Palestra: Segurança em Sistemas, Março de 2014

Organização da Apresentação

• Quem sou eu?;

• Dados e informação;

• Sistemas de informação;

• Segurança;

• Vulnerabilidade;

• Ataques;

• Ferramentas;

• Dicas.

Quem sou eu?

• Analista de Suporte;

• Dualtec;

• E-commerce;

• E.M – Hirayuki Enomoto

• Worktech;

• D.E – Região de Jales;

• EFAP – Rede do Saber

Quem sou eu?

Dados e informação

• Antes de prosseguirmos é necessário deixar claro qual é o conceito que diferencia dados de informação;

• Dados são registros não relacionados ou processados que pertencem a alguma entidade;

• Informação é um conjunto de dados agrupados, processados e organizados de um modo que retorne um conhecimento sobre algo.

Sistemas de informação

• Inicialmente o uso de softwares em organizações era restrito a registro de dados e contabilidade;

• Após muito tempo tornou-se uma ferramenta de apoio a decisão;

• Sistemas de informação são compostos por pessoas e softwares;

• Um sistema de informação fornece relatórios para: -Classificar melhores clientes; -Selecionar melhores fornecedores; -Monitorar a entrega de produtos; -Detectar problemas em setores de uma organização; -Monitorar a validade do estoque.

• Com o uso de um S.I é possível selecionar os melhores clientes para um marketing mais efetivo;

• Evitar perdas de estoque criando promoções de produtos próximos de sua validade;

• Ter um apoio maior na tomada de decisão.

Segurança

• Segurança em T.I significa proteger informações, sistemas, recursos e serviços contra desastres, erros e manipulação não autorizada.

Segurança

• Exemplos: -Recursos: Link de internet e memória dos computadores; -Serviços: Servidores de sistemas, banco de dados e e-mails; -Desastres: Desabamentos, inundações, atentados e explosões.

Segurança

• É dever do profissional de segurança garantir a acessibilidade, integridade e disponibilidade da informação e recursos.

• Acessibilidade = Níveis de acessos corretos.

• Integridade = A informação não contém erros.

• Disponibilidade = O recurso sempre esta sempre disponível para ser acessado.

Segurança

• Após os ataques de 11 de setembro diversas empresas deixaram de existir, não só por perderem todos seus funcionários e equipamentos;

• Deve-se considerar planos de contingência não somente para catástrofes, mas para qualquer situação de risco a informação.

Segurança

• Alguns exemplos:

Analise de catástrofes

Tipo Hardware Humanos Formulários

Incêndio Destruição Morte Destruição

Falta de energia Parado Parado Parado

Motins Roubo Não atendimento Inutilizados

Planos

Tipo Preventivo Corretivo Restaurador

Incêndio Proibir o fumo Uso de extintor Mudar localização

Falta de energia Instalar no-break Acionar gerador Revisar instalações

Motins Identificar lideres Ação conjunta com PM

Remanejar lideranças

Vulnerabilidade

• Variáveis em sessão;

• SSL;

• Hidden, Get e Post;

• Robot.txt;

• Google Dorks;

Vulnerabilidade

• Criptografia;

Vulnerabilidade

• Criptografia;

Cifra de César

Normal: A B C D E F G H I J K L M N O P Q R S T U V X Y Z

Cifrado: D E F G H I J K L M N O P Q R S T U V X Y Z A B C

Vulnerabilidade

• Internet 2.0;

• Ajax;

• Json;

• Jquery.

Vulnerabilidade

{ alert("O campo " + Formulario.Campo.name + " deve ser preenchido!"); variavel.Campo.focus(); return false; } return true; } </script>

<h:form id="Cadastro"> <h:panelGrid columns="2"> Nome: <h:inputText id="nome" value="#{beanvalida.nome}" required="true" requiredMessage="O campo Nome não pode estar vazio"/> <h:commandButton id="btnCadastro" value="Cadastrar" action="#{beanvalida.validacaocadastro}" /> <h:messages></h:messages> </h:panelGrid> </h:form> 26

Ataques

• BotNet ou Rede de Bots

Você esta ai?

Sim estou

Ok então

Ataques

• Conexão TCP – Bem sucedida e encerrada.

Pacote SYN

Pacote ACK

Pacote RST

Você esta ai?

