Em 2000, ocorreu um incidente de segurança SCADA
na Maroochy Water Services em Queensland, Austrália.
Este foi o primeiro exemplo global (declarado publicamente) de um incidente de hacking
eficaz contra um sistema de infraestrutura crítica SCADA.
A seguir está uma avaliação do incidente de hacking do Maroochy Water SCADA (Slay
e Miller 2008; Hughes 2003; Suprema Corte de Queensland 2002). Em 2000, o Maroochy
Shire Council teve problemas com o seu novo sistema de águas residuais. As comunicações
enviadas por rádio para 150 estações de bombeamento de águas residuais estavam sendo
perdidas; as bombas não funcionavam corretamente; e os alarmes instalados para alertar a
equipe sobre falhas não estavam disparando. Inicialmente, pensou-se que havia problemas
iniciais com o novo sistema. Algum tempo depois, um engenheiro que monitorava todos os
sinais que passavam pelo sistema descobriu que alguém estava invadindo o sistema e
causando os problemas deliberadamente. Posteriormente, foi determinado que Vitek Boden
usou um laptop e um transmissor de rádio para assumir o controle das 150 estações de
bombeamento de esgoto no sistema SCADA. Durante um período de 3 meses, ele lançou
um milhão de litros de esgoto não tratado em um dreno de águas pluviais, de onde fluiu para
os cursos de água locais e US$ 50.000 tiveram que ser gastos na limpeza da descarga de
esgoto.
O ataque foi motivado por vingança por parte de Vitek Boden depois que ele não
conseguiu um emprego no Conselho do Condado de Maroochy. Ele foi preso pela polícia,
perto de uma estação de bombeamento e na posse de um laptop que esperava usar para
controlar outra estação de bombeamento, a fim de liberar mais esgoto. Em outubro de 2001,
Vitek Boden foi considerado culpado e preso por 2 anos. Um recurso subsequente contra
sua sentença de prisão foi rejeitado.
O caso de Vitek Boden e Maroochy Water destaca as ameaças potenciais que os
sistemas SCADA podem enfrentar e também as consequências físicas dos ataques. O caso
também destaca como simples políticas de segurança da informação dentro da Maroochy
Water poderiam ter evitado o ataque, por exemplo, revogando o acesso de um funcionário
www.it-ebooks.info
direitos quando deixam a organização. O exemplo também demonstra que os ataques podem ocorrer
internamente dentro de uma organização; os ataques nem sempre precisam vir de fontes externas.
4 Proteção Cibernética Estratégica Australiana
Os governos estaduais e territoriais da Austrália definiram infraestrutura crítica como sendo:
aquelas instalações físicas, cadeias de abastecimento, tecnologias de informação e redes de

comunicação que, se destruídas, degradadas ou tornadas indisponíveis por um período prolongado,
teriam um impacto significativo no bem-estar social ou económico da nação ou afetariam a
capacidade da Austrália de conduzir a defesa nacional e garantir segurança nacional (Governo
Australiano 2010).
Os sistemas ICS e SCADA constituem uma parte fundamental da infraestrutura crítica da Austrália.
São utilizados para monitorizar e controlar remotamente a prestação de serviços e produtos essenciais, tais
como electricidade, gás, água, tratamento de resíduos e sistemas de transporte (Trusted Information Sharing
Network (TISN) 2007).
O foco inicial da política de proteção de infra-estruturas críticas do Governo Federal Australiano
(incluindo sistemas ICS/SCADA) era que a protecção de infra-estruturas críticas era uma consideração
comercial e estava relacionada apenas com a segurança da informação (Busuttil e Warren 2004). O
Governo Federal Australiano estava ciente dos problemas que as empresas australianas poderiam ter
ao lidar com estas questões de segurança e respondeu oferecendo aconselhamento às empresas. O
conselho inicial do governo australiano, em (1998), sugeriu maneiras pelas quais as organizações
poderiam reduzir os riscos de infraestrutura crítica das seguintes maneiras (Busuttil e Warren 2004):
• As organizações devem implementar controles de segurança protetores, como senhas, etc., de acordo com
um padrão de segurança definido, como AS/NZS 4444 (agora substituído pela ISO/IEC 27002);
• As organizações devem credenciar-se formalmente contra a segurança da informação

padrões;
• As organizações devem aumentar a consciencialização sobre questões de segurança, tais como a segurança
das palavras-passe, sensibilização para os riscos online entre o seu pessoal;
• As organizações devem treinar seus funcionários sobre como usar sistemas de segurança de computadores
eficientemente e efetivamente.
Este parecer foi posteriormente actualizado e, em 2004, o Governo Australiano

respondeu com novos conselhos de segurança (Governo Australiano 2004a):
• Todas as infra-estruturas críticas australianas devem ser avaliadas utilizando a norma AS/NZS 4360 Risk
Management da Austrália e da Nova Zelândia. Este processo deve ser utilizado para auxiliar na revisão
dos planos de gestão de riscos para prevenção (incluindo segurança), preparação, resposta e recuperação.
www.it-ebooks.info
Em 2004, o Governo Federal Australiano definiu formalmente o seguinte; “Infraestrutura crítica é

definida como aquelas instalações físicas, cadeias de abastecimento, tecnologias de informação e redes
de comunicação que, se destruídas, degradadas ou tornadas indisponíveis por um período prolongado,
teriam um impacto significativo no bem-estar social ou económico da nação, ou afectar a capacidade da
Austrália de conduzir a defesa nacional e garantir a segurança nacional” (Governo Australiano 2004b).
Muitas das características da infraestrutura crítica estão relacionadas aos sistemas ICS/SCADA australianos.
Historicamente, grande parte da infra-estrutura da Austrália foi originalmente propriedade e operada

pelo sector público a nível do governo federal, estadual e local (Smith 2004), no entanto, a maior parte da
infra-estrutura crítica da Austrália foi agora privatizada e está sob propriedade do sector privado.
Consequentemente, a protecção da infra-estrutura crítica da Austrália requer agora um nível mais elevado
de cooperação entre todos os níveis de governo e os proprietários do sector privado, portanto, o Governo
Federal Australiano desenvolveu uma política para a protecção da infra-estrutura crítica que se concentra
amplamente na abordagem das seguintes questões (Governo Australiano 2004a, b):
• Distinguir infra-estruturas críticas e apurar as áreas de risco; • Alinhar as estratégias para

redução do risco potencial para infra-estruturas críticas; • Incentivar e desenvolver parcerias eficazes
com governos estaduais e territoriais e o setor privado; • Promover as melhores práticas nacionais e
internacionais para infraestruturas críticas
proteção da cultura.
As políticas australianas de infra-estruturas críticas entre 1998 e 2007 reforçaram a importância dos
controlos técnicos de segurança para os sistemas ICS/SCADA e também fizeram com que as organizações
começassem a considerar os riscos de segurança em relação aos sistemas ICS/SCADA.
Conforme discutido por Warren e Leitch (Warren e Leitch 2010), o Governo Federal Australiano
reconheceu a importância de sistemas cruciais e o desenvolvimento de novos mecanismos de apoio à
indústria, em particular, a Trusted Information Sharing Network (TISN). O TISN é um fórum no qual os
proprietários e operadores de infraestruturas críticas trabalham em conjunto, partilhando informações sobre
questões de segurança que afetam infraestruturas críticas (Trusted Information Sharing Network (TISN)
2007). A TISN exige a participação activa de proprietários e operadores de protecção de infra-estruturas

críticas, reguladores, organismos profissionais e associações industriais, em cooperação com todos os
níveis de governo e o público. Para garantir a cooperação e a coordenação, todos estes participantes
devem comprometer-se com o seguinte conjunto de princípios fundamentais comuns de protecção de infra-
estruturas críticas (Trusted Information Sharing Network (TISN) 2007; Warren e Leitch 2010):
1. A protecção das infra-estruturas críticas centra-se na necessidade de minimizar os riscos para a saúde
pública, a segurança e a confiança económica, garantir a segurança económica, manter a
competitividade internacional da Austrália e garantir a continuidade do governo e dos seus serviços;
www.it-ebooks.info
2. Os objectivos da protecção de infra-estruturas críticas são identificar infra-estruturas críticas,

analisar a vulnerabilidade e a interdependência e proteger e preparar-se para todos os perigos;
3. Dado que nem todas as
infra-estruturas críticas podem ser protegidas contra todas as ameaças, devem ser utilizadas
técnicas adequadas de gestão de riscos para determinar a gravidade e a duração relativas, o
nível de segurança protectora, definir prioridades para a afectação de recursos e a aplicação
das melhores estratégias de mitigação para continuidade dos negócios;
4. A responsabilidade pela gestão de riscos nas instalações físicas, cadeias de abastecimento,

tecnologias de informação e redes de comunicação cabe principalmente aos proprietários e
operadores; 5. A protecção
das infra-estruturas críticas deve ser realizada a partir de uma “abordagem de todos os perigos”,
com plena consideração das interdependências entre empresas, sectores, jurisdições e
agências governamentais;
6. A protecção de infra-estruturas críticas requer uma parceria consistente e cooperativa entre os
proprietários e operadores de infra-estruturas críticas e os governos; 7. A partilha de
informações relacionadas com ameaças e vulnerabilidades ajudará os governos e os proprietários
e operadores de infra-estruturas críticas a gerir melhor os riscos;
8. Deve-se ter cuidado ao referir-se a ameaças à segurança nacional a infra-estruturas críticas,

incluindo o terrorismo, de modo a evitar preocupações indevidas na comunidade doméstica
australiana, bem como em potenciais turistas e investidores.
em outro continente;
9. Capacidades mais fortes de investigação e análise podem garantir que as estratégias de

mitigação de riscos sejam adaptadas às circunstâncias únicas das infra-estruturas críticas da Austrália.
Estes princípios TISN referem-se aos proprietários e operadores de sistemas ICS/SCADA e

fornecem uma estrutura na qual eles podem cooperar e coordenar os seus sistemas.
Em 2008, o Governo Federal Australiano identificou uma série de novos desafios de segurança,
“é cada vez mais evidente que a sofisticação da nossa comunidade moderna é em si uma fonte de
vulnerabilidade. Por exemplo, somos altamente dependentes da informática e da tecnologia da
informação para impulsionar indústrias críticas como a aviação; abastecimento de eletricidade e
água; banca e finanças; e redes de telecomunicações. Esta dependência da tecnologia da
informação torna-nos potencialmente vulneráveis a ataques cibernéticos que podem perturbar a
informação que lubrifica cada vez mais a nossa economia e sistema de governo” (Warren e Leitch
2010).
As políticas australianas de infra-estruturas críticas entre 2004 e 2008 definiram a importância
da relação entre o governo e o sector privado e, em particular, a criação do programa TISN para
permitir a distribuição de informações importantes. O programa TISN permitiu a criação de grupos
de interesses especiais em torno de diferentes áreas de infra-estruturas críticas, por exemplo, água
e energia, e isto permitiu a partilha de mais informações sobre a segurança ICS/SCADA entre
operadores de serviços públicos que utilizam sistemas ICS e SCADA.
www.it-ebooks.info
Em 2009, o Governo Federal Australiano respondeu às questões relativas à segurança cibernética

e às infra-estruturas críticas, propondo uma nova abordagem coerente e liderada pelo governo para
a protecção das infra-estruturas críticas. Os principais objetivos identificados centram-se em todas
as áreas da sociedade australiana onde existem riscos de segurança: que os indivíduos devem estar
conscientes e tomar medidas para “proteger as suas identidades, privacidade e finanças online”; que
as empresas e o governo operem “tecnologias de informação e comunicação seguras e resilientes”;
e ambientes operacionais eletrônicos confiáveis que apoiam a segurança nacional da Austrália e
maximizam os benefícios da economia digital (Rudd 2008). O Governo Federal Australiano também
desenvolveu uma ampla gama de novas orientações estratégicas para focar os programas de
proteção de infra-estruturas críticas da Austrália (Rudd 2008):
• Melhorar a detecção, análise, mitigação e resposta a ameaças cibernéticas sofisticadas, com foco
no governo, infra-estruturas críticas e outros sistemas de interesse nacional; • Educar e capacitar
todos os australianos
com informações, confiança e
ferramentas práticas para se protegerem online;
• Estabelecer parcerias com empresas para promover segurança e resiliência em infraestruturas,
redes, produtos e serviços; • Modelar
as melhores práticas na proteção dos sistemas de TIC do governo, incluindo o
sistemas daqueles que fazem transações com o governo on-line;
• Promover um ambiente operacional eletrônico global seguro, resiliente e confiável
que apoia o interesse nacional da Austrália;
• Manter um quadro jurídico eficaz e capacidades de aplicação para combater e processar o crime
cibernético; • Promover o
desenvolvimento de uma força de trabalho qualificada em segurança cibernética, com acesso à
investigação e desenvolvimento para desenvolver soluções inovadoras.
Como parte da estratégia do Governo Federal Australiano de 2009, um novo número

entidades foram desenvolvidas. Estes incluem (Rudd 2008):
• CERT (Equipe de Resposta a Emergências de Computadores) Austrália. Este novo órgão

governamental mudou para uma estratégia nacional CERT para permitir uma “abordagem mais
integrada e holística à segurança cibernética em toda a comunidade australiana”; •
Centro de Operações de Segurança Cibernética (CSOC). As funções principais do CSOC centram-
se principalmente no governo, nas infra-estruturas e nos sistemas críticos do sector privado e
pretende ser uma fonte para todas as questões relacionadas com a sensibilização (especialmente
a detecção de ameaças sofisticadas) e uma instalação para responder aos riscos e problemas
de segurança cibernética que são de importância nacional. Outro aspecto fundamental do CSOC
é que ele fornece às Defesas Australianas uma capacidade de guerra cibernética e fornece um
recurso concebido para servir todas as agências governamentais (Governo Australiano 2009).
Os desenvolvimentos de 2009 aumentaram novamente as oportunidades dos proprietários e

operadores de sistemas ICS/SCADA de cooperarem e coordenarem entre si, bem como com o
Governo Federal Australiano.
www.it-ebooks.info
Desde 2010, o Governo Federal Australiano começou a reorientar-se da protecção de infra-estruturas

críticas para a resiliência de infra-estruturas críticas. O procurador-geral australiano, Robert McClelland,
anunciou que “chegou a hora de a mentalidade de proteção ser ampliada, para abraçar o conceito mais amplo
de resiliência”
(Governo Australiano 2010). “O objetivo é construir uma nação mais resiliente, onde todos os australianos
sejam mais capazes de se adaptar às mudanças, onde tenhamos uma exposição reduzida aos riscos e onde
todos sejamos mais capazes de recuperar do desastre”
(Cereja 2010).
O Governo Federal Australiano lançou em 2010 a nova estratégia de resiliência de infra-estruturas
críticas. O objectivo desta nova estratégia é a operação contínua de infra-estruturas críticas face a todos os
perigos, uma vez que estas infra-estruturas críticas apoiam a defesa nacional e a segurança nacional da
Austrália e sustentam a nossa prosperidade económica e bem-estar social (2011). Uma infra-estrutura crítica
mais resiliente também ajudará a alcançar a prestação contínua de serviços essenciais à comunidade
(Governo Australiano 2010). A estratégia introduz uma série de novos conceitos (Warren e Leitch 2011):
• Resiliência de infra-estruturas críticas – a capacidade de reduzir a magnitude, o impacto ou a duração de

uma perturbação em infra-estruturas críticas, qualquer que seja a sua causa, para que, se serviços
essenciais forem danificados ou destruídos, possam recuperar o mais rapidamente possível. Esta é uma
parte importante da criação de uma nação onde todos os australianos sejam mais capazes de se adaptar
às mudanças, tenham uma exposição reduzida aos riscos e sejam mais capazes de recuperar de
desastres;
• Responsabilidade mútua – a responsabilidade pela gestão e operação da resiliência da infra-estrutura crítica
é partilhada entre os proprietários e operadores da infra-estrutura crítica e todos os níveis do governo
australiano (federal, estatal/territorial e local). Os proprietários e operadores de infraestruturas críticas
são os principais responsáveis por garantir a segurança dos seus ativos.
Os desenvolvimentos de 2010 tiveram um impacto directo sobre os proprietários e operadores de sistemas

