Segurança da informação: o que cada ameaça faz e o que cada defesa protege

Informática em concurso raramente cobra o que o candidato imagina. Não pergunta como instalar um antivírus; pergunta se um firewall detecta vírus em anexo de e-mail (não detecta), se a assinatura digital garante sigilo da mensagem (não garante) e qual tipo de backup exige o conjunto inteiro para restaurar.

São perguntas de definição precisa. Quem estudou por noção geral erra; quem separou os conceitos acerta em quinze segundos.

Os princípios: CID, mais dois

Toda questão conceitual de segurança se ancora em cinco princípios. Os três primeiros formam a tríade clássica:

Confidencialidade — a informação só é acessada por quem tem autorização. Violada por vazamento, escuta de rede, senha compartilhada.
Integridade — a informação não foi alterada indevidamente. Violada pela adulteração de um arquivo em trânsito, mesmo que ninguém o leia.
Disponibilidade — a informação está acessível quando é necessária. Violada por ataque de negação de serviço, queda de servidor, ransomware que trava os arquivos.

E os dois que a prova acrescenta:

Autenticidade — a informação vem mesmo de quem diz vir.
Não repúdio (ou irretratabilidade) — o autor não pode negar depois que foi ele.

O exercício típico descreve um incidente e pergunta qual princípio foi violado. Um site fora do ar por sobrecarga: disponibilidade. Um boleto com o código de barras trocado: integridade. Uma planilha de salários vista por quem não devia: confidencialidade.

As ameaças, separadas pelo que as define

A confusão mais comum é tratar "vírus" como nome genérico de qualquer praga. Em prova, cada termo tem um traço definidor.

Ameaça	O que a define
Vírus	Precisa de um hospedeiro (arquivo, programa) e de uma ação do usuário para executar
Worm	Autorreplicante: propaga-se sozinho pela rede, sem hospedeiro e sem ação do usuário
Trojan (cavalo de troia)	Disfarce: apresenta-se como programa legítimo. Não se autorreplica
Ransomware	Criptografa os dados e exige resgate
Spyware	Coleta informações sem consentimento
Keylogger	Espécie de spyware que registra as teclas digitadas
Screenlogger	Captura a tela ao redor do clique — resposta ao teclado virtual dos bancos
Adware	Exibe publicidade não solicitada
Rootkit	Esconde a presença do invasor e das demais pragas
Backdoor	Mantém uma porta de acesso aberta para retorno futuro
Botnet	Rede de máquinas infectadas ("zumbis") controladas remotamente

Três pares que a banca adora inverter:

Worm × vírus. Se o enunciado diz "propaga-se automaticamente pela rede sem intervenção do usuário", é worm. Se diz "anexa-se a um arquivo executável", é vírus.
Trojan × vírus. O trojan não se replica. Ele entra porque o usuário o instalou achando que era outra coisa.
Rootkit × backdoor. Rootkit oculta; backdoor dá acesso. Costumam vir juntos, mas a função é diferente.

Engenharia social: quando o alvo é a pessoa

Nenhuma dessas técnicas explora falha de software. Explora a confiança de quem está do outro lado.

Phishing — mensagem que se passa por instituição confiável para obter dados. Disparo em massa.
Spear phishing — phishing dirigido a uma pessoa ou organização específica, com dados reais da vítima para parecer legítimo.
Pharming — redireciona a vítima para um site falso adulterando a resolução de nomes (DNS), mesmo que ela digite o endereço correto.
Vishing — por chamada de voz. Smishing — por SMS.

O detalhe que decide questão: no phishing a vítima clica num endereço falso; no pharming ela digita o endereço certo e ainda assim vai parar no site falso. É por isso que o pharming é considerado mais grave.

Criptografia e assinatura digital

Aqui está a maior fonte de erro da matéria.

Criptografia simétrica usa uma única chave para cifrar e decifrar. É rápida e adequada a grandes volumes. O problema é logístico: as duas partes precisam combinar a chave com segurança antes. Exemplo cobrado: AES.

