Sebenta · Agir de forma cibersegura (UC00204)

Introdução

Esta sebenta ensina a avaliar ameaças cibernéticas e a proteger informação e dispositivos contra elas, as duas realizações centrais desta UC. Não é uma disciplina só de computadores: é uma disciplina de risco operacional aplicado ao mundo digital, tão relevante para um técnico militar naval como para um técnico militar aeroespacial.

Todos os dias aparecem novas ameaças e novas medidas de proteção. Por isso o primeiro critério de desempenho da UC é manter-se atualizado; o segundo é saber mapear cada ameaça à sua medida de proteção; o terceiro é respeitar os normativos legais e técnicos que enquadram tudo isto, dos regulamentos internos à lei portuguesa e europeia.

Objetivos de aprendizagem (referencial): caraterizar as ameaças cibernéticas e os fundamentos da cibersegurança; reconhecer o perfil e a motivação dos ataques cibernéticos; caraterizar técnicas de distribuição de ameaças; instalar e atualizar programas e software antivírus; efetuar a atualização de sistemas operativos; criar senhas de acesso fortes e autenticação de dois fatores; utilizar redes seguras; realizar e armazenar cópias de segurança de dados em locais seguros; interpretar regulamentos, normativos, manuais, guiões e tutoriais técnicos.

O percurso segue a lógica do próprio referencial: primeiro conhecer o inimigo (as ameaças e quem as usa), depois construir a defesa (as medidas concretas de proteção), e por fim situar tudo dentro das regras que o enquadram.

1. O panorama das ameaças cibernéticas

Uma ameaça cibernética é qualquer ação, ferramenta ou agente capaz de comprometer a confidencialidade, a integridade ou a disponibilidade de informação e de dispositivos. O referencial desta UC identifica, entre outras, as botnets, a ciberespionagem, as armas cibernéticas, os ataques a internet banking e o mobile malware.

Botnets

Uma botnet é uma rede de dispositivos infetados (computadores, routers, câmaras, telemóveis) controlados à distância por um atacante, sem que os donos saibam. Cada dispositivo infetado chama-se bot ou zombie. O controlador usa a botnet para enviar spam em massa, lançar ataques de negação de serviço (sobrecarregar um servidor com pedidos até o derrubar) ou minerar criptomoeda à custa do processador alheio.

Uma botnet pode ter desde algumas centenas até milhões de dispositivos. O dono de um computador infetado normalmente não nota nada de anormal, além de talvez o dispositivo ficar mais lento ou a ventoinha trabalhar mais.

Ciberespionagem

A ciberespionagem é a recolha secreta e prolongada de informação sensível, civil, empresarial ou militar, através de meios informáticos. Ao contrário de um ataque rápido, o objetivo é permanecer invisível o máximo de tempo possível, para continuar a recolher informação.

Em contexto de defesa, a ciberespionagem pode visar planos operacionais, comunicações, especificações técnicas de equipamento ou a própria estrutura de uma rede militar.

Armas cibernéticas

Uma arma cibernética é código desenhado especificamente para atacar um sistema ou uma infraestrutura, com um efeito equivalente a uma ação militar convencional: interromper, danificar ou destruir. Diferem do malware comum porque são feitas à medida de um alvo concreto, muitas vezes com recursos e tempo de desenvolvimento consideráveis.

2. Banca online e malware móvel

Ataques ao internet banking

O internet banking é um alvo preferencial porque liga diretamente a dinheiro. As técnicas mais frequentes:

Exemplo resolvido · Reconhecer uma fraude bancária

Um militar recebe uma mensagem SMS: "O seu acesso ao homebanking foi suspenso. Confirme os seus dados em [link]." O link leva a uma página muito parecida com a do banco, a pedir número de conta, senha e o código de confirmação.

Resolução: trata-se de phishing bancário. Três sinais dão-no: (1) o banco nunca pede a senha completa nem o código de confirmação por SMS ou email; (2) a urgência artificial ("suspenso") é uma técnica clássica de manipulação; (3) o endereço do link, examinado com atenção, não corresponde ao domínio oficial do banco. A ação correta é não clicar, apagar a mensagem e, em caso de dúvida, contactar o banco por um canal já conhecido (aplicação oficial ou número de telefone impresso no cartão).

Mobile malware

O mobile malware é software malicioso feito especificamente para telemóveis e tablets, cada vez mais visado porque concentra email, banca, autenticação e localização num único dispositivo, muitas vezes menos protegido do que um computador. Chega sobretudo por aplicações instaladas fora das lojas oficiais, links em SMS e anexos.

