Módulo 5 - Dispositivos Móveis e Arquitetura Segura

Prévia do material em texto

2.2.2 Implementando dispositivos móveis com segurança
As organizações que permitem que os funcionários conectem seus dispositivos móveis, como smartphones e tablets, à rede da organização, precisam implementar e aplicar políticas de segurança para dispositivos móveis. Ao contrário de laptops, smartphones e tablets não têm um Sistema Operacional completo e tantos controles de segurança. Por esse motivo, as organizações precisam se responsabilizar por proteger os dispositivos móveis que se conectam à sua rede.
Um dispositivo móvel ou outro dispositivo externo conectado à rede de uma empresa representa um risco potencial de segurança. Se o dispositivo tiver malware, ele pode infectar a rede. É por isso que as organizações implementam políticas para monitorar e administrar dispositivos móveis usados por funcionários para se conectar à rede da empresa.
Os smartphones que os funcionários usam geralmente são de sua propriedade. Não é fácil para uma organização monitorar e gerenciar dispositivos pertencentes a funcionários.
Os dispositivos móveis têm várias opções de rede que incluem GPS, Bluetooth e comunicação de campo próximo.
Métodos de conexão
Isso pode ser empregado para conectar dispositivos móveis à rede, incluindo o seguinte:
Celular
Smartphones e alguns tablets são capazes de se conectar a redes 3G, 4G, LTE ou outras redes celulares. O tipo de rede com a qual um dispositivo móvel se conecta depende do Provedor de Serviços de Internet (ISP).
Wi-Fi
Os dispositivos móveis geralmente possuem uma interface de wi-fi para permitir a conexão com uma rede sem fio. Os usuários precisarão selecionar ou digitar o SSID e a senha ou chave pré-compartilhada para se conectar à rede. Esse não é o método mais seguro de implantar uma conexão wi-fi. É melhor para empresas e outras organizações usar o modo empresarial de WPA2 com autenticação 802.1x.
SATCOM
Alguns dispositivos móveis oferecem a opção de conexão a redes usando comunicação por satélite (SATCOM), que é mais comum em smartphones, não em tablets. No entanto, pode-se comprar um ponto de acesso via satélite e conectar um dispositivo ao ponto de acesso para obter acesso de voz e internet.
Bluetooth
É um protocolo sem fio, que está disponível na maioria dos dispositivos móveis. É possível conectar um smartphone a outro usando Bluetooth.
NFC
A Near Field Communication (NFC) é usada principalmente para fazer pagamentos segurando o telefone na frente de um leitor NFC. Também é possível conectar dois dispositivos usando NFC.
ANT
ANT e ANT+ são tecnologias proprietárias de transferência sem fio, capazes de coletar, transferir e armazenar informações do sensor. Esses protocolos são usados principalmente em aplicativos de saúde, condicionamento físico e esportes. Eles permitem que dispositivos de monitoramento, como monitores de frequência cardíaca, se comuniquem com aplicativos de dispositivos móveis.
Infravermelho
Alguns dispositivos móveis oferecem capacidade de infravermelho, uma tecnologia sem fio que transmite dados por meio de radiação infravermelha. Alguns aparelhos audiovisuais e dispositivos de controle remoto de TV também usam essa tecnologia.
Os arquivos podem ser transferidos usando infravermelho entre dois smartphones que suportam esse tipo de tecnologia.
USB
É possível conectar dispositivos móveis a um laptop ou desktop usando um cabo Universal Serial Bus (USB). Muitos smartphones Android vêm com cabos mini USB, que podem ser usados para conectar a PCs. Da mesma forma, vários dispositivos móveis da Apple têm uma porta lightning que os proprietários podem usar para se conectar a um laptop ou desktop usando um cabo lightning para USB.
Conceitos de gerenciamento de dispositivos móveis
O objetivo principal do Mobile Device Management (MDM) é garantir a segurança dos dispositivos móveis implementando e aplicando controles de segurança a eles. Várias tecnologias são empregadas para gerenciar dispositivos móveis.
