FACULDADES INTEGRADAS UNICESP CURSO DE TECNOLOGIA EM SEGURANÇA DA INFORMAÇÃO

RUBENS JOSÉ DE SOUZA

IMPLEMENTAÇÃO DE SERVIDOR WEB SEGURO COM WINDOWS SERVER 2003 PARA A EMPRESA CAIXA ECONÔMICA FEDERAL

BRASÍLIA 2007

RUBENS JOSÉ DE SOUZA

IMPLEMENTAÇÃO DE SERVIDOR WEB SEGURO COM WINDOWS SERVER 2003 PARA A EMPRESA CAIXA ECONÔMICA FEDERAL
Trabalho de Conclusão de Curso apresentado ao Curso de Tecnologia em Segurança da Informação do Instituto Científico de Ensino Superior e Pesquisa, como requisito parcial à obtenção do título de Tecnólogo em Segurança da Informação. Área de concentração: Tecnologia em Segurança da Informação. Orientador: Prof. MSc. Cid Bendahan Coelho Cintra

BRASÍLIA 2007

SOUZA, Rubens José. Implementação de servidor web seguro com windows server 2003 para a Caixa Econômia Federal / Rubens José de Souza ; Professor orientador Cid Bendahan Coelho Cintra. – Guará : [s. n.], 2007. 134f; il. Monografia (Graduação em Tecnologia em Segurança da Informação) – Instituto Científico de Ensino Superior e Pesquisa, 2007

I. Cintra, Cid Bendahan Coelho. II. Segurança da informação. III. Intranet.

Charles Fernando Alves _____________________________________________________________ Prof. Flávio Pelegrinelli _____________________________________________________________ Prof. . Cid Bendahan Coelho Cintra . MSc. Paulo Hansen Coordenador do Curso de Tecnologia Em Segurança Da Informação FACCIG/UnICESP RESULTADO ( X ) APROVADO ( ) REPROVADO Brasília. avaliado pela banca examinadora constituída pelos seguintes professores: _____________________________________________________________ Prof. junho de 2007.Orientador _____________________________________________________________ Prof. MSc.FACULDADES INTEGRADAS UNICESP CURSO DE TECNOLOGIA EM SEGURANÇA DA INFORMAÇÃO RUBENS JOSÉ DE SOUZA Trabalho de Conclusão de Curso intitulado “Implementação de Servidor Web Seguro Com Windows Server 2003 para a Empresa Caixa Econômica Federal”.

Cid Bendahan Coelho Cintra Data de apresentação do Trabalho: 26 de junho de 2007 Declaramos que o aluno Rubens José de Souza por meio da Coordenação do Curso de Tecnologia em Segurança da Informação.PROPRIEDADE INTELECTUAL DE TRABALHO DE CONCLUSÃO DE CURSO – CESSÃO DE DIREITOS Curso de Tecnologia em Segurança da Informação UnICESP Título do Trabalho: “Implementação de Servidor Web Seguro Com Windows Server 2003 para a Empresa Caixa Econômica Federal Autor: Rubens José de Souza Orientador: Prof. Divulgação interna ou externa. Cid Bendahan Coelho Rubens José de Souza Cintra . como exposição/apresentação em Seminários ou Simpósios e outros eventos internos ou externos. estão autorizadas a fazer uso do Trabalho por nós desenvolvido para a disciplina de Trabalho de Conclusão de Curso II – TCC II para: • • Objetivos estritamente acadêmicos. da Coordenação de Trabalhos de Conclusão de Curso e da Coordenação Geral de Trabalhos de Conclusão de Curso. do UnICESP. MSc. ________________________________ ________________________________ Prof. para fins acadêmicos. MSc.

que de certa forma me ajudam a superar os desafios que me são impostos. ao professor e mestre Cid Bendahan Coelho Cintra cuja paciência e conselho sempre vieram na hora certa e que não poupou esforços e preciosas horas de seu tempo em minha orientação. . Obrigado a todos. principalmente. A minha querida esposa Leila Maria e às minhas queridas filhas Leilliany e Rubbiany. A todos os professores e colegas que com sua presença e companheirismo me incentivaram e proporcionaram-me vários momentos de aprendizagem e.AGRADECIMENTOS A Deus pela vida que me concedeste e por mais esta conquista.

Conclui-se que não existe situação efetiva de segurança nos servidores de informações e se propõe recomendações com base nas normas de segurança NBR ISO/IEC 17799:2005 e nas orientações emitidas pela Microsoft Corporation. extranet. controle de acesso. internet. infra-estrutura de chave pública. protocolos. sistema operacional e serviços de informações voltados para intranet. Palavras chaves: Segurança da Informação. Intranet. são apresentados os conceitos de vários tópicos abordados no trabalho. A ênfase do trabalho foi a aplicação de questionário e análise de riscos e vulnerabilidades por meio de comparação dos resultados obtidos versus matriz de risco. .RESUMO Este trabalho apresenta e analisa a segurança da informação em servidores que disponibilizam informações voltadas para intranet da Caixa Econômica Federal. Primeiramente. intranet. política de segurança da informação. como redes de computadores.

extranet. operating system and services of information for intranet. The emphasis of the work is the questionnaire application and analysis of risks and flaws through comparison of the results obtained with the risk head office. Intranet. I concluded that effective situation of safety doesn't exist in the servers of information and I propose recommendations with base in safety's NBR ISO/IEC 17799:2005 norms and in the orientations emitted by Microsoft Corporation. . intranet. and infrastructure of public key. politics of safety of the information. access control. internet. protocols. the concepts of several topics approached in the healthy work presented.ABSTRACT This work presents and it analyzes the safety of the information in servers that possess information of the intranet of Caixa Econômica Federal. Word Keys: Safety of the Information. as nets of computers. Firstly.

...................102 Tabela 12 – Opções de segurança .......94 Tabela 5 – Matriz de Risco – Responsabilidades dos usuários ........8 Lista de tabelas Tabela 1 – Recursos mínimos de hardwares para as diferentes edições do Windows Server 2003.........95 Tabela 6 – Matriz de Risco – Controle de acesso à rede........116 .................94 Tabela 4 – Matriz de Risco – Gerenciamento de acesso de usuário .......................................................80 Tabela 3 – Matriz de Risco – Política de Controle de Acesso ...........................................................................................................................................................................................71 Tabela 2 – Portas TCP padrão para serviços web ...........................95 Tabela 7 – Matriz de Risco – Política de segurança para servidores que disponibilizam serviços voltados para intranet ..102 Tabela 11 – Atribuições de direito do usuário .................................................................115 Tabela 15 – Extensões mapeadas e que deverão ser removidas.....................................................................................................................................96 Tabela 8 – Legenda ..........................................101 Tabela 10 – Configurações de auditoria....... ...............................................................................................104 Tabela 13 – Utilitários de linha de comando.......................................................... .96 Tabela 9 – Configurações de senha para conta...................................................................109 Tabela 14 – Classificação de arquivos do site......................................

..............................38 Figura 10 – Criptografia com chave simétrica................ ............................ ...36 Figura 8 – Rede local baseada no protocolo TCP/IP................................... ... .......113 Figura 20 – Serviço de Terminal – Configuração da guia “Client Settings” ....9 Lista de Figuras Figura 1 – Organograma da Empresa................. ......................................................111 Figura 17 – Serviço de Terminal – Configurações da guia sessions......28 Figura 3 – Modelo baseado em cliente/servidor e no acesso via cliente......... ...................... ..114 Figura 22 – Configuração do arquivo de log do IIS............................. .. ............................29 Figura 4 – Modelo de desenvolvimento em duas camadas..................................................................37 Figura 9 – Ligação entre rede baseada no protocolo TCP/IP...79 Figura 14 – Configuração do arquivo de log Security.......................................................112 Figura 18 – Serviço de Terminal – Configuração da guia remote control......75 Figura 13 – Diagrama Gerenciador de Autorização ............................................................................................................. ................................................31 Figura 5 – Modelo de desenvolvimento em três camadas............. ......54 Figura 11 – Criptografia com chave assimétrica...55 Figura 12 – Controle de acesso do IIS .........119 ..........................101 Figura 16 – Serviço de Terminal – Encryption level High ....................26 Figura 2 – Modelo baseado no mainframe e no acesso via “terminais burros”.100 Figura 15 – Exclusão dos diretórios da partição sistema no serviço de indexação....33 Figura 7 – Rede de pesquisadores depois da ARPAnet..............116 Figura 23 – Implementando criptografia de 128 bits no IIS.....................................................112 Figura 19 – Serviço de Terminal – Configuração da guia Client Settings ..................................................113 Figura 21 – Serviço de Terminal – Configuração da guia “Client Settings” ...........................................32 Figura 6 – Modelo de desenvolvimento em quatro camadas...

10 Lista de Abreviaturas e Siglas AD ADSL ANSI ARPA ARPANET ASCII ASP CEN CENELEC COM CPF CSP CTL DC DHCP DLL DNS DSA EAP ECDH ECDSA ETSI EUA FAT FTP GUID HD HDS HTML HTTP HTTPS Active Directory Asymmetric Digital Subscriber Line American National Standards Institute Advanced Research Project Agency Advanced Research Projects Agency Network American Standard Code for Information Interchange Active Server Pages Comité Européen de Normalisation Comité Européen de Normalisation Eléctrotechnique Component Object Model Cadastro de Pessoas Físicas Cryptographic Service Provider Certificate Trust List Domain Controler Dynamic Host Configuration Protocol Dynamically Linked Library Domain Name System Digital Signature Algorithm Extensible Authentication Protocol Elliptic Curve Diffie-Hellman Elliptic Curve Digital Signature Algorithm European Telecommunications Standards Institute Estados Unidos da América File Allocation Table File Transfer Protocol Globally Unique Identifier Hard Disk Hitachi Data Systems Hyper Text Markup Language Hypertext Transfer Protocol Hypertext Transfer Protocol Secure .

11 IAS IBM ICF ICP IEC IEEE IIS IP IPSec IPX ISAPI ISO ITU MDAC MIPS MSU MUX NCP NCSA NETBEUI NIST NNTP NTFS ODBC PC PDF PGP PIN PKCS POP RAM RDS RPC RRAS Internet Authentication Service International Business Machines Internet Connection Firewall Infra-estrutura de Chave Pública International Electro technical Commission Institute of Electrical and Electronics Engineers Internet Information Services Internet Protocol Internet Protocol Security Internetwork Packet Exchange Application Programming Interface International Organization for Standardization International Telecommunications Union Microsoft Data Access Components Milhões de instruções por segundo Milhões de unidades de serviço Multiplexador Network Control Protocol National Center for Supercomputing Applications NetBIOS Extended User Interface National Institute for Standards and Technology Network News Transfer Protocol New Technology File System Open Data Base Connectivity Personal Computer Portable Document Format Pretty Good Privacy Personal Identification Number Public Key Cryptography Standard Post Office Protocol Random Access Memory Remote Data Services Remote Procedure Call Routing and Remote Access Service .

12 RSA SDSI SET SGC SMTP SPKI SPX SQL SSH SSL TCP TLS UDP UNC URL W3C WINS WSRM WWW XML Ron Rivest e Adi Shamir Simple Distributed Security Infrastructure Secure Electronic Transaction Server-gated Cryptography Simple Mail Transfer Protocol Simple Public Key Infrastructure Sequenced Packet Exchange Structured Query Language Secure Shell Secure Sockets Layer Transmission Control Protocol Transport Layer Security User Datagram Protocol Universal Naming Convention Universal Resource Locator World Wide Web Consortium Windows Internet Naming Service Windows System Resource Manager World Wide Web extensible Markup Language .

..4......34 4.....................................................................38 4....1 Configurações do protocolo TCP/IP .....................29 4.........................................................4 POLÍTICA DE SEGURANÇA DE INFORMAÇÃO ..................................................................................1 Modelo centralizado baseado no mainframe .......4..2...............................................27 4........2 Intranet ...................................21 3 ESTRUTURA ORGANIZACIONAL .................................................1 Introdução ....5 Modelo de aplicações em quatro camadas ..1.......................................................................................27 4.............1 Diretrizes para implementação ..........1..........................................20 2 PROCEDIMENTOS METODOLÓGICOS.................................3 Modelo de aplicações em duas camadas...............................................3 INTERNET/INTRANET/EXTRANET ..1.......................27 4...........................................................................34 4.................................................42 4......1.......................27 4.......................................................3 Papel do Windows Server 2003 na rede ...............................2 Protocolo TCP/IP.......32 4.............3..................33 4...................13 Sumário 1 INTRODUÇÃO .......22 4 REFERENCIAL TEÓRICO.....................2......2 Redes de computadores .....22 3...................1...............1 Introdução ...............1 Servidores de rede.................................41 4........2...2....................................3.....22 3....1 A EMPRESA ...............................2.....29 4...............2........28 4...41 4.1..........................1...............2.......................................2 PROTOCOLOS ..1 Internet ......................................................................................................41 4.......................2...........................................................................1...............................................................................................1 Fundamentos .4 Modelo de aplicações em três camadas..40 4...........................1 FUNDAMENTOS DE REDES .............................................................................3...............................................1........................................................................................35 4...........................................................2.........................36 4....................................................................27 4.2 Modelo descentralizado baseado em cliente/servidor ..........................2 MISSÃO ....3 ORGANOGRAMA .....................................2 Objetivos de segurança..............................................31 4.........2..............2.................................................................................2.....................38 4...........22 3.......3 Extranet.......................43 ..4..........

..........1 Chaves simétricas.............53 4............................................................................57 4......2..................54 4...................................2...........1 Sign-on.3 Biometria ...............3.................................52 4............................................4.....4.......1 Legislação Brasileira..6.....1 Introdução à ICP ......51 4.....6.............1..............2.....................................................................6.2..................5....................................................1 Tokens ........................3............45 4..50 4................................................6......2 Instituições Padronizadoras Nacionais e Internacionais..................................................3...3 Legislação Brasileira e Instituições Padronizadas ...55 4..52 4.....58 4................8 Ataques .......2 Classificação dos sistemas...........6..............1 Diretrizes para implementação ..........7 Ameaças ......................5 CONTROLES DE ACESSO ..4........3 Serviços oferecidos pela ICP ....................49 4.6...................6..........9 Manutenção da Política......1 Criptografia .1..................2................................................................6.............................2 Smartcards...........................................58 ...............................6............57 4..............4.....................3...................................................6 Riscos .........................................4..................4 Identificando os Recursos ..............58 4..50 4.56 4.....4................2............2 Single sing-on (SSO) ...................52 4...............58 4..........................43 4.................................................4............................4...........................................44 4.............1 Lógico.....3 Ambiental ................................................3 Autenticidade ...............................14 4.................................4.........................56 4..3...................................1.....5................48 4......57 4....................................................................45 4..................................2.....2..........................2...........53 4...6....................................................................6...................4...........3 Algoritmos .....2 Integridade.....................................2 Chaves assimétricas .............................55 4..............46 4....................6...........................1 Classificação das informações .........................................................2 Conceitos Necessários................................4.......................6........................................6...........................2..........................57 4.....................3....................................................................45 4.......................................................2....2 Autenticação ...............5..6...4..................48 4...51 4........................................5 Ativos ............3...............................................................6 INFRA-ESTRUTURA DE CHAVE PÚBLICA – ICP .....4..............4..............................................................2 Físico....................................3...............3 Autenticação forte...1 Privacidade .......9...............................................................................................47 4.......2.................2...........................................................6....52 4......46 4....................6................

.......................6.................................3 Não-repúdio ...............6....6........6....................66 4...............7.......2 Contas de usuários e senhas ..............59 4.......67 4.................................................................................6...................................................6..................68 4................................................................................................................2 Funções Básicas ........................4.................1 Introdução .............................67 4...4..........6.......63 4..................62 4...............64 4..........60 4..............6...............2 Tipos de certificado...........509.....2.......66 5........4.............................15 4.....7.61 4......2 Carimbo de tempo seguro .........8 Brecha nos serviços de dados remotos (RDS) do IIS.......................6.............1 X..2 Simple Public Key Infrastructure/Simple Distributed Security Infrastructure (SPKI/SDSI) ..........6...5 Engenharia Social............................................................1 Segurança na Comunicação................1 Remote Procedure Call (RPC) ..61 4......................6.5 Recuperação de chaves .....59 4.............63 4........6.......................61 4......5 Ausência de filtro da rede local da empresa..............................6....................68 4...........63 4..62 4.................5.........6 As vulnerabilidades mais críticas de segurança na Internet....62 4.....7...65 4.................3 Script kiddies ......60 4......5.........................2....67 4...............6............6...........6...............................................................................................................................6..6...........6.......................6..4........4 Grande número de serviços/portas abertas.......6..1 Perfil de um hacker........6...........5..7 SISTEMA OPERACIONAL....................6...6....................................5 Ameaças e vulnerabilidades ...............................................6...........................................6.6........................6..................................3 Public Key Cryptography Standards (PKCS) ..6......6.7................62 4..........................59 4......6 Sistema de logs e auditorias incompletas ou inexistentes......................................................................6.5........1 Introdução..............4.....60 4..........7 Buffer overflow......6 Anatomia de um ataque de hacker ...........6.......................59 4........................................7 Certificação e certificados .................6......6.....2 Hackers x crackers ......................................5.....4 Serviços disponíveis com a utilização da ICP ...................6............................3 Secure Electronic Transaction (SET) .........7..69 ................................6.65 4..............................6..5...................4 Funcionários insatisfeitos e ex-funcionários ...................................1 Instalações padrão de sistemas operacionais e softwares................4 Gerência de privilégios .............61 4............................7....................7.........7..65 4........3 Backup incompleto ou inexistente .....64 4.........7...............................................6..64 4........6........61 4.2.............

....8............8 Autorização da URL ................7...3 Server-gated Cryptography (SGC).............6 Protegendo sites com restrições de endereço IP..82 4....................1 Permissões NTFS ................2 Permissões de sites .........7................70 4.....73 4......4 Filtragem de porta TCP/IP ..................3......3......1 Introdução ..............8........2.........2...................8.........................2..............................................8.........................72 4...2...71 4.....2.......................1 Recomendações para Servidor Web com IIS ......................5 Certificados de cliente .......2..........6.................16 4............4 Provedor de serviços de criptografia selecionável ...........2.........5 Configurando identidade do processo de trabalho....8...............8..................................2.4..........................3...........................78 4......................8.2............................8......................................70 4.....8......................5 Criptografia ...............2.............83 ...............................2.......2.................73 4.....2.......78 4...................................2 Autenticação de Sites FTP.............3..........3......75 4...79 4.....2...................................3...3............8...............7.......4 Acesso anônimo..2...8................8 INTERNET INFORMATION SERVICES 6..3.............8..........2....................................2 Definindo o nível de criptografia..........8............1 Autenticação de Sites ..79 4.......69 4.......6.....................71 4..........82 4.8.........................71 4........................................74 4.......................................................3 Contas do IIS e contas internas ...............82 4....4 Windows Server 2003 Web Edition ................6..........7..........2........8..8.............2 Certificados de servidor.......0 (IIS).3........................2 Windows Server 2003 Enterprise Edition ..............................8.....6...........3 Windows Server 2003 Data Center Edition ...8........75 4.........77 4.................2 Ferramentas de filtragem de portas ....8............5.......................................71 4......70 4.............3 Windows Server 2003 .................1 Autoridades de certificação ..76 4............8...5.......4.8.................3.......83 4..74 4.......4 Comparação entre as diferentes edições.......................77 4..............................................7..........2 Tipo de Autenticação ....................1 Windows Server 2003 Standard Edition .........................81 4..............2......3........2........3....................................2...7 Protegendo diretórios virtuais.....................2............................8....................................................1 Ativando a criptografia .2.............................81 4......2....................................2..............8....................................8.80 4.....81 4.6...............................72 4....................8........8...7..77 4...3 Controle de Acesso.............................2..........................................80 4..............6 Certificado Digital....2 Segurança.......8.........2...........1 Atribuições de portas para serviços web........2.

.....................3..........................4........................6 Lista de certificados confiáveis.............1...............1 Estrutura .1...............................2 Ambiente descentralizado (baixa plataforma) ...............2.......8...86 4....................8...................1 Habilitando o log .................................................84 4..........................97 4.8.................4 Metabase do IIS ...8.............85 4..........................................................................85 4..93 4.........................................8..86 4.......9 POLÍTICA DE CONTROLE DE ACESSO .........3............93 4..........................................17 4.3................9........10.....................84 4.......................8..............................................4 Ambiente de telefonia.....................8..................89 4.........90 4......4.8.......................................9....2 Resultado da avaliação de risco .................................................2...........................88 4......................87 4....................7 Log remoto .....5 Storage em fita .................3....................................................5...................................................................9.......2..................................5 Recursos humanos ..10..................................90 4....9..91 4................................2.........8 Códigos de erro em arquivos de log .83 4.......3 Ambiente de telecomunicações ..4 Storage em disco...........................................................88 4..............7 Detecção de certificados de cliente revogados ...................................................10 ANÁLISE DE RISCOS E VULNERABILIDADES ..3 Ambiente x86.............8.....................1 Política de controle de acesso ................................................8.............91 4...........8.......9........................3...................9...............5 Ajuste de desempenho...........9............90 4..................90 4..........92 4..........9................................................................................8...........2 Segurança ..................6 Módulos de log personalizados ..........................1..9.....1............................88 4...1..................8....................3 Backup........8.88 4.......4.............10.....8...1 Desempenho e Segurança ............................6......1 Ambiente centralizado (grande porte) ..................1 Avaliação de Risco...6..83 4..................93 4..........................3............8.........................................................................................93 4.8...........9...4 Convertendo arquivos de log em formato NCSA ...........................................2 Ambiente SUN ..........87 4..............................84 4........9...........1 Servidores que disponibilizam serviços voltados para intranet........................................1 Ambiente mainframe IBM .4........97 ...................5 Log binário centralizado.......85 4...................................................................87 4..89 4.....................8.........4 Importação e Exportação...............................3.....................................................3...3 Salvando arquivos de log ......................................2 Personalizando o log estendido do W3C............................3 LOGs de atividades do site ........87 4...........89 4....

.....2..........................................12........1....12..........115 4...............6.............................12....102 4.................................................110 4......3 Atribuições de direitos do usuário ..99 4........12 Configurações do serviço de terminal........1..................111 4.......12.........97 4......4 Extensões mapeadas e removidas......1............................104 4..101 4..........................12..........99 4...........1........10.............12...........................12.......................100 4................2 Localização e permissão para arquivos..................................1...7 Configurações de registro....0.............12...............1......................2......................97 4.......1 Senha.............................6....18 4......99 4.............98 4...........................6......................11 SOLUÇÕES E RECOMENDAÇÕES..5 Usuários administrator e guest .................................10..................3 Serviço de Indexação .......101 4......12.......................12 POLÍTICA DE SEGURANÇA PARA SERVIDORES QUE DISPONIBILIZAM SERVIÇOS VOLTADOS PARA INTRANET .....12.......99 4...........97 4...............................................1..12.............................................2 Auditoria ................11...........................1............1............4 Controle de acesso à rede.................1 Configurações de registro específico do IIS ..........3 Arquivo de log do IIS ..................115 4.5 Extensão WebDAV .98 4........................4 Proteção de tela......109 4.........12..............3 Controle de acesso à rede ...........................5 Política de segurança para servidores que disponibilizam serviços voltados para intranet .......12.....2 Configurações do serviço de informações da intranet (IIS) 6....................................116 ................107 4.....108 4............1.................1.....2 Arquivos de log .........2 Gerenciamento de acesso de usuário ....................................12..2...........109 4................................114 4..............1....2.........4 Opções de segurança ..2 Gerenciamento de acesso de usuário............................12..................................................................................1 Política de controle de acesso ..10.10...........................11...........................2.....................................1.....12...2...........................8 Permissões de Registro............................................12......................12.............116 4..........................1......................................................................................................12....2..2.....114 4...................................Access Control List (ACL) .........................101 4.......................100 4......98 4.1...........................102 4......6 Política de segurança local ..............11 Serviços ............................................1 Requisitos de Hardware ........12.....10 Utilitários de linha de comando.2.............1 Configurações do Servidor ........12..11..........99 4.........................3 Responsabilidades dos usuários ...............12......12............101 4..........................................1................6................9 Sistemas de arquivos ....

..................124 ANEXO A ................................................2..............19 4.119 4....................117 4..12..........................................................................................................12.9............122 GLOSSÁRIO.....12.......................12..............6...1 Autenticação do site.........................7 Criptografia ....1 Backup da metabase ......................9 Metabase do IIS.......................................................2............119 4...........2.......8 Certificado digital de servidor............117 4..........................................12.......................2..............119 5 CONCLUSÃO .......................2.........................9...2.............6 Método de autenticação ............12...........................................................................118 4..............................12............................126 .........................121 6 REFERÊNCIAS BIBLIOGRÁFICAS .6.................117 4.........................2...................................................2...119 4.................................2 Permissões NTFS ..............2 Segurança da metabase em nível de arquivo ..........................12............................

. por isso. como tal. Muitas dessas filiais possuem informações restritas. Nesse contexto. pondo em risco de violação os dados mais secretos e sigilosos das empresas. particularmente daquelas sob a guarda de seus servidores web regionais. a informação passa a ser o bem maior de cada empresa como trunfo de negócios e. novas formas de negócios e de relações entre empresas e clientes. como não poderia deixar de ser.20 1 INTRODUÇÃO Com o avanço da tecnologia nos últimos anos. instituição financeira oficial que se toma como base para as propostas objeto deste trabalho. de forma que seja assegurada a indispensável confidencialidade e integridade às informações digitais da empresa. criam-se novos métodos de trabalhos. O vaivém em formas digitais através de conexões de rede de computadores cresce em ritmo exponencial. e. altera-se. Vários desses servidores ainda utilizam versões do Windows NT Server 4. Como imperativo desta realidade tão mutante. por conseguinte. afeta igualmente a economia interna da Caixa Econômica Federal. a necessidade de substituir-se a versão do sistema operacional em uso por versão mais recente (Windows Server 2003). Com este cenário convive presentemente toda sociedade empresária. Os acessos às informações tornam-se cada vez mais rápidos. não mais possui suporte nem patch de atualização contra vulnerabilidades. sistema operacional que já foi descontinuado pelo fabricante e. O papel é gradualmente substituído por documentos digitais. a implantação de padrões capazes de respaldar os normativos da empresa e as normas técnicas de segurança. Propostas que têm em vista. deve ser resguardada adequadamente segundo sua classificação e grau de importância. Daí. essencialmente. a concorrência comercial entre as empresas assume caráter globalizado e faz com que os ganhos de competitividade sejam objeto de busca permanente. Os servidores web regionais disponibilizam sites de conteúdos das várias filiais espalhadas pelo Brasil. afigurando-se necessário que se lhes garantir integridade e confidencialidade. de acesso limitado e pertinentes apenas à sua área de atuação. o paradigma da concepção e da forma de guardar informações.