ICS/SCADA, uma vez que tiveram de garantir que os seus sistemas eram suficientemente resilientes para
recuperarem de ataques cibernéticos.
Em janeiro de 2013, foi lançada a primeira Estratégia de Segurança Nacional da Austrália, Forte e Segura:
Uma Estratégia para a Segurança Nacional da Austrália. Esta estratégia reforçou a importância da protecção
dos australianos contra muitas ameaças à segurança, incluindo ameaças cibernéticas. A estratégia propôs
que nos próximos 5 anos (2013-2018) o governo australiano desenvolva uma abordagem integrada de política
e operações cibernéticas, resultando numa abordagem unificada de política de segurança cibernética cobrindo
uma série de áreas como segurança cibernética, proteção de infraestrutura crítica e resiliência gerido sob um
único tema político estratégico (Governo Australiano 2013).
A estratégia definiu a necessidade de “fortalecer a resiliência das pessoas, activos, infra-estruturas e

instituições da Austrália” contra ataques cibernéticos. Isto significa que a questão não é apenas a protecção
contra ataques cibernéticos, mas também a capacidade de reconstruir sistemas rapidamente após um ataque
cibernético, bem como minimizar o impacto de um ataque cibernético (Governo Australiano 2013).
www.it-ebooks.info
Um aspecto fundamental da estratégia foi a criação do novo Centro Australiano de

Cibersegurança, que estará em funcionamento até ao final de 2013 e visa melhorar as parcerias
entre o governo e a indústria. Isto combinará as entidades cibernéticas existentes de
inteligência, defesa e aplicação da lei num único centro, permitindo uma partilha mais rápida
de informações entre o governo e a indústria.
As políticas australianas de infra-estruturas críticas pós-2008 basearam-se na parceria, mas
introduziram o novo conceito de segurança de resiliência para sistemas ICS e SCADA, que
têm a capacidade de recuperar rapidamente de qualquer incidente e minimizar qualquer
impacto. O governo australiano também desenvolveu o Centro Australiano de Operações de
Segurança Cibernética que permitirá a avaliação em tempo real da segurança cibernética e a
partilha dessa informação entre o governo e o sector privado (incluindo operadores de serviços
públicos que utilizam sistemas ICS e SCADA).
5 Discussão
Em termos de proteção dos sistemas ICS e SCADA, existem três áreas principais que devem
ser consideradas; trata-se de políticas, motivadores de negócios e questões técnicas.
5.1 Política
Historicamente, o principal problema enfrentado pela Austrália em relação ao modelo de

tomada de decisão anteriormente distribuído relativamente à protecção de infra-estruturas
críticas foi a gestão ineficaz na segurança da infra-estrutura crítica da Austrália em tempo real.
A introdução do novo Centro Australiano de Operações de Segurança Cibernética, no entanto,
irá agilizar a tomada de decisões e a partilha de informações. O que é fundamental numa área
como a segurança cibernética é que a velocidade é muitas vezes da maior importância na
tomada de decisões; a interacção de um grande número de agências de segurança e de
inteligência retardaria este processo (Warren e Leitch 2010). Um aspecto fundamental do
Centro Australiano de Operações de Segurança Cibernética seria o tempo mais rápido de
tomada de decisão e a distribuição mais rápida de informações com parceiros corporativos que
operam infraestruturas críticas e sistemas ICS e SCADA.
5.2 Motivadores de Negócios
Um fator-chave para o desenvolvimento de ICS e SCADA na substituição de sistemas legados

mais antigos por tecnologias mais novas é a necessidade de reduzir os custos operacionais
associados de ICS e SCADA. Os principais impulsionadores empresariais para a integração
com sistemas de gestão empresarial fizeram com que os sistemas ICS e SCADA se tornassem
interligados com redes corporativas e direta ou indiretamente com a Internet.
www.it-ebooks.info
Este elevado nível de integração pode estender-se ao acesso remoto por pessoal operacional,
fornecedores e organizações externas, aumentando ainda mais a exposição destes sistemas a
vulnerabilidades de rede associadas a ameaças da Internet (Trusted Information Sharing Network
(TISN) 2010b; Trusted Information Sharing Network ( TISN)
2012). Isto significa que os sistemas estão sendo desenvolvidos e modificados para reduzir os
imperativos de custos operacionais do negócio.
5.3 Questões Técnicas
Os sistemas ICS e SCADA enfrentam riscos de segurança novos e sofisticados. O mais recente foi o
desenvolvimento de novos malwares sofisticados, como o Stuxnet.
Stuxnet é um malware único; na verdade, só causará danos a sistemas de controle industrial específicos
fabricados pela Siemens. Esses “Controladores Lógicos Programáveis (CLPs), como são conhecidos,
são usados para controlar processos automatizados em alguns ambientes industriais importantes,
incluindo fábricas de produtos químicos, refinarias de petróleo, oleodutos e usinas de energia nuclear”
(Trusted Information Sharing Network (TISN) 2008) .
O objetivo do Stuxnet é reprogramar aspectos de nível inferior dos sistemas ICS/SCADA,
modificando o código nos PLCs para fazê-los funcionar da maneira pretendida pelo invasor e ocultar
essas alterações do operador do equipamento. Para atingir este objetivo, os criadores do malware
acumularam uma vasta gama de componentes para aumentar as suas chances de sucesso. Isso inclui
explorações de dia zero, um rootkit do Windows, o primeiro rootkit PLC, técnicas de evasão de antivírus,
injeção de processos complexos e código de hooking, rotinas de infecção de rede, atualizações peer-
to-peer e uma interface de comando e controle (Trusted Information Sharing Network ( TISN ) 2008 ;
Houve alegações de que o alvo do ataque Stuxnet eram os PLCs da Siemens que estavam a ser
usados pelo Irão para controlar milhares de centrifugadoras para enriquecer urânio (Trusted Information
Sharing Network (TISN) 2010a). Alega-se com o exemplo do Stuxnet iraniano que o malware aumentou
a frequência da corrente elétrica que alimenta as centrífugas, fazendo com que as centrífugas girassem
cada vez mais rápido, eventualmente fazendo-as girar a 1.410 ciclos por segundo e, assim, danificando
criticamente as centrífugas e, portanto, impactando a capacidade do Irão de enriquecer urânio (Broad
2010).
Não importa quem desenvolveu o Stuxnet, ou quem foi o alvo, a preocupação é que os sistemas
ICS e SCADA estejam agora vulneráveis a ataques de malware. Historicamente, os sistemas SCADA
não se concentraram na detecção e remoção de malware por medo de que isso pudesse retardar a
operação industrial em questão (Falliere et al. 2011).
Como mencionado anteriormente, muitos novos sistemas ICS e SCADA são habilitados para
Internet, o que permite acesso e operações remotas da infraestrutura ICS e SCADA.
Isto levantou uma série de novas ameaças e vulnerabilidades potenciais, como infecção por malware.
www.it-ebooks.info
6. Conclusão
Tal como todos os países ocidentais desenvolvidos ao longo da última década, a Austrália tomou
medidas importantes na protecção da sua infra-estrutura crítica nacional (incluindo sistemas ICS e
SCADA) contra riscos cibernéticos novos e em desenvolvimento.
O modelo australiano de proteção de segurança cibernética tem sido um modelo eficaz que se
desenvolveu ao longo de um período de dez anos, tornando-se cada vez mais sofisticado durante esse
período. Como parte da sofisticação das estratégias, o conceito de resiliência cibernética foi desenvolvido
e integrado nas estratégias de segurança nacional da Austrália.
Uma questão desconhecida é se as actuais políticas e estratégias para proteger a Austrália contra
os crescentes riscos cibernéticos futuros são suficientes para proteger a Austrália num mundo cibernético
em constante mudança de ameaças à segurança (em particular aquelas relacionadas com sistemas
SCADA) e se controlos e mecanismos de segurança adicionais irão ser necessário.
Referências
Governo Australiano (1998) Protegendo a infraestrutura nacional de informação da Austrália. Relatório do comité
interdepartamental sobre a protecção da infra-estrutura nacional de informação, Departamento do Procurador-
Geral, Barton, ACT Governo Australiano (2004a)
Estratégia nacional de protecção da infra-estrutura crítica. Advogado-
Departamento Geral, Barton, ACT
Governo Australiano (2004b) Protegendo a Austrália contra o terrorismo. Departamento do Primeiro
Ministro e Gabinete, Barton, ACT
Governo Australiano (2009) Estratégia de segurança cibernética. Departamento do Procurador-Geral, Barton,
AGIR
Governo Australiano (2010) Estratégia de resiliência de infra-estruturas críticas. Procurador-Geral
Departamento, Barton, ACT
Governo Australiano (2011) CSOC — centro de operações de segurança cibernética. Diretoria de Sinais de Defesa
(DSD), http://www.dsd.gov.au/infosec/csoc.htm. Acessado em 10 de janeiro de 2011 Governo
Australiano (2013) Forte e seguro: uma estratégia para a segurança nacional da Austrália.
Departamento do Primeiro Ministro e Gabinete, Barton, ACT
Beggs C (2008) Um padrão holístico de segurança SCADA para o contexto australiano. In: Proceedings of 2008
Australian Information Warfare and Security Conference (Perth), artigo 27 Beggs C, McGowan
R (2011) Promovendo relacionamentos SCADA e TI: uma perspectiva da indústria. Interno
J Terrorismo da Guerra Cibernética 1(3):1–11
Broad WJ, Sanger DE (2010) Worm era perfeito para sabotar centrífugas. New York Times. http://www.nytimes.com/
2010/11/19/world/middleeast/19stuxnet.html?_r=0. Acessado em 15 de outubro de 2013
Busuttil T, Warren MJ (2004) Uma abordagem de análise de risco para proteção de infraestrutura de informação crítica. In:
Anais da 5ª Conferência Australiana sobre Guerra de Informação e Segurança, Perth
Cherry S (2010) Como o Stuxnet está reescrevendo o manual do terrorismo cibernético. Espectro IEEE on-line. http://
spectrum.ieee.org/podcast/telecom/security/how-stuxnet-is-rewriting-the-cyberterrorism-playbook . Acessado
em 15 de outubro de 2013
www.it-ebooks.info
Falliere N, Murchu LO, Chien E (2011) Dossiê W32.Stuxnet. Symantec. http://www.symantec. com/content/en/us/enterprise/media/
security_response/whitepapers/w32_stuxnet_dossier.pdf.
Acessado em 15 de outubro de 2013
Hughes G (2003) Os invasores do ciberespaço, a era do domingo, 22 de junho de 2003 ISA

(Sociedade Internacional de Automação) (2013) Comitê ISA99 sobre automação industrial e segurança de sistemas de
controle, http://isa99.isa.org/ISA99%20Wiki/ Página inicial.aspx. Acessado em 10 de fevereiro de 2014
Krutz R (2006) Protegendo sistemas SCADA. Wiley, Indianapolis Pollet J (2002)

Desenvolvendo uma sólida estratégia de segurança SCADA. In: Anais do 2º ISA/IEEE
sensores para conferência da indústria, Houston, pp 148–156
Rudd K (2008) A primeira declaração de segurança nacional ao discurso do parlamento pelo primeiro-ministro da
Austrália, o Hon Kevin Rudd MP. http://www.pm.gov.au/media/speech/2008/speech_0659.cfm . Acessado em 10
de dezembro de 2008 Shaw W (2006)
Segurança cibernética para sistemas SCADA. PennWell Press, Tulsa, OK Slay J, Miller M (2008)
Lições aprendidas com o rompimento de água em Maroochy. In: Goetz E, Shenoi S (eds) Federação Internacional IFIP
para Processamento de Informações, vol 253, Proteção de Infraestrutura Crítica. Springer, Boston, pp 73–82 Smith
S (2004) Infraestrutura, http://
www.parliament.nsw.gov.au/prod/parlment/publications.nsf/
0/C6389C30B-0383F9ACA256ECF0006F610. Acessado em 10 de novembro de 2010
Stouffer K, Falco J, Scarfone K (2011) Guia para segurança de sistemas de controle industrial (ICS). Publicação Especial 800–82,
NIST (Instituto Nacional de Padrões e Tecnologia)
Suprema Corte de Queensland, Boden RV (2002) Recurso contra condenação e sentença, QCA
164, Brisbane
Rede confiável de compartilhamento de informações (TISN) (2007) Sobre infraestrutura crítica. http://www.tisn.
gov.au. Acessado em 15 de julho de 2009
Rede confiável de compartilhamento de informações (TISN) (2008) O que é SCADA? http://www.tisn.gov.au/
www/tisn/tisn.nsf/Page/e-Security#_What_is_SCADA. Acessado em 3 de julho de 2010
Rede confiável de compartilhamento de informações (TISN) (2010a) A mudança para a resiliência. CIR Notícias, vol 7, não
1, Barton, ATO
Rede confiável de compartilhamento de informações (TISN) (2010b) Ficha informativa: infraestrutura crítica e
resiliência: de quem é a responsabilidade? Barton, ATO
Trusted Information Sharing Network (TISN) (2012) Gerenciamento de risco para informações de sistemas de controle industrial
(ICS) e sistemas de controle de supervisão (SCADA) para executivos seniores,
Barton, ATO
Warren MJ (2013) Um grande avanço na segurança cibernética. ABC. http://www.abc.net.au/unleashed/
4484508.html. Acessado em 10 de outubro de 2013
Warren MJ, Leitch S (2010) Sistemas críticos comerciais e proteção de infraestrutura crítica: uma agenda de pesquisa futura. In:
Anais da conferência europeia sobre guerra de informação de 2010, Salónica, Grécia Warren MJ, Leitch S (2010)
Desenvolvimento de um
método de gestão de riscos de segurança de gestão da cadeia de abastecimento: um modelo conceptual. In: Anais da 9ª
Conferência Europeia sobre Guerra de Informação e Segurança (Salónica). Publicação Acadêmica, Reading, pp 327–333
Warren MJ, Leitch S (2011) Proteção da Austrália na era cibernética. Int J Cyber Warfare Terrorism 1(1):35–40 Weiss J
(2010) Protegendo sistemas de controle industrial contra ameaças eletrônicas. Imprensa dinâmica,
Nova Iorque
www.it-ebooks.info
Rumo à automação confiável
Jari Seppälä e Mikko Salmenperä
Resumo A automação dirige a sociedade moderna e seus sistemas críticos. É um produto de

software em rede que depende da cooperação de tecnologias antigas e novas. A segurança
da informação para sistemas de automação deve ser considerada à luz da qualidade mais
importante exigida da automação: a confiabilidade. Este capítulo enfoca o processo de
desenvolvimento de soluções confiáveis para todo o ciclo de vida dos sistemas de automação.
A abordagem inclui uma diretriz para proteger a automação e um modelo de confiabilidade que
é um modelo de fluxo de dados ampliado com requisitos de segurança e automação. Os
resultados desta análise devem ser utilizados na especificação final dos requisitos para
implementação. O modelo de confiabilidade é a ferramenta chave no ciclo de vida de
desenvolvimento seguro. Ele pode ser usado no desenvolvimento de novos produtos,
melhorando um sistema de automação antigo e também durante o ciclo de vida ativo da
automação para gerenciar mudanças inevitáveis que ocorrem durante toda a vida útil do sistema de automação.
1. Introdução
A automação comanda a sociedade moderna. Está integrado em todos os processos e

dispositivos, como a produção de eletricidade, a produção distribuída de calor, a produção
diária de bens, automóveis, máquinas de lavar roupa e redes móveis. Esses exemplos de
sistemas de automação são construídos com base em hardware, redes de comunicação e software.
A automação é um produto de software distribuído. Consiste em medições, decisões de
controle, atuação sobre essas decisões e integração. Pode ser distribuído por uma máquina,
como uma máquina de lavar, ou por um país, como uma rede elétrica. Hardware em ambiente
de automação é uma combinação de hardware de TI comum bem conhecido
J. Seppälä (&) M. Salmenperä

