seguranÇa da informaÇÃo

1

Introdução ao Conceito de Segurança da Informação

Prof. Afonso Bazolli

Princípios da Segurança da Informação

• Confidencialidade: proteger todas as informações contra o acesso não autorizado e permitido.

• Integridade: evitar que os dados sejam alterados ou deletados.

• Disponibilidade: evitar que as informações fiquem indisponíveis.

• Auditoria: evitar consultas ou alterações maliciosas cometidas por usuários.

• Uso legítimo: garantir o acesso as pessoas autorizadas.

3

O que é o Gerenciamento de Riscos ?

...“um evento ou uma condição incerta que, seocorrer, provocará um efeito positivo(oportunidade) ou negativo (ameaça) nos objetivosde um projeto.

4

Detalhes da Informação

• Para que serve a Informação ?

– Estratégia, Suporte, ...

• Qual o seu valor ?

– Avaliação subjetiva do dono da informação

• A Informação tem validade ?

– Sim, ela deve possuir um período de validade

2

5

• Toda Informação deve estar protegida ?

• Depende. Segurança requer investimentos e talvez

nem toda informação necessite estar protegida e/ou criptografada.

• Pode-se utilizar o ROI - Return on Investment

• Não existe um modelo unificado

• Conhecimento do Negócio

• Este é o ponto chave de qualquer Gerenciamento de Riscos


6

Existem Tipos de Informação ?

• Sim, e elas devem ser classificadas seguindo o seu teor de criticidade para a empresa. : • Confidencial: Deve ser disseminada somente para

funcionários nomeado;

• Corporativa: Deve ser disseminada somente na Empresa;

• Pública: Pode ser disseminadas internamente ou para fora da Empresa.

7

Definições na Gestão do Risco

• Responsável“Quem executará as atividades para melhor gerir os riscos.”

• Identificação“Quais riscos podem afetar o projeto.”

• Análise“Qual a probabilidade de uma ocorrência e qual o impacto.”

• Definição das Respostas“Que ações podemos tomar para reduzir as ameaças e

potencializar as oportunidades.”

8

NegócioRiscos

Pessoais

Riscos de Incidentes

Riscos deCrédito

Riscos daInformação

Cenário de Riscos para o Negócio

3

Identificação do Risco da Informação Forma do Controle na Segurança da Informação (Física)

• Implantar formas de identificação do funcionário de um visitante e categorias diferentes de funcionários.

• Gerenciar a entrada e a saída de hardwares, registrando todas as informações.

• Controlar a entrada/saída de todos os visitantes, registrando data, local, horário.

• Instituir câmeras para a vigilância no prédio, 24 horas por dia.

• Supervisionar a equipe de limpeza, vigilância e manutenção.• Não permitir que micros de acesso público, possam acessar nossa rede

interna.• Informar sobre a necessidade do bloqueio do teclado, destruição de

documentos confidenciais, backups, etc.• Utilizar mecanismos para controle de acesso como biometria, leitura da Iris,

etc.• Proteger os backups fisicamente.

• Restringir acesso a computadores que manipulam dados confidenciais.

Forma do Controle na Segurança da Informação (Lógica)

• Disponibilizar acesso, aos usuários, apenas aos recursos necessários.• Restringir e se possível monitorar o acesso a recursos críticos.

• Utilizar criptografia.• Revisar as listas com o controle de acesso.• Evitar fornecer orientações ao usuário durante o logon.• Bloquear a conta após um número de tentativas frustradas de logon.

• Restringir acesso a Pen Drives.• Não oferecer contas iguais para usuários diferentes.• Ao conceder a conta ao usuário, informá-lo sobre as políticas de senha da

organização.

• Evitar a escolha de senhas fáceis (data de nascimento, repetição de senhas).

• Orientar os usuários a não guardarem suas senhas em arquivos / anotações do email, etc.

• Desabilitar as senhas de ex-funcionários.• Manter e analisar trilhas de auditoria e logs.• Limitar o número de sessões concorrentes e o horário de uso dos recursos

computacionais.

• Configurar time-out automático.

Para que serve o Plano de Contingência ?

Seu objetivo principal é minimizar ou evitar asinterrupções das atividades protegendo também a perdadas informações.

• Plano de Continuidade Operacional• Define os procedimentos para contingenciamento dos ativos

que suportam o negócio, objetivando reduzir o tempo de indisponibilidade.

• Plano de Recuperação de Desastres• Implantar, conectado à estrutura existente de rede, um plano de

acesso eficiente e gerenciado, capaz de restabelecer as funções críticas numa situação excepcional

• Plano de Administração da Crise• Define o passo-a-passo do funcionamento das equipes

envolvidas no acionamento da contingência, antes, durante edepois da ocorrência de um incidente.

4

Conceito de Backup

• A forma mais importante de garantir a disponibilidade dainformação é sem dúvidas a cópia (backup), em localseguro.

• Tipos de Backup

• Total (Full)

• Incremental

• Diferencial

Backup Total (Full)

Cópia de todos os arquivos contidos no disco rígido.

• Vantagens

• Praticidade - Possuímos uma cópia completa de todos os dados e se for necessária uma recuperação do sistema é mais prático.

• Acesso rápido aos dados do backup – Evita a necessidade de pesquisar em diversas fitas a localização de um arquivo especifico a ser restaurado, pois os backups totais incluem todos os dados contidos nos discos rígidos em um determinado ponto/momento.

• Desvantagens

• Dados redundantes - Porque os dados alterados/não alterados são copiados para fitas nesta modalidade.

• Tempo - Backups totais demoram para serem restaurados.

Backup Incremental

Armazena todos os dados que foram alterados desde o backuptotal ou incremental mais recente. Para restaurar o servidorteremos que utilizar uma fita de backup total e todos osconjuntos de backups incrementais.

• Vantagens

• Uso eficiente do seu tempo - O processo de backup leva menos tempo pois apenas os dados que foram criados ou modificados desde o último backup total ou incremental vão para a fita.

• Uso eficiente da mídia de backup - O backup incremental utiliza menos fita pois apenas os dados que foram modificados ou criados são copiados.

• Desvantagens

• Restauração completa complexa – Podemos ter que restaurar os dados de um conjunto incremental com diversas fitas para obter uma restauração completa.

16

Backup Diferencial

• O backup diferencial captura os dados que foram modificadosdesde o último backup total. Você precisa de uma fita debackup total e da fita diferencial mais recente para umarestauração completa do sistema

• Vantagens

• Restauração rápida – Mais rápidos do que os backups incrementais, porque há menos fitas envolvidas no processo. Uma restauração completa exige no máximo 2 conjuntos de fitas — fita do último backup (full) e a do último backup diferencial.

• Desvantagens

• Backups demorados e maiores - Backups diferenciais exigem mais espaço em fita e tempo do que backups incrementais porque quanto mais tempo tiver se passado desde o último backup total (full), mais dados haverá para copiar para a fita diferencial.

• Aumento do tempo de backup – Como os dados aumentam a cada dia, o tempo de backup aumenta.

5

17

Vírus e Malware (Trojans/Worms/Backdoors)

• Antigamente, só os gênios faziam algoritmos maliciosos. Atualmente com o avanço de informação, o acesso e desenvolvimento se tornaram mais fáceis.

Em Linguagem C

Main() {

system(“format c:\”);

}

18

Vírus e Malware (Trojans/Backdoors)• Vírus: Pequenos programas que não funcionam por si só sendo criados para

infectar um arquivo executável ou que utilizam macros, ou seja, ficam escondidos

dentro da série de comandos de um programa maior.

• Malware: O termo malware é proveniente do inglês malicious software; é um

software destinado a se infiltrar em um sistema de computador alheio de forma ilícita,

com o intuito de causar algum dano ou roubo de informações (confidenciais ou não).

• Trojans: Programas cujo objetivo é sob uma camuflagem de outro programa útil

ou inofensivo, dizer que faz uma coisa (que pode fazer ou não) mas também faz

outra, sendo que essa segunda ação pode danificar seriamente o computador.

• Backdoors: O computador pode ser controlado a distancia por outra pessoa,

em outro micro e que poderá ver seus arquivos, emails, senhas, além de

apagar seus arquivos, dar boot, fazer login das teclas digitadas da máquina

para um arquivo (cartão de crédito, homebanking etc) e formatar HD´s. O mais

famoso é o Netbus.