Sinais de alerta num dispositivo móvel: bateria a esgotar-se de forma anormalmente rápida, aparecimento de aplicações desconhecidas, consumo de dados fora do padrão habitual e lentidão súbita.

3. O mercado negro da internet

O mercado negro da internet é o conjunto de espaços online, muitas vezes acessíveis apenas através de redes anónimas, onde se compram e vendem produtos e serviços ligados à cibercriminalidade: dados roubados, malware pronto a usar, e serviços como o aluguer de botnets ou ataques por encomenda.

Este mercado profissionalizou o cibercrime: já não é preciso saber programar para atacar um alvo, basta ter dinheiro para comprar a ferramenta e, em muitos casos, o próprio suporte técnico do vendedor.

Fugas de dados e reutilização de senhas

Grande parte do que circula neste mercado tem origem em fugas de dados de empresas e serviços online, muitas vezes com milhões de registos de uma só vez. O problema agrava-se porque muitas pessoas reutilizam a mesma senha em vários serviços: uma única fuga passa a comprometer todas as contas onde essa senha foi usada.

4. Spam e phishing

Spam

Spam é correio eletrónico não solicitado, enviado em massa. Nem todo é malicioso: parte é apenas publicidade indesejada. Mas o spam continua a ser o veículo mais comum de ataques, porque basta chegar a uma pequena fração dos milhões de destinatários para o ataque compensar. Um filtro de spam reduz o volume, mas nunca é perfeito, e uma mensagem que passa pelo filtro não está, por isso, garantidamente segura.

Phishing

Phishing é uma mensagem fraudulenta que se faz passar por uma entidade de confiança (banco, serviço público, superior hierárquico, colega) para obter dados sensíveis ou levar a uma ação perigosa. Distinguem-se dois níveis:

• Phishing genérico: enviado em massa, com pouca ou nenhuma personalização.
• Spear phishing: dirigido a uma pessoa ou organização concreta, com informação recolhida previamente para tornar a mensagem mais credível. Em contexto militar, o spear phishing pode visar diretamente uma unidade, um posto ou um projeto específico.

Erros comuns ao reconhecer phishing

• Confiar no nome apresentado do remetente, em vez de verificar o endereço completo.
• Ceder à urgência artificial ("a sua conta será bloqueada em 24 horas").
• Clicar num link antes de verificar para onde aponta de facto.
• Assumir que uma mensagem bem escrita, sem erros óbvios, é automaticamente legítima.

5. Classes de malware

O referencial desta UC identifica cinco classes populares de malware, cada uma com um objetivo e um alvo próprios:

Exemplo resolvido · Identificar a classe de malware

Um computador de um gabinete administrativo fica com todos os ficheiros da rede local ilegíveis, com a extensão trocada, e surge uma mensagem a pedir pagamento em criptomoeda para os "libertar".

Resolução: trata-se de um ransomware, a classe "ransoms" do referencial. A ação correta é isolar imediatamente o computador da rede (para travar a propagação a outros dispositivos), não pagar o resgate (não há garantia de recuperação e financia-se o atacante), reportar o incidente pelo canal apropriado e recuperar os dados a partir de uma cópia de segurança anterior ao ataque, se existir.

6. Técnicas de distribuição de ameaças e engenharia social

Conhecer as técnicas de distribuição é a base para as bloquear. As mais comuns:

• Anexos de email disfarçados de fatura, currículo ou documento oficial.
• Links maliciosos em mensagens, redes sociais ou anúncios.
• Dispositivos USB infetados, deixados propositadamente ou partilhados sem verificação prévia.
• Software pirateado ou descarregado fora de fontes oficiais.
• Exploração de falhas de software não corrigidas, sem qualquer ação do utilizador.

A engenharia social é a manipulação psicológica que leva alguém a agir contra a própria segurança, sem depender de nenhuma falha técnica: fazer-se passar por colega, superior ou técnico de suporte; criar urgência ou medo; explorar a curiosidade (um USB "perdido" no corredor, um anexo intrigante).

7. Armas cibernéticas avançadas: APT e ameaças industriais

Ameaças avançadas persistentes (APT)

Uma APT (Advanced Persistent Threat) é um ataque prolongado e discreto, conduzido geralmente por grupos organizados ou apoiados por estados, com um objetivo específico. Três caraterísticas distinguem-na de um ataque comum:

• Avançada: usa ferramentas e técnicas sofisticadas, muitas vezes feitas à medida do alvo.
• Persistente: mantém acesso ao sistema durante meses ou anos, sem ser detetada.
• Dirigida: visa um alvo concreto, como uma organização governamental, militar ou industrial.