Departamento de Ciência e Engenharia de Automação, Universidade de Tecnologia de
Tampere,
Tampere, Finlândia e-mail: [email protected]
M. Salmenperä

www.it-ebooks.info
230 J. Seppälä e M. Salmenperä
do ambiente de escritório e de dispositivos e sistemas específicos de domínio. A maioria das

funcionalidades de automação de alto nível, abrangendo áreas como Sistemas de Execução de
Manufatura (MES), Planejamento de Recursos Empresariais (ERP) e design de sistemas, dependem
de hardware Comercial Off-The-Shelf (COTS) regular para software e redes.
A automação hardcore restante tem requisitos que só podem ser atendidos por soluções especiais
específicas de domínio. Este hardware especial inclui, por exemplo, controladores embarcados em
dispositivos de campo, sistemas de controle de supervisão e aquisição de dados (SCADA), sistemas
de controle distribuído (DCS), controladores lógicos programáveis (CLP) e subestações de automação.
A mesma divisão ocorre também nos equipamentos de rede. Parte da rede é criada com componentes
Ethernet padrão. No entanto, a rede central de automação, que fornece, por exemplo, propriedades
de Qualidade de Serviço (QoS), utiliza barramentos de campo, protocolos ou soluções de Ethernet
Industrial específicos de automação. Embora estes últimos sejam baseados na norma IEC 61784-2, a
realidade é que diferentes perfis na norma apresentam fraca interoperabilidade.
As soluções específicas de automação resultam muitas vezes no bloqueio do fornecedor e afetam as

medidas de segurança disponíveis.
A automação típica é um ambiente bastante heterogêneo em comparação ao escritório normal. Do
ponto de vista do hardware, a crescente necessidade de integração obriga os sistemas de automação
a abrirem-se e a darem suporte a protocolos de Internet, nomeadamente à família de protocolos TCP/
IP. A integração é tão essencial na automação moderna que o TCP/IP é difundido em todo o sistema
de automação. Pode-se dizer que a Internet alcançou toda a automação, desde o dispositivo de campo
mais baixo até os sistemas MES e ERP. Do ponto de vista da segurança da informação, a automação
moderna pode ser caracterizada como um produto de software altamente conectado em rede e
amplamente distribuído, exposto a todos os benefícios e ameaças presentes no ambiente moderno da
Internet.
A abertura dos sistemas de automação, a grande variação nas aplicações de automação e a

integração das tecnologias de comunicação da Internet no coração das redes de automação fazem da
automação o alvo mais complicado para a segurança da informação.
A automação está sempre integrada aos processos de negócios (Fig. 1). Na base da pirâmide estão
os dispositivos de automação, dispositivos de controle e outros dispositivos de campo.
Os sistemas de informação camada por camada são integrados às redes de comunicação para sistemas
de nível superior e inferior. Em essência, toda a automação é um grande sistema integrado e distribuído
com requisitos especiais decorrentes do aspecto da automação.
O requisito mais fundamental de qualquer aplicação de automação, a essência da automação, é a

confiabilidade. Confiabilidade são todos os meios separados, como robustez, segurança, proteção,
usabilidade e todos os outros aspectos que afetam a estabilidade e confiabilidade geral do sistema de
automação e de seu ambiente. Todos estes aspectos são cruciais. Este capítulo centra-se na segurança
da informação como uma ferramenta para melhorar a fiabilidade, tendo em conta estes aspectos.
www.it-ebooks.info
Rumo à automação confiável 231
Fig. 1 A visão geral de uma típica automação integrada de processos de negócios
2 Rumo à automação confiável
A segurança da informação para sistemas de automação deve ser considerada à luz da

principal qualidade da automação – confiabilidade. Sistemas de automação confiáveis são
construídos com base em diversas soluções tecnológicas. Por exemplo, os sistemas de
segurança tentam manter o ambiente e as pessoas fora do alcance de danos e os projetos de
controle são usados para estabilizar os complexos processos ciberfísicos (Lee 2008). Modernas
interfaces homem-máquina (HMI) e diferentes abordagens de visualização são usadas para
permitir que o usuário tome decisões inteligentes em situações onde o fluxo de informações
pode sobrecarregar o operador humano. A segurança da informação, entretanto, atualmente
não é considerada uma solução tecnológica viável em sistemas de automação. Ainda é
considerado mais um fator de custo adicional do que um facilitador para melhor qualidade de produção e tempo
Esta visão da segurança na automação começou a mudar. Eventos recentes relacionados
com a segurança que foram apresentados ao público em geral estão a agir como um catalisador
no aumento da importância da segurança para a automação. Um desses eventos foi o Stuxnet
(Lagner 2011). Mostrou quão vulnerável é a infra-estrutura no coração da sociedade moderna
contra ataques a sistemas de automação que executam, por exemplo, a produção de energia
e como o ambiente de ameaças está a mudar (Bennet 2011).
O conhecimento de senhas codificadas e a falta de medidas de segurança adequadas não
eram novidade para os engenheiros de automação. Esta era uma prática comum destinada a
proteger contra mudanças acidentais. Os sistemas de automação foram
www.it-ebooks.info
Fig. 2 Os facilitadores da automação confiável
projetado com a funcionalidade em mente, não com a segurança em mente. No entanto, o principal
resultado do Stuxnet com os seus antecessores e sucessores foi o aumento do risco percebido de
sistemas de automação violados para empresas e até nações.
As soluções de segurança de TI não podem mais ser um recurso adicional de automação, algo
bom de se ter, mas é absolutamente necessário. A segurança de TI é e continuará a ser um dos
principais facilitadores da confiabilidade nos modernos sistemas de automação em rede (Fig. 2).
3 Dependência de Tempo na Automação
A dependência do tempo na automação é uma decisão de projeto. Os sistemas de controle

dependem do tempo e exigem que as medições e os sinais de controle sejam fornecidos com
intervalos de tempo predeterminados. Os alarmes, entretanto, são eventos de alta prioridade e
devem ter precedência na comunicação da rede. Esses requisitos de mensagens afetam não apenas
o software de automação, mas também as redes e os protocolos usados em ambientes de
automação. Até que o controle baseado em eventos (Åström 2008) prove ser uma solução viável
em automação, as operações em loops críticos de tempo devem ser periódicas e determinísticas.
Assim, para redes e protocolos deve haver a possibilidade de priorizar mensagens e permitir
mensagens cíclicas. Estes são chamados de requisitos em tempo real.
Tempo real é um conceito comumente mal compreendido. Para a maioria das pessoas significa
“algo muito rápido”. A definição correta usa função de utilidade. A função utilidade define a
usabilidade das informações relacionadas ao tempo. Portanto, uma malha de controle lenta com
tempo de ciclo de 10 minutos pode exigir comunicação em tempo real.
As malhas de controle em sistemas de automação geralmente exigem tempo real isócrono, enquanto
o alarme normalmente exige tempo real difícil (Fig. 3b, d).
As medidas de segurança na automação devem levar em conta estes requisitos.
Por exemplo, a verificação de vírus em mensagens de rede não deve quebrar o requisito de tempo
real. Nem a verificação heurística de vírus pode retardar o
www.it-ebooks.info
(a) (b)
(c) (d)
Fig. 3 A TI normal funciona geralmente no lado esquerdo (a, c), enquanto a automação sempre
contém funções do lado direito (b, d)
estação(ões) de supervisão de tal forma que os sinais de alarme não sejam apresentados ao
operador do sistema. As medidas comuns de segurança de TI são projetadas para requisitos
de TI (Fig. 3a, c). Portanto, aplicá-los ao ambiente de automação requer considerações
cuidadosas, planejamento e profundo conhecimento do sistema de automação.
Os sistemas de automação têm longa vida útil. Geralmente é medido em décadas do que
em anos. Esta suposição é verdadeira, porém, apenas para o sistema de automação central.
O sistema principal consiste em válvulas, atuadores, PLCs e tubos que são o hardware do
sistema. O hardware central contém também as estações operacionais e os sistemas de
informação integrados. O ciclo de atualização do hardware de automação pode ser, por
exemplo, de 5 anos. Isso significa que a cada 5 anos alguma parte do processo é atualizada.
O período do ciclo de atualização depende do design do sistema, do próprio sistema, dos
contratos de manutenção, do estado dos negócios e assim por diante.
O sistema de automação central pode ser considerado estável. No entanto, o ambiente
em torno do sistema de automação muda mais rapidamente (Fig. 4). O ciclo de vida típico dos
sistemas informáticos modernos que acessam a automação é de cerca de 3 anos. Do ponto
de vista do sistema de automação, isto significa, por exemplo, que os computadores utilizados
para tarefas de manutenção podem perder o suporte de hardware essencial necessário para
a ligação à automação. Um bom exemplo disso foi a remoção da porta serial dos laptops. Esta
mudança no ambiente pode ser caracterizada como efeito COTS (Fig. 5).
www.it-ebooks.info
Fig. 4 Automação central (sistema de automação, perguntas e respostas), partes internas (desenvolvimento,
gerenciamento, compras etc.) e externas (subcontratados, fornecedores de matéria-prima etc.)
A substituição de hardware específico do fornecedor por COTS tem sido um dos métodos de redução
de custos na última década. Devido ao ambiente hostil de operação de automação, isso não é fácil de
aplicar. Por exemplo, os conectores Ethernet na automação podem parecer totalmente diferentes dos
seus irmãos COTS.
COTS também altera os riscos de segurança para automação. As ferramentas disponíveis para
qualquer parte interessada estão se tornando rapidamente mais fáceis de usar. A principal razão para isso
é a presença cada vez maior de protocolos TCP/IP em sistemas de automação. (In)felizmente, isso
também significa que kits de ferramentas de teste de segurança, como a distribuição KALI Linux, também
podem e devem ser usados em ambientes de automação – com muito cuidado (Linux 2013).
Outra área em rápida mudança relacionada aos sistemas de automação são as ferramentas de
desenvolvimento. Essas ferramentas seguem o ciclo de vida rápido normal das ferramentas de escritório,
causando problemas aos sistemas de automação. Por exemplo, um PLC ainda pode exigir uma ferramenta
antiga baseada em DOS usada via porta serial para configurar o endereço IP do dispositivo. Para o
proprietário do sistema de automação, isso significa guardar um computador antigo para fins de manutenção.
Muitos profissionais de segurança criticam a existência de tecnologias tão antigas. Muitas vezes, eles
devem ser informados de que se trata de uma decisão de negócios. Se o sistema estiver funcionando
conforme esperado, o custo de renovação dos dispositivos não será significativo. Este planejamento
geralmente é feito já na fase inicial de compra, quando o ciclo de vida
www.it-ebooks.info
Fig. 5 Efeito COTS que é a transformação de soluções de TI tradicionais em modernas e

evolução das ferramentas e conhecimentos de segurança
Fornecedor Cliente
Desenvolvimento Comprar Operação Disposição
Fig. 6 O ciclo de vida de um sistema de automação
a gestão é decidida. Deve-se sempre lembrar que o sistema de automação é

adquirido como parte do sistema ou máquina de produção. O objetivo mais importante para o
sistema ou a máquina deve produzir o produto ou executar a tarefa para a qual foi projetada.
O ciclo de vida da automação começa no desenvolvimento e termina com o descarte do
sistema (Fig. 6). O ciclo de vida da segurança segue o mesmo ciclo. A diferença notável é que
o ciclo de vida da segurança consiste na mudança e/ou divisão da responsabilidade principal
entre fornecedor e cliente. Também outras partes podem deter alguma parte do
responsabilidades de segurança.
À luz destes desafios, é vital que a segurança seja incluída em todo o ciclo de vida do
produto de automação, desde o desenvolvimento, incluindo a compra
e terminando à disposição do sistema. Nenhuma dessas fases é mais importante
do que o outro. Este capítulo se concentra no desenvolvimento e nas compras. Operações e
descarte são abordados resumidamente.
www.it-ebooks.info
4 desafios de segurança
As ameaças modernas à segurança da informação evoluíram de simples vírus criados por hackers
amadores para todo um ecossistema de crimes online. A mais recente adição a este cenário de
ameaças em constante mudança são os operadores governamentais que executam operações
direcionadas em grande escala de espionagem industrial e sabotagem. A segurança da informação
moderna deve considerar todas estas ameaças no que diz respeito à motivação e aos objetivos dos
operadores. Podem ser identificados três arquétipos, nomeadamente hacktivistas, crime organizado
e operadores governamentais. Cada um desses tipos tem sua própria agenda.
Os hacktivistas são amadores mais ou menos tradicionais testando suas habilidades e exibindo-
se aos colegas. Os seus recursos são normalmente limitados e as motivações obscuras. Os danos
causados são mais frequentemente acidentais do que o pretendido. Ao considerar a natureza da
automação, eles representam uma séria ameaça, pois a automação é um sistema frágil em tempo
real. Qualquer violação na segurança da automação pode ter resultados sérios e imprevisíveis,
mesmo que não sejam intencionais.
O crime organizado formou todo um ecossistema empresarial em torno do crime online.
Os criminosos têm um propósito claro nas suas operações; fazendo dinheiro. Estão preparados
para financiar operações com capital significativo. Eles estão contratando especialistas caros e os
recursos disponíveis excedem em muito os dos hacktivistas. Mesmo que a ameaça que representam
hoje se concentre principalmente nas compras e serviços bancários online, é apenas uma questão
de tempo até que alguém invente uma forma de ganhar dinheiro comprometendo a segurança da
automação. Existem também ameaças marginais causadas pelas suas operações. Essas ameaças
incluem botnets cada vez maiores e construções semelhantes que podem causar sérios problemas
não intencionais aos sistemas de automação.
O Stuxnet mostrou a chegada dos operadores governamentais à era online.
As suas operações são bem financiadas, coordenadas e extremamente difíceis de defender. O Stuxnet
foi desenvolvido durante anos; ele foi bem testado e então implantado em uma única instalação.
Continha vários exploits de dia zero, certificados falsificados usados para assinar código de forma que
parecesse originar-se de fontes aceitáveis e sistemas avançados de controle remoto usados para
direcionar o ataque ao alvo pretendido. Outros ataques paralelos ao Stuxnet também conseguiram
reunir informações relevantes sobre todos os sistemas que infectaram e transmitiram essas informações
de volta ao controlador.
5 Protegendo o ciclo de vida da automação
O objetivo da modelagem em segurança de automação é estender a análise formal do processo de

requisitos e as especificações de requisitos para abranger todo o ciclo de vida da automação;
começando pelas necessidades e processos de negócios, passando pelo design e implementação
de software, até o uso ativo de sistemas de automação. O longo ciclo de vida e a resistência a
atualizações na automação tornam esse tipo de abordagem necessária. Ao contrário da automação
de aplicativos de escritório, a automação permanece em uso décadas após ser implantada. As atualizações são
www.it-ebooks.info
Fig. 7 Diagrama conceitual para redes de informação Smart Grid
possível, mas grandes mudanças na arquitetura de software e nos padrões de projeto usados
tanto no projeto quanto na implementação são impossíveis ou caras. Isto requer abordagens e
práticas de longo prazo para análise e projeto de confiabilidade dos sistemas de automação.
Os avanços em TI durante a última década são uma das principais razões pelas quais um
sistema de automação mais inteligente é agora uma possibilidade. O conceito chave é adquirir
mais informações para uma melhor tomada de decisão. As tecnologias-chave para garantir a
automação já existem; O desafio consiste apenas em aplicá-los com sucesso – e numa escala
nunca vista antes. As principais qualidades típicas são confiabilidade, confiabilidade e resiliência,
que estão no centro do sistema. A automação moderna também é uma parte fundamental da
infraestrutura crítica da sociedade, elevando os requisitos de segurança da informação. A
terceira característica distintiva é a enorme complexidade da aplicação de automação integrada
em larga escala, por exemplo, Smart Grid: eles são um “sistema de sistemas”, um megasistema
formado por subsistemas interconectados (Instituto Nacional de Padrões e Tecnologia 2012). É
difícil compreender todas as conexões e relações de causa e efeito. Mesmo falhas relativamente
simples podem se propagar em cascata ou inesperadamente de um sistema para outro,
possivelmente causando falhas massivas ou apagões. Smart Grid é um exemplo da enorme
escala de um sistema de grande escala (Fig. 7).
A integração de sistemas de informação num sistema de tão grande escala é um desafio.
A arquitetura de integração legada mais comum é a integração ponto a ponto, onde cada
conexão entre sistemas é mantida separadamente. Isso leva a problemas de escalabilidade à
medida que o número de conexões entre sistemas cresce rapidamente de acordo com o número
de nós. O sistema rapidamente se torna impossível de administrar. Comum
www.it-ebooks.info
As arquiteturas de integração são Enterprise Integration Architectures (EAI) e Enterprise Service Buses
(ESB). A ideia fundamental do ESB é separar a lógica de aplicação e integração de maneira distribuída,
enquanto o EAI é uma solução centralizada (Chappel 2004).
O ESB é uma ideologia adequada para ambientes de grande escala. Ele define um conjunto de
funcionalidades básicas formando uma estrutura de mensagens e um conjunto comum de componentes
usados para construir as soluções de integração reais. Não possui um ponto único de falha, em
comparação com um hub centralizado, tornando a arquitetura mais confiável.
6 Diretriz para Automação Confiável
As necessidades de integração do ambiente de automação são bastante heterogêneas. No entanto, o

núcleo dos sistemas de informação e as funções destes sistemas estão bastante bem definidos e,
portanto, é possível fornecer um guia para a implementação da automação confiável. Estas etapas
gerais relativas aos casos de integração de automação podem ser identificadas. Este modelo para
desenvolvimento de aplicações de automação é derivado de Eerola (2013) e Salmenperä et al. (2013).
6.1 Crie um modelo essencial por meio da análise de negócios
Um modelo essencial (modelo de negócios/abstrato) define a finalidade do caso de uso sem detalhes
técnicos. Responde “o que” é feito, mas não afirma “como” é feito. O modelo essencial esclarece qual
é a necessidade de negócio que o caso de uso está resolvendo, explicando-a em termos que sejam
compreensíveis para especialistas de diversas áreas.
O resultado pode ser expresso como um simples diagrama de fluxo de dados ou diagrama de caso de
uso, combinado com texto (Fig. 8). Esta etapa também deve definir requisitos de alto nível de segurança
e confiabilidade de automação e riscos de negócios (Brown 2008).
Fig. 8 A ilustração mostra uma

