Definindo uma Arquitetura de Segurana de Sistemas

Conceitos para a implementao de segurana

Como organizar/construir a DEFESA

A combinao de espao, tempo e fora que precisam ser considerados como elementos bsicos dessa teoria de defesa torna esta questo bastante complicada. Consequentemente no fcil encontrar um ponto fixo de partida. DA GUERRA, Carl von Cleusewitz

Kelber de Souza Albeche

Arquitetura de Segurana
Estabelecer um corpo de conceitos comuns que permitam sistematizar o projeto de segurana de informao

Kelber de Souza Albeche

Iniciativas para Sistematizar Segurana

normas + recomendaes + frameworks + arquiteturas + etc...

um corpo de conceitos e conhecimentos a disposio dos responsveis pela Segurana.

Kelber de Souza Albeche

Generalizao no uso de informtica

Segurana de Sistemas
equipamentos redes inter-redes EXEMPLOS

Kelber de Souza Albeche

Arquitetura de Segurana OSI

Ataque segurana:qualquer ao que comprometa a segurana da informao de uma organizao.

Kelber de Souza Albeche

Arquitetura de Segurana OSI

Mecanismo de segurana:um processo (ou dispositivo incorporando este processo) que projetado para detectar, impedir, ou permitir a recuperao de um ataque de segurana.

Kelber de Souza Albeche

Arquitetura de Segurana OSI

Servio de segurana : Um servio de processamento ou comunicao que aumenta a segurana dos sistemas de processamento e as transferncias de informao de uma organizao. Um servio pode incorporar um ou mais mecanismos de segurana para frustrar ataques.

Kelber de Souza Albeche

Ataques a Segurana
PASSIVOS , no alteram a informao, tentam bisbilhotar ou monitorar comunicaes

liberao de contedo da mensagem anlise de trfego

Kelber de Souza Albeche

Ataques a Segurana
ATIVOS , tentam alterar informaes e recursos ou impedir o acesso ou uso.

disfarce de entidade repetio de mensagem modificao de mensagem negao de servio

Kelber de Souza Albeche

Servios de Segurana
Um servios de processamento ou comunicao que fornecido por um sistema para prover um tipo especifico de proteo aos recursos do sistema, os servios de segurana implementam polticas (ou diretrizes ) de segurana e so implementados por diversos mecanismos de segurana.

Kelber de Souza Albeche

Servios de Segurana Bsicos

Autenticao: garantia de que a entidade se
comunicando aquela que afirma ser.

Controle de Acesso: o impedimento de uso no autorizado de um recurso.

Confidencialidade de dados:a proteo de dados contra divulgao no autorizada. Integridade de dados: garantia de que os dados esto exatamente como foram enviados por uma entidade autorizada. Irretratabilidade: oferece proteo contra negao, por parte de um entidade envolvida na comunicao, de ter participado de toda ou parte da comunicao.
Kelber de Souza Albeche

ARQUITETURA DE SEGURANA OSI

MECANISMOS DE SEGURANA

Cifragem (criptografia). Assinatura Digital Controle de Acesso. Integridade de dados Troca de Informaes de Autenticao. Certificao etc.....
Kelber de Souza Albeche

VIOLAES DE SEGURANA
As violaes de segurana em sistemas computacionais correspondem a burlar os mecanismos de segurana de um sistema computacional de modo a no se verificarem um ou mais aspectos de segurana.
NOME DA VIOLAO ATINGIDO Revelao no Autorizada Modificao no Autorizada Negao de Servio ASPECTO DE SEGURANA Confidencialidade Integridade Disponibilidade

Kelber de Souza Albeche

VULNERABILIDADES
A vulnerabilidade (vulnerability) so caractersticas indesejveis (faltas ou defeitos) em sistemas que podem ser exploradas para concretizar uma violao de segurana. Todos os ambientes so vulnerveis, por princpio no existem ambientes totalmente seguros. As vulnerabilidades esto presentes no dia-a-dia das empresas e se apresentam nas mais diversas reas de uma organizao. No existe uma nica causa para surgimento de vulnerabilidades. A negligncia por parte dos administradores e a falta de conhecimento tcnico so exemplos tpicos.
Kelber de Souza Albeche

INCIDENTE DE existente pode permitir a Cada vulnerabilidade SEGURANA ocorrncia de determinados incidentes de segurana. Desta forma, podemos concluir que so as vulnerabilidades as principais causas das ocorrncias de incidentes de segurana.

Kelber de Souza Albeche

AMEAAS
Em ingls, utilizado utilizamos o termo threat para definir ameaa. A ameaa pode ser definida como qualquer ao, acontecimento ou entidade que possa agir sobre um ativo, processo ou pessoa, atravs de uma vulnerabilidade e conseqentemente gerando um determinado impacto. As ameaas apenas existem se houverem vulnerabilidades, sozinhas pouco fazem. A existncia de uma AMEAA que possibilita que ocorra um ATAQUE
Kelber de Souza Albeche

ATAQUE
Em ingls, utilizado o termo attack para definir ataque. Ataque um assalto ao sistema de segurana que deriva de uma ameaa inteligente O ataque ato de tentar desviar dos controles de segurana de um sistema concretizando o potencial de uma ameaa que explora uma vulnerabilidade. O fato de um ataque estar acontecendo no significa necessariamente que ele ter sucesso. O nvel de sucesso depende da vulnerabilidade do sistema ou da atividade e da eficcia de contra-medidas existentes .
Kelber de Souza Albeche

AGENTE DO ATAQUE
necessrio um agente, interessado em um ativo valioso que disponha de um mtodo de ataque para explorar uma vulnerabilidade.

Kelber de Souza Albeche

IMPACTO
Impacto a representao (normalmente em forma de avaliao) do grau de dano percebido associado aos ativos de uma empresa. O impacto deve ser analisado quanto modificao, destruio, divulgao ou negao de informao. Relaciona-se a imagem da empresa, ao dano, a perdas financeiras ou legais e a outros problemas que podem ocorrer como conseqncia de uma ruptura da segurana.

Kelber de Souza Albeche

Estudo de Caso
Uma funcionria de uma empresa americana leu anncio de emprego buscando preencher uma vaga com caractersticas muito semelhante ao seu posto. Zangada com este fato, achando que seu chefe pretendia demiti-la, fez logon no servidor da empresa e apagou todos os documentos e desenhos de projetos dos ltimos sete anos. Posteriormente um consultor de segurana recuperou os arquivos, cujo valor foi estimado em dois milhes de dlares. A funcionria foi processada por destruio de dados digitais. A propsito o anncio no foi colocado pela empresa em questo.
Analise o caso apresentado acima identificando a vulnerabilidade, a ameaa, o ataque, o valor do impacto, o agente, o ativo e o interesse do agente no ativo.
Kelber de Souza Albeche

Exerccio
O impacto causado por um incidente de segurana proporcional ao tipo de vulnerabilidade encontrada em um ativo, ou seja, quanto maior a vulnerabilidade, maior o impacto, e vice-versa .
Julgue a afirmao (Verdadeiro ou Falso) acima justificando sua resposta e corrigindo a frase no que for necessrio para torn-la verdadeira.

Kelber de Souza Albeche