Práticas de segurança do CBK aplicadas em produtos na Microsoft. Fernando Fonseca, CISSP, MCSE Security Test Engineer Microsoft Communications Director - ISSA 9/28/2007 Global Risk Meeting 2007 1
Segurança em Design O SDL na Microsoft CKB e CISSP Os domínios do CBK O que falta então? 9/28/2007 Global Risk Meeting 2007 2
O SDL da Microsoft Ciclo de Desenvolvimento Seguro Atualizações de Segurança Resposta a Incidentes 9/28/2007 Global Risk Meeting 2007 3
CBK e CISSP CBK Common Body of Knowledge A ISC2 é uma associação nascida da ISSA (Information Systems Security Association) voltada a certificar profissionais de segurança da informação. Tanto ISSA quanto ISC2 possuem forte código de ética para associados. O CBK é uma compilação feita pela ISC2 do conhecimento relativo à área de segurança da informação em 10 domínios distintos, que compreendem desde a segurança física até a análise de risco. A ISC criou também um programa de treinamento e certificação do profissional de segurança chamado CISSP (Certified Information Systems Security Professional). Prova: 1 Exame (250 questões, 6 horas) Custo Aproximado = US$ 499,00 9/28/2007 Global Risk Meeting 2007 4
CBK na Microsoft No início do TWC, haviam menos de 20 profissionais certificados CISSP na Microsoft* Cerca de 1.000 profissionais certificados CISSP na Microsoft atualmente. 9 dos 10 domínios aplicados em produtos (Segurança Física não se aplica) Problemas de segurança física mitigados pelo BitLocker (Criptografia de disco e S.O.) *http://www.microsoft.com/presspass/features/2005/jan05/01-13twcupdate.mspx 9/28/2007 Global Risk Meeting 2007 5
Os Domínios do CBK 9/28/2007 Global Risk Meeting 2007 6
Domínios do CBK Access Control Application Security Business Continuity and Disaster Recovery Planning Cryptography Information Security and Risk Management Legal, Regulations, Compliance and Investigations Operations Security Physical (Environmental) Security Security Architecture and Design Telecommunications and Network Security 9/28/2007 Global Risk Meeting 2007 7
Access Control Fator Saber Kerberos (SSO), armazenamento seguro, política Fator Ter Smart Cards, tokens, OPT Fator Ser Biometria MAC Modelo Biba (Controle de Integridade Mandatório) DAC DACLs do NTFS, RMS Role Based Grupos Rule Based Personal Firewall Autenticação com certificados X509 Trusted PATH (CTRL + ALT + DEL) Triple A (Authentication, Authorization, Accountability) 9/28/2007 Global Risk Meeting 2007 8
Application Security Code Access Security Microsoft.NET COM, DCOM Documentação Threat Modeling Tool 9/28/2007 Global Risk Meeting 2007 9
O SDL para a comunidade 9/28/2007 Global Risk Meeting 2007 10
Business Continuity Microsoft Cluster Microsoft Backup Data Protection Manager (Backup do System Center) Imagens de recuperação (Sysprep) Alta disponibilidade em todos servidores 9/28/2007 Global Risk Meeting 2007 11
Cryptography BitLocker (Criptografa disco e S.O.) RSA, MD-5, SHA-1, Diffie-Hellman, 3DES, etc Criptografia Plugavel Longhorn PKI Certificates Services SSL (IIS e Internet Explorer) RMS Rights Management Server (por documento) EFS Encrypt File System (por arquivo / pasta) 9/28/2007 Global Risk Meeting 2007 12
BitLocker OS Volume 3 System 2 FVEK 1 SRK System Volume Contains: MBR, Boot manager, Boot Utilities (Unencrypted, small) - Notebooks - Mais de 25% dos serviores estão em escritórios remotos 9/28/2007 Global Risk Meeting 2007 13
IS and Risk Management MSRAT (Microsoft Security Assessment Tool) 9/28/2007 Global Risk Meeting 2007 14
Compliance, Investigation DRM Security Templates Common Criteria EAL 4+ Banner de Logon Proteção de Logs 9/28/2007 Global Risk Meeting 2007 15
Operations Security MOF Privilégio Mínimo (Permissões Granulares) Privilégio Mínimo (Security Policies) Controle de Pais Patch Management (WSUS) Registro de motivo para Shutdown 9/28/2007 Global Risk Meeting 2007 16
MSF e MOF 9/28/2007 Global Risk Meeting 2007 17
Privilégio Mínimo 9/28/2007 Global Risk Meeting 2007 18
Recriação de Serviços Serviços são alvos atrativos para malwares Executam sem interação do usuário Muitas vulnerabilidades em serviços Muitos serviços executam como System Worms que atacaram serviços Sasser, Blaster, CodeRed, Slammer, etc Dos 34 serviços executadfos como LocalSystem no XP SP2, apenas 7 serviços continuam como LocalSystem no Vista