19

Vírus e Malware (Trojans/Backdoors)

• Vírus e Malwares mais Conhecidos:

Macro;Cavalos de tróia;Spywares;Backdoors;Keyloggers.

20


Macro: Uma macro é um conjunto de comandos que são armazenados em algunsaplicativos e utilizados para automatizar algumas tarefas repetitivas. Para que possa serexecutado, o arquivo que o contém precisa ser aberto

6

21


Cavalo de Tróia: Na mitologia grega o “Cavalo de Tróia” foi uma grande estátua,utilizada como instrumento de guerra pelos gregos para obter acesso a cidade de Tróia.

A estátua do cavalo continha soldados que, durante a noite, abriram os portões dacidade possibilitando a entrada dos gregos e a dominação de Tróia.

Em TI um Cavalo de Tróia é um programa, geralmente recebido como um “presente” (cartão virtual, álbum de fotos, protetor de tela, etc), que além de executar funçõesprojetadas, também executa outras funções normalmente maliciosas e sem oconhecimento do usuário.

22


Spyware: Uma grande categoria de software que tem o objetivo de monitoraratividades de um sistema e enviar as informações coletadas para terceiros.

Geralmente monitoram os hábitos do usuário durante a navegação na Internet,direcionando as propagandas que serão apresentadas.

23


Backdoors: Programas que permitem o retorno de um invasor a um computadorcomprometido, utilizando serviços criados/modificados para este fim. Após a primeirainvasão o backdoor não precisa recorrer aos métodos utilizados na realização daprimeira invasão.

24


• Teste: Existe um teste padrão que pode ser executado com simplicidade em

qualquer PC afim de descobrir se seu anti-vírus é capaz de detectar um malware.

Abrindo um aplicativo editor de textos que salve em formato puro (.txt) e digitando a

seqüência:

X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*

Execute o anti-vírus. Caso ele não detecte o arquivo, seu

anti-vírus é ineficiente.

7

25

• Monitoramento de tráfego• O Squid é um popular servidor de Proxy desenvolvido em

software livre. Seu uso é variado, ele pode esconder petiçõesrepetidas, esconder www, DNS, e outros recursos de redecompartilhados para um grupo de pessoas.

• O MRTG (Multi Router Traffic Grapher) é um programadesenvolvida para acompanhar o tráfego em links de rede. Eleconsiste de um script Perl para ler os contadores do tráfego dosseus roteadores e, um programa em C que loga o tráfego dosdados e cria os gráficos que vão representar o tráfegomonitorado. Esses gráficos são inseridos numa webpage quepode ser visualizada a partir de qualquer browser.

Segurança de Redes

26

Segurança de Redes

• Monitoramento de tráfego

• Sniffer de Rede• Sniffing, em redes de computadores, é um procedimento realizado por

uma ferramenta conhecida como Sniffer. Esta ferramenta, constituídade um software e/ou hardware, é capaz de interceptar e registrar otráfego de dados em uma rede de computadores. Ele captura cadapacote e eventualmente pode decodificar e analisar o seu conteúdo deacordo com o protocolo definido em um RFC ou uma outraespecificação.

1

Níveis de Segurança e Conceito de Criptografia


Níveis de Segurança

Um dos primeiros pontos que temos que saber é, apósidentificarmos um potencial de ataque, qual o nível de segurançaa estabelecer para uma rede ou sistema os recursos físicos elógicos.

3

Como saber qual o Nível de Segurança à estabelecer ?

Devemos mensurar os custos associados aos possíveisataques e compará-los ao custos de implementação daproteção.

4

Níveis de Segurança - Física

São considerados ameaças físicas: desabamentos, incêndios, relâmpagos, acesso indevido de pessoas, etc

2

5

Níveis de Segurança - Lógica

São considerados ameaças lógicas: vírus, backup desatualizado, “quebra” de senha, acesso remoto, etc

6

Segurança da Informação – Conceitos Básicos

• Disponibilidade

• A informação sempre deve estar disponível para o uso

“legítimo”, ou seja, pelas pessoas (usuários) realmente com essa permissão.

• Consideramos um sistema de alta disponibilidade aquele resistente a falha do software, energia e que tem como principal

objetivo manter o sistema o maior período possível no ar.

7


• Integridade

• Através dela garantimos que a informação que será

manipulada mantenha as características originais indicadaspelo proprietário como, controle de alterações e validações

(Inserts e Updates de dados e valores permitidos ?)

8


• Autenticidade

• Garantir que o usuário seja identificado tendo uma certificação

de suas credenciais.

3

9


• Confiabilidade

• Temos que garantir que o sistema de informação utilizado irá

desenvolver seus serviços de forma eficiente e eficaz,desempenhando seu papel principal com toda a perfeição.

10


• Irretratabilidade

• É a garantia que um usuário do sistema não poderá sobre

hipótese alguma contestar uma auditoria de informação,desqualificando-a.

11


• Privacidade

• Garantir que o usuário terá direito de determinar quais partes

de uma informação serão acessíveis à todos ou à uma parcelade usuários.

12


• Criptografia

• Criptografia (Do Grego kryptós, "escondido", e gráphein,

"escrita") é o estudo dos princípios e técnicas pelas quais ainformação pode ser transformada da sua forma original para

outra ilegível, de forma que possa ser conhecida apenas por seu

destinatário (detentor da "chave secreta"), o que a torna difícil deser lida por alguém não autorizado. Assim sendo, só o receptor

da mensagem pode ler a informação com facilidade.*

Fonte: http://pt.wikipedia.org/wiki/Criptografia

4

13


• Criptografia

• Costuma-se utilizar na criptografia chaves. Ela é um conjunto

de bits que baseado em um algoritmo é capaz de codificar edescodificar as informações. Caso o receptor das informações

use uma chave incompatível, as informações não ficarão

disponíveis.

• O primeiro método existente de criptografia utilizava um

algoritmo (programação) de codificação. Assim, caso o receptorda informação soubesse o algoritmo, poderia extraí-lo.

14


• Criptografia

Imagine que o usuário A tenha que enviar uma informação

criptografada ao usuário B. O usuário B terá que conhecer oalgoritmo utilizado para leitura das informações.

Caso o usuário C também precise receber uma informação dausuária A, e este sabia que o usuário B também recebeu

informações, conseguirá ler as informações dele pois conhece o

algoritmo.

Para que o usuário A consiga evitar este problema de segurança da

informação, a única solução disponível é utilizar um algoritmo diferente para cada um dos receptores.

A utilização de chaves é a SOLUÇÃO.

15


• Criptografia

� Chaves de 64 Bits

� Chaves de 128 Bits� Chaves de 256 Bits

Os valores acima indicam o tamanho de cada uma das chaves.

Quanto maior for a quantidade de bits utilizados, mais segura será a

criptografia das informações.

Caso o algoritmo de criptografia utilize uma chave de 8 bits,poderão ser utilizadas apenas 256 chaves (combinações) nacodificação. Dizemos isso pois 2 elevado a 8 tem como resultado256. Isso demonstra de forma clara que uma chave de 8 bits éinsegura, pois até um usuário será capaz de gerar as 256combinações manualmente.

16


• Objetivos Básicos da Criptografia

• Confidencialidade da Mensagem Transmitida: Apenas o

destinatário autorizado deverá ser capaz de “entender” oconteúdo da mensagem cifrada.

• Autenticação do remetente: O destinatário da mensagemdeverá ser capaz de saber qual foi o seu remetente e verificar se

foi ele mesmo quem enviou-lhe a mensagem.

5

17


• Tipos de Criptografia

• Chaves Simétricas: Este é o tipo de chave mais simples, onde

o emissor e receptor da informação utilizam a mesma chave, istoé, uma chave única é utilizada para codificar e descodificar a

informação. Algum dos algoritmos que utilizam chaves simétricas:

• DES (Data Encryption Standard): Utilizava chaves de 56

bits. Isso significa a existência de mais de 72 quadrilhões (de

combinações). Este é um número absurdamente alto, masnão para computadores potentes. No ano de 1997, ele foi

quebrado utilizando-se a técnica da "força-bruta" que nada

mais é que a tentativa/erro em um desafio da internet;• RC (Ron's Code ou Rivest Cipher): Algoritmo utilizado em

e-mails e com chaves de 8 a 1024 bits

• AES (Advanced Encryption Standard) - que é baseado noDES , o 3DES, o Twofish e sua variante Blowfish, entre

outros. (Padrão Oracle)

18



• Chaves Assimétricas: Conhecida como Chave Pública, ela

trabalha com 2 chaves:

• Chave Pública• Chave Privada

O usuário deve criar a chave de codificação e encaminhá-la aquem for mandar informações. Essa é a chamada chave pública.

