Motivação e taxonomia básica. O que é mais importante, segurança ou coneiança? o Security Theatre and Balancing Risks, Bruce Schneier TRADUZIR

Tamanho: px

Começar a partir da página:

Download "Motivação e taxonomia básica. O que é mais importante, segurança ou coneiança? o Security Theatre and Balancing Risks, Bruce Schneier TRADUZIR"

Igor Vilanova Vilaverde
8 Há anos
Visualizações:

1 Aula 2 Tradução dos slides da disciplina Information Security and Trust, CSC8202 versão PUCRS 2012, ministrada pelo Prof. Dr. Aad van Moorsel da University of Newcastle, Inglaterra. Mais uma notícia de falha de segurança no Facebook. o Desdobramentos da falha de segurança em arquivos PDF o Motivação e taxonomia básica O que é mais importante, segurança ou coneiança? o Security Theatre and Balancing Risks, Bruce Schneier TRADUZIR Segurança: o Proteção de um sistema contra ataques maliciosos. Segurança da Informação: o Preservação da coneidencialidade, integridade e disponibilidade da informação o Conhecidas como propriedades CIA ConEidencialidade Integridade Disponibilidade (availability) ConEiança o Uma percepção subjetiva e pessoal da qualidade de um sistema ou pessoa, decisão subjetiva para coneiar em um sistema. o Exemplos: Avaliação de ConEiança: A probabilidade subjetiva pela qual um indivíduo A espera que outro indivíduo B realize uma ação da qual o bem estar de A depende (Gambetta, 1988). Decisão de ConEiança: é a escolha de depender de alguma coisa ou de alguém em uma dada situação sentindo uma segurança relativa, apesar de consequências negativas serem possíveis (McKnight and Chervany, 1996).

o Security Theatre and Balancing Risks, Bruce Schneier TRADUZIR Segurança: o Proteção de um sistema contra ataques maliciosos.

2 O que é Dependability? o É a medida de um sistema que avalia três atributos: Availability: Disponibilidade, rapidez para o serviço correto. Reliability: Continuidade do serviço correto Maintainability: Sofrer modieicações e reparos. o Elementos de Dependabilidade: Atributos, Ameaças e Métodos. Atributos (Attributes): São as qualidades de um sistema, podem ser qualitativos ou quantitativos. São deeinidos os seguintes atributos (Avizienis et. al.). Availability Disponibilidade do Serviço Reliability Continuidade do Serviço Safety Ausência de consequências catastróeicas para os usuários e para o ambiente do sistema. Integrity Ausência de alterações impróprias do sistema. Maintainability Capacidade de ter um processo de reparo e modieicações. Ameaças (Threats): Fault ou Bug, é o defeito em um sistema. Error É a diferença entre o comportamento esperado e o comportamento obtido. Failure Uma falha é uma instância no momento em que um sistema apresenta um comportamento que é contrário à sua especieicação Métodos (Means): Prevention Prevenção Removal Remoção Forecasting Previsibilidade Tolerance Tolerância. A Taxonomia da Dependabilidade o A taxonomia da dependabilidade foi muito bem pensada o É baseada na experiência de mais de 50 anos de cada um

Atributos (Attributes): São as qualidades de um sistema, podem ser qualitativos ou quantitativos. São deeinidos os seguintes atributos (Avizienis et. al.). Availability Disponibilidade do Serviço Reliability Continuidade do Serviço Safety Ausência de consequências catastróeicas para os usuários e para o ambiente do sistema.

3 dos autores (Avizienis, Laprie, Randell). o É tão genérica que talvez vocês não reconheçam todos os termos. o dependablesecure.pdf o Dependability é a habilidade de evitar falhas de serviço que são mais frequentes ou mais severas do que é aceitável. o ConEiança é a aceitação da dependência (Deve haver ao menos duas partes) o ConEiabilidade é a garantia que um sistema terá o desempenho esperado (isso é essencialmente dependabilidade, mas isto é uma propriedade do sistema, diferentemente de coneiança). o Segurança se sobrepõe com a dependabilidade, exceto quando inclui coneidencialidade o Para ambos, dependabilidade e segurança, você tem: Fault > Error > Failure (e.g. bug>procedimento passa uma função inválida > Aplicação para). DeEinindo o espaço do Problema: Ontologia de Segurança Ontologia o Uma coleção de termos interrelacionados e conceitos que descrevem e modelam um domínio. o Utilizado para compartilhamento do conhecimento e reutilização o Proporciona um signieicado dos dados compreensível pela máquina (machineunderstandable). o Expressado em uma linguagem ontológica formal (e.g. OWL, DAML+OIL). Relacionando Informações o Necessário para descrever o relacionamento entre classes, indivíduos e propriedades o Os relacionamentos mais importantes são: Individual para classe: é uma instância de Individual para uma propriedade tem o valor de

o ConEiança é a aceitação da dependência (Deve haver ao menos duas partes) o ConEiabilidade é a garantia que um sistema terá o desempenho esperado (isso é essencialmente dependabilidade, mas isto é

4 Restrições entre classes e propriedades o Individual para classe Relacionamento entre um individuo e suas classes devem ser explicitamente indicados. Suportar identieicação dos membros de uma classe. Elementos centrais dos elementos da ontologia de segurança. o Ativos de informação sendo acessados Informação que é de valor para a organização, a qual indivíduos interagem e a qual necessita ser segurada para reter o seu valor. o As vulnerabilidades que os usuários criam Dentro de uma infraestrutura de TI, mas também dentro dos processos que os usuários podem participar. o As ameaças intencionais ou não intencionais representam ações do usuário Não apenas para a infraestrutura de TO, mas também para o processo de segurança e produtividade o Os potenciais de controle dos processos que podem ser utilizados e os seus efeitos identieicáveis. Estes podem ser técnicos, mas também ações dentro de um processo de negócio. o O atributo de segurança As métricas, se houver interesse, e.g. disponibilidade o Este conteúdo formalizado está codieicado em uma ontologia e representado em OWL (Web Ontology Language). o Segue a ontologia proposta por Fentz, ASIACCS 09, Formalizing Information Security Knowledge. Exemplo da ontologia de uma ameaça de fogo. Também Proposto por Fentz.

o Ativos de informação sendo acessados Informação que é de valor para a organização, a qual indivíduos interagem e a qual necessita ser segurada para reter o seu valor.

5 EXERCÍCIO: o Pode ser em trios. o Utilize a ontologia e o exemplo anterior para aplicar a ontologia a um novo exemplo. Aproveite de exemplos para a proteção da segurança informação dentro da empresa que vocês trabalham. o Apresentar para a turma. #até o slide 15, falta o conceito de consumerization.

Documentos relacionados

CURSO DE TECNOLOGIA EM ANÁLISE E DESENVOLVIMENTO DE SISTEMAS

CURSO DE TECNOLOGIA EM ANÁLISE E DESENVOLVIMENTO DE SISTEMAS TURMA 2008/1 4º PERÍODO 7º MÓDULO AVALIAÇÃO A3 DATA 15/10/2009 ENGENHARIA DE SOFTWARE 2009/2 GABARITO COMENTADO QUESTÃO 1: Analise as afirmações