Segurança da Informação

• Definição

• Falhas em Sistemas de Informação

• Métodos de ataques a S.I.

• Estratégias de Defesa

• Implementando a Segurança

• Normas de Segurança

Definição da Segurança

Um mecanismo de Segurança da Informação providencia meios para

reduzir as vulnerabilidades existentes em um Sistema de

Informação

Ciclo de Vida de SegurançaO que precisa ser protegido?

Como proteger?

Simulação de um ataque

Qual é probabilidade de um ataque?

Qual prejuízo, se ataque sucedido?

Qual é nível da proteção?

Falhas/Ameaças em Sistemas de Informação

• Falhas não-intencionais– Falhas humanas– Falhas dos sistemas– Riscos do ambiente

• Falhas Intencionais– Roubo de dados– Uso indevido de dados– Sabotagem

Falhas/Ameaças Não Intencionais

• Falhas Humanas: podem ocorrer em projetos de sistemas e/ou infra-estrutura. As falhas humanas contribuem para a maior parte dos problemas (cerca de 55 %)

• Riscos Ambientais: incêndios, quedas em redes elétricas , enchentes , etc

• Falhas em Sistemas Computacionais: defeitos de fabricação. testes mal feitos

Falhas/Ameaças Intencionais

• Ações intencionais correspondem a cerca de 30 % dos problemas

• Roubo de dados , uso indevido de dados,manipulação de programas, dados, sabotagem, destruição por vírus ou ataques semelhantes

Métodos de Ataque

• Adulteração de dados (inserção de dados falsos ou alteração de dados existentes)

• Fraudes de programação (alteração de banco de dados via programas executáveis. Necessário conhecimento técnico e acesso ao ambiente de produção dos aplicativos)

• Hacker: invasor de computador/redeCracker: Hacker mal intencionado

• Alteração de dados e ambiente através de vírus

Tecnologia de Informação

Tecnologia

ProcessosPessoas

Estratégias de Defesa

• Prevenção

• Detecção

• Limitação

• Recuperação

• Correção

Estratégias de Defesa

• Prevenção Impedir aos ataques aos sistemas, ocorrência de

erros e negar acesso a pessoas não autorizadas• Detecção

Quanto antes o problema é detectado menor será seu dano. Pode ser utilizado um software de diagnóstico

• Limitação Sistema de tolerância a falhas permitindo a

operação parcial de um sistema com problemas

Estratégias de Defesa

• Recuperação

Plano de recuperação de desastres definindo como recuperar um sistema danificado o mais rápido possível

• Correção

corrigir a causa dos danos para evitar que o problema se repita.

Controle de Acesso

Níveis de Acesso (Etapas):

• Acesso físico a um terminal

• Acesso ao Sistema

• Acesso a transações, comandos, privilégios, programas e dados específicos dentro do Sistema

Controle de Acesso

Identificação do Usuário:

• Algo que somente o usuário conhece (senha)

• Algo que somente o usuário possui (smart card ou um token)

• Alguma característica do usuário ( impressão digital , íris, voz, caligrafia)

Controle de Segurança de Dados

Há dois princípios básicos que precisam ser considerados:

• Privilégio Mínimo: só deve ser disponibilizada a informação que o usuário precisa para executar a tarefa

• Exposição Mínima:Quando o usuário tiver acesso a informação confidencial, ele tem o dever de proteje-la.

Controles de Aplicativos

• Controles de Entrada (formato, consistência, domínio, inteireza)

• Controles de Processamento

• Controles de Saída

• Combinação dos controles

Controles de Aplicativos

• Controles de Entrada: Críticas qto a precisão, inteireza e consistência dos dados impedindo situações GIGO (garbage-in-garbage-out)

• Controles de Processamento: garante que programas sejam executados corretamente.

Controles de Aplicativos

• Controles de Saída: Garante que os resultados sejam precisos, válidos, completos, consistentes e sejam enviados/acessados somente pelo pessoal autorizado.