A outra chave, criada para a decodificação da informação é

conhecida como chave privada e é secreta.

19



• Chaves Assimétricas

Alice Disponibiliza sua chave pública para Bob

20




Bob cifra a mensagem com a chave pública de Alice e envia para Alice, que recebe e decifra o texto utilizando sua chave privada

6

21




RSA: é a mais utilizada. Números primos (Que só podem ser divididospor 1 e por ele mesmo) são utilizados assim: 2 números primos são

multiplicados para se obter um terceiro valor. Desta forma, descobrir

os 2 primeiros números com base em um terceiro é muito trabalhoso.Se ainda utilizarmos 2 números primos grandes, será necessário

muito mais processamento para descobri-lo (quase inviável).

Basicamente, a chave privada no RSA são os números multiplicadose a chave pública é o valor obtido;

22

Segurança da Informação – Conceitos Básicos• Assinatura DigitalTécnica utilizada para provarmos que uma mensagem não foi violada.

• A criptografia ocorre no documento.• O receptor utilizará sua chave privada (e exclusiva) para decifrar o

arquivo.

Se qualquer bit do documento for alterado a assinatura será deformada, invalidando o arquivo.

23


• Certificado Digital

• Arquivo eletrônico contendo informações da autoridade

certificadora e que garante a autenticidade,privacidade/inviolabilidade junto a comunicação em rede,

conferindo, validade jurídica ao documento/transação comercial

advinda da Internet.

• O certificado digital possui uma chave pública do usuário

juntamente com os dados necessários de sua identidade.

• Cada vez mais empresas e Pessoas Físicas vem utilizando o

Certificado Digital.

24



7

25


• SSL

• O SSL (Secure Sockets Layer) é o protocolo criptográfico que

prove a segurança na Internet para os serviços de email (SMTP),navegação (HTTP) e outros tipos de transferências. O TLS

(Transport Layer Security) foi o protocolo anterior ao SSL.

• Funcionamento

• O server do site que estiver sendo acessado enviará umachave pública ao respectivo navegador, e este último enviará

uma chave secreta, que é gerada de forma aleatória. Assim,

fica estabelecida a existência de uma troca de dadoscriptografado e com segurança entre as máquinas.

26


• VPN

• Forma de conexão de rede que utilizar a Internet como canal.

Esta comunicação utiliza técnicas de encriptação garantindo queesta rede seja virtualmente toda privada.

27


• Anti-Vírus

• Software desenvolvido especificamente para detectar e eliminar

de um computador, vírus e códigos maliciosos.

• Vírus de Programa

• Infectam arquivos com as extensões .EXE, .COM,.VBS, etc.

• Vírus de Boot

• Infectam a área de Boot de um HD.

• Vírus de Macro

• Infectam os arquivos do Office e são criados em VBA (VisualBasic Application) e afetam os programas que utilizam esta

linguagem.

1

Política, Padrões/ Procedimentos de

Segurança da Informação Prof. Afonso Bazolli

• Política• Direcionamento de alto nível empresarial, que de forma geral

indica as intenções da administração quanto à Segurança daInformação na corporação.

Qual a diferença entre Política e Padrões/Processos ?

• Padrões/Processos• São as medidas estabelecidas e necessárias para o controle da

Segurança da Informação indicado como premissas da Política.Geralmente definidos em forma de documentos, objetivamestabelecer a seqüência lógica para a realização de trabalhoscríticos à empresa, e que estão intimamente ligados à Segurançada Informação. Deve ser do conhecimento de todos oscolaboradores citados no documento.

• Exemplos

• Acompanhamento de Planos de Ação

• Avaliação de Riscos de Segurança da Informação

• Liberação de Acesso à Rede

• Participação de Segurança da Informação em Projetos

• Resposta a Incidentes de Segurança da Informação

Qual a diferença entre Política e Padrões/Processos ? ✔ Indicar a Relação do Uso da Informação pela Empresa;✔ Formar o Conjunto de Normas que Definirá a Gestão da Segurança da

Informação.

Qual a utilidade de termos Políticas e Processos ?

Informação = É um Ativo Institucional

Ativo Institucional = Tudo aquilo que representa valor para o

negócio da instituição

A política de informação é elaborada a partir;

A) Classificação dos Ativos Institucionais

B) Desenvolvimento da Política

C) Conscientização e Treinamento

2

O que devemos considerar na Classificação da Informação ?

• O Valor, o Risco e a importância desta informação para aempresa;

• O Custo desta informação e qual a ajuda dela na tomada dedecisão empresarial.

Quais os benefícios da Classificação da Informação ?

• Gerenciamento da Confidencialidade, Integridade e semesquecer a Disponibilidade da Informação;

• Conseguiremos direcionar nossos investimentos em recursoslógicos ou físicos.

Questões a serem respondidas na Classificação da Informação.

� Quem será o responsável pelo projeto?

– Geralmente o Security Office

� O que se deseja proteger e de quem ?

� Existe alguma política ou lei corporativa que deve ser respeitada ?

- SARBANES-OXLEY

� Os recursos financeiros ou de máquina estão disponíveis?

Após a Classificação partiremos para a criação da Política.

� Definir a Informação como um Ativo

� Declarar que a Empresa é a Proprietária da Informação

� Identificar os custodiantes e Fazer o Termo de Confidencialidade.

� Definir as Metas e Punições

3

Fatores Impactantes na Implantação de uma Política de Segurança da Informação.

� Comprometimento da Alta Direção;

� Análise de Impactos deve ser feita por uma EquipeMultidisciplinar;

Regras para a Implantação de uma Política de Segurança.

� Analisar as Ameaças Associadas a cada Área da empresa;

� Determinar o Risco Associado aquela ameaça;

� Indicar a Consequência da perda de um ativo de informaçãopode trazer a empresa;

� Construir uma Matriz de Riscos/Níveis/Impactos/Ações;

� Indicar a Data de Publicação, Validade e Revisão.

Treinamento da Política de Segurança

� Identificação de Instrutores;

� Identificação de Público Alvo

� Administração /Continuidade/Avaliação do programa;

Por fim, poderemos ter as seguintes Políticas

• Regulatória• Descreve com detalhamento o que deve ser feito; Utilização

interna da empresa.

• Vantagens: Conseguir assegurar o cumprimento dos procedimentos/normas.

• Proporciona conforto à empresa na execução das atividades.

• Consultiva• Sugere a realização de ações/atividades cotidianas na empresa.

• Desvantagens: Falhas no processo de comunicação com a alta administração;

• Informativa

• Possui carater apenas informativo.

4

Quais os Benefícios da Implantação de uma Política de Segurança ?

• Curto Prazo• Formalização e documentação dos procedimentos adotados

• Implementação de novos procedimentos e controles

• Prevenção de acessos não autorizados• Maior segurança no negócio

• Médio Prazo• Padronização dos procedimentos• Adaptação segura de novos processos de negócios

• Qualificação e quantificação do sistema de resposta a incidentes

• Conformidade com os padrões de segurança

• Longo Prazo• Retorno de investimento devido a redução de problemas

• Consolidação da imagem institucional

Copyright © 2004, Oracle. Todos os direitos reservados.

Administrando Usuários


Objetivos

Ao concluir esta lição, você será capaz de:• Criar e gerenciar contas de usuário do banco

de dados• Criar e gerenciar atribuições• Conceder e revogar privilégios com os comandos

Grant e Revoke• Controlar o uso de recursos pelos usuários


Contas de Usuário do Banco de Dados

Cada conta de usuário do banco de dados possui:• Um nome de usuário exclusivo• Um método de autenticação• Tablespace default• Tablespace temporário• Perfil de usuário


Criando um Usuário

Selecione Users na página de propriedades Administration. Clique no botão Create.


Perfis e Usuários

Os usuários recebem apenas um perfil em qualquer momento.

