Segurança da Informação

Alberto Felipe Friderichs Barros

“Em um mundo onde existe uma riqueza de informação, existe frequentemente

uma pobreza de atenção.”

Ken Mehlman

Desde o surgimento da internet, a busca por melhores estratégias de segurançatem aumentado consideravelmente, tendo em vista milhares de ataques asegurança da informação causando perdas, prejuízos financeiros, prejuízos aimagem da empresa, obtenção de informações privilegiadas, etc.. Politicas deacesso, sistemas antivírus, controle web, firewall, sistema de detecção deintrusos, backups...tem sido armas defensivas nesta guerra de informação.

Normalmente, quando o assunto segurança é discutido, as pessoasassociam o tema a hackers e vulnerabilidades em sistemas, onde oprincipal entendimento é de que a empresa precisa de um bom antivírus, umfirewall e ter todos os seus “patches” aplicados no ambiente tecnológico.Não há dúvida de que são questões importantes, porém a Segurança daInformação não está limitada a somente esses pontos.

Segurança é o processo de proteger a informação de diversos tipos deameaças externas e internas para garantir a continuidade dos negócios,minimizar os riscos e maximizar o retorno sobre os investimentos.Segurança se faz protegendo todos os elos da corrente, ou seja, todos osativos (físicos, tecnológicos e humanos) que compõem seu negócio.

É o esforço em implementar métodos e tecnologias para garantir que umcomputador ou rede de computadores será usado apenas, e devidamente, porpessoas autorizadas.

Fato

• Uma organização pode ter prejuízos incalculáveis até mesmo serdescontinuada por um incidente.

• É preciso cercar o ambiente com medidas que garantam sua segurançaefetiva a um custo aceitável.

• Não existe 100% de segurança.

Por que estamos vulneráveis?

• Os sistemas computacionais e os programas se tornaram muito maiscomplexos nos últimos 25 anos.

• O controle de qualidade de softwares é deficiente, em razão de pressões demercado ou deficiências na habilidade dos programadores, dentre outras...

Lei de Moore

• Descreve a predição de que o poder computacional dos processadores dobraa cada 18 meses. Significa um crescimento tecnológico de 50 a 60% dacapacidade, a cada ano. Em 5 anos a tecnologia será 10 vezes melhor, 10vezes mais rápida, 10 vezes mais diferente, e 10 vezes mais valiosa.

Por que estamos vulneráveis?

• A complexidade da Internet como rede está aumentando.

• 900 milhões de hosts estão conectados à Internet.

• Não existem 900 milhões de sysadmins

Por que estamos vulneráveis?

• A infraestrutura de TI tem muitos problemas de segurança fundamentais que não podem ser resolvidos depressa.

Sysadmins:

• Mantenha o sistema no ar

• Aplique Patches quando tiver tempo

Por que os ataques tem sucesso?

• Uma vez que a Internet não tem fronteiras, estas ameaças estão se espalhando rapidamente em escala mundial.

• Não se trata de “se”, mas “quando” um sistema será atacado.

Por que os ataques tem sucesso?

• Fermentas de vulnerabilidades e ataques são amplamente divulgadas

• Há um número crescente de pessoas fazendo uso delas.

Por que os ataques tem sucesso?

• As portas não foram fechadas porque estávamos ocupados demais com coisas “verdadeiramente importantes”

• Se os atacantes são apanhados, eles não são punidos.

• Os planos de resposta a incidentes são inadequados.

Fundamentos

A Segurança da Informação está calcada em três princípios básicos: Confidencialidade, Integridade e Disponibilidade.

Assegurar que a informação seja acessível somente por aqueles devidamente autorizados. Ex: Criptografia.

Quebra de Confidencialidade:

• Conversas sobre assuntos confidenciais.

• Engenharia social.

• Senhas.

• Gabaritos de Provas.

Confidencialidade

Assegurar que quem devidamente autorizado tem acesso a informação e bens associados sempre que necessário, necessita sistemas de alta disponibilidade.

Quebra de Disponibilidade:

• Sistema fora do ar

• Ataques de negação de serviço

• Perda de arquivos

Disponibilidade

É a garantia que a informação não foi alterada durante sua transmissão. Ex: Assinatura digital.

Quebra de Integridade:

• Falsificação de documentos.

• Alteração de registros no BD: Prescrição Médica.

• Cheques sem fundo.

Integridade

“ Segurança da Informação é como uma corrente cuja força é medida pelo seu elo mais fraco.”

Qualquer componente, seja humano, hardware, software, etc. que sustenta um ou mais processos de negocio de uma unidade ou área, assim o ativo é composto pela informação e tudo que da suporte a ela.

Ativo

Fraquezas inerentes aos sistemas que podem ser exploradas por ameaças ocasionando um incidente.

Vulnerabilidades

São agentes externos que exploram a vulnerabilidade para quebrar um ou mais principio básico da segurança.

Ameaças

Ocorrência de um evento que possa interromper o processo de negócio ou comprometer algum princípio básico da segurança.

Incidentes

Um incidente de segurança caracterizado pela existência de um agente que busca obter algum tipo de retorno, atingindo algum ativo de valor

Ataque

É a chance de uma falha ocorrer, levando-se em conta a vulnerabilidade de um ativo e as ameaças que venham explorar esta vulnerabilidade. Podemos ter um ativo com várias vulnerabilidades mas sem ameaça de ataque.

Probabilidade

Um incidente de segurança é medido pelas consequências que possa causar aos processos. Ativos possuem valores diferentes, quanto maior o valor do ativo, maior será o impacto de um eventual incidente que possa ocorrer.

Impacto

Em relação a um controle de tecnologia da informação devemos considerar que ele está em dois ambientes: o interno e o externo.

Controle

Criptografia, do grego kryptos (escondido, oculto) mais a palavra grápho (grafia, escrita), é a ciência de escrever em códigos ou em cifras, ou seja, através de uma série de procedimentos transforma-se um texto “em claro” (inteligível) em um texto “cifrado” (ininteligível)

Criptografia

Gera um Resumo da mensagem junto com a criptografia, garantindo a autenticidade.

Assinatura Digital

Sistema alternativo que entra em funcionamento logo que o sistema principal ou parte dele falha.

Alta Disponibilidade

• Pessoas

• Equipamentos

• Infraestrutura

Falhas de Segurança Física

• Ignorância

• Negligência

• Má fé

Falhas ocasionadas por PESSOAS

"É a ciência que estuda como o conhecimento do comportamento humano pode ser utilizado para induzir uma pessoa a atuar segundo seu desejo”

Espionagem industrial

Obter informações privilegiadas para obter vantagem

Roubo de senhas de bancos ou cartões de crédito

Engenharia Social

• Defeitos

• Falhas inerentes a sistemas

• Má configuração: configuração default, habilitação de serviços desnecessários...

Falhas ocasionadas por Equipamentos

• Controles de Acesso

• CFTV

• Segurança contra Incêndio

• Alarmes

• Sistemas Antifurtos

• Energia, Água, Temperatura, Poeira...

• Backups

• Redundância

Falhas ocasionadas por Infraestrutura

Exercícios

1) Qual é a importância da Segurança da Informação?

2) Quais medidas devemos tomar para termos um sistema seguro?

3) Cite exemplos de ameaças.

4) Explique a diferença de firewall e antivírus.