Matheus Henrique Brás Philippi
2 PRINCIPAIS TIPOS DE ATAQUES A REDES E COMO EVITÁ-LOS: Segurança de acesso Senhas Fragilidades e como corrigí-las Controle de acesso físico Controles biométricos Controles de acesso lógico Detecção de Intrusão Histórico de acessos e auditoria Protocolos de Autenticação
3 PRINCIPAIS TIPOS DE ATAQUES A REDES E COMO EVITÁ-LOS: Segurança de acesso Senhas Fragilidades e como corrigí-las Controle de acesso físico Controles biométricos Controles de acesso lógico Detecção de Intrusão Histórico de acessos e auditoria Protocolos de Autenticação
4 SEGURANÇA DE ACESSO: A Segurança de Acesso é hoje, tanto para acessos físicos a instalações quanto para acessos lógicos a plataformas computacionais ou equipamentos de rede, uma das maiores preocupações das Empresas no que se relaciona a: perda de receita, seja por fraudes, operações indevidas e até mesmo roubos.
5 SEGURANÇA DE ACESSO: O CONTROLE DE ACESSO, na Segurança da Informação, é composto dos processos de autenticação, autorização e auditoria (accounting). Neste contexto o controle de acesso pode ser entendido como: A habilidade de permitir ou negar a utilização de um objeto (uma entidade passiva, como um sistema ou arquivo) por um sujeito (uma entidade ativa, como um indivíduo ou um processo).
6 SEGURANÇA DE ACESSO: A autenticação identifica quem acessa o sistema. A autorização determina o que um usuário autenticado pode fazer. A auditoria diz o que o usuário fez.
7 SEGURANÇA DE ACESSO: Para resolver ou minimizar ao máximo a ocorrência de falhas nessa área o profissional da área de segurança deve: Procurar uma solução de Acesso e Segurança que ofereça alta tecnologia em sistemas aliada a equipamentos de última geração. Uma solução que integre todas as rotinas de acesso e segurança de uma empresa, preferencialmente numa única aplicação. Que seja compatível com qualquer projeto de gerenciamento de segurança e, Proporcione proteção pessoal e patrimonial eficiente a todos os segmentos.
8 SEGURANÇA DE ACESSO: Em resumo, o profissional da área de segurança deve: Buscar a solução que: Proporcione ao usuário a proteção do patrimônio da empresa, além de agilizar a tomada de decisão e a centralização do controle dos riscos.
9 PRINCIPAIS TIPOS DE ATAQUES A REDES E COMO EVITÁ-LOS: Segurança de acesso Senhas Fragilidades e como corrigí-las Controle de acesso físico Controles biométricos Controles de acesso lógico Detecção de Intrusão Histórico de acessos e auditoria Protocolos de Autenticação
10 SENHAS DE ACESSO: A senha (password) para acesso, faz parte dos mecanismos de autenticação. Existem três grupos básicos de mecanismos de autenticação, que se utilizam de: Aquilo que você é (informações biométricas, como a sua impressão digital, a palma da sua mão, a sua voz e o seu olho). Aquilo que apenas você possui (como seu cartão de senhas bancárias e um token gerador de senhas) e, Aquilo que apenas você sabe (como perguntas de segurança e suas senhas).
11 SENHAS DE ACESSO: Uma senha, ou password, serve para autenticar uma conta. É usada no processo de verificação da sua identidade. assegura que você é realmente quem diz ser e que possui o direito de acessar o recurso em questão. É um dos principais mecanismos de autenticação utilizados devido, principalmente, a simplicidade que possui.
12 PRINCIPAIS TIPOS DE ATAQUES A REDES E COMO EVITÁ-LOS: Segurança de acesso Senhas Fragilidades e como corrigí-las Controle de acesso físico Controles biométricos Controles de acesso lógico Detecção de Intrusão Histórico de acessos e auditoria Protocolos de Autenticação
13 SENHAS DE ACESSO (Algumas das formas como podem ser descobertas) Ao ser usada em computadores infectados. Muitos códigos maliciosos, ao infectar um computador, armazenam as teclas digitadas (inclusive senhas), espionam o teclado pela webcam (caso você possua uma e ela e ela esteja apontada para o teclado) e gravam a posição da tela onde o mouse foi clicado. Ao ser usada em sites falsos. Ao digitar a sua senha em um site falso, achando que está no site verdadeiro, um atacante pode armazená-la e, posteriormente, usá-la para acessar o site verdadeiro e realizar operações em seu nome.
