Gerenciando. Privilégios. em Tecnologia da. Informação. Implementando a política de. John Mutch e Brian Anderson. Novatec

Transcrição

1 Gerenciando Privilégios em Tecnologia da Informação Implementando a política de privilégio mínimo John Mutch e Brian Anderson Novatec

2 Original English language edition published by Apress Inc., Copyright 2011 by Apress Inc. Portugueselanguage edition for Brazil copyright 2012 by Novatec Editora. All rights reserved. Edição original em Inglês publicada pela Apress Inc., Copyright 2011 pela Apress Inc. Edição em Português para o Brasil copyright 2012 pela Novatec Editora. Todos os direitos reservados. Novatec Editora Ltda Todos os direitos reservados e protegidos pela Lei de 19/02/1998. É proibida a reprodução desta obra, mesmo parcial, por qualquer processo, sem prévia autorização, por escrito, do autor e da Editora. Editor: Rubens Prates Tradução: Eduardo Kraszczuk Revisão gramatical: Alessandro Thomé/Giacomo Leone Neto Editoração eletrônica: Carolina Kuwabata ISBN: Histórico de impressões: Junho/2012 Primeira edição Novatec Editora Ltda. Rua Luís Antônio dos Santos São Paulo, SP Brasil Tel.: Fax: novatec@novatec.com.br Site: Twitter: twitter.com/novateceditora Facebook: facebook.com/novatec LinkedIn: linkedin.com/in/novatec Dados Internacionais de Catalogação na Publicação (CIP) (Câmara Brasileira do Livro, SP, Brasil) Mutch, John Gerenciando privilégios em tecnologia da informação : implementando a política de privilégio mínimo / John Mutch e Brian Anderson ; [tradução Eduardo Kraszczuk]. -- São Paulo : Novatec Editora ; NEW York, EUA : Apress Inc, Título original: Preventing good people from doing bad things : implementing least privilege. ISBN Computadores - Medidas de segurança 2. Hackers 3. Proteção de dados 4. Redes de computadores - Medidas de segurança I. Anderson, Brian. II. Título CDD Índices para catálogo sistemático: 1. Dados : Segurança : Computadores Segurança de dados : Computadores 005.8

3 Sumário Agradecimentos Sobre os autores Introdução Capítulo 1 A única constante em TI é a mudança Ameaças internas versus externas Desmistificando a gerência de identidade privilegiada...21 Identidade privilegiada A era da autorização Acesso Quem tem as chaves para a sua empresa? Autenticação Autorização Quebras internas de segurança nas notícias Contas privilegiadas são universais e problemáticas As pessoas precisam de limites, não de muros Dez razões principais para se preocupar com quem tem acesso privilegiado à sua TI Regulamentações federais para privilégios mínimos...31 O Yin e Yang da segurança O que esperar a seguir Examinando o pessoal interno: os vilões Examinando o pessoal interno: os heróis Examinando os requerimentos da infraestrutura de TI Examinando os requerimentos de governança e de cumprimento de normas Examinando os custos concretos e intangíveis da apatia Observações finais e examinando as melhores práticas Trazendo as contribuições... 38

4 8 Gerenciando Privilégios em Tecnologia da Informação Capítulo 2 O mau uso de privilégios é o novo campo minado corporativo Examinando Dave Descontente mais de perto...41 Examinando Annie Acidental mais de perto Mais notícias sobre quebras internas de segurança Examinando Irene Ladra de Identidade mais de perto O que os hackers não querem que você saiba sobre privilégios de usuário As cinco desculpas para os vazamentos de dados e o que elas realmente querem dizer RH e TI Como a segurança pode criar casais estranhos Talvez seja hora de geekizar o RH As dez principais razões pelas quais as pessoas boas fazem coisas ruins sem privilégios mínimos Trazendo as contribuições Capítulo 3 Executivos, tecnólogos e auditores precisam de privilégios mínimos Examinando Sam Seguro mais de perto...61 Sam Seguro nos jornais Por que Sam deveria saber que seu parceiro de negócios pode ser seu elo mais fraco Sam deve decidir se tablets são amigos ou inimigos no escritório Examinando Lucy Privilégios Mínimos mais de perto Lucy Privilégios Mínimos é Dave Descontente antes de ele ficar descontente Quando Lucy era de fato David e não Dave O pior pesadelo de Lucy: Sua senha é o que? Lucy sabe que compartilhar nem sempre é se importar Examinando Carl Cumprimento mais de perto Carl Cumprimento nos jornais...71 Carl Cumprimento na blogosfera Por que Carl nem sempre percebe que o fora é também o dentro do lado de fora para os trabalhadores móveis de hoje...74 Ainda existe o problema entre o teclado e a cadeira O modelo do queijo suíço A segurança é um esporte de equipe, e os privilégios mínimos são o lema da equipe Trazendo contribuições Capítulo 4 Suplementando a política de grupo em desktops Windows Seis coisas que você deve saber antes de migrar para o MS Windows Coisas que você deve saber sobre o MS UAC Coisas que você deveria saber sobre o MS AppLocker As dez principais razões para implementar privilégios mínimos em desktops Windows A abordagem não fazer nada Impacto sobre o help desk Vulnerabilidades divulgadas da Microsoft O Velho Oeste...91 Os resultados da pesquisa validam o problema...91

