SEGURANÇA E AUDITORIA DE SISTEMAS

SEGURANÇA E AUDITORIA DE SISTEMAS
Autarquia Educacional do Vale do São Francisco – AEVSF Faculdade de Ciências Sociais e Aplicadas de Petrolina – FACAPE Curso de Ciências da Computação SEGURANÇA E AUDITORIA DE SISTEMAS “Segurança de Informações” Controle de Acesso Cynara Carvalho

Segurança de Informações Arquivos ou Equipamentos
Controles de Acesso Lógico Os dispositivos e sistemas computacionais não podem ser facilmente controlados com dispositivos físicos como alarmes, guardas, etc... Acesso lógico: Arquivos ou Equipamentos Usuário ou Processo Controles de acesso lógico são um conjunto de medidas e procedimentos, adotados pela organização ou intrínsecos aos softwares utilizados, para proteger dados e sistemas contra tentativas de acesso não autorizadas. O usuário é peça importante nesse controle (senhas fracas ou compartilhadas, descuidos na proteção de informações, etc...)

Segurança de Informações
Recursos e informações a serem protegidos Aplicativos – Programas fonte e objeto. O acesso não autorizado pode alteraras funções dos programas. Arquivos de dados – Bases de dados podem ser alteradas ou apagadas sem a autorização adequada. Utilitários e Sistema Operacional – O acesso também deve ser restrito, pois podem provocar alterações nas configurações e nos arquivos em geral ou podem permitir a cópia dos mesmos. Arquivos de Senhas – A falta de proteção a esses arquivos pode comprometer toda a segurança, já que se forem descobertos e decifrados, a vulnerabilidade é total. Arquivos de Log – Os logs são usados para registra as ações dos usuários, sendo ótimas informações para auditorias e análise de quebras de segurança. Se não houver proteção a esses arquivos, o usuário ou invasor pode apagar as pistas de suas ações.

Elementos Básicos de Controle de Acesso Lógico Dois pontos distintos de controle: o recurso computacional que se pretende proteger e o usuário a quem se pretende conceder os privilégios e acesso aos recursos. Objetivos dos controles: Apenas usuários autorizados tenham acesso aos recursos. os usuários tenham acesso aos recursos necessários a execução de suas tarefas. O acesso a recursos críticos seja monitorado e restrito. Os usuários sejam impedidos de executar transações incompatíveis com sua função ou responsabilidades. IDENTIFICAÇÃO AUTENTICAÇÃO DE USUÁRIOS ALOCAÇÃO, GERÊNCIA E MONITORAMENTO DE PRIVILÉGIOS LIMITAÇÃO, MONITORAMENTO E DESABILITAÇÃO DE ACESSOS PREVENÇÃO DE ACESSOS NÃO AUTORIZADOS

Processo de Logon Obtenção de acesso aos aplicativos, dados e sistema computacional. Requer um userid (conta ou logon) – identificação, e uma senha - autenticação. Usuários habilitados já devem conhecer o processo e o formato. Não é necessário “ajudas” toda vez que ele for “logar”. É recomendável limitar o número de tentativas frustradas de logon, bloqueando a conta do usuário e desfazendo a conexão. Identificação do usuário – deve ser única. Regras de formação também são importantes que permitem rápida identificação. Autenticação do usuário – é a confirmação do usuário perante o sistema. Pode ser por senha, cartões ou características físicas, como o formato da mão, da retina ou do rosto, impressão digital ou reconhecimento da voz.

Senhas A política de senhas é imprescindível. Uma má administração destes procedimentos expõe a organização a riscos. Repetição de senhas para vários sistemas é prática comum, mas reprovável. Senhas com elementos facilmente identificados: Nome ou nome da conta Nomes de membros da família ou amigos íntimos Nome do SO ou da máquina Datas Nº de telefone, cartão de crédito, Identidade ou docs pessoais Placas ou marcas de carro Nomes próprios Letras ou números repetidos Qualquer senha com menos de 06 caracteres

Senhas Alguns softwares são capazes de quebrar senhas frágeis. Podem ser usados também para bloquear o uso delas. Como escolher uma boa senha: Compostas por letras (maiúsculas e minúsculas), números e símbolos embaralhados. De fácil memorização, para não ser preciso anotar. De digitação rápida. Iniciais de Frases de conhecimento do usuário, mesclando simbolos #,$, %) entre os caracteres. Evitar usar as mesmas senhas para vários sistemas, pois se um deles não for protegido, o risco é grande. Forçar ou criar um hábito de troca periódica.

