Talita Laranjeira Correia
1 Segurança da Informação Aula 01 Introdução à Segurança da Informação Prof. Maxwell Anderson
2 Agenda Introdução Controles de Acesso Lógico Controles de Acesso Físico Norma ISO/IEC 17779:2005 Observação Todo o conteúdo é baseado nos slides Segurança da Informação de Engº Mauro Carvalho Chehab. É utilizado somente para fins educacionais. Maxwell Anderson 2
3 INTRODUÇÃO Maxwell Anderson 3
4 Pilares da Segurança Maxwell Anderson 4
5 Pilares da Segurança Confidencialidade Conceitos Proteger contra acesso não autorizado a informações; Proteger informação (ou parte) contra leitura/cópia por pessoal não autorizado; Rede: proteger dados em trânsito de captura; Objetivo Proteger informação privada Evitar escuta ou a inteligibilidade dos dados. Maxwell Anderson 5
6 Pilares da Segurança Integridade Conceitos Proteger informação contra modificação sem permissão Proteger contra escrita, alteração de conteúdo, alteração de status, remoção e criação; Redes: impedir alteração ou forjamento de pacotes. Objetivo Garantir armazenamento seguro, inclusive das cópias de segurança Maxwell Anderson 6
7 Pilares da Segurança Disponibilidade Conceitos Proteção dos serviços de forma que não sejam degradados ou se tornem indisponíveis; Assegurar a usuários acesso aos dados a ele pertinentes; Também denominado continuidade dos serviços. Maxwell Anderson 7
8 Estratégias de Segurança Mínimo Privilégio (Least Privilege) Restringir privilégios ao mínimo necessário; Canal Estreito (Chocke Point) Ter o mínimo de canais entre duas redes; Defesa em Camadas (Defense in Depth) Possuir mais de um mecanismo de segurança; Elo mais Fraco (Weakest Link) Eliminar pontos mais fracos da rede; Maxwell Anderson 8
9 Estratégias de Segurança Falha Segura (Fail Safe) Na falha, nega acesso; Participação Universal (Universal Participation) Conquistar os usuários no processo; Diversidade na Defesa (Diversity of Defense) Utilizar diferentes produtos e sistemas; Maxwell Anderson 9
10 Estratégias de Segurança Simplicidade (KISS Keep It Simple, Stupid) Complexidade esconde problemas existentes; Tipos Assegurados (Type Enforcement) Programas acessam apenas recursos para suas tarefas. Maxwell Anderson 10
11 CONTROLES DE ACESSO LÓGICO Maxwell Anderson 11
12 Serviços de Controle de Acesso Serviços (também conhecido como AAA) Identificação Obtém a identidade do usuário Autenticação Verifica se identidade pertence ao usuário Autorização Autoriza acesso do usuário a informação ou facilidade Contabilização (Accounting) Registra o processo de acesso do usuário Maxwell Anderson 12
13 Autenticação de Dispositivos e Usuários Modos de autenticação Conhecimento Senha/Phassfrase Posse Tokens Cartões de memória e inteligentes Característica pessoal Fisiológica Retina / Íris Impressão Digital Maxwell Anderson 13
14 Autenticação de Dispositivos e Usuários Modos de autenticação Conhecimento Senha/Phassfrase Posse Tokens Cartões de memória e inteligentes Característica pessoal Fisiológica Retina / Íris Impressão Digital Maxwell Anderson 14
15 Autenticação de Dispositivos e Usuários Modos de autenticação Conhecimento Senha/Phassfrase Posse Tokens Cartões de memória e inteligentes Característica pessoal Fisiológica Retina / Íris Impressão Digital Maxwell Anderson 15
16 Autenticação de Dispositivos e Usuários Modos de autenticação Conhecimento Senha/Phassfrase Posse Tokens Cartões de memória e inteligentes Característica pessoal Fisiológica Retina / Íris Impressão Digital Maxwell Anderson 16
17 Autenticação de Dispositivos e Usuários Modos de autenticação Conhecimento Senha/Phassfrase Posse Tokens Cartões de memória e inteligentes Característica pessoal Fisiológica Retina / Íris Impressão Digital Maxwell Anderson 17
18 Autenticação de Dispositivos e Usuários Modos de autenticação de Comportamento Assinatura Digitação Voz Alguns autores consideram também Localização Acesso apenas de pontos bem definidos - Uso militar Segundo demais autores, faz parte da autorização Maxwell Anderson 18