Criptografia assimétrica usa um par de chaves — uma pública, uma privada — matematicamente ligadas. O que uma cifra, só a outra decifra. Exemplo cobrado: RSA.

Desse par saem dois usos opostos, e trocá-los é o erro clássico:

Para garantir sigilo, cifra-se com a chave pública do destinatário — só ele, com a sua privada, consegue abrir.

Para garantir autenticidade, assina-se com a chave privada do remetente — qualquer um verifica com a pública dele, e só ele poderia ter assinado.

Daí decorre a afirmação mais cobrada da matéria: a assinatura digital garante autenticidade, integridade e não repúdio — mas não garante confidencialidade. A mensagem assinada continua legível para quem a interceptar. Para ter as duas coisas, assina-se e depois se cifra.

O certificado digital resolve o passo seguinte: como saber que aquela chave pública é mesmo do titular. Uma Autoridade Certificadora atesta o vínculo entre a chave e a pessoa. No Brasil, a hierarquia é a ICP-Brasil, cuja raiz é gerida pelo ITI.

Backup: a diferença que cai em toda prova

São três tipos, e a distinção está no que é copiado e no que é preciso para restaurar.

Completo (full) — copia tudo, sempre. Cópia mais demorada, restauração mais simples: basta ele.
Incremental — copia o que mudou desde o último backup de qualquer tipo. Cópia mais rápida e enxuta. Restaurar exige o último completo mais todos os incrementais, na ordem.
Diferencial — copia o que mudou desde o último backup completo. Cresce a cada dia. Restaurar exige o último completo mais o último diferencial — apenas dois conjuntos.

O resumo que resolve a questão: incremental é o mais rápido de gravar e o mais lento de restaurar; diferencial é o inverso.

Vale conhecer também a regra 3-2-1, citada em provas mais recentes: três cópias dos dados, em dois tipos de mídia diferentes, sendo uma delas fora do local físico.

O que cada defesa realmente faz

Ferramenta	Função	O que não faz
Firewall	Controla o tráfego que entra e sai, por regras de porta, endereço e protocolo	Não analisa o conteúdo de arquivos nem remove malware
Antivírus	Detecta e remove código malicioso no dispositivo	Não filtra tráfego de rede
IDS	Detecta intrusão e alerta	Não bloqueia
IPS	Detecta e bloqueia	—
VPN	Cria um túnel cifrado sobre rede pública	Não torna o usuário anônimo nem protege contra malware
Proxy	Intermedia o acesso, permite filtro e cache	Não substitui o firewall

E a pegadinha mais frequente sobre navegação: o cadeado do HTTPS indica que o canal está criptografado, não que o site é confiável. Um site de phishing pode ter certificado válido — e a maioria hoje tem. Cadeado protege o transporte, não a idoneidade do destino.

Autenticação em três fatores

A classificação que a prova cobra:

O que você sabe — senha, PIN, resposta secreta.
O que você tem — token, celular que recebe o código, cartão.
O que você é — biometria: digital, face, íris.

Autenticação de dois fatores exige elementos de categorias diferentes. Senha mais pergunta secreta não é 2FA — são dois itens do mesmo fator. Senha mais código enviado ao celular, sim.

Um roteiro para a hora da prova

Diante de uma assertiva de segurança, teste nesta ordem:

O enunciado descreve propagação automática? Worm, não vírus.
Descreve disfarce sem replicação? Trojan.
Diz que a assinatura digital garante sigilo? Falso.
Diz que o firewall detecta vírus? Falso.
Diz que se restaura um backup incremental só com o último arquivo? Falso — precisa da cadeia inteira.
Diz que o cadeado garante que o site é confiável? Falso.

Essas seis verificações cobrem uma fatia grande das questões de segurança em provas de Correios, INSS, Caixa e Banco do Brasil.

Vale observar o recorte da sua banca: a Cebraspe cobra segurança em assertivas curtas de certo/errado, em que uma única palavra trocada — "detecta" no lugar de "bloqueia" — inverte o gabarito. A FGV tende a montar cenários mais longos e pedir a classificação da ameaça descrita.