Segurança Informática de Redes e Sistemas (Abordagem Open-Source)

Tamanho: px
Começar a partir da página:

Download "Segurança Informática de Redes e Sistemas (Abordagem Open-Source)"

Transcrição

1 Segurança Informática de Redes e Sistemas (Abordagem Open-Source) Por Pedro Edgar Bessa Rodrigues Orientador: Doutor Salviano Filipe Silva Pinto Soares Co-orientador: Doutor Pedro Miguel Mestre Alves da Silva Dissertação submetida à UNIVERSIDADE DE TRÁS-OS-MONTES E ALTO DOURO para obtenção do grau de MESTRE em Engenharia Electrotécnica e de Computadores, de acordo com o disposto no DR I série A, Decreto-Lei n. o 74/2006 de 24 de Março e no Regulamento de Estudos Pós-Graduados da UTAD DR, 2. a série Deliberação n. o 2391/2007

2

3 Segurança Informática de Redes e Sistemas (Abordagem Open-Source) Por Pedro Edgar Bessa Rodrigues Orientador: Doutor Salviano Filipe Silva Pinto Soares Co-orientador: Doutor Pedro Miguel Mestre Alves da Silva Dissertação submetida à UNIVERSIDADE DE TRÁS-OS-MONTES E ALTO DOURO para obtenção do grau de MESTRE em Engenharia Electrotécnica e de Computadores, de acordo com o disposto no DR I série A, Decreto-Lei n. o 74/2006 de 24 de Março e no Regulamento de Estudos Pós-Graduados da UTAD DR, 2. a série Deliberação n. o 2391/2007

4

5 Orientação Científica : Doutor Salviano Filipe Silva Pinto Soares Professor Auxiliar do Departamento de Engenharias - Escola de Ciências e Tecnologias Universidade de Trás-os-Montes e Alto Douro Doutor Pedro Miguel Mestre Alves da Silva Professor Auxiliar do Departamento de Engenharias - Escola de Ciências e Tecnologias Universidade de Trás-os-Montes e Alto Douro Acompanhamento do trabalho : Engenheiro Rui Pedro Graça Barros Melo Ferreira Licenciado em Engenharia Electrotécnica e de Computadores do Quality Center Versão Integral,Lda v

6

7 É fácil escapar à crítica: não faça nada, não diga nada, não seja nada Elbert Hubberd ( ) A simplicidade é o último degrau da sabedoria Khalil Gibran ( ) Dedicado: A todos aqueles que tornaram possível este trabalho. Ao meu irmão Diogo Rodrigues pela motivação que, inconscientemente, me deu. vii

8

9 UNIVERSIDADE DE TRÁS-OS-MONTES E ALTO DOURO Mestrado em Engenharia Electrotécnica e de Computadores Os membros do Júri recomendam à Universidade de Trás-os-Montes e Alto Douro a aceitação da dissertação intitulada Segurança Informática de Redes e Sistemas (Abordagem Open-Source) realizada por Pedro Edgar Bessa Rodrigues para satisfação parcial dos requisitos do grau de Mestre. Outubro 2010 Presidente: Doutor António Luís Gomes Valente, Professor Auxiliar do Departamento de Engenharias - Escola de Ciências e Tecnologia da Universidade de Trás-os-Montes e Alto Douro Vogais do Júri: Por definir, Por definir Doutor Salviano Filipe Silva Pinto Soares, Professor Auxiliar do Departamento de Engenharias - Escola de Ciências e Tecnologias da Universidade de Trás-os-Montes e Alto Douro Doutor Pedro Miguel Mestre Alves da Silva, Professor Auxiliar do Departamento de Engenharias - Escola de Ciências e Tecnologias da Universidade de Trás-os-Montes e Alto Douro ix

10

11 Segurança Informática de Redes e Sistemas (Abordagem Open Source) Pedro Edgar Bessa Rodrigues Submetido na Universidade de Trás-os-Montes e Alto Douro para o preenchimento dos requisitos parciais para obtenção do grau de Mestre em Engenharia Electrotécnica e de Computadores Resumo Durante o decorrer da sua história, o Homem demonstrou sempre um enorme desejo de informação. Desde o surgimento do primeiro sistema de informação, a Fala, passando pela Escrita, pelo Livro, pela Imprensa, até ao surgimento do mais revolucionário de todos, a Internet, o ser humano procurou sempre uma partilha global da informação. As sucessivas (r)evoluções da informação mostraram ser capazes de mudar e moldar toda uma sociedade. A Internet não foi excepção. O aparecimento desta provou que a partilha global da informação é possível e desencadeou uma revolução de tal ordem, que apenas pode ser comparável com a grande Revolução Industrial, trazendo até nós a denominada Sociedade da Informação e do conhecimento. Percebendo que através de sistemas computacionais conseguiriam apresentar uma maior produtividade, as empresas começaram a aderir às redes informáticas. Actualmente é muito difícil encontrarmos empresas que não possuam infra-estruturas informáticas para suprir as suas necessidades. Esta informatização das organizações fez surgir novos conceitos, tais como o de empresa virtual, e-business, home office, e-commerce, entre outros. A informação tornou-se, cada vez mais, um activo importantíssimo das organizações capaz de gerar valor, lucros e benefícios. Porém, os computadores e a maneira como se comunicam, não servem apenas para auxiliar as empresas nos seus processos. Com os conhecimentos adequados é possível alguém aproveitar o poder computacional para executar os denominados ataques informáticos, com os mais variados objectivos, colocando a informação em risco. Provado o enorme valor da informação para as empresas é de grande necessidade criar medidas e soluções de protecção. Esta Dissertação de Mestrado tratará do estudo de uma dessas soluções: o software de auditoria de segurança, Babel Enterprise. Palavras Chave: Sistema de informação, Ambiente empresarial, Babel Enterprise, Vírus, Ataques informáticos, Vulnerabilidades, Ameaças, Segurança informática, Redes informáticas, Internet. xi

12

13 Security in networks and computer systems (Open-Source approach) Pedro Edgar Bessa Rodrigues Submitted to the University of Trás-os-Montes and Alto Douro in partial fulfillment of the requirements for the degree of Master of Science in Electrical and Computers Engineering Abstract During the course of history, man has always shown a great desire for information. Since the emergence of the first information system, the speech, followed by writing, the book, the press to the emergence of the most revolutionary of all, the Internet, man has always sought a share of the global information. Successive (r)evolutions of the information proved to be able to change and shape the whole society. The Internet was no exception. The emergence of this proved that the global sharing of information is possible, sparking a revolution of such order, which can only be comparable with the phenomenon of large Industrial Revolution, bringing us up today s society, the so-called information society and knowledge. Realizing that through computer systems will be able to provide greater productivity, companies began to join the computer network. Today it is very difficult to find companies that lack IT infrastructure to meet their needs. This informatization of organizations gave rise to new concepts, such as virtual enterprise, home office, e-business, E-commerce, among others. The information has become an important asset of organizations to generate value, profits and benefits. However, the computers and how they communicate, exist not only to help companies in their workflow. With the appropriate knowledge somebody harness the computing power to perform the so-called cyber attacks with the most varied objectives, putting information at risk. Proved the huge value of the business information is of great need to create measures and protective solutions. This Master Thesis will address the study of one of these solutions. The audit networks tool, Babel Enterprise. Key Words: Information system, Business environment, Babel Enterprise, Virus, Cyber attacks, Vulnerabilities, Threats, Network security, Internet, Networks. xiii

14

15 Agradecimentos Institucionalmente, os meus agradecimentos ao Magnífico Reitor da Universidade de Trás-os-Montes e Alto Douro, Professor Doutor Carlos Alberto Sequeira, ao seu antecessor Professor Doutor Armando Mascarenhas Ferreira e a toda a Direcção de Mestrado de Engenharia Electrotécnica e de Computadores, pelas facilidades e soluções concedidas para a realização deste trabalho. Ao Professor Doutor Salviano Filipe Silva Pinto Soares, orientador deste trabalho, pela preciosa ajuda no estabelecimento da parceria UTAD/INOVA-RIA, pelas suas valiosas sugestões, pela sua disponibilidade e orientações que permitiram atingir os objectivos propostos neste projecto. Ao Professor Doutor Pedro Miguel Mestre Alves da Silva, co-orientador do projecto, pela sua disponibilidade e apoio, tanto neste trabalho como ao longo de todo o meu percurso académico. À Dra. Regina Maia Sacchetti, da Organização e Gestão de recursos do cluster INOVA-RIA, pela sua disponibilidade e dedicação que tornaram possível a criação do estágio que permitiu a realização deste trabalho. Aos Engenheiros Nuno Ferreira e Hugo Rodrigues, na qualidade de administradores da Versão Integral,Lda, pelas facilidades, apoio incondicional e óptimas condições de trabalho concedidas, imprescindíveis para levar a bom porto este projecto. xv

16 A todos os meus caros colegas da Versão Integral,Lda pela sua paciência inesgotável, compreensão e apoio, que contribuíram para o sucesso deste estudo. Agradecimento, em particular, ao colaborador João Ubaldo Coutinho pelos conhecimentos valiosos facultados, que tanto ajudaram durante a fase de implementação, ao colaborador Ricardo Esteves pela preciosa ajuda no desenvolvimento da plataforma de testes e ao Engenheiro Jorge Silva pelo seu companheirismo, preocupação e alto profissionalismo que em muito contribuiu para que me fosse possível conseguir encarar as minhas funções da melhor forma, mesmo quando tudo parecia estar contra. Um agradecimento especial ao Engenheiro Rui Ferreira, na qualidade de supervisor deste trabalho, pelo seu bom humor, empenho e total dedicação, que viabilizou e traçou de forma significativa, o rumo deste trabalho. O meu apreço pela sua amizade e apoio. Ao meu colega de longos anos Simão Oliveira Cardeal, pelas discussões técnicas, pela cumplicidade, companheirismo e amizade que demonstrou, que em muito contribuiu para ultrapassar os momentos difíceis. A todos, bem hajam! UTAD, Vila Real 27 de Outubro, 2010 Pedro Edgar Bessa Rodrigues xvi

17 Índice geral Resumo Abstract Agradecimentos Índice de tabelas Índice de figuras Lista de Abreviaturas xi xiii xv xxi xxiii xxvii 1 Introdução Problemática Metodologia Objectivo da Dissertação Organização da Dissertação Contextualização Conceitos Contexto Histórico A Fala A Escrita O Livro Escrito xvii

18 2.2.4 A Imprensa Revolução da Informação Vs Revolução Industrial A Internet Reflexão Sistemas de Informação nas Empresas Adesão às Redes Informáticas Os conceitos do novo paradigma Ambiente Empresarial Reflexão Segurança em Redes e Sistemas de Informação Conceitos e Pressupostos Vulnerabilidades Ameaças Classificação das ameaças Metodologias de Ataques Informáticos Anatomia de um Ataque Informático Análise e Previsões Contra-medidas Conselhos Básicos de Segurança Ferramentas e Sistemas de Segurança Políticas de Segurança Enquadramento Legal e Normativo Normas e Critérios Enquadramento Legal Português Entidades orientadas à Segurança Informática Gestão do Risco Processo de Gestão de Risco Análise e Classificação do Risco Planeamento e Selecção de Controlos Implementação de Controlos Avaliação e Monitorização Análise do Modelo ISO/IEC Abordagem baseada em boas práticas Abordagem informal Abordagem baseada na análise detalhada do risco Abordagem heterogénea Metodologia proposta Análise do Sistema de Informação Organizacional xviii

19 4.3.2 Elementos de Informação Estimativa do Valor da informação Aplicação do método de Delphi Probabilidade de concretização de uma ameaça Aplicação do Modelo de Delphi Cálculo do Risco Análise e Classificação do Risco Selecção de controlos Esquema proposto Implementação da metodologia proposta Análise do Sistema de Informação Descrição da Infraestrutura Informática Identificação do software da rede Identificação dos serviços disponibilizados Identificação de máquinas críticas Conclusões Elementos de Informação Identificação dos elementos de informação Agregação dos elementos de informação Cálculo do Valor da Informação Conclusões Probabilidade de ocorrência de Ameaças Processos Genéricos Identificação de Ameaças Cálculo da probabilidade de ocorrência de ameaças Conclusões O Risco Cálculo do Risco Avaliação do Risco Babel Enterprise Características Arquitectura Geral Agentes Babel Enterprise Consola Web Servidor Babel Enterprise Base de Dados Organização lógica do Babel Enterprise Princípio de Funcionamento xix

20 6.5 Fase de Implementação Introdução ao OpenVas Plataforma de Testes Análise Crítica Conclusões Proposta de inovação Conclusões Finais 207 Referências bibliográficas 213 A Ranking das piores ameaças informáticas 219 B Questionário de determinação do valor da informação 223 C Questionário de determinação da probabilidade de ameaças 229 Sobre o Autor 241 xx

21 Índice de tabelas 2.1 Quadro-Resumo das (R)evoluções da Informação Estudo da CISI Probabilidade de ocorrência de ameaças Alpha de Cronbach e o grau de Consenso Classificação da informação segundo a criticidade Probabilidade de ocorrência de ameaças Escala de resposta de probabilidades Correspondência entre as classes de ameaças e as dimensões de segurança Grupos genéricos de informação (G i ) Resultados para a dimensão Confidencialidade Resultados para a dimensão Integridade Resultados para a dimensão Disponibilidade Resultados Autenticidade/Responsabilidade Classificação parcial da informação Classificação geral da informação Resultados finais para os Processos do grupo Resultados finais para os Processos do grupo xxi

22 5.10 Resultados finais para os Processos grupo Resultados finais para os Processos grupo Níveis de referência ao processo de classificação Classificação dos índices de risco referentes a cada grupo genérico de informação G i Babel Enterprise Vs OpenVas xxii

23 Índice de figuras 2.1 Pirâmide de Davenport A primeira forma de partilha de informação Exemplos de Escrita O mundo da Internet Gráfico do crescimento da Internet Ambiente Empresarial e os Sistemas de Informação Diagrama dos intervenientes do Ambiente Empresarial Processo estratégico de negócio Estrutura organizacional de uma empresa Diagrama de Leavitt Panorama da actividade empresarial Utilizador como Elo mais fraco do sistema Vulnerabilidades dos Sistemas de Informação (Fonte: Santos (2007)) Representação das Ameaças e Vulnerabilidades (Fonte: Santos (2007)) Classificação das ameaças Técnica DNS Poisoning Técnica Negação de Serviço Ataque Negação de Serviço Distribuída xxiii

24 3.8 Ataque Smurf, envio de pacotes Ping Ataque Smurf, respostas para a vítima Ataque Syn Flood Ataque IP Spoofing Ataque Man-in-the-Middle Analogia da multiaplicabilidade das técnicas de ataque Anatomia de um Ataque Informático Contra-medidas (Fonte: Santos (2007)) Actualização do Antivírus Segurança Vs Usabilidade Cronologia de Normas e Critérios Processo de Gestão de Risco Modelo para a Segurança da Informação Risco Residual Abordagem heterogénea de Gestão do Risco Organigrama standard de uma organização de TI Identificação de ameaças Metodologia proposta Esquema Geral da Rede Informática em estudo Esquema da Rede interna Procedimento de Delphi Arquitectura Cliente Arquitectura Servidor Interface Web de utilizador Organização lógica Princípio de funcionamento Arquitectura Interna OpenVas Interface gráfica do OpenVas (Cliente) Domínios Babel Enterprise Políticas Babel Enterprise Áreas Babel Enterprise xxiv

25 6.11 Tarefas e sub-tarefas configuradas Apresentação de dados no OpenVas Apresentação de dados no Babel Enterprise Detecção de vulnerabilidades novas, eliminadas e alteradas Expressividade dos módulos no nível de risco Gráfico de evolução do índice de risco de cada política de segurança Evolução dos valores de risco de uma política Proporção de risco por domínio Evolução dos valores de risco dos domínios Evolução dos valores de risco das áreas Proporção de vulnerabilidades por área Nível de risco por agente (Primeira Auditoria) Nível de risco por agente (teste final) Relação entre índice geral de Risco inicial e final do sistema Curva de evolução do índice geral de Risco do sistema C.1 Classificação das ameaças xxv

26

27 Lista de Abreviaturas Abreviatura Descrição ACEP ANACOM ANCP AS BHO BSI BSoD CB CC CEM CERT CERIAS CESE CEN CENELEC CISI Associação de Comércio Electrónico de Portugal Autoridade Nacional de Comunicações Agência Nacional de Compras Públicas Sistema Autónomo Browser Helper Objects British Standard Institute Blue Screen of Death Certificaton Body Common Criteria Common Evaluation Methodology for Information Technology Security Serviço de Resposta a Incidentes de Segurança Informática Center for Education and Research in Information Assurence and Security Comité Económico e Social Europeu Comité Europeu de Normalização Comité Europeu de Normalização Electrotécnico Comisão Interministerial para a Sociedade da Informação (continua na página seguinte) xxvii

28 (continuação) Abreviatura Descrição CNN Cable News Network CNPD Comissão Nacional de Protecção de Dados CoP Code of Practice for Information Security Management CVE Common Vulnerabilities and Exposures DDoS Distributed Denial of Service DDS Decision Support System DLL Dynamic-link library DNS Domain Name System DoS Denial of Service DTI Department of Trade and Industry ENIAC Electrical Numerical Integrator and Calculator ENISA Agência Europeia para a Segurança das Redes de Informação EPL Evaluated Products List ETSI Instituto Europeu de Normalização para Telecomunicações EUA Estados Unidos da América EUROSTAT Gabinete de Estatísticas da União Europeia ESS Executive Support System FEUP Faculdade de Engenharia da Universidade do Porto FTP File Transfer Protocol GPL General Public License GUI Graphical User Interface HTTP HyperText Transfer Protocol HTTPS HyperText Transfer Protocol Secure IAPMEI Instituto de Apoio às Pequenas e Médias Empresas e à Inovação IBM International Business Machines ICMP Internet Control Message Protocol IDN Instituto Nacional da Defesa IDS Intrusion Detection System IEC International Electrotechnical Commission IETF Internet Engineering Task Force (continua na página seguinte) xxviii

29 (continuação) Abreviatura Descrição IKE IP IPQ ISC ISDN ISO ISMS ISRAM ISSA ITSEC ITSEM LAN MAC MIS MIT MITM NASL NCSC NMAP NSA OSVDB PC PGP PJ PN POSIX PP RFC RSoD SEO SGBD SI Internet Key Exchange Internet Protocol Intituto Português de Qualidade Internet Systems Consortium Integrated Services Digital Network International Organization for Standardization Information Security Management System Information Security Risk Analysis Method Information System Security Association Information Technology Security Evaluation Criteria Information Technology Security Evaluation Manual Local Area Network Media Access COntrol address Management Information Systems Massachusetts Institute of Technology Man-in-the-Middle Attack Nessus Attack Scripting Language National Computer Security Center Network Mapper National Security Agency Open-Source Vulnerability Database Personal Computer Pretty Good Privacy Polícia Judiciária Programa de Normalização Portable Operating System Interface Perfil de Protecção Request for Comments Red Screen of Death Search Engine Optimization Sistemas de Gestão de Bases de Dados Sistemas de Informação (continua na página seguinte) xxix

30 (continuação) Abreviatura Descrição SIGNIT SIRP SIS SO SPQ SSH SSL ST TCP TCSEC TDI TI TIC TLS ToE TPS UE UDP UKAS UMIC URL VoIP VPN XML WEP WLAN WPA WWW Signals intelligence Sistema de Informações da República Portuguesa Serviços de Informações de Segurança Sistema Operativo Sistema Português de Qualidade Secure Shell Secure Sockets Layer Security Target Transmission COntrol Protocol Trusted Computer System Evaluation Criteria Trusted Database Interpretation Tecnologias da Informação Tecnologias da Informação e Comunicação Transport Layer Security Target of Evaluation Transaction Processing Systems União Europeia User Datagram PRotocol United Kingdom Accreditation Service Agência para a Sociedade do Conhecimento Uniform Resource Locator Voice over IP Virtualk Private Protocol extensible Markup Language Wired Equivalent Privacy Wireless Local Area Network Wi-Fi Protected Access World Wide Web xxx

31 1 Introdução Esta Dissertação de Mestrado tem como tema principal a questão da segurança informática, no contexto empresarial. Em termos gerais, o tema da segurança, no campo da computação, revela-se uma área bastante vasta e abrangente, que possibilita aos analistas considerar inúmeros pontos de vista e adoptar inúmeras abordagens, o que dificulta, de certa forma, a selecção dos parâmetros adequados a incluir em cada estudo, que permitam o desenvolvimento de uma explicação simples e clara do tema. Nesse contexto, esta Dissertação começará por recuar no tempo, aos primórdios dos sistemas de informação (SI), em busca de respostas que facilitem o entendimento da problemática presente e, a partir desse ponto, seguir um raciocínio directo em direcção à análise do objecto de estudo. Neste capítulo introdutório será dada uma breve contextualização da problemática que motivou este projecto e da metodologia utilizada para a análise e implementação da solução de segurança proposta. Finalmente serão delimitados os objectivos a atingir com este estudo e justificada toda a divisão estrutural escolhida para a Dissertação. 1

32 2 CAPÍTULO 1. INTRODUÇÃO 1.1 Problemática A informação aparece no ambiente empresarial como um activo criador de valor, de lucros e benefícios para as organizações. A utilização maciça de recursos de processamento e armazenamento de informação em computadores, nas mais diversas áreas de actividade humana e nos mais variados tipos de negócios e aplicações, tornou aguda a dependência em relação às infraestruturas informáticas. Actualmente, é difícil imaginar os processos operacionais da maioria das organizações sem o uso destas infra-estruturas. No caso mais extremo estão, por exemplo, os bancos e empresas de telecomunicações, que teriam poucas probabilidades de sobrevivência sem os recursos de computação. Porém, mais grave que o aspecto da indisponibilidade dos equipamentos informáticos é a perda, indisponibilidade e violação da informação que estes suportam. É comum aparecerem nos meios de comunicação social notícias relacionadas com crimes e fraudes cometidas com o uso do poder computacional. Estes crimes informáticos acontecem diariamente em todo o mundo, com os mais variados objectivos, a uma razão de vários ataques por minuto, colocando frequentemente em risco a informação sigilosa de uma alta gama de organizações. A consciencialização entre os empresários quanto ao seu grau de dependência e de vulnerabilidade em relação ao volume e valor da informação tem aumentado. E essa tendência continuará à medida que as empresas vão ficando cada vez mais dependentes das redes informáticas para a execução das suas tarefas de negócio e competitividade. Conforme demonstram as estatísticas a nível mundial, menos de um quarto das empresas que sofrem um sério ataque ao seu sistema informático continuam a operar, mas mais de três quartos deixam de existir ou acabam por ser compradas por outras empresas. É, então, importante que haja cada vez mais consciência acerca de todo o tipo de ameaças a que os sistemas de informação estão sujeitos e, acima de tudo, que se criem e estudem soluções cada vez mais eficazes para o controlo do risco que estas ameaças representam para os activos organizacionais.

33 1.2. METODOLOGIA Metodologia Esta Dissertação de Mestrado concentra-se, fundamentalmente, no estudo de uma solução de segurança informática, denominada Babel Enterprise, capaz de realizar auditorias de segurança a sistemas, com o objectivo de alertar o administrador sobre as vulnerabilidades que estes apresentam, calculando também o seu índice de risco. Visto isto, a metodologia a implementar neste projecto terá vários pontos de análise, fundamentais para a bom entendimento desta temática. Inicialmente será proposto o levantamento das vulnerabilidades mais comuns dos sistemas informáticos, quais as suas principais origens e a que tipo de ataques podem levar. A compreensão das fontes de vulnerabilidades e das várias metodologias de ataque é vital para um planeamento eficaz das medidas de segurança a implementar no sistema. Para além disso, será igualmente importante identificar os diferentes tipos de soluções de segurança que podem ser usadas a nosso favor. A segunda fase consistirá na análise de alguns modelos de gestão do risco, terminando no desenvolvimento e implementação de um modelo analítico de gestão de risco adequado às características específicas da rede em estudo. Por último, a terceira fase terá o propósito de determinar que tipo de contributo o Babel Enterprise pode dar ao processo de análise de risco, através da criação de um caso de estudo, baseado em vários cenários, que proporcionará uma aplicação prática desta ferramenta, utilizando um software de referência, denominado OpenVas. O estudo terminará com a comparação dos resultados das várias abordagens. 1.3 Objectivo da Dissertação Devido à variedade de plataformas de segurança disponíveis no espaço virtual, é crucial existirem estudos que identifiquem as vantagens e desvantagens de algumas dessas ferramentas, e testem a sua eficácia. O presente estudo terá, então, como principal objectivo apresentar e explorar a solução Babel Enterprise, identificando os seus pontos fracos, pontos fortes, e os cenários em que esta poderá, eventualmente, prestar um contributo mais eficaz.

34 4 CAPÍTULO 1. INTRODUÇÃO 1.4 Organização da Dissertação Esta Dissertação de Mestrado está dividida em 7 capítulos. O primeiro capítulo constitui o capítulo introdutório que apresenta os parâmetros principais deste estudo, nomeadamente a problemática que o motivou e a metodologia proposta para a condução do trabalho, assim como os objectivos a atingir. No segundo capítulo é feita a contextualização da temática em estudo. O grande objectivo deste capítulo é dar a perceber ao leitor a evolução dos SI ao longo da história e como estes acabaram por influenciar e revolucionar a sociedade mundial, principalmente com o aparecimento da Internet. A ideia principal a transmitir será o enorme valor que a informação representa para as empresas, com o propósito de justificar a necessidade da sua protecção, pois as coisas valiosas são, geralmente, alvo de protecção. O terceiro capítulo, constitui o levantamento do estado da arte, onde se inicia uma análise mais técnica a toda a problemática. Nesta secção são analisadas as vulnerabilidades mais comuns dos SI e os tipos de ataques de que estes podem ser alvo. Para além disso, é feito o levantamento dos vários tipos de ferramentas orientadas à segurança informática, de modo a que o leitor possa conhecer que tipo de soluções de segurança existem e que tipo de funcionalidades executam. No quarto capítulo é introduzida a fase de implementação, através do estudo dos vários métodos analíticos de gestão de risco, resultando na elaboração de um modelo de gestão de risco, adequado às características específicas da rede informática onde serão implementados os vários cenários de teste. O quinto capítulo, por sua vez, consiste essencialmente numa descrição aprofundada da implementação do modelo de gestão de risco proposto no capítulo anterior, resultando daí os valores teóricos de risco que servirão de referência aos resultados obtidos na fase de testes. No sexto capítulo é, finalmente, apresentado o Babel Enterprise e descrita toda a fase de testes, desde os cenários propostos para a implementação, passando pela apresentação do software de referência, até à análise dos resultados.. No último capítulo serão enunciadas as conclusões finais de todo o projecto.

35 2 Contextualização Em qualquer projecto, de qualquer área científica, é vital que o autor crie uma base sólida de trabalho para que não se gerem ambiguidades que, no futuro, poderão dificultar a compreensão e/ou a evolução das fases seguintes do trabalho. Foi neste sentido que decidi realizar e direccionar algum trabalho de investigação para a contextualização da temática desta Dissertação. Este capítulo terá, portanto, como principais objectivos definir alguns conceitos básicos que possam levantar dúvidas e contextualizar gradualmente a temática em estudo, no tempo e no espaço, tentando colocar questões pertinentes que comecem a incutir desde cedo, no leitor, acções de reflexão sobre o assunto. Nesse âmbito, preocupei-me em dar uma perspectiva histórica dos Sistemas de informação, explicando todas as suas (R)evoluções, até chegar aos Sistemas de informação mais complexos que caracterizam a sociedade actual, catalogada como Sociedade da Informação e do conhecimento. O estudo de todo este contexto histórico, na minha perspectiva, é essencial para o entendimento global de como se formou o modelo da nossa sociedade, tão dependente de infra-estruturas informáticas, permitindo-nos tirar várias conclusões importantes, que nunca conseguiríamos deduzir de outra forma. 5

36 6 CAPÍTULO 2. CONTEXTUALIZAÇÃO 2.1 Conceitos Durante a longa fase de pesquisa tive contacto com artigos científicos, Dissertações de Mestrado, Teses de Doutoramento, entre outros documentos de ordem científica que abordam a temática da Segurança em Redes e Sistema de informação. Durante a leitura de alguns desses documentos constatei que era frequente a confusão entre determinados conceitos, tanto pela falta de cuidado e clareza por parte dos autores, como pela facilidade em haver uma má interpretação por parte dos leitores. Nesse sentido, tive dificuldade em compreender certas abordagens de determinados autores, pois, por vezes, era difícil discernir, por exemplo, que nomenclaturas diferentes se referiam exactamente ao mesmo aspecto, como é o caso dos termos Redes informáticas e Sistemas de informação. Para evitar que esta falta de clareza perturbe a boa interpretação do que vai sendo explicado nesta Dissertação, irei definir e delimitar, neste ponto, alguns conceitos básicos normalmente confundidos. Uma das confusões mais frequentes ocorre entre os termos dados, informação e conhecimento. Neste sentido, Prusak and Davenport (1998) refere que os dados têm, erradamente, sido referidos como informação e actualmente a informação é designada como conhecimento. Contudo o autor tenta delimitar este termos, através do exemplo de uma pirâmide: Figura 2.1 Pirâmide de Davenport

37 2.1. CONCEITOS 7 Segundo Prusak and Davenport (1998), na base da pirâmide encontram-se os dados em bruto, que são simples observações sobre o estado do mundo, no nível intermédio encontra-se a informação, que são dados dotados de relevância e propósito. Por fim, no topo da pirâmide está o conhecimento, informação valiosa para a mente humana. Para o autor, este processo de transformação de dados em informação e de informação em conhecimento só é possível mediante a intervenção humana, pois quem transforma a informação em conhecimento é o homem e não a tecnologia. Noutro ponto de vista, Vieira and Castanho (2008) que a informação prosperou como conceito filosófico na era clássica, denotando a imposição de uma forma, ideia ou principio, que assim se tornava in-formada ou apenas formada. Depois, por séculos, segundo o mesmo autor, o uso do termo informação foi monopolizado por jornalistas, o que causou ambiguidades na interpretação dos seus múltiplos sentidos como, por exemplo, comunicar/informar ou notícia/informação. Outra confusão frequente ocorre entre os conceitos sistemas de informação e tecnologias da informação. Segundo Santos et al. (2007), um sistema de informação (SI) é um sistema automatizado (ou sistema computorizado), ou mesmo manual, que abrange pessoas, máquinas e/ou métodos organizados para colectar, processar, transmitir e disseminar dados que representam informação para o utilizador. Embora esta definição seja válida e bem enquadrada no paradigma da sociedade actual, este termo poderá ser facilmente confundido com Tecnologias de Informação (TI). Contudo, enquanto os SI são sistemas globais que permitem a transmissão da informação a partir da acção humana, tal como a fala, a escrita ou as Redes Informáticas (na sua forma mais abrangente, a Internet ), as TI são equipamentos tecnológicos que suportam e auxiliam essa transmissão de informação (televisão, rádio, telefone, computador, entre outros). Numa analogia podemos considerar que as TI são o Hardware e os SI o Software do processo de transmissão de informação.

38 8 CAPÍTULO 2. CONTEXTUALIZAÇÃO 2.2 Contexto Histórico Hoje em dia, vivemos e estamos enquadrados na designada sociedade da informação e do conhecimento, associada a um desenvolvimento social e económico em que a aquisição, armazenamento, processamento, valorização, transmissão, distribuição e disseminação de informação conduz à criação de conhecimento e à satisfação das necessidades dos cidadãos e das empresas, tendo um papel central na actividade económica, na criação de riqueza, na definição de qualidade de vida dos cidadãos e das suas práticas culturais (Morais, 1999). Neste contexto surgem algumas questões pertinentes: A informação sempre teve esta importância e influência? Sempre existiu este modelo de Sociedade? Deste quando existem sistemas de informação? Não é necessário recuarmos muitos anos para percebermos que o conceito de SI e de Sociedade da Informação e do Conhecimento são conceitos muito recentes, sobre os quais não costumamos reflectir muito, talvez por nos parecerem termos naturais da evolução do homem ou porque fazem parte do nosso quotidiano. No entanto, se olharmos para o passado da humanidade, vemos claramente que os SI, embora num contexto mais simplificado, existiram desde sempre, muito antes da era Digital, muito antes do conceito de empresa como o conhecemos hoje, e muito antes até da era de Jesus Cristo ou da criação de qualquer religião. A informação existe desde que nos conhecemos como Homens, interpretes do mundo exterior, e tem evoluído através e junto com a história, modificando significados e impactando indivíduos, sociedades e organizações, funcionando como um dos elementos impulsionadores da evolução do Homem (Calazans, 2006). Através do histórico será possível visualizar como as invenções tecnológicas do homem influenciaram as mudanças no uso e/ou transmissão da informação, que hoje caracterizam tanto o actual paradigma (Vieira and Castanho, 2008). É fundamental encontrarmos o passado para percebermos as linhas de força que podem pautar o futuro e termos a capacidade de moldar o presente (Borges, 2002).

39 2.2. CONTEXTO HISTÓRICO A Fala Segundo vários autores, para encontrarmos o primeiro SI temos que recuar ao início da existência da espécie humana, onde os nossos antepassados tiveram a necessidade de encontrar uma forma eficaz para se comunicarem. É nesse processo que surge a Fala, ou Linguagem oral, onde a informação é transmitida através da palavra falada, sendo, até aos dias de hoje, a nossa forma de partilha de informação mais comum. Nesse sentido, Durval (2007) refere que a primeira forma de transmissão de informação foi a Fala, a partir da qual nos tornamos realmente humanos, capazes de pensar, produzir e transmitir conhecimento. Reforçando essa idéia, Borges (2002) refere também que lidamos com a informação ou, se preferirmos, com a sua representação desde que nos conhecemos como humanos. Visto que nas sociedades primitivas não existiam registos escritos, a informação e comunicação eram abordadas por diferentes formas de linguagem (rito, mito, relações de parentesco e comunicação pictórica). Como testemunho disso temos as gravuras encontradas em escavações arqueológicas (Vieira and Castanho, 2008). Figura 2.2 A primeira forma de partilha de informação Porém, embora o surgimento da fala tenha sido um passo importantíssimo para a nossa evolução, esta revelou ter muitas limitações, pois a partilha de informação está restrita ao contacto imediato e local, atingindo poucas pessoas. Deste modo, Durval (2007) afirma que a Fala é um SI fantástico mas que o seu meio de transmissão, isto é, a propagação das ondas sonoras no ar, é volátil e de curto alcance.

40 10 CAPÍTULO 2. CONTEXTUALIZAÇÃO A Escrita Para colmatar as limitações da fala, o ser humano teve necessidade de evoluir. Dessa evolução, acaba por nascer, há 5000 anos na Mesopotâmia, milhares de anos mais tarde na China e depois pelos Maias na América Central, a Escrita. Embora a fala tenha sido a primeira forma de transmissão de informação, a capacidade de a transferir, inalterável, ao longo do tempo está intrinsecamente ligada ao registo, à Escrita, com principal destaque para a escrita alfabética. Com esta conseguimos trasladar todo um discurso separado da fonte da sua produção no espaço e no tempo (Borges, 2002). Deste modo, a invenção da Escrita foi a primeira grande (R)evolução da informação (Oliveira, 2003). Na figura 2.3 podemos ver alguns símbolos utilizados no registo escrito. Figura 2.3 Exemplos de Escrita Contudo, ainda que o aparecimento da Escrita tenha sido um passo importante para a evolução do Homem, este acabou por lhe conhecer sérias limitações. A Escrita revelou ser insuficiente para um aumento significativo da partilha da informação, pois existiam poucos exemplares de cada registo escrito, o que não permitia que a informação chegasse a um número significativo de pessoas, ficando apenas restrita à população local. Corroborando esta ideia, Durval (2007) afirma que a escrita deu um enorme impulso ao desenvolvimento do conhecimento, mas não permitia a sua multiplicação para atingir um grande número de pessoas.

41 2.2. CONTEXTO HISTÓRICO O Livro Escrito De acordo com Drucker (1999), a segunda (R)evolução da informação foi provocada pelo Livro escrito, primeiro na China, por volta de 1300 a.c e depois, 800 anos mais tarde, na Grécia, onde Peisistratos, o tirano de Atenas, mandou copiar em livros os épicos de Homero, até então apenas recitados. Contudo, o Livro escrito sofreu várias restrições na sua acção de levar a informação a um conjunto maior de pessoas. O seu primeiro entrave foi o facto de estarem vedados a grande parte da população, sendo apenas exclusivos do Clero e da Nobreza, pois o controlo das fontes de informação significava, no contexto dessa época, o controlo das ideias, da cultura e da sociedade. Vieira and Castanho (2008) afirma que antes do século XV, embora limitados, os livros eram um meio de massa ainda restrito. As pessoas do poder não estavam particularmente interessadas que as massas pudessem ler e as necessidades económicas não pediam uma força de trabalho alfabetizada. Noutro sentido, Santos and Maranhão (2008) afirma que nos seus primórdios, os livros eram escritos à mão, em geral por religiosos, num processo bastante demorado e com custos muito elevados, permitindo que apenas algumas pessoas(muito poucas) tivessem acesso à informação. Esse processo consistia em milhares de mosteiros, que abrigavam centenas de monges altamente competentes, que trabalhavam desde o alvorecer até ao pôr-do-sol, seis dias por semana, a copiar livros à mão. Um monge dedicado podia fazer quatro páginas por dia (mais de 1200 páginas anuais). Com o livro, o registo escrito melhorou bastante, pois foi possível estruturá-lo, organizá-lo e armazená-lo no interior de um único objecto móvel. Contudo, o livro apenas resolveu um dos problemas da Escrita, isto é, o problema da mobilidade organizada da informação, que passou a ser possível. Porém, continuou a existir um número insuficiente de cópias do mesmo registo, ou neste caso, do mesmo livro, continuando assim a não ser possível fazer chegar a informação a um número considerável de pessoas.

42 12 CAPÍTULO 2. CONTEXTUALIZAÇÃO A Imprensa Entretanto, em meados de 1455, o ourives alemão Johannes Gutenberg, após anos de pesquisas e trabalho duro, colocou nas mãos o seu grande trunfo em forma de livro, impresso com uma técnica inédita e infalível: a prensa de tipos móveis. A impressão em massa, possibilitada a partir daí, transformou a cultura ocidental para sempre, através do enorme aumento do volume de informação, em forma de livros, revistas, jornais, etc. As reduções de custos de produção dos livros foram enormes (em 1424 o preço de cada livro equivalia ao de uma fazenda ou vinícola), incentivando o acesso à informação, viabilizando a popularização do conhecimento e desencadeando um aumento significativo da alfabetização de uma sociedade carente de cultura, mudando a maneira de pensar e agir das pessoas (Vieira and Castanho, 2008; Durval, 2007). Em pouco tempo, a imprensa, provocou a chamada terceira (R)evolução da informação, mudando as instituições, incluindo todo o sistema educacional, que passou a ser orientado não só ao clero e ao estudo da Teologia, mas também para os leigos, possibilitando o estudo da Matemática, Direito, Filosofia, etc. Reflexão: Sem a imprensa, que veio tornar a informação mais acessível, o que seria das Universidades? Teria surgido a Internet? Teriamos evoluído tanto? Provavelmente nunca saberemos estas respostas. O que é certo é que teríamos, com certeza, uma evolução diferente, pois esta (R)evolução foi de tal forma importante que é bem provável que sem ela não estivéssemos, hoje em dia, num nível tão avançado de conhecimento, de inovação social e tecnologicamente tão evoluídos. Contudo, o Homem, mais uma vez, concluiu que este passo não foi suficiente, pois acabaram por surgir novos problemas. Depois da imprensa, a humanidade produziu montanhas de livros, revistas e jornais, mas o acesso a esse enorme volume de informação tornou-se inviável, até mesmo pela quantidade (Durval, 2007). Apesar disso, tínhamos dado, mais um passo importante a caminho da Partilha Global da Informação.

43 2.2. CONTEXTO HISTÓRICO Revolução da Informação Vs Revolução Industrial Para impulsionar ainda mais a revolução da informação surge outro factor que mudou a concepção da sociedade para sempre: A Revolução Industrial. A partir do século XIX, a Revolução Industrial tomou grandes proporções, quebrando totalmente a linha do Feudalismo 1, levando toda uma sociedade para uma revolução de pensamentos, ideologia e ritmos de vida. Estava a surgir a Sociedade Industrial, desenvolvida pela tecnologia da máquina a vapor (Magno, 2010). Com esta revolução surgem novas indústrias e a inevitável evolução tecnológica, fazendo nascer as TI. Desta forma, as comuns comunicações escritas não conseguiram competir com a rapidez da transmissão de mensagens electrónicas, usadas nos meios interactivos da telegrafia e telefonia (Vieira and Castanho, 2008). Nos anos 20 o rádio tornou-se um meio bastante popular, inclusive nas áreas rurais, transmitindo músicas e programas. Por sua vez, uns anos mais tarde, a descoberta acerca da conversão e transmissão de imagens em sinais eléctricos ocasionou a invenção da caixa que mudou o mundo: A Televisão. Apesar dos novos meios de comunicação terem influenciado muito a nova sociedade, o que mudou definitivamente a vida do Homem em relação ao uso e troca de informação nasceu em 1946, nos EUA: o Computador (Vieira and Castanho, 2008). Referindo-se ao computador, Grego (2009) afirma que o aparecimento de um novo sistema de comunicação universal digital promoveu a integração global da produção e disseminação de palavras, sons e imagens, criando novas formas de comunicação, moldando a vida e sendo moldado por ela, visto que essa nova tecnologia vem moldando comportamentos, transformando a economia, sociedade e cultura. Para Drucker (2000) o computador está para a (R)evolução da Informação como a máquina a vapor está para a Revolução Industrial, ou seja, o seu gatilho, mas também e, sobretudo o seu símbolo. A quarta (R)evolução da informação começou, então, a ser desenhada através das máquinas de processamento, que codificam a informação em sinais físicos de diferentes espécies para os armazenar, transmitir (rádio, televisão) ou combinar de diferentes formas (computadores) (Durval, 2007). 1 O feudalismo foi um modo de organização social baseada nas relações servo-contratuais, onde as pessoas viviam nos campos, a trabalhar para ter apenas o que comer. Os Vassalos ofereciam aos Senhores Feudais fidelidade e trabalho em troca de protecção e um lugar para produzir.

