INF712Gerência de Segurança da

InformaçãoMissão, requisitos e serviços de segurança

Prof. Ricardo Dahab

Instituto de Computacao-UNICAMP

14 de dezembro de 2002

INF712Gerencia de Seguranca da Informacao – p.1/32

Fonte principal

Relatório Especial do NIST 800-33 de dezembro de 2001

INF712Gerencia de Seguranca da Informacao – p.2/32

A missão da T.S.I.

Missão primordial da Tecnologia de Segurança daInformação:

Auxiliar uma organização a alcançar os seus objetivos emetas, implementando sistemas que levem em conta osriscos da utilização da Tecnologia da Informação para aorganização, seus parceiros e clientes.

INF712Gerencia de Seguranca da Informacao – p.3/32

Sobre a missão

A missão não leva em conta riscos de segunda ordemcomo impactos no nível de emprego, produtividade, etc.

A preocupação é com o mau uso do sistema, acidentalou não, que coloque em risco requisitos de segurança.Essa área é conhecida por system security.

Há uma área correlata, system safety, que enfoca ofuncionamento confiável de sistemas na eventualidadede mal funcionamento por falhas involuntárias.

Essas duas áreas vêm se aproximando, compartilhandotecnologias e conferências, sob o nome de systemdependability.

Neste curso estamos mais interessados em systemsecurity.

INF712Gerencia de Seguranca da Informacao – p.4/32

Sobre a missão

A missão não leva em conta riscos de segunda ordemcomo impactos no nível de emprego, produtividade, etc.

A preocupação é com o mau uso do sistema, acidentalou não, que coloque em risco requisitos de segurança.Essa área é conhecida por system security.

Há uma área correlata, system safety, que enfoca ofuncionamento confiável de sistemas na eventualidadede mal funcionamento por falhas involuntárias.

Essas duas áreas vêm se aproximando, compartilhandotecnologias e conferências, sob o nome de systemdependability.

Neste curso estamos mais interessados em systemsecurity.

INF712Gerencia de Seguranca da Informacao – p.4/32

Sobre a missão

A missão não leva em conta riscos de segunda ordemcomo impactos no nível de emprego, produtividade, etc.

A preocupação é com o mau uso do sistema, acidentalou não, que coloque em risco requisitos de segurança.Essa área é conhecida por system security.

Há uma área correlata, system safety, que enfoca ofuncionamento confiável de sistemas na eventualidadede mal funcionamento por falhas involuntárias.

Essas duas áreas vêm se aproximando, compartilhandotecnologias e conferências, sob o nome de systemdependability.

Neste curso estamos mais interessados em systemsecurity.

INF712Gerencia de Seguranca da Informacao – p.4/32

Sobre a missão

A missão não leva em conta riscos de segunda ordemcomo impactos no nível de emprego, produtividade, etc.

A preocupação é com o mau uso do sistema, acidentalou não, que coloque em risco requisitos de segurança.Essa área é conhecida por system security.

Há uma área correlata, system safety, que enfoca ofuncionamento confiável de sistemas na eventualidadede mal funcionamento por falhas involuntárias.

Essas duas áreas vêm se aproximando, compartilhandotecnologias e conferências, sob o nome de systemdependability.

Neste curso estamos mais interessados em systemsecurity.

INF712Gerencia de Seguranca da Informacao – p.4/32

Sobre a missão

A missão não leva em conta riscos de segunda ordemcomo impactos no nível de emprego, produtividade, etc.

A preocupação é com o mau uso do sistema, acidentalou não, que coloque em risco requisitos de segurança.Essa área é conhecida por system security.

Há uma área correlata, system safety, que enfoca ofuncionamento confiável de sistemas na eventualidadede mal funcionamento por falhas involuntárias.

Essas duas áreas vêm se aproximando, compartilhandotecnologias e conferências, sob o nome de systemdependability.

Neste curso estamos mais interessados em systemsecurity.

INF712Gerencia de Seguranca da Informacao – p.4/32

Requisitos da S.I.

Requisitos básicos da Segurança da Informação:

Disponibilidade (de dados e do sistema)

Integridade (de dados e do sistema)

Confidencialidade (de dados e informações do sistema)

Responsabilização (de indivíduos)

Além desses, há um meta-requisito, a asseguração de que os

demais requisitos tenham sido satisfeitos.

INF712Gerencia de Seguranca da Informacao – p.5/32

Requisitos da S.I.

