Preview only show first 10 pages with watermark. For full document please download

Seguraça Em Rede De Dados

Conhecer alguns riscos existentes e as técnicas que podem ser empregadas para proteger as redes de dados.

Transcript

Universidade do Sul de Santa Catarina Segurança em Redes de Dados Disciplina na modalidade a distância Palhoça UnisulVirtual 2007 seguranca_redes_dados.indb 1 2/3/2007 14:29:31 seguranca_redes_dados.indb 2 2/3/2007 14:30:11 Apresentação Este livro didático corresponde à disciplina Segurança em Redes de Dados. O material foi elaborado visando a uma aprendizagem autônoma. Aborda conteúdos especialmente selecionados e adota linguagem que facilite seu estudo a distância. Por falar em distância, isso não signiﬁca que você estará sozinho/a. Não se esqueça que sua caminhada nesta disciplina também será acompanhada constantemente pelo Sistema Tutorial da UnisulVirtual. Entre em contato, sempre que sentir necessidade, seja por correio postal, fax, telefone, e-mail ou Espaço UnisulVirtual de Aprendizagem. Nossa equipe terá o maior prazer em atendê-lo/a, pois sua aprendizagem é o nosso principal objetivo. Bom estudo e sucesso! Equipe UnisulVirtual. seguranca_redes_dados.indb 3 2/3/2007 14:30:11 seguranca_redes_dados.indb 4 2/3/2007 14:30:11 Gislaine Parra Freund Luciano Ignaczak Segurança em Redes de Dados Livro didático Design instrucional Leandro Kingeski Pacheco Palhoça UnisulVirtual 2007 seguranca_redes_dados.indb 5 2/3/2007 14:30:11 Copyright © UnisulVirtual 2006 Nenhuma parte desta publicação pode ser reproduzida por qualquer meio sem a prévia autorização desta instituição. 005.8 F94 Freund, Gislaine Parra Segurança em redes de dados : livro didático / Gislaine Parra Freund, Luciano Ignaczak ; design instrucional Leandro Kingeski Pacheco. – Palhoça : UnisulVirtual, 2007. 186 p. : il. ; 28 cm. Inclui bibliograﬁa. 1. Redes de computadores – Medidas de segurança. 2. Firewalls (Medidas de segurança de computadores). I. Ignaczak, Luciano. II. Pacheco, Leandro Kingeski. III. Título. Ficha catalográfica elaborada pela Biblioteca Universitária da Unisul Créditos Unisul - Universidade do Sul de Santa Catarina UnisulVirtual - Educação Superior a Distância Campus UnisulVirtual Rua João Pereira dos Santos, 303 Palhoça - SC - 88130-475 Fone/fax: (48) 3279-1541 e 3279-1542 E-mail: [email protected] Site: www.virtual.unisul.br Reitor Unisul Gerson Luiz Joner da Silveira Vice-Reitor e Pró-Reitor Acadêmico Sebastião Salésio Heerdt Chefe de gabinete da Reitoria Fabian Martins de Castro Pró-Reitor Administrativo Marcus Vinícius Anátoles da Silva Ferreira Campus Sul Diretor: Valter Alves Schmitz Neto Diretora adjunta: Alexandra Orsoni Campus Norte Diretor: Ailton Nazareno Soares Diretora adjunta: Cibele Schuelter Campus UnisulVirtual Diretor: João Vianney Diretora adjunta: Jucimara Roesler Equipe UnisulVirtual Administração Renato André Luz Valmir Venício Inácio Bibliotecária Soraya Arruda Waltrick seguranca_redes_dados.indb 6 Cerimonial de Formatura Jackson Schuelter Wiggers Coordenação dos Cursos Adriano Sérgio da Cunha Aloísio José Rodrigues Ana Luisa Mülbert Ana Paula Reusing Pacheco Cátia Melissa S. Rodrigues (Auxiliar) Charles Cesconetto Diva Marília Flemming Itamar Pedro Bevilaqua Janete Elza Felisbino Jucimara Roesler Lilian Cristina Pettres (Auxiliar) Lauro José Ballock Luiz Guilherme Buchmann Figueiredo Luiz Otávio Botelho Lento Marcelo Cavalcanti Mauri Luiz Heerdt Mauro Faccioni Filho Michelle Denise Durieux Lopes Destri Moacir Heerdt Nélio Herzmann Onei Tadeu Dutra Patrícia Alberton Patrícia Pozza Raulino Jacó Brüning Rose Clér E. Beche Design Gráﬁco Cristiano Neri Gonçalves Ribeiro (coordenador) Adriana Ferreira dos Santos Alex Sandro Xavier Evandro Guedes Machado Fernando Roberto Dias Zimmermann Higor Ghisi Luciano Pedro Paulo Alves Teixeira Rafael Pessi Vilson Martins Filho Equipe Didático-Pedagógica Angelita Marçal Flores Carmen Maria Cipriani Pandini Caroline Batista Carolina Hoeller da Silva Boeing Cristina Klipp de Oliveira Daniela Erani Monteiro Will Dênia Falcão de Bittencourt Enzo de Oliveira Moreira Flávia Lumi Matuzawa Karla Leonora Dahse Nunes Leandro Kingeski Pacheco Ligia Maria Soufen Tumolo Márcia Loch Patrícia Meneghel Silvana Denise Guimarães Tade-Ane de Amorim Vanessa de Andrade Manuel Vanessa Francine Corrêa Viviane Bastos Viviani Poyer Gerência de Relacionamento com o Mercado Walter Félix Cardoso Júnior Logística de Encontros Presenciais Marcia Luz de Oliveira (Coordenadora) Aracelli Araldi Graciele Marinês Lindenmayr Guilherme M. B. Pereira José Carlos Teixeira Letícia Cristina Barbosa Kênia Alexandra Costa Hermann Priscila Santos Alves Logística de Materiais Jeferson Cassiano Almeida da Costa (coordenador) Eduardo Kraus Monitoria e Suporte Rafael da Cunha Lara (coordenador) Adriana Silveira Caroline Mendonça Dyego Rachadel Edison Rodrigo Valim Francielle Arruda Gabriela Malinverni Barbieri Josiane Conceição Leal Maria Eugênia Ferreira Celeghin Rachel Lopes C. Pinto Simone Andréa de Castilho Tatiane Silva Vinícius Maycot Seraﬁm Produção Industrial e Suporte Arthur Emmanuel F. Silveira (coordenador) Francisco Asp Projetos Corporativos Diane Dal Mago Vanderlei Brasil Secretaria de Ensino a Distância Karine Augusta Zanoni (secretária de ensino) Ana Luísa Mittelztatt Ana Paula Pereira Djeime Sammer Bortolotti Carla Cristina Sbardella Franciele da Silva Bruchado Grasiela Martins James Marcel Silva Ribeiro Lamuniê Souza Liana Pamplona Marcelo Pereira Marcos Alcides Medeiros Junior Maria Isabel Aragon Olavo Lajús Priscilla Geovana Pagani Silvana Henrique Silva Vilmar Isaurino Vidal Secretária Executiva Viviane Schalata Martins Tecnologia Osmar de Oliveira Braz Júnior (coordenador) Ricardo Alexandre Bianchini Rodrigo de Barcelos Martins Edição – Livro Didático Professor Conteudista Gislaine Parra Freund Luciano Ignaczak Design Instrucional Leandro Kingeski Pacheco Projeto Gráﬁco e Capa Equipe UnisulVirtual Diagramação Rafael Pessi Revisão Ortográﬁca B2B 2/3/2007 14:30:11 Sumário Apresentação . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 03 Palavras dos professores conteudistas . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 09 Plano de estudo . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11 UNIDADE 1 – Introdução à Segurança da Informação . . . . . . . . . . . . . . . . 17 UNIDADE 2 – Criptografia e Certificação Digital . . . . . . . . . . . . . . . . . . . . . . 45 UNIDADE 3 – Segurança em Transações Eletrônicas . . . . . . . . . . . . . . . . . . 75 UNIDADE 4 – Mecanismos de Segurança . . . . . . . . . . . . . . . . . . . . . . . . . . . . 95 UNIDADE 5 – Técnicas de Ataque . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 115 UNIDADE 6 – Políticas de Segurança . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 137 Para concluir o estudo . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 175 Referências . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 177 Sobre os professores conteudistas . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 179 Respostas e comentários das atividades de auto-avaliação . . . . . . . . . . . . 181 seguranca_redes_dados.indb 7 2/3/2007 14:30:12 seguranca_redes_dados.indb 8 2/3/2007 14:30:12 Palavras dos professores Caro aluno(a), Uma vez que a tecnologia avança a passos largos e o mercado está cada vez mais globalizado, as empresas devem reﬂetir e alterar sua percepção de gestão. O modo como as empresas devem competir neste novo cenário que nos é apresentado é diretamente afetado por diversos fatores, e não há dúvidas de que a palavra “segurança” passou a ser sinônimo de credibilidade. A segurança da informação deixou de ser um fator competitivo e passou a ser uma necessidade para uma empresa se manter no mercado. Hoje o cliente faz sua opção por empresas que tenham maior comprometimento com a segurança e que possuam formas de comprovar isso. As empresas, para atender esse requisito, devem estar munidas de ferramentas, métodos, procedimentos, enﬁm, todos os recursos que demonstrem sua preocupação com as informações de seus clientes. Para a implementação desses recursos, as empresas fazem uso de técnicas que garantem aos clientes que suas informações serão transmitidas de forma conﬁável, que estarão acessíveis somente aos integrantes do projeto e que as pessoas envolvidas neste projeto estão treinadas e comprometidas com a segurança da informação. Nesta disciplina você terá a oportunidade de estudar esse tema e conhecer os principais pontos relacionados a ele. O tema “segurança da informação” é bastante amplo e transcende os aspectos tecnológicos. Conhecer os conceitos apresentados na disciplina tornará você um proﬁssional mais completo, contribuindo para o seu sucesso proﬁssional. Sucesso em mais essa etapa. Bom estudo! Professores Gislaine e Luciano. seguranca_redes_dados.indb 9 2/3/2007 14:30:12 seguranca_redes_dados.indb 10 2/3/2007 14:30:12 Plano de estudo O plano de estudos visa orientá-lo/la no desenvolvimento da Disciplina. Nele, você encontrará elementos que esclarecerão o contexto da Disciplina e sugerirão formas de organizar o seu tempo de estudos. O processo de ensino e aprendizagem na UnisulVirtual leva em conta instrumentos que se articulam e se complementam. Assim, a construção de competências se dá sobre a articulação de metodologias e por meio das diversas formas de ação/ mediação. São elementos desse processo: o livro didático; o Espaço UnisulVirtual de Aprendizagem - EVA; as atividades de avaliação (complementares, a distância e presenciais). Ementa Introdução à Segurança da Informação: ameaças e riscos. Conceitos e política de Segurança. Firewalls. Sistemas de Detecção de Intrusão. Autenticação. Redes virtuais privadas. Certiﬁcação Digital. Autoridades certiﬁcadoras. Técnicas de ataque e de defesa. Tópicos especiais de segurança em sistemas web. Carga Horária A carga horária total da disciplina é de 60 horas-aula, 4 créditos, incluindo o processo de avaliação. seguranca_redes_dados.indb 11 2/3/2007 14:30:12 Universidade do Sul de Santa Catarina Objetivos Gerais: Conhecer alguns riscos existentes e as técnicas que podem ser empregadas para proteger as redes de dados. Especíﬁcos: Identiﬁcar o conceito de segurança da informação e suas nomenclaturas. Conhecer os padrões nacionais e internacionais de segurança da informação que auxiliam no desenvolvimento de uma política de segurança. Identiﬁcar diretivas para o desenvolvimento de uma política de segurança. Conhecer mecanismos para a segurança de redes. Conhecer uma relação entre mecanismos de segurança e sua função na rede. Identiﬁcar mecanismos utilizados para roubo de informações. Conhecer as técnicas de ataque. Identiﬁcar as ferramentas usadas para ataques contra redes de computadores. Identiﬁcar os componentes de uma infra-estrutura de chaves públicas. Conhecer o conceito de certiﬁcação digital e suas aplicações. Conhecer meios de garantir a segurança de transações eletrônicas. Identiﬁcar os protocolos de segurança existentes. 12 seguranca_redes_dados.indb 12 2/3/2007 14:30:12 Segurança em Redes de Dados Conteúdo programático/objetivos Os objetivos de cada unidade deﬁnem o conjunto de conhecimentos que você deverá deter para o desenvolvimento de habilidades e competências necessárias à sua formação. Neste sentido, veja a seguir as unidades que compõem o livro didático desta Disciplina, bem como os seus respectivos objetivos. A disciplina Segurança em Redes de Dados foi dividida em 6 unidades. Veja a seguir o que você vai estudar em cada uma delas: Unidade 1 – Introdução à Segurança da Informação Nesta unidade você estudará o conceito de segurança da informação e suas principais propriedades, como conﬁdencialidade e integridade de disponibilidade da informação. Compreenderá a diferença entre ameaças, riscos e vulnerabilidades e, considerando o crescimento da conectividade atual, entenderá a relação existente entre eles. Estudará também os mitos e os paradigmas existentes sobre a segurança de informação e a conceituação e exempliﬁcação de ativos de informação. Você compreenderá que as empresas ainda percebem apenas uma fração dos problemas de segurança – os aspectos tecnológicos – e que o tema é muito mais amplo e transcende esses aspectos. Unidade 2 – Criptograﬁa e Certiﬁcação Digital Aqui você aprenderá as técnicas de criptograﬁa simétrica e assimétrica e em quais situações são mais apropriadas. Verá, também, o funcionamento de assinaturas digitais e certiﬁcados digitais. A partir desses conhecimentos, entenderá como é o processo de solicitação, emissão e utilização de um certiﬁcado digital, além de compreender a organização de uma infraestrutura de chaves públicas. Estudará ainda o histórico da ICPBrasil e a medida provisória 2200-2, que estabelece a validade jurídica de documentos assinados digitalmente. 13 seguranca_redes_dados.indb 13 2/3/2007 14:30:12 Universidade do Sul de Santa Catarina Unidade 3 – Segurança em Transações Eletrônicas Nesta unidade você compreenderá como fazer uso dos conceitos aprendidos anteriormente, com a ﬁnalidade de desenvolver aplicativos que garantam a segurança das informações transacionadas. Através da especiﬁcação de protocolos criptográﬁcos, vislumbrará quais recursos devem ser protegidos em uma transação e qual serviço de segurança deve ser usado. Você também estudará protocolos criptográﬁcos usados em larga escala em aplicações web. Um dos protocolos estudados será o Secure Socket Layer (SSL), que garante a segurança de transações bancárias e negócios on-line. Unidade 4 – Mecanismos de Segurança Com esta unidade você aprenderá os mecanismos que devem ser implantados na infra-estrutura de uma empresa com o objetivo de garantir a segurança da sua rede e dos usuários que fazem uso dela. Os mecanismos abordados são ﬁrewalls; Virtual Private Networks (VPN) e Intrusion Detecction Systens. Cada um dos dispositivos será analisado. Através do conhecimento de cada mecanismo de segurança você estará apto a deﬁnir quais deles são mais apropriados para cada cenário. Unidade 5 – Técnicas de Ataque Você conhecerá, aqui, as técnicas usadas atualmente por hackers para roubar informações e invadir as redes de computadores. Em um primeiro momento, estudará códigos maliciosos desenvolvidos por eles, que visam atacar computadores de usuários. Nesta unidade também estudará as técnicas usadas para conseguir informações não autorizadas de forma eﬁciente. Unidade 6 – Políticas de Segurança Aqui você compreenderá a importância da política de segurança, ressaltando-a como o ponto de partida para a implementação de procedimentos de segurança da informação em uma empresa. A 14 seguranca_redes_dados.indb 14 2/3/2007 14:30:13 Segurança em Redes de Dados Norma ISO/IEC 17799 será estudada como um referencial a ser adotado para o desenvolvimento de uma política de segurança da informação. Compreenderá a necessidade da utilização de termos claros e compreensíveis nas políticas de segurança, de forma que a empresa demonstre aos seus funcionários a preocupação e a importância dispensada ao tema e, como resultado, obtenha o comprometimento da maioria aos procedimentos deﬁnidos nesta política. Ainda estudará diretrizes para uma campanha de conscientização eﬁciente. Agenda de atividades/ Cronograma Veriﬁque com atenção o EVA, organize-se para acessar periodicamente o espaço da Disciplina. O sucesso nos seus estudos depende da priorização do tempo para a leitura; da realização de análises e sínteses do conteúdo; e da interação com os seus colegas e tutor. Não perca os prazos das atividades. Registre no espaço a seguir as datas, com base no cronograma da disciplina disponibilizado no EVA. Use o quadro para agendar e programar as atividades relativas ao desenvolvimento da Disciplina. 15 seguranca_redes_dados.indb 15 2/3/2007 14:30:13 Universidade do Sul de Santa Catarina Atividades de avaliação Demais atividades (registro pessoal) 16 seguranca_redes_dados.indb 16 2/3/2007 14:30:13 UNIDADE 1 Introdução à Segurança da Informação 1 Objetivos de aprendizagem Conhecer os princípios básicos da segurança da informação. Distinguir os conceitos de ameaças, riscos e vulnerabilidades. Conhecer os mitos e as realidades referentes à segurança da informação. Compreender a amplitude do tema Segurança da Informação. Seções de estudo Seção 1 Princípios básicos da segurança da informação Seção 2 Ameaças, riscos e vulnerabilidades Seção 3 Mitos e realidades referentes à segurança da informação seguranca_redes_dados.indb 17 2/3/2007 14:30:13 Universidade do Sul de Santa Catarina Para início de conversa Antes de você começar a estudar a segurança da informação, conhecerá os princípios básicos do tema que norteiam as ações de um projeto e alguns casos que afetam estes princípios em algumas empresas. Estudará também os conceitos de ameaças, riscos e vulnerabilidade e aprenderá a diferenciá-los. É pertinente observar que a segurança da informação traz consigo, ao longo dos anos de sua existência, alguns mitos que precisam ser desvendados e que, na verdade, já estão sendo. Porém, outros ainda levarão algum tempo. Você conhecerá alguns deles e terá a oportunidade de reﬂetir sobre o assunto. Seção 1 – Princípios básicos da segurança da informação Vamos iniciar esta seção com uma pergunta: informação e dado é a mesma coisa? O que você acha? Registre, aqui, sua posição. 18 seguranca_redes_dados.indb 18 2/3/2007 14:30:13 Segurança em Redes de Dados Existem diversas deﬁnições para esses termos, mas podese considerar que dado é um conjunto de elementos que não possuem muito signiﬁcado. Já informação pode ser considerada como um conjunto de dados que fazem sentido para alguém. Observe, então, que dado e informação podem ser distintos em função do signiﬁcado que têm ou não para alguém. E então, por que proteger as informações e não os dados? A resposta é simples. Veja, neste sentido, um exemplo bastante corriqueiro. Considere um conjunto de números, letras e caracteres que compõem uma senha de uma conta de banco, por exemplo. Ora, se eu não conheço o contexto e não sei o que é e para que serve, este conjunto não faz o menor sentido, caracterizando assim o dado. Por outro lado, se eu souber que a senha corresponde ao acesso de uma conta de banco, então esse conjunto de dados passa a ser denominado de informação e, neste caso, informação sigilosa. Observe que existe uma diferença entre os termos, dado e informação, que permite concluir que as informações devem ser sempre protegidas, concorda? A segurança da informação é uma preocupação antiga, pois, desde o começo da existência humana, existiram informações que não deveriam ser divulgadas e que precisaram ser armazenadas de maneira segura. Como exemplo, considere as guerras na antiguidade, em que os comandantes desenvolviam estratégias de ataque e precisavam comunicá-las às suas tropas de maneira que o inimigo não tivesse acesso. Desde aí, a segurança da informação já era um fator relevante para o sucesso das batalhas. Unidade 1 seguranca_redes_dados.indb 19 19 2/3/2007 14:30:13 Universidade do Sul de Santa Catarina Imagine agora os tempos atuais, em que, devido à expansão do uso da internet, a concorrência entre as empresas tornou-se sem fronteiras? Você tem idéia da quantidade de informações sigilosas que trafegam na rede atualmente? Um outro fator importante considerando a realidade atual é o valor que a informação ganhou após essa mudança de cultura das empresas. Antigamente, o valor era atribuído às máquinas e equipamentos de uma empresa, ou seja, era atribuído a bens tangíveis, que podiam inclusive ser mensurados. Atualmente, a informação é considerada o bem mais valioso de uma empresa e não é possível saber exatamente o quanto se perderia se determinadas informações fossem divulgadas indevidamente. Um bom exemplo é o conteúdo de um livro. A capa, a qualidade da folha e da impressão não são atributos tão valiosos quanto à sua essência, ou seja, à qualidade de seu conteúdo. Repare que, até agora, você estudou a segurança da informação relacionada a sigilo. Esse fato é bastante comum e você o retomará na seção 3. Porém, segurança da informação abrange outros aspectos além da conﬁdencialidade de uma informação. Este tema transcende a questão do sigilo em pelo menos mais três princípios, que são: a integridade, a disponibilidade e a irretratabilidade ou não-repúdio da informação. Você estudará cada um deles separadamente. Conﬁdencialidade Apesar de você já ter lido um pouco sobre ela anteriormente, estudará agora este conceito e conhecerá um caso que afetou este princípio. 20 seguranca_redes_dados.indb 20 2/3/2007 14:30:13 Segurança em Redes de Dados A conﬁdencialidade é o princípio que garante que a informação estará acessível somente a pessoas autorizadas, ou seja, somente as partes interessadas em um determinado processo deverão acessar as informações. Podem ser incluídos aqui o acesso a informações armazenadas, impressas e arquivadas e até mesmo o envio de uma informação por e-mail. A ﬁgura 1.1 ilustra este conceito. Temos um emissor, um receptor e a ﬁgura de um desconhecido interceptando a informação. User: Alice Pass: 12#r4! Emissor Receptor Figura 1.1 - Confidencialidade da informação A conﬁdencialidade das informações pode ser garantida com o uso da criptograﬁa, assunto que você estudará nas unidades seguintes. A criptograﬁa torna uma informação ilegível, de forma que somente o/os conhecedor/es da chave utilizada para cifrar a informação terá/ão acesso a ela. Analise o caso abaixo, ocorrido no ﬁnal do ano de 2006. Atenção! Observe que ao prestar serviços a terceiros, ou melhor dizendo, ao manipular informações referentes a seus clientes, a responsabilidade com a segurança da informação aumenta. Unidade 1 seguranca_redes_dados.indb 21 21 2/3/2007 14:30:14 Universidade do Sul de Santa Catarina Laptops contendo informações de 15 mil policiais britânicos são roubados O roubo ocorreu na última quinta-feira. Não foi informado se as informações estavam criptografadas. Três laptops contendo informações sobre o holerite de 15 mil policiais no Reino Unido foram roubados do escritório da empresa Lógica CMG, em Londres, que é responsável pelo pagamento dos salários da organização. Tais dados equivalem à metade da força metropolitana britânica. A Lógica CMG venceu recentemente uma licitação, ganhando um contrato de sete anos para realizar o pagamento de salários, pensões e benefícios à polícia britânica. A terceirização desta função era justamente para evitar o vazamento de informações do gênero. A companhia pediu desculpas oficiais pelo incidente. Data: 23/11/2006 Fonte: Módulo Security News Muitas vezes, em incidentes como o desse exemplo, a perda ﬁnanceira não é tão signiﬁcativa quanto o custo da imagem da empresa, que, após ter ganho uma licitação, fator que comprova sua idoneidade, pode ser comprometida em poucos segundos. Este acontecimento citado aqui é um caso que envolveu procedimentos. Mas o que eu quero dizer com isso? Primeiramente, onde estavam guardados esses laptops? Como pessoas estranhas que pudessem roubá-los tiveram acesso a eles? Conforme a notícia, não se tem certeza de que as informações estavam cifradas. E se não estivessem? Observe que procedimentos de segurança devem ser deﬁnidos e adotados pela empresa para evitar inconvenientes como estes. 22 seguranca_redes_dados.indb 22 2/3/2007 14:30:14 Segurança em Redes de Dados Ao adquirir equipamentos e softwares, e até mesmo durante o desenvolvimento destes, procedimentos de segurança devem estar com prioridade alta na lista dos requisitos necessários a serem solicitados e implementados. Integridade Esta é outra preocupação que você deve ter ao desenvolver um sistema que armazene informações em um banco de dados, por exemplo. O princípio da integridade garante que a informação não foi alterada a partir de um determinado momento por pessoas não autorizadas, ou seja, garante que a informação recuperada é ﬁel à que foi armazenada, ou que a informação recebida é a mesma que foi enviada. É de extrema importância que o usuário conﬁe nas informações adquiridas a partir de um sistema e que, ao receber uma informação por e-mail, por exemplo, tenha certeza de que foi realmente essa informação que lhe foi enviada. A ﬁgura 1.2 ilustra este conceito. Nela há o emissor encaminhando a informação “XYZ” e o receptor recebendo “ABC”. Observe que há um terceiro elemento na ﬁgura que não faz parte do processo. Neste caso, ele faz o papel da pessoa não autorizada que intercepta a informação, a altera e encaminha adiante de forma que o receptor não saiba que foi alterada. XYZ ABC Emissor Receptor Figura 1.2 - Integridade da informação Unidade 1 seguranca_redes_dados.indb 23 23 2/3/2007 14:30:14 Universidade do Sul de Santa Catarina A integridade da informação pode ser garantida com o uso da assinatura digital, no caso do envio de e-mail. A assinatura digital, assunto que você estudará ainda nesta disciplina, através da execução da função hash, auxilia na identiﬁcação caso uma informação seja alterada por pessoas externas, não autorizadas. A falta deste serviço pode causar grandes problemas a uma empresa, pois a conﬁança na veracidade de uma informação armazenada e/ou recebida é fundamental para o sucesso de um negócio. De nada adianta uma empresa possuir um controle ﬁnanceiro diário, por exemplo, se as informações contidas nele não forem verdadeiras e os relatórios apresentarem resultados falsos. Observe o caso apresentado na seqüência. Jovem universitário é preso por alterar páginas oficiais do governo venezuelano A polícia não divulgou o seu nome verdadeiro, mas informou que ele usava o codinome de “O grande hacker”. Um jovem universitário venezuelano foi preso por alterar 24 páginas webs oficiais daquele País. O rapaz, que estudava na Universidade Nacional das Forças Armadas da Venezuela, foi preso nesta sexta-feira. Ele usava o codinome “O grande hacker” para quebrar a segurança de páginas como a da Presidência da República, a Oficina Nacional de Identificación y Extranjería (Onidex) e os sites da polícia e das Forças Armadas, assim como, prefeitura e conselhos municipais. O cracker (ambos, cracker e hacker são especialistas em invasões, porém o cracker age para o “mal” e o hacker para o “bem”. O grande hacker é o codinome que o invasor utilizou) espalhou pelos sites oficiais fotos pejorativas do presidente venezuelano, Hugo Chavez e do líder cubano, Fidel Castro. Muitas das páginas atacadas continuam fora de serviço enquanto técnicos tentam repará-las. Data: 05/01/2006 Fonte: Módulo Security News 24 seguranca_redes_dados.indb 24 2/3/2007 14:30:14 Segurança em Redes de Dados Você já imaginou se isso acontece em um site em que você realiza constantemente compras on-line? A integridade das informações de um site em que conﬁamos devem ser íntegras, sempre. A partir do momento da ocorrência de um ataque como esse, que altera a veracidade de suas informações, diversas outras dúvidas surgem na cabeça dos clientes, e com certeza muitos não voltam a comprar através do site. Atenção! Observem a importância da segurança da informação para o sucesso de um negócio, principalmente quando ele depende de uma ferramenta, como é o caso de um sistema web. Procure visualizar o quanto seu trabalho é importante neste processo e não esqueça da segurança da informação durante o desenvolvimento de um sistema. Reflita sobre isso. Disponibilidade Este princípio garante que a informação estará disponível no momento em que for necessária sua utilização. A ﬁgura 1.3 ilustra este conceito, pois representa um computador-cliente solicitando a um servidor acesso a informações, através da rede de dados. REDE Figura 1.3 - Disponibilidade da informação Este princípio depende de outros fatores relacionados a Tecnologia da Informação (TI). Porém, deve ser motivo de preocupação do proﬁssional desenvolvedor também. Quando Unidade 1 seguranca_redes_dados.indb 25 25 2/3/2007 14:30:14 Universidade do Sul de Santa Catarina um sistema é solicitado, faz-se o levantamento de requisitos para reconhecer as necessidades dos usuários, concorda? Nesta etapa é importante saber, por exemplo, questões referentes à capacidade da rede a qual o sistema deverá rodar. Na maioria das vezes, o motivo que compromete a disponibilidade da informação é a indisponibilidade da rede de dados e da rede elétrica. Sendo assim, ao desenvolver um sistema que dependerá de uma infra-estrutura de rede, é necessário conhecê-la para evitar que problemas aconteçam em função do mau redimensionamento de sua capacidade. Por esse motivo, você já estudou Redes de Computadores e pôde conhecer alguns requisitos importantes que devem fazer parte de seu check-list do levantamento de requisitos, para garantir a disponibilidade das informações. Analise o caso seguinte, em que a justiﬁcativa do banco foi a de que houve problemas nas conexões de rede. Você pode imaginar o quanto o banco deixou de ganhar com essa parada? Além disso, a conﬁança no site também é abalada. Como você se sentiria se tivesse que movimentar sua conta utilizando um site que por alguns dias não permitiu a realização de nenhuma transação, devido a lentidão, e ﬁcou fora do ar por algumas horas? Bank of America fica fora do ar O site do Bank of America ficou fora do ar por aproximadamente três horas, depois de três dias de lentidão no acesso a suas páginas. A empresa informou que enfrentou problemas nas conexões das redes. A situação acabou causando transtorno a vários correntistas que usam o Internet Banking. Muitos não conseguiram realizar transações pela Internet, como o usuário Len Svitenko, que acessa diariamente o site do banco para efetuar pagamentos. “Foi uma experiência frustrante. Durante três dias não consegui acessar minha conta”, disse. O Bank of America afirmou que está trabalhando para normalizar as operações. Data: 19/02/2001 Fonte: CNET News 26 seguranca_redes_dados.indb 26 2/3/2007 14:30:15 Segurança em Redes de Dados Uma medida importante a ser adotada para garantir a disponibilidade das informações é a utilização de geradores de energia, já que problemas na rede elétrica também são fatores que muitas vezes comprometem esse princípio. Você deve ter acompanhado, pela televisão, a algum tempo atrás, o apagão que aconteceu na cidade de Florianópolis. A cidade ﬁcou dois dias e meio sem alimentação de energia elétrica. Muitas empresas que possuem ﬁliais em sua estrutura ﬁcaram sem poder acessar as informações, pois em alguns casos estas estavam concentradas na cidade e a empresa contava somente com o recurso de no-break. Os aparelhos de no-break sustentam os sistemas ligados por um tempo (horas), porém o problema demorou dias para ser resolvido. Observe que a rede de energia elétrica também é um item a ser estudado para garantir a disponibilidade da informação. Agora, uma pergunta para você: Você considera a rede de energia elétrica uma ameaça, um risco ou uma vulnerabilidade? Pense sobre isso e depois conheça as diferenças na próxima seção. Mas antes, estude mais um princípio da segurança da informação: a irretratabilidade ou não-repúdio. Irretratabilidade Você encontrará em algumas literaturas este conceito ligado à palavra não-repúdio. Ambos, na verdade, possuem o mesmo signiﬁcado. Irretratabilidade ou não-repúdio é o princípio que garante a autoria de uma mensagem ou a participação em uma transação. O que isso significa? Quando você recebe uma informação via e-mail, você acredita nela e em seu autor por identificar o endereço do emissor, concorda? Unidade 1 seguranca_redes_dados.indb 27 27 2/3/2007 14:30:15 Universidade do Sul de Santa Catarina Imagine a seguinte situação, de uma empresa com matriz em São Paulo e ﬁliais no Rio de Janeiro e em Curitiba. Todo ﬁnal de dia, as ﬁliais encaminham por e-mail um relatório ﬁnanceiro com a movimentação diária. O responsável por receber essas informações em São Paulo acredita no que recebe, por conﬁar que realmente tenham sido enviadas pelos responsáveis nas ﬁliais. Você, como proﬁssional na área da Tecnologia da Informação, deve saber o quão fácil é conﬁgurar uma conta de e-mail em uma ferramenta e forjar o endereço de outra pessoa, não é mesmo? Existem duas situações: as informações podem ser encaminhadas por outras pessoas que se passam pelos responsáveis das ﬁliais ou os relatórios podem ser encaminhados pelos seus responsáveis, porém, serem alterados durante seu percurso sem que se perceba (integridade). O princípio da irretratabilidade garante que o emissor não possa negar a autoria e/ou o envio de uma informação. Isso é possível com o uso da assinatura digital, que você estudará nas próximas unidades desta disciplina. A ﬁgura 1.4 ilustra este conceito. Os pontos de interrogação representam a dúvida que o emissor e o receptor têm em relação ao que receberam. Figura 1.4 - Irretratabilidade da informação Atualmente, sabemos que inúmeros contratos e aceites de propostas são realizados através de mensagens de e-mail e muitas empresas conﬁam nesta ferramenta para dar encaminhamento aos seus projetos. 