19 Mecanismos de Controle de Acesso Ocorre em duas camadas: Cliente (ou sujeito) Pessoa ou equipamento que deseja obter acesso a uma informação ou facilidade Servidor (ou objeto) Pessoas ou equipamentos que estão incumbidos de identificar, autenticar, autorizar e registrar (contabilizar) o acesso e as suas tentativas. Pode ser: Lógico: Acesso a sistemas Físico: Acesso às dependências da empresa Maxwell Anderson 19
20 Biometria Face Reconhece características da face e de sua estrutura óssea. Retina Reconhece vasos sanguíneos no fundo dos olhos. Íris Reconhece anéis coloridos do tecido que circunda a pupila (mais preciso) Assinatura Analisa velocidade e pressão de uma assinatura. Impressão digital Reconhece os sulcos da impressão Maxwell Anderson 20
21 Biometria Geometria da mão são rápidos, de fácil operação Medidas da mão do usuário Digitação Reconhece a velocidade e pressão utilizadas ao digitar informações no teclado Maxwell Anderson 21
22 Autenticação Forte Consiste em autenticação por mais de um modo. Exemplos: Cartão e senha do banco; Digital e senha; Token e senha; Terminal de acesso privilegiado, íris e senha Maxwell Anderson 22
23 Controle de Acesso a Dados Quanto a centralização do controle Controle de Acesso Centralizado (Centralized Access Control) Controle de Acesso Descentralizado (Decentralized Access Control) Maxwell Anderson 23
24 Controle de Acesso Centralizado Uma entidade (indivíduo, departamento, dispositivo) toma decisões de acesso Gestores decidem quais usuários podem acessar objetos específicos A administração suporta estas diretrizes Maxwell Anderson 24
25 Controle de Acesso Descentralizado Controle é dado ao pessoal mais próximo do recurso por gerentes departamentais e, em alguns casos, por usuários Requisições de acesso não são processados por uma entidade centralizada Relacionamento ponto a ponto Problemas: Falta de Padronização Possibilita superposição de direitos Possibilita furos de segurança Maxwell Anderson 25
26 Controle de acesso baseado em regras Rule Based Access Control O acesso é baseado em uma lista de regras O administrador cria a lista de regras Mecanismos de mediação aplicam as regras para garantir acesso autorizado Interceptam cada requisição, comparando com as autorizações do usuário Maxwell Anderson 26
27 Controle de acesso baseado em perfil RBAC - Role Based Access Control Decisões de controle de acesso são baseadas em função do cargo Cada função possui suas próprias capacidades de acesso conforme o perfil (role) As capacidades de acesso são herdadas pelos usuários atribuídos a aquele cargo A determinação do perfil (role) é discricionária, conforme uma política de segurança de controle de acesso Maxwell Anderson 27
28 CONTROLES DE ACESSO FÍSICO Maxwell Anderson 28
29 Limites físicos Dependências e ambientes Pequenos espaços determinados dentro das instalações. Áreas grandes espaços dentro dos quais se edificam instalações. Cuidados e prioridades diferentes em função da importância para o negócio. depender do nível de sensibilidade ou periculosidade de cada local Em relação ao processo institucional às pessoas ao meio ambiente à sociedade. Maxwell Anderson 29
30 Perímetro de segurança Consiste em se estabelecer ambientes físicos segmentados a fim de proporcionar diferentes níveis de segurança. Locais com Informações mais sensíveis, devem estar mais protegidos Muitas vezes associado à compartimentalização de espaços físicos e lógicos. Barreiras de segurança Implementar os perímetros Segmentar áreas físicas ou lógicas Oferecer níveis de resistência e proteção complementares e crescentes. Maxwell Anderson 30
31 Tipos de Barreira de Segurança São seis as barreiras de segurança: a) Desencorajar: desestimular as ameaças pela existência explicita de mecanismos de segurança físicos, tecnológicos e humanos. Exemplos Câmeras de vídeo, avisos da existência de alarmes, divulgação de política de segurança ou informar sobre práticas de auditoria e monitoramento Maxwell Anderson 31