Perfis:• Controlar

o consumode recursos

• Gerenciar senhas


Autenticando Usuários

• Senha• External• Global


Bloqueio e Tablespaces Default e Temporários

• Default: Local default dos objetos de bancode dados

• Temporário: Usado para a classificação


Esquemas e Usuários de Banco de Dados

Objetos do EsquemaTabelasTriggersÍndicesViewsSeqüênciasUnidades de programa armazenadasSinônimosTipos de dados definidos pelo usuárioVínculos de bancosde dados

• Esquema é o conjunto de objetos pertencentes a um usuário.

• Só é possível associar um usuário a um esquema.

• O nome de usuário e o esquema são, em geral, usados alternadamente.


Lista de Verificação para Criar Usuários

• Selecione um perfil.• Selecione uma técnica de autenticação.• Designe um tablespace default e um tablespace

temporário.• Conceda privilégios e atribuições ao usuário.• Defina as cotas de cada tablespace.


Há dois tipos de privilégios de usuário:• System: Permite que os usuários executem

determinadas ações no banco de dados• Objeto: Permite que os usuários acessem

e manipulem um objeto específico

Privilégios


Privilégios de Sistema


Privilégios de Objeto

Para conceder privilégios de objeto:• Escolha o tipo de objeto• Selecione os objetos• Privilégios Select


Atribuindo uma Cota aos Usuários

Os usuários que não tiverem o privilégio de sistema de tablespace unlimited deverão receber uma cota antes de criarem objetos em um tablespace. As cotas podem ser:• Ilimitado• Um valor específico em megabytes ou em kilobytes


Designando Atribuições aos Usuários


Usuários

Privilégios

Atribuições HR_CLERKHR_MGR

Atribuições

Neena Girard Vance

Deleteemployees

Selecioneemployees

Atualizaremployees

Inseriremployees


• Gerenciamento mais fácil de privilégios• Gerenciamento dinâmico de privilégios• Disponibilidade seletiva dos privilégios• Podem ser concedidas pelo sistema operacional

Vantagens das Atribuições


Atribuições Predefinidas

CREATE ANY JOB, CREATE JOB, EXECUTE ANY CLASS, EXECUTE ANY PROGRAM, MANAGE SCHEDULER

SCHEDULER_ ADMIN

Não contêm privilégios de sistema, porém, contêm mais de 1600 privilégios de objeto no dicionário de dados

SELECT_

CATALOG_

ROLE

Inclui a maioria dos privilégios de sistema, várias outras atribuições Não deve ser concedida a usuários que não são administradores.

DBA

CREATE TABLE, CREATE PROCEDURE, CREATE SEQUENCE, CREATE TRIGGER, CREATE TYPE, CREATE CLUSTER, CREATE INDEXTYPE, CREATE OPERATOR

RESOURCE

CREATE SESSION, CREATE TABLE, CREATE VIEW, CREATE SYNONYM, CREATE SEQUENCE, CREATE DATABASE LINK, CREATE CLUSTER, ALTER SESSION

CONNECT


As atribuições podem ser protegidas atravésde autenticação.

CREATE ROLE secure_application_roleIDENTIFIED USING <security_procedure_name>;

Atribuições Seguras

As atribuições também podem ser protegidas através de programa.

As atribuições podem ser não-default.SET ROLE vacationdba;


Sumário

Nesta lição, você deverá ter aprendido a:• Criar e gerenciar contas de usuário• Criar e gerenciar atribuições• Conceder e revogar privilégios com os comandos



Exercício 7: Administrando Usuários

Este exercício aborda o seguinte:• Criação de um perfil para limitar o consumo

de recursos• Criação de duas atribuições:

a. HRCLERK

b. HRMANAGER

• Criação de três novos usuários, um gerentee dois funcionários


Conceitos de Backup e Recuperação


Objetivos

Ao concluir esta lição, você será capaz de fazero seguinte:• Descrever os princípios básicos do backup, da

restauração e da recuperação de bancos de dados• Listar os tipos de falhas que podem ocorrer em um

Banco de Dados Oracle• Descrever as formas de ajustar a recuperação

de instâncias• Identificar a importância de checkpoints, arquivos

de redo log e arquivos de log arquivados• Configurar o modo ARCHIVELOG.


Questões de Backup e Recuperação

A tarefa do administrador é:• Proteger o banco de dados contra falhas quando

possível.• Aumentar o MTBF (Mean-Time-Between-Failures)• Diminuir o MTTR (Mean-Time-To-Recover)• Minimizar a perda de dados.


Categorias de Falhas

Em geral, é possível dividir as falhas nas seguintes categorias:• Falha de instrução• Falha de processo do usuário• Falha de rede• Erro de usuário• Falha de instância• Falha de mídia


Falhas de instrução

Soluções PossíveisProblemas Comuns

Trabalhar com desenvolvedores para corrigir erros de programa.

Erros lógicos em aplicações

Ative a alocação de espaço retomável.Aumente a cota do usuário.Adicione espaço ao tablespace.

Falha na tentativa de alocar espaço

Conceda privilégios adequados de objeto e de sistema.

Tentativa de executar operações com privilégios insuficientes

Trabalhe com os usuários para validar e corrigir os dados.

Tentativa de informar dados inválidos em uma tabela


Falha de Processo do Usuário


Houve um erro no programa do usuário, que encerrou a sessão.

A sessão do usuário foi encerrada de forma anormal.

Em geral, uma ação do DBA não é necessária para resolver falhas de processo do usuário. Os processos de segundo plano da instância efetuam rollback de alterações não submetidas a commit e liberam bloqueios.

Fique atento às tendências.

O usuário realizou uma desconexão anormal.


Falha de Rede


Configurar um backupde conexão de rede.

Falhas de conexãode rede

Configurar várias placasde rede.

Falhas de NIC (Network Interface Card)

Configure um listerner de backup e um failover de tempo de conexão.

Falhas de listener


Erros do Usuário

Soluções PossíveisCausas Comuns

Recuperar a tabela da lixeira.O usuário elimina uma tabela.

Efetuar rollback ou usar a consulta de flashback para recuperação.

O usuário modifica ou deleta inadvertidamente os dados.


Falha de Instância

Falha de um dos processos de background


Procedimentosde shutdownde emergência

Falha de hardware

Reinicialize a instância usando o comando “startup”. A recuperação em caso de falha da instância é automática, incluindo o rollforward de alterações nos redo logs e, em seguida, o rollback das transações não submetidas a commit.

Investigue as causas da falha usando o log de alerta, os arquivos de rastreamento e o Enterprise Manager.

Falta de energia


Recuperação de Instância

Recuperação de instância ou de falha:• É causada por tentativas de abrir um banco de

dados cujos arquivos não foram sincronizados durante o shutdown

• É automática• Usa as informações armazenadas nos grupos

de redo logs para sincronizar arquivos• Envolve duas operações distintas

– Rollforward: Os arquivos de dados são restaurados ao estado original antes que haja falha na instância.

– Rollback: As alterações efetuadas mas não submetidas a commit voltam ao estado original.


Fases da Recuperação de Instância1. Arquivos de dados

fora de sincronia2. Rollforward (redo)3. Dados submetidos

e não submetidos a commit em arquivos

4. Rollback (undo)5. Dados submetidos a

commit em arquivos

Banco de dados

UndoUndo

Instância

SGA

146.5Processos deBackground

Arq. deDadosSCN: 99

Arq. deDados

SCN: 129

Arq. deDados

SCN: 140

Arq. de ControleSCN: 143


Grupo deRedo LogsSCN 74-101



Ajustando a Recuperação de Instância

• Durante a recuperação da instância, as transações entre a posição de checkpoint e o final do redo log devem ser aplicadas aos arquivos de dados.

• Ajuste a recuperação da instância controlando a diferença entre a posição de checkpoint e o final do redo log.

Final do redo logPosição de checkpoint

Transações

Recuperaçãode instância


Usando o MTTR Advisor

• Especificar o tempo desejado em segundos ou minutos.• O valor default é 0 (desativado).• O valor máximo é 3600 segundos (uma hora).


Falha de Mídia

Falha da controladora de disco

Deleção ou danos do arquivo de banco de dados

Soluções PossíveisCausas Comuns1. Restaurar o arquivo afetado

a partir do backup.2. Se necessário, informe o

banco de dados sobre um novo local de arquivo.

3. Se necessário, recupereo arquivo aplicando informações de redo.

Falha na unidade de disco


Configurando a Capacidade de Recuperação

Para configurar o banco de dados de modo a obtero máximo de capacidade de recuperação:• Programe backups regulares• Multiplexe arquivos de controle• Multiplexe grupos de redo logs• Retenha cópias arquivadas de redo logs


Arquivos de Controle.

