Disciplina: Segurana e Auditoria da Informao - 8 perodo Professor: J os Maurcio S. Pinheiro
AULA 2: Segurana Fsica e Segurana Lgica
Segurana Fsica e Lgica em Redes de Comunicao
"A estratgia vencedora de negcios consiste em operaes focadas no mercado, e suportadas por uma TI/SI - Tecnologias e Sistemas de Informao que funcione com a mxima eficincia. Uma rede de comunicao bem planejada e implementada garante a empresa que seus Sistemas de Informao estaro muito mais tempo em funcionamento, evitando perdas de produtividade e lucratividade. Portanto, aspectos de seguranas fsica e lgica devem ser observados e constantemente avaliados, para suportar os negcios da empresa. A implementao de segurana em redes de computadores deve ocorrer sob dois aspectos:
Segurana Fsica. Segurana Lgica.
Segurana Fsica
A segurana fsica o primeiro aspecto que deve ser considerado no que se refere proteo do hardware de redes de computadores, tendo em vista a proteo de dados e informaes. O nvel de segurana fsica depender: Do tamanho da empresa; Da importncia dos dados; Dos recursos disponveis para implementao da segurana.
A segurana fsica dever contemplar:
Acesso s instalaes da empresa: Controle de veculos e pessoas; Controle de pessoas na rea de Informtica, com registros de acessos, escritos ou em fitas; Utilizao de equipamentos e Tecnologias de segurana de acesso a reas restritas.
Sistemas eltricos: Sistema de aterramento eficiente; Rede eltrica estabilizada e especfica para equipamentos crticos de informtica; Utilizao de equipamentos do tipo "No-Break" ou UPS; OUTROSTRABALHOSEM: www.projetoderedes.com.br
2 Cabeamento eltrico separado do cabeamento de redes de computadores e telefonia; Utilizao de protetores contra surtos eltricos e rudos.
Sistemas contra incndios: Cofres e salas especiais para armazenar arquivos e equipamentos crticos de informtica; Identificao e manuteno dos equipamentos contra incndio; Sinalizao para localizao dos equipamentos contra incndio; Equipe treinada para situaes de emergncia.
Proteo dos cabos de rede: Utilizar cabeamento e conectores segundo padro de boa qualidade; Utilizar protetores adequados para linhas de transmisso de dados e de telefonia; Utilizar cabeamento estruturado; Identificar os cabos crticos, principalmente backbones de fibras pticas.
Proteo de servidores e redes: Instalao de Servidores em salas apropriadas, longe de condies climticas e ambientais que possam danific-las e com restrio de acessos; Instalao de Firewall (Hardware) nos pontos de conexo externa da rede.
Segurana Lgica
A segurana lgica um conjunto de meios e procedimentos para preservar integridade e controle de acesso s informaes e recursos contidos nos servidores e computadores centrais, sejam os mesmos armazenados em fitas ou discos, de forma que no sejam manipulados por pessoas no autorizadas. A segurana lgica dever contemplar:
Acesso aos recursos: Compartilhamento protegido por Senhas; Controle das permisses de acesso a nvel individual e de grupo, atravs de Contas e Senhas; Certificao Digital. Firewall (Software) Proxy Server.
Acesso aos arquivos: Implementao e manuteno de software Antivrus; Criptografia; Assinaturas digitais;
3 Controle de permisses em nvel de informao; SGBD de boa qualidade.
Proteo dos dados: Rotinas de BACKUP / RESTORE eficientes, com log das atividades do backup; Utilizao modernas mdias de armazenamento (DAT, DDS, Mdias pticas, etc.); Renovar constantemente as mdias de Backup; Manter as mdias onde esto os Backups fora da rea de Informtica e, preferencialmente mant-las em cofre contra incndios; Contratao Servios Storage remoto (Backup atravs de VPN); Sistema de tolerncia falha.
Esses sistemas protegem os dados, duplicando-os e colocando-os em diferentes fontes fsicas, tais como: diferentes parties ou discos. Ambientes com Sistemas tolerantes a falha nunca devem substituir um bom sistema de Backup.