representação DFD (Diagrama
de Fluxo de Dados) do modelo
essencial de um caso de uso
de reparo de falhas em Smart
Grids (Flick e Morehouse 2011)
www.it-ebooks.info
O caso de uso começa com o relatório do medidor inteligente sobre um problema. A necessidade do
negócio é designar uma equipe de mão de obra para reparar o problema. O Sistema de Gestão de Trabalho
(WMS) receberá uma ordem de reparo do sistema e enviará uma equipe para solucionar o problema. O WMS
então reporta ao sistema o status do trabalho de reparo. O medidor inteligente e o WMS são detalhes
técnicos, mas neste cenário e do ponto de vista da solução de integração, são sistemas externos. Este
modelo é intuitivo e de fácil compreensão também para profissionais não-eletricistas e não indica como o
sistema funcionará internamente.
6.2 Definir explicitamente o caso de uso
Após responder “o que” é feito, o próximo passo é descrever “como” as coisas são feitas, incluindo alguns
detalhes técnicos sobre o sistema. O uso de middleware ou a arquitetura de integração em geral ainda não
devem estar definidos. Isto pode ser conseguido, por exemplo, utilizando diagramas de fluxo de dados e
ignorando (por enquanto) como os fluxos serão realmente implementados. Assim, esta etapa deve conter
algum nível de detalhe técnico e sistemas participantes.
Os fluxos de dados do caso de uso de falha do medidor inteligente começam a partir do evento de alarme
em um medidor inteligente, levando ao envio da equipe de reparo (Fig. 9). Já inclui alguns detalhes técnicos
Fig. 9 Diagrama de fluxo de dados definindo em detalhes o caso de uso de falha do medidor inteligente
www.it-ebooks.info
dos subprocessos e sistemas. Esta etapa pode se beneficiar da utilização de princípios e regras
gerais de modelagem de casos de uso. As perguntas que devem ser respondidas são, por
exemplo: quem ou o que inicia o caso de uso? Pode ser acionado por um evento, uma ação do
usuário, ou pode ser baseado no tempo ou em uma “rotina de limpeza” contínua, por exemplo.
Que tipo de coordenação ou orquestração é necessária? Isso depende muito da complexidade
do caso. Neste ponto, não é necessário determinar qual sistema cuidará da coordenação ou
orquestração. Qual é o grau de automação? Ou seja, o processo requer intervenção humana
em algum momento?
6.3 Determinar os Sistemas de Informação Participantes
Isto é muito lógico: é importante listar os sistemas que precisam ser integrados.
Após definir o caso de uso, fica claro quais sistemas participarão. No entanto, é importante listá-
los de fato. Isto ajuda a esclarecer se todos os sistemas necessários estão identificados e se
existem sistemas mencionados que não são necessários. A definição de caso de uso mostra
quais informações e funcionalidades são necessárias. Com base nisso é fácil ver quais sistemas
contêm as informações necessárias e podem executar as funções exigidas. No nosso caso de
exemplo, participam do caso o Sistema de Gestão da Distribuição (DMS) e o Sistema de
Informação do Cliente (CIM) (e também o Medidor Inteligente e o WMS, que são sistemas
externos).
6.4 Definir a Orquestração do Processo
A definição geral de caso de uso definiu que tipo de orquestração é necessária para gerenciar
toda a transação. Esta etapa se concentrará em como a orquestração é implementada. Possíveis
condições e situações de erro devem ser consideradas nesta etapa. As transferências simples
de dados requerem muito pouca orquestração, ao contrário das transações mais complexas e
de longa duração. É importante definir explicitamente quanta complexidade da transação é
tratada. Esta também é uma decisão de design: por exemplo, o middleware deve lidar com a
transação ou a inteligência está dentro dos sistemas terminais? Isto tem consequências
importantes sobre a forma como a integração será implementada. Se a lógica de orquestração
estiver principalmente dentro dos sistemas de endpoint, a função da solução de integração será
principalmente funcionar como um intermediário de mensagens.
No caso de exemplo, a orquestração poderia ser feita pelo DMS. O DMS receberia o alarme
e seria responsável por localizar a falha, consultar o CIS para obter informações do cliente,
priorizar o problema e enviar uma ordem de reparo ao WMS. Também atualizará o status com
base nos relatórios do WMS.
www.it-ebooks.info
6.5 Definir e Implementar Processos
Analise o caso de uso e os sistemas participantes e suas funções em relação ao paradigma

selecionado. Os produtos de software mais importantes da indústria eléctrica provavelmente
permanecerão como estruturas grandes e monolíticas num futuro próximo.
No entanto, certas funcionalidades ou informações dentro destes sistemas podem ser expostas,
para que outros sistemas tenham fácil acesso a elas.
6.6 Definir Fluxos de Dados
Os diagramas anteriores definem muitos fluxos de dados entre processos e armazenamentos de

informações. Alguns fluxos são internos aos sistemas terminais e alguns são fluxos entre sistemas.
Estes últimos são os que o quadro de implementação seleccionado terá de gerir. Esta etapa pode
identificar pontos críticos de falha no sistema e mostra como o projeto anterior pode ter um grande
impacto na confiabilidade da automação.
6.7 Definir o conteúdo informativo dos fluxos de dados
Com base nos fluxos de dados definidos na etapa anterior, é simples definir quais informações cada
fluxo contém. O resultado desta etapa é uma definição abrangente do conteúdo informacional de cada
fluxo.
6.8 Criar modelos de confiabilidade
O conteúdo da informação, cada um dos fluxos de dados possui determinados requisitos de

segurança e automação; privacidade, integridade, confidencialidade, alarme, tempo real e auditabilidade.
Esta etapa deve definir esses requisitos. A colaboração entre um especialista em automação e um
profissional de segurança da informação é fortemente recomendada para esta etapa. Os
especialistas em segurança da informação conhecem as perguntas certas que trarão os requisitos
de segurança; especialistas em automação entendem o sistema e sabem como responder a essas
perguntas.
6.9 Escolha métodos de implementação de segurança da informação
Uma vez definidos os requisitos de segurança, devem ser utilizados métodos de implementação
de segurança apropriados. Isto inclui decisões gerais (por exemplo, “este fluxo de dados
www.it-ebooks.info
precisa ser criptografado para fornecer confidencialidade”) e detalhes específicos de implementação

(“esta opção de design oferece essas tecnologias para criptografia”).
6.10 Implementar a Solução/Orquestração
A última etapa é implementar a solução real. Um processo de desenvolvimento seguro deve ser
usado para garantir que os requisitos sejam atendidos.
7 Garantindo o Desenvolvimento
A criação de automação segura começa no quadro de design. Tendo em conta os desafios de

segurança, as ameaças, as zonas de confiança, etc., devem ser integrados no processo normal de
desenvolvimento. Os diagramas de fluxo de informações usados em conjunto com a modelagem de
ameaças fornecem uma base sólida e clara para proteger o desenvolvimento. Afinal, é a informação
e o seu fluxo que estamos tentando garantir.
Os diagramas de fluxo de informações, ou fluxo de dados, foram introduzidos em meados da
década de 1970 para análise e projeto estruturados (Stevens et al. 1974; Yourdon e Constantine
1979). Desde então, os diagramas de fluxo de informação têm sido aceitos como ferramenta padrão
para diversas tarefas de modelagem, especialmente na engenharia de software. Hoje em dia a
Linguagem de Modelagem Unificada (UML) substituiu ferramentas básicas de diagramas de fluxo de
informações como ferramenta de engenharia e possui vários formatos de apresentação que são
poderosos para muitos usos (Douglass 2004). No entanto, as ferramentas UML destinam-se
principalmente à geração automática de código e a outros fins específicos de domínio de software.
As ferramentas UML são muito profundas na modelagem da funcionalidade em produtos de software,
tornando-as inadequadas para a criação de um terreno comum para discussões.
Os engenheiros de automação estão acostumados a lidar com fluxos de informação, uma vez
que o conceito de fluxo de modelos de entrada-saída com fluxos está incorporado em sua educação
(Sterman 2000). Eles também são usados em diversas áreas de pensamento e modelagem de sistemas.
O pessoal de software também está familiarizado com diagramas de fluxo de dados, uma forma de
representação do fluxo de informações, em sua educação em software ou telecomunicações. O uso
do conceito de fluxo de informações em ambas as áreas leva à conclusão óbvia de que os fluxos de
informações poderiam ser usados como forma de representação comum para discussões relacionadas
à segurança da informação entre clientes e fornecedores ou engenheiros de automação e
desenvolvedores de software. No entanto, deve haver um ponto de partida para as discussões.
A comunicação entre humanos em torno de problemas comuns deve começar com um acordo
sobre a definição do problema. Na segurança da informação, isso pode ser feito utilizando o conceito
de caso de uso (Douglass 2004). Por exemplo, o pessoal de TI pode descrever a tarefa de
transferência de arquivos como um problema de segurança da informação “O usuário conectou um
pendrive USB ao PC do sistema de automação. O stick pode conter malware.” O engenheiro de
automação pode descrever a mesma tarefa do ponto de vista da usabilidade “Tenho que transformar
atualizações de firmware ou configurações do sistema com um pendrive USB, pois o computador
www.it-ebooks.info
Desenvolvedor Transferir Dispositivo
Fig. 10 Diagrama de contexto do caso de uso de transferência de firmware. Links não confiáveis devem ser claramente
marcados
operar o sistema não está conectado à rede.” A partir destas descrições pode ser criado um caso
de uso que requer cooperação entre os departamentos de automação e TI. Vamos chamar isso
de “transferência de firmware de novo dispositivo para sistema de automação sem conexão de
rede”. Este caso de uso é um exemplo que pode ser resolvido sem o uso de fluxos de informação.
É bastante simples explicar a ideia por trás do uso de fluxos de informação como ferramenta de
análise de segurança (Fig. 10).
8 Modelo de Confiabilidade
Os fluxos de informação podem ser usados para analisar a segurança de um sistema. As

abordagens tradicionais não são adequadas para ambientes de automação, pois não levam em
consideração os requisitos de automação.
As redes de automação exigem capacidade de tráfego em tempo real, possibilidade de
priorizar e classificar informações e capacidade de construir redes tolerantes a falhas. O modelo
de confiabilidade estende o fluxo de informações tradicional para incluir os dois primeiros
requisitos de automação, bem como requisitos de auditoria baseados nas informações transferidas.
O modelo de confiabilidade consistirá nos requisitos especiais do sistema de automação e incluirá
também o fator humano. Deve ser integrado no ciclo normal de desenvolvimento de produtos
(Fig. 11).
Primeiramente, o modelo de confiabilidade é criado descrevendo todos os fluxos de
informações relacionados ao caso de uso e ao produto, bem como os requisitos de automação e
os requisitos de segurança para os itens de informação no fluxo. Este modelo pode então ser
usado como entrada para o Ciclo de Vida de Desenvolvimento Seguro (SDL) da empresa,
contendo todas as etapas de desenvolvimento que a empresa realizou para produzir produtos
seguros. Os processos SDL contêm, por exemplo, métodos de análise de ameaças usados,
listas de mitigações aceitas para ameaças, interfaces seguras de programação de aplicativos e
treinamento para produção de código seguro. O SDL pode ser implementado como procedimentos
e ferramentas em ambientes de desenvolvimento ou como listas simples para programadores.
Na prática, a implementação deve ser leve o suficiente para ser usada, mas rígida o suficiente para ser auditada, s
Um bom exemplo de SDLs é o Microsoft Security Development Lifecycle (Howard e LeBlanc
2003; Howard e Lipner 2006).
www.it-ebooks.info
Fig. 11 Fixação
o desenvolvimento começa a partir
conceito de produto via
modelo de confiabilidade e fins
com desenvolvimento seguro
ferramentas de suporte
9 Extensão PICARD
A categorização do modelo de ameaça, como a abordagem STRIDE da Microsoft (Howard e

LeBlanc 2003), é uma boa ferramenta após a criação do modelo de confiabilidade. Isso é
adequado para desenvolvimento de software, mas não para fluxos de informações de alto nível usados como
base para discussões entre as partes relacionadas ao projeto.
O modelo de confiabilidade usa extensões necessárias para automação. Contém
dois novos recursos para os diagramas de fluxo de informações padrão. Comparado com o
fluxo de informação tradicional, em nossa abordagem o fluxo é um objeto que contém o
dados de informação do fluxo. A primeira extensão é segurança e automação
requisitos da informação dentro do fluxo. Isso está marcado como texto PICARD
onde a interpretação das letras individuais é descrita na Tabela 1.
Tabela 1 Descrição da extensão PICARD
Carta Abreviatura de Descrição

P Privacidade Informações de identificação pessoal (PII)
EU
Integridade A integridade das informações é necessária
C Confidencialidade As informações são confidenciais, por exemplo, otimização de processos
configurações ou materiais que exigem proteção DPI
A Alarme Informações baseadas em eventos que exigem priorização
R Tempo real Informações cíclicas que devem ser determinísticas, ou seja, atrasos são
conhecido e sem variação não especificada
D Auditoria A informação tem requisitos de auditoria, por exemplo, Sarbanes-Oxley (2002)
O requisito para o fluxo de informações é apresentado em letras maiúsculas e em negrito no diagrama de fluxo
www.it-ebooks.info
A segunda extensão é a codificação por cores do link, processo ou armazenamento de acordo com a
confiança que pode ser depositada nele. Por exemplo, vermelho pode ser um link não confiável na Internet.
Verde pode ser um link confiável dentro da rede de automação. Preto ou azul pode ser link, que ainda não
está classificado. As cores selecionadas não importam, desde que as mesmas sejam utilizadas em todo o
projeto de automação.
A ideia principal do modelo estendido é simples e pode ser dividida em 10 fases:
1. Crie um modelo de contexto do caso de uso com entidades externas. Isso pode ser
extraído dos casos de uso explícitos definidos anteriormente.

2. Identifique os limites da confiança.
3. Codifique os componentes por cores com base em relações de confiança.
4. Crie um diagrama de fluxo de informações de próximo nível.