44 14 CAPÍTULO 2. CONTEXTUALIZAÇÃO A Internet Os computadores, por si só, não foram suficientes para impulsionar o começo da quarta revolução. Foi no crescimento da quantidade de computadores e da sua capacidade computacional, de comunicação e de interligação, que nasceu o factor que motivou a nova (R)evolução: A Internet (ime, 1999). Após a grande revolução tecnológica da década de 80, na qual o computador foi o expoente máximo, assiste-se a um fenómeno ainda maior: a segunda vaga da revolução informática, com a Internet e a www (Morais, 1999). Figura 2.4 O mundo da Internet Segundo ime (1999), foi em 1969 que o Pentágono promoveu a criação da primeira rede de computadores, a qual interligava quatro computadores geograficamente distantes, localizados em quatro Universidades Americanas, chamada Arpanet. Desde então, o número de computadores na Arpanet/Internet cresceu de forma exponencial (figura 2.5), rondando na actualidade os 1,73 biliões. Para termos uma ideia do quão grande é a velocidade de crescimento da Internet, façamos uma comparação com as taxas de crescimento da população mundial, que obedece também a uma função exponencial. Segundo o estudo apresentado por ime (1999), temos que a utilização da Internet dobra a cada 15 meses e que a população dobra, em média, a cada 30 anos. Ao fazer-se a relação entre estes dados temos: 30anos 15meses = 360meses 15meses = 24etapas Ou seja, no período de tempo que a população mundial duplica apenas uma vez (30 anos), a Internet duplica 24 vezes.

45 2.2. CONTEXTO HISTÓRICO 15 Figura 2.5 Gráfico do crescimento da Internet (Fonte: Vieira and Castanho (2008) ) Como poderemos constatar, a Internet cresceu a um ritmo impressionante, atingindo uma escala gigantesca, mudando a forma de ver o mundo para sempre e ampliando as possibilidades de uso do computador como fonte de informação e comunicação. Graças às potencialidades da Internet, actualmente não existem mais barreiras geográficas para a disseminação da informação. A velocidade como a transmissão da informação se processa é grandiosa. Basta analisarmos como a velocidade dos computadores é medida em milionésimo de segundos e como os satélites atingem em segundos uma larga escala geográfica (Oliveira, 2003). Nesta lógica, Oliveira (2003) defende a ideia de que os processos de comunicação e a tecnologia transformaram o mundo, que passou de um grande universo desconhecido para um mundo conhecido e pequeno. A Internet surge assim como uma das maiores invenções do Homem. A Internet é interactiva, cheia de virtualidades todas reunidas num único lugar, o espaço virtual, que representa uma espécie de simulação da consciência humana global que afecta realmente essa consciência, tal como fizeram o fogo, a linguagem, a religião, a arte e a escrita, cada etapa integrando as precedentes e levando-a mais longe ao longo de uma evolução com ritmo exponencial (Lévy, 2001). É com esta quarta (R)evolução da informação, que começa a enraizar-se a forte relação de dependência entre a sociedade e as infra-estruturas informáticas.

46 16 CAPÍTULO 2. CONTEXTUALIZAÇÃO Reflexão A cada (R)evolução, o Homem cresceu como ser intelectual, social e dotado de inteligência. Com a Fala deu o primeiro passo para a comunicação, com a Escrita criou um sistema de registo que possibilitou o transporte da informação no tempo e no espaço, com o Livro escrito o registo ficou estruturado e organizado, com a Imprensa o volume de informação aumentou radicalmente, e por fim com a Internet o Homem eliminou qualquer barreira geográfica para a transmissão e disseminação de informação, possibilitando a sua partilha global. No entanto, o leitor poderá ter algumas questões pertinentes em mente! A quarta (R)evolução da Informação já terminou? Qual será a próxima (R)evolução da Informação? Irá mesmo existir ou o Homem parou por aqui, já que conseguiu instituir a partilha global da Informação? Será essa partilha o objectivo final ou o Homem pretende atingir outra meta ainda não identificada? Depois da Sociedade Industrial e da Sociedade da Informação, que paradigma de sociedade virá a seguir? Que tipo de ser humano criará esta quarta revolução? Respondendo a algumas destas questões, Wisetel (1998) refere que durante os últimos anos, a (r)evolução da informação centrou-se nos dados, preocupando-se com a sua recolha, armazenamento, transmissão, análise e apresentação, ou seja, mais centrada no T (tecnologias) da abreviatura TI. A próxima (r)evolução da informação centrar-se-á no I (informação), o que possivelmente levará rapidamente à redefinição de tarefas de troca de informação e das organizações que as executam. É válido para todos que esta quarta (R)evolução trouxe muitas mudanças e permitiu grandes avanços nas várias vertentes da sociedade. Vários autores, como Durval (2007), afirmam que esta ainda está em curso e que ainda não está claro o caminho a que ela nos levará nem o tipo de ser humano que ela produzirá.

47 2.2. CONTEXTO HISTÓRICO 17 De seguida é apresentado um quadro resumo das 4 (R)evoluções da Informação: Tabela 2.1 Quadro-Resumo das(r)evoluções da Informação Factor Vantagens Problemas A Fala 1 a Revolução da Informação: A Escrita 2 a Revolução da Informação: O Livro 3 a Revolução da Informação: A Imprensa Revolução Industrial 4 a Revolução da Informação: A Internet 1 a Forma de comunicação que o Homem encontrou e que possibilitou dar um grande passo na sua evolução. Permite o registo da informação através de uma sequência de símbolos. É possível transportar a informação no tempo e no espaço. Nascimento do mundo letrado e de um enorme impulso ao desenvolvimento do conhecimento. Permitiu estruturar, organizar e armazenar o registo escrito dentro de um único objecto móvel. Aumentou exponencialmente o volume de informação. O Livro deixou de ser exclusivo. A informação atinge um grande número de pessoas. As pessoas começam a interessar-se pela informação. Começa a dar-se a grande evolução tecnológica. Deixaram de haver barreiras geográficas para a Informação. A partilha global da informação passou a ser possível. Surgem novos conceitos e redefinem-se alguns já existentes. Através da Fala a informação não podia ser registada nem transportada no tempo e no espaço; A propagação das ondas sonoras no ar é volátil e de curto alcance. A escrita, por si só, não conseguiu transmitir a informação a um vasto número de pessoas, pois só existiam um ou dois exemplares de cada registo escrito. Continuaram a existir poucas cópias do mesmo registo, pois era um processo lento e caro. Nos seus primórdios, era um bem exclusivo do Clero e da Nobreza. O acesso ao enorme volume de informação tornou-se inviável, até mesmo pela quantidade. Os Sistemas Informáticos possuem vulnerabilidades físicas e lógicas. A informação passou a poder ser atacada remotamente através da rede, logo, é importante garantir a: Segurança da Informação e dos Sistemas que a suportam.

48 18 CAPÍTULO 2. CONTEXTUALIZAÇÃO Se olharmos atentamente para a importância que estas (R)evoluções da Informação tiveram na evolução do Homem, podemos tirar várias conclusões relevantes para um melhor entendimento da necessidade e importância deste estudo: 1. O Homem, consciente ou inconscientemente, sempre procurou, ao longo da história, enquanto ser sociável e comunicativo, o caminho para a Partilha Global da Informação, tentando sempre encontrar recursos que eliminassem os obstáculos que o impediam de atingir esse objectivo. Hoje sabemos que essa aposta foi ganha; 2. Desde o surgimento da Fala até à criação da Internet pudemos constatar que cada solução, possível e viável, que apareceu para resolver um problema ou para complementar uma necessidade existente no campo da informação acabou por gerar novos problemas, que impulsionaram a procura por novas soluções, que se traduziram em novas revoluções, levando o Homem a aperfeiçoar-se e a evoluir. Este facto deverá alertar-nos para os problemas patentes na actual (R)evolução da Informação, pois se analisarmos a história, podemos facilmente deduzir que, mais tarde ou mais cedo, o Homem poderá descobrir algumas soluções eficazes para esses problemas, que, por sua vez, poderão desencadear a quinta (R)evolução da Informação. Logo, teremos que estar conscientes que poderemos não ficar por aqui em termos de (R)evoluções. 3. Podemos também constatar que todos os SI implantados pelas sucessivas (R)evoluções, desde a Fala até à Internet, ainda estão presentes no nosso quotidiano. Isto leva a concluir que cada um desses SI apenas serviu como complemento do SI anterior e nunca como seu substituto. Este facto deverá dar-nos maior convicção para resolver os problemas introduzidos pela Internet, ou se quisermos, pelas redes informáticas, de forma a protegelas e a aperfeiçoa-las, pois pela análise histórica, temos indicadores de que, mesmo que surja um novo SI que impulsione uma nova (R)evolução, muito possivelmente, este virá apenas complementar as necessidades actuais das redes informáticas e nunca substituí-las.

49 2.2. CONTEXTO HISTÓRICO O ponto principal, no entanto, é o constatar de que o Homem nunca teve a preocupação doentia com a segurança da sua informação ou dos sistemas que a suportam. A Fala, a Escrita e a Imprensa raramente foram alvo de ataques explícitos e constantes, salvo o ataque à liberdade de expressão por parte de governos ditadores que embora limitem a disseminação da informação, não a destroem. O Livro escrito, por sua vez, chegou a ser exclusivo da Nobreza e do Clero, sendo vedado às restantes classes sociais, contudo a informação que continha estava protegida. Exceptuando algum desastre natural, como por exemplo incêndios e inundações, ou algum propósito malicioso, intencional e pontual, nunca existiu uma ameaça clara e frequente a qualquer tipo de SI. Mesmo que existisse uma intenção de ataque, este teria que ser feito no local onde se encontrava a informação. Com o aparecimento da Internet, o conceito de segurança foi alterado radicalmente, pois esta trouxe consigo a possibilidade de realizar ataques remotos e frequentes à informação, a partir de qualquer parte do mundo. Desta forma, o termo Segurança da Informação passa a ter um significado mais intenso e a fazer parte da lista das principais preocupações do Homem. Tal como afirma Borges (2002), a informação assume outros tons, não apenas texto mas sobretudo imagem, fixa ou animada, multimédia, entre outros formatos. Esta reunião ou vertigem de formas que desaguam no ciberespaço implica encontrar soluções para novos e velhos problemas. O futuro é ainda uma incógnita, porém, através da análise histórica, facilmente percebemos que esta (R)evolução, ainda em curso, será um processo lento e que teremos que lidar com isso naturalmente, tentando encontrar, tal como os nossos antepassados, formas de resolver o principal problema que esta (R)evolução deixou em aberto: Segurança dos Sistemas e Redes informáticas. É esse o objectivo e a motivação deste estudo!

50 20 CAPÍTULO 2. CONTEXTUALIZAÇÃO 2.3 Sistemas de Informação nas Empresas Para além da análise à evolução dos SIao longo da história, é igualmente importante que saibamos onde esta (R)evolução está a provocar mais impacto e onde nos situamos nós, enquanto cidadãos e enquanto profissionais ao serviço da tecnologia. Há que parar, reflectir sobre o real, sobre a nossa condição de incertezas dentro dos acelerados processos de avanços tecnológicos imediatistas. Perscrutar a história, o que foi dito e o que está submetido e não-dito, é uma maneira de encontrar novas respostas (Ugarte, 2004). Segundo Morais (1999), a integração da informática com a comunicação está a provocar profundas alterações na sociedade em geral e nas empresas em particular. Já Wisetel (1998) refere que a revolução da informação, ainda em curso, vai abranger todas as organizações importantes da sociedade moderna. Porém, começou e teve um impacto mais profundo no terreno dos negócios. Mas até que ponto as redes informáticas estão presentes nas empresas? Adesão às Redes Informáticas Até há bem pouco tempo, os SI nas organizações baseavam-se basicamente na utilização de grandes arquivos, manipulados por um arquivista, responsável por organizar os dados, registá-los, catalogá-los e recuperá-los quando necessário. O aumento gradual do volume de informação nas empresas e a necessidade das áreas trabalharem de forma integrada tornou o armazenamento, recuperação e integração da informação uma tarefa difícil e não muito confiável. No entanto, com o surgimento dos computadores nasceu a possibilidade de um acesso rápido e confiável às informações (Santos and Maranhão, 2008). A proliferação dos computadores e a crescente facilidade de uso gerada pela evolução tecnológica vieram colocar os computadores em novos papéis. Antes utilizados exclusivamente para automatizar rotinas operacionais, os computadores ampliaram as suas áreas e níveis de actuação, informatizando as organizações (Freitas, 2010).

51 2.3. SISTEMAS DE INFORMAÇÃO NAS EMPRESAS 21 Segundo o estudo apresentado pela CISI, com o tema Inquérito à utilização das TI nas empresas , exposto em Sapo (2002), podemos constatar a abertura das empresas às novas tecnologias, e a novos modelos de negócio (tabela 2.2). Tabela 2.2 Estudo da CISI (Fonte: Sapo (2002)) Factor Empresas com, pelo menos, um computador 82% 85% Empresas que usam e-commerce 2 ou e-business 3 para adquirir ou vender bens e serviços 8% 18% Empresas com ligação à Internet 55% 75% Empresas com presença na Internet 26% 37% Empresas com Intranet 4 25% 36% Pela tabela 2.2, podemos constatar que, já em 2001, a percentagem de empresas informatizadas era bastante significativa, na ordem dos 85%. Percebendo a utilidade e potencialidades da Internet, 75% já possuíam uma ligação, 36% já tinham desenvolvido uma rede privada, e 37% constavam do mercado virtual. Se analisarmos a evolução das percentagens de 2000 para 2001, certamente que actualmente os números serão bastante mais expressivos. O dado mais importante a retirar deste estudo é o facto de empresas apontarem a insegurança informática como a maior dificuldade na utilização da Internet. Este factor de preocupação com a insegurança vem reforçar a motivação do estudo desta Dissertação de Mestrado. 2 E-commerce ou comércio electrónico, ou ainda comércio virtual, é um tipo de transacção comercial feita especialmente através de um equipamento electrónico, como por exemplo, um computador. O acto de vender ou comprar pela Internet é um bom exemplo de comércio electrónico. 3 E-Business, acrónimo do Inglês Electronic Business (negócio electrónico), é o termo que se utiliza para identificar os negócios efectuados por meios electrónicos, geralmente na Internet. 4 Intranet: rede de computadores privada que assenta sobre os protocolos da Internet.

52 22 CAPÍTULO 2. CONTEXTUALIZAÇÃO Os conceitos do novo paradigma Toda esta informatização, dá-nos a sensação de que esta quarta (R)evolução é de ordem tecnológica, o que não é totalmente falso, pois foi a tecnologia que lhe deu forma e propósito, contudo esta está a dar-se, sobretudo, a nível de conceitos. Nesse sentido, Wisetel (1998) afirma que esta revolução não se trata de uma revolução tecnológica, de maquinaria, de software ou velocidade, mas sim de conceitos. A alta informatização das empresas possibilitou que as empresas se reinventassem vezes sem conta, pois abriu novas oportunidades de negócio, o que tornou possível a criação de novos paradigmas na estrutura empresarial. A evolução tecnológica acabou por nos guiar até à era digital, e ao conceito do espaço virtual e as novas tecnologias que, entretanto, vão surgindo transformam-se rapidamente num poço de oportunidades para as empresas. Neste sentido, segundo Pinsdorf (2009), as empresas, actualmente usam soluções VOIP 5 para eliminar, praticamente, contas telefónicas. Adicionalmente podem também utilizar vídeo conferência através do uso de webcams. Por sua vez, as empresas aéreas podem reduzir os seus custos oferecendo via Internet, não só a venda de bilhetes, como a reserva de acentos e check-in. Outro bom exemplo é a computação nas nuvens ou, em inglês Cloud Computing 6, que proporciona redução de custos com licenças, capacidade de hardware, disponibilidade da informação e backup, pois todos os softwares aplicativos e ficheiros são armazenados fora da empresa, bastando um navegador (browser) para aceder ao seu conteúdo. Também no espaço das profissões esta (R)evolução teve impacto. Tal como a revolução da imprensa criou uma nova classe de técnicos (os primeiros impressores), a recente revolução também deu origem a uma série de profissões: engenheiros informáticos, designers de software, gestores de sistemas, entre outros Wisetel(1998). 5 VoIP (Voice over Internet Protocol) ou em português Voz sobre IP, é um termo genérico para uma família de tecnologias de transmissão para a entrega de comunicações de voz sobre redes IP como a Internet. 6 Cloud computing é um conjunto de serviços acessíveis pela Internet que visam fornecer os mesmos serviços de um Sistema Operativo. Esta tecnologia consiste em compartilhar ferramentas computacionais pela interligação dos sistemas, semelhantes às nuvens no céu, ao invés de ter essas ferramentas localmente. O uso deste modelo é mais viável do que o uso de unidades físicas.

53 2.3. SISTEMAS DE INFORMAÇÃO NAS EMPRESAS 23 O home Office, como o próprio nome indica trabalho em casa, é hoje outro conceito implementado pela quarta(r)evolução da informação, que além de diminuir custos com aluguer de prédios e salas comerciais, aumenta a qualidade de vida dos colaboradores. Os telemóveis com funções de Internet colocam o colaborador automaticamente conectado com a empresa em regime 24/7 (24 horas por dia, 7 dias por semana), reduzindo os custos, muitas vezes, por uma tomada de decisão ágil ou mesmo evitando deslocamentos. Os profissionais de marketing podem também reduzir custos utilizando os benefícios e potencialidade da chamada Web2.0 (blogs, sites de relacionamento, second life, wikis, spam, redes sociais, etc.), pois através da Internet surgem grandes oportunidades comerciais, pois é dada a possibilidade a qualquer empresa de se dar a conhecer, de publicitar os seus produtos e serviços a uma vasta gama de potenciais consumidores e com custos reduzidos (Morais, 1999). Há 50 anos, ninguém poderia imaginar a existência de um programa de computador que organiza-se globalmente as operações de uma empresa atendendo em tempo real às necessidades dos seus clientes. Hoje, isso é realidade (Ribeiro, 2005). O conceito actual de empresa representa um paradigma de negócio computorizado, cujo funcionamento recorre crescentemente a redes digitais de informação assumindo esta última o papel de matéria-prima. No entanto, a relação de dependência entre as empresas e as infra-estruturas informáticas tornou-se grande e preocupante. Figura 2.6 Dependência entre o Ambiente Empresarial e os Sistemas de Informação

54 24 CAPÍTULO 2. CONTEXTUALIZAÇÃO Ambiente Empresarial Percebendo que a redução de espaço e tempo permite uma operação mais ampla as empresas informatizam-se, tornando a Internet o seu campo infinito de informação. Porém, tal como é referido por Oliveira (2003), no meio de tanta informação que surge diariamente, a gestão desta é essencial para que seja possível organizar informações relevantes, estimular discussões que gerem novos conhecimentos e por fim disponibilizar essa informação para que seja bem utilizada pelos intervenientes do ambiente empresarial (figura 2.7), sempre que necessário. Figura 2.7 Diagrama dos intervenientes do Ambiente Empresarial (Fonte: Serrão (2009)) Desta forma, pela figura 2.7, podemos constatar que os SI representam o coração, ou se quisermos, o ponto central de toda a actividade e estrutura de negócio de uma empresa, dando um contributo vital para a gestão eficaz de toda a informação envolvida nos processos organizacionais. Desta forma, segundo Oliveira (2003), quando apreendida, organizada, transformada, aplicada, preservada e gerida, a informação transforma-se numa clara e efectiva vantagem competitiva, constituindo um elemento fundamental para o desenvolvimento das organizações.

55 2.3. SISTEMAS DE INFORMAÇÃO NAS EMPRESAS 25 A gestão da sobrecarga de informação torna-se, assim, um desafio para qualquer empresa, visto que o seu diferencial competitivo é a atitude de gerir correctamente a informação, pois no mundo contemporâneo onde a economia é globalizada e a sociedade se baseia na informação e na geração de novos conhecimentos, o sucesso é determinado pelo que se sabe e não pelo que se possui (Oliveira, 2003). Neste sentido, o aumento exponencial da informação disponível online, aumenta paralelamente à necessidade do seu tratamento, segurança e controlo (Borges, 2002). Deste modo, os SI apresentam-se marcadamente como a base de todo o processo de negócio, estando ao dispor de toda uma estrutura empresarial, suportado pela tecnologia, tendo um papel preponderante na gestão de informação, permitindo aos administradores criar novos desafios de negócio, inimitáveis pela concorrência, criando logo à partida uma enorme vantagem competitiva (figura 2.8). Figura 2.8 Processo estratégico de negócio (Fonte: Serrão (2009)) Numa perspectiva funcional os SI estão presentes nos vários campos estratégicos de uma empresa. Nas vendas e marketing possibilitam a gestão de vendas, a análise de mercado e a promoção/divulgação de serviços e produtos. No fabrico e produção possibilitam o controlo de máquinas e o desenho técnico de produtos. No campo Financeiro e Contabilístico, possibilitam a orçamentação, a gestão de tesouraria e políticas de investimento. A nível de Recursos Humanos permitem contratar e registar colaboradores e planear as necessidades de mão-de-obra.

56 26 CAPÍTULO 2. CONTEXTUALIZAÇÃO Mais do que em qualquer outra era da história da humanidade os recursos humanos qualificados serão fundamentais, constituindo uma força de trabalho treinada para o uso destas tecnologias, capaz de produzir com qualidade e competitividade dentro de ambientes baseados em conhecimento (figura 2.9) (Vieira and Castanho, 2008). Figura 2.9 Estrutura organizacional de uma empresa (Fonte: Serrão (2009)) Segundo Leavitt, uma empresa pode ser entendida e resumida num sistema complexo com variáveis estruturais, tecnológicas, humanas e de actividade (figura 2.10). Figura 2.10 Diagrama de Leavitt (Fonte: Albuquerque and Ribeiro (2002)) A relação entre elas é mutuamente dependente, tornando-se difícil obter um nível significativo de mudança numa variável sem alterar consequentemente as restantes.

57 2.3. SISTEMAS DE INFORMAÇÃO NAS EMPRESAS Reflexão Com a inclusão das TI nas empresas e com a possibilidade da partilha global da informação, através da Internet, passou a existir toda uma interacção próxima, mesmo que remota, entre o sistema empresarial e os seus clientes, fornecedores, entidades reguladoras e escritórios descentralizadas da sede principal. Essa deslocalização do trabalho e descentralização das empresas dos grandes meios, permitiu que fossem criados novos modelos de negócio. Desde então, começaram a ser adoptadas estratégias baseadas em redes empresariais, onde as empresas aproveitam a sua capacidade de estabelecer associações com outras empresas. Daí nascem os ecossistemas de negócios (conjunto de empresas de uma indústria que oferecem produtos e serviços relacionados, como é o caso da plataforma Microsoft que é usada por milhares de empresas para desenvolver os seus produtos) e o modelo de empresa virtual (empresas que usam as redes informáticas para se aliar a outras empresas para criar e distribuir produtos sem estarem limitadas pelas fronteiras organizacionais tradicionais ou pela localização física). Deste modelo de empresa virtual nascem alguns conceitos como o e-business, e- commerce, e-science, e e-government. O grupo Li & Fung, por exemplo, gere a produção e o envio de vestuário das principais marcas da moda, efectuando o outsourcing 7 de todo o trabalho para mais de 7500 fornecedores. O processo que intensifica o uso da informação por parte das empresas, actualmente, pode ser comprovado num simples exemplo: agora, antes de plantar, por exemplo, um tipo de vegetal são necessários muitos planos, desenhos, tabelas e roteiros para produzir sementes geneticamente tratadas, os fertilizantes, a plantação, a maquinaria e as colheitas, o sistema de selecção electrónica, os recipientes e os seus meios de transporte, etc. É interessante notar como o modo de produção se modificou com a introdução dos SI nas empresas desta indústria, e quantos são os envolvidos nesse novo modo de plantar e colher vegetais. O trabalho aparece totalmente ligado às TI que sustentam o lucro e a produtividade. 7 Outsourcing é o termo em Inglês que designa a acção que existe por parte de uma organização em obter mão-de-obra de fora da empresa. Está fortemente ligada à ideia de sub-contratação de serviços.

58 28 CAPÍTULO 2. CONTEXTUALIZAÇÃO Figura 2.11 Panorama da actividade empresarial (Fonte: Serrão (2009)) Afigura2.11dáumexemplo práticodee-business, emqueumclienteencomenda um produto, via Internet, a uma determinada empresa, que através de uma sede central de gestão, coordena todos os aspectos de desenvolvimento, fabrico e entrega desse produto, recorrendo a grupos de trabalho remotos, fábricas, e serviços outsourcing. A informatização das empresas traduziu-se numa verdadeira revolução. No entanto, as redes informáticas possuem vulnerabilidades, que convenientemente exploradas, poderão por em risco a informação das empresas. Tendo em conta o valor e a importância que a informação tem para as organizações, nasce automaticamente a necessidade de desenvolver sistemas de segurança que a protejam. O próximo capítulo irá abordar o tema da Segurança Informática

59 3 Segurança em Redes e Sistemas de Informação Devido ao desenvolvimento da Internet, com o rápido e claro aumento do número de utilizadores e do valor das suas transacções, as empresas abrem, cada vez mais, o seu SI aos seus parceiros, clientes e fornecedores, ficando cada vez mais expostas ao mundo exterior. Com isto, aumenta também a preocupação com a sua segurança. Neste contexto, há 3 razões que as empresas referem para justificar esta preocupação: 1. Dependência dos SI: Sem computadores e sistemas de comunicação, a grande maioria das empresas ficariam incapazes de fornecer serviços, processar facturas, contactar clientes e fornecedores ou efectuar pagamentos. 2. Vulnerabilidade dos SI: Os SI exigem um ambiente estável, pois estão vulneráveis a desastres naturais, acidentes ou ataques do foro informático. Sendo estes sistemas a chave para o armazenamento e acesso a uma vasta quantidade de dados corporativos sigilosos, tornam-se assim um alvo atraente para os criminosos virtuais e espiões. Tornadas públicas, estas informações poderão causar embaraço e, em alguns casos, o fracasso da organização. 3. Investimento em SI e TI: Os SI são caros tanto no desenvolvimento quanto na manutenção e a administração deve proteger esse investimento, tanto a nível físico como a nível lógico, tal como a qualquer outro recurso valioso. 29

60 30 CAPÍTULO 3. SEGURANÇA EM REDES E SISTEMAS DE INFORMAÇÃO 3.1 Conceitos e Pressupostos A segurança informática pode ser entendida como a capacidade de uma rede ou SI resistir, com um dado nível de confiança, a eventos acidentais ou acções maliciosas que comprometam os dados, armazenados ou transmitidos, e os serviços conexos acessíveis através dessa rede. Segundo Albuquerque and Ribeiro (2002), há 3 requisitos básicos para garantir a segurança da informação: Confidencialidade: Garante que a informação somente pode ser acedida por pessoas explicitamente autorizadas. Logo, não deve acontecer a divulgação intencional (ou não) de informações reservadas. Disponibilidade: A informação deve estar disponível no momento em que a mesma for necessária ao utilizador autorizado. Integridade: A informação deve ser recuperada na sua forma original (no momento em que foi armazenada). Este requisito é a protecção da informação contra modificações por parte de pessoas ou processos não autorizados ou modificações desautorizadas por parte de utilizadores autorizados. Porém, Rezende and Abreu (2000) e Sêmola (2003) defendem que para que uma informação seja considerada segura, deverão respeitar-se também os critérios: Autenticidade: Este requisito fornece garantia da origem dos dados e da identidade da pessoa ou sistema. O serviço de autenticação deve informar se a mensagem é realmente procedente da origem indicada no seu conteúdo. Não repúdio: O utilizador não pode negar (no sentido de dizer que não foi feito) que efectuou uma operação que modificou ou criou uma informação no sistema. Não é possível negar o envio ou recepção de uma informação. Auditoria: Inspecção dos diversos passos de um negócio ou processo, e consequentemente do estado da informação, aumentando a sua credibilidade.

61 3.1. CONCEITOS E PRESSUPOSTOS 31 Contudo, nem sempre é possível garantir todos os requisitos de segurança, devido às vulnerabilidades que os sistemas informáticos possuem que, devidamente exploradas, permitirão a execução de ataques informáticos, que vão desde a espionagem da informação do sistema, até à alteração, não autorizada, do seu conteúdo. Com os ataques informáticos nasce a denominada cibercriminalidade, termo referente a actos criminosos no ambiente virtual. Os criminosos que executam tais ataques são hoje conhecidos, pela maioria das pessoas, como Hackers. No entanto, este termo é incorrecto. O termo Hacker foi usado originalmente no MIT 1 na década de 50 para definir pessoas interessadas pela era da informática. Essa definição diz que um Hacker é uma pessoa que consegue hackear, que vem do verbo inglês To Hack, que diz: Hack é o acto de alterar alguma coisa que já está pronta ou em desenvolvimento, deixando-a melhor. Nesse sentido, os Hackers seriam as pessoas que criaram a Internet, que criaram o Windows, o Linux e os especialistas em segurança das grandes empresas. Contudo, depois do surgimento da Internet, os meios de comunicação social passaram a utilizar o termo Hacker para definir os infractores das leis no mundo digital, tal como ladrões de bancos ou de números de cartões de crédito, via Internet. Com isto, os Hackers que desenvolveram o termo original sentiram-se ofendidos e acabaram por criar o termo Cracker para definir estes criminosos. Mas, mesmo assim, acabaram por se gerar confusões entre os dois termos, pois algumas pessoas afirmam que a diferença entre Hacker e Cracker é que o Hacker invade apenas para espiar, enquanto o Cracker invade para destruir, o que é incorrecto. Os Hackers utilizam todo o seu conhecimento para melhorar softwares de forma legal. A verdadeira expressão para invasores de computadores é denominada Cracker e o termo designa programadores maliciosos e ciberpiratas que agem com o intuito de violar ilegal ou imoralmente sistemas cibernéticos (Santos et al., 2007). 1 MIT, do inglês Massachusetts Institute of Technology, é uma organização com o objectivo de fazer avançar o conhecimento e educar os alunos em ciência, tecnologia e outras áreas de estudos que melhor servir a nação e o mundo do século XXI.

62 32 CAPÍTULO 3. SEGURANÇA EM REDES E SISTEMAS DE INFORMAÇÃO Os Crackers, geralmente, são Hackers que se querem vingar de algum operador, adolescentes que querem ser aceites por grupos Crackers (Script Kiddies) ou mestres de programação pagos por empresas para realizarem espionagem industrial. Devido à controvérsia ao redor do significado do termo Hacker, procurando evitar confusões, foram criados novos termos, utilizando a palavra hat, em português chapéu. A origem desta ideia esteve nos filmes Western a preto e branco, onde a cor do chapéu definia de qual lado (bem ou mal) o personagem estava. Desta forma, de acordo com Arnone (2005), os Hackers estão divididos em: White Hats (Chapéu Branco): Indicam um Hacker, ético, interessado em segurança, que utiliza os seus conhecimentos na exploração e detecção de erros de concepção, dentro da lei. A atitude típica de um White Hat assim queencontrafalhasdesegurançaéadeentraremcontactocomosresponsáveis pelo sistema e informá-los sobre o erro, para que possam tomar medidas preventivas e correctivas. Black Hats (Chapéu Preto): Indicam um Hacker criminoso, malicioso, sem ética, de perfil abusivo ou rebelde, comparável a um terrorista. Geralmente são especialistas em invasões maliciosas e silenciosas. Na sua acção, descobrem falhas de segurança e criam exploits 2 para explora-las. Agem para obter retorno financeiro, ou porque simplesmente gostam do que fazem. Gray Hats (Chapéu Cinzento): Têm as habilidades e intenções de um White Hat, mas por vezes utilizam os seus conhecimentos para propósitos menos nobres. São, no fundo, White Hats que às vezes utilizam práticas dos Black Hats para cumprir a sua agenda, pois trabalham tanto para propósitos defensivos como com propósitos ofensivos, sendo por vezes denominados de Mercenários. Defendem que é aceitável invadir sistemas desde que não se cometa roubo, vandalismo ou se infrinja a confidencialidade. 2 Um exploit, em segurançade informação, éum programade computador, uma porçãode dados ou uma sequência de comandos que se aproveita das vulnerabilidades de um sistema computacional.

63 3.2. VULNERABILIDADES Vulnerabilidades No mundo em que vivemos pouco ou nada é perfeito. Todos os sistemas possuem falhas e os SI não são excepção. Algumas falhas podem deixar os SI perigosamente vulneráveis a ataques informáticos, abordados mais à frente. Estas falhas podem ser provenientes de: Bugs 3 emdeterminadossoftwares dosistema quepodemprovocarfalhasna segurança geral do computador ou da rede, principalmente em programas que têm alguma forma de conexão à Internet, tal como os Browsers. Os Bugs surgem a partir do momento que o programador de um determinado software comete um erro, e estão presentes em qualquer programa desde um simples editor de texto até ao próprio sistema operativo (SO). Por mais insignificantes que as falhas pareçam, estas podem comprometer a segurança de uma rede inteira. Alguns bugs causam o aparecimento dos temíveis ecrãs BSOD (Blue Screen of Death) e/ou RSOD (Red Screen of Death), ambos exibidos pelos SO no caso de erros muito graves; Sabia que: O ENIAC (Electronic Numerical Integrator and Computer), primeiro computador digital completamente electrónico, contribuiu para o uso do termo Bug, que em português significa Insecto. Este computador era movido a válvulas que atraiam milhares de insectos. Como dezenas de válvulas queimavam a cada hora, o computador, que ocupava o espaço de uma sala, era aberto frequentemente e montes de insectos mortos eram varridos para fora. Diz-se que esses insectos provocavam Curto-Circuitos nas placas do ENIAC levando a falhas nos programas. Dessa relação surgiu o termo Bug que se tornou sinónimo de falha. Hoje em dia, quando se descobre um erro em qualquer programa diz-se Encontrei um Bug. 3 Bug é um errono funcionamento de um software, normalmentedevido a falhasde programação do mesmo durante a fase de desenvolvimento. Alguns erros podem impossibilitar a realização de uma acção na utilização de um programa.

64 34 CAPÍTULO 3. SEGURANÇA EM REDES E SISTEMAS DE INFORMAÇÃO Prevê-se que ocorra um grande Bug em 2038, relacionado com uma falha na representação de datas em computadores. O problema afecta programas que utilizam representação POSIX 4, em que a data é calculada através do número de segundos (ignorando segundos bissextos) desde 1 de Janeiro de Na maioria dos sistemas de 32 bits, o tipo de dados utilizado para armazenar esta contagem é um inteiro de 32 bits do tipo signed (considera o sinal). No entanto, o último registo de tempo que pode ser representado neste formato é 03:14:07 na Terça Feira 19 de Janeiro de Após este momento, a data será representada por um número decimal negativo, o que resultará, certamente, em erros de cálculo e de funcionamento na maior parte dos programas. Ainda não foi encontrada uma forma simples de resolver o problema. Configurações de segurança incorrectas: Os administradores necessitam contratar especialistas com conhecimentos suficientes para detectar e corrigir as vulnerabilidades do sistema. Caso contrário, acabarão por surgir várias vulnerabilidades no sistema como ficheiros sem protecção, vulnerabilidades em mecanismos de controlo de acesso, permissão habilitada para execução de código externo, etc. Esse esforço tem que ser constante e mesmo assim algumas vulnerabilidades passam desapercebidas. Ingratamente, o Cracker apenas precisa descobrir uma única falha para conseguir atingir os seus objectivos. Desinteresse dos Administradores pela Segurança: Falta de políticas de segurança ou planos de contingência. Por vezes nem sequer existe Firewall e/ou antivírus e os updates de segurança estão totalmente desactualizados; Incumprimento das regras básicas de segurança: Os utilizadores do sistema aparecem constantemente como o Elo mais fraco do sistema, criando, pelas suas acções, várias vulnerabilidades, tais como utilização de passwords intuitivas e fáceis de decifrar, utilização ou acesso a serviços duvidosos e inseguros, sem preocupações a nível de segurança tal como o uso de Antivírus, falta de cuidado com a navegação na Internet e com a abertura de ficheiros desconhecidos, etc (figura 3.1). Estas acções põem em causa a segurança da informação e do sistema que a suporta.

65 3.2. VULNERABILIDADES 35 Figura 3.1 Utilizador como Elo mais fraco do sistema Axioma da Segurança: Uma corrente não é mais forte do que o seu elo mais fraco. William James Figura 3.2 Vulnerabilidades dos Sistemas de Informação (Fonte: Santos (2007)) Segundo RFC2828 (2010), vulnerabilidade é uma falha no sistema que pode ocorrer no projecto, na implementação, na operação ou gestão deste e que pode ser explorada para violar a sua politica de segurança. As vulnerabilidades dos SI são uma porta aberta para os Crackers acederem à informaçãoqueestessustentam(figura3.2). Évitalidentificaressasvulnerabilidades e corrigi-las de forma a evitar ataques informáticos (Santos, 2007).

66 36 CAPÍTULO 3. SEGURANÇA EM REDES E SISTEMAS DE INFORMAÇÃO 3.3 Ameaças Segundo Serrano (2007), as vulnerabilidades são inevitáveis. Comercialmente 1 erro por cada 1000 linhas de código é considerado um resultado aceitável, mas estatísticamente não é possível escrever código com menos de 1 erro a cada 10 mil linhas. O Windows Vista, por exemplo, possui cerca de 60 milhões de linhas de código, o que se irá traduzir em muitos erros de código, que representarão várias vulnerabilidades no sistema. Estas vulnerabilidades são, geralmente, difíceis de detectar e de difícil resolução. O ActiveX 5, por exemplo, possuí bugs que permitem que, ao visitar um site, o Internet Explorer instale um programa no computador do utilizador e o execute sem que este perceba. Logo, é válido dizer que: A existência de uma vulnerabilidade implica sempre a existência de uma ou mais ameaças. Do ponto de vista da segurança, os SI apresentam vulnerabilidades e estão sujeitos a ameaças internas e/ou externas à organização (figura 3.3) (Santos, 2007). Figura 3.3 Representação das Ameaças e Vulnerabilidades (Fonte: Santos (2007)) 5 ActiveXéuma tecnologiaparaodesenvolvimentodepáginasdinâmicas. Alguns sitesrequerem a instalação de controlos ActiveX para a sua visualização ou desempenho de certas tarefas.

67 3.3. AMEAÇAS 37 Com o objectivo de identificar as principais ameaças que poderão, eventualmente, afectar os recursos informáticos de uma organização, Pimenta (2005), no âmbito do seu estudo, recorreu aos dados provenientes do relatório CSI/FBI - Computer Crime and Security Survey de 2004 (tabela 3.1), considerado uma das principais referências em pesquisas sobre segurança de informação. Tabela 3.1 Probabilidade de ocorrência de ameaças N o Ameaças Probabilidade de Ocorrência 1 Vírus 78% 2 Abuso de Acesso à Internet 59% 3 Acesso não autorizado à Informação 39% 4 Invasão de Sistema 37% 5 Negação de Serviço 17% 6 Roubo de Informação Proprietária 10% 7 Fraude Financeira 5% Como podemos ver pela tabela 3.1, existem ameaças com uma probabilidade de ocorrência superior a 50%, o que não é nada animador para quem possui SI com informação sigilosa, pois é mais provável que acabem por ser atacados do que o caso contrário. Este facto deverá consciencializar os administradores de que é vital haver uma preocupação com a segurança dos seus recursos de modo a reduzir a probabilidade de ocorrência de todas estas ameaças, algumas delas perigosíssimas para a actividade de negócio das organizações. Nota: Os SI não são somente atacados remotamente, através da rede, podendo também sofrer ameaças a nível físico, tal como roubo ou danificação de qualquer elemento físico da rede. Embora o relatório da CSI/FBI também refira ameaças físicas, apenas me debruçarei sobre as ameaças do foro lógico, pois as primeiras não são objecto de estudo desta Dissertação de Mestrado.

68 38 CAPÍTULO 3. SEGURANÇA EM REDES E SISTEMAS DE INFORMAÇÃO Classificação das ameaças Tendo em conta que a função do computador ou de uma rede de computadores é providenciar informação e que, em geral, existe um fluxo de informação de uma fonte paraum destino (alínea (a)da figura 3.4), segundo oestudo de Estrela (1998)e Santos (2007), as ameaças podem ser classificadas de acordo com quatro categorias: Figura 3.4 Classificação das ameaças (Fonte: Estrela (1998)) Interrupção: Um recurso do sistema é destruído ou torna-se indisponível (alínea (b) da figura 3.4). Esta é uma ameaça à disponibilidade da informação. Exemplos de interrupção incluem a destruição de hardware, o corte de uma linha de comunicação ou a desactivação do sistema de gestão de ficheiros. Intercepção: Uma parte não autorizada ganha acesso a um recurso (alínea (c) da figura 3.4). Esta é uma ameaça à confidencialidade da informação. A parte não autorizada pode ser uma pessoa, um programa ou um computador.

69 3.3. AMEAÇAS 39 Modificação: Uma parte não autorizada não só ganha acesso como também interfere com um recurso (alínea (d) da figura 3.4), tornando-se uma ameaça à Integridade da informação. Exemplos incluem a alteração de valores num ficheiro de dados, de um programa (de forma a que este funcione de maneira diferente) e a modificação do conteúdo de mensagens transmitidas numa rede. Produção/Fabricação: Uma parte não autorizada insere objectos forjados na rede (alínea (e) da figura 3.4). Consiste numa ameaça à autenticidade da informação. Exemplos incluem a inserção de mensagens ou transacções espúrias na rede de comunicação ou a adição de registos numa base de dados. Caso uma ameaça se concretize torna-se um ataque ou Incidente de Segurança da Informação, definido na norma ISO/IEC 17799:2005 como um ou mais eventos que têm uma significativa probabilidade de produzirem danos. Segundo Estrela (1998), esses ataques podem ser divididos em duas categorias: Ataques passivos: São ataques de natureza de escuta ou monitoria de transmissões. O objectivo do atacante é obter informação que esteja a ser transmitida. Os ataques passivos são da categoria de ameaças Intercepção e envolvem dois tipos de acções: obtenção do conteúdo de mensagens e análise de tráfego. Os ataques passivos são muito difíceis de detectar já que não envolvem qualquer alteração dos dados. No entanto, é possível preveni-los. Ataques activos: Estes ataques envolvem alguma modificação do fluxo de dados ou a criação de dados falsos e podem ser subdivididos em quatro tipos. O mascaramento, quando uma entidade finge ser outra, permitindo que uma entidade com poucos privilégios possa obter privilégios extra, fingindo ser uma entidade que os possui. A repetição, que envolve a captura passiva de dados e a sua subsequente retransmissão. A modificação de mensagens, quando uma mensagem legítima é alterada. E finalmente, a negação de serviço que evita ou inibe a utilização normal dos recursos da rede, desactivando-os ou saturandoos com mensagens de forma a degradar o seu desempenho. É bastante difícil prevenir estes ataques já que seria necessária a protecção de todos os recursos e linhas de comunicação da rede, a tempo inteiro.