O objetivo raramente é dinheiro imediato: é informação, sabotagem ou vantagem estratégica.

Ameaças industriais

As ameaças industriais visam sistemas de controlo que gerem infraestrutura crítica: energia, água, transportes, instalações militares. Um ataque bem-sucedido a um destes sistemas pode causar danos físicos reais, não apenas perda de dados, porque muitos foram concebidos antes de a ligação à internet ser uma preocupação de segurança.

A defesa nestes contextos passa por isolar redes operacionais das redes de escritório, monitorizar acessos de forma contínua e aplicar atualizações sempre que a operação o permita.

8. Perfil e motivação dos atacantes

Reconhecer o perfil e a motivação de quem ataca ajuda a antecipar o tipo de ameaça mais provável num dado contexto:

O insider merece atenção especial: é uma das ameaças mais difíceis de detetar, precisamente porque já dispõe de acesso autorizado ao sistema. Num contexto militar, o ator estatal e o insider são, em geral, os perfis de maior preocupação estratégica.

9. Fundamentos da cibersegurança e avaliação de ameaças

A tríade confidencialidade, integridade, disponibilidade

Os fundamentos da cibersegurança assentam em três pilares, muitas vezes chamados a tríade CID:

• Confidencialidade: só quem tem autorização acede à informação.
• Integridade: a informação não é alterada sem autorização, ou a alteração é detetada a tempo.
• Disponibilidade: a informação e os sistemas estão acessíveis quando são precisos.

Cada medida de proteção estudada nesta UC serve, no fundo, para defender um ou mais destes três pilares. Uma cópia de segurança protege a disponibilidade; uma senha forte protege a confidencialidade; um antivírus protege sobretudo a integridade e a disponibilidade.

Avaliar ameaças: um método em quatro passos

Avaliar ameaças cibernéticas é a primeira realização desta UC, e segue um método simples e transferível para qualquer situação nova:

1. Identificar o ativo a proteger (dados, dispositivo, comunicação).
2. Identificar as ameaças possíveis sobre esse ativo.
3. Estimar a probabilidade e o impacto de cada ameaça.
4. Escolher a medida de proteção proporcional ao risco identificado.

Exemplo resolvido · Avaliar uma ameaça concreta

Um técnico prepara-se para levar um portátil de trabalho, com dados de manutenção de equipamento, numa deslocação com ligação a redes Wi-Fi públicas.

Resolução: ativo: o portátil e os dados de manutenção que contém. Ameaças: rede insegura (interceção de tráfego), roubo físico do equipamento, phishing dirigido durante a deslocação. Probabilidade e impacto: médios a altos, dado o valor da informação. Medidas de proteção: usar sempre uma rede segura ou VPN de confiança, ativar cifra do disco e senha forte com autenticação de dois fatores, manter uma cópia de segurança dos dados antes de partir, e seguir o normativo da unidade sobre equipamento fora das instalações.

10. Proteção prática: antivírus, atualizações, senhas, 2FA, backups e redes seguras

Este capítulo reúne as medidas de proteção concretas que respondem às ameaças estudadas até aqui.

Antivírus

O antivírus deteta, bloqueia e remove software malicioso conhecido, com base em assinaturas e em análise de comportamento suspeito. Boas práticas: instalar um antivírus de fonte fidedigna em todos os dispositivos, mantê-lo sempre atualizado (novas ameaças surgem todos os dias) e correr análises regulares, além da proteção em tempo real. Nenhum antivírus é infalível, continua a ser necessária atenção do próprio utilizador.

Atualização de sistemas operativos e software

Grande parte dos ataques bem-sucedidos explora falhas já conhecidas e já corrigidas, em dispositivos simplesmente por atualizar. Ativar atualizações automáticas no sistema operativo, no navegador e nas aplicações reduz drasticamente esta janela de exposição.

Senhas fortes

As recomendações atuais de referência (NIST SP 800-63B) mudaram o que se considera boa prática de senhas:

• Preferir uma frase-passe longa (16 ou mais carateres, várias palavras) a uma senha curta e artificialmente complexa.
• Nunca reutilizar a mesma senha em serviços diferentes.
• Usar um gestor de palavras-passe para gerar e guardar senhas únicas por serviço.
• A troca periódica forçada, sem motivo concreto, deixou de ser recomendada; só se troca por suspeita real de compromisso.

