Instrutor: Nesta lição, vamos
explorar alguns dos recursos
de segurança do BIOS e da UEFI.
Além de fornecer proteções em nossa rede e em nosso
ambiente de sistema operacional, também
precisamos considerar a segurança
de nosso ambiente de sistema pré-operacional.
Essa é a área do computador
que pode ser atacada durante a fase de inicialização
e, portanto, as proteções do carregador de inicialização
devem ser consideradas, inclusive as senhas do BIOS e da UEFI, o processo de inicialização
segura e a configuração de permissões nas portas USB da placa-mãe.
Lembre-se de que o BIOS e o UEFI são dois tipos diferentes de
firmware usados em nossos computadores para nos auxiliar
durante o carregamento e a inicialização do sistema operacional.
Cada computador pode ter o BIOS ou o UEFI,
mas não ambos.
O BIOS é o sistema básico de entrada/saída e é uma
interface de firmware que inicializa o hardware de
um sistema operacional para que ele seja inicializado.
Os computadores que dependem do BIOS usarão um registro
mestre de inicialização, ou MBR, para manter suas informações de inicialização e identificar
as partições de um determinado disco rígido que contêm o sistema
operacional a ser carregado.
O BIOS é o tipo de firmware mais antigo e legado.
A UEFI, ou iniciativa de firmware extensível unificado,
por outro lado, é um tipo mais recente de firmware.
O UEFI é um tipo de firmware de sistema que oferece suporte a
operações de CPU de 64 bits no momento da inicialização, uma interface gráfica
de usuário completa e operações de mouse na inicialização, além de melhor
segurança de inicialização.
Os computadores que dependem da UEFI usarão uma tabela
de partição GUID conhecida como GPT para manter suas informações de inicialização.
A UEFI oferece a capacidade de acessar e inicializar
a partir de discos com mais de dois terabytes de tamanho
e fornece arquitetura e drivers independentes da CPU,
bem como um ambiente pré-SO que pode incluir recursos
de rede e acesso à navegação na Web.
Em geral, a UEFI é mais nova e mais avançada do que o BIOS e oferece segurança
adicional e verificações de integridade durante
o processo de inicialização, incluindo a inicialização segura.
Agora, o BIOS e o UEFI também podem ser protegidos
com alguns tipos diferentes de senhas.
Isso inclui a senha do supervisor, do administrador
ou de configuração, a senha do usuário ou do sistema e a senha do armazenamento
ou do disco rígido.
A senha de supervisor, administrador ou configuração
é o primeiro tipo de senha que você encontrará
ao usar o BIOS ou a UEFI.
Essa senha é usada para proteger o acesso ao
BIOS ou ao programa de configuração UEFI e impede que
usuários não autorizados acessem essa ferramenta
de configuração sensível.
Se você configurar essa senha, sempre que alguém tentar
entrar no BIOS ou na UEFI, será necessário digitar
a senha antes de conceder o acesso, mas isso
não impedirá que alguém ligue o computador e inicialize
no ambiente normal do sistema operacional.
Essa senha quase sempre será configurada em computadores
de uma rede corporativa ou empresarial,
de modo que os usuários finais não possam acessar o BIOS ou a UEFI,
mas os administradores e técnicos do sistema possam,
se tiverem a senha correta.
A senha do usuário ou do sistema é o segundo
tipo de senha que pode ser configurada no BIOS ou na UEFI.
Essa senha é usada para bloquear o acesso a todo o computador.
Sempre que o computador for ligado,
ele será interrompido e solicitará uma senha.
Se o usuário final digitar a senha correta, o computador continuará
a carregar o sistema operacional e a inicializar.
Embora esse seja um método muito seguro de proteger um computador,
ele quase nunca é usado em redes corporativas ou empresariais, porque
essa senha teria que ser compartilhada com
todos os usuários que acessam esse computador, e essa senha
compartilhada anula parte da segurança que estamos tentando
obter.
Em vez disso, você normalmente verá uma senha de usuário ou de sistema usada
apenas no computador de alguém, quando essa
pessoa é o único usuário no computador.
Essa é uma senha separada e diferente
da senha do usuário que será usada
para acessar o sistema Windows, Linux ou MacOS e, em vez disso,
concede ao usuário acesso ao sistema nesse
ambiente de sistema pré-operacional.
O terceiro tipo de senha é conhecido como senha
de armazenamento ou de disco rígido.
Esse tipo de senha costumava ser muito popular
antes da inclusão do módulo de plataforma confiável ou do
módulo de segurança de hardware nos computadores modernos.
Essa senha bloquearia o acesso a um disco rígido
conectado a um sistema e exigiria que o usuário final
digitasse a senha para que o disco rígido fosse
lido e o sistema operacional carregado.
Diferentemente da senha do usuário ou do sistema, que bloqueia
o usuário de todo o sistema até que a senha correta
seja inserida, a senha do armazenamento ou do disco rígido
bloqueia apenas o disco rígido e a capacidade
de inicializar o sistema operacional a partir dele.