28 seguranca_redes_dados.indb 28 2/3/2007 14:30:15 Segurança em Redes de Dados Atenção! Se o princípio da irretratabilidade não estiver contemplado no envio destes e-mails, através do uso de uma assinatura digital, por exemplo, então a mensagem não possui validade alguma e o emissor poderá dizer “não fui eu que enviei esta mensagem, apesar de ter saído da minha caixa postal de e-mail” e, se não tiver nenhuma ferramenta que prove o contrário, o e-mail não terá validade jurídica nenhuma. Posteriormente, você conhecerá a medida provisória que regulamenta esse processo. Agora que você já conhece os princípios da segurança da informação, verá a distinção dos conceitos de ameaças, riscos e vulnerabilidade, pois são nomenclaturas largamente utilizadas na área da segurança da informação. Seção 2 - Ameaças, riscos e vulnerabilidades O que você entende por ameaças, riscos e vulnerabilidades? Realmente, estes são conceitos bastante parecidos, porém possuem algumas especiﬁcidades que os diferenciam. Você acompanhará alguns exemplos durante a explicação, para facilitar o entendimento. Antes de estudar a deﬁnição desses conceitos, é preciso saber o conceito de ativos de informação. Então, o que são ativos de informação? Unidade 1 seguranca_redes_dados.indb 29 29 2/3/2007 14:30:15 Universidade do Sul de Santa Catarina A melhor deﬁnição que encontrei até hoje é a seguinte: “Tudo que manipula a informação, inclusive ela própria”. A aplicação, a infra-estrutura, as pessoas, a tecnologia, as informações, tudo isso são ativos de informação. Você encontrará também a seguinte frase nas literaturas de artigos que retratam a realidade atual das empresas: “A informação é o ativo mais importante da empresa”. Assim, se justiﬁca sobremaneira estudar este conteúdo. Observe a ﬁgura 1.5 e reﬂita sobre ela. O que ela lhe remete, o faz lembrar? Figura 1.5 - Falsa sensação de segurança A segurança da informação, para ser eﬁcaz, necessita que todos os ativos de uma empresa sejam protegidos em igual proporção, ou seja, situações isoladas não garantem o sucesso de um projeto. Veja um exemplo bastante simples. Imagine que uma empresa realize um investimento alto na compra de equipamentos de rede como roteadores, ﬁrewall, processos de autenticação, entre outros e os implemente. Porém o controle de acesso à sala de equipamentos não foi pensado. Certo dia, o servidor de arquivos desaparece da sala e não é possível identiﬁcar quem o fez. Observe que foram implementadas soluções isoladas, preocupandose tão somente com o acesso lógico às informações. Porém para o controle de acesso físico não foi implementado nenhum recurso. Este tipo de estratégia não trará bons resultados a um projeto de segurança, pois os ativos “infra-estrutura” não foram contemplados e somente os ativos “informação” receberam proteção. 30 seguranca_redes_dados.indb 30 2/3/2007 14:30:15 Segurança em Redes de Dados Analisando o caso descrito acima, você considera a ausência de controle de acesso físico uma ameaça, um risco ou uma vulnerabilidade? Vamos começar a entender esta questão pelas vulnerabilidades. Vulnerabilidades são fragilidades presentes ou associadas aos ativos de informação. Quando exploradas por ameaças, possibilitam a ocorrência de incidentes de segurança. Por exemplo, as mais comuns se referem a uso indevido de determinado recurso, utilização de senhas fracas para acesso aos sistemas e, respondendo a pergunta anterior temos que a ausência de controle de acesso físico é considerada uma vulnerabilidade. Já as ameaças são agentes ou condições que podem causar incidentes e comprometer os ativos, explorando as vulnerabilidades existentes. Podemos classiﬁcá-las como: naturais; involuntárias e voluntárias. Como ameaças naturais temos enchentes, incêndios etc. Por exemplo, se há uma empresa instalada próxima a um posto de gasolina, podemos considerar esta situação uma ameaça. Se a sala dos servidores ﬁca no térreo do prédio da empresa e está em um local em que constantemente acontecem enchentes, também há aqui uma situação de ameaça. As ameaças involuntárias são acidentes como erros e falta de energia, e as voluntárias são invasores, criadores e disseminadores de vírus, entre outros. E os riscos, como podemos defini-los? Unidade 1 seguranca_redes_dados.indb 31 31 2/3/2007 14:30:16 Universidade do Sul de Santa Catarina Observe a ﬁgura 1.6, que procura evidenciar que a segurança da informação atua como uma barreira para as ameaças e para as vulnerabilidades, em prol do sucesso do negócio. Lembre-se que é preciso sempre partir do pressuposto de que não existe segurança 100% e de que trabalhamos para minimizar os riscos. AMEAÇAS VULNERABILIDADES SEGURANÇA Sucesso do negócio = minizar riscos (não existe segurança 100%) Figura 1.6 - Papel da segurança da informação Risco pode ser considerado a probabilidade de as ameaças explorarem as vulnerabilidades e, assim, provocarem perdas de conﬁdencialidade, integridade e disponibilidade da informação. Por exemplo, se uma determinada vulnerabilidade – falta de redundância da rede elétrica – for explorada por uma ameaça natural, como chuvas intensas e quedas de energia periódicas, existe o risco de perdas ﬁnanceiras e de imagens, por conta da indisponibilidade das informações, que impossibilita à empresa operar seus sistemas e continuar atendendo seus clientes. Outro exemplo seria o de um sistema desatualizado, com bugs (vulnerabilidade), que ofereça serviços a diversos clientes externos e fornecedores (ameaça), propiciando uma invasão e acesso às informações armazenadas no banco de dados (risco). 32 seguranca_redes_dados.indb 32 2/3/2007 14:30:16 Segurança em Redes de Dados Atenção! Existem duas abordagens para o tratamento do risco: eliminá-lo ou gerenciá-lo. Você acredita na primeira - eliminar o risco? Ora, temos que trabalhar sempre para reduzir o risco a um nível aceitável e nunca acreditar que, de fato, o eliminaremos por inteiro. A primeira abordagem é bastante tradicional, pois parte do princípio de evitar o risco, que geralmente é realizado baseado em ferramentas. Este enfoque acredita que um mecanismo é 100% seguro. A segunda abordagem de tratamento de risco possui um enfoque mais atual e realista e parte das seguintes premissas: a) admitir que o negócio está sujeito a riscos; b) minimizar os riscos utilizando tecnologia e processos seguros e c) transferir os riscos através de contratos e seguros. Atenção! Sempre trabalhe com a segunda abordagem, pois o sucesso é mais garantido. Observe que, conforme a necessidade de conectividade aumenta em uma empresa, o risco cresce em igual proporção. Veja na ﬁgura 1.7 um gráﬁco bastante simples sobre esse fato, do aumento da conectividade em relação ao aumento do risco. Antigamente, as informações eram centralizadas e não existiam formas simples para compartilhá-las como existem hoje. À medida que uma empresa necessita adicionar um servidor de arquivos, um servidor de e-mail, um servidor web e assim por diante, os riscos vão aumentando e a necessidade de procedimentos de segurança também. Unidade 1 seguranca_redes_dados.indb 33 33 2/3/2007 14:30:16 Universidade do Sul de Santa Catarina SEGURANÇA SITE INSTITUCIONAL ACESSSO À INTERNET INTRANET REDE CORPORATIVA CONECTIVIDADE Figura 1.7 - Crescimento do risco Você conhecerá na próxima seção alguns mitos e realidades referentes à segurança da informação e reﬂetirá o quanto contribuímos para eles. Seção 3 - Mitos e realidades referentes à segurança da informação Inicie o estudo desta seção lendo uma frase de Bruce Schneier, que me chamou muita atenção. “Se você pensa que a tecnologia pode resolver seus problemas de segurança, então você não conhece nem a tecnologia nem os seus problemas.” (SCHNEIER, 2001). Esta frase foi citada pelo autor em seu livro Secrets and Lies e corrige seu ponto de vista expresso em seu outro livro Applied Cryptography, escrito sete anos antes. 34 seguranca_redes_dados.indb 34 2/3/2007 14:30:16 Segurança em Redes de Dados Esse é o primeiro mito da segurança da informação: a tecnologia resolve os problemas de segurança. Ora, é preciso considerar a segurança da informação como um conjunto de processos seguros e nunca um produto. De nada adianta haver as melhores tecnologias instaladas em uma empresa se as pessoas não as utilizarem de maneira correta. Por exemplo, uma empresa instala o mais avançado controle de acesso físico que contempla o crachá do funcionário e a sua impressão digital. Porém, o funcionário, em uma ação solidária, abre a porta e deixa mais cinco de seus companheiros de trabalho entrarem junto com ele. Observe que esta ação é malintencionada, já que o objetivo do controle é armazenar o registro de todas as pessoas que visitaram os locais diariamente, para que, em casos de incidência, os registros possam ser utilizados como evidência. Outro exemplo bastante comum de acontecer é o de o sistema solicitar senhas fortes, exigindo que sejam compostas de letras, números e caracteres e que possuam um controle de troca de senha bastante rígido. Porém, a senha é compartilhada entre os funcionários e armazenada em papeizinhos embaixo do teclado do micro. Observe que a tecnologia é de extrema importância. Contudo, ela sozinha não resolve os problemas de segurança. Tanto se fala de segurança da informação, mas a responsabilidade é de quem? Observe a ﬁgura 1.8. Ela representa as formas de armazenamento da informação. Quem é responsável por tudo isso? Unidade 1 seguranca_redes_dados.indb 35 35 2/3/2007 14:30:16 Universidade do Sul de Santa Catarina Figura 1.8 - Forma de armazenamento da informação A forma de armazenamento da informação é outro paradigma que já está sendo quebrado com o tempo e com os fatos, pois está sendo provado que a segurança da informação é responsabilidade de todos. Antigamente, este tema era diretamente relacionado ao departamento de informática, de tal modo que, a qualquer problema que acontecia, o culpado era sempre procurado lá. Atualmente, isso mudou, pois o fato de os funcionários compartilharem suas senhas e as armazenarem em locais impróprios não é mais um problema somente do departamento de informática. Observe como a campanha de conscientização é um requisito importante para o sucesso de um projeto de segurança. Os funcionários, ao receberem suas senhas, se responsabilizam por todas as ações realizadas com ela e, caso alguma ocorrência comprometedora aconteça, a responsabilidade é toda do responsável pela senha. Para isso funcionar, é necessário que o funcionário esteja ciente disso e que compreenda o porquê desta preocupação da empresa com a segurança da informação. 36 seguranca_redes_dados.indb 36 2/3/2007 14:30:16 Segurança em Redes de Dados A melhor forma de você conseguir a participação dos funcionários de uma empresa em um projeto de segurança da informação é realizar uma campanha de conscientização de forma que eles (funcionários) se sintam parte do negócio, ou seja, se sintam parte integrante e importante para o sucesso do projeto. Jamais a segurança da informação deve ser vista pelos funcionários como regras que vão dizer o que eu posso e o que eu não posso fazer. Atenção! As pessoas representam o elo mais fraco da segurança da informação. Por isso, é preciso trabalhar intensamente para fortalecê-lo e jamais esquecer de treinar as pessoas conforme os procedimentos de segurança definidos. Você considera que é mais fácil proteger documentos em papel ou documentos digitais? Observe que não se trabalha com backup de documentos em papel. Então, como protegê-los? A proteção de documentos em papel é realizada através da utilização de arquivos fechados com chave e acesso restrito a eles. Porém, nada impede que o local de instalação desses arquivos incendeie, por exemplo. Existem os arquivos anti-chamas, mas este não é um produto tão acessível que uma empresa possa ter um em cada departamento, para alojar a imensidão de papéis gerada diariamente. Atualmente, podemos contar com tecnologias como as assinaturas digitais, que nos garantem que após seu uso os documentos digitais sejam mais seguros do que seus correspondentes em papel. Além disso, as assinaturas digitais permitem comprovar que o documento não foi adulterado e também sua autoria. Existe um outro recurso denominado time stamp, ou selo cronológico, que permite uma marca de data e hora para registrar tempo em documentos digitais. Unidade 1 seguranca_redes_dados.indb 37 37 2/3/2007 14:30:17 Universidade do Sul de Santa Catarina Todos esses recursos tornam a segurança de documentos digitais possível e mais plausível do que as disponíveis para a segurança do documento em papel. Neste sentido, você pode contar também com práticas tradicionais de TI, como o já citado backup e o planejamento de contingência para esse ﬁm. Para ﬁnalizar a unidade, observe a ﬁgura 1.9. Ela deve ser conhecida para você, não é? Podemos utilizá-la, também neste conteúdo, para representar a necessidade do conhecimento do todo antes de iniciar um projeto de segurança. É necessário um profundo conhecimento do negócio da empresa, inclusive das partes submersas, para que o projeto obtenha sucesso. Somente conseguimos enxergar uma parte do iceberg, que ﬁca revelada acima do nível da água, enquanto a parte inferior e submersa corresponde a pelo menos nove vezes a parte aparente. São as partes submersas que geralmente causam as tragédias! Figura 1.9 - Efeito iceberg 38 seguranca_redes_dados.indb 38 2/3/2007 14:30:17 Segurança em Redes de Dados Este também é um mito da área de segurança da informação, o termo é diretamente ligado à conﬁdencialidade da informação e muitas vezes não são considerados os outros princípios que estudamos. Devido ao histórico da área, na qual a atuação dos hackers foi bastante evidenciada, muitas pessoas não possuem conhecimento de sua complexidade e amplitude. Encerro, assim, o conteúdo da primeira unidade desta disciplina e espero que você tenha se apropriado do que foi abordado aqui. Na próxima unidade você estudará criptograﬁa e certiﬁcação digital, assim como conhecerá o funcionamento de algumas técnicas que asseguram os princípios estudados nesta unidade. Síntese Você iniciou esta unidade estudando a diferença entre dados e informação. Viu que dado pode ser considerado um conjunto de elementos que não fazem muito sentido; já informação pode ser considerada um conjunto de dados que fazem sentido para alguém. Por esse motivo, a abordagem da disciplina é referente à segurança da informação. Viu que segurança da informação é um assunto que já vem sendo discutido a algum tempo, pois desde o início da existência humana informações conﬁdenciais precisam ser protegidas. A visão cultural das empresas também sofreu mudanças. Anteriormente, era atribuído valor aos equipamentos e máquinas que as empresas continham; atualmente o valor é atribuído à informação. Conheceu os quatro princípios da segurança da informação: a conﬁdencialidade, a integridade, a disponibilidade e a irretratabilidade da informação. A conﬁdencialidade é o princípio que garante que as informações sejam acessadas somente por Unidade 1 seguranca_redes_dados.indb 39 39 2/3/2007 14:30:17 Universidade do Sul de Santa Catarina pessoas autorizadas. A integridade é o princípio que garante que a informação está íntegra e ﬁdedigna à original. A disponibilidade é o princípio que garante que a informação está disponível no momento necessário, e a irretratabilidade é o princípio que não permite a negação da autoria de uma informação ou mensagem. Em cada um destes princípios, você conheceu um fato que os afetou. Conheceu a diferença entre riscos, ameaças e vulnerabilidades. Vulnerabilidades são fragilidades presentes ou associadas aos ativos de informação, que, quando exploradas por ameaças, possibilitam a ocorrência de incidentes de segurança. Já as ameaças são agentes ou condições que podem causar incidentes e comprometer os ativos explorando as vulnerabilidades existentes. Podemos classiﬁcá-las como: naturais, involuntárias e voluntárias. E os riscos podem ser considerados a probabilidade de as ameaças explorarem as vulnerabilidades e assim provocarem perdas de conﬁdencialidade, integridade e disponibilidade da informação. Na última seção desta unidade, conheceu alguns mitos e algumas realidades referentes à segurança da informação, além de uma analogia do efeito iceberg, pois são as partes submersas, as que desconhecemos em relação à segurança da informação, que geralmente causam as tragédias. 40 seguranca_redes_dados.indb 40 2/3/2007 14:30:17 Segurança em Redes de Dados Atividades de auto-avaliação Ao final de cada unidade, você realizará atividades de auto-avaliação. O gabarito está disponível no final do livro didático. Mas esforce-se para resolver as atividades sem a ajuda do gabarito, pois assim você estará promovendo (estimulando) a sua aprendizagem. 1) Que mudança cultural das empresas impulsionou a área da segurança da informação? 2) Cite exemplos de ativos de informação. 3) Cite casos de seu conhecimento que afetaram os princípios listados e prejudicaram de alguma forma as empresas envolvidas. a) Confidencialidade: Unidade 1 seguranca_redes_dados.indb 41 41 2/3/2007 14:30:17 Universidade do Sul de Santa Catarina b) Integridade: c) Disponibilidade: d) Irretratabilidade: 4) Escreva um exemplo que una e contemple os conceitos de vulnerabilidade, ameaças e riscos. 42 seguranca_redes_dados.indb 42 2/3/2007 14:30:18 Segurança em Redes de Dados 5) Quando tratamos os riscos, qual das abordagens apresentadas é a melhor opção? Explique. 6) Quais as conclusões que você tira da seção que apresenta mitos e realidades referentes à segurança da informação? Unidade 1 seguranca_redes_dados.indb 43 43 2/3/2007 14:30:18 Universidade do Sul de Santa Catarina Saiba mais Você pode saber mais sobre o assunto estudado nesta unidade consultando a seguinte referência: www.modulo.com.br (Neste site está disponível um artigo que discute o princípio disponibilidade da informação: “Disponibilidade: questão de TI ou de Segurança da Informação”, escrito por Rafael Cardoso dos Santos. Neste mesmo site você encontra diversos materiais de qualidade referentes à segurança da informação.) Também assista ao ﬁlme A Rede (1995), com Sandra Bullock. É um pouco antigo, porém contempla diversos conceitos que você ainda estudará nesta disciplina. Sugiro que você assista, para que, à medida que os conteúdos forem avançando, faça uma relação com o que viu no ﬁlme. Isso facilitará seu aprendizado. 44 seguranca_redes_dados.indb 44 2/3/2007 14:30:18 UNIDADE 2 Criptograﬁa e Certiﬁcação Digital 2 Objetivos de aprendizagem Conhecer o funcionamento da criptografia. Identificar a certificação digital e suas aplicações. Apresentar os componentes de uma infra-estrutura de chaves públicas. Identificar a medida provisória que estabelece validade jurídica de documentos assinados digitalmente. Seções de estudo Seção 1 Criptografia Seção 2 Certificados Digitais Seção 3 Infra-estrutura de chaves públicas (ICP) seguranca_redes_dados.indb 45 2/3/2007 14:30:18 Universidade do Sul de Santa Catarina Para início de conversa Na unidade anterior, você estudou que para a segurança da informação estar completa é necessário contemplar os princípios de conﬁdencialidade, integridade, disponibilidade e irretratabilidade da informação e que se os esforços forem concentradas em apenas um deles ou focado em apenas uma porção dos ativos, a falta de proteção do total pode comprometer o que foi implementado. Nesta unidade você conhecerá o funcionamento de algumas técnicas que são utilizadas para garantir os pilares de sustentação da segurança de informação e estudará, também, a sua aplicabilidade. Então inicio com uma pergunta: Você já ouviu falar em criptografia, certo? Você faz idéia de como ela funciona? Para compreensão desta questão, inicie os estudos compreendendo seu funcionamento na seção 1. Bons estudos! Seção 1 – Criptograﬁa Existem diferentes deﬁnições que conceituam a criptograﬁa, mas é possível considerá-la como: um conjunto de técnicas matemáticas utilizadas para proteger as informações que transforma informações em textos ilegíveis para pessoas não autorizadas. O principal objetivo da criptografia é garantir a confidencialidade das informações, porém, aliada a outras técnicas, garante também a integridade e a irretratabilidade na troca de informações – assunto que você estudará nas próximas seções. 46 seguranca_redes_dados.indb 46 2/3/2007 14:30:18 Segurança em Redes de Dados Conforme representado na ﬁgura 2.1, a criptograﬁa utiliza um algoritmo e uma chave para “embaralhar” os dados de forma que ﬁquem ilegíveis, tornando legível somente para indivíduos que possuírem a chave necessária para desfazer o processo. Chave Algoritmo Texto original Texto cifrado Figura 2.1 – Criptografia Atenção! Observe que para ler um conteúdo, após este ter passado pelo processo da criptografia, é necessário ter conhecimento do algoritmo e da chave. Outro conceito importante a ser abordado, aqui, é o da criptoanálise que diferentemente da criptograﬁa estuda: a forma de tornar legível uma informação cifrada sem o conhecimento do algoritmo e da chave. Ou seja, tenta-se quebrar o “segredo” utilizado para tornar uma informação ilegível. A maior parte dos algoritmos de criptograﬁa é baseada em dois tipos de cifras: substituição e transposição. Unidade 2 seguranca_redes_dados.indb 47 47 2/3/2007 14:30:18 Universidade do Sul de Santa Catarina Você as conhecerá para facilitar, posteriormente, o entendimento dos algoritmos de criptograﬁas recentes. Cifra de Substituição A crifra de substituição é bastante simples, na qual letras originais de um texto são substituídas por outras, conforme a chave. Os indivíduos que trocarão informações cifradas utilizando a substituição, combinam uma chave K=6, por exemplo. As K primeiras letras do alfabeto são transferidas para o ﬁnal da lista e a substituição acontece. Acompanhe o exemplo abaixo. Imagine que se pretende cifrar a palavra UNISUL, utilizando a cifra de substituição e um K=6. Observe que as 6 primeiras letras foram transferidas para o final da lista. Assim, basta substituir a letra original da palavra pela sua correspondente na lista abaixo. ABCDEFGHI JKLMNOPQRSTUVWXYZ GHI JKLMNOPQRSTUVWXYZABCDEF O resultado da palavra cifrada seria ATOYAR. Já na cifra de transposição o processo é um pouco mais elaborado. Conﬁra a seguir. Cifra de Transposição Na cifra de transposição a mensagem é reescrita conforme o número de caracteres pertencentes à chave. 48 seguranca_redes_dados.indb 48 2/3/2007 14:30:18 Segurança em Redes de Dados Imagine que você pretende cifrar a palavra mensagemoriginal com a chave ixpl. A palavra a ser cifrada é escrita em colunas, conforme o número de caracteres existentes na chave. Neste caso, se escreve a palavra mensagemoriginal em quatro colunas, pois chave utilizada é composta por quatro letras. 1 2 3 4 MENS A GEM O R IG I NA L Agora a palavra é rescrita, utilizando as colunas conforme a ordem das letras que compõe a chave. 14 3 2 I XPL A palavra MENSAGEMORIGINAL cifrada, utilizando a cifra de transposição e a chave IXPL, será: MAOISMGLNEIAEGRN Você deve estar se questionando sobre a simplicidade das cifras, não é? Com certeza o processo realizado pelos algoritmos criptográﬁcos atuais é extremamente mais complexo do que vimos aqui, porém são baseados nesses dois tipos de cifras. Na próxima seção, você conhecerá uma versão educacional de um algoritmo de criptograﬁa mais próximo da realidade dos que atuam no mercado, atualmente. Estudará na, seqüência, dois tipos de criptograﬁa existentes, compreenderá seu funcionamento para posteriormente analisá-los e relacioná-los com situações em que eles podem ser utilizados. São eles: criptograﬁa simétrica ou criptograﬁa de chave privada e criptograﬁa assimétrica ou criptograﬁa de chave pública. Unidade 2 seguranca_redes_dados.indb 49 49 2/3/2007 14:30:19 Universidade do Sul de Santa Catarina Criptograﬁa Simétrica A criptograﬁa simétrica é também conhecida como criptograﬁa de chave privada, utiliza a mesma chave para cifrar e decifrar uma informação. A ﬁgura 2.2 ilustra esse conceito. Observe que o emissor A utiliza o algoritmo representado pelo cadeado e a chave para cifrar a mensagem. O receptor B ao receber a mensagem cifrada, utiliza o mesmo algoritmo e a mesma chave para fazer o processo inverso e obter acesso à mensagem original. A B Figura 2.2 – Criptografia Simétrica Para iniciar uma troca de informações cifradas utilizando a criptograﬁa simétrica é necessário que a chave seja de conhecimentos de ambas as partes envolvidas no processo. O que isso signiﬁca? Signiﬁca que os indivíduos que participarão da troca de informações precisam combinar previamente a chave para que o receptor consiga obter acesso à informação de forma legível. Você percebe algum problema nisso? Pense sobre o seguinte: os indivíduos deverão encontrar um canal seguro para trocar essa chave. Qual será esse canal? Telefone, e-mail, carta, são canais seguros? Mais algumas perguntas para você pensar: 50 seguranca_redes_dados.indb 50 2/3/2007 14:30:19 Segurança em Redes de Dados Quando compartilhamos uma chave ou senha com outra pessoa, esta continua sendo considerada segura/confidencial? Imagine que você precise se comunicar de maneira segura com pessoas distintas. Você precisará de uma chave diferente para cada comunicação? Você conhecerá, em seguida, o funcionamento da criptograﬁa assimétrica que foi desenvolvida para resolver alguns desses problemas. Além da preocupação com o sigilo das chaves, a segurança do processo de criptograﬁa também está ligado à complexidade dos algoritmos e ao tamanho da chave que eles utilizam. Segue, na seqüência, um quadro contendo alguns algoritmos da criptograﬁa simétrica e seus respectivos tamanhos de chaves. Algoritmos Tamanho DES Triple-DES CAST RC2 IDEA AES 56-bit ~ 120-bit 40, 64, 80, 128 - bit 40, 128 - bit 128 - bit 128, 256 - bit Quadro 2.3 – Algoritmos da criptografia simétrica Veja, agora, uma versão educacional do algoritmo de criptograﬁa DES (Data Encryption Standard) denominada Simple-DES. Esta versão possui as mesmas propriedades do DES, porém em menor escala. Acompanhe a explicação analisando as ﬁguras, para facilitar o entendimento. Na ﬁgura 2.4, o processo de cifragem está exposto na coluna esquerda, o qual cada caixa representa uma função executada pelo algoritmo. Observe que f k utiliza as chaves (K1 e K2) . Neste exemplo, a informação a ser cifrada é representada por um conjunto de 8 bits e Unidade 2 seguranca_redes_dados.indb 51 51 2/3/2007 14:30:19 Universidade do Sul de Santa Catarina o resultado, após o processo de cifragem, também é de 8 bits. O processo para decifrar a mensagem é o mesmo realizado para cifrar alterando apenas a ordem de utilização das chaves. Para cifrar, K1 é utilizada primeiro e depois K2; para decifrar primeiramente é utilizada K2 e depois K1. A coluna do meio representa o processo de geração das chaves. Estude o processo de geração de chaves para que o funcionamento dos algoritmos criptográﬁcos ﬁque mais claro para você. O restante será apresentado somente o ﬂuxograma dos eventos, para conhecimento. Você não estudará o algoritmo inteiro, pois este não é o objetivo desta disciplina. A apresentação do S-DES servirá para você conhecer um algoritmo criptográﬁco mais próximo da realidade. 