Arquitetura de Segurança

22
 Definindo uma Arquitetura de Segurança de Sistemas Conceitos para a implementação de segurança

Transcript of Arquitetura de Segurança

Page 1: Arquitetura de Segurança

5/17/2018 Arquitetura de Segurança - slidepdf.com

http://slidepdf.com/reader/full/arquitetura-de-seguranca 1/22

 

Definindo uma Arquitetura deSegurança de Sistemas

Conceitos para a implementação de segurança

Page 2: Arquitetura de Segurança

5/17/2018 Arquitetura de Segurança - slidepdf.com

http://slidepdf.com/reader/full/arquitetura-de-seguranca 2/22

 

Como organizar/construir a DEFESA

A combinação de espaço, tempo e força queprecisam ser considerados como elementosbásicos dessa teoria de defesa torna esta

questão bastante complicada.Consequentemente não é fácil encontrar umponto fixo de partida.

DA GUERRA, Carl von Cleusewitz 

 ©Kelber de Souza Albeche

Page 3: Arquitetura de Segurança

5/17/2018 Arquitetura de Segurança - slidepdf.com

http://slidepdf.com/reader/full/arquitetura-de-seguranca 3/22

 

Arquitetura de Segurança

 ©Kelber de Souza Albeche

Estabelecer um corpo de conceitos comuns que permitamsistematizar o projeto de segurança de informação

Page 4: Arquitetura de Segurança

5/17/2018 Arquitetura de Segurança - slidepdf.com

http://slidepdf.com/reader/full/arquitetura-de-seguranca 4/22

 

Iniciativas para Sistematizar Segurança

normas

+

recomendações+

frameworks

+

arquiteturas+

etc...

 ©Kelber de Souza Albeche

um corpo de

conceitos econhecimentosa disposição dosresponsáveis

pela Segurança.

Page 5: Arquitetura de Segurança

5/17/2018 Arquitetura de Segurança - slidepdf.com

http://slidepdf.com/reader/full/arquitetura-de-seguranca 5/22

 

Generalização no uso de informática

• Segurança de Sistemas – equipamentos

 – redes

 –

inter-redes – EXEMPLOS

 ©Kelber de Souza Albeche

Page 6: Arquitetura de Segurança

5/17/2018 Arquitetura de Segurança - slidepdf.com

http://slidepdf.com/reader/full/arquitetura-de-seguranca 6/22

 

Arquitetura de Segurança OSI

Ataque à segurança:qualquer ação quecomprometa a segurança da informação de umaorganização.

 ©Kelber de Souza Albeche

Page 7: Arquitetura de Segurança

5/17/2018 Arquitetura de Segurança - slidepdf.com

http://slidepdf.com/reader/full/arquitetura-de-seguranca 7/22

Arquitetura de Segurança OSI

Mecanismo de segurança:um processo (oudispositivo incorporando este processo) que éprojetado para detectar, impedir, ou permitir arecuperação de um ataque de segurança.

 ©Kelber de Souza Albeche 

Page 8: Arquitetura de Segurança

5/17/2018 Arquitetura de Segurança - slidepdf.com

http://slidepdf.com/reader/full/arquitetura-de-seguranca 8/22

Arquitetura de Segurança OSI

Serviço de segurança : Um serviço de processamentoou comunicação que aumenta a segurança dos sistemasde processamento e as transferências de informação deuma organização. Um serviço pode incorporar um oumais mecanismos de segurança para frustrar

ataques.

 ©Kelber de Souza Albeche 

Page 9: Arquitetura de Segurança

5/17/2018 Arquitetura de Segurança - slidepdf.com

http://slidepdf.com/reader/full/arquitetura-de-seguranca 9/22

Ataques a Segurança

PASSIVOS , não alteram a informação,tentam bisbilhotar ou monitorarcomunicações

liberação de conteúdo da mensagem

análise de tráfego

 ©Kelber de Souza Albeche 

Page 10: Arquitetura de Segurança

5/17/2018 Arquitetura de Segurança - slidepdf.com

http://slidepdf.com/reader/full/arquitetura-de-seguranca 10/22

Ataques a Segurança

ATIVOS , tentam alterar informações erecursos ou impedir o acesso ou uso.