O Microsoft SCCM, também chamado de ConfigMgr, agora pode ser usado para gerenciar alguns dispositivos móveis Android e iOS também.
Gerenciamento de aplicativos
Os administradores usam ferramentas de MDM para controlar quais aplicativos podem operar em dispositivos móveis que se conectam à rede da organização. A lista de permissões costuma ser usada para permitir que apenas aplicativos autorizados sejam executados nesses dispositivos. As listas de permissões de aplicativos podem impedir que aplicativos não autorizados sejam instalados.
Gerenciamento de conteúdo
O objetivo do gerenciamento de conteúdo é garantir que os dados que são copiados de um servidor ou estação de trabalho da organização sejam salvos em um segmento de armazenamento criptografado. O gerenciamento de conteúdo também pode garantir que os usuários sejam autenticados quando desejam acessar o conteúdo armazenado em um segmento criptografado.
Limpeza remota
A tecnologia de apagamento remoto se refere à capacidade de transmitir um sinal remoto a um dispositivo móvel para apagar todos os dados do dispositivo. Resumindo, ele higieniza o dispositivo. Isso é útil quando um dispositivo móvel é perdido. A limpeza remota pode garantir que terceiros não tenham acesso a dados valiosos.
Geofencing
É a tecnologia que permite a criação de um limite ou "cerca virtual". As organizações às vezes usam GPS e "cerca virtual" para garantir que os aplicativos móveis sejam executados apenas quando o dispositivo móvel estiver localizado dentro da "cerca virtual". Uma rede sem fio também pode ser configurada para funcionar com dispositivos móveis que estejam dentro dos limites definidos pela organização.
Geolocalização
A maioria dos dispositivos móveis possui um Sistema de Posicionamento Global (GPS). Isso é usado para geolocalização. Às vezes, os aplicativos precisam saber a localização do dispositivo. Os proprietários também podem usar o GPS para localizar um dispositivo perdido.
Bloqueios de tela
Muitos dispositivos móveis podem ser bloqueados com uma senha, assim como laptops e desktops podem ser bloqueados se não forem usados por algum tempo. Os usuários podem desbloquear o dispositivo digitando a senha correta. Isso evita o acesso não autorizado ao dispositivo e aos dados, além de aplicativos instalados nele.
Serviços de notificação push
São usados para enviar mensagens para dispositivos móveis de aplicativos instalados no dispositivo. Os aplicativos de MDM usam serviços de notificação por push para notificar os usuários sobre as configurações de segurança ou o status de segurança de seus dispositivos. Isso também pode ser usado para permitir que os usuários saibam se o dispositivo atende aos requisitos de segurança da organização ou não.
Senhas e pins
As organizações normalmente implementam políticas de senha para dispositivos móveis que são usados pelos funcionários para se conectar à rede da organização. Essa política pode ser aplicada em dispositivos que suportam senhas, e a maioria dos smartphones hoje usa senhas. Existem alguns dispositivos móveis, no entanto, que ainda usam apenas PINs.
Biometria
Vários dispositivos móveis fornecem suporte biométrico. Biometria é usada para autenticação. Os usuários podem configurar seus dispositivos móveis para reconhecer suas impressões digitais. Depois que o dispositivo móvel aprende a impressão digital dos usuários, eles podem usar suas impressões digitais em vez de uma senha ou PIN para autenticar.
Autenticação contextual
Refere-se ao uso de vários identificadores para autenticar um usuário e um dispositivo móvel. Os identificadores podem incluir a localização geográfica do usuário, identidade, tipo de dispositivo, hora e outros elementos. O objetivo é impedir o acesso não autorizado a aplicativos e dados.
Conteinerização
Pode ser implementado em dispositivos móveis para garantir que um aplicativo corporativo seja executado em um contêiner. Isso ajuda a proteger o aplicativo e os dados e os isola de aplicativos e dados pessoais no dispositivo de um funcionário. O contêiner também pode ser criptografado.