14 SENHAS DE ACESSO (Algumas das formas como podem ser descobertas) Por meio de tentativas de adivinhação. Isso pode ser ralizado através de um ataque de força bruta, Brute Force. Ao ser capturada enquanto trafega na rede, sem estar criptografada. Através da interceptação do tráfego (Sniffing).
15 SENHAS DE ACESSO (Algumas das formas como podem ser descobertas) SNIFFING É uma técnica que consiste em inspecionar os dados trafegados em redes de computadores, por meio do uso de programas específicos chamados de sniffers. Esta técnica pode ser utilizada de forma: Legítima: por administradores de redes, para detectar problemas, analisar desempenho e monitorar atividades maliciosas relativas aos computadores ou redes por eles administrados. Maliciosa: por atacantes, para capturar informações sensíveis, como senhas, números de cartão de crédito e o conteúdo de arquivos confidenciais que estejam trafegando por meio de conexões inseguras, ou seja, sem criptografia.
16 SENHAS DE ACESSO (Elaboração de boas senhas) Uma senha boa, bem elaborada, é aquela que é difícil de ser descoberta (forte) e fácil de ser lembrada. Não convém que você crie uma senha forte se, quando for usá-la, não conseguir recordá-la. Também não convém que você crie uma senha fácil de ser lembrada se ela puder ser facilmente descoberta por um atacante.
17 SENHAS DE ACESSO (Elaboração de boas senhas) Alguns elementos que você não deve usar na elaboração de suas senhas são: Qualquer tipo de dado pessoal: evite nomes, sobrenomes, contas de usuário, números de documentos, placas de carros, números de telefones e datas (estes dados podem ser facilmente obtidos e usados por pessoas que queiram tentar se autenticar como você). Sequências de teclado: evite senhas associadas à proximidade entre os caracteres no teclado, como "1qaz2wsx" e "QwerTAsdfG", pois são bastante conhecidas e podem ser facilmente observadas ao serem digitadas. Palavras que façam parte de listas: evite palavras presentes em listas publicamente conhecidas, como nomes de músicas, times de futebol, personagens de filmes, dicionários de diferentes idiomas, etc. Existem programas que tentam descobrir senhas combinando e testando estas palavras e que, portanto, não devem ser usadas.
18 SENHAS DE ACESSO (Elaboração de boas senhas) Alguns elementos que você deve usar na elaboração de suas senhas são: Números aleatórios: Quanto mais ao acaso forem os números usados melhor, principalmente em sistemas que aceitem exclusivamente caracteres numéricos. Grande quantidade de caracteres: Quanto mais longa for a senha mais difícil será descobri-la. Apesar de senhas longas parecerem, a princípio, difíceis de serem digitadas, com o uso frequente elas acabam sendo digitadas facilmente. Diferentes tipos de caracteres: Quanto mais "bagunçada" for a senha mais difícil será descobri-la. Procure misturar caracteres, como números, sinais de pontuação e letras maiúsculas e minúsculas. O uso de sinais de pontuação pode dificultar bastante que a senha seja descoberta, sem necessariamente torná-la difícil de ser lembrada.
19 PRINCIPAIS TIPOS DE ATAQUES A REDES E COMO EVITÁ-LOS: Segurança de acesso Senhas Fragilidades e como corrigí-las Controle de acesso físico Controles biométricos Controles de acesso lógico Detecção de Intrusão Histórico de acessos e auditoria Protocolos de Autenticação
20 CONTROLE DE ACESSO FÍSICO Na segurança eletrônica, o controle de acesso físico desempenha um papel importante para identificar as pessoas presentes em uma determinada área controlada. O acesso de pessoas em áreas restritas, como condomínios, empresas, datacenters, entre outros, deve ser feito através de equipamentos como portas eletrônicas, catracas e cancelas. Todos os acessos devem ser registrados em um software e banco de dados desenvolvidos para este fim. Através do registro é possível rastrear todas as pessoas que estão, ou estiveram presentes na área controlada. Para autenticar e autorizar uma pessoa são utilizadas diversas tecnologias como: cartão de proximidade, biometria e senha.