10-bit key Encryption Decryption P10 8-bit plaintext 8-bit plaintext Shift IP -1 IP fk K1 P8 K1 fk Shift SW SW fk K2 P8 K2 fk IP -1 IP 8-bit ciphertext 8-bit ciphertext Figura 2.4 – Simple DES Fonte: Stallings (1998, p. 51) 52 seguranca_redes_dados.indb 52 2/3/2007 14:30:19 Segurança em Redes de Dados Para compreender a geração das chaves K1 e K2, observe a ﬁgura 2.4. A chave solicitada ao usuário é uma chave de 10 bits, por exemplo. O primeiro processo a ser executado pelo algoritmo é o P10. O P10 são permutações realizadas com os bits, conforme apresentado no quadro seguinte: P10 3 5 2 7 4 10 1 9 8 6 Quadro 2.1 – Permutação P10 Logo em seguida é realizado o LS (Left-Shift)-1, que nada mais é do que a alteração da posição dos bits da esquerda. Atenção! Antes do LS-1 os 10 bits (resultado do P10) é dividido ao meio e então aplicado o LS-1. Prosseguindo no algoritmo, o resultado do LS-1 é submetido ao P8, outra permutação, conforme o quadro 2.2 seguinte. P8 6 3 7 4 8 5 10 9 Quadro 2.2 – Permutação P8 Então, obtém-se a primeira chave K1. Para a obtenção do K2, o algoritmo utiliza o mesmo conjunto de 10 bits resultantes do LS1, divide os bits pela metade e aplica o LS (Left-Shift)-2 (alteração da posição de 2 bits da esquerda para o ﬁnal). O P8 é aplicado novamente e obtém-se a segunda chave K2. Visualize esta operação, na ﬁgura 2.5. Unidade 2 seguranca_redes_dados.indb 53 53 2/3/2007 14:30:19 Universidade do Sul de Santa Catarina 10-bit key 10 P10 5 5 LS-1 LS-1 5 5 P8 K1 8 LS-2 LS-2 5 5 P8 K2 8 Figura 2.5 – Geração de chaves S-DES Fonte: Stallings (1998, p. 52) Para cifrar a mensagem, veja o processo representado na ﬁgura 2.6 e as funções nos quadros, apresentados logo na seqüência. 54 seguranca_redes_dados.indb 54 2/3/2007 14:30:19 Segurança em Redes de Dados 8-bit plaintext 8 IP 4 fk 4 E/P 8 F 8 + 4 4 2 2 SO K1 S1 P4 4 + 4 SW 4 fk 4 E/P 8 F 4 8 + 4 SO K2 S1 2 2 P4 4 + 4 IP -1 8 8-bit ciphertext Figura 2.6 – S-DES Fonte: Stallings (1998, p. 54) Unidade 2 seguranca_redes_dados.indb 55 55 2/3/2007 14:30:20 Universidade do Sul de Santa Catarina IP 2 6 3 1 4 8 5 7 IP-1 4 1 3 5 7 2 8 6 E/P 4 1 2 3 2 3 4 1 P4 2 4 3 1 SO 1 3 0 3 0 2 2 1 3 1 1 3 2 0 3 2 S1 0 2 3 2 1 0 0 1 2 1 1 0 3 3 0 3 Quadro 2.3 – Matriz S0 e S1 Se você tiver interesse em estudar o algoritmo S-DES na íntegra, consulte o livro Cryptography and Network Security – Principles na Practice, do Willian Stallings, que o apresenta com detalhes. Agora que você já conhece uma prévia de um algoritmo criptográﬁco, mesmo sendo em uma versão educacional, ﬁca mais fácil imaginar a complexidade de um algoritmo completo utilizado atualmente, não é? Você conhece, agora, o funcionamento da criptograﬁa assimétrica que foi criada para resolver algumas limitações da criptograﬁa simétrica. Criptograﬁa Assimétrica A criptograﬁa assimétrica é também conhecida como criptograﬁa de chave pública. Ela recebe este nome porque utiliza um par de chaves: uma chave pública e uma chave privada. 56 seguranca_redes_dados.indb 56 2/3/2007 14:30:20 Segurança em Redes de Dados Essas chaves são matematicamente combinadas na sua geração e trabalham em conjunto no processo de cifrar e decifrar informações. Uma informação cifrada com uma das chaves somente poderá ser decifrada com seu par correspondente. A chave pública poderá ser publicada sem problemas, esta pode ser anunciada por e-mail, telefone ou qualquer outro meio, sem a preocupação que este seja seguro. Mas por que será que nesta técnica não é preciso se preocupar com o sigilo da chave pública? Porque é preciso garantir o sigilo somente da chave privada. Como seu próprio nome diz, a chave privada deverá ser de conhecimento somente de seu proprietário, ninguém mais. Atenção! O mais interessante é que a obtenção da chave pública não significa vantagem alguma para obter a privada correspondente, pois a partir de uma delas não é possível descobrir a outra. Observe a ﬁgura 2.7, ela ilustra a atuação da criptograﬁa assimétrica com o par de chaves. A origem A utiliza o algoritmo, representado pelo cadeado e a chave pública de B para cifrar a informação e então encaminhar a mensagem cifrada para B. O receptor B, ao receber a mensagem cifrada, utiliza o mesmo algoritmo porém, agora a sua chave privada para decifrá-la. Observe que a chave privada é de conhecimento somente de B. Assim, é garantido que somente ele consegue decifrar uma informação cifrada com a chave pública dele. Unidade 2 seguranca_redes_dados.indb 57 57 2/3/2007 14:30:20 Universidade do Sul de Santa Catarina Chave privada de B Chave pública de B A B Figura 2.7 – Criptografia Assimétrica A criptograﬁa assimétrica é bastante utilizada para a comunicação de dados, por não necessitar da combinação da chave previamente. Atenção! Da mesma maneira que ocorre na criptografia simétrica, na assimétrica o tamanho da chave e a complexidade dos algoritmos utilizados são fatores importantes para garantir a segurança de uma transação. Conheça abaixo alguns algoritmos de criptograﬁa assimétrica e seus respectivos tamanhos de chave: RSA (Rivest, Shamir e Adleman) Tamanho de chave recomendado: 1024 bits DSA (Digital Signature Algorithm) utilizado somente para assinaturas digitais Tamanho de chave recomendado: 1024 bits DH (Diﬃe Hellman) utilizado para a troca de chaves e criptograﬁa Tamanho de chave recomendado: 1024 bits EC (Elliptc Curves) similar ao DAS e ao DH em suas funções Tamanho de chave recomendado: 192 bits 58 seguranca_redes_dados.indb 58 2/3/2007 14:30:20 Segurança em Redes de Dados Considerando o que você já estudou, já é possível concluir que a criptograﬁa assimétrica possui vantagens em relação a criptograﬁa simétrica. Você viu, anteriormente, que uma das limitações da criptograﬁa simétrica é a troca das chaves de maneira segura, enquanto a criptograﬁa assimétrica já não apresenta essa limitação. A divulgação da chave pública, livremente, também é uma vantagem em relação a criptograﬁa simétrica. Neste caso, não é necessário que, para cada pessoa que se pretenda comunicar, seja necessária a criação de uma nova chave, uma vez que basta armazenar seguramente a chave privada e não divulgá-la a ninguém que as transações serão realizadas com segurança. A criptograﬁa assimétrica, juntamente com outras técnicas, permite a assinatura digital em documentos, assunto que você estudará na próxima seção. Mas não somente vantagens são encontradas na criptograﬁa assimétrica. O tempo de processamento de um algoritmo de criptograﬁa assimétrica, por exemplo, é maior do que o da simétrica - essa é uma de suas desvantagens. Logicamente, quando se fala em tempo de processamento este se refere a segundos. Porém, se uma rede com tráfego intenso de informações cifradas está trafegando, o caso pode ser perceptível e crítico. E a criptograﬁa assimétrica isoladamente também apresenta algumas limitações, como por exemplo: Como você sabe de quem são as chaves públicas que você tem? Onde se obtêm as chaves públicas das pessoas que se pretende comunicar? Como confiar nas chaves públicas? Como as chaves são atualizadas ao longo do tempo? Unidade 2 seguranca_redes_dados.indb 59 59 2/3/2007 14:30:20 Universidade do Sul de Santa Catarina Essas questões foram resolvidas através da tecnologia de Public Key Infrastructure (PKI) ou no português Infra-estrutura de Chaves Públicas (ICP), que você estudará na próxima seção. Afinal, qual tipo de criptografia é mais adequado utilizar, já que os dois tipos apresentam vantagens e desvantagens? A tecnologia dos chamados envelopes digitais combina a criptograﬁa simétrica e a assimétrica, utilizando o que há de melhor nos dois tipos. Acompanhe a explicação, analisando a ﬁgura 2.8. Temos um emissor e um receptor, ambos possuem seus pares de chaves e temos também a chave de seção que é gerada a cada seção, estabelecida com o usuário e descartada em seu término. A informação a ser encaminha é cifrada utilizando a criptograﬁa simétrica e a chave de seção. Assim, é necessário que a chave de seção chegue até o destinatário para que ele consiga decifrar a informação, concorda? Então somente a chave de seção é cifrada com a chave pública do destinatário, utilizando a criptograﬁa assimétrica. O destinatário então recebe a mensagem cifrada com a chave de seção e esta cifrada com a sua chave pública. Desta forma, ele utiliza sua chave privada para obter a chave de seção e decifra a mensagem com ela. 60 seguranca_redes_dados.indb 60 2/3/2007 14:30:20 Segurança em Redes de Dados Carlos Ana Chave pública (ANA) Texto original Chave de seção Chave de seção Chave privada (ANA) Chave de seção Chave pública (CARLOS) Chave pública (CARLOS) Envelope digital Texto cifrado Envelope digital Texto cifrado Chave privada (CARLOS) Chave privada (CARLOS) Chave de seção Chave de seção Texto original CARLOS ANA Figura 2.8 – Envelopes Digitais Os envelopes digitais são utilizados em transações eletrônicas e esse processo não precisa necessariamente ser realizado entre duas pessoas, pois pode também ocorrer entre uma pessoa e uma máquina. Unidade 2 seguranca_redes_dados.indb 61 61 2/3/2007 14:30:21 Universidade do Sul de Santa Catarina Seção 2 – Certiﬁcados Digitais Você sabe o que são e para que servem os certiﬁcados digitais? Os certiﬁcados digitais são similares a carteira de identidade de um indivíduo, que é utilizada para comprovar que a pessoa é realmente quem se diz ser. São utilizados para autenticar pessoas, equipamentos e entidades e agem como passaporte digital, ao comprovar a veracidade dos dados contidos nele após uma solicitação o processo segue adiante. Existem outros tipos de certiﬁcados em uso na Internet. Porém, os que possuem maior aceitação são os padronizados pelo formato X.509, da International Telecommunications Union – Telecommunications (ITU-T) e todos eles são assinados por uma autoridade certiﬁcadora, que garanta que as informações contidas nos certiﬁcados são verdadeiras. Os certiﬁcados digitais são a base para o uso da web de forma segura. Ou seja, empresas como bancos, e-commerce entre outras, precisam adquirir um certiﬁcado digital em uma autoridade certiﬁcadora para prover acesso seguro. Porém, os certiﬁcados digitais podem ser emitidos para outros ﬁns, como: Certiﬁcados pessoais - são utilizados para a autenticação do usuário; Certiﬁcados de servidor - são utilizados para autenticar e identiﬁcar um servidor; Certiﬁcados de Autoridades Certiﬁcadoras - são utilizados para assinar outros certiﬁcados emitidos por ela. Outras características importantes dos certiﬁcados digitais, emitidos por autoridades certiﬁcadoras, são as de que estes possuem um prazo de validade, geralmente variam de 2 a 3 anos, e podem ter seu funcionamento cancelado. Ao adquirir um certiﬁcado digital é gerado o par de chaves e a segurança de uma delas – a chave privada – é de responsabilidade do usuário e da autoridade certiﬁcadora que o emitiu. Desta 62 seguranca_redes_dados.indb 62 2/3/2007 14:30:21 Segurança em Redes de Dados forma, caso ocorra algum problema com essa chave, por exemplo, o certiﬁcado poderá ser revogado e a validade das transações realizadas com ele, a partir desse momento deixará de ter validade. Este é apenas um dos motivos em que a validade de um certiﬁcado poderá ser cancelada, porém, existem outros que são aceitos na solicitação de cancelamento. Conforme visto anteriormente, na aquisição de um certiﬁcado digital é gerado um par de chaves que podem ser utilizadas para cifrar uma informação e para assiná-la digitalmente. O processo de cifragem, você já estudou na seção anterior. E a assinatura digital, você faz idéia de como ela funciona? Assinatura Digital A assinatura digital é gerada como se fosse a “impressão digital” de um documento e utiliza uma composição de função hash com criptograﬁa. Você compreenderá a assinatura digital estudando o funcionamento da função hash, já que o processo de criptograﬁa já conhece. Função Hash A função hash é uma função matemática que gera um resumo da mensagem. Estude a função hash individualmente para que depois a entenda inserida no processo da criptograﬁa. A função hash possui algumas características: Função de mão única - a partir do resultado da função hash não é possível adquirir a informação que a gerou; Tamanho ﬁ xo - independente do tamanho da informação utilizada para gerar o hash, o tamanho de saída é o mesmo. Este fator depende do algoritmo utilizado para gerar o hash. Se o algoritmo utilizado for o MD5 então o tamanho resultante será de128b e se for o SHA-1 então o tamanho será de 160b. A alteração de apenas 1 bit na informação de entrada mudará totalmente o hash gerado. Unidade 2 seguranca_redes_dados.indb 63 63 2/3/2007 14:30:21 Universidade do Sul de Santa Catarina Acompanhe a ﬁgura 2.9 para entender o funcionamento da função hash. A informação a ser transmitida é “UNISUL”; esta é submetida ao algoritmo de hash que gera o resumo. O resumo é anexado a informação e encaminhado para o destinatário. O destinatário ao receber, gera um novo hash da informação e compara com o recebido; se forem iguais, signiﬁca que a informação recebida está íntegra e ﬁdedigna à enviada. Observe que a função hash se preocupa com a integridade da informação, por que esta trafegou abertamente não se impedindo que ninguém a lesse no meio do caminho. Unisul 0421 F5 3D 22 9A CC B7 3C AA E 2 Algoritmo de HASH 0421 F5 3D 22 9A CC B7 3C AA E 2 Garante a integridade dos dados Transmite para o destino Unisul 0421 F5 3D 22 9A CC B7 3C AA E 2 0421 F5 3D 22 9A CC B7 3C AA E 2 Algoritmo de HASH Iguais? Figura 2.9 – Função Hash Você considera que a função hash, isoladamente como foi estudada até agora, realmente garante a integridade da informação? E se alguém interceptar a informação durante seu percurso, alterá-la, gerar um novo hash anexá-la e encaminhá-la, o destinatário identificará essa alteração? 64 seguranca_redes_dados.indb 64 2/3/2007 14:30:21 Segurança em Redes de Dados A assinatura digital resolve esse problema, pois o hash é cifrado com a chave privada do emissor garantindo assim que somente sua chave pública desfaça o processo e garante que realmente foi o emissor que gerou o hash. Acompanhe a ﬁgura 2.10 que ilustra o funcionamento da assinatura digital. O emissor, representado pela letra A gera o hash da mensagem e utiliza a sua chave privada, que somente ele possui, para cifrá-lo. O hash cifrado é anexado a mensagem e encaminhado para o destinatário. Para a veriﬁcação da mensagem, o destinatário decifra o hash recebido utilizando a chave pública de A, gera um novo hash com a mensagem recebida e compara com o recebido. Se forem iguais, signiﬁca que a mensagem são foi alterada durante seu percurso e está íntegra a mensagem que foi encaminhada pelo emissor. Chave privativa de A Mensagem A HASH Resumo Resumo cifrado 0100010010101 1010100101010 0100010010101 1010100101010 Mensagem assinada XXXXXXXXXXXXX XXXXXXXXXXXXX XXXXXXXXXXXXX XXXXXXXXXXXXX XXXXXXXXXXXXX XXXXXXXXXXXXX XXXXXXXXXXXXX XXXXXXXXXXXXX Verificação de uma mensagem com Assinatura Digital Mensagem 0100010010101 1010100101010 0100010010101 1010100101010 HASH XXXXXXXXXXXXX XXXXXXXXXXXXX XXXXXXXXXXXXX XXXXXXXXXXXXX Resumo =? Mensagem assinada 0100010010101 1010100101010 0100010010101 1010100101010 XXXXXXXXXXXXX XXXXXXXXXXXXX XXXXXXXXXXXXX XXXXXXXXXXXXX Resumo Resumo cifrado Chave pública de A Figura 2.10 – Assinatura Digital Unidade 2 seguranca_redes_dados.indb 65 65 2/3/2007 14:30:21 Universidade do Sul de Santa Catarina Atenção! Um ponto importante a ser observado aqui é que somente a integridade da mensagem foi garantida, pois a mensagem em si trafegou abertamente e não impediu que alguém lesse seu conteúdo. Caso seja a mensagem seja confidencial, será necessário cifrar, no emissor, todo o “pacote” com a chave pública do destinatário, para garantir que somente ele tenha acesso. Agora que já sabe o funcionamento da assinatura digital, e para que os certiﬁcados digitais são utilizados, estude como obter um e como funciona a estrutura que emite e controla os certiﬁcados digitais. Seção 3 – Infra-estrutura de chaves públicas (ICP) Nesta seção você estuda os componentes de uma infra-estrutura de chaves públicas e suas respectivas funções além de conhecer como se pode obter um certiﬁcado digital. As infra-estruturas de chaves públicas contam com um conjunto de serviços que as permitem emitir e gerenciar pares de chaves de terceiros. Para que uma ICP execute suas funções, ela conta com: Autoridade Certiﬁcadora (AC), Autoridade de Registro (AR), Módulo Público, Diretório Publico e Lista de Certiﬁcados Revogados (CRL). 66 seguranca_redes_dados.indb 66 2/3/2007 14:30:22 Segurança em Redes de Dados Estude, rapidamente, cada um deles. Autoridade Certiﬁcadora (AC) As ACs são responsáveis pela emissão, assinatura e controle de certiﬁcados revogados. As ACs devem ser entidades comerciais respeitadas pela comunidade, que oferecem estrutura para oferecer esse serviço. Atualmente, as mais conhecidas são: a Certisign, a Serpro e a Serasa. Autoridade de Registro (AR) As ARs são responsáveis pela veriﬁcação das informações contidas na solicitação do certiﬁcado. Funciona como um cartório, que realiza a veriﬁcação, por exemplo, se a pessoa que faz a solicitação do certiﬁcado é ela mesmo e comprova as informações através de demonstrativos originais. Na prática, a AR recebe uma solicitação de certiﬁcado e veriﬁca se os dados contidos nesta são verdadeiros. Após isso, a requisição é encaminhada para que a AC emita o certiﬁcado digital. Toda as requisições de solicitação de certiﬁcado digital devem passar obrigatoriamente pela AR. Módulo Público Este componente é responsável por fornecer uma interface que possibilite o acesso aos componentes da ICP. Deve possibilitar também a busca de dados em diversos componentes, de forma transparente para o usuário. É através desse componente que se solicita um certiﬁcado, que se veriﬁca quais são os certiﬁcados que estão revogados e quais os certiﬁcados emitidos pela AC. Unidade 2 seguranca_redes_dados.indb 67 67 2/3/2007 14:30:22 Universidade do Sul de Santa Catarina Diretório Público Este componente é responsável por armazenar e manter disponível, através do módulo público, informações de acesso público, como é o caso dos certiﬁcados emitidos pela AC e a Lista de Certiﬁcados Revogados (LCR). Um dos principais princípios da segurança da informação que deve ser garantido pelo diretório público é um alto nível de disponibilidade e sempre se manterem atualizados. Lista de Certiﬁcados Revogados (CRL) Este componente trata de uma estrutura de dados que contém uma lista de certiﬁcados que não devem ser considerados válidos. As CRLs possuem sua origem e integridade assegurada através da assinatura digital e devem ser publicadas freqüentemente no Diretório Público. Embora todo certiﬁcado digital possua uma data de expiração, ou data de validade, deﬁnida em sua geração, deve haver um meio de torná-lo inválido antes que o prazo expire. Isto é necessário por uma série de motivos, entre os quais: a mudança dos dados do certiﬁcado; o comprometimento da chave privada do certiﬁcado; o comprometimento da chave privada da AC emitente; o cancelamento da operação pela qual um certiﬁcado foi emitido. Atenção! Após o cancelamento de um certificado digital, as CRLs são atualizadas. 68 seguranca_redes_dados.indb 68 2/3/2007 14:30:22 Segurança em Redes de Dados Para compreender o processo de aquisição de um certiﬁcado digital e a atuação dos componentes abordados aqui, acompanhe a explicação, analisando a ﬁgura 2.11. O usuário, na ﬁgura representada pelo usuário ﬁnal, solicita um certiﬁcado digital utilizando o módulo público. A requisição de solicitação é encaminhada para a AR fazer a veriﬁcação da veracidade dos dados. Após veriﬁcado, a solicitação é encaminhada para a AC que o armazena no diretório público e disponibiliza para o usuário ﬁnal. Autoridade Certificadora Diretório Público Autoridade de Registro Entidade Final Módulo Público Figura 2.11 – Solicitação de um certificado Digital As ICPs são estruturadas em hierarquias de confiança, mas o que isso significa? Existe uma ICP denominada de Raiz que assina os certiﬁcados das ACs, que conﬁa e que se encontram abaixo delas na árvore hierárquica. Há algum tempo atrás, a AC Raiz ﬁcava fora do Brasil e todos os certiﬁcados emitidos aqui eram assinados, na Raiz, por uma entidade estrangeira. Unidade 2 seguranca_redes_dados.indb 69 69 2/3/2007 14:30:22 Universidade do Sul de Santa Catarina Após 24 de agosto de 2001, essa situação mudou devido a Medida Provisória (MP) 2.200-1 que transforma o Instituto Nacional de Tecnologia da Informação e o institui a InfraEstrutura de Chaves Públicas Brasileira (ICP-Brasil). Esta MP também atribui validade jurídica somente para documentos em formato eletrônico que são assinados digitalmente. Algumas iniciativas foram realizadas para efetivar o uso de certiﬁcados digitais emitidos por ACs ligadas a ICP-Brasil. Veja um exemplo. O programa Universidade para Todos (PROUNI), com o objetivo de eliminar o volume de papel - porém garantindo a validade jurídica - solicitou as entidades de ensino que fossem participar do programa que, tanto sua inscrição no programa quanto a inserção dos alunos que solicitaram as bolsas fossem realizadas pela Internet com o uso do certificado digital, emitido por uma AC vinculada à ICP-Brasil. Outra iniciativa para o incentivo ao uso do certiﬁcado digital é a declaração do imposto de renda via Internet, que para entidades jurídicas devem também utilizá-los. O certiﬁcado digital é uma tendência de mercado do mundo web, e conforme estudado aqui, pode-se concluir que é impossível aﬁrmar que uma empresa sobreviva sem procedimentos de segurança e os certiﬁcados digitais que garantem a segurança em transações pela Internet. Assim, você ﬁnaliza mais uma unidade dessa disciplina. Espero que tenha aprendido os conteúdos abordados aqui. Na próxima unidade estudará questões relacionadas à segurança em transações eletrônicas. 70 seguranca_redes_dados.indb 70 2/3/2007 14:30:22 Segurança em Redes de Dados Síntese Você estudou nesta unidade o funcionamento da criptograﬁa e viu que existem 2 tipos: a simétrica ou de chaves privada e a assimétrica, também conhecida como criptograﬁa de chave púbica. A principal diferença entre elas é que na criptograﬁa simétrica a mesma chave que é utilizada para cifrar será utilizada para decifrar. Já na criptograﬁa assimétrica, é gerado um par de chaves e uma operação feita com uma delas poderá ser desfeita com o seu par correspondente. A aquisição de uma das chaves não signiﬁca vantagem alguma para a posse da outra – não é possível descobrir uma chave a partir da outra. Você viu que a segurança de um processo de criptograﬁa depende também da complexidade do algoritmo e do tamanho da chave utilizada. Conheceu o S-DES que é uma versão educacional, e por esse motivo é apresentado em menor escala o que permitiu ter uma idéia de como funciona um algoritmo de criptograﬁa. Conheceu os envelopes digitais e viu que esta técnica utiliza uma combinação de criptograﬁa simétrica e de criptograﬁa assimétrica aproveitando o que há de melhor nesses dois tipos de criptograﬁa. Estudou os certiﬁcados digitais e para isso viu o funcionamento da função hash e da assinatura digital. Conheceu também a composição e o funcionamento das ICPs e seus componentes e viu que cada um exerce sua função de forma que em conjunto permitam a solicitação de certiﬁcados digitais e garantam a validade destes. Por último, conheceu um pouco da história da ICP-Brasil e alguns incentivos ao uso dos certiﬁcados digitais. Unidade 2 seguranca_redes_dados.indb 71 71 2/3/2007 14:30:22 Universidade do Sul de Santa Catarina Atividades de auto-avaliação Ao final de cada unidade, você realizará atividades de auto-avaliação. O gabarito está disponível no final do livro-didático. Mas, esforce-se para resolver as atividades sem ajuda do gabarito, pois, assim, você estará promovendo (estimulando) a sua aprendizagem. 1) Qual o principal objetivo da criptografia e qual o princípio da segurança da informação garantido com seu uso? 2) Por que a criptografia simétrica também é conhecida como criptografia de chave privada? 3) Por que a criptografia assimétrica também é conhecida como criptografia de chave pública? 72 seguranca_redes_dados.indb 72 2/3/2007 14:30:22 Segurança em Redes de Dados 4) Cite 2 algoritmos utilizados na criptografia simétrica. 5) Cite 2 algoritmos utilizados na criptografia assimétrica. 6) Explique o funcionamento dos envelopes digitais. 7) Cite três tipos de certificados digitais e seus devidos fins. Unidade 2 seguranca_redes_dados.indb 73 73 2/3/2007 14:30:23 Universidade do Sul de Santa Catarina 8) Cite os principais componentes de uma ICP. Saiba mais Você pode saber mais sobre o assunto estudado nesta unidade consultando os seguintes sites: http://www.planalto.gov.br/ccivil/mpv/Antigas_2001/2200-2.htm (Para conhecer a Medida Provisória 2.200-2, na íntegra). http://www.certiﬁcadosdigitais.com.br/compras/ (Para acessar informações sobre os tipos de certiﬁcados digitais). http://www.certisign.com.br/ (Para acessar informações sobre os tipos de certiﬁcados digitais). http://www.serpro.gov.br/servicos/cert_digital/certiﬁcacaoCCDSerpro (Para acessar informações sobre os tipos de certiﬁcados digitais). http://www.icpbrasil.gov.br/ (Para conhecer mais sobre a ICP-Brasil). 74 seguranca_redes_dados.indb 74 2/3/2007 14:30:23 UNIDADE 3 Segurança em Transações Eletrônicas 3 Objetivos de aprendizagem Identificar vulnerabilidade em um sistema. Aplicar as técnicas de segurança para proteger informações. Confeccionar um protocolo criptográfico básico. Conhecer protocolos criptográficos existentes. Seções de estudo Seção 1 Cenário Atual Seção 2 Transações Eletrônicas Seção 3 Segurança em Transações Eletrônicas Seção 4 Protocolos Criptográficos Seção 5 O Protocolo Secure Socket Layer (SSL) seguranca_redes_dados.indb 75 2/3/2007 14:30:23 Universidade do Sul de Santa Catarina Para início de conversa Nesta unidade você compreenderá como fazer uso dos conceitos aprendidos anteriormente, com a ﬁnalidade de desenvolver aplicativos que garantam a segurança das informações transacionadas. Através da especiﬁcação de protocolos criptográﬁcos, vislumbrará quais recursos devem ser protegidos em uma transação e qual o serviço de segurança que deve ser usado. Seção 1 – Cenário Atual O cenário econômico atual faz com que todos pensem cada vez mais em iniciar ou ampliar os serviços da empresas para a Internet, obtendo com isto uma maior visibilidade e eﬁciência das operações. Até um tempo atrás, uma empresa dispor de alguma forma de comércio eletrônico era um diferencial, já na atualidade isto é uma questão de sobrevivência. Com o dia a dia cada vez mais atribulado, fatores como a violência e trânsitos caóticos, e muitos outros favorecem para que a maioria das pessoas permaneça mais tempo em escritórios e incentivam fortemente o uso de computadores para realizar seus afazeres, sejam eles particulares ou corporativos. Ao imaginar uma forma de transação eletrônica é natural relacionar com lojas virtuais ou o acesso a conta bancária, por serem os mais utilizados pela maioria. Porém, a troca de uma mensagem de correio eletrônico é uma forma de transação eletrônica. Uma transação eletrônica nem sempre está ligada há alguma forma de comércio eletrônico, envolvendo uma movimentação ﬁnanceira, embora seja justamente com estas que se deve tomar um maior cuidado, inicialmente. 