Segurança da Informação

• Definição
• Falhas em Sistemas de Informação
• Métodos de ataques a S.I.
• Estratégias de Defesa
• Implementando a Segurança
• Normas de Segurança
 Definição da Segurança

Um mecanismo de Segurança da
Informação providencia meios para
reduzir as vulnerabilidades
existentes em um Sistema de
Informação
 Ciclo de Vida de Segurança
O que precisa
ser protegido?

Simulação de Como
um ataque proteger?

Qual prejuízo, se Qual é nível da

ataque sucedido? proteção?

Qual é probabilidade
de um ataque?
Falhas/Ameaças em Sistemas de Informação

• Falhas não-intencionais
– Falhas humanas
– Falhas dos sistemas
– Riscos do ambiente

• Falhas Intencionais
– Roubo de dados
– Uso indevido de dados
– Sabotagem
 Falhas/Ameaças Não Intencionais

• Falhas Humanas: podem ocorrer em projetos de

sistemas e/ou infra-estrutura. As falhas humanas
contribuem para a maior parte dos problemas (cerca de
55 %)
• Riscos Ambientais: incêndios, quedas em redes
elétricas , enchentes , etc
• Falhas em Sistemas Computacionais: defeitos de
fabricação. testes mal feitos
 Falhas/Ameaças Intencionais

• Ações intencionais correspondem a cerca de

30 % dos problemas
• Roubo de dados , uso indevido de
dados,manipulação de programas, dados,
sabotagem, destruição por vírus ou ataques
semelhantes
 Métodos de Ataque
• Adulteração de dados (inserção de dados falsos ou
alteração de dados existentes)
• Fraudes de programação (alteração de banco de
dados via programas executáveis. Necessário
conhecimento técnico e acesso ao ambiente de
produção dos aplicativos)
• Hacker: invasor de computador/rede
Cracker: Hacker mal intencionado
• Alteração de dados e ambiente através de vírus
Tecnologia de Informação

Tecnologia

Pessoas Processos
 Estratégias de Defesa
• Prevenção
• Detecção
• Limitação
• Recuperação
• Correção
 Estratégias de Defesa
• Prevenção
Impedir aos ataques aos sistemas, ocorrência de erros
e negar acesso a pessoas não autorizadas
• Detecção
Quanto antes o problema é detectado menor será seu
dano. Pode ser utilizado um software de diagnóstico
• Limitação
Sistema de tolerância a falhas permitindo a operação
parcial de um sistema com problemas
 Estratégias de Defesa
• Recuperação
Plano de recuperação de desastres definindo
como recuperar um sistema danificado o
mais rápido possível
• Correção
corrigir a causa dos danos para evitar que o
problema se repita.
 Controle de Acesso
Níveis de Acesso (Etapas):
• Acesso físico a um terminal
• Acesso ao Sistema
• Acesso a transações, comandos, privilégios,
programas e dados específicos dentro do
Sistema
 Controle de Acesso
Identificação do Usuário:
• Algo que somente o usuário conhece (senha)
• Algo que somente o usuário possui (smart
card ou um token)
• Alguma característica do usuário ( impressão
digital , íris, voz, caligrafia)
 Controle de Segurança de Dados

Há dois princípios básicos que precisam

ser considerados:
• Privilégio Mínimo: só deve ser
disponibilizada a informação que o usuário
precisa para executar a tarefa
• Exposição Mínima:Quando o usuário tiver
acesso a informação confidencial, ele tem o
dever de proteje-la.
 Controles de Aplicativos
• Controles de Entrada (formato,
consistência, domínio, inteireza)
• Controles de Processamento
• Controles de Saída
• Combinação dos controles
 Controles de Aplicativos
• Controles de Entrada: Críticas qto a
precisão, inteireza e consistência dos dados
impedindo situações GIGO (garbage-in-
garbage-out)
• Controles de Processamento: garante que
programas sejam executados corretamente.
 Controles de Aplicativos
• Controles de Saída: Garante que os resultados
sejam precisos, válidos, completos, consistentes e
sejam enviados/acessados somente pelo pessoal
autorizado.