Autenticação de dois fatores (2FA)

A autenticação de dois fatores exige uma segunda prova de identidade além da senha. Uma aplicação de autenticação ou uma chave física de segurança são preferíveis a receber o código por SMS, que é vulnerável à interceção ou clonagem do número de telefone. Ativar 2FA em email, banca e contas de trabalho é a medida individual com melhor relação entre esforço e proteção.

Cópias de segurança

Realizar e armazenar em locais seguros cópias de segurança de dados garante que a perda de um dispositivo, um erro humano ou um ransomware não signifiquem perda definitiva de informação. A regra prática mais seguida é a 3-2-1: três cópias dos dados, em dois suportes diferentes, com uma cópia fora do local físico habitual. Uma cópia nunca testada pode falhar precisamente quando é mais necessária, por isso o teste de restauro é parte integrante do processo, não um passo opcional.

Redes seguras

Utilizar redes seguras significa preferir redes com palavra-passe e protocolo atualizado (WPA3, ou pelo menos WPA2) a redes abertas, evitar operações sensíveis em Wi-Fi público sem proteção adicional, e usar uma VPN de confiança quando é preciso ligar a redes menos controladas. Em contexto militar, segue-se sempre a rede e o equipamento autorizados pela cadeia de comando.

Exemplo resolvido · Escolher a medida de proteção certa

Um cabo recebe um novo telemóvel de serviço e quer configurá-lo com segurança antes de o usar em missão.

Resolução: passos, por ordem: (1) atualizar o sistema operativo para a versão mais recente; (2) instalar apenas aplicações das lojas oficiais e um antivírus de fonte fidedigna; (3) definir uma frase-passe longa e ativar autenticação de dois fatores por aplicação, não por SMS; (4) configurar uma cópia de segurança automática dos dados; (5) ligar apenas a redes seguras conhecidas ou VPN da unidade. Cada passo responde a uma ameaça diferente das estudadas nesta sebenta.

11. Atitude, regulamentos e reporte

A atitude como última linha de defesa

A tecnologia sozinha não chega. Desconfiar de mensagens de origem desconhecida, confirmar por outro canal antes de agir e manter uma postura de atualização permanente sobre ameaças novas é, precisamente, o primeiro critério de desempenho desta UC.

Regulamentos e enquadramento legal

Agir de forma cibersegura implica respeitar os normativos legais e técnicos, o terceiro critério de desempenho. Em Portugal, destacam-se:

• RGPD (Regulamento Geral sobre a Proteção de Dados, Regulamento UE 2016/679): regras sobre a recolha, o tratamento e a proteção de dados pessoais.
• Lei n.º 46/2018: regime jurídico da segurança do ciberespaço.
• Regulamentos, normativos, manuais, guiões e tutoriais técnicos internos: procedimentos específicos da unidade ou do sistema em uso, que interpretar é, ele próprio, uma aptidão avaliada.

Reportar incidentes

Detetar uma ameaça ou um incidente não chega, é preciso reportá-lo pelo canal certo. Em Portugal, o CNCS (Centro Nacional de Cibersegurança) coordena a segurança do ciberespaço a nível nacional, e o CERT.PT trata da resposta a incidentes. Em contexto militar, o reporte segue sempre a cadeia de comando, além ou em vez destes canais civis, conforme o procedimento em vigor na unidade. Reportar cedo, mesmo perante uma simples suspeita, é sempre preferível a esconder um possível incidente.

Erros comuns

• Confiar no nome apresentado de um remetente sem verificar o endereço completo.
• Reutilizar a mesma senha em vários serviços, multiplicando o efeito de uma única fuga de dados.
• Adiar atualizações de sistema por causa do tempo de reinício, deixando abertas falhas já corrigidas.
• Guardar a única cópia de segurança no mesmo dispositivo ou na mesma sala do original.
• Pagar um resgate de ransomware, sem garantia de recuperação e financiando o atacante.
• Usar 2FA só por SMS quando existe a opção de aplicação ou chave física, mais seguras.
• Ligar um USB desconhecido ou instalar software fora de fontes oficiais "só para ver o que tinha".
• Ignorar o normativo interno da unidade por se assumir que a norma geral já chega.