. na norma técnica NBR ISO/IEC 17799:2005 e NBR ISO/IEC 27001 e nas disciplinas estudadas no decorrer do curso. e. a fim de que se imprima confidencialidade e integridade aos respectivos conteúdos.avaliação de risco utilizando matriz de risco. Para esse efeito. 2 PROCEDIMENTOS METODOLÓGICOS O desenvolvimento deste trabalho respalda-se em livros de Segurança da Informação e Sistemas Operacionais. por meio do inventário de hardware e software da empresa estudada. Para fins de levantamento de risco e vulnerabilidades. Efetuou-se tal operação por meio de inventário de hardware e software e os dados tabulados em planilhas.levantamento da estrutura da empresa. um mapeamento dos servidores Web a fim de verificar a necessidade de atualização de hardware de forma a atender os pré-requisitos para instalação do Windows Server 2003. Política de Segurança da Informação e Classificação da Informação.Análise do problema apresentado. Os dados levantados foram confrontados com estes normativos e com as normas ISO/IEC 17799 e . . propõe-se neste trabalho nova política de segurança para os servidores que disponibilizam serviços voltados para Intranet da CEF.apresentação das soluções propostas e recomendações para o problema apresentado. Também se fez levantamento da versão do sistema operacional e versão do IIS utilizado bem como formas das configurações implementadas. Realizou-se.levantamento de risco e vulnerabilidades com aplicação de questionário. e . foi aplicado questionário a qual se encontra no anexo A.análise dos resultados da avaliação de risco. .21 Nesta ordem de idéias. A CEF possui normativos de Política de Segurança para Intranet. cuidados de levar a cabo as seguintes e específicas tarefas: . Desse levantamento foi elaborada uma planilha da radiografia de tais servidores. . como objetivo geral.

3.Direcionamento de ações para o atendimento das expectativas da sociedade e dos clientes. A instituição integra o Sistema Financeiro Nacional e auxilia na execução da política de crédito do Governo Federal.equilíbrio financeiro em todos os negócios. 3 ESTRUTURA ORGANIZACIONAL 3. 759. compatíveis com as normas vigentes.22 ISO/IEC 27001 a fim de indicar o que está em desacordo e recomendar um padrão de controle de acesso a ser implementado. 3. a missão da CEF é promover a melhoria contínua da qualidade de vida da população brasileira.busca permanente de excelência na qualidade dos serviços oferecidos. . 2006). de 12 de agosto de 1969. atuando no fomento ao desenvolvimento urbano e nos segmentos de habitação. programas e serviços de caráter social. a CEF tem sede e foro na capital da República e atuação em todo o território nacional. está sujeita às decisões e à disciplina normativa do órgão competente e à fiscalização do Banco Central do Brasil (CAIXA.1 A Empresa A CAIXA ECONÔMICA FEDERAL (CEF) é uma instituição financeira criada sob a forma de empresa pública pelo Decreto Lei n°. e na administração de fundos. Vinculada ao Ministério da Fazenda. 2006). .3 Organograma São órgãos de administração da CEF: . Assim como as demais instituições financeiras. tendo como valores fundamentais: .respeito e valorização do ser humano (CAIXA. intermediando recursos e negócios financeiros.conduta ética pautada nos valores da sociedade e . .2 Missão Essencialmente. saneamento e infra-estrutura.

e examinar as demonstrações financeiras semestrais e anuais da CEF. Ligado a SUATE temos a hierarquia que se segue: . . entre elas: fiscalizar os atos dos administradores. . . com as principais atividades: . representações e unidades regionais vinculadas. . Caixa M@il e sistema de atendimento (SIATE). com a incumbência de executar e fazer executar as deliberações do Conselho de Administração e as decisões do Conselho Diretor.coordenar e controlar a instalação/manutenção dos equipamentos e serviços intranet instalados nas gerências. as estratégias corporativas. escolhidos pelo Ministro de Estado da Fazenda. ouvido o Conselho de Administração. responsável pela orientação geral dos negócios da CEF.Presidente e onze vice-presidentes. o plano geral de negócios. nomeado pelo Presidente da República por indicação do Ministro de Estado da Fazenda. sendo composto de sete conselheiros nomeados pelo Ministro de Estado da Fazenda para mandatos de três anos. os programas de atuação de longo prazo e decidir sobre a estrutura organizacional da CEF. colegiado composto pelo presidente da CEF e por nove vice-presidentes.Prestar suporte especializado de segundo nível nas demandas de usuários dos serviços intranet através de telefone. podendo ser reconduzidos por igual período. responsável pelo processo instalar/manter infra-estrutura tecnológica descentralizada. responsável pelo desenvolvimento de software.Conselho de Administração.Conselho Fiscal. Ao Conselho Diretor cabe. verificando o cumprimento de seus deveres legais e estatutários.23 . responsável pela sustentação de tecnologia e a superintendência de desenvolvimento (SUDES).Conselho Diretor. aprovar e apresentar ao Conselho de Administração as políticas. Ao Conselho Fiscal compete exercer as atribuições referentes ao seu poder de fiscalização. entre outras atividades. Centralizadora de suporte tecnológico (CESUT).Gerência nacional (GEADE). . atuando junto aos analistas intranets das GISUT. .A vice-presidência de tecnologia (VITEC) é a responsável pela tecnologia da empresa e possui duas superintendências sendo a superintendência de tecnologia (SUATE). que é composto de cinco membros efetivos (e suplentes).

as infecções e os novos vírus surgidos no período. . como DHCP. . . . As gerências e representações regionais de suporte tecnológico de segundo nível são responsáveis por manter os sites das unidades regionais da CEF bem . .verificação da execução do backup diária e semanal dos servidores Exchange.pesquisar bases de conhecimento objetivando a melhoria da performance dos serviços intranet e do suporte aos usuários.gerenciamento de grupos e usuários dos controles de domínios da rede da CEF.propor e manter padronização de conteúdo para os sites regionais de responsabilidade da GISUT e RESUT. . englobando os números da rede. .controlar e apoiar a implementação de novos normativos e padrões por parte das gerências e representações regionais.acompanhar o desempenho dos servidores intranet instalados nas GISUT e RESUT.auditar os servidores web regionais no tocante aos padrões e normas estabelecidos para sua instalação/manutenção.24 .coordenar e apoiar a instalação de novas versões dos sistemas e serviços intranet. .suporte a todos os sistemas operacionais Windows.Representação regional de suporte tecnológico de segundo nível (RESUT). além dos serviços básicos de rede.monitoração de filas de mensagens e serviços ativos nos servidores Exchange. . .elaboração de boletins gerenciais de segurança. . . .auditoria da utilização de senhas padronizadas nos banco de dados dos servidores bancários localizados em cada agência.publicar na intranet relatórios de avaliação e performance dos sites de conteúdo das unidades regionais.auditoria de segurança nos demais servidores e estações.controlar e propor atualização para os equipamentos instalados no ambiente intranet. DNS e WINS. .Gerência regional de suporte tecnológico de segundo nível (GISUT). . .

encontra-se destacada. Nela.25 como prestar todo o suporte aos usuários finais com relação às ocorrências ligadas a hardware e software da baixa plataforma. podemos observar a estrutura organizacional da CEF. 2006). a repartição foco deste projeto (CAIXA. A seguir. .

26 Figura 1 – Organograma da Empresa. .

Na sede da empresa.1. 4. p. conhecidos como “terminais burros”. aqui no Brasil. entretanto.1. tínhamos um modelo baseado nos computadores de grande porte. o qual era conectado com um equipamento chamado MUX. gerenciamento e administração centralizada.1 Fundamentos de Redes 4.1 Modelo centralizado baseado no mainframe De acordo com Battisti (2003. Surge o modelo ciente/servidor. Para ter acesso a estes dados. mas apenas para disponibilizar aplicações de cunho corporativo. e o acesso aos programas e dados era feitos por meio de terminais sem poder de processamento. apresentava velocidades da ordem de 1 ou 2 kbps). e estão sendo transformados.2 Redes de computadores 4. usando uma . por exemplo. os programas foram. Os programas e os dados eram disponibilizados em um computador de grande porte.1. O papel do MUX é permitir que mais de um terminal burro possa se comunicar com o Mainframe. Vamos supor que a empresa X é a dona do Mainframe. com características diferentes das do mainframe. o primeiro com seus dados distribuídos e o segundo com seus dados centralizados. a empresa Y contrata uma linha de dados (que até o início da década de 90. a linha de dados é conectada a um Modem.2. passando a serem alocados em várias partes da rede corporativa. no qual estão hospedados aplicativos e dados da empresa Y.1 Introdução Durante a década de 70 e meados de 80 utilizava-se um modelo centralizado baseado em mainframe. Tal arquitetura ainda é bastante utilizada atualmente. quando a informática começou a ser utilizada para automatizar tarefas administrativas nas empresas. Os aplicativos e dados ficam armazenados no Mainframe. principalmente em questões de contingenciamento. ambiente mais seguro e facilidade para atualização dos sistemas. “Há algumas décadas. Com a evolução da tecnologia de forma acelerada.27 4 REFERENCIAL TEÓRICO 4. dependência da linha de comunicação e quase sempre os dados das empresas eram administrados por terceiros. 27). o chamado Mainframe”. conforme figura 2. possui um custo alto. Esse modelo possui inúmeras vantagens como.

p.28). cinco deles ainda têm grande parte dos dados no Mainframe (BATTISTI. de forma natural.Mainframe -. os computadores padrão Personal Computer (PC).1. em direção a servidores de menor porte . conforme podemos observar no diagrama da figura 3. A idéia básica do modelo cliente/servidor era uma descentralização dos dados e dos aplicativos. O passo seguinte neste processo foi. Este modelo ainda é muito utilizado.2 Modelo descentralizado baseado em cliente/servidor Na década de 80 e inicio dos anos 90. os terminais são na prática uma extensão da console do Mainframe. os preços começaram a baixar e as empresas a usarem cada vez mais. 2003. Com isso. o qual permite que vários terminais estejam conectados simultaneamente. Por este motivo. já eram uma realidade e as empresas passaram a utilizá-lo em grande escala. Este movimento de um computador de grande porte .servidores de . que fica instalado em um computador ligado em rede. no mínimo. p. os terminais burros foram praticamente extintos. Pegue a lista dos dois maiores bancos brasileiros (públicos ou privados) e. Mas muitos dos sistemas e dados empresariais utilizados hoje em dia ainda estão hospedados no Mainframe. começava a nascer o modelo cliente/servidor.2. Figura 2 – Modelo baseado no mainframe e no acesso via “terminais burros”. FONTE: Battisti (2003. Os terminais burros eram ligados ao equipamento MUX.28 única linha de dados. trazendo os dados para servidores localizados na rede local onde os dados fossem necessários e os aplicativos instalados nos computadores da rede. Agora o terminal é simplesmente um software emulador de terminal. a ligação dos computadores em rede de forma que pudesse facilitar a troca de informações de computador para computador. diretamente através de cabos padrão para este tipo de ligação. embora novos elementos tenham sido introduzidos.27) 4. inclusive acessando diferentes sistemas. Por exemplo.

banco de dados. Windows Internet Naming Service (WINS).2. Dynamic Host Configuration Protocol (DHCP). p. com objetivo de executar e disponibilizar serviços de rede e aplicações de usuário como. nada mais é do que uma rede de dispositivos. . Simple Mail Transfer Protocol (SMTP). serviços de Domain Name System (DNS). Post Office Protocol (POP). 2003.3 Modelo de aplicações em duas camadas Com o advento da descentralização e o uso do modelo cliente/servidor. aplicações foram sendo desenvolvidas em linguagens como Visual Basic.foi conhecido como Downsizing.29). Figura 3 – Modelo baseado em cliente/servidor e no acesso via cliente.29 rede local . p.1.2. por exemplo. disponibilização de páginas web. 4. 2003. A Arquitetura cliente/servidor. 30) 4. arquivos. acessando os recursos e serviços disponibilizados pelos Servidores (BATTISTI.disponibilizando recursos e serviços para os demais .2. Delphi.e a maioria dos dispositivos atua como cliente. onde um número reduzido atua como Servidor . dentre outros. Com base nestas informações podemos apresentar o conceito da arquitetura cliente/servidor. de uma maneira simples. 5). p.1 Servidores de rede São computadores localizados em pontos estratégicos da rede que possui um alto poder de processamento de informações e armazenamento de dados. FONTE: Battisti (2003. normalmente computadores. que eu me atrevo a traduzir como "Redução de Tamanho" (BATTISTI.1.

. [. Então começam a surgir os problemas no modelo em duas camadas: uma simples alteração de Interface é suficiente para gerar a necessidade de atualizar a aplicação em centenas ou milhares de estações de trabalho. Por exemplo. um programa para gerência de Recursos Humanos. ou seja. desde funções simples de validação da entrada de dados.] No modelo de duas camadas. menus e demais elementos visuais estão contidos no código da aplicação Cliente. cada vez que uma determinada regra muda ou quando regras forem acrescentadas ou retiradas.Apresentação: O Código que gera a Interface visível do programa faz parte da aplicação Cliente. como o cálculo do dígito verificador de um CPF. Estas aplicações utilizavam um modelo de desenvolvimento em duas camadas. Fazem parte da Lógica do Negócio. faz-se necessária a geração de uma nova versão do programa. e todas as estações de trabalho que possuam a versão anterior devem receber a nova versão. Isso acontece porque a legislação dos EUA é diferente da legislação brasileira. Agora temos mais um sério problema no modelo de duas camadas: qualquer alteração nas regras do negócio (o que ocorre com freqüência) é suficiente para gerar a necessidade de atualizar a aplicação. 2003. Com isso. Em síntese. não pode ser utilizado. faz-se necessária a geração de uma nova versão do programa. as aplicações são instaladas em cada computador cliente e a partir deste cliente efetuado a conexão com o servidor de banco de dados (figura 4).. as regras para o sistema de Recursos humanos são diferentes. O que já era complicado piorou um pouco mais (BATTISTI.Lógica do Negócio: As regras que definem a maneira como os dados serão acessados e processados são conhecidas como "Lógica do Negócio". desenvolvido para a legislação dos EUA. sem modificações. de acordo com o volume da compra.30 Power Builder. como descontos escalonados para os maiores clientes.. Desta forma. ainda mais com as repetidas mudanças na legislação do nosso país. p. todas as estações de trabalho que possuem a versão anterior devem receber a nova versão.31). para que o usuário possa ter acesso às alterações da Interface. para que o usuário possa ter acesso às alterações. a aplicação Cliente é responsável pelas seguintes funções: . dependendo do porte da empresa. Caso sejam necessárias alterações na Interface do programa. por uma empresa brasileira. O gerenciamento desta tarefa é algo extremamente complexo e oneroso. Todos os formulários. em centenas ou milhares de computadores. Alterações nas regras do negócio são bastante freqüentes. . Questões relativas à legislação fiscal e escrita contábil também fazem parte da Lógica do Negócio. até funções mais complexas.

. ao centralizar as regras do negócio em um Servidor de Aplicações. estamos facilitando a tarefa de manter a aplicação atualizada.1. Cabe reforçar que os dados somente são acessados através do Servidor de Aplicação e não diretamente pela aplicação Cliente (BATTISTI. p. Cabe ressaltar. no qual reside toda a informação necessária para o funcionamento da aplicação. Todos os clientes passam a acessar os dados através das regras contidas no servidor e desta forma a manutenção destas regras ficam muito mais fácil (figura 5).. Após a atualização. basta atualizá-la no Servidor de Aplicações. as três camadas são as seguintes: .] Com isso. Vejam que. 31) 4. onde a aplicação estiver sendo utilizada.Apresentação .Lógica .São as regras do negócio. .31 Figura 4 – Modelo de desenvolvimento em duas camadas. [. quando uma regra do negócio for alterada. todos os usuários passarão a ter acesso à nova versão. que alterações na interface são menos freqüentes do que alterações nas regras do negócio. sem que seja necessário reinstalar o programa Cliente em cada um dos computadores da rede. Alterações na interface do programa ainda irão gerar a necessidade de atualizar a aplicação em todas as estações de trabalho.33).2. .Nesta camada temos o servidor de banco de dados.Continua no programa instalado no Cliente. p.Dados . FONTE: Battisti (2003. porém. Esta camada foi deslocada para o Servidor de Aplicações. .4 Modelo de aplicações em três camadas O modelo de aplicação em três camadas é uma evolução do modelo de aplicações de duas camadas. 2003. As coisas estão começando a melhorar. A idéia básica deste modelo é retirar as regras de negócios do cliente e centralizar em algum ponto da rede chamado de servidor de aplicações. que determinam de que maneira os dados serão utilizados e manipulados pelas aplicações. Desta maneira.

[. ou outro navegador qualquer. no qual reside toda a informação necessária para o funcionamento da aplicação (BATTISTI. Servidor de aplicações Servidor de banco de dados Cliente FONTE: Battisti (2003. quer seja o Internet Explorer.Lógica . Com isso. a apresentação da aplicação e centralizá-la em um servidor assim como foi feito com as regras de negócios. Vejam que. . automaticamente. sem que seja necessário reinstalar o programa em cada estação de trabalho da rede. . todos os usuários passarão a ter acesso à nova versão. ao centralizar as regras do negócio em um Servidor de Aplicações. alterações na interface da aplicação são feitas diretamente no servidor Web. . A idéia consiste em retirar do cliente. disponíveis para todos os Clientes. sendo que estas alterações estarão. PHP. quando uma regra do negócio for alterada.Nesta camada. por exemplo. Flash ou qualquer outra tecnologia capaz de gerar conteúdo para o navegador.1.Cliente . ASP.32 Figura 5 – Modelo de desenvolvimento em três camadas. o Cliente é o Navegador utilizado pelo usuário..] Com isso. 2003.São as regras do negócio. 33) Cliente 4. A interface pode ser composta de páginas HTML.2.Passa para o Servidor Web. basta atualizá-la no Servidor de Aplicações. temos o servidor de banco de dados. Desta maneira. as quais determinam de que maneira os dados serão utilizados. Esta camada está no Servidor de Aplicações.Neste caso. temos as seguintes camadas: . quer seja o Netscape Navigator. p. estamos facilitando a tarefa de manter a aplicação atualizada.34-35).Dados .. Este é um modelo parecido com o modelo mainframe com a diferença que as aplicações são acessadas por computadores com poder de processamento e através de navegador como. .Apresentação . Após a atualização. o Internet Explorer e o Netscape (figura 6). p.5 Modelo de aplicações em quatro camadas Este modelo é uma evolução do modelo de três camadas.

p. topologia de sites e outros objetos de diretório a partir de qualquer controlador de domínio na floresta.Os servidores de impressão fornecem e gerenciam o acesso às impressoras. 34) Cliente 4. etc. Se você planeja usar o espaço em disco do computador para armazenar.1. Servidor Web Servidor de Servidor de aplicações banco de dados Cliente FONTE: Battisti (2003.. um servidor que contém uma cópia gravável do banco de dados do Active Directory participa da duplicação do Active Directory e controla o acesso a recursos de rede.3 Papel do Windows Server 2003 na rede Com o crescimento das migrações de dados e aplicações dos grandes portes para a baixa plataforma. ou se . O que define o papel a ser desempenhado por um sistema operacional Windows Server 2003. Servidor de Impressão . gerenciar e compartilhar informações. servidor de aplicações. acesso à rede. como arquivos e aplicativos acessíveis pela rede. recursos compartilhados. Dentre os vários papéis que poderá ser desempenhado pelo Windows Server 2003. O Windows Server 2003 foi projetado pela Microsoft para ser o sistema operacional dos servidores da rede para atender estas necessidades. servidor de acesso remoto. Servidor de arquivos .Os servidores de arquivos fornecem e gerenciam o acesso a arquivos. basicamente são as configurações e os serviços instalados e configurados no servidor. configure-o como um servidor de arquivos. houve a necessidade de inserir em vários pontos da rede da empresa. Configure o computador como servidor de impressão se você planeja gerenciar impressoras remotamente ou usando a instrumentação de gerenciamento do Windows (WMI). servidores que pudesse executar diferentes tipos de funções como servidor de banco de dados.33 Figura 6 – Modelo de desenvolvimento em quatro camadas. destacamos os principais: Controlador de domínio .Em uma floresta do Active Directory. Os administradores podem gerenciar contas de usuário. servidor web.

em vez de configurálas em cada computador clientes.Banco de dados distribuído de modo hierárquico que contém mapeamentos de nomes de domínios DNS para vários tipos de dados. escalonáveis. 2003). respectivamente. como o Windows Media Player.34 deseja imprimir de um computador servidor ou cliente para um servidor de impressão usando um URL. Servidor de e-mail . Servidor de acesso remoto . seguros e gerenciáveis em uma intranet. Você pode usar o IIS 6..Os Serviços de email incluem os serviços POP3 e SMTP. por exemplo. desempenho e segurança em milhares de sites possíveis. Esse tipo de servidor é chamado de servidor de acesso remoto/VPN. São no protocolo de comunicação que estão definidos todas as regras para que cada computador entenda uns aos outros. além de possibilitar a descoberta de outras informações armazenadas no banco de dados. O DNS permite a localização de computadores e serviços por nomes amigáveis. Servidor WINS .0 inclui novos recursos projetados para ajudar organizações.Um serviço de software que mapeia endereços IP dinamicamente para nomes de computadores (nomes NetBIOS). 4. Os servidores de acesso remoto/VPN também podem oferecer a conversão de endereços de rede (NAT). Com a NAT. profissionais da área de informática e administradores da Web a atingir seus objetivos de desempenho. Servidor Web – [. desta forma podemos afirmar que dois computadores utilizando protocolos de comunicação diferentes não serão capazes de se comunicar. os computadores da rede privada podem compartilhar uma única conexão com a Internet.. Servidor DHCP . como. a recuperação e a transferência de emails. em um único servidor IIS [. Permite que os usuários acessem os recursos pelo nome em vez de solicitar que usem endereços IP difíceis de serem reconhecidos e lembrados. que oferecem. na Internet ou em uma extranet.2 Protocolos 4. . Os administradores podem usar o serviço POP3 para armazenar e gerenciar contas de email no servidor de email. fornecendo-as aos clientes. endereços IP. Os clientes podem ser computadores ou dispositivos que reproduzem conteúdo usando um player. O IIS 6. Servidor de fluxo de mídia .. Servidor DNS . confiabilidade.. ou computadores que executam o Windows Media Services (chamados de servidores Windows Media) que armazenam em proxy ou em cache ou redistribuem o conteúdo (MICROSOFT.Você pode configurar um servidor que permita aos usuários remotos acessar recursos de sua rede privada através de conexões dial-up ou de redes virtuais privadas (VPN).1 Fundamentos Protocolo é um conjunto de regras adotado por todos os computadores de uma rede de forma que estes computadores tenham capacidade de se comunicar entre si.Os servidores DHCP gerenciam centralmente endereços IP e informações afins. Isso permite que você defina configurações de rede cliente em um servidor.0 para criar uma plataforma forte de comunicação de aplicativos de rede dinâmicos.2.Você pode usar o Windows Media Services para disponibilizar o fluxo do conteúdo de áudio e vídeo pela Internet ou por uma intranet.].] Os Serviços de Informações da Internet (IIS) fornecem recursos de servidor Web integrados. confiáveis.

p. 1º de janeiro de 1983 é considerado o dia do nascimento “oficial” da Internet (MINASI. “O que temos hoje. Com o crescimento da Internet. etc. portanto. o protocolo TCP/IP tornou-se padrão na rede mundial e diante das necessidades das empresas se conectarem nesta rede. o protocolo TCP/IP. também tiveram que adotar como protocolo padrão em suas rede interna. universitários.35 Antes do advento da Internet existiam e eram utilizados pelas empresas. de certo modo. Internetwork Packet Exchange/ Sequenced Packet Exchange (IPX/SPX).2 Protocolo TCP/IP O TCP/IP é uma coleção de software criada em grande parte com ajuda de recursos governamentais do departamento de defesa do Estados Unidos das Américas (EUA). dentre eles: Transport Layer Security/Internet Protocol (TCP/IP).. interligando professores. Apple Talk. os dispositivos de comutação de pacotes da ARPANET pararam de aceitar pacotes NCP. O primeiro protocolo utilizado nesta rede foi o Network Control Protocol (NCP) sendo posteriormente dividido em dois componentes: o IP e o TCP. p. Segundo Battisti (2003. o departamento de defesa do EUA criou uma rede chamada Advanced Research Projects Agency Network (ARPANET) onde eram feitas grandes partes das pesquisas. Esta rede. é a utilização do protocolo TCP/IP na esmagadora maioria das redes [. para transmitir apenas pacotes TCP/IP...151). . sendo este o protocolo padrão utilizado pelo Windows Server 2003. A mudança do NCP para o TCP/IP é a diferença técnica entre a ARPANET e a Internet. considerada rede de redes.2. do departamento de defesa. lideres de projetos civis e militares por todo o EUA. Em 1º de janeiro de 1983. 2003. 41). 4. na prática.]”. NetBIOS Extended User Interface(NETBEUI). Conforme podemos observar no diagrama da figura 7. chamada Advanced Research Project Agency (ARPA). vários tipos de protocolos. foi projetada e implementada por uma empreiteira privada chamada Bolt Beranek and Newman.

p. impressoras de rede. switches. sendo o valor máximo para cada um dos números x.w.2. 255 (figura 8). etc. Vários são os parâmetros que deverão ser configurados em todos os ativos de rede como computadores. hubs. 152). separados por ponto e não poderá existir dois ou mais números idênticos de endereço IP no mesmo segmento de rede. E uma rede local.2.1 Configurações do protocolo TCP/IP Não basta que os computadores estejam utilizando o mesmo protocolo para comunicação entre si. FONTE: Minasi (2003.z. z ou w.y.36 Figura 7 – Rede de pesquisadores depois da ARPAnet. 4. cada ativo de rede deverá ter pelo menos dois parâmetros de rede configurados: número IP e máscara de sub-rede. y. . O número IP é um número do tipo x.

168.255.192.168.0 As três primeiras partes da máscara de sub-rede (subnet) iguais a 255 indicam que os três primeiros números representam à identificação da rede e o último número é a identificação do equipamento dentro da rede.192. Vamos considerar o exemplo de um dos computadores da rede da Figura 7.255. conhecido como default .168. teríamos a rede: 10.192.4 IP: 10. ou seja. p.168). é diferente do segmento de endereçamento IP da rede B (10.6 Subnet: 255.168. a outra parte é a identificação da máquina dentro da rede.5 Subnet: 255. 2 ou 3 dos 4 números) é a identificação da rede.0 FONTE: Battisti (2003.0 IP: 10. IP: 10.192.255.255. 42) Uma parte do Número IP (1.255.192.192. Todas as informações enviadas ou recebidas entre estas redes.192. No diagrama da figura 9 podemos observar que o segmento de endereçamento IP da rede A (10.255. 2003. é necessário acrescentar e configurar um roteador com seu respectivo endereço IP e máscara de sub-rede para que a comunicação entre estas redes seja estabelecida.168.2 e Sub-rede: 255.10. Para o nosso exemplo. Os computadores de uma rede isolada que não esteja conectada a outras sub-redes se comunicarão apenas com os dois parâmetros IP e máscara de subrede.255.192.168.255.2: Número IP: 10. assim.168). O número IP do roteador deverá ser informado em todas os computadores no parâmetro gateway.168 (BATTISTI.255. p.0 Subnet: 255.255.168. para que estas duas sub-redes se comuniquem é necessário ter um roteador para enviar e receber as informações entre as duas redes.0 Subnet: 255.2 Subnet: 255.255. passarão necessariamente pelo roteador.255. caso haja necessidade de conectar esta rede com outras subredes. todos os equipamentos do nosso exemplo fazem parte da rede 10. O que definem quantos dos quatros números faz parte da identificação da rede e quantos fazem parte da identificação da máquina é a máscara de sub-rede (subnet mask).0 IP: 10.192.37 Figura 8 – Rede local baseada no protocolo TCP/IP. entretanto.3 IP: 10.42).