5. Identifique os limites da confiança.
6. Codifique os componentes por cores com base em relações de confiança.
7. Adicione requisitos de segurança aos fluxos (coloque negrito nas letras P, I, C).
8. Adicione requisitos de automação aos fluxos (coloque negrito nas letras A, R, D).
9. Adicionar código de cor vermelha a fluxos não confiáveis/inseguros do ponto de vista da automação (por
exemplo, pela Internet, pela rede do escritório). Deixe sem classificação para preto.
10. Itere de 4 até que o nível de detalhe desejado seja alcançado.
Observação! A auditoria pode ser considerada um requisito de segurança e automação.
A abordagem STRIDE é usada para analisar e decidir estratégias de mitigação, enquanto o PICARD é
mais adequado para modelar fluxos de informação dentro de um sistema de automação. Outra diferença
entre STRIDE e PICARD é que o objetivo do PICARD não é priorizar as ameaças, mas sim classificar a
confiança e os requisitos dos caminhos, processos, armazenamentos e entidades externas relacionadas ao
fluxo de informações.
Os modelos de confiabilidade podem ser bastante grandes, pois apresentam toda a cadeia de fluxo de
informações de um caso de uso. Por exemplo, o modelo de confiabilidade do caso de uso geral de
transferência de firmware no ambiente Smart Grid pode ser dividido em duas transações. A primeira transação
é do desenvolvedor confiável, usando o servidor web da empresa, para a rede interna confiável e a segunda,
do laptop de configuração para o dispositivo final (Fig. 12).
As decisões de segurança são sempre baseadas em suposições. No caso da atualização de firmware
para o dispositivo, as suposições são de que podemos confiar no desenvolvedor e no armazenamento do
servidor web de distribuição. É claro que isso requer que as medidas de segurança para partes confiáveis
estejam funcionando e, por exemplo, o servidor web esteja devidamente protegido.
Os pendrives USB não são dispositivos de transferência confiáveis, devido ao fator humano. Portanto,
deve-se verificar se ninguém conseguiu alterar o conteúdo do pacote de firmware. Uma boa prática é usar
um provedor de antivírus diferente daquele usado na fase de download. Na última fase de atualização, onde
os dados do firmware são carregados no dispositivo, podem ser utilizados outros links de comunicação além
da Ethernet. Neste caso a parte mais vulnerável deste fluxo é o laptop utilizado para upload.
O modelo de confiabilidade é usado como entrada no Ciclo de Vida de Desenvolvimento Seguro da

empresa. Os modelos são tão bons quanto as informações usadas para criá-los. Eles devem ser atualizados
quando novas tecnologias são apresentadas ao meio ambiente ou ao
www.it-ebooks.info
Fig. 12 Modelo de confiabilidade do caso de uso geral de transferência de firmware em ambiente Smart Grid.
Observe a mudança do conteúdo do fluxo nas últimas fases
sistema de automação. Isto é semelhante a atualizar os esquemas de automação quando uma

alteração no processo é introduzida. O modelo de confiabilidade deve ser visto como outro
diagrama de processo essencial.
10 Protegendo as compras
Compras mal orquestradas têm sido a fonte de muitos problemas em produtos que contêm
software. Este é especialmente o caso em grandes sistemas de software e a automação é um
grande sistema de software em rede. Essa culpa é válida. No entanto, culpar o cliente ou o
fornecedor não faz sentido, uma vez que o problema central está no conhecimento de
segurança e na interação dessas partes.
Este desafio de comunicação foi reconhecido, por exemplo, na Finlândia, onde o projecto
nacional “Requisitos Comuns para Fornecedores” foi iniciado em 2011. O projecto foi gerido
pelo Centro de Investigação Técnica da Finlândia (VTT) e financiado pela Agência Nacional
de Abastecimento de Emergência. Os participantes do projeto incluíram mais de 40
fornecedores, usuários, integradores diferentes, a Universidade de Tecnologia de Tampere e
a Autoridade Reguladora de Comunicações Finlandesa (CERT-FI). O projeto resultou em uma
tabela de requisitos onde planilhas apresentavam requisitos específicos em diferentes fases
do processo de compra.
A tabela resultante é excepcional, pois não apenas fornece os requisitos, mas também o
objetivo e um exemplo de implementação para cada linha de requisitos, ao contrário dos
requisitos e padrões de segurança comuns. A abordagem destina-se a (1) diminuir a lacuna
de discussão entre o cliente e o fornecedor, (2) distribuir a segurança
www.it-ebooks.info
conhecimento para cada parte e (3) inclui o ciclo de vida desde a compra até a manutenção.
Esse tipo de abordagem comumente acordada é necessária para garantir as compras.
11 Protegendo as Operações
A chave para garantir as operações é seguir as decisões tomadas nas fases de desenvolvimento
e compra. Os planos de manutenção devem conter procedimentos de atualização para modelos
de confiabilidade e ameaças. A melhor prática é criar um procedimento de mudança, que requer
atualização dos modelos.
Os sistemas de automação não podem ser verificados quanto à segurança durante a operação.
Os sistemas geralmente contêm loops de controle em tempo real e links de pulsação, que
monitoram a operação do sistema. A verificação de segurança mal implementada pode perturbar
a rede ou os dispositivos, fazendo com que o sistema de segurança inicialize o desligamento do
sistema. Deve-se notar que otimizar o desempenho de um sistema de automação resulta em um
equilíbrio mais delicado do sistema. Portanto, os testes de segurança devem ser integrados ao
cronograma normal de manutenção.
12 Protegendo o descarte
A diferença entre o descarte seguro de um sistema de automação e de sistemas de TI é saber

onde as informações críticas podem ser armazenadas. No sistema de automação as informações
confidenciais podem ser encontradas em locais estranhos. Pode ser encontrado, por exemplo,
em válvulas, PLCs e outros dispositivos embarcados. Portanto, o “conhecer o seu sistema” é
essencial para descartar uma linha de produção, um dispositivo de automação ou mesmo uma
fábrica inteira automatizada.
Os sistemas de automação tendem a mudar de propriedade durante seu longo ciclo de vida.
Os procedimentos de eliminação segura devem ser considerados não apenas na eliminação final do
sistema, mas também em cada mudança de propriedade. Do ponto de vista da empresa A, a
transferência de um sistema de automação para a empresa B é alienação de um ativo. O conhecimento
de otimização de processos pode ou não fazer parte da transferência e é vital saber onde esta
informação pode ser encontrada.
13 Conclusões
A automação é um sistema de software ciberfísico em rede com requisitos adicionais decorrentes

do relacionamento inerente com o mundo real. Pode ser encontrada em todas as áreas da
sociedade moderna, por exemplo, automóveis, produção de energia e bens de uso diário,
www.it-ebooks.info
máquinas de lavar e redes móveis. O objetivo final da automação é a produção confiável.
Todas as propriedades do sistema de automação e alterações neles são decisões de negócios

onde muitos aspectos são considerados. Uma dessas propriedades é a segurança da informação.
A segurança adequada da informação só pode ser alcançada se o processo começar desde o
projeto e durar todo o ciclo de vida do sistema de automação.
A diretriz para automação confiável começa com a modelagem dos casos de negócios do
produto, continua com apresentações mais detalhadas do sistema e termina com implementações
e decisões de desenvolvimento. É uma abordagem sistemática baseada em modelos de fluxo de
informações e leva em consideração tanto os requisitos de segurança quanto os requisitos de
automação. A diretriz visa modelar requisitos de confiabilidade de tal forma que sejam facilmente
atualizados e aplicados não apenas durante o desenvolvimento inicial do sistema, mas também
durante o resto de sua vida útil.
Modelos de ameaças são usados na engenharia de software para proteger o produto. No
entanto, a abordagem tradicional de ameaças não é suficiente no domínio da automação. O
modelo de confiabilidade é um diagrama de fluxo de informações estendido onde os requisitos de
automação são integrados aos fluxos. Ele fornece uma base comum para discussões entre
fornecedor e cliente e fornece conhecimento dos requisitos essenciais para o desenvolvimento do
sistema. O aspecto comercial do uso da segurança da informação como ferramenta para melhorar
a confiabilidade é fornecer sistemas mais confiáveis e resilientes, permitindo, portanto, melhor
tempo de atividade.
A automação confiável pode ser alcançada integrando a segurança ao produto.
A segurança da informação complementa os recursos de controle, monitoramento e segurança,
levando em consideração fatores humanos intencionais e também não intencionais, como
hacktivistas, criminosos e governos. A automação confiável proporciona vantagem competitiva
para o cliente, diminuindo o tempo de inatividade da produção, e para o fornecedor, aumentando
a confiança no produto.
Referências
Åström KJ (2008) Controle baseado em eventos. In: Astolfi A, Marconi L (eds) Análise e projeto de sistemas de
controle não lineares: em homenagem a Alberto Isidori. Springer, Berlim, pp 127–147 Bennett S
(2011) Insegurança no fornecimento de energia elétrica: uma ameaça emergente. Eletr J 24
(10):51–69
Brown D (2008) O como fazer modelagem essencial. Treinamento IRM – Livro Branco, Melbourne. http://
www.irm.com.au/papers/How_To_of_Essential_Modelling.PDF. Acessado em 28 de agosto de 2008 Lee EA
(2008) Sistemas ciberfísicos: desafios de design. In: 11º Simpósio Internacional IEEE sobre Computação Distribuída
em Tempo Real Orientada a Objetos (ISORC). IEEE Press, Nova York, pp 363–369 Chappell DA (2004)
Barramento
de serviço corporativo. O'Reilly, Sebastopol Douglass BP (2004) UML em
tempo real, 3ª ed. Addison-Wesley, Boston Eerola R (2013) Analisando integração e
segurança da informação: barramento de serviço corporativo para inteligência
grade. Tese de mestrado, Tampere University of Technology, Tampere Flick T,
Morehouse J (2011) Protegendo a rede inteligente: segurança da rede elétrica da próxima geração.
Syngress, Burlington
www.it-ebooks.info
Howard M, LeBlanc D (2003) Escrevendo código seguro, 2ª ed. Microsoft Press, Bellevue Howard
M, Lipner S (2006) O ciclo de vida de desenvolvimento de segurança. Microsoft Press, Bellevue
Linux K (2013) A distribuição de testes de penetração mais avançada. http://www.kali.org Langner
R (2011) Redes robustas de sistemas de controle. Como conseguir um controle confiável após o Stuxnet.
Momentum Press, Instituto
Nacional de Padrões e Tecnologia de Nova York (2012) Estrutura e roteiro NIST para padrões de
interoperabilidade de redes inteligentes, Versão 2.0. Publicação Especial NIST 1108R2
Salmenperä M, Eerola R, Seppälä J, Koivisto H (2013) Projeto e análise de solução de integração segura
para redes inteligentes. In: Proceedings of Automaatio XX-seminaari, automação e sistemas sem
fronteiras – além do futuro (Helsínquia, 2013). Lei Sarbanes-Oxley da Sociedade
Finlandesa de Automação de 2002. Responsabilidade corporativa. In: 107º Congresso de Direito Público 204.
Acessível em http://www.gpo.gov/fdsys/pkg/PLAW-107publ204/html/PLAW-107publ204. htm
Sterman JD (2000) Dinâmica empresarial. Pensamento sistêmico e modelagem para um mundo complexo.
McGraw-Hill, Nova York
Stevens WP, Myers GJ, Constantine LL (1974) Projeto estruturado. IBM Syst J 13(2):115–139 Yourdon
E, Constantine LL (1979) Design estruturado: fundamentos de uma disciplina de informática
projeto de programas e sistemas. Prentice Hall, Nova Jersey
www.it-ebooks.info
Honeypots especializados para SCADA

Sistemas
Paulo Simões, Tiago Cruz, Jorge Proença and Edmundo Monteiro
Resumo Neste capítulo examinamos o papel dos honeypots especializados para detectar
e traçar perfis de ataques cibernéticos em sistemas de controle industrial baseados em
SCADA, debatemos como implementar tais honeypots e fornecemos um exemplo completo
de tal dispositivo. O conceito de honeypot tem sido usado em sistemas de detecção de
intrusão de uso geral há muito tempo, com contribuições bem reconhecidas na revelação
e análise de ataques cibernéticos. No entanto, uma série de requisitos especializados
associados aos sistemas SCADA dentro dos Sistemas de Controle Industrial em geral não
são atendidos pelos honeypots típicos. Neste artigo discutimos como as diferentes
abordagens à segurança de sistemas de informação típicos e sistemas de controle
industrial levam à necessidade de honeypots SCADA especializados para redes de controle de processos
Com base nessa discussão, propomos uma arquitetura de referência para um honeypot
de rede SCADA, discutimos possíveis estratégias de implementação - com base nas lições
aprendidas com o desenvolvimento de um honeypot Modbus de prova de conceito - e
propomos duas estratégias alternativas de implantação, um baseado em dispositivos de
hardware de baixo custo localizados física e logicamente nas redes de automação ou de
campo e outro baseado em honeypots de rede de campo virtualizados localizados
fisicamente no datacenter e logicamente localizados no campo ou na rede de automação.
P. Simões (&) T. Cruz J. Proença E. Monteiro CISUC-DEI,

University of Coimbra, Coimbra, Portugal e-mail: [email protected]
T. Cruz e-
J. Proença e-
E. Monteiro e-

10.1007/978-3-319-18302- 2_16
www.it-ebooks.info
252 P. Simões et al.
1. Introdução
SCADA (Supervisory Control and Data Acquisition) é uma designação comum para diversas tecnologias,
protocolos e plataformas utilizadas em Sistemas de Controle Industrial (ICS). Os sistemas SCADA são
utilizados em diversos cenários, como automação de linhas de produção, controle de usinas (nucleares,
termelétricas, eólicas), gerenciamento de redes de distribuição (eletricidade, gás, petróleo, água),
controle de tratamento de esgoto. instalações e muitas outras aplicações.
No passado os sistemas SCADA estavam restritos a ambientes isolados, relativamente seguros

contra intrusões externas. Esses sistemas originais eram muito simples por natureza, principalmente
porque não existiam mecanismos formais de processamento de dados ou de memória envolvidos,
sendo pouco mais do que sistemas reativos interligando sensores e indicadores visuais. No entanto,
essa simplicidade era também a sua principal desvantagem, sendo inviável para qualquer utilização que
não fosse em cenários de pequena escala e fisicamente limitados. Além disso, como o registro de
dados era impossível, os recursos de depuração de erros ou falhas eram muito limitados.
Com o tempo, os sistemas SCADA evoluíram para a situação atual, com o uso de topologias
distribuídas, RTUs (Unidades Terminais Remotas), PLCs (Controladores Lógicos Programáveis) e
tecnologias de rede e processamento de dados mais evoluídas, estas últimas substituindo interconexões
de sistemas de telemetria legados. No entanto, alguns dos seus componentes (por exemplo, PLCs) têm
um ciclo de vida que frequentemente se estende por várias décadas (é comum encontrar dispositivos
baseados ou arquiteturas com 20 ou mais anos de utilização). Essa longevidade tem a ver com
maturidade – um recurso favorecido em sistemas críticos, tradicionalmente associado à confiabilidade.
Uma das áreas onde os sistemas SCADA evoluíram consideravelmente é em termos das suas
capacidades de comunicação e interoperabilidade. Embora os sistemas originais fossem isolados e
autónomos por natureza, progressivamente começaram a abrir-se ao mundo exterior, fazendo uso de
redes de comunicação de dados para os seus próprios fins internos e para partilhar informação com o
mundo exterior ou mesmo com outros sistemas.
Estas ligações podem existir por vários motivos: com a Rede Local (LAN) empresarial de uso geral,
para troca de informações com aplicações de auditoria de resultados ou de gestão de stocks; uma
conexão de rede de área ampla (WAN) para conectar-se a outras instalações (por exemplo, duas
estações de energia) ou a um centro de controle de operações, separados por quilômetros de distância.
Tais ligações WAN podem ser asseguradas através de linhas alugadas, dial-up ou, mais recentemente,
da própria Internet (Ten et al.
2008; Davis et al. 2006). Além disso, é frequente que os fabricantes de dispositivos originais forneçam
assistência remota utilizando tais mecanismos.
Além disso, equipamentos e protocolos proprietários também eram a norma em sistemas ICS/
SCADA mais antigos, limitando a interoperabilidade entre dispositivos de diferentes fabricantes (e às
vezes, embora com menos frequência, entre diferentes modelos do mesmo fabricante). Isso criou uma
situação de aprisionamento de fornecedor que forçou o cliente a permanecer vinculado a uma família
específica de dispositivos de um determinado fabricante devido ao custo da migração. Atualmente,
equipamentos e protocolos têm sido
www.it-ebooks.info
Honeypots especializados para sistemas SCADA 253
padronizado, com a adoção de equipamentos COTS (Commercial Off-The-Shelf) sempre que

possível – por exemplo, para comunicação LAN (Igure et al. 2006).
Como consequência da introdução de capacidades de processamento de dados nos
sistemas SCADA, juntamente com a evolução dos sistemas embarcados, os sistemas
operacionais também se tornaram parte do ecossistema SCADA ICS que evoluiu com o tempo.
De sistemas próprios, a situação evoluiu até o ponto em que o Windows ou derivados do Unix
(Creery e Byres 2005) estão sendo usados, juntamente com sistemas operacionais de tempo
real, como VXWorks ou Real-Time Linux (Davis et al. 2006) .
Esta evolução trouxe benefícios significativos aos sistemas SCADA, em termos de
funcionalidade, racionalidade e custo. No entanto, também está intimamente relacionado com
algumas das questões de segurança mais importantes que afetam atualmente esses sistemas,
que ao longo do tempo foram ficando cada vez mais expostos a ambientes mais abertos onde
começaram a mostrar os seus limites. A mudança progressiva para cenários mais abertos,
juntamente com a utilização de Tecnologias de Informação e Comunicação (TIC) e a adoção
crescente de protocolos abertos e documentados, expuseram graves fragilidades de segurança.
Além disso, a tendência crescente para a interligação da rede ICS com infra-estruturas
organizacionais de redes TIC, e mesmo com redes externas (por exemplo, para ligação a
sistemas internos da empresa ou para gestão remota por contratantes externos) criou uma
nova onda de problemas de segurança. e incidentes. Na verdade, existe uma tendência
crescente no número de ataques iniciados externamente a sistemas ICS, quando comparados
com ataques internos (Kang et al. 2011).
Como resultado, a velha prática de segurança pela obscuridade tornou-se inviável. Ainda
assim, o problema da segurança nos sistemas SCADA tem sido mais ou menos ignorado há
vários anos, e mesmo agora persistem problemas sérios. Protocolos inseguros como Modbus
(2006) , por exemplo, ainda são amplamente utilizados em sistemas de produção. Além disso,
como apontado por Clarke e Reynders (2004), novos recursos, como a capacidade de
autoconfiguração de determinados equipamentos (plug-and-play), só pioraram as coisas, uma
vez que os invasores descobriram que era um recurso valioso para o planejamento de ataques. e execução.
No entanto, a mentalidade tradicional ainda persiste até o ponto em que alguns gestores de
processos ainda pensam nos sistemas ICS como isolados e implicitamente seguros, conforme
discutido por Krutz (2006), desconsiderando a necessidade de atualizações regulares de
segurança ou procedimentos de correção de software. e aumentando assim a probabilidade de
ataques bem-sucedidos. Embora tais procedimentos sejam assuntos triviais que fazem parte da
rotina regular de manutenção no mundo das TIC, eles devem ser tratados de forma diferente
quando se trata de ICS, principalmente por dois motivos:
• Diversos trabalhos, como Fovino et al. (2010) e Zhu et al. (2011), identificam um número
significativo de componentes do ICS que precisam funcionar de forma contínua, sem
interrupções, até o ponto de anos de trabalho sem serem reinicializados. A paragem ou
reinicialização destes componentes, mesmo que por curtos períodos de tempo e janelas de
manutenção planeadas, pode provocar aumentos consideráveis de custos nos processos
industriais que gerem. • Os fabricantes
de equipamentos devem testar cuidadosa e extensivamente qualquer versão de software antes
da aceitação formal para uso em plataformas ICS. Adicionalmente,
www.it-ebooks.info
os componentes ainda em uso nas plataformas ICS geralmente chegam ao fim da vida útil para
dispositivos ou estruturas de software específicos.
Para combater as ameaças, os ICS assimilaram diversos métodos, ferramentas e recursos de