• Combinação de controles: garante que controles sejam combinados corretamente.

Segurança de Dados

• Confidencialidade dos dados

• Controle de Acesso

• Natureza vital dos dados

• Integridade (preservação dos dados para o uso previsto para eles evitando destruição, alteração ou perda acidental ou intencional de dados)

Segurança de Redes

• Integridade aos dados

• Confidencialidade

• Privacidade

• Disponibilidade de sistemas

• Não reprodução

Segurança na Web e Intranets

• Controle de acesso (senhas , cartões , controles biométricos)

• Criptografia (identificação, controle e privacidade)

• Detecção de problemas/invasões

• Segurança de conteúdo

Segurança na Web e Intranets

FIREWALLS

O firewall é um sistema ou conjunto de sistemas que implementa uma política de controle de acesso entre duas redes. Geralmente é utilizado como barreira de segurança entre a rede segura corporativa (Intranet) e a Internet considerada não segura.

Segurança na Web e Intranets

FIREWALLS

Por mais úteis que sejam os Firewalls não bloqueiam vírus que podem estar a espreita nas redes. Os vírus podem atravessar os firewalls geralmente escondidos nos anexos de emails.Para se proteger utiliza-se antivirus que só agem depois de iniciado o ataque ao computador e só com os vírus conhecidos. Os novos vírus são difíceis de detectar durante seu primeiro ataque.

Implementando a Segurança

Auditoria de Sistemas de Informação• Os sistemas possuem controles suficientes ?

• Quais controles são necessários ?

• Quais áreas estão cobertas pelos sistemas ?

• Os controles foram implementados de forma correta?

• Existem procedimentos para garantir que os controles serão aplicados ?

• Existem ações corretivas no caso de infração dos controles?

Tipos de Auditoria

• Auditoria ao redor do computador confirmar o processamento verificando saídas conhecidas por meio de entradas específicas.

• Auditoria por meio do computadorverificam-se as entradas, as saídas e o processamento. Essa abordagem é mais complexa e é apoiada por ferramentas (revisar lógica, testar dados e controlar processamento)

Tipos de Auditoria• Auditoria com o computador

Significa usar uma combinação de dados do cliente, software de auditoria e hardware dos clientes e dos auditores. Permite por exemplo que o auditor execute algumas tarefas como simular a lógica da folha de pagamento, usando dados reais

• Histórico de auditoria: rastrear uma transação através de cada etapa de processamento (quando, onde , por quem , etc)

• Ataque simulado: tentativas de invadir o sistema para encontrar pontos fracos

Prevenção e Recuperação de Desastres

• Reduzir a possibilidade de ocorrência de desastres evitáveis (incêndios, queda de energia)

• Plano de continuidade de negócios (estratégia e planejamento de recuperação de desastres)

• Gerenciamento de Riscos

Recuperação de Desastres

• Garantir que a empresa funcione depois da ocorrência de algum desastre

• Proteção de ativos• Recuperação da perda total de capacidades• Todos os aplicativos essenciais devem ser

identificados e o plano deve dar atenção aos procedimentos para sua recuperação

• O plano deve ser guardado em local seguro e cópias devem ser distribuídas aos gerentes

Procedimentos de Backup

• Hot Site

No caso de um desastre é possível transferir a central de computação para um local de backup remoto. Alguns fornecedores externos dão acesso a um centro de backup de dados totalmente configurado.

• Cold SiteOpção de menor custo. Numa emergência a empresa transfere seus computadores ou computadores alugados para aquele local e utiliza os dados de backup.

Processo de Gerenciamento de Risco

Serviços de Continuidade de Negócio

Segurança de TI no século 21

• Aumentar a confiabilidade de sistemasUsar tolerância a falhas para manter os sistemas de informação funcionando mesmo que algumas partes apresentem falhas

• Sistemas inteligentes para detecção precoceDetectar infrações da segurança

• Sistemas inteligentes na AuditoriaAperfeiçoar a tarefa de auditoria dos S.I.

