Transcript 6_Controle_de_Acesso_Logico

Autarquia Educacional do Vale do São Francisco – AEVSF
Faculdade de Ciências Sociais e Aplicadas de Petrolina – FACAPE
Curso de Ciências da Computação
SEGURANÇA E AUDITORIA DE SISTEMAS
“Segurança
de Informações”
Controle de Acesso
Cynara Carvalho
[email protected]
1
Segurança de Informações
• Controles de Acesso Lógico
• Os dispositivos e sistemas computacionais não podem ser
facilmente controlados com dispositivos físicos como alarmes,
guardas, etc...
• Acesso lógico:
Usuário ou Processo
Arquivos ou
Equipamentos
• Controles de acesso lógico são um conjunto de medidas e
procedimentos, adotados pela organização ou intrínsecos aos
softwares utilizados, para proteger dados e sistemas contra
tentativas de acesso não autorizadas.
• O usuário é peça importante nesse controle (senhas fracas ou
compartilhadas, descuidos na proteção de informações, etc...)
2
Segurança de Informações
• Recursos e informações a serem protegidos
• Aplicativos – Programas fonte e objeto. O acesso não autorizado
pode alteraras funções dos programas.
• Arquivos de dados – Bases de dados podem ser alteradas ou
apagadas sem a autorização adequada.
• Utilitários e Sistema Operacional – O acesso também deve ser
restrito, pois podem provocar alterações nas configurações e nos
arquivos em geral ou podem permitir a cópia dos mesmos.
• Arquivos de Senhas – A falta de proteção a esses arquivos pode
comprometer toda a segurança, já que se forem descobertos e
decifrados, a vulnerabilidade é total.
• Arquivos de Log – Os logs são usados para registra as ações dos
usuários, sendo ótimas informações para auditorias e análise de
quebras de segurança. Se não houver proteção a esses arquivos,
o usuário ou invasor pode apagar as pistas de suas ações.
3
Segurança de Informações
• Elementos Básicos de Controle de Acesso Lógico
• Dois pontos distintos de controle: o recurso computacional que
se pretende proteger e o usuário a quem se pretende conceder os
privilégios e acesso aos recursos.
• Objetivos dos controles:
• Apenas usuários autorizados tenham acesso aos recursos.
• os usuários tenham acesso aos recursos necessários a
execução de suas tarefas.
• O acesso a recursos críticos seja monitorado e restrito.
• Os usuários sejam impedidos de executar transações
incompatíveis com sua função ou responsabilidades.
IDENTIFICAÇÃO
AUTENTICAÇÃO
DE USUÁRIOS
ALOCAÇÃO,
GERÊNCIA E
MONITORAMENTO
DE PRIVILÉGIOS
LIMITAÇÃO,
MONITORAMENTO
E DESABILITAÇÃO
DE ACESSOS
PREVENÇÃO DE
ACESSOS NÃO
AUTORIZADOS
4
Segurança de Informações
• Processo de Logon
• Obtenção de acesso aos aplicativos, dados e sistema
computacional.
• Requer um userid (conta ou logon) – identificação, e uma senha
- autenticação.
• Usuários habilitados já devem conhecer o processo e o formato.
Não é necessário “ajudas” toda vez que ele for “logar”.
• É recomendável limitar o número de tentativas frustradas de
logon, bloqueando a conta do usuário e desfazendo a conexão.
• Identificação do usuário – deve ser única. Regras de formação
também são importantes que permitem rápida identificação.
• Autenticação do usuário – é a confirmação do usuário perante o
sistema. Pode ser por senha, cartões ou características físicas,
como o formato da mão, da retina ou do rosto, impressão digital
ou reconhecimento da voz.
5
Segurança de Informações
• Senhas
• A política de senhas é imprescindível. Uma má administração
destes procedimentos expõe a organização a riscos.
• Repetição de senhas para vários sistemas é prática comum, mas
reprovável.
• Senhas com elementos facilmente identificados:
• Nome ou nome da conta
• Nomes de membros da família ou amigos íntimos
• Nome do SO ou da máquina
• Datas
• Nº de telefone, cartão de crédito, Identidade ou docs
pessoais
• Placas ou marcas de carro
• Nomes próprios
• Letras ou números repetidos
• Qualquer senha com menos de 06 caracteres
6
Segurança de Informações
• Senhas
• Alguns softwares são capazes de quebrar senhas frágeis. Podem
ser usados também para bloquear o uso delas.
