OUCH! | Janeiro de 2013 - SANS Securing the Human

1
2
OUCH! | Janeiro de 2013
Nesta edição
• O que é Java?
• Riscos do Java
• Melhores defesas Java
EDITOR CONVIDADO
Arrigo Triulzi é o editor convidado desta edição.
Ele é
Environment) instalado no seu computador.
Nesta edição
consultor independente e trabalha em Genebra, Suíça, onde
vamos explicar os perigos de ter Java instalado no seu
tem mais de 25 anos de experiência.
computador e o que pode ser feito para protegê-lo.
Nota:
Javascript e Java são duas coisas totalmente diferentes. Esta
edição se aplica apenas ao Java.
VISÃO GERAL
Software é o programa ou aplicação que você instala ou usa
no seu computador todo dia.
Exemplos incluem seu
QUAIS SÃO OS RISCOS ?
navegador web, seu processador de textos, seu cliente de
Um método comum que atacantes cibernéticos usam para
email, jogos e visualizadores de filmes. O problema com a
hackear computadores é desenvolver programas especiais
maioria dos softwares é que são feitos para executarem
para explorar fraquezas nos softwares do seu computador.
apenas em computadores específicos. Por exemplo, software
Essas fraquezas são geralmente específicas de um tipo de
escrito para Microsoft Windows pode ser executado somente
computador.
em computadores com Microsoft Windows, eles não podem
desenvolvidas para atacar computadores com Microsoft
rodar em um computador Mac da Apple. O mesmo se aplica
Windows funcionam apenas para o Microsoft Windows. Essas
aos softwares escritos para Mac, eles só rodam em
ferramentas não funcionam em qualquer outro tipo de
computadores Mac.
computador como Apple Mac, ou vice versa. Isso limita quem
Isso significa que as ferramentas de ataque
eles podem atacar e como.
Java é diferente.
É uma linguagem de computador que
permite aos programadores escrever software que pode ser
Java é diferente.
executado em computadores com Microsoft Windows e
quase qualquer computador, criminosos cibernéticos podem
computadores Apple Mac.
Para permitir que programas
criar ferramentas de ataque que podem potencialmente
desenvolvidos em Java rodem no seu computador, é
hackear qualquer computador no mundo, desde que ele tenha
necessário ter o Java (também chamado Java Runtime
Java instalado.
© The SANS Institute 2013
Devido ao seu conceito de funcionar em
Isso faz das fraquezas do Java um alvo
http://www.securingthehuman.org
4
3
OUCH! | Janeiro de 2013
Java
atraente
para
atacantes,
pois
podem
hackear
mais
computadores com menos esforço. Além disso, o Java é
complexo, o que significa que pode ter muitas fraquezas. E
finalmente, muitas pessoas nem sequer sabem o que é Java
ou se ele está instalado. Por isso, Java se tornou um alvo
popular para os criminosos cibernéticos.
MELHOR DEFESA
Finalmente, a melhor defesa é simples: se você não está
usando nenhum programa ou aplicação que precise do
Java, então simplesmente não instale-o no computador.
Somente instale o Java se precisar realmente dele. Se
Java é um software que pode
lhe expor a um risco adicional.
Se você não precisa do Java,
não instale. Se precisa,
sempre utilize a última versão.
você não tiver certeza se tem Java instalado no seu
computador,
há
uma
maneira
fácil
de
verificar.
Simplesmente vá ao website do Java, informado abaixo,
para verificar se tem ele instalado.
Certifique-se de
apenas verificar se ele está instalado e não instale-o.
http://www.java.com/en/download/installed.jsp
Se descobrir que tem Java instalado mas não precisa mais
dele, desinstale-o do seu computador.
verificar a versão do Java no seu computador, clique no ícone
Java no Painel de Controle e certifique-se de ter a última
SE PRECISA
versão instalada e que ela está configurada para atualização
automática. Se você não tiver a última versão, certifique-se de
Se você realmente precisa do Java, há várias coisas que
atualizá-la através do Painel de Controle.
pode fazer para se proteger.
Para usuários de computadores Apple, as opções para Java
1. MANTENHA-O ATUALIZADO:
são mais complexas.