Sim estou

Parei de falar com você

Ataques

• Conexão TCP – Tentativa encerrada pelo servidor

Pacote SYN

Time out- Servidor para de se comunicar

Ataques

• Portas de conexões com o servidor por TCP

Pacote SYN

Servidor Web

Numero máximo de conexões suportadas de um servidor

Ataques

• Servidor usando uma porta para conexão

Servidor Web

Pacote SYN Pacote SYN

Você esta ai? (Sua requisição)

Sim, estou!

Ataques

• Inundação por TCP

Você esta ai? (De outro)

DENIAL OF SERVICE

Servidor Web

Ataques

• Pode-se esgotar também os recursos do servidor

Pacote SYN Pacote SYN

Sim, estou! :D

Servidor Web

Ataques

Você esta ai? (Sua requisição) Você esta ai? (Sua requisição)

Servidor Web

Ataques

Servidor Web

Ataques

Você esta ai? (De outro)

DENIAL OF SERVICE

Servidor Web

Ataques

• 3.400 videos HD;

• DDoS;

• Servidores de DNS;

• Existe coisa pior?

Ataques

• A previsão do próximo ataque é que ele tenha uma amplificação de 650 vezes mais dados referente ao 400 Gbps.

Ataques

• A amplificação por servidores abertos de DNS.

Servidores DNS

Servidor Web

Computador

Ataques

• Como a mídia descreve um ataque.

Ataques

• Os próximos slides mostram a situação de uma empresa que possui três prédios com mais de 1Km de distância entre eles.

• Os prédios dos setores de Marketing e Vendas tem acesso restrito a sua própria atividade enquanto o setor financeiro possui acesso ilimitado.

• Deve-se garantir a conexão de internet e entre os setores, além de garantir a segurança da aplicação e da informação.

Switch CISCO 48 portas

PowerVault 114X, Backup diario em duas fitas

PatchPanel

DELL - NSA 6600 Network Security Appliance – Firewall, FailOver, MULTIWAN

DELL - Servidor de aplicação PowerEdge R720 – Multi Processoadores Intel® Xeon®

Servidor de armazenamento NAS QNAP TS-412U - RAID

Sala dos servidores

O Diagrama mostra como será o rack da sala dos servidores

Ataques

• Deve-se considerar o valor do que pretende-se proteger.

• inurl:"ViewerFrame?Mode="

Ferramentas

• Back Track Linux agora é Kali Linux;

• SQLMAP, Injeção automática de SQL ;

• Imacros, Complemento para Mozilla;

• Hiren Boot;

• Princípios de Sistema de Informação;

• Organização, Sistemas e Métodos ;

• Usabilidade;

• Coursera - coursera.org;

Perguntas

Contato

Rodney Mazuqui duvidas@gmail.com

Palestra: Segurança em Sistemas, Março de 2014

Documents

Transcript of Palestra: Segurança em Sistemas, Março de 2014

Palestra Dds – Diálogo Diário de Segurança

Palestra segurança da informação

Palestra segurança em eletricidade na construção civil

Palestra: Segurança da Informação no Mundo Pós-SPED

Palestra iel ce juazeiro norte eduardo grizendi março 2012

Palestra Segurança Máquinas e Equipamentos_Abertura

Por que Startup? Palestra @ Social Web Day Março de 2013

Jornal do SINTESP - SINTESP - Sindicato dos Técnicos de Segurança … · Palestra do Eng. Antonio Pereira, da DRT/SP Palestra do Laércio Fernandes Seminário de Segurança e Saúde

Palestra Segurança TI - 2

PALESTRA: Palestra NR 10 - Segurança em Instalações e ...webadvisor.com.br/sites/700/784/00001713.pdf · N R 1 0 – Segurança em instalações e serviços elétricos ... NR-10

Palestra - Mandado de Segurança

PALESTRA SEGURANÇA - CEFET

Palestra gestão de conflitos março 2013

163-Palestra Segurança - EPI

Palestra Ergonomia Na Construção Civil - Segurança Do Trabalho Nwn

Palestra - Conceitos Básicos sobre Política de Segurança e Firewall

Palestra Redes Sociais & Mundo Digital - Associação Comercial de SP março 2011

Palestra Ferramentas de Segurança Open Source v.2

Palestra "O Meu Caminho de Santiago 18 de Março de 2017

Palestra técnica - Aprendendo segurança em redes industriais e SCADA