Requisitos básicos da Segurança da Informação:

Disponibilidade (de dados e do sistema)

Integridade (de dados e do sistema)

Confidencialidade (de dados e informações do sistema)

Responsabilização (de indivíduos)

Além desses, há um meta-requisito, a asseguração de que os

demais requisitos tenham sido satisfeitos.

INF712Gerencia de Seguranca da Informacao – p.5/32

Requisitos da S.I.

Requisitos básicos da Segurança da Informação:

Disponibilidade (de dados e do sistema)

Integridade (de dados e do sistema)

Confidencialidade (de dados e informações do sistema)

Responsabilização (de indivíduos)

Além desses, há um meta-requisito, a asseguração de que os

demais requisitos tenham sido satisfeitos.

INF712Gerencia de Seguranca da Informacao – p.5/32

Requisitos da S.I.

Requisitos básicos da Segurança da Informação:

Disponibilidade (de dados e do sistema)

Integridade (de dados e do sistema)

Confidencialidade (de dados e informações do sistema)

Responsabilização (de indivíduos)

Além desses, há um meta-requisito, a asseguração de que os

demais requisitos tenham sido satisfeitos.

INF712Gerencia de Seguranca da Informacao – p.5/32

Requisitos da S.I.

Requisitos básicos da Segurança da Informação:

Disponibilidade (de dados e do sistema)

Integridade (de dados e do sistema)

Confidencialidade (de dados e informações do sistema)

Responsabilização (de indivíduos)

Além desses, há um meta-requisito, a asseguração de que os

demais requisitos tenham sido satisfeitos.

INF712Gerencia de Seguranca da Informacao – p.5/32

Confidencialidade

Confidencialidade equivale a sigilo das informações.

Alguns (mas não necessariamente todos) dados devemser mantidos em segredo. Mais formalmente, dadosprivados e confidenciais não devem ser divulgados parapessoas não autorizadas.

Exemplo: dados estratégicos, dados protegidoslegalmente (dados de identificação do registro de umpaciente), dados de controle de sistemas de proteção(passwords, chaves criptográficas, etc).

INF712Gerencia de Seguranca da Informacao – p.6/32

Confidencialidade

Confidencialidade equivale a sigilo das informações.

Alguns (mas não necessariamente todos) dados devemser mantidos em segredo. Mais formalmente, dadosprivados e confidenciais não devem ser divulgados parapessoas não autorizadas.

Exemplo: dados estratégicos, dados protegidoslegalmente (dados de identificação do registro de umpaciente), dados de controle de sistemas de proteção(passwords, chaves criptográficas, etc).

INF712Gerencia de Seguranca da Informacao – p.6/32

Confidencialidade

Confidencialidade equivale a sigilo das informações.

Alguns (mas não necessariamente todos) dados devemser mantidos em segredo. Mais formalmente, dadosprivados e confidenciais não devem ser divulgados parapessoas não autorizadas.

Exemplo: dados estratégicos, dados protegidoslegalmente (dados de identificação do registro de umpaciente), dados de controle de sistemas de proteção(passwords, chaves criptográficas, etc).

INF712Gerencia de Seguranca da Informacao – p.6/32

Integridade de dados

Confiança de que dados não tenham sido alterados deforma não autorizada e imperceptível.

Alteração pode ocorrer em dados armazenados, emtransporte ou processamento.

(Provavelmente) todos os dados devem ser íntegros

INF712Gerencia de Seguranca da Informacao – p.7/32

Integridade de dados

Confiança de que dados não tenham sido alterados deforma não autorizada e imperceptível.

Alteração pode ocorrer em dados armazenados, emtransporte ou processamento.

(Provavelmente) todos os dados devem ser íntegros

INF712Gerencia de Seguranca da Informacao – p.7/32

Integridade de dados

Confiança de que dados não tenham sido alterados deforma não autorizada e imperceptível.

Alteração pode ocorrer em dados armazenados, emtransporte ou processamento.

(Provavelmente) todos os dados devem ser íntegros

INF712Gerencia de Seguranca da Informacao – p.7/32

Integridade do sistema

Confiança de que o sistema se porte conforme oesperado e livre de manipulações não autorizadas.

Consequentemente, o sistema deve estar livre demanipulações não autorizadas, como inserção de virus,sabotagem, etc.

Todos os sistemas devem ser íntegros.

INF712Gerencia de Seguranca da Informacao – p.8/32

Integridade do sistema

Confiança de que o sistema se porte conforme oesperado e livre de manipulações não autorizadas.