Tokens Token é um objeto que o usuário possui que o diferencia das outras pessoas e o habilita a acessar alguma coisa. Chaves, cartões, objetos especiais são exemplos comuns de tokens. A desvantagem é que podem ser perdidos, roubados ou reproduzidos com facilidade. Os cartões inteligentes estão sendo muito usados e aperfeiçoados para uso cada vez mais abrangente.

Sistemas Biométricos São sistemas de verificação de identidade baseados em características físicas dos usuários. São mais difíceis de serem burlados, mas ainda têm o fator custo proibitivo. São a evolução dos sistemas manuais de reconhecimento, como análise grafológica e de impressões digitais. A tecnologia de medir e avaliar determinada característica de tal forma que o indivíduo seja realmente único. Um dos problemas é ainda a taxa de erros, pois determinada característica pode mudar em uma pessoa, com o passar dos anos ou por outra intervenção.

Sistemas Biométricos Impressões Digitais – São características únicas e consistentes. São armazenados de 40 a 60 pontos para verificar a identidade. Voz – Sistemas de reconhecimento de voz são usados para controle de acesso. Não são tão confiáveis em função dos erros causados por ruídos no ambiente ou problemas na voz do usuário. Geometria da Mão – usada em sistemas de controle acesso, porém essa característica pode ser alterada por aumento ou diminuição do peso ou artrite. Configuração da íris ou da retina – são mais confiáveis que as de impressão digital, através de direcionamento de feixes de luz nos olhos das pessoas. Reconhecimento Facial por meio de um termograma – Através de imagem tirada por câmera infravermelha que mostra os padrões térmicos de uma face pontos de identificação!

Proteção aos recursos O fato do usuário ter sido identificado e autenticado não quer dizer que ele poderá acessar qualquer informação ou aplicativo sem restrição. É necessário o controle específico, restringindo o acesso apenas às aplicações, arquivos e utilitários imprescindíveis às suas funções. Controles de menus, disponibilizando somente opções compatíveis com o usuário. Definição de perfis de cada usuário (ou grupo de usuários).

Diretos e permissões de Acesso A segurança lógica é garantida através de dois tipos de controle: O que um sujeito pode fazer. O que pode ser feito com um objeto. Podemos definir individualmente os direitos de acesso para cada sujeito ou objeto. Mais trabalhosa para grandes quantidades. Matriz de Controle de Acesso: Relato.doc Audit.exe Fernando - Execução Lúcia Leitura/gravação Cláudio Leitura

Monitoramento Registros de logs, trilhas de auditoria ou outros mecanismos de detecção de invasão são essenciais. Na ocorrência de uma invasão, erro ou atividade não autorizada, é imprescindível reunir evidências para se tomar medidas corretivas necessárias. Os logs funcionam também como trilhas de auditorias, registrando cronologicamente as atividades do sistema. Possibilitam a reconstrução, revisão ou análise dos ambientes e atividades relativas a uma operação, procedimento ou evento. Por conterem informações essenciais para a segurança, os arquivos de logs devem ser protegidos contra destruição ou alteração por usuários ou invasores. O uso em excesso também pode degradar o sistema, sendo necessário balancear a necessidade de registro de atividades criticas e os custos em termos de desempenhos.

Controles de Acesso Lógico ao Sistema Operacional Controles são implementados pelo fabricante do SO. As vezes, temos que instalar pacotes adicionais para incrementar a segurança do SO. Outros Controles de Acesso Lógico Time-out automático. Limitação de horário de utilização de recursos. Evitar uso de sessões concorrentes. Se usuário estiver conectado, o invasor não poderá logar com sua identificação/autenticação. Se o invasor tiver logado, o usuário terá seu acesso negado por sua conta está sendo usada e poderá notificar à segurança.