O próximo recurso de segurança que precisamos abordar
é conhecido como inicialização segura.
A inicialização segura pode ser ativada na interface
e nas configurações UEFI e não é suportada pelo BIOS.
Se ativado, ele executará três verificações diferentes durante
o processo de inicialização do Windows ou de outros
sistemas operacionais compatíveis com esse recurso para garantir
que o computador não tenha sido sequestrado por algum tipo
de código malicioso injetado no sistema operacional.
Vamos dar uma olhada no processo completo de inicialização
em um sistema Windows normal.
A primeira etapa do processo ocorre quando um computador com Windows está
sendo inicializado, os componentes de inicialização do firmware são carregados
e o gerenciador de inicialização é iniciado.
Em seguida, o carregador do Windows será iniciado,
o kernel do Windows será iniciado e as
instalações dos drivers críticos de inicialização
ocorrerão.
Agora, todas as inicializações adicionais do sistema
operacional ocorrerão e, finalmente, o usuário será
apresentado à tela de login do Windows.
Agora, quando os componentes de inicialização do firmware
são carregados durante uma inicialização segura, o firmware primeiro
verifica se todos os arquivos executáveis UV e o próprio carregador do sistema operacional
têm sua integridade intacta e não foram comprometidos
por nenhum tipo de malware.
Isso significa que eles serão seguros para carregar.
Em seguida, os componentes de inicialização do Windows
verificarão a assinatura digital de cada componente
antes de carregá-los.
Se algum componente não passar nessa verificação
de assinatura, ele não será carregado e acionará um
alerta para o usuário final.
Por fim, os drivers críticos de inicialização serão verificados
em relação aos seus hashes conhecidos e, se passarem nessa
verificação, serão carregados como parte final do processo
de inicialização segura.
Agora, quando se trata de inicialização segura, quero que
você se lembre de que esse é um procedimento que será
usado para garantir que o nosso sistema operacional seja confiável
e que não tenha sido vítima de um tipo especial de malware conhecido
como kit raiz.
Para que a inicialização segura funcione, ela
deve ser ativada dentro do sistema UEFI e o sistema operacional
também deve ser compatível com ela.
O último recurso de segurança que precisamos abordar
no BIOS ou UEFI é a configuração de permissões para as portas
USB na placa-mãe.
Agora, a maioria dos sistemas modernos pode ser configurada
para habilitar ou desabilitar as portas USB na placa-mãe,
e alguns permitem até mesmo restringir as portas USB para que não
sejam compatíveis com determinados
tipos de dispositivos USB e ainda permitam o uso de outros.
Agora, a grande preocupação aqui normalmente
é com malware e perda de dados.
Em termos de malware, as portas USB podem ser uma excelente via de
ataque para alguém que esteja
tentando invadir o seu sistema.
Por exemplo, se eu carregar um pen drive USB com algum
malware, posso deixá-lo em um estacionamento fora de
um prédio de escritórios e, se alguém estiver curioso,
pegá-lo e conectá-lo à sua máquina, isso poderá
instalar malware em seus sistemas.
Portanto, queremos evitar isso desativando a capacidade
do USB de ler e gravar em dispositivos de armazenamento em massa.
É possível fazer isso bloqueando totalmente o USB, mas,
nesse caso, não seria possível usar itens como fones
de ouvido e webcams, mouses e teclados, entre outros.
Portanto, em vez disso, talvez queiramos apenas restringir a capacidade
de usá-los como dispositivos de armazenamento em massa, e isso impediria
que qualquer coisa, como pen drives USB, pen drives ou discos
rígidos externos, fosse conectada ao sistema.
Isso pode nos ajudar a evitar a introdução
de malware em nosso sistema.
Mas, além disso, ele também pode nos ajudar a evitar que
os dados saiam do nosso sistema.
Por exemplo, digamos que você trabalhe para uma organização
ultrassecreta do governo.
Você não gostaria que alguém pudesse
entrar com um pequeno pen drive USB, conectá-lo ao computador,
baixar todas as suas informações e sair
pela porta da frente com ele.
Portanto, para evitar isso, você pode configurar a UEFI para bloquear
essas portas USB ou impedir que sejam usadas para dispositivos de armazenamento
em massa e, novamente, bloquear a capacidade de usar pen drives
e discos rígidos externos, o que fará com que as pessoas
não possam sair pela porta da frente com
suas informações críticas.
Portanto, lembre-se de que, quando se trata de segurança, há três
coisas principais que o BIOS ou a UEFI podem lhe oferecer.
A primeira é a capacidade de definir senhas para controlar
diferentes acessos a diferentes partes do sistema.
A segunda é a capacidade de ativar a inicialização segura
para garantir que o sistema operacional não tenha sido comprometido
antes de ser carregado.
E a terceira é a capacidade de restringir ou desativar portas USB em sua
placa-mãe para evitar que malware
seja introduzido no sistema
ou que dados sejam exfiltrados do sistema.