10.168.255.192.192.168.44). Por isso a necessidade de informarmos o Número IP de pelo menos um Servidor DNS.10.255.1 Internet Em meados da década de 80.255.255.255. quando vamos acessar um site: http://www.255.0 IP: 10.255.168.10.1 REDE A IP: 10.168.1 Subnet: 255. Apesar de especialistas acreditarem que essas máquinas distanciariam o homem do convívio social. pois.1 REDE B IP: 10.3 Internet/Intranet/Extranet 4.10.255. sem este serviço de resolução de nomes.0 Gateway: 10.5 Subnet: 255. muitos recursos da rede estarão indisponíveis (BATTISTI.168.5 Subnet: 255.1 IP: 10.10.br/.168. 2003.255.168.192.192.0 Gateway: 10.com.3 IP: 10.6 Subnet: 255.1 Gateway: 10.255.255.10.255.10. IP: 10.0 Subnet: 255.10.1 IP: 10. 4.192.juliobattidti.10. p.168.255.0 Subnet: 255.3 IP: 10.192. em redes baseadas no protocolo TCP/IP é feita através do Número IP.1 Outro parâmetro importante que deverá está presente nas redes empresarial e que é comum seu uso na Internet é o DNS. tem que haver uma maneira de encontrar o Número IP do Servidor onde fica hospedado o site.255.255.168.168.2 IP: 10.1 ROTEADOR IP: 10.0 Gateway: 10.255.255.10.1 Gateway: 10.255.0 Subnet: 255.168. Por exemplo.192.192. o surgimento da Internet .0 Gateway: 10.168.0 IP: 10.192.168.0 Gateway: 10.168. O DNS é o serviço de rede responsável pela resolução de nomes na rede.3.255.6 Subnet: 255.168.1 Subnet: 255.168. Toda a comunicação.168.4 Subnet: 255.1 Gateway: 10.255.255.168.192.192.38 Figura 9 – Ligação entre rede baseada no protocolo TCP/IP.255.2 Subnet: 255.168. O serviço que localiza o Número IP associado a um nome é o DNS.255.4 IP: 10.1 Gateway: 10.0 Subnet: 255.168. o computador já era considerado uma fonte de entretenimento e de informação.168.168.0 Gateway: 10.255.10.

som e vídeo são acessados juntos de maneira arbitrária). . e as conexões dial-up. . Ninguém a controla. Atualmente. Seu serviço mais utilizado é o Asymmetric Digital Subscriber Line (ADSL). .39 extinguiu esse pensamento. em que pode se conectar através de: . Qualquer pessoa pode ter sua página na Internet e falar do assunto que desejar e as . Hoje.linha telefônica . imagens. tornando o computador uma eficiente fonte comunicação mundial.são empresas que conectam usuários à Internet cobrando uma taxa mensal. seu uso é fácil. A comunicação por satélite é a forma mais rápida de conexão e também a mais cara. o contrário de quando foi criada.fibra ótica – o uso destas conexões são as que mais crescem atualmente devidos principalmente à velocidade de conexão e a vantagem de não utilização da linha de telefone convencional. A Internet surgiu por projetos desenvolvidos pelo Departamento de Defesa dos Estados Unidos que visavam à comunicação entre os centros militares e a criação de uma rede de computadores capaz de resistir a um ataque nuclear. . A World Wide Web (WWW) possibilita a manipulação multimídia da informação através de hipertextos (sistemas em que texto.provedores de acesso .o tipo de conexão a cabo no Brasil é fornecido pelos operadores de TV por assinatura aproveitando a mesma rede física. É um mundo virtual onde não há diferenças de cor. A Internet tem se tornado cada vez mais comum e necessária. existem associações e grupos que se dedicam para suportar. que são indicadas aos fornecedores de serviços que vendem conexões de todos os tipos para pessoas e organizações. pois esta possibilitava uma maior interação entre seus usuários. hora/uso ou uma taxa fixa para acesso por tempo indeterminado. raça e idade.com o uso de um MODEM você se comunica a um provedor de acesso via conexão discada.cabo . que são exibidos em “páginas Web” interligadas entre si através de links.as comunicações de rádio e satélite necessitam de uma antena para envio e recebimento. visando promover os objetivos da Internet. ratificar padrões e resolver questões operacionais. Para sua organização. Há ainda dois tipos de conexão: as diretas.rádio e satélite . que exibia apenas textos em uma interface não tão acessiva. é uma enorme rede mundial de computadores.

Ópera. permitindo que o arquivo fique em tamanho menor para o armazenamento ou transferência. departamentos. Pode ser usado através de cadastro com conta (login) e senha (password) ou com conta anônima (anonymous). o e-mail. a comunicação em tempo real. porém privadas. As páginas da Web ficam armazenadas em computadores permanentemente conectados à Internet chamados servidores. A linguagem usada para a criação de páginas Web é chamada Hyper Text Markup Language (HTML). é um protocolo utilizado para transferência de arquivos de uma máquina remota para um computador local.. por exemplo. etc. é o programa mais utilizado por ser um compactador. O File Transfer Protocol (FTP). restrita à empresa ou parceiros de negócios. com certeza. Para acessar os sites disponibilizados na Internet é necessário utilizar um programa chamado browser. É através desta linguagem que são definidos a aparência do documento. clientes.2 Intranet As empresas descobriram que podem criar redes como a Internet. Para Internet. Na Internet existem dois tipos de comunicação entre usuários: o modo assíncrono. Mozilla e Netscape Navigator. 4. Os mais utilizados hoje são Microsoft Internet Explorer. A Intranet cumprem o papel de conectar entre filiais. o Winzip que. conhecido no Brasil como navegador. ambos conectados à Internet. na qual o usuário pode enviar uma mensagem sem a necessidade do destinatário esta utilizando a rede no momento como. fornecedores. existem também programas auxiliares.40 empresas vêem na Web um excelente veículo para venda e divulgação de produtos e serviços. um formato de distribuição de documentos compactados e que podem ser protegidos contra alteração e até mesmo contra cópias. como as salas de bate papo. mesclando com . como o Adobe Acrobat Reader com arquivos em Portable Document Format (PDF).3. Um conjunto de páginas Web armazenadas em um servidor é chamado de Web site e cada site possui um endereço único em toda a Internet conhecido como Universal Resource Locator (URL) e é por meio deste endereço que se acessa o site via browser.

com informação muito mais atual.1 Introdução Atualmente as informações constituem o objeto de maior valor para as empresas.3 Extranet Extranet (ou extended Internet) é a ligação das redes Intranet entre duas empresas parceiras de negócios. Hoje em dia. A rigor uma intranet pode operar apenas como uma rede corporativa dentro dos limites da empresa. além de permitir maior participação do usuário final na criação de aplicações. um mínimo de diferenciação em produtos e serviços. no qual os objetos do mundo real estão representados por bits e bytes. redução de custos e facilidades de relacionamento nos negócios são pontos chaves.4 Política de Segurança de Informação 4. chegando a ter um valor maior. . verificou-se que seria vantajoso interligar empresa e fornecedores que compartilham objetivos comuns e assim facilitar a troca de informações entre estas empresas.41 segurança as redes particulares de informação com a estrutura de comunicações da Internet. porém pode ser vantajosa a ligação da intranet com a internet. O progresso da informática e das redes de comunicação nos apresenta um novo cenário. da distribuição de dados e do desenvolvimento de aplicações. favorecendo o desempenho dos funcionários da empresa. Auxilia no processo de descentralização das informações. 4. em muitos casos. Com o advento da Internet e o crescimento das redes internas nas empresas. tornando fácil o acesso a aplicações e a informações estáticas e dinâmicas.4. A Intranet simplifica a interação do usuário. sem deixar de ter o mesmo valor que os objetos reais e. que ocupam lugar em outra dimensão e possuem formas diferentes das originais.3. neste mundo competitivo de negócios. Viabiliza uma publicação em tempo real. 4.

42 De acordo com Associação.2 Objetivos de segurança Segundo Ferreira. O acesso não autorizado é sempre um problema. pois além de ser necessário identificar quem acessou e como. quando se necessita dele. financeiro.Isolamento ou uso legítimo . por quem e quando. pode ser tão ruim quanto um sistema inexistente ou destruído. . As informações importantes eram registradas em objetos preciosos e sofisticados e pinturas magníficas. Para identificar os autores e suas ações.4. que eram armazenados com muito cuidado em locais de difícil acesso (MÓDULO. p.] Os objetivos de segurança variam de acordo com o tipo de ambiente computacional e a natureza do sistema (administrativo. . .Consistência . 9).. costumes e intenções com diversos meios que pudessem ser utilizados por ele e por outras pessoas e que pudessem ser levados de um lugar para outro. 2005). “Prover uma orientação e apoio da direção para a segurança da informação de acordo com os requisitos do negócio e com as leis e regulamentações relevantes”. isto é. “[.Auditoria . MICROSOFT.garantir que.Disponibilidade . p. é preciso se certificar de que nada importante do sistema foi adulterado ou apagado. que registram tudo que foi executado no sistema. as informações e processos são liberados apenas a pessoas autorizadas. o sistema atuará conforme o esperado (DIAS. um sistema não disponível.Integridade de dados . .regular o acesso ao sistema.. entre outros. . Para um usuário autorizado.evitar que dados sejam apagados ou de alguma forma alterados. 4.proteger os sistemas contra erros e atos maliciosos cometidos por usuários autorizados.)”. 8). O homem buscava representar seus hábitos. são utilizadas trilhas de auditoria e logs.Confidencialidade ou privacidade ..Confiabilidade . Araújo (2006. p. etc. mesmo em condições adversas. Desde o surgimento da raça humana na terra. métodos e procedimentos utilizados para a manutenção da segurança da informação. . . 2000.certificar-se de que o sistema atua de acordo com as expectativas dos usuários autorizados.proteger as informações contra acesso de qualquer pessoa não explicitamente autorizada pelo dono da informação. militar. “A Política de Segurança define o conjunto de normas. 42-44). a informação esteve presente através de diferentes formas e técnicas. sem a permissão do proprietário da informação.proteger os serviços de informática de tal forma que não sejam degradados ou tornados indisponíveis sem a devida autorização. Os objetivos de segurança as quais os usuários e profissionais de informáticas devem se preocupar são: . (2005. p. Segundo Dias (2000. devendo ser formalizada a todos os usuários que fazem uso dos ativos de informação”. 42)..

c) uma estrutura para estabelecer os objetivos de controle e os controles. f) referências à documentação que possam apoiar a política. deu origem a diversos grupos . p. políticas e procedimentos de segurança mais detalhados de sistemas de informação específicos ou regras de segurança que os usuários devem seguir. “A segurança de informações. escopo e importância da segurança da informação como um mecanismo que habilita o compartilhamento da informação (ver introdução). alinhada com os objetivos e estratégias do negócio. requisitos regulamentares e contratuais. A integridade e a disponibilidade são na maioria os dois objetivos mais enfatizados nos sistemas de uma empresa.43 Os objetivos citados têm seu grau de importância dependendo o tipo de negócio da empresa. em função de sua grande importância para a sociedade moderna. por exemplo. suas metas globais.8). treinamento e educação em segurança da informação. Convém que o documento da política contenha declarações relativas a: a) uma definição de segurança da informação. um sistema que necessita de 24 horas de disponibilidade e não possuem dados confidenciais deverá prioriza a alta disponibilidade e não a privacidade dos dados. 2) requisitos de conscientização. 4.4. 45). princípios. 4) conseqüências das violações na política de segurança da informação.4.1 Diretrizes para implementação Convém que o documento da política de segurança da informação declare o comprometimento da direção e estabeleça o enfoque da organização para gerenciar a segurança da informação. entretanto em um sistema bancário os objetivos mais relevantes são a integridade e auditoria seguidos de privacidade e disponibilidade.2. P. d) breve explanação das políticas. 4. Alguns são mais importantes outros nem tanto. Convém que esta política de segurança da informação seja comunicada através de toda a organização para os usuários de forma que seja relevante acessível e compreensível para o leitor em foco (ABNT BNR ISO/IEC 17799. b) uma declaração do comprometimento da direção. e) definição das responsabilidades gerais e específicas na gestão da segurança da informação. incluindo a estrutura de análise/avaliação e gerenciamento de risco. apoiando as metas e princípios da segurança da informação. normas e requisitos de conformidade de segurança da informação específicos para a organização. incluindo o registro dos incidentes de segurança da informação. incluindo: 1) conformidade com a legislação e com. por exemplo. 3) gestão da continuidade do negócio. 2005.3 Legislação Brasileira e Instituições Padronizadas De acordo com Dias (2000.

Os padrões de segurança são utilizados de certa forma em âmbito internacional enquanto que as leis e normas são estabelecidas em caráter nacional podendo. Também temos tramitando na câmara e no senado. “A nossa legislação.lei n° 9. de 18 de dezembro de 1987.44 de pesquisa.099. de 1996 . haver similares entre legislação de países diferentes.609.296. com relação à segurança de informações. revogada pela Lei n° 9. os seguintes projetos de lei relativo à Segurança da Informação: . p.]”. 46).aprova o regulamento para salvaguarda de assuntos sigilosos. .projeto de Lei da Câmara dos Deputados n° 1. . .projeto de Lei n° 84.036.regulamenta a Lei n° 7. às vezes. não está tão consolidada como a legislação americana. porém já existem alguns dispositivos legais sobre assuntos relativos à informática”.dispõe sobre crime contra a inviolabilidade de comunicação de dados de computador.dispõe sobre a proteção da propriedade intelectual de programa de computador e sua comercialização no país. de 1999 .646.altera. de 1996 .dispõe sobre os crimes cometidos na área de informática e suas penalidades. de 06 de janeiro de 1977 . de 24 de julho de 1996 . a responsabilidade e os crimes cometidos nas redes integradas de computadores. de 2000 .610.projeto de Lei do Senado n° 234. .4. cujos trabalhos muitas vezes são traduzidos em padrões de segurança [. 4.713. . atualiza e consolida a legislação sobre direitos autorais. .decreto n° 79.define e tipifica os delitos informáticos. O disposto nessa lei aplica-se a interceptação do fluxo de comunicações em sistemas de informática e telemática. de 19 de fevereiro de 1998 .decreto n° 96. de 19 de fevereiro de 1998 .609. do art. de 19 de fevereiro de 1998. ..projeto de Lei do Senador Renan Calheiros. de 12 de maio de 1988 . 5°.1 Legislação Brasileira Segundo Dias (2000.Lei n° 9. parte final.regulamenta o inciso XII.3.lei n° 9. conforme segue: .dispõe sobre o acesso. da Constituição Federal.. .

International Organization for Standardization (ISO).National Institute for Standards and Technology (NIST). tais como: . o Brasil conta com a ABNT (Associação Brasileira de Normas Técnicas). software. No âmbito internacional temos algumas instituições cuja função básica é estabelecer padrões. .45 4.4.International Telecommunications Union (ITU). controle de acesso para segurança física de instalações de processamento de dados.2 Instituições Padronizadoras Nacionais e Internacionais No que diz respeito a normas técnicas. dados. Há necessidade de saber quais os recursos mais importantes para assim estabelecer uma política adequada.1 Classificação das informações . .4. . .Comité Européen de Normalisation Eléctrotechnique (CENELEC). critérios de segurança física relativos ao armazenamento de dados. que estabelece padrões a serem seguidos por produtos e serviços de várias áreas. documentação e suprimentos. Em um ambiente de informática os tipos de recursos mais comuns são: hardware. tais como as normas de combate e prevenção a incêndios (DIAS. gerência de senhas. a microcomputadores e terminais.4. 46-47). técnicas criptográficas.4. . dentre elas: . Apesar de não serem instituições internacionais.Comité Européen de Normalisation (CEN). 2000.International Electrotechnical Comission (IEC). inclusive segurança de informações. 4. além das normas de segurança física e ambiental que se aplica a qualquer tipo de prédio.European Telecommunications Standards Institute (ETSI).3.American National Standards Institute (ANSI). . . 4. existem vários organismos padronizadores norte-americanos cujos padrões são utilizados mundialmente. Abrange algoritmos de criptografia. pessoas. p.Institute of Electrical and Electronics Engineers (IEEE).4 Identificando os Recursos O que precisa ser protegido? Sob que formas as informações estão armazenadas? Estas são perguntas que deverão ser respondidas na identificação dos recursos.

isto é. por exemplo. Segundo Dias (2000. causar danos financeiros ou perda de fatias de mercado para o concorrente.4. informações divulgadas à imprensa ou pela Internet. senhas. O acesso não autorizado a esses dados e sistemas pode comprometer o funcionamento da instituição. se isso ocorrer. contratos. Porém. Exemplos: serviços de informação ao público em geral. Exemplos: dados pessoais de clientes e funcionários. Cada uma das camadas deverá ser analisada individualmente. “A classificação mais comum de informações é aquela que as divides em quatro níveis”: . serviços. configuradas e monitoradas de forma a atender os requisitos de segurança estabelecida.Secretas . . p. Segundo Dias (2000. Exemplos: serviços de informação interna ou documentos de trabalho corriqueiros que só interessam aos funcionários.46 A classificação das informações é o primeiro passo para o estabelecimento de uma política de segurança de informações. 52-53). 53). as conseqüências não serão críticas. O acesso a esses sistemas e informações é feito de acordo com sua estrita necessidade.Confidenciais . 4.4.Internas ou de uso interno . p. . pois diferentes tipos de informações devem ser protegidos de diferentes maneiras. É imprescindível que o número de pessoas autorizadas seja muito restrito e o controle sobre o uso dessas informações seja total.as informações e os sistemas assim classificados não devem sair do âmbito da instituição.o acesso interno ou externo de pessoas não autorizadas a esse tipo de informações é extremamente crítico para a instituição. “Com relação a sistemas.informações e sistemas tratados como confidenciais dentro da instituição e protegidos contra acesso externo.52-53). sistema operacional e hardware.5 Ativos .as informações e os sistemas assim classificados podem ser divulgados a qualquer pessoa sem que haja implicações para a instituição. aplicativos. a melhor estratégia de implementação de segurança é utilizar controle em vários níveis diferentes”.4. Exemplos: dados militares e de segurança nacional (DIAS.2 Classificação dos sistemas As divisões poderiam ser. .Públicas ou de uso irrestrito . 2000. informações sobre as vulnerabilidades de segurança dos sistemas institucionais. p. 4. etc. os usuários só podem acessá-los se estes forem fundamentais para o desempenho satisfatório de suas funções na instituição. balanços.

organização – neste grupo estão incluídos os aspectos que compõem a estrutura física e organizacional das empresas. usuários – O grupo de usuários refere-se aos indivíduos que utilizam a estrutura tecnológica e de comunicação da empresa e que lidam com a informação.4. “Algo de valor resguardado pelo sistema”. “Qualquer coisa que tenha valor para a organização”.. arquivos de configuração. o meio pelo qual ela é transmitida.6 Riscos O risco é a probabilidade de que as ameaças explorem os pontos fracos. etc. 4. Equipamentos que oferecem suporte às informações: software – grupo de ativos composto por todos os programas de computador... até chegar a seu receptor. Informações – elementos que contem informações registradas em meio eletrônico ou físico como. linhas de comando. por exemplo: documentos. código de programação. De acordo com Associação. partindo da informação. seu emissor. como conseqüências. p. hardware – esses ativos representam toda a infra-estrutura tecnológica que oferece suporte à informação durante seu uso. De acordo com Albuquerque.. 4). manuais. a integridade e a disponibilidade da informação.. Os ativos são elementos que a segurança da informação busca proteger. plano de negócios da empresa. livros. 3). relatórios. planilhas de remuneração de funcionários.47 Um ativo é todo elemento que compõe o processo da comunicação. p. p. Ribeiro (2002. utilizado para a automatização de processos. “Combinação da probabilidade de um evento e de suas conseqüências”. . os equipamentos que oferecem suporte a elas e as pessoas que as utilizam são os elementos que compõem o que chamamos de ativo. causando perdas ou danos aos ativos e impactos no negócio afetando a confidencialidade. precisam receber uma proteção adequada para que seus negócios não sejam prejudicados. trânsito e armazenamento. 2). De acordo com Associação. As informações. (2005. Os ativos possuem valor para as empresas e. (2005. correspondências. informações de mercado.

causas internas ou externas Dessa forma. a vulnerabilidade e o ativo com o valor. 54). Essas ameaças sempre existirão e estão relacionadas a causas que representam riscos. bugs de software. Ameaça é tudo aquilo que pode comprometer a segurança de um sistema. as quais podem ser: . “[. espionagem. um conjunto der três elementos: o agente (ou atacante). Tomando medidas de segurança mais rígidas.. a confidencialidade e a disponibilidade das informações. vulnerabilidades e impactos”. Ameaça pode ser uma pessoa. “Causa potencial de um incidente indesejado. “[. desastres naturais.48 Segundo Dias (2000 p. 4). . etc. uma mensagem secreta enviada a um endereço incorreto. em termos de confidencialidade. que pode resultar em dano para um sistema ou organização”. 4. 3). sabotagem. invasão de hackers. etc. entendemos que um dos objetivos da segurança da informação é impedir que as ameaças explorem os pontos fracos e afetem um dos princípios básicos da segurança da informação (integridade. mas nunca serão totalmente anulados”.. que denominamos pontos fracos e como conseqüência. provocando danos ao negócio das empresas (MÓDULO. 2005. (2005. os riscos podem ser cada vez menores. confidencialidade).7 Ameaças As ameaças são agentes capazes de explorar as falhas de segurança. p. integridade. fraude... podendo ser acidental (falha de hardware. CD-ROM)..8 Ataques . disponibilidade. “Um ataque potencial.causas naturais ou não-naturais. MICROSOFT. afetando os seus negócios. p. entre outros). tais como ameaças. (2000. 54). que permitem um ataque”. p. provocar perdas ou danos aos ativos de uma empresa. De acordo com Albuquerque. já que é impossível eliminar todos os riscos. Ribeiro (2002.. uma coisa. 4. erros de programação. Segundo Dias. erros do usuário. disponibilidade. ou seja.] Os riscos podem ser apenas reduzidos.) ou deliberada (roubo. De acordo com Associação.4.] Risco é uma combinação de componentes. um evento ou uma idéia capaz de causar dano a um recurso. Os ativos estão constantemente sob ameaças que podem colocar em risco a integridade.4.. A segurança é uma prática orientada para a eliminação das vulnerabilidades a fim de evitar ou reduzir a possibilidade de que as ameaças potenciais se concretizem no ambiente que se deseja proteger.