Em um esforço para proteger seus
Certifique-se de ter sempre a última versão do Java instalado
usuários, a Apple distribui e atualiza sua própria versão do
no seu computador. Versões antigas ou desatualizadas têm
Java, baseado no Java 1.6. Então, desde que você mantenha
muitas vulnerabilidades conhecidas, tornando simples para
seu sistema operacional atualizado, também manterá essa
criminosos
computador.
versão do Java atualizada. Usuários Apple podem atualizar
Adicionalmente, versões futuras do Java podem conter
seus computadores para o Java 1.7 fazendo o download no
recursos adicionais de segurança. Manter o Java atualizado
website do Java, porém, nesse caso, você terá que manter e
cibernéticos
hackear
seu
é relativamente simples para computadores Windows. Para
© The SANS Institute 2013
v atualizá-lo por conta própria.
http://www.securingthehuman.org
6
5
OUCH! | Janeiro de 2013
Java
2. DESABILITE O PLUGIN DO NAVEGADOR:
Desabilitando o plugin Java do navegador de Internet (em Inglês):
http://preview.tinyurl.com/cwptsxv
Uma das formas mais comuns pela qual atacantes cibernéticos
hackeiam o Java é através do seu navegador de Internet. Se
Desabilitando o plugin Java do navegador de Internet:
você tem o Java instalado, seu navegador terá o que é chamado
http://g1.globo.com/tecnologia/noticia/2011/08/pacotao-de-
Plugin Java, que permite ao navegador utilizar o Java. Quando
seguranca-desative-o-java-para-ficar-mais-seguro-na-web.html
você acessa um website malicioso, seu computador poderá ser
hackeado através do seu plugin Java. No entanto, muito poucos
Verificador de segurança para o Navegador de Internet (em Inglês):
websites requerem Java para funcionar, então em muitos casos
http://browsercheck.qualys.com
você pode desabilitar seguramente o plugin Java.
Como
desabilitar o plugin depende do tipo de navegador que você tem.
CERT.br – Glossário de segurança:
Muitos navegadores têm uma opção de ajustes ou preferências
http://cartilha.cert.br/glossario/
onde você pode desabilitar seu plugin Java. Adicionalmente,
versões mais recentes do Java permitem desabilitar plugins Java
Dica de segurança SANS do Dia (em Inglês):
pelo Painel de Controle. Se você encontrar um website que
http://preview.tinyurl.com/6s2wrkp
precise do Java para funcionar, você poderá então habilitá-lo
para aquele website apenas. E desabilitá-lo quando terminar.
SAIBA MAIS
Assine a publicação mensal OUCH! de sensibilização de
RECURSOS
segurança, acesse os arquivos OUCH! e aprenda mais sobre
Alguns dos links abaixo foram abreviados para melhorar a
as soluções de sensibilização de segurança do SANS nos
leitura utilizando o serviço TinyURL. Para reduzir riscos de
visitando em http://www.securingthehuman.org.
segurança, o OUCH! Sempre usa o recurso de prévisualização do TinyURL, que mostra o destino final do link e
VERSÃO BRASILEIRA
sempre pede sua permissão para prosseguir.
Traduzida por:
O que é Java ? :
Homero Palheta Michelini, Arquiteto de T/I, especialista em
http://java.com/pt_BR/download/faq/whatis_java.xml
Segurança da Informação - twitter.com/homerop
Marcello Belloni Gomes, Arquiteto de Segurança de TI -
Desinstalando o Java no Windows:
twitter.com/marcellobelloni
http://www.java.com/pt_BR/download/uninstall.jsp
Michel Girardias, Analista de Segurança da Informação Desinstalando o Java 7 no Mac:
twitter.com/michelgirardias
https://www.java.com/pt_BR/download/help/mac_uninstall_java.xml
Marta Visser – Tradutora autônoma
OUCH! É publicado pelo programa “SANS SecuringtheHuman” e distribuído sob o licenciamento Creative Commons BY-­‐NC-­‐ND 3.0 license.A distribuição desta publicação é permitida desde que sua origem seja informada, seu conteúdo não seja modificado e não seja utilizada para fins comerciais. Para tradução ou outras informações, [email protected]. Time Editorial: Bill Wyman, Walt Scrivens, Phil Hoffman, Lance Spitzner © The SANS Institute 2013
http://www.securingthehuman.org