Segurança de TI no século 21

• Inteligência artificial na Biometriaaperfeiçoar a capacidade dos sistemas biométricos (redes neurais, lógica fuzzy)

• Sistemas Especialistas para planejamento e prevenção de desastresBase de conhecimento para diagnosticar fontes de problemas

• Smart Cards• Combate aos Hackers

Questões a serem discutidas

1. Por que a segurança é tão importante em todas as organizações?

2. Por que a segurança é um dos habilitadores de negócios em um ambiente cooperativo?

3. Quais são os maiores riscos que rondam as organizações?

4. Qual é a importância e a necessidade da educação dos usuários?

Questões a serem discutidas

5. Qual é a importância e a necessidade de uma política de segurança?

6. Quais são as fronteiras entre as organizações no ambiente cooperativo?

7. Como um firewall funciona? Existem diferenças entre eles?

8. Quais são os maiores problemas envolvendo firewalls e o ambiente cooperativo?

Questões a serem discutidas

9. Como resolver os problemas de regras de filtragem, inerentes ao ambiente cooperativo?

10. Como implementar e garantir um nível de hierarquia entre as comunicações das diversas organizações no ambiente cooperativo?

11. Qual tecnologia utilizar para garantir a proteção dos valores da organização?

12. Como integrar as diversas tecnologias disponíveis?13. Em fim, como garantir a segurança no ambiente

corporativo?

Reflexão e Exercício

• Quais mecanismos de segurança existem no seu ambiente corporativo?

• Tais mecanismos são suficientes? Justifique a sua resposta?

• Quais são metas de 2008 para:– Investimentos em Segurança (Tecnologia)– Treinamento Pessoal– Modificação dos Processos Internos.

Falta de Cuidados em Relação da Segurança

• Sofisticação dos emails– Interpretam diversos tipos de códigos e arquivos– Códigos maliciosos se utilizam destes avanços

• Avanços nas pesquisas de clonagem e manipulação genética– Problemas com a autenticação utilizando

biometria

Segurança como parte dos Negócios

• Anos 70 e 80: dados

• Anos 80 e 90: informações

• Após anos 90: conhecimento

• Enfoque atual: disponibilidade

• Segurança é parte do negócio da organização

Normas de Segurança

• Definição

• Necessidade

• Itens da norma de segurança

• Política de segurança baseada na Norma

Histórico - Normas

• 1967 - Criado um documento chamado “Security Control for Computer System” (criação de um conjunto de regras para segurança de computadores).

• 1978 “Orange Book”, conhecido também como “Trusted Computer Evaluatin Criteria” (versão final 1985).

• “Orange Book” - marco do processo mundial de busca de indicadores para um ambiente computacional ser qualificado como seguro.

• O "Orange Book" especificação do que deve ser implementado e fornecido por um software, para que ele seja classificado em um dos níveis de "segurança" pré-estipulados.

Histórico - Normas

• International Organization for Standardization (ISO). Norma internacional de Segurança da Informação "ISO/IEC-17799:2000"

• Versão aplicada aos países de língua portuguesa: "NBR ISO/IEC-17799“

Histórico - Normas

NBR/ISO IEC 17799

• ISO 17799 - conjunto de recomendações para gestão da Segurança da Informação;

• Base comum para o desenvolvimento de normas de segurança organizacional e das práticas efetivas de gestão da segurança;

• Foco em tecnologia, processos e pessoas.

