Segurança da Informação Prof. Luiz A. Nascimento Auditoria e Segurança de Sistemas Segurança da Informação Milhões de empresas e profissionais estão usando a Internet para fazer transações bancárias, comercio eletrônico, acessar email, etc. Portanto a falta de segurança hoje é um problema para muitas pessoas. O que é Segurança e seguro? segurança. S. f. 2. Estado, qualidade ou condição de seguro. 3. Condição daquele ou daquilo em que se pode confiar. 4. Certeza, firmeza, convicção. seguro. [Do lat. securu.] Adj. 1. Livre de perigo. 2. Livre de risco; protegido, acautelado, garantido. 8. Em quem se pode confiar. 9. Certo, indubitável, incontestável. 10. Eficaz, eficiente. [Dicionário Aurélio] 1
Por que Segurança da Informação? Informação é um recurso que como outros importantes recursos nas empresas, tem valor e portanto precisa ser protegido adequadamente. A Informação representa a inteligência competitiva dos negócios e é reconhecida como ativo crítico para a continuidade operacional da empresa. O que é Segurança da Informação? A Segurança de informação protege a informação de ameaças para assegurar a continuidade dos negócios, minimizar os danos empresariais e maximizar o retorno em investimentos e oportunidades. (...) Segurança da Informação é a proteção das informações (Pessoais ou Corporativas) contra fatores de risco, perigo, ou ameaça. A segurança da Informação é caracterizada pela preservação da: confidencialidade, integridade e disponibilidade. British Standards Institute O que é Segurança da Informação? 1. Confidencialidade: assegurar que a informação será acessível somente por quem tem autorização de acesso; 2. Integridade: assegurar que a informação não foi alterada durante o processo de transporte da informação. 3. Disponibilidade: assegurar que usuários autorizados tenham acesso as informações quando requeridos. 2
Conceitos da Segurança da Informação Ataque Evento que pode comprometer a segurança de um sistema ou uma rede. Um ataque pode ou não ter sucesso. Um ataque com sucesso caracteriza uma invasão. Autenticação É o processo de se confirmar a identidade de um usuário ou um host, esta pode ser feita de diversas maneiras. Bug Uma falha ou fraqueza em programas de computador. Conceitos da Segurança da Informação Crack Programa utilizado para quebrar licenças de outros programas. Também pode se referir a programas utilizados para quebra de senhas. Cracker Individuo com conhecimentos avançados de computação e segurança, que os utiliza para fins criminosos, destruição de dados ou interrupção de sistemas. Engenharia Social Técnica utilizada por hackers e crackers para obter informações interagindo diretamente com pessoas Dicionário da Segurança Exploit Programa utilizado por hackers e crackers para explorar vulnerabilidade nos sistemas, conseguindo assim acesso com maior privilegio. Hacker Individuo com conhecimentos elevados de computação e segurança, que os utiliza para fins de diversão, interesse, emoção. Em geral, hackers não destroem dados, possuem um código de ética e não buscam ganhos financeiros. O termo hacker é atualmente adotado pela mídia de forma indiscriminada, se referindo a crackers. 3
Dicionário da Segurança IDS Intrusion Detection System É um sistema de detecção de intrusão, um software responsável por monitorar uma rede ou Sistema e alerta sobre possíveis invasões. Invasão Caracteriza um ataque bem sucedido. Lammer É uma palavra que os hacker utilizam para identificar os indivíduos que se acham hacker, mas ainda estão no estagio inicial do aprendizado. Serviços de Segurança Autenticação Controle de Acesso Rastreabilidade Auditoria Particionamento de Segurança Integridade Confidencialidade Autenticação Deve responder à questão: É a pessoa certa para acessar esta informação? É uma das funções de segurança mais importante que um sistema deve fornecer. 4
Níveis de Autenticação Algo que você sabe Algo que você possui Algo que você é Algum lugar onde você está Controle de Acesso Uma vez determinado que a pessoa certa está em sessão, deve ser respondida a seguinte questão: Qual informação está disponível para este usuário? Os mecanismos de controle de acesso impedem que entidades não autorizadas acessem recursos do sistema. Modelos de Controle de Acesso Mandatory Access Control - o controle é definido por uma autoridade centralizada. Discretionary Access Control - o controle é definido pelo proprietário da informação. Role-based Access Control - modelo emergente onde os controles são aplicados a cargos aos quais os usuários são associados. 5
Rastreabilidade Os serviços de rastreabilidade de um sistema associam eventos relevantes a uma entidade única. Tal entidade pode ser uma pessoa, um recurso do sistema operacional ou um sistema externo como um computador ou uma rede de computadores. Auditoria Os serviços de auditoria de um sistema operacional devem ser capazes de responder à pergunta: O que aconteceu? Do ponto de vista da segurança, a auditoria é a habilidade de reconstituir uma ocorrência de segurança, permitindo a análise de suas causas e efeitos. Particionamento de Segurança Do ponto de vista da segurança, toda entidade (usuário ou computador) está a uma partição de segurança ou domínio. Um domínio de segurança é uma construção lógica que contém todos os objetos que essa entidade está autorizada a acessar. Um domínio de usuário pode incluir espaço para armazenamento de arquivos, dispositivos de entrada e saída, aplicativos, etc. 6
Integridade Integridade é a capacidade de garantir que o conteúdo de um objeto não foi alterado por uma entidade não autorizada. Formas de garantia da integridade: Controle de acesso para impedir alterações em arquivos Checksum (Programas verificadores) Assinatura digital Confidencialidade Confidencialidade é a garantia de que apenas os usuários autorizados possam acessar a informação, independente de quem possui o contendo a informação. A forma mais comum de se garantir a confidencialidade em sistemas de computador é através do uso da criptografia. 7