70 40 CAPÍTULO 3. SEGURANÇA EM REDES E SISTEMAS DE INFORMAÇÃO Metodologias de Ataques Informáticos Na secção anterior vimos que existem 4 categorias de ameaças à informação que podem traduzir-se em ataques activos e/ou passivos. Contudo, estes ataques podem ser implementados segundo várias metodologias ou técnicas: Malware O termo malware, do Inglês malicious software, é relativo a um software destinado a infiltrar-se num sistema computacional, de forma ilícita, com intuito de causar algum dano ou roubo de informação. Alguns exemplos de malware são: Vírus Informático: Segmento de código malicioso, normalmente anexo a outros programas, desenvolvido para se copiar a si próprio, de computador em computador, de forma a espalhar-se rapidamente pelos recursos do sistema, propagando a infecção à medida que circula, tal como um vírus biológico. Os vírus informáticos, geralmente, atacam programas e o sector de boot 6 do disco, destroem ficheiros, modificam dados e comprometem sistemas. Porém, estes necessitam de interacção humana para se espalharem (por exemplo, o utilizador abrir um ficheiro infectado). No Anexo A poderemos ver o Ranking dos vírus informáticos mais perigosos dos últimos 20 anos, divulgado num estudo da Panda Security, no âmbito da comemoração do seu 20 o aniversário. Worms: São uma subclasse de vírus informático. Porém, ao contrário deste último, espalham-se sem a interacção do utilizador, distribuindo cópias de si próprio através da rede e tomando o controlo de funções do computador que permitem transportar informação. Depois de entrar no sistema, um worm movimenta-se sozinho e multiplica-se em grande volume, podendo, para além de outros tipos de danos, consumir memória ou largura de banda, fazendo com que o computador fique bloqueado. 6 Boot, em computação, é o termo em inglês para o processo de inicialização do computador que carrega o sistema operativo quando a máquina é ligada.

71 3.3. AMEAÇAS 41 Trojans ou Cavalos de Tróia : São programas disfarçados, aparentando ser software útil, que executam uma determinada tarefa maligna, com o intuito de comprometer a segurança do sistema. Acontece com bastante frequência um utilizador executar um jogo adquirido através da Internet, que secretamente, instala um Trojan que abre uma porta TCP para possibilitar uma invasão ao sistema. Entre os mais populares estão o NetBus e o Back Orifice. Sabia que: Esta técnica foi buscar a sua designação a um episódio bastante conhecido da mitologia grega, quando soldados gregos, escondidos dentro do que aparentava ser um cavalo de madeira, saindo do seu interior tomaram a cidade de Tróia. Um Trojan usa também um disfarce para atingir os seus propósitos. Spyware: Estes programas monitorizam e reportam o uso que fazemos dos programas, especialmente o uso da Internet, transmitindo toda a informação do utilizador para uma entidade externa sem o conhecimento ou consentimento deste. São utilizados, sobretudo, como ferramentas de marketing, e muitas vezes estão na origem de mail spam 7. Rogueware : São falsos anti-vírus(pcliveguard ou GreatDefender), que se fazem passar por aplicações de software legítimas para enganar os utilizadores, levando-os a crer que eliminam as ameaças que afirmam ter detectado em troco do pagamento da versão completa, roubando-lhes no fundo o seu dinheiro. O processo de instalação é semelhante ao de qualquer outro antivírus, permitindo que os utilizadores seleccionem o idioma e a localização dos ficheiros. Após a instalação, para convencer os utilizadores de que estão protegidos, é mostrado um ícone no ambiente de trabalho e na barra de tarefas, tornando-o o mais autêntico possível. No final, os utilizadores têm instalada uma aplicação que na realidade nada faz e os seus dados bancários serão provavelmente utilizados sem o seu consentimento noutras ilegalidades. 7 Spam é uma mensagem electrónica não solicitada enviada em massa. Geralmente, consiste em s com fins publicitários, mas que, por vezes, são aproveitados para difundir links maliciosos.

72 42 CAPÍTULO 3. SEGURANÇA EM REDES E SISTEMAS DE INFORMAÇÃO Decifragem de Passwords e Falhas de Autenticação Quando nos queremos conectar a um sistema informático, este pede, na grande maioria das vezes, um identificador (em inglês username ) e uma palavra-chave (em inglês password ) para que possamos aceder aos seus recursos. Este par de parâmetros forma assim a chave que nos permite obter um acesso ao sistema. O identificador é, geralmente, atribuído automaticamente pelo sistema ou pelo seu administrador, porém a escolha da password é deixada frequentemente à escolha do utilizador. Assim, a maior parte dos utilizadores, considerando que não têm nada de realmente secreto a proteger, contenta-se em utilizar uma password fácil de memorizar (o seu nome ou a sua data de nascimento). Este facto tornou-se um atractivo para os Crackers, pois segundo Estrela (1998) o acesso mais fácil a um sistema é normalmente a porta da frente, isto é, o comando login. Neste âmbito, a password do utilizador é normalmente a primeira vulnerabilidade que um Cracker tenta explorar, existindo para isso várias metodologias de ataque: Ataque por Força Bruta : É um algoritmo trivial, mas de uso geral, que consiste em enumerar todos os possíveis candidatos de uma solução e verificar se cada um satisfaz o problema. Em criptografia, envolve cruzar o algoritmo de busca de chaves possíveis até a chave correcta ser encontrada. No acesso ao sistema, através da chave username/password, um ataque por força bruta poderá ser útil para tentar adivinhar este conjunto através do meio tentativa e erro até à exaustão, até encontrar o conjunto correcto. Este ataque terá que ser executado através de um código automatizado, pois devido à magnitude de soluções é inviável executá-lo manualmente. Ataque por Dicionário : O ataque por força bruta pode demorar horas, dias, ou até anos de cálculo mesmo com máquinas equipadas com processadores potentes. Uma alternativa é o Ataque por Dicionário. Visto que, na maior parte dos sistemas, as passwords são armazenadas de maneira codificada, num ficheiro ou numa base de dados, sendo de um universo legível, quando um Cracker tem acesso ao sistema e obtém este tipo de ficheiros, é-lhe possível realizar ataques offline com recurso a dicionários.

73 3.3. AMEAÇAS 43 O ataque por dicionário consiste, então, na cifragem das palavras de um dicionário através da função crypt(), e na posterior comparação com os ficheiros de passwords de utilizadores. Desta forma, quando uma palavra do dicionário cifrada coincide com a password cifrada de um utilizador, o atacante obtém a password correcta. Com este ataque o Cracker consegue desvendar uma password fraca em poucos minutos. Sabia que: O ataque por dicionário foi criado por Robert Morris, coincidência ou não, filho de Robert Morris da NSA (National Security Agency) que foi um dos pesquisadores que desenvolveu a função crypt(). Ironia do destino, mais tarde o seu filho utilizou-a para propósitos menos nobres. Key Logger: É um software em permanente execução, embora o utilizador não consiga visualizar a sua actividade, que captura os dados inseridos no teclado do computador. Esta aplicação tem a capacidade de identificar o preciso momento em que o utilizador acede a um site protegido, gravando a partir daí a sequência de teclas pressionadas para envio dissimulado para o atacante, via Internet, para que este possa recolher os dados sigilosos. Teclado Virtual Falso: É um software malicioso que abre uma janela de teclado virtual clonado exactamente sobre o teclado virtual legítimo do banco, para que o utilizador coloque lá os seus dados sem a mínima desconfiança. Mouse Loggers: É um software que captura os movimentos e cliques do rato com o objectivo de contornar os teclados virtuais dos bancos. Os mais recentes capturam, inclusive, uma pequena imagem da área onde o clique do rato ocorreu para reconhecer os dígitos seleccionados nos teclados virtuais. Espionagem: Por vezes, basta observar os papéis em redor do ecrã do utilizador ou dar uma simples espreitadela aquando da introdução da password para conseguir decifra-la. Porém, é um ataque de carácter físico e não faz parte deste estudo.

74 44 CAPÍTULO 3. SEGURANÇA EM REDES E SISTEMAS DE INFORMAÇÃO Engenharia Social Por vezes, para que o Cracker possa chegar à abordagem directa de um ataque, necessita obter informações de modo indirecto. Para isso, recorre muitas vezes à chamada Engenharia Social que consiste, no fundo, em enganar pessoas para conseguir vantagens, como no caso do indivíduo que liga para um serviço e pergunta Por favor, perdi a minha password de Internet. Poderia consultar o sistema e relembrar-me os meus dados de acesso?. Alguns técnicos pedem alguns dados pessoais para comprovar a identidade da pessoa, outros, como técnicos insatisfeitos ou ingénuos, ignoram o assunto e fornecem todos os dados que lhe pedirem. Se o leitor tiver curiosidade, desloque-se a uma companhia telefónica e peça a segunda via de um cartão qualquer. Muito provavelmente nem sequer lhe pedem nenhum documento de identificação. Contudo, a eficiência desta metodologia depende muito das habilidades pessoais do Cracker, podendo ser realizada através de telefonemas, s, imessenger, e até mesmo pessoalmente. Embora não seja propriamente um tipo de ataque a redes de computadores, permite ao Cracker obter informações importantíssimas para poder realizar um ataque eficaz. Algumas das técnicas utilizadas são: Phishing: É uma técnica cibercriminosa, através da qual o atacante utiliza s fraudulentos, enviados em massa, a solicitar informações confidenciais, sobretudo financeiras, constituindo uma séria ameaça, tanto para utilizadores domésticos, como para empresas. Recentemente têm surgido várias variantes desta técnica, que envolvem o envio de um que ao invés de conter links que direccionam para um formulário onde é requerida informação confidencial, direccionam para páginas que contêm programas maliciosos, dos mais variados tipos, que se auto-instalam no computador do utilizador. Pharming ou DNS poisoning : É uma variante sofisticada de Phishing, que consiste em corromper o DNS de uma rede de computadores, fazendo com que o URL de um site passe a apontar para um servidor diferente do original. O processo é simples: Como um endereço IP é difícil de memorizar, existe um nome de domínio, mais amigável, que lhe está associado (www.dominio.pt).

75 3.3. AMEAÇAS 45 Sempre que é introduzido um nome de domínio no browser, este é traduzido para o endereço IP correspondente, permitindo assim aceder ao site pretendido. Um ataque de Pharming manipula esta tradução, alterando-a de acordo com os desejos do atacante. Deste modo, o endereço IP associado a um domínio poderá apontar para uma página fictícia, geralmente uma cópia fiel da página original e com nome de domínio muito semelhante, hospedada noutro servidor com outro endereço IP, que está sobre o controlo do Cracker (figura 3.5). Desta forma, embora o utilizador introduza o Nome de Domínio correcto, é dirigido para um servidor diferente do pretendido, sem que se aperceba que está a ser atacado, criando a falsa impressão que está no site desejado, induzindo-o a fornecer os seus dados pessoais, que serão armazenados pelo servidor falso. Figura 3.5 Técnica DNS Poisoning Scamming : Técnica que visa roubar passwords e números de contas de clientes bancários enviando um falso oferecendo um serviço na página do banco. A maioria dos bancos não enviam s a oferecer seja o que for, por razões de segurança, logo qualquer desta espécie é falso.

76 46 CAPÍTULO 3. SEGURANÇA EM REDES E SISTEMAS DE INFORMAÇÃO Negação de Serviço Este ataque, ilustrado na figura 3.6, consiste, na sua generalidade, em sobrecarregar um servidor com uma quantidade excessiva de solicitações de serviços, fazendo com que este fique impedido de processar os pedidos normais, bloqueado-o. Figura 3.6 Técnica Negação de Serviço Dandoumexemplo deumataquedestetipo, édoconhecimento detodosqueamaior parte dos sistemas são configurados de maneira a bloquear temporariamente a conta de um utilizador após diversas tentativas de login infrutíferas. Desta forma, os sistemas conseguem escapar a ataques por força bruta, pois apenas permitem duas ou três tentativas de autenticação, sem que a conta seja bloqueada. Assim, um Cracker dificilmente conseguirá infiltrar-se no sistema, por esse método. No entanto, o Cracker pode servir-se desse mecanismo de controlo de acesso para bloquear constantemente todas as contas, através de um ataque por força bruta, acabando por impedir o acesso ao sistema a qualquer utilizador. Isto causa uma indisponibilidade do sistema, isto é, uma Negação de Serviço. A principal função desta metodologia é, no fundo, impedir que os utilizadores façam uso de um determinado serviço ou sistema. Geralmente, é feito através do derrube de conexões e/ou serviços pelo excesso de dados enviados simultaneamente a uma determinada máquina ou rede.

77 3.3. AMEAÇAS 47 As variantes mais conhecidas desta metodologia são: DDoS (Distributed Denial of Service): É um método de ataque conjunto e coordenado entre várias máquinas a um servidor vítima (figura 3.7). Figura 3.7 Ataque Negação de Serviço Distribuída Nesta variante, o agressor invade vários computadores, que podem chegar aos milhares, onde instala software silencioso, denominado por alguns autores como zombies. Quando é dada a ordem para iniciar o ataque, cada software malicioso, instalado em cada máquina, começa a bombardear o servidor alvo com solicitações. As solicitações atingem um número de tal forma grande que o servidor acaba por sair de serviço. Com esta técnica alguns Crackers conseguiram paralisar sites como o da CNN, Yahoo!, entre muitos outros. Mail Bomb: É a técnica de inundar um computador com mensagens electrónicas. Em geral, o agressor usa um script para gerar um fluxo contínuo de mensagens e abarrotar a caixa de correio electrónico de um utilizador. A sobrecarga tende a provocar negação de serviço no servidor de . Existem diversos programas que automatizam o mail bombing.

78 48 CAPÍTULO 3. SEGURANÇA EM REDES E SISTEMAS DE INFORMAÇÃO Ping of death: Consiste em enviar um pacote IP com tamanho maior que o máximo permitido (65535 bytes), para a máquina vítima. O pacote é enviado em fragmentos, pois nenhum tipo de rede permite o tráfego de pacotes com este tamanho. Quando a máquina tenta montar os fragmentos, inúmeras coisas podem ocorrer: a maioria das máquinas bloqueiam, algumas reiniciam, outras abortam e mostram mensagens na consola, etc. Este ataque chama-se Ping of Death pois as suas primeiras ocorrências foram a partir do comando ping. Smurf: Nesta metodologia, o agressor, numa primeira fase (figura 3.8), envia uma rápida sequência de solicitações Ping (comando básico para testar a disponibilidade de uma máquina) para um endereço de broadcast fazendo-se passar por outra máquina (Técnica IP Spoofing (figura 3.11)). Figura 3.8 Ataque Smurf, envio de pacotes Ping

79 3.3. AMEAÇAS 49 Numa segunda fase (figura 3.9), o Cracker faz com que o servidor de broadcast encaminhe as respostas não para o seu endereço, mas para o da vítima. Assim, o computador alvo é inundado pelo Ping. Esta técnica pode utilizar várias máquinas, tal como ilustrado na figura 3.8 e figura 3.9. Figura 3.9 Ataque Smurf, respostas para a vítima Syn Flood: Esta metodologia de ataque (figura 3.10) consiste no envio de um grande número de pacotes de abertura de conexão (SYN), com um endereço de origem forjado (IP Spoofing, figura 3.11), para um determinado servidor. O servidor ao receber os pacotes, coloca uma entrada na fila de conexões em andamento e envia um pacote de resposta (SYN-ACK), ficando a aguardar uma confirmação da máquina cliente.

80 50 CAPÍTULO 3. SEGURANÇA EM REDES E SISTEMAS DE INFORMAÇÃO Como o endereço de origem dos pacotes é falso, a confirmação nunca chega ao servidor. Deste modo, a fila de conexões do servidor fica lotada e, a partir daí, todos os pedidos de abertura de conexão são descartados e o serviço fica paralisado. Esta paralisação persiste até que o servidor identifique a demora e remova a conexão em andamento da lista. Figura 3.10 Ataque Syn Flood Buffer Overflow : É a técnica de tentar armazenar mais dados do que a memória do sistema suporta, causando erros e possibilitando a entrada do invasor. Geralmente, neste tipo de ataque, o Cracker consegue o domínio do programa atacado e privilégios de administrador na máquina hospedeira. SQL Injection: Trata-se da manipulação de uma instrução SQL através das variáveis que compõem os parâmetros recebidos por um script, tal como PHP, ASP, etc. Esta técnica consiste em passar parâmetros a mais, via barra de navegação do browser, inserindo instruções não esperadas pela base de dados. Geralmente o atacante utiliza esta metodologia para roubar dados ou danificar a base de dados que está no servidor, provocando uma Negação de Serviço.

81 3.3. AMEAÇAS 51 Bugs & Backdoors Estes métodos de ataque têm como principal objectivo obter acesso não autorizado a um determinado sistema, explorando bugs e criando Backdoors. Spoofing ou Acesso por imitação : É a técnica de um determinado activo se fazer passar por outro computador da rede para conseguir acesso ou permissões root num determinado sistema. Há muitas variantes desta técnica. Uma delas é o IP Spoofing (Figura 3.11). Figura 3.11 Ataque IP Spoofing Em primeiro lugar, analisando a figura, vemos que existe uma conexão confiável entre a máquina X e Y, logo qualquer fluxo de informação entre estas duas máquinas será considerado válido e seguro. Começando o seu ataque, o Cracker, através de um pacote legítimo e com o endereço de origem verdadeiro, envia vários pedidos de conexão a X. Este responde com um número de sequência para que o invasor o repita e efectue a conexão, mas este não tem previlégios e não lhe interessa fechar a conexão. Logo, apenas guarda os pacotes de X para verificar o seu número de sequência.

82 52 CAPÍTULO 3. SEGURANÇA EM REDES E SISTEMAS DE INFORMAÇÃO Após vários pedidos de conexão com X, o Cracker pode decifrar o modo como X gera os seus números de sequência. Quando isso acontece, o atacante envia um pedido de conexão, desta vez com o endereço de origem forjado, fazendo-se passar por Y (computador confiável). Isto é possível devido às características do protocolo IP, que têm como base uma premissa simples: cada pacote deverá ir para o endereço de destino e não há verificação do endereço de origem. Logo, nada impede que um Cracker altere o endereço de origem de um pacote para que ele pareça ter vindo de outro lugar. Obviamente, o invasor não vai receber os pacotes de X com os números de sequência, pois estes irão para o endereço de origem (computador Y), que nesse momento deverá estar sobrecarregado pelo Cracker, de modo a não conseguir responder a X. Contudo, com base nos cálculos anteriores, o invasor prevê o número de sequência de X e envia-o correctamente para este, fechando a conexão. A partir desse momento, X pensa que está a comunicar com Y, e o invasor, estando sob esse disfarce ganha as permissões da máquina Y. Sabia que: O IP Spoofing ficou famoso após ter sido a atracção principal do ataque à rede de Tsutomu Shimomura, um dos maiores especialistas de segurança do EUA, quando através dele, o mais famoso Cracker americano, Kevin Mitnick, invadiu a sua rede particular roubando alguns dos seus programas. Rootkits: Um Cracker, ao realizar uma invasão, pode utilizar mecanismos para esconder e assegurar a sua presença no computador comprometido, de modo a não deixar pistas e a criar portas de fundo (Backdoors) para futuras invasões. Estes mecanismos são conhecidos como rootkits. Exploits: São programas que exploram vulnerabilidades conhecidas. Estes programas atraem o público pois, de forma geral, são muito pequenos e fáceis de usar e os benefícios que eles proporcionam são imediatos e satisfatórios. Scanning de Portas: Consiste no uso de programas que identificam as portas activas do sistema, por onde, eventualmente, este poderá ser invadido.

83 3.3. AMEAÇAS 53 Acesso à Informação Esta categoria engloba algumas metodologias de ataque com o propósito directo de aceder à informação. Algumas dessas técnicas são: Sniffing: É a técnica de capturar informação de uma determinada máquina ou o tráfego de uma determinada rede, sem autorização. Os Sniffers são programas que analisam o tráfego da rede e úteis para a gestão de redes. Porém, nas mãos erradas permitem roubar informações sigilosas. Man-in-the-Middle (MITM): Permite ao atacante intromete-se na ligação entre duas máquinas, numa posição de intermediário, fazendo com que toda a informação que circule entre as duas máquinas passe por si (figura 3.12). Figura 3.12 Ataque Man-in-the-Middle Consideremos um cliente (A) a tentar contactar um servidor (B) através de uma ligação SSL, por exemplo. Entretanto, um atacante (C) coloca-se no meio da comunicação numa posição na rede que lhe permite interceptar os pacotes. Quando (A) tenta estabelecer uma ligação com (B), (C) intercepta os pacotes e liga-se a (B) fingindo ser (A). O servidor (B) envia o seu certificado para (C) e estabelece-se uma ligação SSL entre (B) e (C) em que (B) pensa estar a falar com (A). De seguida (C) cria um certificado com o mesmo subject, envia-o para (A) e inicia-se uma ligação SSL entre (C) e (A) em que (A) acredita estar a falar com (B). Desta forma,toda a informação que é trocada entre (A) e (B) passa por (C).

84 54 CAPÍTULO 3. SEGURANÇA EM REDES E SISTEMAS DE INFORMAÇÃO Reflexão Tendo em conta as características multitarefa das mais variadas técnicas de ataque, não foi fácil dividi-las, de forma clara, em várias categorias. Se recuarmos aos pontos anteriores, podemos constatar facilmente que a grande maioria das metodologias apresentadas enquadram-se em mais do que uma categoria. A título de exemplo, como já tive oportunidade de referir, o ataque por força bruta, que no meu ponto de vista tem um melhor enquadramento na categoria Decifragem de Passwords e falhas de autenticação, pode também ser utilizado para provocar Negações de Serviço, podendo, assim, também ser enquadrado nesse grupo. Neste sentido, poderiam ter sido criadas outras categorias ou ter sido feita outra distribuíção das técnicas de ataque. Contudo, independentemente da forma como estas foram agrupadas, o importante é entender o seu funcionamento e para que propósitos são utilizadas, de modo a que nos possamos proteger delas de forma eficaz. Existem muitas mais técnicas de ataque do que aquelas que foram descritas, embora não sejam tão conhecidas, porém seria inviável enuncia-las e descreve-las a todas. A figura 3.14 ilustra bem a ideia de aplicabilidade das técnicas de ataque. Figura 3.13 Analogia da multiaplicabilidade das técnicas de ataque(fonte: Serrão (2009))

85 3.3. AMEAÇAS Anatomia de um Ataque Informático Tendo em conta toda a variedade de metodologias de ataque, é importante para este estudo analisá-las para tentar estabelecer um padrão de ataque, ou o modus operandi dos Crackers, tal como o estudo de Roque et al. (2008) (figura 3.14). Figura 3.14 Anatomia de um Ataque Informático (Fonte: Roque et al. (2008)) Footprinting (Reconhecimento): Nesta fase, o atacante tenta, através de ferramentas comuns da rede, obter informações essenciais para o ataque que lhe indiquem a postura e a política de segurança da empresa (nomes de máquinas, endereços IP, protocolos, etc). Por vezes, o atacante necessita recorrer à Engenharia Social para obter essas informações. Scanning (Varredura ou mapeamento): Depois de estar na posse das informações vitais, o atacante necessita determinar quais os activos da rede alcançáveis e quais as portas activas por onde poderá invadi-los. Para esta tarefa são utilizas ferramentas simples como o nmap. Enumeração: Nesta fase, o Cracker tenta uma colecta de dados intrusiva, fazendo consultas directas no sistema, identificando passwords válidas, recursos da rede, vulnerabilidades comuns, permissões, etc. No entanto, nesta fase, estando conectado ao sistema o atacante pode ser detectado.

86 56 CAPÍTULO 3. SEGURANÇA EM REDES E SISTEMAS DE INFORMAÇÃO Invasão: As informações que o cracker conseguiu recolher até este ponto definem a rota e a estratégia do ataque. Aqui o atacante testa vulnerabilidades conhecidas que possam ainda não estar corrigidas no sistema alvo, tentando também adquirir, pelo menos, privilégios de utilizador comum. Escalada de privilégios: A partir do momento que o atacante tenha acesso ao sistema como utilizador comum, este tenta obter acesso completo ao sistema (administrador, root). Acesso à informação: Aqui, o atacante, dependendo dos seus propósitos, actua contra alguns requisitos de segurança (Confidencialidade, Integridade, Autenticidade e Disponibilidade), para conseguir obter informações. Ocultação de rastos: Nesta fase, o invasor tenta evitar, a todo o custo, a detecção da sua presença, desabilitando auditorias ao sistema, evitando deixar buracos nos logs (excessivo tempo de inactividade denuncia o ataque), etc. Instalação de Backdoors : Nesta etapa, o atacante tem como objectivo a manutenção do acesso, utilizando ferramentas escondidas, mas activas, tal como rootkits e Trojans, para posteriormente activar Backdoors. Denial of Service (Negação de Serviço): O Cracker pode também optar por realizar uma Negação de Serviço, bloqueando serviços através do consumo de banda larga, esgotamento de recursos, etc. Geralmente, os computadores que não têm elementos relevantes são esquecidos no projecto de segurança, possibilitando que os Crackers os invadam facilmente. No entanto, esses computadores, podem estar localizados no mesmo meio onde ocorre uma comunicação entre duas máquinas importantes, o que dá, ao invasor, condições para captar todo o tráfego dessa comunicação. Os Crackers costumam aproveitar-se disso para executar ataques por salto, que consistem em atacar uma determinada máquina através de outra, diminuindo o risco de ser localizado. Nota: Todas as fases de ataque apresentadas constituem o comportamento de um Cracker, no entanto, dependendo dos seus objectivos, este poderá necessitar de implementar apenas algumas delas.

87 3.3. AMEAÇAS Análise e Previsões Com a crescente proliferação de software, os atacantes descobrem as falhas antes dos próprios fabricantes. Contudo, há quem defenda que os ataques informáticos, mesmo os mais devastadores, funcionam como motor de evolução tecnológica, pois a evolução dos sistemas de segurança obrigam os atacantes a criar ferramentas e metodologias de ataque cada vez mais poderosas, obrigando a uma nova evolução dos sistemas de segurança, criando um ciclo vicioso. O número de vulnerabilidades, no entanto, não pára de aumentar, sendo difícil para os administradores manterem-se actualizados com os novos patches 8. No seu Annual Report 2009, a Panda Security refere que a principal tendência verificada em 2009 foi a enorme proliferação de malware, num novo record de 25 milhões de novas ameaças, criadas apenas num ano, contrastando com os 15 milhões de ameaças detectadas no total dos 20 anos de existência da Panda Security. O Conficker.C foi considerado o vírus que mais danos causou. O relatório destaca também o ressurgimento de vírus tradicionais, até então à beira da extinção. O Spam esteve também em alta, pois representou cerca de 92% de todo o tráfego de . Os truques utilizados captar a atenção das vítimas e convence-las a abrirem estes s focaram-se em temas actuais, explorados pelos mídia, tal como a morte de Michael Jackson, o Vírus H1N1(Gripe A) ou frases relacionadas com celebridades como Angelina Jolie nude, Britney Spears hot images. Luís Corrons, Director técnico da Pandalabs, refere que os ciber-criminosos estão sempre a par dos nomes que os utilizadores procuram com maior frequência na Internet. Depois utilizam estes nomes para enviar spam. As redes sociais (Facebook, Twitter, Youtube, MSN) foram o meio preferido dos crackers para distribuir as suas criações. Em termos de previsões para 2010, a Panda Security refere que o volume de malware em circulação continuará a crescer exponencialmente e que os cibercriminosos continuaram a focar-se nas redes sociais. Com o aparecimento do Windows 7 e com a sua grande aceitação de mercado, será natural que os criminosos se encarreguem de adaptar as suas criações de malware a esta nova plataforma. 8 Um Patch é um programa criado para actualizar ou corrigir um software.

88 58 CAPÍTULO 3. SEGURANÇA EM REDES E SISTEMAS DE INFORMAÇÃO 3.4 Contra-medidas Até este ponto, foram analisadas as variáveis relacionadas com as vulnerabilidades presentes nos SI e com o tipo de ameaças e metodologias de ataque a que estes podem estar sujeitos, de modo a que os possamos proteger da melhor forma. Tal como afirma Estrela (1998), é necessário conhecermos as vulnerabilidades, as ameaças e como se processam os ataques que possamos eventualmente sofrer. Para enfrenta-los é indispensável conhecer as suas principais técnicas a fim de recorrer a disposições preventivas. Deste modo, todos os controlos de segurança aplicados para eliminar vulnerabilidades e contrariar ameaças serão denominados de contra-medidas (figura 3.15). Figura 3.15 Contra-medidas (Fonte: Santos (2007)) Como podemos observar na última figura, as contra-medidas de segurança podem focar-se em dois aspectos distintos, ou seja, o administrador poderá optar pela constante identificação e eliminação das vulnerabilidades presentes no sistema e/ou na aplicação de medidas de segurança preventivas para ameaças conhecidas.

89 3.4. CONTRA-MEDIDAS 59 Nesse seguimento, de acordo com Santos (2007) as contra-medidas poderão ser divididas em 5 categorias distintas: Medidas de Prevenção: Corrigem vulnerabilidades, eliminando ameaças e reduzindo assim a probabilidade, ou o impacto, da ocorrência de um incidente. Medidas de Detecção e Correcção: São medidas que têm como objectivo reduzir o efeito da ocorrência de um incidente de segurança. Medidas de Recuperação: Após a concretização de determinado incidente de segurança, devem ser accionados controlos (exemplo: políticas de backup) para restabelecimento da normalidade de funcionamento. Manobras de Diversão: Criação de cenários fictícios, que poderão funcionar, de forma eficaz, como meio de distracção e/ou armadilhas contra os invasores do sistema (exemplo: HoneyPots). Medidas de Dissuasão: Medidas que visam reduzir a probabilidade de ocorrer um incidente, sem que para tal haja eliminação de vulnerabilidades ou ameaças. A maioria dos prevaricadores são dissuadidos a actuar através de mecanismos, como políticas de segurança ou legislação em vigor, que tenham em conta sanções para quem não cumprir as regras estipuladas. Porém, por muito que estudemos todas as técnicas de ataque, que procuremos vulnerabilidades, que utilizemos uma combinação vasta de ferramentas informáticas, temos que ter consciência que, se um Cracker quiser invadir o nosso sistema, ele, possivelmente, vai mesmo consegui-lo, pois nós temos de encontrar todas as vulnerabilidades do nosso sistema e corrigi-las, num esforço constante, contudo, um Cracker apenas necessita encontrar um único ponto fraco para concretizar os seus objectivos. Para além disso, há parâmetros que nenhum sistema de segurança consegue controlar, como é o caso das acções dos utilizadores, que aparecem sempre como o elo mais fraco do sistema, abrindo s duvidosos e usando passwors fáceis de decifrar, criando assim vulnerabilidades difíceis de identificar e controlar. O investimento, por parte das empresas, na formação dos seus recursos humanos, na área da segurança informática, é cada vez mais necessário.

90 60 CAPÍTULO 3. SEGURANÇA EM REDES E SISTEMAS DE INFORMAÇÃO Conselhos Básicos de Segurança As principais regras que podem ajudar a minimizar os ataques informáticos e a torná-los menos perigosos, passam pelo utilizador, pela sua consciencialização dos perigos, pelo cumprimento das políticas de segurança e pela necessidade deste se manter actualizado em relação ao que se vai passando. Esta tarefa de actualização está cada vez mais facilitada, existindo na Internet imensa ajuda. Todos os sites de fornecedores de software têm uma área dedicada à segurança onde podem ser consultados os seus conselhos e, inclusive, serem feitas actualizações de software. Para além disso, os próprios fornecedores de serviços na Internet começam também a contemplar a segurança nos seus pacotes de soluções. Por exemplo, os bancos, que são das instituições mais alvejadas com ataques informáticos, disponibilizam informação bastante detalhada sobre os assuntos ligados à segurança informática. Neste âmbito, algumas regras básicas que o utilizador deve seguir são: É vital ter um antivírus instalado no computador (convém que o utilizador conheça bem ou se informe sobre o produto que tem instalado ou pretende instalar, devido à existência de falsos antivírus (rogueware)). Posteriormente é aconselhável mante-lo activo e actualizado periodicamente (normalmente os fornecedores de antivírus disponibilizam actualizações semanais, figura 3.16); Figura 3.16 Actualização do Antivírus (Fonte: Estrela (1998)) É vital ter uma firewall instalada e activa no computador; É conveniente actualizar, regularmente, todo o software do computador;

91 3.4. CONTRA-MEDIDAS 61 Devem existir cuidados acrescidos com a navegação na Internet, com download de material informático, com a abertura de s, links ou ficheiros anexos duvidosos, que podem colocar o computador em risco; A password do utilizador deve ser forte e difícil de decifrar, respeitando as seguintes regras: Deve ser constituída, no mínimo, por 8 caracteres, que não formem palavras presentes no dicionário, calão, sequências numéricas, acrónimos de indústria (admin, nome da empresa ou departamento) nem, em caso algum, conter dados pessoais (nome, data de nascimento) ou coincir com o username do utilizador. A password deverá conter uma mistura letras Maiúsculas e Minúsculas, algarismos e Caracteres especiais &, #). Exemplos de passwords fortes: ou Kau3#1TL. No entanto, este tipo de passwords são, normalmente, difíceis de memorizar. Isto leva a que alguns utilizadores optem por escolher passwords fáceis de memorizar (o seu nome, a sua data de nascimento, o nome do seu animal de estimação, etc), mas também fáceis de adivinhar ou decifrar. Outros utilizadores optam por apontar a sua password num bloco de notas ou num pequeno papel, tipicamente próximo do teclado do computador ou até mesmo num post-it colado no monitor. Porém, é vital para a segurança de qualquer rede informática que os seus utilizadores consigam garantir e preservar a confidencialidade da sua password de acesso, evitando aponta-la ou divulga-la via telefone, imessenger, redes sociais. Para além disso, esta deve ser dificil de decifrar e frequentemente actualizada de maneira a que a password nova mantenha, no máximo, 3 caracteres da password antiga. O utilizador também não deverá, em caso algum, usar a mesma password para todas as suas actividades na Internet. Deverá usar uma password diferente para cada caixa de , uma para websites ou blogs pessoais, outra para autenticação no sistema da empresa ou no seu computador pessoal e outra para se registar e aceder a fóruns, redes sociais (twitter, youtube, facebook, etc) e outros sites de informação e entretenimento.

92 62 CAPÍTULO 3. SEGURANÇA EM REDES E SISTEMAS DE INFORMAÇÃO O utilizador deverá verificar sempre o URL dos sites a que pretende aceder, principalmente sites de caracter privado, como páginas Web de entidades bancárias. Em alguns ataques, como o Pharming, o utilizador é direccionado para páginas Web fictícias, cópias das páginas reais, levando-o a pensar que está no sitio correcto e a fornecer os seus dados pessoais. Contudo, o nome de domínio das páginas fictícias revela pequenas modificações em relação ao da página real (www.pedro.com para ou difíceis de serem identificadas. Se o utilizador estiver atento ao URL poderá detectar um ataque, não caindo na armadilha de inserir os seus dados pessoais. Medidas de segurança nos Serviços bancários na Internet: Minimize a página web do seu banco. Se o teclado virtual for minimizado também, está correcto. Se ele permanecer no ecrã, sem minimizar, está a ser alvo de um ataque teclado virtual fictício. Nunca digite nada nesse teclado fictício, pois tudo o que for lá digitado é informado ao atacante; Sempre que se autenticar no site do banco, digite uma password errada, na primeira vez. Se aparecer uma mensagem de erro significa que, à partida, o site é realmente o do banco. Se não acusar o erro é sinal que está a ser alvo de um ataque. Os sites maliciosos não têm como conferir a validade da password, o objectivo é apenas captura-la. Sempre que entrar no site do banco verifique se no rodapé da página aparece o ícone de um cadeado. Além disso clique duas vezes sobre esse ícone. Deverá aparecer uma pequena janela com informações sobre a autenticidade do site. Em alguns sites fictícios o cadeado aparece, mas apenas como imagem. Ao clicar duas vezes sobre ele, nada acontece. Os bancos, por motivos de segurança, não enviam s a oferecer serviços na sua página oficial. Logo, qualquer desta espécie é falso. Desconfie de s que comecem com Caro cliente. Normalmente os s das entidades bancárias dirigem-se ao cliente pelo nome Exmo. Sr. Pedro Rodrigues e não por Caro cliente. O objectivo dos s fraudulentos é precisamente obter informação pessoal sobre si, pelo que é difícil conhecerem o seu nome de antemão.

93 3.4. CONTRA-MEDIDAS Ferramentas e Sistemas de Segurança Embora as regras básicas enunciadas anteriormente sejam uma base importante para a consciencialização e formação dos recursos humanos das organizações, no domínio da segurança informática, no âmbito do seu uso individual dos recursos do sistema, estas são apenas medidas preventivas e não têm qualquer utilidade após um determinado ataque ter sido concretizado com sucesso. De nada vale uma password forte, a partir do momento que o Cracker consegue invadir o sistema. As regras básicas de segurança são, assim, apenas a base ou os requisitos mínimos de uma política de segurança. Contudo, a importância da informação no seio empresarial exige um nível de segurança muito mais elevado que não se reja apenas por medidas preventivas, mas também por medidas mais rigorosas. De seguida apresentarei vários tipos de ferramentas, orientadas à segurança, tendo como base o Top 100 Network Security Tools (http://sectools.org/), que poderão auxiliar o administrador a identificar vulnerabilidades ou a prevenir ameaças que ponham em causa a segurança do seu sistema. Antivírus Os antivírus são programas, que como o próprio nome indica, são projectados para detectar, anular e eliminar vírus informáticos e outros tipos de malware de um computador, em tempo real, oferecendo controlo sobre a acção dos programas, protecção de ficheiros, s e tráfego na Internet. Normalmente, vem instalado com o computador, sendo fundamental a sua actualização periódica, através do site do seu fornecedor. Anti-spyware São programas utilizados, como o próprio nome indica, para combater spyware, keyloggers, e outros programas espiões, actuando muitas vezes em conjunto com os antivírus. Existem programas deste modelo, não tão utilizados e divulgados, como Anti-phishing, Anti-Spam, entre outros.

94 64 CAPÍTULO 3. SEGURANÇA EM REDES E SISTEMAS DE INFORMAÇÃO Firewalls Segundo Estrela (1998), uma firewall é um dispositivo que arbitra o acesso entre redes, permitindo alguns tipos de tráfego e bloqueando outros, com base nas regras da política de segurança da organização. Essas regras definem essencialmente que endereços, aplicações e utilizadores serão considerados confiáveis. Dados e serviços provenientes dessas origens poderão passar o firewall, os restantes serão bloqueados. A firewall situa-se, normalmente, no ponto onde a rede interna protegida se liga à Internet. Deste modo, todo o tráfego proveniente da Internet ou com origem na rede interna passa através deste, fornecendo a possibilidade de concentrar as medidas de segurança nesse ponto e aumentar, assim, a segurança da rede (Estrela, 1998). Porém, os firewalls não são uma solução de segurança completa, pois a sua analise de tráfego é baseada nos endereços de origem e destino dos dados e em números de portas, e não no seu conteúdo, deixando escapar ameaças como o malware. Por outro lado depois do atacante invadir a rede protegida, a firewall nada poderá fazer. Sistemas de Autenticação Segundo Serrão (2009), a autenticação é o processo para verificar ou testar se uma determinada identidade é ou não válida, requerendo que o utilizador forneça informação adicional que deve corresponder exactamente à identidade professada. Segundo Estrela (1998), a autenticação é o processo de verificação de identidade, podendo as soluções de autenticação ser categorizadas como: algo que você sabe - sistema tradicional de autenticação, feito através da chave de acesso username/password; algo que você tem - SmartCards de identificação, tokens, etc; algo que você é - É ocampo dasbiométricas, incluindo astécnicas deleitura de impressões digitais, leitura de retina, análise de voz, etc. A chave username/password é o sistema mais utilizado, contudo não é de todo o mais seguro, sendo até um dos menos eficientes, sendo fácil de manipular e decifrar.

95 3.4. CONTRA-MEDIDAS 65 Criptografia De acordo com Estrela (1998), a criptografia é a solução usual para a necessidade de comunicar sobre ligações inseguras sem exposição do sistema. Em Soares (2005) é definida como o estudo dos princípios e técnicas pelas quais a informação pode ser transformada da sua forma original para outra ilegível, de forma que possa ser apenas conhecida pelo seu destinatário (detentor da chave secreta ), o que torna difícil ser lida por alguém não autorizado. Deste modo, apenas o receptor da mensagem pode ler a informação com facilidade. No entanto, este método de segurança serve apenas como codificador da informação propriamente dita, não realizando nenhuma análise a qualquer tipo de malware. Alguns utilitários open-source que se fazem valer da criptografia são: OpenSSL (http://www.openssl.org/): Esta ferramenta é vista como a melhor biblioteca criptográfica SSL/TLS (Transport Layer Security/Secure Socket Layer), sendo estes protocolos criptográficos que fornecem segurança para as comunicações através de redes como a Internet. OpenSSH/ SSH (http://www.openssh.com/) é, simultaneamente, um programa de computador e um protocolo de rede que permite a conexão com outro computador na rede. Possui as mesmas funcionalidades do Telnet, com a vantagem da conexão entre o cliente e o servidor ser criptografada. OpenVPN (http://openvpn.net/): Software de rede virtual confiável que presta serviços de comunicação segura, não só cumprindo as exigências da tradicional VPN comercial, mas também respondendo às demandas da seguinte onda dos serviços Web de VPN. Truecrypt(http://www.truecrypt.org): Éumsoftwareopen-sourcedeencriptação de discos para Windows, Linux e MacOS X. Os utilizadores podem criptografar todo o sistema de ficheiros (nomes de pastas e ficheiros, o conteúdo de cada ficheiro, espaço livre, etc), encriptando-o e desencriptando-o quando necessário, sem a sua intervenção para além de inserir, inicialmente a sua password.