Componentes do ISO 17799

• 1. Objetivo da norma

• 2. Termos e definições

• 3. Política de segurança• 4. Segurança organizacional

• 5. Classificação e controle dos ativos de informação

• 6. Segurança de pessoas

• 7. Segurança física e do ambiente

• 8. Gerenciamento de operações e comunicações

• 9. Controle de acesso• 10. Desenvolvimento de

sistemas.• 11. Gestão de continuidade de

negócios• 12. Conformidade

ISO 17799 – Segurança Organizacional

• Infraestrutura de segurança: estrutura organizacional deve ser criada para iniciar e implementar as medidas de segurança.

• Segurança no acesso de prestadores de serviço: garantir a segurança dos ativos acessados por prestadores de serviços.

• Segurança envolvendo serviços terceirizados: incluir nos contratos de terceirização de serviços computacionais cláusulas para segurança

ISO 17799 – Segurança de Pessoas

• Segurança na definição e Recursos de Trabalho: critérios de segurança no processo de seleção. Colaboradores devem assinar o acordo de confidencialidade.

• Treinamento dos usuários: Treinamento, educação, e conscientização referentes a segurança.

• Mecanismos de Incidente de Segurança: mecanismos para reportar possíveis falhas.

• Processo disciplinar formal: processo disciplinar formal para colaboradores que violarem os procedimentos de segurança.

ISO 17799 – Segurança Física e de Ambiente

• Áreas de segurança: prevenir acesso não autorizado, dano e interferência nas instalações físicas. Definir um perímetro de segurança, controles de entrada física, etc .

• Segurança de equipamento: Proteger equipamentos de ameaças e perigos ambientais. Incluindo roubo, fogo, perigos ambientais, falta de energia. Definição de uma política de manutenção e proteção a equipamentos fora das instalações .

• Controles gerais: exemplos como proteção de tela com senha para evitar que informação fique visível em tela, documentos impressos deixados na impressora por muito tempo, etc.

ISO 17799 – Controle de Acesso• Gerenciamento de acesso dos usuários:

– Registro do usuário: ID única para cada usuário, pedir assinatura em termo de responsabilidade, remover usuário assim que o funcionário sair da empresa .

– Gerenciamento de privilégios: Basicamente, se recomenda que usuários tenham apenas os privilégios necessários para fazer seu trabalho.

– Gerenciamento de senhas: termo de responsabilidade deve afirmar que senha é secreta e não deve ser divulgada, senhas temporárias devem funcionar apenas uma vez.

– Análise crítica dos direitos de acesso do usuário: deve-se analisar os direitos de acesso dos usuários com freqüência de 6 meses ou menos.

ISO 17799 – Controle de Acesso • Responsabilidades dos usuários:

– Senhas: segundo norma, usuário deve zelar pela sua senha e criar uma senha considerada aceitável (mínimo de 6 caracteres).

– Equipamentos sem monitoração: Usuários deve tomar os cuidados necessários ao deixar um equipamento sem monitoramento, com seções abertas.

ISO 17799 – Controle de Acesso • Controle de Acesso ao SO:

– Controle de acesso ao sistema operacional: Identificação automática de terminal: nos casos onde deve-se conhecer onde um usuário efetua logon.

– Procedimentos de entrada no sistema (log-on). Sugestões como: limitar o número de tentativas erradas para o log-on e não fornecer ajuda no processo de log-on, entre outros.

– Identificação de usuários: a não ser em casos excepcionais cada usuário deve ter apenas um ID. Considerar outras tecnologias de identificação e autenticação: smart cards, autenticação biométrica.

– Sistema de Gerenciamento de Senhas: Contém os atributos desejáveis para sistema que lê, armazena e verifica senhas.

ISO 17799 – Controle de Acesso às Aplicações

• Controle de Acesso às aplicações:– Registro de Eventos: Trilha de auditoria registrando

exceções e outros eventos de segurança devem ser armazenados por um tempo adequado.

– Monitoração do Uso do Sistema: Os procedimentos do monitoração do uso do sistema devem ser estabelecidos. Uma análise crítica dos logs deve ser feita de forma periódica.

– Sincronização dos Relógios: Para garantir a exatidão dos registros de auditoria.