76 seguranca_redes_dados.indb 76 2/3/2007 14:30:23 Segurança em Redes de Dados Devido a isto você estuda agora alguns modelos de comércio eletrônico, pois é preciso priorizar a proteção deste tipo de sistema: B2B Business to Business Este modelo está relacionado com a realização de transações eletrônicas entre duas empresas. Este segmento do comércio eletrônico movimenta um grande número de transações diariamente. Um exemplo de transação eletrônica no B2B é o de uma empresa de representação que envia as Ordens de Compra eletronicamente para seus fornecedores quando o estoque está abaixo do limite mínimo. B2C Business to Consumer Este é o modelo mais conhecido do comércio eletrônico. Nele um consumidor acessa uma empresa para fazer uso de algum serviço ou a compra de um produto. Por exemplo, um usuário que acessa o site de uma livraria virtual para a compra de um livro. No ano de 2006 este segmento do comércio eletrônico movimentou aproximadamente R$ 13,6 Bilhões. Esta informação foi divulgada pelo site IDGNow! B2G Business to Government Este segmento do comércio eletrônico abrange o fornecimento de serviços/produtos para o governo. O governo é um grande comprador e cada vez mais faz uso de transações eletrônicas para reduzir os seus custos. Um exemplo deste modelo são os portais onde o governo disponibiliza os serviços/produtos que está necessitando. Empresas cadastradas acessam o portal e informam o preço para fornecimento dos itens requisitados. Seção 2 – Transações Eletrônicas As transações eletrônicas seguem os conceitos de uma transação tradicional. Porém, ao invés de uma negociação frente a frente: em uma transação eletrônica se faz uso de sistemas computacionais, os quais trocam informações através de meios eletrônicos. Em uma transação eletrônica a interação humana é menor ou, até mesmo, inexistente. Enquanto que nas transações tradicionais são utilizados documentos físicos como forma de se formalizar o processo, a ausência do papel é o grande atrativo das transações eletrônicas. Unidade 3 seguranca_redes_dados.indb 77 77 2/3/2007 14:30:23 Universidade do Sul de Santa Catarina O uso de sistemas eletrônicos está conseguindo diminuir as burocracias envolvidas em uma transação comercial e agilizar todo o processo. O fato negativo deste processo é justamente a segurança destas transações. Nas transações tradicionais as empresas conheciam os perigos do processo e consequentemente conseguiam se defender contra possíveis riscos de segurança ligados a ele. Já nas transações eletrônicas, a maioria das empresas desconhece os riscos e isto causa uma falsa sensação de segurança. Atenção! As transações eletrônicas necessitam das mesmas garantias de uma transação tradicional, o que em nenhum momento reduz a sua eficiência. Os requisitos de segurança necessários são aplicados diretamente pelos sistemas que realizam as transações e na maioria das vezes é totalmente transparente para os usuários. Porém, a falta destes requisitos pode colocar em risco as transações e, conseqüentemente, os negócios. Os requisitos de segurança que necessitam ser aplicados nas transações eletrônicas são: Identiﬁcação das partes Integridade das informações Sigilo das informações Quando se realiza um negócio é importante identiﬁcar as partes envolvidas, para garantir que a transação seja realizada de forma segura. Este requisito é necessário para impedir que uma parte minta sobre sua identidade e envie dados de outra pessoa, como por exemplo, o número do cartão de crédito. Quando uma transação eletrônica é realizada é preciso ter certeza que os dados recebidos sejam exatamente os mesmos que a outra parte inseriu em seu sistema. Não há como garantir o sucesso de uma transação sem este requisito. Imagine um sistema onde o cliente compra 1(um) livro em um site e o sistema informa ao setor de entrega a necessidade do envio de 10 (dez) exemplares. Como toda transação eletrônica requer a transferência de dados entre as partes, incluindo informações pessoais, é importante a implantação de mecanismos de segurança para garantir a sua conﬁdencialidade. As informações pessoais das partes e as informações do negócio somente dizem respeito as parte envolvidas e a terceiros autorizados. Partes que não tenham a devida autorização devem ter seu acesso impedido. 78 seguranca_redes_dados.indb 78 2/3/2007 14:30:23 Segurança em Redes de Dados Acompanhe, agora, a análise do cenário de uma transação eletrônica: Exemplo e análise de cenário onde transações eletrônicas são realizadas A empresa Cadernex possui uma abrangência estadual e desloca seus vendedores ao interior do estado para vender seu principal produto: cadernos. Modernizando a sua forma de atuação ela criou um sistema Web que permite aos vendedores registrar todas suas vendas ao final de cada dia. Nele o vendedor informa os dados do cliente e dos seus pedidos. Todas as informações ficam armazenadas para o envio das mesmas ao setor de produção. A figura 3.1 ilustra o cenário. Servidor Web Cadernex Base de dados Internet / Intranet Vendedor Figura 3.1 – Cenário onde transações eletrônicas são realizadas Análise do ambiente Para garantir a segurança do vendedor é necessária instalação de mecanismos que permitam a ele ter certeza que está acessando o servidor da empresa. Da mesma forma é necessário que o servidor consiga identificar o vendedor que está realizando o acesso. Através da identificação dos vendedores pode-se evitar o acesso de usuários não autorizados ao sistema. Além disto, é necessário garantir a integridade de todas as informações durante o processo de envio pela Internet e mesmo após o seu armazenamento no banco de dados. Por último, é necessário assegurar que todas as comunicações são realizadas de forma totalmente sigilosa, impedindo a visualização das informações por terceiros. Unidade 3 seguranca_redes_dados.indb 79 79 2/3/2007 14:30:24 Universidade do Sul de Santa Catarina Seção 3 – Segurança em Transações Eletrônicas Para garantir os requisitos de segurança estudados na seção anterior, assegurando os critérios de segurança desejados em um cenário que realiza transações eletrônicas, deve-se aplicar técnicas criptográﬁcas em vários momentos do processo. Através delas, pode-se escolher o nível de segurança que se deseja, em cada cenário. Como a aplicação da criptograﬁa clássica necessita do desenvolvimento de ferramentas especíﬁcas, é fortemente aconselhável fazer uso da certiﬁcação digital. Certiﬁcados digitais são compatíveis com a maioria das aplicações utilizadas em transações eletrônicas, como é o caso da Web e e-mail. Além disto, como estudado anteriormente, a certiﬁcação digital aplica as técnicas de criptograﬁa, com a diferença de que ela garante maior rigor na garantia da identidade do portador do certiﬁcado. Para garantir a segurança de uma transação eletrônica é necessário que se identiﬁque os envolvidos, ou seja, as partes devem apresentar suas identidades. Para obter isto, basta que cada usuário ou sistema envolvido na transação possua um certiﬁcado digital. Assim, antes que qualquer valor seja negociado, cada parte deve apresentar o seu certiﬁcado, permitindo que a outra faça a veriﬁcação das informações contidas nele. No caso de uma pessoa transacionar com um sistema, o sistema pode possuir um certiﬁcado digital para se identiﬁcar. Acompanhe um exemplo. Caso a transação seja realizada entre um usuário e um sistema de Home Banking, o site deve possuir o seu certificado digital, permitindo que o usuário possua uma forma de garantir que está enviando as informações da conta corrente para o banco do qual é correntista. Como você verá, daqui a pouco, existem protocolos para garantir este tipo de transação. 80 seguranca_redes_dados.indb 80 2/3/2007 14:30:24 Segurança em Redes de Dados Hoje, quase a totalidade das transações realizadas entre um usuário e um sistema Web, faz uso de certiﬁcação digital para identiﬁcar o sistema. Por outro lado, os usuários são identiﬁcados com técnicas muito aquém, como é o caso de um sistema que solicita o usuário e a senha como mecanismo de identiﬁcação. A utilização desta técnica deixa uma parte do sistema exposta a ataques, pois este mecanismo de identiﬁcação é muito frágil, dando oportunidade para que atacantes acessem o sistema fazendo uso de um usuário e senha de outra pessoa. Atenção! O uso de mecanismos de identificação frágeis por umas das partes é um dos principais incentivadores aos crimes que são praticados na Internet. Veja um exemplo. É mais ou menos como se em um processo de compra de uma mercadoria, fossem solicitados vários documentos autenticados e outros requisitos para fechar o negócio, e em contra partida fosse necessário dar um cheque sem ao menos apresentar a identidade. A apresentação de certiﬁcados digitais pelos envolvidos na transação permite que todos tenham certeza em relação aos demais, aumentando fortemente a segurança do negócio. Em muitos tipos de transações, além da identiﬁcação das partes no início do processo, é importante que todas as informações transacionadas tenham sua autoria garantida. Isto é necessário caso alguma informação tenha que ser usada futuramente para dirimir alguma dúvida em relação à transação. Além disto, nestes casos é importante que se consiga provar, que além o autor da informação, ela não foi alterada por qualquer parte Unidade 3 seguranca_redes_dados.indb 81 81 2/3/2007 14:30:24 Universidade do Sul de Santa Catarina após a transação inicial. Ou seja, é necessário também garantir a integridade da informação em qualquer instante. Imagine a assinatura de um contrato entre duas empresas. É importante que ambas, a qualquer momento, possam discutir alguma cláusula do mesmo sem correr o risco da outra parte negar que o contrato tenha sido aprovado por ela. Caso as duas partes façam uso de certiﬁcados digitais, já existem, então, os mecanismos necessários para que a transação seja realizada sem maiores problemas. Para isto, basta haver um acordo para que todas as informações trocadas entre as partes sejam assinadas digitalmente com os devidos certiﬁcados digitais. A Figura 3.2 apresenta uma transação digital com a origem garantida. Figura 3.2 – Transação eletrônica com garantia de origem através da assinatura digital Desta forma, qualquer informação compartilhada possui autoria garantida e também a certeza em relação à integridade dos dados. Caso alguma das partes queira de alguma forma burlar o contrato, ela não conseguirá porque qualquer alteração nas informações invalidará automaticamente a assinatura digital da outra parte. A garantia da autoria e integridade pela assinatura digital assegura mais dois requisitos necessários para a realização de transações eletrônicas com segurança. Do mesmo modo que a certiﬁcação digital pode ser usada tranquilamente em sistemas, os mesmos também podem exigir que os usuários assinem digitalmente todas as informações que serão utilizadas no processo. 82 seguranca_redes_dados.indb 82 2/3/2007 14:30:24 Segurança em Redes de Dados Atenção! Alguns negócios, além de garantir a completa identificação das partes, devem ter preocupação com outro perigo: assegurar que todo o processo ocorrerá no mais absoluto segredo. Esta garantia em alguns casos pode ser o diferencial entre o sucesso ou o fracasso de uma transação. Para isto deve-se obrigar cada parte a cifrar as informações antes de enviar a outra. A criptograﬁa das informações também pode ser alcançada através do uso da certiﬁcação digital. Basta que cada parte encaminhe o seu certiﬁcado, o qual possui a respectiva chave pública, para a parte com a qual se está realizando uma transação. De posse da chave pública é possível cifrar as informações com a garantia que somente o proprietário do certiﬁcado poderá ser capaz de conseguir decifrá-las, obtendo assim a mensagem original. A ﬁgura 3.3 ilustra o envio de um documento sigiloso. Figura 3.3 – Transação eletrônica com sigilo garantido através do uso de certificação digital Fazendo uso da criptograﬁa pode-se assegurar que terceiros não conseguirão visualizar as informações envolvidas em um negócio. Caso o negócio tenha a obrigação de ser sigiloso, novamente é possível fazer uso da certiﬁcação digital para garantir o requisito. Embora muitas transações eletrônicas não atendam atualmente os requisitos necessários para a sua segurança, isto acontece porque os envolvidos no processo desconhecem os riscos que estão envolvidos e como evitá-los. Como você viu, através da Unidade 3 seguranca_redes_dados.indb 83 83 2/3/2007 14:30:24 Universidade do Sul de Santa Catarina certiﬁcação digital é possível atender os requisitos básicos para garantir a segurança de uma negociação virtual. Seção 4 – Protocolos Criptográﬁcos Você sabe o que é um protocolo criptográﬁco? Um protocolo criptográfico é projetado para realizar tarefas relacionadas à proteção de determinada informação. Ele segue o conceito de um protocolo qualquer, como um protocolo de rede, ou seja, uma série de passos, os quais devem ser executados em ordem, com o objetivo de realizar uma tarefa. A diferença dos protocolos criptográficos é a aplicação da criptografia. Um protocolo criptográﬁco pode garantir desde a segurança de informações que serão armazenadas localmente até uma transação eletrônica. Você estudou na unidade 2 os conceitos de criptograﬁa e outras técnicas de proteção das informações. Nesta unidade, verá como aplicar tais conceitos. Embora os protocolos criptográﬁcos façam uso de algoritmos de criptograﬁa, este não é o seu último objetivo. Pelo contrário, o protocolo criptográﬁco tem como objetivo a aplicação das técnicas necessárias para garantir todos os requisitos de segurança necessários em um determinado cenário. Um protocolo pode ser desenvolvido de forma personalizada, ou seja, para atender unicamente um tipo de transação eletrônica. Um sistema que dispõe de algum mecanismo de proteção da informação sempre possui um protocolo criptográﬁco. Na maioria das vezes são desconhecidos os passos que são executados por tal sistema e com isto pode-se ter uma noção errada da sua capacidade de segurança. No momento que se faz uso de um 84 seguranca_redes_dados.indb 84 2/3/2007 14:30:25 Segurança em Redes de Dados sistema é fundamental você conhecer o protocolo responsável pela segurança do mesmo. Assim podem-se ter certezas de quais técnicas de segurança da informação são usadas e, assim, determinar seu nível de segurança. Da mesma forma, antes de desenvolver os módulos responsáveis pela segurança de um sistema, é fortemente aconselhável a confecção e validação de um protocolo criptográﬁco. Nele é possível descrever, passo a passo, como serão executados as técnicas de segurança. Para colocá-lo em prática, veja agora um protocolo criptográﬁco que possui como objetivo garantir a conﬁdencialidade na transferência de um documento eletrônico enviado de Alice para Beto, fazendo uso apenas de chaves simétricas. Figura 3.4 – Envio de um documento eletrônico de Alice para Beto Para a situação acima, você pode elaborar o seguinte protocolo criptográﬁco: 1) Alice escolhe uma chave simétrica. 2) Alice compartilha a chave simétrica com Beto através de um canal seguro. 3) Alice localiza o documento eletrônico. 4) Alice cifra o documento eletrônico usando a chave simétrica. 5) Alice envia o documento eletrônico para Beto. 6) Beto recebe o documento eletrônico e armazena em seu computador. 7) Beto decifra o documento eletrônico fazendo uso da chave simétrica. 8) Beto acessa o documento eletrônico. Unidade 3 seguranca_redes_dados.indb 85 85 2/3/2007 14:30:25 Universidade do Sul de Santa Catarina O protocolo criptográﬁco anterior permite ter a visão exata da segurança oferecida em cada etapa do processo. Elaborar um protocolo para as transações eletrônicas desejadas facilita a compreensão dos requisitos de segurança contemplados em cada um. Neste exemplo, o objetivo deste protocolo era garantir a conﬁdencialidade das informações transacionadas entre as duas partes: Alice e Beto. Atualmente, um requisito necessário nas transações eletrônicas é a garantia das partes envolvidas. Como os negócios são realizados através da Internet não é possível ter certeza da pessoa que está “do outro lado da rede”. Diante deste fato há duas alternativas: realizar o negócio conﬁando que a outra parte é honesta; estabelecer alguma forma de identiﬁcação das partes; Atenção! Embora a primeira opção seja desaconselhável, muitas transações realizadas com uso de redes de computadores são baseadas nesta premissa. Este é um dos motivos pelo qual temos tantos problemas em negócios realizados on-line. Com a pressão existente devido a competitividade global, as empresas colocam seus sistemas em rede da forma mais rápida possível, não conseguindo implementar os critérios mínimos para garantir a segurança. Já na segunda opção, é realizado um estudo das transações que serão realizadas através de um sistema proposto. Baseado nisto, é definido qual será o recurso utilizado para garantir a identidade das partes que farão uso do sistema e confeccionado um protocolo criptográfico. Este protocolo pode ser simples ou avançado, dependendo do nível de segurança que desejamos. Veja, a seguir, um protocolo para garantir a assinatura de um contrato virtualmente. 86 seguranca_redes_dados.indb 86 2/3/2007 14:30:25 Segurança em Redes de Dados Neste processo é assumida uma transação entre duas empresas que desejam estabelecer uma relação comercial, onde a empresa A representará produtos da empresa B. Foi assumido para o protocolo que ambas empresas possuem certiﬁcados digitais e o meio de comunicação usado será o correio eletrônico. 1) Empresa B confecciona o contrato eletrônico baseado em suas regras de representação. 2) Empresa B assina digitalmente o contrato eletrônico. 3) Empresa B envia o contrato eletrônico para empresa A. 4) Empresa A recebe o contrato eletrônico. 5) Empresa A verifica a assinatura da empresa B e analisa o contrato eletrônico. 6) Empresa A assina digitalmente o contrato eletrônico. 7) Empresa A envia o contrato eletrônico para empresa B. 8) Empresa B recebe o contrato eletrônico e verifica a sua assinatura. Embora este processo seja bastante simples, ele atribui a segurança necessária para que ambas as empresas comecem a realizar transações comerciais. Caso uma empresa queira infringir alguma regra, esta não poderá, pois existe um documento explicando como seriam as negociações entre elas. Esta é justamente a principal vantagem de uma transação baseada em um protocolo criptográﬁco de outra baseada em conﬁança. Atenção! Os protocolos são projetados para que nenhuma das partes envolvidas necessite ser confiável, para que ele tenha sucesso. Ele é confeccionado para ser imune em relação a qualquer parte que tenha um comportamento desonesto. Unidade 3 seguranca_redes_dados.indb 87 87 2/3/2007 14:30:25 Universidade do Sul de Santa Catarina Seção 5 – O Protocolo Secure Socket Layer (SSL) Você conhece o protocolo Secure Socket Layer (SSL)? O Protocolo SSL é o protocolo de segurança com maior uso em escala global. Ele tem como objetivo garantir a segurança de conexões realizadas no modelo TCP/IP. O SSL foi desenvolvido por um conjunto de grandes empresas como um primeiro passo para obter requisitos de segurança na Web, entre elas a Netscape, Verisign. Ele precisou ser desenvolvido para viabilizar a realização de transações eletrônicas através da Internet, já que a mesma até então não fornecia nenhum recurso para segurança. Atualmente, o SSL é usado em um conjunto de protocolos que permite usufruir de vários serviços eletrônicos com total segurança. Através dele é possível acessar sites de forma conﬁável, receber e enviar mensagens eletrônicas, trocar arquivos com outros servidores, etc. Esta segurança é fornecida de forma totalmente automatizada e transparente para o usuário, o que garante uma diﬁculdade menor para determinada aplicação atender os requisitos de segurança e, desta forma, difundir o seu uso. Essa capacidade ocorre devido ao SSL ser implementado como um protocolo de segurança auxiliar a outros protocolos da camada de aplicação. Isto garante que determinada aplicação faça uso dos protocolos tradicionais e quando for necessário algum critério de segurança este mesmo protocolo continua a conexão, porém “auxiliado” pelo SSL. Isto pode ser percebido porque o protocolo realiza uma nova conexão, com os critérios de segurança, adicionando um “S” ao ﬁnal do protocolo tradicional. Veja um exemplo. Os sites da Internet são acessados através do protocolo HTTP. Porém, ao se realizar o mesmo tipo de acesso com segurança se faz uso do HTTPS. O HTTPS quer dizer que se está fazendo uso do protocolo HTTP, com o mesmo sendo auxiliado pelo SSL com o objetivo de garantir a segurança no acesso ao site. 88 seguranca_redes_dados.indb 88 2/3/2007 14:30:25 Segurança em Redes de Dados Na ﬁgura 3.5, visualize como o protocolo é projetado no modelo TCP/ IP e o porquê ele pode auxiliar os protocolos na camada de aplicação, como o HTTP. SSL Handshake Protocol SSL Change Cipher Spec Protocol SSL Alert Protocol HTTP SSL Record Protocol TCP TIP Figura 3.5 – Implementação do protocolo SSL no modelo TCP/IP O protocolo SSL é implementado fazendo uso de uma arquitetura de rede cliente-servidor. Quando se deseja que uma aplicação seja executada com a segurança oferecida pelo protocolo SSL é necessário realizar uma conﬁguração no lado do servidor. Para garantir a segurança de uma transação eletrônica, o protocolo SSL utiliza certiﬁcados digitais X.509. Entre as conﬁgurações necessárias ao servidor está a utilização de um certiﬁcado digital que é usado durante as conexões realizadas com o cliente. Com a conﬁguração do certiﬁcado digital no servidor, três requisitos de segurança serão atendidos: Sigilo das informações - Após o estabelecimento de uma conexão SSL, todas as informações trafegam cifradas através dela. Identiﬁcação do Servidor - Quando uma conexão é estabelecida, o servidor automaticamente envia sua identidade para o cliente. Desta forma, o lado cliente poderá ter certeza do servidor no qual ele está conectado. Integridade dos dados - Em uma conexão SSL, todas as informações transacionadas entre as partes possuem garantia de integridade. Ou seja, caso uma informação seja modiﬁcada durante a transmissão ela não será aceita pela outra parte. Unidade 3 seguranca_redes_dados.indb 89 89 2/3/2007 14:30:25 Universidade do Sul de Santa Catarina O protocolo SSL também pode exigir que o cliente que está estabelecendo a conexão possua um certiﬁcado digital. Através dele é possível garantir outro requisito de segurança: a Identiﬁcação do Cliente. Com isto será possível que a aplicação conﬁgurada no servidor consiga identiﬁcar o usuário que está realizando o acesso, evitando que um atacante tente se passar por um usuário do sistema. Os requisitos de segurança são possíveis pela forma como o protocolo SSL é elaborado, garantindo a aplicação da criptograﬁa, através da certiﬁcação digital. Veja a seguir uma versão resumida do protocolo SSL. 1) Cliente estabelece conexão com o servidor. 2) Servidor envia seu certificado digital para o cliente. 3) Cliente verifica as informações do certificado do servidor. 4) Servidor solicita ao cliente um certificado digital (etapa opcional). 5) Cliente envia o seu certificado digital ao servidor (caso a etapa anterior seja realizada). 6) Servidor verifica as informações do certificado cliente. 7) As duas partes iniciam a troca de informações com segurança. Como é possível perceber, o SSL é um protocolo criptográﬁco projetado para garantir a segurança de certos tipos de transações eletrônicas. No momento que você realiza alguma troca de informações pela Internet é possível optar pelo uso de um protocolo já existente ou elaborar um protocolo correspondente a sua necessidade. 90 seguranca_redes_dados.indb 90 2/3/2007 14:30:26 Segurança em Redes de Dados Síntese Nesta unidade você estudou diferentes formas de garantir a segurança em transações realizadas através de redes de computadores. Embora muitas operações sejam realizadas eletronicamente, muitas delas ainda hoje não garantem as segurança das partes envolvidas no processo, tampouco das informações transacionadas. Baseado nisto, você conheceu quais os requisitos de segurança são fundamentais para se realizar negócios on-line sem a preocupação de estar correndo um risco iminente nela. Também estudou formas de implementar os requisitos de segurança a partir de mecanismos de segurança existentes. O uso isolado da certiﬁcação digital pode garantir os níveis mínimos de segurança desejados na grande maioria dos sistemas. Para os sistemas que precisam de critérios superiores de segurança, estudou que é possível desenvolver protocolos criptográﬁcos para atender qualquer demanda especíﬁca de segurança da informação. Através deles você pode garantir a segurança de qualquer transação sem a necessidade de conﬁar nas partes envolvidas. Por último, estudou o protocolo de segurança mais usado na atualidade, o protocolo SSL. É através dele que é garantida a segurança das transações B2C. O protocolo SSL fornece um canal seguro entre as partes, permitindo que ambas se identiﬁquem para iniciar a transação. Unidade 3 seguranca_redes_dados.indb 91 91 2/3/2007 14:30:26 Universidade do Sul de Santa Catarina Atividades de auto-avaliação Ao final de cada unidade, você realizará atividades de auto-avaliação. O gabarito está disponível no final do livro-didático. Mas, esforce-se para resolver as atividades sem ajuda do gabarito, pois, assim, você estará promovendo (estimulando) a sua aprendizagem. 1) Cite e explique 2 requisitos necessários para garantir a segurança em transação eletrônica? 2) Elabore um protocolo criptográfico para garantir o envio seguro de um documento eletrônico, de Alice para Beto, fazendo uso de chaves assimétricas? 92 seguranca_redes_dados.indb 92 2/3/2007 14:30:26 Segurança em Redes de Dados 3) Qual o objetivo de um protocolo criptográfico? 4) Explique o protocolo SSL. Saiba mais Você pode saber mais sobre o assunto estudado nesta unidade consultando a seguinte referência: GARFINKEL, Simson; SPAFFORD, Gene. Web security privacy & commerce. Cambridge: O’Reilly & Associates, 2002. E o site: http://wp.netscape.com/eng/ssl3/ (site que apresenta a deﬁnição do Protocolo SSL). Unidade 3 seguranca_redes_dados.indb 93 93 2/3/2007 14:30:26 seguranca_redes_dados.indb 94 2/3/2007 14:30:26 UNIDADE 4 Mecanismos de Segurança 4 Objetivos de aprendizagem Conhecer ferramentas para proteção de redes de computadores. Conhecer características das ferramentas para proteção. Identificar quais ferramentas aplicar em um determinado cenário. Seções de estudo Seção 1 Introdução em segurança de redes Seção 2 Firewall Seção 3 Virtual Private Network (VPN) Seção 4 Intrusion Detection System (IDS) seguranca_redes_dados.indb 95 2/3/2007 14:30:26 Universidade do Sul de Santa Catarina Para início de conversa Nesta unidade você estudará ferramentas que podem ser aplicadas para aperfeiçoar a segurança das redes de computadores. Conhecerá, detalhadamente, cada uma delas para analisar suas características e entender como e quando aplicá-las para impedir que atacantes consigam acesso à rede ou às informações. Seção 1 – Introdução em segurança de redes Na unidade de Segurança em Transações Eletrônicas você estudou como fazer uso da criptograﬁa para proteger as informações. É importante que você consiga diferenciar os contextos de segurança que estão disponíveis para serem usados nas empresas. Mais importante ainda é ter a capacidade de saber qual contexto de segurança deve ser aplicado, em cada situação. Veja um exemplo. Durante o estudo da unidade anterior, na seção Protocolos criptográficos, foram aplicados os conceitos de segurança da informação. Neles, as técnicas de segurança são aplicadas diretamente na informação que se deseja proteger. Já nesta unidade você estudará ferramentas relacionadas com o conceito de segurança de redes. Neste sentido, você acompanhará a aplicação de conceitos para se tentar garantir a segurança de uma rede ou um perímetro lógico, buscando impedir que os atacantes consigam chegar às informações que desejam. 