96 66 CAPÍTULO 3. SEGURANÇA EM REDES E SISTEMAS DE INFORMAÇÃO Ferramentas Básicas Entre tantas ferramentas sofisticadas disponíveis para apoiar a gestão dos mais variados aspectos de segurança, não se podem esquecer as denominadas ferramentas básicas, pois podem ser bastante úteis para resolver, facilmente, alguns problemas. Ping: É um comando que usa o protocolo ICMP para testar a conectividade entre equipamentos. O seu funcionamento consiste, fundamentalmente, no envio de pacotes ping para o equipamento de destino e na escuta das respostas provenientes deste. Se o equipamento de destino estiver activo, devolverá uma resposta (o pong, em analogia ao famoso jogo de ping-pong) ao computador solicitante. Mais em: Traceroute: Consiste em obter o caminho que um pacote percorre através de uma rede de computadores até chegar ao destinatário. O traceroute também ajuda a detectar onde ocorrem os congestionamentos na rede, já que é dada no relatório, a latência em cada máquina interveniente. Mais em: Whois: ÉumprotocoloUDPespecíficoparaconsultarinformaçõesdecontacto DNS sobre entidades na Internet, tal como um nome de domínio ou um endereço IP. Mais em: Telnet: Éumprotocolocliente-servidor, baseadoemtcp,usadoparapermitir a comunicação entre computadores ligados numa rede. De um modo simplista, é um protocolo de acesso remoto a um computador. Antes de existirem os chats, o telnet já permitia esse género de funções. No entanto, este tem vindo a ser substituído pelo SSH, onde a informação é criptografada, pois com o telnet todas as comunicações entre o cliente e o servidor podem ser vistas, inclusive as passwords, já que são somente texto simples, permitindo que, com o uso de algumas aplicações, os pacotes que a conexão transporta sejam interceptados. Mais em: Netstat: Identifica e exibe as conexões TCP activas, as portas activas no computador, a tabela de IP routing e as estatísticas Ethernet, IPv4 e IPv6.

97 3.4. CONTRA-MEDIDAS 67 Vulnerability Scanners Os Vulnerability Scanners são software projectado para analisar e avaliar os sistemas informáticos à procura de vulnerabilidades que estes possam, eventualmente, possuir, passíveis de serem exploradas para a execução de um ataque. O Nessus (http://www.nessus.org/) é um dos programas mais eficazes desta categoria. É composto por uma tecnologia cliente/servidor, em que o cliente mostra ao utilizador, o avanço dos testes e o resultado das auditorias realizadas, permitindo que este configure as suas tarefas e consulte os relatórios resultantes. O servidor, por sua vez, executa os testes programados. O Nessus verifica redes com o objectivo de encontrar e inventariar vulnerabilidades, corrigir falhas, e realizar auditorias. Inicialmente, verifica todas as portas lógicas, sendo capaz de detectar uma vulnerabilidade num servidor Apache escondido na porta De seguida, liga-se a cada porta activa, simulando invasões de modo a detectar problemas de segurança, utilizando para o efeito diversos exploits (escritos em NASL - Nessus Attack Scripting Language). É capaz de efectuar mais de 1200 verificações remotas, detectar servidores activos e realizar provas no próprio SO. No final produz relatórios que inventariam as vulnerabilidades detectadas e os passos que devem ser seguidos para as eliminar. Outras ferramentas: GFI LANguard Network Security Scanner, SAINT (http:// ou SARA (http://www-arc.com/sara). Vulnerability Exploitation tools Este tipo de software tem a função detectar vulnerabilidades de sistemas, usando uma enorme quantidade de exploits para executar testes de penetração, simulações de invasão, tentando de forma activa e exaustiva quebrar a segurança do sistema. O Metasploit Framework (http://www.metasploit.com/) é uma das ferramentas mais usada e eficaz nesta tarefa. Este software é uma plataforma open-source avançada, com o propósito de desenvolver, testar e utilizar o exploit code para testar uma enorme quantidade de vulnerabilidades, utilizando centenas de exploits.

98 68 CAPÍTULO 3. SEGURANÇA EM REDES E SISTEMAS DE INFORMAÇÃO Password Crackers Os Password Crackers têm como principal objectivo decifrar passwords. John the ripper (http://www.openwall.com/john/): É um software rápido, flexível e eficaz, que tem como principal objectivo detectar e decifrar passwords fracas e recuperar passwords perdidas. Consegue identificar automaticamente qual foi o algoritmo de criptografia utilizado para cifrar as passwords presentes no ficheiro ou programa indicado pelo utilizador. Também foi desenvolvido um Patch, de nome MPI (www.bindshell.net/tools/jonhtheripper), para que este software possa utilizar vários processadores numa mesma máquina ou um cluster de máquinas para conseguir decifrar senhas mais complexas. Existem também ficheiros com listas de palavras para possibilitar um ataque por dicionário. Cain& Abel(http://www.oxid.it/cain.html): Tenta decifrar passwords através da monitorização da rede, da pesquisa de passwords cifradas usando ataques por dicionário e/ou ataques por força bruta, da recuperação de chaves de redes wireless, da gravação de conversas VoIP, da descodificação de passwords baralhadas em cache, entre outros. Aircrack-ng (http://www.aircrack-ng.org/): É o decifrador mais rápido de passwords WEP/WPA disponível. OS Detection tools Este tipo de software permite identificar o SO presente num dado sistema. Xprobe2 (http://xprobe.sourceforge.net/): é um software activo que permite identificar o SO de uma máquina remota, aparecendo como uma alternativa a ferramentas fortemente dependentes do uso do protocolo TCP para a identificação de SO remotos. P0f: é um software passivo e versátil de identificação de SO, capaz de identificar o SO de um host examinando, simplesmente, os pacotes capturados, mesmo quando o host está por trás de uma firewall.

99 3.4. CONTRA-MEDIDAS 69 Port Scanners Este tipo de programas têm como principal funcionalidade verificar o estado das portas lógicas de um sistema computacional, incluindo os serviços ou protocolos que estão a utiliza-las. Nmap (Network Mapper) (http://nmap.org): é um famosíssimo e eficaz utilitário open-source para exploração de redes e auditoria de segurança. O Nmap utiliza pacotes IP em estado bruto, de forma inovadora, para determinar quais os hosts disponíveis na rede, que serviços oferecem, qual o SO que estão a executar e dezenas de outras características. Embora o Nmap seja normalmente utilizado para auditorias de segurança, muitos administradores de sistemas consideram-no útil para tarefas rotineiras tais como o inventário da rede, monitoria de hosts e testes de disponibilidade de serviço. Uma informação chave devolvida por este software é a tabela de portas que lista o número de cada porta verificada, o protocolo e o serviço que a estão a utilizar e o seu estado (aberto, filtrado, fechado ou não filtrado). Embora o Nmap não seja um port scanner exclusivo, sendo considerado, até, por muitos autores, um vulnerability scanner, decidi coloca-lo neste grupo, pois a verificação de portas e o modo como o faz é uma das funcionalidades que faz dele uma das ferramentas mais utilizadas em todo o mundo. Sabia que: O Nmap é muito utilizado em operações informáticas, simuladas, de filmes de ficção cientifica. O Matrix é um dos filmes mais famoso onde este software foi utilizado. Angry IP Scanner (http://www.angryip.org): é uma ferramenta open-source de verificação do estado das portas e endereços IP. Scanrand: É um serviço de rede extraordinariamente rápido de descoberta de topologias, identificação de hosts e verificação do estado das portas lógicas.

100 70 CAPÍTULO 3. SEGURANÇA EM REDES E SISTEMAS DE INFORMAÇÃO IDS (Intrusion Detection System) Os IDS são produtos que automatizam a inspecção de logs 9, em tempo real. Em termos práticos, detectam tentativas de intrusão no sistema, tendo a capacidade de as terminar ou interromper (bloquear portas, endereços, desactivar a comunicação num determinado segmento), tentando também identificar a localização física e lógica do atacante, alertando os administradores de todas as actividades suspeitas. Além disso, trancam ficheiros ou capacidades importantes do sistema, identificam as suas vulnerabilidades, configuram routers e firewalls para evitar a repetição de ataques conhecidos e avaliam o desempenho global do sistema. Devem ser usados em conjunto com outras ferramentas de segurança e requerem manutenção. Snort (http://www.snort.org/): Software open-source de detecção de intrusos, capaz de efectuar análises, em tempo real, de tráfego capturado em redes IP. Permite analisar protocolos, procurar conteúdos e pode ser usado para desactivar diversos ataques, nomeadamente buffer overflows, port scanners furtivos, entre outros. Netcats O Netcat (http://netcat.sourceforge.net/) é um programa de consultadoria de redes muito conhecido, considerado o canivete suíço da rede, devido, sobretudo, à sua versatilidade, podendo ir desde um simples telnet até uma ferramenta de ataque por força bruta. No seu modo de operação, o Netcat é um simples utilitário que lê e escreve dados de e para uma rede usando os protocolos TCP e UDP. A principio foi concebido para ser um telnet aprimorado e até hoje é isso que ele faz (conectar-se a um host). Porém tornou-se uma ferramenta poderosa de análise de problemas e exploração de redes, uma vez que permite criar praticamente qualquer tipo de ligação que seja necessária e possui diversas capacidades interessantes. 9 Log: termo referente ao processo de registo de eventos relevantes num SO. Esse registo é útil para restabelecer o estado original de um sistema e conhecer o seu comportamento no passado.

101 3.4. CONTRA-MEDIDAS 71 Security-Oriented OS São Sistemas Operativos orientados à segurança informática. OpenBSD (http://www.openbsd.org): É um SO proactivamente seguro. O projecto OpenBSD produziu um SO multi-plataforma, baseado em UNIX. Os esforços dos seus projectistas enfatizam a portabilidade, padronização, correcção, segurança proactiva e criptografia integrada. Este sistema é gratuito. Backtrack: Distribuição Linux, live CD, com foco em Pen-test. Reune mais de 300 ferramentas para análise e teste de vulnerabilidades. É uma das melhores distribuições Linux com foco em testes de penetração. Sem nenhuma instalação, esta plataforma é iniciada directamente do CD-ROM ou Pen-Drive, sendo completamente acessível em minutos. Outros exemplos de SO, dedicados à segurança: Knoppix (http://www.knoppix.org), Bastille (http://www.bastille-unix.org). Rootkit Detectors A função principal das ferramentas desta categoria é, tal como o próprio nome indica, detectar Rootkits infiltrados nos sistemas computacionais. Tripwire (http://www.tripwire.com): é um verificador de integridade de pastas e ficheiros que ajuda os administradores a monitorizar quaisquer modificações em conjuntos arbitrários de ficheiros. É usado regularmente em ficheiros críticos do sistema. Este software também notifica os administradores acerca da existência de ficheiros corrompidos para que estes possam iniciar, atempadamente, acções de controlo de estragos. RkHunter: Software open-source detector de rootkits para UNIX. Verifica se há sinais de software desagradável no sistema, como rootkits e exploits, e executa testes, tal como comparações de hash MD5, procura de nomes de ficheiros usados por rootkits, verificação de permissões erradas de ficheiros ou strings suspeitas, e procura de ficheiros ocultos.

102 72 CAPÍTULO 3. SEGURANÇA EM REDES E SISTEMAS DE INFORMAÇÃO Packet Sniffers Estas ferramentas permitem implementar um método de espionagem que consiste em interceptar os pacotes de dados transmitidos por outros computadores através da rede. Em redes Ethernet 10, por exemplo, os pacotes são transmitidos para todos os computadores da rede, daí dizer-se que as redes Ethernet usam uma topologia lógica de barramento. Em teoria, somente a placa de rede que tiver o endereço MAC correcto poderá ler os pacotes, sendo estes ignorados pelas restantes. De qualquer forma, todos os outros computadores recebem os pacotes, não sendo assim tão difícil burlar este sistema frágil, sendo assim possível a uma máquina ter acesso a todos os dados transmitidos através da rede. WireShark(http://www.wireshark.org/) (AntigoEthereal): Éumaferramenta de análise de protocolos. Na prática, é um analisador de tráfego de rede e um verificador de falhas de segurança multi-plataforma que permite a observação de dados capturados da rede, em tempo real ou previamente capturados, guardados num ficheiro ou disco. Esta ferramenta é utilizada, com frequência, para a análise e diagnóstico de problemas em redes de computadores, como pacotes mal formados que estejam a atrapalhar o tráfego da rede. O WireShark é capaz de capturar pacotes de diferentes tecnologias de rede, como Ethernet, FDDI, TOken-Ring, IEEE , entre outras. Ettercap (http://ettercap.sourceforge.net/): É uma ferramenta open-source utilizada para inspecção, intercepção e registo de tráfego em redes Ethernet. É capaz de identificar e analisar, de forma passiva ou activa, inúmeros protocolos, inclusive os que são criptografados em SSH ou HTTPS. É ainda capaz de injectar dados em ligações estabelecidas e filtrar dados das mesmas, em tempo real, sem as dessincronizar. 10 Ethernet é uma tecnologia de interconexão de redes locais (LAN) baseada no envio de pacotes.

103 3.4. CONTRA-MEDIDAS 73 Traffic Monitoring tools Este tipo de software tem como principal finalidade monitorizar o tráfego da rede ou estabelecer um sistema de alarmística. Nagios (http://www.nagios.org): É um sistema open-source de monitoria de redes que verifica hosts e serviços que o utilizador especificar, alertando-o quando as coisas estão a correr mal e quando melhoram. Os seus recursos incluem monitoria de serviços de rede (SMTP, POP3, HTTP, etc), monitoria de recursos de host (carga do processador, uso do disco, etc), e notificações de contacto quando problemas ocorrerem e quando ficarem resolvidos (via , pager, ou método definido pelo utilizador). Este sistema de vigilância poderoso permite às organizações identificar e resolver problemas antes que estes afectem os processos críticos de negócios. Outras ferramentas: Zabbix (www.zabbix.com); OpenNMS (www.opennms.org). HoneyPots Os HoneyPots, numa perspectiva simplista, são armadilhas para atrair, detectar, desviar, ou de alguma forma contrariar as tentativas de uso não autorizado de SI. Geralmente são compostos por um computador, dados ou uma rede local que parecem legítimos e fazer parte de uma determinada rede, mas que na realidade são isolados, 100% falsos, protegidos e monitorizados, dando a ideia de conterem informações ou recursos de grande valor para os atacantes, apresentando-se como sistemas vulneráveis, vulgares, e apetecíveis para estes. Além de desviarem as atenções dos sistemas reais em produção, podem garantir a captura de informação da actividade dos invasores, podendo permitir a sua identificação e o conhecimento das suas técnicas, actividades e intenções. Sabia que: Foi através de um HoneyPot que o famoso especialista em segurança Tsutomu Shimomura conseguiu capturar o famoso Cracker Kevin Mitnick, atraindo-o para a armadilha, identificando-o e desmascarando as suas actividade ilegais.

104 74 CAPÍTULO 3. SEGURANÇA EM REDES E SISTEMAS DE INFORMAÇÃO Políticas de Segurança A segurança informática é imprescindível e vital para as organizações, no entanto, os mecanismos de segurança implementados podem provocar um embaraço a nível da actividade dos utilizadores e da funcionalidade do sistema. Por outro lado, as regras vão-se tornando cada vez mais complexas à medida que a rede vai crescendo. Figura 3.17 Segurança Vs Usabilidade (Fonte: Serrão (2009)) Pela figura 3.17, podemos verificar que é necessário encontrar um meio-termo entre a usabilidade do sistema e a sua segurança. Um sistema demasiadamente protegido, com anti-vírus, anti-spyware, anti-spam, firewalls, e dezenas de outras ferramentas básicas e avançadas ( vulnerability scanners, IDS,...) possivelmente dificultará a actividade dos utilizadores, pois estas ferramentas emitem relatórios, activam alarmes, fazem pedidos de actualização, executam código, por vezes, pesado (alto consumo de tempo de processamento), entre outras tarefas que acabam, muitas vezes, por importunar os utilizadores e o bom funcionamento do sistema. Por outro lado, uma rede que não esteja suficientemente protegida e monitorizada regularmente, facilita as acções dos utilizadores, mas não fornece confiança suficiente para a sua actividade.

105 3.4. CONTRA-MEDIDAS 75 Assim, a segurança do sistema deve ser estudada de maneira a que se consiga encontrar um equilibrio entre a segurança e a usabilidade do sistema, de forma a não impedir os utilizadores de desenvolverem as tarefas que lhes são necessárias, e possibilitar ao mesmo tempo que possam realiza-las em segurança e com confiança. Esta é uma das razões pela qual é importante, para cada empresa, definir uma política de segurança. A implementação destas políticas depende de quatro etapas: 1. Identificar as necessidades da rede informática, em termos de segurança, os riscos informáticos que pesam sobre esta e as suas eventuais consequências. Este passo possibilitará ao administrador requisitar apenas as ferramentas de segurança necessárias para combater as ameaças conhecidas ou detectadas, de modo a não condenar a usabilidade do sistema com software desnecessário. 2. Elaborar regras e procedimentos a implementar nos diferentes serviços da organização para os riscos identificados. 3. Supervisionar e detectar as vulnerabilidades do SI e manter-se informado das falhas existentes nas aplicações e softwares utilizados; 4. Definir as acções a empreender e as pessoas a contactar em caso de detecção de uma ameaça ou de um ataque. Desta forma, de acordo com a recomendação orientada à segurança RFC2196 (2010) (the security handbook) uma política de segurança resulta num conjunto formal de regras que devem ser seguidas pelos utilizadores dos recursos de uma organização, devendo ter uma implementação realista e definir claramente as responsabilidades desde utilizadores comuns, até à direcção. Deve também adaptar-se a alterações na organização, definir procedimentos de segurança adequados, processos de auditoria e estabelecer uma base para procedimentos legais na sequência de ataques. Para Estrela (1998), a politica de segurança deve especificar: os objectivos de segurança da organização, onde recai a responsabilidade pela segurança do sistema e o compromisso de segurança da organização (este compromisso deve surgir do mais alto nível da organização, alavancado pelo reconhecimento dos sérios problemas que poderiam resultar da divulgação, modificação ou indisponibilidade da informação).

106 76 CAPÍTULO 3. SEGURANÇA EM REDES E SISTEMAS DE INFORMAÇÃO O documento que define a política de segurança deve, então, ser de fácil leitura e compreensão, além de resumido, abordando as duas filosofias por detrás de qualquer política: a proibitiva (tudo o que não é expressamente permitido é proibido) e a permissiva (tudo o que não é proibido é permitido). Uma abordagem adoptada por muitas organizações é a criação de uma política concisa e simples, que sirva de ponto de partida para outros documentos onde são estabelecidos padrões, procedimentos e orientações para o comportamento dos utilizadores em relação à segurança. As áreas específicas a ser cobertas numa política de segurança corporativa incluem: Quem é o responsável e presta contas pela segurança em todos os níveis da organização, e quais são as linhas hierárquicas para essas funções; Padrão mínimo de segurança a ser aplicado a todos os sistemas corporativos, e orientação quanto à análise de risco para a identificação de sistemas que merecem medidas extra de protecção; A segurança deverá ser implementada nos vários procedimentos operacionais, incluindo controlos de acesso e auditoria interna para avaliação da adequação das medidas de segurança; Definição da política de segurança pessoal (verificação dos antecedentes de candidatos antes da admissão e punição no caso de violações de segurança); Política de treino de pessoal, essencial para a consciencialização do quadro da organização quanto a questões de segurança; Referência a procedimentos de controlo de material proprietário e licenças de uso de software, a procedimentos para registo e certificação de sistemas, e arranjos para garantir a conformidade com a legislação aplicável; Política quanto à conexão a sistemas externos, à investigação de incidentes de segurança e ao planeamento da continuidade do serviço; Distinção clara entre as responsabilidades dos gestores, administrador da rede e utilizadores. Especificar as normas, directrizes e práticas a serem obedecidas.

107 3.5. ENQUADRAMENTO LEGAL E NORMATIVO Enquadramento Legal e Normativo Independentemente da politica de segurança implementada, o processo de determinar o quão seguro é um SI é uma tarefa complicada. Em primeiro lugar porque as ameaças reais não são fáceis de quantificar em termos de risco, sendo apenas possível fazer uma estimativa com base em ameaças conhecidas, sendo as desconhecidas imprevisíveis. Em segundo lugar porque os SI são sistemas altamente complexos que escondem, na maior parte das vezes, as próprias vulnerabilidades. Por último, mas não menos importante, porque a segurança do SI depende de um vasto conjunto de factores, não só tecnológicos mas também humanos (sendo estes particularmente sensíveis). Por tudo isto, as organizações necessitam de métodos expeditos para avaliação e quantificação dos níveis de segurança do seu sistema. Segundo Pimenta (2005), uma das questões associadas à realização de tal tarefa é a adopção de normas e critérios de avaliação de segurança de informação Normas e Critérios As avaliações de segurança desempenham um papel crítico, estabelecendo garantias acerca de determinadas características de segurança de um produto ou sistema e fornecendo mecanismos para a certificação (Pimenta, 2005). A figura 3.18 mostra, cronológicamente, as várias normas e critérios de avaliação de segurança. Figura 3.18 Cronologia de Normas e Critérios (Fonte: Pimenta (2005))

108 78 CAPÍTULO 3. SEGURANÇA EM REDES E SISTEMAS DE INFORMAÇÃO TCSEC Publicado pela primeira vez em 1983 e revisto em 1985, o US Trusted Computer System Evaluation Criteria (TCSEC) era utilizado para avaliação de SO. Como a comunidade foi ganhando experiência na realização de avaliações de segurança, tornou-se óbvio que a sua utilização podia ser mais abrangente (Pimenta, 2005). O TCSEC concentra-se sobretudo na funcionalidade e operacionalidade dos controlos de Segurança propostos e na sua correcta instalação. O ambiente operacional no qual o produto irá ser utilizado não é tido em conta (Soares, 2005). A NCSC (US National Computer Security Center) realizou avaliações de segurança nos EUA, no âmbito do Programa de Avaliação de Produtos e a cada produto contemplado com sucesso neste programa foi atribuída uma classificação TCSEC, colocada no US Evaluated Products List (EPL). Durante o processo, o TCSEC foi utilizado como um guia técnico para avaliação total do produto. ITSEC O Information Technology Security Evaluation Criteria (ITSEC) surgiu, em 1991, como resultado do esforço de harmonização de critérios de avaliação de Segurança de quatro países europeus (França, Alemanha, Holanda, Reino Unido), substituindo cada critério existente nos países citados e tornando-se num critério europeu de avaliação e certificação. Se uma organização pretende uma avaliação ITSEC de um produto ou sistema, terá que identificar préviamente todo o tipo de ameaças existentes no ambiente em causa e seleccionar um conjunto de mecanismos de segurança a implementar, face às ameaças identificadas. Em seguida, é solicitada uma avaliação ITSEC para um determinado nível de segurança predefinido. Face a isto, o ITSEC assegurar-se-á que todos os mecanismos de segurança identificados foram efectivamente integrados no produto, correctamente instalados e que são os adequados face às ameaças identificadas. No final de uma avaliação ITSEC bem sucedida, o corpo governamental denominado Certification Body (CB) emite um relatório e um certificado, atribuindo um nível de classificação correspondente ao nível de segurança do produto ou sistema.

109 3.5. ENQUADRAMENTO LEGAL E NORMATIVO 79 Common Criteria (ISO/IEC 15408) O International Common Criteria for Information Technology Security Evaluation, ou simplemsmente Common Criteria (CC), constitui um esforço comum entre os EUA e a União Europeia para o desenvolvimento de um conjunto de critérios de avaliação de segurança reconhecidos internacionalmente. A 1 a versão foi publicada em Janeiro de 1996 e a 2 a em Dezembro de 1997, sendo submetida a aprovação na International Organization for Standardization (ISO) em 1998 e aprovada em 1999 como norma ISO 15408, substituindo assim o americano TCSEC e o europeu ITSEC, assumindo-se como o critério de avaliação de segurança internacional. Desta forma, o CC veio evitar a constante avaliação dos mesmos produtos, segundo vários critérios de avaliação. O CC tem um esquema de avaliação semelhante ao ITSEC, sob a vigilância do Communications-Electronics Security Group (CESG) no Reino Unido, da NSA nos EUA e dos respectivos órgãos governamentais de cada país signatário deste critério. Os produtos que superem uma avaliação CC são classificados e colocados numa lista de produtos certificados. BS7799 e ISO/IEC É sobejamente reconhecido que um dos maiores problemas relacionado com o tema da segurança, reside naquilo que se convencionou designar por engenharia social e no elo mais fraco - o ser humano. Ao mesmo tempo que são desenvolvidas melhores tecnologias de segurança dificultando a exploração de vulnerabilidades técnicas, os atacantes exploraram cada vez mais o elemento humano. Por outro lado, a identificação do conjunto mais eficaz de controlos de segurança constituiu, desde sempre, um problema. Nesse âmbito, a análise e gestão do risco (capítulo 4) foi reconhecida como a aproximação mais eficaz face a tal problema. Já os manuais de boas práticas de segurança são vistos como uma solução alternativa para a identificação de um mínimo de controlos de segurança. A segurança contudo, não é um produto, é um processo. Assim, é vital que todos os procedimentos para a sua implementação sejam acompanhados de metodologias específicas e adequadas às respectivas finalidades.

110 80 CAPÍTULO 3. SEGURANÇA EM REDES E SISTEMAS DE INFORMAÇÃO Por estas razões, o estabelecimento de uma norma, reconhecida internacionalmente, de práticas e políticas de Segurança revestiu-se de uma enorme importância. O Code of Practice for Information Security Management (CoP) foi desenvolvido pelo Department of Trade and Industry (DTI) do Reino Unido, com a colaboração de um grupo de organizações internacionais. Inicialmente publicado em Setembro de 1993, baseou-se numa compilação das boas práticas de segurança de informação utilizadas em várias companhias internacionais de renome. Em 1995, o CoP tornou-se na norma Britânica BS7799, pelo British Standard Institute (BSI), contendo um conjunto de controlos de segurança e práticas de gestão de segurança de informação, para suporte de organismos governamentais e indústrias. A BS7799 encontra-se dividida em duas normas distintas: BS Código de Práticas para Segurança de Informação; BS Especificações para Sistemas de Gestão de Segurança de Informação. A norma BS contém apenas recomendações de segurança. Devido a esse facto, não é utilizada em processos de certificação. A norma BS define um Sistema de Gestão de Segurança de Informação - Information Security Management System (ISMS), de acordo com os controlos e objectivos de segurança definidos pelo BS , que é objecto de certificação. Se uma organização superar todos os testes de avaliação, será certificada e os resultados serão publicados pelo United Kingdom Accreditation Service (UKAS). O interesse suscitado pela BS levou a que, em Dezembro de 2000, fosse submetida à ISO, motivando a publicação da norma ISO/IEC 17799, entretanto revista, recentemente, em 2005, e que se assume como a norma internacional de gestão de segurança de informação. Para a norma ISO/IEC 17799, a segurança de informação encontra-se intimamente ligada à preservação da sua confidencialidade, integridade e disponibilidade. Esta norma encontra-se dividida em 12 secções diferentes e tem em conta parâmetros como a classificação de risco, políticas de segurança; controlo de acessos, aquisição, desenvolvimento e manutenção de SI, gestão de incidentes de segurança, entre outros.

111 3.5. ENQUADRAMENTO LEGAL E NORMATIVO 81 ISO/IEC Série A série de normas ISO/IEC oferece recomendações de melhores práticas de gestão de segurança de informação, riscos e controlos, similar ao projecto de gestão de qualidade (a série ISO 9000). Desta forma, todas as organizações são incentivadas a avaliar os seus riscos de segurança da informação e a implementar, em seguida, controlos de segurança adequados às suas necessidades, seguindo as orientações e sugestões se for o caso. Dada a natureza dinâmica da segurança da informação, são necessárias também actividades de melhoria contínua, que procuram abordar mudanças nas ameaças, vulnerabilidades e incidentes de segurança. Segundo a ISO, a série ISO/IEC é composta por um conjunto de normas e documentos, alguns já publicados e outros agendados para publicação: ISO/IEC 27000: Publicada em Maio de 2009, sob o título Tecnologias da Informação - Técnicas de Segurança - Sistemas de Gestão da segurança da informação - Visão Geral e Vocabulário, define o vocabulário, os princípios e os conceitos para a série inteira e é distribuída gratuitamente para a promover. ISO/IEC 27001: Publicada em Outubro de 2005, substitui, essencialmente, a antiga BS7799-2, reforçando-a e harmonizando-a com outras normas padrão. O objectivo da norma é proporcionar um modelo para a criação, implementação, operação, monitoria, análise, manutenção e melhoria de um Sistema de Gestão de Segurança da Informação. O processo de certificação ISO/IEC está enunciado em ISO/IEC 27002: Esta norma veio substituir a norma ISO/IEC 17799, como um código de boas práticas para a segurança da informação, estabelecendo directrizes e princípios gerais para iniciar, implementar, manter e melhorar a sua gestão dentro de uma organização e ajudar a construir a confiança em actividades inter-organizacionais. Existem outras normas, nesta série, mas não entram no contexto desta análise cronológica das normas relativas à segurança da informação.

112 82 CAPÍTULO 3. SEGURANÇA EM REDES E SISTEMAS DE INFORMAÇÃO Enquadramento Legal Português Até este ponto analisamos várias contra-medidas de combate à ameaças informáticas, desde as regras mais básicas de boa conduta destinadas aos utilizadores, passando pelas diversas ferramentas e sistemas de segurança, até aos critérios e normas padrão que orientam a certificação de produtos e sistemas de segurança. No entanto, mesmo que os mecanismos de segurança implementados não sejam suficientes para contrariar os ataques informáticos, a lei portuguesa prevê punições para os cibercriminosos e medidas dissuasoras contra o cibercrime. Desta forma, qualquer prática que envolva a invasão não autorizada de um sistema informático, que afecte o seu bom funcionamento, ou o acesso e modificação de informação sigilosa sem a devida autorização, apagando-a, destruindo-a, danificando-a, suprimindo-a, modificando-a ou divulgando-a, é considerada crime. A 15 de Setembro de 2009 foi publicado no Diário da Republica, 1 a Série - N o 179, a aprovação da Lei n o 109/2009, relativa ao domínio do Cibercrime e da recolha de prova em suporte electrónico. Estaleiédivididaem5capítulose32artigos. Aspenasdosactosconsumadosvariam de 1 a 10 anos de prisão e as multas vão até 600 dias, dependendo da infracção. A tentativa, em algumas situações, também é punível. Este factor funciona como medida dissuasora de segurança informática, pois as penas e multas elevadas podem, em certos casos, condicionar e dissuadir os Crackers mais temerosos, que receiam ser punidos pelos seus actos. Para além disso, também são previstas na lei várias questões relacionadas com a cooperação internacional entre organizações, para fins de formação técnica, investigação e recolha de informação fora de fronteiras. A Comissão Nacional de Protecção de Dados (CNPD) apresenta as várias leis, internacionais (Directivas e decisões da Comissão Europeia) e nacionais relativas à prática de Cibercrime (Lei 109/ Lei do cibercrime), à protecção de dados pessoais (Artigo 35 o da Constituição da Republica Portuguesa; Lei 67/98 - Lei da Protecção de Dados Pessoais) e às comunicações electrónicas (Lei 41/2004- Regula a protecção de dados pessoais no sector das Comunicações Electrónicas), entre outras.

113 3.5. ENQUADRAMENTO LEGAL E NORMATIVO Entidades orientadas à Segurança Informática Existem também organizações governamentais e empresas privadas, nacionais e internacionais, que se dedicam à segurança da informação: CNPD: Autoridade Nacional de Controlo de Dados Pessoais, que funciona junto da Assembleia da República e em cooperação com autoridades de controlo e protecção de dados de outros estados. Tem a função controlar e fiscalizar o processamento de dados pessoais, em rigoroso respeito pelos direitos do Homem e pelas liberdades e garantias consagradas na Constituição e na lei. Policia Judiciária (PJ): A PJ executa a maioria das investigações no âmbito de ataques e burlas informáticas. Instituto Português da Qualidade (IPQ): Organismo responsável, em Portugal, pelo desenvolvimento de actividades de Normalização, Metrologia e Qualificação. É da sua responsabilidade a aprovação e disponibilização do Programa de Normalização (PN), bem como a aprovação e homologação das Normas Portuguesas, possuindo ligações institucionais a organismos internacionais de normalização, como o Comité Europeu de Normalização (CEN), Comité Europeu de Normalização Electrotécnico (CENELEC), ou a ISO. Agência Europeia para a Segurança das Redes e da Informação (ENISA): Agência Europeia que tem como função o aconselhamento e a coordenação das medidas tomadas pela Comissão Europeia e pelos Estados-Membros para proteger as suas redes e sistemas de informação. Open Source Vulnerability Database (OSVDB): Base de dados criada por e para a comunidade de segurança, com o objectivo de fornecer informações técnicas precisas, detalhadas, actuais e imparciais sobre as vulnerabilidades de segurança, promovendo uma colaboração, mais aberta, entre empresas e utilizadores individuais, com vista a eliminar trabalhos redundantes, e reduzir as despesas inerentes ao desenvolvimento e manutenção de BDs de vulnerabilidades.

114 84 CAPÍTULO 3. SEGURANÇA EM REDES E SISTEMAS DE INFORMAÇÃO National Security Agency (NSA): Agência de segurança integrada no robusto Departamento de Defesa Norte-Americano, e responsável pela SIGNIT (Signals intelligence), isto é, inteligência obtida a partir de sinais, sendo dessa forma o maior núcleo de conhecimento em criptologia mundial. É supostamente a maior agência de segurança do EUA e do mundo. Instituto da Defesa Nacional (IDN): É tutelado pelo ministério da Defesa Nacional e responsável pelo estudo, investigação e divulgação dos problemas da segurança e defesa nacional e internacional. CERT: Serviço de Resposta a Incidentes de Segurança Informática que contribui para o esforço de cibersegurança nacional na produção de alertas e recomendações de segurança e na promoção de uma cultura de segurança. Serviço de Informações de Segurança (SIS): Serviço público, inserido no Sistema de Informações da República Portuguesa (SIRP), incumbido da produção de informações de segurança destinadas a garantir a segurança interna e necessárias a prevenir a sabotagem, o terrorismo, a espionagem e a prática de actos que, pela sua natureza, possam alterar ou destruir o Estado de direito constitucionalmente estabelecido, incluindo ataques de natureza informática. Center for Education and Research in Information Assurance and Security (CERIAS): É visto como um dos principais centros do mundo de ensino e pesquisa na área de segurança da informação. A sua abordagem multidisciplinar aos problemas vai desde questões puramente técnicas até questões éticas, jurídicas, educacionais, comunicacionais, linguísticas e económicas. Information Systems Security Association (ISSA):Éumaassociaçãodedicada a fornecer serviços à comunidade de segurança da informação, tal como promover a sua ampliação de conhecimentos e competências nesse domínio, incentivar o livre intercâmbio de técnicas de segurança, abordagens e resolução de problemas, entre outros.

115 4 Gestão do Risco É praticamente impossível abordarmos a temática da segurança da informação sem nos depararmos com termos como Gestão do Risco ou Análise de Risco. De facto, ambos os conceitos encontram-se intimamente relacionados com o processo de Gestão da Segurança da Informação, nomeadamente ao nível organizacional, constituindo aspectos determinantes para a escolha das medidas e controlos de segurança a implementar, de acordo com as necessidades e objectivos específicos destas entidades, no que concerne à garantia da manutenção da confidencialidade, integridade, autenticidade e disponibilidade da sua informação crítica de negócio. Neste âmbito, a gestão de risco é definida: Por Krause (2008) e Whitson (2003), como um vasto conjunto de práticas e procedimentos com carácter cíclico, definidas pelas seguintes etapas: Identificação de informação crítica; Análise e cálculo do risco, com base no valor da informação crítica, e na probabilidade do impacto que a concretização de ameaças; Planificação, implementação, monitorização e controlo das medidas de segurança a adoptar. 85

116 86 CAPÍTULO 4. GESTÃO DO RISCO No estudo de Pimenta (2005), como um processo detalhado de identificação de factores que podem contribuir para danificar ou revelar informação confidencial. Na norma ISO/IEC 13335, como um processo que consiste na identificação, controlo, eliminação ou minimização de certos eventos que possam afectar os recursos de um sistema. O Risco, por sua vez, segundo a norma ISO/IEC 13335, define-se como o potencial de determinadas ameaças explorarem vulnerabilidades de um ou mais recursos do sistema causando danos a uma organização. No capítulo 3 foram apresentadas várias fontes de vulnerabilidades de sistema, as ameaças que são passíveis de serem concretizadas a partir da exploração das mesmas e as contra-medidas que podem prevenir e/ou minimizar essas ameaças. Visto isto, o Risco pode ser apresentado como a manipulação prática destas 3 variáveis, segundo a formula matemática: Risco = Ameacas Vulnerabilidades ContraMedidas É fácil provar a veracidade desta equação: Cada vulnerabilidade de um determinado recurso implica obrigatoriamente, pela sua exploração, a existência de uma ou mais ameaças. Logo se as vulnerabilidades aumentam, aumentam também as ameaças, o que consequentemente faz aumentar o risco de ocorrência de um incidente de segurança nesse recurso. No denominador da equação temos as contra-medidas numa relação inversamente proporcional às restantes variáveis. Logo, se aumentarmos as contra-medidas de protecção do recurso, na prática estamos a eliminar vulnerabilidades, diminuindo assim o número de ameaças. Desta forma, matematicamente, estamos a aumentar o valor do denominador e a diminuir o valor do numerador, não necessariamente na mesma proporção, levando a que o valor do risco diminua consideravelmente. Esta equação, na minha opinião, é perfeita para descrever o processo de Gestão do Risco, pois através dela é possível visualiza-lo e perceber-lo através da manipulação das variáveis que nele intervêm. Porém, na prática este revela-se bem mais complexo.

117 4.1. PROCESSO DE GESTÃO DE RISCO Processo de Gestão de Risco O processo de gestão de risco (figura 4.1) tem por objectivo minimizar o risco de incidente de segurança a que um SI está sujeito. Segundo Pimenta (2005) esse processo inclui as seguintes fases: análise e classificação do risco, planeamento e selecção de controlos, implementação e avaliação. Figura 4.1 Processo de Gestão de Risco (Fonte:Pimenta (2005)) Análise e Classificação do Risco De acordo com a norma ISO/IEC 17799, a análise e classificação do risco deve identificar, quantificar e agrupar, segundo prioridades, os riscos de acordo com critérios de aceitação e objectivos relevantes para a organização. Os resultados obtidos deverão servir de suporte a acções de gestão de risco e implementação de controlos adequados. Esta fase deve incluir uma aproximação sistemática da estimativa da magnitude dos riscos - subtarefa geralmente designada por análise de risco - e a posterior comparação desses riscos com critérios considerados relevantes para a organização, com o propósito de determinar a sua importância - subtarefa designada por avaliação ou classificação do risco.

118 88 CAPÍTULO 4. GESTÃO DO RISCO Análise do Risco Segundo Pimenta (2005), a análise de risco é um processo que consiste na recolha de factos, estimativas e realização de cálculos para geração de resultados que expressem, de alguma forma o valor do risco (quer seja quantitativo ou qualitativo). Para efectuar uma análise de risco é vulgar sistematizar o processo no seguinte conjunto de tarefas: Identificação e classificação dos recursos com o propósito de identificar a protecção apropriada, baseada no valor do recurso em causa (monetário ou em termos de criticidade ou sensibilidade); Identificação das ameaças que poderão afectar a segurança de operações, procedimentos e recursos da organização. Deve ser igualmente estimada a probabilidade de ocorrência de acidentes associados, baseada no histórico de incidentes, pesquisas ou inquéritos a outras organizações. Detecção e análise de vulnerabilidades que poderão ser exploradas pelas potenciais fontes de ameaças. Podem ser de índole organizacional (falhas no modo de actuação dos utilizadores) ou técnica (detectadas através ferramentas informáticas apropriadas, como vulnerability scanners ). Cálculo do risco existente: Segundo Pimenta (2005), o risco pode ser calculado analiticamente, de acordo com dois pontos de vista: os métodos quantitativos e os métodos qualitativos. Os métodos quantitativos recorrem, sobretudo, a estudos estatísticos e a ferramentas matemáticas, e tipicamente calculam o custo dos danos e a expectativa de perda anual para cada ameaça, aplicando a seguinte equação: Risco = P L, onde P é a probabilidade de ocorrência de um incidente e L representa a perda motivada por essa ocorrência.

119 4.1. PROCESSO DE GESTÃO DE RISCO 89 Os métodos qualitativos assumem que uma perda não pode ser expressa em valores monetários ou eventos discretos e tendem a expressar o risco através de variáveis descritivas, baseadas no conhecimento e julgamento de um analista. São métodos onde o índice do risco é descrito através de adjectivos (por exemplo, bom, aceitável, excelente ). Classificação do Risco A avaliação ou classificação do risco consiste na comparação entre os resultados obtidos através da análise de risco e determinado referencial ou critério de aceitação, para determinação de aceitabilidade do risco actual Planeamento e Selecção de Controlos Uma vez conhecidos os níveis de risco, chega a fase de identificação e selecção das medidas de segurança mais adequadas a implementar. Nesse sentido, existem várias estratégias a adoptar em relação ao risco (Santos, 2007; Pimenta, 2005): Aceitar o risco: É uma decisão tomada pelos órgãos de gestão, no caso em que os custos de implementação de controlos superam largamente os custos das possíveis perdas causadas por incidentes. Daí considera-se o índice de risco aceitável para a organização e não são implementadas quaisquer medidas; Reduzir o risco: Consiste na implementação dos controlos julgados mais adequados para prevenir ou minimizar o impacto das ameaças e reduzir o risco a níveis aceitáveis. Esta á a estratégia mais utilizada pelas organizações; Transferir o risco. Neste caso, a organização não reduz directamente o risco. Este é endossado a outras organizações (seguradoras). Em caso de ocorrência de incidentes de segurança, a organização é compensada monetariamente; A rejeição do risco: Ocorre quando determinada organização despreza o risco existente, esperando que, se este for ignorado, nunca será explorado. É considerada uma estratégia pouco prudente e bastante perigosa.

