Introdução. André Zúquete Segurança Informática e nas Organizações 1

Transcrição

1 Introdução André Zúquete Segurança Informática e nas Organizações 1 Objetivos (1/3) Defesa contra catástrofes Fenómenos naturais Temperatura anormal, trovoada, inundação, radiação, Degradação do hardware computacional Aterragem de discos, etc. Solução: Prevenção realista Fundamentalmente para catástrofes mais prováveis Salvaguarda da informação Replicação Da informação Dos recursos computacionais André Zúquete Segurança Informática e nas Organizações 2 1

2 Objetivos (2/3) Defesa contra faltas/falhas previsíveis Falta de energia Falha dos sistemas UNIX panic, Windows blue screen Bloqueios Faltas/falhas nas comunicações Solução: Sistemas de alimentação alternativos Sistemas transacionais Encaminhamento alternativo, reenvio André Zúquete Segurança Informática e nas Organizações 3 Objetivos (3/3) Defesa contra atividades não autorizadas Iniciadas por alguém de dentro Iniciadas por alguém de fora Tipos de atividades ilícitas: Acesso a informação Alteração de informação Utilização de recursos CPU, memória, impressora, rede, etc. Impedimento de prestação de serviço Denial of Service (DoS) Vandalismo Interferência com o normal funcionamento do sistema sem qualquer benefício para o sujeito causador André Zúquete Segurança Informática e nas Organizações 4 2

3 Segurança em sistemas computacionais: Problemas complexos Os computadores podem fazer muito estrago em pouco tempo Gerem muita informação Processam e comunicam rapidamente Existem cada vez mais pontos fracos Porque os sistemas são cada vez mais complexos Porque o time-to-market é cada vez mais reduzido As redes permitem: Ataques anónimos a partir de qualquer lado Propagação automática de ciberpragas A existência e uso de programas e máquinas hostis Regra geral os utentes são incautos Porque não estão cientes dos problemas e soluções Porque não se preocupam ou arriscam André Zúquete Segurança Informática e nas Organizações 5 Atitude realista Proteção a 100% é impossível Equilíbrio custo-eficácia Problema: calcular custos e eficácia A segurança é dispendiosa Em material e pessoas Dispor apenas do necessário Proteção, valor e punição Proteção suficiente boa para impedir ataques frequentes Interferir com o trabalho diário menos do que os danos causados por atacantes Polícia e tribunais para identificar e punir pontualmente os atacantes É importante não dar a sensação que a impunidade é total André Zúquete Segurança Informática e nas Organizações 6 3

4 Léxico Vulnerabilidade Característica de um sistema que o torna sensível a ataques Na conceção / no desenvolvimento / na instalação Ataque Conjunto de passos que levam à execução de uma ou mais atividades ilícitas Normalmente explorando vulnerabilidades Risco / ameaça Possibilidade de dano resultante de um ataque Dano material ou imaterial Defesa Conjunto de políticas e mecanismos de segurança que visam Diminuir as vulnerabilidades de um sistema Detetar o mais rápido possível ataques passados ou atuais Diminuir os riscos de um sistema André Zúquete Segurança Informática e nas Organizações 7 Riscos Informação, tempo e dinheiro Eliminação ou alteração de informação Confidencialidade Acesso não autorizado a informação Privacidade Recolha de dados de índole privada Disponibilidade de recursos Rutura de sistemas informáticos Personificação De pessoas ou serviços Uso abusivo de sistemas alheios privilegiados André Zúquete Segurança Informática e nas Organizações 8 4

5 Fontes de vulnerabilidades Aplicações com bugs ou hostis Morris Worm 1988 Buffer overflows + descoberta de senhas fracas root kits Utilizadores Desconhecedores ou descuidados telnet vs. ssh, IMAPS vs. IMAP Vírus? Estou imune, tenho detetor Hostis Má administração Os sistemas são cada vez mais complexos As configurações por omissão nem sempre as melhores Medidas restritivas de base vs. flexibilidade de operação Comunicações sobre redes não controladas Geridas por terceiros independentes das fontes de comunicação André Zúquete Segurança Informática e nas Organizações 9 Dimensões a considerar Treino Consciência da segurança Organização da segurança Políticas de segurança Pessoas Processos de administração da segurança Estratégia Processos Revisão de processos de auditoria e acompanhamento Tecnologia Deteção de vulnerabilidades Firewalls Autenticação Controlo Acesso Auditorias Cifra de Dados Assinaturas Digitais Entidades Certificadoras Hierarquias de Certificação Etc. André Zúquete Segurança Informática e nas Organizações 10 5