Gerência de Controle de Acesso Lógico Responsável por garantir controles adequados aos riscos, previamente identificados e analisados. Deve determinar que tipo de controle deve ter cada caso. Deve sempre se basear nas condições estabelecidas na política de segurança, tais como: Propriedade de cada sistema e arquivos de dados relacionados. Classificação dos sistemas em termos de importância quanto a disponibilidade, integridade e confidencialidade. Necessidade de acesso a dados e compatibilidades com cada usuário. Responsabilidade de cada usuário.

Riscos Inerentes a Controles de Acesso Lógico Inadequados Principais impactos: divulgação não autorizada de informações, alteração não autorizada de dados e aplicativos e comprometimento da integridade do sistema. Impactos maiores em aplicativos que manipulam dados confidenciais e financeiros. A inexistência de controles de acesso a arquivos de dados permite que um indivíduo faça mudanças não autorizadas para permitir vantagem pessoal, por exemplo: Alterar número da conta de um pagamento, desviando dinheiro para si mesmo. Alterar inventário da empresa, para esconder furtos. Aumentar seu salário na folha de pagamento. Obter informações confidenciais a respeito de transações ou indivíduos, visando futura extorsão ou chantagens.

Riscos Inerentes a Controles de Acesso Lógico Inadequados O acesso irrestrito a aplicativos pode permitir o acesso aos dados, resultando nas mesmas alterações. A falta de controle de acesso sobre meios magnéticos, impressos ou de telecomunicações pode gerar os mesmos problemas. Conseqüências mais graves: Perdas financeiras e fraudes. Extorsões. Custo de restauração ao estado inicial de programas e dados. Perda de credibilidade. Perda de mercado para a concorrência. Inviabilidade para a continuidade do negócio. Processos judiciais por divulgação de informações.

Controles de Acesso Físico - Proteger equipamentos e informações Segurança de Acesso Segurança Ambiental Recursos a serem protegidos Equipamentos, Documentação, suprimentos e os próprios usuários. A proteção física complementa a proteção lógica. Controles Administrativos Crachás de identificação Devolução de bens da instituição do funcionário demitido. Controle de entrada e saída de visitantes. Controle sobre prestadores de serviços ou funcionários fora do horário normal. Princípio da mesa limpa.

Controles Explícitos Fechaduras ou cadeados comuns. Fechaduras codificadas acopladas a mecanismo elétrico. Fechaduras eletrônicas, cujas chaves são cartões magnéticos. Fechaduras biométricas, programadas para reconhecer características físicas. Câmera de vídeo e alarmes, como controle preventivo e detectivo. Guardas de segurança. Definição dos Controles Físicos A gerência deve proceder uma análise dos riscos, ameaças e vulnerabilidades dos componentes do sistema. As medidas preventivas (contidas na política de segurança) devem reduzir os riscos, balanceando custo X benefício.

Controles Ambientais – diretamente relacionados com a disponibilidade e integridade das informações. Visam proteger os recursos computacionais contra danos provocados por desastres naturais, falhas em estruturas ou instalações. Incêndios – Controles Preventivos e/ou Supressivos. Energia Elétrica e Descargas Elétricas Naturais – Afetam a disponibilidade e a integridade dos sistemas. Uso efetivo de estabilizadores, no-breaks, geradores alternativos, pára-raios. Instalações elétricas aterradas. Enchentes ou ameaças que envolvam água – equipamentos eletrônicos não combinam com água. Providências: verificação de possíveis entradas de água nos ambientes. Teto, tubulações de água estouradas, ralos e esgotos, aparelhos de refrigeração. O setor de TI pode ficar em um andar superior, se existem possibilidades de enchentes ou inundações.