Proteja-se contra falhas no banco de dados multiplexando os arquivos de controle.• Pelo menos duas cópias (A Oracle sugere três)• Cada cópia em um disco separado• Pelo menos uma cópia em uma controladora

de disco separada

Arquivos de Controle


Arquivos de Redo Log

Multiplexe os grupos de redo logs para proteger-se contra falhas de mídia e perda de dados.• Pelo menos dois membros (arquivos) por grupo• Cada membro em uma unidade de disco separada• Cada membro em uma controladora de disco separada• Os redo logs influenciam bastante o desempenho

Grupo 1 Grupo 2 Grupo 3

Membro 1 Membro 2 Membro 1


Disco 1

Disco 2


Multiplexando o Redo Log


Arquivos de Log Arquivados

Para preservar as informações de redo, crie cópias arquivadas dos arquivos de redo log.• Especifique a convenção de nomeação do arquivo

de log arquivado.• Especifique um ou mais locais para o arquivamento

dos logs.• Alterne o banco de dados para o modo ARCHIVELOG.

Arquivos de Redo Log On-line Arquivos de log arquivados


Nomeação e Destinosde Arquivos de Log Arquivados

Especifique os nomes e destinos dos arquivos de log arquivados.


Modo ARCHIVELOG

Coloque o banco de dados no modo ARCHIVELOG.• Clique na caixa de seleção ARCHIVELOG Mode• Clique em Apply. Só é possível definir o banco de

dados no modo ARCHIVELOG a partir do estado MOUNT. Clique em Yes quando você for solicitadoa reiniciar o banco de dados.


Sumário

Nesta lição, você deverá ter aprendido a:• Descrever os princípios básicos de backup,

restauração e recuperação de bancos de dados• Listar os tipos de falhas que podem ocorrer em

um Banco de Dados Oracle• Identificar a importância de checkpoints, arquivos

de redo log e arquivos de log arquivados• Configurar o modo ARCHIVELOG• Descrever as formas de ajustar a recuperação

de instâncias


Exercício 18: Conceitos de Backup e Recuperação

Este exercício aborda o seguinte:• Multiplexando os arquivos de controle• Multiplexando grupos de redo logs• Colocando o banco de dados no modo ARCHIVELOG• Garantindo que logs de arquivamento redundantes

sejam criados

1

Introdução ao Conceito de Segurança da Informação


Princípios da Segurança da Informação

• Confidencialidade: proteger todas as informações contra o acesso não autorizado e permitido.

• Integridade: evitar que os dados sejam alterados ou deletados.

• Disponibilidade: evitar que as informações fiquem indisponíveis.

• Auditoria: evitar consultas ou alterações maliciosas cometidas por usuários.

• Uso legítimo: garantir o acesso as pessoas autorizadas.

3

O que é o Gerenciamento de Riscos ?

...“um evento ou uma condição incerta que, seocorrer, provocará um efeito positivo(oportunidade) ou negativo (ameaça) nos objetivosde um projeto.

4


• Para que serve a Informação ?

– Estratégia, Suporte, ...

• Qual o seu valor ?

– Avaliação subjetiva do dono da informação

• A Informação tem validade ?

– Sim, ela deve possuir um período de validade

2

5

• Toda Informação deve estar protegida ?

• Depende. Segurança requer investimentos e talvez

nem toda informação necessite estar protegida e/ou criptografada.

• Pode-se utilizar o ROI - Return on Investment

• Não existe um modelo unificado

• Conhecimento do Negócio

• Este é o ponto chave de qualquer Gerenciamento de Riscos


6

Existem Tipos de Informação ?

• Sim, e elas devem ser classificadas seguindo o seu teor de criticidade para a empresa. : • Confidencial: Deve ser disseminada somente para

funcionários nomeado;

• Corporativa: Deve ser disseminada somente na Empresa;

• Pública: Pode ser disseminadas internamente ou para fora da Empresa.

7

Definições na Gestão do Risco

• Responsável“Quem executará as atividades para melhor gerir os riscos.”

• Identificação“Quais riscos podem afetar o projeto.”

• Análise“Qual a probabilidade de uma ocorrência e qual o impacto.”

• Definição das Respostas“Que ações podemos tomar para reduzir as ameaças e

potencializar as oportunidades.”

8

NegócioRiscos

Pessoais

Riscos de Incidentes

Riscos deCrédito

Riscos daInformação

Cenário de Riscos para o Negócio

3

Identificação do Risco da Informação Forma do Controle na Segurança da Informação (Física)

• Implantar formas de identificação do funcionário de um visitante e categorias diferentes de funcionários.

• Gerenciar a entrada e a saída de hardwares, registrando todas as informações.

• Controlar a entrada/saída de todos os visitantes, registrando data, local, horário.

• Instituir câmeras para a vigilância no prédio, 24 horas por dia.

• Supervisionar a equipe de limpeza, vigilância e manutenção.• Não permitir que micros de acesso público, possam acessar nossa rede

interna.• Informar sobre a necessidade do bloqueio do teclado, destruição de

documentos confidenciais, backups, etc.• Utilizar mecanismos para controle de acesso como biometria, leitura da Iris,

etc.• Proteger os backups fisicamente.

• Restringir acesso a computadores que manipulam dados confidenciais.

Forma do Controle na Segurança da Informação (Lógica)

• Disponibilizar acesso, aos usuários, apenas aos recursos necessários.• Restringir e se possível monitorar o acesso a recursos críticos.

• Utilizar criptografia.• Revisar as listas com o controle de acesso.• Evitar fornecer orientações ao usuário durante o logon.• Bloquear a conta após um número de tentativas frustradas de logon.

• Restringir acesso a Pen Drives.• Não oferecer contas iguais para usuários diferentes.• Ao conceder a conta ao usuário, informá-lo sobre as políticas de senha da

organização.

• Evitar a escolha de senhas fáceis (data de nascimento, repetição de senhas).

• Orientar os usuários a não guardarem suas senhas em arquivos / anotações do email, etc.

• Desabilitar as senhas de ex-funcionários.• Manter e analisar trilhas de auditoria e logs.• Limitar o número de sessões concorrentes e o horário de uso dos recursos

computacionais.

• Configurar time-out automático.

Para que serve o Plano de Contingência ?

Seu objetivo principal é minimizar ou evitar asinterrupções das atividades protegendo também a perdadas informações.

• Plano de Continuidade Operacional• Define os procedimentos para contingenciamento dos ativos

que suportam o negócio, objetivando reduzir o tempo de indisponibilidade.

• Plano de Recuperação de Desastres• Implantar, conectado à estrutura existente de rede, um plano de

acesso eficiente e gerenciado, capaz de restabelecer as funções críticas numa situação excepcional

• Plano de Administração da Crise• Define o passo-a-passo do funcionamento das equipes

envolvidas no acionamento da contingência, antes, durante edepois da ocorrência de um incidente.

4

Conceito de Backup

• A forma mais importante de garantir a disponibilidade dainformação é sem dúvidas a cópia (backup), em localseguro.

• Tipos de Backup

• Total (Full)

• Incremental

• Diferencial

Backup Total (Full)

Cópia de todos os arquivos contidos no disco rígido.

• Vantagens

• Praticidade - Possuímos uma cópia completa de todos os dados e se for necessária uma recuperação do sistema é mais prático.

• Acesso rápido aos dados do backup – Evita a necessidade de pesquisar em diversas fitas a localização de um arquivo especifico a ser restaurado, pois os backups totais incluem todos os dados contidos nos discos rígidos em um determinado ponto/momento.

• Desvantagens

• Dados redundantes - Porque os dados alterados/não alterados são copiados para fitas nesta modalidade.

• Tempo - Backups totais demoram para serem restaurados.

Backup Incremental

Armazena todos os dados que foram alterados desde o backuptotal ou incremental mais recente. Para restaurar o servidorteremos que utilizar uma fita de backup total e todos osconjuntos de backups incrementais.

• Vantagens

• Uso eficiente do seu tempo - O processo de backup leva menos tempo pois apenas os dados que foram criados ou modificados desde o último backup total ou incremental vão para a fita.

• Uso eficiente da mídia de backup - O backup incremental utiliza menos fita pois apenas os dados que foram modificados ou criados são copiados.