segurança do mundo das TIC, como firewalls, Sistemas de Detecção de Intrusão (IDS) e honeypots.
Embora esta abordagem forneça uma maneira econômica de adicionar segurança a um ICS, ela
apresenta problemas adicionais devido a diferenças de contexto (como é o caso de diversas
soluções de firewall que operam com base em suposições não aplicáveis a ambientes ICS). Esta
situação exige o desenvolvimento de mecanismos de cibersegurança específicos de cada domínio
para os ICS, concebidos para cumprir os requisitos operacionais de tais infra-estruturas,
proporcionando ao mesmo tempo uma protecção adequada.
Tal desenvolvimento é um dos principais objetivos do projeto CockpitCI (CockpitCI 2013). Este
projeto europeu centra-se na melhoria da resiliência e fiabilidade das infraestruturas críticas, como
as redes de produção e distribuição de energia, através da deteção automática de ameaças
cibernéticas e da partilha de informações em tempo real sobre ataques entre proprietários de
infraestruturas críticas. Entre os mecanismos de segurança cibernética ICS de domínio específico
que estão sendo pesquisados no âmbito deste projeto, os honeypots SCADA para redes de controle
de processos desempenham um papel importante, fornecendo os meios para prevenir ou detectar
ataques que visam diretamente equipamentos SCADA, como PLCs ou RTU dispositivos, usados
para monitorar e controlar processos industriais. Embora conceitualmente semelhantes aos tipos de
honeypots comumente implantados no mundo das TIC, essas implementações são especificamente
adaptadas para atender às necessidades do ICS.
Seu design difere substancialmente das implementações convencionais de honeypot, em termos de
modelo de operação e componentes de hardware.
Este capítulo aborda os principais aspectos da arquitetura de honeypot de rede SCADA proposta,
incluindo a discussão de opções arquiteturais e aspectos de implementação. O restante do artigo
está organizado da seguinte forma: Seção. 2 aborda o problema de segurança em ICS. A Seção 3
fornece uma análise das implementações existentes de honeypots e outros trabalhos relacionados.
A solução proposta de honeypot de rede SCADA é apresentada na Seção. 4, e as questões
relacionadas com a sua implementação e implantação são discutidas na Seção. 5. As conclusões
finais são apresentadas na Seção. 6, juntamente com alguma discussão sobre trabalhos futuros.
2 Segurança de Sistemas de Controle Industrial
Apesar das aparentes semelhanças, existem várias e significativas diferenças entre os domínios das
TIC e dos ICS no que diz respeito à segurança. Estas diferenças estão profundamente enraizadas
nas suas próprias características específicas.
A razão fundamental para estas diferenças está relacionada com a mentalidade diferente com que
estes sistemas são construídos. Esta mentalidade reflecte-se claramente nas diferentes prioridades dos
sistemas ICS e TIC. A confidencialidade e a segurança têm prioridade máxima para as redes TIC,
seguidas pela integridade das comunicações e, por último, pela disponibilidade. Para sistemas SCADA
e ICS em geral, por outro lado, existe uma
www.it-ebooks.info
inversão de prioridades causada pela sua natureza crítica, conforme observado pela ISA-99 (2007): a
disponibilidade vem em primeiro lugar, mesmo que às custas da integridade e da confidencialidade.
Esta diferença de prioridades, ilustrada na Figura 1, tem um impacto real na escolha e implementação
de mecanismos de segurança. Além disso, impõe um fardo significativo ao importar mecanismos de
segurança do mundo das TIC para o domínio ICS.
Procedimentos que são triviais no mundo das TIC, como a aplicação frequente de patches e
atualizações de um sistema, podem tornar-se difíceis ou mesmo impossíveis em alguns cenários de
ICS, devido a estas diferenças. A impossibilidade ou o alto custo de parar a produção pode ser apontado
como exemplo. Também é comum que os fabricantes do sistema bloqueiem essas atualizações. Um
exemplo simples é o fato de que um operador de instalação crítica não pode instalar uma atualização
em um sistema operacional host como o Windows, a menos que o fabricante do software SCADA o
certifique para a atualização. Isto é lógico, pois podem existir interferências desconhecidas e perigosas
entre a nova versão do Windows e o software SCADA. No entanto, o processo de certificação pode ser
dolorosamente lento, resultando num intervalo de meses ou mesmo anos entre o lançamento de patches
do sistema operativo e a sua adoção por instalações críticas – mesmo quando o sistema operativo
antigo tem vulnerabilidades perigosas amplamente conhecidas. O operador de instalações críticas fica
com o dilema de manter sistemas operacionais que ele sabe com certeza não serem seguros, colocando
efetivamente o sistema ICS em risco ou perdendo a garantia e o suporte do software SCADA (e
arriscando possíveis interferências) ao corrigir o sistema operacional.
Os protocolos de comunicação SCADA, responsáveis pela interação entre os dispositivos de campo

e de rede de automação, como componentes PLC ou RTU e as estações que os controlam e monitoram,
são outro exemplo dessas diferenças entre ICS e TIC. Um desses protocolos é o Modbus (2006),
originalmente desenvolvido pela Modicon (atualmente parte do Grupo Schneider Electric) em 1979 e
ainda é um dos protocolos mais populares para aplicações SCADA, principalmente graças à sua
simplicidade e facilidade de uso. Ainda assim, o Modbus sofre de problemas de segurança bem
conhecidos: a falta de criptografia ou quaisquer outras medidas de segurança do Modbus expõe este
protocolo a diferentes vulnerabilidades (Triangle MicroWorks Inc 2002). Apesar desses problemas
conhecidos, os protocolos SCADA, como o Modbus, têm uma longa vida útil e ainda estão sendo
implantados e usados em massa.
TIC ICS
1 – Confidencialidade 1 – Disponibilidade
2 – Integridade 2 – Integridade
3 - Disponibilidade 3 – Confidencialidade
Figura 1 Prioridades TIC versus ICS (adaptado da ISA-99.00.01 2007)
www.it-ebooks.info
Simplificando, quando se trata de ICS, a tecnologia e a maturidade da plataforma são

valorizadas como um reconhecimento implícito de valor e confiabilidade, e mesmo a divulgação
de questões de segurança relacionadas a eles parece não ter efeito em desencorajar seu uso ou
estimular a adoção de medidas de segurança. para protegê-los. Isto se tornou a causa raiz de
muitos problemas de segurança do ICS que foram explorados com um grau variável de sucesso.
3 O papel dos honeypots nos sistemas SCADA
Esta secção introduz o conceito geral de honeypots de segurança, identifica as várias categorias
de honeypots (assumindo uma perspectiva ampla derivada principalmente de trabalhos anteriores
centrados na área das TIC) e discute as poucas experiências conhecidas de concepção
específica de honeypots para sistemas SCADA ou ICS em geral.
Por definição, um Honeypot é uma isca ou alvo fictício configurado para atrair e detectar ou
observar ataques. Ao ser exposto a sondagens e ataques, seu objetivo é atrair e rastrear intrusos
à medida que avançam. A implantação e execução de uma infraestrutura de honeypot requer
uma abordagem cuidadosa: ela deve ser planejada com antecedência para que a própria
infraestrutura não possa ser usada para aumentar a superfície de ataque, mantendo ao mesmo
tempo um perfil discreto.
Em geral, os honeypots podem ser classificados em dois grupos: honeypots de pesquisa e
honeypots de produção. Os honeypots de pesquisa são usados para obter informações de
inteligência sobre métodos de ataque, geralmente em cenários generalistas, enquanto os
honeypots de produção são usados para proteger explicitamente uma infraestrutura de TIC,
fornecendo aviso prévio de ataques contra a infraestrutura de produção.
Honeypots também podem ser diferenciados pela capacidade do invasor de interagir com
a aplicação ou serviços, conforme discutido por Spitzner (2002):
• Honeypots de alta interação podem ser investigados, atacados e comprometidos. Esses

honeypots permitem que o invasor interaja com o sistema de forma a capturar o máximo de
informações sobre suas técnicas de intrusão e exploração. Consequentemente, estes
honeypots não têm restrições quanto ao que o hacker pode fazer, uma vez que o sistema
está comprometido e, como tal, requerem muito monitoramento próximo e análises detalhadas.
• Honeypots de baixa interação emulam vulnerabilidades em vez de expor fraquezas reais,

restringindo assim a capacidade do invasor de interagir com eles, conforme discutido por
Provos (2004). Usados principalmente como iscas, eles também são menos flexíveis, embora
sejam mais seguros, pois há pouco que o invasor possa fazer. Honeyd (2008) e Nephentes
Baecher et al. (2006) são bons exemplos de honeypots de baixa interação.
Finalmente, os honeypots podem ser classificados como honeypots de servidor ou honeypots de cliente, como
apontado por Riden e Seifert (2010):
www.it-ebooks.info
• Os honeypots de servidor são projetados para esperar passivamente por

ataques. • Honeypots de clientes são capazes de procurar ativamente servidores maliciosos e se
comportar como vítimas, um recurso útil para detectar explorações de navegadores do lado do cliente.
Exemplos de honeypots clientes são Shelia, descrito em (Bos 2009), Honeymonkey (Wang et al.
2006) e CaptureHPC (Hes et al. 2009).
Todas estas categorias de honeypot foram identificadas com base numa perspectiva que, embora
generalista, se baseia maioritariamente na área das TIC. No contexto específico do ICS, também é
necessário considerar o escopo de operação pretendido para o honeypot, uma vez que cada um dos
três tipos de rede que estão presentes em cenários típicos de ICS requer abordagens e tecnologias
diferentes.
Para nossos propósitos, consideramos uma descrição simplificada da infraestrutura do sistema ICS
que compreende níveis de árvore: os dois primeiros são a rede de operações (onde os componentes
de supervisão, como estações mestras ou dispositivos de interface homem-máquina (HMI), e bancos
de dados históricos de processos são— correspondente ao Nível 2 da ISA-95 (2000)) e as redes de
campo (onde são implantados dispositivos básicos de controle e processo, como PLCs e RTUs,
controlando e monitorando um processo crítico - correspondendo ao Nível 1 das recomendações da
ISA-95). Esses dois escopos correspondem aproximadamente aos níveis de rede de controle de
processo no ISA-95 – deve ser mencionado que não há uma distinção entre as redes de automação e
de dispositivos neste diagrama, por uma questão de simplicidade (devido às capacidades evolutivas
do Dispositivos PLC, a distinção entre PLCs e RTUs está de alguma forma desaparecendo, o que
também contribui para fundir de alguma forma as redes de automação e dispositivos em um único
escopo de rede).
Além dos dois primeiros níveis, específicos do controlo de processos, existe também a rede TIC da
organização, composta por outros dispositivos corporativos (postos de trabalho, servidores) e serviços
(como e-mail, contabilidade e gestão de stocks ou ativos).
Na rede de operações, por exemplo, um honeypot de baixa interação pode simular a operação de
um servidor de rede (por exemplo, estação de controle SCADA). Na rede de campo um honeypot pode
ser implementado utilizando um sistema capaz de simular a operação de uma RTU (por exemplo, um
emulador de protocolo SCADA). Finalmente, na rede TIC, honeypots de alta interação podem ser
adequados (mesmo na forma de máquinas virtuais, co-localizadas no mesmo host), bem como
honeypots de baixa interação que simulem serviços mínimos. Além disso, em determinadas
circunstâncias, alguns ataques direcionados ao sistema podem ser redirecionados para o honeypot,
fornecendo assim mais informações sobre o invasor e suas intenções.
A Figura 2 retrata os três níveis distintos da rede e inclui, como exemplo, um honeypot na rede de
campo.
Até onde sabemos, apenas duas iniciativas anteriores se destacam como exemplos de
implementações de honeypots específicos de ICS: o Projeto SCADA Honeynet (Cisco Critical
Infrastructure Assurance Group – CIAG 2004) e os Honeynets SCADA da Digital Bond (Digital Bond
2006).
O Projeto SCADA HoneyNet teve como objetivo a criação de um framework para simular redes
industriais. Começou por volta de 2004, liderado pelo Cisco Critical Infrastructure Assurance Group, e é
capaz de simular vários níveis do sistema:
www.it-ebooks.info
Fig. 2 Níveis de rede distintos do ambiente ICS
• Nível de pilha — para simulação da pilha TCP/IP de um dispositivo. • Nível de

protocolo – para simulação de protocolos industriais específicos, como Modbus,
e Ethernet/IP.
• Nível de aplicação – para simulação de diversas aplicações SCADA, como serviços web e consoles
de gerenciamento. • Hardware – para
simulação de portas seriais e modems presentes em alguns SCADA
dispositivos.
O projeto não é mais mantido, mas o software ainda está disponível para
baixe em (Cisco Critical Infrastructure Assurance Group — CIAG 2004).
Digital Bond é outra abordagem para honeynets SCADA (ou redes honeypot).
Esta solução utiliza pelo menos duas máquinas: uma para monitorizar a actividade da rede (neste caso
específico utilizando um Honeywall Geração III) e outra para simular um PLC com vários serviços
disponibilizados ao atacante (Modbus/TCP, FTP, Telnet, HTTP e SNMP).
A abordagem que agora propomos, descrita na próxima seção, distingue-se dessas duas iniciativas
por apresentar uma solução de baixo custo, modular e altamente configurável e gerenciável para um
honeypot de rede de automação/campo. Ao reduzir os custos dos honeypots e fornecer uma abordagem
flexível e modular para a sua implantação, pretendemos a implantação em larga escala de honeypots
em redes de controle de processos SCADA, transformando-os em dispositivos comuns.
Além disso, ao melhorar a sua capacidade de gestão, pretendemos integrá-los eficazmente nas
plataformas de gestão de segurança já existentes. O honeypot de rede SCADA proposto faz parte de
uma plataforma mais ampla que abrange um sistema de investigação distribuído para detecção de
ataques cibernéticos – que é, por sua vez, um dos blocos de construção da estrutura CockpitCI
(CockpitCI 2013) – mas poderia ser facilmente integrado na maioria das plataformas de gerenciamento
de segurança existentes.
www.it-ebooks.info
4 Arquitetura Proposta do Honeypot da Rede SCADA
O honeypot apresentado neste artigo foi projetado para operar na rede de controle de processos de um
sistema SCADA/ICS, coexistindo com o conjunto existente de PLCs, RTUs e sensores/atuadores que
povoam a rede, vinculando-se aos endereços IP não utilizados da rede. Seu princípio operacional
fundamental baseia-se na suposição de que, ao emular fielmente o comportamento e a pegada de
serviço de um PLC comercial, o honeypot de rede é capaz de persuadir fielmente um invasor de que é
um alvo que vale a pena, agindo como uma isca que relata ativamente qualquer suspeita. atividade,
reportando eventos ao IDS distribuído do ICS, onde serão processados e correlacionados.
O honeypot proposto foi projetado para se comportar e operar como um CLP. Em condições normais,
o honeypot aguarda uma tentativa de conexão de alguém que esteja sondando a rede ou acessando-a
com a intenção de se passar por uma estação mestre. Na prática, qualquer tentativa de contacto com o
dispositivo honeypot pode potencialmente gerar um evento de segurança, uma vez que, por definição,
qualquer actividade no honeypot é ilegal e não autorizada (com a possível excepção de operações de
gestão).
A arquitetura proposta é genérica e compatível com a maioria dos protocolos SCADA. Contudo, o
Modbus foi selecionado como protocolo preferencial a ser suportado no protótipo de prova de conceito
que desenvolvemos, devido a três fatores: padronização, popularidade e por ser baseado numa
especificação aberta, cuja documentação é facilmente obtida. Por esta razão, a partir de agora
mencionaremos especificamente os componentes Modbus, embora esses componentes possam ser
facilmente trocados para adicionar suporte a outros protocolos SCADA.
A arquitetura do honeypot proposto para monitoramento de redes de automação/campo é

apresentada na Figura 3. Esta é uma arquitetura híbrida Modbus honeypot, no sentido de que executa
implementações simuladas e completas de serviços
Fig. 3 Arquitetura de software Rede de campo Gerenciamento

honeypot Modbus Evento
de segurança
Correlacionador
Firewall Plataforma
API Modbus Evento Tx.

