Planejando uma política de segurança da informação - PDF
Download "Planejando uma política de segurança da informação"
Luiz Fernando Castilhos Terra
1 Planejando uma política de segurança da informação Para que se possa planejar uma política de segurança da informação em uma empresa é necessário levantar os Riscos, as Ameaças e as Vulnerabilidades de todos os sistemas de informação da corporação. Os riscos podem ser considerados situações ou condições que criam ou que aumentam o potencial de danos, acarretando problemas pequenos, médios ou grandes. O risco pode ser medido através da possibilidade de um evento acontecer produzindo perdas. Em uma política de segurança da informação é necessário desenvolver uma gestão de riscos, onde os riscos serão classificados em categorias, e a empresa criará um documento especificando as medidas de segurança que deverão ser tomadas para que sejam minimizados os riscos. Além de se atentar aos Riscos deve-se também dar atenção as Ameaças. As ameaças podem ser consideradas como um agente externo aos ativos de informação da empresa, essas ameaças podem prejudicar a confidencialidade, integridade e disponibilidade dos dados e informações sigilosas. E por último, para se planejar uma política de segurança da informação é preciso identificar as vulnerabilidades dos ativos de informação. As vulnerabilidades são fraquezas que qualquer ativo de informação possui e que podem ser exploradas pelas ameaças. Dessa forma, após detectar as vulnerabilidades é muito importante criar medidas de segurança para corrigir, proteger ou esconder as fraquezas dos ativos. Planejamento de segurança dos serviços IPs Para que se obtenha uma satisfatória política de segurança da informação em uma em corporação é importante se atentar para alguns serviços da pilha TCP/IP. Neste caso, alguns serviços que devem ser observados com atenção é o HTTP, o SSH, o SMTP e o DHCP.
2 Serviço HTTP O administrador de redes ao configurar os serviços de rede, inclusive o serviço HTTP, deve tomar algumas precauções, por exemplo, limitar a quantidade de informações exibidas sobre o servidor, remover aquelas funcionalidades que ele não utilizará e configurar corretamente o log. Para que uma rede de computadores permaneça sempre íntegra, é preciso que o administrador de redes implemente algumas regras de acesso aos conteúdos da internet, pois caso contrário, além de prejudicar a rede com a entrada de vírus e malwares, os funcionários podem acessar páginas web indesejáveis no ambiente de trabalho, diminuindo assim a sua produção. Uma das formas de ampliar a segurança do serviço HTTP é a implementação do serviço HTTPs, que permitirá maior confidencialidade dos dados. Serviço SSH Normalmente o administrador precisa acessar remotamente alguns dispositivos em sua rede para uma configuração do sistema. As vezes este dispositivo pode estar geograficamente distante. Para que seja possível o acesso remoto ao dispositivo é mais seguro que se utilize o serviço SSH. Em uma política de segurança é mais adequado utilizar sempre este serviço citado (SSH) do que o serviço TELNET (serviço que possui a mesma função do SSH) pois ele conta com a função de criptografar os dados da conexão, o que o TELNET não oferece ao usuário. Sendo assim o TELNET pode ser considerado como uma ferramenta de acesso remoto insegura. Serviço SMTP O SMTP realiza o controle do transporte e entrega do através da internet ao servidor de destino. Este serviço, envia e recebe s entre os servidores, ao passo que o serviço POP3 recupera o do servidor de e- mail para o computador do usuário.
3 Apesar de extremamente pratico, o SMTP, não é um protocolo seguro. Os métodos de encriptação utilizados por ele dificultam a leitura de alguém que capture a mensagem, mas não o impede. Mas mesmo assim, pensando em uma forma de aumentar a segurança dos dados e informações que trafegam na rede de computadores de uma empresa é importante utilizar a criptografia no serviço SMTP, essa pratica fortalecerá a política de segurança da informação. Outra dificuldade que este protocolo apresenta é que ele não garante a entrega da mensagem enviada. Uma outra pratica de segurança importante para a utilização deste serviço aqui no Brasil, é modificar a porta 25 (porta padrão do serviço) para a porta 587, diminuindo assim a ocorrência de spams. Serviço DHCP É um protocolo de configuração automática para redes IP. O DHCP é projetado para configurar automaticamente um computador com um endereço IP, eliminando a necessidade de intervenção humana. Este protocolo também mantém o controle de computadores conectados à rede e impede que mais de um computador tenha o mesmo endereço IP. Recomendações no uso do serviço para uma maior segurança: Verifique se pessoas não autorizadas não terão acesso físico ou sem fio à rede. Habilite o log de auditoria para todos os servidores DHCP da rede. Verifique regularmente os arquivos de log de auditoria e monitore-os quando o servidor DHCP receber um número elevado de solicitações de concessão dos clientes. Os arquivos de log de auditoria fornecem as informações necessárias para rastrear a origem de qualquer ataque feito contra o servidor DHCP. Reduzir a faixa de IPs que podem ser concedidos aos hosts da rede, dificultando a entrada de algum invasor na rede de computadores.