5 Sumário 9 Privilégios mínimos, em termos de arquitetura Colocando os privilégios mínimos em prática Privilégios mínimos de desktop na produção Ambientes imprevisíveis Trazendo contribuições Capítulo 5 Servidores são alvo primário para ataques internos e de hackers Os servidores armazenam as coisas boas Quebras de segurança em servidores nos jornais O mercado negro para dados de servidor A arquitetura de privilégios mínimos de servidor Sobre WikiLeaks e servidores WikiLeaks e a Wikiguerra Por que você usa Sudo desse jeito? Vulnerabilidades do Sudo As dez principais razões para implementar privilégios mínimos em servidores Unix e Linux Mais quebras de segurança em servidores nos jornais Estudo de caso: substituindo o Sudo em um ambiente produtivo O monitoramento de vulnerabilidades requer privilégios mínimos Patches precisam de privilégios mínimos Logs de sistema de gerenciamento de identidade privilegiada ajudam a encontrar outros pontos fracos na segurança Trazendo as contribuições Capítulo 6 Protegendo ambientes virtuais de sabotagens de hipervisores Roubo virtual Virtualização de desktops Virtualização de registros e sistema de arquivos de desktop O jogo do copo virtual Controlando a espalhamento virtual com privilégios mínimos Dez principais razões para implementar privilégios mínimos a servidores virtualizados..126 Controle de acesso baseado na função RBAC não é o mesmo que ACL Confiança demais? Privilégios mínimos definidos arquiteturalmente para ambientes virtualizados Valor dos privilégios mínimos virtualizados Trazendo as contribuições Capítulo 7 Multi-inquilinos seguros para nuvens privadas, públicas e híbridas As nuvens, não todas, são criadas iguais O elusivo unicórnio As dez principais razões para implementar privilégios mínimos em nuvens privadas, públicas e híbridas...137

6 10 Gerenciando Privilégios em Tecnologia da Informação A nuvem é inerentemente segura ou insegura? Quem é responsável pela segurança da nuvem? Para a nuvem, ou não Segurança em nuvens públicas Identidades digitais confiadas Nuvens públicas precisam de privilégios mínimos Uma rosa por qualquer outro nome Estudo de caso: multi-inquilinos seguros em uma nuvem privada Logs na nuvem Implementando privilégios mínimos na nuvem Trazendo as contribuições Capítulo 8 Aplicações, bancos de dados e dados de desktop também precisam de privilégios mínimos Os servidores armazenam as coisas boas... nas bases de dados Riscos de segurança de base de dados Os aplicativos legados ainda são universais Os desktops também têm desafios de aplicativos legados DLP de desktop ajuda a mitigar diferentes ameaças internas Fracassos na auditoria de cumprimento de normas Fruta roubada As dez principais razões para implementar privilégios mínimos para aplicativos e bases de dados Nos jornais Por que se preocupar com DAM Valor do DAM Implementando privilégios mínimos para bases de dados Controlando seus usuários de base de dados privilegiados Trazendo as contribuições Capítulo 9 Segurança não é igual a cumprimento de padrões GRC desmistificado Governança Risco Cumprimento de normas: o grande C O cumprimento de normas na nuvem introduz novas questões Sopa de letrinhas HIPAA PCI DSS O custo do SOX está diminuindo? Requerimentos de segurança de privilégios Estudo de caso: usando privilégios mínimos para atender a normas A demanda pelo cumprimento de normas versus a facilidade do open source...178

7 Sumário 11 Andando pelo lado selvagem de uma auditoria fracassada Estudo de caso: vencendo os desafios de auditoria Equilibrando segurança, produtividade e cumprimento de normas As escolhas entre segurança e produtividade Trazendo as contribuições Capítulo 10 Os custos concretos e intangíveis da apatia Lições de Jérôme Kerviel O cibercrime pode ser lucrativo Quanto vale seu código? Lições de Matt Miszewski Um em quatorze pode custar a você US$ 129 sem privilégios mínimos De quem é a culpa? Custos concretos versus intangíveis O custo intangível dos vazamentos de identidade Estudo de caso: economizando nos custos de help desk Somente a confiança não é uma opção Calcular seu ROI sobre privilégios mínimos Justificando os custos dos privilégios mínimos Trazendo as contribuições Capítulo 11 Pensamentos finais sobre as melhores práticas para privilégios mínimos Intenção versus ação As ameaças internas não são cometidas pelo óbvio Impedindo tempestades de segurança Maus hábitos da segurança de TI que devem ser largados Equilibre segurança e produtividade Estudo de caso: universidade encontra o equilíbrio Autenticar senhas para privilégios mínimos Implemente privilégios mínimos agora, e não mais tarde Passos para o sucesso Trazendo as contribuições Referências bibliográficas Índice remissivo