96 seguranca_redes_dados.indb 96 2/3/2007 14:30:26 Segurança em Redes de Dados Dentre os dois conceitos de segurança tratados nesta seção, da informação e de redes, não existe um que consiga resolver todos os problemas sozinho. Para garantir um bom nível de segurança os dois devem ser aplicados em conjunto. Dependendo do cenário que será protegido, é preciso dar uma ênfase maior em um dos conceitos, porém os dois sempre devem estar presentes. O conceito de segurança de redes é, atualmente, mais bem compreendido pelas empresas e possui uma aplicação em maior escala. Seção 2 – Firewall Ao mesmo tempo em que as empresas estão disponibilizando seus produtos e serviços na internet – e, através disso, podendo fazer negócios dentro ou fora de suas fronteiras –, elas também estão suscetíveis a ataques que podem partir de qualquer lugar, bastando o atacante estar conectado à rede. A internet aproxima as empresas de negócios antes não imagináveis, mas também aproxima a rede de computadores de qualquer pessoa mal-intencionada. Com alguns poucos comandos em um computador, qualquer pessoa da face da terra pode entrar na rede da empresa em que você trabalha. É mais ou menos como se fosse dado acesso à porta de entrada de sua empresa para qualquer pessoa, independentemente de sua localização geográﬁca. Devido a esta facilidade de ser alcançada externamente, é preciso proteger a rede contra qualquer tipo de acesso considerado não autorizado. Fazendo uma analogia com a segurança física, quando se quer proteger a porta de entrada principal da empresa contra o acesso de estranhos, é colocado um guarda. Ele terá a função de identiﬁcar cada pessoa e autorizar a sua entrada em nossas instalações de acordo com regras de segurança da empresa. É possível também instruir o guarda a fazer o mesmo procedimento na saída de pessoas das instalações. Unidade 4 seguranca_redes_dados.indb 97 97 2/3/2007 14:30:26 Universidade do Sul de Santa Catarina Da mesma forma que um guarda decide quem entra e quem sai da nossa empresa, o firewall tem a função de identificar cada tentativa de acesso à rede de computadores e decidir se o mesmo será permitido ou bloqueado. Assim como o guarda, que possui um conjunto de regras para permitir ou não a entrada, o firewall também segue esta lógica. O firewall também pode possuir regras para bloquear ou permitir que alguém usando um computador dentro da rede de computadores da empresa acesse um determinado computador externo. Voltando à analogia anterior referente ao guarda que protege o prédio, ele somente pode decidir sobre a entrada ou não de pessoas na empresa pela porta principal. Se por acaso a empresa possuir um acesso secundário e alguém deixar esta porta aberta, o guarda não saberá que há alguém entrando por ela e, conseqüentemente, não poderá determinar se ela pode ou não entrar na empresa. Atenção! Em síntese, para que a segurança da empresa seja realmente eficiente, é preciso garantir que toda a entrada e saída dela seja realizada pela porta principal, ou colocar um guarda para fazer a segurança de cada local da empresa que permita acesso de pessoas. Em uma rede de computadores existe a mesma situação. Ela deve ser projetada e configurada para garantir que a qualquer tentativa de acesso, seja pela entrada ou saída, a rede de computadores passe pelo firewall. Isto porque um firewall, assim como o guarda, somente pode decidir sobre os acessos que passem por ele. Por isto a topologia da rede de computadores deve ter uma única ou poucas conexões de acesso a redes externas. Em redes de computadores pequenas, que não possuem redundância, pode-se 98 seguranca_redes_dados.indb 98 2/3/2007 14:30:27 Segurança em Redes de Dados concentrar toda a conectividade da empresa em um único canal de acesso, inserindo um ﬁrewall entre a conexão com a rede externa e a rede local. Visualize um exemplo desta topologia na ﬁgura 4.1. Figura 4.1 – Exemplo tradicional de topologia de redes de computadores com um firewall Funcionamento da rede com ﬁrewall A introdução de um ﬁrewall em uma rede de computadores cria um link de conexão controlado com as redes externas. Ou seja, toda tentativa de conexão realizada para a empresa (ou a partir dela) deverá obrigatoriamente passar pelo ﬁrewall. Isto deve ser garantido através do bloqueio de qualquer porta de acesso alternativa. Como o ﬁrewall trabalha nos dois sentidos – de dentro para fora ou de fora para dentro –, passa por ele qualquer tentativa de acesso partindo da internet para um computador interno da empresa, como o servidor de páginas web. Também passa por ele qualquer acesso realizado pelos funcionários da empresa que tenha como alvo um computador externo à rede da empresa, como o acesso a um site de busca. Unidade 4 seguranca_redes_dados.indb 99 99 2/3/2007 14:30:27 Universidade do Sul de Santa Catarina Atenção! Ao chegar uma solicitação de acesso ao firewall, o mesmo consultará um arquivo que contém uma lista de regras explicitando quais tipos de acesso podem ser realizados para a rede local, além dos tipos de acesso que podem ser realizados a partir dela. Consultada esta lista de regras, o firewall pode permitir a passagem daquela solicitação repassandoa ao computador de destino ou pode bloqueá-la impedindo que a mesma alcance o seu destino. As regras consultadas pelo ﬁrewall ﬁcam localizadas em um arquivo de conﬁguração que é elaborado pelo colaborador responsável pela segurança da rede da empresa. Este colaborador conﬁgura as regras do ﬁrewall de acordo com a política de segurança da empresa. Isto garante que o ﬁrewall não permitirá nenhum tipo de acesso não liberado pela empresa. Veja na ﬁgura 4.2 uma interface para conﬁguração de regras de acesso de um ﬁrewall. Figura 4.2 – Tela de configuração de regras de firewall Fonte: http://www.fwbuilder.org/images/screenshot1.png Nas regras de conﬁguração do ﬁrewall, é possível realizar restrições de acesso baseadas em campos presentes nos cabeçalhos das camadas de redes do modelo TCP/IP. 100 seguranca_redes_dados.indb 100 2/3/2007 14:30:28 Segurança em Redes de Dados Veja algumas opções de ﬁltros: Controle de direção - Na maioria das vezes as empresas possuem restrições diferentes para tentativas de acessos que chegam à empresa, comparando com as solicitações de conexão que partem dela. Por causa desta situação, o firewall permite a aplicação de regras diferentes dependendo da origem da tentativa de conexão. Por exemplo, uma regra de bloqueio pode ser aplicada para solicitações de conexão partindo de um computador de fora da rede da nossa empresa tentando uma conexão com um computador da rede, porém esta mesma regra de bloqueio não é aplicada em tentativas de conexão com origem em computadores da nossa rede para computadores externos a ela. Endereço IP - É possível informar no arquivo de regras quais blocos de endereços IP podem acessar nossa rede e quais não devem ter o acesso liberado. Além disto, você pode configurar quais computadores ou segmentos de nossa rede podem acessar determinadas redes externas. Com isto é possível definir exatamente quais computadores ou redes podem ter acesso à rede da empresa. O filtro por endereço IP pode ser aplicado em relação ao computador ou rede de origem ou destino da conexão. Ou seja, é possível definir que todos os computadores externos à rede da empresa tenham acesso a um computador interno, por exemplo, o servidor web. Por outro lado, é possível negar o acesso de qualquer computador externo a outro computador, por exemplo, o servidor de banco de dados. Serviços - Da mesma forma que são configurados os endereços IP de origem e destino que podem acessar nossa rede, é possível definir quais serviços podem ser acessados. Bloqueiam-se os serviços através de regras baseadas em endereços da camada de transporte conhecidos também como portas. As configurações podem permitir, por exemplo, que qualquer computador possua acesso liberado para a porta 80 do servidor web, pois ela permite que computadores visualizem páginas do nosso site através do protocolo HTTP. Por outro lado, é possível definir uma regra que impede que qualquer computador possa acessar a porta 21 desse mesmo servidor, impedindo o estabelecimento de uma conexão FTP. Unidade 4 seguranca_redes_dados.indb 101 101 2/3/2007 14:30:28 Universidade do Sul de Santa Catarina Seção 3 – Virtual Private Network (VPN) Com os negócios cada vez mais voltados para a internet, surge a necessidade de que certas transações sejam realizadas através de redes seguras. Entenda com redes seguras redes que garantam os requisitos de segurança tais como você estudou na unidade 1: autenticação, integridade, conﬁdencialidade e não-repúdio. Atualmente as empresas mantêm, por exemplo, sua matriz e todas as ﬁliais ligadas em rede, realizando todas as negociações do cotidiano através dela. Em virtude disto não é desejado que ocorra qualquer tipo de problema na troca de dados. Veja o exemplo seguinte, que aborda o problema de segurança: Uma rede de lojas de eletrodomésticos possui uma intranet, a qual permite que de qualquer ponto do Brasil sejam realizados pedidos para abastecer os estoques locais. Recentemente uma loja fez um pedido de um eletrônico um pouco acima da média, porém dentro dos padrões de pedidos anteriores de outras lojas. Este pedido chegou ao estoque e em seguida foi embarcado em um caminhão para ser entregue na loja solicitante, localizada a uma distância aproximada de 600 km. Dentro do prazo normal de entrega o caminhão chegou ao local de destino da encomenda. Porém, ao chegarem nele o gerente da loja afirmou que não havia realizado nenhum pedido daquele produto e que, infelizmente, não teria como recebê-lo, pois ainda possuía o mesmo em estoque. A única saída foi o caminhão retornar para o estoque central com todos os produtos que havia levado para entregar. Este exemplo ilustra muito bem como uma empresa pode ter prejuízos em virtude da falta dos requisitos de segurança em sua rede. Sem esta segurança a empresa não possui recursos suﬁcientes para conhecer a origem do pedido. Ou ainda, como garantir que um pedido realmente tenha chegado com o mesmo número de itens que foi solicitado pela loja na outra ponta, aﬁnal 102 seguranca_redes_dados.indb 102 2/3/2007 14:30:29 Segurança em Redes de Dados sistemas e redes podem produzir erros e mudar a quantidade ou o tipo dos itens do pedido originalmente encaminhado. Atenção! Para garantir a segurança dos sistemas que fazem uso de redes de computadores é necessário que as empresas invistam em uma infra-estrutura adequada. A poucos anos atrás as empresas faziam uso de canais privados para a comunicação de seus sistemas. Estes canais garantiam a ligação da rede entre duas ou mais instalações da empresa. Porém, por serem canais privados, não estavam ligados a outras redes, como a internet. Contudo, estes canais também necessitavam de um investimento a parte, pela empresa. Com a difusão da internet e a conseqüente diminuição de custos, as empresas logo pensaram que poderiam realizar uma redução no orçamento fazendo uso da internet. Além disto, a empresa possuía o canal privado para uso de seus sistemas e, mesmo assim, necessitava uma conexão com a internet em cada instalação para realizar outras atividades do seu cotidiano. Assim, ela estava investindo duas vezes no mesmo item, desperdiçando dinheiro. Com isto as empresas aumentaram os seus investimentos para obter canais de acesso à internet mais rápidos, e em seguida começaram a migrar os seus sistemas para realizar as trocas de dados através dela. Porém, ao contrário de um canal privativo onde o acesso à rede e a troca de dados era realizado somente pelos computadores ligados a ele – reduzindo em grande proporção o perigo de a rede da empresa sofrer um ataque –, as redes passaram a estar conectadas com todos os computadores do mundo, podendo sofrer um ataque de qualquer um deles. A partir deste tipo de opção, a empresa deixou de usar um canal privado a que somente ela conseguia acesso, para usar uma rede pública de dados onde todos estão conectados. Em virtude disto, houve a necessidade de criar mecanismos que permitissem que todos os tipos de transações fossem realizadas a partir de um único canal de conexão. Neste canal seriam realizados desde os Unidade 4 seguranca_redes_dados.indb 103 103 2/3/2007 14:30:29 Universidade do Sul de Santa Catarina acessos tradicionais, como uma pesquisa na internet em um site de busca, até as transações entre as instalações da empresa, que podem incluir valores negociados, solicitação de pedidos, etc. Com o objetivo de garantir a segurança em transações realizadas em uma rede pública de dados, é necessário configurar uma Virtual Private Network (VPN). Em uma VPN, você pode configurar quais os pontos da rede devem ser acessados de forma segura. Com isto, quando é acessado qualquer um destes pontos, são mantidas garantias de segurança. No entanto, todos os demais pontos da internet são acessados de forma normal, sem os requisitos de segurança. Visualize na ﬁgura 4.3, a ilustração de um exemplo de uso da rede pública para tráfego seguro de dados. Matriz Dados seguros Dados inseguros Internet Filial Outros locais da Internet Figura 4.3 – Uso da rede pública para tráfego seguro de dados 104 seguranca_redes_dados.indb 104 2/3/2007 14:30:29 Segurança em Redes de Dados Atenção! Através de uma VPN a empresa pode garantir que todas as informações trafegadas na rede pública de dados sejam cifradas, impedindo assim que um atacante conheça o seu teor. Além disto, é possível garantir a origem das informações através da sua autenticação. Muitas vezes o conceito de VPN é confundido com protocolos da camada de aplicação que garantem requisitos de segurança nas trocas de informações. O grande diferencial de uma VPN é justamente atuar na camada de rede em vez da camada de aplicação. Quando um protocolo de aplicação é usado, você pode somente garantir a segurança das informações que trafegam na rede através dele. Além disto, normalmente é obrigatório que o usuário estabeleça a conexão através deste protocolo com o destino, para após isto iniciar o envio de informações para o servidor. Porém, caso o usuário faça uso de um protocolo diferente para enviar outro tipo de informação para o mesmo servidor, esta será enviada de forma insegura. Já com o uso de uma VPN, você estabelece uma conexão na camada de rede entre o computador e o servidor e, devido a isto, toda e qualquer informação trocada entre eles será realizada de forma segura. Atenção! Uma VPN garante a segurança de todas as transações realizadas, independentemente do protocolo de aplicação no qual elas foram realizadas. Unidade 4 seguranca_redes_dados.indb 105 105 2/3/2007 14:30:29 Universidade do Sul de Santa Catarina Outra vantagem da VPN é a sua transparência para o usuário ﬁnal, pois o mesmo não necessita estabelecer uma conexão com o servidor. Este ponto facilita o trabalho para o usuário e garante que as informações serão trocadas de forma segura. Visualize esta situação através da ﬁgura 4.4. Figura 4.4 – Com os requisitos de segurança aplicados na camada de rede garante-se a segurança de todas as aplicações Acompanhe as legendas da ﬁgura 4.4. IP Header Cabeçalho IP. IP Payload Conteúdo IP inseguro. IPSec Header Cabeçalho de segurança. Secure IP Payload Conteúdo IP seguro. 106 seguranca_redes_dados.indb 106 2/3/2007 14:30:29 Segurança em Redes de Dados Seção 4 – Intrusion Detection System (IDS) Você sabe o que é um Intrusion Detection System (IDS)? Um IDS é um sistema equivalente a um alarme contra ladrões. A instalação de um sistema deste tipo na rede tem como objetivo a realização de um contínuo monitoramento sobre ela. O IDS, a partir do momento que detecta algum tipo de ação fora do padrão da rede, é programado para disparar um alarme, alertando assim a pessoa ou equipe responsável pela manutenção da rede de computadores. Enquanto os alarmes tradicionais são conﬁgurados para disparar alertas sonoros quando o perigo se aproxima do ambiente monitorado, os IDS podem disparar diferentes tipos de alarmes de acordo com a grandeza da ameaça. O aviso pode variar desde o armazenamento de um registro em um banco de dados, descrevendo a ação que foi realizada contra a rede de computadores, até o envio de uma mensagem SMS para o celular do responsável pela segurança da rede. Atualmente existem dois tipos de IDS, classiﬁcados de acordo com o ambiente analisado. Um IDS pode ser do tipo: IDS de rede - tem como função o monitoramento de um segmento de rede. Através do uso de uma interface de rede configurada em modo promíscuo, fica-se “escutando” todas as tentativas de conexão que chegam na rede. Através da verificação dos pacotes, o IDS busca encontrar tentativas de conexões suspeitas e, conseqüentemente, avisar o administrador da rede do perigo. Este tipo de IDS deve ser instalado em segmentos de rede estratégicos para a empresa. IDS de host - ao contrário de um IDS de rede, que monitora um segmento inteiro, este monitora o computador no qual está instalado. Este tipo de IDS realiza o monitoramento em relação ao sistema operacional do computador, gerando alertas para tentativas de conexão indevidas, problemas no sistema de arquivos ou com os serviços em execução, etc. O IDS de host deve ser instalado somente em computadores ou servidores de redes importantes para a empresa. Unidade 4 seguranca_redes_dados.indb 107 107 2/3/2007 14:30:30 Universidade do Sul de Santa Catarina Veja na, ﬁgura 4.5, um exemplo de rede de uma empresa que possui IDS de rede instalado. Figura 4.5 – Exemplo de infra-estrutura de rede com sistema IDS Um IDS produz alertas de acordo com regras que você conﬁgura. Dependendo do rigor com o qual o IDS foi conﬁgurado, ele vai produzir uma grande quantidade de alertas, muitas vezes causando prejuízos ﬁnanceiros devido, por exemplo, ao envio de SMS. Em virtude disto, é possível conﬁgurar níveis de alerta, vinculando cada nível com uma ação diferente. Observe um exemplo. 108 seguranca_redes_dados.indb 108 2/3/2007 14:30:31 Segurança em Redes de Dados Você pode configurar o IDS para distinguir tentativas de ataques menos elaboradas para as quais já são mantidos mecanismos de defesas suficientes de outras tentativas que podem causar problemas. No primeiro caso, pode-se gravar os alertas em um arquivo de log; já no último é interessante que o sistema encaminhe uma mensagem para o celular do administrador. Independentemente da eﬁciência da tentativa de ataque realizada, é importante que todos os alertas sejam analisados para se saber o volume de tentativas de ataques contra a empresa. Para isto, é necessário que você analise todos os arquivos de logs gerados pelo IDS. Em uma rede de computadores, em muitos casos, a aplicação de um único IDS não é suﬁciente para garantir a segurança de todos os segmentos de rede ou computadores considerados importantes para o funcionamento da empresa. Devido a este cenário, normalmente é instalado um conjunto de IDS, sendo cada IDS responsável por um segmento ou computador da rede. A instalação de vários IDS em uma rede diﬁculta a leitura de arquivos de logs e pode colocar em risco a segurança. Com o objetivo de facilitar a implantação de mecanismos de IDS em uma rede mais abrangente, foram desenvolvidos mecanismos que permitem a distribuição de vários sistemas de IDS na rede, que permitem, porém, que a sua administração seja realizada de forma centralizada. Desta forma, cada IDS ﬁca monitorando a sua parte da rede ou computador e enviando as informações para um computador central, o qual será utilizado pelo administrador para gerenciar todas as informações geradas. Na estrutura distribuída, os IDS são chamados de Sensores e o computador que recebe as informações para a administração é chamado de Estação de Gerenciamento. Unidade 4 seguranca_redes_dados.indb 109 109 2/3/2007 14:30:32 Universidade do Sul de Santa Catarina Veja na ﬁgura 4.6 um cenário com vários sensores captando informações e uma estação de gerenciamento para controle. Figura 4.6 – Cenário formado por um computador central usado para gerenciamento dos logs e um conjunto de sensores captando informações na rede 110 seguranca_redes_dados.indb 110 2/3/2007 14:30:32 Segurança em Redes de Dados Síntese Nesta unidade você estudou a distinção entre a aplicação de técnicas para segurança da informação e mecanismos de segurança de redes. Enquanto a primeira tem como foco a aplicação de mecanismos de proteção diretamente nos dados a serem protegidos, a segunda busca proteger a infra-estrutura de rede da empresa. Também aprendeu que se devem aplicar os dois tipos de segurança estudados, não sendo recomendada a aplicação de um deles de forma isolada. Identiﬁcou que um ﬁrewall tem como função regular as tentativas de conexões para os computadores da rede da empresa, além das tentativas para conexões originadas na empresa e que buscam algum computador externo. Um ﬁrewall tem uma função semelhante a de um guarda que ﬁca na entrada da empresa liberando ou impedindo a entrada de pessoas. Outro mecanismo de segurança em redes estudado foi a VPN. Por meio dela é possível estabelecer uma conexão segura entre duas redes. Com isto, uma ﬁlial pode estabelecer uma conexão com a matriz, garantindo que todas as informações trocadas através dela possuam os requisitos de segurança necessários para o cenário. A grande vantagem da VPN é que a conexão é estabelecida na camada de rede, assegurando que todos os protocolos de aplicação “conversarão” de forma segura. Por último, você conheceu os IDS, sistemas de segurança análogos a alarmes. O objetivo de um IDS é realizar o monitoramento contínuo de uma rede ou computador e gerar alertas quando detecta algum tipo de ambiente fora do padrão. Um IDS permite que se tenha uma medida de segurança pró-ativa, pois o mesmo pode detectar ações que normalmente precedem a um ataque e disparar um alarme para o administrador da rede. Com a possibilidade de o administrador ser alertado antes do início de um ataque, ele pode preparar mecanismos de defesa suﬁcientes para garantir a proteção da rede. Unidade 4 seguranca_redes_dados.indb 111 111 2/3/2007 14:30:34 Universidade do Sul de Santa Catarina Atividades de auto-avaliação Ao final de cada unidade, você realizará atividades de auto-avaliação. O gabarito está disponível no final do livro didático. Mas esforce-se para resolver as atividades sem a ajuda do gabarito, pois assim você estará promovendo (estimulando) a sua aprendizagem. 1) Por que em uma rede protegida por um firewall é fortemente recomendada a centralização da conexão com redes externas? 2) Qual a vantagem de uma conexão VPN ser estabelecida na camada de rede? 3) Qual o objetivo de um IDS? Por que um IDS está associado à próatividade? 112 seguranca_redes_dados.indb 112 2/3/2007 14:30:34 Segurança em Redes de Dados 4) Qual a diferença entre você aplicar mecanismos de segurança na rede e usar técnicas de segurança da informação? 5) O texto abaixo descreve um cenário que faz uso de uma rede de computadores. Ilustre o cenário e aplique os mecanismos de segurança estudados nesta unidade. Após uma reunião do conselho diretor da Unisul, foi decidido oferecer um curso de pós-graduação a distância. Para ter condições de disponibilizar esta nova modalidade de ensino, foi necessária a aquisição de um sistema especial, formado por uma interface web para a comunicação com os alunos. Além da interface, o sistema também dispõe de um servidor de base de dados e um servidor de conteúdo. O acesso deverá ser realizado diretamente no servidor web, sendo que este busca as informações nos demais servidores. Além disto, é necessária a identificação correta de alunos e professores para ser possível interagir nas aulas on-line. Para acessar a sala de aula on-line, o aluno deve efetuar um cadastro prévio de seu computador, garantindo assim uma maior segurança para a instituição. Para garantir um bom nível de serviço, foi contratada uma assessoria para a área de segurança. Unidade 4 seguranca_redes_dados.indb 113 113 2/3/2007 14:30:35 Universidade do Sul de Santa Catarina Saiba mais Aprofunde os conteúdos estudados nesta unidade ao consultar as seguintes referências: NORTHCUTT, Stephen; et al. Desvendando segurança em redes. Rio de Janeiro: Campus, 2002. STALLINGS, William. Cryptography and network security: principles and practice. 3. ed. Upper Saddle River: Prentice Hall, 2002. 114 seguranca_redes_dados.indb 114 2/3/2007 14:30:35 UNIDADE 5 Técnicas de Ataque 5 Objetivos de aprendizagem Conhecer a evolução dos ataques contra redes de computadores. Identificar o perfil dos hackers. Identificar os objetivos de um ataque. Conhecer as técnicas de ataque. Conhecer os tipos de programas que podem ser usados para um ataque. Seções de estudo Seção 1 A evolução dos ataques virtuais Seção 2 Perfil dos atacantes Seção 3 Objetivos de um ataque Seção 4 Ataques internos X ataques externos Seção 5 Técnicas de ataque Seção 6 Códigos maliciosos seguranca_redes_dados.indb 115 2/3/2007 14:30:35 Universidade do Sul de Santa Catarina Para início de conversa Nesta unidade você aprenderá os riscos que se corre quando se conecta a uma rede de computadores. Também conhecerá as técnicas utilizadas por pessoas mal-intencionadas que desejam prejudicar uma empresa ou até mesmo uma pessoa. Seção 1 – A evolução dos ataques virtuais Embora os crimes eletrônicos tenham começado nos anos 70, foi somente na década de 80 que eles começaram a ser amplamente explorados. Com o crescimento deste tipo de ação, a conseqüência foi um grande aumento nas discussões relacionadas a esta área e uma exposição maior deste novo tipo de crime. Nestes anos, as redes de computadores ainda estavam bastante restritas a ambientes de grandes empresas e instituições de ensino e pesquisa. Esta restrição tornava-se um limitante para que crimes eletrônicos fossem praticados, pois eram necessárias, além do conhecimento técnico especíﬁco, formas de conseguir fazer uso da rede-alvo, algo muito difícil de ser realizado. Saiba mais sobre a evolução dos ataques virtuais Nos anos 80 foi registrado o primeiro ataque com grande impacto e ampla divulgação. No ano de 1988, o acadêmico Robert Morris Jr. desenvolveu um sistema que podia “movimentar-se” por uma rede de computadores, tirando do ar os computadores em que ele passava. Este software é conhecido como Morris Worm e trouxe um prejuízo em torno de US$ 200.000,00. Na década de 90 a internet começava a ser difundida em maior escala nas universidades e nas empresas. Em virtude disto, milhares de usuários começaram a estudar seu funcionamento. 116 seguranca_redes_dados.indb 116 2/3/2007 14:30:35 Segurança em Redes de Dados Com a difusão do conhecimento, muitos começaram a veriﬁcar que a internet possuía uma série de vulnerabilidades e que estas podiam ser facilmente exploradas. Atenção! Foi nesta época que surgiu com força o termo hacker, associado a usuários que possuem um grande conhecimento de redes e capacidade de desenvolver aplicativos para explorá-las. No início do novo milênio, com o crescimento exponencial da internet, os hackers também criaram uma nova forma de realizar ataques a sistemas. Em vez de um ataque ser direcionado para um grande computador ou sistema, eles começaram a elaborar meios de alcançar uma grande quantidade de usuários e seus computadores. Os ataques também mudaram de perﬁl desde então. Até o ﬁnal dos anos 90, grande parte dos ataques era voltado para daniﬁcar computadores e sistemas, causando prejuízos indiretos para as empresas. Já neste novo milênio os ataques buscam, cada vez mais, benefícios ﬁnanceiros. Os ataques não estão mais sendo realizados por usuários que desejam mostrar a sua capacidade de derrotar sistemas de segurança, eles estão sendo conduzidos por pessoas que desejam obter algum retorno ﬁnanceiro de sua ação. Saiba mais sobre organizações que buscam soluções para evitar que ataques a rede sejam bem-sucedidos No mundo inteiro existem organizações com o objetivo de auxiliar as empresas na busca de soluções para evitar que ataques contra elas sejam bem-sucedidos. Estas entidades também coletam informações relacionadas aos ataques executados com êxito diariamente. Estas informações são coletadas e analisadas para que novas empresas não se tornem vítimas desses ataques. No Brasil, o CERT.br (www.cert.br) é a entidade que possui a tarefa de monitorar o perfil dos ataques e gerar estatísticas e meios de defesas. Além disto, auxilia as empresas que sofreram algum tipo de ataque com dicas de como proceder para tentar descobrir os responsáveis. Unidade 5 seguranca_redes_dados.indb 117 117 2/3/2007 14:30:35 Universidade do Sul de Santa Catarina Seção 2 – Perﬁl dos atacantes O perﬁl dos atacantes, ou dos hackers, como é usual chamá-los, é bastante heterogêneo. O hacker que está tentando invadir uma casa ou empresa pode ser desde um garoto entediado de 15 anos de idade até um proﬁssional especializado em redes ou segurança que está recebendo para isto. A maioria dos ataques é realizada pelo primeiro grupo. Atualmente, uma grande parcela dos atacantes são pessoas que possuem um conhecimento de tecnologia acima da média e fazem uso de ferramentas desenvolvidas por terceiros para realizar seus ataques. Este grupo de usuários é conhecido como Script Kiddies. O grupo fica varrendo a internet em busca de ferramentas que façam o processo de invasão de um sistema, tendo eles simplesmente o trabalho de aprender como fazer uso dela. Este grupo não representa grandes problemas para empresas que já possuem um conhecimento maior em segurança. No entanto, a internet não é formada apenas de script kiddies. Existem também os atacantes denominados Black Hats, usuários que possuem um grande conhecimento de como funcionam as redes de computadores e das formas de explorar suas vulnerabilidades. Estes atacantes normalmente desenvolvem suas próprias ferramentas e fazem uso delas para roubar informações sigilosas. Ao contrário dos script kiddies, que normalmente executam ataques com o objetivo de alterar sites para colocar suas assinaturas, os black hats buscam informações que possam se transformar em ganhos financeiros. 118 seguranca_redes_dados.indb 118 2/3/2007 14:30:35 Segurança em Redes de Dados Mas, afinal, o que são as assinaturas dos script kiddies? As assinaturas representam o respectivo codinome que estes usuários usam para se identificar na internet. Quando eles conseguem invadir um site, trocam alguma das páginas por uma contendo uma mensagem e o seu codinome. Felizmente, nem todos na internet estão tentando invadir os computadores. Existe um grupo de especialistas em segurança que trabalha para proteger nossas redes e sistemas. Este grupo é conhecido como White Hats. São eles que desenvolvem as ferramentas de que muitos profissionais da área de segurança fazem uso para proteger seus domínios. Seção 3 – Objetivos de um ataque Um ataque a uma rede pode ter muitos objetivos. Por isto considere alguns dos que o atacante pode querer alcançar. Pichar um site Este ataque, como mencionado na seção anterior, busca alterar as páginas de um site para colocar em seu lugar mensagens personalizadas do atacante. Embora não cause nenhum prejuízo referente a roubo ou dano de informações, ele possui um impacto indireto nas empresas vítimas do ataque: a perda de credibilidade. Unidade 5 seguranca_redes_dados.indb 119 119 2/3/2007 14:30:36 Universidade do Sul de Santa Catarina Roubo de informações O roubo de informações exige um ataque mais soﬁsticado para que seja realizado com êxito. Atualmente, devido à explosão do uso de sistemas na internet e do conseqüente desconhecimento dos perigos por parte dos usuários, este tipo de ataque tem aumentado consideravelmente. As informações mais procuradas pelos atacantes são dados bancários e relacionados com cartões de crédito. Caso estas informações não estejam disponíveis, os atacantes buscam informações que podem possuir alguma valia para um próximo ataque. Personiﬁcação ou roubo de identidade Para realizar este ataque é necessário, primeiramente, conseguir acesso às informações do indivíduo pelo qual pretende-se passar. A partir deste momento, é assumida a identidade deste indivíduo na internet e executam-se uma série de ações em seu nome. Por exemplo, é possível obter seu nome e CPF para criar uma conta de correio eletrônico em seu nome na internet e usá-la para futuros ataques. É possível também tentar contratar serviços no nome do indivíduo tentando repassar a ele as despesas do mesmo. Tornar uma rede/sistema inoperante Este ataque pode ser usado para prejudicar diretamente uma empresa, fazendo com que seus serviços ﬁquem fora do ar por algum tempo. Como conseqüência, a empresa pode ter uma perda direta de receita e clientes. Espionagem industrial Este tipo de ataque vem crescendo exponencialmente na internet. Os espiões perceberam que, em plena era digital, a maior parte dos segredos das empresas está armazenada eletronicamente. Por causa disto, a espionagem industrial entrou no mundo virtual. Para realizar tal ataque são contratados hackers black hats com o 120 seguranca_redes_dados.indb 120 2/3/2007 14:30:36 Segurança em Redes de Dados objetivo de invadir sistemas de empresas e roubar seus segredos. Também é possível obter informações que garantam aos atacantes alguma vantagem competitiva no mercado que possuem em comum. Acompanhe o seguinte exemplo sobre este tipo de ataque: Considere um caso em que a espionagem industrial pode ser facilmente aplicada. Uma empresa X, ligada ao setor de bebidas, todo verão realiza o lançamento de uma bebida voltada para altas temperaturas. Durante o inverno, a empresa X investe para criar amostras do produto que será lançado no próximo verão. Após a reprovação de várias amostras e muito dinheiro investido, a empresa finalmente consegue elaborar uma bebida que fará muito sucesso. Depois que alcançar a realização desta etapa, a mesma empresa agenda o lançamento para o primeiro dia do verão. Porém, quinze dias antes do lançamento do produto, sua principal concorrente lança um novo produto e, pasme, é a bebida que a empresa X passou o inverno para obter. Embora pareça que este caso saiu das telas de Hollywood, ele acontece com mais freqüência do que se imagina e causa prejuízos para muitas empresas. Este tipo de crime é uma realidade e você deve estar preparado para combatê-lo. Seção 4 – Ataques internos X ataques externos Normalmente, as pessoas imaginam ataques contra redes de computadores sendo realizados por um hacker utilizando um laptop e conectado em uma cabine telefônica para não ser identiﬁcado. Embora este tipo de ataque seja realizado, ele ainda está muito longe de unanimidade. Atenção! Nos dias atuais, aproximadamente 50% dos ataques são classificados como internos. Um ataque interno é aquele que tem seu início dentro da empresa que está sendo atacada ou que conta com alguma ajuda de pessoas ligadas a esta empresa. Unidade 5 seguranca_redes_dados.indb 121 121 2/3/2007 14:30:36 Universidade do Sul de Santa Catarina Ataques internos podem abranger desde uma ação conduzida por um funcionário descontente que exclui sua caixa de entrada de mensagens eletrônicas ao saber que está sendo desligado da empresa, até um usuário que não foi treinado corretamente e na segunda semana de trabalho apaga todos os registros do banco de dados corporativo. Embora a estatística acima seja amplamente divulgada, parece que muitas empresas ainda não possuem conhecimento destes dados. Atualmente algumas empresas estão preocupadas apenas em garantir sua proteção contra ataques externos, não tendo a menor preocupação em estar segura contra ataques que partam de seu próprio perímetro. Os ataques externos são executados por pessoas externas à empresa, e com isto há um grau de diﬁculdade muito maior do que nos ataques internos. Nos ataques internos os invasores possuem um conjunto de informações da empresa que será atacada. Os externos normalmente são iniciados com poucas informações e os hackers devem buscá-las durante as etapas do ataque. Atenção! Pela dificuldade no êxito e pela complexidade envolvida em ataques externos, normalmente eles são os mais divulgados pela mídia. Este é um fato que contribui para as empresas estarem mais atentas a este tipo de ataque e menos preocupadas com os internos. Porém, quando se trata do prejuízo, os ataques internos têm um potencial muito maior que os ataques externos. 