Consequentemente, o sistema deve estar livre demanipulações não autorizadas, como inserção de virus,sabotagem, etc.

Todos os sistemas devem ser íntegros.

INF712Gerencia de Seguranca da Informacao – p.8/32

Integridade do sistema

Confiança de que o sistema se porte conforme oesperado e livre de manipulações não autorizadas.

Consequentemente, o sistema deve estar livre demanipulações não autorizadas, como inserção de virus,sabotagem, etc.

Todos os sistemas devem ser íntegros.

INF712Gerencia de Seguranca da Informacao – p.8/32

Disponibilidade

O serviço prestado pelo sistema deve estar disponível,em tempo apropriado, para usuários autorizados.

Disponibilidade protege contra tentativas acidentais ouintencionais de apagar dados, ou de impedir o usocorreto do sistema pela sobrecarga intencional maliciosa(denial of service)).

Todos os dados e sistemas devem estar disponíveis.

INF712Gerencia de Seguranca da Informacao – p.9/32

Disponibilidade

O serviço prestado pelo sistema deve estar disponível,em tempo apropriado, para usuários autorizados.

Disponibilidade protege contra tentativas acidentais ouintencionais de apagar dados, ou de impedir o usocorreto do sistema pela sobrecarga intencional maliciosa(denial of service)).

Todos os dados e sistemas devem estar disponíveis.

INF712Gerencia de Seguranca da Informacao – p.9/32

Disponibilidade

O serviço prestado pelo sistema deve estar disponível,em tempo apropriado, para usuários autorizados.

Disponibilidade protege contra tentativas acidentais ouintencionais de apagar dados, ou de impedir o usocorreto do sistema pela sobrecarga intencional maliciosa(denial of service)).

Todos os dados e sistemas devem estar disponíveis.

INF712Gerencia de Seguranca da Informacao – p.9/32

Responsabilização

Garantia adequada de imputabilidade.

Supõe a existência de meios para identificação daautoria de ações no sistema, danosas ou não,autorizadas e/ou não-autorizadas.

Meios traduzem-se em políticas e técnicas pararastreamento, auditoria, recuperação de acidentes,desencorajamento, detecção e prevenção de intrusões econtenção de danos.

Nem sempre é parte dos requisitos de segurança de umsistema.

INF712Gerencia de Seguranca da Informacao – p.10/32

Responsabilização

Garantia adequada de imputabilidade.

Supõe a existência de meios para identificação daautoria de ações no sistema, danosas ou não,autorizadas e/ou não-autorizadas.

Meios traduzem-se em políticas e técnicas pararastreamento, auditoria, recuperação de acidentes,desencorajamento, detecção e prevenção de intrusões econtenção de danos.

Nem sempre é parte dos requisitos de segurança de umsistema.

INF712Gerencia de Seguranca da Informacao – p.10/32

Responsabilização

Garantia adequada de imputabilidade.

Supõe a existência de meios para identificação daautoria de ações no sistema, danosas ou não,autorizadas e/ou não-autorizadas.

Meios traduzem-se em políticas e técnicas pararastreamento, auditoria, recuperação de acidentes,desencorajamento, detecção e prevenção de intrusões econtenção de danos.

Nem sempre é parte dos requisitos de segurança de umsistema.

INF712Gerencia de Seguranca da Informacao – p.10/32

Responsabilização

Garantia adequada de imputabilidade.

Supõe a existência de meios para identificação daautoria de ações no sistema, danosas ou não,autorizadas e/ou não-autorizadas.

Meios traduzem-se em políticas e técnicas pararastreamento, auditoria, recuperação de acidentes,desencorajamento, detecção e prevenção de intrusões econtenção de danos.

Nem sempre é parte dos requisitos de segurança de umsistema.

INF712Gerencia de Seguranca da Informacao – p.10/32

Asseguração

Confiança no funcionamento correto do sistema desegurança e proteção adequada contra erros e ataques.

Obtida com aderência a normas, monitoramento e testescontínuos.

É essencial à manutenção dos demais requisitos

INF712Gerencia de Seguranca da Informacao – p.11/32

Asseguração

Confiança no funcionamento correto do sistema desegurança e proteção adequada contra erros e ataques.

Obtida com aderência a normas, monitoramento e testescontínuos.

É essencial à manutenção dos demais requisitos

INF712Gerencia de Seguranca da Informacao – p.11/32

Asseguração

Confiança no funcionamento correto do sistema desegurança e proteção adequada contra erros e ataques.

Obtida com aderência a normas, monitoramento e testescontínuos.