125). .alterações na legislação do negócio. . Ribeiro (2002. 4). análise de tráfego de rede. O intervalo médio utilizado para a revisão da política é de seis meses ou um ano. p. não previstos na versão atual que possam ter impacto na segurança das informações da organização. a interceptação de uma mensagem trafegando na rede.9 Manutenção da Política Segundo Ferreira. . que tenham uma grande probabilidade de comprometer as operações do negócio e ameaçar a segurança da informação”. modificando e eliminando informações ou gerando informações falsas como..Eventuais riscos identificados.mercado. 3).alterações na estrutura organizacional e . por exemplo. por exemplo.incidentes de segurança. “É necessário especificar procedimentos ou uma metodologia formal para uma manutenção periódica e aprovação das políticas de forma a mantê-los atualizados frente a novas tendências. O processo de revisão deve abranger: . tecnologias e acontecimentos”. “Um incidente de segurança da informação é indicado por um simples ou por uma série de eventos de segurança da informação indesejados ou inesperados. “É um tipo de problema de segurança caracterizado pela existência de um agente que busca obter algum tipo de retorno. (2005.vulnerabilidades encontradas. 4. Os ataques podem ser subentendidos de duas formas: ataques passivos – são os ataques que não interferem no conteúdo do recurso do conteúdo que foi atacado como. . Araújo (2006. De acordo com Albuquerque. porém deve ser realizada uma revisão sempre que forem identificados fatos novos..49 De acordo com Associação. p. ataques ativos – são os ataques que prejudicam diretamente o conteúdo do recurso atacado. p.4. . atingindo um ativo de valor”.

h) a manutenção de um controle de versão de todas as atualizações de softwares. 4.1 Diretrizes para implementação Convém que os procedimentos de controle de mudanças sejam documentados e reforçados com a finalidade de minimizar a corrupção dos sistemas da informação. lógico e controle ambiental de acordo com a classificação das informações estabelecidas. f) a garantia da aceitação das mudanças por usuários autorizados. informação. análise do impacto das mudanças e a especificação dos controles de segurança requeridos. 2005.5 Controles de acesso O controle de acesso são as regras estabelecidas e implementadas para regulamentar o acesso físico. Ribeiro (2002.9. antes da implementação. Convém que o processo garanta que a segurança e os procedimentos de controle atuais não sejam comprometidos. p. Convém que o processo inclua uma análise/avaliação de riscos. Convém que a introdução de novos sistemas e mudanças maiores em sistemas existentes siga um processo formal de documentação.. . que os programadores de suporte tenham acesso somente às partes do sistema necessárias para o cumprimento das tarefas e que sejam obtidas concordância e aprovação formal para qualquer mudança obtida. g) a garantia da atualização da documentação do sistema após conclusão de cada mudança e de que a documentação antiga seja arquivada ou descartada. 93-94). os procedimentos de controle de mudanças sejam integrados. “A função básica da proteção dos dados e do controle de acesso em um sistema é garantir a confidencialidade e a disponibilidade das informações armazenadas”. p.4. b) a garantia de que as mudanças sejam submetidas por usuários autorizados. 61).50 4.. c) a análise crítica dos procedimentos de controle e integridade para assegurar que as mudanças não os comprometam. controle da qualidade e gestão da implementação. Convém que. j) a garantia de que toda a documentação operacional e procedimentos dos usuários sejam alterados conforme necessário e que se mantenham apropriados.. De acordo com Albuquerque. teste. d) a identificação de todo software. Convém que os procedimentos de mudanças incluam: a) a manutenção de um registro dos níveis acordados de autorização. ser a perturbação dos processos de negócios cabíveis (ASSOCIAÇÃO. entidades em bancos de dados e hardware que precisam de emendas. i) a manutenção de uma trilha para auditoria de todas as mudanças solicitadas. e) a obtenção de aprovação formal para propostas detalhadas antes da implementação. k) a garantia de que as mudanças sejam implementadas sem horários apropriados. especificação. quando praticável.

p.. 4.. é determinar o que se pretende proteger”. 65).. Na elaboração da política de controle de acesso. prevenindo o acesso a esses recursos”. p. p. quando se trata de controles de acesso.2 Físico São os ativos de rede de uma empresa composto por hardwares (computadores. p. 2005. Segundo Dias (2000.. 65). identificação de usuário. “Os controles de acesso físico têm como objetivo proteger equipamentos e informações contra usuários não autorizados.] ressalta que. tokens e sistemas biométricos.5. hubs.. “A primeira coisa a fazer. Segundo Dias (2000. “[.1 Lógico São todas as informações que foram transformadas para código binário e que estão armazenados em algum meio físico e são passíveis de trafegar em uma rede de computadores. p.. tomando-se como base os requisitos de acesso dos negócios e segurança da informação”. autenticação de usuário. 100). firewall. etc. 84). Dias (2000.51 De acordo com Associação. p. 4. cabos de redes. seu ponto fraco será sempre o usuário”. Convém que as regras de controle de acesso e direitos para cada usuário ou grupos de usuários sejam expressas claramente na política de controle de acesso.]”.. “O acesso lógico nada mais é do que um processo em que um sujeito ativo deseja acessar um objeto passivo [. 84). mesmo que os controles de acesso sejam ultra-sofisticados. De acordo com Dias (2000.). “Convêm que a política de controle de acesso seja estabelecida documentada e analisada criticamente.. .. os seguintes elementos deverão ser levados em consideração: processo de logon. Convém considerar os controles de acesso lógico e físico de forma conjunta. switch’s. (2005.5. roteadores. senhas. Convém fornecer aos usuários e provedores de serviços uma declaração nítida dos requisitos do negócio a serem atendidos pelos controles de acessos (ASSOCIAÇÃO. 84).

explosões. “A infra-estrutura de chaves públicas permite que as empresas utilizem redes abertas [. p.. p. perturbações da ordem pública e outras formas de desastres naturais ou causados pelo homem.3 Ambiental Segundo Dias (2000. enchentes. 33).]”. garantindo que as mensagens sejam lidas apenas pelos devidos destinatários”. perturbações da ordem pública e outras formas de desastres naturais ou causados pelo homem: a) os materiais perigosos ou combustíveis sejam armazenados a uma distância segura da área de segurança. Suprimentos em grande volume. ou no sistema de ar condicionado [. (2005. terremotos.6.52 De acordo com Associação. 4.. por falhas na rede de fornecimento de energia. para que não sejam danificados por um desastre que afete o local principal...6 Infra-estrutura de chave pública – ICP 4.1 Introdução à ICP Com a evolução da tecnologia das comunicações. como materiais de papelaria. “Convém que as áreas seguras sejam protegidas por controles apropriados de entrada para assegurar que somente pessoas autorizadas tenham acesso”. b) os equipamentos para contingência e mídia de backup fiquem a uma distância segura. onde “envelopes e firmas de envio são substituídos por sofisticados métodos de criptografia de dados. Convém que sejam projetadas e aplicadas proteção física contra incêndios. 2005.. c) os equipamentos apropriados de detecção e combate a incêndios sejam providenciados e posicionados corretamente (ASSOCIAÇÃO. p..]”. enchentes). 22). Mas a facilidade e rapidez de se realizar transações comerciais também ocorrem para a prática de atos ilegais pela rede.6. explosões.. Convém que sejam levadas em consideração as seguintes diretrizes para evitar danos causados por incêndios. não devem ser armazenados dentro de uma área segura. De acordo com Silva (2004. 34). terremotos. 4. p. 4.2 Conceitos Necessários ..5. os documentos reais.. “Os controles ambientais visam proteger os recursos e a integridade contra danos provocados por desastres naturais (incêndios. enchentes. a presença física e a burocracia em geral estão sendo substituídos pelo universo digital. 104).

necessários para o entendimento da infra-estrutura de chave pública.1 Criptografia A criptografia pode ser usada para garantir a confidencialidade das informações.6.1 Chaves simétricas Chave simétrica. também conhecida por chave única. Criptografia é o estudo de códigos e cifras. Albuquerque. A chave é compartilhada pelos dois pontos. utiliza à mesma chave tanto para a cifragem como para a decifragem.2. e é bastante difícil de se conseguir um meio seguro de se passar a chave secreta...53 Neste tópico serão apresentados alguns conceitos importantes sobre criptografia. autenticação e autenticação forte. garantir o não-repúdio de origem e de recebimento. 2004. e graphen. cujo nome vem do grego kryptos. 43). . p. pois emissor e receptor devem conhecer antecipadamente a chave. 44). o destinatário sabe qual é a chave que utilizará para voltar a informação a sua forma original [. Ribeiro (2002. implementar assinaturas digitais. conforme podemos observar na figura 10. 155). A maioria delas é sistemática. que significa dar números.1. “Mais conhecida como chave secreta. descreve “CRIPTOGRAFIA É O PROCESSO pelo qual uma informação ou um texto é embaralhado de forma que só seja possível a obtenção do texto original aplicando-se uma operação baseada em uma chave de acesso”. Segundo Silva (2004. Este método é bastante limitado.2. Já a palavra cifra vem do hebraico saphar. 4. 4.6. baseada em técnicas de sistemas numéricos (SILVA. garantir a privacidade com responsabilidade do usuário e garantir a integridade das informações. P.]”. que significa oculto. ou seja. que significa escrever.

A segurança dessa equação está no fator tempo. relativamente simples.2 Chaves assimétricas Chave assimétrica. Pretty Good Privacy (PGP). mesmo conectando milhares de computadores ao redor do mundo. estaremos protegidos pelo tempo tecnológico dos computadores e calculadoras (SILVA.2. Internet Protocol Security (IPSec). conhecida como privada fica guardada a sete chaves por quem fatorou os dois números primos que só ele sabe quais escolheu. 49). conforme podemos observar na figura 11. 2004. Enquanto não existir uma fórmula mágica para resolver o problema matemático. utiliza chaves diferentes para cifrar e decifrar os dados.509. ou seja. Em um sistema de chave assimétrica cada pessoa tem duas chaves: uma chave pública que pode ser divulgada e outra privada que deve ser mantida em segredo. . são alguns exemplos de protocolos que empregam sistemas de criptografia.1.6. Secure Sockets Layer/Transport Layer Security (SSL/TLS). p. Secure Electronic Transaction (SET) e X. Na criptografia assimétrica dividi-se uma chave ou segredo em duas partes relacionadas matematicamente (no fundo dois números primos gigantescos fatorados entre si).54 Figura 10 – Criptografia com chave simétrica. Uma chave é distribuída livremente para qualquer pessoa e a outra chave. levaria centena de anos para derivar o número e descobrir os dois primos que foram escolhidos. com os recursos computacionais que dispomos hoje em dia. 4. também chamada de algoritmos de chave pública e privada.

“Autenticação é a capacidade de garantir que alguém.2 Autenticação A informação de autenticação pode ser dividida em categorias.Hellman (ECDH). o Elliptic Curve Digital Signature Algorithm (ECDSA) e Elliptic Curve Diffie.6. 4.3 Algoritmos Os algoritmos servem para atender um ou mais serviços da criptografia por chave pública. outro usuário qualquer pode responder ao pedido se fazendo passar pelo destinatário para quem queremos enviar dados seguros”. como ao tanto que ele é conhecido e foi testado. é de fato quem diz ser. e ao tamanho de sua chave que deve ser grande o suficiente para que seja impossível ser descoberta. Os mais utilizados são o Diffie-Hellman e o RSA (ambos com os nomes dos criadores).6. De acordo com Silva (2004.2. o Digital Signature Algorihm (DSA). Sua fragilidade é explicada por Silva (2004.1. físico que temos ou algum lugar que estamos. O sistema de Criptografia será seguro somente se obedecer a alguns critérios. pois sendo essa ação realizada de forma insegura. p. 66). 57): “Isso ocorre no momento de pegar a chave pública do outro usuário.2. algo que somos. dentro de um contexto . ou alguma coisa.55 Figura 11 – Criptografia com chave assimétrica. sendo elas: algo que sabemos. p. tendo sido corrigidas as suas falhas. 4.

que embaralhará a forma original.2 Single sing-on (SSO) Se houver necessidade de acesso a várias aplicações. por ser uma função conhecida produz um resultado que pode ser descoberto após a utilização de um ataque de força bruta por um invasor. Essa segurança pode ser estendida para que um evento de autenticação bem-sucedido seja sinalizado para vários dispositivos remotos. O servidor precisa de um lugar seguro para armazenar a senha e compará-la com a fornecida pelo usuário. 2004. mas a escolha de senhas difíceis que induzem os usuários a deixarem escritas em algum lugar ou fáceis que podem ser facilmente deduzidas pode dificultar o processo da segurança. obtemos a chamada autenticação forte. 4. p.2. 67). De acordo com Silva (2004. Pode-se utilizar a função hash. 4.2. p. 71).6.] O sistema confirma se o usuário é ele mesmo”. serão apresentados os tipos de autenticação mais relevantes para a ICP. De acordo com Dias (2000.. Ao combinarmos métodos de autenticação.56 definido”. ou servidores. Porém.1 Sign-on Também conhecido como login. 87). A seguir. “[. Pode ser usado seguramente. pois se conseguirem descobrir uma senha. A infra-estrutura de segurança pode prover a comunicação entre entidades e garantir que a informação seja entregue de uma forma confiável para os integrantes. p. “Outro fator importante a ser destacado é manter a integridade e confidencialidade da informação de autenticação.2.. o usuário terá que bloquear todas as aplicações. . será melhor o uso de diferentes senhas. é o processo pelo qual o usuário fornece uma identificação e uma informação de autenticação (normalmente nome de usuário e senha). É necessário que a informação usada na autenticação seja segura e não possa ser obtida por pessoas não autorizadas”.2.6. o esquema é chamado de Two-Party Authentication. eliminando a necessidade de múltiplas autenticações (SILVA. se todas forem iguais. Se a informação estiver sob controle do autenticado e do autenticador.

.2. que fornece uma senha eficaz para o usuário e que possa acompanhá-lo a qualquer lugar.3.3.2.3 Autenticação forte São os tipos de autenticação que combinam mais de uma característica e. 72) como “[.3. impressão digital. com um chip de computador. 4.] Um dispositivo do tamanho de um chaveiro que gera uma seqüência de números. Ele guarda em seu chip a chave de criptografia e ao utilizá-lo. a cada fração de tempo. Segundo Silva (2004.2 Smartcards O smartcard é utilizado da mesma forma como utilizamos um cartão de crédito quando vamos sacar dinheiro no banco. .6. 4.2. no formato de um cartão de crédito.2. 4. quando e onde for necessário. ou seja. baseado numa semente (seed)”.6. 4. vasos sanguíneos da mão. A seguir veremos os principais métodos de autenticação que combinam mais de uma característica. dentre outros.6. p. p.1 Tokens É definido por Silva (2005. 73). porque agrega vários conceitos de segurança extremamente eficientes.3 Biometria A Biometria é um tipo de autenticação baseado em algo que somos. portanto torna mais difíceis de ser descobertas por usuários não autorizados.6. Esse sistema de autenticação é classificado no conjunto autenticação forte.. que tem funções de armazenamento e processamento interno”. “É um dispositivo.57 A esse processo chamamos Single Singn-One (SSO). que pode ser usado por todos os dispositivos dentro da ICP. pode ser leitura da íris. é solicitado ao usuário o seu Personal Identification Number (PIN) como é solicitado senha no cartão de credito.

6. Ao resultado dessa operação chamamos assinatura digital.3. 4. em vez de impedir que essas modificações sejam feitas. “A vantagem sobre os outros esquemas de autenticação é que o usuário é identificado por características únicas.. que. p. “A infra-estrutura de chaves públicas oferece vários serviços de segurança.3 Serviços oferecidos pela ICP De acordo com Silva (2004. que podem ou não ser utilizados. 4. 75). sendo a maior força da criptografia. deve-se “[.] calcula-se o hash da mensagem original e criptografa-se o resultado com a chave privada do autor. a integridade e a autenticidade descrita a seguir.3 Autenticidade A certeza de quem é o emissor de uma informação é garantida por meio de assinaturas digitais.2 Integridade O objetivo da integridade é fazer com que a informação enviada chegue ao seu destino sem modificações. Ela é verificada por meio da função hash. 4. pessoais e intransferíveis.6. cartões.3. p. dispensando o uso de senhas. e não o algoritmo.] usar técnicas modernas de criptografia e mecanismos matemáticos. dependendo da política de segurança adotada na empresa e do comprometimento dos usuários dos certificados digitais”. 2004. e esta é adicionada ao final da mensagem.. que funciona da seguinte forma: [. Dentre os principais serviços oferecidos pela ICP. 25). destacamos a privacidade. Quando o . tokens ou crachás”..58 Segundo Silva (2004.1 Privacidade Para garantir que usuários da Internet tentem capturar dados que não lhes pertencem. 4. o seu tamanho.3.6. embaralhando a informação de tal forma que leve centenas ou milhares de anos para que o dado criptografado volte à sua forma original” (SILVA. p.6. apenas verifica se houve alterações nas informações. 26)..

Essa marca de tempo. 4. por meio da qual certifica quem escreveu a mensagem. sim. “O REPÚDIO É UMA FORMA DE ATAQUE. “O não-repúdio evita que um dos participantes da comunicação negue que esta tenha ocorrido.1 Segurança na Comunicação Segurança na comunicação é a transmissão de dados de um ponto a outro com propriedades de segurança. privacidade e integridade. Dessa forma.4 Serviços disponíveis com a utilização da ICP 4. 28). De acordo com Silva (2004. descobrindo o hash.3 Não-repúdio Conforme Albuquerque.6.. 4. ou temporalidade. que é única e de propriedade dele.6.4.6.59 destinatário recebe a mensagem. p.6. emitido por uma autoridade de tempo confiável. que permite saber se a mensagem foi alterada de alguma maneira. p. que é fácil provar que o repúdio é falso”. Ribeiro (2002. O carimbo de tempo emitido pela PDDE é obtido mediante um processo. 167).4. mas. 4. fazendo com que sejam qualificados como serviços disponíveis..2 Carimbo de tempo seguro Mais conhecido como Time Stamping consiste na geração de uma marcação de tempo. ou seja. Isso não significa que os participantes tendem a não repudiar. como autenticidade. usa a chave pública do emissor para decifrar a assinatura digital. Essa operação só é possível se a assinatura digital tiver sido criptografada com a chave privada do emissor. que são serviços que fazem parte do conjunto oferecido pela ICP. O agente do ataque executa uma função no sistema e posteriormente nega tê-la efetuada [. 39). o emissor passa a não conseguir negar que a enviou (SILVA. é obtida com o chamado carimbo de tempo produzido pela entidade denominada Protocolizadora Digital de Documentos Eletrônicos (PDDE). pelo qual são anexadas a data e a hora de protocolação a um documento. p.4.]”. 37-38). 2004. 2004. a sua autenticidade. Essas data e hora devem condizer com a data e a hora correntes. de modo a garantir que aquele documento foi protocolado em um determinado momento no tempo (SILVA. . Porém a utilização deles com algum protocolo de comunicação ou de rede podem criar extensões ou aprimoramentos de outros serviços. p. para uma determinada informação com as propriedades de autenticidade dessa autoridade e integridade desse tempo gerado.

p. 40). etc.6.4. que potencialmente remove.GarantiaOrigem – As mensagens recebidas pelo sistema devem ter a identidade do emissor assegurada. RIBEIRO.60 Exemplos de objetivos de segurança que indicam necessidade de mecanismos de não repúdios: O. antigos funcionários ou funcionários insatisfeitos. 41).5 Ameaças e vulnerabilidades Segundo Dias (2000. sistemas desatualizados (principalmente versões antigas com furos de proteção conhecidos e ainda não corrigidos). danifica ou destrói um recurso”. parceiros extranet e usuários curiosos que querem ter posse de determinada informação para uso pessoal ou para benefício próprio”. A ICP deve poder rastrear a posse da chave por parte do usuário. incêndio. p.6. vírus. uma nova chave com seu certificado associado poderá ser gerada facilmente. 4.Responsabilização – Os usuários devem ser responsabilizados por seus atos no sistema e em outros sistemas acoplados (ALBUQUERQUE.4. A vulnerabilidade que a empresa tem se dá pela falta de uma política de segurança (regras e métodos de proteção a serem usados dentro da empresa). 55). p. “Os certificados podem ser usados para garantir a identidade de um usuário e também estabelecer privilégios que foram concedidos a ele.4 Gerência de privilégios Segundo Silva (2004. desabilita.6. “As ameaças que podemos citar são hackers. 2002. 90). Segundo Dias (2000.5 Recuperação de chaves Conforme Silva (2004. mas não copiá-la”. p. “Ameaça – evento ou atitude indesejável (roubo. 55).). p. 169). “Vulnerabilidade – fraqueza ou deficiência que pode ser explorada por uma ameaça. p. 4. “Se um usuário perder a sua chave de assinatura. Pode ser associada à probabilidade da ameaça ocorrer”. 4. Os privilégios podem incluir autorização para o acesso a informações sigilosas ou para modificar arquivos em um servidor Web. além de outros”. Segundo Silva (2004. O. gestão inadequada .

.”. Mas existem diferenças de caráter. etc. A maioria das tentativas de invasão é feita por Script kiddies”... 4. apenas usam informações. “São crackers que não fazem nada original. Os que usam suas habilidades para solucionar problemas de segurança em sistemas.5 Engenharia Social Segundo Silva (2004.61 dos softwares e dispositivos existentes praticados por pessoas sem o conhecimento necessário para tal (SILVA. 2004.2 Hackers x crackers Convencionou-se chamar qualquer pessoa especializada em sistemas de computação de hacker. contribuindo para o desenvolvimento de correções (patches) para esses sistemas.6. 90).5.5. 2004. 90). “[. roubo de informações. p. A disponibilidade de informações sensíveis na rede para diversos funcionários [. p.3 Script kiddies Segundo Silva (2004. é chamado de cracker (SILVA. ferramentas e programas desenvolvidos por terceiros para realizar suas invasões.4 Funcionários insatisfeitos e ex-funcionários Segundo Silva (2004.5.] pode comprometer bastante a política de segurança implementada. são chamados de hackers.] Informações preciosas ou obtenção de privilégios de acesso por um indivíduo fora da organização. o que invade sistemas com finalidades ilícitas. 4.6.1 Perfil de um hacker De acordo com Silva (2004.. “A maioria dos hackers é jovem.5. 90-91). “Grande parte das invasões bem-sucedidas vem de dentro da própria empresa. 4..6. 91). 91). p. 4. p. 4. O seu oposto em termos de comportamento (mas com capacitação técnica similar). 91).5. p.6.6. visando ao lucro. ou seja. p. São pessoas que trabalham em projetos de computadores e técnicos altamente especializados”. baseado em uma .

A seguir serão apresentadas as vulnerabilidades mais críticas.. inadequadamente. aplicativos. Essa visão. com um indivíduo de dentro da organização”.. com a máxima funcionalidade e com o mínimo de esforço por parte do administrador [.. 2004.. “A grande parte dos ataques bem-sucedidos é alcançada por meio das vulnerabilidades encontradas nos software e sistemas operacionais [. o hacker gasta de 80% a 90% do seu tempo em busca de informações sobre sistemas internos da empresa”. De acordo com .5..] (SILVA.6. Para atingir o objetivo da simplicidade. porque normalmente expõe o servidor que está hospedando esse software.6. 112-113).6 As vulnerabilidades mais críticas de segurança na Internet Segundo Silva (2004.62 relação de confiança estabelecida. incluindo sistemas operacionais.. embora seja conveniente para o usuário e para o marketing do produto. 4.6. p.2 Contas de usuários e senhas Normalmente são fáceis de obter contas de usuários e estas contas na maioria dos casos possuem senhas padrão ou senha em branco. os programas normalmente instalam mais componentes do que a maioria dos usuários necessita [. Muitas destas vulnerabilidades são próprias do sistema operacional ou softwares e a grande maioria dos administradores de rede não prioriza as correções de tais vulnerabilidades deixando as informações da empresa exposta a usuários mal-intencionados.1 Instalações padrão de sistemas operacionais e softwares A maioria dos softwares. vem com scripts ou programas que têm por objetivo instalar os sistemas o mais rapidamente possível. p.6. “Antes de qualquer atividade ilícita..6.]. 111). Mas essa premissa é sempre prejudicial para os administradores de segurança. 93). banco de dados etc. os computadores que armazenam informações importantes da empresa devem está bem protegido. por isso. 4. 4..6. 4.6 Anatomia de um ataque de hacker De acordo com Silva (2004.]. p..]”. com implementação de controle de acesso forte. abre um grande conjunto de vulnerabilidades críticas [. em outras palavras é a arte de se contar uma mentira convincente.

0. 114).. todas essas contas com senha fracas. 119).6. senhaspadrão ou sem senhas devem ser removidas do seu sistema”. tais como: 0.6.2.0/16. . porque não é possível que um usuário da rede interna esteja conectado simultaneamente à rede externa.0.6.Bloqueie qualquer pacote que tenha a opção "source routing" ativada ou o campo "IP Options" ativado. mas nunca verificam se estão realmente funcionando [. “Na prática. 4.0/8. Normalmente estes problemas são detectados após ocorrer um incidente que necessite a restauração destes backups.0/24.3 Backup incompleto ou inexistente De acordo com dias (2004. p.]”. 224.6.0.5 Ausência de filtro da rede local da empresa É importante que se faça análise de pacotes de rede para que seja implementado filtro de entrada e saída das informações. Desta forma são importantes que esteja aberta apenas as portas necessárias pertinentes aos serviços disponibilizados pelo servidor. 169. 116). “Algumas empresas fazem backups diários.. . 4.]. 192..Nenhum pacote que sai da sua rede deve ter como endereço de destino algum IP de sua rede interna. p. p.Nenhum pacote que entra na rede pode ter como endereço de origem qualquer IP da sua rede interna.6. 4. 117).. As regras básicas de filtragem são: . 2004.63 Silva (2004. 240.Todo pacote que entra em sua rede deve ter como endereço de destino algum endereço pertencente à sua rede interna. maiores serão as possibilidades de alguém se conectar ao sistema”.0.0/4 (SILVA. Ao se filtrar o tráfego que entra na rede (ingress filtering) e o que sai (egress filtering). pode-se ajudar a elevar o nível de proteção. Um segundo problema que envolve backups é a falta de proteção física das mídias [. . .6.0. p.0. “Tanto os usuários legítimos como os atacantes conectam-se aos sistemas por meio de portas abertas.254.0.0.Endereços reservados de autoconfiguração DHCP e Multicast também devem ser bloqueados.0/4.Qualquer pacote que sai da sua rede deve ter como endereço de origem algum IP que pertença à sua rede interna. . Quanto maior o número de portas abertas.4 Grande número de serviços/portas abertas De acordo com Silva (2004. .

onde armazenar.6. “Recomenda-se utilizar a ferramenta IIS Lockdown para proteger servidores IIS e a ferramenta URLScan para filtrar requisições HTTP”. “Uma das premissas de segurança é: “A prevenção é ideal. p. 123). De acordo com Silva (2004. como idq. pois nunca se sabe quando eles serão necessários”. p. “Várias DLLs. 120). e os logs devidamente armazenados e arquivados.6.64 4. Segundo Silva (2004. Entretanto. p. p. em outro computador. contêm erros de programação que resultam na realização imprópria da checagem de erros.6. 123).7. É necessário verificar quais tipos de informação se deseja armazenar e por quanto tempo e ainda. .6. Em particular. “O registro de eventos deve ser feito de maneira regular em todos os sistemas críticos. É através dos logs que se verifica desempenho de hardware ou software. Esta vulnerabilidade poderá ser explorada por um atacante de forma que este poderá assumir o controle total do servidor. há necessidade de se fazer a ativação de captura destes logs e de forma correta.7 Buffer overflow Internet Server Application Programming Interface (ISAPI). são extensões que são normalmente instados com o Internet Information Services (IIS) para estender a potencialidade do servidor utilizando Dynamically Linked Library (DLL). se houve tentativa de ataque ou não. mas a detecção é imprescindível””.1 Remote Procedure Call (RPC) RPC é um dos recursos mais utilizado em uma rede e sua função é permitir que programas de um computador executem outro programa. Segundo Silva. (2004.6 Sistema de logs e auditorias incompletas ou inexistentes Segundo Silva (2004.6. dentre várias outras informações. 4. se estas tentativas foram feitas por usuários internos ou externos.6. pois caso esteja no mesmo servidor atacado por um hacker. não bloqueiam strings de entrada longos (long input strings)”. 120). 4.dll. Os logs são os registros armazenados em trilhas que da a condição de analisar todos os procedimentos efetuados no servidor. este poderá apagar os registros.