120 90 CAPÍTULO 4. GESTÃO DO RISCO Visto isto, segundo Santos (2007), e conforme descrito na secção 3.4, existem vários tipos de controlos de segurança que podem ser implementados. Neste sentido, cada conjunto de medidas de segurança é aplicado com um determinado objectivo, tendo em conta as circunstâncias de risco de cada caso particular. Para simplificar o processo de planeamento de controlos de segurança, Pimenta (2005) desenvolveu, durante o seu estudo, um modelo de segurança de informação (figura 4.2) que ilustra num diagrama as relações directas entre os vários conjuntos de medidas de segurança e as restantes variáveis do processo dinâmico de controlo e gestão de risco. Figura 4.2 Modelo para a Segurança da Informação (Fonte: Pimenta (2005)) Nesse âmbito, podemos ver que as medidas de prevenção incidem mais sobre a correcção das vulnerabilidades do sistema, enquanto as medidas de correcção se preocupam com a minimização do impacto de cada ataque.

121 4.1. PROCESSO DE GESTÃO DE RISCO 91 Estas duas medidas podem ser disparadas por medidas de detecção, no instante em que estas detectam certos eventos maliciosos ou suspeitos. Finalmente as medidas dissuasivas, apresentam uma actuação mais passiva, visando apenas diminuir a probabilidade de ocorrência de ataques, não realizando normalmente qualquer tipo de acção intrusiva no sistema. No entanto, é impossível afirmarmos que o risco pode ser completamente controlado ou eliminado. Seja qual for a estratégia utilizada e os controlos seleccionados, haverá sempre um nível de risco presente no sistema, normalmente considerado aceitável, denominado risco residual (figura 4.3). Este nível de risco terá que ser definido pela própria organização, de acordo com as características do seu SI, tendo também em conta os seus objectivos de segurança e a sua actividade de negócio. Figura 4.3 Risco Residual

122 92 CAPÍTULO 4. GESTÃO DO RISCO Implementação de Controlos O objectivo desta etapa é, subretudo, assegurar que os controlos de redução de risco são implementados correctamente e fornecem a protecção adequada aos recursos da organização. Nesse sentido, são executados planos de implementação baseados na lista de controlos oriunda da fase de planeamento, para mitigar os riscos identificados na fase de análise. É importante garantir não apenas o correcto funcionamento de cada controlo mas igualmente o funcionamento simultâneo de todos os controlos seleccionados, pois podem existir incompatibilidades que os impeçam de serem implementados em conjunto, comprometendo todo o processo. Problemática do processo de implementação Apesar de aparentar ser um processo simples, o processo de gestão de risco, em particular a fase de implementação de medidas de segurança é um processo complexo que envolve mais variáveis, para além das componentes técnicas. Segundo as referências de Soares(2005) e Baskerville (1992), os principais problemas que podem assolar o processo de implementação são: Tardia consideração dos requisitos de segurança. Frequentemente, as questões de segurança só são tidas em conta após as fases de análise, concepção e implementação dos sistemas, o que implica esforços acrescidos. As restrições orçamentais. As organizações dificilmente suportam os custos necessários à implementação eficaz dos mecanismos de segurança ou, então, talvez considerem existir outras prioridades orçamentais mais prementes. Sensibilidade inadequada dos utilizadores para as questões relacionadas com a segurança, não demonstrando possuir a preocupação e postura necessárias para garantir um comportamento promotor da segurança do SI da sua organização. Falta de competências técnicas, por parte dos técnicos das organizações, no domínio da segurança. Isto devido à complexidade técnica associada à tarefa de prover de segurança os SI das organizações.

123 4.1. PROCESSO DE GESTÃO DE RISCO 93 A atribuição das responsabilidades de segurança a uma unidade organizacional independente das unidades operacionais conduz ao surgimento de conflitos. Embora esta atribuição e estruturação possa fazer sentido sob o ponto de vista da racionalização de recursos, na prática verifica-se que os requisitos definidos pela unidade responsável pela segurança afectam, por vezes de forma gravosa, os requisitos de negócio da parte operacional e são muito dispendiosos ou mesmo impossíveis de implementar. Além disso, constata-se que os restantes agentes organizacionais não nutrem qualquer sentimento de propriedade em relação às medidas de segurança adoptadas, dada a sua definição ser promovida por uma unidade externa. Estes problemas apontam para a necessidade de se ponderarem, para além dos aspectos técnicos da implementação, as influências dos factores organizacionais, humanos e sociais como parte do processo. A falta de consideração destes factores pode levar a que a implementação das medidas de protecção encontre resistência por parte das pessoas, especialmente quando as práticas de negócio e normas vigentes entram em conflito com as restrições impostas pelas medidas de segurança. Tal como afirma Soares (2005), apesar da implementação de medidas de segurança beneficiar da conjugação da perspectiva tecnológica com a perspectiva funcional, essa implementação só será bem sucedida se também se reconhecer o papel desempenhado pelos aspectos éticos e humanos na prossecução de um ambiente com o nível de segurança adequado. Visto isto, de modo a garantir o sucesso da implementação das medidas de segurança seleccionadas para assegurar a protecção do SI da organização é necessário estarem reunidas várias condições, principalmente a nível humano. Acima de tudo, é vital que exista uma relação de cooperação e uma combinação das visões e experiências, entre os gestores e os especialistas com responsabilidades técnicas, para que se possam minimizar os eventuais conflitos que emanam de uma visão de negócio que raramente compreende as complexidades técnicas das soluções tecnológicas de segurança e de uma visão técnica que muitas vezes não leva em consideração as especificidades funcionais e operacionais das unidades para as quais os controlos são projectados.

124 94 CAPÍTULO 4. GESTÃO DO RISCO Ao reconhecer-se a interdependência entre estas duas visões e a necessidade da sua conjugação, estar-se-á a contribuir para que o processo de implementação possa ser bem sucedido. Caso contrário, o processo de implementação poderá deparar-se com vários obstáculos, ficando o esforço de segurança aquém do inicialmente almejado. O apoio da gestão de topo tem um papel crucial, pois permite dar continuidade ao desenvolvimento dos projectos e responder de forma célere e económica a mudanças que se verifiquem durante a implementação. É igualmente vital que aqueles que vão ter que adoptar novas medidas de segurança, ou que por elas vão ser afectados no seu dia-a-dia, participem no processo de mudança de um ambiente percepcionado como insuficientemente seguro para um novo ambiente com um nível de segurança reconhecido como mais apropriado. Para isso, é necessário que a par da implementação dos controlos seleccionados, a organização institua um conjunto de recompensas que facilite a adopção dos novos controlos e que preveja um período inicial para que as pessoas se possam adaptar à nova forma de trabalhar. Em determinados casos, poderá ser necessário investir-se em programas de sensibilização e educação, que ensinem às pessoas novos valores, novos conhecimentos na área de segurança, de modo a que se consigam enquadrar e adaptar a uma nova política de segurança Avaliação e Monitorização O valor dos recursos de uma organização, a probabilidade de concretização das ameaças que pendem sobre os mesmos, o panorama tecnológico, organizacional e legislativo variam consoante o decorrer do tempo. Em adição, quando um sistema é implementado, a segurança nunca é perfeita, pois os utilizadores, de uma forma deliberada ou casual, acabam por descobrir sempre novas formas de subverter todo o processo. Tais factores tornam necessária a monitorização e revisão da aplicabilidade e eficácia das medidas implementadas para garantir a continuidade e aperfeiçoamento de todo o processo de gestão do risco numa organização. As normas e critérios de avaliação de segurança, assumem um papel importante nesta fase. Segundo a norma ISO/IEC a segurança da informação depende duma gestão racional dos riscos. A gestão do risco é um processo contínuo.

125 4.2. ANÁLISE DO MODELO ISO/IEC Análise do Modelo ISO/IEC Existem vários modelos, mais ou menos elaborados, que pretendem apontar a rota a seguir na execução das quatro fases de gestão de risco, descritas anteriormente, tendo na sua génese métodos estatísticos. Alguns exemplos destes modelos são, o modelo OCTAVE, o modelo ISRAM e o modelo normalizado e reconhecido mundialmente, aconselhado pela norma ISO/IEC A norma ISO/IEC surgiu como uma das normas publicadas pela ISO para o processo da gestão do risco. Segundo esta, a primeira etapa no estabelecimento de um processo de gestão do risco na organização, passa por definir quais são os objectivosdesegurança. Estesdevemestaremsintonia comamissãoeanaturezada organização e a respectiva regulamentação legal a que a organização está obrigada. Os objectivos devem também ser definidos com base na relação de dependência da organização em relação aos SI. Logo, durante o processo de gestão de risco é importantíssimo que os responsáveis pelo projecto de segurança coloquem e reflitam sobre determinadas questões, com o propósito de definir a estratégia a adoptar para o controlo do risco e promover a sua consciencialização acerca da dependência da actividade de negócio da organização em relação às infra-estruturas informáticas. Quais são os sectores da organização que dependem directamente dos SI? Qual o seu grau de dependência e a sua importância no âmbito organizacional? Quais são as tarefas que não podem ser executadas sem o suporte das TI? Que decisões dependem da integridade e da disponibilidade da informação? Que informação deverá ser mantida confidencial? Quais as implicações que tem um acidente de segurança para a organização? Que nível do risco é aceitável para a organização? Neste sentido, a norma ISO/IEC define e propõe quatro abordagens diferentes para a gestão do risco, definidas de seguida.

126 96 CAPÍTULO 4. GESTÃO DO RISCO Abordagem baseada em boas práticas De uma forma genérica, esta abordagem consiste na aplicação de medidas mais ou menos genéricas e consensuais aos sistemas existentes na organização. Estas medidas resultam de normas, documentos e directrizes cuja aplicação genérica revelou a sua utilidade. A sua aplicação produz um limiar mínimo de segurança sem que para tal haja alterações apreciáveis nos processos de negócio da organização ou um elevado esforço de implementação Abordagem informal A abordagem informal sugere que não seja usado nenhum método estruturado para a gestão do risco. Propõe que a gestão do risco seja implementada com base no conhecimento e na sensibilidade de quem está responsável por este processo Abordagem baseada na análise detalhada do risco Esta abordagem tem como ponto central a análise do risco de cada recurso, cujo valor é relevante para a vida da organização. A análise detalhada do risco inclui a identificação e determinação do valor de cada recurso do SI e a determinação da probabilidade da ocorrência de um ataque. Com base nestes valores é calculado o valor do risco de cada recurso e são decididas as medidas a implementar de forma a mitigar o risco Abordagem heterogénea Esta abordagem (figura 4.4), por sua vez, propõe que, a partir dos objectivos de segurança, se dividam os sistemas da organização em sistemas críticos e não críticos. Um sistema poderá ser classificado como critico sempre que uma quebra de segurança no mesmo provoque um dano elevado à organização, quer ao nível económico ou funcional, quer ao nível de imagem.

127 4.2. ANÁLISE DO MODELO ISO/IEC De acordo com a figura 4.4, os sistemas críticos serão alvo de uma abordagem baseada na análise detalhada do risco. Desta forma, é possível determinar um índice do risco de cada recurso e assim estabelecer um conjunto de medidas de forma a diminuir esse índice. Aos sistemas classificados como não críticos será aplicada uma abordagem baseada em boas práticas, seleccionadas com base nas características técnicas e funcionais do sistema em causa. Figura 4.4 Abordagem heterogénea de Gestão do Risco

128 98 CAPÍTULO 4. GESTÃO DO RISCO 4.3 Metodologia proposta Como vimos anteriormente, a tarefa de Gestão de Risco possui 4 etapas principais. No entanto, é na primeira etapa (Análise e Classificação do Risco) que se encontra a chave de todo o processo, pois a forma definimos e analisamos os recursos do sistema é fundamental para a obtenção de níveis de risco próximos da realidade, que facilitem a seleccção das medidas de segurança mais adequadas. Desta forma, o responsável pelo processo de análise de risco tem que ponderar todos os modelos à sua disposição, em comparação com os requisitos de segurança do seu sistema, optando ou por aplicar integralmente um determinado modelo ou por desenvolver o seu próprio modelo. Neste caso particular, a metodologia ou modelo proposto terá como base a Abordagem baseada na análise detalhada do risco referenciada na norma ISO/IEC e descrita na secção anterior, adaptada às características e necessidades de segurança do sistema em estudo Análise do Sistema de Informação Organizacional A primeira acção a ser tomada para o desenvolvimento do projecto de gestão de risco será o estudo e análise do sistema onde este projecto vai ser implementado. Neste âmbito, os aspectos que terão que ser levados em conta na análise são: 1. Descrição geral da rede da organização Nesta subtarefa terão que ser recolhidos e analisados dados sobre a rede informática da organização, tal como a sua descrição, topologia, localização geográfica, existência ou não de sub-redes, esquema geral da rede, equipamento activo que a compõem(switchs, routers, servidores, máquinas físicas, máquinas virtuais), entre outros aspectos relevantes. Esta análise possibilita, eventualmente, que os responsáveis pela segurança possam detectar pontos sensíveis da rede, susceptíveis a incidentes graves, a nível de segurança. Desta forma, é mais fácil determinar os pontos estratégicos onde será monitorizado o nível de risco de toda a rede.

129 4.3. METODOLOGIA PROPOSTA Identificação do software utilizado Depois da análise aos aspectos físicos da rede (hardware), é também necessário analisar o tipo de software instalado, de modo a identificar, à partida, alguns tipos de ameaças. Uma rede composta, a nível de software, por plataformas Windows, é mais susceptível a ataques e exige um maior rigor a nível de segurança, do que uma rede composta por plataformas baseadas em UNIX. 3. Identificação dos serviços disponibilizados Para além da análise ao hardware e software da rede, é também importante detalhar os serviços disponibilizados pelo sistema informático. Esta tarefa auxilia a detecção de pontos críticos como os serviços remotos que exigem bastante mais atenção a nível de segurança do que os serviços locais, de uso interno da organização. 4. Identificação de máquinas críticas Cruzando toda a informação dos pontos anteriores é possível identificar as máquinas críticas da rede, ou seja, os activos mais vulneráveis a ataques informáticos e que exigem uma monitorização mais rigorosa. Uma máquina crítica poderá ser, por exemplo, uma máquina situada num ponto vulnerável da topologia da rede, com plataforma Windows e que executa serviços remotos. 5. Identificação de Processos Críticos Para terminar a análise ao SI, resta identificar os processos críticos da rede, ou seja, processos, serviços, acções de negócio ou gestão impossíveis de realizar se a rede se encontrar indisponível. A quantidade de serviços críticos, dará aos responsáveis pela segurança da rede uma estimativa do nível de dependência da organização em relação às suas infraestruturas informáticas. Uma organização totalmente dependente da sua rede informática para promover a sua actividade de negócio terá que implementar medidas de segurança muito mais rigorosas do que uma organização que apenas dependa da sua rede para realizar actividades rotineiras e de pouca importância.

130 100 CAPÍTULO 4. GESTÃO DO RISCO Elementos de Informação Após a analise do SI da organização é também vital analisar aquilo para o qual os sistemas de segurança foram concebidos e têm responsabilidade de proteger, isto é, os elementos de informação. 1. Identificação dos elementos da informação Nesta primeira fase terão que ser identificados todos os elementos de informação alocados e transaccionados através da rede da organização. Esta identificação terá que ir desde a informação mais básica até à informação mais crítica e confidencial. Quantos mais elementos de informação forem identificados, mais rigorosa será a análise do risco. 2. Agregação dos elementos da informação em grupos homogéneos A tarefa de identificação dos elementos de informação da rede pode ser bastante demorada, devido ao frequente elevado número de items a analisar. Para contornar esta adversidade é conveniente procurar agrupar toda a informação em conjuntos homogéneos, de modo a reduzir a complexidade do processo Estimativa do Valor da informação O nível de risco a que uma determinada rede informática está sujeita, calcula-se a partir de equação: R = P L, onde P é a probabilidade de ocorrência das ameaças, e L as perdas por ocorrência dessas ameaças, tendo em conta o valor da informação. No entanto, ainda não existem dados que nos indiquem o valor de cada conjunto de informação identificado na etapa anterior. Logo, esta etapa tem o objectivo de estimar o valor de cada um desses conjuntos.

131 4.3. METODOLOGIA PROPOSTA 101 Mas como poderá ser calculado esse valor? A maior das dificuldades que esta etapa apresenta é a ausência, na literatura, de qualquer referencial que permita estimar o valor de cada grupo de informação. Se a informação em causa estivesse ligada a uma área de natureza económica, uma das soluções possíveis seria usar o valor monetário que, naturalmente, lhes estava associado. Não sendo possível esta associação no tipo de informação com que se está a trabalhar, poder-se-ía pensar em usar as coimas definidas pela lei portuguesa para os casos de se verificar uma quebra de segurança, afim de estimar o valor da informação. Todavia, na legislação portuguesa as coimas e as penas previstas são genéricas, ou seja, não existe uma diferenciação segundo o tipo de documento ou informação que foi alvo da quebra de segurança. Nesta ausência de referências, propõe-se que a estimativa do valor de cada grupo genérico de informação seja efectuada com base no valor do impacto negativo da ocorrência de uma quebra de segurança que afecte cada grupo. Atendendo à definição assumida para a segurança da informação e com vista a uma melhor clarificação do efeito de uma eventual quebra de segurança, a estimativa do valor será efectuada em função das dimensões confidencialidade, integridade, disponibilidade eautoria/responsabilidade. Édereferirqueestaanálisepordimensão deriva do modelo ISO/IEC Como poderemos estimar o valor do impacto negativo, segundo cada dimensão? Uma das soluções que se pode adaptar neste contexto, é a utilização de uma técnica de consenso suportada por métodos estatísticos. De acordo com a literatura, existem vários métodos de consenso, como o método de Delphi, o método do grupo nominal e o método da conferência de consenso. Os métodos mais utilizados na área das TI são os dois primeiros, pelo que serão descritos de seguida, com o propósito de discutir qual deles se adapta melhor ao problema em questão.

132 102 CAPÍTULO 4. GESTÃO DO RISCO Método do grupo nominal Segundo Santos (2007), o método do grupo nominal consiste na realização de duas reuniões de forma a obter o consenso sobre um determinado assunto. Para isso, na primeira etapa do método define-se o problema, seguindo-se a selecção do conjunto de peritos, que varia tipicamente entre 9 e 12 elementos, que irão propor uma solução. A etapa seguinte consiste na realização da primeira reunião. Nesta reunião todos os peritos devem estar presentes e expor as suas ideias sobre o assunto em análise. Depois de discutidas todas as ideias que foram dadas para cada questão colocada, procede-se a uma votação individual e secreta, com base numa escala predefinida, de forma a pontuar cada uma das ideias em função da sua relevância. Após a votação é realizada a análise estatística e determinada a posição relativa de cada uma das ideias. A primeira reunião termina com a apresentação dos resultados. Na segunda reunião, onde se exige igualmente a presença dos peritos, é efectuada a discussão da ordenação obtida na primeira reunião e procede-se a uma nova votação de forma a obter a ordenação final. Método de Delphi OmétododeDelphi, ouopaineldedelphi, comoédesignadoemalgumaliteratura, é um processo estruturado, que visa a obtenção de um consenso sobre um determinado assunto, com base na opinião de um grupo de peritos. O nome do método é baseado na mitologia grega e no oráculo de Delphi onde os feiticeiros previam o futuro utilizando vapores alucinogénicos e entranhas de animais. Segundo o estudo de Santos (2007), o método de Delphi foi criado na década de 50, destinando-se ao uso militar, tendo sido permitido o uso civil na década de 60. Desde aí tem sido aplicado em áreas como a educação, a saúde, engenharia, ciências sociais, turismo e gestão (van Zolingen and Klaassen, 2003; Angus et al., 2003). Do ponto de vista conceptual, o método de Delphi consiste na elaboração e aplicação de uma sequência de questionários a peritos. Cada aplicação do questionário recebe o nome de ronda. Entre cada ronda, o grupo de peritos, especialmente constituído para o efeito, tem ao seu dispor a avaliação estatística dos dados da ronda anterior.

133 4.3. METODOLOGIA PROPOSTA 103 Serão realizadas tantas rondas quantas as necessárias para obter um determinado grau de consenso (Andres, 2000; Jones and Hunter, 1995; Graham et al., 2003). No seu formato original, o processo começa com um questionário aberto (1 a ronda), com o objectivo de descobrir quais os itens relacionados com o estudo em causa. Estes itens, depois de analisados e tratados pelo investigador, irão fazer parte do segundo questionário (2 a ronda) (Keeney et al., 2001; Santos, 2004). Na segunda ronda e seguintes, o painel de peritos é convidado a dar a sua opinião sobre a pertinência de cada item e a sua importância relativa para a questão em causa, podendo cada elemento do painel mudar de opinião, tendo em conta a análise estatística das respostas dadas pelo grupo de peritos na ronda anterior. Porém, com o intuito de diminuir o número de rondas do processo de Delphi existem algumas variações do método original. De uma forma genérica todas estas versões tendem a restringir o grau de liberdade de respostas, com o objectivo do método convergir mais rapidamente (Alahlafi and Burge, 2005; Stewart et al., 1999). Análise comparativa Uma das diferenças entre o método do grupo nominal e o método de Delphi é que, no primeiro são realizadas reuniões com a presença obrigatória dos diversos peritos, enquanto que, no segundo não existem momentos de reunião dos elementos que pertencem ao painel. Esta diferença é importante, especialmente quando os elementos do painel são em número elevado ou quando são de serviços ou organismos diferentes, o que dificulta a determinação de uma data para a realização das reuniões. Por outro lado, o método de Delphi tem a vantagem de eliminar a influência que um ou mais peritos possam ter nas respostas dos restantes. Esta influência pode advir do estatuto hierárquico, do estatuto social e/ou da facilidade de argumentação que alguns peritos possam apresentar. Outra vantagem que o método de Delphi apresenta, é o anonimato total das respostas. Face às vantagens apresentadas, deverá utilizar-se o método de Delphi para estimar o valor do impacto negativo de uma quebra de segurança em cada grupo de informação.

134 104 CAPÍTULO 4. GESTÃO DO RISCO Aplicação do método de Delphi Uma vez escolhido o método de Delphi, é necessário definir que critérios servem para a selecção dos elementos do painel de peritos, qual o formato dos questionários e qual o critério de consenso a utilizar. Constituição do Painel de peritos Segundo Goodman (2000), o perito deve ser alguém imparcial e a informação que ele fornece deve ser o reflexo do seu conhecimento, da sua formação, experiência profissional, ou da sua percepção actual sobre um determinado assunto. O painel deve ser heterogéneo e multi-disciplinar de forma a que nele, estejam reflectidas as diversas sensibilidades sobre o assunto em apreço (Keeney et al., 2001). Quanto ao número de peritos, a literatura não é consensual. Existem aplicações que usam apenas 10 elementos e outras que atingem os 400 peritos. Desta forma, a formação do painel de peritos de respeitar os seguintes critérios: Ser preferencialmente constituído por elementos seniores que ocupem cargos de chefia ou equivalentes; Ser preferencialmente constituído por elementos ligados à área das TI, que representem a opinião dos colaboradores da organização (engenheiros, técnicos de TI, administradores de sistemas, entre outros); Todos os elementos devem trabalhar na unidade onde é realizada a análise; Incluir elementos directamente relacionados com a gestão dos serviços a que pertence a informação em análise (administração, gestão de recursos humanos, contabilidade, gestão do SI, entre outros); Incluir, sempre que possível, o responsável pela segurança, gestão e manutenção da rede informática da organização. Incluir colaboradores que demonstrem entusiasmo por questões de segurança.

135 4.3. METODOLOGIA PROPOSTA 105 Elaboração dos questionários O questionário da primeira ronda será composto por um conjunto de perguntas indexadas aos grupos genéricos de informação identificados, tendo sempre em conta as várias dimensões de segurança, de acordo com o seguinte formato: Qual o impacto negativo para a organização, quando a informação XPTO sofre uma quebra de segurança segundo a dimensão confidencialidade? Qual o impacto negativo para a organização, quando a informação XPTO sofre uma quebra de segurança segundo a dimensão integridade? Qual o impacto negativo para a organização, quando a informação XPTO sofre uma quebra de segurança segundo a dimensão disponibilidade? Qual o impacto negativo para a organização, quando a informação XPTO sofre uma quebra de segurança segundo a dimensão autoria/responsabilidade Definiu-se que a resposta a cada pergunta seria dada com base numa escala bipolar (escala de Likert 1 ), crescente, de 7 pontos, de acordo com o que é a prática comum em estudos similares. Na escala usada o número 1 corresponde ao impacto mais baixo enquanto que o 7 corresponderá ao impacto mais elevado. Para além das perguntas anteriores, o questionário deverá conter: Uma breve introdução sobre a problemática da segurança da informação; Um enquadramento dos objectivos do questionário; Um conjunto de definições relacionados com a problemática da segurança da informação, usadas ao longo do questionário; Uma descrição dos grupos genéricos de informação em avaliação; As instruções do preenchimento do questionário. 1 A escala de Likert é uma lista ordenada de respostas, que tipicamente tem 5 ou 7 pontos.

136 106 CAPÍTULO 4. GESTÃO DO RISCO O questionário da segunda ronda e das rondas seguintes, será igual ao primeiro, com a diferença de se acrescentar a cada pergunta a seguinte informação: Média e desvio padrão das respostas da ronda anterior; Distribuição de frequências das respostas da ronda anterior; A resposta dada pelo perito a que se destina o questionário, na ronda anterior. Critério de Consenso Para determinar o nível de consenso das respostas é proposto que se utilize o coeficiente alpha de Croanbach. Este coeficiente mede a consistência interna das respostas a um questionário, a partir da qual se pode inferir o grau de consenso (Graham et al., 2003). O valor do coeficiente a partir do qual se considera que existe consenso, está, para a maioria dos estudos, compreendido entre 0,7 e 0,8, segundo a relação da tabela 4.1: Tabela 4.1 Alpha de Cronbach e o grau de Consenso Alpha de Cronbach Consenso α 0,9 Excelente 0,8 α < 0,9 Bom 0,7 α < 0,8 Razoável 0,6 α < 0,7 Fraco α < 0, 6 Inaceitável Após a conclusão de cada ronda de questionários é calculado o coeficiente alpha de Cronbach para cada dimensão de segurança. Se o seu valor para uma certa dimensão indicar um consenso razoável ou superior então, na ronda seguinte, o estudo dessa dimensão será excluído, elaborando-se o questionário apenas para as dimensões em que ainda não se tenha atingido consenso. Quando todas as dimensões evidenciarem um nível de consenso razoável ou superior considera-se concluído o estudo.

137 4.3. METODOLOGIA PROPOSTA 107 O Valor da Informação O valor de cada grupo genérico de informação, segundo uma determinada dimensão, corresponde ao valor médio das respostas obtidas na última ronda, referentes a cada grupo e à dimensão em causa. Assim para cada dimensão, é possível construir uma matriz(matriz 4.1, Matriz 4.2, Matriz 4.3 e Matriz 4.4) onde cada posição representa o valor de um determinado grupo de informação. Nas matrizes utilizam-se a seguinte nomenclatura: V conf.grupoi - valor do grupo genérico de informação i (Grupo i ) quando sofre uma quebra de segurança segundo a dimensão confidencialidade; V int.grupoi -valor do grupogenérico deinformação i (Grupo i ) quando sofreuma quebra de segurança segundo a dimensão integridade; V disp.grupoi - valor do grupo genérico de informação i (Grupo i ) quando sofre uma quebra de segurança segundo a dimensão disponibilidade; V resp.grupoi - valor do grupo genérico de informação i (Grupo i ) quando sofre uma quebra de segurança segundo a dimensão autenticidade/responsabilidade; Valor conf. = V conf.grupo1 V conf.grupo2 V conf.grupo3.. V conf.grupoi (4.1) 4.1. Valor dos grupos genéricos de informação em função da confidencialidade

138 108 CAPÍTULO 4. GESTÃO DO RISCO Valor int. = V int.grupo1 V int.grupo2 V int.grupo3. (4.2) V int.grupoi 4.2. Valor dos grupos genéricos de informação em função da integridade Valor disp. = V disp.grupo1 V disp.grupo2 V disp.grupo3. (4.3) V disp.grupoi 4.3. Valor dos grupos genéricos de informação em função da disponibilidade Valor resp. = V resp.grupo1 V resp.grupo2 V resp.grupo3. (4.4) V resp.grupoi 4.4. Valor dos grupos de informação em função da autenticidade/responsabilidade

139 4.3. METODOLOGIA PROPOSTA 109 Após estabelecidas as quatro matrizes referentes às quatro dimensões da informação, cada grupo genérico de informação terá que ser classificado, de acordo com a média dos valores obtidos nas quatro dimensões (V medioi ): V medioi = V conf.grupo i +V int.grupoi +V disp.grupoi +V resp.grupoi 4 A tabela 4.2 mostra a correspondência entre o valor médio obtido no cálculo subjectivo do valor da informação com a classificação da mesma quanto ao seu grau de criticidade. Tabela 4.2 Classificação da informação segundo a criticidade Valor Médio Classificação da Informação V medio 6 Crítica 5 V medio < 6 Sensível 3 V medio < 5 Restrita 1 V medio < 3 Pública

140 110 CAPÍTULO 4. GESTÃO DO RISCO Probabilidade de concretização de uma ameaça Paralelamente à estimativa do valor de cada grupo genérico de informação, tendo em conta a equação de cálculo do risco é necessário também estimar a probabilidade de concretização das ameaças a que cada grupo está sujeito. Processos Genéricos As organizações da área das TI têm como principal actividade desenvolver sistemas, garantindo a sua instalação, bom funcionamento, suporte e manutenção ao longo do tempo. Isto tudo suportado por uma forte estrutura hierárquica (figura 4.5). Figura 4.5 Organigrama standard de uma organização de TI Visto isto, cada nível de actividade tem a necessidade de gerar, aceder, processar e armazenar informação quer para o exercer das suas actividades, quer para responder a solicitações dos outros níveis, gerando-se assim fluxos de informação, dentro de departamentos, entre departamentos, e entre a organização e o ambiente exterior.

141 4.3. METODOLOGIA PROPOSTA 111 Deste fluxo de informação e após uma análise cuidada, é possível identificar um conjunto de processos genéricos a que a informação está sujeita, ao longo do seu ciclo de vida, nomeadamente: Consultar- processo que permite, a quem de direito, aceder a um determinado documento e conhecer o seu conteúdo; Criar - processo que permite que uma entidade origine um documento; Editar - processo que permite alterar o conteúdo de um documento; Organizar - processo que, ao ser executado, permite organizar um conjunto de documentos em suporte de papel; Eliminar - processo que permite eliminar parte ou a totalidade da informação; Comunicar - processo que permite a transferência de informação; Armazenar - processo que reúne os procedimentos inerentes à conservação e guarda da informação num determinado local. Neste sentido, as ameaças a um determinado grupo genérico de informação derivam das ameaças associadas aos diversos processos, descritos acima, a que a informação está sujeita durante a sua existência. Identificação de ameaças O passo seguinte consiste na identificação das ameaças associadas a cada processo, por forma a poder determinar a probabilidade de concretização de cada uma delas. Este processo, normalmente, é constituído pelas seguintes fases: 1. Análise de vulnerabilidades; 2. Identificação das ameaças de acordo com essas vulnerabilidades; 3. Classificação e descrição das ameaças;

142 112 CAPÍTULO 4. GESTÃO DO RISCO No entanto, esta fase é bastante problemática, pois não é fácil identificarmos as vulnerabilidades do sistema analiticamente, sem recurso a ferramentas informáticas, como vulnerability scanners ou audit tools. Porém, podemos socorrer-nos de outros factores para conseguir identificar algumas ameaças à informação. Nesse sentido, recorrendo à análise das secções 3.2 e 3.3, podemos assumir duas abordagens: Recorrer a estudos estatísticos Ao longo dos anos, têm sido feitos vários estudos pontuais, primeiro para determinar as ameaças mais comuns presentes no ambiente empresarial e posteriormente, estimar a probabilidade de ocorrência da cada uma delas (tabela 4.3). Tabela 4.3 Probabilidade de ocorrência de ameaças N o Ameaças Probabilidade de Ocorrência 1 Vírus 78% 2 Abuso de Acesso à Internet 59% 3 Acesso não autorizado à Informação 39% 4 Invasão de Sistema 37% 5 Negação de Serviço 17% 6 Roubo de Informação Proprietária 10% 7 Fraude Financeira 5% Porém, este tipo de abordagem é demasiado específica, considerando apenas ameaças comuns que nem sempre se adequam a determinados ambientes empresariais. Para além disso, consideram frequentemente aspectos referentes a ameaças físicas, como roubo e/ou destruição de hardware, que não interessam a este estudo. Por outro lado, este tipo de estudos nem sempre fornecem o número de amostras consideradas, para que possamos ter ideia do nível de rigor e fiabilidade da análise. Assim, os resultados acabam por variar de estudo para estudo, de análise para análise, sendo desta forma, difícil usar esses dados com confiança, sem correr o risco do resultado final sair deturpado ou distante da realidade.

143 4.3. METODOLOGIA PROPOSTA 113 Abordagem subjectiva A alternativa aos estudos estatísticos, feitos por entidades externas, é a realização do nosso próprio estudo, num âmbito particular e interno à organização, tomando em conta apenas dados que lhe digam respeito. A primeira fase desta abordagem deve preocupar-se em dividir todas as ameaças conhecidas, em categorias. Se consultarmos a secção 3.3, verificamos que as ameaças podem ser divididas em quatro classes principais: interrupção, intercepção, modificação e fabricação. Utilizando apenas estas quatro categorias conseguimos englobar todo o tipo de ameaças à informação e diminuir o tempo de cálculo necessário para a estimativa da probabilidade de concretização de cada uma delas. Para além disso podemos também criar uma correspondência entre estas classes de ameaças e as quatro dimensões de segurança em apreciação (figura 4.6). Figura 4.6 Identificação de ameaças Nota: Considerando que os dados resultantes de estudos estatísticos ficam obsoletos rapidamente, que nem sempre são fiáveis nem podem, em muitos dos casos, ser adaptados a casos particulares, sugere-se a utilização da abordagem subjectiva.

144 114 CAPÍTULO 4. GESTÃO DO RISCO Contudo, neste caso particular, não há registos sobre as ocorrências de ataques que permitam inferir o valor da probabilidade que se pretende calcular. Assim, tal como no calculo do valor da informação, o valor da probabilidade será estimado de forma subjectiva, com base na opinião de um conjunto de peritos (modelo de Delphi) Aplicação do Modelo de Delphi A segunda implementação do método de Delphi, seguirá o mesmo procedimento da primeira, havendo, no entanto, as necessárias adaptações. Constituição do painel de peritos O painel de peritos deverá ser constituído, na sua maioria, por elementos com experiência profissional acumulada, isto porque o valor que pretendemos determinar exige um alto conhecimento empírico sobre os vários parâmetros do SI, de modo a ser possível a cada elemento do painel estimar uma probabilidade de ocorrência das várias classes de ameaça próxima da realidade, tendo como base e argumento a sua vasta experiência. Elaboração do Questionário O questionário a usar na primeira ronda será dividido em duas partes. A primeira parte contém os seguintes itens: Uma breve introdução com um conjunto de definições de conceitos, relativos à problemática da segurança da informação, usados ao longo do questionário, nomeadamente conceitos referentes às diferentes classes de ameaças e aos diferentes processos genéricos que manipulam a informação; Descrição dos grupos genéricos de informação referidos no questionário; Instruções de preenchimento do questionário.

145 4.3. METODOLOGIA PROPOSTA 115 A segunda parte do questionário é composta por um conjunto de questões destinadas a obter o valor da probabilidade da concretização de uma ameaça, sempre que um grupo genérico de informação seja sujeito a um processo genérico. O modelo típico da pergunta que se propõe é o seguinte: Quando a informação XPTO é sujeita ao processo genérico XZY, qual a probabilidade de a ameaça ABC se concretizar? Contudo, este modelo pode ser adaptado em função do grupo de informação, do processo ou da ameaça, de forma a tornar a pergunta mais clara para o perito. A probabilidade de um evento é representada como um número real entre 0 e 1, ou em percentagem, de 0 a 100. Deste modo, propõe-se para as respostas uma escala bipolar de 10 pontos. Para auxiliar os peritos na sua avaliação, a tabela 4.4 oferece a correlação de cada valor da escala bipolar com um intervalo de percentagens. Tabela 4.4 Escala de resposta de probabilidades Item da Escala Intervalo de Percentagem 1 [0;10] 2 ]10;20] 3 ]20;30] 4 ]30;40] 5 ]40;50] 6 ]50;60] 7 ]60;70] 8 ]70;80] 9 ]80;90] 10 ]90;100] À semelhança da primeira aplicação do modelo de Delphi, a partir da segunda ronda serão acrescentados os dados estatísticos de feedback, da ronda anterior.

146 116 CAPÍTULO 4. GESTÃO DO RISCO Critério de Consenso Tal como na estimativa do valor de cada grupo genérico de informação, o coeficiente alpha de Cronbach será também aqui usado para determinar o grau de consenso em cada ronda de questionários. Da mesma forma, usar-se-á a Tabela 4.1 para determinar o valor qualitativa do consenso obtido. Após a conclusão da 2 a ronda e até que o coeficiente alpha de Cronbach indique um nível de consenso aceitável, serão aplicadas tantas rondas quantas as necessárias. Probabilidade de ocorrência das ameaças por dimensão de segurança Como a metodologia proposta está alicerçada nas quatro dimensões da segurança, é conveniente que os valores das probabilidades sejam indexados às mesmas dimensões. Não é difícil verificar, após uma análise cuidada das definições usadas, que uma determinada classe de ameaças afecta uma ou mais dimensões da segurança. A Tabela 4.5 estabelece as dimensões que são predominantemente afectadas quando se concretiza cada classe de ameaças proposta. Tabela 4.5 Correspondência entre as classes de ameaças e as dimensões de segurança Ameaça Intercepção (A1) Dimensão afectada Conf 1 Int 2 Disp 3 Resp 4 X Modificação (A2) X X Interrupção (A3) Fabricação (A4) X X 1 Confidencialidade 2 Integridade 3 Disponibilidade 4 Autenticidade/Responsabilidade

147 4.3. METODOLOGIA PROPOSTA 117 Conjugando a tabela anterior com os processos genéricos identificados e os vários grupos genéricos de informação em estudo é possível, para cada uma das dimensões de segurança, construir uma matriz de probabilidades, onde: PG k representa o processo genérico k, com k = 1, 2,..., m; G i representa o grupo genérico de informação i, com i= 1,2,3,..., n; A p representa a classe de ameaças, onde p ε [1;4] P i(pgk A p) representa a probabilidade da concretização da ameaça A p quando o grupo genérico de informação G i é alvo do processo PG k. Esta probabilidade é calculada com base na média das respostas obtidas na ronda onde foi atingido o consenso entre o painel de peritos. Quando um determinado grupo de informação não é alvo de um determinado processo, a probabilidade da concretização das ameaças associadas ao processo em causa é, naturalmente, zero (P i,(pgk A p) = 0). É necessário ter em atenção que para a dimensão de segurança disponibilidade, por exemplo, só poderá ser considerada a ameaça interrupção aplicada a todos os processos genéricos, pois as restantes ameaças, de acordo com a tabela 4.5, não afectam essa mesma dimensão. Realizando o mesmo raciocínio para as restantes dimensões, é possível formar as seguintes matrizes de probabilidades: P conf. = P 1,(PG1 A 1 ) P 1,(PG1 A 2 )... P 1,(PGm A 1 ) P 1,(PGm A 2 ) P 2,(PG1 A 1 ) P 2,(PG1 A 2 )... P 2,(PGm A 1 ) P 2,(PGk A 2 ) P 3,(PG1 A 1 ) P 3,(PG1 A 2 )... P 3,(PGm A 1 ) P 3,(PGm A 2 ).... P n,(pg1 A 1 ) P n,(pg1 A 2 )... P n,(pgm A 1 ) P n,(pgm A 2 ) (4.5) Matriz 4.5. Probabilidade da concretização de uma ameaça que afecta a confidencialidade

148 118 CAPÍTULO 4. GESTÃO DO RISCO P 1,(PG1 A 2 )... P 1,(PGm A 2 ) P 2,(PG1 A 2 )... P 2,(PGk A 2 ) P int. = P 3,(PG1 A 2 )... P 3,(PGm A 2 ).. (4.6) P n,(pg1 A 2 )... P n,(pgm A 2 ) Matriz 4.6. Probabilidade da concretização de uma ameaça que afecta a integridade P 1,(PG1 A 3 )... P 1,(PGm A 3 ) P 2,(PG1 A 3 )... P 2,(PGk A 3 ) P disp. = P 3,(PG1 A 3 )... P 3,(PGm A 3 ).. (4.7) P n,(pg1 A 3 )... P n,(pgm A 3 ) Matriz 4.7. Probabilidade da concretização de uma ameaça que afecta a disponibilidade P 1,(PG1 A 4 )... P 1,(PGm A 4 ) P 2,(PG1 A 4 )... P 2,(PGk A 4 ) P resp. = P 3,(PG1 A 4 )... P 3,(PGm A 4 ).. (4.8) P n,(pg1 A 4 )... P n,(pgm A 4 ) Matriz 4.8. Probabilidade da concretização de uma ameaça que afecta a autenticidade/responsabilidade

149 4.3. METODOLOGIA PROPOSTA Cálculo do Risco Uma vez estimado o valor de cada grupo genérico de informação e as probabilidades da concretização das ameaças, cabe agora calcular o índice do risco, segundo a relação: Risco = Probabilidade.de.ocorrer Valor.perdido.na (4.9) uma.quebra.de.seguranca quebra.de.seguranca Com base nas matrizes da probabilidade da concretização das ameaças (Matriz 4.5, Matriz 4.6, Matriz 4.7 e Matriz 4.8), e segundo o estudo de Santos (2007), podem-se construir quatro matrizes (n x n), de modo a uniformizar o tamanho das matrizes, onde cada valor da diagonal principal é igual ao valor máximo da respectiva linha da matriz, tomando os restantes elementos da matriz o valor zero. As matrizes resultantes são a Matriz 4.10, a Matriz 4.11, a Matriz 4.12 e a Matriz 4.13, onde Max (y) é uma função matemática que determina o maior valor absoluto de uma série de valores. P MAXconf. = a a a nn (4.10) Onde, a 11 = Max (Valores da linha 1 da matriz P conf. ) a 22 = Max (Valores da linha 2 da matriz P conf. ) a nn = Max (Valores da linha n da matriz P conf. )

150 120 CAPÍTULO 4. GESTÃO DO RISCO a a P MAXint. = a nn (4.11) Onde, a 11 = Max (Valores da linha 1 da matriz P int. ) a 22 = Max (Valores da linha 2 da matriz P int. ) a nn = Max (Valores da linha n da matriz P int. ) a a P MAXdisp. = a nn (4.12) Onde, a 11 = Max (Valores da linha 1 da matriz P disp. ) a 22 = Max (Valores da linha 2 da matriz P disp. ) a nn = Max (Valores da linha n da matriz P disp. )

151 4.3. METODOLOGIA PROPOSTA 121 a a P MAXaut. = a nn (4.13) Onde, a 11 = Max (Valores da linha 1 da matriz P aut. ) a 22 = Max (Valores da linha 2 da matriz P aut. ) a nn = Max (Valores da linha n da matriz P aut. ) Portanto, o índice do risco segundo a dimensão confidencialidade é uma matriz (nx1), designada por Risco conf. em que cada elemento risco conf.grupoi representa o valor do risco para o grupo genérico de informação G i, segundo essa dimensão. A matriz Risco conf. é calculada pelo produto entre a matriz P MAXconf. e a matriz Valor conf.. Efectua-se um cálculo semelhante para as outras dimensões, conforme se ilustra nas fórmulas seguintes. Risco conf. = Risco conf.grupo1 Risco conf.grupo2 Risco conf.grupo3. Risco conf.grupon = P MAXconf. Valor conf. (4.14) Fórmula Índice de Risco segundo a dimensão confidencialidade

152 122 CAPÍTULO 4. GESTÃO DO RISCO Risco int. = Risco int.grupo1 Risco int.grupo2 Risco int.grupo3. Risco int.grupon = P MAXint. Valor int. (4.15) Fórmula Índice de Risco segundo a dimensão integridade Risco disp. = Risco disp.grupo1 Risco disp.grupo2 Risco disp.grupo3. Risco disp.grupon = P MAXdisp. Valor disp. (4.16) Fórmula Índice de Risco segundo a dimensão disponibilidade Risco aut. = Risco aut.grupo1 Risco aut.grupo2 Risco aut.grupo3. Risco aut.grupon = P MAXaut. Valor aut. (4.17) Fórmula Índice de Risco segundo a dimensão autenticidade/responsabilidade

153 4.3. METODOLOGIA PROPOSTA Análise e Classificação do Risco A equipa responsável pela gestão do risco informático do sistema deve ter uma noção prévia, tendo em conta as caracteristicas do SI e as preocupações de segurança da organização, do risco máximo aceitável para que o SI seja considerado seguro. Depois de se definirem os valores aceitáveis de risco, deve realizar-se uma comparação desses valores com os dados resultantes do processo de cálculo do risco descrito anteriormente. Com base nesta comparação deve ser classificado cada índice de risco resultante da análise ao SI. A classificação do índice de risco pode ser dada pelos níveis: Mau - Quando o índice de Risco calculado é superior ao valor máximo de risco aceitável; Aceitável - Quando o índice de Risco calculado é muito próximo do valor máximo aceitável; Bom - Quando o índice de Risco calculado é bastante inferior ao valor máximo aceitável; Excelente - Quando o índice de Risco calculado é próximo do valor de risco residual, isto é, próximo de zero; Selecção de controlos De acordo com o índice de risco obtido no processo de cálculo, e com todos os dados resultantes da análise do SI, devem ser seleccionados os controlos ou medidas de segurança adequadas. Essas medidas poderão ser, consoante o caso, de correcção, dissuasão, prevenção, detecção, diversão, recuperação. Caso seja necessário deverão ser actualizados alguns parâmetros presentes na Política de Segurança da empresa, caso esta exista.