21 PRINCIPAIS TIPOS DE ATAQUES A REDES E COMO EVITÁ-LOS: Segurança de acesso Senhas Fragilidades e como corrigí-las Controle de acesso físico Controles biométricos Controles de acesso lógico Detecção de Intrusão Histórico de acessos e auditoria Protocolos de Autenticação
22 CONTROLES BIOMÉTRICOS A forma mais popular para registrar pessoas em quase todo o mundo é a impressão digital e as fotografias, que são registradas em fichas e permitem a identificação sem grandes dificuldades. Entretanto, esses métodos têm sido questionados quanto aos problemas de segurança, quer sejam de ordem institucional, governamental ou mundial.
23 CONTROLES BIOMÉTRICOS Definindo biometria A biometria pode ser definida como a ciência da aplicação de métodos de estatística quantitativa a fatos biológicos. É o ramo da ciência que se ocupa da medida dos seres vivos (do grego bio = vida e métron = medida). Resumindo, a biometria é a autenticação / identificação de um indivíduo pelas suas características biológicas e comportamentais.
24 CONTROLES BIOMÉTRICOS - Exemplos de informação biométrica São muitos e variados os exemplos de informação biométrica. A lista abaixo inclui os mais comuns. No entanto, também convém sublinhar que alguns dos exemplos referidos podem envolver várias tecnologias. Por exemplo, no caso do reconhecimento da face, pode ser efetuado de forma óptica ou térmica. Impressões digitais. Reconhecimento da face. Reconhecimento da voz. Reconhecimento da íris. Geometria das mãos. Verificação de assinatura.
25 CONTROLES BIOMÉTRICOS - Exemplos de informação biométrica Além dos exemplos de informação biométrica referidos anteriormente, existem outros que não têm apresentado tanta viabilidade comercial. Entre eles podemos destacar: As análises de DNA. A forma das orelhas. O odor ou cheiro de cada indivíduo. A leitura das veias das costas ou da palma da mão. A geometria dos dedos. A Identificação através das unhas.
26 CONTROLES BIOMÉTRICOS Tipos de biometria Veias da Palma da Mão: mais recente tecnologia biométrica, muitíssimo confiável, imutável, alta dificuldade de fraudar por ser uma identificação interna, higiênica por não ter contato físico, médio custo. Impressão digital: método mais rápido, não higiênico, confiabilidade média mas de baixo custo. Reconhecimento da face: menor confiabilidade, maior tempo exigido para leitura e pesquisa, alto custo. Identificação pela íris: muito confiável, imutável com o passar dos anos, alto custo.
27 CONTROLES BIOMÉTRICOS Tipos de biometria Reconhecimento pela retina: confiável, imutável, leitura difícil e incômoda na medida em que exige que a pessoa olhe fixamente para um ponto de luz, alto custo. Reconhecimento de voz: menos confiável, problemas com ruídos no ambiente, problemas por mudança na voz do usuário devido a gripes ou estresse, demora no processo de cadastramento e leitura, baixo custo. Geometria da mão: menos confiável, problemas com anéis, o usuário precisa encaixar a mão na posição correta, menor custo. Reconhecimento da assinatura: menos confiável, algumas assinaturas mudam com o passar do tempo, também há problemas na velocidade e pressão na hora da escrita, médio custo.
28 CONTROLES BIOMÉTRICOS Tipos de biometria Reconhecimento da digitação: pouco confiável, demora no cadastramento e leitura, baixo custo. Tecnologias futuras: odores e salinidade do corpo humano, padrões das veias por imagens térmicas do rosto ou punho, análise de DNA.
29 CONTROLES BIOMÉTRICOS Tipos de biometria A biometria pode ser utilizada em um sistema de informação para resolver dois problemas importantes: a identificação e o acesso de usuários às instalações físicas de um prédio ou à uma rede de computadores. Os sistemas biométricos, utilizados na segurança, buscam verificar a identidade de um indivíduo (identificação) através das características únicas inerentes a essa pessoa por meio de processos automatizados. Essas características podem ser físicas (olhos, mão, etc) e / ou comportamentais (modo como assina um documento, por exemplo). No controle de acesso, os sistemas biométricos permitem que um indivíduo possa ser autenticado, sem a necessidade de uma senha ou outro dispositivo físico (crachá, cartão eletrônico, etc), ou ainda (e mais usualmente) em combinação com estes.