É essencial à manutenção dos demais requisitos

INF712Gerencia de Seguranca da Informacao – p.11/32

Ordenação dos requisitos

Normalmente a ordem de importância é:

Disponibilidade

Integridade

Confidencialidade

Responsabilização

INF712Gerencia de Seguranca da Informacao – p.12/32

Dependências entre requisitos

Integridade→ Confidencialidade

Confidencialidade→ Integridade

{Confidencialidade, Integridade}→ Disponibilidade

{Confidencialidade, Integridade}→ Responsabilização

A Asseguração e os outros requisitos sãointerdependentes.

INF712Gerencia de Seguranca da Informacao – p.13/32

Dependências entre requisitos

Integridade→ Confidencialidade

Confidencialidade→ Integridade

{Confidencialidade, Integridade}→ Disponibilidade

{Confidencialidade, Integridade}→ Responsabilização

A Asseguração e os outros requisitos sãointerdependentes.

INF712Gerencia de Seguranca da Informacao – p.13/32

Dependências entre requisitos

Integridade→ Confidencialidade

Confidencialidade→ Integridade

{Confidencialidade, Integridade}→ Disponibilidade

{Confidencialidade, Integridade}→ Responsabilização

A Asseguração e os outros requisitos sãointerdependentes.

INF712Gerencia de Seguranca da Informacao – p.13/32

Dependências entre requisitos

Integridade→ Confidencialidade

Confidencialidade→ Integridade

{Confidencialidade, Integridade}→ Disponibilidade

{Confidencialidade, Integridade}→ Responsabilização

A Asseguração e os outros requisitos sãointerdependentes.

INF712Gerencia de Seguranca da Informacao – p.13/32

Dependências entre requisitos

Integridade→ Confidencialidade

Confidencialidade→ Integridade

{Confidencialidade, Integridade}→ Disponibilidade

{Confidencialidade, Integridade}→ Responsabilização

A Asseguração e os outros requisitos sãointerdependentes.

INF712Gerencia de Seguranca da Informacao – p.13/32

Serviços de segurança

Serviços de segurança são as sub-tarefas de um sistemaresponsáveis pelo provimento total ou parcial de um ou maisrequisitos de segurança.

Dividem-se em serviços de

prevenção,

detecção,

recuperação e

suporte

INF712Gerencia de Seguranca da Informacao – p.14/32

Serviços de segurança

Serviços de segurança são as sub-tarefas de um sistemaresponsáveis pelo provimento total ou parcial de um ou maisrequisitos de segurança.

Dividem-se em serviços de

prevenção,

detecção,

recuperação e

suporte

INF712Gerencia de Seguranca da Informacao – p.14/32

Serviços de segurança

Serviços de segurança são as sub-tarefas de um sistemaresponsáveis pelo provimento total ou parcial de um ou maisrequisitos de segurança.

Dividem-se em serviços de

prevenção,

detecção,

recuperação e

suporte

INF712Gerencia de Seguranca da Informacao – p.14/32

Serviços de segurança

Serviços de segurança são as sub-tarefas de um sistemaresponsáveis pelo provimento total ou parcial de um ou maisrequisitos de segurança.

Dividem-se em serviços de

prevenção,

detecção,

recuperação e

suporte

INF712Gerencia de Seguranca da Informacao – p.14/32

Serviços de prevenção

São os que devem prevenir ataques, ou quebras desegurança.

Proteção das comunicações: em sistemas distribuídosdeve-se garantir a integridade e confidencialidade dedados em trânsito. Neste caso, este serviço previne quedados confidenciais sejam observados enquanto emtrânsito (provê confidencialidade) e previne que os dadossejam capturados, alterados e depois enviados para odestino original (provê integridade e disponibilidade).

INF712Gerencia de Seguranca da Informacao – p.15/32

Serviços de prevenção

Autenticação: garantia de que uma identidade estejacorreta. Usuários e processos devem se identificarperante o sistema para poderem utilizar seus serviços.Esta identificação é complexa pois de alguma forma osusuários ou processos devem provar ao sistema que sãorealmente quem dizem que são. Um modo usual éatravés de senhas. Há outros métodos, a seremdiscutidos mais adiante no curso.

INF712Gerencia de Seguranca da Informacao – p.16/32

Serviços de prevenção

Autorização e controle de acesso: definição dosatividades permitidas para uma pessoa/processo.Mesmo quando propriamente autenticada, deve-selimitar o conjunto de ações, atividades, acesso, enfim,serviços, que diferentes pessoas/processos podemutilizar. Ana pode ter sido corretamente autenticada pelosistema, mas mesmo assim ela não deve ter acesso aosarquivos privados de Bela.