32 Tipos de Barreira de Segurança São seis as barreiras de segurança: b) Dificultar: Adotar mecanismos e controles que irão dificultar o acesso indevido Exemplos: Dispositivos de autenticação para acesso físico: roletas, detectores de metal e alarmes; senhas; certificados digitais; firewall; etc. Maxwell Anderson 32
33 Tipos de Barreira de Segurança São seis as barreiras de segurança: c) Discriminar: Utilizar recursos para identificar e gerir acessos, definindo perfis e autorizando permissões. Exemplos: Avaliação e gestão de recursos, como correio eletrônico, impressora, fluxo de acesso físico a ambientes e sistemas Maxwell Anderson 33
34 Tipos de Barreira de Segurança São seis as barreiras de segurança: d) Detectar: Sinalizar, alertar e instrumentalizar gestores da segurança na detecção de situações de risco Exemplos: Detecção de tentativa de invasão, de contaminação por vírus, de cópia não autorizada de informações sigilosas. Maxwell Anderson 34
35 Tipos de Barreira de Segurança São seis as barreiras de segurança: e) Deter: Impedir que a ameaça atinja objetivos essenciais Exemplos: medidas de detenção: ações administrativas e punitivas; bloqueio de acessos Maxwell Anderson 35
36 Tipos de Barreira de Segurança São seis as barreiras de segurança: f) Diagnosticar: Avaliar a eficiência das barreiras, apoiado em análise de risco atentando a novas ou a velhas ameaças com novas formas de agir,e a novos produtos e soluções de segurança. Maxwell Anderson 36
37 Requisitos de Proteção de Informação A segurança física deve salvaguardar contra: dano, perda e roubo Controles físicos requeridos: Solo perímetro edifício Pontos de entrada ao edifício Dentro do prédio Andares Escritórios Maxwell Anderson 37
38 Requisitos de Proteção de Informação Segurança DataCenter Sala de servidores Proteção de equipamentos de TI Proteção de objetos Maxwell Anderson 38
39 Barreiras de Perímetro Quando barreiras de perímetro funcionam: 80 a 0 em uma polegada Em 14 de março, um caminhão com dois ocupantes tentou passar pelo Portal Swan em Davis-Monthan AFB em uma Tucson. Eles descobriram da maneira mais difícil que a barreira funciona. O caminhão passou de 80 km/h a 0 km/h em 1 polegada. Motorista e passageiro estavam bêbados. Drogas e uma arma foram encontradas no veículo. Ambos foram também soltos do carro, então preciso dizer que tiveram um encontro com uma enfermeira de UTI. Eu acho que essas barreiras são operacionais. Maxwell Anderson 39
40 Barreiras de Perímetro Quando barreiras de perímetro funcionam: 80 a 0 em uma polegada Maxwell Anderson 40
41 Definições aplicadas à segurança física Ameaças Qualquer indicação, circunstância ou evento que possa causar perda ou dano a recurso, lesões a pessoas ou perdas de vidas Tipos de ameaça Natural Causadas por seres humanos Maxwell Anderson 41
42 Definições aplicadas à segurança física Design ambiental Produz efeitos comportamentais ante ameaças, reduzindo: O incidente O risco do crime Foca nas relações entre comportamento social das pessoas e no seu ambiente Maxwell Anderson 42
43 Aspectos de construção de facilidades Muros Janelas Vidros normais (standard plate) Temperados Materiais acrílicos Policarbonados combinações Vidro policarbonados melhor de cada material Maxwell Anderson 43
44 Aspectos de construção de facilidades Lexan Alta resistência (vide Bomb Blast Film Filmes resistentes a ventos causados por explosão Janelas resistentes a balas Sensores de quebra de vidros Maxwell Anderson 44
45 Aspectos de construção de facilidades Lexan Alta resistência (vide Bomb Blast Film Filmes resistentes a ventos causados por explosão Janelas resistentes a balas Sensores de quebra de vidros Portas Ocas (Hollow-core) Sólidas (Solid-core) dobradiças (Hinges) vulnerabilidades nos portais (doorframe) Maxwell Anderson 45