• Como escolher uma boa senha:
• Compostas por letras (maiúsculas e minúsculas), números e
símbolos embaralhados.
• De fácil memorização, para não ser preciso anotar.
• De digitação rápida.
• Iniciais de Frases de conhecimento do usuário, mesclando
simbolos (@, #,$, %) entre os caracteres.
• Evitar usar as mesmas senhas para vários sistemas, pois se
um deles não for protegido, o risco é grande.
• Forçar ou criar um hábito de troca periódica.
7
Segurança de Informações
• Tokens
• Token é um objeto que o usuário possui que o diferencia das
outras pessoas e o habilita a acessar alguma coisa.
• Chaves, cartões, objetos especiais são exemplos comuns de
tokens.
• A desvantagem é que podem ser perdidos, roubados ou
reproduzidos com facilidade.
• Os cartões inteligentes estão sendo muito usados e
aperfeiçoados para uso cada vez mais abrangente.
8
Segurança de Informações
• Sistemas Biométricos
• São sistemas de verificação de identidade baseados em
características físicas dos usuários.
• São mais difíceis de serem burlados, mas ainda têm o fator
custo proibitivo.
• São a evolução dos sistemas manuais de reconhecimento, como
análise grafológica e de impressões digitais.
• A tecnologia de medir e avaliar determinada característica de tal
forma que o indivíduo seja realmente único.
• Um dos problemas é ainda a taxa de erros, pois determinada
característica pode mudar em uma pessoa, com o passar dos
anos ou por outra intervenção.
9
Segurança de Informações
• Sistemas Biométricos
• Impressões Digitais – São características únicas e consistentes.
São armazenados de 40 a 60 pontos para verificar a identidade.
• Voz – Sistemas de reconhecimento de voz são usados para
controle de acesso. Não são tão confiáveis em função dos erros
causados por ruídos no ambiente ou problemas na voz do
usuário.
• Geometria da Mão – usada em sistemas de controle acesso,
porém essa característica pode ser alterada por aumento ou
diminuição do peso ou artrite.
• Configuração da íris ou da retina – são mais confiáveis que as
de impressão digital, através de direcionamento de feixes de luz
nos olhos das pessoas.
• Reconhecimento Facial por meio de um termograma – Através
de imagem tirada por câmera infravermelha que mostra os
padrões térmicos de uma face. 19.000 pontos de identificação!
10
Segurança de Informações
• Proteção aos recursos
• O fato do usuário ter sido identificado e autenticado não quer
dizer que ele poderá acessar qualquer informação ou aplicativo
sem restrição.
• É necessário o controle específico, restringindo o acesso apenas
às aplicações, arquivos e utilitários imprescindíveis às suas
funções.
• Controles de menus, disponibilizando somente opções
compatíveis com o usuário.
• Definição de perfis de cada usuário (ou grupo de usuários).
11
Segurança de Informações
• Diretos e permissões de Acesso
• A segurança lógica é garantida através de dois tipos de
controle:
• O que um sujeito pode fazer.
• O que pode ser feito com um objeto.
• Podemos definir individualmente os direitos de acesso para cada
sujeito ou objeto. Mais trabalhosa para grandes quantidades.
• Matriz de Controle de Acesso:
Fernando
Lúcia
Cláudio
Relato.doc
Audit.exe
-
Execução
Leitura/gravação
-
Leitura
Execução
12
Segurança de Informações
• Monitoramento
• Registros de logs, trilhas de auditoria ou outros mecanismos de
detecção de invasão são essenciais.
• Na ocorrência de uma invasão, erro ou atividade não
autorizada, é imprescindível reunir evidências para se tomar
medidas corretivas necessárias.
• Os logs funcionam também como trilhas de auditorias,
registrando cronologicamente as atividades do sistema.
• Possibilitam a reconstrução, revisão ou análise dos
ambientes e atividades relativas a uma operação,
procedimento ou evento.
• Por conterem informações essenciais para a segurança, os
arquivos de logs devem ser protegidos contra destruição ou
alteração por usuários ou invasores.
• O uso em excesso também pode degradar o sistema, sendo
necessário balancear a necessidade de registro de atividades
criticas e os custos em termos de desempenhos.
13
Segurança de Informações
• Controles de Acesso Lógico ao Sistema Operacional
• Controles são implementados pelo fabricante do SO.
• As vezes, temos que instalar pacotes adicionais para
incrementar a segurança do SO.
