Segurança da informação

Conceitos
1. Pilares
  1. Confidencialidade
    1. Visa zelar pela PRIVACIDADE e SIGILO dos dados
    2. Os dados somente devem ser acessíveis por aqueles com a devida autorização
  2. Integridade
    1. Visa garantir que os dados trafegados sejam OS MESMOS do início ao fim
    2. Também conhecido como CONFIABILIDADE
  3. Disponibilidade
    1. Visa possibilitar o acesso a determinado recurso a qualquer momento, considerando a devida autorização do requisitante
2. Autenticidade
  1. Visa garantir que determinada pessoa ou sistema é, de fato, quem ela diz ser
3. Não-repúdio
  1. Visa garantir que o usuário não tenha condições de negar ou contrariar o fato de que foi ele que tenha gerado determinado conteúdo ou informação
  2. Também conhecido como PRINCÍPIO DA IRRETRATABILIDADE
4. Legalidade
  1. Visa atender à legislação e normatização vigente
5. Furto de dados
  1. Informações obtidas tanto pela interceptação de tráfego como pela exploração de possíveis vulnerabilidades existentes no computador
6. Uso indevido de recursos
  1. Acesso a um computador com privilégios que permitam ao atacante praticar atividades maliciosas
7. Varredura
  1. Ação de procurar e descobrir computadores que possam ser alvo de ações maliciosas
8. Interceptação de tráfego
  1. Coleta de dados que estejam sendo transmitidos através de uma rede sem criptografia
Tipos de ataques
1. Negação de serviço
  1. Tipo de ataque que utiliza um volume massivo de mensagens para um único computador, objetivando torná-lo incapaz de se comunicar
2. Força bruta
  1. Executa repetidamente combinações aleatórias na tentativa de acertar um valor esperado
3. Personificação
  1. Introduz um dispositivo malicioso de modo a substituir de forma imperceptível o dispositivo legítimo
Tipos de segurança
1. Física
  1. Diz respeito a elementos tangíveis (podem ser tocados)
  2. Recursos
    1. Unidade de alimentação ininterrupta (UPS)
      1. Dispositivo munido de baterias capaz de armazenar energia e suprir os demais equipamentos por um tempo limitado
    2. Gerador
      1. Dispositivo capaz de gerar correntes elétricas para os demais equipamentos a partir de combustíveis
    3. Site físico redundante
      1. Ambiente capaz de assumir a operação em caso de catástrofe que prejudique o ambiente principal
    4. Circuito fechado de TV (CFTV)
      1. Utiliza câmeras para registro e visualização dos ambientes, utilizados principalmente para análise e auditoria
    5. Travas de equipamentos
      1. Visa impedir o uso de determinados recursos (como portas USB ou unidades de DVD)
      2. Visa impedir o furto de equipamentos facilmente transportáveis, como notebooks, roteadores, etc.
    6. Alarmes
      1. Sistema de aviso que pode ter aspecto físico (ex: incêndio) ou lógico (alarmes de rede)
    7. Controle de acesso
      1. Visa controlar o acesso de pessoas a determinados locais
    8. Sala cofre
      1. Concentra diversos dispositivos de controle de segurança, de acesso, reação a catástrofes, etc.
2. Lógica
  1. Acesso de ROOT
    1. Não se deve possibilitar a utilização o usuário ROOT de forma direta
  2. Redução de serviços
    1. Minimizar ao máximo a quantidade de serviços em execução em determinado servidor
  3. Limitação de acesso remoto
    1. O acesso remoto a um servidor via SSH deve ser limitado a máquinas ou redes específicas
  4. Atualização do sistema
    1. Visa reduzir falhas de segurança existentes no SO e nas aplicações
  5. Controle de acesso
    1. Visa controlar o acesso de pessoas a determinados recursos na rede ou nas aplicações
    2. Técnicas
      1. Mandatory Access Control (MAC)
        O Administrador atribui as devidas permissões
        É utilizado o conceito de LABEL para identificar o nível de sensibilidade de um recurso
      2. Discretionary Access Controle (DAC)
        Cada usuário pode determinar as permissões de um recurso sob seu domínio
        Mais flexível que o MAC
        Utilizado no Windows e Linux
        Permite o compartilhamento de recursos entre usuários
      3. Role-Based Access Control RBAC
        O Administrador concede privilégios de acordo com a função exercida pelo usuário (papel)
Mecanismos de autenticação
1. Algo que você sabe
  1. O usuário é identificado por meio de algo que somente ele tem conhecimento
  2. Ex: senha de acesso
2. Algo que você tem
  1. O usuário é identificado por algo que esteja sob sua posse exclusiva
  2. Ex: token, crachá
3. Algo que você é
  1. O usuário é identificado por meio de uma característica exclusiva
  2. É o mecanismo mais robusto na garantia do princípio da autenticidade
  3. Ex: biometria
Normas
1. ISO
  1. ISO 27001
    1. Define os requisitos de um Sistema de Gestão da Segurança da Informação (SGSI)
    2. Tal sistema deve estar inserido no contexto GLOBAL da organização
    3. Busca ESTABELECER, IMPLEMENTAR, OPERAR, MONITORAR, REVISAR, MANTER e MELHORAR a segurança da informação através do SGSI)
    4. Serve como pilar para as demais
  2. ISO 27002
    1. Consiste em um código de BOAS PRÁTICAS com controles de Segurança da Informação
  3. ISO 27003
    1. Estabelece as DIRETRIZES para a implementação de um SGSI
  4. ISO 27004
    1. Define MÉTRICAS para a medição da gestão de Segurança da Informação
  5. ISO 27005
    1. Aborda a GESTÃO DE RISCOS na Segurança da Informação
2. NBR
  1. NBR 15999
    1. Trata da GESTÃO DA CONTINUIDADE DE NEGÓCIOS
  2. NBR 22301
    1. Trata dos REQUISITOS para a criação de um sistema de Gestão de Continuidade de Negócios
  3. NBR 31000
    1. Trata da GESTÃO DE RISCOS em um caráter organizacional
Gerência de riscos
1. Conceitos
  1. Risco
    1. Probabilidade de uma fonte de ameaça explorar uma vulnerabilidade, resultando em um impacto para a organização
  2. Ameaça
    1. Causa potencial de um incidente indesejado
  3. Vulnerabilidade
    1. Fragilidade de um ativo que pode ser explorada por uma ou mais ameaças
  4. Impacto
    1. Resultado gerado por uma ameaça ao explorar uma vulnerabilidade
2. Reação aos riscos
  1. Evitar
    1. Busca-se ações para PREVENIR a ocorrência do risco
  2. Transferir
    1. Busca-se TRANSFERIR o risco para uma terceira parte
    2. A terceira parte assume as responsabilidades das ações frente ao risco
  3. Mitigar
    1. Atua-se na minimização do risco, diminuindo sua probabilidade
  4. Aceitar
    1. Opta-se por não evitar, transferir ou mitigar o risco pelo baixo custo/beneficio

Next up

Segurança da informação

Description

Resource summary

Similar

	Created by Fabiano Oliveira about 6 years ago