• Desvantagens

• Restauração completa complexa – Podemos ter que restaurar os dados de um conjunto incremental com diversas fitas para obter uma restauração completa.

16

Backup Diferencial

• O backup diferencial captura os dados que foram modificadosdesde o último backup total. Você precisa de uma fita debackup total e da fita diferencial mais recente para umarestauração completa do sistema

• Vantagens

• Restauração rápida – Mais rápidos do que os backups incrementais, porque há menos fitas envolvidas no processo. Uma restauração completa exige no máximo 2 conjuntos de fitas — fita do último backup (full) e a do último backup diferencial.

• Desvantagens

• Backups demorados e maiores - Backups diferenciais exigem mais espaço em fita e tempo do que backups incrementais porque quanto mais tempo tiver se passado desde o último backup total (full), mais dados haverá para copiar para a fita diferencial.

• Aumento do tempo de backup – Como os dados aumentam a cada dia, o tempo de backup aumenta.

5

17

Vírus e Malware (Trojans/Worms/Backdoors)

• Antigamente, só os gênios faziam algoritmos maliciosos. Atualmente com o avanço de informação, o acesso e desenvolvimento se tornaram mais fáceis.

Em Linguagem C

Main() {

system(“format c:\”);

}

18

Vírus e Malware (Trojans/Backdoors)• Vírus: Pequenos programas que não funcionam por si só sendo criados para

infectar um arquivo executável ou que utilizam macros, ou seja, ficam escondidos

dentro da série de comandos de um programa maior.

• Malware: O termo malware é proveniente do inglês malicious software; é um

software destinado a se infiltrar em um sistema de computador alheio de forma ilícita,

com o intuito de causar algum dano ou roubo de informações (confidenciais ou não).

• Trojans: Programas cujo objetivo é sob uma camuflagem de outro programa útil

ou inofensivo, dizer que faz uma coisa (que pode fazer ou não) mas também faz

outra, sendo que essa segunda ação pode danificar seriamente o computador.

• Backdoors: O computador pode ser controlado a distancia por outra pessoa,

em outro micro e que poderá ver seus arquivos, emails, senhas, além de

apagar seus arquivos, dar boot, fazer login das teclas digitadas da máquina

para um arquivo (cartão de crédito, homebanking etc) e formatar HD´s. O mais

famoso é o Netbus.

19


• Vírus e Malwares mais Conhecidos:

Macro;Cavalos de tróia;Spywares;Backdoors;Keyloggers.

20


Macro: Uma macro é um conjunto de comandos que são armazenados em algunsaplicativos e utilizados para automatizar algumas tarefas repetitivas. Para que possa serexecutado, o arquivo que o contém precisa ser aberto

6

21


Cavalo de Tróia: Na mitologia grega o “Cavalo de Tróia” foi uma grande estátua,utilizada como instrumento de guerra pelos gregos para obter acesso a cidade de Tróia.

A estátua do cavalo continha soldados que, durante a noite, abriram os portões dacidade possibilitando a entrada dos gregos e a dominação de Tróia.

Em TI um Cavalo de Tróia é um programa, geralmente recebido como um “presente” (cartão virtual, álbum de fotos, protetor de tela, etc), que além de executar funçõesprojetadas, também executa outras funções normalmente maliciosas e sem oconhecimento do usuário.

22


Spyware: Uma grande categoria de software que tem o objetivo de monitoraratividades de um sistema e enviar as informações coletadas para terceiros.

Geralmente monitoram os hábitos do usuário durante a navegação na Internet,direcionando as propagandas que serão apresentadas.

23


Backdoors: Programas que permitem o retorno de um invasor a um computadorcomprometido, utilizando serviços criados/modificados para este fim. Após a primeirainvasão o backdoor não precisa recorrer aos métodos utilizados na realização daprimeira invasão.

24


• Teste: Existe um teste padrão que pode ser executado com simplicidade em

qualquer PC afim de descobrir se seu anti-vírus é capaz de detectar um malware.

Abrindo um aplicativo editor de textos que salve em formato puro (.txt) e digitando a

seqüência:

X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*

Execute o anti-vírus. Caso ele não detecte o arquivo, seu

anti-vírus é ineficiente.

7

25

• Monitoramento de tráfego• O Squid é um popular servidor de Proxy desenvolvido em

software livre. Seu uso é variado, ele pode esconder petiçõesrepetidas, esconder www, DNS, e outros recursos de redecompartilhados para um grupo de pessoas.

• O MRTG (Multi Router Traffic Grapher) é um programadesenvolvida para acompanhar o tráfego em links de rede. Eleconsiste de um script Perl para ler os contadores do tráfego dosseus roteadores e, um programa em C que loga o tráfego dosdados e cria os gráficos que vão representar o tráfegomonitorado. Esses gráficos são inseridos numa webpage quepode ser visualizada a partir de qualquer browser.

Segurança de Redes

26

Segurança de Redes

• Monitoramento de tráfego

• Sniffer de Rede• Sniffing, em redes de computadores, é um procedimento realizado por

uma ferramenta conhecida como Sniffer. Esta ferramenta, constituídade um software e/ou hardware, é capaz de interceptar e registrar otráfego de dados em uma rede de computadores. Ele captura cadapacote e eventualmente pode decodificar e analisar o seu conteúdo deacordo com o protocolo definido em um RFC ou uma outraespecificação.

1

Níveis de Segurança e Conceito de Criptografia


Níveis de Segurança

Um dos primeiros pontos que temos que saber é, apósidentificarmos um potencial de ataque, qual o nível de segurançaa estabelecer para uma rede ou sistema os recursos físicos elógicos.

3

Como saber qual o Nível de Segurança à estabelecer ?

Devemos mensurar os custos associados aos possíveisataques e compará-los ao custos de implementação daproteção.

4

Níveis de Segurança - Física

São considerados ameaças físicas: desabamentos, incêndios, relâmpagos, acesso indevido de pessoas, etc

2

5

Níveis de Segurança - Lógica

São considerados ameaças lógicas: vírus, backup desatualizado, “quebra” de senha, acesso remoto, etc

6


• Disponibilidade

• A informação sempre deve estar disponível para o uso

“legítimo”, ou seja, pelas pessoas (usuários) realmente com essa permissão.

• Consideramos um sistema de alta disponibilidade aquele resistente a falha do software, energia e que tem como principal

objetivo manter o sistema o maior período possível no ar.

7


• Integridade

• Através dela garantimos que a informação que será

manipulada mantenha as características originais indicadaspelo proprietário como, controle de alterações e validações

(Inserts e Updates de dados e valores permitidos ?)

8


• Autenticidade

• Garantir que o usuário seja identificado tendo uma certificação

de suas credenciais.

3

9


• Confiabilidade

• Temos que garantir que o sistema de informação utilizado irá

desenvolver seus serviços de forma eficiente e eficaz,desempenhando seu papel principal com toda a perfeição.

10


• Irretratabilidade

• É a garantia que um usuário do sistema não poderá sobre

hipótese alguma contestar uma auditoria de informação,desqualificando-a.

11


• Privacidade

• Garantir que o usuário terá direito de determinar quais partes

de uma informação serão acessíveis à todos ou à uma parcelade usuários.

12


• Criptografia

• Criptografia (Do Grego kryptós, "escondido", e gráphein,

"escrita") é o estudo dos princípios e técnicas pelas quais ainformação pode ser transformada da sua forma original para

outra ilegível, de forma que possa ser conhecida apenas por seu

destinatário (detentor da "chave secreta"), o que a torna difícil deser lida por alguém não autorizado. Assim sendo, só o receptor

da mensagem pode ler a informação com facilidade.*

Fonte: http://pt.wikipedia.org/wiki/Criptografia

4

13


• Criptografia

• Costuma-se utilizar na criptografia chaves. Ela é um conjunto

de bits que baseado em um algoritmo é capaz de codificar edescodificar as informações. Caso o receptor das informações

use uma chave incompatível, as informações não ficarão

disponíveis.

• O primeiro método existente de criptografia utilizava um

algoritmo (programação) de codificação. Assim, caso o receptorda informação soubesse o algoritmo, poderia extraí-lo.

14


• Criptografia

Imagine que o usuário A tenha que enviar uma informação

criptografada ao usuário B. O usuário B terá que conhecer oalgoritmo utilizado para leitura das informações.