7.7 Certificação e certificados 4.1 Introdução A certificação digital garante a autenticidade.rpc. 4. impede que o remetente negue que foi o autor de uma determinada mensagem. deve-se seguir os passos encontrados nos boletins de segurança do site Microsoft.Onde for possível. os atacantes de todo mundo exploram com freqüência esta falha através de ataques de buffer overflow. . Recomenda-se também a atualização para uma das versões de MDAC mais recentes. 124).rpc. a saber: .Onde for. . 2004. necessário utilizar RPC.ttdbserverd . desligue e/ou elimine esses serviços das máquinas diretamente acessíveis via Internet. a integridade a confidencialidade e o não-repúdio de uma mensagem. Para se proteger contra essa vulnerabilidade. (SILVA.65 Devido a esta característica e a várias vulnerabilidades causadas pelo RPC.rpc. desta forma permite aumentar o nível de segurança em transações pela Internet.cmsd . As seguintes verificação e implementação deverão ser consideradas: Verifique se você está usando um dos três serviços de RPC mais freqüentemente explorado.6. Estes certificados são emitidos e mantidos por uma autoridade certificadora que funciona como uma espécie de cartório digital.Bloqueie a porta de RPC (porta 111) no roteador de borda ou no firewall. . instale os patches mais recentes. buscando novas versões e instalando-as imediatamente. de fato. 4.6. que estão disponíveis no site da Microsoft (SILVA. p. Não é possível corrigir essa falha com um patch.6. 2004.statd [.Consulte regularmente a base de dados de patches do fabricante.. Os certificados digitais são a base de uma ICP e cada usuário recebe seu certificado digital..Bloqueie as portas de "Ioopback" do RPC: 32770-32789 (TCP e UDP). ou seja.6. .] Siga os passos a seguir para proteger seus sistemas de ataques de RPC: . . 124). p.8 Brecha nos serviços de dados remotos (RDS) do IIS Atacantes exploram falhas de programação nos serviços RDS (Remote Data Services) para executar comandos remotos com privilégios de administrador.

as organizações que definem os padrões foram se mobilizando para propor especificações. p. . A chave pública e a entidade ou atributo e algumas informações únicas são colocados dentro de um documento digital.1 X. A extensão de restrições básicas aparece em um certificado de uma AC. IPSec. LDAPv3. são protocolos que suportam os certificados X. posteriormente ITU-T. p.2. a chave pública.66 De acordo com Silva. o algoritmo da assinatura do certificado e a assinatura digital. 5. dentre outros.509 são o certificado. o padrão X. indicando que esse certificado pode ser usado para construir caminhos de validação. 144). As principais variáveis do padrão X. O certificado é descrito por atributos tais como a versão. Segundo Silva (2004. cujo objetivo era reunir o que há de melhor em cada proposta”.509 surgiu em 1988. como uma camada de autenticação recomendada para o padrão de diretório X. “Certificação é a junção entre uma entidade ou atributo com uma chave pública. o algoritmo ID. pelo CCITT. o número de série. O SSL/TLS.509 As extensões dos certificados possibilitam que uma AC inclua informação que normalmente não seria fornecida pelo conteúdo básico de um certificado. S/MIME. “O padrão X.2 Tipos de certificado Apesar da variedade de tipos de certificados digitais. 139). p. validez.7. 4. de acordo com suas necessidades. Os campos básicos de um certificado não diferenciam esses dois tipos de usuários. Podemos definir diretório como uma base de dados on-line contendo várias informações”. 144). HyperText Transfer Protocol Secure (HTTPS).6. (2004. chamado certificado”.7. O sujeito de um certificado pode ser um usuário final ou outra AC. Qualquer organização pode definir suas extensões próprias.509 Segundo Silva (2004. Extensible Authentication Protocol (EAP). Secure Sockets Layer (SSH).6.500. assunto. infra-estrutura de chaves pública do Governo Federal.509 é o mais difundido em todo mundo e por esta razão este é o padrão adotado pela ICP Brasil. “À medida que o mercado foi utilizando as soluções e a popularidade dos certificados digitais atingiu níveis elevados na Internet.

a outro nome. a autenticação do usuário e a interoperabilidade. flexível e bem definido”. 2004.509 sendo cada chave pública uma entidade certificadora. p.6. assim.6. p.2. Netscape.7. ainda. “Os PKCS visam a preencher o vazio que existe nas normas internacionais relativas a formatos para transferência de dados .7. 2004.3 Secure Electronic Transaction (SET) Padrão público para transações de pagamentos desenvolvido pela empresa de cartão de crédito VISA e MasterCard com a participação da Microsoft. 4. O emissor do certificado é sempre identificado por sua chave pública. 156). A combinação dessa chave pública mais um nome local formam um identificador global único (SILVA. 4. (SILVA. 154). 151).3 Public Key Cryptography Standards (PKCS) De acordo com Silva (2004. criptografia dos dados etc. p. “O SET está baseado na distribuição de certificados digitais para as partes envolvidas na transação. Um certificado de nomes define um nome local no espaço de nomes do emissor e liga esse nome a uma chave pública ou. Já o SPKI foi projetado para ser um modelo de autorização simples. tais como: validação de assinatura digital em certificados LCR. p. 152). Dois tipos de certificados são definidos no SPKI/SDSI: certificados de nomes e de autorização.2 Simple Public Key Infrastructure/Simple Distributed Security Infrastructure (SPKI/SDSI) De acordo com Silva (2004. a integridade dos dados. com objetivo de prover aos usuários a confidencialidade da informação. “O SDSI é uma infra-estrutura cujo objetivo principal é facilitar a construção de sistemas distribuídos seguros e escaláveis.7. p. Segundo Silva (2004. International Business Machines (IBM) e Verisign. evitando-se.147). Nestes padrões (SPKI/SDSI) não há uma infra-estrutura de chaves públicas como o padrão X.2.67 O campo serviço contido nas extensões do certificado é utilizado para indicar os serviços de segurança que a chave pública poderá implementar. 4.6. que seja divulgado o número do cartão de crédito”.

são doze padrões conforme segue: PKCS#1: RSA Encryption Standards .7. como assinaturas digitais e envelopes digitais [... Posteriormente.Define uma sintaxe para informações relativas a chaves privadas. o algoritmo correspondente e um conjunto de atributos associados [.].. PKCS#5: Password-Based Encryption Standard . É o sistema operacional o responsável por controlar o computador de uma forma geral.. PKCS#7: Cryptographic Message Syntax Standard .Estende a definição de certificados X... PKCS#9: Selected Attribute Types .1 Introdução Sistema Operacional é um conjunto de aplicativos com objetivo de controlar softwares..].Define uma sintaxe para pedidos de certificação [. . utilizando um algoritmo de message digest. hardwares e fluxos de informação e serve como alicerce para execução de qualquer outro software. 2004 p.].]. PKCS#12: Personal Information Exchange Syntax . como o MD5. PKCS#3: Diffie-Hellman Key Agreement Standard ..7 Sistema Operacional 4. certificados.A informação a proteger é criptografada com a chave de sessão. 157-159). PKCS#10: Certification Request Syntax Standard .509. PKCS#6: Extended-Certificate Syntax Standard .68 que permitam a compatibilidade e a interoperabilidade entre aplicações que utilizem criptografia de chave pública”. PKCS#13 e PKCS#15 . permitindo a associação de outros atributos à entidade titular do certificado [. .. PKCS#11. como o DES.] referem-se à utilização de dispositivos portáteis em criptografia [. é o sistema operacional que “da vida” à máquina..]. então. chaves secretas e extensões [...Normaliza a utilização do protocolo de acordo com as chaves Diffie-Hellman no estabelecimento de chaves secretas.Assinaturas digitais .] (SILVA.[.]. tais como: o valor da chave.Descreve um método para criptografar um array de bytes utilizando uma chave secreta calculada com base em uma password (Password-Based Encryption ou PBE) [.Define uma sintaxe para mensagens criptografadas..A informação a assinar é inicialmente reduzida a um valor de hash.Tem por objetivo servir de normalização para a utilização do algoritmo RSA nas seguintes aplicações: . Ao todo... PKCS#8: Private-Key Information Syntax Standard ..Descreve uma sintaxe para a transferência de informação de identificação pessoal...Lista alguns dos atributos que podem ser associados a uma chave privada [. criptografado com a chave privada RSA. O resultado é.Envelopes digitais . ou de sessão [. Ao se ligar qualquer computador. a chave de sessão é criptografada com a chave pública RSA.]. utilizando um algoritmo simétrico. 4... incluindo chaves privadas.].

. de forma semelhante aos programas dos usuários. é o sistema operacional que controla estes recursos. e o usuário não tem que se preocupar com estes procedimentos.]”. impressoras arquivos.. DHCP. (2004. (2004. teclado. p. Maia.2 Funções Básicas Dentre as várias funcionalidades básicas de um sistema operacional podemos citar: . “[. de aplicativos. pendrive. Hard Disk (HD).7. dentre outros. A evolução dos sistemas operacionais está totalmente ligada à evolução dos hardwares.).. uma operação como a leitura de um arquivo em disco pode parecer simples.3 Windows Server 2003 Sistema operacional desenvolvido pela Microsoft para atender a plataforma cliente/servidor e poderá desempenhar a função de servidor de arquivos.7. “Para a maioria dos usuários.. .O sistema operacional é o responsável por integrar todos os periféricos (CDROM.Em uma rede onde existem recursos compartilhados como. controladas pelo sistema operacional [. a diminuição de custos. por exemplo. etc. 2). mouse. também. 3) declara que “O compartilhamento de recursos permite. Machado. p. disquetes.. 4.]”. controlador de domínio e em conjunto com outras aplicações poderá fornecer aos usuários acesso a banco de dados. na medida em que mais de um usuário pode utilizar as mesmas facilidades concorrentes. Maia (2004. de e-mail. scanner.. Maia. Sua principal função é controlar o funcionamento de um computador [. Na realidade. monitor. impressoras.69 Segundo Machado. DNS.] É apenas um conjunto de rotinas executado pelo processador. de impressão. linhas de comunicações.. de acesso remoto. como discos. de terminal. WINS. memória. 1). etc.”. p. impressora. Conforme Machado. existe um conjunto de rotinas específicas. 4.

2003.3.3 Windows Server 2003 Data Center Edition .].Cluster com até oito Servidores (BATTISTI. Por exemplo. 8).Suporte a serviço de Cluster.).7.). .2 Windows Server 2003 Enterprise Edition É recomendado para servidores que forneçam serviços como: roteamento. p. dando prioridade para estes processos em relação aos demais (BATTISTI.70 As configurações das funcionalidades disponíveis em cada servidor Windows Server 2003 vão depender do usuário que deverá configurá-lo de acordo com suas necessidades. Lotus Notes etc. O Windows Server 2003 Enterprise Edition apresenta as seguintes limitações.Suporte a serviços de Metadiretório. Serviços e/ou Recursos Não Disponíveis no Windows Server 2003 Standard Edition: .7. . 9-10). gerenciamento centralizado das estações de trabalho. servidor de Intranet e servidor de conectividade com a Internet [. Normalmente utilizado para serviços tais como o compartilhamento de arquivos e impressoras. sites de comércio eletrônico e outros aplicativos utilizados em redes de grande porte [. 2003. 4.]. 8). tais como quantidade máxima de memória RAM. . ..3.Suporte a mais do que quatro processadores. número máximo de servidores em cluster e assim por diante (BATTISTI. .Windows System Resource Manager (WSRM): este recurso permite a alocação de recursos de hardware para processos específicos. p. em um servidor Web você pode alocar mais recursos de hardware para os processos do IIS (Internet Information Services). 2003. 4. números de processadores... O que diferencia uma edição da outra são as funcionalidade disponíveis em cada edição. . servidor de Banco de dados (SQL Server 2000. as necessidade mínimas de hardware e os limites máximos suportados. correio eletrônico e aplicativos de colaboração (Microsoft Exchange. ORACLE etc.Versão de 64 bits para processadores Intel Itanium. Existem quatro edições do Windows Server 2003.1 Windows Server 2003 Standard Edition Esta edição é indicada para ser utilizada em servidores de pequenas e médias organizações ou servidores departamentais com um número médio de usuários.32 GB de memória RAM na versão de 32 bits. . p. 4..3.7.Suporte a mais do que 4 GB de memória RAM.Oito processadores na versão de 32 bits. .Troca de memória sem desligar o servidor (somente disponível nas edições Enterprise e Data Center e depende de suporte do fabricante do hardware do servidor). quanto ao hardware: .

11).1 Introdução O IIS Pode gerenciar páginas da Web na Internet ou em suas intranets. p.5 GB 1.4 Comparação entre as diferentes edições Na tabela 1 podemos verificar os recursos mínimos de hardware exigido por cada edição do Windows Server 2003.Cluster com até oito servidores (BATTISTI.0 GB 2. 4. 11).. . “[.. . De acordo com Battisti (2003. hospedar e gerenciar sites FTP. Suporta. utilizando tecnologias como ASPNET. p. “[.] Apresenta o maior número de recursos e a maior capacidade para atender a aplicações com um grande número de usuários e com elevadas exigências de desempenho”.71 Conforme Battisti (2003. de aplicações Web. quanto ao hardware: . p.7.NET. para servidores baseados no processador Intel Itanium.0 (IIS) 4. no máximo. no máximo. para servidores baseados no processador Intel Itanium. 12) 4.] Especificamente projetada para Servidores que prestarão serviço de hospedagem de sites.8 Internet Information Services 6. “[.3.7. p.32 processadores na versão de 32 bits e até 64 processadores na versão de 64 bits. e aplicações baseadas na plataforma . p.5 GB 2. Tabela 1 – Recursos mínimos de hardwares para as diferentes edições do Windows Server 2003 Recurso Web Standard Enterprise Data Center CPU Mínima 133 MHZ 133 MHZ 133 MHZ P/ X86 400 MHZ p/ X86 733 MHZ P/ Intel Itanium 733 MHZ p/ Intel Itanium CPU Recomendada 550 MHZ 550 MHZ 733 MHZ 733 MHZ Recomendada RAM Mínima 128 MB 128 MB 128 MB 512 MB RAM Recomendada 256 MB 256 MB 256 MB 1024 MB Espaço em 1. 2 GB de memória RAM ” 4..0 GB Disco p/ instalar FONTE: Battisti (2003. dois processadores.. O Windows Server 2003 Data Center Edition apresenta as seguintes limitações. rotear notícias ou e-mails usando o protocolo ..] Apresenta os seguintes limites de hardwares: Suporte. 10).4 Windows Server 2003 Web Edition Conforme Battisti (2003. 2003.64 GB de memória RAM na versão de 32 bits e até 512 GB de RAM na versão de 64 bits.8. XML e Web Services”.. 10).

não há necessidade de protegê-lo. assim como o acesso por engano e alteração de dados sem má intenção por usuários. Se um recurso ou serviço não estiver habilitado. .os antivírus normalmente identificam arquivos infectados procurando uma assinatura que é um componente conhecido de um vírus anteriormente identificado. 4. Mantenha todos os patches dos softwares atualizados .8.desative todos os serviços de que você não precisa. Tenha cuidado com os controladores de domínio . implementando um método altamente seguro de verificação da identidade dos usuários. Com o SSL. 2003). confiabilidade.patches dos softwares fornecem soluções a problemas de segurança conhecidos.2. saiba que.faça logon no computador usando uma conta que não esteja no grupo Administradores e use o comando Executar como para executar o Gerenciador do IIS como um administrador. Mantenha os antivírus atualizados .72 Network News Transfer Protocol (NNTP) e o protocolo SMTP.o sistema de arquivos NTFS é mais seguro que o sistema de arquivos FAT ou FAT32. como números de cartão de crédito ou números de telefone. escalabilidade e segurança. Reduza a superfície de ataque . Contêm novos recursos projetados para auxiliar organizações. Você pode permitir que os usuários troquem informações particulares com seu servidor. que fornece um meio seguro de estabelecer um vínculo de comunicação criptografada com os usuários. 4.0. diversas ameaças. de forma segura através da criptografia. se a segurança for comprometida no controlador de domínio.8. Não faça download ou execute programas de fontes não confiáveis. a identidade dos usuários que acessam sites restritos (MICROSOFT. Use o NTFS . incluindo os serviços IIS. A base dessa criptografia no IIS é o protocolo SSL 3.2 Segurança Proteções de segurança apropriadas no servidor Web reduzem. Verifique periodicamente os sites dos fornecedores dos softwares para ver se existem novos patches disponíveis para os softwares usados na sua organização. e até mesmo eliminam.se você usar um controlador de domínio como um servidor de aplicativo. ela será comprometido em todo o domínio.1 Recomendações para Servidor Web com IIS Faça logon com as credenciais mínimas . O SSL confirma a autenticidade do site e. profissionais de informática e administradores da Web a atingirem suas metas de desempenho. Atribua permissões NTFS de alta segurança para os recursos. NNTP ou SMTP. como FTP. o servidor Web também tem a opção de autenticar usuários verificando o conteúdo dos certificados de cliente. opcionalmente.

com uma exceção: as credenciais do usuário ficam mais bem protegidas contra descobertas quando são armazenadas no controlador de domínio (DC) como um hash MD5.8.esse procedimento facilita para os administradores a atribuição de permissões de acesso e a auditoria. fornece um nível médio de segurança e pode ser usado para conceder acesso a informações de segurança de redes públicas. A segurança aumenta em relação à autenticação básica.use essa combinação com extremo cuidado.73 Restrinja as permissões de acesso de gravação para a conta IUSR_nome_do_computador . Autenticação Digest: descreve o método de autenticação que necessita de um nome de usuário e de uma senha. os usuários forneçam um nome e uma senha de conta de usuário.2. pois as senhas são enviadas pela rede em texto sem formatação (texto descriptografado). 4. 2003).2.procedimento ajuda a limitar o acesso de usuários anônimos ao seu computador.por exemplo. com o envio de credenciais de usuário em uma síntese de mensagem com hash aplicado.2 Tipo de Autenticação Você pode exigir que. se seu site for usado somente para exibir informações. Esse processo é conhecido como Autenticação. fornece um nível baixo de segurança e é recomendável para conceder acesso a informações com pouca o nenhuma necessidade de privacidade. Atribua às permissões mais restritas possíveis . Não atribua permissões de gravação e de acesso ao código-fonte do script ou permissões de scripts e executáveis . Use a restrição de endereço IP se o IIS estiver sendo administrado remotamente. (MICROSOFT. Autenticação básica: descreve o método de autenticação que necessita de um nome de usuário e de uma senha.8. fornece um alto nível de segurança e é recomendável . Autenticação Digest avançada: descreve o método de autenticação que fornece um nível médio de segurança e é idêntico à autenticação Digest. atribua as permissões Somente scripts em vez das permissões Scripts e executáveis. Autenticação integrada do Windows: descreve o método de autenticação que envia informações de autenticação de usuário pela rede como uma permissão Kerberos. Armazene os arquivos executáveis em um diretório separado . Ela pode permitir que um usuário carregue arquivos executáveis potencialmente perigosos para o seu servidor e os execute.2. Se um diretório ou site contiver aplicativos. antes que acessem qualquer informação no seu servidor.Você pode negar permissões de acesso a recursos com base na participação nesse grupo. atribua as permissões somente leitura. 4. tornando-as vulneráveis à interceptação. Negue permissões de execução para usuários anônimos a todos os executáveis dos diretórios e subdiretórios do Windows. A segurança é considerada baixa.1 Autenticação de Sites Autenticação anônima: descreve o método de autenticação que não necessita de credenciais de usuário autenticado e é recomendável para conceder acesso público a informações que não requerem segurança. Crie um grupo para todas as contas de usuários anônimos .

A segurança é considerada baixa. fornece um nível baixo de segurança e é recomendável para conceder acesso a informações com pouca o nenhuma necessidade de privacidade. um resumo do processo de controle de acesso efetuado pelo IIS quando recebe uma requisição do usuário: .3 Controle de Acesso Segundo a Microsoft (2003). Não é fácil enviar credenciais de usuário por um proxy HTTP. Definindo o domínio de logon padrão: descreve como é possível configurar um domínio de logon padrão para os usuários que fazem logon usando a autenticação básica e que não especificam um domínio (MICROSOFT.8.2. permitindo o acesso dos usuários a diversos serviços na Internet. “O controle de acesso adequado ao conteúdo da Web e FTP é essencial para a execução de um servidor Web seguro”. 2003). 2003). A seguir podemos observar na figura 12.8.2 Autenticação de Sites FTP Autenticação anônima do FTP: descreve o método de autenticação que não necessita de credenciais de usuário autenticado e é recomendável para conceder acesso público a informações que não requerem segurança. 4.2.2. tornando-as vulneráveis à interceptação (MICROSOFT.NET: descreve o método de autenticação que fornece uma segurança de início de sessão universal. A autenticação de certificados fornece um alto nível de segurança apropriado para negócios pela Internet. Autenticação básica do FTP: descreve o método de autenticação que necessita de um nome de usuário e de uma senha.74 para a intranet da organização. 4. Autenticação do Passport . Autenticação UNC: descreve o método de autenticação usado para verificar as credenciais do usuário para seu acesso aos compartilhamentos em um computador remoto. pois as senhas são enviadas pela rede em texto sem formatação (texto descriptografado). Certificados: descreve o método de autenticação usado para estabelecer uma conexão de comunicação de segurança entre um cliente e um servidor que utiliza a SSL (camada de soquetes de segurança).

.8.1 Permissões NTFS De acordo com Microsoft (2003).8. 4.3.75 Figura 12 – Controle de acesso do IIS Fonte: (MICROSOFT.3.2.oferece suporte a criptografia. “É altamente recomendável o uso do sistema de arquivos NTFS para o seu servidor de aplicativos.2 Permissões de sites .2.Permitir que os administradores controle acesso de usuários em nível de arquivos e diretórios. Os seguintes benefícios são oferecidos pelo New Technology File System (NTFS): . . 4. 2003). O NTFS é um sistema de arquivos mais poderoso e seguro que o FAT e o FAT32”.oferece suporte ao Active Directory (AD) e à segurança baseada em domínio.

3 Contas do IIS e contas internas A seguir é apresentada uma lista das contas internas usadas pelo IIS. independentemente de seus direitos de acesso específicos”. Para o IIS 6.76 Segundo a Microsoft (2003).0. Direitos de usuário padrão: Ignorar a verificação completa (SeChangeNotifyPrivilege) Fazer logon como um trabalho em lotes (SeBatchLogonRight) Acesso a este computador pela rede (SeNetworkLogonRight) IUSR_nome_do_computador: Uma conta do IIS para acesso anônimo ao IIS. é recomendável que a identidade de processo do operador definida para pools de aplicativos seja executada como a conta Serviço de rede. Por padrão.2. Direitos de usuário padrão: Substituir um token no nível de processo (SeAssignPrimaryTokenPrivilege) Ajustar quotas de memória para um processo (SeIncreaseQuotaPrivilege) Gerar auditoria de segurança (SeAuditPrivilege) Ignorar a verificação completa (SeChangeNotifyPrivilege) Acesso a este computador pela rede (SeNetworkLogonRight) Fazer logon como um trabalho em lotes (SeBatchLogonRight) Fazer logon como um serviço (SeInteractiveLogonRight) Permitir logon local (SeInteractiveLogonRight) Serviço Local: Uma conta interna com menos direitos de acesso no computador do que a conta do serviço de rede e cujos direitos de usuário se limitam ao computador local. Por padrão. Essas permissões aplicam-se a todos os usuários. diretórios e arquivos específicos. Serviço de Rede: Uma conta interna com menos direitos de acesso no sistema do que a conta do sistema local. mas que ainda pode interagir em toda a rede com as credenciais da conta do computador. 4. a identidade do processo do operador é executada como Serviço de rede.8. A conta do serviço local será usada se o processo do operador não exigir acesso externo ao servidor no qual está sendo executada. ele é mapeado para a conta IUSR_nome_do_computador. Se uma identidade de processo do operador for executada como a conta do sistema local. quando um usuário acessa um site definido como Autenticação anônima. esse processo terá acesso total a todo o sistema. O usuário tem os mesmos direitos no computador que essa conta. “Você pode configurar as permissões de acesso do seu servidor Web para sites.3. assim como das contas específicas do IIS e seus direitos de usuário associados: Sistema Local: Uma conta interna com um alto nível de direitos de acesso. Direitos de usuário padrão: Substituir um token no nível de processo (SeAssignPrimaryTokenPrivilege) Ajustar quotas de memória para um processo (SeIncreaseQuotaPrivilege) Gerar auditoria de segurança (SeAuditPrivilege) Ignorar a verificação completa (SeChangeNotifyPrivilege) Acesso a este computador pela rede (SeNetworkLogonRight) Fazer logon como um trabalho em lotes (SeBatchLogonRight) IIS_WPG: Uma conta de grupo do IIS que recebeu as permissões e os direitos de usuários mínimos necessários para inicializar e executar um processo do operador em um servidor Web. .

4.2. Nelas.3. 4.2. No IIS 6.0. Direitos de usuário padrão: Acesso a este computador pela rede (SeNetworkLogonRight) Fazer logon como um trabalho em lotes (SeBatchLogonRight) Fazer logon como um serviço (SeInteractiveLogonRight) Negar logon local (SeDenyInteractiveLogonRight) Negar logon pelos serviços de terminal (SeDenyRemoteInteractiveLogonRight).8. oferecendo maior segurança que suas versões anteriores.77 Direitos de usuário padrão: Acesso a este computador pela rede (SeNetworkLogonRight) Ignorar a verificação completa (SeChangeNotifyPrivilege) Fazer logon como um trabalho em lotes (SeBatchLogonRight) Permitir logon local (SeInteractiveLogonRight) IWAM_nome_do_computador: Uma conta do IIS para iniciar aplicativos fora do processo no modo de isolamento do IIS 5.3. 2003). o método de controle de acesso a site mais comum.6 Protegendo sites com restrições de endereço IP . (MICROSOFT.3. O processo do operador será iniciado somente se a mesma estiver no grupo IIS_WPG e tiver as permissões adequadas. pode ser usada uma das três contas predefinidas ou criar uma conta própria. O grupo IIS_WPG é um grupo de usuários fornecido pelo IIS 6. “O acesso anônimo.8.8.2. Direitos de usuário padrão: Substituir um token no nível de processo (SeAssignPrimaryTokenPrivilege) Ajustar quotas de memória para um processo (SeIncreaseQuotaPrivilege) Ignorar a verificação completa (SeChangeNotifyPrivilege) Acesso a este computador pela rede (SeNetworkLogonRight) Fazer logon como um trabalho em lotes (SeBatchLogonRight) ASPNET: Uma conta interna para executar o processo do operador do Microsoft ASP.0.0 utiliza uma nova conta interna do serviço de rede.5 Configurando identidade do processo de trabalho O IIS 6.NET no modo de isolamento do IIS 5. permite que qualquer pessoa visite as áreas públicas de seus sites”.4 Acesso anônimo De acordo com a Microsoft (2003). cujos membros possuem um conjunto mínimo de permissões e direitos para executar um aplicativo.0. 4. a mesma conta tinha acesso a quase todos os recursos operacionais. Essa participação oferece uma maneira conveniente de usar uma conta de usuário específica sem ter que atribuir manualmente a ela permissões e direitos de usuário.0.

o recurso Executar URL do ISAPI de autorização de URLs (no diagrama.3.dll. . A autorização de URLs de IIS é implementada como um interceptador de interface de programação de aplicativos de servidores da Internet (ISAPI) (no diagrama abaixo. 2003). É preferível utilizar esse procedimento a utilizar um nome de usuário estático e uma senha porque você pode limitar o acesso a partes específicas do compartilhamento UNC para cada usuário ou grupo (MICROSOFT. Assim que o cliente tiver autorização para acessar a URL. A utilização da autorização de URLs do IIS 6.] No IIS 6. Ela valida o acesso solicitado por um usuário baseado nas funções dele. 4. diretórios ou arquivos com base na sua identificação de rede (IP) e em uma máscara de subrede. [. permitindo que os administradores controlem todo o acesso do usuário às URLs.78 Você pode configurar seu site para conceder ou negar acesso de computadores.3. um diretório virtual ou uma URL é configurada para usar a autorização de URLs de IIS. você pode utilizar a delegação de autenticação para passar as credenciais autenticadas do usuário solicitante para um servidor de arquivos remoto no qual está localizado um compartilhamento UNC. grupos de computadores ou domínios específicos a sites.8.2. Quando um aplicativo.NET Authz Framework) para autorizar o acesso à URL solicitada. como o ASP.8 Autorização da URL A autorização de URL no IIS permite que os administradores do Windows simplifiquem o gerenciamento de acesso. URL Authz ISAPI).. 2003). autorizando o acesso do usuário às URLs que compreendem um aplicativo da Web. ExecURL) passará a solicitação para o manipulador apropriado da URL.0. De acordo com a Microsoft (2003) “As restrições de endereço IP aplicam-se somente aos endereços IPv4”. ..7 Protegendo diretórios virtuais Os administradores do IIS podem proteger os diretórios virtuais usando a autenticação de usuário local. em vez de controlar o acesso por Access Control List (ACL).8. 4. para outro ISAPI ou para o manipulador de arquivo estático (MICROSOFT.2. Esse interceptador usará o Gerenciador de autorização (no diagrama.0 permite que um administrador controle o acesso baseado em informações disponíveis somente em tempo de execução Na figura 13 temos a ilustração do gerenciador de ilustração. cada solicitação de uma URL é roteada para o interceptador ISAPI de autorização de URLs. A URL deve estar associada a um armazenamento de diretivas do Gerenciador de autorização que contenha a diretiva de autorização para a URL. em cada recurso.