Segmentação de armazenamento
Alguns dispositivosmóveis oferecem opções de segmentação de armazenamento. É possível armazenar dados em segmentos separados. Os dados corporativos usados pelos funcionários são normalmente armazenados em um segmento criptografado separado em seus dispositivos móveis. Isso reduz o risco de perda de confidencialidade e de dados.
Criptografia completa do dispositivo
Protege todos os dados, aplicativos e o próprio dispositivo. As organizações podem e normalmente implementam a criptografia completa do dispositivo em dispositivos de propriedade da empresa. No entanto, geralmente não é possível para as organizações implementar a criptografia completa do dispositivo em dispositivos de propriedade dos funcionários.
Aplicação e monitoramento
Conforme mostrado anteriormente, o gerenciamento de dispositivos móveis depende se eles são propriedade da empresa ou dos funcionários. Em dispositivos de propriedade da empresa, os aplicativos MDM normalmente baixam e instalam os aplicativos necessários e os atualizam regularmente. Em dispositivos pertencentes a funcionários, as ferramentas de MDM os examinam quanto à conformidade com as políticas de segurança e evitam que os dispositivos acessem a rede se não cumprirem as estipulações de segurança da organização.
Lojas de aplicativos de terceiros
É importante que os funcionários apenas instalem aplicativos de fontes aprovadas. As lojas de aplicativos de terceiros são gerenciadas por fornecedores diferentes do Google ou da Apple. Qualquer app store que não seja o Google Play ou a App Store, da Apple, é de terceiros. A Apple garante a confiabilidade de todos os aplicativos da Apple Store e o Google faz o mesmo com o Google Play.
Os aplicativos de lojas de aplicativos de terceiros não estão sujeitos ao nível de avaliação de segurança a que o Google Play e os aplicativos da App Store, da Apple, estão sujeitos. Esses aplicativos de terceiros representam um risco significativo para as organizações se forem instalados nos dispositivos dos funcionários.
Rooting/jailbreaking
O processo de levantamento de todas as restrições de software de um dispositivo Apple é conhecido como jailbreaking. Isso permite que os usuários instalem aplicativos de terceiros não autorizados.
O rooting se refere à modificação de um dispositivo Android para que o usuário obtenha acesso total de administrador ao dispositivo.
Como o jailbreak e o rooting tornam os dispositivos consideravelmente vulneráveis, as ferramentas de MDM são normalmente configuradas para impedir que um dispositivo acesse a rede se a ferramenta de MDM detectar que o dispositivo foi desbloqueado ou enraizado.
Carregamento lateral
Refere-se à técnica de instalar um aplicativo usando o formato Application Packet Kit (APK) em um dispositivo móvel e ativá-lo. Para usar esse método, os usuários precisam configurar seus dispositivos para permitir aplicativos de fontes desconhecidas. Isso diminuirá a segurança do dispositivo e não é recomendado para instalar aplicativos de terceiros. Os desenvolvedores às vezes usam sideload ao testar aplicativos.
Firmware personalizado
O firmware do dispositivo móvel pode ser substituído por um firmware personalizado. Esse é um método complexo e arriscado. Alguns usuários usam esse método para fazer rooting em dispositivos Android.
Desbloqueio de operadora
Alguns smartphones estão bloqueados em uma operadora específica. O telefone usa redes identificadas no cartão SIM.
Alguns desses telefones podem ser desbloqueados assim que o período especificado no contrato terminar e os termos do plano forem cumpridos. Isso é chamado de desbloqueio da operadora. Uma vez desbloqueado, o usuário pode usar outra operadora.
Atualizações de firmware OTA
Os dispositivos móveis são capazes de receber e instalar atualizações Over-the-Air (OTA) para o Sistema Operacional e aplicativos. As atualizações de firmware OTA mantêm o Sistema Operacional de um dispositivo móvel atualizado com os patches e atualizações mais recentes.