30 CONTROLES BIOMÉTRICOS Principais componentes Captura: aquisição de uma amostra biométrica. Extração: conversão da amostra para um formato intermediário. Criação de um padrão: conversão do formato intermediário para um padrão que possa ser armazenado. Comparação: comparação com a informação armazenada no padrão.
31 CONTROLES BIOMÉTRICOS Exemplos de aplicação Controle de acesso físico e controle de ponto. Controle de acesso lógico (PC/Rede). Identificação criminal. Vigilância eletrônica. Varejo, pontos de venda e caixas eletrônicos. E-commerce e telefonia. Identificação civil.
32 PRINCIPAIS TIPOS DE ATAQUES A REDES E COMO EVITÁ-LOS: Segurança de acesso Senhas Fragilidades e como corrigí-las Controle de acesso físico Controles biométricos Controles de acesso lógico Detecção de Intrusão Histórico de acessos e auditoria Protocolos de Autenticação
33 CONTROLES DE ACESSO LÓGICO Os controles de acesso lógico são um conjunto de medidas e procedimentos, adotados pela organização, ou intrínsecos aos softwares utilizados, para verificar ou identificar pessoas que estão solicitando acesso a recursos computacionais como computadores, notebooks, smartphones, redes de computadores, aplicações, bases de dados, dentre outros hardwares e softwares que possuem um valor grande o suficiente para terem o seu acesso protegido.
34 CONTROLES DE ACESSO LÓGICO Elementos básicos de controle de Acesso Lógico Dois pontos distintos de controle: O recurso computacional que desejamos proteger, e O usuário a quem pretendemos conceder os privilégios e acesso aos recursos. Objetivos dos controles: Apenas usuários autorizados tenham acesso aos recursos. Os usuários devem ter acesso aos recursos necessários a execução de suas tarefas. O acesso a recursos críticos deve ser monitorado e restrito. Os usuários sejam impedidos de executar transações incompatíveis com sua função ou responsabilidades.
35 CONTROLES DE ACESSO LÓGICO Recursos e informações a serem protegidos Aplicativos: Programas fonte e objeto. O acesso não autorizado pode alterar as funções e/ou rotinas dos programas. Arquivos de dados: Bases de dados podem ser alteradas ou deletadas sem a autorização necessária. Utilitários e Sistema Operacional: O acesso deve ser restrito. Acessos não autorizados podem provocar alterações nos arquivos de configuração ou em arquivos de forma generalizada, podendo ainda permitir a cópia dos mesmos.
36 CONTROLES DE ACESSO LÓGICO Recursos e informações a serem protegidos Arquivos de Senhas: A falta de proteção a esses arquivos compromete toda a segurança do seu sistema computacional que seja autenticado através deles. Se as informações neles contidas forem descobertas e decifradas, a vulnerabilidade será total. Arquivos de Log: Log 5 é o registro de atividade gerado por programas e serviços de um computador. Ele pode ficar armazenado em arquivos, na memória do computador ou em bases de dados.
37 CONTROLES DE ACESSO LÓGICO Recursos e informações a serem protegidos (Arquivos de Log) A partir da análise desta informação você pode ser capaz de: Detectar o uso indevido do seu computador, como um usuário tentando acessar arquivos de outros usuários, ou alterar arquivos do sistema. Detectar um ataque, como de força bruta ou a exploração de alguma vulnerabilidade. Rastrear (auditar) as ações executadas por um usuário no seu computador, como programas utilizados, comandos executados e tempo de uso do sistema. Detectar problemas de hardware ou nos programas e serviços instalados no computador.
38 CONTROLES DE ACESSO LÓGICO Recursos e informações a serem protegidos (Arquivos de Log) Baseado nas informações do arquivo de Log, você pode tomar medidas preventivas para tentar evitar que um problema maior ocorra ou, caso não seja possível, tentar reduzir os danos. Alguns exemplos são: Se o disco rígido do seu computador estiver apresentando mensagens de erro, você pode se antecipar, fazer backup dos dados nele contidos e no momento oportuno enviá-lo para manutenção. Se um atacante estiver tentando explorar uma vulnerabilidade em seu computador, você pode verificar se as medidas preventivas já foram aplicadas e tentar evitar que o ataque ocorra; Se não for possível evitar um ataque, os logs podem permitir que as ações executadas pelo atacante sejam rastreadas, como arquivos alterados e as informações acessadas.