Não-repudiação: a correta responsabilização de um ato,depende da impossibilidade de sua repudiação

INF712Gerencia de Seguranca da Informacao – p.17/32

Serviços de prevenção

Autorização e controle de acesso: definição dosatividades permitidas para uma pessoa/processo.Mesmo quando propriamente autenticada, deve-selimitar o conjunto de ações, atividades, acesso, enfim,serviços, que diferentes pessoas/processos podemutilizar. Ana pode ter sido corretamente autenticada pelosistema, mas mesmo assim ela não deve ter acesso aosarquivos privados de Bela.

Não-repudiação: a correta responsabilização de um ato,depende da impossibilidade de sua repudiação

INF712Gerencia de Seguranca da Informacao – p.17/32

Serviços de detecção

Nenhuma medida ou conjunto de medidas de prevenção podeser (ou é) 100% garantida. Portanto deve ser possívelverificar quando o sistema está comprometido.

Registro de eventos (log): um registro íntegro de eventosrelevantes do sistema, que permite depois do fato(auditoria), a verificação de uma quebra de segurança oua responsabilização por atividades executadas.

INF712Gerencia de Seguranca da Informacao – p.18/32

Serviços de detecção

Detecção de intrusão: detecção (no momento do fato) deuma quebra de segurança. São mecanismos quepermitem criar uma suspeita de quebra de segurança,que normalmente vai ser verificada usando os registrosde eventos, prova de integridade, etc.

Prova de integridade: deve ser possível verificar se aintegridade do sistema foi ou não comprometida. Provade integridade inclui verificar se o resumo digital(assunto a ser coberto numa próxima aula) dosprogramas e dos dados estão corretos.

INF712Gerencia de Seguranca da Informacao – p.19/32

Serviços de detecção

Detecção de intrusão: detecção (no momento do fato) deuma quebra de segurança. São mecanismos quepermitem criar uma suspeita de quebra de segurança,que normalmente vai ser verificada usando os registrosde eventos, prova de integridade, etc.

Prova de integridade: deve ser possível verificar se aintegridade do sistema foi ou não comprometida. Provade integridade inclui verificar se o resumo digital(assunto a ser coberto numa próxima aula) dosprogramas e dos dados estão corretos.

INF712Gerencia de Seguranca da Informacao – p.19/32

Serviços de recuperação

Uma vez que foi detectada uma quebra de segurança,medidas para corrigir o problema devem ser postas emprática.

Recuperação de um estado seguro: se foi detectadauma quebra de segurança e o sistema foi comprometido,deve ser possível restaurá-lo para um estado anteriornão comprometido.

Limitação de acesso (a intrusos): se um intruso foidetectado, deve ser possível limitar o acesso ao sistema(para o intruso mas provavelmente para todos - ate quese saiba quem é o intruso!)

INF712Gerencia de Seguranca da Informacao – p.20/32

Serviços de recuperação

Uma vez que foi detectada uma quebra de segurança,medidas para corrigir o problema devem ser postas emprática.

Recuperação de um estado seguro: se foi detectadauma quebra de segurança e o sistema foi comprometido,deve ser possível restaurá-lo para um estado anteriornão comprometido.

Limitação de acesso (a intrusos): se um intruso foidetectado, deve ser possível limitar o acesso ao sistema(para o intruso mas provavelmente para todos - ate quese saiba quem é o intruso!)

INF712Gerencia de Seguranca da Informacao – p.20/32

Serviços de suporte

Serviços genéricos que normalmente dão suporte às outrasatividades do sistema de segurança:

Identificação e nomeação: deve ser possível identificarusuários, processos, recursos.

Gerenciamento de chaves criptográficas: se chavescriptográficas são usadas, seu gerenciamento deve serseguro. Por exemplo, senhas devem ser guardadas deuma forma segura pois ganhar acesso a uma senhasignifica ser autenticado para usar o sistema.

INF712Gerencia de Seguranca da Informacao – p.21/32

Serviços de suporte

Serviços genéricos que normalmente dão suporte às outrasatividades do sistema de segurança:

Identificação e nomeação: deve ser possível identificarusuários, processos, recursos.

Gerenciamento de chaves criptográficas: se chavescriptográficas são usadas, seu gerenciamento deve serseguro. Por exemplo, senhas devem ser guardadas deuma forma segura pois ganhar acesso a uma senhasignifica ser autenticado para usar o sistema.