•disfarce de entidade

•repetição de mensagem•modificação de mensagem

•negação de serviço

 ©Kelber de Souza Albeche 

Page 11: Arquitetura de Segurança

5/17/2018 Arquitetura de Segurança - slidepdf.com

http://slidepdf.com/reader/full/arquitetura-de-seguranca 11/22

Serviços de Segurança

Um serviços de processamento ou comunicação queé fornecido por um sistema para prover um tipoespecifico de proteção aos recursos do sistema, osserviços de segurança implementam políticas (oudiretrizes ) de segurança e são implementados pordiversos mecanismos de segurança.

 ©Kelber de Souza Albeche 

Page 12: Arquitetura de Segurança

5/17/2018 Arquitetura de Segurança - slidepdf.com

http://slidepdf.com/reader/full/arquitetura-de-seguranca 12/22

Serviços de Segurança Básicos

Autenticação: garantia de que a entidade secomunicando é aquela que afirma ser.

Controle de Acesso: o impedimento de uso nãoautorizado de um recurso.

Confidencialidade de dados:a proteção de dadoscontra divulgação não autorizada.

Integridade de dados: garantia de que os dadosestão exatamente como foram enviados por uma

entidade autorizada.Irretratabilidade: oferece proteção contranegação, por parte de um entidade envolvida nacomunicação, de ter participado de toda ou parte da

comunicação.  ©Kelber de Souza Albeche 

Page 13: Arquitetura de Segurança

5/17/2018 Arquitetura de Segurança - slidepdf.com

http://slidepdf.com/reader/full/arquitetura-de-seguranca 13/22

ARQUITETURA DE SEGURANÇA OSI

• MECANISMOS DE SEGURANÇACifragem (criptografia).

Assinatura Digital

Controle de Acesso.

Integridade de dados

Troca de Informações de Autenticação.

Certificação

etc.....

 ©Kelber de Souza Albeche 

Page 14: Arquitetura de Segurança

5/17/2018 Arquitetura de Segurança - slidepdf.com

http://slidepdf.com/reader/full/arquitetura-de-seguranca 14/22

VIOLAÇÕES DE SEGURANÇA

• As violações de segurança em sistemascomputacionais correspondem a burlar osmecanismos de segurança de um sistemacomputacional de modo a não severificarem um ou mais aspectos desegurança.

• NOME DA VIOLAÇÃO ASPECTO DE SEGURANÇAATINGIDO

• Revelação não Autorizada Confidencialidade• Modificação não Autorizada Integridade

• Negação de Serviço Disponibilidade

 ©Kelber de Souza Albeche 

Page 15: Arquitetura de Segurança

5/17/2018 Arquitetura de Segurança - slidepdf.com

http://slidepdf.com/reader/full/arquitetura-de-seguranca 15/22

VULNERABILIDADES

• A vulnerabilidade (vulnerability) são característicasindesejáveis (faltas ou defeitos) em sistemas quepodem ser exploradas para concretizar umaviolação de segurança.

• Todos os ambientes são vulneráveis, por princípionão existem ambientes totalmente seguros.

• As vulnerabilidades estão presentes no dia-a-diadas empresas e se apresentam nas mais diversas

áreas de uma organização.• Não existe uma única causa para surgimento de

vulnerabilidades. A negligência por parte dosadministradores e a falta de conhecimento técnico

são exemplos típicos.  ©Kelber de Souza Albeche

 

Page 16: Arquitetura de Segurança

5/17/2018 Arquitetura de Segurança - slidepdf.com

http://slidepdf.com/reader/full/arquitetura-de-seguranca 16/22

INCIDENTE DE SEGURANÇA

 ©Kelber de Souza Albeche

Cada vulnerabilidade existente pode permitir aocorrência de determinados incidentes de segurança.

Desta forma, podemos concluir que são asvulnerabilidades as principais causas das ocorrênciasde incidentes de segurança.