• Combinação de controles: garante que controles

sejam combinados corretamente.
 Segurança de Dados
• Confidencialidade dos dados
• Controle de Acesso
• Natureza vital dos dados
• Integridade (preservação dos dados para o
uso previsto para eles evitando destruição,
alteração ou perda acidental ou intencional
de dados)
 Segurança de Redes
• Integridade aos dados
• Confidencialidade
• Privacidade
• Disponibilidade de sistemas
• Não reprodução
 Segurança na Web e Intranets
• Controle de acesso (senhas , cartões ,
controles biométricos)
• Criptografia (identificação, controle e
privacidade)
• Detecção de problemas/invasões
• Segurança de conteúdo
 Segurança na Web e Intranets
FIREWALLS
O firewall é um sistema ou conjunto de
sistemas que implementa uma política de
controle de acesso entre duas redes.
Geralmente é utilizado como barreira de
segurança entre a rede segura corporativa
(Intranet) e a Internet considerada não
segura.
 Segurança na Web e Intranets
FIREWALLS
Por mais úteis que sejam os Firewalls não
bloqueiam vírus que podem estar a espreita nas
redes. Os vírus podem atravessar os firewalls
geralmente escondidos nos anexos de emails.Para
se proteger utiliza-se antivirus que só agem depois
de iniciado o ataque ao computador e só com os
vírus conhecidos. Os novos vírus são difíceis de
detectar durante seu primeiro ataque.
 Implementando a Segurança
Auditoria de Sistemas de Informação
• Os sistemas possuem controles suficientes ?
• Quais controles são necessários ?
• Quais áreas estão cobertas pelos sistemas ?
• Os controles foram implementados de forma correta?
• Existem procedimentos para garantir que os controles serão
aplicados ?
• Existem ações corretivas no caso de infração dos controles?
 Tipos de Auditoria
• Auditoria ao redor do computador confirmar o
processamento verificando saídas conhecidas por
meio de entradas específicas.

• Auditoria por meio do computador

verificam-se as entradas, as saídas e o
processamento. Essa abordagem é mais complexa e
é apoiada por ferramentas (revisar lógica, testar
dados e controlar processamento)
 Tipos de Auditoria
• Auditoria com o computador
Significa usar uma combinação de dados do cliente, software de
auditoria e hardware dos clientes e dos auditores. Permite por
exemplo que o auditor execute algumas tarefas como simular a
lógica da folha de pagamento, usando dados reais

• Histórico de auditoria: rastrear uma transação através de cada

etapa de processamento (quando, onde , por quem , etc)