INF712Gerencia de Seguranca da Informacao – p.21/32

Serviços de integridade

Prevenção: impedir que pessoas não autorizadasmodifiquem dados.

1. autenticação do usuário (usa serviços de identificação egerenciamento de chaves criptográficas);

2. autorização e controle de acesso;

3. proteção de comunicações (entre usuário e sistemas eentre componentes do sistema);

4. acesso ao dado.

INF712Gerencia de Seguranca da Informacao – p.22/32

Serviços de integridade

Recuperação:

1. detecção de intrusão;

2. verificação de integridade;

3. limitação de acesso;

4. recuperação a um estado seguro.

INF712Gerencia de Seguranca da Informacao – p.23/32

Serviços de disponibilidade

Disponibilidade (de dados) é a forma máxima deintegridade.

Os mesmos serviços estão em ação.

INF712Gerencia de Seguranca da Informacao – p.24/32

Serviços de confidencialidade

Prevenção:

1. autenticação do usuário (identificação e gerenciamentode chaves);

2. autorização e controle de acesso;

3. proteção das comunicações.

Recuperação: não existe recuperação para quebra deconfidencialidade!!

INF712Gerencia de Seguranca da Informacao – p.25/32

Serviços de responsabilização

Prevenção: não-repudiação e controle de acesso.

Recuperação: auditoria (log de eventos).

INF712Gerencia de Seguranca da Informacao – p.26/32

Risco

Alguns termos/definições importantes:

Vulnerabilidade: uma fraqueza nos procedimentos, ouprojeto, ou protocolos, ou controles do sistema desegurança que podem ser explorados (intencionalmente)ou disparados (acidentalmente).

Ameaça: ou a intenção de explorar uma vulnerabilidadeou as situações onde uma vulnerabilidade pode seracidentalmente disparada.

Risco: o impacto nos negócios/missão na eventualidadede que uma ameaça explore ou crie uma vulnerabilidade.

INF712Gerencia de Seguranca da Informacao – p.27/32

Risco

Alguns termos/definições importantes:

Vulnerabilidade: uma fraqueza nos procedimentos, ouprojeto, ou protocolos, ou controles do sistema desegurança que podem ser explorados (intencionalmente)ou disparados (acidentalmente).

Ameaça: ou a intenção de explorar uma vulnerabilidadeou as situações onde uma vulnerabilidade pode seracidentalmente disparada.

Risco: o impacto nos negócios/missão na eventualidadede que uma ameaça explore ou crie uma vulnerabilidade.

INF712Gerencia de Seguranca da Informacao – p.27/32

Risco

Alguns termos/definições importantes:

Vulnerabilidade: uma fraqueza nos procedimentos, ouprojeto, ou protocolos, ou controles do sistema desegurança que podem ser explorados (intencionalmente)ou disparados (acidentalmente).

Ameaça: ou a intenção de explorar uma vulnerabilidadeou as situações onde uma vulnerabilidade pode seracidentalmente disparada.

Risco: o impacto nos negócios/missão na eventualidadede que uma ameaça explore ou crie uma vulnerabilidade.

INF712Gerencia de Seguranca da Informacao – p.27/32

Ameaças

Ameaças não são só pessoas maliciosas mas tambémsituações acidentais.Mesmo quando são pessoas, a ameaça pode não sermaliciosa, mas apenas intencional: um funcionário queexplora uma vulnerabilidade para “fazer o serviço”.

acidentes

pessoas bem intencionadas (de dentro da organização)

pessoas mal intencionadasexternas (hackers, terroristas, espiões, etc)internas (empregados!)

INF712Gerencia de Seguranca da Informacao – p.28/32

Ameaças

Ameaças não são só pessoas maliciosas mas tambémsituações acidentais.Mesmo quando são pessoas, a ameaça pode não sermaliciosa, mas apenas intencional: um funcionário queexplora uma vulnerabilidade para “fazer o serviço”.

acidentes

pessoas bem intencionadas (de dentro da organização)

pessoas mal intencionadasexternas (hackers, terroristas, espiões, etc)internas (empregados!)

INF712Gerencia de Seguranca da Informacao – p.28/32

Ameaças

Ameaças não são só pessoas maliciosas mas tambémsituações acidentais.Mesmo quando são pessoas, a ameaça pode não sermaliciosa, mas apenas intencional: um funcionário queexplora uma vulnerabilidade para “fazer o serviço”.

acidentes

pessoas bem intencionadas (de dentro da organização)

pessoas mal intencionadas

externas (hackers, terroristas, espiões, etc)internas (empregados!)