Uso da câmera
As organizações podem usar um aplicativo MDM para desativar a câmera quando ela está localizada dentro da "cerca geográfica" predefinida. Isso impedirá que os invasores tirem fotos do escritório e de outras instalações organizacionais remotamente.
Se o aplicativo MDM não for capaz de desabilitar o hardware com base na localização, a organização pode impedir que os funcionários levem dispositivos móveis para áreas específicas.
SMS e MMS
O risco associado ao SMS é que as mensagens sejam enviadas em texto simples, o que significa que são vulneráveis à interceptação. Existem alguns aplicativos que oferecem serviços de criptografia.
Já o risco do MMS é que os invasores podem enviar um MMS malicioso e comprometer um dispositivo móvel.
Mídia externa e USB OTG (On-The-Go)
As organizações podem usar ferramentas de MDM para impedir que mídia externa e OTG USB sejam usados em dispositivos móveis.
Microfone de gravação
As empresas podem usar ferramentas de MDM para desativar o microfone de gravação quando ele estiver dentro das instalações da organização.
Se o aplicativo MDM não for capaz de desabilitar o hardware com base na localização, a organização pode impedir que os funcionários levem dispositivos móveis para áreas específicas.
Marcação GPS
É usada para atualizar imagens e outros arquivos com dados geográficos.
Wi-Fi direto/ad hoc
Um padrão que permite que os dispositivos estabeleçam uma conexão sem um roteador sem fio ou um AP sem fio. Uma rede ad hoc sem fio é igual, exceto que os sistemas nessa rede usam comunicações sem fio multihop e podem compartilhar uma conexão de internet.
As ferramentas MDM podem bloquear o acesso à rede para dispositivos que usam Wi-Fi direto para se conectar à internet.
Tethering
Permite que a conexão de internet de um smartphone seja compartilhada com outro dispositivo. Permitir que os funcionários usem tethering dentro do escritório é muito arriscado, porque eles podem contornar os filtros de conteúdo da rede, servidores proxy e firewalls e visitar sites não autorizados.
As ferramentas MDM podem bloquear o acesso à rede para dispositivos que usam tethering para se conectar à internet.
Métodos de pagamento
As organizações precisam considerar seriamente se desejam arriscar o armazenamento de seus métodos de pagamento em telefones fornecidos aos funcionários. Se os seus métodos de pagamento são armazenados em dispositivos móveis, esses dispositivos precisam ser monitorados continuamente.
Modelos de implantação
Existem várias opções de implantação para dispositivos móveis usados pelos funcionários.
BYOD
No modelo de implantação Traga Seu Próprio Dispositivo (Bring Your Own Device — BYOD), os funcionários podem trazer seus dispositivos pessoais para o escritório e conectá-los à rede da organização. Os funcionários selecionam qualquer dispositivo adequado para eles e são responsáveis por cumprir a política BYOD da empresa.
COPE
No modelo Corporate-Owned, Personally-Enabled (COPE), a organização compra o dispositivo móvel e o entrega ao funcionário, mas ele também tem a liberdade de usá-lo para uso pessoal. No entanto, a organização pode gerenciá-lo porque é proprietária do dispositivo.
CYOD
No modelo Escolha o Seu Próprio Equipamento (Choose Your Own Device — CYOD), os funcionários podem selecionar um dos dispositivos da lista de equipamentos aceitáveis da organização. Os funcionários podem adquirir um desses dispositivos e conectá-los à rede, desde que cumpram a política CYOD. Isso torna mais fácil para a equipe de suporte de TI, porque eles sabem quais dispositivos devem dar suporte e gerenciar.
Propriedade corporativa
Nesse modelo, a organização possui o dispositivo móvel. Ele adquire o dispositivo e o entrega ao funcionário.
VDI
No modelo Virtual Desktop Infrastructure (Infraestrutura de Desktop Virtual — VDI), uma organização implanta um VDI para os funcionários acessarem usando seus dispositivos móveis. Isso permite que os funcionários acessem os aplicativos instalados na área de trabalho do escritório.