Privilégio Mínimo Se possível, remove a conta LocalSystem do serviço Se ele não realiza operações privilegiadas Faz mudanças na ACL para chaves de registro e acesso objetos Senão, divide em duas partes O Serviço principal e outros que realizam operações privilegiadas Autentica a chamada entre eles Serviço Principal Executado como LocalService Privilegiado LocalSystem Memory 9/28/2007 Global Risk Meeting 2007 20
Architecture Process Isolation Protection Rings Secure Kernel Protegido (Patch Guard) Secure Kernel Mediar todos acessos Modelo Biba (Mandatory Integrity Control) IE 7 Virtual Machines Windows Hypervisor (Reference Monitor) Orange Book (C2) Common Criteria EAL 4+ 9/28/2007 Global Risk Meeting 2007 21
Integridade de Código Valida a integridade de cada imagem binária Checa hashes para cada página quando são carregadas Também checa qualquer imagem sendo carregada por um processo protegido Implementado como um driver de sistema de arquivo Hashes guardados no catálogo do sistema ou em um certificado X.509 incluso no arquivo Valida a integridade do processo de boot Checa o kernel, a HAL, drives de inicialização Se a validação falha, a imagem não carregará 9/28/2007 Global Risk Meeting 2007 22
Assinatura de Código Computação confiável depende do kernel Windows Vista identifica estado do Kernel Kernel segura carrega apenas binários asinados Reduz vulnerabilidades por binários desconhecidos Kernel identificável cria novo cenário Endereça crescimento de ataques de rootkit Aumenta confiabilidade identificando fornecedores de software de kernel
Assinatura de Código Aplicação do S.O. Aplicação assinada Aplicação não assinada 9/28/2007 Global Risk Meeting 2007 24
Network Security NAP RAS, RRAS (VPN), Quarentena IPSec Personal Firewall, NAT DNS RAID (0,1,5) VPN SSL (Longhorn) Proxy / Statefull Firewall (ISA Server) 9/28/2007 Global Risk Meeting 2007 25
Network Access Protection 1 Cliente requesita acesso à rede e apresenta estado atual de saúde 3 Policy Servers Ex:, Patch, AV 1 2 Fora de conformidade 4 Servidores de atualizaçào Cliente Windows DHCP, VPN Switch/Router Microsoft NPS Em Conformidade Rede Restrita Ex: Patch 2 DHCP, VPN or Switch/Router encaminha estado de saúde para o Microsoft Network Policy Server (RADIUS) 5 Rede Corporativa 3 Network Policy Server (NPS) valida com políticas de saúde definidas pela área de TI 4 Se não estiver em conformidade o cliente é encaminhado para uma VLAN onde tem acesso a recursos como patches, políticas, etc. Repete 1-4 5 Se estiver em conformidade o cliente ganha acesso total à rede corporativa. 9/28/2007 Global Risk Meeting 2007 26
O Que falta então? 9/28/2007 Global Risk Meeting 2007 27
O que faltou? 9/28/2007 Global Risk Meeting 2007 28
Comunicar com as pessoas! Common Criteria EAL 4+ (Comunicação) 9/28/2007 Global Risk Meeting 2007 29
E As pessoas Apenas duas coisas são infinitas: o universo e a estupidez humana, e eu não tenho certeza sobre o primeiro. Albert Einstein
Treinamento de usuários Visão geral de Segurança Lidando com spams Protegendo se de spywares Protegendo sua privacidade online Utilizando grupos de notícias online Defendendod-se contra vírus e worms Mantendo seu computador atualizado Ensinando seus filhos sobre segurança online O que você deve saber sobre esquemas de phishing http://www.microsoft.com/brasil/athome/security/videos/default.mspx
Technet e MSDN
Iniciativas de Segurança Academia de segurança: iniciativa que recebeu o prêmio Secmaster 2005, nos júris popular e acadêmico. Conteúdo focado em análise de risco e ISO 17799:2005 Technet Experience Grupo de estudos CISSP Parceria com ISSA e ISACA Parceria com players de segurança
Pesquisa de satisfação O Conteúdo da academia é útil para meu trabalho?
Tecnologia: Tão forte como seu elo mais fraco Tecnologia não é todo o problema e também não é a solução completa Segurança de sistemas dependem de tecnologia, processos e pessoas. 9/28/2007 Global Risk Meeting 2007 35
Perguntas?? 9/28/2007 Global Risk Meeting 2007 36