 

Page 17: Arquitetura de Segurança

5/17/2018 Arquitetura de Segurança - slidepdf.com

http://slidepdf.com/reader/full/arquitetura-de-seguranca 17/22

AMEAÇAS

• Em inglês, é utilizado utilizamos o termo “threat”  para definir ameaça.

• A ameaça pode ser definida como qualqueração, acontecimento ou entidade que possa

agir sobre um ativo, processo ou pessoa,através de uma vulnerabilidade econseqüentemente gerando um determinadoimpacto.

• As ameaças apenas existem se houveremvulnerabilidades, sozinhas pouco fazem.• A existência de uma AMEAÇA é que

possibilita que ocorra um ATAQUE

 ©Kelber de Souza Albeche

 

Page 18: Arquitetura de Segurança

5/17/2018 Arquitetura de Segurança - slidepdf.com

http://slidepdf.com/reader/full/arquitetura-de-seguranca 18/22

ATAQUE

• Em inglês, é utilizado o termo “attack”  paradefinir ataque. Ataque é um assalto aosistema de segurança que deriva de umaameaça inteligente

• O ataque é ato de tentar desviar dos controlesde segurança de um sistema concretizando opotencial de uma ameaça que explora umavulnerabilidade.

• O fato de um ataque estar acontecendo nãosignifica necessariamente que ele terásucesso. O nível de sucesso depende davulnerabilidade do sistema ou da atividade eda eficácia de contra-medidas existentes .

 ©Kelber de Souza Albeche 

Page 19: Arquitetura de Segurança

5/17/2018 Arquitetura de Segurança - slidepdf.com

http://slidepdf.com/reader/full/arquitetura-de-seguranca 19/22

AGENTE DO ATAQUE

É necessário um agente, interessado emum ativo valioso que disponha de ummétodo de ataque para explorar umavulnerabilidade.

 ©Kelber de Souza Albeche 

Page 20: Arquitetura de Segurança

5/17/2018 Arquitetura de Segurança - slidepdf.com

http://slidepdf.com/reader/full/arquitetura-de-seguranca 20/22

IMPACTO

• Impacto é a representação (normalmente emforma de avaliação) do grau de danopercebido associado aos ativos de umaempresa.

• O impacto deve ser analisado quanto àmodificação, destruição, divulgação ounegação de informação.

• Relaciona-se a imagem da empresa, ao dano,

a perdas financeiras ou legais e a outrosproblemas que podem ocorrer comoconseqüência de uma ruptura da segurança.

 ©Kelber de Souza Albeche 

Page 21: Arquitetura de Segurança

5/17/2018 Arquitetura de Segurança - slidepdf.com

http://slidepdf.com/reader/full/arquitetura-de-seguranca 21/22

Estudo de Caso

Uma funcionária de uma empresa americana leu anúnciode emprego buscando preencher uma vaga comcaracterísticas muito semelhante ao seu posto. Zangadacom este fato, achando que seu chefe pretendia demiti-la,fez logon no servidor da empresa e apagou todos osdocumentos e desenhos de projetos dos últimos sete anos.Posteriormente um consultor de segurança recuperou osarquivos, cujo valor foi estimado em dois milhões dedólares. A funcionária foi processada por destruição de

dados digitais. A propósito o anúncio não foi colocado pelaempresa em questão.Analise o caso apresentado acima identificando avulnerabilidade, a ameaça, o ataque, o valor do impacto, oagente, o ativo e o interesse do agente no ativo.

 ©Kelber de Souza Albeche 

Page 22: Arquitetura de Segurança

5/17/2018 Arquitetura de Segurança - slidepdf.com

http://slidepdf.com/reader/full/arquitetura-de-seguranca 22/22

Exercício

O impacto causado por um incidente de segurança éproporcional ao tipo de vulnerabilidade encontrada em umativo, ou seja, quanto maior a vulnerabilidade, maior oimpacto, e vice-versa .Julgue a afirmação (Verdadeiro ou Falso) acima justificando suaresposta e corrigindo a frase no que for necessário para torná-laverdadeira.

 ©Kelber de Souza Albeche