TECNOLOGIA DA INFORMAÇÃO

Gildo LeonelLillian Cherrine

QUALIDADE E SEGURANÇA DA INFORMAÇÃO

2

SEGURANÇA

3

A questão da segurança de informações é cada vez mais relevante para as empresas. Quanto maior o nível de informatização de uma companhia, mais críticos deverão ser os procedimentos de segurança adotados.

FLUXO DA INFORMAÇAO

4

D

Fluxo Normal

F

FLUXO DA INFORMAÇAO

5

D

IInterceptação

Sigilo

Minha comunicação é confidencial?

F

FLUXO DA INFORMAÇAO

6

Modificação

Integridade

Minha comunicação foi alterada?

F D

M

FLUXO DA INFORMAÇAO

7

DF

Mascaramento

Autenticação

Com quem eu estou tratando?

M

FLUXO DA INFORMAÇAO

8

DF

Alegações

Não-repúdio

Quem enviou? Quem recebeu? Quando isto ocorreu?

?

NãoEnviei!

NãoRecebi!

FLUXO DA INFORMAÇAO

9

DF

Ataque

Disponibilidade

Poderei me comunicar sempre que precisar?

Ameaças digitais

• Automação dos ataques• Grandes quantidades de dados podem ser

rapidamente coletados e usados.• Ação à distância

• Dificulta a investigação, perseguição e punição• O atacante não precisa estar próximo do seu alvo

• Propagação da técnica• Somente o primeiro atacante precisa ser habilidoso• Os criminosos não precisam de habilidade para

terem sucesso

10

Aspectos da segurança

11

A segurança envolve:

Tecnologia Processos Pessoas

Tecnologia

12

Criptografia Convencional

(Simétrica)

Chave Pública (Assimétrica)

Protocolos PGP

SSL e HTTPS

IPSec

Ferramentas Certificado Digital, CA e PKI

Firewall

Sistemas de Detecção de Intrusos

Analisadores de Vulnerabilidades

Analisadores de Logs

Farejadores de pacotes

Quebradores de senha

Processos

13

Política de Segurança

Auditoria de Segurança

Simulação de Ataques

Plano de Contingência

Pessoas

14

Treinamento

Conscientização

Normas e Procedimentos

Responsabilidade Trabalhista e Legal

Eventos que comprometem a segurança têm relação direta com o comportamento dos funcionários:

• Utilizam senhas obvias para a sua entrada (login) na rede da empresa ou em serviços de e-mail.

• Guardam o seu código de usuário e sua senha em locais de fácil acesso.

• Repassam essas informações a terceiros, sem o devido controle. Dessa forma, estão sujeitos ao que, no jargão técnico na área de segurança de informações, é chamado de engenharia social.

• Abrem anexos de e-mail, mesmo que esses anexos não tenham sido solicitados.

• Jogam no lixo informações técnicas que podem ser utilizadas por hackers para invadir sistemas. Documentação crítica deve ser fragmentada e inutilizada antes de ser jogada no lixo.

15

16

FERRAMENTAS DA SEGURANÇA

•Backups – Cópia de segurança: podem ser utilizados não apenas para situações de emergência, mas também para resgatar arquivos eventualmente apagados ou modificados pelos usuários ou para verificar determinados registros anteriores nos bancos de dados. Para garantir que as fitas de backup estejam sempre acessíveis, o pessoal da área de sistemas mantém essas cópias em um armário na sala do servidor. Complementando, durante um mês, todos os backups diários são efetuados em uma fita diferente, a qual somente será reutilizada transcorrido um mês da gravação.

17

Criptografia É o estudo dos princípios e técnicas pelas quais a informação pode ser transformada da sua forma original para outra ilegível, de forma que possa ser conhecida apenas por seu destinatário (detentor da "chave secreta"), o que a torna difícil de ser lida por alguém não autorizado. Assim sendo, só o receptor da mensagem pode ler a informação com facilidade.