ISO 17799 – Continuidade de Negócios • Deve-se desenvolver planos de contingência

para caso de falhas de segurança, desastres, perda de serviço, etc.

• Estes planos devem ser documentados, e o pessoal envolvido treinado. Os planos de contingência devem ser testados regularmente, pois tais planos quando concebidos teoricamente, podem apresentar falhas devido a pressupostos incorretos, omissões ou mudança de equipamento ou pessoal.

ISO 17799 – Componentes do Plano de Continuidade de Negócios

• condições para a ativação do plano;• procedimentos de emergência a serem tomados;• procedimentos de recuperação para transferir atividades

essenciais para outras localidades, equipamentos, programas, entre outros;

• procedimentos de recuperação quando do estabelecimento das operações;

• programação de manutenção que especifique quando e como o plano deverá ser testado;

• desenvolvimento de atividades de treinamento e conscientização do pessoal envolvido;

• designação de responsabilidades.

ISO 17799 – Conformidade • Conformidade com Requisitos Legais: Para evitar a

violação de qualquer lei, estatuto, regulamentação ou obrigações contratuais. Evitar a violação de Direitos Autorais dos aplicativos.

• Análise Crítica da Política de Segurança e da Conformidade Técnica.

• Considerações referentes Auditoria de Sistemas.

BS 7799-2 • O BS 7799-2 é a segunda parte do padrão

de segurança inglês cuja primeira parte virou o ISO 17799.

• O BS 7799-2 fala sobre certificação de segurança de organizações; isto é, define quando e como se pode dizer que uma organização segue todo ou parte do ISO 17799 (na verdade do BS 7799).

PE

SS

OA

LDOMÍNIOS DE TI

RECURSOS DE TI

REQUISITOS DE NEGÓCIO

PROCESSOS

INS

TA

LA

ÇÕ

ES

TE

CN

OL

OG

IA

DA

DO

S

SIS

TE

MA

S

PROCESSOS DE TIATIVIDADES DE TI

E F I C Á C I A

E F I C I Ê

N C I A

C O N F O R M I D A D E

C O N F I A B I L

I D A D E

CONFIDENCIALIDADE

I N T E G R I D A D E

DISPONIBILIDADE

COBIT – Control OBjectives for Information and related Technology

FE

RR

AM

EN

TA

S

TR

EIN

AM

EN

TO

SIS

TE

MA

NO

RM

AT

IVO

ORGANIZAÇÃO DA SEGURANÇA DE TI

USUÁRIOS DE TI

PARCEIROS DE NEGÓCIO

CO

BIT

Ob

jeti

vo

s d

e S

egu

ran

ça

ATIVIDADESDE TI

ControlesDetalhados

PROCESSOSDE TI

Controle Macros

DOMÍNIOSDE TI

DA

DO

S

SIS

TE

MA

S

TE

CN

OL

OG

IA

INS

TA

LA

ÇÕ

ES

NBR ISO/IEC 17799COBIT / COSO

COSO

Objetivos deSegurança

PE

SS

OA

S

IDS (Sistema de Detecção)

• Um Sistema IDS trabalha como uma câmera ou um alarme contra as invasões, permitindo detectar:– Assinaturas de ataques;

– Desvios de comportamentos

• Notifica os administradores.

Atividades (IDS)

• Monitoramento e análise das atividades dos usuários e sistemas;

• Análise estática do padrão de atividade;

• Análise de protocolos;

• Identificação de destino de ataque;

• Detecção de atividades suspeitas em tempo real;

• Flexibilidade de resposta;

• Detecção de erros de configuração;

• Análise de atividades anormais.

Tipos de IDSHIDS

• Baseado em Host (HIDS)– Faz o monitoramento do sistema, com base

em informações de arquivos de logs. É capaz de

monitorar acessos

e alterações em

importantes

arquivos do

sistema.