122 seguranca_redes_dados.indb 122 2/3/2007 14:30:36 Segurança em Redes de Dados Seção 5 – Técnicas de ataque Quando um ataque está sendo planejado, é necessário que o hacker elabore uma estratégia para garantir o sucesso. No momento desta deﬁnição, e considerando o objetivo do ataque, o hacker deve fazer uso de uma ou mais técnicas de ataque. Engenharia social A engenharia social consiste em explorar a boa-fé das pessoas. Visa estabelecer um vínculo de conﬁança com um determinado indivíduo que pode oferecer algum tipo de informação útil para um ataque. Normalmente os engenheiros sociais possuem habilidade muito boa de lidar com as pessoas. Eles são charmosos, educados e agradam facilmente, conseguindo assim aﬁnidade suﬁciente para obter as informações sem nenhum tipo de ameaça ou agressão. O engenheiro social “apenas” pergunta o que ele deseja saber e a vítima responde sem imaginar o tratamento que será dado às informações passadas. Atenção! Embora as empresas tenham uma grande preocupação em instalar dispositivos de segurança para proteger seus ativos, o fator humano ainda é o elo mais fraco, principalmente quando entram em jogo credulidade, inocência e ignorância. Um outro ponto que facilita muito a vida dos engenheiros sociais é que os funcionários das empresas muitas vezes não possuem conhecimento de quais informações podem ou não oferecer a um sujeito. Diante desta situação, os funcionários acabam fornecendo informações consideradas conﬁdenciais pela empresa para não serem considerados mal-educados pela pessoa que está realizando o ataque, que por sua vez é muito educada e prestativa. Para solucionar os problemas causados por ataques de engenharia social, é necessário que você conscientize os funcionários da empresa sobre este tipo de ataque e, principalmente, deﬁna normas internas sobre quais informações eles podem revelar para terceiros e quais devem ser somente para uso interno. Unidade 5 seguranca_redes_dados.indb 123 123 2/3/2007 14:30:36 Universidade do Sul de Santa Catarina Roubo de equipamentos Se por um lado os dispositivos móveis trazem uma grande facilidade em relação à possibilidade de se carregar todas as informações necessárias, por outro lado são uma mina de ouro para atacantes que desejam roubar as informações. Antigamente, os atacantes deveriam invadir a área de uma empresa para tentar obter as informações disponíveis no computador do seu principal executivo ou tentar obtê-las com um ataque elaborado através das redes de computadores. Atualmente tudo está mais fácil para os hackers: basta aproveitar um momento de descuido do executivo para roubar seu palmtop e todas as informações armazenadas nele. Embora muitos acreditem que palmtops semelhantes não possuam informações relevantes, com a evolução destes dispositivos é possível passar para eles quase toda informação que pode ser trabalhada em um computador de mesa. Com esta facilidade, os executivos estão cada vez mais adeptos a estas tecnologias e cada vez mais suscetíveis a ataques. Uma outra facilidade para os hackers é que o executivo nem sempre ﬁca de posse do dispositivo móvel, muitas vezes deixando-o em um hotel ou até em uma sala de conferência. Como todos sabem, estes lugares nem sempre possuem a melhor segurança, o que pode facilitar ainda mais o trabalho do hacker. Figura 5.1 – Exemplo cenário favorável a ataque hacker Fonte: http://www.3g.co.uk/PR/March2004/LGCebit.jpg 124 seguranca_redes_dados.indb 124 2/3/2007 14:30:36 Segurança em Redes de Dados Para ilustrar um caso envolvendo roubos de equipamentos, veja uma matéria na íntegra divulgada no site IDG Now! Laptop roubado da Ernst&Young expõe dados de 250 mil pessoas A Hotels.com, empresa responsável por listar na internet hotéis de diversas cidades do mundo, está alertando cerca de 250 mil de seus clientes sobre o possível roubo de informações sensíveis, como números de cartões de crédito. O alerta vem depois do roubo de um laptop sem criptografia de dados pertencente à empresa de auditoria que presta serviços do Hotels.com, a Ernst & Young. O computador foi roubado, em fevereiro, de dentro do carro de um funcionário da empresa de auditoria, no Texas. A Ernst & Young notificou a Hotels.com sobre o roubo no início de maio. Entre os dados incluídos no computador estavam endereços e informações de cartões de crédito dos usuários que utilizaram os serviços da Hotels.com em 2004, embora usuários de 2003 e 2002 também tenham sido atingidos. Este é apenas mais um incidente de brechas de segurança reportado nas últimas semanas nos Estados Unidos. Um laptop contendo informações de cartões de débito e números de seguro social da Associação Cristã de Moços foi roubado e os dados de 68 mil pessoas podem ter sido extraviados. Fonte: IDG Now! (www.idgnow.uol.com.br ) Phishing O ataque de phishing é um conjunto de técnicas utilizadas para obter informações de um usuário ingênuo. Ele tem como origem uma mensagem de correio eletrônico, que é o método usado para que o atacante estabeleça um canal de comunicação com o usuário vítima. Na mensagem de correio eletrônico, são usadas técnicas de engenharia social para que o usuário não a encare como um simples Unidade 5 seguranca_redes_dados.indb 125 125 2/3/2007 14:30:37 Universidade do Sul de Santa Catarina spam. Desta forma, o atacante faz-se passar por uma entidade com que ele sabe que o usuário mantém algum tipo de relacionamento. Conseguindo isto, o usuário passa a ter um grau de conﬁança muito maior naquela mensagem de e-mail do que em mensagens enviadas por estranhos. Sabendo disto, o atacante coloca um link para que o usuário clique nele e acesse um site da internet. Por causa do vínculo de conﬁança estabelecido com o usuário, por ele conhecer a entidade que enviou a mensagem, ele clica no link sem muito receio e automaticamente é direcionado para um site, desenvolvido pelo atacante, que solicita alguma informação. Para o usuário não duvidar da veracidade do site, o atacante o desenvolve seguindo padrões do site da entidade que o usuário conhece. Como o ambiente é conhecido, ele imagina que o site pertence realmente à entidade que enviou a mensagem e inclui os dados solicitados. Normalmente, os atacantes que utilizam esta técnica buscam se passar por entidades relacionadas ao setor ﬁnanceiro, como bancos. Neste caso, após o atacante confeccionar a imitação de um site verdadeiro, ele envia mensagens para os correntistas tentando fazê-los acessar um determinado site e inserir seus dados bancários. Obtendo os dados do correntista, o atacante acessa o site verdadeiro da entidade pela qual ele se passou e faz uso dos dados para sacar o dinheiro do correntista. A ﬁgura 5.2 demonstra um ataque de phishing realizado contra o banco Itaú. Figura 5.2 – Ataque de phishing contra o banco Itaú Fonte: http://www.websense.com/securitylabs/images/alerts/itau.png 126 seguranca_redes_dados.indb 126 2/3/2007 14:30:37 Segurança em Redes de Dados Saiba mais sobre a evolução do phishing O número de sites de phishing atingiu 14.191 no mês de julho de 2006, revelando um crescimento de 18% em relação ao mês de maio do mesmo ano. Este dado foi informado pelo Anti-Phishing Working Group, entidade criada para monitorar este tipo de fraude eletrônica. Estes ataques ainda registraram a falsificação de um número recorde de 154 marcas para ludibriar os usuários, número 20% maior em relação a junho e 12% superior ao volume registrado em maio. Negação de serviço Um ataque de negação de serviço procura interromper, temporariamente ou completamente, serviços disponíveis em uma rede de computadores. Este ataque muitas vezes não exige muita habilidade, pois as ferramentas que o possibilitam são facilmente encontradas. Uma forma de realizar este ataque é explorar vulnerabilidades presentes nos computadores que disponibilizam o serviço que se deseja tirar do ar. Uma forma de se obter isto é enviando um grande número de mensagens que esgote algum dos recursos, como CPU, memória, banda de rede, etc. Estes ataques trazem prejuízos às empresas devido ao tempo que o sistema ﬁca fora do ar, causando perda imediata de receita. Além disto, o ataque pode se concentrar em diminuir a capacidade de armazenamento, destruir arquivos ou desativar partes do sistema. Unidade 5 seguranca_redes_dados.indb 127 127 2/3/2007 14:30:38 Universidade do Sul de Santa Catarina Atenção! Para aumentar o poder deste tipo de ataque, os hackers invadem computadores que possuem poucos recursos de segurança instalados e os programam para que todos iniciem o ataque contra um determinado sistema ao mesmo tempo. No horário agendado, todos os computadores invadidos pelo hacker tentam tirar o sistema-alvo do ar. Desta forma, é muito mais difícil para os especialistas em segurança tentarem se defender do ataque em massa. Alvo do ataque Figura 5.3 – Ataque de negação de serviço, em que vários computadores atacam um computador-alvo Seção 6 – Códigos maliciosos Uma outra forma de realizar ataques em sistemas é através do uso de códigos maliciosos. Os códigos maliciosos são programas desenvolvidos por hackers com o objetivo de realizar ações para ajudá-los a fazer o ataque. 128 seguranca_redes_dados.indb 128 2/3/2007 14:30:38 Segurança em Redes de Dados Para que este tipo de programa auxilie na invasão de um sistema, é necessário que algum usuário execute o código, por exemplo, dentro da sua empresa. Um código malicioso, assim como qualquer outro programa, necessita ser executado para que realize as tarefas para as quais foi programado. A execução do código malicioso é um desaﬁo para o hacker, pois ele precisa encontrar alguma forma de convencer o usuário de que o programa que ele vai executar em seu computador não vai lhe causar nenhum mal. Para isto, o hacker conta com a ajuda da falta de conhecimento da maioria dos usuários, que não imaginam o risco que estão correndo ao executar um simples programa. Em seguida, veja alguns exemplos de tipos de códigos maliciosos utilizados para realizar ataques a sistemas. Cavalos de Tróia Os cavalos de Tróia são códigos disfarçados como programas inofensivos que quando executados possuem um comportamento inesperado e geralmente malicioso. Um cavalo de Tróia é um programa que simula ser uma ferramenta útil ou divertida, porém instala um software mal-intencionado ou causador de danos no sistema ou na rede onde é executado. Você sabe por que tal código é denominado cavalo de Tróia? De acordo com a lenda associada à conquista de Tróia, pela Grécia, na chamada Guerra de Tróia, um grande cavalo de madeira foi abandonado junto às muralhas de Tróia. Construído de madeira e oco em seu interior, o cavalo abrigava alguns soldados gregos dentro de sua barriga. Deixado na porta da cidade pelos gregos, os Troianos acreditaram que ele seria um presente como sinal de rendição do exército. Após a morte de Lacoonte, um grego que atirou um dardo no cavalo, o presente entrou na cidade. Durante a noite, os guerreiros deixaram o artefato e abriram os portões da cidade. O exército grego pôde assim entrar sem esforço em Tróia, tomar a fortaleza, destruí-la e incendiá-la. Devido ao código malicioso tentar realizar o ataque seguindo a mesma estratégia da lenda, leva o nome de cavalo de Tróia. Unidade 5 seguranca_redes_dados.indb 129 129 2/3/2007 14:30:38 Universidade do Sul de Santa Catarina Um item muito importante para que um ataque através de um cavalo de Tróia ocorra com sucesso é convencer o usuário de que ele pode executar o programa sem que o mesmo cause nenhum dano para o seu computador. O artifício pode ser algo tão simples quanto um nome falsiﬁcado, levando o usuário a crer que se trata de um outro programa. Uma forma bastante utilizada para convencer um usuário a executar um cavalo de Tróia é através de técnicas de engenharia social. Por exemplo, o atacante cria um vínculo de conﬁança com um usuário do sistema que ele deseja invadir e posteriormente encaminha um e-mail inocente com um joguinho “muito legal” que ele encontrou navegando na internet. O usuário ﬁca muito interessado em conhecer o jogo que o seu “novo amigo” encontrou e executa o programa. O programa abre realmente um jogo para o usuário, porém, ao mesmo tempo, executa uma série de códigos no sistema para facilitar o processo de invasão. Backdoors Você conhece Backdoors? Backdoors são programas instalados pelo atacante para facilitar a sua entrada ou retorno a um sistema invadido. Uma forma de incluir um backdoor é a instalação de um novo serviço que permita o acesso do usuário à internet. Este sistema é uma “porta dos fundos” instalada no computador do usuário. A grande vantagem desta “porta dos fundos” é que o atacante possui entrada livre, ao contrário da entrada principal. Ele não precisa passar pelos sistemas de segurança instalados para obter acesso a um computador; basta fazer uso da “porta dos fundos” que está assegurada a sua entrada no sistema. As backdoors podem ser enviadas pelo atacante ao usuário como um cavalo de Tróia, juntamente com o joguinho recémcomentado. Desta forma, quando usuário executar o jogo em seu computador, ao mesmo tempo em que o jogo inicia, o backdoor cria a “porta dos fundos”, e o atacante pode acessar tranqüilamente o computador, sem nenhum esforço para quebrar os sistemas de segurança. 130 seguranca_redes_dados.indb 130 2/3/2007 14:30:38 Segurança em Redes de Dados Atenção! Após invadir um sistema, o atacante também pode querer fazer uso de backdoors. Elas são muito úteis para garantir que o atacante consiga retornar ao sistema invadido sem ter que gastar todo o tempo usado na primeira invasão. Portanto é normal que sistemas invadidos tenham backdoors instaladas pelos hackers. Spywares Os spywares são códigos maliciosos que trabalham como espiões nos computadores onde são instalados. Ficam monitorando as ações dos usuários e coletam as informações que podem ser úteis para algum tipo de ataque. As informações coletadas pelos spywares são enviadas para um endereço na internet, no qual atacantes fazem a análise de como usar as informações capturadas. Como um bom espião, o spyware, após ser instalado, tenta manter-se afastado dos olhos do usuário e realiza seu trabalho chamando o mínimo possível de atenção. Os spywares podem infectar os computadores estando ocultos na instalação de um outro software. Quando a instalação do software é realizada, o spyware é instalado também. Neste processo, o spyware faz uso de um cavalo de Tróia para garantir o sucesso da sua instalação. Atenção! Uma das principais tarefas designadas aos spywares pelos seus desenvolvedores é a captura de nomes de usuários e senhas. Para isto, o spyware fica monitorando as páginas que o usuário acessa e verificando quais solicitam um processo de autenticação para o acesso. Assim que o usuário acessar uma página com estas características, o spyware entra em ação, captura as informações digitadas e as envia pela internet. Muitos spywares são programados para roubar senhas somente de um determinado tipo de serviço ou de um único sistema. Unidade 5 seguranca_redes_dados.indb 131 131 2/3/2007 14:30:39 Universidade do Sul de Santa Catarina Síntese Nesta unidade você estudou a evolução dos ataques contra redes de computadores. Conferiu que os ataques tiveram uma mudança de perﬁl com o passar dos anos e com o aumento do uso da internet. Viu que muitas vezes a rede é atacada por pseudo-hackers, que não são experts em redes de computadores e somente fazem uso de sistemas disponíveis na internet. A partir disto, estudou alguns dos objetivos de um hacker ao invadir uma rede computadores. Com isto, identiﬁcou que uma empresa pode ser alvo de um ataque para roubo de informações gerais ou sofrer a invasão de um hacker proﬁssional que está trabalhando para o principal concorrente desta. Embora a grande preocupação das empresas atualmente seja a proteção contras os hackers, elas também devem tomar muito cuidado contra o ataque que parte de sua própria infra-estrutura. Funcionários descontentes podem ser muito mais danosos para a organização que os hackers contra quem ela está buscando proteção. Você também estudou técnicas usadas por hackers para invadir ou prejudicar um determinado sistema. Viu que eles podem tentar se passar por uma pessoa qualquer para obter a conﬁança e pedir as informações desejadas através de um ataque de engenharia social. Estudou também que um hacker, quando não consegue a informação desejada, pode querer fazer com que os sistemas parem de funcionar através de um ataque de negação de serviço. Além disto, ele pode encaminhar uma mensagem de correio eletrônico se passando por uma empresa de conﬁança com o objetivo de acessar um determinado site que captura informações, técnica conhecida como phishing. Por último, viu que os hackers podem fazer uso de códigos maliciosos para auxiliar no ataque. Eles podem enviar um programa do tipo cavalo de Tróia, que parece um programa 132 seguranca_redes_dados.indb 132 2/3/2007 14:30:39 Segurança em Redes de Dados qualquer mas, quando executado, instala outros programas nos computadores controlados pelo hacker. Também é possível o ataque por um programa espião, um spyware, que possui o objetivo de vasculhar o computador e enviar para o atacante informações que lhe possam ser úteis. Atividades de auto-avaliação Ao final de cada unidade, você realizará atividades de auto-avaliação. O gabarito está disponível no final do livro didático. Mas esforce-se para resolver as atividades sem a ajuda do gabarito, pois assim você estará promovendo (estimulando) a sua aprendizagem. 1) Diferencie os ataques realizados no início da década de 80 dos realizados hoje. 2) Quais são as classificações para hackers apresentadas nesta unidade? Unidade 5 seguranca_redes_dados.indb 133 133 2/3/2007 14:30:39 Universidade do Sul de Santa Catarina 3) Explique dois objetivos diferentes de um ataque. 4) Diferencie um cavalo de Tróia de um spyware. 5) Explique como é realizado um ataque de negação de serviço. 134 seguranca_redes_dados.indb 134 2/3/2007 14:30:39 Segurança em Redes de Dados Saiba mais Você pode saber mais sobre o assunto estudado nesta unidade consultando a seguinte referência: MCCLURE, Stuart. Hackers expostos. 4. ed. São Paulo: Campus, 2003. E o seguinte site: www.cert.br (site do Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil - Cert.BR / grupo de resposta a incidentes de segurança para a internet brasileira) Unidade 5 seguranca_redes_dados.indb 135 135 2/3/2007 14:30:39 seguranca_redes_dados.indb 136 2/3/2007 14:30:39 UNIDADE 6 Políticas de Segurança 6 Objetivos de aprendizagem Identificar os princípios básicos para a definição de políticas de segurança. Conhecer os pontos principais a serem abordados em uma política de segurança, além da importância do treinamento e da conscientização dos funcionários quanto aos procedimentos de segurança da informação. Identificar a norma NBR ISO/IEC 17799. Seções de estudo Seção 1 Políticas de segurança Seção 2 Norma NBR ISO/IEC 17799 seguranca_redes_dados.indb 137 2/3/2007 14:30:39 Universidade do Sul de Santa Catarina Para início de conversa Você já parou para pensar na quantidade de funcionários de uma empresa que muitas vezes adotam determinadas posturas ou até mesmo não dão tanta importância à segurança da informação, por desconhecerem o seu verdadeiro valor? Esta é uma preocupação que os responsáveis pela Tecnologia da Informação (TI), ou até mesmo a direção, devem ter. A cobrança deve acontecer baseada em regras estabelecidas e divulgadas pela empresa, pois os procedimentos não explícitos ﬁcam por conta do bom senso das pessoas. Aqui há um ponto importante a reﬂetir: bom senso difere de uma pessoa para outra e, sendo assim, não é possível contar somente com ele. Tudo o que for importante, por mais simples que pareça ser, deve ser documentado e divulgado para evitar o “eu não sabia que não podia”. Nesta unidade, você aprenderá a deﬁnir e construir uma política de segurança considerando os interesses e valores de uma empresa. Seção 1 – Políticas de segurança Você sabe o que são políticas de segurança? É possível definir políticas de segurança como o conjunto de critérios e soluções para resolver problemas tecnológicos e humanos ou como o conjunto de regras, procedimentos e diretrizes com o objetivo de proteger os ativos da organização. 138 seguranca_redes_dados.indb 138 2/3/2007 14:30:39 Segurança em Redes de Dados Apenas recapitulando, você lembra o que são ativos? A melhor deﬁnição que considerei até agora é a seguinte: Ativo é tudo que manipula a informação, inclusive ela própria. A política deve contemplar controles que descrevam como a empresa deseja que seus ativos sejam protegidos, manuseados, tratados e descartados, e é o primeiro passo efetivo para resolver problemas de segurança. Atenção! Não existe uma regra ou um modelo de estrutura para uma política de segurança. O importante é que ela contemple todos os requisitos necessários para proteger os ativos da empresa e forneça informações suficientes para seu cumprimento. Uma política de segurança deve ser desmembrada a partir da deﬁnição de suas diretrizes e as diretrizes, por sua vez, devem reﬂetir o que a empresa espera alcançar após a deﬁnição e implementação da política de segurança. Após a deﬁnição das diretrizes, o próximo passo é desdobrálas em: um documento contendo a política em si e documentos complementares para auxiliar as partes envolvidas a cumprir os procedimentos adequadamente. Você estudará estes documentos logo a seguir. Existem algumas características importantes a serem consideradas na elaboração de uma política de segurança. Unidade 6 seguranca_redes_dados.indb 139 139 2/3/2007 14:30:40 Universidade do Sul de Santa Catarina Observe as seguintes: Importância A política deve intensiﬁcar e salientar a importância da segurança da informação para a empresa de forma a demonstrar a preocupação, o investimento e os benefícios que proporcionará. Flexibilidade Uma política de segurança deve ser ﬂexível, ou seja, a estrutura de uma empresa nunca é estática e a política deve ser planejada de forma que possa acompanhar as mudanças necessárias e ser alterada facilmente. Simplicidade na comunicação Deve conter uma comunicação simples, de fácil entendimento e compreensível para todos. O discurso deve ser claro e não dar margem a diferentes interpretações. Objetividade A objetividade também é uma característica importante a ser considerada na elaboração de uma política. As informações devem ser pontuais, ou seja, “sem rodeios”, e os procedimentos devem ser diretos e objetivos. Sanções disciplinares Na política de segurança também deverão estar descritas e/ou associadas as conseqüências do não-cumprimento dos procedimentos. Este item pode ser deﬁnido baseando-se na CLT e sempre com o respaldo jurídico, para garantir que estão dentro do permitido por lei. Diante de tantos requisitos importantes, por onde se pode iniciar o desenvolvimento de uma política de segurança? Inicie pelo planejamento seguindo uma trilha desde deﬁnição das diretrizes, deﬁnição dos manuais complementares, carta da direção, termos de conﬁdencialidade até o treinamento dos usuários. Você estudará essas etapas separadamente. 140 seguranca_redes_dados.indb 140 2/3/2007 14:30:40 Segurança em Redes de Dados Planejamento Inicialmente, é preciso planejar a política e para isso contar com a participação e apoio dos executivos da empresa. Ou seja, a alta direção deve expor suas expectativas e auxiliar na deﬁnição das diretrizes. Neste momento é importante que o condutor do processo tenha uma visão abrangente do negócio da empresa, para auxiliar no mapeamento dos riscos e entendimento do que é prioritário para ajudar a direção na tomada de decisões. Diretrizes Nesta etapa, deﬁne-se a linha-mestre para o desdobramento de todo o processo. Ou seja, é a partir da deﬁnição das diretrizes que serão desenvolvidos os procedimentos para atendê-las. Acompanhe um exemplo para facilitar o entendimento e observe a diretriz a seguir: Os funcionários devem ter acesso físico e lógico liberado somente aos locais e recursos necessários ao desempenho de suas atividades e de conformidade com os interesses da organização. Essa diretriz remete a inúmeros desdobramentos, como regras para acesso físico a alguns locais e permissão de acesso lógico limitado e controlado a outros. Um exemplo interessante para este último seria uma política para utilização de senhas de acesso aos sistemas. Esta política deve estar descrita em outros documentos que oferecerão suporte: Manual de instruções para usuários e Manual de instruções para técnicos. Estes documentos deverão conter todos os procedimentos de segurança que dizem respeito aos usuários e aos técnicos, em seus devidos manuais. Unidade 6 seguranca_redes_dados.indb 141 141 2/3/2007 14:30:40 Universidade do Sul de Santa Catarina Manual de instrução para usuários e Manual de instrução para técnicos O Manual de instruções para usuários deve conter todas as informações necessárias para que os usuários possam cumprir a política de segurança e saber como proceder em determinadas situações. Segue um exemplo de uma política de utilização de senhas que pode estar contida no Manual de instruções para usuários. Todos os usuários devem cultivar as boas práticas para a utilização de senhas, pois elas fornecem meios de validar a identidade do usuário e estabelecem direitos de acesso aos recursos ou serviços. Boas práticas significam: Não escolher senhas óbvias ou que formem palavras. Não escrever senhas em papéis ou em lugares de fácil acesso. Trocar de senha freqüentemente. Utilizar senhas diferentes para sistemas diferentes. Alterar senhas temporárias no primeiro acesso ao sistema. Incluir um tamanho mínimo de seis dígitos para as senhas, não utilizando caracteres idênticos consecutivos. Não incluir senhas em processos automáticos de acesso ao sistema, como nos sites que se oferecem para “lembrar minha ID”. Este é apenas um exemplo, porém este manual deve conter todos os procedimentos que devem ser seguidos pelos usuários. Já o Manual de instrução para técnicos deve conter os procedimentos que foram implementados para possibilitar os controles dos usuários e a manutenção que deve ser realizada no sistema. 