Sistemas de Proteo e Preveno de Intruso
A segurana deve ser uma preocupao bsica ao se elaborar o projeto de uma rede de computadores. Normalmente a segurana inversamente proporcional simplicidade e facilidade de uso / configurao da rede. Por exemplo, um servidor da rede pode centralizar diversos servios para atender a rede externa (Internet) e a rede privada (interna). Esta configurao gera problemas de segurana como:
Exposio da rede interna Internet - Os servios da rede interna (e- mail, por exemplo) estando localizados na mesma mquina que prov os servios externos (web, por exemplo), deixaro os dados do usurio expostos em caso de uma invaso; Maior fragilidade a vulnerabilidades - O fato de concentrar muitos servios em uma nica mquina gera esse tipo de problema, pois quanto mais servios disponveis, mais vulnerabilidades podem ser exploradas e, conseqentemente, existe um maior grau de exposio e risco de invaso;
Opo pelo firewall
O Firewall opera nas camadas de transporte e de rede do modelo TCP/IP, tendo como principal finalidade a filtragem de pacotes. Ele analisa todos os pacotes que entram ou saem de todas as interfaces de rede a ele conectadas, ou seja, tanto pacotes destinados diretamente ao Firewall, quanto destinados a qualquer host conectado a ele por meio de alguma de suas interfaces de rede. Sua principal funo tambm bloquear todas as portas quem no estejam sendo utilizadas.
4 Um firewall uma passagem (gateway) que restringe e controla o fluxo do trfego de dados entre redes, mais comumente entre uma rede interna e a Internet. O firewall pode tambm estabelecer passagens seguras entre redes internas. Implantar um firewall, com regras rgidas de segurana e que no permita que as mquinas da rede sejam acessadas por mquinas remotas uma grande conquista em termos de segurana. Por vezes, algumas mquinas da rede precisam receber acessos externos, o caso de servidores SMTP e servidores Web, por exemplo. Para permitir que estas mquinas possam desempenhar suas funes, mas que ao mesmo tempo o restante da rede continue protegida, muitos firewalls oferecem a opo de criar uma zona onde essa vigilncia mais fraca conhecida como DMZ. Nesse caso, o controle de acesso a Internet pode ser feito atravs de um projeto de DMZ permitindo que todo o trfego entre os servidores da empresa, a rede interna e a Internet passe por um firewall e pelas regras de segurana criadas para a proteo da rede interna. Assim, o firewall se torna um nico ponto de acesso rede em que o trfego poder ser analisado e controlado por meio de scripts no firewall que definem o aplicativo, o endereo e os parmetros de usurio. Esses scripts ajudam a proteger os caminhos de conectividade para redes e centros de dados externos.
Figura 1 - Rede com firewall e DMZ
Rede de Permetro
O termo rede de permetro refere-se a um segmento de rede isolado no ponto em que uma rede corporativa alcana a Internet. As redes de permetro destinam-se a criar um limite que permite a separao do trfego entre redes internas e externas. Com este limite, possvel categorizar, colocar em quarentena e controlar o trfego da rede de uma empresa. A segurana de permetro proporcionada por um dispositivo de permetro, como um firewall, por exemplo, que inspeciona os pacotes e as sesses para determinar se devem ser transmitidos para a rede protegida ou a partir dela ou ser abandonados. Os servios e servidores que devem interagir com a Internet externa desprotegida so colocados na rede de permetro (conhecida como zona
5 desmilitarizada) e na sub-rede filtrada. Isto ocorre para que, caso invasores consigam explorar vulnerabilidades em servios expostos, possam avanar apenas uma etapa no acesso rede interna confivel.
Figura 2 - Rede de permetro
Zona Desmilitarizada DMZ
Uma DMZ ou ainda Zona Neutra corresponde ao segmento ou segmentos de rede, parcialmente protegido, que se localiza entre redes protegidas e redes desprotegidas e que contm todos os servios e informaes para clientes ou pblicos. A DMZ pode tambm incluir regras de acesso especfico e sistemas de defesa de permetro para que simule uma rede protegida e induzindo os possveis invasores para armadilhas virtuais de modo a se tentar localizar a origem do ataque. Podemos ter dois tipos de DMZs: a interna, s acessada pelo usurio da rede interna e a DMZ externa, acessada por qualquer usurio da Internet. Este conceito aliado ao de VLANs tambm permite a implantao de DMZs privadas, ou seja, a possibilidade de DMZs especficas para cada cliente de hosting ou para a hospedagem de servidores. As DMZs so subredes onde se hospedam os servidores/servios de um provedor, protegidos contra ataques da Internet por um firewall. Em geral necessrio especificar uma faixa de endereos IP, ou informar diretamente os endereos das mquinas que devem ser includas nessa zona.