154 124 CAPÍTULO 4. GESTÃO DO RISCO Esquema proposto A metodologia proposta está representada e resumida no diagrama da figura 4.7. Figura 4.7 Metodologia proposta

155 5 Implementação da metodologia proposta Segundo o esquema da figura 4.7, passa-se a descrever o processo de cálculo do risco. 5.1 Análise do Sistema de Informação Segundo Pimenta(2005), os SI de uma organização para além da componente técnica (hardware e software), compreendem também uma dimensão social formada pelas acções e relações entre utilizadores. Contudo, a metodologia que se apresenta não contempla uma análise à dimensão social. Logo, propõe-se uma análise aos SI da instituição, assente na caracterização da infraestrutura tecnológica e dos processos automatizados existentes, sobretudo aqueles que lidam com informação crítica. Esta primeira fase divide-se em quatro etapas: Descrição da Rede informática da organização (Hardware); Identificação do software utilizado nas diversas plataformas; Identificação das máquinas críticas do sistema; Identificação dos serviços suportados pelo sistema, principalmente os serviços críticos (100% dependentes da infra-estrutura informática); 125

156 126 CAPÍTULO 5. IMPLEMENTAÇÃO DA METODOLOGIA PROPOSTA Descrição da Infraestrutura Informática De modo a evitar a divulgação, no momento da publicação desta Dissertação de Mestrado, de dados confidenciais da rede em estudo, esta descrição será o mais geral possível, omitindo nomes de máquinas, serviços, e outros dados sigilosos. Figura 5.1 Esquema Geral da Rede Informática em estudo Conforme ilustrado na figura 5.1, a rede é guarnecida por dois serviços de Internet, de modo a que, se por algum motivo, algum deles falhe, o segundo consiga continuar a suportar os serviços da rede.

157 5.1. ANÁLISE DO SISTEMA DE INFORMAÇÃO 127 Em termos de topologia, a rede apresenta-se num esquema em estrela distribuída, devido ao facto de possuir dois pontos centrais, tendo acesso físico e acesso wireless protegido. Inclui túneis VPN para prestação de serviços a clientes específicos. Entre os serviços de Internet e a rede interna encontra-se uma barreira de segurança, constituída por uma firewall e um router, integrados na mesma máquina. O fluxo que atravessa o filtro é direccionado para um switch de 24 portas que faz a distribuição da informação para a rede interna (figura 5.2). Figura 5.2 Esquema da Rede interna

158 128 CAPÍTULO 5. IMPLEMENTAÇÃO DA METODOLOGIA PROPOSTA Fazendo um zoom da rede interna (figura 5.2), podemos constatar que o fluxo da rede é distribuído pelo siwtch 24 portas para máquinas específicas da rede, para a storage, que permite fazer armazenamento e backup de informação, e para outros switches que servirão de pontos de acesso à Internet, aos vários colaboradores. A grande maioria das máquinas, em produção, com a finalidade de prestar serviços, desenvolver e testar plataformas específicas, são máquinas virtuais. Esta breve análise poderá facilitar a identificação de ameaças à informação suportada pela rede e determinar as que têm mais ou menos probabilidade de se virem a concretizar Identificação do software da rede Com vista a estabelecer um suporte fiável e eficaz aos seus serviços internos e ao desempenho outsourcing e interno dos seus colaboradores, as organizações de TI costumam fornecer e utilizar várias gamas de software, adequadas a cada plataforma e/ou a cada circunstância. Neste caso concreto, a organização baseia a sua actividade de negócio na aposta em software Open-Source, embora utilize software com licenças privadas. Nesse âmbito, a lista de plataformas de software que compõem a infraestrutura informática é: Versões Microsoft Windows (XP, Vista, 7) Windows Server Distribuições Linux (Ubuntu, Fedora, CentOS) Gestores de base de dados (Oracle, MySQL, PgSQL) Ferramentas open-source: Orientadas à segurança: Babel Enterprise, OpenVas; Orientadas à monitoria e gestão de redes: Nagios, Zabbix; OpenVPN; Entre outras.

159 5.1. ANÁLISE DO SISTEMA DE INFORMAÇÃO Identificação dos serviços disponibilizados No exercício da sua actividade, as empresas de TI têm duas classes de serviços distintas: os serviços internos para uso exclusivo dos seus colaboradores e os serviços com propósito comercial, destinados aos clientes. Em muitos casos, alguns serviços podem servir para uso interno e uso comercial simultaneamente. Neste caso concreto, entre os serviços internos poderemos encontrar: Webmail; DNS; DHCP; LDAP; SUGAR; redmine; wiki; Instant Messenger; entre outros. Da parte de serviços com propósitos comerciais encontram-se soluções de: Monitoria e gestão de redes; Auditoria de Redes; Acessos por VPN; Gestão de base de dados; Backups; Business Inteligence; Entre outros. Analisando a actividade de negócio desta empresa em concreto, e levando em conta todos os os factores descritos no ponto anterior conclui-se facilmente que esta é totalmente dependente da sua infraestrutura informática. Logo, se por qualquer motivo, o SI ficar temporariamente indisponível, durante esse período de tempo a empresa ficará impossibilitada de prestar qualquer tipo de serviço aos seus clientes, podendo apenas realizar pequenas acções de gestão que não dependem do SI. Este factor crítico deve alertar os administradores da organização para a necessidade de implementação de medidas rigorosas de segurança, com o propósito principal de salvaguardar a disponibilidade da rede.

160 130 CAPÍTULO 5. IMPLEMENTAÇÃO DA METODOLOGIA PROPOSTA Identificação de máquinas críticas Tendo em conta o esquema da rede interna da figura 5.2, não podemos afirmar, com rigor, que existem máquinas com falhas graves de segurança ou que se situem em pontos vulneráveis da rede, susceptíveis de serem consideradas críticas. Em síntese, os activos presentes na rede poderão ser divididos em 5 categorias: Máquinas particulares de cada colaborador, na sua maioria computadores portáteis: Estas máquinas são destinadas ao desenvolvimento da actividade particular de cada colaborador, desde a elaboração de documentos até ao acesso remoto a máquinas de desenvolvimento e prestação de serviços; Máquinas de desenvolvimento e testes: Estas máquinas, na sua grande maioria máquinas virtuais, estão destinadas ao desenvolvimento e teste de plataformas, como por exemplo, desenvolvimento e testes de auditoria de redes, backups ou gestão de base de dados. Máquinas em Produção: Estas máquinas, na sua grande maioria máquinas virtuais, são destinadas a suportar serviços em produção, isto é, plataformas dedicadas ao fornecimento directo dos serviços contratados por cada cliente. Devido a este facto, estas máquinas carecem de uma maior atenção e rigor em termos de medidas de segurança. Dispositivos de rede: Switches e routers da rede. Servidor/Blade Enclosure: Esta plataforma central é o coração da rede, pois suporta todas as máquinas virtuais de desenvolvimento e de produção, permite a realização de Backups e/ou a criação de redundância de informação em vários pontos da rede. Existe também uma unidade de armazenamento que possibilita que toda a informação seja armazenada e salvaguardada. Dada a importância desta plataforma central, esta deve ser considerada o activo mais crítico da rede e que carece de medidas de segurança mais rigorosas, pois o controlo desta unidade, por parte de um processo não autorizado poderá ter consequências catastróficas para a organização.

161 5.1. ANÁLISE DO SISTEMA DE INFORMAÇÃO Conclusões Desta análise à infraestrutura informática, objecto deste estudo, podem retirar-se várias conclusões importantes. Em primeiro lugar, os responsáveis pela segurança da rede deverão ter absoluta consciência do elevado grau de dependência da actividade de negócio da organização relativamente à sua infraestrutura informática, sem a qual não consegue sequer garantir requisitos mínimos que suportem os serviços prestados aos clientes. Num nível crítico, as máquinas em produção, o bloco central servidores/blade enclosure, e o router principal de entrada na rede devem ter uma atenção especial a nível de segurança, pois é nestes pontos que se centra toda a informação da empresa. As comunicações via VPN, embora já garantam um bom nível de protecção, também devem ser tidas como pontos críticos da rede. As máquinas de desenvolvimento e as máquinas particulares dos colaboradores, embora não sejam consideradas críticas, não devem, de modo algum, ser desprezadas no plano de segurança, caso contrário representarão pontos vulneráveis de acesso fácil à rede, e consequentemente aos seus activos mais valiosos. Em termos de malware os riscos são reduzidos, visto que a grande maioria dos SO utilizados são baseados em UNIX e o restante software é open-source. No plano de acção foram constatados certos cuidados de segurança por parte dos responsáveis, como comunicações seguras (VPN, SSH, SSL), utilização de firewalls, política de backups e sistemas de controlo de acesso. Para prevenir interrupção de serviços existe um sistema UPS para precaver falhas de energia e duas linhas de Internet distintas para precaver a falha de um dos fornecedores. Contudo há várias lacunas graves que deverão ser corrigidas, nomeadamente a falta de uma política de passwords, de uma política de segurança clara e directa ao utilizador e de registos que possibilitem a realização de uma auditoria externa. Desta forma, embora a rede esteja, teoricamente, bem projectada com uma vasta variedade de medidas de segurança, principalmente a nível das comunicações e disponibilidade de serviço, ainda existem pontos que devem ser melhorados. Estas falhas tornam as ameaças reais, colocando certamente o nível de risco acima do risco desejado (risco residual).

162 132 CAPÍTULO 5. IMPLEMENTAÇÃO DA METODOLOGIA PROPOSTA 5.2 Elementos de Informação Depois de analisada a rede, a nível de hardware, software e serviços que sustentam toda a actividade de negócio, resta-nos analisar o factor mais importante, para o qual os mecanismos de segurança foram propositadamente criados: a informação Identificação dos elementos de informação Analisando atentamente a informação suportada pela infraestrutura informática, conseguem-se identificar os seguintes elementos de informação: Informação Pessoal dos Colaboradores: Nome, naturalidade, estado civil, contacto telefónico, s, etc. Informação administrativa dos colaboradores: Serviços desempenhados, cargo, tipo e duração de contrato, histórico de carreira, horário de trabalho, etc. Informação administrativa de saúde dos colaboradores: Atestados, comparticipações, seguros, etc. Informação financeira dos colaboradores: Remunerações, descontos fiscais, informação bancária, prémios, etc. Informação de identificação de bens móveis e veículos: Identificação e descrição do bem, custo, afectação, estado de conservação, operacionalidade, vida útil, abate, etc. Informação de identificação de imóveis: Identificação, descrição e classificação, custo, classe orçamental, inscrição matricial e afectação, estado de conservação, operacionalidade, etc.

163 5.2. ELEMENTOS DE INFORMAÇÃO 133 Informação geral de fornecedores e instituições parceiras: Nome, contactos, tipo de produtos e serviços, etc. Informação sobre a carteira de clientes: Nome, tipo de cliente, contactos, tipo de serviços prestados, etc. Informação sobre registo de expedientes: Horas extras, prevenções, escalas, reclamações, etc. Informação financeira de fornecedores e instituições parceiras: NIBs, compras, vendas, facturas, etc. Dados de autenticação (controlos de acesso): Informação do sistema LDAP, usernames, passwords, etc. Informação contida em s Informação contida no site oficial da organização Informação sobre processos de certificação: Normas, politicas de formação, procedimentos, etc. Informação sobre as estratégias de negócio da empresa Área de mercado, novas soluções, novos serviços, etc. Informação sobre práticas de desenvolvimento: Informação sobre serviços actuais Informação financeira da instituição Financiamentos, orçamentos, contas bancárias e movimentos, subsídios, programas de apoio, facturação, etc.

164 134 CAPÍTULO 5. IMPLEMENTAÇÃO DA METODOLOGIA PROPOSTA Agregação dos elementos de informação Segundo Pimenta (2005), os elementos de informação devem ser agregados em conjuntos homogéneos, de acordo com determinados critérios que representem as suas características (tipo de informação, origem, sensibilidade, e tempo de vida). A tabela 5.1 apresenta os grupos genéricos de informação que servem de base aos questionários de Delphi. Os critérios utilizados para a formação destes grupos foram, sobretudo, a sensibilidade e o tipo de informação, de modo a que a quebra de segurança de elementos de informação do mesmo grupo provoque o mesmo impacto negativo à organização. Tabela 5.1 Grupos genéricos de informação (G i ) Grupo Elementos de informação a) Informação Pessoal dos Colaboradores G1 b) Informação administrativa dos colaboradores c) Informação administrativa de saúde dos colaboradores G2 Informação financeira dos colaboradores G3 a) Informação de identificação de bens móveis e veículos b) Informação de identificação de imóveis a) Informação geral de fornecedores e instituições parceiras G4 b) Informação sobre a carteira de clientes c) Informação sobre registo de expedientes G5 Informação financeira de fornecedores e instituições parceiras G6 Dados de autenticação (controlos de acesso) G7 Informação contida em s G8 Informação contida no site oficial da organização G9 Informação sobre processos de certificação a) Informação sobre as estratégias de negócio da empresa G10 b) Informação sobre práticas de desenvolvimento c) Informação sobre serviços actuais G11 Informação financeira da instituição

165 5.2. ELEMENTOS DE INFORMAÇÃO Cálculo do Valor da Informação Actualmente vivemos na era da informação, onde esta é puxada, empurrada, arrastada, disseminada através de cabos, fibra óptica e outros dispositivos físicos, tornando-nos fortemente dependentes dela como indivíduos, organizações e agências governamentais. As organizações estão imersas em informação, que assume um papel central para o seu sucesso. Porém, o valor da informação não é estático, pois diferentes indivíduos ou organizações podem atribuir diferentes valores à mesma informação. Desta forma, apesar da percepção do valor que esta fornece, a maioria das organizações não consegue quantificá-lo ou desenvolver ferramentas para o efeito. No entanto sabemos que a informação é uma moeda de duas faces, possuindo valor positivo quando utilizada como recurso para auxiliar determinada organização na sua actividade de negócio e valor negativo quando é usada, abusada e revelada para derrubar governos, destruir organizações e causar danos pessoais inqualificáveis. Desta forma, a importância da segurança da informação cresce exponencialmente, à medida que nos tornamos mais e mais dependentes da tecnologia, assumindo valor acrescentado devido ao aumento das ameaças aos sistemas que a armazenam, processam, apresentam e transmitem. Contudo, antes de se estabelecerem medidas de protecção adequadas a cada recurso de informação, deverá ser estabelecido um mecanismo que permita, de alguma forma, inferir o seu valor. Isto porque, do ponto de vista de segurança, deve ter-se sempre em conta o valor da informação de forma a verificar se um possível investimento em medidas de protecção não será largamente superior ao valor dos recursos que determinamos proteger. Neste sentido, um sistema de avaliação e classificação de informação que obedeça a uma metodologia adequada e que assente no senso comum, no conhecimento da cultura organizacional e na sensibilidade associadas à informação, assumir-se-á como uma vantagem significativa, para a maioria das organizações. É neste sentido e com o objectivo de calcular o valor da informação suportada pelo SI em estudo, que foi adoptado, conforme já indicado na secção 4.3.4, o Modelo de Delphi (figura 5.3).

166 136 CAPÍTULO 5. IMPLEMENTAÇÃO DA METODOLOGIA PROPOSTA Figura 5.3 Procedimento de Delphi

167 5.2. ELEMENTOS DE INFORMAÇÃO 137 Analisando o diagrama da figura 5.3, que representa as várias fases do modelo de Delphi, e tendo em conta as regras, enunciadas na secção 4.3.4, para a sua aplicação, será descrito de seguida todo o processo de cálculo do valor da informação. Escolha do painel Segundo Santos (2007), de modo a que seja possível escolher os elementos mais adequados para integrar o painel de Delphi, é necessário analisar previamente toda a estrutura de recursos humanos da organização envolvida no estudo. Neste caso particular, a organização possui cerca de 20 colaboradores. Contudo, tal como é requerido na secção 4.3.4, só deverão pertencer ao painel elementos que tenham uma longa experiência profissional de interacção com o SI. Desta forma, o grupo de colaboradores a integrar o painel fica reduzido a 11 colaboradores, isto porque os restantes ou se encontram a prestar serviços de outsourcing, não estando em contacto com a rede ou são colaboradores recentes que ainda não têm conhecimento que lhes permita avaliar o valor de cada grupo genérico de informação. Em termos de funções, a organização possui dois grupos internos de trabalho, administradores, gestores de recursos humanos e responsáveis pela infraestrutura informática. Desse modo, entre os 11 elementos que constituem o painel, respeitando todos os requisitos enunciados na secção 4.3.4, encontram-se: Quatro representantes do Grupo de Trabalho 1; Quatro representantes do Grupo de Trabalho 2; Responsável pela gestão, manutenção e Segurança da rede em estudo; Representante do sistema de gestão de recursos humanos; Representante da administração da empresa. Todos estes elementos são ligados à área de consultoria de TI e desempenham as suas funções na unidade onde é realizada a análise do risco. Para além disso, estão directamente ligados aos serviços onde pertence a informação em análise.

168 138 CAPÍTULO 5. IMPLEMENTAÇÃO DA METODOLOGIA PROPOSTA Nota: Devidoaonúmerodeelementosdopainelserdiminuto, ométododedelphinão produz resultados estatisticamente significativos, pois as conclusões alcançadas pelo painel não predizem as respostas de uma larga população ou de outro painel. Representam apenas a síntese da opinião de um grupo particular. Elaboração dos questionários Respeitando as regras impostas na secção 4.3.4, os questionários tiveram como base os grupos genéricos de informação, enunciados na tabela 5.1, de modo a ser possível determinar e classificar o seu valor, segundo as dimensões de segurança: Confidencialidade, Integridade, Disponibilidade e Autenticidade/Responsabilidade. Antesdoenvioda1 a rondadequestionários, oselementosdopainelforaminformados, pessoalmente, acerca dos objectivos do estudo, do método utilizado e respectivas características (anonimato e confidencialidade das respostas, feedback controlado entre rondas e obrigatoriedade de alcance de um nível aceitável de consenso nas respostas). Foram igualmente focados pormenores relativos ao preenchimento do questionário e dissipadas dúvidas existentes e inerentes a todo o processo. O prazo estabelecido para devolução dos questionários foi de 15 dias, pois um processo deste tipo deve ser executado no mínimo espaço temporal possível, sob pena de desactualização das variáveis em questão e das condições gerais do estudo. Os questionários e instruções de preenchimento foram submetidos individualmente, via , meio igualmente utilizado para o retorno dos mesmos, devidamente preenchidos. Em cada questionário era pedido, ao especialista, que classifica-se, separadamente, sob o ponto de vista organizacional, o impacto negativo da perda da confidencialidade, integridade, disponibilidade e autenticidade/responsabilidade, de cada grupo genérico de informação apresentado, numa escala de 1 a 7. Finda a 1 a ronda, os dadosobtidosdos questionários foramsujeitos aum tratamento estatístico, procedendo-se à determinação de medidas de localização (média) e de dispersão (desvio padrão) parciais e totais.

169 5.2. ELEMENTOS DE INFORMAÇÃO 139 Resultados Finais - O valor da Informação Na secção foi decidido utilizar a variável α de Cronbach para determinar o nível de consenso das respostas do painel, adoptando-se a tabela 4.1 para associar cada gama de valores a um determinado grau de consenso. Segundo a mesma tabela, o alcance do consenso será obtido com o α de Cronbach igual ou superior a 0,7. A 1 a Ronda de questionários obteve um grau de consenso na ordem dos 0,5, para todas as dimensões de segurança, o que se revelou insuficiente para terminar o processo de cálculo. No entanto, apesar de ser necessário realizar uma nova ronda de questionários com o propósito de melhorar o nível de consenso, este já se encontra próximo do grau aceitável. Em seguida, foi elaborado um novo questionário (Anexo B), exactamente com as mesmas perguntas, mas desta vez com o auxilio de informação de feedback, nomeadamente a média, o desvio padrão, a frequência de respostas de todo o painel para cada questão, e a resposta dada pelo especialista na ronda anterior. Esta medida permite a cada especialista a comparação das suas respostas com as tendências globais de todo o painel para, se assim o entender, proceder a alterações, de modo a diminuir a dispersão de opiniões e atingir um maior grau de consenso. Deste modo, o grau de consenso aceitável foi atingido na 2 a Ronda para as quatro dimensões de segurança em análise, dando-se assim por terminadas as rondas de questionários e obtidos os resultados finais que determinam o valor da informação. Nota: O tratamento estatístico dos dados dos questionários e o cálculo da variável α de Cronbach realizaram-se recorrendo ao software Microsoft Excel 2007; Por uma razão de síntese, serão apenas apresentados os resultados finais do estudo, resultantes da 2 a Ronda de questionários (tabela 5.2, tabela 5.3, tabela 5.4 e tabela 5.5), visto que são os únicos dados de interesse para o cálculo do risco e para a compreensão de todo o processo envolvido.

170 140 CAPÍTULO 5. IMPLEMENTAÇÃO DA METODOLOGIA PROPOSTA Segundo a dimensão confidencialidade os resultados obtidos foram: Tabela 5.2 Resultados para a dimensão Confidencialidade Confidencialidade Grupo Média Desvio Padrão G1 4 0 G2 6 0,82 G3 4,25 0,50 G4 4,75 0,50 G5 6,75 0,50 G6 6,75 0,50 G7 6,50 0,58 G8 1 0 G9 3,50 1 G10 5,25 1,26 G α de Cronbach = 0,81 (Bom) A matriz relativa ao valor de informação segundo a dimensão confidencialidade, resulta do valor médio das respostas obtidas, na última ronda, para essa dimensão: 4 6 4,25 4,75 6,75 Valor conf. = 6,75 6,50 1 3,50 5,25 7 (5.1) Matriz 5.1. Matriz Valor da Informação, segundo a dimensão Confidencialidade

171 5.2. ELEMENTOS DE INFORMAÇÃO 141 Segundo a dimensão integridade os resultados obtidos foram: Tabela 5.3 Resultados para a dimensão Integridade Integridade Grupo Média Desvio Padrão G1 5 0 G2 6 0 G3 4 0 G4 5,75 0,50 G5 6 0 G6 6,75 0,50 G7 6 0 G8 6,50 0,58 G9 5,75 0,50 G10 5,75 0,50 G α de Cronbach = 0,84 (Bom) De acordo com a tabela de resultados acima representada, a matriz, segundo a dimensão integridade, que será posteriormente utilizada para o cálculo do risco é: ,75 6 Valor int. = 6,75 6 6,50 5,75 5,75 7 (5.2) Matriz 5.2. Matriz Valor da Informação, segundo a dimensão Integridade

172 142 CAPÍTULO 5. IMPLEMENTAÇÃO DA METODOLOGIA PROPOSTA Segundo a dimensão disponibilidade os resultados obtidos foram: Tabela 5.4 Resultados para a dimensão Disponibilidade Disponibilidade Grupo Média Desvio Padrão G1 4 0,82 G2 3,25 0,50 G3 3 0 G4 6,25 0,50 G5 6,25 0,50 G6 5,25 0,50 G7 6,75 0,50 G8 6,25 0,50 G9 5,25 0,50 G10 5,75 0,50 G11 5 0,82 α de Cronbach = 0,81 (Bom) De acordo com a tabela de resultados, acima representada, a matriz, segundo a dimensão disponibilidade, que será posteriormente utilizada para cálculo do risco é: 4 3,25 3 6,25 6,25 Valor disp. = 5,25 6,75 6,25 5,25 5,75 5 (5.3) Matriz 5.3. Matriz Valor da Informação, segundo a dimensão Disponibilidade

173 5.2. ELEMENTOS DE INFORMAÇÃO 143 Segundo a dimensão Autenticidade/Responsabilidade os resultados obtidos foram: Tabela 5.5 Resultados Autenticidade/Responsabilidade Autenticidade/Responsabilidade Grupo Média Desvio Padrão G1 4 0 G2 4 0 G3 4,25 0,50 G4 5,25 0,50 G5 5,75 0,50 G6 5 0 G7 6 0 G8 5,50 0,58 G9 5,25 0,50 G10 6,25 0,50 G11 5,75 0,50 α de Cronbach = 0,85 (Bom) A matriz do valor da informação na dimensão autenticidade/responsabilidade, é: 4 4 4,25 5,25 5,75 Valor resp. = 5 6 5,50 5,25 6,25 5,75 (5.4) Matriz 5.4. Matriz Valor da Informação, segundo a dimensão Autenticidade/Responsabilidade

174 144 CAPÍTULO 5. IMPLEMENTAÇÃO DA METODOLOGIA PROPOSTA Classificação da informação A classificação de cada grupo de informação foi realizada de acordo com os níveis impostos na tabela 4.2 e determinada a nível parcial (tabela 5.6), segundo cada dimensão de segurança, e geral (tabela 5.7). Tabela 5.6 Classificação parcial da informação Grupo Conf. Class. Int. Class. Disp. Class. Resp. Class. G1 4 Restrita 5 Sensível 4 Restrita 4 Restrita G2 6 Crítica 6 Crítica 3,25 Restrita 4 Restrita G3 4,25 Restrita 4 Restrita 3 Restrita 4,25 Restrita G4 4,75 Restrita 5,75 Sensível 6,25 Crítica 5,25 Sensível G5 6,75 Crítica 6 Crítica 6,25 Crítica 5,75 Sensível G6 6,75 Crítica 6,75 Crítica 5,25 Sensível 5 Sensível G7 6,50 Crítica 6 Crítica 6,75 Crítica 6 Crítica G8 1 Pública 6,50 Crítica 6,25 Crítica 5,5 Sensível G9 3,5 Restrita 5,75 Sensível 5,25 Sensível 5,25 Sensível G10 5,25 Sensível 5,75 Sensível 5,75 Sensível 6,25 Crítica G11 7 Crítica 7 Crítica 5 Sensível 5,75 Sensível A classificação geral da informação (tabela5.7) é obtida através do cálculo da média dos valores obtidos na tabela 5.6 para cada grupo de informação: Tabela 5.7 Classificação geral da informação Grupo Valor Médio Classificação G1 4,25 Restrita G2 4,81 Restrita G3 3,88 Restrita G4 5,50 Sensível G5 6,19 Crítica G6 5,94 Sensível G7 6,31 Crítica G8 4,81 Restrita G9 4,94 Restrita G10 5,75 Sensível G11 6,19 Crítica

175 5.2. ELEMENTOS DE INFORMAÇÃO Conclusões Relativamente ao cálculo do valor da informação, através do tratamento estatístico dos dados obtidos dos questionários retiveram-se os seguintes aspectos: Todos os questionários foram devolvidos, e sem respostas nulas, o que denota o interesse da totalidade dos elementos do painel. O elevado grau de participação e de interesse pelo exercício, por parte de todo o painel de especialistas traz maior credibilidade aos resultados alcançados. Na 1 a Ronda não foi atingido, para nenhuma dimensão, um grau de consenso superior a 0,7, embora estivesse já bastante aproximado desse valor, o que facilitou, com a ajuda da informação de feedback, que se atingi-se o consenso total, logo na ronda seguinte. Na 2 a e última ronda o consenso foi atingido, com a variável α de Cronbach a assumir valores situados entre 0,80 e 0,90. Estes resultados são extremamente satisfatórios para este tipo de estudo. Em termos da classificação da informação foram identificados 3 grupos de informação críticos (G5, G7, G11) que exigem uma maior atenção em termos de rigor das medidas de segurança implementadas. Estes 3 grupos representam a informação financeira de gestão da empresa, informação financeira relativa aos fornecedores e instituições parceiras, e informação contida em s (meio de comunicação mais comum, que contém frequentemente dados altamente confidenciais). É também de realçar que existem outros 3 grupos que se aproximam bastante do nível crítico, nomeadamente os grupos G4, G6 e G10, relativos à informação geral de fornecedores, carteira de clientes, dados de autenticação e informação de desenvolvimento de projectos. Embora não esteja rotulada como crítica, a proximidade do nível crítico exige que as medidas de segurança sejam igualmente apertadas. Os restantes grupos de informação são tidos apenas como restritos, não exigindo medidas de segurança tão rigorosas.

176 146 CAPÍTULO 5. IMPLEMENTAÇÃO DA METODOLOGIA PROPOSTA 5.3 Probabilidade de ocorrência de Ameaças Para o cálculo da probabilidade de ocorrência de ameaças, outra das variáveis para o cálculo do risco, são necessários três elementos: os grupos genéricos de informação avaliados no ponto anterior, os processos dos quais essa informação é alvo, e por último, as ameaças associadas a cada um desses processos Processos Genéricos De acordo com o modelo proposto na secção 4.3.5, a informação da área de TI é alvo de um conjunto de processos, ao longo do seu ciclo de vida: Consultar, Criar, Editar, Organizar, Eliminar, Comunicar e Armazenar. Contudo, se considerarmos que existem quatro classes de ameaças associadas a cada processo, isso irá traduzir-se em 28 permutações (7 processos x 4 ameaças), relativas a 11 grupos genéricos de informação, o que dará um total de 308 questões no questionário (28 associações x 11 grupos de informação). Isto resultaria num processo bastante demoroso e trabalhoso, tanto para o coordenador do exercicio como para os elementos do painel. Visto isto, é importante reduzir o número de processos a simplificar o método de cálculo. Nesse sentido foi eliminado o processo Organizar, relativo a documentos em suporte de papel que não são suportados pela infraestrutura informática e agrupados os restantes processos da seguinte forma: Grupo 1 (Criar/Editar/Eliminar): Este três processos foram reunidos num grupo único, pois ambos pressupõem a alteração do conteúdo da informação. Grupo 2 (Consultar): O processo consultar permite aceder à informação, sem a alterar, motivo pelo qual não pôde ser incluído no grupo 1. Grupo 3 (Comunicar): O processo comunicar também é independente dos restantes, visto que apenas tem em conta a transferência da informação. Grupo 4 (Armazenar): Este processo é igualmente independente, visto que só considera aspectos relacionados com o armazenamento da informação.

177 5.3. PROBABILIDADE DE OCORRÊNCIA DE AMEAÇAS Identificação de Ameaças Na secção 4.3.5, foram analisadas várias abordagens de identificação de ameaças. A primeira abordagem ponderada foi o aproveitamento de estudos estatísticos que identificam, periodicamente, as ameaças mais comuns do ambiente empresarial e determinam a probabilidade de ocorrência de cada uma delas, como é exemplo o relatório da CSI/FBI - Computer Crime and Security Survey de 2004, utilizado no estudo de Santos (2007). Contudo, essa proposta foi posta de parte visto que os dados resultantes das análises estatísticas ficam frequentemente obsoletos, o que pode comprometer a fiabilidade dos resultados finais do estudo em curso. Para contornar este problema, a norma ISO identifica 17 grupos genéricos de ameaças que poderão ser utilizados em métodos de cálculo subjectivos, como o modelo de Delphi. Entre os grupos de ameaças estão os acessos não autorizados, interrupções, revelações, modificações, roubos, acidentes, malware, etc. Porém, embora desta forma, as ameaças já estejam agrupadas, a análise continua a ser muito particular, isto porque 17 grupos de ameaças, à semelhança do número inicial de processos, tornaria o método de cálculo bastante demoroso e trabalhoso, com 68 permutações (17 ameaças X 4 processos), que resultariam num enorme número de questões. Desta forma, é necessário reduzir o número de grupos de ameaças, eliminando as ameaças de carácter físico que estão fora do âmbito deste estudo, unificando grupos com ameaças em comum e agrupando os restantes. Como resultado desta análise formaram-se os seguintes grupos de ameaças: Intercepção (A1): Ameaças que implicam o acesso à informação, violando a sua dimensão de confidencialidade. Modificação (A2): Ameaças que implicam não só o acesso à informação, mas também a sua modificação, violando a dimensão Integridade. Interrupção (A3): Ameaças que implicam a indisponibilidade da informação, violando a dimensão de segurança disponibilidade. Produção ou Fabricação (A4): Ameaças que corrompem a informação, violando a sua dimensão de autenticidade.

178 148 CAPÍTULO 5. IMPLEMENTAÇÃO DA METODOLOGIA PROPOSTA Cálculo da probabilidade de ocorrência de ameaças Para o cálculo da probabilidade de ocorrência de ameaças a cada grupo genérico de informação em estudo, segundo as suas quatro dimensões de segurança, utilizou-se novamente o modelo de Delphi, respeitando a estrutura da figura 5.3. Nesse âmbito, e tal como previamente decidido na secção 4.3.6, optou-se por manter integralmente o painel de especialistas que participou no processo de cálculo do valor da informação, visto que cumpre todos os requisitos exigidos para a avaliação da probabilidade de ocorrência de ameaças. Em termos de questionários, a metodologia proposta prevê duas alterações principais em relação aos questionários utilizados para o cálculo do valor da informação. A primeira alteração notória é o modelo de pergunta, pois para além dos grupos genéricos de informação e das dimensões de segurança envolvidas como parâmetros de avaliação da informação, neste caso a questão terá de ter também em conta cada um dos processos genéricos apresentados e as ameaças que lhe estão associadas. A segundo grande alteração é a escala numérica de avaliação, isto é, visto que a probabilidade de um determinado evento é dada normalmente em percentagem, teve que se alterar a avaliação para uma escala bipolar de 1 a 10, onde cada valor dessa escala equivale a um intervalo de percentagens, como se mostra na tabela 4.4. No que se refere à estimativa do grau de consenso das respostas dadas por todo o painel de especialistas voltou-se a recorrer à variável α de Cronbach, respeitando a mesma tabela de avaliação (tabela 4.1), enunciada na secção À semelhança do que ocorreu na primeira implementação do modelo de Delphi, para que o processo de cálculo possa ser dado como terminado, o grau de consenso terá de ser igual ou superior a 0,7, para todas as dimensões de segurança. Seguindo estes critérios, foi possível avaliar, de forma sustentada, a probabilidade de ocorrência de cada grupo de ameaças, identificados na secção 5.3.2, associadas aos diversos processos, descritos na secção 5.3.1, a que os grupos genéricos de informação estão sujeitos durante a sua existência. O consenso das respostas do painel de especialista foi alcançado na 2 a ronda de questionários, a partir dos quais se obtiveram os resultados finais, enunciados nas tabelas 5.8, 5.9, 5.10, 5.11.

179 5.3. PROBABILIDADE DE OCORRÊNCIA DE AMEAÇAS 149 Relativamente aos processos Criar, Editar e Eliminar, grupo 1, a média de probabilidades obtidas dos questionários é representada na tabela 5.8. Tabela 5.8 Resultados finais para os Processos do grupo 1 Processos (Grupo 1) Grupo A1 A2 A3 A4 G1 5 3,25 2,75 3,25 G2 2,75 2 2,50 2,25 G3 3 1,25 2,25 2 G4 4,5 2,25 3,75 2,50 G5 2,25 1,50 2 2,25 G6 3,25 2,50 2 3,25 G7 4 2,75 3,25 3,25 G8 7,50 2,75 2,75 2,75 G9 3,75 2,25 2,75 2,50 G10 3,50 1,50 2,75 2,75 G ,25 1,50 α de Cronbach = 0,87 (Bom) Quanto ao processo Consultar, grupo 2, a média de probabilidades é: Tabela 5.9 Resultados finais para os Processos do grupo 2 Processos (Grupo 2) Grupo A1 A2 A3 A4 G1 3,50 2,50 2,75 2,75 G2 2,25 1,50 1,50 1,25 G3 2,50 1,25 1,50 1,50 G4 3,50 1,50 3,25 2,50 G5 2,25 1,50 1,50 1,50 G6 3,50 2,75 3,25 2,75 G7 5 2,50 3,50 2,50 G8 5,25 2,50 3,50 2,75 G9 3,25 1,50 2 1,50 G10 3,25 1,50 2,50 2,25 G11 2 1,25 2 1,25 α de Cronbach = 0,83 (Bom)

180 150 CAPÍTULO 5. IMPLEMENTAÇÃO DA METODOLOGIA PROPOSTA Relativamente ao processo Comunicar, incluído no grupo 3, a média de probabilidades obtidas dos questionários é representada na tabela Tabela 5.10 Resultados finais para os Processos grupo 3 Processos (Grupo 3) Grupo A1 A2 A3 A4 G1 2 1,50 2,25 1,50 G2 2,25 1,50 1,50 1,25 G3 1,25 1,25 1,50 1,25 G4 3,50 2,50 3,50 2,50 G5 1,25 1,50 2,25 1,50 G6 2,75 2,75 3,25 2,50 G7 3,25 2,75 4 2,75 G8 3,75 3,50 3,50 3,25 G9 2,50 2, G10 2,25 2,25 3,50 2,50 G11 1,25 1,50 1,50 1,25 α de Cronbach = 0,89 (Bom) Quanto ao processo Armazenar, grupo 4, a média de probabilidades é: Tabela 5.11 Resultados finais para os Processos grupo 4 Processos (Grupo 4) Grupo A1 A2 A3 A4 G1 3,50 2,75 3,25 0 G2 3,25 2 2,25 0 G G4 3,50 2 2,50 0 G G6 1,50 1,50 2,50 0 G7 2,75 1,50 2,75 0 G8 3,50 2 2,75 0 G9 3,25 1,50 2,50 0 G10 2,75 1,50 2,50 0 G ,50 0 α de Cronbach = 0,83 (Bom)

181 5.3. PROBABILIDADE DE OCORRÊNCIA DE AMEAÇAS 151 Através dos dados das tabelas 5.8, 5.9, 5.10 e 5.11, podemos construir as matrizes probabilidade relativas a cada dimensão de segurança. Isto é feito considerando a relação estabelecida na tabela 4.5, relativa às dimensões que são predominantemente afectadas quando se concretiza cada classe de ameaça. Desta forma, as matrizes(5.5, 5.6, 5.7, 5.8) resultantes do processo de avaliação de probabilidades são: 5 3,25 3,50 2,50 2 1,50 3,50 2,75 2,75 2 2,25 1,50 2,25 1,50 3, ,25 2,50 1,25 1,25 1, ,50 2,25 3,50 1,50 3,50 2,50 3,50 2 2,25 1,50 2,25 1,50 1,25 1, P conf. = 3,25 2,50 3,50 2,75 2,75 2,75 1,50 1,50 4 2,75 5 2,50 3,25 2,75 2,75 1,50 7,5 2,75 5,25 2,50 3,75 3,50 3,50 2 3,75 2,25 3,25 1,50 2,50 2,50 3,25 1,50 3,50 1,50 3,25 1,50 2,25 2,25 2,75 1, ,25 1,25 1, Matriz 5.5. Probabilidade da concretização de uma ameaça que afecta a confidencialidade 3,25 2,50 1,50 2,75 2 1,50 1,50 2 1,25 1,25 1,25 2 2,25 1,50 2,50 2 1,50 1,50 1,50 2 P int. = 2,50 2,75 2,75 1,50 2,75 2,50 2,75 1,50 2,75 2,50 3,50 2 2,75 1,50 2,50 1,50 1,50 1,50 2,25 1,50 2 1,25 1,50 2 Matriz 5.6. Probabilidade da concretização de uma ameaça que afecta a integridade

182 152 CAPÍTULO 5. IMPLEMENTAÇÃO DA METODOLOGIA PROPOSTA 2,75 2,75 2,25 2,75 2,50 1,50 1,50 2 2,25 1,50 1,50 2 3,75 3,25 3, ,50 2,25 2 P disp. = 2 3,25 3,25 1,50 3,25 3,50 4 1,50 2,75 3,50 3,50 2 2, ,50 2,75 2,50 3,50 1,50 2,25 2 1,50 2 Matriz 5.7. Probabilidade da concretização de uma ameaça que afecta a disponibilidade 3,25 2,75 1,50 0 2,25 1,25 1, ,50 1,25 0 2,50 2,50 2,50 0 2,25 1,50 1,50 0 P resp. = 3,25 2,75 2,50 0 3,25 2,50 2,75 0 2,75 2,75 3,25 0 2,50 1, ,75 2,25 2,50 0 1,50 1,25 1,25 0 Matriz 5.8. Probabilidade da concretização de uma ameaça que afecta a autenticidade/responsabilidade Nota: Amatriz5.8 possui uma coluna dezeros devido aofactoda classe deameaças Produção não se aplicar ao processo Armazenar incluído no grupo 4.

