Ivan Sendin. 21 de agosto de FACOM - Universidade Federal de Uberlândia SEG-2.

Transcrição

1 Aula 2 FACOM - Universidade Federal de Uberlândia ivansendin@yahoo.com,sendin@ufu.br 21 de agosto de 2018

2 Free Wifi: inseguro/google Força Bruta: possivel segundo alguma empresa de segurança (interpretação de uma frase...) Exponencial pode te levar a lua, sol, sair da via lactea,...

3 Por quê proteger a informação? Que tipo de ameaças ela sofre?

4 é um ativo das empresas vale dinheiro Algumas empresas vivem exclusivamente de informação...

5 FORD Transforma aço em carro IBM Machines...recentemente valorizando o B Microsoft Vendia software (fisicamente...em uma caixa com 10 disquetes de )

6 Facebook, WhatsApp, YouTube, Netflix, Beblue...

7 3 Propriedades principais: Confidencialidade, Integridade e Disponibilidade Estas propriedades precisam ser protegidas.

8 Confidencialidade SEG-2 Apenas as pessoas explicitamente autorizadas podem ter acesso à informação.

9 Integridade SEG-2 esta completa, sem alterações.

10 Disponibilidade SEG-2 acessível (de acordo com a confidencialidade) sempre que necessário.

11 Exemplo SEG-2 CryptoLocker /phishing (COMO? COMO EVITAR?) Ciframento dos arquivos (Qual propriedade foi comprometida?) US$ 300 em ate 72 horas (novas versões por US$ 1600) 1000 computadores por dia Pagamento por BitCoin...? Varios casos na região, inúmeros no Brasil

12 O que acontece se a lista de clientes de uma empresa não for confidencial?

13 Ashley Madison SEG-2 The Impact Team Shut down do site ou os dados seriam revelados A AM cobrava uma taxa para deletar os dados(?) 25Gb de dados foram disponibilizados via Torrent/dark web .sa,.mil,.gov Search Engine. Extorsão. Suicidios 0.3% eram de mulheres com acesso regular bot? Aparentemente o site voltou (junho/2018)

14 O que acontece se a lista de clientes de uma empresa não for confidencial? Integro? Disponivel? O que acontece se a consulta ao seu saldo não for integra? Disponivel?

15 Outras propriedades SEG-2 Autenticidade Associar a um autor de forma forte Não Repudio A autoria nao pode ser negada Uma folha sem rasuras é integra. Uma folha sem rasuras e assinada é integra e autentica e ainda tem a propriedade de nao repudio. Existem mecanismos criptográficos para prover autenticidade/não repudio em meios digitais

16 Vulnerabilidade SEG-2 Qualquer situação que coloca em risco alguma das 3 propriedades requeridas da informação. A vulnerabilidade pode ter origem em qualquer fase do ciclo de vida do sistema de informação: projeto, implementação ou no gerenciamento.

17 Como medir o problema... (quanto eu devo gastar na solução) O que é mais perigoso? Avião ou Bicicleta?

18 Impacto SEG-2 São as consequencias de um incidente de segurança. Pode (em geral) ser mensurado (em $). Qual é o impacto de alguem roubar a sua senha de banco? E do do Cartão de Credito?

19 Risco SEG-2 O risco é dado pela impacto e pela probabilidade de ocorrencia do evento de vulnerabilidade: R = I p (esperança estatística) É usado para guiar as ações de segurança! (Por exemplo, seguradoras)

20 1 Qual é o impacto da perda da confidencialidade da sua senha de banco? 2 Qual é o risco se o banco usar uma senha de 4 digitos (considerando que podem ser feitas 100 tentativas) 3 E com uma senha de 6 digitos?

21 Historicamente, os meios fisicos eram seguros para disponibilidade (não seguro para os demais) Papel O meios fisicos para armazenamento da informação são inseguros pequenos, sensíveis, vida-útil

22 Copia de Segurança Duplicação da informação Disponibilidade...? (conflito com a confidencialidade) Uso pessoal: pen drive + nuvem deve ser suficiente.

23 Qual meio? Características técnicas: Custo, confiabilidade, velocidade, vida útil,... Fitas Magneticas HD CD e afins flash,estado solido Nuvem (é seguro?)

24 Onde o backup pode ficar? SEG-2 on-line near-line: fitas e robos off line off site: Casa?Cofre?

25 O que levar para o backup? SEG-2 Orientado a arquivos: Um conjunto de arquivos deve ser escolhido Tempo de recuperação Archive Desduplicação,links, compactação, ciframento,... Metadados: usuários,permissões, informações sobre o disco, links... Live data: arquivos abertos, banco de dados Documentação/scripts

26 Filesystem/Dispositivo: dd Umount/RO Facilidade na recuperação: 1 passo

27 Poĺıtica SEG-2 Full Diferencial Arquivos modificados desde o ultimo full Incremental Arquivos modificados desde o ultimo incremental...

28 O incremental pode ser dividido em niveis Nivel 0 = Full Nivel N Todos os arquivo modificados ate um backup menor ou igual a N

29 Nivel Dia Dom Seg Ter Qua Qui Sex Sab Dom

30 Nivel Dia Dom Seg Ter Qua Qui Sex Sab Dom Como recuperar de um desastre na 5a de manha? Alguns arquivos mudam todo dia... outros nao!

31 A politica de backup influencia diretamente no custo do backup Custo da midia Deve-se considerar a vida util da mesma O backup em execução não deve usar as midias do ultimo backup 2 Jogos Custo operacional Sistema fica mais lento: muita operações de I/O Algumas operações precisam ficar em modo backup:mais lentas e outras restrições!!

32 TEMPO DE RECOVERY De novo: poĺıtica Além da informação, é necessário existir um ambiente computacional para a recuperação Contigência e Continuidade: conjunto de medidas preventivas para continuidade do negocio e recuperação de sua normalidade

33 Tempo de Retenção SEG-2 Além do desastres fisicos, o backup é usado para recuperar informações apagadas erroneamente neste contexto temos o tempo de retenção Quanto tempo nós podemos olhar para trás? implica diretamente em maior necessidade armazenamento (Independente do tempo de retenção, deve-se usar ao menos 2 jogos de midias!)

34 O sistema de backup precisa ser testado O sistema de backup precisa ser documentado (troca de funcionario)

35 Alem... SEG-2 Sistemas de arquivos com versionamento e log: facilitam/possibilitam auditorias RAID Como funciona? ATENÇÃO!!!

36 Outro lado da moeda SEG-2 Arquivos nao são realmente apagados... Já salvou o emprego de muita gente... já colocou algumas pessoas na cadeia! Formatação(?) Quebra de disco Secure delete Memoria RAM é volátil? Cold boot e swap