39 CONTROLES DE ACESSO LÓGICO Recursos e informações a serem protegidos (Arquivos de Log) Logs são essenciais para notificação de incidentes, pois permitem que diversas informações importantes sejam detectadas, como por exemplo: A data e o horário em que uma determinada atividade ocorreu. O fuso horário do log, o endereço IP de origem da atividade. As portas envolvidas e o protocolo utilizado no ataque (TCP, UDP, ICMP, etc.). Os dados completos que foram enviados para o computador ou rede e o resultado da atividade (se ela ocorreu com sucesso ou não).
40 CONTROLES DE ACESSO LÓGICO Recursos e informações a serem protegidos (Arquivos de Log) Cuidados a serem Tomados: Mantenha o seu computador com o horário correto (o horário em que o log é registrado é usado na correlação de incidentes de segurança e, por este motivo, deve estar sincronizado. Verifique o espaço em disco livre em seu computador (logs podem ocupar bastante espaço em disco, dependendo das configurações feitas. Evite registrar dados desnecessários, pois isto, além de poder ocupar espaço excessivo no disco, também pode degradar o desempenho do computador, comprometer a execução de tarefas básicas e dificultar a localização de informações de interesse.
41 CONTROLES DE ACESSO LÓGICO Recursos e informações a serem protegidos (Arquivos de Log) Cuidados a serem Tomados: Fique atento e desconfie caso perceba que os logs do seu computador foram apagados ou que deixaram de ser gerados por um período (muitos atacantes, na tentativa de esconder as ações executadas, desabilitam os serviços de logs e apagam os registros relacionados ao ataque ou, até mesmo, os próprios arquivos de logs). Restrinja o acesso aos arquivos de logs. Não é necessário que todos os usuários tenham acesso às informações contidas nos logs. Por isto, sempre que possível, permita que apenas o usuário administrador tenha acesso a estes dados.
42 PRINCIPAIS TIPOS DE ATAQUES A REDES E COMO EVITÁ-LOS: Segurança de acesso Senhas Fragilidades e como corrigí-las Controle de acesso físico Controles biométricos Controles de acesso lógico Detecção de Intrusão Histórico de acessos e auditoria Protocolos de Autenticação
43 DETECÇÃO DE INTRUSÃO Sistema de detecção de intrusão Localização, utilização e controle: Define os locais onde serão utilizados, suas características e o que se pretende com sua utilização. Inspeção: Define rotinas e responsabilidades para a inspeção do seu funcionamento. Uso e monitoramento: Define procedimentos para sua utilização e responsabilidades para monitoramento dos painéis. Ações a serem tomadas em caso de acionamento do alarme. Manutenção: Define rotinas de manutenção.
44 DETECÇÃO DE INTRUSÃO Sistema de detecção de intrusão Registros de alarmes: Define procedimentos de catalogação e arquivamento dos alarmes ocorridos e as providências tomadas. Deve-se atentar para a formatação dos dados, que deve ser de tal forma que possam vir a ser utilizados posteriormente em juízo, se for o caso. Locais sensíveis: Define os locais sensíveis da empresa onde deverá ser dada maior atenção. Previsão de falhas e interferências. Define regras e procedimentos caso haja falhas ou interferências nos equipamentos. Localização do Painel Monitoração.
45 PRINCIPAIS TIPOS DE ATAQUES A REDES E COMO EVITÁ-LOS: Segurança de acesso Senhas Fragilidades e como corrigí-las Controle de acesso físico Controles biométricos Controles de acesso lógico Detecção de Intrusão Histórico de acessos e auditoria Protocolos de Autenticação
46 PRINCIPAIS TIPOS DE ATAQUES A REDES E COMO EVITÁ-LOS: Segurança de acesso Senhas Fragilidades e como corrigí-las Controle de acesso físico Controles biométricos Controles de acesso lógico Detecção de Intrusão Histórico de acessos e auditoria Protocolos de Autenticação