INF712Gerencia de Seguranca da Informacao – p.28/32

Ameaças

Ameaças não são só pessoas maliciosas mas tambémsituações acidentais.Mesmo quando são pessoas, a ameaça pode não sermaliciosa, mas apenas intencional: um funcionário queexplora uma vulnerabilidade para “fazer o serviço”.

acidentes

pessoas bem intencionadas (de dentro da organização)

pessoas mal intencionadasexternas (hackers, terroristas, espiões, etc)

internas (empregados!)

INF712Gerencia de Seguranca da Informacao – p.28/32

Ameaças

Ameaças não são só pessoas maliciosas mas tambémsituações acidentais.Mesmo quando são pessoas, a ameaça pode não sermaliciosa, mas apenas intencional: um funcionário queexplora uma vulnerabilidade para “fazer o serviço”.

acidentes

pessoas bem intencionadas (de dentro da organização)

pessoas mal intencionadasexternas (hackers, terroristas, espiões, etc)internas (empregados!)

INF712Gerencia de Seguranca da Informacao – p.28/32

Ameaças à confidencialidade

Ameaças a confidencialidade são normalmente intencionais.Ameaças comuns:

hackers;

um usuário se passando por outro (personificação);

controle de acesso errado, mal implementado;

canais de comunicação não protegidos (LANs);

praticas de conveniência (download de arquivos secretospara trabalhar no laptop);

cavalos de tróia - programas que além de fazerem algoútil, fazem algo escondido.

INF712Gerencia de Seguranca da Informacao – p.29/32

Ameaças à confidencialidade

Ameaças a confidencialidade são normalmente intencionais.Ameaças comuns:

hackers;

um usuário se passando por outro (personificação);

controle de acesso errado, mal implementado;

canais de comunicação não protegidos (LANs);

praticas de conveniência (download de arquivos secretospara trabalhar no laptop);

cavalos de tróia - programas que além de fazerem algoútil, fazem algo escondido.

INF712Gerencia de Seguranca da Informacao – p.29/32

Ameaças à confidencialidade

Ameaças a confidencialidade são normalmente intencionais.Ameaças comuns:

hackers;

um usuário se passando por outro (personificação);

controle de acesso errado, mal implementado;

canais de comunicação não protegidos (LANs);

praticas de conveniência (download de arquivos secretospara trabalhar no laptop);

cavalos de tróia - programas que além de fazerem algoútil, fazem algo escondido.

INF712Gerencia de Seguranca da Informacao – p.29/32

Ameaças à confidencialidade

Ameaças a confidencialidade são normalmente intencionais.Ameaças comuns:

hackers;

um usuário se passando por outro (personificação);

controle de acesso errado, mal implementado;

canais de comunicação não protegidos (LANs);

praticas de conveniência (download de arquivos secretospara trabalhar no laptop);

cavalos de tróia - programas que além de fazerem algoútil, fazem algo escondido.

INF712Gerencia de Seguranca da Informacao – p.29/32

Ameaças à confidencialidade

Ameaças a confidencialidade são normalmente intencionais.Ameaças comuns:

hackers;

um usuário se passando por outro (personificação);

controle de acesso errado, mal implementado;

canais de comunicação não protegidos (LANs);

praticas de conveniência (download de arquivos secretospara trabalhar no laptop);

cavalos de tróia - programas que além de fazerem algoútil, fazem algo escondido.

INF712Gerencia de Seguranca da Informacao – p.29/32

Ameaças à confidencialidade

Ameaças a confidencialidade são normalmente intencionais.Ameaças comuns:

hackers;

um usuário se passando por outro (personificação);

controle de acesso errado, mal implementado;

canais de comunicação não protegidos (LANs);

praticas de conveniência (download de arquivos secretospara trabalhar no laptop);

cavalos de tróia - programas que além de fazerem algoútil, fazem algo escondido.

INF712Gerencia de Seguranca da Informacao – p.29/32

Ameaças à integr. e disponib.

As mais comuns são:

acidentes de software/hardware/infraestrutura (incêndio,falta de luz, etc);

hackers;

controle de acesso errado ou mal implementado (+funcionário mal intencionado);

cavalos de tróia;

vírus.

INF712Gerencia de Seguranca da Informacao – p.30/32

Ameaças à integr. e disponib.