Gerenciamento
guarda
Evento
cão
de
&
Varredura de porta
Conjunto
FTPD Redutor
SNMPD Filtro
Pote de mel
Monitor de eventos
Interface de front-end
Pote de mel Modbus
www.it-ebooks.info
comumente disponível em dispositivos PLC. A seguir, descrevemos detalhadamente seus principais

componentes e blocos de construção.
4.1 Interface Front-End do Honeypot
A conexão com a rede de automação/campo é feita através da interface Honeypot Front-End. Dentro
deste bloco existem quatro componentes principais:
• O simulador Modbus API (Modbus API, na Fig. 4), que aceita comandos Modbus e se comporta como
um CLP normal, fornecendo todas as funcionalidades necessárias do protocolo, como acesso a
registradores e operações Modbus. • Um módulo de protocolo de transferência
de arquivos (FTPD), fornecendo um serviço de protocolo de transferência de arquivos (FTP) como os
comumente encontrados em PLCs comerciais. • Um módulo Simple Network
Management Protocol (SNMP) que fornece as interfaces e funcionalidades de gerenciamento de
dispositivos SNMP (Case et al. 1990) encontradas em PLCs (SNMPD). Este módulo e o uso do
SNMP em ambientes SCADA, em geral, serão discutidos mais detalhadamente na Seção. 4.5. •
Um módulo de detecção de Port Scan que é capaz de detectar qualquer
atividade de sondagem nas portas de serviço TCP/IP restantes.
O módulo Modbus API implementa especificamente a variante do protocolo Modbus TCP,

amplamente utilizada em sistemas SCADA. A operação do protocolo é fácil de entender: uma estação
mestre envia comandos (principalmente operações de leitura ou escrita na maioria das situações) para
uma RTU/PLC, que responde a eles. A estação mestre pesquisa e altera regularmente os valores de
registro da RTU/PLC disponível. Como um PLC real, o módulo Modbus API implementa variáveis
(registros) para armazenamento de valores, permitindo que um invasor interaja com ele, sondando e
alterando os valores, com o honeypot respondendo às solicitações do invasor com a resposta
correspondente.
O módulo Modbus API também possui um analisador de mensagens Modbus, para separar os diversos
campos de mensagens para enviá-los ao Event Monitor (descrito abaixo).
Além dos campos de mensagem Modbus (identificador de transação, identificador de protocolo, campo
de comprimento, identificador de unidade, código de função e bytes de dados), este módulo armazena
informações adicionais sobre a interação, como IP de origem e carimbo de data/hora.
O comportamento específico da API Modbus é configurável (e, até certo ponto, programável), a fim
de melhor imitar uma gama mais ampla de dispositivos RTU/PLC reais. Este é um fator importante
para evitar que atacantes mais sofisticados consigam distinguir facilmente os honeypots de dispositivos
reais: se todos os honeypots tivessem o mesmo comportamento predefinido seria possível definir um
“perfil de comportamento” único para os honeypots, comprometendo assim a sua furtividade.
Os módulos FTPD e SNMPD fornecem, respectivamente, serviços de transferência e gerenciamento

de arquivos comumente encontrados em vários CLPs Modbus. Cada módulo possui também um
programa de monitoramento dos logs produzidos por estes serviços. O programa está ciente de
qualquer entrada nos logs e é capaz de relatá-la ao Event Monitor, para posterior
www.it-ebooks.info
análise. Uma discussão mais extensa sobre o papel do módulo SNMP é fornecida na Seção. 4.5.
Para uma melhor cobertura das interações, um módulo Port Scan está incluído na arquitetura. Este
módulo não está diretamente relacionado ao contexto da tecnologia SCADA, sendo capaz de capturar
interações genéricas de rede para detectar a presença de um invasor. Ele escuta as demais portas não
cobertas pelos demais módulos (Modbus API, FTPD e SNMP). Dependendo da configuração utilizada
no honeypot, ele poderá fazer um simples relatório de interação ou, alternativamente, poderá enviar
informações detalhadas ao Event Correlator.
4.2 Monitor de Eventos
As informações obtidas na interface Honeypot Front-End são analisadas pelo Event Monitor. O módulo
está dividido em quatro submódulos:
• Filtrar. •
Redução e agregação de eventos (Redutor). • Montagem
de Eventos. • Transmissão
de eventos (Event Tx).
Qualquer evento passará por todos os submódulos na seguinte sequência: Filtro (1); Redução e
agregação de eventos (2); Montagem de Evento (3); Transmissão de Eventos (4). Os módulos de
redução e agregação de filtros e eventos pré-processam eventos de segurança, otimizando recursos
do sistema (ex. processamento e rede) e contribuindo para aumentar a escalabilidade da solução até
cenários maiores de rede SCADA.
O módulo Filtro é utilizado para filtrar eventos relevantes de acordo com configurações previamente
definidas, os quais são armazenados em um arquivo que é lido quando o módulo é iniciado ou por
solicitação do módulo Gerenciamento e Watchdog. O módulo Filtro pode, por exemplo, descartar
eventos sem interesse. Os eventos relevantes são enviados em seguida para o módulo de redução e
agregação de eventos, que processa os eventos para agregá-los por características semelhantes (por
exemplo, agrupar eventos relacionados).
O módulo Event Assembly é responsável por criar as mensagens dos eventos de segurança,
utilizando um formato padronizado. A estrutura da mensagem de evento é baseada no IDMEF (Intrusion
Detection Message Exchange Format), um formato de dados padrão projetado para Sistemas de
Detecção de Intrusão (Debar et al. 2007). Usar o IDMEF como formato de mensagem padrão pode
aumentar a interoperabilidade do software entre diferentes fornecedores. As mensagens IDMEF são
baseadas em XML, adotando um modelo de dados orientado a objetos onde a classe principal é a
classe IDMEF-Message. Esta classe tem duas subclasses: a classe Alert e a classe Heartbeat. Cada
uma dessas classes de segundo nível abrange diversas classes agregadas que contêm informações
sobre a mensagem (como fontes, classificação e tempo de detecção). IDMEF é um formato amplamente
utilizado, sendo suportado por vários tipos de IDS de host e de rede - portanto
www.it-ebooks.info
suavizando a integração entre os honeypots SCADA propostos e os aplicativos de

detecção de intrusão já existentes.
As mensagens IDMEF devem ser enviadas usando um canal seguro entre o honeypot
(o sensor) e um Correlacionador de Eventos de nível superior que é responsável pelo
processamento e correlação de eventos. A natureza exacta deste nó de processamento
pode variar de caso para caso, assumindo por exemplo a forma de uma aplicação IDS
clássica (o cenário mais provável para a utilização generalizada dos honeypots SCADA)
ou a forma de um motor de correlação especializado e distribuído (como é é o caso, por
exemplo, do projeto CockpitCI). De uma forma ou de outra, esta transmissão segura de
mensagens é garantida pelo módulo Event Tx.
4.3 Gerenciamento e Watchdog do Honeypot
O honeypot contém um módulo Management and Watchdog para gerenciamento remoto.

Este módulo permite que a equipe de segurança modifique as configurações do honeypot
(por exemplo, configuração de módulos como redução e agregação de filtros e eventos;
configuração do comportamento “Modbus”) de um dispositivo autorizado. Esta é a única
conexão autorizada ao honeypot. O módulo watchdog também permite que algumas
ações sejam executadas remotamente, como reiniciar um módulo.
A conexão ao módulo watchdog é protegida por um canal seguro (usando
gerenciamento in-band ou out-of-band) e autenticada em ambas as extremidades, usando
o protocolo Transport Layer Security (TLS). Para os casos em que mesmo o gerenciamento
fora de banda não é uma opção, devido a restrições de segurança, esta comunicação
também pode usar dispositivos de comunicação unidirecionais, como gateways de
segurança unidirecionais Waterfall ou diodos de dados (Waterfall Security Solutions Ltd.
2013), em o preço da funcionalidade reduzida.
4.4 Firewall
Devem ser implementadas medidas de contenção para evitar que o invasor obtenha
acesso ao ICS e transforme o honeypot em um vetor de ataque. O firewall tem um papel
importante nisso, pois deve permitir todas as conexões de entrada para o honeypot, mas
deve negar conexões do honeypot para o sistema restante.
As conexões do honeypot com o invasor são as únicas conexões de saída permitidas.
Deve-se ressaltar que isso é o oposto das configurações típicas de firewall – onde o
interesse geralmente é proteger o nó da rede de ataques externos, ao mesmo tempo em
que confia nas aplicações internas – e esse modelo de operação deve ser totalmente
compreendido pelos operadores do sistema.
www.it-ebooks.info
4.5 Utilização de SNMP em Ambientes SCADA
A importância de incluir um serviço SNMP no honeypot está relacionada com o facto do SNMP
ser amplamente utilizado, em ambientes SCADA, apesar de alguns autores recomendarem
não permitir o tráfego SNMP em redes SCADA, por razões de segurança (Krutz 2006).
Na verdade, o SNMP é amplamente utilizado não apenas para gerenciar os dispositivos

RTU e PLC (a finalidade original do SNMP), mas também, no caso de alguns fabricantes, para
pesquisar informações de processo desses dispositivos de controle – complementando assim
as operações SCADA. A maneira de implementar esse SCADA/SNMP híbrido varia de um
fabricante para outro. Wingpath, por exemplo, usa um conversor Modbus para SNMP
(ModSnmp 2013) que atua como um gateway entre escravos Modbus e um gerenciador SNMP
(ver Fig. 4). Para pesquisar um valor de um determinado PLC o gerenciador SNMP envia um
comando SNMP GET ao servidor ModSnmp. Este servidor então envia uma solicitação Modbus
ao CP, recebe a resposta correspondente e envia uma mensagem GET-RESPONSE ao
gerenciador SNMP. Outras abordagens usam armadilhas SNMP para pesquisar dados de
PLCs (Tsubakimoto 2011)
Moxa também usa SNMP para coletar informações de dispositivos de controle, mas em
vez da abordagem de gateway do Wingpath e (Tsubakimoto 2011), seus dispositivos de
controle são compatíveis com SNMP (Moxa 2009). Esta solução visa pequenas tarefas, como monitorar
Fig. 4 Diagrama Wingpath ModSnmp (adaptado de ModSnmp 2013)
www.it-ebooks.info
sensores ambientais para medir temperatura e umidade, reguladores de energia ou câmeras de vídeo
em salas de servidores.
Por todas estas razões, foi considerado fundamental incluir um agente SNMP completo no
honeypot, a fim de atrair e enganar potenciais atacantes (que muitas vezes usam o SNMP como vetor
de ataque para dispositivos PLC e RTU). Este agente SNMP é capaz de imitar as funcionalidades
esperadas de gerenciamento de dispositivos típicas do SNMP e, se necessário, também pode ser
configurado para fornecer acesso avançado a informações de processos industriais.
5 Notas de implementação e implantação
O honeypot proposto pode ser implantado usando duas abordagens diferentes. A primeira é a utilização
de dispositivos de hardware de baixo custo, localizados física e logicamente em locais estratégicos da
rede de automação/campo. A segunda abordagem corresponde à implantação de honeypots
virtualizados, colocados logicamente na rede de automação/campo, mas fisicamente colocados no
datacenter. Nesta seção também discutimos uma terceira alternativa, baseada em uma abordagem
significativamente diferente para a implementação e implantação do honeypot da rede SCADA.
Embora o conceito básico do honeypot SCADA seja potencialmente eficaz em uma implantação
simples, com o dispositivo sendo colocado na rede de automação ou de campo, monitorando
ativamente os procedimentos de reconhecimento e preparação de ataque para uma tentativa de
intrusão, existem maneiras de melhorar suas capacidades. Eles poderiam ser aprimorados e explorados
ainda mais com a criação de um console de sistema HMI falso (implantado na rede de controle de
processo), configurado para interagir com um conjunto de honeypots de rede de campo/automação -
essa configuração amplia os recursos de detecção de pegada de ataque, ao mesmo tempo que expõe
o honeypot como um alvo interessante para um invasor que comprometa a IHM como um vetor de
intrusão preliminar.
5.1 SCADA Honeypot como um dispositivo de hardware de baixo custo
A arquitetura proposta foi projetada para rodar em um SBC (Single Board Computer), sendo assim
uma solução econômica. No nosso caso específico, a implementação da prova de conceito foi feita
utilizando um SBC Raspberry Pi Foundation (2012) equipado com um System on Chip Broadcom
BCM2835, 512 megabytes de RAM e comunicação Ethernet. O Raspberry Pi executa o sistema
operacional Linux 3.2.27+ armv6l.
A preços atuais, a lista de materiais para a nossa prova de conceito completa é inferior a 50 euros.
A implementação da API Modbus usa duas bibliotecas Python para manipular dados Modbus. O
módulo python responsável pela simulação do protocolo Modbus é baseado na biblioteca Modbus-tk
(2011) . Para análise das mensagens Modbus foi utilizado um módulo baseado na biblioteca Pymodbus
(2011) . As versões do
www.it-ebooks.info
bibliotecas são, respectivamente, modbus-tk-0.4.2 e pymodbus-0.9.0. Os módulos SNMPD e

FTPD são compostos por uma implementação completa do serviço e um script para verificação
de seus logs. O módulo SNMPD executa NET-SNMP (2000) versão 5.4.3, enquanto o módulo
FTPD usa VSFTPd (2011) versão 2.3.5. Além disso, cada módulo inclui um script baseado em
python que analisa logs de serviço em busca de atividades.
Por último, o módulo Port Scan é um programa C codificado usando a biblioteca Libpcap (2010)
e desenvolvido internamente para reduzir o espaço ocupado e os requisitos computacionais.
Havia várias armadilhas potenciais relacionadas ao uso de soluções SBC de baixo custo
como base para o honeypot, incluindo confiabilidade, desempenho e compatibilidade com
regulamentações industriais.
Em relação ao desempenho, os nossos testes experimentais permitem-nos concluir que
soluções SBC como o Raspberry Pi fornecem facilmente recursos mais que suficientes. Isto não
é uma surpresa, uma vez que os dispositivos PLC e RTU que os honeypots imitam normalmente
têm ainda menos recursos computacionais. Apesar do aumento da sobrecarga de processamento
com que os honeypots têm de lidar, o seu tempo de resposta é mais do que adequado (tanto do
ponto de vista do atacante como do ponto de vista do sistema IDS ao qual está conectado).
Em relação à fiabilidade não temos resultados definitivos, mas os nossos testes empíricos
mostram que utilizando componentes de hardware cuidadosamente seleccionados é possível
ter honeypots notavelmente estáveis, funcionando sem interrupção durante pelo menos vários
meses, mesmo quando expostos a condições ambientais menos ideais. Estes testes necessitam
obviamente de ser confirmados por um trabalho de validação mais extenso, mas são, no entanto,
bastante promissores.
Em relação à compatibilidade com as regulamentações industriais, não realizamos uma
pesquisa extensa para cada tipo de indústria que utiliza sistemas SCADA. No entanto, com base
em análises preliminares, a maioria das restrições parece estar relacionada com os componentes
físicos do honeypot e pode ser resolvida através da utilização de fontes de energia e/ou
invólucros compatíveis. As diretivas ATEX para ambientes explosivos (Diretiva 94/9/EC 1994),
por exemplo, podem ser abordadas usando casos compatíveis com COTS ATEX. Esses
gabinetes podem custar várias vezes o preço do hardware base do honeypot, mas a lista final
de materiais ainda é bastante atraente.
5.2 Honeypot SCADA como dispositivos virtualizados
Embora em alguns casos a localização física do honeypot em locais estratégicos da rede de