Controles Ambientais Temperatura, Umidade e Ventilação – Necessidade de ambientes de temperatura, umidade e ventilação controlada. Temperaturas entre 10 e 32º C são recomendadas (para os usuários também). Ambientes secos demais geram eletricidade estática e úmido demais podem provocar oxidação e condensação nos equipamentos. As canaletas de ventilação dos equipamentos devem estar desobstruídas. Manutenção e limpeza nos equipamentos de ar condicionado. Limpeza e conservação – As salas dos equipamentos devem ser mantidas limpas, sem acúmulo de materiais de fácil combustão. Proibição de consumo de cigarros, líquidos e alimentos próximo aos equipamentos

Riscos Inerentes a Controles Ambientais Inadequados Danos nos equipamentos, causados por desastres naturais ou falhas ou falta de fornecimento de energia. Indisponibilidade dos sistemas e integridade dos dados podem trazer conseqüências sérias para a empresa. Riscos Inerentes a Controles Físicos Inadequados Danos intencionais ou acidentais provocados por funcionários, prestadores de serviço, equipe de vigilância ou limpeza pode variar desde roubo de equipamentos e componentes até alteração, cópia ou divulgação de informações confidenciais e atos de vandalismo. A falta de controle de acesso físico podem facilitar a ação de invasores na tentativa de burlar os controles lógicos.

Plano de Contingências e Continuidade dos Serviços de Informática. Dependência extrema de computadores de muitas organizações. Não deixa de ser um risco, por isso merece muita atenção. Por causa das vulnerabilidades, é necessário adotar um plano de recuperação após desastres. Instituições bancárias e financeiras são mais rígidas no estabelecimento de planos de contingências. Fatos como o “bug do milênio” fez com que as empresas despertassem da necessidade de planos. Atentados terroristas também provocaram maiores atenções para mecanismos de reestruturação dos ambientes computacionais.

Plano de Contingências e Continuidade dos Serviços de Informática. A grande maioria das empresas nacionais ainda não despertou para esse fato, pensando que isso só acontece com os outros. Um plano de recuperação na área de informática deve fazer parte de uma estratégia ou política de continuidade de negócios mais abrangente da empresa. É o conjunto de procedimentos para permitir que os serviços continuem a operar, ou que tenham condições de serem restabelecidos em menor tempo possível.

Plano de Contingências e Continuidade dos Serviços de Informática. Porque é necessário ? Os serviços de processamento de dados devem estar preparados para imprevistos. Não é problema apenas do departamento de informática e sim da organização. As decisões são de negócios e não técnicas apenas do DI. A organização vai analisar cada recurso e atividades e definir sua importância para a continuidade dos negócios. O Plano deve ter o objetivo de manter a integridade dos dados, a disponibilidade dos serviços ou mesmo prover serviços temporários ou com certas restrições até que os serviços normais sejam restaurados.

Plano de Contingências e Continuidade dos Serviços de Informática. Porque é necessário ? Quanto mais tempo os serviços estiverem indisponíveis, maiores os impactos nos negócios. Minimizar o tempo de parada dos sistemas para reduzir os prejuízos. Como é medida preventiva, é muita vezes colocada em segundo plano na empresa, principalmente pelos custos envolvidos. O PLANO NÃO É PARA DAR LUCRO E SIM EVITAR PREJUÍZOS.

Fases do Plano de Contingências É importante definir aspectos administrativos como objetivos, orçamentos, prazos, recursos humanos, materiais e equipamentos necessários. Fases do plano: Atividades preliminares – conscientização, identificação dos rcs, análise de custos, definição de prazos e aprovação do projeto inicial. Análise de impacto – identificação dos impactos da interrupção de cada sistema computacional. Análise das alternativas de recuperação – estudo detalhado de cada alternativa de recuperação, balanceando custos e benefícios. Desenvolvimento do plano – definição dos detalhes e dos recursos para sua consecução. Treinamento – para garantir a eficiência do plano, pois os funcionários devem ter conhecimento do mesmo.