Objetivo:•confidencialidade da mensagem: só o destinatário autorizado deve ser capaz de extrair o conteúdo da mensagem da sua forma cifrada. Além disso, a obtenção de informação sobre o conteúdo da mensagem (como uma distribuição estatística de certos caracteres) não deve ser possível, uma vez que, se o for, torna mais fácil a análise criptográfica.

•integridade da mensagem: o destinatário deverá ser capaz de determinar se a mensagem foi alterada durante a transmissão.

•autenticação do remetente: o destinatário deverá ser capaz de identificar o remetente e verificar que foi mesmo ele quem enviou a mensagem.

Criptografia: O que é?

18

Estudo da Escrita(grafia) Secreta(cripto)

Esconder a informação de todos exceto ...

Verificar a exatidão de uma informação

Base tecnológica para a resolução de problemas de segurança em comunicações e em computação

Criptografia: O que é?

19

Cifragem DecifragemTextoAberto

ChaveK

Texto Aberto

P P

Canal seguro

K

TextoCifrado

c

Alice Beto

Segurança da informação

• A criptografia é primordial, mas insuficiente

• A tecnologia reduz as vulnerabilidades existentes, mas não as elimina

• Solução completa inclui: • Aplicações com criptografia• Ferramentas de segurança• Mudança Cultural • Treinamento

20

Certificado Digital

21

Firewall

22

• Ponto por onde passa todo o tráfego, permitindo:• controle• autenticação • Registro (log)

•Firewall - pode ser um software (programa) ou um hardware (periférico do computador). Ele age bloqueando determinadas atividades em uma rede ou portas de comunicação no protocolo TCP/IP (Internet). Assim como os hackers, que verificam diversos endereços de IP para encontrar portas abertas e deficiências em um sistema para realizar ações ilegais, o Firewall age bloqueando portas não utilizadas ou bloqueando atividades suspeitas.

•Dessa forma, ao fechar portas não utilizadas do protocolo TCP/IP, os Firewalls dificultam ou impedem que hackers explorem essas brechas e tenham acesso ao computador do usuário ou à rede à qual ele está conectado. Esse sistema pode ser utilizado também para proteger um computador que armazene um banco de dados em uma rede.

23

• O firewall pode impedir que programas não autorizados tenham acesso à Internet. Muitos hackers mandam programas em anexos de e-mail. Esses programas podem conter alguma brincadeira, por exemplo. Dessa forma, as pessoas transmitem por e-mail esses programas aos seus amigos. Na verdade, esses programas deixam o equipamento do usuário vulnerável a um ataque externo (e são chamados de cavalos de Tróia), um firewall pode bloquear a ação de um programa desse tipo.

24

•Engenharia Social - Por meio da engenharia social, um hacker consegue se fazer passar por uma pessoa da equipe de manutenção ou do departamento de informática, obtendo informações que, em princípio, estariam protegidas.

•Hackers - O termo hacker é utilizado para designar pessoas que invadem sistemas, redes ou desenvolvem vírus de computador causando algum tipo de dano a computadores, banco de dados ou pessoas.

•Antivírus - como o próprio nome já diz, o antivírus impede que programas e arquivos contaminados se proliferem em uma rede de computadores. Para isso, é fundamental que todos os programas e arquivos recebidos por e-mails, disquetes, CDs e rede, por exemplo, sejam submetidos a uma análise de um programa de detecção de vírus.

25

• Proxy - é um programa que distribui o acesso à Internet através da rede. Para as estações de trabalho que estão na rede, o proxy é a Internet dentro da rede.

• Dessa forma, é possível bloquear no proxy o acesso a determinados endereços ou impedir que o usuário baixe programas e arquivos, assumindo um papel importante na segurança da rede.

• Por meio desse tipo de bloqueio, o proxy poderá evitar que programas não autorizados sejam baixados pela Internet ou que sites com conteúdo não vinculado às atividades da empresa sejam visitados.

26

protocolos seguros

• SSL• Utilizado pelo HTTPS• Fornece sigilo e autenticação em

conexões na web• SSH

• Substitui serviços inseguros como Telnet e FTP

• PGP e S/MIME• Troca de mensagens na Internet com

sigilo, autenticação, integridade e não-repúdio

27