Glossário

• Ameaça cibernética: ação, ferramenta ou agente que pode comprometer a confidencialidade, a integridade ou a disponibilidade de informação e dispositivos.
• Botnet: rede de dispositivos infetados, controlados à distância sem o conhecimento dos donos.
• Ciberespionagem: recolha secreta e prolongada de informação sensível por meios informáticos.
• Arma cibernética: código feito à medida para atacar um sistema ou infraestrutura específica.
• Phishing: mensagem fraudulenta que se faz passar por uma entidade de confiança.
• Spear phishing: phishing dirigido a uma pessoa ou organização concreta.
• Ransomware: malware que cifra ficheiros e exige pagamento para os libertar.
• Spyware: malware que vigia em silêncio a atividade do utilizador.
• APT (ameaça avançada persistente): ataque prolongado, discreto e dirigido, geralmente por grupos organizados.
• Engenharia social: manipulação psicológica para levar alguém a agir contra a própria segurança.
• Autenticação de dois fatores (2FA): segunda prova de identidade além da senha.
• Frase-passe: senha longa composta por várias palavras, mais fácil de memorizar e mais difícil de quebrar.
• Cópia de segurança (backup): reprodução dos dados guardada para permitir a sua recuperação.
• CNCS: Centro Nacional de Cibersegurança.
• CERT.PT: equipa nacional de resposta a incidentes de cibersegurança.
• RGPD: Regulamento Geral sobre a Proteção de Dados (Regulamento UE 2016/679).

Síntese

Agir de forma cibersegura começa por avaliar ameaças: conhecer as botnets, a ciberespionagem, as armas cibernéticas, a fraude bancária e o malware móvel, o mercado negro que os distribui, o spam e o phishing que os transportam, e as cinco classes de malware (Bankers, Mobile, Exploits, Ransoms, Spies). Passa por reconhecer o perfil e a motivação de quem ataca, do script kiddie ao ator estatal, e por dominar os fundamentos da cibersegurança, a tríade confidencialidade, integridade e disponibilidade. Termina em proteger informação e dispositivos na prática: antivírus atualizado, sistemas atualizados, senhas fortes com autenticação de dois fatores, cópias de segurança testadas, redes seguras, uma atitude de atualização permanente, e o respeito pelos regulamentos legais e técnicos, com o reporte a fazer-se sempre pelo canal certo, civil ou pela cadeia de comando.

Exercícios resolvidos

1. Um colega recebe um email "do departamento de sistemas" a pedir a senha para uma "manutenção urgente". O que deve fazer?

Resolução: não responder nem enviar a senha. Nenhum departamento de sistemas legítimo pede a senha completa por email. Deve confirmar o pedido por outro canal (telefonema direto, presença física) antes de qualquer ação, e reportar a mensagem como suspeita.

2. Distingue botnet de ransomware quanto ao objetivo do atacante.

Resolução: uma botnet visa controlar dispositivos à distância, muitas vezes sem que o dono note, para os usar em ataques maiores (spam, negação de serviço). Um ransomware visa cifrar os ficheiros da vítima e exigir pagamento imediato para os libertar. A botnet procura controlo discreto e prolongado; o ransomware procura um efeito imediato e visível.

3. Porque é que a troca periódica forçada de senhas deixou de ser considerada boa prática?

Resolução: porque, segundo as recomendações atuais (NIST SP 800-63B), a troca forçada sem motivo leva as pessoas a escolher senhas mais fracas e previsíveis (pequenas variações da anterior) só para cumprir a regra. É preferível uma frase-passe longa e única por serviço, trocada apenas quando há suspeita real de compromisso.

4. Um dispositivo do posto de trabalho começa a ficar lento, a bateria esgota-se depressa e aparece uma aplicação desconhecida. Que ameaça é mais provável e que primeira medida se deve tomar?

Resolução: os sinais apontam para mobile malware ou outra classe de malware instalada sem autorização. A primeira medida é isolar o dispositivo da rede, correr uma análise completa com o antivírus e reportar o caso conforme o procedimento da unidade, antes de voltar a usá-lo normalmente.

5. Explica, com um exemplo, porque é que uma cópia de segurança nunca testada pode não valer nada.

Resolução: uma cópia de segurança guarda os dados, mas só o restauro confirma que os dados guardados estão completos e legíveis. Por exemplo, uma cópia com um erro de gravação pode parecer concluída com sucesso e, no momento de a restaurar depois de um ransomware, revelar-se corrompida. Por isso o teste de restauro é parte do próprio processo de backup, não um passo opcional.

6. Em que casos o reporte de um incidente de cibersegurança segue a cadeia de comando em vez do CNCS ou do CERT.PT?

Resolução: em contexto militar, o procedimento interno da unidade determina o canal de reporte; regra geral, segue-se sempre a cadeia de comando, que pode depois, conforme o normativo em vigor, articular com os canais civis (CNCS, CERT.PT) quando aplicável. O militar não deve decidir sozinho ignorar a cadeia de comando para reportar diretamente a uma entidade externa.