6 Políticas Definem o poder/privilégio dos sujeitos Princípio do privilégio mínimo Hardening Definem procedimentos de segurança Quem deve fazer o quê e em que circunstâncias Definem os requisitos de segurança de um domínio Níveis de segurança Autorização necessária E respetivos requisitos mínimos de autenticação satisfatória Definem estratégias de defesa e táticas de contra-ataque Arquitetura defensiva Monitorização de atividades críticas ou de indícios de ataques Reação a ataques ou situações anormais Definem o universo de atividades lícitas ou ilícitas Tudo o que não é negado é permitido Tudo o que não permitido é negado André Zúquete Segurança Informática e nas Organizações 11 Mecanismos Os mecanismos servem para implantação das políticas As políticas definem o que precisa ser feito Os mecanismos servem para o fazer Mecanismos de segurança genéricos Confinamento Autenticação Controlo de acesso Execução privilegiada Filtragem Registo (logging) Inspeção Auditoria Algoritmos criptográficos e afins Protocolos criptográficos André Zúquete Segurança Informática e nas Organizações 12 6

7 Nível oferecido por um computador Depende de: Políticas de segurança disponibilizadas Correção e eficácia da sua especificação / implantação Critérios de avaliação NCSC Trusted Computer System Evaluation Criteria (TCSEC, Orange Book) Classes: D, C (1, 2), B (1, 2, 3) e A (1) D: inseguro (nível de proteção mínimo) A1: mais seguro políticas de proteção exigentes e dispendiosas procedimentos formais de validação da especificação controlo rigoroso da implantação EC Information Technology Security Evaluation Criteria (ITSEC) Níveis: E1 até E6 Nível de especificação formal Correção da implantação André Zúquete Segurança Informática e nas Organizações 13 Políticas em sistemas distribuídos Abrangência de várias máquinas e redes Domínios de segurança Definição do conjunto de máquinas e redes do domínio Definição do universo de utentes válidos Definição do universo de atividades lícitas Security gateways Definição do conjunto de interações permitidas com o exterior De dentro para fora De fora para dentro Defesa de perímetro vs. defesa em profundidade André Zúquete Segurança Informática e nas Organizações 14 7

8 Ataques em sistemas distribuídos Ataques às máquinas Roubo Intrusão Personificação Negação de prestação de serviços (DoS) Ataques às redes Inspeção Personificação Interceção Modificação Reprodução Negação de prestação de serviços (DoS) Outros Transferência de informação André Zúquete Segurança Informática e nas Organizações 15 Modelos de ataque Ataques específicos Concebidos especificamente para uma máquina ou rede Conduzidos em tempo real por especialistas Ataques automatizados Concebidos para explorar vulnerabilidades prováveis Pré-codificados e lançados contra qualquer máquina ou rede Tempo médio de sobrevivência Tempo que medeia entre dois ataques automatizados consecutivos Existem máquinas sensores que permitem calcular esse tempo André Zúquete Segurança Informática e nas Organizações 16 8

9 Tempo médio de sobrevivência ( André Zúquete Segurança Informática e nas Organizações 17 Mecanismos em sistemas distribuídos (1/5) André Zúquete Segurança Informática e nas Organizações 18 9

10 Mecanismos em sistemas distribuídos (2/5) Sistemas operativos confiáveis Níveis de segurança, certificação Ambientes seguros para servidores Execução confinada (sandboxing) / máquinas virtuais Autenticação Local Remota (network authentication) Single Sign-On Firewalls & Security Appliances Controlo de tráfego entre duas redes Monitorização (carga da rede, etc.) André Zúquete Segurança Informática e nas Organizações 19 Mecanismos em sistemas distribuídos (3/5) Autoridades de Certificação / PKI Gestão de certificados de chaves públicas Cifra de ficheiros e de sessões Privacidade dos dados que circulam na rede Privacidade dos dados guardados em disco Comunicação cifrada / VPNs Canais seguros sobre redes públicas inseguras Extensão segura de redes organizacionais André Zúquete Segurança Informática e nas Organizações 20 10

11 Mecanismos em sistemas distribuídos (4/5) Monitorização de conteúdos Deteção de vírus, vermes ou similares (ciberpragas) Deteção de intrusos Deteção de atividades proibidas ou anómalas Host-based / Network-Based Detetores de vulnerabilidades Procura para efeitos de correção ou exploração Network-based / Host-based Testes de penetração Análise de vulnerabilidades Tentativas de penetração para demonstração Teste dos mecanismos de segurança instalados André Zúquete Segurança Informática e nas Organizações 21 Mecanismos em sistemas distribuídos (5/5) Administração da Segurança da Empresa Desenvolvimento de políticas Aplicação distribuída de políticas Co-administração de serviços de segurança Real-Time Security Awareness / Incident Response Capacidade de apreender corretamente a existência de problemas em tempo real Meios para reação rápida e correta ao incidente André Zúquete Segurança Informática e nas Organizações 22 11