183 5.3. PROBABILIDADE DE OCORRÊNCIA DE AMEAÇAS Conclusões Esta segunda aplicação do modelo de Delphi revelou-se mais trabalhosa devido à quantidade de variáveis utilizadas para o efeito. Considerando os 4 grupos de processos genéricos e as 4 classes de ameaças que estão associadas a cada um deles, obtiveram-se 16 permutações (4 processos x 4 ameaças), relativas a 11 grupos genéricos de informação, o que resultou num total de 176 questões. Este número elevado de questões dificultou o tratamento estatístico dos dados e a consequente construção das matrizes que entraram para o cálculo do risco. No entanto, o procedimento foi terminado com sucesso e permitiu reter as seguintes conclusões: Todos os questionários foram devolvidos, e sem respostas nulas, o que denota o interesse dos elementos do painel. Este elevado grau de participação e de interesse pelo exercício traz maior credibilidade aos resultados alcançados. Na 1 a Ronda não foi atingido um grau de consenso superior a 0,7 para nenhum grupo de processos, estando alguns deles bastante distantes do grau aceitável. Isto poderá dever-se ao facto da escala de avaliação ser mais alargada, com 10 hipóteses de escolha, fazendo com que as respostas dos especialistas do painel não converjam tão rapidamente para um determinado valor. Na 2 a ronda o consenso foi atingido, com o α de Cronbach a assumir valores, situados entre 0,8 e 0,9, resultados extremamente satisfatórios. No caso do grupo 3, o grau de consenso aproximou-se bastante do nível Excelente. Analisando os resultados, podemos constatar que os valores gerais de probabilidade não são expressivos. O valor mais alto obtido foi a probabilidade de ocorrência da ameaça Intercepção (A1) associada aos processos Criar/Editar/Eliminar(Grupo 1) relativamente à informação contida no site da organização (G8), classificada com 7,5 valores. Os restantes valores variam entre 1 e 5 valores, com maior frequência entre 1 e 3, significando que na grande maioria dos casos a probabilidade de ocorrência de ameaças não ultrapassa os 30%. Este facto demonstra que o painel de especialista reconhece um nível de segurança aceitável à rede e tem confiança na sua utilização.

184 154 CAPÍTULO 5. IMPLEMENTAÇÃO DA METODOLOGIA PROPOSTA 5.4 O Risco Uma vez estimado o valor de cada grupo genérico de informação e a probabilidade de concretização de cada ameaça, cabe agora calcular o índice de risco, em função de cada dimensão de segurança, respeitando a fórmula geral do Risco utilizada nos modelos de gestão de risco mais comuns: Risco = Probabilidade.de.ocorrer Valor.perdido.na uma.quebra.de.seguranca quebra.de.seguranca Porém, embora este cálculo seja apenas baseado no produto de duas matrizes, tornou-se necessário proceder a ajustes para resolver alguns entraves matemáticos. Visto que as escalas de avaliação utilizadas nas aplicações do modelo de Delphi são diferentes, [1;7] (escala de Likert) para a avaliação do valor da informação e [1;10] para a avaliação da probabilidade de concretização de ameaças, é matematicamente inviável o cálculo dos índices de risco. Neste contexto foi decidido uniformizar todos os valores para uma escala [0;1], convertendo inicialmente os valores da escala [1;7] para a escala [0;6] e posteriormente para a escala [0;1], e multiplicando os valores da escala [1;10] apenas pelo escalar 0,1, devido ao facto da gama de percentagens correspondente à escala estar definida naturalmente em [0,100]. Para além da questão da uniformização de escalas, surgiu outro problema, desta vez relativo às regras anexas ao cálculo matricial. Para ser possível calcular o nível de risco, pelo produto de duas matrizes, a operação terá de ter o formato: P m,p V p,n = Risco m,n Contudo, embora as matrizes associadas ao valor da informação tenham todas a mesma dimensão (V 11 1 ), o mesmo não se passa com as matrizes probabilidade (P conf11 8, P int11 4, P disp11 4, P resp11 4 ). Para além disso, para ser possível o produto entre estes dois tipos de matrizes, as matrizes probabilidade terão que ter a dimensão P 11 11, respeitando a regra imposta anteriormente: Probabilidade Valor 11 1 = Risco 11 1

185 5.4. O RISCO 155 Visto isto, com base nas matrizes de probabilidade (Matriz 5.5, Matriz 5.6, Matriz 5.7 e Matriz 5.8) e segundo o estudo de Santos (2007), podem construir-se quatro matrizes (n x n), em que cada valor da diagonal principal é igual ao valor máximo da respectiva linha da matriz, tomando os restantes elementos o valor de zero, tal como enunciado na secção (Matriz 4.10, Matriz 4.11, Matriz 4.12, Matriz 4.13), resultando nas matrizes de probabilidade máxima: , , , , , , , Matriz 5.9. Probabilidade máxima da concretização de uma ameaça que afecta a confidencialidade P MAXconf 3, , , , , , , Matriz Probabilidade máxima de ocorrência de ameaças à Integridade P MAXint

186 156 CAPÍTULO 5. IMPLEMENTAÇÃO DA METODOLOGIA PROPOSTA 2, , , , , , , , , ,25 Matriz Probabilidade máxima de ocorrer ameaças à Disponibilidade P MAXdisp 3, , , , , , , , , ,25 Matriz Probabilidade máxima de ocorrerem ameaças à Autenticidade P MAXresp

187 5.4. O RISCO Cálculo do Risco O risco será dado por uma matriz coluna Risco Dimensao em que cada elemento risco DimensaoGi representa o índice de risco para o grupo de informação G i, segundo uma dada dimensão. Desta forma os resultados finais são: 0, , , , , P MAXconf = , , , , , ,20 Matriz Probabilidade máxima da concretização de uma ameaça que afecta a Confidencialidade, na escala [0,1] 0,57 0,86 0,61 0,68 0,97 Valor conf. = 0,97 0,93 0,14 0,5 0,75 1 Matriz Matriz Valor da informação, segundo a dimensão Confidencialidade, na escala [0,1]

188 158 CAPÍTULO 5. IMPLEMENTAÇÃO DA METODOLOGIA PROPOSTA A matriz Risco conf. é calculada pelo produto entre a matriz P MAXconf. e a matriz Valor conf.. Logo, o índice de risco, segundo a dimensão confidencialidade é: Risco conf. = 0,29 0,28 0,18 0,31 0,22 0,34 0,47 0,11 0,19 0,26 0,20 = P MAXconf. Valor conf. Matriz Índice de Risco segundo a dimensão Confidencialidade Passando agora para a dimensão integridade, teremos que considerar as matrizes P MAXint e Valor int., na escala [0;1], para o cálculo do risco: 0, , , , , P MAXint = , , , , , ,20 Matriz Probabilidade máxima da concretização de uma ameaça que afecta a Integridade, na escala [0,1]

189 5.4. O RISCO 159 0,71 0,86 0,57 0,82 0,86 Valor int. = 0,97 0,86 0,93 0,82 0,82 1 Matriz Matriz Valor da informação, segundo a dimensão Integridade, na escala [0,1] AmatrizRisco int. éobtidapelo produtoentre amatrizp MAXint. eamatrizvalor int.. Logo, o índice de risco, segundo a dimensão integridade é: 0,23 0,17 0,11 0,21 0,17 Risco int. = 0,27 = P MAXint. Valor int. 0,24 0,33 0,23 0,19 0,20 Matriz Índice de Risco segundo a dimensão Integridade

190 160 CAPÍTULO 5. IMPLEMENTAÇÃO DA METODOLOGIA PROPOSTA Quanto à dimensão da disponibilidade, teremos que considerar as matrizes P MAXdisp e Valor disp. para o cálculo do risco, ambas na escala [0,1]. 0, , , , , P MAXdisp = , , , , , ,23 Matriz Probabilidade máxima da concretização de uma ameaça que afecta a Disponibilidade, na escala [0,1] 0,57 0,47 0,43 0,89 0,89 Valor disp. = 0,75 0,97 0,89 0,75 0,82 0,72 Matriz Matriz Valor da informação, segundo a dimensão Disponibilidade, na escala [0,1]

191 5.4. O RISCO 161 A matriz Risco disp. é calculada pelo produto entre a matriz P MAXdisp. e a matriz Valor disp.. Esta operação resulta na matriz: Risco disp. = 0,16 0,12 0,10 0,34 0,21 0,25 0,39 0,31 0,21 0,29 0,17 = P MAXdisp. Valor disp. Matriz Índice de Risco segundo a dimensão Disponibilidade Finalmente, resta-nos analisar a dimensão da autenticidade/responsabilidade. Tal como nas restantes dimensões, teremos que considerar a matriz P MAXresp. e a matriz Valor resp., ambas na escala [0,1]. 0, , , , , , , , , , ,13 Matriz Probabilidade máxima de ocorrerem ameaças à Autenticidade/Responsabilidade P MAXresp, na escala [0,1]

192 162 CAPÍTULO 5. IMPLEMENTAÇÃO DA METODOLOGIA PROPOSTA 0,57 0,57 0,61 0,75 0,82 Valor resp. = 0,72 0,86 0,79 0,75 0,89 0,82 Matriz Matriz Valor da informação, segundo a dimensão Autenticidade/Responsabilidade, na escala [0,1] A matriz Risco resp. é calculada pelo produto entre a matriz P MAXresp. e a matriz Valor resp.. Desta operação resulta a matriz: Risco resp. = 0,19 0,13 0,12 0,19 0,19 0,24 0,28 0,26 0,19 0,25 0,11 = P MAXresp. Valor resp. Matriz ÍndicedeRiscosegundoadimensãoAutenticidade/Responsabilidade

193 5.4. O RISCO Avaliação do Risco A última etapa consiste na avaliação e classificação dos índices de risco obtidos. Tal como é referido na secção 4.3.8, o processo de classificação terá de ser baseado num referencial de risco adoptado pela organização (tabela 5.20). Tendo em conta a forte dependência da organização envolvida neste estudo em relação à sua infraestrutura informática, foi decidido colocar o limite de risco aceitável inferior a 0,5 (50%), isto porque é impensável o risco da rede ser atacada ser igual ou aproximado ao risco de não o ser. Deste modo colocou-se o nível de risco máximo aceitável nos 0,4 (40%), e dividida a restante escala no seguintes níveis: Tabela 5.20 Níveis de referência ao processo de classificação Nível Classificação Risco > 0,4 Mau 0,3 < Risco 0,4 Aceitável 0,2 < Risco 0,3 Bom 0,1 < Risco 0,2 Excelente Risco < 0, 1 Residual Perante os níveis da tabela 5.20, a classificação do risco pode ter várias abordagens. A primeira abordagem que se impõe prevê a classificação de todos os índices de risco obtidos no processo de cálculo. Porém, este tipo de classificação não dá noção dos níveis de perigo a que a informação está sujeita, isto porque para a mesma informação existem 4 índices de risco distintos. Deste modo, para que consigamos obter um índice de risco único que nos dê de imediato, numprimeiroolhar, anoçãodonível deriscodecadagrupodeinformação, necessitamos adoptar outra abordagem. Nesse sentido, temos duas soluções: ou maximizamos o risco, escolhendo o maior índice de risco de entre os 4 índices, relativos a cada dimensão de segurança, ou calculamos a média dos mesmos. Desta feita, a maximização do risco fornece um índice de risco maior, o que obriga a aplicar medidas de segurança mais rigorosas, enquanto que o cálculo da média é útil para obter uma estimativa do índice de risco geral da rede.

194 164 CAPÍTULO 5. IMPLEMENTAÇÃO DA METODOLOGIA PROPOSTA A tabela 5.21 apresenta a classificação do risco, segundo as abordagens descritas. Tabela 5.21 Classificação dos índices de risco referentes a cada grupo genérico de informação G i G i Conf. Int. Disp Resp. Max. Nível Média Nível G1 0,29 0,23 0,16 0,19 0,29 Bom 0,22 Bom G2 0,28 0,17 0,12 0,13 0,28 Bom 0,18 Excelente G3 0,18 0,11 0,10 0,12 0,18 Excelente 0,13 Excelente G4 0,31 0,21 0,34 0,19 0,34 Aceitável 0,26 Bom G5 0,22 0,17 0,21 0,19 0,22 Bom 0,20 Bom G6 0,34 0,27 0,25 0,24 0,34 Aceitável 0,28 Bom G7 0,47 0,24 0,39 0,28 0,47 Mau 0,35 Aceitável G8 0,11 0,33 0,31 0,26 0,33 Aceitável 0,25 Bom G9 0,19 0,23 0,21 0,19 0,23 Bom 0,21 Bom G10 0,26 0,19 0,29 0,25 0,29 Bom 0,25 Bom G11 0,20 0,20 0,17 0,11 0,20 Bom 0,17 Excelente Risco Geral da Rede = 0,29 Bom 0,23 Bom Nota: Todo o cálculo matricial envolveu um arredondamento grosseiro a duas casas decimais, visto que apenas se trata de uma estimativa, que já por si admite uma gama de erro significativa, visto que existem factores que não foram tidos em conta, tal como as ameaças físicas ou a identificação de classes de ameaças mais específicas. Desta forma o erro proveniente dos arredondamentos pode ser desprezado. Analisando os valores obtidos comprovamos que, na maioria dos casos, os resultados são bastante bons. Contudo, existem ainda arestas por limar, nos casos dos índices classificados como aceitáveis, isto porque uma simples alteração de uma variável de análise poderá atirar o índice para valores reprováveis. Porém, o caso mais grave verificado é o índice de risco relativo à informação contida em s (G7), que ultrapassou o nível aceitável, o que indica que deverão ser consideradas medidas de segurança mais severas na plataforma onde esta informação está alocada. Em termos de Risco Geral da Rede os valores obtidos são satisfatórios, porém já se encontram bastante próximos do nível aceitável, o que não é um nível confiável para a segurança futura da actividade de negócio.

195 6 Babel Enterprise Como se pode constatar facilmente pelo capítulo 5, o processo de cálculo e gestão do risco é bastante trabalhoso e prolongado, envolvendo em todo o procedimento, um painel de especialistas, a elaboração de questionários e o tratamento estatístico de dados (que por vezes se torna intragável ou bastante complexo). Todo o processo de análise e cálculo pode demorar meses a ser concluído o que faz com que, em determinadas circunstâncias, quando se atingem os resultados finais, as variáveis iniciais já estejam desactualizadas, ou pelo surgimento de novas ameaças, ou pela mudança na estrutura da informação, ou por outro motivo válido. Se tivermos também em conta, que todo o processo de análise de risco tem de ser executado periodicamente a situação agrava-se ainda mais, isto porque é bastante trabalhoso elaborar vários questionários e dividi-los por várias rondas, realizando sempre cálculos intermédios. Em termos de recursos humanos é necessário perturbar vários actores do sistema, o que na maioria das vezes se torna incomodo, tanto para quem está a coordenar o processo como para quem pertence ao painel de especialistas e tem que despender de uma quantidade de tempo considerável. Por outro lado, visto que os painéis têm, normalmente, um número razoável de elementos é difícil conseguir estimula-los a responder aos questionários dentro dos prazos e a interessarem-se pela problemática da segurança, o que dificulta ainda mais o exercício. 165

196 166 CAPÍTULO 6. BABEL ENTERPRISE Fora os problemas logísticos inerentes ao processo, também os parâmetros técnicos apresentam alguns entraves. Se pretendermos efectuar um estudo rigoroso, temos de aprofundar o processo de identificação das variáveis necessárias para o seu cumprimento. Neste caso concreto, quanto mais aprofundada for a análise aos elementos de informação, aos processos que a manipulam e às ameaças que lhe estão associadas, mais rigoroso e credível será o resultado final. No entanto, isso levaria a que tivéssemos várias dezenas de elementos de informação e ameaças, que originariam centenas de tabelas de preenchimento para cada questionário, o que seria impraticável, pois dificilmente alguém aceitaria preencher tal enormidade de perguntas, e mesmo que o fizessem o tratamento estatístico dos dados seria bastante complexo. Isto leva a que os coordenadores do exercício, tal como ocorreu neste estudo, optem por reunir os elementos de informação, as ameaças e até os processos genéricos de manuseamento em grupos genéricos. Porém, com isto, poupa-se trabalho e tempo, mas perde-se no rigor e na credibilidade dos valores finais, que podem ter associados erros bastante significativos. Desta forma, por todos estes factores, é vital que existam ferramentas informáticas que permitam identificar as vulnerabilidades do sistema e saber, em tempo real, o nível de risco que estas implicam para a informação, segundo uma determinada política de segurança. Esta acção é, geralmente, realizada através de uma auditoria, que de acordo com IPN (2010), é o processo que averigua o nível de segurança de uma infraestrutura informática, baseado num conjunto de metodologias precisas e pormenorizadas a todos os níveis da infraestrutura, sendo esta detalhadamente testada. Executada periodicamente, a auditoria garante um alto nível de segurança, afirmando-se como um pilar importante na continuidade da actividade de negócio. Neste contexto, surge o Babel Enterprise, como um software capaz de auditar as principais tecnologias do mercado, dividido nas versões: Babel Enterprise 1.x e Babel Enterprise 2.0. A primeira versão surge bastante centrada na parte técnica, mas carece de algumas funcionalidades importantes como a capacidade de agregar dados de diferentes fontes e de trabalhar sobre políticas de segurança, parâmetros a partir dos quais se desenvolveu a versão Babel Enterprise 2.0 que se apresentou como um quadro de indicadores de segurança altamente versátil.

197 6.1. CARACTERÍSTICAS Características Segundo a Artica ST e OpenIdeas (2010), o Babel Enterprise 2.0 é uma plataforma de auditoria de redes e sistemas que disponibiliza um dashboard de segurança, 100% adaptável às necessidades de cada empresa. Tem como principais características: Software Livre, sob licença GPL, e Open-Source, permitindo aos utilizadores modifica-lo livremente, de forma a adapta-lo às suas necessidades; Permite integrar diferentes dados de diferentes fontes, incluindo fontes externas (Nessus, Snort, etc), de forma a realizar uma auditoria mais completa; Capacidade de detectar vulnerabilidades que ponham em causa a segurança do sistema, e calcular, a partir desses dados, o nível de risco correspondente; Capacidade de avaliar e validar o grau de cumprimento de uma política de segurança ou normativa (ISO/IEC 13335, ISO/IEC 27001, etc); Capacidade de salvaguardar toda a informação recolhida numa base de dados, durante um tempo limitado, para a sua consulta posterior; É uma ferramenta não intrusiva, pois não realiza nenhuma alteração nos sistemas que audita, executando apenas os testes necessários e facultando os resultados num relatório detalhado, em formato HTML e PDF. O Babel Enterprise está capacitado para gerir a segurança de sistemas num contexto grande e complexo, com diferentes tecnologias e diferentes SO, com distintas versões e configurações, podendo ser gerido por diferentes equipas humanas com diferentes capacidades e responsabilidades. O Babel Enterprise possui agentes para versões Microsoft Windows e sistemas Unix mais comuns como Solaris, AIX, SUSE, GNU/Linux e Debian, podendo ser facilmente adaptado a outros sistemas como o BSD ou HPUX. A sua documentação está disponível em: e

198 168 CAPÍTULO 6. BABEL ENTERPRISE 6.2 Arquitectura Geral O Babel Enterprise 2.0 é caracterizado por uma arquitectura cliente-servidor, onde a parte cliente é responsável tanto pela configuração como pela execução dos testes de auditoria. A parte do servidor apenas é responsável por receber, processar e apresentar os dados de auditoria de forma concisa e organizada. Figura 6.1 Arquitectura Cliente (Fonte: OpenIdeas (2010) e ArticaST (2010)) Pela figura 6.1 vemos que o Babel Enterprise trabalha com três fontes de dados: Dados do Sistema colectados pelos agentes Babel Enterprise instalados no sistema. São dados provenientes do processo directo de auditoria. Dados de terceiras partes provenientes de ferramentas externas. Estes dados são obtidos através de colectores de eventos ou módulos específicos. Entradas do utilizador são dados especificados pelos utilizadores, através do preenchimento de formulários em formato digital. Através destas três fontes de dados, o Babel Enterprise recolhe toda a informação relativa aos sistemas que audita. Posteriormente, essa informação é enviada para o lado servidor (figura 6.2) para que possa ser processada e relacionada com uma base de dados de backend com informação de segurança actualizada periodicamente pela Artica ST, empresa criadora da solução Babel Enterprise.

199 6.2. ARQUITECTURA GERAL 169 Figura 6.2 Arquitectura Servidor (Fonte: OpenIdeas (2010) e ArticaST (2010)) No final do processo de auditoria são gerados dois tipos de relatórios (figura 6.2): os Management Reports gerados de acordo com as configurações definidas na dashboard e apresentados sob forma de gráficos estatísticos para efeitos de gestão global do sistema(incluem a indicação e evolução do índice de risco geral do sistema), e os Technical Reports também gerados de acordo com as configuração definidas na dashboard, mas tendo também em conta as vulnerabilidades encontradas em cada máquina auditada, apresentando-se assim como um inventário técnico individual das não conformidades encontradas durante a auditoria, em cada uma delas. Desta forma, o responsável pela gestão e segurança do sistema consegue obter dados gerais sobre a evolução do índice de risco geral, podendo aplicar medidas de segurança mais apertadas para o diminuir, se assim for necessário. Por outro lado, o utilizador de cada máquina auditada obtem um inventário das vulnerabilidades que esta apresenta (ínclui índice de risco da máquina), podendo assim corrigi-las, eliminando o risco que lhe está associado.

200 170 CAPÍTULO 6. BABEL ENTERPRISE A arquitectura Babel Enterprise não possui um bloco único para o cliente e para o servidor. O cliente é dividido em agentes, módulos, colectores e consola web, por outro lado o servidor é formado pelo componente servidor e por uma base de dados SQL. Desta forma o Babel Enterprise apresenta-se como uma estrutura modular, fácil de expandir e personalizar, que permite redundância dos seus componentes Agentes Babel Enterprise Os agentes são software multiplataforma, que deve ser instalado nos activos da empresa que se pretendem auditar, sendo responsáveis por recolher e enviar para o servidor informação de segurança sobre vários parâmetros sensíveis do sistema. Os agentes definem-se com base em módulos independentes com extensão.bem (Babel Executable Module). Cada módulo verifica uma porção diferente da auditoria (contas de utilizador, permissões, portas activas, passwords, etc). Para ajudar na sua acção, a maioria dos módulos tem associado uma pequena base de dados no formato de ficheiro em texto simples, com extensão.lst. Isto permite ao administrador parametrizar e configurar, facilmente, cada módulo, de acordo com as suas necessidades ou preocupações a nível de segurança. Em termos de funcionamento, cada agente recolhe, no final da auditoria, os dados gerados por cada módulo, e reúne-os de forma organizada num ficheiro único que será enviado para o servidor, para que toda a informação seja processada. No caso particular dos Colectores de Dados é permitido recolher informação de fontes muito heterogéneas, isto é, ao contrário dos agentes, os colectores permitem recolher, de uma só vez, informação proveniente de varias fontes. Existe, por exemplo, um colector Nessus e um colector Snort Consola Web AConsolaWeb(figura6.3)éaInterfaceGráficadoUtilizador (GUI),ondeépossível configurar testes, gerir a estrutura lógica do Babel Enterprise (Políticas, Domínios, Áreas, etc) e aceder a todo tipo de informação resultante da auditoria.

201 6.2. ARQUITECTURA GERAL 171 Figura 6.3 Interface Web de utilizador(fonte: OpenIdeas (2010) e ArticaST (2010)) Esta interface revela-se bastante amigável, intuitiva, versátil e eficaz, traduzindo-se num dos pontos fortes apresentados por esta ferramenta de auditoria Servidor Babel Enterprise O Servidor é o componente que processa os ficheiros de dados, gerados e enviados pelos agentes, que contêm uma série de informação separada por módulos. Inicialmente, o servidor processa os dados gerais de auditoria e de seguida, executa, uma a uma, as diferentes políticas de segurança que irão filtrar o conjunto de dados processados inicialmente, de acordo com os objectivos de segurança configurados. Após o processamento de todos os dados, o Servidor converte-os em dados visíveis para o utilizador, e disponibiliza-os através da consola Web Base de Dados A Base de Dados (MySQL) armazena toda a informação do Babel Enterprise: informação dos agentes, elementos de auditoria, elementos de configuração, etc.

202 172 CAPÍTULO 6. BABEL ENTERPRISE 6.3 Organização lógica do Babel Enterprise O Babel Enterprise 2.0 alterou radicalmente a forma de entender e processar a informação, através da implementação de uma organização lógica (figura 6.4). Figura 6.4 Organização lógica (Fonte: OpenIdeas (2010) e ArticaST (2010)) Grupos técnicos: É um agrupamento técnico que classifica os agentes de acordo com a máquina onde estão instalados (Servidor, Workstation, etc). Domínios: É uma divisão organizativa como, por exemplo, um grupo de empresas filiais dentro de uma empresa mãe, uma série de departamentos, ou simplesmente, diferentes clientes. Os agentes associam-se a domínios. Áreas: São grupos de conhecimento lógico que agrupam informação, como por exemplo, a ISO 27001, a ISO e bases de dados de vulnerabilidades. Políticas: Funcionam como um filtro de informação configurável regulado pelas preocupações de segurança da organização. As políticas aplicam-se sobre domínios e executam-se nos agentes pertencentes a esses domínios. Têm como base de conhecimento as Áreas. Exemplos: Gestão de Patches, cumprimento da ISO 27001, System Hardening.

203 6.4. PRINCÍPIO DE FUNCIONAMENTO Princípio de Funcionamento A gestão do Babel Enterprise realiza-se, fundamentalmente, através da consola Web. A partir desta, o administrador pode configurar agentes, criar Domínios, definir Políticas, administrar a base de dados, consultar níveis de risco, relatórios e gráficos detalhados resultantes das auditorias, etc. Contudo, para entendermos melhor o funcionamento do Babel Enterprise por trás da linguagem amigável da consola Web, consideremos um agente, recém instalado, numa determinada máquina da empresa: 1. Inicialmente é necessário criar e configurar o agente na consola Web, através do preenchimento de determinados campos, como por exemplo: Nome do agente: Aconselha-se colocar o nome da máquina a auditar, de forma a ser facilmente associado à mesma; Endereço IP: Endereço IP da máquina onde está instalado; Intervalo: Periodicidade de execução do agente (em segundos); Definição do modo: No modo normal o agente executa apenas os módulos que lhe foram inicialmente atribuídos. No modo aprendizagem o agente executa e associa-se, automaticamente, não só aos módulos atribuídos na sua configuração inicial, mas também a todos os novos módulos dos quais receba dados (recomenda-se este). Criticidade: Valor a multiplicar pelo nível de risco atribuído ao agente (Recomenda-se o valor 1). Caso o utilizador queira jogar com este parâmetro, deve colocar o valor 1 em agentes instalados em máquinas neutras e superior a 1 em agentes de máquinas críticas do sistema, de modoaforçaroaumentodonívelderisco, obrigandoaquesejamtomadas medidas de segurança mais rigorosas para o manter num nível aceitável. 2. É vital atribuir um domínio ao agente, para que este possa ter acesso às políticas associadas ao domínio e fique pronto a receber dados. Normalmente atribui-se o domínio onde estão associados os agentes das restantes máquinas que compõem a rede informática da organização.

204 174 CAPÍTULO 6. BABEL ENTERPRISE 3. É aconselhável verificar as políticas associadas ao domínio do agente, pois poderá ser necessário criar uma nova política, mais ajustada às necessidades de segurança da máquina onde este está instalado. 4. Depois de configurar o agente é necessário tratar dos seus componentes vitais: Os módulos. Os módulos são o coração do Babel Enterprise, pois é nestes que estão configurados todos os testes para a verificação do nível de segurança de um sistema. Os módulos são definidos através de campos, como: Nome: Aconselha-se um nome intuitivo em relação à sua função; Tipo: Tipo de módulo ( All Values, Only bad Values, Plugin ); Peso: Valor numérico atribuído ao módulo em função da sua importância. Este valor é importante, pois por cada não conformidade que um módulo detecte, este acrescenta o valor do seu peso ao índice de risco do agente. Existem três tipos de módulos: All Values: Inventariam dados, mas não os avaliam, nem aumentam o índice de risco. O patch.bem, por exemplo, lista os patches instalados no sistema, mas não avalia se cada patch é bom ou mau. Bad Values only: Comprovam uma parte da configuração do sistema, verificando se esta está correcta e adicionando o seu peso ao índice de risco do agente por cada má configuração encontrada. Plugin: Permitem relacionar valores do tipo All Values com uma lista pré-definida. É possível relacionar a lista de patches instalados no sistema, gerada pelo patch.bem, com uma lista de patches pré-definida. Se um pacth pré-definido não constar da lista de patches instalados no sistema, adiciona-se o peso do módulo ao índice de risco do agente. Nota: Os módulos tipo plugin apenas podem ser adicionados através da consola web. No caso dos restantes módulos não é necessário, pois quando o primeiro pacote de dados de um módulo chega ao agente (em modo aprendizagem), este é automaticamente criado e adicionado à lista de módulos.

205 6.4. PRINCÍPIO DE FUNCIONAMENTO 175 Alguns módulos presentes na versão Babel Enterprise 2.0 são: Módulo Passwords: Comprova se as passwords dos utilizadores do sistema são seguras, verificando se se podem quebrar através de um ataque por força bruta, ou se existem passwords típicas, fáceis de decifrar com ataques por dicionário. Inclui também ataques do tipo joey (password igual ao username). Este módulo possui os ficheiros password.bem com o código shellscript e o password.lst com o dicionário que pode ser editado para colocar as passwords típicas da organização. Módulo permissões de ficheiros: Comprova as permissões, utilizadores e grupos proprietários dos ficheiros do sistema. É constituído pelo fileperm.bem com o shellscript e pelo editável fileperm.lst com a lista de permissões, utilizadores e grupos proprietários que alguns ficheiros do sistema devem possuir. Caso os valores não correspondam é denunciada a não conformidade e aumentado o índice de risco. Módulo dos serviços do Sistema: Verifica os serviços que estão configurados no arranque do sistema. Este módulo possui o services.bem com o shellscript e o editável services.lst com os serviços válidos que poderão constar no arranque do sistema. Cada serviço presente no arranque do sistema que não esteja na lista do services.lst é reportado como não confiável e é aumentado o índice de risco. Módulo de Acessos Remotos: Verifica as configurações de serviços remotos como o SSH, Rlogin, Telnet, FTP. Apenas possui o remote.bem com o shellscript. Módulo de portas activas: Identifica todas as portas activas do sistema, assim como o nome dos processos ou protocolos que as estão a utilizar. Para além do ficheiro openport.bem com o código shellscript possui também o ficheiro editável openport.lst que contém a lista de portas padrão que serão ignoradas pelo módulo. As portas activas fora desta lista serão reportadas como vulnerabilidades do sistema, com o posterior aumento do índice de risco. Módulo bigfiles : Procura ficheiros com um tamanho superior ao tamanho definido em bigfiles.bem (10 MB por defeito).

206 176 CAPÍTULO 6. BABEL ENTERPRISE Módulo de Software: Detalha todos os pacotes de software instalados no sistema. Esta informação é muito útil para formar um inventário centralizado do Software de todas as máquinas do sistema. Deste modo, ao pesquisar-se um software pode saber-se em quantas máquinas este está instalado, para saber em que maquinas este tem que ser actualizado, caso seja susceptível a riscos de segurança. Módulo filehash : Permite calcular o hash MD5 de cada ficheiro especificado pelo utilizador no filehash.lst, mantendo um inventário de assinaturas dos ficheiros importantes do sistema de modo a saber quando estes são modificados ou apagados. No futuro, este módulo alimentará um conector de trojans conhecidos, o que permitirá identificar software malicioso, automaticamente, pelo seu hash. Módulo de análise de redes: Este módulo analisa redes à procura de máquinas activas, usando a análise ICMP do nmap. Outros: Módulo configurações de Harware; Módulo Tomcat ; Módulo Apache2 ; Módulo contas utilizador; Módulo política de logs; Módulo ambiente root; Módulo user policy ; Módulo SUID0; Módulo UID0; etc. Nota:A grande parte dos módulos podem ser editados e adaptados às necessidades de cada empresa. Também poderão ser desenvolvidos e adicionados novos módulos que abordem aspectos do sistema que não são verificados pelos módulos já existentes. Em resumo: Cada máquina do sistema deverá ter um agente Babel Enterprise instalado. O agente tem que estar, obrigatoriamente, associado a um domínio, caso contrário, não vai conseguir obter dados, já que não terá políticas associadas que orientem a sua auditoria. Por outro lado, se o agente não obtiver dados não terá módulos associados, pois este adiciona os módulos, automaticamente, mal comece a receber os seus pacotes de dados. Concluindo, se não há domínio não há politicas, se não há politicas não há dados, se não há dados, não há módulos. A partir do momento em que comece a receber dados, o agente passa a ter atribuídos todos os módulos relativos às políticas associadas ao seu domínio.

207 6.4. PRINCÍPIO DE FUNCIONAMENTO 177 Como são calculados os índices de risco? Durante a auditoria os agentes executam os seus módulos, cada um com um peso associado configurável, permitindo que o administrador pondere alguns módulos mais que outros em função da sua importância na política de segurança da empresa. Cada módulo audita um determinado aspecto do sistema, acrescentando o seu peso (exceptuando os all values ) a um contador numérico, por cada parâmetro incorrecto encontrado. Este contador numérico é o índice de risco do módulo. A partir deste ponto, cada módulo possui o seu próprio índice de risco. Visto que a informação gerada pelos módulos sofre uma filtragem, por parte das políticas, estas apenas contabilizarão os índices de risco dos módulos que lhe estão associados. Logo, a soma dos índices de risco dos módulos associados a uma determinada política, determina o índice de risco dessa política. Contudo, um agente pode estar associado a um domínio com várias políticas. Desse modo, o índice global de risco de cada agente será dado pela média dos índices de risco das políticas pertencentes ao seu domínio, multiplicada pela sua criticidade: (Risco T otal Agente) = (Risco medio das politicas)x(criticidade) Já o índice de risco de um domínio é dado pela soma dos índices de risco dos agentes que lhe estão associados. Desta forma, o Babel Enterprise gera uma estrutura lógica que permite avaliar o nível de segurança de sistemas, actualizando e guardando todos os índices de risco gerados de modo a manter um histório, extremamente útil, da sua evolução. Qual é o principio de funcionamento do Babel Enterprise? (figura 6.5) Inicialmente, os agentes instalados nas máquinas da empresa, executam todos os módulos que lhe estão associados. Cada módulo irá devolver, ao agente, dados de auditoria (não conformidades do sistema) que este vai reunindo de forma organizada num ficheiro XML, alocado numa directoria temporária. Quando a auditoria termina, o agente transfere a saída XML resultante para o servidor. Esta transferência pode ser feita via FTP (comunicação insegura), SSH (comunicação segura) ou Tentacle, protocolo de comunicação, desenvolvido pela Artica ST, para substituir comandos mais complexos como o scp e ftp, e as chaves SSH.

208 178 CAPÍTULO 6. BABEL ENTERPRISE Porém, tal como enunciado na secção 6.2, o Babel Enterprise 2.0 também permite integrar dados de fontes externas, como dados do Snort, do Nessus ou de um agente de antivírus pré-processado. A integração de dados de fontes externas pode fazer-se através de dois métodos: Colectores de dados: Introduzem a informação relativa a cada agente, associando os diferentes dados ao seu endereço IP de destino, colocando-os posteriormente nos módulos correspondentes, permitindo assim que toda a informação externa seja incluída nos diversos agentes de uma só vez. Módulos de agente: Com mais um módulo.bem, podem-se incluir dados externos. No entanto, por este método, não haverá forma de diferenciar a informação que vem de um e de outro equipamento. Figura 6.5 Princípio de funcionamento Tal como podemos ver na figura 6.5, depois de receber todos os dados reúnidos e enviados pelo agente no ficheiro XML, o servidor processa-os e envia-os para a consola web para que possam ser visualizados de forma concisa e organizada pelo administrador do sistema e pelos responsáveis das diversas máquinas auditadas. Para além disso são disponibilizados relatórios de cada auditoria em formato HTML e PDF. Os dados gerados e processados durante este processo são guardados numa base de dados para posterior consulta e constituição de um histórico de testes.

209 6.4. PRINCÍPIO DE FUNCIONAMENTO 179 O Babel Enterprise está muito longe de ser uma ferramenta isolada, com um modo de funcionamento solitário, pois recorre, frequentemente, a outras ferramentas para realizar as suas auditorias, aumentando significativamente a eficácia da sua acção e a versatilidade dos testes que realiza. Para além disso, todas essas ferramentas a funcionar em conjunto com a auditoria do Babel Enterprise acabam por formar um pacote de soluções de segurança poderosissimo. Vejamos por exemplo: O módulo passwords.bem utiliza a ferramenta John The Ripper para tentar detectar passwords fracas no sistema; O módulo openport.bem realiza a verificação das portas activas do sistema recorrendo à famosa ferramenta nmap; O módulo network scan recorre à análise ICMP do nmap para mapear a rede, sabendo assim quais os hosts ligados à infraestrutura informática e os endereços IP que lhes estão atribuídos; Embora o Babel Enterprise identifique as mais variadas vulnerabilidades do sistema através de vários testes, essa informação pode ser complementada com dados externos recolhidos do Nessus, Snort, Antivírus, etc. É importante que se entenda que o Babel Enterprise não protege o sistema, de nenhuma forma. A sua principal função é realizar auditorias periódicas ao sistema, de forma não intrusiva, com o objectivo de identificar as vulnerabilidades nele existentes, reportando-as para o administrador, para que ele possa tomar as medidas correctivas e preventivas mais convenientes. Visto isto, é vital que se realce que o uso do Babel Enterprise não substitui o uso de Firewall, Antivírus ou outro tipo de software de protecção activa ao sistema. A grande vantagem do Babel Enterprise é o grande contributo que este presta no processo de gestão do risco, calculando o nível de risco a que o sistema está sujeito e apontando as suas vulnerabilidades, em tempo real, possibilitando ao administrador tomar as melhores decisões, atempadamente, para garantir um nível de protecção aceitável e credível, evitando o longo e trabalhoso processo analítico de gestão de risco (capítulo 5).

210 180 CAPÍTULO 6. BABEL ENTERPRISE 6.5 Fase de Implementação O objectivo inicial desta Dissertação de Mestrado consistia fundamentalmente no estudo, implementação, teste, e análise de resultados obtidos através da plataforma Babel Enterprise. A fase inicial de estudo envolveu alguma pesquisa e consulta da documentação fornecida pela empresa de desenvolvimento deste software, com vista a compreender o seu principio de funcionamento e a sua organização interna, tanto a nível lógico como a nível de componentes. Quanto à fase de instalação, foi apenas o continuar da fase de estudo, com o objectivo de perceber o modo de instalação e interacção entre componentes. Contudo, foi na fase de implementação e teste que surgiu o primeiro grande impasse. Tendo em conta que este projecto envolve, essencialmente, o estudo de um software torna-se importante haver um modelo de referência, neste caso um software de referência com funcionalidades similares às do objecto de estudo, para que seja possível avaliar eficazmente o seu desempenho, através da comparação de resultados obtidos pelas duas plataformas. Desta forma, a validação e análise da fase de testes e a argumentação das conclusões retiradas ficarão vincadamente argumentadas e fundamentadas. Contudo, o grande problema esteve na dificuldade em encontrar ferramentas informáticas, open-source, capazes de realizar auditorias de segurança e representar um modelo de referência fiável aos testes do Babel Enterprise. Numa primeira fase de pesquisa, as ferramentas que mais se aproximavam das funcionalidades exigidas eram os vulnerability scanners, que testam os sistemas, detectando e inventariando as suas vulnerabilidades. Porém, a grande maioria, não consegue integrar dados externos nem calcular índices de risco, funcionalidades vincadas nas ferramentas de auditoria. No entanto, com o avançar do projecto, foi descoberto um novo software, denominado OpenVas que garante ser capaz de auditar sistemas quando aliada a um aplicativo dado pelo nome de SLAD (Security Local Auditing Daemon). Com isto, a fase de implementação prevista inicialmente para este projecto mudou um pouco a sua rota, passando de um objectivo claro de análise exaustiva ao Babel Enterprise, para uma comparação Babel Enterprise Vs OpenVas, tendo em conta parâmetros de desempenho, arquitectura interna, princípio de funcionamento...