4 Diminuir o tempo que o serviço DHCP modificará os IPs atribuídos, dificultando algum tipo de ataque a um host específico da rede. Sistema Operacional Os sistemas operacionais são softwares que gerenciam todos os outros programas que o computador possui, os seus recursos, o processamento e o hardware. Dessa forma é possível entender que o Sistema Operacional é essencial para o funcionamento de um computador. Existem vários tipos de sistemas, um dos mais populares é o Windows, mas além dele existe o MacOS, o Linux, o Unix, o Android e outros. O Windows é o mais popular entre os usuários, e por esse motivo existem centenas de softwares que podem encontrar e explorar vulnerabilidades nele, dessa forma o Windows acaba sendo o alvo dos hackers, vírus e malwares. Em uma política de segurança da informação é importante, se possível, utilizar outro tipo de sistema, como por exemplo o Linux, pois esse é integro, forte e bastante seguro. A algum tempo atrás esse sistema operacional era bastante complicado de ser manipulado por um simples usuário porque existiam poucas fontes de informação e suporte, mas atualmente a utilização do Linux é bem mais popular. É possível encontrar muitos manuais e ajuda em sites da internet, além disso vários sistemas operacionais Linux possuem uma interface gráfica, o que pode facilitar a sua utilização pelos colaboradores de uma empresa. Os programas que possuem a função de encontrar brechas e invadir os sistemas operacionais Linux também existem, mas como ele é menos popular entre os usuários, existem muito menos mecanismos de invasão ao compará-lo com o Windows. Ao utilizar o Linux como sistema operacional padrão em sua rede corporativa em primeiro lugar deve-se oferecer aos colaboradores da empresa um treinamento para a utilização do novo S.O.
5 Para aumentar a segurança da informação é sempre interessante configurar corretamente o firewall, bloqueando todas as portas que não serão utilizadas, utilizar um bom antivírus, restringir aos usuários permissões de acesso a diretórios e conteúdos desnecessários para a execução do seu trabalho. Cada S.O trata os serviços IPs de forma diferente, alguns softwares são multiplataforma, mas nem sempre isso acontece, por exemplo, o serviço SSH pode ser tratado no Windows através do software Putty, já no Linux ele pode ser utilizado pelo SSHD. E isso vai funcionar para todos os outros serviços IP, no entanto todos eles terão a mesma função. Com a configuração correta de seus serviços IPs e com seus logs sempre disponíveis a sua política de segurança da informação será satisfatória.
PROJETO INTEGRADOR LUIZ DAVI DOS SANTOS SOUZA
PROJETO INTEGRADOR LUIZ DAVI DOS SANTOS SOUZA Os serviços IP's citados abaixo são suscetíveis de possíveis ataques, desde ataques passivos (como espionagem) até ataques ativos (como a impossibilidade de
Boas Práticas de Segurança da Informação Regras para proteção de dados de cartões para a pequena e média empresa. Prezado Cliente, A constante evolução da tecnologia está sempre rompendo paradigmas, tornando
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO. A FACILIDADE DE DERRUBAR UM SITE UTILIZANDO A NEGAÇÃO DE SERVIÇO (DoS Denial of Service)
POLÍTICA DE SEGURANÇA DA INFORMAÇÃO A FACILIDADE DE DERRUBAR UM SITE UTILIZANDO A NEGAÇÃO DE SERVIÇO (DoS Denial of Service) Segurança em Redes de Computadores FACULDADE LOURENÇO FILHO Setembro/2014 Prof.:
Relatório de Consultoria Supernova Tecnologia da Informação Ltda. Ao Corpo de Diretores. Banco Omega S.A
Relatório de Consultoria Supernova Tecnologia da Informação Ltda. Ao Corpo de Diretores Banco Omega S.A Este relatório tem por base dirimir todas as dúvidas e receios acerca da implantação dos serviços
Projeto e Implantação de Servidores
SERVIÇO NACIONAL DE APRENDIZAGEM COMERCIAL PROGRAMA NACIONAL DE ACESSO AO ENSINO TÉCNICO E EMPREGO SISTEMA DE SELEÇÃO USINICADA DA EDUCAÇÃO PROFISSIONAL E TECNOLÓGICA CURSO TÉCNICO EM INFORMÁTICA Projeto
Faculdade de Tecnologia Senac Goiás Segurança da Informação. Guilherme Pereira Carvalho Neto. Portas e Serviços
Faculdade de Tecnologia Senac Goiás Segurança da Informação Guilherme Pereira Carvalho Neto Portas e Serviços Goiânia 2015 Relatório de portas e serviços na rede Relatório produzido com base em dados colhidos
Discurso difamatório distribuído através da Internet pode resultar em responsabilidade civil para o difamador.
Termos 1.1. PUBLICIDADE E USO COMERCIAL É permitida a divulgação de publicidade e o uso comercial dos sites. 1.2. CONTEÚDO OFENSIVO Discurso difamatório distribuído através da Internet pode resultar em
Mecanismos para Controles de Segurança
Centro Universitário de Mineiros - UNIFIMES Sistemas de Informação Segurança e Auditoria de Sistemas de Informação Mecanismos para Controles de Segurança Mineiros-Go, 12 de setembro de 2012. Profª. Esp.
Planejamento de segurança dos serviços IPs e a influência do sistema operacional FACULDADE DE TECNOLOGIA SENAC GOIÁS
FACULDADE DE TECNOLOGIA SENAC GOIÁS Curso Tema Unidade Curricular Professor Responsável Grupo Tecnologia em Segurança da Informação Projeto Integrador 2015-2 Planejamento de Segurança Planejamento SI Olegário