79
Figura 13 - Diagrama Gerenciador de Autorização

Fonte: (MICROSOFT, 2003).

4.8.2.4 Filtragem de porta TCP/IP Permite que você controle os tipos de tráfego que atingem os servidores e dispositivos de rede. Apesar do software de firewall ser usado para impedir invasões externas, podem não proteger os servidores de ataques internos de usuários malintencionados da própria rede privada. Habilita ou desabilita as portas do protocolo TCP e do User Datagram Protocol (UDP) nos computadores ou dispositivos de rede, conforme o administrador quiser. Usada em conjunto com outras práticas de segurança em servidores de Internet e intranet, isola-os de vários ataques externos e internos à segurança do TCP/IP. Podem-se configurar filtros de portas nos servidores individuais, para fornecer uma camada adicional de proteção contra diversos ataques à segurança do TCP/IP.

4.8.2.4.1 Atribuições de portas para serviços web De acordo com a Microsoft (2003), “Há 65.535 números de porta disponíveis para processos de aplicativos que usam o protocolo de controle de transmissão (TCP). O mesmo número de portas está disponível para processos de aplicativos que usam o protocolo de datagrama de usuário (UDP)”. Na tabela 2 podemos observar as portas padrão atribuídas aos serviços web.

80
Tabela 2 – Portas TCP padrão para serviços web Número de porta TCP Serviço de Internet padrão 20 Canal de dados do protocolo FTP 21 Canal de controle do protocolo FTP 23 Telnet (habilitado em alguns servidores de intranet ou Internet) 25 Protocolo SMTP 80 Protocolo HTTP usado para World Wide Web 119 Protocolo de transferência de notícias de rede (NNTP) 443 Protocolo de transferência de hipertexto em TLS/SSL (HTTPS) para World Wide Web segura. 563 Protocolo de transferência de notícias de rede em TLS/SSL (NNTPS) FONTE: Microsoft (2003).

4.8.2.4.2 Ferramentas de filtragem de portas Para maior eficiência, configure a ferramenta de filtragem de modo que aceite solicitações por meio de cada porta exigida pelos aplicativos do servidor e recuse as solicitações provenientes de todas as outras portas TCP ou UDP. A filtragem de todo o tráfego destinado a essas portas eliminará a exposição desnecessária a ataques. A seguir, uma lista de ferramentas que podem ser usadas para filtrar o tráfego nos servidores ou na rede:
Diretivas de filtragem de segurança do protocolo Internet (IPSec): Dá suporte a regras de filtragem de pacotes monitoradores baseadas em diretivas que podem ser usadas com criptografia e autenticação IPSec para fornecer proteção total. Recomendadas se a organização possuir o IPSec implantado. Firewall de conexão com a Internet (ICF): Habilita filtros monitoradores baseados em definições de serviços configuráveis. Dá suporte a serviços de notificação e logs. Recomendado se a organização não tiver implantado o IPSec. Serviço de autenticação da Internet (IAS): Fornece serviços de controle de acesso à rede, inclusive filtros de tráfego para redes sem fio, acesso remoto, redes privadas virtuais, recursos de Internet e extranets. Filtragem de TCP/IP: Limitada à filtragem de protocolos e pacotes monitoradores. Não é recomendada. O IPSec e o ICF fornecem filtros monitoradores mais úteis e robustos. Microsoft Internet Security e Acceleration Server: Disponível como produto separado (não incluído na família Windows Server 2003). Contém o avançado software firewall de rede que permite configurar regras sofisticadas de filtragem de aplicativos e tráfego para computadores e dispositivos de rede (MICROSOFT, 2003).

4.8.2.5 Criptografia

81 Seus recursos podem ser usados para codificar as informações transmitidas ao servidor Web e recebidas por ele, impedindo que pessoas não autorizadas decodifiquem o conteúdo original de suas transmissões.

4.8.2.5.1 Ativando a criptografia Você pode exigir que os usuários estabeleçam um canal criptografado com seu servidor antes de acessarem um site, um diretório ou um arquivo restrito. Entretanto, o navegador da Web do usuário e seu servidor Web devem oferecer suporte ao esquema de criptografia usado para proteger o canal.
Ao definir propriedades de segurança para um site específico, você define automaticamente as mesmas propriedades de segurança para os diretórios e os arquivos pertencentes a esse site, a menos que as propriedades de segurança dos diretórios e dos arquivos individuais tenham sido definidas anteriormente (MICROSOFT, 2003).

Se as propriedades de diretórios e arquivos individuais forem redefinidas, suas configurações de segurança anteriores serão atualizadas. A mesma condição é aplicada para um diretório com subdiretórios ou arquivos com propriedades de segurança anteriormente definidas. Recomenda-se o uso da criptografia SSL/TLS somente para informações sigilosas uma vez que este reduz a taxa de transmissão e degrada o desempenho do servidor.

4.8.2.5.2 Definindo o nível de criptografia Você pode configurar o servidor Web para solicitar um nível de chave de sessão mínimo de 128 bits para todas as sessões de comunicação segura sendo que a chave e o SSL são diferentes. Entretanto, os usuários que tentarem estabelecer um canal de comunicação seguro com seu servidor deverão usar um navegador capaz de se comunicar com uma chave de sessão de 128 bits.

4.8.2.6 Certificado Digital De acordo com a Microsoft (2003), “Os certificados são uma forma de identificação digital do servidor e dos clientes que solicitam informações desse

2. usada na criação de uma conexão segura entre o cliente e o servidor. chamada autoridade de certificação (CA). você poderá emitir seus próprios certificados de servidor. cuja principal responsabilidade é confirmar a identidade e a validade das informações que irão conter no certificado.2.8. Um certificado de servidor permite que os usuários autentiquem um servidor.8. Para o uso da SGC. deve-se obter e instalar um certificado de servidor válido.3 Server-gated Cryptography (SGC) Oferece às instituições financeiras uma solução para a realização de transações financeiras seguras no mundo inteiro com o uso da criptografia de 128 bits de alta segurança.6.8. é necessário um certificado SGC especial. dependendo do relacionamento da sua organização com os usuários do seu site. que identifica o portador”.6. verifiquem a validade do conteúdo da Web e estabeleçam uma conexão segura. Como alternativa. O sucesso de um certificado de servidor como meio de identificação depende da confiança do usuário na validade das informações contidas no certificado. .2 Certificados de servidor Para ativar os recursos de segurança SSL.1 Autoridades de certificação Pode-se obter um certificado de uma outra organização mutuamente confiável. 4. 4. 4. A função dos certificados é semelhante à de um passaporte ou de outra carteira de identidade oficial.82 servidor. Um servidor configurado para SGC pode facilitar as sessões de criptografia. A coleta dessas informações pode exigir uma entrevista pessoal com a autoridade de certificação e o endosso de um tabelião.6. não é necessário ter várias versões do IIS. Ele contém uma chave pública. a autoridade de certificação exige que você forneça informações com extensão que pode variar com os requisitos de garantia de identificação do certificado. é necessário considerar a possibilidade de obter um certificado de servidor de uma autoridade de certificação. portanto. Nesse caso. Antes de emitir um certificado.2.

4 Provedor de serviços de criptografia selecionável Todo provedor de criptografia pode criar uma chave pública e uma chave particular para criptografar os dados que o servidor Web envia e recebe.8. que facilitam a criptografia e a descriptografia dos dados transmitidos por uma rede aberta. Conforme a Microsoft (2003). 2003)..8.7 Detecção de certificados de cliente revogados A maioria das autoridades de certificação mantém uma lista de revogação de certificados que na verdade é uma lista dos certificados de cliente atuais que foram revogados por terem fornecido informações falsas ou porque a data do certificado está vencida ou por solicitação de cancelamento pelo usuário. como uma data de vencimento e um número de série. As autoridades de certificação oferecem tipos diferentes de certificados de cliente. [.] O IIS aceitaria somente os certificados de cliente fornecidos por autoridades de certificação contidas na lista de certificados confiáveis desse departamento (MICROSOFT. 4.2. chaves públicas de criptografia que fazem parte do recurso de segurança SSL do IIS.. “Um provedor de serviços de criptografia (CSP) selecionável permite que você selecione um provedor de criptografia para lidar com a criptografia e com o gerenciamento de certificados”.2.2.6 Lista de certificados confiáveis Mantendo uma lista de certificados confiáveis (CTL). que contêm quantidades diferentes de informações. 4. Um certificado de cliente comum contém várias informações: a identidade do usuário.6. dependendo do nível de autenticação necessário (MICROSOFT. uma chave pública usada para estabelecer comunicações seguras e informações de validação.83 4. os administradores de sites podem comparar automaticamente os certificados de cliente com uma lista predefinida de autoridades de certificação confiáveis. a identidade da autoridade de certificação.2. Como o certificado . 2003). 4.6.8.8.5 Certificados de cliente Os certificados de cliente são documentos eletrônicos que contêm informações sobre clientes.6.6.

3.8. URI Stem: O recurso acessado.8. o que o visitante viu e quando as informações foram exibidas pela última vez”. uma página HTML. Porta do servidor: O número da porta à qual o cliente está conectado. por exemplo.84 não é material. adiciona-se as informações sobre o certificado do cliente revogado nessa lista. todo o tráfego para o site é registrado no arquivo correspondente para cada site. pode-se coletar informações sobre atividades do usuário. Nome de serviço: O serviço de Internet que estava sendo executado no computador do cliente. Nome de usuário: O nome do usuário que acessou o servidor.3. Endereço IP do cliente: O endereço IP do cliente que acessou o servidor.1 Habilitando o log Escolhe-se um formato e habilita-se o log para sites da Web e FTP individuais. “Os logs podem incluir informações como. 4. por exemplo. IP de servidor: O endereço IP do servidor em que a entrada de log foi gerada. poderá ser personalizado selecionando as propriedades que se deseja registrar.3 LOGs de atividades do site Habilitando o log dos sites da Web. as propriedades estendidas disponíveis na versão do IIS 6. quem visitou o site. 4.8. Nome de servidor: Nome do servidor em que a entrada de log foi gerada. A seguir. um comando GET). . e não pode ser literalmente retirado do usuário mal-intencionado. De acordo com a Microsoft (2003). um programa CGI ou um script.2 Personalizando o log estendido do W3C Quando usado. 4.0. Após habilitá-lo. Método: A ação que o cliente estava tentando executar (por exemplo. que são armazenadas em arquivos American Standard Code for Information Interchange (ASCII) ou em um banco de dados compatível com Open Data Base Connectivity (ODBC). Também pode limitar dados irrelevantes e reduzir o tamanho do arquivo de log omitindo propriedades dispensáveis.

2003). Agente de usuário: O navegador utilizado no cliente.8. 4.pode ser usado para substituir endereços IP por nomes DNS dentro de um arquivo de log comum do NCSA e. nos termos empregados pelo HTTP (MICROSOFT. Uma ou mais seqüências de caracteres de pesquisa das quais o cliente buscava correspondências são registradas no log. .3. Tempo decorrido: O intervalo de tempo decorrido para a ação.Converte os arquivos de log do servidor Web em formato de arquivo de log comum do NCSA. Status do protocolo: O status da ação.5 Log binário centralizado . Bytes enviados: O número de bytes enviados pelo servidor. . No caso do HTTP.8. 4.3. Status do Win32®: O status da ação. Cookie: O conteúdo do cookie enviado ou recebido se houver. Versão do protocolo: A versão do protocolo (HTTP. se houver. nos termos empregados pelo Windows. É mais seguro permitir o acesso ao diretório de arquivos de log somente para o administrador e para o grupo IIS_WPG.1.3. Deve-se definir o controle de acesso adequado no diretório de arquivos de log para proteger os dados registrados.4 Convertendo arquivos de log em formato NCSA O formato comum do National Center for Supercomputing Applications (NCSA) é padronizado e de uso comum. Host: O nome do computador. FTP) utilizada pelo cliente. será HTTP 1.0 ou HTTP 1.8. Referencial: O site que direcionou o usuário para o site atual.pode ser usado para converter diferenças de fuso horário. 4. nos termos empregados pelo HTTP. . O utilitário convlog: .85 URI Query: A consulta. que o cliente estava tentando executar.pode substituir endereços IP por nomes do sistema de nomes de domínios durante a conversão dos arquivos de log com formato do IIS e estendido do World Wide Web Consortium (W3C) para o formato comum do NCSA. Bytes recebidos: O número de bytes recebidos pelo servidor.3 Salvando arquivos de log O diretório em que serão salvos os arquivos de log pode ser especificado e pode-se determinar quando novos arquivos de log serão iniciados. Substatus de protocolo: Status adicional da ação.

4. Normalmente. antes de configurar o log remoto. e não do site. mas são mais lento que os métodos de log padrão. Segundo Microsoft (2003). Quando habilitado. Suspende a gravação no log para o site até que o proprietário seja desse grupo.3. caso o proprietário do diretório ou do arquivo não esteja no grupo de administradores local. a maior parte dos métodos de log cria um arquivo de log por site.3. ou até que o diretório ou arquivo de log existente seja excluído. basta permitir que o HTTP.sys crie diretórios de arquivos de log e arquivos de log. Quando a identificação global exclusiva (GUID) deste objeto COM é especificada na propriedade LogPluginClsid da metabase. O IPSec é uma estrutura de padrões abertos destinada a assegurar comunicações privadas seguras em redes com o protocolo Internet (IP) por meio da utilização de serviços de segurança .].7 Log remoto O Log remoto permite que você estabeleça armazenamento e backup de arquivos de log centralizados. todos os sites no servidor Web que executam o IIS inserem dados de log em um único arquivo de log.86 É o processo por meio do quais vários sites da Web inserem dados de log binários sem formatação em um único arquivo de log. 2003).. Depois que esse tipo de log é habilitado no servidor que executa o IIS. 4. É altamente recomendável a ativação da segurança do protocolo Internet (IPSec).sys publica um erro no log de eventos do Windows NT. ou objetos de modelo de objeto componente (COM). Para evitar esse erro.. “O log binário centralizado é uma propriedade do servidor. o que preserva os recursos de memória. entre o servidor web que executa o IIS e o servidor remoto. [.8. gerando problemas de desempenho. você não pode configurar a criação de log em outro formato para sites específicos”. o que pode provocar queda de desempenho. que implementam a interface ILogPlugin ou ILogPluginEx.6 Módulos de log personalizados O IIS oferece suporte para módulos de log personalizados. o IIS instancia o módulo de log personalizado e usa seus métodos para registrar as entradas de log (MICROSOFT. O HTTP.8. Os desenvolvedores e administradores de sistema implementam módulos de log personalizados quando criam seus próprios formatos de arquivos de log ou quando manipulam dados de log. o que pode consumir rapidamente valiosos recursos de CPU e memória nos servidores que executam o IIS. pois grava o arquivo de log pela rede.

Ela também pode ser estendida de modo altamente eficiente. porém.87 criptográficos. os pacotes de dados que contiverem dados de log correrão risco potencial de interceptação por indivíduos e aplicativos de captura de informações invasivos enquanto trafegam pela rede (MICROSOFT. 4. A metabase é um arquivo de configuração . Se o IPSec não estiver habilitado entre o servidor web que executa o IIS e o servidor remoto.XML de texto sem formatação que pode ser editado manualmente ou programaticamente.8. indivíduos mal-intencionados podem usar essas informações para atacar o servidor Web. que pode estar mal intencionado. À medida que a implantação do IIS cresce. 4.2 Segurança Os arquivos da metabase devem ser protegidos a qualquer custo.2 retorna para o computador do cliente como 404.8. as mensagens de erro personalizadas não retornam o conteúdo específico da mensagem de erro para computadores de clientes remotos. “O IIS (Serviços de Informações da Internet) armazena a configuração e o esquema da metabase em arquivos de formato XML com texto sem formatação. Quando a mensagem contém muitas informações sobre o servidor Web principal e uma explicação do motivo pelo qual uma determinada solicitação não foi executada.3. um código de erro como 404.1 Estrutura De acordo com a Microsoft (2003). usando um modelo de herança.4 Metabase do IIS A metabase é um depósito para a maioria dos valores de configuração do IIS (Serviços de Informações da Internet). 4.8.8 Códigos de erro em arquivos de log Para diminuir os ataques do IIS. 2003). Por isso.4. 2003). não dando pistas. o mesmo acontece com a metabase. para o cliente remoto. Uma instalação padrão do IIS garante a segurança da metabase definindo entradas de controle de acesso (ACEs) estrito nos arquivos da metabase e criptografando dados confidenciais dentro dos arquivos (uma lista de controle de acesso [ACL] contém ACEs).4. 4. do motivo pelo qual uma solicitação falhou.8. Se você mantiver esse nível de . o que reduz a sobrecarga quando é necessário ler valores de configuração a partir da metabase (MICROFOT. é possível evitar declarações explícitas de valores duplicados. ao contrário das versões anteriores do IIS que usavam um único arquivo binário”.

1 Desempenho e Segurança Uma questão importantíssima em um servidor web é o equilíbrio entre o desempenho do servidor e a implementação de segurança. nomeado MetaBase. 2003).].0.3 Backup Criar backups da metabase é uma parte vital da manutenção da confiabilidade da metabase.0 ou atualizar para o IIS 6. 2003). estará tomando as precauções adequadas para proteger os arquivos da metabase (MICROSOFT.5 Ajuste de desempenho Ajustar o servidor da Web e melhorar o desempenho permite que você maximize a taxa de transferência e para minimizar o tempo de resposta do aplicativo da Web. ser importado para o arquivo de configuração da metabase do mesmo computador ou para outro computador que esteja executando um membro da família Microsoft Windows Server 2003. 4. usando o Gerenciador do IIS.0. O ajuste ajuda a evitar afunilamentos e pode ajudar a ampliar o tempo entre as atualizações de hardware (MICROSOFT.. pois as propriedades criptografadas não são incluídas. que contém elementos especificamente selecionados de um arquivo de configuração da metabase. e eles podem ser criados por demanda por um administrador do IIS.. depois. A exportação da metabase não pode ser usada para exportar o esquema da metabase (MICROSOFT. usar uma senha de administrador de alta segurança e limitar o número de usuários que possuem credenciais administrativas.8.8. . que só podem ser restaurados em sua totalidade. Depois de instalar o IIS 6. pois agora é possível restaurar o backup em outros computadores se o backup de segurança tiver sido escolhido. Os backups da metabase são criados automaticamente pelo IIS. 4. que cria uma melhor experiência para clientes que tentam acessar o servidor Web [. é recomendável fazer o backup da metabase assim que for possível. 4.. 4. [. inclusive com as propriedades criptografadas.4.] A exportação da metabase não substitui a funcionalidade do backup da metabase. são armazenados juntos e exibidos juntos no Gerenciador do IIS. 2003).88 segurança. a fim de preservar os dados de configuração (MICROSOFT.4 Importação e Exportação O recurso de importação e exportação da metabase permite que os administradores criem um arquivo de exportação. Todos os backups. 2003). A capacidade de criar arquivos de backup da metabase e de restaurá-la usando esses arquivos foi aperfeiçoada no IIS 6. Não existe suporte para a restauração de backups de versões anteriores do IIS.5.4. O backup da metabase é usado para criar arquivos de backup da configuração e do esquema integrais da metabase.. Esse arquivo de exportação pode. fizer backups periódicos.8.8. independentemente de como foram criados.xml por padrão.

. os certificados. Um site web seguro com SSL implementado. localizados na cidade de Brasília/DF..1 Ambiente mainframe IBM 2 equipamentos modelo 2094 737 e 1 modelo 2094 708 com poder de processamento de 4. portanto é importante saber quando usar diversas técnicas de segurança”.89 De acordo com a Microsoft (2003). localizado na cidade do Rio de Janeiro/RJ. É necessário definir com clareza quais páginas do site web deverá ter segurança implementada e qual tipo de segurança será utilizada. o cliente e o servidor precisam estabelecer uma conexão completamente nova”. localizado na cidade de São Paulo/SP. 4.816 milhões de instruções por segundos (MIPS).9.9 Política de Controle de acesso Os ativos identificados estão condicionados ao escopo do projeto. por exemplo.9.232 milhões de unidades de serviços por segundos (MSU) e 30. 4.677 milhões de instruções por segundos (MIPS).609 milhões de unidades de serviços por segundo (MSU) e 11. De acordo com a Microsoft “o tempo limite padrão para o cache da sessão SSL foi alterado para cinco minutos no Microsoft Windows 2000 e em versões posteriores.]. e 1 equipamento modelo 2094 731 com poder de processamento de 1. o SSL e a criptografia são recursos de segurança que exige processamento significativo e. 1 equipamento modelo 2064 733 com poder de processamento de 1. leva cinco vezes mais tempo para conexão inicial do que um site web não seguro. “As comunicações da Web seguras exigem mais recursos [.1 Ambiente centralizado (grande porte) 4. Depois que esses dados são excluídos ou "liberados" do cache.1. A autenticação..273 milhões de instruções por segundos (MIPS). abragendo servidores de páginas intranet das filiais regionais da CEF. portanto o uso destes recursos deverá ser equilibrado com o desempenho desejado.691 milhões de unidades de serviços por segundos (MSU) e 12.

684 GB de mídias 3490.9. 35.4 Storage em disco 46. 4. localizado na cidade do Rio de Janeiro/RJ.237 GB de disco fornecido pela Hitachi Data Systems (HDS).180 GB de mídias 9840 e 75. 4.1. 1 equipamento modelo E6500 com 8 processadores e 54 servidores SUN de menor porte. 20. 1 equipamento modelo F15000 com 32 processadores e 20 servidores SUN de menor porte.2 Ambiente SUN 1 equipamento modelo E10000 com 64 processadores.340 GB de mídias 9840 e 129. 12.000 GB de disco fornecido pela International Business Machines (IBM) e 20. e 218 Servidores localizado na cidade de São Paulo/SP.780 GB de disco fornecido pela Hitachi Data Systems (HDS). 110 Servidores localizado na cidade do Rio de Janeiro/RJ. e 3 equipamentos modelo E10000 com 64 processadores e 43 servidores SUN de menor porte.736 GB de disco fornecido pela IBM.5 Storage em fita 5 silos robóticos.248 GB de disco fornecido pela IBM.704 GB de disco fornecido pela Hitachi Data Systems (HDS). localizado na cidade do Rio de Janeiro/RJ. e . localizados na cidade do Rio de Janeiro/RJ. localizados na cidade de Brasília/DF.1. e 13.3 Ambiente x86 369 Servidores localizado na cidade de Brasília/DF. localizado na cidade de Brasília/DF.198 GB fornecido pela EMC Corporation e 16. localizados na cidade de São Paulo/SP.9. 3 equipamentos modelos F15000 com 72 processadores cada.1.9.1. localizado na cidade de São Paulo/SP. localizado na cidade de Brasília/DF.90 4. 4 silos robóticos.9. 21. 1 equipamento modelo E10000 com 64 processadores.765 GB fornecido pela EMC Corporation e 6. 4. 31.370 GB de mídias 3490.

aplicativos legados. 11 servidores em Campo Grande/MS.179 impressoras.9.1 Servidores que disponibilizam serviços voltados para intranet 573 servidores que disponibilizam serviços voltados para intranet.556 servidores member server que disponibilizam serviços de rede como DNS.092 estações de trabalho (computadores desktop) e 3.91 5 silos robóticos.535 servidores com SGBD SQL. assim distribuídos por todo o território nacional: 9 servidores em Belém/PA.430 equipamentos de auto-atendimento.315 notebooks.678 salas 24 horas. 14 servidores em Curitiba/PR.2 Ambiente descentralizado (baixa plataforma) 14 servidores controladores de domínio que gerencia 259.676 estações financeiras (computadores desktop para automação 4. 1. 4 servidores em Campinas/SP. correio. 10 servidores em Florianópolis/SC..766 GB de mídias 9840 e 130. 6. 18. 1. e 2.9. 13 servidores em Fortaleza/CE. 11. 51 servidores em Belo Horizonte/MG. localizado na cidade de São Paulo/SP. 4. 23. . etc.731 GB de mídias 3490. 218 servidores em Brasília/DF.2.389 objetos. 129.208 cofres eletrônicos.175 equipamentos lotéricos. bancária). 15 servidores em Bauru/SP. WINS. distribuído na rede da CEF que utilizam os sistemas e os recursos disponibilizados por cada área sendo a gerência regional de tecnologia responsável por estes computadores em seu âmbito de atuação. 14 servidores em Goiânia/GO. 16. 16.

161 links de comunicação de 128 kilobits por segundo (Kbps). 103 links de comunicação de 2. Todos os servidores atendem os requisitos mínimos de hardware descrito no item 4. 78 links de comunicação de 1.7.3 Ambiente de telecomunicações Conjunto de ativos tecnológicos instalados nos diversos ambientes da CEF. não havendo necessidade de atualização (upgrade) para instalação do Windows Server 2003 Web Edition. 7 links de comunicação de 28. 8 links de comunicação de 33.816 kilobits por segundo (Kbps).4.508 hub. 5 links de comunicação de 9.92 5 servidores Manaus/AM. 5 links de comunicação de 1. e que sustentam a rede de comunicação da empresa.4 kilobits por segundo (Kbps).6 kilobits por segundo (Kbps). 30 servidores em Porto Alegre/RS. 7 links de comunicação de 10. e 10 servidores em Vitória/ES. 4. 21 servidores em Salvador/BA. 38 servidores em São Paulo/SP. 79 servidores em Recife/PE. 31 servidores em Rio de Janeiro/RJ. 1.853 switch.544 roteadores. 2 links de comunicação de 14.9. 9 links de comunicação de 19. 346 links de comunicação de 512 kilobits por segundo (Kbps). 4. 7 links de comunicação de 34. 1 link de comunicação de 4.2 kilobits por segundo (Kbps).6 kilobits por segundo (Kbps).4 kilobits por segundo (Kbps). 2.024 kilobits por segundo (Kbps).240 kilobits por segundo (Kbps). e . 4. 11 links de comunicação de 2.426 links de comunicação de 256 kilobits por segundo (Kbps).8 kilobits por segundo (Kbps).048 kilobits por segundo (Kbps). tabela 1.8 kilobits por segundo (Kbps). 1.2 kilobits por segundo (Kbps). 59 links de comunicação de 64 kilobits por segundo (Kbps).

4 Ambiente de telefonia 2.Política de controle de acesso. .720 kilobits por segundo (Kbps). 4. . Esta etapa tem como objetivo comparar os itens relevantes relacionados na ABNT 17799:2005 e normativos interno da empresa que estão abaixo relacionados: .1 Avaliação de Risco Os riscos da empresa CEF quanto à segurança da informação foram avaliados por meio de aplicação de matriz de risco para identificar as vulnerabilidades e fazer um mapeamento dos pontos mais críticos.10.10 Análise de Riscos e Vulnerabilidades O propósito da análise de risco foi identificar e mensurar os critérios de risco de controle de acesso e determinar o grau de importância de cada item avaliado para os negócios da empresa. demonstra-se a seguir as matrizes de risco referentes à cada item avaliado (Tabelas de 3 a 8). e 5. visando adequar as falhas levantadas às práticas sugeridas pela ABNT 17799:2005 e também às normas internas da empresa.885 empregados.816 troncos e 110.416 ramais.9.Controle de acesso a rede.5 Recursos humanos 70. 23.735 estagiários. Para tanto. 4.Gerenciamento de acesso de usuário. 4.93 3 links de comunicação de 158.930 prestadores de serviços.9. .Responsabilidades dos usuários e .295 PABX com capacidade de 46. 4.