• Ataque simulado: tentativas de invadir o sistema para encontrar

pontos fracos
 Prevenção e Recuperação de
Desastres
• Reduzir a possibilidade de ocorrência de
desastres evitáveis (incêndios, queda de
energia)
• Plano de continuidade de negócios
(estratégia e planejamento de recuperação
de desastres)
• Gerenciamento de Riscos
 Recuperação de Desastres
• Garantir que a empresa funcione depois da ocorrência
de algum desastre
• Proteção de ativos
• Recuperação da perda total de capacidades
• Todos os aplicativos essenciais devem ser
identificados e o plano deve dar atenção aos
procedimentos para sua recuperação
• O plano deve ser guardado em local seguro e cópias
devem ser distribuídas aos gerentes
 Procedimentos de Backup
• Hot Site
No caso de um desastre é possível transferir a central de
computação para um local de backup remoto. Alguns
fornecedores externos dão acesso a um centro de backup
de dados totalmente configurado.
• Cold Site
Opção de menor custo. Numa emergência a empresa
transfere seus computadores ou computadores alugados
para aquele local e utiliza os dados de backup.
Processo de Gerenciamento de Risco
Serviços de Continuidade de Negócio
 Segurança de TI no século 21
• Aumentar a confiabilidade de sistemas
Usar tolerância a falhas para manter os sistemas de informação
funcionando mesmo que algumas partes apresentem falhas
• Sistemas inteligentes para detecção precoce
Detectar infrações da segurança
• Sistemas inteligentes na Auditoria
Aperfeiçoar a tarefa de auditoria dos S.I.
 Segurança de TI no século 21
• Inteligência artificial na Biometria
aperfeiçoar a capacidade dos sistemas biométricos
(redes neurais, lógica fuzzy)
• Sistemas Especialistas para planejamento e
prevenção de desastres
Base de conhecimento para diagnosticar fontes de
problemas
• Smart Cards
• Combate aos Hackers
 Questões a serem discutidas
1. Por que a segurança é tão importante em
todas as organizações?
2. Por que a segurança é um dos habilitadores
de negócios em um ambiente cooperativo?
3. Quais são os maiores riscos que rondam as
organizações?
4. Qual é a importância e a necessidade da
educação dos usuários?
 Questões a serem discutidas
5. Qual é a importância e a necessidade de uma
política de segurança?
6. Quais são as fronteiras entre as organizações no
ambiente cooperativo?
7. Como um firewall funciona? Existem diferenças
entre eles?
8. Quais são os maiores problemas envolvendo
firewalls e o ambiente cooperativo?
 Questões a serem discutidas
9. Como resolver os problemas de regras de filtragem,
inerentes ao ambiente cooperativo?
10. Como implementar e garantir um nível de
hierarquia entre as comunicações das diversas
organizações no ambiente cooperativo?
11. Qual tecnologia utilizar para garantir a proteção
dos valores da organização?
12. Como integrar as diversas tecnologias disponíveis?
13. Em fim, como garantir a segurança no ambiente
corporativo?
 Reflexão e Exercício
• Quais mecanismos de segurança existem no
seu ambiente corporativo?
• Tais mecanismos são suficientes? Justifique
a sua resposta?
• Quais são metas de 2008 para:
– Investimentos em Segurança (Tecnologia)
– Treinamento Pessoal
– Modificação dos Processos Internos.
Falta de Cuidados em Relação
da Segurança
• Sofisticação dos emails
– Interpretam diversos tipos de códigos e arquivos
– Códigos maliciosos se utilizam destes avanços
• Avanços nas pesquisas de clonagem e
manipulação genética
– Problemas com a autenticação utilizando
biometria
 Segurança como parte dos Negócios

• Anos 70 e 80: dados

• Anos 80 e 90: informações
• Após anos 90: conhecimento
• Enfoque atual: disponibilidade
• Segurança é parte do negócio da organização
 Normas de Segurança
• Definição
• Necessidade
• Itens da norma de segurança
• Política de segurança baseada na Norma
 Histórico - Normas
• 1967 - Criado um documento chamado
“Security Control for Computer System”
(criação de um conjunto de regras para
segurança de computadores).
• 1978 “Orange Book”, conhecido também
como “Trusted Computer Evaluatin Criteria”
(versão final 1985).
 Histórico - Normas
• “Orange Book” - marco do processo mundial de
busca de indicadores para um ambiente
computacional ser qualificado como seguro.

• O "Orange Book" especificação do que deve ser

implementado e fornecido por um software, para
que ele seja classificado em um dos níveis de
"segurança" pré-estipulados.
 Histórico - Normas

• International Organization for Standardization

(ISO). Norma internacional de Segurança da
Informação "ISO/IEC-17799:2000"

• Versão aplicada aos países de língua portuguesa:

"NBR ISO/IEC-17799“
 NBR/ISO IEC 17799
• ISO 17799 - conjunto de recomendações
para gestão da Segurança da Informação;

• Base comum para o desenvolvimento de

normas de segurança organizacional e das
práticas efetivas de gestão da segurança;

• Foco em tecnologia, processos e pessoas.