Implantao da DMZ
O projeto lgico de uma rede que visa conexes com a Internet deve envolver a criao de uma DMZ. Esta DMZ ser protegida por um sistema de defesa de permetro, onde os usurios de Internet podem entrar livremente para acessar os servidores web pblicos, enquanto que os dispositivos localizados nos pontos de acesso (firewall, switch e servidor de permetro) filtram todo o trafego no permitido, como por exemplo, pacotes de dados que tentam prejudicar o
6 funcionamento do sistema. Ao mesmo tempo a rede interna privada esta protegida por outro firewall. A zona desmilitarizada comporta-se como uma outra sub-rede, atrs de um firewall, onde temos uma mquina segura na rede externa que no executa nenhum servio, mas apenas avalia as requisies feitas a ela e encaminha cada servio para a mquina destino na rede interna. No caso de uma invaso de primeiro nvel, o atacante ter acesso apenas ao firewall, no causando problema algum para a rede da empresa. J em invases de segundo nvel, o atacante conseguir passar do firewall para a sub-rede interna, mas ficar preso na mquina do servio que ele explorar. Em todos os casos, devem-se analisar com cuidado quais servios podem ser colocados dentro da DMZ. Por exemplo, na maioria das situaes, o servidor de e-mail inserido na DMZ. Nesse caso, em uma invaso ao servidor de e- mail, os nicos dados que podero ser comprometidos so os e-mails e mais nenhum outro. J a colocao de um servidor de DNS em uma DMZ no recomendvel para a segurana da rede. Como uma DMZ permite acesso menos seguro para alguns segmentos da rede, a colocao desse servidor nesta situao poderia comprometer a segurana dos endereos de todos os servidores da rede local e roteadores. Convm salientar que durante a elaborao do projeto da rede, recomendvel se manter os servios separados uns dos outros. Assim, ser possvel adotar as medidas de segurana mais adequadas para cada servio.
Figura 3 - Exemplo de rede com DMZ
IDS (Intrusion Detection System)
Uma infra-estrutura de segurana de rede mais simples consiste em um firewall implementado no permetro. Isso funciona bem quando h uma interao limitada entre as redes externas e internas, quando os usurios internos so confiveis e quando o valor das informaes na rede limitado. Entretanto, os
7 aplicativos na rede e a interao entre redes aumentaram significativamente, o nvel de confiana nos usurios internos diminuiu consideravelmente e o acesso vem se estendendo a um pblico maior, incluindo parceiros e funcionrios temporrios. Os agressores e suas ferramentas esto muito mais sofisticados. E, o mais perigoso, as informaes disponveis em rede se tornaram ainda mais cruciais para a execuo de negcios. Recentemente, vrias empresas passaram a aumentar suas infra-estruturas de segurana para acomodar essas mudanas. Atravs de sistemas de deteco de vrus, verificadores de vulnerabilidades, codificao e sistemas de deteco de intruses (IDS), as empresas vm se esforando para detectar e prevenir ameaas segurana de suas redes. Todas essas tecnologias apresentam complexidades e dificuldades, mas principalmente os sistemas de deteco de intruses enfrentam desafios complexos. Considerado freqentemente como uma das principais linhas de defesa contra agressores, a deteco de intruses se tornou rapidamente um componente crucial de um bom sistema de defesa. Eles so desenvolvidos baseando-se nos tipos conhecidos de ataques e tambm verificando alteraes de comportamento do trfego da rede. Sempre que detectada alguma alterao no comportamento do trfego ou identificando algum tipo de ataque, ele pode enviar algum tipo de alerta aos administradores da rede, contra-atacar ou simplesmente se defender baseado em alguma configurao pr-definida.