142 seguranca_redes_dados.indb 142 2/3/2007 14:30:40 Segurança em Redes de Dados O texto deste manual deve ser explicativo no maior número de detalhes possível, pois o objetivo deste documento é que o processo possa ser continuado, mesmo na ocorrência de troca do administrador do sistema. Assim, deve constar no documento o equipamento em que a manutenção deve ser realizada, a periodicidade, além de formulários de controle para registros do histórico e tudo o que for necessário para não descontinuar o processo, mesmo com a troca de pessoas. A efetividade destes documentos e de todo o projeto depende de outros fatores, como da forma de condução do processo e da participação da alta direção no projeto. Neste sentido, um documento denominado de Carta da direção poderá auxiliar. Carta da direção A Carta da direção deverá ser encaminhada para os funcionários para solicitar-lhes que se comprometam com a política e para demonstrar o envolvimento e a preocupação da direção com a segurança da informação. Segue um exemplo de carta. Carta da direção Os avanços tecnológicos têm proporcionado às empresas maior eficiência e rapidez na troca de informações e tomada de decisões. Por outro lado, agentes ameaçadores aos ambientes tecnológicos estão em constante evolução. Problemas de origem interna e externa têm marcado presença no dia-a-dia, principalmente nas organizações que não possuem políticas de segurança implementadas. A informação é um bem importante e vital em uma organização. Como qualquer outro bem, tendo valor financeiro ou não, precisa ser protegido, para garantir os segredos de negócio, a estratégia comercial ou até mesmo a proteção do capital intelectual. Essa proteção é necessária para resguardar os interesses da organização diante do grande número de ameaças e assegurar a continuidade de seus negócios. Unidade 6 seguranca_redes_dados.indb 143 143 2/3/2007 14:30:40 Universidade do Sul de Santa Catarina Assim, objetivando o melhor uso dos ativos da informação e adotando uma melhor postura em relação à segurança da informação, está sendo oficializada, a partir desta data, a implementação do Projeto Segurança da Informação. O projeto compreende uma série de regras que valorizam e definem o uso adequado desses ativos, evitando impacto na gestão dos negócios e possibilitando a criação de um ambiente de trabalho mais estável. Esperamos que nossos colaboradores estejam familiarizados com os procedimentos de segurança da informação que regem os negócios em geral. Insistimos que os colaboradores cumpram integralmente tais procedimentos. Se você não estiver seguro sobre como um procedimento se aplica a seu trabalho, espero que você pergunte e busque aconselhamento. Se você violar a Política de Segurança, ou suspeitar de que alguém o tenha feito, esperamos que você informe esse fato tão logo seja possível. Embora tenhamos a esperança de que nossos valores comuns e bom senso solucionem quaisquer problemas éticos que possam surgir na empresa, reconhecemos que a vida é cheia de incertezas. Se você se sentir desconfortável com o comportamento de um colega, cliente, fornecedor ou qualquer pessoa com a qual a empresa tenha um relacionamento de negócios, você deve informar as circunstâncias ao gestor da segurança da informação. Além dos incontáveis benefícios agregados, esse trabalho é fundamental para o sucesso coletivo. Estamos certos de que podemos contar com o apoio de todos e de que a preocupação com as informações, nos mais diversos níveis, será um compromisso individual de todos os profissionais. Observe que neste exemplo de carta é solicitado inclusive que o colaborador informe caso algum colega de trabalho esteja executando algum procedimento incorretamente. Desta forma, o documento reforçará a necessidade do comprometimento de todos e com certeza proporcionará um bom resultado. Uma política de segurança também poderá deﬁnir procedimentos para o momento da contratação do colaborador, fazendo com que ele se comprometa com a segurança da informação através da assinatura de termos de conﬁdencialidade. 144 seguranca_redes_dados.indb 144 2/3/2007 14:30:40 Segurança em Redes de Dados Termos de conﬁdencialidade Os termos de conﬁdencialidade devem ser deﬁnidos juntamente com o RH e o departamento jurídico da empresa. Todos os itens contidos nestes documentos devem estar de acordo com as leis vigentes. Segue um exemplo de um termo de conﬁdencialidade simpliﬁcado. Eu, , portador da cédula de identidade RG nº , na condição de colaborador, assumo o compromisso perante a empresa XX de manter a confidencialidade de todas as informações levantadas por ocasião da execução de meu trabalho, de qualquer natureza, às quais possuo acesso, não divulgando a terceiros os dados referentes aos processos, procedimentos e projetos da empresa. Assinatura do colaborador Este termo de conﬁdencialidade é apenas um exemplo e deve ser modiﬁcado conforme o objetivo e especiﬁcidade da empresa. Para elaborar uma política de segurança é possível utilizar a norma NBR ISO/IEC 17799 como base para a deﬁnição dos procedimentos. Você a estudará, separadamente, na próxima seção. Essa norma não apresenta como se deve agir, mas sim quais itens devem ser contemplados na política de segurança. Diversos itens são citados nela. Serão destacados dois deles, pois são de extrema importância para o sucesso de um negócio: Planos de contingência e Planos de continuidade de negócios. Unidade 6 seguranca_redes_dados.indb 145 145 2/3/2007 14:30:41 Universidade do Sul de Santa Catarina Plano de contingência e Plano de continuidade de negócios O Plano de contingência é uma medida bastante utilizada para a reativação do negócio em casos de incidências. Geralmente a elaboração deste plano é atribuída ao departamento de TI. Ou seja, os planos de contingências se concentram em ações especíﬁcas, como qual ação será tomada caso o servidor de arquivos pare de funcionar. Já os Planos de continuidade de negócios são mais completos por abrangerem os processos considerados vitais para empresa em todos os departamentos. Seu objetivo é deﬁnir procedimentos para que, na ocorrência de um incidente, os clientes continuem sendo atendidos mesmo que não seja da maneira corriqueira. Acompanhe os seguintes exemplos. Considere uma escola em período de matrícula que utiliza um software e armazena as matrículas em um banco de dados. Uma medida a ser tomada é que as matrículas continuem a serem realizadas em papel, caso o sistema apresente problemas. Outro exemplo, verídico, foi o desastre de 11 de setembro. Em uma das torres existia um banco que 24 horas após o desastre estava com 80% de suas atividades em funcionamento. O impacto para seus clientes foi mínimo. Com certeza, o banco contou com um plano muito bem definido e atualizado, que entrou em cena minutos após o ocorrido - e o mais importante, obteve sucesso. Um fator de extrema importância para que esses planos e até mesmo a política de segurança tenham sucesso em sua atuação é o grau de conhecimento dos colaboradores da empresa. Ele está diretamente ligado ao treinamento e à conscientização realizada com a equipe. 146 seguranca_redes_dados.indb 146 2/3/2007 14:30:41 Segurança em Redes de Dados Treinamento e conscientização dos usuários O principal objetivo dos treinamentos de conscientização é sensibilizar e conquistar a adesão e o comprometimento de todos os níveis hierárquicos da empresa com as novas e importantes medidas de segurança da informação descritas na política de segurança. Atenção! A política de segurança não pode ser vista pela equipe como mais uma ação para “engessar” o processo ou algo que chegou aos colaboradores “de cima para baixo” somente para definir uma série de restrições. Ela deve ser apresentada e entendida como um projeto que trará benefícios tanto para a empresa quanto para todos que fazem parte dela. Existem diversas formas de se realizar este trabalho, que dependem do estilo de atuação da empresa em outros projetos. Uma campanha de conscientização, por exemplo, pode ser deﬁnida contando com um mascote lúdico, para facilitar a leitura e a adesão dos funcionários. Além de palestras, que normalmente são utilizadas para este ﬁm, cartazes, peças ilustrativas, e-mails e até mesmo um repositório digital de informações podem ser utilizados para auxiliar na conscientização. Atenção! Quando falo em treinamento, me refiro ao conhecimento que através da campanha de conscientização deve ser repassado aos colaboradores. Todos devem estar cientes de que a segurança da informação da empresa da qual fazem parte é responsabilidade de todos, e que para isso devem conhecer todos os procedimentos definidos na política de segurança. Unidade 6 seguranca_redes_dados.indb 147 147 2/3/2007 14:30:41 Universidade do Sul de Santa Catarina Os pontos abordados nesta unidade não esgotam todos os itens a serem implementados e “pensados” na elaboração de uma política de segurança, eles apenas ressaltam a sua importância. Na próxima seção, você conhecerá a norma que poderá ser utilizada como referência e que contempla todos os itens a serem abordados em uma política. Seção 2 – Norma NBR ISO/IEC 17799 Nesta seção você conhecerá a norma NBR ISO/IEC 17799 que, conforme já citado na seção anterior, poderá auxiliar no desenvolvimento de uma política de segurança. Conhecerá a norma completa e os tópicos que a compõem individualmente. Saiba mais sobre a norma NBR ISO/IEC 17799 e outras normas A norma NBR ISO/IEC 17799 é a versão brasileira da norma ISO/IEC 17799 e foi homologada pela ABNT em 2001. A ISO/IEC 17799 é a versão internacional da BS (Brithish Standard) 7799, homologada pela ISO em 2000. Já a BS 7799 é uma norma criada na Inglaterra dividida em duas partes: BS 7799-1 e BS 7799-2. A ISO e a NBR 17799 são exatamente iguais à BS7799-1 e apresentam um documento de referência para as boas práticas de segurança da informação. Já a BS 7799-2 proporciona uma base para gerenciar a segurança da informação dos sistemas das empresas. Você deve estar se perguntando: diante de tantas normas com o mesmo conteúdo, qual delas devo usar? No Brasil deve-se utilizar a NBR ISO/IEC 17799, e em outros países, caso não exista uma norma nacional, deve-se optar pela ISO/IEC 17799. Na Inglaterra a norma nacional é a BS 7799. Fonte: http://www.modulo.com.br/ 148 seguranca_redes_dados.indb 148 2/3/2007 14:30:41 Segurança em Redes de Dados Abrangência A norma NBR ISO IEC 17799 abrange todos os aspectos de segurança de uma organização, desde as pessoas que trabalham na empresa até a parte lógica de segurança da informação, passando pela segurança física, de equipamentos, escritório e papéis. A norma está dividida em 12 tópicos assim deﬁnidos: 1 - Objetivo. 2 - Termos e deﬁnições. 3 - Política de segurança. 4 - Segurança organizacional. 5 - Classiﬁcação e controle dos ativos de informação. 6 - Segurança em pessoas. 7 - Segurança física e do ambiente. 8 - Gerenciamento das operações e comunicações. 9 - Controle de acesso. 10 - Desenvolvimento e manutenção de sistemas. 11 - Gestão da continuidade do negócio. 12 - Conformidade. Cada um desses tópicos será apresentado de forma sucinta a seguir, para que você obtenha uma visão geral da abrangência da norma. É importante salientar que esta norma não necessariamente deve ser implementada em sua totalidade. O proﬁssional responsável pela segurança da informação deve selecionar os itens conforme o negócio da empresa, porém nenhum item deve ser descartado sem antes ser analisado de forma criteriosa. 1 – Objetivo O objetivo da norma NBR ISO/IEC 17799 é oferecer a estrutura e servir como um ponto de referência para as pessoas responsáveis por implantar e dar manutenção em segurança Unidade 6 seguranca_redes_dados.indb 149 149 2/3/2007 14:30:41 Universidade do Sul de Santa Catarina de uma organização. A norma oferece também controles para implantação de uma política de segurança com o propósito de garantir conﬁança no relacionamento entre as organizações. As recomendações descritas na norma devem ser selecionadas e usadas por uma organização, de acordo com a legislação e as regulamentações vigentes. 2 - Termos e deﬁnições Este tópico apresenta os objetivos para os quais a norma foi construída. Um dos objetivos é deﬁnir os termos da segurança da informação numa organização. Outro é para que esta organização consiga, com o uso da norma, avaliar e gerenciar os riscos que ela corre com a pouca atenção quanto à segurança da informação. Fazem parte deste tópico três itens principais: Este item apresenta os termos de segurança da informação que foram usados como base para criação da norma. Os termos são: Segurança da informação • • • conﬁdencialidade; integridade e disponibilidade da informação. Para uma organização manter-se competitiva, proteger sua imagem e reputação diante de outras organizações e clientes, suas informações devem ser acessadas somente por pessoas autorizadas, além de serem mantidas na organização conforme sua versão original e estarem disponíveis a usuários autorizados sempre que for necessário. Avaliação de risco Gerenciamento de risco A avaliação de riscos pode ser deﬁnida como o estudo das ameaças, impactos e vulnerabilidades da informação e das instalações de processamento da informação e da probabilidade de sua ocorrência. Com base nesses resultados, a organização faz uma avaliação da probabilidade de ocorrência de possíveis incidentes. Gerenciamento de risco pode ser deﬁnido como um processo de minimização ou eliminação dos riscos de segurança que poderão causar impacto tanto no aspecto ﬁnanceiro quanto organizacional de uma empresa. 150 seguranca_redes_dados.indb 150 2/3/2007 14:30:41 Segurança em Redes de Dados 3 - Política de segurança Este tópico orienta sobre os procedimentos para implantar uma política de segurança em uma organização. É preciso deﬁni-la com termos claros que demonstrem aos funcionários a preocupação e a importância da segurança para a organização. Os termos de implantação surgem em decorrência de uma análise crítica de risco dos pontos vulneráveis. Para cada vulnerabilidade existirão as respectivas ações a serem executadas. Esses termos devem ser documentados e aprovados pela direção da organização. O documento resultante desta etapa deverá ser publicado, comunicado e estar ao alcance de todos os funcionários de forma compreensível. Nesta fase é preciso também designar um gestor, que será responsável pela manutenção e análise crítica da política deﬁnida. As análises críticas devem ser agendadas e executadas periodicamente e podem ser feitas extraordinariamente em decorrência de qualquer mudança que venha a afetar a avaliação de risco original, seja um incidente de segurança signiﬁcativo, novas vulnerabilidades, mudanças organizacionais ou na infra-estrutura técnica. De acordo com a norma, este é o tópico número 3 e está dividido nas seguintes partes: 3.1 - Política de segurança da informação 3.1.1 - Documento da política de segurança da informação 3.1.2 - Análise crítica e avaliação 4 - Segurança organizacional O objetivo deste tópico é orientar o gerenciamento da segurança organizacional. A segurança de uma organização é uma obrigação que deve ser compartilhada por todos os membros da direção. Recomenda-se criar um fórum com o objetivo de direcionar as obrigações e o comprometimento com os requisitos de segurança. É importante nomear um gestor que se responsabilize pela segurança geral da organização. Unidade 6 seguranca_redes_dados.indb 151 151 2/3/2007 14:30:41 Universidade do Sul de Santa Catarina A política de segurança deverá fornecer um documento com procedimentos claros, contendo as regras e responsabilidades especíﬁcas para cada ativo, seja físico ou de informação. Uma prática adotada pelas grandes organizações é a indicação de um proprietário para cada ativo de informação. Essa pessoa ﬁca responsável pela segurança do dia-a-dia de seu ativo. No entanto, o responsável ﬁnal pela segurança é o gestor anteriormente nomeado, que é encarregado de veriﬁcar se as responsabilidades delegadas aos proprietários estão sendo executadas corretamente. Atenção! As organizações que desejam implantar de forma correta uma política de segurança deverão ter acesso a alguma consultoria especializada no assunto. Porém, o ideal é contratar um especialista em segurança. Caso não comportem esse especialista, as organizações deverão identificar um funcionário que, dentro de suas experiências, possa fornecer apoio nos aspectos de segurança e nas tomadas de decisão na área. Se este colaborador não puder oferecer todo o apoio necessário, uma solução é contratar um consultor externo. Um consultor externo apresenta vantagens em função de sua experiência em trabalhos similares. Em caso de suspeitas de incidentes, o colaborador ou o consultor deve ser avisado imediatamente. A segurança da informação aplicada deverá se submeter a análises críticas para garantir que as práticas deﬁnidas são adequadas às necessidades da organização. Essas análises podem ser executadas pela auditoria interna, por um gestor independente ou por organizações prestadoras de serviços. A presença de prestadores de serviços na organização aumenta a fragilidade da segurança. Neste caso, é preciso fazer uma avaliação que identiﬁque os riscos envolvidos, determinando as possíveis implicações na segurança e os controles necessários para garanti-la. Ambas as partes, empresa e prestadores, deverão estar em acordo sobre esses controles, ﬁrmando e assinando contratos sobre segurança. Em casos de envolvimento de outros 152 seguranca_redes_dados.indb 152 2/3/2007 14:30:42 Segurança em Redes de Dados participantes, convém que os contratos incluam, além dos controles, a permissão a essas pessoas e as condições de seu acesso às informações. Esses acordos deverão considerar os riscos, controles de segurança e procedimentos para os sistemas de informação, rede de computadores e/ou estações de trabalho. Para que haja colaboração com a segurança da informação em uma organização, é necessário incentivar o uso das práticas de segurança entre os usuários, administradores, projetistas, enﬁm, todas as pessoas envolvidas direta ou indiretamente com a organização. De acordo com a norma, este é o tópico número 4 e está dividido nas seguintes partes: 4.1 - Infra-estrutura da segurança da informação 4.1.1 - Gestão do fórum de segurança da informação 4.1.2 - Coordenação da segurança da informação 4.1.3 - Atribuição das responsabilidades em segurança da informação 4.1.4 - Processo de autorização para as instalações de processamento da informação 4.1.5 - Consultoria especializada em segurança da informação 4.1.6 - Cooperação entre organizações 4.1.7 - Análise crítica independente de segurança da informação 4.2 - Segurança no acesso de prestadores de serviços 4.2.1 - Identiﬁcação dos riscos no acesso de prestadores de serviços 4.2.2 - Requisitos de segurança nos contratos com prestadores de serviços 4.3 - Terceirização 4.3.1 - Requisitos de segurança dos contratos de terceirização Unidade 6 seguranca_redes_dados.indb 153 153 2/3/2007 14:30:42 Universidade do Sul de Santa Catarina 5 - Classiﬁcação e controle dos ativos da informação Este tópico tem o objetivo de auxiliar na manutenção e proteção dos ativos da informação e garantir que estes estejam recebendo um nível adequado de proteção. Para isso, é preciso fazer inventários dos principais ativos da organização. Cada ativo terá um proprietário nomeado para ser responsável por veriﬁcar se a segurança está sendo mantida de forma adequada, e também por fazer a manutenção apropriada dos controles e a prestação de contas. A responsabilidade pela implementação dos controles pode ser delegada a outros gestores ou prestadores de serviços, mas a prestação de contas ﬁca a cargo do proprietário responsável pelo ativo. Atenção! As informações são classificadas quanto a sua importância e prioridade, pois elas possuem diferentes níveis de sensibilidade e criticidade. Algumas informações necessitam de um nível adicional de proteção ou um tratamento especial, outras não. Assim, é preciso usar um sistema de classificação de informações para definir os níveis de proteção e determinar suas respectivas necessidades de medidas especiais de tratamento. De acordo com a norma, este é o tópico número 5 e está dividido nas seguintes partes: 5.1 - Contabilização dos ativos 5.1.1 - Inventário dos ativos de informação 5.2 - Classiﬁcação da informação 5.2.1 - Recomendações para a classiﬁcação 5.2.2 - Rótulos e tratamento da informação 154 seguranca_redes_dados.indb 154 2/3/2007 14:30:42 Segurança em Redes de Dados 6 - Segurança em pessoas O objetivo deste tópico é auxiliar na redução de riscos de erro humano, roubo, fraude e uso indevido das instalações. Ele busca também ajudar na conscientização dos funcionários em relação a ameaças e a preocupações da organização com a segurança da informação, assegurando que eles estejam equipados para apoiar a política de segurança durante a execução normal do trabalho. Atenção! A seleção para o recrutamento de funcionários para executar trabalhos sensíveis é feita mediante uma análise minuciosa dos mesmos. A preocupação da organização com a segurança da informação deve ser apresentada ao funcionário na sua contratação. Nesse momento, os contratados recebem suas responsabilidades e ficam cientes de que elas serão monitoradas durante a vigência do contrato de trabalho. A organização deverá ter um contrato contendo acordos de sigilo, a ser assinado pelos funcionários contratados e/ou prestadores de serviços. É importante também fornecer um treinamento conforme os procedimentos de segurança e uso correto das instalações de processamento, de forma a diminuir possíveis riscos de segurança. Em casos de suspeita ou incidentes de segurança, os funcionários precisam notiﬁcar e solicitar os canais apropriados, ou seja, os colaboradores ou os consultores de segurança, o mais rapidamente possível. Conforme a notiﬁcação recebida, o colaborador ou consultor coleta evidências e descobre a origem do incidente. Baseando-se nos incidentes ocorridos, os responsáveis pela segurança notarão a necessidade de melhorias ou de adição de controles na política de segurança original. Assim, estarão aprendendo com os incidentes e se prevenindo contra ocorrências semelhantes. Os funcionários precisam estar cientes das medidas que serão tomadas pela organização em caso de incidentes provocados por eles. Unidade 6 seguranca_redes_dados.indb 155 155 2/3/2007 14:30:42 Universidade do Sul de Santa Catarina De acordo com a norma, este é o tópico número 6 e está dividido nas seguintes partes: 6.1 - Segurança na deﬁnição e nos recursos humanos 6.1.1 - Incluindo segurança nas responsabilidades do trabalho 6.1.2 - Seleção e política de pessoal 6.1.3 - Acordos de conﬁdencialidade 6.1.4 - Termos e condições de trabalho 6.2 - Treinamento dos usuários 6.2.1 - Educação e treinamento em segurança da informação 6.3 - Respondendo aos incidentes de segurança e ao mau funcionamento 6.3.1 - Notiﬁcação dos incidentes de segurança 6.3.2 - Notiﬁcando falhas na segurança 6.3.3 - Notiﬁcando mau funcionamento de software 6.3.4 - Aprendendo com os incidentes 6.3.5 - Processo disciplinar 7 - Segurança física e do ambiente Este tópico apresenta uma orientação de como implementar e monitorar a segurança física de uma organização. O primeiro passo a ser dado para a implementação de segurança física em uma organização é o estabelecimento de perímetros de segurança em torno das áreas que contenham as propriedades 156 seguranca_redes_dados.indb 156 2/3/2007 14:30:42 Segurança em Redes de Dados físicas, ou seja, o estabelecimento de barreiras que controlem e impeçam a entrada de pessoas não autorizadas. Essas barreiras podem ser uma parede, uma porta com controle de entrada e saída baseado em cartões ou até mesmo um balcão com controle manual de entrada e saída. Após essa etapa, será necessária a execução de minuciosas análises de riscos para se obter o nível de vulnerabilidade de cada ativo. Baseando-se no resultado da análise, é preciso deﬁnir controles de segurança proporcionais aos níveis de riscos identiﬁcados. Os equipamentos também deverão receber proteção adequada para garantir: a redução de risco de acesso não autorizado; a proteção contra ameaças ambientais; a proteção contra falhas de energia ou falhas na alimentação elétrica e a proteção no cabeamento responsável pela transmissão de dados e suporte de serviços de informação. Algumas medidas de segurança serão necessárias, como: política de mesa limpa, para garantir a segurança de papéis e mídias removíveis e política de tela limpa, para reduzir o acesso não autorizado, perdas ou danos à informação. A retirada de equipamentos da organização só deverá ser possível com prévia autorização, e o equipamento retirado deverá ser conectado novamente assim que retornar. É necessário fazer inspeções freqüentes em toda a organização, para identiﬁcar a ausência não autorizada de propriedades. Unidade 6 seguranca_redes_dados.indb 157 157 2/3/2007 14:30:42 Universidade do Sul de Santa Catarina De acordo com a norma, este é o tópico número 7 e está dividido nas seguintes partes: 7.1 - Áreas de segurança 7.1.1 - Perímetro da segurança física 7.1.2 - Controles de entrada física 7.1.3 - Segurança em escritórios, salas e instalações de processamento 7.1.4 - Trabalhando em áreas de segurança 7.1.5 - Isolamento das áreas de expedição e carga 7.2 - Segurança dos equipamentos 7.2.1 - Instalação e proteção de equipamentos 7.2.2 - Fornecimento de energia 7.2.3 - Segurança do cabeamento 7.2.4 - Manutenção de equipamentos 7.2.5 - Segurança de equipamentos fora das instalações 7.2.6 - Reutilização e alienação segura de equipamentos 7.3 - Controles gerais 7.3.1 - Política de mesa limpa e tela limpa 7.3.2 - Remoção da propriedade 158 seguranca_redes_dados.indb 158 2/3/2007 14:30:42 Segurança em Redes de Dados 8 - Gerenciamento das operações e comunicações Este tópico tem como objetivo auxiliar: na operação segura e correta dos recursos de processamento da informação; na diminuição de riscos de falhas nos sistemas; na proteção da integridade dos softwares e das informações; na manutenção da integridade e disponibilidade dos serviços de comunicação e processamento; na garantia da salvaguarda das informações da rede e na proteção da infra-estrutura de suporte; na prevenção de danos aos ativos causadores de interrupções das atividades do negócio e na prevenção de perda, modiﬁcações ou mau uso de informações trocadas entre organizações. É preciso que a organização tenha os procedimentos de operação documentados e atualizados. Estes procedimentos são considerados documentos formais. Em casos de necessidade de mudanças, estas somente poderão ser realizadas mediante autorização da direção. As modiﬁcações nos sistemas e recursos de processamentos deverão ser controladas. Para isso, convém deﬁnir procedimentos e responsabilidades que garantam um nível de segurança satisfatório. Atenção! No gerenciamento de incidentes, é preciso que os procedimentos e as pessoas responsáveis já estejam definidos. Em casos de incidentes, os responsáveis devem ter respostas rápidas, efetivas e ordenadas. Unidade 6 seguranca_redes_dados.indb 159 159 2/3/2007 14:30:43 Universidade do Sul de Santa Catarina O método adotado pelas grandes organizações é o de segregação de funções, visando diminuir o risco de mau uso dos sistemas. Segregação de funções é um método que separa áreas de trabalho, dando direito ao uso de informações e serviços somente a pessoas envolvidas nas respectivas áreas, ou seja, as pessoas que executam suas funções na área administrativa poderão utilizar serviços e informações administrativos. A separação diminui as oportunidades de alterações não autorizadas no sistema ou o uso incorreto dos serviços e das informações. Para se alcançar a segregação de funções, é preciso separar ambientes de desenvolvimento, produção e teste, para evitar que integrantes de um ambiente interﬁram nos procedimentos de outro. Em casos de organizações nas quais o gerenciamento do processamento é feito por terceiros, ou seja, por prestadores de serviços, os riscos e os controles apropriados deverão ser identiﬁcados e acordados no contrato de serviço. Convém estabelecer critérios para avaliar a aceitação de novos sistemas. Os gestores deverão efetuar testes em caso de novos sistemas, atualizações de versões e atualizações em geral. O objetivo é garantir que as mudanças não comprometerão a segurança e a continuidade do negócio. Os gestores também são responsáveis pela implantação de controles especiais de detecção e prevenção contra introdução de softwares maliciosos. Os usuários precisam ser conscientizados das vulnerabilidades dos ambientes de processamento diante da introdução desses programas, que podem ser: softwares sem licença, vírus, cavalos de Tróia e outros. 