00% Baixo 100.7 3 5 30 15 50.94 Tabela 3 – Matriz de Risco – Política de Controle de Acesso 1. Política de Controle de Acesso Pontuação Importância do item (peso) 3 Adequação do item na empresa 10 % de atendimento à ideal obtida norma Risco 30 30 100.7 2 3 3 1 2 7 9 7 10 9 85.00% Baixo 1.6 1.5 2.4 2 1 10 8 20 10 20 8 100.6 2 1 8 10 20 10 16 10 80.00% Baixo 100.00% Baixo Tabela 4 – Matriz de Risco – Gerenciamento de acesso de usuário 2.9 2 3 8 10 86.2 2 8 20 16 80.5 1.1 2.00% Baixo 70.00% Baixo 90.1 Aspectos Existe uma política de controle de ambiente de computação? Há identificação de todas as informações relacionadas às aplicações de negócio e os riscos a que as informações estão expostas? Há consistência entre controle de acesso e políticas de classificação da informação em diferentes sistemas e redes? Existe administração de direitos de acesso? Existe segregação de regras de controle de acesso? Foram definidos requisitos para autorização formal de pedidos de acesso? É realizada análise crítica períodica de controles de acesso? Situação parcial 1.00% Baixo 100.2 3 1 10 10 30 10 30 10 100.00% Baixo 2.00% Baixo 80.00% Médio 90.00% Baixo 2. Gerenciamento de acesso de usuário Pontuação Importância do item (peso) Adequação do item na empresa % de atendimento à ideal obtida norma Risco Item Aspectos Existe identificador de usuário (ID de usuário) único para assegurar a responsabilidade de casa usuário? Existe identificador de usuário (ID de usuário) compartilhado por dois ou mais usuários? Ao se conceder um nível de acesso é analisado se este nível de acesso é apropriado às atribuições diárias do usuário? Os usuários recebem uma declaração por escrito dos seus direitos de acesso? É requerida dos usuários a assinatura de uma declaração indicando que eles entendem as condições de acesso? É mantido um registro formal de todas as pessoas registradas para usar o serviço? Existe bloqueio imediato de direitos de acesso de usuários que mudaram de cargos ou funções.00% Baixo .11% 20 30 16 30 80.00% 20 30 30 10 20 14 27 21 10 18 70.00% Médio 100.3 2.00% Médio 2.4 1.8 2.00% Baixo 2. ou deixaram a organização? Existe análise periódica para remover ou bloquear identificadores (ID) e contas de usuários redundantes? Existe o fornecimento de um identificador (ID) para mais de um usuário? Situação parcial 2.3 1.00% Baixo Item 1.

5 3.00% Baixo 100.4 4.1 3.71% 30 30 30 30 30 27 30 30 100.95 Tabela 5 – Matriz de Risco – Responsabilidades dos usuários 3.00% Médio Item 4.7 4. Controle de acesso a rede Pontuação Importância do item (peso) 3 2 Adequação do item na empresa 10 5 % de atendimento à ideal obtida norma Risco 30 20 30 10 100.4 3.00% Baixo 100.2 Aspectos Existe uma política de uso dos serviços de redes? A própria empresa gerencia o ambiente de rede ou terceiriza este serviço? São usadas contas de logon separadas para atividade normal versus atividades administrativas de gerenciamento? A empresa concede acesso administrativo a usuários para suas estações de trabalho? Usuários externos acessam a rede? Qual é a forma de autenticação? Existe firewalls ou outros controles de acesso de nível de rede nas fronteiras da rede para proteger os recursos corporativos? Existem serviços abertos à internet na rede interna da empresa? Como é controlado o acesso destes serviços? Existe hardware ou software de detecção de intrusões para identificar ataques? Situação parcial 4.00% Baixo 50.00% Baixo 100.00% Alto 100.8 3 3 10 10 89.00% Baixo 40.52% 30 30 30 30 100.00% Baixo Item 3.00% Baixo .00% Baixo 4.3 3 8 30 24 80.1 4.6 3.00% Baixo 100.6 3 10 30 30 100.3 4.7 3 3 3 3 10 9 10 10 95. reutilização e tamanho)? De que forma são armazenadas as senhas dos usuários? Senhas padrão são alteradas no primeiro logon do usuário? Existem controles para impor o cumprimento das políticas de senha nos diversos tipos de contas? Situação parcial 3. Responsabilidades dos usuários Pontuação Importância do item (peso) 3 3 Adequação do item na empresa 10 10 % de atendimento à ideal obtida norma Risco 30 30 30 30 100.2 Aspectos Existe uma política de senha na empresa? Os usuários são informados sobre a política de senha da empresa? Os usuários assinam uma declaração. para manter a confidencialidade de sua senha pessoal e das senhas de grupos de trabalhos? Qual é o procedimento adotado para alteração de senha e qual é a periodicidade? (ciclo de vida de senha.00% Baixo 4.5 2 2 3 10 4 10 20 20 30 20 8 30 100.00% Baixo 3.00% Baixo Tabela 6 – Matriz de Risco – Controle de acesso à rede 4.00% Baixo 90.

00% Alto 0.00% Alto 0.11 5.00% Baixo 0.6 5.5 5.00% Baixo Item 5.00% Alto 0.9 5. Legenda % de atendimento a norma Importância do item (peso) Adequação na empresa 17799:2005 e normas interna 0 1 2 3 Pouco importante Importante Muito importante 1a4 5a7 8 a 10 Ausência de adequação Presença de adequação Adequação parcial Adequação total 0 a 39% 40% a 70% 71% a 100% Ruim Regular Bom Alto Médio Baixo Rísco . Política de segurança para servidores que disponibilizam serviços voltados para intranet Pontuação Importância Adequação % de do item do item na atendimento à (peso) empresa ideal obtida norma Risco Aspectos Existe política de segurança física nas gerências regional de suporte tecnológico? Existe um aviso no sistema operacional.00% Alto 40.4 2 2 2 10 0 0 20 20 20 20 0 0 100.7 5.13 2 2 2 2 2 0 0 0 4 4 22. informando que o servidor é acessado apenas por pessoas autorizadas? Existe política para configuração dos parâmetros de diretivas de conta? Existe política para configuração dos parâmetros de diretiva de auditoria? Existe política para configuração dos parâmetros de atribuições de direitos de usuário? Existe política para configuração dos parâmetros de opções de segurança? Existe implementação de criptografia para armazenar informações sigilosas? Existe implementação de uso de certificado de aplicação? Existe controle de instalação das atualizações de segurança disponibilizado pelo fornecedor do sistema operacional? Existe controle dos serviços essenciais que deverão está em execução nos servidores? Existe controle dos serviços que não deverão está em execução nos servidores? Existe um padrão de configuração do serviço Internet Information Services (IIS)? Como é efetuada a publicação dos sites nos servidores intranet? Situação parcial 3 10 30 30 100.00% Alto 5.00% Alto 40.2 5.00% Alto 0.00% Alto Tabela 8 – Legenda 6.96 Tabela 7 – Matriz de Risco – Política de segurança para servidores que disponibilizam serviços voltados para intranet 5.76% 20 20 20 20 20 0 0 0 8 8 0.00% Alto 5.8 3 2 3 2 0 0 0 0 30 20 30 20 0 0 0 0 0.3 5.10 5.00% Alto 0.00% Alto 0.12 5.1 5.

97 4.10.2 Resultado da avaliação de risco

Obteve-se, com a aplicação da matriz de risco, a identificação dos aspectos de controle de acesso de acordo com a ABNT 17799:2005 e seus respectivos riscos (alto ou médio ou baixo). Comentou-se os resultados dessa avaliação, com a numeração apresentada na matriz de risco, nos subitens que seguem.

4.10.2.1 Política de controle de acesso

Observou-se acerca da Política de controle de acesso, conforme demonstra a tabela 3, que os itens “consistência entre controle de acesso e políticas de classificação” e “segregação de regras de controle de acesso” apresentam parcial adequação à norma. Isto em virtude da inadequada aplicação da política normarizada pela empresa sob estudo (CEF). No que tange aos demais itens da referida política, notou-se a total adequação à norma.

4.10.2.2 Gerenciamento de acesso de usuário

A avaliação representada na tabela 4, referente ao Gerenciamento de acesso de usuário, resultou nas seguintes considerações: O item “bloqueio imediato de direitos de acesso de usuários que mudaram de cargos ou função, ou deixaram a organização” apresentou presença parcial de adequação à norma, pois, apesar de já existir uma política normatizada não é aplicada adequadamente. Os demais itens apresentaram adequação à norma.

4.10.2.3 Responsabilidades dos usuários No que tange à Responsabilidade dos usuários (tabela 5), o resultado obtido foi de que todos os itens analisados apresentaram adequação à norma. 4.10.2.4 Controle de acesso à rede No estudo do Controle de acesso à rede (tabela 6), notou-se que o item “a empresa concede acesso administrativos a usuários para suas estações de

98 trabalho” não apresentou adequação à norma, porque existem várias estações de trabalho que contém um ou mais usuários de rede como administradores locais da estação. Por outro lado, o item “a própria empresa gerencia o ambiente de rede ou terceiriza este serviço” apresentou presença parcial de adequação à norma, pois, apesar de ser a própria empresa que gerencia o ambiente de rede, existem terceirizados que também exercem esta atividade. Enfim, Os demais itens analisados no controle de acesso à rede apresentaram adequação total à norma.

4.10.2.5 Política de segurança para servidores que disponibilizam serviços voltados para intranet Do estudo desta última matriz (tabela 7) inferiu-se que os itens “existe política de segurança física nas gerências regional de suporte tecnológico” e “aviso no sistema operacional informando que o servidor é acessado apenas por pessoas autorizadas” apresentaram total adequação à norma. Ao passo que os demais itens não apresentaram adequação à norma.

4.11 Soluções e recomendações
Nesta etapa do trabalho destinou-se a propor soluções para os itens que apresentaram riscos classificados como alto e médio, ou seja, não indicaram adequação à norma ABNT 17799:2005 ou indicaram de modo parcial. São os itens referentes às tabelas 3, 4 e 6. Nos casos das tabelas 1, 2 e 5, que apresentaram riscos classificados como baixo, não serão apresentadas propostas de melhoria, em virtude do grau de adequação à norma ser satisfatório ou sua importância muito baixa.

4.11.1 Política de controle de acesso

Tendo em vista que já existe normativo interno para consistência entre controle de acesso e políticas de classificação da informação em diferentes sistemas

99 e redes, sugere-se a divulgação deste em toda empresa e o cumprimento do que foi definido. Há necessidade também de identificar as informações relacionadas às aplicações de negócios e os riscos a que estão expostas, classificando-os e disponibilizando-os corretamente em todos os segmentos da empresa.

4.11.2 Gerenciamento de acesso de usuário Há necessidade de implementar uma rotina de remoção ou bloqueio imediato de acesso de usuários que mudaram de cargo, função ou deixaram a organização.

4.11.3 Controle de acesso à rede Recomenda-se que o ambiente de rede seja gerenciado apenas por empregado da CEF e que seja implementada uma rotina para garantir o cumprimento da norma que regulamenta o acesso administrativo a usuários, em suas estações de trabalho.

4.12 Política de segurança para servidores que disponibilizam serviços voltados para intranet
Importa tratar de modo distinto, as propostas para a tabela 7. Elas são apresentadas em tópicos específicos de acordo com o conhecimento adquirido no decorrer do curso e referencial teórico exposto ao logo do projeto. Todos os subitens a seguir relacionados foram obtidos a partir das orientações emitidas pela Microsoft Corporation.

4.12.1 Configurações do Servidor

4.12.1.1 Requisitos de Hardware

Os hardwares que serão utilizados para instalação do sistema operacional Windows Server 2003 Web Edition deverão possuir os recursos mínimos descrito no item 4.7.4.

.100 4.Application: 131072.3 Serviço de Indexação Todos os diretórios contidos na partição de sistema no serviço de indexação (Indexing service) deverão ser apagados (figura 15).1.Security: 131072.12.2 Arquivos de log Os arquivos de logs deverão ser configurados com os seguintes parâmetros (figura 14): . FONTE: Windows Server 2003 Web Edition 4. overwrite as needed Figura 14 – Configuração do arquivo de log Security. overwrite as needed .System: 131072.12. overwrite as needed .1.

4.1 Senha Os parâmetros de conta local deverão ser configurados conforme tabela 9: Tabela 9 – Configurações de senha para conta Policy Enforce password history Maximum password age Minimum password age Minimum password length Passwords must meet complexity requirements Store password using reversible encryption for all users in the domain Account lockout duration Account lockout threshold Reset account lockout counter after Local Setting 24 passwords remembered 45 days 5 days 8 characters Enabled Disabled 60 minutes 5 invalid logon attempts 60 minutes .6 Política de segurança local 4.1.12.1.101 Figura 15 – Exclusão dos diretórios da partição sistema no serviço de indexação FONTE: Windows Server 2003 Web Edition 4. 4.12.12. Deve-se criar um novo usuário com o mesmo nome e descrição usando uma senha forte.6.4 Proteção de tela A proteção de tela deverá se configurado para no máximo 10 minutos e o desbloqueio deverá ser por meio de senha.5 Usuários administrator e guest Os usuários locais administrator e guest e suas descrições deverão ser renomeados.1.12.1.

Um exemplo de privilégio é o direito de desligar o computador. As atribuições de direitos do usuário deverão ser configuradas conforme tabela 11: Tabela 11 – Atribuições de direito do usuário Policy Access this computer from the network Local Setting Administrators Authenticated Users Backup Operators ASPNET IWAM_”Computername” IUSR_”Computername” Act as part of the operating system Add workstations to domain Adjust memory quotas for a process Allow log on locally Allow log on through Terminal Services Administrators LOCAL SERVICE NETWORK SERVICE IWAM_”Computername” Administrators Backup Operators IUSR_”Computername” Administrators .1. Failure Success. Failure Failure No auditing Success. Failure Failure Success.12. Ambos os tipos são atribuídos pelos administradores a usuários individuais ou a grupos como parte das configurações de segurança do computador. Failure 4.102 4.6.1.2 Auditoria Os parâmetros de auditoria deverão ser configurados conforme tabela 10: Tabela 10 – Configurações de auditoria Policy Audit account logon events Audit account management Audit directory service access Audit logon events Audit object access Audit policy change Audit privilege use Audit process tracking Audit system events Local Setting Success. Um exemplo de direito de logon é o direito de fazer logon em um computador interativamente.12.6. Failure Failure Success.3 Atribuições de direitos do usuário As atribuições de direitos do usuário (User Rights Assignment) concedem direitos ou privilégios de logon aos usuários ou grupos nos computadores de sua organização.

103 REMOVE Remote Desktop Users Administrators Backup Operators Server Operators Administrators Authenticated Users Backup Operators Users Administrators Administrators Back up files and directories Bypass traverse checking Change the system time Create a pagefile Create a token object Create permanent shared objects Debug programs Deny access to this computer from the network Deny log on as a batch job Deny log on as a service Deny log on locally Deny log on through Terminal Services Enable computer and user accounts to be trusted for delegation Force shutdown from a remote system Generate security audits Increase scheduling priority Load and unload device drivers Lock pages in memory Log on as a batch job Administrators SUPPORT_388945a0 SUPPORT_388945a0 Not Defined Administrators Administrators Server Operators LOCAL SERVICE NETWORK SERVICE Administrators Administrators Print Operators LOCAL SERVICE SUPPORT_388945a0 ASPNET IWAM_”Computername” IUSR_”Computername” IIS_WPG NETWORK SERVICE ASPNET Administrators Administrators Not Defined Administrators Administrators Administrators LOCAL SERVICE NETWORK SERVICE Administrators Backup Operators Server Operators Administrators Backup Operators Administrators Log on as a service Manage auditing and security log Modify firmware environment values Perform volume maintenance tasks Profile single process Profile system performance Remove computer from docking station Replace a process level token Restore files and directories Shut down the system Synchronize directory service data Take ownership of files or other objects .

5).12.12. Disabled Disabled Disabled Disabled Administrators Enabled Enabled Enabled Warn but allow installation Not defined Not defined Not defined Enabled Enabled Enabled Disabled 30 days .1.4 Opções de segurança As opções de segurança deverão ser configuradas conforme demonstra a tabela 12.104 4.1. Alterar para o novo usuário (subitem 4.1.6. Tabela 12 – Opções de segurança Policy Accounts: Administrator account status Accounts: Guest account status Accounts: Limit local account use of blank passwords to console logon only Accounts: Rename administrator account Accounts: Rename guest account Audit: Audit the access of global system objects Audit: Audit the use of Backup and Restore privilege Audit: Shut down the system immediately if unable to log security audits Devices: Allow undock without having to log on Devices: Allowed to format and eject removable media Devices: Prevent users from installing printer drivers Devices: Restrict CD-ROM access to locally logged-on user only Devices: Restrict floppy access to locally logged-on user only Devices: Unsigned driver installation behavior Domain controller: Allow server operators to schedule tasks Domain controller: LDAP server signing requirements Domain controller: Refuse machine account password changes Domain member: Digitally encrypt or sign secure channel data (always) Domain member: Digitally encrypt secure channel data (when possible) Domain member: Digitally sign secure channel data (when possible) Domain member: Disable machine account password changes Domain member: Maximum machine account password age Local Setting Enabled Disabled Enabled Alterar para o novo usuário (subitem 4.5).12. Nem todos os itens relacionados nesta tabela existem em todos os servidores uma vez que estão relacionados aos recursos instalados.

O uso sem autorização ou mau uso deste sistema computacional estará sujeito às penalidades previstas em normativos internos.105 Domain member: Require strong (Windows 2000 or later) session key Interactive logon: Do not display last user name Interactive logon: Do not require CTRL+ALT+DEL Interactive logon: Message text for users attempting to log on Disabled Enabled Disabled ATENÇÃO! Tendo acesso e usando este sistema você está sendo monitorado.NET passports for network authentication Network access: Let Everyone permissions apply to anonymous users Network access: Named pipes that can be accessed anonymously Network access: Remotely accessible registry paths 14 Days Disabled Disabled Lock Workstation Disabled Enabled Disabled 15 minutes Enabled Enabled Disabled Enabled Enabled Not Defined Disabled COMNAP. LOCATOR. EPMAPPER. Alerta de uso do servidor! 0 Interactive logon: Message title for users attempting to log on Interactive logon: Number of previous logons to cache (in case domain controller is not available) Interactive logon: Prompt user to change password before expiration Interactive logon: Require Domain Controller authentication to unlock workstation Interactive logon: Require smart card Interactive logon: Smart card removal behavior Microsoft network client: Digitally sign communications (always) Microsoft network client: Digitally sign communications (is server agrees) Microsoft network client: Send unencrypted password to their-party SMB servers Microsoft network server: Amount of idle time required before suspending session Microsoft network server: Digitally sign communications (always) Microsoft network server: Digitally sign communications (if client agrees) Microsoft network server: Disconnect clients when logon hours expire Network access: Allow anonymous SID/Name translation Network access: Do not allow anonymous enumeration of SAM accounts Network access: Do not allow anonymous enumeration of SAM accounts and shares Network access: Do not allow storage of credentials or . SPOOLSS. TrkWks. SQL\QUERY. COMNODE. TrkSvr System\CurrentControlSet\Control\ProductOptions .

106 System\CurrentControlSet\Control\Print\Printers System\CurrentControlSet\Control\Server Applications System\CurrentControlSet\Services\Eventlog Software\Microsoft\OLAP Server Software\Microsoft\Windows NT\CurrentVersion System\CurrentControlSet\Control\ContentIndex System\CurrentControlSet\Control\Terminal Server System\CurrentControlSet\Control\Terminal Server\UserConfig System\CurrentControlSet\Control\Terminal Server\DefaultUserConfiguration Software\Microsoft\Windows NT\CurrentVersion\Perflib System\CurrentControlSet\Services\SysmonLog Network access: Restrict anonymous to named pipes and shares Network access: Shares that can be accessed anonymously Network access: Sharing and security model for local accounts Network security: Do not store LAN Manager hash value on next password change Network security: Force logoff when logon hours expire Network security: LAN Manager authentication level Network security: LDAP client signing requirements Network security: Minimum session security for NTLM SSP based (including secure RCP) clients Network security: Minimum session security for NTLM SSP based (including secure RCP) servers Recovery console: Allow automatic administrative logon Recovery console: Allow floppy copy and access to all drives and folders Shutdown: Allow system to be shut down without having to log on Shutdown: Clear virtual memory pagefile System cryptography: Force strong key protection for user keys stored on the computer Enabled COMCFG. hashing. DFS$ Classic – local users authenticate as themselves Disabled Enabled Send LM & NTLM – useNTLMv2 session security if negotiated Not Defined No minimum No minimum Disabled Disabled Disabled Disabled Not defined System cryptography: Use FIPS compliant Disabled algorithms for encryption. and signing .

Desabilitar a função de roteador em todas as placas de rede.g. Chave: HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\ Nome: SynAttackProtect Tipo: REG_DWORD Valor: 2 . Chave: HKLM\System\CurrentControlSet\Services\CDRom Tipo: REG_DWORD Nome: Autorun Valor: 0 .7 Configurações de registro As seguintes chaves de registro deverão ser modificadas ou inseridas no servidor de informações.12. Symbolic Links) System settings: Optional subsystems System settings: Use Certificate Rules on Windows Executables for Software Restriction Policies Administrators group Enabled Enabled Clear out POSIX Not Defined 4. Q142641).Configuração de proteção contra ataques SYN maliciosos (boletim Microsoft nº. Chave: HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\ Nome: EnableICMPRedirect Tipo: REG_DWORD Valor: 0 .Desabilitar a auto-execução para CD-ROM. Chave: HKLM\System\CurrentControlSet\Services\Tcpip\Parameters Nome: DisableIPSourceRouting Tipo: REG_DWORD Valor: 2 .Configuração de proteção de gateway.107 System objects: Default owner for objects created by members of the administrators group System objects: Require case insensitivity for non-Windows subsystems System objects: Strengthen default permissions of internal system objects (e. .Desabilitar roteamento para IP de origem.Desabilitar redirecionamento do protocolo ICMP (boletim Microsoft Q225344).1. Chave: HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\ Interfaces\[InterfaceName] Nome: PerformRouterDiscovery Tipo: REG_DWORD Valor: 0 . Chave: HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\ Nome: EnableDeadGWDetect Tipo: REG_DWORD Valor: 0 .

Configurações de tempo de conexão para o protocolo TCP/IP. herdar permissões das chaves superiores.Configurações para unidade de transmissão máxima de caminho (Path Maximum Transmission Unit . Chave: HKLM\System\CurrentControlSet\Services\Tcpip\Parameters Nome: KeepAliveTime Tipo: REG_DWORD Valor: 300000 . system (full control).Permissão para os grupos administrators (full control).PMTU).1.12.8 Permissões de Registro As seguintes chaves de registro deverão ter suas permissões ajustadas conforme descrito a seguir e não deverão utilizar o recurso de herança de permissão. ou seja. Chave: HKLM\System\CurrentControlSet\Services\Tcpip\Parameters Nome: EnablePMTUDiscovery Tipo: REG_DWORD Valor: 0 Chave: HKLM\System\CurrentControlSet\Services\Tcpip\Parameters Nome: TcpMaxConnectResponseRetransmissions Tipo: REG_DWORD Valor: 2 Chave: HKLM\System\CurrentControlSet\Services\Tcpip\Parameters Nome: TcpMaxDataRetransmissions Tipo: REG_DWORD Valor: 3 Chave: HKLM\system\CurrentControlSet\Services\Tcpip\Parameters Nome: TCPMaxPortsExhausted Tipo: REG_DWORD Valor: 5 Chave: HKLM\Software\Microsoft\Windows\CurrentVersion\ Policies\Explorer Nome: NoDriveTypeAutoRun Tipo: REG_DWORD Valor: 0xFF 4. .108 .Desabilitar resolução de nome para solicitação externa. e Chave: HKLM\System\CurrentControlSet\Services\Tcpip\Parameters Nome: NoNameReleaseOnDemand Tipo: REG_DWORD Valor: 1 . creator owner (full control) e authenticated users (read) para as seguintes chaves: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AeDebug HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon .

exe cmd.exe diskcopy. append. .exe compact.exe driverquery.exe debug. apagados do servidor.12. .exe bootcfg. ainda.%systemroot%\repair e %systemroot%\system32\config .exe cluster.exe arp. Para ambiente que necessita de altíssima segurança esses utilitários de linha de comando deverão ser movidos de sua pasta padrão ou renomeados ou. system (full control) e authenticated users (read) para a seguinte chave: HKLM\SOFTWARE\Microsoft\Rpc 4.exe convert.exe chgport.exe diskcomp.exe cacls.ajustar permissões NTFS para administrators e system (full control).exe command.ini.10 Utilitários de linha de comando Os utilitários de linha de comando (tabela 13).C:\boot.exe attrib. Tabela 13 – Utilitários de linha de comando. Ajustar também permissão NTFS "no access" para os usuários IUSR e IWAM. C:\ntdetect.com dcpromo. 4.1.exe clip.exe dfscmd.exe change.exe .ajustar permissões NTFS para administrators e system (full control) e authenticated users (read e execute).com chkdsk.exe chglogon.C:\ e C:\program files .exe chkntfs.1.exe chcp. %systemroot%\system32\dllcache e %systemroot%\system32\logfiles . deverão ter suas permissões NTFS ajustadas para administrators (full control) e "no access" para os usuários IUSR e IWAM ou qualquer outro usuário de serviço local.com dsadd. normalmente disponibilizados em %systemroot%\system32.exe chgusr.12.109 .exe at.ajustar permissões NTFS para administrators e system (full control) e power users (read e execute).Access Control List (ACL) As seguintes pastas e arquivos deverão ter suas permissões ajustadas conforme descrito a seguir: .%systemroot%\security.com e C:\ntddr .com doskey. .9 Sistemas de arquivos .exe choice.exe dsquery.exe dsget.Permissão para os grupos administrators (full control).exe dsrm.exe cscript.exe cipher.exe dsmod.exe dsmove.exe diskpart.ajustar permissões NTFS para administrators e system (full control).

exe tlntsrv.exe iInuse.exe mode.exe print.exe whoami. .110 edlin.exe gpresult. .com net.exe rexec.exe waitfor.exe setpwd.exe tracert.exe where.exe winmsd.exe IIsCnfg.vbs logman.exe net1.exe tasklist.exe snmp.exe sc.exe mem. .exe gpupdate.12.exe netstat.exe os2.exe prnmngr.exe enevttriggers.exe typeperf.vbs ipconfig.Computer Browser.exe eventcreate.vbs iisweb.vbs rasdial.exe iisback.exe forfiles.Remote Desktop Help Session Manager.exe netsh.exe mountvol.exe posix.exe tftp.exe pathping.exe iisext.com tsecimp.vbs powercfg.vbs iisreset.exe logoff.exe replace.exe register.exe taskmgr.exe ftp.exe tskill.exe fsutil.exe ntsd.exe rsh.exe fc.exe prncnfg.exe ntdsutil.exe tsprof.exe runas.Special Administration Console Helper.exe reset.exe regedt32.exe finger.vbs prnport.exe nslookup.exe routemon.Background Intelligent Transfer Service.exe xcopy.exe tlntadmn.exe tsadmin.exe tscon.exe runonce.exe prnjobs.vbs query.Secondary Logon.exe tlntsess. .vbs find.exe setx.exe takeown.exe tracerpt.exe recover.exe tsshutdn.exe hostname.Net Meeting Remote Desktop Sharing.exe eventquery.exe freedisk.exe mmc.Automatic Updates.exe systeminfo.exe route.vbs IIsFtp.11 Serviços Os seguintes serviços deverão ser desativados: .exe ntbackup.exe makecab.vbs pubprn.exe wscript.exe tsdiscon. .exe subst.exe secedit. .DNS Server.Indexing Service.com getmac.exe prndrvr.exe gettype.exe more.exe telnet.exe format.exe snmptrap.exe regsvr32.exe findstr.exe exe2bin.exe ping.exe expand.exe shutdown.exe syskey.exe regini.exe pagefileconfig.exe schtasks.exe router.exe forcedos.vbs rcp.vbs IisFtpdr.com nbtstat.exe timeout. .exe 4.vbs rdpclip.exe tree.exe shadow.exe relog.exe reg. .exe usrmgr.1.exe label.exe share.vbs ipxroute.vbs prnqctl.exe iisapp.exe msg. .exe termsrv.exe taskkill.