Deteco de Anomalias na Rede
Uma anomalia definida como algo diferente, anormal, peculiar ou que no seja facilmente classificado. Apesar desse conceito se aplicar a praticamente tudo, estamos interessados em como se aplica segurana de computadores. Neste contexto, uma anomalia pode ser definida como aes ou dados que no sejam considerados normais por um determinado sistema, usurio ou rede. Essa definio abrange ainda uma grande variedade de itens e pode incluir tpicos como padres de trfego, atividades dos usurios e comportamento de aplicativos. Acredita-se que pelo menos uma significativa poro das ameaas ou condies que causem alarme deve manifestar-se como anomalias, sendo assim detectveis. A maioria dos sistemas de deteco de anomalias que se concentram em segurana normalmente se enquadra em trs categorias gerais: comportamental, padro de trfego ou protocolo. Os sistemas que procuram por anomalias em padres de comportamentos (normalmente o comportamento de usurios) so considerados sistemas de anomalias comportamentais. Esses sistemas so normalmente de caractersticas, porm eles podem abranger tambm alguns critrios de estatsticas, como os tipos de aplicativos e protocolos usados em vrias horas do dia, a relao entre a origem e o destino das atividades da rede ou at mesmo os tipos de anexos de e-mail que so enviados atravs de um sistema. Os sistemas que procuram por anomalias em padres de trfego da rede so considerados sistemas de anomalias no padro de trfego. Esses normalmente so de natureza estatstica, apesar de inclurem algumas caractersticas como volume de trfego, mistura de protocolos e vrias distribuies na origem e no
8 destino. Para ilustrar, considere algum gerenciamento de rede ou sistemas simples de monitorao de negao de servios, que possuem a vantagem de operar em um domnio muito maior e variado, e que podem ser criados a partir de um nmero de bons modelos de estatsticas. Porm, a desvantagem que esses sistemas freqentemente no so capazes de detectar a maioria das anomalias qualitativas ou quantitativas sutis. Eles apresentam tambm algumas dificuldades na definio de uma base confivel para o desempenho da anlise de estatsticas. Os sistemas que procuram por anomalias em protocolos so considerados sistemas de anomalias de protocolos. Normalmente sistemas de caractersticas, esses tendem a variar um pouco de acordo com a implementao, mas os mais eficientes so freqentemente implementados como sistemas de modelo rgido. Esse tipo de sistema tira proveito do fato de que os protocolos sozinhos so geralmente muito restritos. Eles tendem a limitar muito a natureza e ordem das transaes e so geralmente muito bem descritos por alguma implementao ou documento de referncia. Sendo assim, possvel construir um modelo bastante rgido do que deve ocorrer e qualquer divergncia desse modelo pode ser facilmente observada. Outra vantagem desse sistema que ele pode detectar uma grande variedade de anomalias dentro do espao do protocolo, e pode ser construdo com muita eficincia. A desvantagem, porm, que pode ser difcil de estimar o efeito da anomalia observada de forma acurada, e que alguns tipos de transaes de protocolo problemticas (como ataques, por exemplo) no se manifestam como anomalias.
Segurana Integrada
Esse mtodo de segurana combina vrias tecnologias de segurana com compatibilidade de poltica, gerenciamento, servio e suporte, e pesquisa avanada para a proteo completa. Atravs da combinao de vrias funes, a segurana integrada pode proteger com mais eficincia contra uma variedade de ameaas em cada nvel para minimizar os efeitos dos ataques de rede. As tecnologias de segurana principais que podem ser integradas incluem:
Firewall - Controla todo o trfego de rede atravs da verificao das informaes que entram e saem da rede (ou parte dela) para ajudar a garantir que nenhum acesso no autorizado ocorra; Deteco de Intruso - Detecta o acesso no autorizado e fornece diferentes alertas e relatrios que podem ser analisados para polticas e planejamento da segurana; Filtragem de Contedo - Identifica e elimina o trfego no desejado de informao; Redes Privadas Virtuais (VPN) - Assegura as conexes alm do permetro, permitindo que organizaes se comuniquem com segurana com outras redes atravs da Internet;
9 Gerenciamento de Vulnerabilidade - Permite a avaliao da posio de segurana da rede descobrindo falhas de segurana e sugerindo melhorias; Proteo com Programas Antivrus - Protege contra vrus, worms, Cavalos de Tria e outras pragas virtuais.
Individualmente, essas tecnologias de segurana podem ser incmodas para instalar e geralmente so difceis e caras de gerenciar e atualizar. Entretanto, quando integradas em uma soluo nica, elas oferecem uma proteo mais completa enquanto a complexidade e o custo so reduzidos.