Fases do Plano de Contingências Fases do plano: Testes – para provar a exeqüibilidade. Após os testes, avalia-se o resultado, implementando as mudanças necessárias. Atividades preliminares Comprometimento da alta gerência Estudo preliminar Análise de Impactos Tipos – diretos e indiretos Identificação dos recursos, funções e sistemas críticos Definição do tempo limite para recuperação Relatório de análise de impacto

Fases do Plano de Contingências Análise das Diversas Alternativas de Recuperação Prevenção de acidentes Backup Armazenamento de dados Recuperação de dados Procedimentos manuais Seguros Acordos comerciais Acordos de Reciprocidade Soluções internas

Fases do Plano de Contingências Desenvolvimento do Plano de Contingências Após as análises, discussões e obtenção da visão geral dos sistemas, recursos e funções, o próximo passo é colocar todas as estratégias em um documento. Um plano deve cobrir duas fases: Resposta Imediata – envolve decisões gerenciais, como levar o plano adiante e tomar medidas corretivas. Processo de Restauração – define os passos a serem seguido no local escolhido como instalação reserva. Designação do Grupo de Recuperação de Contingências – Para colocar em prática o plano.

Fases do Plano de Contingências Desenvolvimento do Plano de Contingências Resposta imediata a um desastre – o conhecimento prévio evita confusão e hesitação na hora do incidente. Identificar e compreender o problema. Conter os danos, limitando ou parando o problema. Determinar os danos causados. Restaurar os sistemas. Eliminar as causas. Comunicar o problema e as soluções aos interessados, seguradoras, etc... Escolha da instalação reserva – deve ser adequada para que possa dar condições para operações dos sistemas. Identificação de Aplicativos críticos – aqueles que têm prioridade na restauração e retorno às atividades.

Fases do Plano de Contingências Treinamento Cada funcionário deve estar consciente de suas responsabilidades em caso de emergência, sabendo exatamente o que fazer. Para isso, o treinamento teórico e prático é fundamental. É necessário também revisões ou reavaliações periódicas do grau de habilitação dos envolvidos no Plano. Teste Assim como a organização testa seu sistema contra incêndios, deve testar seu plano de contingências. É a única maneira de garantir a eficiência do plano de contingências. Teste integral – situação próxima da realidade Teste parcial – algumas partes do plano ou determinadas atividades. Teste simulado – envolve representações da situação emergencial.

Fases do Plano de Contingências Atualização do plano Um plano terá pouca ou nenhuma utilidade se for colocado em uma gaveta e nunca for testado ou avaliado. As mudanças de sistemas e funções são freqüentes, assim como ocorrem mudanças administrativas e do ambiente computacional. O plano tem que sempre refletir as mudanças feitas nos negócios e sistemas. Lista de verificações

Exercícios Propostos – Controle de Acesso Físico
1) A Segurança Física pode ser abordada segundo 2 aspectos. Fale sobre cada um. 2) Qual o objetivo do controle de acesso físico? 3) Quais recursos são protegidos com os controles de acesso físico? 4) Cite os principais controles administrativos que devem ser implementados para garantir a segurança física nos ambientes de TI. 5) Quais os principais controles que DIAS (2000) aborda como EXPLÍCITOS na segurança física? 6) O que são controles ambientais? 7) Quais os danos prevenidos com a implementação adequada de controles ambientais?

Exercícios Propostos – Plano de Contingência
1) Definir Plano de Contingência. 2) Citar exemplos de organizações e serviços definidos como de contingência. 3) Que argumentos pode citar como justificativa para convencer o executivo de uma organização a investir na implementação de um plano de contingência? 4) Quais as fases do planejamento de contingência? Fale sobre cada uma delas.

SEGURANÇA E AUDITORIA DE SISTEMAS

Apresentações semelhantes

Apresentação em tema: "SEGURANÇA E AUDITORIA DE SISTEMAS"— Transcrição da apresentação:

Apresentações semelhantes

Sobre projeto

Feedback

Login

Autorizar-se através da rede social:

SEGURANÇA E AUDITORIA DE SISTEMAS

Apresentações semelhantes

Apresentação em tema: "SEGURANÇA E AUDITORIA DE SISTEMAS"— Transcrição da apresentação:

Apresentações semelhantes

Sobre projeto

Feedback