MATC99 – Segurança e Auditoria de Sistemas de Informaçãoitalo/disciplinas/matc99/01-conceitos... · Italo Valcy Seg e Auditoria de SI, 2013.1 MATC99 – Segurança e Auditoria

Italo Valcy Seg e Auditoria de SI, 2013.1

MATC99 – Segurança e Auditoria de Sistemas de Informação

Italo Valcy <[email protected]>

Conceitos de Segurança da Informação

Italo Valcy Seg e Auditoria de SI, 2013.1 2 / 7

O que é segurança da Informação

Importância da informação:

A informação representa valor e,

consequentemente, contribui diretamente

para a geração de lucro.

Segurança da Informação:

Processo de proteção das informações e ativos digitais armazenados em computadores e redes

de processamento de dados.


Importância da informaçãoWikiLeaks


O que são ativos?

Elementos aos quais a organização atribui valor e portanto requerem

proteção.


O que são ativos?

Exemplos:

Informações impressas ou digitais

Hardware

Imagem de um Empresa

Confiabilidade de um Órgão Federal

Marca de um Produto

Software / Aplicação web


Princípios da Segurança da Informação

Confidencialidade

Integridade

Disponibilidade

Autenticidade


Controle

Forma de gerenciar o risco, incluindo políticas, procedimentos, diretrizes, práticas ou estruturas organizacionais, que podem ser de natureza administrativa, técnica, de gestão ou legal.

Também usado como sinônimo para proteção ou contramedida


Eventos e Incidentes de Segurança

Segundo [Scarfone et al. 2008] um evento é qualquer ocorrência observável em um sistema ou na rede

Ex: usuário que inicia de uma sessão SMTP, servidor web que recebe requisição HTTP, etc.

Já um evento adverso é aquele que tem consequência negativa para a instituição

Ex: flooding de pacotes na rede, uso não autorizado de sistemas, etc.


Ameaças

Ameaças são causas potenciais de incidentes não esperados, os quais talvez resultem em danos para

aos ativos da organização. Exploram falhas de segurança.

Naturais: Fenômenos da natureza

Intencionais: propositais

Involuntárias: Perigos trazidos pela ignorância por usuários não treinados ou falta de atenção


Vulnerabilidades

Fragilidades presentes ou associadas a ativos que manipulam e/ou processam informações que, ao ser explorada por ameaças, permite a

ocorrência de um incidente de segurança, afetando negativamente um ou mais princípios

da segurança da informação.


Tipos de vulnerabilidades

Físicas

Salas do CPD mal planejadas, falta de extintores, vazamentos, instalações fora do padrão.

Naturais

Incêndios, enchentes, terremotos, tempestades, falta de energia, acúmulo de poeira, etc.

Hadware

Desgaste, má utilização, falha nos recurso tecnológicos, etc.



Software

Erros de configuração, erros de instalação, perda de dados, indisponibilidade de recursos.

Mídia

Discos, fitas, relatórios e impressos podem ser perdidos ou danificados.

Comunicação

Acessos não autorizados ou perda da comunicação.



Humanas

Falta de treinamento, erros ou omissões, sabotagens, greve, vandalismo, roubo, etc.


Risco

Probabilidade de ameaças explorarem vulnerabilidades, provocando perdas de

confidencialidade, integridade e disponibilidade, causando possivelmente, impactos nos

negócios.


Análise de riscos

Atividades coordenadas para direcionar e controlar uma organização no que se refere a riscos

A gestão de riscos geralmente inclui a análise/avaliação de riscos, o tratamento de riscos, a aceitação de riscos e a comunicação de riscos


Medidas de segurança

São as práticas, os procedimentos e os mecanismos usados para a proteção da

informação e seus ativos, que podem impedir que ameaças explorem vulnerabilidades.

Preventivas

Corretivas

Monitoramento


Medidas preventivas

São medidas que tem como objetivo evitar que incidentes venham a ocorrer.


Medidas preventivas

Exemplos:Políticas de Segurança;

Instruções e procedimentos de trabalho;

Campanhas e palestras de conscientização de usuários;

Ferramentas como firewall, antivírus, etc


Medidas de monitoramento

Visam identificar condições ou indivíduos causadores de ameaças, a fim de evitar que as mesmas explorem vulnerabilidades.


Medidas de monitoramento

Exemplos:análise de riscos;

sistemas de detecção de intrusão;

alertas de segurança;

câmeras de vigilância, alarmes, etc...


Medidas corretivas

Correção de uma estrutura tecnológica e humana para que as mesmas se adaptem às condições de segurança estabelecidas pela instituição, ou voltadas à redução dos impactos;


Medidas corretivas

Exemplos:

equipes para emergências, restauração de backup;

Plano de continuidade operacional;

Plano de recuperação de desastres;

etc


Grupos de Segurança – Cert.br

Centro de Estudo, Resposta e Tratamento de Incidentes de Segurança no Brasil

Mantido pelo NIC.br (Núcleo de Informação e Coordenação do Ponto BR)

Atua como um ponto central para notificações de incidentes de segurança no Brasil.

Coordena e o apóia o processo de resposta a incidentes.

Trabalho de conscientização sobre os problemas de segurança e análise de tendências.


Grupos de Segurança – Cert.br


CERT.br - Estatísticas


CERT.br - Estatísticas


Na UFBA

CERT.Bahia :: Grupo de Resposta a Incidentes de Segurança – Bahia/Brasil


CERT.Bahia

CSIRT (Grupo de Resposta a Incidentes de Segurança)

Missão:Auxiliar as instituições conectadas ao POP-BA/RNP na prevenção, detecção e tratamento dos incidentes de segurança, além de criar e disseminar boas práticas para uso e administração seguros das Tecnologias de Informação e Comunicação (TIC).


CERT.Bahia – Serviços

Palestras / Treinamentos / Documentação

Campanhas de Segurança:

Campanha DNSSEC

Campanha de segurança nas Instituições

Piloto para armadilha de SPAM

...

Sensores para monitoramento e alerta de incidentes de segurança


CERT.Bahia – Estatísticas


Referências

Dócea, Marcos – UFS. Conceitos em Segurança da Informação. Slides

Sêmola, Marcos. A Importância da Gestão da Segurança da Informação. Slides.

Guia de Referência Sobre Ataques Via Internet. Febraban. 2000.

Documents

MATC99 – Segurança e Auditoria de Sistemas de Informaçãoitalo/disciplinas/matc99/01-conceitos... · Italo Valcy Seg e Auditoria de SI, 2013.1 MATC99 – Segurança e Auditoria