211 6.5. FASE DE IMPLEMENTAÇÃO Introdução ao OpenVas O OpenVas é um fork do poderoso vulnerability scanner Nessus, ou seja, visto que este último seguiu a via comercial, um conjunto de desenvolvedores decidiu criar uma nova plataforma que mantivesse algumas das suas funcionalidades numa base open-source. Deste modo, nasce o OpenVas Group que, hoje em dia é composto por universidades, entidades comerciais, e até mesmo particulares que se propôem a manter activa e a desenvolver esta nova plataforma livre. A grande maioria dos membros deste grupo tem um longo histórico profissional em consultoria de segurança e/ou desenvolvimento de software. O grupo está aberto a novos membros, sendo no entanto necessário cumprir algumas exigências. O OpenVas é um vulnerability scanner com possibilidade de realizar auditorias de segurança. O seu modo de funcionamento é baseado, à semelhança do Babel Enteprise, numa arquitectura cliente/servidor (figura 6.6). Porém, o principio de funcionamento de ambas as ferramentas é bastante diferente. Figura 6.6 Arquitectura Interna OpenVas

Sistemas Multimédia. Arquitectura Protocolar Simples Modelo OSI TCP/IP. Francisco Maia famaia@gmail.com. Redes e Comunicações

Sistemas Multimédia. Arquitectura Protocolar Simples Modelo OSI TCP/IP. Francisco Maia famaia@gmail.com. Redes e Comunicações Sistemas Multimédia Arquitectura Protocolar Simples Modelo OSI TCP/IP Redes e Comunicações Francisco Maia famaia@gmail.com Já estudado... Motivação Breve História Conceitos Básicos Tipos de Redes Componentes

Leia mais

Mestrado em Segurança da Informação e Direito no Ciberespaço

Mestrado em Segurança da Informação e Direito no Ciberespaço Escola Naval Mestrado em Segurança da Informação e Direito no Ciberespaço Segurança da informação nas organizações Supervisão das Politicas de Segurança Computação em nuvem Fernando Correia Capitão-de-fragata

Leia mais

TRABALHO #1 Sistemas de Informação Distribuídos: Reflexão sobre a segurança

TRABALHO #1 Sistemas de Informação Distribuídos: Reflexão sobre a segurança DEPARTAMENTO DE ENGENHARIA INFORMÁTICA FACULDADE DE CIÊNCIAS E TECNOLOGIA DA UNIVERSIDADE DE COIMBRA Negócio Electrónico, 2006/2007 TRABALHO #1 Sistemas de Informação Distribuídos: Reflexão sobre a segurança

Leia mais

2 - Conceitos Fundamentais de Sistemas de Informação

2 - Conceitos Fundamentais de Sistemas de Informação ISEG - Instituto Superior de Economia e Gestão/ FMH - Instituto de Motricidade Humana 2 - Conceitos Fundamentais de Sistemas de Informação Conceitos SI II - 1 Agenda O Impacto do Computador na Sociedade

Leia mais

1.1 A abordagem seguida no livro

1.1 A abordagem seguida no livro 1- Introdução A área de administração de sistemas e redes assume cada vez mais um papel fundamental no âmbito das tecnologias da informação. Trata-se, na realidade, de uma área bastante exigente do ponto

Leia mais

Gestão da Informação

Gestão da Informação Gestão da Informação Aplicações de suporte à Gestão da Informação na empresa Luis Borges Gouveia, lmbg@ufp.pt Aveiro, Fevereiro de 2001 Sistemas de informação para empresas Manutenção e exploração de sistemas

Leia mais

5.7.6 Internet/Intranet 176 5.7.7 Gestão logística 177 CAPÍTULO 6. DESENVOLVIMENTO DE SISTEMAS DE WORKFLOW 181 6.1 Métodos de Desenvolvimento 181

5.7.6 Internet/Intranet 176 5.7.7 Gestão logística 177 CAPÍTULO 6. DESENVOLVIMENTO DE SISTEMAS DE WORKFLOW 181 6.1 Métodos de Desenvolvimento 181 SUMÁRIO SUMÁRIO PREFÁCIO AGRADECIMENTOS VII XI XIII INTRODUÇÃO CAPÍTULO 1. ORGANIZAR WORKFLOWS 1 1.1 Ontologia da gestão de workflows 1.2 Trabalho 1 1 1.3 Processos de Negócio 3 1.4 Distribuir e Aceitar

Leia mais

Carta de Segurança da Informação

Carta de Segurança da Informação Estrutura Nacional de Segurança da Informação (ENSI) Fevereiro 2005 Versão 1.0 Público Confidencial O PRESENTE DOCUMENTO NÃO PRESTA QUALQUER GARANTIA, SEJA QUAL FOR A SUA NATUREZA. Todo e qualquer produto

Leia mais

AVALIAÇÃO DA QUALIDADE DOS STIC SISTEMAS E TECNOLOGIAS DE INFORMAÇÃO E DE COMUNICAÇÃO

AVALIAÇÃO DA QUALIDADE DOS STIC SISTEMAS E TECNOLOGIAS DE INFORMAÇÃO E DE COMUNICAÇÃO DINSTITUTO SUPERIOR CURSOS PARA EXECUTIVOS E GESTÃO BANCÁRIA AVALIAÇÃO DA QUALIDADE DOS STIC SISTEMAS E TECNOLOGIAS DE INFORMAÇÃO E DE COMUNICAÇÃO Início: 29 de Setembro de 2005 INSTITUTO SUPERIOR DE GESTÃO

Leia mais

Paulo César Especialista de Soluções da ATM informática paulo.cesar@atminformatica.pt

Paulo César Especialista de Soluções da ATM informática paulo.cesar@atminformatica.pt Desktop Virtual Paulo César Especialista de Soluções da ATM informática paulo.cesar@atminformatica.pt Tendo em conta que a Virtualização será um dos principais alvos de investimento para o ano 2009 (dados

Leia mais

Optimização de processos e ferramentas de Controlo e Gestão em Sistemas de Protecção, Comando e Controlo

Optimização de processos e ferramentas de Controlo e Gestão em Sistemas de Protecção, Comando e Controlo Mestrado Integrado em Engenharia Eletrotécnica e de Computadores Optimização de processos e ferramentas de Controlo e Gestão em Sistemas de Protecção, Comando e Controlo PDI Preparação para Dissertação

Leia mais

FERNANDO BRACALENTE GESTÃO DE SEGURANÇA DA INFORMAÇÃO EM REDE CORPORATIVA LOCAL ANALISANDO VULNERABILIDADES TÉCNICAS E HUMANAS.

FERNANDO BRACALENTE GESTÃO DE SEGURANÇA DA INFORMAÇÃO EM REDE CORPORATIVA LOCAL ANALISANDO VULNERABILIDADES TÉCNICAS E HUMANAS. FERNANDO BRACALENTE GESTÃO DE SEGURANÇA DA INFORMAÇÃO EM REDE CORPORATIVA LOCAL ANALISANDO VULNERABILIDADES TÉCNICAS E HUMANAS. Trabalho apresentado à Faculdade de Vinhedo para a obtenção do grau de Bacharel

Leia mais

T ecnologias de I informação de C omunicação

T ecnologias de I informação de C omunicação T ecnologias de I informação de C omunicação 9º ANO Prof. Sandrina Correia TIC Prof. Sandrina Correia 1 Objectivos Aferir sobre a finalidade da Internet Identificar os componentes necessários para aceder

Leia mais

Política de Segurança da Informação da Entidade

Política de Segurança da Informação da Entidade Estrutura Nacional de Segurança da Informação (ENSI) Política de Segurança da Informação da Entidade Fevereiro 2005 Versão 1.0 Público Confidencial O PRESENTE DOCUMENTO NÃO PRESTA QUALQUER GARANTIA, SEJA

Leia mais

Instituto Superior Politécnico Gaya Escola Superior de Ciência e Tecnologia

Instituto Superior Politécnico Gaya Escola Superior de Ciência e Tecnologia Instituto Superior Politécnico Gaya Escola Superior de Ciência e Tecnologia Engenharia Informática Redes e Computadores 2006/2007 Levantamento e Inventariação de Rede Privada Rafael Esteves Alves Forno

Leia mais

GESTÃO. Gestão dos Processos e Operações Gestão de Sistemas e Tecnologias de Informação (dentro do capítulo 6) CLF

GESTÃO. Gestão dos Processos e Operações Gestão de Sistemas e Tecnologias de Informação (dentro do capítulo 6) CLF GESTÃO Gestão dos Processos e Operações Gestão de Sistemas e Tecnologias de Informação (dentro do capítulo 6) Informação e Decisões Gerir envolve tomar muitas e frequentes decisões Para decidir com eficácia

Leia mais

Guia de Websites para a Administração Pública

Guia de Websites para a Administração Pública Guia de Websites para a Administração Pública Portugal precisa de um desafio de exigência e de conhecimento que nos eleve aos níveis de competência e de produtividade dos países mais desenvolvidos, de

Leia mais

Redes de computadores e Internet

Redes de computadores e Internet Polo de Viseu Redes de computadores e Internet Aspectos genéricos sobre redes de computadores Redes de computadores O que são redes de computadores? Uma rede de computadores é um sistema de comunicação

Leia mais

Guia de Estudo. Redes e Internet

Guia de Estudo. Redes e Internet Tecnologias da Informação e Comunicação Guia de Estudo Redes e Internet Aspectos Genéricos Uma rede de computadores é um sistema de comunicação de dados constituído através da interligação de computadores

Leia mais

Sistemas Multimédia. Instituto Superior Miguel Torga. Francisco Maia famaia@gmail.com. Redes e Comunicações

Sistemas Multimédia. Instituto Superior Miguel Torga. Francisco Maia famaia@gmail.com. Redes e Comunicações Sistemas Multimédia Instituto Superior Miguel Torga Redes e Comunicações Francisco Maia famaia@gmail.com Estrutura das Aulas 5 Aulas Aula 10 (20 de Abril) Classificação Componentes Aula 11 (27 de Abril)

Leia mais

A solução objetiva conjugar a operação dos mecanismos internos do Padrão IEEE 802.11b com uma autenticação externa, utilizando o Padrão IEEE 802.1x.

A solução objetiva conjugar a operação dos mecanismos internos do Padrão IEEE 802.11b com uma autenticação externa, utilizando o Padrão IEEE 802.1x. 1 Introdução A comunicação de dados por redes sem fio (Wireless Local Area Network - WLAN - Padrão IEEE 802.11b) experimenta uma rápida expansão tecnológica, proporcionando novas soluções para serem implementadas

Leia mais

Segurança de Redes e Serviços de Comunicações Electrónicas: As alterações na regulação

Segurança de Redes e Serviços de Comunicações Electrónicas: As alterações na regulação Segurança de Redes e Serviços de Comunicações Electrónicas: As alterações na regulação Palestras da ComSoc/POSTIT Manuel Pedrosa de Barros irecção de Segurança nas Comunicações Julho 2011 Cenário de Ameaça

Leia mais

Inquérito à Utilização de Tecnologias da Informação e da Comunicação nas Empresas

Inquérito à Utilização de Tecnologias da Informação e da Comunicação nas Empresas INSTITUTO NACIONAL DE ESTATÍSTICA Departamento de Estatísticas Sociais Serviço de Estatísticas da Sociedade da Informação e do Conhecimento Inquérito à Utilização de Tecnologias da Informação e da Comunicação

Leia mais

Big enough to do the job small enough to do it better!

Big enough to do the job small enough to do it better! Big enough to do the job small enough to do it better! Conteúdos 1 Competências 2 Case studies 3 Quero mais Competências > Assistência Informática > Outsourcing > Web ' ' Webdesign Hosting Email ' Webmarketing

Leia mais

FACULDADE PITÁGORAS. Prof. Ms. Carlos José Giudice dos Santos cpgcarlos@yahoo.com.br www.oficinadapesquisa.com.br

FACULDADE PITÁGORAS. Prof. Ms. Carlos José Giudice dos Santos cpgcarlos@yahoo.com.br www.oficinadapesquisa.com.br FACULDADE PITÁGORAS DISCIPLINA FUNDAMENTOS DE REDES REDES DE COMPUTADORES Prof. Ms. Carlos José Giudice dos Santos cpgcarlos@yahoo.com.br www.oficinadapesquisa.com.br Material elaborado com base nas apresentações

Leia mais

Autoria Web Apresentação e Visão Geral sobre a Web

Autoria Web Apresentação e Visão Geral sobre a Web Apresentação e Visão Geral sobre a Web Apresentação Thiago Miranda Email: mirandathiago@gmail.com Site: www.thiagomiranda.net Objetivos da Disciplina Conhecer os limites de atuação profissional em Web

Leia mais

FTIN Formação Técnica em Informática Módulo de Gestão Aplicada a TIC AULA 06. Prof. Fábio Diniz

FTIN Formação Técnica em Informática Módulo de Gestão Aplicada a TIC AULA 06. Prof. Fábio Diniz FTIN Formação Técnica em Informática Módulo de Gestão Aplicada a TIC AULA 06 Prof. Fábio Diniz Na aula anterior ERP Enterprise Resource Planning Objetivos e Benefícios ERP Histórico e Integração dos Sistemas

Leia mais

AULA 01 INTRODUÇÃO. Eduardo Camargo de Siqueira REDES DE COMPUTADORES Engenharia de Computação

AULA 01 INTRODUÇÃO. Eduardo Camargo de Siqueira REDES DE COMPUTADORES Engenharia de Computação AULA 01 INTRODUÇÃO Eduardo Camargo de Siqueira REDES DE COMPUTADORES Engenharia de Computação CONCEITO Dois ou mais computadores conectados entre si permitindo troca de informações, compartilhamento de

Leia mais

Security Officer Foundation

Security Officer Foundation Security Officer Foundation As comunicações e os meios de armazenamento das informações evoluíram mais nestes últimos anos do que em outro tempo na história conhecida. A internet comercial foi consolidada

Leia mais

Universidade da Beira Interior

Universidade da Beira Interior Universidade da Beira Interior Departamento de Informática Unidade Curricular Generalidades sobre Serviços de Comunicação na Internet Licenciatura em Tecnologias e Sistemas de Informação Cap. 1 - Sumário

Leia mais

PROGRAMA DE INTERIORIZAÇÃO DO TRABALHO EM SAÚDE (PITS) Curso de Internet para Profissionais de Saúde

PROGRAMA DE INTERIORIZAÇÃO DO TRABALHO EM SAÚDE (PITS) Curso de Internet para Profissionais de Saúde PROGRAMA DE INTERIORIZAÇÃO DO TRABALHO EM SAÚDE (PITS) INTRODUÇÃO UNIDADE 1 Módulo 1: Curso de Internet para Profissionais de Saúde Internet e a Ciência O papel da internet na formação dos profissionais

Leia mais

Gestão Total da Manutenção: Sistema GTM

Gestão Total da Manutenção: Sistema GTM Gestão Total da Manutenção: Sistema GTM por Engº João Barata (jbarata@ctcv.pt), CTCV Inovação Centro Tecnológico da Cerâmica e do Vidro 1. - INTRODUÇÃO Os sub-sistemas de gestão, qualquer que seja o seu

Leia mais

Gestão de Riscos. Risco

Gestão de Riscos. Risco Gestão de Riscos A crescente importância da TI para os processos de negócio de uma empresa trouxe em paralelo, também, um aumento de problemas de segurança em relação à informação. Assim, a necessidade

Leia mais

CONCURSO ESCOLAS DA NOVA GERAÇÃO REGULAMENTO

CONCURSO ESCOLAS DA NOVA GERAÇÃO REGULAMENTO CONCURSO ESCOLAS DA NOVA GERAÇÃO REGULAMENTO Enquadramento geral Um dos principais desafios que se colocam à sociedade portuguesa é o do desenvolvimento de uma Sociedade de Informação, voltada para o uso

Leia mais

CLC5 Formador: Vítor Dourado

CLC5 Formador: Vítor Dourado 1 A designação da Internet advém de Interconnected Network, ou seja, rede interligada. A Internet é uma gigantesca teia mundial de redes de computadores, em constante crescimento e evolução, oferecendo

Leia mais

Internet. O que é a Internet?

Internet. O que é a Internet? O que é a Internet? É uma rede de redes de computadores, em escala mundial, que permite aos seus utilizadores partilharem e trocarem informação. A Internet surgiu em 1969 como uma rede de computadores

Leia mais

INSTITUTO DE PESQUISA ECONÔMICA APLICADA. PORTARIA nº 456, DE 04 DE NOVEMBRO DE 2010.

INSTITUTO DE PESQUISA ECONÔMICA APLICADA. PORTARIA nº 456, DE 04 DE NOVEMBRO DE 2010. INSTITUTO DE PESQUISA ECONÔMICA APLICADA PORTARIA nº 456, DE 04 DE NOVEMBRO DE 2010. Institui a Política de Segurança da Informação e Comunicações POSIC, no âmbito do IPEA. O PRESIDENTE DO INSTITUTO DE

Leia mais

1 Introdução 1.1. Segurança em Redes de Computadores

1 Introdução 1.1. Segurança em Redes de Computadores 1 Introdução 1.1. Segurança em Redes de Computadores A crescente dependência das empresas e organizações modernas a sistemas computacionais interligados em redes e a Internet tornou a proteção adequada

Leia mais

Curso Geral de Gestão. Pós Graduação

Curso Geral de Gestão. Pós Graduação Curso Geral de Gestão Pós Graduação Curso Geral de Gestão Pós Graduação Participamos num processo acelerado de transformações sociais, políticas e tecnológicas que alteram radicalmente o contexto e as

Leia mais

Segurança da Informação

Segurança da Informação INF-108 Segurança da Informação Gestão de Segurança da Informação Prof. João Henrique Kleinschmidt (slides cedidos pelo Prof. Carlos Kamienski - UFABC) Gerenciamento e Avaliação de Riscos Terminologia

Leia mais

Crescendo e Inovando com um Parceiro Confiável de Suporte

Crescendo e Inovando com um Parceiro Confiável de Suporte IBM Global Technology Services Manutenção e suporte técnico Crescendo e Inovando com um Parceiro Confiável de Suporte Uma abordagem inovadora em suporte técnico 2 Crescendo e Inovando com um Parceiro Confiável

Leia mais

Administração de Sistemas

Administração de Sistemas UNIVERSIDADE DA BEIRA INTERIOR Departamento de Informática Administração de Sistemas Licenciatura em: - Tecnologias e Sistemas de Informação 1. Generalidades sobre Serviços de Comunicação na Internet Docente:

Leia mais

Escola Superior de Gestão de Santarém. Instalação e Manutenção de Redes e Sistemas Informáticos. Peça Instrutória G

Escola Superior de Gestão de Santarém. Instalação e Manutenção de Redes e Sistemas Informáticos. Peça Instrutória G Escola Superior de Gestão de Santarém Pedido de Registo do CET Instalação e Manutenção de Redes e Sistemas Informáticos Peça Instrutória G Conteúdo programático sumário de cada unidade de formação TÉCNICAS

Leia mais

Desenvolvimento de Aplicações Web

Desenvolvimento de Aplicações Web Desenvolvimento de Aplicações Web André Tavares da Silva andre.silva@udesc.br Método de Avaliação Serão realizadas duas provas teóricas e dois trabalhos práticos. MF = 0,1*E + 0,2*P 1 + 0,2*T 1 + 0,2*P

Leia mais

AGRUPAMENTO DE ESCOLAS DR. FRANCISCO SANCHES PLANIFICAÇÃO DISCIPLINA. TECNOLOGIAS da INFORMAÇÃO e COMUNICAÇÃO (TIC) 8º Ano. Ano letivo 2014-2015

AGRUPAMENTO DE ESCOLAS DR. FRANCISCO SANCHES PLANIFICAÇÃO DISCIPLINA. TECNOLOGIAS da INFORMAÇÃO e COMUNICAÇÃO (TIC) 8º Ano. Ano letivo 2014-2015 AGRUPAMENTO DE ESCOLAS DR. FRANCISCO SANCHES PLANIFICAÇÃO da DISCIPLINA de TECNOLOGIAS da INFORMAÇÃO e COMUNICAÇÃO (TIC) 8º Ano Ano letivo 2014-2015 AGRUPAMENTO DE ESCOLAS DR. FRANCISCO SANCHES Desenvolvimento

Leia mais

A vantagem competitiva através do desenvolvimento do e-business

A vantagem competitiva através do desenvolvimento do e-business A vantagem competitiva através do desenvolvimento do e-business Artigo original redigido por: Dien D. Phan Extraído do Information & Management, Vol.40, 2003 (pág.581-590) Introdução * E-business O seu

Leia mais

Walter Cunha Tecnologia da Informação Segurança

Walter Cunha Tecnologia da Informação Segurança Walter Cunha Tecnologia da Informação Segurança ESAF 2008 em Exercícios 37 (APO MPOG 2008) - A segurança da informação tem como objetivo a preservação da a) confidencialidade, interatividade e acessibilidade

Leia mais

Introdução ao Uso da Internet. Pedro Veiga

Introdução ao Uso da Internet. Pedro Veiga Introdução ao Uso da Internet Pedro Veiga Tópicos Breve História da Internet Estrutura da Internet Aplicações da Internet Infra-estrutura Internet da FCUL Como apareceu a Internet? A designação Internet

Leia mais

Alinhando ABNT-NBR-ISO/IEC 17799 e 27001 para a Administração Pública -USP

Alinhando ABNT-NBR-ISO/IEC 17799 e 27001 para a Administração Pública -USP Alinhando ABNT-NBR-ISO/IEC 17799 e 27001 para a Administração Pública -USP César Augusto Asciutti Agência USP de Inovação, São Paulo (SP), 3091-2933, asciutti@usp.br Resumo Este artigo apresenta uma breve

Leia mais

Síntese do estudo sobre A ADESÃO DAS PME NACIONAIS À PRÁTICA DO COMÉRCIO ELECTRÓNICO

Síntese do estudo sobre A ADESÃO DAS PME NACIONAIS À PRÁTICA DO COMÉRCIO ELECTRÓNICO Síntese do estudo sobre A ADESÃO DAS PME NACIONAIS À PRÁTICA DO COMÉRCIO ELECTRÓNICO 1. PRINCIPAIS CONCLUSÕES Há um entendimento razoável das vantagens da prática do comércio electrónico no seio das PME

Leia mais

A versão básica disponibiliza a informação criada no Microsoft Navision em unidades de informação

A versão básica disponibiliza a informação criada no Microsoft Navision em unidades de informação O Business Analytics for Microsoft Business Solutions Navision ajuda-o a ter maior controlo do seu negócio, tomar rapidamente melhores decisões e equipar os seus funcionários para que estes possam contribuir

Leia mais

... 1º Período. Metas/Objetivos Descritores Conceitos/Conteúdos Estratégias/Metodologias Avaliação

... 1º Período. Metas/Objetivos Descritores Conceitos/Conteúdos Estratégias/Metodologias Avaliação DEPARTAMENTO DE MATEMÁTICA E INFORMÁTICA DISCIPLINA: TECNOLOGIAS DA INFORMAÇÃO E COMUNICAÇÃO PLANIFICAÇÃO DE 8º ANO... 1º Período Domínio COMUNICAÇÃO E COLABORAÇÃO CC8 Conhecimento e utilização adequada

Leia mais

UFG - Instituto de Informática

UFG - Instituto de Informática UFG - Instituto de Informática Especialização em Desenvolvimento de Aplicações Web com Interfaces Ricas EJB 3.0 Prof.: Fabrízzio A A M N Soares professor.fabrizzio@gmail.com Aula 13 Web Services Web Services

Leia mais

COMISSÃO NACIONAL DE PROTECÇÃO DE DADOS. As dinâmicas de grupo e os perfis de consumo

COMISSÃO NACIONAL DE PROTECÇÃO DE DADOS. As dinâmicas de grupo e os perfis de consumo COMISSÃO NACIONAL DE PROTECÇÃO DE DADOS As dinâmicas de grupo e os perfis de consumo O uso de perfis na empresa Os perfis são conjuntos de dados que caracterizam categorias de indivíduos destinados a serem

Leia mais

UNIVERSIDADE DA BEIRA INTERIOR Faculdade de Engenharia Departamento de Informática

UNIVERSIDADE DA BEIRA INTERIOR Faculdade de Engenharia Departamento de Informática 1 Este é o seu teste de avaliação de frequência. Leia as perguntas com atenção antes de responder. Escreva as suas respostas nesta folha de teste, marcando um círculo em volta da opção ou opções que considere

Leia mais

PRnet/2013. Linguagem de Programação Web

PRnet/2013. Linguagem de Programação Web Linguagem de Programação Web Linguagem de Programação Web Prnet/2013 Linguagem de Programação Web» Programas navegadores» Tipos de URL» Protocolos: HTTP, TCP/IP» Hipertextos (páginas WEB)» HTML, XHTML»

Leia mais

REDES DE COMPUTADORES

REDES DE COMPUTADORES REDES DE COMPUTADORES O QUE É PROTOCOLO? Na comunicação de dados e na interligação em rede, protocolo é um padrão que especifica o formato de dados e as regras a serem seguidas. Sem protocolos, uma rede

Leia mais

Hospitais 2004. Inquérito à Utilização das Tecnologias da Informação e da Comunicação DOCUMENTO METODOLÓGICO

Hospitais 2004. Inquérito à Utilização das Tecnologias da Informação e da Comunicação DOCUMENTO METODOLÓGICO Hospitais 2004 Inquérito à Utilização das Tecnologias da Informação e da Comunicação DOCUMENTO METODOLÓGICO ÍNDICE 1. IDENTIFICAÇÃO E OBJECTIVOS DO PROJECTO... 3 2. RECOLHA E TRATAMENTO DA INFORMAÇÃO...

Leia mais

INQUÉRITO ao COMÉRCIO ELECTRÓNICO

INQUÉRITO ao COMÉRCIO ELECTRÓNICO INQUÉRITO ao COMÉRCIO ELECTRÓNICO Documento Metodológico Preliminar 19-08-09 1 1. Introdução No âmbito da participação do Instituto Nacional de Estatística (INE), no Grupo de Trabalho do Eurostat sobre

Leia mais

Internet ou Net. É uma rede mundial de computadores ligados entre si através s de linhas telefónicas comuns.

Internet ou Net. É uma rede mundial de computadores ligados entre si através s de linhas telefónicas comuns. Internet Internet ou Net É uma rede mundial de computadores ligados entre si através s de linhas telefónicas comuns. Como Comunicam os computadores Os computadores comunicam entre si utilizando uma linguagem

Leia mais

Mestrado em Segurança da Informação e Direito no Ciberespaço. Segurança da informação nas organizações Processos de comunicação

Mestrado em Segurança da Informação e Direito no Ciberespaço. Segurança da informação nas organizações Processos de comunicação Escola Naval Mestrado em Segurança da Informação e Direito no Ciberespaço Segurança da informação nas organizações Processos de comunicação Fernando Correia Capitão-de-fragata EN-AEL 3 de Dezembro de 2014

Leia mais

É uma rede mundial de computadores ligados entre si. INTERNET

É uma rede mundial de computadores ligados entre si. INTERNET INTERNET O QUE É A INTERNET? O QUE É NECESSÁRIO PARA ACEDER À INTERNET? QUAL A DIFERENÇA ENTRE WEB E INTERNET? HISTÓRIA DA INTERNET SERVIÇOS BÁSICOS DA INTERNET 2 1 INTERCONNECTED NETWORK INTERNET A Internet

Leia mais

Redes de Computadores II

Redes de Computadores II Redes de Computadores II INTERNET Protocolos de Aplicação Intranet Prof: Ricardo Luís R. Peres As aplicações na arquitetura Internet, são implementadas de forma independente, ou seja, não existe um padrão

Leia mais

Parte I Requirement Engineering. Gestão de Projectos Informáticos. Gestão do Âmbito (Scope Management) Requirement Engineering.

Parte I Requirement Engineering. Gestão de Projectos Informáticos. Gestão do Âmbito (Scope Management) Requirement Engineering. Parte I Requirement Engineering Gestão de Projectos Informáticos Gestão do Âmbito (Scope Management) Requirement Engineering Introduzir as noções requisitos de sistema e processo de engª de requisitos

Leia mais

Guimarães, 13 de Maio de 2002. Luis Amaral. Universidade do Minho

Guimarães, 13 de Maio de 2002. Luis Amaral. Universidade do Minho Prefácio A Arquitectura dos Sistemas de Informação, enquanto assunto central da área disciplinar das Tecnologias e Sistemas de Informação é, na minha opinião, um dos seus temas mais importantes e, simultaneamente,

Leia mais

SISTEMAS DE INFORMAÇÕES GERENCIAIS. Aula 09

SISTEMAS DE INFORMAÇÕES GERENCIAIS. Aula 09 FACULDADE CAMÕES PORTARIA 4.059 PROGRAMA DE ADAPTAÇÃO DE DISCIPLINAS AO AMBIENTE ON-LINE SISTEMAS DE INFORMAÇÃO GERENCIAL DOCENTE: ANTONIO SIEMSEN MUNHOZ, MSC. ÚLTIMA ATUALIZAÇÃO: FEVEREIRO DE 2007. Internet,

Leia mais

Internet Access Quality Monitor. Bruno Pires Ramos Prof. Vasco Soares Prof. Alexandre Fonte

Internet Access Quality Monitor. Bruno Pires Ramos Prof. Vasco Soares Prof. Alexandre Fonte Internet Access Quality Monitor Bruno Pires Ramos Prof. Vasco Soares Prof. Alexandre Fonte Escola Superior de Tecnologia - Maio 2008 2 Índice Objectivos Estado da Arte Sistema IAQM Tecnologias Utilizadas

Leia mais

Uma plataforma estratégica

Uma plataforma estratégica Publicado: Fevereiro 2007 Autor: Rui Loureiro Sénior Partner Implementar o Help Desk Quando simplesmente pensamos em implementar um Help Desk, isso pode significar uma solução fácil de realizar ou algo

Leia mais

GUIA DO VOLUNTÁRIO. Sociedade Central de Cervejas

GUIA DO VOLUNTÁRIO. Sociedade Central de Cervejas GUIA DO VOLUNTÁRIO Sociedade Central de Cervejas ÍNDICE 1. A RESPONSABILIDADE SOCIAL NA SCC: O NOSSO COMPROMISSO... 3 2. O NOSSO COMPROMISSO COM O VOLUNTARIADO... 4 2.1 A ESTRUTURAÇÃO DO VOLUNTARIADO EMPRESARIAL...

Leia mais

UNIVERSIDADE DA BEIRA INTERIOR

UNIVERSIDADE DA BEIRA INTERIOR UNIVERSIDADE DA BEIRA INTERIOR Segurança dos Sistemas de Informação Dissertação de Mestrado apresentada à Universidade da Beira Interior para obtenção do grau de Mestre em Gestão Isabel Maria Lopes Covilhã,

Leia mais

Redes de Comunicações. Redes de Comunicações

Redes de Comunicações. Redes de Comunicações Capítulo 0 Introdução 1 Um pouco de história Século XVIII foi a época dos grandes sistemas mecânicos Revolução Industrial Século XIX foi a era das máquinas a vapor Século XX principais conquistas foram

Leia mais

1.1 A abordagem seguida no livro

1.1 A abordagem seguida no livro 1- Introdução A área de administração de sistemas e redes assume cada vez mais um papel fundamental no âmbito das tecnologias da informação. Trata-se, na realidade, de uma área bastante exigente do ponto

Leia mais

Sistemas de Informação I

Sistemas de Informação I + Sistemas de Informação I Tipos de SI Ricardo de Sousa Britto rbritto@ufpi.edu.br + Introdução 2 n As organizações modernas competem entre si para satisfazer as necessidades dos seus clientes de um modo

Leia mais

Organização da Unidade Curricular

Organização da Unidade Curricular Organização da Unidade Curricular 1 Docente: Halestino Pimentel E-Mail: halestino@ipb.pt Página Pessoal: www.ipb.pt/~halestino Gabinete: 54 Horário de Atendimento: Quarta-feira 11:00h às 13:00h Quinta-feira

Leia mais

FTIN Formação Técnica em Informática Módulo de Gestão Aplicada a TIC ACI. Prof. Fábio Diniz

FTIN Formação Técnica em Informática Módulo de Gestão Aplicada a TIC ACI. Prof. Fábio Diniz FTIN Formação Técnica em Informática Módulo de Gestão Aplicada a TIC ACI Prof. Fábio Diniz Revisão - Empreendedorismo O Que é Ser Empreendedor Conceito O Ato de Empreender Características dos Empreendedores

Leia mais

Segurança X Privacidade?

Segurança X Privacidade? Segurança X Privacidade? Cristine Hoepers cristine@cert.br! Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil Núcleo de Informação e Coordenação do Ponto BR Comitê Gestor da

Leia mais

PROGRAMA DE ACÇÃO COMUNITÁRIO RELATIVO À VIGILÂNCIA DA SAÚDE PROJECTO DE PROGRAMA DE TRABALHO 1998-1999 (Art. 5.2.b da Decisão Nº 1400/97/CE)

PROGRAMA DE ACÇÃO COMUNITÁRIO RELATIVO À VIGILÂNCIA DA SAÚDE PROJECTO DE PROGRAMA DE TRABALHO 1998-1999 (Art. 5.2.b da Decisão Nº 1400/97/CE) PROGRAMA DE ACÇÃO COMUNITÁRIO RELATIVO À VIGILÂNCIA DA SAÚDE PROJECTO DE PROGRAMA DE TRABALHO 1998-1999 (Art. 5.2.b da Decisão Nº 1400/97/CE) 1. INTRODUÇÃO As actividades da União Europeia no domínio da

Leia mais

Competitividade e Inovação

Competitividade e Inovação Competitividade e Inovação Evento SIAP 8 de Outubro de 2010 Um mundo em profunda mudança Vivemos um momento de transformação global que não podemos ignorar. Nos últimos anos crise nos mercados financeiros,

Leia mais

Segurança da Informação Segurança de Redes Segurança de Sistemas Segurança de Aplicações

Segurança da Informação Segurança de Redes Segurança de Sistemas Segurança de Aplicações Segurança da Informação Segurança de Redes Segurança de Sistemas Segurança de Aplicações Símbolos Símbolos: S 1, S 2,..., S n Um símbolo é um sinal (algo que tem um caráter indicador) que tem uma determinada

Leia mais

Tecnologias da Internet (T) Avaliação de Frequência (v1) 60 minutos * 09.05.2012

Tecnologias da Internet (T) Avaliação de Frequência (v1) 60 minutos * 09.05.2012 1 Este é o seu teste de avaliação de frequência. Leia as perguntas com atenção antes de responder e tenha atenção que algumas perguntas podem ter alíneas de resposta em páginas diferentes. Escreva as suas

Leia mais

PROPOSTA E IMPLEMENTAÇÃO DE UM SERVIÇO SEGURO DE TRANSFERÊNCIA DE DADOS

PROPOSTA E IMPLEMENTAÇÃO DE UM SERVIÇO SEGURO DE TRANSFERÊNCIA DE DADOS MINISTÉRIO DA CIÊNCIA E TECNOLOGIA INSTITUTO NACIONAL DE PESQUISAS ESPACIAIS INPE-7508-TDI/722 PROPOSTA E IMPLEMENTAÇÃO DE UM SERVIÇO SEGURO DE TRANSFERÊNCIA DE DADOS Eduardo Gomes de Barros Dissertação

Leia mais

REDES DE COMPUTADORES

REDES DE COMPUTADORES CURSO TÉCNICO DE INFORMÁTICA Módulo A REDES DE COMPUTADORES Protocolos de Rede FALANDO A MESMA LÍNGUA Um protocolo pode ser comparado a um idioma, onde uma máquina precisa entender o idioma de outra máquina

Leia mais

PRIMAVERA INDUSTRY. Uma solução para as PME industriais

PRIMAVERA INDUSTRY. Uma solução para as PME industriais PRIMAVERA INDUSTRY Uma solução para as PME industriais PRIMAVERA INDUSTRY Uma solução para as PME industriais produtivos de modo a garantir uma maior qualidade dos produtos sujeitos a fabrico, ao menor

Leia mais

O que é a ciência de dados (data science). Discussão do conceito. Luís Borges Gouveia Universidade Fernando Pessoa Versão 1.

O que é a ciência de dados (data science). Discussão do conceito. Luís Borges Gouveia Universidade Fernando Pessoa Versão 1. O que é a ciência de dados (data science). Discussão do conceito Luís Borges Gouveia Universidade Fernando Pessoa Versão 1.3, Outubro, 2015 Nota prévia Esta apresentação tem por objetivo, proporcionar

Leia mais

A gestão de processos de negócio: conceitos e ferramentas BPM

A gestão de processos de negócio: conceitos e ferramentas BPM FACULDADE DE LETRAS DA UNIVERSIDADE DO PORTO A gestão de processos de negócio: conceitos e ferramentas BPM Trabalho realizado por: Ana Luisa Veiga Filipa Ramalho Doutora Maria Manuela Pinto GSI 2007 AGENDA:

Leia mais

REDES DE COMPUTADORES

REDES DE COMPUTADORES REDES DE COMPUTADORES MEMÓRIAS DE AULA AULA 1 APRESENTAÇÃO DO CURSO, HISTÓRIA, EQUIPAMENTOS E TIPOS DE REDES Prof. José Wagner Bungart CONTEÚDO PROGRAMÁTICO Definição de Redes de Computadores e Conceitos

Leia mais

Informação Útil Já disponível o SP1 do Exchange Server 2003

Informação Útil Já disponível o SP1 do Exchange Server 2003 Novidades 4 Conheça as principais novidades do Internet Security & Acceleration Server 2004 Membro do Microsoft Windows Server System, o ISA Server 2004 é uma solução segura, fácil de utilizar e eficiente

Leia mais

A Plataforma ArcGIS Suportando a Segurança Nacional

A Plataforma ArcGIS Suportando a Segurança Nacional A Plataforma ArcGIS Suportando a Segurança Nacional O que é Segurança Nacional? Segurança Nacional é proteger e sustentar a nação: População Economia Infraestrutura Fronteiras Prosperidade no seu todo...

Leia mais

Paper presentation Security in grid computing: A review and synthesis Grid Security: Next Steps

Paper presentation Security in grid computing: A review and synthesis Grid Security: Next Steps Computação GRID Paper presentation Security in grid computing: A review and synthesis Grid Security: Next Steps Miguel Lobo nº 200707399 Pedro Oliveira nº 200501071 Paper Security in grid computing: A

Leia mais

TCP/IP TCP UDP IP HTTP HTTPS FTP TFTP TELNET POP3 IMAP SMTP SNMP DHCP

TCP/IP TCP UDP IP HTTP HTTPS FTP TFTP TELNET POP3 IMAP SMTP SNMP DHCP TCP/IP TCP UDP IP HTTP HTTPS FTP TFTP TELNET POP3 IMAP SMTP SNMP DHCP HTTP (Hypertext Transfer Protocol ) Protocolo usado na Internet para transferir as páginas da WWW (WEB). HTTPS (HyperText Transfer

Leia mais

TEORIA GERAL DE SISTEMAS

TEORIA GERAL DE SISTEMAS TEORIA GERAL DE SISTEMAS Vulnerabilidade dos sistemas e uso indevido Vulnerabilidade do software Softwares comerciais contém falhas que criam vulnerabilidades na segurança Bugs escondidos (defeitos no

Leia mais

Qpoint Rumo à Excelência Empresarial

Qpoint Rumo à Excelência Empresarial 2 PRIMAVERA BSS Qpoint Rumo à Excelência Empresarial Numa era em que a competitividade entre as organizações é decisiva para o sucesso empresarial, a aposta na qualidade e na melhoria contínua da performance

Leia mais

Internet. Professor: Francisco Silva

Internet. Professor: Francisco Silva Internet e Serviços Internet A Internet, ou apenas Net, é uma rede mundial de computadores ligados entre si através de linhas telefónicas comuns, linhas de comunicação privadas, satélites e outros serviços

Leia mais

Com esta tecnologia Microsoft, a PHC desenvolveu toda a parte de regras de negócio, acesso a dados e manutenção do sistema.

Com esta tecnologia Microsoft, a PHC desenvolveu toda a parte de regras de negócio, acesso a dados e manutenção do sistema. Caso de Sucesso Microsoft Canal de Compras Online da PHC sustenta Aumento de 40% de Utilizadores Registados na Área de Retalho Sumário País: Portugal Industria: Software Perfil do Cliente A PHC Software

Leia mais

INTERNET. TCP/IP protocolo de comunicação sobre o qual se baseia a Internet. (conjunto de regras para a comunicação entre computadores)

INTERNET. TCP/IP protocolo de comunicação sobre o qual se baseia a Internet. (conjunto de regras para a comunicação entre computadores) TCP/IP protocolo de comunicação sobre o qual se baseia a Internet. (conjunto de regras para a comunicação entre computadores) A cada computador integrado na rede é atribuído um número IP que o identifica

Leia mais

NOTIFICAÇÃO DE NEGÓCIO

NOTIFICAÇÃO DE NEGÓCIO NOTIFICAÇÃO DE NEGÓCIO O Microsoft Business Solutions for Supply Chain Management Navision Business Notification ajudao a gerir a sua empresa mais facilmente e eficazmente. Pode identificar qualquer problema

Leia mais

Segurança Operacional na EDP; porque importa vigiar a segurança da infra-estrutura IT

Segurança Operacional na EDP; porque importa vigiar a segurança da infra-estrutura IT Segurança Operacional na EDP; porque importa vigiar a segurança da infra-estrutura IT Direção de Sistemas de Informação 30 de Janeiro, 2013 Contexto da Segurança na EDP 2 O contexto da Segurança na EDP

Leia mais

INFORMÁTICA PARA CONCURSOS

INFORMÁTICA PARA CONCURSOS INFORMÁTICA PARA CONCURSOS Prof. BRUNO GUILHEN Vídeo Aula VESTCON MÓDULO I - INTERNET Aula 01 O processo de Navegação na Internet. A CONEXÃO USUÁRIO PROVEDOR EMPRESA DE TELECOM On-Line A conexão pode ser

Leia mais

Dublin Core e MARC 21 : um estudo de correspondência de elementos de metadados

Dublin Core e MARC 21 : um estudo de correspondência de elementos de metadados Dublin Core e MARC 21 : um estudo de correspondência de elementos de metadados Maria das Dores Rosa Alves¹, Marcia Izabel Fugisawa Souza¹ ¹Embrapa Informática Agropecuária Caixa postal 6014 Campinas, SP

Leia mais

Universidade Federal do Acre. Centro de Ciências Exatas e Tecnológicas

Universidade Federal do Acre. Centro de Ciências Exatas e Tecnológicas Universidade Federal do Acre Centro de Ciências Exatas e Tecnológicas Universidade Federal do Acre Centro de Ciências Exatas e Tecnológicas Pós-graduação Lato Sensu em Desenvolvimento de Software e Infraestrutura

Leia mais