Certificados Digitais e PKI (X.509, CA, AC Raiz)
1. Definicao
Certificados Digitais e PKI (X.509, CA, AC Raiz) e um conceito da area de seguranca de redes de computadores, dentro do contexto de Criptografia e Chaves. A seguranca de redes e uma disciplina critica que protege a infraestrutura contra ameacas internas e externas, garantindo a Tríade CIA (Confidencialidade, Integridade, Disponibilidade).
2. Tríade CIA
| Propriedade |
Mecanismos |
Ameacas |
| Confidencialidade |
Criptografia, RBAC |
Eavesdropping, data leak |
| Integridade |
Hash, HMAC, assinatura |
Tampering, replay |
| Disponibilidade |
Redundancia, backup, DDoS protection |
DoS, ransomware |
3. Princípios de Seguranca
- Least Privilege: Privilegios minimos necessarios.
- Defense in Depth: Multiplas camadas de controles.
- Zero Trust: "Never trust, always verify."
- Fail Secure: Default deny em caso de falha.
- Open Design: Seguranca nao depende de obscuridade.
- Separation of Duties: Funcoes criticas divididas.
4. Ameacas
| Categoria |
Exemplos |
Mitigacao |
| Ataques passivos |
Sniffing, eavesdropping |
Criptografia |
| Ataques ativos |
Spoofing, MITM, DoS/DDoS |
Firewalls, IPS |
| Engenharia social |
Phishing, pretexting |
Treinamento, MFA |
| Malware |
Virus, worm, trojan, ransomware |
EDR, patching |
| Insider threat |
Data leak, sabotage |
DLP, audit |
5. Mecanismos de Defesa
Controle de Perimetro
| Mecanismo |
Camada |
Aplicacao |
| Firewall stateful |
L3-L4 |
Borda de rede |
| NGFW |
L3-L7 |
App-aware, IPS |
| DMZ |
L3 |
Isolar servidores publicos |
| NAT/PAT |
L3-L4 |
Ocultar rede interna |
Deteccao e Prevencao
| Mecanismo |
Funcao |
Exemplos |
| IDS/IPS |
Detectar/bloquear |
Snort, Suricata |
| Honeypot |
Atrair atacantes |
TrapX, Attivo |
| EDR |
Endpoint protection |
CrowdStrike, Defender |
| SIEM |
Correlacao de logs |
Splunk, QRadar |
| SOAR |
Automacao de resposta |
Cortex XSOAR |
6. Criptografia
| Tipo |
Algoritmos |
Aplicacao |
| Simetrica |
AES-128/256, ChaCha20 |
Dados em repouso/transito |
| Assimetrica |
RSA, ECC, DH |
Chaves, assinatura |
| Hash |
SHA-256, SHA-3 |
Integridade |
| HMAC |
HMAC-SHA-256 |
Autenticacao |
| Assinatura |
RSA-PSS, Ed25519 |
Non-repudiation |
7. VPN
| Protocolo |
Camada |
Performance |
| IPsec |
L3 (ESP) |
Alta |
| TLS/SSL |
L4-L7 |
Media |
| WireGuard |
L3 (UDP) |
Muito alta |
| L2TP |
L2 |
Media |
8. TLS 1.3
TLS 1.3 (RFC 8446, 2018):
- Apenas AEAD (AES-GCM, ChaCha20-Poly1305).
- Handshake 1-RTT (vs 2-RTT em TLS 1.2).
- 0-RTT para sessoes retomadas.
- Forward secrecy obrigatorio.
- Removido: RSA key transport, CBC mode, RC4, MD5, SHA-1.
9. Frameworks
| Framework |
Escopo |
Aplicacao |
| ISO 27001 |
ISMS |
Certificavel |
| NIST CSF |
5 funcoes |
Identify, Protect, Detect, Respond, Recover |
| PCI-DSS |
Cartoes |
Obrigatorio para pagamentos |
| LGPD/GDPR |
Dados pessoais |
Brasil/Europa |
| SOC 2 |
Trust criteria |
SaaS |
| CIS Controls |
18 controles |
Hardening |
10. Resposta a Incidentes
Ciclo NIST SP 800-61
- Preparation: Politica de IR, CSIRT, ferramentas.
- Detection & Analysis: SIEM/EDR, triagem.
- Containment: Isolar host (EDR quarantine).
- Eradication: Remover malware, reset credenciais.
- Recovery: Restaurar de backup.
- Post-Incident: Lessons learned, metricas (MTTD, MTTR).
Severidade
| SEV |
Descricao |
Resposta |
| SEV-1 |
Critico, servico down |
Imediata 24/7 |
| SEV-2 |
Alto, degradado |
< 4h |
| SEV-3 |
Medio, anomalia |
< 24h |
| SEV-4 |
Baixo |
< 72h |
11. Boas Praticas
- Default deny: Bloquear tudo, permitir o necessario.
- MFA obrigatorio: Para todo acesso administrativo.
- Patch management: SLA < 72h para criticos.
- Backup 3-2-1: 3 copias, 2 meios, 1 off-site.
- Segmentacao: VLANs, microsegmentacao.
- Logs centralizados: SIEM com retencao 1+ ano.
- Tabletop exercises: Simulacao anual.
- Threat intelligence: Feed de IOCs.
- Zero Trust: Identity-based, microsegmentacao.
- Compliance: ISO 27001, PCI-DSS, LGPD.