 Componentes do ISO 17799
• 1. Objetivo da norma
• 2. Termos e definições
• 3. Política de segurança
• 4. Segurança organizacional • 10. Desenvolvimento de
• 5. Classificação e controle
dos ativos de informação
• 6. Segurança de pessoas
• 7. Segurança física e do
ambiente
• 8. Gerenciamento de
operações e comunicações
• 9. Controle de acesso
sistemas.
• 11. Gestão de continuidade de
negócios
• 12. Conformidade
ISO 17799 – Segurança Organizacional
• Infraestrutura de segurança: estrutura
organizacional deve ser criada para iniciar e
implementar as medidas de segurança.
• Segurança no acesso de prestadores de serviço:
garantir a segurança dos ativos acessados por
prestadores de serviços.
• Segurança envolvendo serviços terceirizados:
incluir nos contratos de terceirização de serviços
computacionais cláusulas para segurança
ISO 17799 – Segurança de Pessoas
• Segurança na definição e Recursos de Trabalho: critérios
de segurança no processo de seleção. Colaboradores devem
assinar o acordo de confidencialidade.

• Treinamento dos usuários: Treinamento, educação, e

conscientização referentes a segurança.

• Mecanismos de Incidente de Segurança: mecanismos para

reportar possíveis falhas.

• Processo disciplinar formal: processo disciplinar formal para

colaboradores que violarem os procedimentos de segurança.
 ISO 17799 – Segurança Física e de Ambiente

• Áreas de segurança: prevenir acesso não autorizado, dano e

interferência nas instalações físicas. Definir um perímetro de
segurança, controles de entrada física, etc .

• Segurança de equipamento: Proteger equipamentos de ameaças e

perigos ambientais. Incluindo roubo, fogo, perigos ambientais, falta
de energia. Definição de uma política de manutenção e proteção a
equipamentos fora das instalações .

• Controles gerais: exemplos como proteção de tela com senha para

evitar que informação fique visível em tela, documentos impressos
deixados na impressora por muito tempo, etc.
 ISO 17799 – Controle de Acesso
• Gerenciamento de acesso dos usuários:
– Registro do usuário: ID única para cada usuário, pedir assinatura em termo
de responsabilidade, remover usuário assim que o funcionário sair da
empresa .
– Gerenciamento de privilégios: Basicamente, se recomenda que usuários
tenham apenas os privilégios necessários para fazer seu trabalho.
– Gerenciamento de senhas: termo de responsabilidade deve afirmar que
senha é secreta e não deve ser divulgada, senhas temporárias devem
funcionar apenas uma vez.
– Análise crítica dos direitos de acesso do usuário: deve-se analisar os
direitos de acesso dos usuários com freqüência de 6 meses ou menos.
 ISO 17799 – Controle de Acesso
• Responsabilidades dos usuários:
– Senhas: segundo norma, usuário deve zelar pela sua
senha e criar uma senha considerada aceitável (mínimo
de 6 caracteres).
– Equipamentos sem monitoração: Usuários deve tomar
os cuidados necessários ao deixar um equipamento
sem monitoramento, com seções abertas.
 ISO 17799 – Controle de Acesso
• Controle de Acesso ao SO:
– Controle de acesso ao sistema operacional: Identificação automática de
terminal: nos casos onde deve-se conhecer onde um usuário efetua logon.
– Procedimentos de entrada no sistema (log-on). Sugestões como:
limitar o número de tentativas erradas para o log-on e não fornecer ajuda
no processo de log-on, entre outros.
– Identificação de usuários: a não ser em casos excepcionais cada usuário
deve ter apenas um ID. Considerar outras tecnologias de identificação e
autenticação: smart cards, autenticação biométrica.
– Sistema de Gerenciamento de Senhas: Contém os atributos desejáveis
para sistema que lê, armazena e verifica senhas.
 ISO 17799 – Controle de Acesso às
Aplicações
• Controle de Acesso às aplicações:
– Registro de Eventos: Trilha de auditoria registrando exceções e
outros eventos de segurança devem ser armazenados por um
tempo adequado.
– Monitoração do Uso do Sistema: Os procedimentos do
monitoração do uso do sistema devem ser estabelecidos. Uma
análise crítica dos logs deve ser feita de forma periódica.
– Sincronização dos Relógios: Para garantir a exatidão dos
registros de auditoria.
ISO 17799 – Continuidade de Negócios
• Deve-se desenvolver planos de contingência para
caso de falhas de segurança, desastres, perda de
serviço, etc.
• Estes planos devem ser documentados, e o pessoal
envolvido treinado. Os planos de contingência devem
ser testados regularmente, pois tais planos quando
concebidos teoricamente, podem apresentar falhas
devido a pressupostos incorretos, omissões ou
mudança de equipamento ou pessoal.
 ISO 17799 – Componentes do Plano de
Continuidade de Negócios
• condições para a ativação do plano;
• procedimentos de emergência a serem tomados;
• procedimentos de recuperação para transferir atividades essenciais
para outras localidades, equipamentos, programas, entre outros;
• procedimentos de recuperação quando do estabelecimento das
operações;
• programação de manutenção que especifique quando e como o plano
deverá ser testado;
• desenvolvimento de atividades de treinamento e conscientização do
pessoal envolvido;
• designação de responsabilidades.
 ISO 17799 – Conformidade
• Conformidade com Requisitos Legais: Para evitar a
violação de qualquer lei, estatuto, regulamentação
ou obrigações contratuais. Evitar a violação de
Direitos Autorais dos aplicativos.
• Análise Crítica da Política de Segurança e da
Conformidade Técnica.
• Considerações referentes Auditoria de Sistemas.
 BS 7799-2
• O BS 7799-2 é a segunda parte do padrão
de segurança inglês cuja primeira parte
virou o ISO 17799.
• O BS 7799-2 fala sobre certificação de
segurança de organizações; isto é, define
quando e como se pode dizer que uma
organização segue todo ou parte do ISO
17799 (na verdade do BS 7799).
COBIT – Control OBjectives for Information and related
Technology