Tipos de IDSNIDS

• Baseado em Rede (NIDS)– Monitora o tráfego do segmento da rede,

geralmente com a interface de rede em modo “promíscuo”. A detecção acontece através da captura e análise dos cabeçalhos e conteúdos dos pacotes que são comparados com padrões e/ou assinaturas conhecidos. Como exemplo podemos citar Snort e Realsecure.

Honeypot

• São recursos de segurança que serevem para serem atacados ou comprometidos por um atacante.

• Honeypot de pesquisa:– Monitoração de um ataque

• Honeypot de produção:– Mecanismo de alerta

• Teoricamente honeypot é um único sistema conectado a uma rede de produção.

Honeypot

Vantagens de Honeypot

• Como Honeypot é isolado, o fluxo de informações para análise é pequeno comparado com a uma rede de produção;

• Firewall e IDS não são sobrecarregados com grande tráfego;

• Exige poucos recursos;• Etc

Desvantagens de Honeypot

• Visão limitada de tráfego;• Risco de ser invadido e utilizado para

prejudicar outros sistemas;

Níveis de Interação do Honeypots• Baixa Interação:

• Emulam serviços e sistemas operacionis e não permitem que o usuários interaja com o sistema;

• É de fácil instalação;

• Risco mínimo

• Fácil descoberta por atacantes mais qualificados

• Quantias de capturas de informações limitadas

• Exemplos: Specter, Honeyd e KFSensor

• Alta Interação:• Sistemas operacionais reais que permitem interação

do usuário;• Maior captura de informações;• Instalação mais complexa;• Risco maior;• Exemplo: Mantrap

• Honeypots de produção têm um nível baixo de interação e honeypots de pesquisa têm um nível alto de interação

Níveis de Interação do Honeypots

Localização de um Honeypot

• Pode ser instalado na Intranet ou Internet.

• Em frente ao firewall

• Fica for a da rede e não existe risco para rede interna e também não é gerado logs de firewall e do IDS.

• Se os atacantes dominarem o sistema, não é possível controlar o tráfego, podendo colocar em risco outras redes

• Atrás do Firewall (Intranet)

• Normalmente implementado para descoberta de atacantes internos ou detectar alguma configuração vulnerável de firewall;

• Se honeypot for atacado e compormetido por algum externo, este terá acesso a toda rede, sem bloqueio do firewall

• DMZ

• Providencia uma segurança adicional;

• Utiliza firewall para controlar todo tráfego de entra / saída e isolando honeypot da rede de produção.

Localização de um Honeypot

Localização de um Honeypot

Aspectos Legais dos Honeypots

• Armadilha:

• Coagir ou induzir alguém a fazer algo que normalmente não faria, ou seja, instigar a prática de um delito, pode acarretar processo judicial.

• Honeypots não induz ninguém.

• Os ataques são por iniciativa própria do atacantes.

• Os honeypots não são utilizados para processar ninguém e sim para novas descobertas

• Privacidade:

• O sistema que o atacante está usando não pertence a ele, portanto toda monitoração realizada no sistema não pode caracterizar quebra de privacidade.

• Responsabildiade:

• Se o honeypot for comprometido e utilizado para prejudicar outras redes, pode acarretar em processo civil.

Aspectos Legais dos Honeypots

Honeynets

• Uma rede de sistemas e aplicativos múltiplos, para ser comprometida e observada.

• É um tipo de honeypot de alta interação, utilizada principalmente para pesquisa.

• É criado um ambiente que reflete uma rede de produção real.

• Desta forma os riscos e vulnerabilidades são as mesma de um ambiente real.

Funcionamento de Honeynets

• Definição e instalação de ambiente

• Criação de contas de usuários

• Envio de emials entre usuários

• Forjar documentos em alguns diretórios

• Executar alguns comandos para ficar no histórico

• Tornar a rede aparentemente ativa para atrair atenção dos atacantes