Caso o usuário C também precise receber uma informação dausuária A, e este sabia que o usuário B também recebeu

informações, conseguirá ler as informações dele pois conhece o

algoritmo.

Para que o usuário A consiga evitar este problema de segurança da

informação, a única solução disponível é utilizar um algoritmo diferente para cada um dos receptores.

A utilização de chaves é a SOLUÇÃO.

15


• Criptografia

� Chaves de 64 Bits

� Chaves de 128 Bits� Chaves de 256 Bits

Os valores acima indicam o tamanho de cada uma das chaves.

Quanto maior for a quantidade de bits utilizados, mais segura será a

criptografia das informações.

Caso o algoritmo de criptografia utilize uma chave de 8 bits,poderão ser utilizadas apenas 256 chaves (combinações) nacodificação. Dizemos isso pois 2 elevado a 8 tem como resultado256. Isso demonstra de forma clara que uma chave de 8 bits éinsegura, pois até um usuário será capaz de gerar as 256combinações manualmente.

16


• Objetivos Básicos da Criptografia

• Confidencialidade da Mensagem Transmitida: Apenas o

destinatário autorizado deverá ser capaz de “entender” oconteúdo da mensagem cifrada.

• Autenticação do remetente: O destinatário da mensagemdeverá ser capaz de saber qual foi o seu remetente e verificar se

foi ele mesmo quem enviou-lhe a mensagem.

5

17



• Chaves Simétricas: Este é o tipo de chave mais simples, onde

o emissor e receptor da informação utilizam a mesma chave, istoé, uma chave única é utilizada para codificar e descodificar a

informação. Algum dos algoritmos que utilizam chaves simétricas:

• DES (Data Encryption Standard): Utilizava chaves de 56

bits. Isso significa a existência de mais de 72 quadrilhões (de

combinações). Este é um número absurdamente alto, masnão para computadores potentes. No ano de 1997, ele foi

quebrado utilizando-se a técnica da "força-bruta" que nada

mais é que a tentativa/erro em um desafio da internet;• RC (Ron's Code ou Rivest Cipher): Algoritmo utilizado em

e-mails e com chaves de 8 a 1024 bits

• AES (Advanced Encryption Standard) - que é baseado noDES , o 3DES, o Twofish e sua variante Blowfish, entre

outros. (Padrão Oracle)

18



• Chaves Assimétricas: Conhecida como Chave Pública, ela

trabalha com 2 chaves:

• Chave Pública• Chave Privada

O usuário deve criar a chave de codificação e encaminhá-la aquem for mandar informações. Essa é a chamada chave pública.

A outra chave, criada para a decodificação da informação é

conhecida como chave privada e é secreta.

19




Alice Disponibiliza sua chave pública para Bob

20




Bob cifra a mensagem com a chave pública de Alice e envia para Alice, que recebe e decifra o texto utilizando sua chave privada

6

21




RSA: é a mais utilizada. Números primos (Que só podem ser divididospor 1 e por ele mesmo) são utilizados assim: 2 números primos são

multiplicados para se obter um terceiro valor. Desta forma, descobrir

os 2 primeiros números com base em um terceiro é muito trabalhoso.Se ainda utilizarmos 2 números primos grandes, será necessário

muito mais processamento para descobri-lo (quase inviável).

Basicamente, a chave privada no RSA são os números multiplicadose a chave pública é o valor obtido;

22

Segurança da Informação – Conceitos Básicos• Assinatura DigitalTécnica utilizada para provarmos que uma mensagem não foi violada.

• A criptografia ocorre no documento.• O receptor utilizará sua chave privada (e exclusiva) para decifrar o

arquivo.

Se qualquer bit do documento for alterado a assinatura será deformada, invalidando o arquivo.

23



• Arquivo eletrônico contendo informações da autoridade

certificadora e que garante a autenticidade,privacidade/inviolabilidade junto a comunicação em rede,

conferindo, validade jurídica ao documento/transação comercial

advinda da Internet.

• O certificado digital possui uma chave pública do usuário

juntamente com os dados necessários de sua identidade.

• Cada vez mais empresas e Pessoas Físicas vem utilizando o

Certificado Digital.

24



7

25


• SSL

• O SSL (Secure Sockets Layer) é o protocolo criptográfico que

prove a segurança na Internet para os serviços de email (SMTP),navegação (HTTP) e outros tipos de transferências. O TLS

(Transport Layer Security) foi o protocolo anterior ao SSL.

• Funcionamento

• O server do site que estiver sendo acessado enviará umachave pública ao respectivo navegador, e este último enviará

uma chave secreta, que é gerada de forma aleatória. Assim,

fica estabelecida a existência de uma troca de dadoscriptografado e com segurança entre as máquinas.

26


• VPN

• Forma de conexão de rede que utilizar a Internet como canal.

Esta comunicação utiliza técnicas de encriptação garantindo queesta rede seja virtualmente toda privada.

27


• Anti-Vírus

• Software desenvolvido especificamente para detectar e eliminar

de um computador, vírus e códigos maliciosos.

• Vírus de Programa

• Infectam arquivos com as extensões .EXE, .COM,.VBS, etc.

• Vírus de Boot

• Infectam a área de Boot de um HD.

• Vírus de Macro

• Infectam os arquivos do Office e são criados em VBA (VisualBasic Application) e afetam os programas que utilizam esta

linguagem.


Conceitos de Backup e Recuperação


Objetivos

Ao concluir esta lição, você será capaz de fazero seguinte:• Descrever os princípios básicos do backup, da

restauração e da recuperação de bancos de dados• Listar os tipos de falhas que podem ocorrer em um

Banco de Dados Oracle• Descrever as formas de ajustar a recuperação

de instâncias• Identificar a importância de checkpoints, arquivos

de redo log e arquivos de log arquivados• Configurar o modo ARCHIVELOG.


Questões de Backup e Recuperação

A tarefa do administrador é:• Proteger o banco de dados contra falhas quando

possível.• Aumentar o MTBF (Mean-Time-Between-Failures)• Diminuir o MTTR (Mean-Time-To-Recover)• Minimizar a perda de dados.


Categorias de Falhas

Em geral, é possível dividir as falhas nas seguintes categorias:• Falha de instrução• Falha de processo do usuário• Falha de rede• Erro de usuário• Falha de instância• Falha de mídia


Falhas de instrução


Trabalhar com desenvolvedores para corrigir erros de programa.

Erros lógicos em aplicações

Ative a alocação de espaço retomável.Aumente a cota do usuário.Adicione espaço ao tablespace.

Falha na tentativa de alocar espaço

Conceda privilégios adequados de objeto e de sistema.

Tentativa de executar operações com privilégios insuficientes

Trabalhe com os usuários para validar e corrigir os dados.

Tentativa de informar dados inválidos em uma tabela


Falha de Processo do Usuário


Houve um erro no programa do usuário, que encerrou a sessão.

A sessão do usuário foi encerrada de forma anormal.

Em geral, uma ação do DBA não é necessária para resolver falhas de processo do usuário. Os processos de segundo plano da instância efetuam rollback de alterações não submetidas a commit e liberam bloqueios.

Fique atento às tendências.

O usuário realizou uma desconexão anormal.


Falha de Rede


Configurar um backupde conexão de rede.

Falhas de conexãode rede

Configurar várias placasde rede.

Falhas de NIC (Network Interface Card)

Configure um listerner de backup e um failover de tempo de conexão.

Falhas de listener


Erros do Usuário


Recuperar a tabela da lixeira.O usuário elimina uma tabela.

Efetuar rollback ou usar a consulta de flashback para recuperação.

O usuário modifica ou deleta inadvertidamente os dados.


Falha de Instância

Falha de um dos processos de background


Procedimentosde shutdownde emergência

Falha de hardware

Reinicialize a instância usando o comando “startup”. A recuperação em caso de falha da instância é automática, incluindo o rollforward de alterações nos redo logs e, em seguida, o rollback das transações não submetidas a commit.

Investigue as causas da falha usando o log de alerta, os arquivos de rastreamento e o Enterprise Manager.

Falta de energia


Recuperação de Instância

Recuperação de instância ou de falha:• É causada por tentativas de abrir um banco de

dados cujos arquivos não foram sincronizados durante o shutdown

• É automática• Usa as informações armazenadas nos grupos

de redo logs para sincronizar arquivos• Envolve duas operações distintas

– Rollforward: Os arquivos de dados são restaurados ao estado original antes que haja falha na instância.

