1. Segurana de Redes deSegurana de Redes de ComputadoresComputadores Segurana da informao Mdulo 01

2. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 22 ?? Segurana da Informao resolvida somente com software? 3. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 33 InformaoInformao A informao o maior patrimnio de uma empresa e proteg-la no uma tarefa fcil. 4. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 44 Plano de SeguranaPlano de Segurana No basta reunir um conjunto de ferramentas para proteo, o resultado que deve ser eficaz dentro de um contexto de um Plano de Segurana, dentro de um nvel estratgico, ttico e operacional de uma empresa. 5. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 55 Programas de Segurana daProgramas de Segurana da InformaoInformao Programas de Segurana da Informao so importantes para garantir a continuidade do negcio e minimizar os danos. 6. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 66 Medidas de SeguranaMedidas de Segurana Medidas de Segurana devem estar enraizadas na cultura da empresa, pois segurana no s uma questo tcnica, mas de poltica e educao empresarial. 7. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 77 Segurana da informaoSegurana da informao Segurana da Informao resolvida com: Anlise de Risco; Poltica de Segurana; Controle de acesso Fsico e Lgico; Treinamento e Conscientizao para a Segurana da Informao; Plano de Contingncia; 8. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 88 ProteoProteo Pontos importantes a serem definidos pela empresa: O que deve ser protegido? Contra o que ser necessrio proteger? Como ser feita a proteo? Custo x Benefcio? 9. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 99 FinalidadeFinalidade A Finalidade da Segurana da Informao para a Corporao diminuir o nvel de exposies aos riscos existentes em todos os ambientes para que a empresa possa estender a segurana aos produtos e servios, resultando em uma satisfao maior por parte dos clientes. 10. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 1010 ImportnciaImportncia A Importncia da Segurana nos Negcios proporcionar: confidencialidade, integridade e disponibilidade das informaes. 11. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 1111 ImportnciaImportncia A importncia e os benefcios na segurana dos Negcios de uma empresa so: Reduo de riscos contra vazamento de informao confidencial/sigilosa; Reduo da probabilidade de fraudes; Diminuio de erros devido a treinamentos e mudana de comportamento; Manuseio correto de informaes confidenciais. 12. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 1212 ObjetivoObjetivo O Objetivo da Segurana de Informao buscar a disponibilidade, confidencialidade e integridade dos seus recursos e da prpria informao, conduzindo, no mnimo a: Reduo da probabilidade de incidentes de segurana; Reduo de danos/perdas causados por incidentes de segurana; Recuperao dos danos em caso de desastre/incidente. 13. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 1313 Trip da seguranaTrip da segurana DisponibilidadeIntegridadeConfidencialidade Segurana 14. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 1414 ConfidencialidadeConfidencialidade Confidencialidade - propriedade que limita o acesso a informao to somente s entidades legtimas, ou seja, quelas autorizadas pelo proprietrio da informao. 15. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 1515 IntegridadeIntegridade Integridade - propriedade que garante que a informao manipulada mantenha todas as caractersticas originais estabelecidas pelo proprietrio da informao, incluindo controle de mudanas e garantia do seu ciclo de vida (nascimento,manuteno e destruio). 16. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 1616 DisponibilidadeDisponibilidade Disponibilidade - propriedade que garante que a informao esteja sempre disponvel para o uso legtimo, ou seja, por aqueles usurios autorizados pelo proprietrio da informao. 17. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 1717 Confiabilidade No repdioConfiabilidade No repdio No-Repdio, ou no recusa, a garantia que o emissor de uma mensagem ou a pessoa que executou determinada transao de forma eletrnica, no poder posteriormente negar sua autoria, visto que somente aquela chave privada poderia ter gerado aquela assinatura digital. Deste modo, a menos de um uso indevido do certificado digital, fato que no exime de responsabilidade, o autor no pode negar a autoria da transao. 18. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 1818 Confiabilidade No repdioConfiabilidade No repdio O mecanismo criado para usufruir dos avanos da tecnologia de criptografia, em particular da criptografia assimtrica, e capaz de transferir para a internet seus benefcios de segurana e confiabilidade, foi o Certificado Digital. 19. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 1919 No repdioNo repdio O Certificado Digital emitido por uma entidade confivel, denominada Autoridade Certificadora , que utilizando- se de processos e critrios bem definidos e pblicos, regula a gesto do certificado atravs da emisso, revogao e renovao dos mesmos por aprovao individual. Ao emitir um certificado digital, a autoridade certificadora assina digitalmente o certificado tornando-o inviolvel e ao mesmo tempo factvel de verificao quanto a sua integridade, validade, aplicabilidade e identificao do portador. 20. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 2020 No repdioNo repdio O uso do certificado digital no desenvolvimento de sistemas voltados rede mundial de computadores, permite incorporar a estes sistemas todas as caractersticas -como: confidencialidade, integridade, autenticidade e no-repdio, necessrias e fundamentais a segurana e confiabilidade dos mesmos. 21. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 2121 No repdioNo repdio Programas de correio eletrnico e navegadores para internet, como o Microsoft Internet Explorer, o Netscape Communicator e outros, j incorporam funcionalidades para uso de criptografia e certificado digital, realizando de forma transparente ao usurio uma srie de facilidades como verificao de integridade e validao de certificados, encriptao e desencriptao de dados, entre outras. 22. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 2222 Anlise de RiscoAnlise de Risco Processo de identificao e avaliao dos fatores de risco presentes e de forma antecipada no Ambiente Organizacional, possibilitando uma viso do impacto negativo causado aos negcios. 23. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 2323 Anlise de RiscoAnlise de Risco Proporcional informao para que se possa identificar antecipadamente o tamanho e o tipo de investimentos necessrios na Organizao causados pela perda ou indisponibilidade dos recursos fundamentais para o negcio. Sem este processo no possvel identificar a origem das vulnerabilidades, nem visualizar os riscos. 24. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 2424 Anlise de riscoAnlise de risco A empresa deve apontar o nvel de risco ao qual estar disposta a correr. Este processo deve possuir: Pontos vulnerveis do ambiente; Ameaas potenciais ao ambiente; Incidentes de segurana causado pela ao de cada ameaa; 25. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 2525 Anlise de riscoAnlise de risco Impacto negativo para o negcio a partir da ocorrncia dos incidentes provveis de segurana; Riscos para os negcios a partir de cada incidente de segurana; Medidas de proteo adequadas para impedir ou diminuir o impacto de cada incidente. 26. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 2626 Importncia da Anlise de RiscoImportncia da Anlise de Risco Os maiores riscos so aqueles que no vemos ou no conhecemos. A anlise de risco a pea fundamental para a qualidade em um Programa de Segurana, pois ajuda a identificar os pontos crticos e falhos de proteo em processos, configuraes e documentaes. 27. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 2727 Exemplo de questionamentoExemplo de questionamento Exemplo de questionamento a serem feitos antes do investimento: Que ativos devem ser protegidos? Quais ativos crticos devero ter proteo adicional? Quais servios na rede devero ser disponveis para os funcionrios? Quem ter acesso a esses servios? 28. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 2828 Exemplo de questionamentoExemplo de questionamento Quem devera conceder autorizao e privilgios para o acesso aos sistemas? Que software permitir nas estaes de trabalho? Como proceder quando programas no autorizados forem encontrados nas estaes? 29. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 2929 AbrangnciaAbrangncia Quanto maior o escopo de avaliao, menor a possibilidade de erros em virtude da abrangncia dos recursos envolvidos. Alguns pontos de verificao: Controle de acesso aos sistemas crticos da empresa; 30. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 3030 AbrangnciaAbrangncia Anlise de segurana das estaes de trabalhos; Anlise da segurana fsica e lgica dos servidores de rede Anlise da segurana contra contaminao por vrus Avaliao da configurao do firewall X Poltica de Segurana 31. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 3131 AbrangnciaAbrangncia Criptografia de dados Anlise de Poltica de Backup Anlise de segurana do acesso fsico aos locais crticos da empresa Analise da existncia de software piratas na empresa 32. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 3232 AbrangnciaAbrangncia Plano de contingncia Anlise da Infra estrutura bsica para processamento em caso de contingncia Anlise de Poltica de Acesso dos funcionrios a Internet Poltica de Instalao de Software nas estaes e na rede Processo de conscientizao de funcionrios. 33. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 3333 AtivosAtivos Tudo que manipula direta ou indiretamente uma informao. Um dos passos da Anlise de Risco identificar todas as coisas que podem ser afetadas por um problema de segurana e que, neste caso, precisam ser protegidas. 34. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 3434 RiscoRisco O que Risco ? tudo que pode afetar nossos negcios e impedir que alcancemos nossos objetivos. Em segurana da informao, risco corresponde a um grau de perda ou a possibilidade de um impacto negativo para o negocio. 35. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 3535 Como Surgem Riscos ?Como Surgem Riscos ? Surgem em decorrncia da presena de fraquezas e, por conseguinte, vulnerabilidade. As ameaas exploram as vulnerabilidades existentes devido s falhas de configurao ou inexistncia de medidas de proteo adequadas. 36. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 3636 Ciclo da Segurana da InformaoCiclo da Segurana da Informao Medidas de Segurana Impacto nos Negcios Falha: Integridade Confidencialidade Disponibilidade Ameaas Vulnerabilidade InformaoNegcio baseado sujeita permitem comprometem reduzem causam aumentam diminuem contm protegem aumentam aumentam aumentam contm RISCOS 37. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 3737 VulnerabilidadeVulnerabilidade O que vulnerabilidade? o ponto onde o sistema suscetvel a ataque. Identificar as vulnerabilidades um ponto importante para a definio das medidas de segurana adequadas. 38. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 3838 VulnerabilidadeVulnerabilidade Riscos esto ligados ao nvel de vulnerabilidade que o ambiente analisado possui, pois para se determinar os riscos, as vulnerabilidades precisam ser identificadas. 39. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 3939 VulnerabilidadesVulnerabilidades Como surgem as vulnerabilidades? Podem surgir da negligncia por parte dos administradores e a falta de conhecimento tcnico. Cada ambiente operacional pode possuir diversas vulnerabilidades e uma vulnerabilidade pode estar presente em diversos ambientes operacionais. 40. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 4040 Exemplos de vulnerabilidades fsicasExemplos de vulnerabilidades fsicas Falta de extintores; Salas de CPD mal projetadas; Falta de detectores de fumaa e de outros recursos para combate a incndio; Instalaes prediais fora do padro; Instalaes eltricas antigas e em conjunto com a dos computadores. 41. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 4141 Exemplos de vulnerabilidades naturaisExemplos de vulnerabilidades naturais Possibilidade de desastres naturais; Terremoto, maremoto, enchentes, incndio... Acmulo de poeira, aumento de umidade e de temperatura; 42. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 4242 Exemplos de vulnerabilidades deExemplos de vulnerabilidades de softwaresoftware Erros na instalao ou configurao; Falhas e/ou bugs de sistemas operacionais; Falhas em programas que implementas servios de rede; Usurio e senha padro. 43. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 4343 Exemplos de vulnerabilidades mdiaExemplos de vulnerabilidades mdia Disquetes antigos com informaes importantes; Fita magntica de baixa qualidade; Relatrios e impressos podem ser perdidos ou danificados; Radiao eletromagntica que pode afetar diversos tipos de mdias magnticas; 44. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 4444 Exemplos de vulnerabilidadesExemplos de vulnerabilidades comunicaocomunicao Constantes falhas nos links; Trfego de informao sem proteo adicional; Perda de comunicao 45. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 4545 Exemplos de vulnerabilidades humanaExemplos de vulnerabilidades humana Falta de treinamento Compartilhamento de informao confidencial No execuo de rotinas de segurana Falta de comprometimento dos funcionrios 46. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 4646 Exemplos de vulnerabilidades - outrasExemplos de vulnerabilidades - outras Senhas fracas Falha de implementao de segurana Deficincia na Poltica de Segurana Manuseio inadequado de informaes confidenciais/crticas 47. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 4747 Vulnerabilidade X Incidente deVulnerabilidade X Incidente de SeguranaSegurana Vulnerabilidade Clientes Imagem Produto Incidente de Segurana Negcio possibilita Afeta Impacta negativamente 48. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 4848 ferramentassoftware documentao hardware informao processos Ativos crticos Proteo Poltica de SeguranaFerramentas Conscientizao / Comportamento Medidas de segurana Perdas / danos Incidente de segurana Ponto vulnervel Ameaas externas Ameaas internas 49. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 4949 Relao entre vulnerabilidade eRelao entre vulnerabilidade e Medidas de proteoMedidas de proteo Medidas de proteo esto sujeitas a terem vulnerabilidade. Enquanto que para um conjunto de ocorrncias (ameaas), determinadas medidas de proteo so adequadas, para outras no. Empresas devem buscar a melhor relao entre custo beneficio, no momento de definio de sua estratgia de segurana. 50. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 5050 Incidentes de SeguranaIncidentes de Segurana Qualquer evento que prejudique o bom andamento dos sistemas, das redes ou do prprio negcio. As maiores ocorrncias referentes a incidentes de segurana esto dentro das empresas. 51. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 5151 Incidentes de SeguranaIncidentes de Segurana Como surgem? Por ao efetiva de uma determinada ameaa atravs de uma vulnerabilidade encontrada. 52. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 5252 Incidentes de SeguranaIncidentes de Segurana Para cada ameaa, temos vrios incidentes de segurana, por exemplo, um vrus: Lentido na maquina afetada; Corrupo de um ou mais arquivos; Perda de informao; Parada de um sistema; Atrasos na entrega de um servio devido indisponibilidade da informao; 53. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 5353 AmeaasAmeaas fundamental conhecer as ameaas potenciais ao ambiente da empresa! 54. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 5454 Medidas de SeguranaMedidas de Segurana Medidas de segurana so esforos como procedimentos, software, configuraes hardware e tcnicas empregadas para atenuar as vulnerabilidades, onde importante atentar para o nvel de aceitao dos riscos. 55. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 5555 Qual a melhor medida deQual a melhor medida de segurana?segurana? Modelos de segurana devem ser preparados por profissionais especializados na rea, seguindo fatores como o tipo do negcio, estratgia, ambiente operacional, cultura da empresa. 56. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 5656 Medidas de segurana:Medidas de segurana: Poltica de Segurana; Criptografia forte; Certificao Digital; Controle de acesso; Segurana fsica; Backup; Plano de Contingncia; Monitorao; 57. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 5757 Medidas de seguranaMedidas de segurana Firewall; Segurana de roteadores; Filtros de contedos; Polticas de senha; Deteco de intruso; 58. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 5858 Medidas de seguranaMedidas de segurana Teste de invaso; Alertas; Treinamento/Conscientizao dos usurios; Auditoria; Antivrus. 59. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 5959 Estratgias de SeguranaEstratgias de Segurana Medida Preventiva Medida Detectiva Medida Corretiva 60. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 6060 Medida PreventivaMedida Preventiva Possui como foco a preveno da ocorrncia de incidentes de segurana. Todos os esforos esto baseados na precauo. 61. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 6161 Medida DetectivaMedida Detectiva Quando se tem a necessidade de obter auditabilidade, monitoramento e deteco em tempo real de tentativas de invaso. Exemplos de Monitoramento: Monitorao de ataques; Controle sobre recursos; Controle das atividades de usurios. Exemplos de Auditoria: Trilhas Documentao Log 62. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 6262 Medida CorretivaMedida Corretiva Propor mecanismos para a continuidade das operaes. Exemplos: Plano de contingncia; Recuperao das operaes; Plano de continuidade de negcios. 63. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 6363 AmeaasAmeaas Ameaas so fatores/ocorrncias que podem violar sistemas e causar incidentes de segurana. Existem diversos tipos de danos causados pelas ameaas e incidentes, como: Revelaes de informaes; Destruio de informao ou de outros recursos; Interrupo de servios de rede; Modificao ou deturpao da informao; Roubo, remoo ou perda de informao ou de outros recursos. 64. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 6464 Como surgem as ameaasComo surgem as ameaas A Internet um importante veiculo de negcios para as empresas e tambm para a ao de ameaas. Verses de Sistemas Operacionais com bug de segurana permitem que agentes externos explorem estas vulnerabilidades. Ambientes computacionais diferentes, nveis de informatizao diferentes e exigncias de segurana tambm diferentes, portanto ameaas diferentes. 65. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 6565 Alguns tipos de AmeaasAlguns tipos de Ameaas Existe uma enorme variedade de ameaas provindas da Internet, porem programas maliciosos utilizados por vndalos e a conscientizao dos dirigentes das organizaes sobre a importncia de prover segurana, permitem o surgimento e/ou enriquecimento das ameaas. 66. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 6666 AmeaasAmeaas Ameaas Intencionais Ameaas Acidentais Ameaas Passivas Ameaas Ativas Comportamento Anti-social Ao Criminosa Outros tipos de ameaas 67. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 6767 Ameaas IntencionaisAmeaas Intencionais So as que variam desde o uso de tcnicas e ferramentas simples at os ataques mais sofisticados. 68. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 6868 Ameaas AcidentaisAmeaas Acidentais No esto associadas inteno premeditais, ocorrem por mero desconhecimento, falta de treinamento, falta de ateno etc. 69. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 6969 Ameaas PassivasAmeaas Passivas No resultam em qualquer modificao nas informaes. 70. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 7070 Ameaas AtivasAmeaas Ativas Envolvem alterao da informao ou modificao em seu estado ou operao. Exemplo: Vrus eletrnico; Funcionrios insatisfeitos; Software pirata na empresa; Divulgao de senhas; Espionagem industrial; Sabotagem. 71. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 7171 Comportamento Anti-socialComportamento Anti-social Paralisaes e Greves; Piquetes; Invases; Alcoolismo e Drogas; Falta de esprito de equipe; Inveja pessoal/profissional; Rixas entre funcionrios, setores, gerncias, diretorias. 72. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 7272 Ao CriminosaAo Criminosa Furtos e Roubos; Fraudes; Sabotagem; Terrorismo; Atentados; Seqestros; Espionagem Industrial; Engenharia Social. 73. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 7373 Tipos de ameaasTipos de ameaas Catstrofes; Falha de energia eltrica; Pane nos equipamentos de comunicao; Pane nos sistemas de informaes; Pane na rede; Problema nos sistemas operacionais; Problemas nos sistemas corporativos; 74. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 7474 Tipos de ameaasTipos de ameaas Erros de usuarios; Erros em Backups; Uso inadequado dos sistemas; Manipulao errada de arquivos; Treinamento insuficiente; Ausncia/Demisso de Funcionrio; Estresse/Sobrecarga de trabalho; Equipe de limpeza. 75. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 7575 Internas X ExternasInternas X Externas Ameaas Internas Esto presentes no dia-a-dia das empresas, sendo prejudicial ao seu negcio. Exemplos: Fraudes cometidas por funcionrios; Roubo de informaes; Erros Humanos; Treinamento Inadequado; E-mail; Vrus; Cavalo de Tria; Sobrecarga de energia eltrica; 76. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 7676 Internas X Externas IIInternas X Externas II Ameaas Internas - II Pirataria; Ameaas ambientais (Trmicas, umidades, poeira, radiaes, rudo, vapores, gases corrosivos, fumaa, magnetismo, trepidao, enchentes, incndio) Vrus: So programas que se inserem dentro de outros, podendo ser classificados em: Vrus de Programas; Vrus de Macro; Vrus de Sistemas. Cavalo de tria: No so considerados vrus nativos, pois no se duplicam e tampouco contaminam outros programas. Cavalo de tria, so verdadeiras portas de acesso ao contedo do computador. 77. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 7777 Ameaas ExternasAmeaas Externas Hacker; Cracker; Phreaker; Lammer; Ex-funcionrios; 78. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 7878 Avaliao do Nvel deAvaliao do Nvel de Segurana de AmbienteSegurana de Ambiente Identificao de Recursos Envolvidos: O que deve ser analisado no ambiente computacional? 79. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 7979 Anlise do AmbienteAnlise do Ambiente Um ambiente computacional composto, dentre outras coisas, de um conjunto de recursos que uma empresa utiliza para ter os seus negcios funcionando. 80. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 8080 Anlise do AmbienteAnlise do Ambiente Ao ser analisado o ambiente computacional, deve-se considerar todos os recursos envolvidos na operao da empresa, suas necessidades, complexidade e abrangncia, pois existem ambientes, empresas e necessidades diferentes. 81. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 8181 Anlise do AmbienteAnlise do Ambiente Independente das necessidades, deve ser feita uma relao dos equipamentos, sistemas, informaes, processos crticos que devero ter uma ateno especial, assim como suas prioridades. 82. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 8282 Exemplos da anlise no ambienteExemplos da anlise no ambiente computacional:computacional: Nvel de eficincia e adequao do backup; Controle de acesso rede; Segurana contra vrus; Servios disponveis X necessidades; Segurana do acesso remoto; 83. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 8383 Exemplos da anlise no ambienteExemplos da anlise no ambiente computacional:computacional: Documentao dos Sistemas; Instalao eltrica; Acesso a Internet; Segurana no roteador; Plano de contingncia; Adequao e uso da Poltica de Segurana. 84. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 8484 Software para anliseSoftware para anlise Uma vez definido, a utilizao de um software para anlise e filtragem dos dados relacionados, torna-se muito importante para que o mesmo possa direcionar e disponibilizar os dados para futura anlise. 85. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 8585 Coleta de dadosColeta de dados Aspectos Importantes a serem considerados: A coleta de dados tem como objetivo obter o conhecimento das medidas atuais de segurana adotadas pela empresa da estrutura analisada, portanto deve ser feita com muito critrio e ateno. So informaes importantes que sero utilizadas durante o processo de anlise. 86. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 8686 Material para a coleta dos dadosMaterial para a coleta dos dados O material a ser utilizado para a coleta de dados um tipo de check-list. Este material pode ser disponibilizado por vrios softwares especficos de controle de segurana. 87. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 8787 Material para a coleta dos dadosMaterial para a coleta dos dados Estes sistemas devem disponibilizar todas as informaes que so importantes, serem verificadas para avaliar o nvel das medidas de segurana dos sistemas, segurana lgica, segurana fsica, infraestrutura do ambiente, documentao e comunicao de dados/telecomunicaes. 88. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 8888 Material para a coleta dos dadosMaterial para a coleta dos dados Quando for iniciado a anlise deve ser considerado, por exemplo, o Sistema Operacional, pois pode existir vrios modelos de anlise diferentes para um mesmo assuntos, porm para sistemas operacionais diferentes. 89. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 8989 Coleta de dadosColeta de dados Independente de a empresa possuir ou no alguma medida de proteo implementada, a coleta de dados dever ser efetuada segundo o que foi definido como diretriz para este trabalho, devendo espelhar a situao real e atual dos controles ento existentes. 90. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 9090 Disponibilizando material paraDisponibilizando material para coleta de dadoscoleta de dados Aps definidos os pontos a serem analisados, dever ser definido as ameaas que podem afetar ou causar algum incidente de segurana em algum recurso que esteja envolvido com os pontos que sero analisados. Em seguida, devem ser identificadas as vulnerabilidades que sero exploradas pelas ameaas e por fim, dever ser verificado o nvel de eficincia das medidas de segurana adotadas pela empresa com o intuito de diminurem o nvel de exposio s vulnerabilidades. 91. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 9191 Disponibilizando material paraDisponibilizando material para coleta de dadoscoleta de dados As informaes sero levantadas atravs de um documento denominado check-list, que utilizado para alimentar uma base de dados do aplicativo em uso. As informaes a serem levantadas, devero ser feitas atravs de entrevistas com os responsveis e usurios dos processos ou averiguao in-loco. 92. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 9292 Segurana Fsica - BackupSegurana Fsica - Backup O backup uma importante atividade no processo de segurana dos dados de uma empresa. Apesar de ser uma atividade rotineira, o backup deve ser efetuado com conscincia e com muita ateno, pois no caso de incidente, esta atividade que devolver os processos a normalidade. 93. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 9393 Estratgia de backupEstratgia de backup Aspectos que a empresa deve ater no momento em que estiver definindo a sua estratgia de backup: Que sistema deve ser feito backup? Que informaes deve ser feita backup? Qual a periodicidade de execuo do backup de cada sistema? 94. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 9494 Estratgia de backupEstratgia de backup Qual a periodicidade dos testes do backup? Como deve ser documentado o backup? Qual o tipo de mdia deve ser utilizado? Como deve ser o local de armazenamento das mdias do backup? Que software pode ser utilizado para realizar o backup? Que tipo de mdia ele suporta? Pode ser gerenciado remotamente de forma segura? 95. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 9595 PeriodicidadePeriodicidade A periodicidade do backup um aspecto muito importante quando tratado a segurana de dados de uma empresa. importante que a rea de informtica assessore os Gestores dos Processos a identificar a periodicidade mais adequada do backup de sua rea em funo do grau de vulnerabilidade e disponibilidade do negcio. 96. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 9696 Controle de acesso fsicoControle de acesso fsico Acesso sala dos servidores comum funcionrios de outros setores entrarem no Departamento de Informtica. Este local, utilizado por muitas empresas como salas de acondicionamento de servidor, portanto seu acesso deve ser muito bem fiscalizados. 97. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 9797 No-BreakNo-Break Equipamentos como servidores, de comunicaes, de estaes crticas devem sempre estar protegidos por no-break. 98. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 9898 Processo de sada deProcesso de sada de equipamentos da empresaequipamentos da empresa Existem diversas formas de se roubar equipamentos das empresas. Quando um microcomputadores ou um simples HD roubado, vo junto as informaes. O vazamento das informaes muitas vezes a parte mais crtica na questo de roubo de equipamentos. 99. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 9999 CabeamentoCabeamento Passar cabo de dados de qualquer maneira querer problemas. So numerosos os casos de empresas que, crente que cabo cabo, contratam firmas no credenciadas para instalar ou expandir a rede. Isso pode gerar uma srie de problemas e at mesmo um desgaste poltico interno e externo. 100. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 100100 CabeamentoCabeamento Empresas devidamente credenciadas para efetuar projetos de cabeamento estruturado de acordo com a norma EIA/TIA 568 fornecem uma tranqilidade tanto de bom funcionamento da rede quanto da sua expansibilidade. Questes importantes a serem verificadas no cabeamento: Utilizar tubulao adequada para todo o cabeamento da rede; 101. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 101101 CabeamentoCabeamento Manter um cabeamento de reserva para as conexes mais importantes; Permitir somente pessoal capacitado para manusear o cabeamento da empresa, ou contratar somente empresas especializadas em cabeamento estruturado. 102. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 102102 Segurana LgicaSegurana Lgica Senhas Um usurio com senha fraca, pode ser considerado uma grande vulnerabilidade, colocando em risco a segurana de todos os sistemas. Senha Fraca Senha Forte 103. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 103103 Senha FracaSenha Fraca So senhas consideradas inseguras e fceis de quebrar, como por exemplo, nome, apelido, telefone, placa do carro, etc... 104. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 104104 Senha forteSenha forte Para serem consideradas seguras, as senhas devem conter no mnimo: Letras maisculas e minsculas; Dgitos e/ou sinais de pontuao; Tenham no mnimo sete caracteres alfanumricos; Duas palavras pequenas agrupadas por um dgito ou um caractere especial; Sejam fceis de lembrar, para no serem escritas; 105. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 105105 Senha forteSenha forte Como lembrar de uma senha forte? Frase Caminho 106. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 106106 Periodicidade de Troca de SenhaPeriodicidade de Troca de Senha A probabilidade de descoberta de uma senha aumenta com o passar do tempo. 107. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 107107 Tamanho das SenhasTamanho das Senhas O tamanho da senha um fator que pode facilitar ou dificultar pessoas mal intencionadas a descobrirem a senha 108. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 108108 Tipo de senhaTipo de senha Conscientizar os funcionrios da importncia de se utilizar uma senha forte e implementar mecanismos para o uso de senhas fortes no Sistema Operacional uma prtica imprescindvel para qualquer empresa, Sistema Operacional ou negcio. 109. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 109109 Controle de acesso lgicoControle de acesso lgico Bloqueio de estaes de trabalho Evita que pessoas mal intencionados verifiquem informaes estratgicas e/ou confidenciais. 110. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 110110 Controle de acesso lgicoControle de acesso lgico Acesso aos Diretrios / Pasta do Servidor O compartilhamento um recurso importante quando se fala em agilidade e praticidade. Dessa forma importante verificar quem deve ter acesso a determinados recursos e que tipo de acesso eles devem ter. 111. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 111111 Controle de acesso lgicoControle de acesso lgico Controle do Servidor Para evitar acidentes, recomendado que o console do servidor fique sempre travado com senhas de proteo. 112. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 112112 ContasContas Acesso Nenhuma conta pode ter acesso concorrente. Contas de Shutdown (local x remoto) Atribuir shutdown somente para administradores e pessoas permitidas. 113. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 113113 ContasContas Validade das contas de terceiros Todo funcionrio contratado (terceiro) tem um perodo de permanncia na empresa. Esta conta deve ser sempre renovada ou retirada no final deste perodo. 114. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 114114 ContasContas Bloqueio de conta por tentativa mal sucedida Implantar um nmero mximo permitido de tentativas malsucedidas de acordo com o estabelecimento na Poltica de Segurana da empresas. 115. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 115115 ContasContas Desbloqueio da conta superusurio A conta superusurio uma conta muito visada por ter total viso/acesso e poderes na rede, portanto esta conta nunca em nenhuma hiptese pode ser bloqueada. 116. 25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 116116 ContasContas Conta Guest/Anonymous A conta de convidados ou annimo pode dificultar a identificao perante um ataque ou tentativa de fraude pelo fato de no ser um conta pessoal.