• Outros Controles de Acesso Lógico
• Time-out automático.
• Limitação de horário de utilização de recursos.
• Evitar uso de sessões concorrentes.
• Se usuário estiver conectado, o invasor não poderá logar
com sua identificação/autenticação.
• Se o invasor tiver logado, o usuário terá seu acesso negado
por sua conta está sendo usada e poderá notificar à
segurança.
14
Segurança de Informações
•Gerência de Controle de Acesso Lógico
• Responsável por garantir controles adequados aos riscos,
previamente identificados e analisados.
• Deve determinar que tipo de controle deve ter cada caso.
• Deve sempre se basear nas condições estabelecidas na política
de segurança, tais como:
• Propriedade de cada sistema e arquivos de dados
relacionados.
• Classificação dos sistemas em termos de importância
quanto a disponibilidade, integridade e confidencialidade.
• Necessidade de acesso a dados e compatibilidades com
cada usuário.
• Responsabilidade de cada usuário.
15
Segurança de Informações
•Riscos Inerentes a Controles de Acesso Lógico Inadequados
• Principais impactos: divulgação não autorizada de informações,
alteração não autorizada de dados e aplicativos e
comprometimento da integridade do sistema.
• Impactos maiores em aplicativos que manipulam dados
confidenciais e financeiros.
• A inexistência de controles de acesso a arquivos de dados
permite que um indivíduo faça mudanças não autorizadas para
permitir vantagem pessoal, por exemplo:
• Alterar número da conta de um pagamento, desviando
dinheiro para si mesmo.
• Alterar inventário da empresa, para esconder furtos.
• Aumentar seu salário na folha de pagamento.
• Obter informações confidenciais a respeito de transações
ou indivíduos, visando futura extorsão ou chantagens.
16
Segurança de Informações
•Riscos Inerentes a Controles de Acesso Lógico Inadequados
• O acesso irrestrito a aplicativos pode permitir o acesso aos
dados, resultando nas mesmas alterações.
• A falta de controle de acesso sobre meios magnéticos,
impressos ou de telecomunicações pode gerar os mesmos
problemas.
• Conseqüências mais graves:
• Perdas financeiras e fraudes.
• Extorsões.
• Custo de restauração ao estado inicial de programas e
dados.
• Perda de credibilidade.
• Perda de mercado para a concorrência.
• Inviabilidade para a continuidade do negócio.
• Processos judiciais por divulgação de informações.
17
Segurança de Informações
• Controles de Acesso Físico - Proteger equipamentos e
informações
Segurança de Acesso
Segurança Ambiental
• Recursos a serem protegidos
• Equipamentos, Documentação, suprimentos e os próprios
usuários.
• A proteção física complementa a proteção lógica.
• Controles Administrativos
• Crachás de identificação
• Devolução de bens da instituição do funcionário demitido.
• Controle de entrada e saída de visitantes.
• Controle sobre prestadores de serviços ou funcionários fora do
horário normal.
• Princípio da mesa limpa.
18
Segurança de Informações
• Controles Explícitos
• Fechaduras ou cadeados comuns.
• Fechaduras codificadas acopladas a mecanismo elétrico.
• Fechaduras eletrônicas, cujas chaves são cartões magnéticos.
• Fechaduras biométricas, programadas para reconhecer
características físicas.
• Câmera de vídeo e alarmes, como controle preventivo e
detectivo.
• Guardas de segurança.
• Definição dos Controles Físicos
• A gerência deve proceder uma análise dos riscos, ameaças e
vulnerabilidades dos componentes do sistema.
• As medidas preventivas (contidas na política de segurança)
devem reduzir os riscos, balanceando custo X benefício.
19
Segurança de Informações
• Controles Ambientais – diretamente relacionados com a
disponibilidade e integridade das informações.
• Visam proteger os recursos computacionais contra danos provocados
por desastres naturais, falhas em estruturas ou instalações.
• Incêndios – Controles Preventivos e/ou Supressivos.
• Energia Elétrica e Descargas Elétricas Naturais – Afetam a
disponibilidade e a integridade dos sistemas.
• Uso efetivo de estabilizadores, no-breaks, geradores
alternativos, pára-raios.
• Instalações elétricas aterradas.
• Enchentes ou ameaças que envolvam água – equipamentos
eletrônicos não combinam com água.
• Providências: verificação de possíveis entradas de água nos
ambientes. Teto, tubulações de água estouradas, ralos e esgotos,
aparelhos de refrigeração.