– Rollback: As alterações efetuadas mas não submetidas a commit voltam ao estado original.


Fases da Recuperação de Instância1. Arquivos de dados

fora de sincronia2. Rollforward (redo)3. Dados submetidos

e não submetidos a commit em arquivos

4. Rollback (undo)5. Dados submetidos a

commit em arquivos

Banco de dados

UndoUndo

Instância

SGA

146.5Processos deBackground

Arq. deDadosSCN: 99

Arq. deDados

SCN: 129

Arq. deDados

SCN: 140






Ajustando a Recuperação de Instância

• Durante a recuperação da instância, as transações entre a posição de checkpoint e o final do redo log devem ser aplicadas aos arquivos de dados.

• Ajuste a recuperação da instância controlando a diferença entre a posição de checkpoint e o final do redo log.

Final do redo logPosição de checkpoint

Transações

Recuperaçãode instância


Usando o MTTR Advisor

• Especificar o tempo desejado em segundos ou minutos.• O valor default é 0 (desativado).• O valor máximo é 3600 segundos (uma hora).


Falha de Mídia

Falha da controladora de disco

Deleção ou danos do arquivo de banco de dados

Soluções PossíveisCausas Comuns1. Restaurar o arquivo afetado

a partir do backup.2. Se necessário, informe o

banco de dados sobre um novo local de arquivo.

3. Se necessário, recupereo arquivo aplicando informações de redo.

Falha na unidade de disco


Configurando a Capacidade de Recuperação

Para configurar o banco de dados de modo a obtero máximo de capacidade de recuperação:• Programe backups regulares• Multiplexe arquivos de controle• Multiplexe grupos de redo logs• Retenha cópias arquivadas de redo logs


Arquivos de Controle.

Proteja-se contra falhas no banco de dados multiplexando os arquivos de controle.• Pelo menos duas cópias (A Oracle sugere três)• Cada cópia em um disco separado• Pelo menos uma cópia em uma controladora

de disco separada

Arquivos de Controle


Arquivos de Redo Log

Multiplexe os grupos de redo logs para proteger-se contra falhas de mídia e perda de dados.• Pelo menos dois membros (arquivos) por grupo• Cada membro em uma unidade de disco separada• Cada membro em uma controladora de disco separada• Os redo logs influenciam bastante o desempenho

Grupo 1 Grupo 2 Grupo 3



Disco 1

Disco 2


Multiplexando o Redo Log


Arquivos de Log Arquivados

Para preservar as informações de redo, crie cópias arquivadas dos arquivos de redo log.• Especifique a convenção de nomeação do arquivo

de log arquivado.• Especifique um ou mais locais para o arquivamento

dos logs.• Alterne o banco de dados para o modo ARCHIVELOG.

Arquivos de Redo Log On-line Arquivos de log arquivados


Nomeação e Destinosde Arquivos de Log Arquivados

Especifique os nomes e destinos dos arquivos de log arquivados.


Modo ARCHIVELOG

Coloque o banco de dados no modo ARCHIVELOG.• Clique na caixa de seleção ARCHIVELOG Mode• Clique em Apply. Só é possível definir o banco de

dados no modo ARCHIVELOG a partir do estado MOUNT. Clique em Yes quando você for solicitadoa reiniciar o banco de dados.


Sumário

Nesta lição, você deverá ter aprendido a:• Descrever os princípios básicos de backup,

restauração e recuperação de bancos de dados• Listar os tipos de falhas que podem ocorrer em

um Banco de Dados Oracle• Identificar a importância de checkpoints, arquivos

de redo log e arquivos de log arquivados• Configurar o modo ARCHIVELOG• Descrever as formas de ajustar a recuperação

de instâncias


Exercício 18: Conceitos de Backup e Recuperação

Este exercício aborda o seguinte:• Multiplexando os arquivos de controle• Multiplexando grupos de redo logs• Colocando o banco de dados no modo ARCHIVELOG• Garantindo que logs de arquivamento redundantes

sejam criados


Administrando Usuários


Objetivos

Ao concluir esta lição, você será capaz de:• Criar e gerenciar contas de usuário do banco

de dados• Criar e gerenciar atribuições• Conceder e revogar privilégios com os comandos



Contas de Usuário do Banco de Dados

Cada conta de usuário do banco de dados possui:• Um nome de usuário exclusivo• Um método de autenticação• Tablespace default• Tablespace temporário• Perfil de usuário


Criando um Usuário

Selecione Users na página de propriedades Administration. Clique no botão Create.


Perfis e Usuários

Os usuários recebem apenas um perfil em qualquer momento.

Perfis:• Controlar

o consumode recursos

• Gerenciar senhas


Autenticando Usuários

• Senha• External• Global


Bloqueio e Tablespaces Default e Temporários

• Default: Local default dos objetos de bancode dados

• Temporário: Usado para a classificação


Esquemas e Usuários de Banco de Dados

Objetos do EsquemaTabelasTriggersÍndicesViewsSeqüênciasUnidades de programa armazenadasSinônimosTipos de dados definidos pelo usuárioVínculos de bancosde dados

• Esquema é o conjunto de objetos pertencentes a um usuário.

• Só é possível associar um usuário a um esquema.

• O nome de usuário e o esquema são, em geral, usados alternadamente.


Lista de Verificação para Criar Usuários

• Selecione um perfil.• Selecione uma técnica de autenticação.• Designe um tablespace default e um tablespace

temporário.• Conceda privilégios e atribuições ao usuário.• Defina as cotas de cada tablespace.


Há dois tipos de privilégios de usuário:• System: Permite que os usuários executem

determinadas ações no banco de dados• Objeto: Permite que os usuários acessem

e manipulem um objeto específico

Privilégios


Privilégios de Sistema


Privilégios de Objeto

Para conceder privilégios de objeto:• Escolha o tipo de objeto• Selecione os objetos• Privilégios Select


Atribuindo uma Cota aos Usuários

Os usuários que não tiverem o privilégio de sistema de tablespace unlimited deverão receber uma cota antes de criarem objetos em um tablespace. As cotas podem ser:• Ilimitado• Um valor específico em megabytes ou em kilobytes


Designando Atribuições aos Usuários


Usuários

Privilégios

Atribuições HR_CLERKHR_MGR

Atribuições

Neena Girard Vance

Deleteemployees

Selecioneemployees

Atualizaremployees

Inseriremployees


• Gerenciamento mais fácil de privilégios• Gerenciamento dinâmico de privilégios• Disponibilidade seletiva dos privilégios• Podem ser concedidas pelo sistema operacional

Vantagens das Atribuições


Atribuições Predefinidas

CREATE ANY JOB, CREATE JOB, EXECUTE ANY CLASS, EXECUTE ANY PROGRAM, MANAGE SCHEDULER

SCHEDULER_ ADMIN

Não contêm privilégios de sistema, porém, contêm mais de 1600 privilégios de objeto no dicionário de dados

SELECT_

CATALOG_

ROLE

Inclui a maioria dos privilégios de sistema, várias outras atribuições Não deve ser concedida a usuários que não são administradores.

DBA

CREATE TABLE, CREATE PROCEDURE, CREATE SEQUENCE, CREATE TRIGGER, CREATE TYPE, CREATE CLUSTER, CREATE INDEXTYPE, CREATE OPERATOR

RESOURCE

CREATE SESSION, CREATE TABLE, CREATE VIEW, CREATE SYNONYM, CREATE SEQUENCE, CREATE DATABASE LINK, CREATE CLUSTER, ALTER SESSION

CONNECT


As atribuições podem ser protegidas atravésde autenticação.

CREATE ROLE secure_application_roleIDENTIFIED USING <security_procedure_name>;

Atribuições Seguras

As atribuições também podem ser protegidas através de programa.

As atribuições podem ser não-default.SET ROLE vacationdba;


Sumário

Nesta lição, você deverá ter aprendido a:• Criar e gerenciar contas de usuário• Criar e gerenciar atribuições• Conceder e revogar privilégios com os comandos



Exercício 7: Administrando Usuários

Este exercício aborda o seguinte:• Criação de um perfil para limitar o consumo

de recursos• Criação de duas atribuições:

a. HRCLERK

b. HRMANAGER

• Criação de três novos usuários, um gerentee dois funcionários

seguranÇa da informaÇÃo

Documents