automação/rede seja relevante do ponto de vista da segurança, em outros casos é suficiente ter
o honeypot localizado logicamente na rede de automação/campo — já que a maioria dos
invasores externos não há como determinar sua localização física. Para essas situações, uma
alternativa interessante aos dispositivos honeypot físicos é o uso de dispositivos honeypots
virtualizados.
Nossa implementação de prova de conceito é totalmente portátil para um ambiente
virtualizado, sendo compatível com a maioria das plataformas de virtualização comerciais. Isso
significa que o operador de infraestrutura crítica é capaz de implantar muitos honeypots virtualizados
www.it-ebooks.info
utilizando um único servidor localizado em seu datacenter, com custos reduzidos. Além disso,
a utilização do ambiente de virtualização permite soluções de rede sofisticadas (tais como
monitorização externa do tráfego de/para o honeypot, encaminhamento avançado de tráfego
não legítimo para o honeypot e proteção avançada do tráfego de gestão entre o honeypot e a
plataforma IDS ).
5.3 Arquitetura Alternativa para um Honeypot de Alta Interação
As duas abordagens anteriores para implantação do honeypot de rede SCADA estão

diretamente alinhadas com a arquitetura proposta e a implementação de prova de conceito
que desenvolvemos. Apresentamos agora uma abordagem alternativa e substancialmente
diferente para o projeto do honeypot.
Esta abordagem envolve o uso de um dispositivo de controle real (PLC) para atuar como
isca para o invasor. Nesta solução o invasor interage com um PLC real – mas não associado
a nenhum processo industrial – e suas interações são encaminhadas para um Sistema de
Detecção de Intrusões (IDS). Como as comunicações do protocolo Modbus não são
criptografadas, as interações podem ser encaminhadas (por exemplo, com um tap Ethernet ou
comutação de espelho de porta) para um adaptador de segurança, cuja finalidade é detectar
e gerar eventos de segurança a serem enviados a um correlacionador (ou, mais genericamente,
um IDS) para análise posterior. Esta arquitetura é ilustrada na Figura 5.
O adaptador de segurança pode ser construído usando uma versão reduzida do dispositivo
honeypot aqui descrito, com apenas captura de tráfego de rede básica e funcionalidade de
processamento de eventos.
Fig. 5 SCADA Honeypot usando um dispositivo físico RTU/PLC
www.it-ebooks.info
Esta solução apresenta vantagens e desvantagens, quando comparada com a solução descrita
anteriormente. A principal vantagem desta solução tem a ver com a utilização de um PLC real e não
simulado. Por utilizar hardware real, é mais difícil para o invasor perceber que está lidando com um
honeypot. Também é mais simples “desenvolver” um honeypot que suporte outros protocolos SCADA
ou imite outros dispositivos PLC comerciais.
No entanto, existem desvantagens ao usar equipamento real para implantar um honeypot Modbus.
Primeiro, o custo total da solução será substancialmente maior, porque requer a aquisição de um PLC
real. Além disso, o custo aumentará com o número de implantações de honeypots. Na solução anterior
é possível simular mais de um CLP em um mesmo hardware. Com esta solução é necessário adquirir
um PLC para cada honeypot implantado. Além disso, com um CLP virtual é possível ajustar
configurações (por exemplo, serviços e protocolos disponíveis, registros de memória) para reproduzir o
comportamento de hardware de diferentes fornecedores, o que é mais difícil, senão impossível, com
equipamentos reais. A complexidade da solução também aumenta (especialmente em um cenário de
múltiplos honeypots), mas o custo é substancialmente menor em comparação com o uso de PLCs reais
para construir automação ou honeypots de rede de campo.
6. Conclusão
Este capítulo apresentou a arquitetura de um honeypot híbrido para redes de controle de processos
SCADA. Ele é capaz de detectar invasores simulando um dispositivo Modbus TCP completo,
incorporando não apenas o protocolo e a lógica do dispositivo de controle, mas também outros serviços,
como serviços SNMP e FTP, comumente encontrados em PLCs e equipamentos RTU disponíveis
comercialmente. Além disso, vai mais longe ao incorporar um módulo Port Scan capaz de monitorar as
restantes portas da rede para detectar ataques ou sondagens adicionais.
Outros pontos fortes deste dispositivo honeypot são os requisitos de hardware de baixo custo e
sua configurabilidade, permitindo aos gestores de segurança ajustar as especificações de
monitoramento através dos diferentes módulos do honeypot. Alternativamente, o honeypot proposto
pode ser virtualizado e instalado no datacenter, com maior flexibilidade e redução de custos de operação.
Apesar de ser uma proposta de valor como um dispositivo independente, as capacidades do

honeypot SCADA proposto podem ser exploradas ao máximo quando implantado dentro de uma
arquitetura de segurança integrada, como a proposta pelo projeto CockpitCI, fornecendo um mecanismo
de investigação de segurança distribuído com detecção de amplo escopo. capacidades.
Agradecimentos Os autores gostariam de agradecer o apoio do projeto CockpitCI (FP7-SEC-2011-1

Projeto 285647) e do projeto iCIS (Intelligent Computing in the Internet of Services— CENTRO-07-0224-
FEDER-002003). Gostaríamos também de agradecer à equipe CockpitCI por seu apoio e colaboração
contínuos.
www.it-ebooks.info
Referências
ANSI/ISA-95.00.01 (2000) Integração do sistema de controle empresarial, parte 1: modelos e terminologia,

UM 2000
Baecher P, Koetter M, Holz T, Dornseif M, Freiling F (2006) A plataforma nepenthes: uma abordagem eficiente para coletar
malware. In: Avanços recentes em detecção de intrusão. Notas de aula em Ciência da Computação, vol 4219, pp 165–
184. Springer, Berlim Bos H (2009) Shelia: um honeypot do lado do cliente
para detecção de ataques. http://www.cs.vu.nl/*herbertb/
misc/shelia/. Acessado em 10 de setembro de 2013
Caso J, Fedor M, Schoffstall M, Davin J (1990) Um protocolo simples de gerenciamento de rede (SNMP),
IETF RFC 1157, maio de 1990
Grupo Cisco Critical Infrastructure Assurance — CIAG (2004) Projeto SCADA HoneyNet, http://
scadahoneynet.sourceforge.net/. Acessado em 10 de setembro de 2013
Clarke G, Reynders D (2004) Protocolos SCADA modernos e práticos: DNP3, 60870.5 e relacionados
sistemas. Tecnologias IDC, Oxford
CockpitCI (2013) Cibersegurança no SCADA: ferramentas de previsão, análise e reação de risco para infraestruturas
críticas, site do projeto FP7 SEC-285647. http://www.CockpitCI.eu/. Acessado em 10 de setembro de 2013
Creery A, Byres E (2005) Cibersegurança industrial para sistemas de energia e redes SCADA. In: Sociedade de aplicações
industriais 52ª conferência anual da indústria química e de petróleo. IEEE, páginas 303–309
Davis CM, Tate JE, Okhravi H, Grier C, Overbye, TJ, Nicol D (2006) Desenvolvimento de ambiente de teste de segurança
cibernética SCADA. In: NAPS 2006. 38º Simpósio de Energia Norte-Americano. IEEE, páginas 483–488, doi:10.1109/
NAPS.2006.359615
Debar H, Curry D, Feinstein B (2007) Rfc 4765: O formato de troca de mensagens de detecção de intrusão (IDMEF), março
de 2007. http://www.ietf.org/rfc/rfc4765.txt. Acessado em 10 de setembro de 2013 Digital Bond (2006)
SCADA honeynet. http://www.digitalbond.com/tools/scada-honeynet/.
Acessado em 10 de setembro de 2013
Diretiva 94/9/CE (1994) Equipamentos e sistemas de proteção destinados ao uso em ambientes potencialmente
atmosferas explosivas (ATEX)
Fovino IN, Coletta A, Masera M (2010) Taxonomia de soluções de segurança para o setor SCADA.
Projeto ESCORTS Entregável 2.2, Versão 1.1
Hes R, Komisarczuk P, Steenson R, Seifert C (2009) A arquitetura do cliente Capture-HPC.
Relatório técnico, Victoria University of Wellington
Honeyd (2008) Desenvolvimentos do honeypot virtual honeyd. http://www.honeyd.org/. Acessado
10 de setembro de 2013
Igure V, Laughter S, Williams R (2006) Problemas de segurança em redes SCADA. Comput Secur 25 (7):498–506.
doi:10.1016/j.cose.2006.03.001 ISA-99.00.01 (2007)
Segurança para sistemas de automação e controle industrial – parte 1: terminologia, conceitos e modelos. American National
Standard, Research Triangle Park Kang DJ, Lee JJ, Kim BH, Hur D (2011) Proposta de estratégias
de gerenciamento de chaves para criptografia de dados em redes SCADA de sistemas de energia elétrica. Int J Electr Power
Energy Syst 33 (9):1521–1526
Krutz RL (2006) Protegendo sistemas scada. Wiley, Indianápolis Libpcap (2010)

Repositório público TCPDUMP/LIBPCAP. http://www.tcpdump.org/. Acessado 10
Setembro de 2013
Modbus (2006) Especificação do protocolo de aplicação Modbus V1.1b. http://www.modbus.org/specs. php. Acessado em 10
de setembro de 2013 Modbus-tk
(2011) Implementação do protocolo Modbus na linguagem de programação Python. http://code.google.com/p/modbus-tk/.
Acessado em 10 de setembro de 2013 ModSnmp (2013) ModSnmp: conversor
Modbus-SNMP. Desenvolvimento de software Wingpath. http://
wingpath.co.uk/modbus/modsnmp.php. Acessado em 15 de setembro de 2013
www.it-ebooks.info
Moxa (2009) Por que não podemos ser amigos: monitorando a sala do servidor introduzindo o Modbus para
SNMP. Moxa Americas Inc, Livro Branco da Moxa Net-
SNMP (2000) Net-SNMP. http://www.net-snmp.org/. Acessado em 10 de setembro de 2013 Provos N
(2004) Uma estrutura de honeypot virtual. In: Anais da 13ª conferência sobre simpósio de segurança USENIX —
(SSYM'04), vol 13. USENIX Association, Berkeley, p 1 Pymodbus (2011) Uma pilha de protocolo Modbus em
python. http://code.google.com/p/pymodbus/.
Acessado em 10 de setembro de 2013
Fundação Raspberry Pi (2012) O que é Raspberry Pi? http://www.raspberrypi.org/. Acessado 10

Setembro de 2013
Riden J, Seifert C (2010) Um guia para diferentes tipos de honeypots. Conexão Symantec. http://www. symantec.com/
connect/articles/guide-fferent-kinds-honeypots. Acessado em 10 de setembro de 2013
Spitzner L (2002) Honeypots: rastreando hackers. Addison-Wesley, Boston Ten C, Liu C,
Manimaran G (2008) Avaliação de vulnerabilidade de segurança cibernética para sistemas SCADA. IEEE Trans Power
Syst 23(4):1836–1846. doi:10.1109/TPWRS.2008.2002298 Triangle MicroWorks Inc (2002) Visão geral do
DNP3, Raleigh, Carolina do Norte. http://www. Trianglemicroworks.com/documents/DNP3_Overview.pdf. Acessado em
10 de setembro de 2013 Tsubakimoto (2011) Módulo de agente SNMP para fabricante de monitores
tsubaki mitaro 32. http://
tsubakimoto.com/press/20110221.html. Acessado em 15 de setembro de 2013
VSFTPd (2011) Vsftpd — servidor FTP seguro e rápido para sistemas do tipo UNIX. https://security.appspot. com/
vsftpd.html. Acessado em 10 de setembro de 2013
Wang Y, Beck D, Jiang X, Roussev R, Verbowski C, Chen S, King ST (2006) Patrulha automatizada da web com strider
honeymonkeys: encontrando sites que exploram vulnerabilidades do navegador. Em: NDSS
Waterfall Security Solutions Ltd. (2013) Cachoeira unidirecional. http://www.waterfall-security.com/category/products/

scada-protocols/ . Acessado em 10 de setembro de 2013 Zhu B, Joseph
A, Sastry S (2011) Uma taxonomia de ataques cibernéticos em sistemas SCADA. In: Anais da conferência internacional
de 2011 sobre internet das coisas e 4ª conferência internacional sobre computação cibernética, física e social
(ITHINGSCPSCOM '11). Sociedade de Computação IEEE, Washington, pp 380–388
www.it-ebooks.info

Cyber - Security .Analytics - Technology.and - Automation

Enviado por

Direitos autorais:

Formatos disponíveis

Cyber - Security .Analytics - Technology.and - Automation

Enviado por

Dados do documento

Título original

Direitos autorais

Formatos disponíveis

Compartilhar este documento

Compartilhar ou incorporar documento

Opções de compartilhamento

Você considera este documento útil?

Este conteúdo é inapropriado?

Direitos autorais:

Formatos disponíveis

Cyber - Security .Analytics - Technology.and - Automation

Enviado por

Direitos autorais:

Formatos disponíveis

Machine Translated by Google

Sistemas Inteligentes, Controle e Automação:

Sistemas Inteligentes, Controle e Automação:

SG Tzafestas, Atenas, Grécia

Conselho Consultivo Editorial

P. Antsaklis, Notre Dame, IN, EUA P.

Mais informações sobre esta série em http://www.springer.com/series/6259

Martti Lehto • Pekka Neittaanmäki

Segurança cibernética: análise,

ISSN 2213-8986 ISSN 2213-8994 (eletrônico)

Número de controle da Biblioteca do Congresso: 2015938724

Springer Cham Heidelberg Nova York Dordrecht Londres © Springer

Impresso em papel sem ácido

O ciberespaço global é constituído por redes de informação complexas e multicamadas que

Jyväskylä Pekka Neittaanmäki

Parte I O mundo cibernético hoje

Fenômenos no mundo cibernético ............................ 3

O mundo cibernético como sistema social . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31

Cidadãos no Mundo Cibernético – Despachos da “Clínica” Virtual . . . . . 45

Poderes e direitos fundamentais em segurança cibernética. . . . . . . . . . . . . . . 63

Parte II Ameaças, Legalidade e Estratégia à Segurança Cibernética

Codificador, Hacker, Soldado, Espião. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 73

Decepção no mundo cibernético . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 97

Marco Legal da Segurança Cibernética. . . . . . . . . . . . . . . . . . . . . . . . . . 109

Estratégia e implementação finlandesa de segurança cibernética . . . . . . . . . . . . . 129

Parte III Tecnologia de Segurança Cibernética

Classificação de protocolo baseada em cluster

Ataques de tempo e canal lateral . . . . . . . . . . . . . . . . . . . . . . . . . . . 183

Descoberta de conhecimento a partir de registros de rede . . . . . . . . . . . . . . . . . . . . . 195

Computação confiável e DRM . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 205

Parte IV Segurança Cibernética e Automação

Segurança Cibernética e Proteção de Sistemas ICS:

Rumo à automação confiável. . . . . . . . . . . . . . . . . . . . . . . . . . . . 229

Honeypots especializados para sistemas SCADA . . . . . . . . . . . . . . . . . . . . 251

Fenômenos no mundo cibernético

1 O que significa 'cibernético'?

O prefixo cibernético é frequentemente visto em conjunto com computadores e robôs.

© Springer International Publishing Switzerland 2015 M. Lehto 3

Neuromante (Gibson 1984). A literatura e os filmes de ficção científica retratam o ciberespaço

• Mundo cibernético: a presença da existência humana pós-moderna na Terra. • Espaço

• Cultura cibernética: a totalidade dos aspectos mentais e físicos relacionados ao ciberespaço

A estratégia canadense de segurança cibernética começa com a definição de ciberespaço: “O

A estratégia de segurança cibernética da Finlândia afirma sucintamente: “Domínio cibernético

Na estratégia de segurança cibernética da Alemanha “O ciberespaço é o espaço virtual de todos

Fenômenos no mundo cibernético 5

Figura 1 As cinco camadas do mundo cibernético

os usuários usam na rede. A camada cognitiva retrata o ambiente de conscientização da informação

Fenômenos no mundo cibernético 7

2 fatores de mudança no mundo cibernético

O tempo, os dados, a rede e a inteligência impulsionaram mudanças no mundo cibernético.

A utilização da tecnologia da informação cresceu exponencialmente e tornou-se um elemento

3 Ameaças e Vulnerabilidades Cibernéticas

3.1 Ameaças Cibernéticas

• Desastres naturais (por exemplo, terramoto, tsunami, erupção vulcânica, inundação). •

As ameaças económicas incluem:

• Profunda depressão nacional. •

As ameaças no ciberespaço podem ser classificadas de várias maneiras. O cenário de ameaças é

Fenômenos no mundo cibernético 9

Um dos modelos de ameaça comuns é uma classificação quíntupla baseada em factores