• O setor de TI pode ficar em um andar superior, se existem
possibilidades de enchentes ou inundações.
20
Segurança de Informações
• Controles Ambientais
• Temperatura, Umidade e Ventilação – Necessidade de
ambientes de temperatura, umidade e ventilação controlada.
• Temperaturas entre 10 e 32º C são recomendadas (para os
usuários também).
• Ambientes secos demais geram eletricidade estática e úmido
demais podem provocar oxidação e condensação nos
equipamentos.
• As canaletas de ventilação dos equipamentos devem estar
desobstruídas.
• Manutenção e limpeza nos equipamentos de ar condicionado.
• Limpeza e conservação – As salas dos equipamentos devem ser
mantidas limpas, sem acúmulo de materiais de fácil combustão.
• Proibição de consumo de cigarros, líquidos e alimentos próximo
aos equipamentos
21
Segurança de Informações
• Riscos Inerentes a Controles Ambientais Inadequados
• Danos nos equipamentos, causados por desastres naturais ou
falhas ou falta de fornecimento de energia.
• Indisponibilidade dos sistemas e integridade dos dados podem
trazer conseqüências sérias para a empresa.
• Riscos Inerentes a Controles Físicos Inadequados
• Danos intencionais ou acidentais provocados por funcionários,
prestadores de serviço, equipe de vigilância ou limpeza pode
variar desde roubo de equipamentos e componentes até
alteração, cópia ou divulgação de informações confidenciais e
atos de vandalismo.
• A falta de controle de acesso físico podem facilitar a ação de
invasores na tentativa de burlar os controles lógicos.
22
Segurança de Informações
• Plano de Contingências e Continuidade dos Serviços de
Informática.
• Dependência extrema de computadores de muitas organizações.
• Não deixa de ser um risco, por isso merece muita atenção.
• Por causa das vulnerabilidades, é necessário adotar um plano
de recuperação após desastres.
• Instituições bancárias e financeiras são mais rígidas no
estabelecimento de planos de contingências.
• Fatos como o “bug do milênio” fez com que as empresas
despertassem da necessidade de planos.
• Atentados terroristas também provocaram maiores atenções
para mecanismos de reestruturação dos ambientes
computacionais.
23
Segurança de Informações
• Plano de Contingências e Continuidade dos Serviços de
Informática.
• A grande maioria das empresas nacionais ainda não despertou
para esse fato, pensando que isso só acontece com os outros.
• Um plano de recuperação na área de informática deve fazer
parte de uma estratégia ou política de continuidade de negócios
mais abrangente da empresa.
• É o conjunto de procedimentos para permitir que os serviços
continuem a operar, ou que tenham condições de serem
restabelecidos em menor tempo possível.
24
Segurança de Informações
• Plano de Contingências e Continuidade dos Serviços de
Informática. Porque é necessário ?
• Os serviços de processamento de dados devem estar
preparados para imprevistos.
• Não é problema apenas do departamento de informática e sim
da organização.
• As decisões são de negócios e não técnicas apenas do DI.
• A organização vai analisar cada recurso e atividades e definir
sua importância para a continuidade dos negócios.
• O Plano deve ter o objetivo de manter a integridade dos dados,
a disponibilidade dos serviços ou mesmo prover serviços
temporários ou com certas restrições até que os serviços normais
sejam restaurados.
25
Segurança de Informações
• Plano de Contingências e Continuidade dos Serviços de
Informática. Porque é necessário ?
• Quanto mais tempo os serviços estiverem indisponíveis, maiores
os impactos nos negócios.
• Minimizar o tempo de parada dos sistemas para reduzir os
prejuízos.
• Como é medida preventiva, é muita vezes colocada em segundo
plano na empresa, principalmente pelos custos envolvidos.
• O PLANO NÃO É PARA DAR LUCRO E SIM EVITAR PREJUÍZOS.
26
Segurança de Informações
• Fases do Plano de Contingências
• É importante definir aspectos administrativos como objetivos,
orçamentos, prazos, recursos humanos, materiais e equipamentos
necessários.
• Fases do plano:
• Atividades preliminares – conscientização, identificação dos
rcs, análise de custos, definição de prazos e aprovação do
projeto inicial.
• Análise de impacto – identificação dos impactos da
interrupção de cada sistema computacional.
• Análise das alternativas de recuperação – estudo detalhado
de cada alternativa de recuperação, balanceando custos e
benefícios.