1. em execução apenas os que forem pertinentes.Guia “sessions” .msc.o nível de encriptação deverá ser alterado para alto (figura 16).Wireless Configuration. levando em consideração os serviços desempenhados pelo servidor. .12. Figura 16 – Serviço de Terminal – Encryption level High FONTE: Windows Server 2003 Web Edition .12 Configurações do serviço de terminal Os seguintes itens de configuração do serviço de terminal (Terminal Service) deverão ser alterados com a execução do utilitário tscc. 4.Guia “general” . .111 .Themes. e .deverão ser efetuadas as alterações conforme demonstra a figura 17. Os demais serviços deverão ser analisados e permanecer ativados. porém.

112 Figura 17 – Serviço de Terminal – Configurações da guia sessions FONTE: Windows Server 2003 Web Edition . Figura 18 – Serviço de Terminal – Configuração da guia remote control FONTE: Windows Server 2003 Web Edition .Guia “remote control” . conforme demonstra a figura 18.deverá ser marcado o item “do not allow remote control”.

Guia “Permissions” – O grupo “remote desktop users” deverá ser excluído da lista de permissão (figura 20).Guia “client settings” – todas as caixas de verificação do subitem “disable the following” deverão ser desmarcadas conforme demonstra a figura 19. Figura 20 – Serviço de Terminal – Configuração da guia “Client Settings” FONTE: Windows Server 2003 Web Edition .113 . Figura 19 – Serviço de Terminal – Configuração da guia Client Settings FONTE: Windows Server 2003 Web Edition .

.0 4.2 Configurações do serviço de informações da intranet (IIS) 6.12.2.Desabilitar o uso de comando shell Chave: HKLM\System\CurrentControlSet\Services\W3SVC\Parameters Nome: SSIEnableCMDDirective Tipo: REG_DWORD Valor: 0 . Adicionar.114 Ainda na guia permissions. por meio do botão “add”.Ativar log de eventos para o protocolo SSL e Chave: HKLM\System\CurrentControlSet\Control\SecurityProviders \SChannel Nome: EventLogging Tipo: REG_DWORD Valor: 3 .1 Configurações de registro específico do IIS As seguintes chaves de registro deverão ser modificadas ou inseridas e são específicas para servidores que disponibilizam serviço de informação (IIS).12. Figura 21 – Serviço de Terminal – Configuração da guia “Client Settings” FONTE: Windows Server 2003 Web Edition 4. deve-se clicar no botão “advanced” e em seguida na guia “auditing”. o grupo “administrators” local e ativar as caixas de verificação. conforme demonstra a figura 21.

.3 Arquivo de log do IIS Os log dos sites deverão ser armazenados em partição exclusiva.SHTM ) Everyone (X) Administrators (Full Control) System (Full Control) Static ( .115 4. .ASP. “server name”. conforme tabela 14.) Everyone (X) Administrators (Full Control) System (Full Control) Include ( . .2. deverão ser ativados os itens: “service name”. configurados para captura diária no formato W3C Extended e.JPEG ) Everyone (R) Administrators (Full Control) System (Full Control) 4. etc.12.2. . . .GIF. de preferência em HD exclusivo e em pastas separadas segundo sua classificação. . .12. além das opções padrão. “cookie” e “referer”. etc. . Tipos de Arquivos Permissão NTFS CGI.HTML ) Everyone (R) Administrators (Full Control) System (Full Control) Images ( . conforme demonstra a figura 22. Tabela 14 – Classificação de arquivos do site.CMD.DLL.EXE. ( .JSP.SHTML.PL) Everyone (X) Administrators (Full Control) System (Full Control) Script (.2 Localização e permissão para arquivos Os arquivos dos sites deverão ser armazenados em partição diferente da partição do sistema operacional.INC.PHP.

. acesse as propriedades do site e clique na guia “home directory” e na seqüência no botão “configuration” Tabela 15 – Extensões mapeadas e que deverão ser removidas.idq Index Server 4. mapeadas no IIS.2. . .5 Extensão WebDAV .4 Extensões mapeadas e removidas As extensões de arquivos relacionadas na tabela 15 são.2.stm.htr Web-based password reset . Para tanto.12.shtml Server-side Includes . .12. FONTE: Windows Server 2003 Web Edition 4.ida. Descrição Extensão .printer Internet Printing . Estas extensões deverão ser removidas para evitar possíveis execuções de exploited.htw.116 Figura 22 – Configuração do arquivo de log do IIS. por padrão.shtm.idc Internet Database Connector .

pois existe uma falha na forma como ela processa um tipo específico de pedido mal formado. World Wide Web Distributed Authoring Versioning (WebDAV). sugere-se a autenticação integrada do Windows como método de acesso para as informações disponíveis ao público interno. Para desativar o WebDAV deve-se configurar a seguinte chave de registro: Chave: HKLM\System\CurrentControlSet\Services\W3SVC\Parameters Nome: DisableWebDAV Tipo: REG_DWORD Valor: 1 4. Tabela 16 – Método de autenticação de sites.2. .1 Autenticação do site O método de autenticação do serviço de informações da intranet deverá levar em conta os requisitos de segurança e classificação da informação estabelecida pela CEF.117 A extensão para o protocolo HTTP.NET Nível de segurança Nenhum Baixo Médio Médio Alto Alto Alto Como as senhas são enviadas? Texto não criptografado codificado na Base 64 Em hash Em hash Hash aplicado quando NTLM é usado. deverá ser desabilitada.2 Permissões NTFS Recomenda-se o uso do sistema de arquivos NTFS para o seu servidor de informações para intranet.6 Método de autenticação 4.2.12.12. poderão ser utilizados outros métodos de acesso conforme demonstra a tabela 16. 4.12. Método Autenticação anônima Autenticação básica Autenticação Digest Autenticação Digest avançada Autenticação integrada do Windows Autenticação de certificado Autenticação do Passport . Dependendo do grau de sigilo da informação. Criptografado FONTE: Windows Server 2003 Web Edition. Uma vez que a organização usa domínios (active directory.6.6. da Microsoft). Kerberos quando Kerberos é usado. que o acesso à rede só pode ser feito por meio de usuário e senha e que esta rede utiliza os protocolos NTLM e kerberos.2.

118 As permissões implementadas nas pastas e arquivos do servidor de informações para intranet deverão levar em conta os requisitos de segurança e classificação da informação estabelecida pela CEF. O IIS depende das permissões de NTFS para proteger arquivos e diretórios individuais contra o acesso não autorizado. Ao contrário das permissões de site, aplicáveis a todos os usuários. As permissões de NTFS permitem a definição precisa de quais usuários da rede poderão acessar seu conteúdo e de como será permitido a eles manipular esse conteúdo. Os níveis de permissão de NTFS são os seguintes: - Controle total: os usuários podem executar qualquer ação no arquivo, inclusive apropriar-se dele. É recomendável que se conceda esse nível de acesso somente a usuários administradores; - Modificar: os usuários podem exibir e modificar arquivos e as respectivas propriedades, inclusive excluir e adicionar arquivos a um diretório ou propriedades de arquivo a um arquivo. Os usuários não podem se apropriar ou alterar as permissões no arquivo; - Ler e executar: Os usuários podem executar arquivos executáveis, inclusive scripts; - Listar conteúdo de pastas: os usuários podem exibir uma lista dos conteúdos de uma pasta; - Ler: os usuários podem exibir arquivos e propriedades de arquivo; e - Gravar: os usuários podem gravar em uma pasta ou arquivo.

4.12.2.7 Criptografia Sugere-se o uso da criptografia em razão do seu alto poder de segurança às informações classificadas como sigilosas e que deverão ser disponibilizadas apenas a um grupo restrito ou um único usuário. Assim, deve-se criar uma pasta, atribuir permissões NTFS apenas ao(s) grupo(s) ou usuário(s) que deverão ter acesso e implementar as configurações adequadas nas propriedades desta pasta conforme demonstra a figura 23.

119
Figura 23 – Implementando criptografia de 128 bits no IIS.

FONTE: Windows Server 2003 Web Edition

4.12.2.8 Certificado digital de servidor Recomenda-se, ainda, a implementação do uso de certificado digital para acesso às informações sigilosas. Isso, em virtude de a CEF ser uma unidade certificadora e, como tal, pode emitir certificado de aplicação para instalação no servidor de informação para intranet.

4.12.2.9 Metabase do IIS 4.12.2.9.1 Backup da metabase - O backup dos arquivos de metabase deverá ser feito todas as vezes que houver modificações nas propriedades do IIS. 4.12.2.9.2 Segurança da metabase em nível de arquivo O IIS instala os arquivos da metabase com entradas de controle de acesso (ACEs) restritas, definidas para impedir que qualquer pessoa, exceto os administradores, veja os dados de configuração (tabela 17).

Tabela 17 - Arquivos da metabase, sua finalidade e as permissões definidas.

120
Arquivo Finalidade Lista de controle de acesso (ACL) NT AUTHORITY\SYSTEM : Controle total. BUILTIN\Administradores: Controle total. NT AUTHORITY\SYSTEM : Controle total. BUILTIN\Administradores: Controle total. NT AUTHORITY\SYSTEM : Controle total. BUILTIN\Administradores: Controle total. NT AUTHORITY\SYSTEM : Controle total. BUILTIN\Administradores: Controle total.

raiz_do_sistema\System32\In Armazena dados de configuração para serviços etsrv\MetaBase.xml do IIS.

raiz_do_sistema\System32\In Armazena o esquema para o arquivo de etsrv\MBSchema.xml configuração. O esquema determina quais propriedades do IIS podem ser definidas em certos nós da metabase. raiz_do_sistema\System32\In Armazena os arquivos de histórico da metabase etsrv\Histórico\Arquivo de criados automaticamente pelo IIS. histórico raiz_do_sistema\System32\In Armazena os arquivos de backup da metabase etsrv\MetaBack\Arquivo de criados por demanda utilizando o recurso de backup e restauração da configuração. backup

FONTE: Windows Server 2003 Web Edition

na medida em que esses estudos forem aplicados em proposta de trabalho. Isso acontece devido à falta de uma política de segurança da informação para os servidores que disponibilizam informações voltadas para intranet. espera-se dar continuidade aos estudos e pesquisas em segurança da informação aplicadas em servidores web. ampliando significativamente os conhecimentos relacionados à segurança da informação.121 5 CONCLUSÃO A organização abordada no projeto é uma empresa de grande porte. Como pretensão em trabalhos futuros. Verificouse a oportunidade de desenvolver este trabalho com base nas melhores práticas da ABNT NBR ISO/IEC 17799:2005. até então não existiam definições de ações a serem implementadas no segmento estudado. com efeito lida com dificuldade em manter uma gestão eficiente do controle de acesso lógico. possibilitando a apresentação das soluções e recomendações pertinentes. Os resultados apresentados por meio dos questionários foram comparados com uma matriz de risco. prérequisito de obtenção do título de Pós-graduação no curso de especialização em crimes e perícias eletrônica. . Por meio de visitas à empresa e aplicação de questionário. Tal anseio será levado a diante. objetivando contribuir em sua busca constate em governança de TI e que tenha grande importância de utilização para a empresa. verificou-se a necessidade de desenvolver uma política de segurança para os servidores web que disponibilizam informações voltadas pra intranet uma vez que. além de não possuírem tal política. com atenção especial em Windows Server 2003. verificando-se o grau de adequação com a norma ABNT NBR ISO/IEC 17799:2005. O desenvolvimento desta monografia permitiu colocar em prática os conhecimentos adquiridos ao longo do curso.

Segurança de Dados com Criptografia: Métodos e Algoritmos. Rio de Janeiro: Axcel Books do Brasil. Edison. Segurança da Informação: O usuário faz a diferença. 218 p. Júlio. 34 p.122 6 Referências Bibliográficas ALBUQUERQUE. FREITAS. Rio de Janeiro: Axcel Books do Brasil. 2005. Cláudia. 2006. 2002. Márcio Tadeu de. Daniel Balparda de. ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS. Vivendo a Segurança da Informação: Orientações práticas para pessoas e organizações. NBR ISO/IEC 27001 – Tecnologia da informação – Técnicas de Segurança – Sistema de Gestão de Segurança da Informação – Requisitos. BATTISTI. São Paulo: Sicurezza. NBR ISO/IEC 17799:2005 – Tecnologia da informação – Técnicas de Segurança – Código de prática para a gestão da segurança da informação.br>. 1523 p. Cartilha de Segurança para Internet. 216 p. São Paulo: Saraiva. Acesso em: 11 outubro 2006. . 2003. 2000. Rio de Janeiro: Book Express. Ricardo. São Paulo: Campus.cert. 2001. 2000. FONTES. Política de Segurança da Informação. Segurança e Auditoria da Tecnologia da Informação. Núcleo de Informação e Coordenação do Ponto br. RESPOSTA E TRATAMENTO DE INCIDENTES DE SEGURANÇA NO BRASIL. Rio de Janeiro. FERREIRA. 2006. Rio de Janeiro. Disponível em <http://cartilha. RIBEIRO. 2006. 177 p. 213 p. Fernando Nicolau Freitas. 2006. ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS. DIAS. CENTRO DE ESTUDOS. 208 p. Perícia Forense: Aplicada à Informática. Bruno. 109 p. 172 p. Rio de Janeiro: Ciência Moderna. Rio de Janeiro: Brasport. Segurança no Desenvolvimento de Software. Andrey Rodrigues de. CARVALHO. Windows Server 2003: Curso Completo. 310 p. 17:22:20. ______. ARAÚJO.

SCAMBRAY. Arquitetura de Sistemas Operacionais. MICROSOFT CORPORATION. Mark. Public Key Infrastructure: PKI.l. MÓDULO. Segurança Contra Hackers: Aplicações Web. Lino Sarlo da. 1 CD-ROM. 2003.123 MACHADO. 311 p. Academia Latino Americana de Segurança da Informação: Programa educacional que tem por objetivo a formação de líderes em Segurança da Informação. São Paulo: Makron Books. MINASI. São Paulo: Novatec. 2005. Ajuda do Windows Server 2003. 2003. São Paulo: Futura. Rio de Janeiro: LTC.ed. 392 p.: Microsoft TechNet. Windows Server 2003: A Bíblia. SILVA. . MAIA. 2004. 1375 p. Luiz Paulo. SHEMA. 2004. Joel. 3. Francis Berenger. 2003. MICROSOFT. Mike. S. 347 p.

Protocolo bastante rápido e versátil para transferência de arquivos.Lista que define quem tem permissão de acesso a certos serviços. letras. NCSA . ASCII . Cracker .Aparelho que interliga diversas máquinas (computadores) que pode ligar externamente redes TAN. . pontuação e outros caracteres.Conjunto de códigos para o computador representar números.Parte física do computador Hash . MAN e WAN. FTP .Indivíduo que elabora e modifica software e hardware de computadores.Quem quebra um sistema de segurança. é a "memória permanente" propriamente dita. Link . IIS – Serviço web criado pela Microsoft para seus sistemas operacionais para servidores de informações. Medida de desempenho em informática. Hub . Hard Disk . ou seja.Referência num documento em hipertexto a outro documento ou a outro recurso.Seqüência de letras ou números gerados por um algoritmo de dispersão.Protocolo de transporte de rede que permite comunicações individuais seguras e identificadas. de forma ilegal ou sem ética. Hardware .Organismo dos Estados Unidos da América relacionado com a investigação no campo da informática e telecomunicações.Parte do computador onde são armazenadas as informações.Dispositivo de uma rede de computadores que tem por função regular o tráfego de rede entre redes distintas e impedir a transmissão e/ou recepção de dados nocivos ou não autorizados de uma rede a outra. Hacker . LAN. MIPS . seja adaptando as antigas. Dial-Up . IBM . Kerberos . Firewall . seja desenvolvendo funcionalidades novas.Empresa americana de informática.(Milhões de instruções por segundo).Acesso à Internet no qual uma pessoa usa um modem e uma linha telefônica para se ligar a um nó de uma rede de computadores do ISP. em uma rede insegura.124 Glossário ACL .

com redes sem fio e autenticação. Desenvolvido inicialmente para servidores. Storage .125 Netscape .Endereço de um recurso disponível em uma rede. Verisign . Pendrive .A Netscape Network é a empresa que produz o Netscape Navigator. NTFS . tal como a de sistema operacional multi-utilizador. que permitem ao Windows implementar uma série de noções originadas no UNIX. na manipulação.O NTFS (New Technology File System) é o sistema de arquivos utilizado em todas as versões do Windows NT desde o 3.Dispositivo utilizado em redes de computadores para reencaminhar quadros entre os diversos nós.Protocolo criptográfico que provem comunicação segura na Internet para serviços como e-mail (SMTP).Seqüência de instruções a serem seguidas e/ou executadas.Rede projetada para agrupar dispositivos de armazenamentos de computador. Um Programa de computador SSL . redirecionamento ou modificação de um dado/informação ou acontecimento. São diferenciadas de outras formas de armazenamento em rede pelo método de acesso em baixo nível que eles apresentam. . URL .Dispositivo de armazenamento constituído por uma memória flash que tem uma ligação USB tipo A permitindo a sua conexão a uma porta USB de um computador. Atua na certificação digital web. o NTFS possui características importantes. navegação por páginas (HTTP) e outros tipos de transferência de dados. W3C . atualmente com cerca de 500 membros.1. Software . navegador web muito conhecido no mundo da informática. Switch .Empresa que atua na área de segurança de redes.Consórcio de empresas de tecnologia. internet e telecomunicações.

9.1. É mantido um registro formal de todas as pessoas registradas para usar o serviço? 2. 1. Gerenciamento de acesso de usuário.8.7. Existe segregação de regras de controle de acesso? 1. Foram definidos requisitos para autorização formal de pedidos de acesso? 1. 2. 1. ou deixaram a organização? entretanto não é imediato. Há consistência entre controle de acesso e políticas de classificação da informação em diferentes sistemas e redes? 1.2. É realizada análise crítica períodica de controles de acesso? 2. Existe identificador de usuário (ID de usuário) compartilhado por dois ou mais usuários? 2. Ao se conceder um nível de acesso é analisado se este nível de acesso é apropriado às atribuições diárias do usuário? 2. Há identificação de todas as informações relacionadas às aplicações de negócio e os riscos a que as informações estão expostas? 1. Existe análise periódica para remover ou bloquear identificadores (ID) e contas de usuários redundantes? 2. Existe uma política de controle de ambiente de computação? 1.4.126 Anexo A Questionário respondido por um Consultor da CEF. 2. Política de Controle de acesso. Existe o fornecimento de um identificador (ID) para mais de um usuário? .3. Existe identificador de usuário (ID de usuário) único para assegurar a responsabilidade de casa usuário? 2.4. É requerida dos usuários a assinatura de uma declaração indicando que eles entendem as condições de acesso? 2.7.6. Os usuários recebem uma declaração por escrito dos seus direitos de acesso? 2. Existe bloqueio imediato de direitos de acesso de usuários que mudaram de cargos ou funções.3. Existe administração de direitos de acesso? 1.5.1.5.2.6.

4. Existe uma política de segurança física nas gerências regional de suporte tecnológico? 5.4. Existe firewalls ou outros controles de acesso de nível de rede nas fronteiras da rede para proteger os recursos corporativos? 4. Existe uma política para configuração dos parâmetros de diretiva de auditoria? . Os usuários são informados sobre a política de senha da empresa? 3.3.7. Existe uma política de uso dos serviços de redes? 4. Responsabilidades dos usuários 3. As senhas padrão são alteradas no primeiro logon do usuário? 3.2. 5. Política de segurança para servidores que disponibilizam serviços voltados para intranet.8. São usadas contas de logon separadas para atividade normal versus atividades administrativas de gerenciamento? 4. Qual é o procedimento adotado para alteração de senha e qual é a periodicidade? (ciclo de vida de senha.5. Existe hardware ou software de detecção de intrusões para identificar ataques? 5. para manter a confidencialidade de sua senha pessoal e das senhas de grupos de trabalhos? 3.1.3. Controle de acesso à rede 4.2. Existe um aviso no sistema operacional.6. informando que o servidor é acessado apenas por pessoas autorizadas? 5.1.1.2. Existem controles para impor o cumprimento das políticas de senha nos diversos tipos de contas? 4.7. Existe uma política para configuração dos parâmetros de diretivas de conta? 5. Os usuários assinam uma declaração.4. Existe uma política de senha na empresa? 3.127 3.6. A própria empresa gerencia o ambiente de rede ou terceiriza este serviço? 4.3. reutilização e tamanho)? 3. De que forma são armazenadas as senhas dos usuários? 3.5. A empresa concede acesso administrativo a usuários para suas estações de trabalho? 4. Existem serviços abertos à internet na rede interna da empresa? Como é controlado o acesso destes serviços? 4. Usuários externos acessam a rede? Qual é a forma de autenticação? 4.

Existe controle dos serviços essenciais que deverão está em execução nos servidores? 5.6. Há consistência entre controle de acesso e políticas de classificação da informação em diferentes sistemas e redes? 1.7. Existe administração de direitos de acesso? 1. Existe controle dos serviços que não deverão está em execução nos servidores? . Existe uma política para configuração dos parâmetros de atribuições de direitos de usuário? 5.128 5.6. Existe uma política para configuração dos parâmetros de opções de segurança? 5.4.12. Existe uma política de controle de ambiente de computação? 1.1.5.3. Como é efetuada a publicação dos sites nos servidores intranet? Questionário respondido por um Analista da CEF.2.3.13.10. Existe implementação de uso de certificado de aplicação? 5. Existe identificador de usuário (ID de usuário) compartilhado por dois ou mais usuários? 2.9. Política de Controle de acesso. É realizada análise crítica períodica de controles de acesso? 2. 1. Existe implementação de criptografia para armazenar informações sigilosas? 5.1.2.11.5. Foram definidos requisitos para autorização formal de pedidos de acesso? 1. 1.8. Gerenciamento de acesso de usuário. 2. Ao se conceder um nível de acesso é analisado se este nível de acesso é apropriado às atribuições diárias do usuário? . Existe controle de instalação das atualizações de segurança disponibilizado pelo fornecedor do sistema operacional? 5.7. Existe identificador de usuário (ID de usuário) único para assegurar a responsabilidade de casa usuário? 2. Existe segregação de regras de controle de acesso? 1. Há identificação de todas as informações relacionadas às aplicações de negócio e os riscos a que as informações estão expostas? 1. Existe um padrão de configuração do serviço Internet Information Services (IIS)? 5.

Existe uma política de uso dos serviços de redes? 4. Controle de acesso à rede 4. Qual é o procedimento adotado para alteração de senha e qual é a periodicidade? (ciclo de vida de senha. É requerida dos usuários a assinatura de uma declaração indicando que eles entendem as condições de acesso? 2.6. Existem controles para impor o cumprimento das políticas de senha nos diversos tipos de contas? 4.2. As senhas padrão são alteradas no primeiro logon do usuário? 3.7. A empresa concede acesso administrativo a usuários para suas estações de trabalho? 4.4.3. para manter a confidencialidade de sua senha pessoal e das senhas de grupos de trabalhos? 3.9.5. A própria empresa gerencia o ambiente de rede ou terceiriza este serviço? 4.129 2.3. Existe análise periódica para remover ou bloquear identificadores (ID) e contas de usuários redundantes? 2.5. Os usuários são informados sobre a política de senha da empresa? 3. Existe uma política de senha na empresa? 3. De que forma são armazenadas as senhas dos usuários? 3.4. Existe o fornecimento de um identificador (ID) para mais de um usuário? 3.1.1.5. ou deixaram a organização? 2. Existe firewalls ou outros controles de acesso de nível de rede nas fronteiras da rede para proteger os recursos corporativos? . São usadas contas de logon separadas para atividade normal versus atividades administrativas de gerenciamento? 4. Responsabilidades dos usuários 3.6.8.4. Usuários externos acessam a rede? Qual é a forma de autenticação? 4. reutilização e tamanho)? 3. Os usuários recebem uma declaração por escrito dos seus direitos de acesso? 2.6.7. Os usuários assinam uma declaração. Existe bloqueio imediato de direitos de acesso de usuários que mudaram de cargos ou funções.2. É mantido um registro formal de todas as pessoas registradas para usar o serviço? 2.

Existe hardware ou software de detecção de intrusões para identificar ataques? 5.3. Política de segurança para servidores que disponibilizam serviços voltados para intranet. Existe controle de instalação das atualizações de segurança disponibilizado pelo fornecedor do sistema operacional? 5. Existe uma política para configuração dos parâmetros de atribuições de direitos de usuário? 5. Existe uma política de segurança física nas gerências regional de suporte tecnológico? 5. Existe implementação de criptografia para armazenar informações sigilosas? 5.8. Existe implementação de uso de certificado de aplicação? 5.7. Existe uma política para configuração dos parâmetros de diretiva de auditoria? 5. Existe um padrão de configuração do serviço Internet Information Services (IIS)? 5. informando que o servidor é acessado apenas por pessoas autorizadas? 5. Existem serviços abertos à internet na rede interna da empresa? Como é controlado o acesso destes serviços? 4.5. Existe uma política para configuração dos parâmetros de diretivas de conta? 5. Existe um aviso no sistema operacional.13.130 4.12. Existe uma política para configuração dos parâmetros de opções de segurança? 5. Existe controle dos serviços que não deverão estar em execução nos servidores? 5.7.6. Existe controle dos serviços essenciais que deverão estar em execução nos servidores? 5. Como é efetuada a publicação dos sites nos servidores intranet? .10.9.11.1.4. 5.8.2.

Sign up to vote on this title
UsefulNot useful