As mais comuns são:

acidentes de software/hardware/infraestrutura (incêndio,falta de luz, etc);

hackers;

controle de acesso errado ou mal implementado (+funcionário mal intencionado);

cavalos de tróia;

vírus.

INF712Gerencia de Seguranca da Informacao – p.30/32

Ameaças à integr. e disponib.

As mais comuns são:

acidentes de software/hardware/infraestrutura (incêndio,falta de luz, etc);

hackers;

controle de acesso errado ou mal implementado (+funcionário mal intencionado);

cavalos de tróia;

vírus.

INF712Gerencia de Seguranca da Informacao – p.30/32

Ameaças à integr. e disponib.

As mais comuns são:

acidentes de software/hardware/infraestrutura (incêndio,falta de luz, etc);

hackers;

controle de acesso errado ou mal implementado (+funcionário mal intencionado);

cavalos de tróia;

vírus.

INF712Gerencia de Seguranca da Informacao – p.30/32

Ameaças à integr. e disponib.

As mais comuns são:

acidentes de software/hardware/infraestrutura (incêndio,falta de luz, etc);

hackers;

controle de acesso errado ou mal implementado (+funcionário mal intencionado);

cavalos de tróia;

vírus.

INF712Gerencia de Seguranca da Informacao – p.30/32

Aspectos externos

Segurança não é apenas garantida por sistemas técnicos,intrínsecos ao hardware ou software, mas também porsistemas não técnicos, sistemas físicos, procedimentos,estrutura organizacional, legislação, etc.Exemplos:

a forma mais fácil de quebrar a disponibilidade de umsistema é desligar a maquina onde ele opera. Se quasequalquer pessoa pode chegar perto do computador, nãohá mecanismo técnico que proteja a disponibilidade dosistema. Segurança física é necessária.

não adianta criar um registro de eventos (log) seninguém os analisa. É preciso criar procedimentos, efunções para o gerenciamento de segurança.

INF712Gerencia de Seguranca da Informacao – p.31/32

Aspectos externos

Segurança não é apenas garantida por sistemas técnicos,intrínsecos ao hardware ou software, mas também porsistemas não técnicos, sistemas físicos, procedimentos,estrutura organizacional, legislação, etc.Exemplos:

a forma mais fácil de quebrar a disponibilidade de umsistema é desligar a maquina onde ele opera. Se quasequalquer pessoa pode chegar perto do computador, nãohá mecanismo técnico que proteja a disponibilidade dosistema. Segurança física é necessária.

não adianta criar um registro de eventos (log) seninguém os analisa. É preciso criar procedimentos, efunções para o gerenciamento de segurança.

INF712Gerencia de Seguranca da Informacao – p.31/32

Aspectos externos

não adianta detectar que o sistema foi comprometido senão se tem autorização para recuperar um estado nãocomprometido (pois significa perda de trabalho - tudoque foi feito desde o estado seguro!). É preciso umaestrutura organizacional que dê poder apropriado aosetor de segurança.

não adianta poder provar que uma pessoa X causouuma quebra de segurança se X não puder ser punido dealguma forma! É preciso criar legislação, normas, etcque punam uma tentativa de quebra do sistema.

Sistemas não intrínsecos de segurança serão discutidosnuma aula posterior.

INF712Gerencia de Seguranca da Informacao – p.32/32

Aspectos externos

não adianta detectar que o sistema foi comprometido senão se tem autorização para recuperar um estado nãocomprometido (pois significa perda de trabalho - tudoque foi feito desde o estado seguro!). É preciso umaestrutura organizacional que dê poder apropriado aosetor de segurança.

não adianta poder provar que uma pessoa X causouuma quebra de segurança se X não puder ser punido dealguma forma! É preciso criar legislação, normas, etcque punam uma tentativa de quebra do sistema.

Sistemas não intrínsecos de segurança serão discutidosnuma aula posterior.

INF712Gerencia de Seguranca da Informacao – p.32/32

Aspectos externos

não adianta detectar que o sistema foi comprometido senão se tem autorização para recuperar um estado nãocomprometido (pois significa perda de trabalho - tudoque foi feito desde o estado seguro!). É preciso umaestrutura organizacional que dê poder apropriado aosetor de segurança.

não adianta poder provar que uma pessoa X causouuma quebra de segurança se X não puder ser punido dealguma forma! É preciso criar legislação, normas, etcque punam uma tentativa de quebra do sistema.

Sistemas não intrínsecos de segurança serão discutidosnuma aula posterior.

INF712Gerencia de Seguranca da Informacao – p.32/32