ÓCIO
N EG
E
O SD IA
IS I T Á C
C IA DE
E QU
F I C
I Ê N
I D A
A DE
R E IC M ID DE
F R L A
E FO ABI I ALID D E
N I C A
CO ONF ID EN R I D IDADE
C O NF E G NIBIL
DO C T
PO

INSTALAÇÕES
MÍN IN

PESSOAL
DI S
IO S

TECNOLOGIA
DE
PR TI
OC
ES

DADOS
SO
SISTEMAS
SD
AT ET
IVID I
AD
ES
PR DE E TI
OC TI SD
ES
SO R SO
S CU
RE
 ORGANIZAÇÃO DA SEGURANÇA DE TI

DOMÍNIOS
DE TI

PROCESSOS
DE TI
Controle
TI B OC

Macros S ODAD
S A MET SI S

ATIVIDADES

AI GOL ONCET

SE ÕÇAL AT S NI
DE TI
aç nar uge S e d s ovi t ej b O

S A OSSEP

OT NE MANI E RT
Controles

S AT NE MARREF
Detalhados

OVI T A MR ON A MET SI S
COSO USUÁRIOS DE TI
Objetivos de
Segurança PARCEIROS DE NEGÓCIO
NBR ISO/IEC 17799
COBIT / COSO
 IDS (Sistema de Detecção)

• Um Sistema IDS trabalha como uma câmera

ou um alarme contra as invasões, permitindo
detectar:
– Assinaturas de ataques;
– Desvios de comportamentos
• Notifica os administradores.
 Atividades (IDS)