46 Aspectos de construção de facilidades Pontos de Entrada Entradas Primárias Secundárias Janelas Acesso pelo teto Entradas de manutenção Maxwell Anderson 46
47 Objetivos e conceitos gerais NORMA ISO/IEC 17779:2005 Maxwell Anderson 47
48 Maxwell Anderson 48
49 Informação Ativo essencial para os negócios Necessita proteção adequada Exposta a: Ameaças Vulnerabilidades Existe em diversas formas: Papel, eletrônica, transmitida, filmada, falada Maxwell Anderson 49
50 O que é Segurança da Informação Proteção da informação de vários tipos de ameaças para garantir a Continuidade do negócio; Minimizar o risco do negócio; Maximizar retorno sobre investimentos e oportunidades de negócio. Maxwell Anderson 50
51 Gestão da Segurança da Informação Requer participação de: Todos os funcionários da organização Pode ser necessário também: Acionistas Fornecedores Terceiras partes Clientes Outras partes externas Consultoria externa Maxwell Anderson 51
52 Termos e Definições Ativo Qualquer coisa que tenha valor para a organização Controle Forma de gerenciar o risco, incluindo: Políticas, Procedimentos, diretrizes, práticas; estruturas organizacionais Sinônimo de proteção ou contramedida; Política Intenções e diretrizes globais fortemente expressas pela direção Maxwell Anderson 52
53 Termos e Definições Diretriz Descrição que orienta o que deve ser feito e como Para alcançar os objetivos estabelecidos nas políticas Recursos de Processamento da Informação Qualquer sistema, serviço, infraestrutura ou instalações físicas de processamento de informação Maxwell Anderson 53
54 Termos e Definições Segurança da Informação (SegInfo) preservação da CID (Confidencilidade, Integridade e Disponibilidade) Adicionalmente: autenticidade, responsabilidade, não repúdio e confiabilidade Evento de Segurança da informação Ocorrência que indica possível violação da Política de segurança, falha de controles ou situação desconhecida que possa ser relevante para SegInfo Maxwell Anderson 54
55 Conceitos de Riscos Risco Probabilidade de um evento e suas consequências Ameaça Causa potencial de um incidente indesejado que pode resultar em dando para um sistema ou organização Vulnerabilidade Fragilidade de um ativo ou grupo de ativos que pode ser explorada por uma ou mais ameaças Maxwell Anderson 55
56 Vulnerabilidades Vulnerabilidade é um ponto no qual o sistema é suscetível a ataque. Por exemplo: As pessoas que operam e usam o sistema (elas foram treinadas adequadamente)? A conexão do sistema à Internet (as comunicações são criptografadas)? O prédio estar em uma área sujeita a inundações (o sistema está no piso térreo do prédio)? Maxwell Anderson 56
57 Classificação das Vulnerabilidades As vulnerabilidades as quais os sistemas de informação estão sujeitos podem ser classificadas em: físicas; naturais; de hardware e software; de mídia; por emanação (p. ex. eletromagéticas); de comunicação; humanas. Maxwell Anderson 57
58 Vulnerabilidades Físicas Os prédios e salas que mantém o sistema são vulneráveis podendo ser invadidos; Por exemplo: Através de arrombamento. Um avião pode entrar pela porta do seu CPD (11/Setembro/2001)!!! Maxwell Anderson 58
59 Vulnerabilidades Naturais Computadores são extremamente vulneráveis a desastres de ordem natural e às ameaças ambientais. Desastres como fogo, inundação, terremoto e perda de energia podem danificar computadores ou destruir dados. Poeira, umidade ou condições de temperatura inadequadas também podem causar estragos. Maxwell Anderson 59
60 Vulnerabilidades de Hardware e Software Falhas de hardware e software podem comprometer toda a segurança de um sistema. Falhas de software ou bugs podem abrir buracos ou portas no sistema, ou ainda, fazê-lo comportar-se de forma imprevista. Mesmo que individualmente os componentes de hardware e software sejam seguros, a sua instalação ou conexão inadequadas podem comprometer a segurança do sistema. Maxwell Anderson 60