• Desenvolvimento do plano – definição dos detalhes e dos
recursos para sua consecução.
• Treinamento – para garantir a eficiência do plano, pois os
funcionários devem ter conhecimento do mesmo.
27
Segurança de Informações
• Fases do Plano de Contingências
•Fases do plano:
• Testes – para provar a exeqüibilidade. Após os testes,
avalia-se o resultado, implementando as mudanças
necessárias.
• Atividades preliminares
• Comprometimento da alta gerência
• Estudo preliminar
• Análise de Impactos
• Tipos – diretos e indiretos
• Identificação dos recursos, funções e sistemas críticos
• Definição do tempo limite para recuperação
• Relatório de análise de impacto
28
Segurança de Informações
• Fases do Plano de Contingências
• Análise das Diversas Alternativas de Recuperação
• Prevenção de acidentes
• Backup
• Armazenamento de dados
• Recuperação de dados
• Procedimentos manuais
• Seguros
• Acordos comerciais
• Acordos de Reciprocidade
• Soluções internas
29
Segurança de Informações
• Fases do Plano de Contingências
• Desenvolvimento do Plano de Contingências
• Após as análises, discussões e obtenção da visão geral dos
sistemas, recursos e funções, o próximo passo é colocar todas as
estratégias em um documento.
• Um plano deve cobrir duas fases:
• Resposta Imediata – envolve decisões gerenciais, como
levar o plano adiante e tomar medidas corretivas.
• Processo de Restauração – define os passos a serem
seguido no local escolhido como instalação reserva.
• Designação do Grupo de Recuperação de Contingências – Para
colocar em prática o plano.
30
Segurança de Informações
• Fases do Plano de Contingências
• Desenvolvimento do Plano de Contingências
• Resposta imediata a um desastre – o conhecimento prévio evita
confusão e hesitação na hora do incidente.
• Identificar e compreender o problema.
• Conter os danos, limitando ou parando o problema.
• Determinar os danos causados.
• Restaurar os sistemas.
• Eliminar as causas.
• Comunicar o problema e as soluções aos interessados,
seguradoras, etc...
• Escolha da instalação reserva – deve ser adequada para que
possa dar condições para operações dos sistemas.
• Identificação de Aplicativos críticos – aqueles que têm
prioridade na restauração e retorno às atividades.
31
Segurança de Informações
• Fases do Plano de Contingências
• Treinamento
• Cada funcionário deve estar consciente de suas responsabilidades em
caso de emergência, sabendo exatamente o que fazer.
• Para isso, o treinamento teórico e prático é fundamental.
• É necessário também revisões ou reavaliações periódicas do grau de
habilitação dos envolvidos no Plano.
• Teste
• Assim como a organização testa seu sistema contra incêndios, deve
testar seu plano de contingências.
• É a única maneira de garantir a eficiência do plano de contingências.
• Teste integral – situação próxima da realidade
• Teste parcial – algumas partes do plano ou determinadas atividades.
• Teste simulado – envolve representações da situação emergencial.
32
Segurança de Informações
• Fases do Plano de Contingências
• Atualização do plano
• Um plano terá pouca ou nenhuma utilidade se for colocado em uma
gaveta e nunca for testado ou avaliado.
• As mudanças de sistemas e funções são freqüentes, assim como
ocorrem mudanças administrativas e do ambiente computacional.
• O plano tem que sempre refletir as mudanças feitas nos negócios e
sistemas.
• Lista de verificações
33
Exercícios Propostos – Controle de Acesso Físico







1) A Segurança Física pode ser abordada segundo 2 aspectos.
Fale sobre cada um.
2) Qual o objetivo do controle de acesso físico?
3) Quais recursos são protegidos com os controles de acesso
físico?
4) Cite os principais controles administrativos que devem ser
implementados para garantir a segurança física nos ambientes de
TI.
5) Quais os principais controles que DIAS (2000) aborda como
EXPLÍCITOS na segurança física?
6) O que são controles ambientais?
7) Quais os danos prevenidos com a implementação adequada de
controles ambientais?
34
Exercícios Propostos – Plano de Contingência




1) Definir Plano de Contingência.
2) Citar exemplos de organizações e serviços definidos como de
contingência.
3) Que argumentos pode citar como justificativa para convencer o
executivo de uma organização a investir na implementação de um
plano de contingência?
4) Quais as fases do planejamento de contingência? Fale sobre
cada uma delas.
35