• Monitoramento e análise das atividades dos usuários e

sistemas;
• Análise estática do padrão de atividade;
• Análise de protocolos;
• Identificação de destino de ataque;
• Detecção de atividades suspeitas em tempo real;
• Flexibilidade de resposta;
• Detecção de erros de configuração;
• Análise de atividades anormais.
 Tipos de IDS
HIDS
• Baseado em Host (HIDS)
– Faz o monitoramento do sistema, com base
em informações de arquivos de logs. É
capaz de
monitorar acessos
e alterações em
importantes
arquivos do
sistema.
 Tipos de IDS
NIDS
• Baseado em Rede (NIDS)
– Monitora o tráfego do segmento da rede,
geralmente com a interface de rede em modo
“promíscuo”. A detecção acontece através da
captura e análise dos cabeçalhos e conteúdos dos
pacotes que são comparados com padrões e/ou
assinaturas conhecidos. Como exemplo podemos
citar Snort e Realsecure.
 Honeypot
• São recursos de segurança que serevem para
serem atacados ou comprometidos por um
atacante.
• Honeypot de pesquisa:
– Monitoração de um ataque
• Honeypot de produção:
– Mecanismo de alerta
• Teoricamente honeypot é um único sistema
conectado a uma rede de produção.
Honeypot
 Vantagens de Honeypot
• Como Honeypot é isolado, o fluxo de
informações para análise é pequeno comparado
com a uma rede de produção;
• Firewall e IDS não são sobrecarregados com
grande tráfego;
• Exige poucos recursos;
• Etc
 Desvantagens de Honeypot

• Visão limitada de tráfego;

• Risco de ser invadido e utilizado para
prejudicar outros sistemas;
 Níveis de Interação do Honeypots
• Baixa Interação:
• Emulam serviços e sistemas operacionis e não
permitem que o usuários interaja com o sistema;
• É de fácil instalação;
• Risco mínimo
• Fácil descoberta por atacantes mais qualificados
• Quantias de capturas de informações limitadas
• Exemplos: Specter, Honeyd e KFSensor
 Níveis de Interação do Honeypots
• Alta Interação:
• Sistemas operacionais reais que permitem interação
do usuário;
• Maior captura de informações;
• Instalação mais complexa;
• Risco maior;
• Exemplo: Mantrap
• Honeypots de produção têm um nível baixo de
interação e honeypots de pesquisa têm um nível alto de
interação
 Localização de um Honeypot
• Pode ser instalado na Intranet ou Internet.
• Em frente ao firewall
• Fica for a da rede e não existe risco para rede
interna e também não é gerado logs de firewall e
do IDS.
• Se os atacantes dominarem o sistema, não é
possível controlar o tráfego, podendo colocar em
risco outras redes
 Localização de um Honeypot
• Atrás do Firewall (Intranet)
• Normalmente implementado para descoberta de atacantes
internos ou detectar alguma configuração vulnerável de
firewall;
• Se honeypot for atacado e compormetido por algum externo,
este terá acesso a toda rede, sem bloqueio do firewall
• DMZ
• Providencia uma segurança adicional;
• Utiliza firewall para controlar todo tráfego de entra / saída e
isolando honeypot da rede de produção.
Localização de um Honeypot
 Aspectos Legais dos Honeypots
• Armadilha:
• Coagir ou induzir alguém a fazer algo que
normalmente não faria, ou seja, instigar a prática de
um delito, pode acarretar processo judicial.
• Honeypots não induz ninguém.
• Os ataques são por iniciativa própria do atacantes.
• Os honeypots não são utilizados para processar
ninguém e sim para novas descobertas
 Aspectos Legais dos Honeypots
• Privacidade:
• O sistema que o atacante está usando não pertence a
ele, portanto toda monitoração realizada no sistema
não pode caracterizar quebra de privacidade.
• Responsabildiade:
• Se o honeypot for comprometido e utilizado para
prejudicar outras redes, pode acarretar em processo
civil.
 Honeynets
• Uma rede de sistemas e aplicativos
múltiplos, para ser comprometida e
observada.
• É um tipo de honeypot de alta
interação, utilizada principalmente
para pesquisa.
• É criado um ambiente que reflete
uma rede de produção real.
• Desta forma os riscos e
vulnerabilidades são as mesma de
um ambiente real.
 Funcionamento de Honeynets
• Definição e instalação de ambiente
• Criação de contas de usuários
• Envio de emials entre usuários
• Forjar documentos em alguns diretórios
• Executar alguns comandos para ficar no histórico
• Tornar a rede aparentemente ativa para atrair atenção
dos atacantes