As Seis Idéias Mais Burras em

Transcrição

1 Segurança da Informação As Seis Idéias Mais Burras em Segurança da Informação Prof. Othon Batista

2 Roteiro Introdução 1. Permissão Padrão 2. Enumerar Malware 3. Corrigir Código Mal Projetado 4. Ser Hacker é Legal 5. Educar os Usuários 6. Agir é Melhor que não Agir As Menores Burrices

3 Introdução As seis idéias mais burras em segurança da informação são de autoria de Markus Ranum. Elas são anti boas idéias em termos de segurança da informação. Podem fazer com que um novo firewall de R$ ,00 fique obsoleto! Elas vêm de tentativas de realizar o impossível: às vezes são pessoas que não sabem o que estão fazendo e estão bem intencionadas; mas podem ser apenas para ganhar mais dinheiro!

4 Introdução As idéias estão listadas em ordem decrescente da mais freqüentemente vista. Somente os que conseguem evitar as três primeiras podem se considerar na elite da segurança da informação.

5 1. Permissão Padrão A permissão padrão aparece de várias formas distintas. Ela é extremamente persistente e difícil de erradicar. A maneira mais reconhecível desta idéia são as regras de um firewall. POLÍTICA PERMISSIVA. Outra maneira de ver isso é através do que pode ser executado em um computador. Tudo pode ser executado, basta clicar!

6 1. Permissão Padrão O contrário de permissão padrão é a proibição padrão. Política proibitiva. Tudo é proibido a priori! Apenas permite-se o que foi analisado para tal.

7 2. Enumerar Malware Enumerar malware consiste em listar todas as coisas ruins conhecidas. Isso é uma má idéia porque existem muito malware. Mais de vírus. Há cerca de 200 a 700 novos malwares por mês. Não vale a pena tentar saber como eles funcionam para detectá-los e removê-los. Anti-vírus.

8 2. Enumerar Malware A idéia contrária a enumerar malware é enumerar software que deve rodar. Basta proibir todos os softwares de rodar, exceto os que estão em uma lista de permissão. São bem menos softwares!!!

9 3. Invadir e Corrigir Programa em BASIC para esta má idéia: 10 GOSUB PROCURA_FALHAS 20 IF NOT FALHA_ENCONTRADA THEN GOTO GOSUB CONSERTA_FALHA 40 GOTO GOSUB CONGRATULA_SI_MESMO 60 GOSUB SEJA_HACKEADO_ASSIM_MESMO 70 GOTO 10

10 3. Invadir e Corrigir Outra maneira de ver isso é: atacar o firewall você mesmo; descobrir uma falha; corrigir a falha; voltar ao início. Se invadir e corrigir fosse eficiente, o Internet Explorer já estaria sem falhas de segurança. Um sintoma claro de invadir e corrigir é vulnerabilidade ao bug da semana.

11 3. Invadir e Corrigir Normalmente, sistemas que precisam desta idéia burra para funcionar são mal projetados. Portanto, projetar bem um sistema e implementá-lo conforme o projeto, ajuda a não utilizar esta idéia.

12 4. Ser Hacker é Legal Uma das maneiras de se livrar das baratas na cozinha é espalhando pedaços de pão embaixo do fogão. DE JEITO NENHUM!!! Não vale a pena; comprar livros como Kung Fu Hacking ; contratar um hacker para invadir e corrigir falhas de segurança. Ser um hacker é um problema social.

13 4. Ser Hacker é Legal A mídia eventualmente mostra um hacker como um gênio da Informática! O que é melhor: aprender técnicas de invasão; desenvolver técnicas de proteção.

14 5. Educar os Usuários Superficialmente, educar os usuários é sempre uma boa idéia. Por outro lado, há uma quantidade grande de estudos que mostram que o usuário entrega uma senha por uma barra de chocolate. Mais de metade da população clica em links ancorados em figuras pornográficas ou pessoas quase nuas.

15 6. Agir e Melhor que não Agir Os executivos de TI podem ser divididos em dois grupos: os que adotam rapidamente; os que param e pensam. É freqüentemente mais fácil não fazer algo idiota do que é fazer algo inteligente. Jamais entre em uma nova tecnologia para produção. As novas tecnologias estão suscetíveis a novos bugs!

16 As Menores Burrices Não somos um alvo, pois nada é importante nesta organização. Desde quando um worm tem inteligência. Todos estariam seguros se executassem a solução de segurança do momento. Os sistemas operacionais têm problemas de segurança porque são complexos. A administração de sistemas não é um problema solucionado em computação.

17 As Menores Burrices Não precisamos de firewall, os hosts estão seguros. As aplicações são alvos através da rede... Não precisamos de segurança nos hosts, temos um bom firewall. O firewall não fecha todo o tráfego...

18 As Menores Burrices Coloque o produto no mercado agora, depois a gente resolve os problemas de segurança. Se você não tem tempo para corrigir agora, terá no futuro??? Colocar um sistema que precisa de correções no mercado, significa perder tempo de manutenção... Nós não conseguimos impedir problemas ocasionais. Você viajaria de avião se soubesse que essa abordagem é utilizada pelas companhias aéreas?