61 Vulnerabilidades de Mídia Discos, fitas e material impresso pode ser facilmente roubado ou danificado. Informações sensíveis podem ser mantidas em discos ou fitas mesmo após terem sido logicamente removidas, mas não fisicamente apagadas. Maxwell Anderson 61
62 Vulnerabilidades por Emanação Eletromagnética Todos equipamentos eletrônicos emitem radiações elétricas e eletromagnéticas. Os sinais emitidos por computadores, equipamentos de rede e monitores podem ser captados e decifrados permitindo a obtenção das informações contidas no sistema ou a inferência sobre seu conteúdo. Redes sem fio transmitem sinais muitas vezes em claro que podem ser captados. Maxwell Anderson 62
63 Vulnerabilidades na Comunicação Mensagens em trânsito podem ser interceptadas, desviadas ou forjadas. Linhas de comunicação podem ser escutadas ou interrompidas. Maxwell Anderson 63
64 Vulnerabilidades Humanas As pessoas que administram e usam o sistema representam sua maior vulnerabilidade. Normalmente a segurança de todo o sistema está sob o controle do administrador do sistema. Os usuários, operadores ou administradores do sistema podem cometer erros que comprometam o sistema ou ainda, podem ser subornados ou coagidos a cometer atos danosos. Maxwell Anderson 64
65 Ameaças Consiste em possíveis perigos para o sistema. O perigo pode ser originado por: uma pessoa (um espião, um criminoso profissional, um hacker ou mesmo um funcionário mal intencionado); uma coisa (uma peça de hardware ou software defeituosa); um evento (fogo, queda de energia, uma inundação ou terremoto). Maxwell Anderson 65
66 Tipos de Ameaças As ameaças que podem ser oferecidas pelo ambiente ao qual o sistema está exposto podem ser classificadas em: naturais e físicas; não-intencionais; intencionais. Maxwell Anderson 66
67 Ameaças Naturais São ameaças às quais todos equipamentos ou instalações físicas de uma organização podem estar sujeitas: fogo, inundações, quedas de energia. Normalmente é difícil evitar a ocorrência de tais eventos. Pode-se minimizar as chances de que o estrago será severo e também fazer o planejamento para a recuperação após a ocorrência de um desastre de ordem natural. Maxwell Anderson 67
68 Ameaças não intencionais São os perigos trazidos pela ignorância. Por exemplo: um usuário ou administrador de sistema que não tenha sido treinado; que não tenha lido a documentação; que não tenha entendido a importância do cumprimento das regras de segurança estabelecidas. A maior parte dos danos causados no sistema surgem pela ignorância dos seus usuários ou administradores e não por ações maliciosas. Maxwell Anderson 68
69 Ameaças intencionais São as ameaças que viram notícias de jornal e sobre as quais os produtos de segurança melhor podem atuar. As ameaças intencionais podem surgir a partir de dois tipos de vilões: internos ou externos. Vilões externos incluem: Criminosos profissionais Hackers Terroristas Empresas competidoras Maxwell Anderson 69
70 Impactos Representa a importância de cada ativo no negócio. É função do valor do ativo e da importância do ativo para a organização. Exemplo: A perda da agenda de anotações do presidente pode ter maior impacto que o roubo de um micro no call-center. Maxwell Anderson 70
71 Impactos Representa a importância de cada ativo no negócio. É função do valor do ativo e da importância do ativo para a organização. Exemplo: A perda da agenda de anotações do presidente pode ter maior impacto que o roubo de um micro no call-center. Maxwell Anderson 71
72 Segurança da Informação Referência Bibliográfica Chehab, M. C. Segurança da Informação. [S.n, s.i] Disponível em < a_informacao-_prof._mauro_chehab.pdf > Maxwell Anderson 72
Segurança da Informação TCU Parte 1 Engº Mauro Carvalho Chehab, MSc, CISSP maurochehab@gmail.com Bibliografia Sugerida ISO/NBR ABNT 17799/2005; Nakamura Emilio & Geus, Paulo, Segurança de Redes em Ambientes