160 seguranca_redes_dados.indb 160 2/3/2007 14:30:43 Segurança em Redes de Dados Atenção! É importante implantar procedimentos de cópias de segurança e de disponibilização dos recursos de reserva, ou seja, das próprias cópias. Assim, em casos de incidentes, as informações podem ser restauradas e viabilizadas em tempo hábil. Convém adotar controles de registro de operações e registro de falhas. As operações realizadas devem ser mantidas em registro contendo a data, a hora, a conﬁrmação do tratamento correto das informações e a identiﬁcação de quem efetuou a operação. Em casos de falhas ocorridas durante a operação, é preciso registrá-las e tomar as providências de ações corretivas. Atenção! A proteção das informações que trafegam em redes públicas também precisa receber uma atenção especial. A meta é garantir que as informações não sejam acessadas por pessoas não autorizadas, e também assegurar a integridade e a autenticidade dos dados que estarão disponíveis na rede. Procedimentos operacionais de proteção física deverão ser usados para proteger documentos e mídias magnéticas (ﬁtas, discos, cartuchos) contra roubos, acessos não autorizados e danos em geral. É preciso que o descarte de mídias removíveis ou documentos seja feito de forma segura, principalmente quando se tratar de informações sigilosas. Nestes casos, recomenda-se o uso de procedimentos como incineração ou trituração. Convém que as trocas de informações e softwares entre organizações sejam efetuadas com base em contratos, e que estejam em conformidade com toda legislação pertinente. Empresas que trabalham com comércio eletrônico precisam adotar controles para proteger-se das inúmeras ameaças, que podem resultar em atividades fraudulentas, violações de contratos e divulgação ou modiﬁcações de informações. Uma política clara deve ser deﬁnida para a utilização do correio eletrônico. Unidade 6 seguranca_redes_dados.indb 161 161 2/3/2007 14:30:43 Universidade do Sul de Santa Catarina De acordo com a norma, este é o tópico número 8 e está dividido nas seguintes partes: 8.1 - Procedimentos e responsabilidades operacionais 8.1.1 - Documentação dos procedimentos de operação 8.1.2 - Controle de mudanças operacionais 8.1.3 - Procedimentos para o gerenciamento de incidentes 8.1.4 - Segregação de funções 8.1.5 - Separação dos ambientes de desenvolvimento e de produção 8.1.6 - Gestão de recursos terceirizados 8.2 - Planejamento e aceitação dos sistemas 8.2.1 - Planejamento de capacidade 8.2.2 - Aceitação de sistemas 8.3 - Proteção contra software malicioso 8.3.1 - Controles contra software malicioso 8.4 - Housekeeping 8.4.1 - Cópias de segurança 8.4.2 - Registros de operação 8.4.3 - Registros de falhas 8.5 - Gerenciamento de rede 8.5.1 - Controles de rede 8.6 - Segurança e tratamento de mídias 8.6.1 - Gerenciamento de mídias removíveis 8.6.2 - Descarte de mídias 8.6.3 - Procedimentos para tratamento de informação 8.6.4 - Segurança da documentação dos sistemas 8.7 - Troca de informações e software 8.7.1 - Acordos para a troca de informações e software 8.7.2 - Segurança de mídias em trânsito 8.7.3 - Segurança no comércio eletrônico 8.7.4 - Segurança do correio eletrônico 8.7.5 - Segurança dos sistemas eletrônicos de escritório 8.7.6 - Sistemas disponíveis publicamente 8.7.7 - Outras formas de troca de informação 162 seguranca_redes_dados.indb 162 2/3/2007 14:30:43 Segurança em Redes de Dados 9 - Controle de acesso Este tópico tem o objetivo de auxiliar a controlar o acesso lógico às informações. É preciso estabelecer procedimentos para tal, em especial para os controles que analisem acessos privilegiados, ou seja, aqueles que permitam sobreposição, retiradas e alterações no sistema. Esses procedimentos deverão cobrir todos os estágios do ciclo de vida dos usuários, desde o registro inicial até o ﬁnal, que exclui os usuários que não necessitarão mais contatar o sistema. Trata-se de um cuidado que visa garantir que o sistema não ﬁque disponível a usuários que não pertençam mais à organização. É importante também controlar o acesso à rede interna e externa. Para isso, existem alguns procedimentos a serem seguidos, como: uso de interfaces apropriadas entre a rede da organização e as redes públicas; uso de autenticação para usuários e equipamentos e controle de acesso dos usuários aos serviços de informação. Isso garante que os acessos à rede não comprometam a segurança de seus serviços. É preciso usar também as funcionalidades de segurança do sistema operacional, que permitem: identiﬁcar e veriﬁcar a identidade, o terminal e a localização do acesso; registrar os sucessos e as falhas de acesso ao sistema; fornecer meios apropriados de autenticação (que deve ser garantida com o uso de um gerenciamento de chaves e senhas de qualidade) e restringir o tempo de conexão dos usuários. Com base nos riscos do negócio, outros métodos de controle poderão ser disponibilizados mediante justiﬁcativa. Unidade 6 seguranca_redes_dados.indb 163 163 2/3/2007 14:30:43 Universidade do Sul de Santa Catarina O acesso aos softwares aplicativos também deve ser controlado. Isso é feito conforme a política de controle de acesso já deﬁnida. Nela devem constar dois tipos de controle: o de permissão de acesso - em que a autorização de leitura, escrita, eliminação e execução de informações são fornecidas somente a usuários conﬁáveis e o de saída das informações - em que só é permitida a saída de informações relevantes e estas só podem ser enviadas para locais autorizados. As saídas precisam se submeter a análises críticas periódicas, para a garantia da remoção de informações redundantes. O controle de acesso deve ser monitorado, com o objetivo de detectar divergências entre a política estabelecida e os registros de eventos monitorados, bem como fornecer evidências no caso de incidentes de segurança. Atenção! Outros casos que merecem atenção são os de computação móvel e de trabalho remoto. Na utilização de computação móvel, é preciso considerar os riscos de se trabalhar em um ambiente desprotegido; a proteção adequada deve ser aplicada. No trabalho remoto, este deve ser autorizado e controlado pelo gestor responsável na organização; também é preciso aplicar proteção no local do trabalho. De acordo com a norma, este é o tópico número 9 e está dividido nas seguintes partes: 9.1 - Requisitos do negócio para controle de acesso 9.1.1 - Política de controle de acesso 9.2 - Gerenciamento de acessos do usuário 9.2.1 - Registro de usuário 9.2.2 - Gerenciamento de privilégios 164 seguranca_redes_dados.indb 164 2/3/2007 14:30:43 Segurança em Redes de Dados 9.2.3 - Gerenciamento de senha dos usuários 9.2.4 - Análise crítica dos direitos de acesso do usuário 9.3 - Responsabilidades do usuário 9.3.1 - Uso de senhas 9.3.2 - Equipamento de usuário sem monitoração 9.4 - Controle de acesso à rede 9.4.1 - Política de utilização dos serviços de rede 9.4.2 - Rota de rede obrigatória 9.4.3 - Autenticação para conexão externa do usuário 9.4.4 - Autenticação de nó 9.4.5 - Proteção de portas de diagnóstico remotas 9.4.6 - Segregação de redes 9.4.7 - Controle de conexões de rede 9.4.8 - Controle de roteamento 9.4.9 - Segurança dos serviços de rede 9.5 - Controle de acesso ao sistema operacional 9.5.1 - Identiﬁcação automática de terminal 9.5.2 - Procedimentos de entrada no sistema (log-on) 9.5.3 - Identiﬁcação e autenticação de usuário 10 - Desenvolvimento e manutenção de sistemas O objetivo deste tópico é garantir que a segurança seja parte integrante dos sistemas de informação. Visa também auxiliar: na prevenção de perda, modiﬁcações ou uso impróprio dos sistemas de aplicações; na proteção da conﬁdencialidade, autenticidade e integridade das informações; na condução dos projetos de tecnologia e nas atividades de suporte e na manutenção da segurança dos softwares e da informação do sistema de aplicação. Unidade 6 seguranca_redes_dados.indb 165 165 2/3/2007 14:30:43 Universidade do Sul de Santa Catarina Em casos de implantação de novos sistemas ou de melhorias nos já existentes, os requisitos de segurança devem ser considerados como um tópico do projeto. Ou seja, a segurança deve fazer parte do estudo, e seus requisitos precisam ser identiﬁcados, acordados, justiﬁcados e documentados antes de se desenvolver o sistema. Atenção! É importante prever controles como trilhas de auditoria, ou seja, uma seqüência de procedimentos de monitoração e registro de atividades para a prevenção de uso impróprio dos sistemas. Em casos de informações consideradas sensíveis ou valiosas, poderão ser adotados controles adicionais. Informações que são consideradas de risco devem ser protegidas com técnicas e sistemas criptográﬁcos, como: a criptograﬁa - para a proteção da conﬁdencialidade da informação e a assinatura digital - para a proteção da autenticidade e integridade de documentos eletrônicos. Para garantir que o andamento dos projetos e das atividades de suporte está se encaminhando seguramente, é preciso controlar o acesso aos arquivos do sistema. A manutenção da integridade dos mesmos deve ser atribuída ao usuário ou ao grupo de desenvolvimento a quem pertence o sistema de aplicação ou software. Os ambientes de desenvolvimento e suporte precisam ser rigidamente controlados. Para isso gestores responsáveis pelos sistemas de aplicação respondem também pela segurança do ambiente de desenvolvimento ou suporte. Eles são encarregados de garantir que todas as modiﬁcações propostas sejam analisadas criticamente, comprovando que elas não irão comprometer a segurança do sistema ou do ambiente de produção. 166 seguranca_redes_dados.indb 166 2/3/2007 14:30:44 Segurança em Redes de Dados De acordo com a norma, este é o tópico número 10 e está dividido nas seguintes partes: 10.1 - Requisitos de segurança de sistemas 10.1.1 - Análise e especiﬁcação dos requisitos de segurança 10.2 - Segurança nos sistemas de aplicação 10.2.1 - Validação de dados de entrada 10.2.2 - Controle de processamento interno 10.2.3 - Autenticação de mensagem 10.2.4 - Validação dos dados de saída 10.3 - Controle de criptograﬁa 10.3.1 - Política para o uso de controles de criptograﬁa 10.3.2 - Criptograﬁa 10.3.3 - Assinatura digital 10.3.4 - Serviços de não-repúdio 10.3.5 - Gerenciamento de chaves 10.4 - Segurança de arquivos do sistema 10.4.1 - Controle de software em produção 10.4.2 - Proteção de dados de teste do sistema 10.4.3 - Controle de acesso a bibliotecas de programa-fonte 10.5 - Segurança nos processos de desenvolvimento e suporte 10.5.1 - Procedimentos de controle de mudanças 10.5.2 - Análise crítica das mudanças técnicas do sistema operacional da produção 10.5.3 - Restrições nas mudanças dos pacotes de software 10.5.4 - Covert channels e cavalo de Tróia 10.5.5 - Desenvolvimento terceirizado de software Unidade 6 seguranca_redes_dados.indb 167 167 2/3/2007 14:30:44 Universidade do Sul de Santa Catarina 11 - Gestão da continuidade do negócio Este tópico tem o objetivo de auxiliar na eliminação de interrupções do negócio, causadas por diversos tipos de falhas e resultando em danos graves à organização. Um plano de continuidade de negócio deve ser mantido, testado e considerado um controle importantíssimo, de forma a se tornar parte integrante de todos os outros processos gerenciais. Este plano analisa os riscos aos quais a organização encontrase vulnerável, sejam eles desastres naturais, acidentes, falhas de equipamentos ou ações intencionais. Com o resultado desta análise, são deﬁnidas ações ou providências a serem tomadas para cada risco identiﬁcado. Assim, a organização pode reduzir a um nível aceitável a interrupção dos negócios. No plano de continuidade do negócio é preciso implementar também planos de contingência, de forma a garantir que os processos do negócio possam ser recuperados dentro de uma escala de tempo deﬁnida. Deve-se testar os planos e treinar os funcionários para que, no caso de um incidente, estejam aptos a colocar as providências em prática. Cada plano deve ter um responsável. Em casos de ausência temporária desse responsável, o plano é atualizado com os dados do substituto. Em casos de ausência deﬁnitiva do responsável, seus dados são substituídos no plano. O plano precisa ser mantido por análises críticas regulares e conseqüentes atualizações, para garantir sua contínua efetividade. Atenção! Este tópico é o um ponto de destaque neste conteúdo e é abordado na norma com mais profundidade no item 11.1.4. 168 seguranca_redes_dados.indb 168 2/3/2007 14:30:44 Segurança em Redes de Dados De acordo com a norma, este é o tópico número 11 e está dividido nas seguintes partes: 11.1 - Aspectos da gestão da continuidade do negócio 11.1.1 - Processo de gestão da continuidade do negócio 11.1.2 - Continuidade do negócio e análise do impacto 11.1.3 - Documentação e implementação de planos de continuidade 11.1.4 - Estrutura do plano de continuidade do negócio 11.1.5 - Testes, manutenção e reavaliação dos planos de continuidade do negócio 12 - Conformidade O objetivo deste tópico é auxiliar a evitar a violação de leis criminais ou civis, estatutos, regulamentações ou obrigações contratuais. Visa também auxiliar na garantia da conformidade dos sistemas com as políticas e normas organizacionais de segurança, bem como apoiar a auditoria de sistemas. Atenção! Para definir os requisitos de segurança, é importante contar com organizações de consultoria jurídica ou profissionais liberais adequadamente qualificados. O objetivo é garantir que os projetos, as operações, o uso e a gestão de sistemas estejam dentro dos requisitos de segurança corretos. Deve-se levar em consideração que os requisitos legislativos variam de um país para outro e também que informações criadas em um país são transmitidas a outros. A segurança dos sistemas de informação deve ser analisada criticamente tomando por base as políticas de segurança apropriadas. Além disso, a análise precisa ser feita em intervalos de tempo regulares, de modo a garantir que os sistemas de informação estejam sendo adequadamente comparados com as normas de segurança anteriormente deﬁnidas. Unidade 6 seguranca_redes_dados.indb 169 169 2/3/2007 14:30:44 Universidade do Sul de Santa Catarina As ferramentas de auditoria usadas para a checagem dos sistemas operacionais devem conter controles de segurança, a ﬁm de evitar uso impróprio e interrupção durante as atividades de auditoria. Elas devem estar separadas de sistemas em desenvolvimento e mantidas em áreas às quais somente usuários autorizados tenham acesso. De acordo com a norma, este é o tópico número 12 e está dividido nas seguintes partes: 12.1 - Conformidade com requisitos legais 12.1.1 - Identiﬁcação da legislação vigente 12.1.2 - Direitos de propriedade intelectual 12.1.3 - Salvaguarda de registros organizacionais 12.1.4 - Proteção de dados e privacidade da informação pessoal 12.1.5 - Prevenção contra uso indevido de recursos de processamento da informação 12.1.6 - Regulamentações de controles de criptograﬁa 12.1.7 - Coleta de evidências 12.2 - Análise crítica da política de segurança e da conformidade técnica 12.2.1 - Conformidade com a política de segurança 12.2.2 - Veriﬁcação da conformidade técnica 12.3 - Considerações quanto à auditoria de sistemas 12.3.1 - Controles de auditoria de sistema 12.3.2 - Proteção das ferramentas de auditoria de sistemas Atenção! Observe que a norma apresenta todos os pontos que devem ser tratados, porém não define como tratá-los. Cabe ao responsável pela segurança da informação e sua equipe conhecer as técnicas que podem ser adotadas para atender os itens apresentados na norma. 170 seguranca_redes_dados.indb 170 2/3/2007 14:30:44 Segurança em Redes de Dados Esta unidade foi fundamentada na dissertação de mestrado de Gislaine Parra Freund e adaptada para este livro didático. Você pode acessar este trabalho na íntegra em http://aspro02.npd.ufsc.br/arquivos/185000/187500/18_187514. htm?codBib=1. Síntese Nesta unidade você pôde observar a importância de uma política de segurança como ponto de partida de qualquer esforço para garantir a segurança das informações de uma empresa. Viu também que a política de segurança deve ser amplamente divulgada para evitar o “eu não sabia que não podia”. Conheceu algumas características importantes a serem consideradas na elaboração de uma política de segurança, tais como: sua importância, ﬂexibilidade, simplicidade na comunicação, objetividade e informações pontuais e deﬁnição das sanções disciplinares. Na deﬁnição de uma política de segurança existe uma trilha que pode ser seguida, e você identiﬁcou alguns pontos importantes a serem pensados durante sua elaboração. São eles: planejamento, deﬁnição das diretrizes, deﬁnição do Manual de instrução para usuários e do Manual de instrução para técnicos, Carta da direção, termos de conﬁdencialidade, Plano de contingência e Plano de continuidade de negócios e treinamento e conscientização dos usuários. É importante relembrar que estes não são os únicos itens a serem contemplados em uma política de segurança. Na seção 2, você conheceu a norma NBR ISO/IEC 17799, que contempla todos os itens a serem analisados na elaboração de uma política de segurança. Conheceu também a semelhança da NBR ISO/IEC 17799 com as normas ISO/IEC 17799 e BS7799-1. Identiﬁcou todos os tópicos da NBR em uma abordagem geral de modo suﬁciente para a deﬁnição de uma política de segurança. Unidade 6 seguranca_redes_dados.indb 171 171 2/3/2007 14:30:44 Universidade do Sul de Santa Catarina Atividades de auto-avaliação Ao final de cada unidade, você realizará atividades de auto-avaliação. O gabarito está disponível no final do livro didático. Mas esforce-se para resolver as atividades sem a ajuda do gabarito, pois assim você estará promovendo (estimulando) a sua aprendizagem. 1) Defina política de segurança com suas palavras. 2) Cite as características importantes a serem consideradas na elaboração de uma política de segurança e explique-as. 172 seguranca_redes_dados.indb 172 2/3/2007 14:30:44 Segurança em Redes de Dados 3) Cite as etapas importantes para a elaboração de uma política de segurança e explique sucintamente cada uma delas. 4) Qual a diferença entre BS7799, ISO/IEC 17799 e NBR ISO/IEC 17799? 5) Analise o item 6 – Segurança em pessoas da norma NBR ISO/IEC 17799 e proponha uma estratégia para atender este item. 6) Como você aplicaria a norma NBR ISO/IEC 17799 na elaboração de uma política de segurança de uma empresa? Unidade 6 seguranca_redes_dados.indb 173 173 2/3/2007 14:30:45 Universidade do Sul de Santa Catarina Saiba mais Você pode saber mais sobre o assunto estudado nesta unidade consultando as seguintes referências: http://www.modulo.com.br/ (site que aborda as normas BS7799, ISO/IEC 17799 e NBR ISO/IEC 17799). http://aspro02.npd.ufsc.br/arquivos/185000/187500/18_187514.htm?codBib=1 (site que contém na íntegra a dissertação de mestrado de Gislaine Parra Freund. Esta dissertação aborda o tema da segurança da informação e de redes de dados). 174 seguranca_redes_dados.indb 174 2/3/2007 14:30:45 Para concluir o estudo Você chegou ao ﬁm desta disciplina e conheceu conceitos que vão desde a introdução do tema segurança da informação, passando pelas técnicas mais utilizadas na invasão de sistemas computacionais, até os mecanismos e procedimentos que poderão ser utilizados na defesa desses ataques. Você estudou também o ponto de partida para implementar a segurança da informação em uma empresa, independentemente de sua área de negócio, além de alguns pontos importantes que devem ser abordados em um projeto de segurança da informação para se obter sucesso. Ficou evidente neste material a importância da visão global sobre o assunto na busca de evitar situações isoladas. Ou seja, é importante que você, um proﬁssional da área de TI, conheça o assunto de forma holística para que todos os pontos importantes sejam contemplados em seu projeto de segurança da informação. Esperamos que você tenha gostado e que o material tenha atendido as suas expectativas. Com o sincero desejo de sucesso e bons estudos, nos despedimos aqui. Grande abraço! Professores Gislaine e Luciano seguranca_redes_dados.indb 175 2/3/2007 14:30:45 seguranca_redes_dados.indb 176 2/3/2007 14:30:45 Referências seguranca_redes_dados.indb 177 ANONIMO. Segurança máxima. 3. ed. Rio de Janeiro: Campus, 2001. ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS. NBR ISO/IEC 17799: tecnologia da informação: código de prática para gestão da segurança da informação. Rio de Janeiro, 2001. GARFINKEL, Simson; SPAFFORD, Gene. Web security privacy & commerce. Cambridge: O’Reilly & Associates, 2002. MCCLURE, Stuart. Hackers expostos. 4. ed. São Paulo: Campus, 2003. NAKAMURA, Emilio Tissato; GEUS, Paulo Lício de. Segurança de redes em ambientes cooperativos. 3. ed. São Paulo: Futura, 2003. NEWMAN, Robert C. Enterprise security. Upper Saddle River: Prentice Hall, 2002. NORTHCUTT, Stephen; et al. Desvendando segurança em redes. Rio de Janeiro: Campus, 2002. SCHNEIER, Bruce. Segurança.com: segredos e mentiras sobre a proteção na vida digital. São Paulo: Campus, 2001. SIMON, William L.; MITNICK, Kevin D. A arte de enganar. São Paulo: Pearson, 2003. STALLINGS, William. Cryptography and network security: principles and practice. 3. ed. Upper Saddle River: Prentice Hall, 2002. 2/3/2007 14:30:45 seguranca_redes_dados.indb 178 2/3/2007 14:30:45 Sobre os professores conteudistas Gislaine Parra Freund Mestre em Ciência da Computação, na área de Segurança da Informação, pela Universidade Federal de Santa Catarina (UFSC); Especialista em Engenharia de Software pela Universidade do Norte do Paraná (UNOPAR); Tecnóloga em Processamento de Dados pela Faculdade de Ciências Contábeis e Administrativas de Rolândia (FACCAR). Tem experiência em docência nas áreas: programa CISCO, redes de computadores e segurança da informação. Cursos de qualiﬁcação realizados recentemente: Auditor Líder BS 7799, Wireless LAN, Certiﬁcação Digital, Security Oﬃcer. Atualmente trabalha no desenvolvimento e execução de projetos de segurança da informação, docência na área de redes de computadores e segurança da informação e coordenação de pós-graduação. Luciano Ignaczak Bacharel em Ciência da Computação pela Universidade de Passo Fundo/RS e Mestre em Ciência da Computação, na área de Segurança da Informação, pela Universidade Federal de Santa Catarina (UFSC). Coordenou as atividades de pesquisa e desenvolvimento na área de infra-estrutura de chaves públicas do LabSEC/UFSC. Atualmente é sócio-diretor da Univer Tech Ltda., coordenando a área de desenvolvimento de software. Exerce atividades de ensino como professor da disciplina Segurança de Sistemas das Faculdades Rio-Grandenses (FARGS). seguranca_redes_dados.indb 179 2/3/2007 14:30:45 seguranca_redes_dados.indb 180 2/3/2007 14:30:45 Respostas e comentários das atividades de auto-avaliação UNIDADE 1 1) Antigamente o valor era atribuído às máquinas e equipamentos de uma empresa, mas, devido à expansão do uso da internet, que tornou a concorrência entre as empresas sem fronteiras, a informação passou a ser considerada o bem mais valioso de uma empresa. 2) Informação, pessoas, infra-estrutura, aplicações, entre outras. 3) a) Resposta individual. b) Resposta individual. c) Resposta individual. d) Resposta individual. 4) Resposta individual. 5) O gerenciamento do risco. Resposta individual. 6) Resposta individual. UNIDADE 2 1) O objetivo da criptografia é transformar textos legíveis em ilegíveis de forma que somente pessoas autorizadas tenham acesso a eles. O princípio garantido pela criptografia é a confidencialidade das informações. 2) Porque a mesma chave utilizada para cifrar uma informação é utilizada para decifrá-la. Desta forma, a chave deve ser privada e de conhecimento somente dos envolvidos em um processo seguro. 3) Porque a criptografia assimétrica utiliza um par de chaves geradas e combinadas matematicamente. Uma dessas chaves é a privada, a que somente seu proprietário tem acesso, porém a outra é pública e pode ser divulgada sem problema algum. seguranca_redes_dados.indb 181 2/3/2007 14:30:45 Universidade do Sul de Santa Catarina 4) DES e IDEA (pode ser CAST, RC2, AES). 5) RSA e DAS (pode ser também DH, DC). 6) Os envelopes digitais utilizam uma combinação da criptografia simétrica e assimétrica. Para cifrar a informação, é utilizada a criptografia simétrica e uma chave de sessão que, conforme o próprio nome diz, é gerada a cada sessão estabelecida e descartada no final. A chave de sessão é cifrada com a chave pública do receptor utilizando a criptografia assimétrica. E o envelope é encaminhado para o receptor. Em seu destino, o receptor utiliza sua chave privada para decifrar a chave de sessão e a chave de sessão para decifrar a informação. 7) Certificados pessoais: são utilizados para a autenticação do usuário; Certificados de servidor: são utilizados para autenticar e identificar um servidor; Certificados de autoridades certificadoras: são utilizados para assinar outros certificados emitidos por ela. 8) Autoridade certificadora, autoridade de registro, módulo público, diretório público e lista de certificados revogados. UNIDADE 3 1) Resposta individual. A resposta está contida na seção 2. Os requisitos podem ser: identificação das partes, integridade das informações e sigilo. Basta você citar e explicar dois deles. 2) 1) Beto gera um par de chaves. 2) Beto envia a sua chave pública para Alice e armazena a sua chave privada de forma segura. 3) Alice recebe a chave pública de Beto e cifra o documento eletrônico com ela. 4) Alice envia o documento cifrado para Beto. 5) Beto recebe o documento cifrado e decifra com sua chave privada. 182 seguranca_redes_dados.indb 182 2/3/2007 14:30:45 Segurança em Redes de Dados 3) O objetivo de um protocolo criptográfico é aplicar técnicas para garantir os requisitos de segurança exigidos em determinada transação eletrônica. 4) Resposta individual. Veja uma sugestão de resposta: o protocolo SSL tem como objetivo garantir a segurança em transações realizadas através do modelo TCP/IP. Devido a sua forma de implementação, ele pode assegurar as transações realizadas através de vários protocolos disponíveis na camada de aplicação do modelo TCP/IP. Entre as garantias oferecidas pelo protocolo estão o sigilo das informações, a identificação do servidor, a identificação do cliente e a integridade. UNIDADE 4 1) Uma única conexão é recomendada para garantir que todas as tentativas de conexões passem pelo firewall, pois o mesmo somente pode proteger a rede caso as tentativas de ataques passem por ele. 2) Devido à conexão ser estabelecida na camada de rede, qualquer troca de informações entre os computadores, independentemente do protocolo de aplicação, será realizada de forma segura. 3) Um IDS é um sistema semelhante a um alarme que fica monitorando uma rede de computadores e alerta o administrador da rede sobre qualquer tentativa de invasão. Um IDS é um recurso pró-ativo, pois ele pode enviar um aviso para o administrador de que um ataque está sendo iniciado, dando oportunidade de se usarem técnicas para evitar o êxito do ataque. 4) O uso de mecanismos de segurança em redes tem como objetivo proteger toda a infra-estrutura de redes de computadores, e não somente de ataques contra a informação. Muitas vezes o objetivo de um ataque é derrubar um serviço on-line de uma empresa, impedindo que a mesma continue a prestá-lo de forma eficiente. Neste caso, somente mecanismos de segurança de redes podem impedir que o ataque seja realizado com sucesso. 5) Resposta individual. UNIDADE 5 1) Os ataques da década de 80 eram focados em um sistema específico e realizados individualmente. Os ataques atuais focam, normalmente, o usuário do computador e são realizados contra um grande conjunto de computadores. 2) Script kiddies, black hats, white hats. 183 seguranca_redes_dados.indb 183 2/3/2007 14:30:46 Universidade do Sul de Santa Catarina 3) Resposta individual. 4) Cavalo de Tróia é um tipo de código malicioso que simula o funcionamento de um software comum. Porém, durante sua execução, ele realiza operações maliciosas sem o conhecimento do usuário. Um spyware é um código malicioso que permanece em execução no computador vítima enviando informações importantes para o atacante. 5) Em um ataque de negação de serviço, um computador envia uma grande quantidade informações para o computador vítima. As informações consomem recursos deste computador até que ele deixe de “operar normalmente”. UNIDADE 6 1) Resposta individual. Podemos definir política de segurança como o conjunto de critérios e soluções para resolver problemas tecnológicos e humanos ou também como o conjunto de regras, procedimentos e diretrizes com o objetivo de proteger os ativos da organização. 2) Importância - visa intensificar e salientar a importância da segurança da informação para a empresa; Flexibilidade - deve ser flexível de forma que possa acompanhar as mudanças necessárias e ser alterada facilmente; Simplicidade na comunicação - a comunicação deve ser simples, de fácil entendimento e compreensível para todos; Objetividade - deve conter informações pontuais, procedimentos diretos e objetivos; Sanções disciplinares - definem e descrevem as conseqüências do não-cumprimento dos procedimentos definidos. Planejamento - com a participação e apoio dos executivos da empresa e da alta direção, deve expor suas expectativas e auxiliar na definição das diretrizes; Diretrizes - é a linha-mestre para o desdobramento da política de segurança. Deve apresentar o que a direção espera de resultado após a implantação da política; Manual de instrução para usuários e Manual de instrução para técnicos - devem conter todas as informações necessárias 3) 184 seguranca_redes_dados.indb 184 2/3/2007 14:30:46 Segurança em Redes de Dados para que os usuários possam cumprir a política de segurança e saber como proceder em determinadas situações. Devem conter também os procedimentos que foram implementados para possibilitar os controles dos usuários e a manutenção que deve ser realizada pelos técnicos; Carta da direção - é a solicitação de comprometimento e demonstração de envolvimento e preocupação da direção com a segurança da informação; Termos de confidencialidade - é o documento para prover o comprometimento dos colaboradores; Plano de contingência e Plano de continuidade de negócios - são medidas utilizadas para a reativação do negócio em casos de incidências; Treinamento e conscientização dos usuários - visa sensibilizar e conquistar a adesão e o comprometimento de todos os níveis hierárquicos da empresa. 4) A norma NBR ISO/IEC 17799 é a versão brasileira da norma ISO/IEC 17799. A norma ISO/IEC 17799 é a versão internacional da BS 7799 homologada. A norma BS (Brithish Standard) 7799 é uma norma criada na Inglaterra dividindo-se em duas partes: BS7799-1 e BS7799-2. A ISO e a NBR 17799 são exatamente iguais à BS7799-1 e apresentam um documento de referência para as boas práticas de segurança da informação. Já a BS77992 proporciona uma base para gerenciar a segurança da informação dos sistemas das empresas. 5) Resposta individual. 6) Resposta individual. (O profissional responsável pela segurança da informação deve selecionar os itens conforme o negócio da empresa, porém nenhum item deve ser descartado sem antes ser analisado de forma criteriosa). 185 seguranca_redes_dados.indb 185 2/3/2007 14:30:46 seguranca_redes_dados.indb 186 2/3/2007 14:30:46

Seguraça Em Rede De Dados

Rating

Date

Size

Views

Categories

Share

Transcript

Forgot your password?.