2.2.3 Implementando protocolos seguros
É fundamental que as organizações implementemprotocolos seguros para evitar vários tipos de ataques. A implementação de protocolos seguros é parte integrante da estratégia de defesa em profundidade de uma organização.
Protocols
Os protocolos seguros fornecem criptografia e ajudam a proteger contra perda de confidencialidade, perda de dados e acesso não autorizado.
DNSSEC
As extensões de segurança do sistema de nomes de domínio (DNSSEC) são um dos principais métodos usados para evitar ataques de envenenamento de cache DNS.
DNSSEC inclui extensões para DNS que validam respostas DNS.
O DNSSEC protege a integridade dos dados adicionando uma assinatura digital a cada entrada. O servidor DNS reconhece uma resposta que recebe como válida se a resposta for habilitada para DNSSEC e incluir assinaturas digitais.
SSH
Os administradores usam SSH para estabelecer uma conexão com servidores remotos e outros sistemas. SSH é usado para criptografar o tráfego de rede na porta TCP 22. Ele criptografa diferentes tipos de tráfego, incluindo SFTP. Os administradores preferem SSH a Telnet porque Telnet envia dados em texto não criptografado, enquanto SSH criptografa o tráfego de rede.
SSH também pode ser usado para criptografar TCP Wrappers, que é uma ACL do Linux.
S/MIME
Secure/Multipurpose Internet Mail Extensions (S/MIME) é um padrão seguro amplamente usado para criptografia de e-mail, com assinaturas digitais.
S/MIME é capaz de criptografar e-mail em trânsito e no armazenamento. Ele usa AES para criptografia simétrica e RSA para criptografia assimétrica. Visto que usa RSA para criptografia assimétrica, o S/MIME precisa de uma PKI para distribuição e gerenciamento de certificados.
SRTP
O protocolo SRTP (Secure Real-time Transport Protocol) é usado para proteger a comunicação de áudio e vídeo em redes IP. SRTP é usado para criptografar, autenticar e proteger a integridade das mensagens. SRTP evita a perda de confidencialidade e integridade dos dados.
Ele pode ser usado para transmissões unicast e multicast. SRTP é útil para prevenir ataques de repetição.
LDAPS
Lightweight Directory Access Protocol Secure é usado para fornecer criptografia para o tráfego LDAP (Lightweight Directory Access Protocol). O LDAPS usa TLS para criptografar as transmissões.
FTPS
O Protocolo de Transferência de Arquivo Seguro (FTPS) fornece criptografia para tráfego de FTP.
FTPS usa TLS para criptografar pacotes de dados. As implementações FTPS usam as portas TCP 989 e 990, e as portas FTP 20 e 21.
SFTP
SFTP fornece criptografia para transmissões de FTP usando SSH para criptografar o tráfego. SFTP transporta pacotes pela porta TCP 22.
FTP seguro (SFTP) usa SSH e FTPS usa TLS.
SNMPv3
Os administradores usam o protocolo de gerenciamento de rede simples versão 3 (SNMPv3) para monitorar e administrar roteadores, switches e outros dispositivos de rede. SNMPv2 e SNMPv3 são mais seguros do que a primeira versão do SNMP, que transmitia senhas em texto não criptografado. SNMPv3 permite o gerenciamento seguro de dispositivos de rede.
SNMPv3 é a versão mais segura do SNMP; ele utiliza métodos de autenticação robustos e usa as portas UDP 161 e 162. Os traps de dispositivo são enviados pela porta UDP 162.
SNMPv3 pode ser usado para enviar notificações sobre dispositivos que possuem agentes SNMPv3 instalados neles para um gerenciador SNMP. Essas notificações também são conhecidas como armadilhas ou armadilhas de dispositivo.
Os administradores também podem usar SNMPv3 para modificar a configuração dos dispositivos de rede.
SSL/TLS
Secure Sockets Layer (SSL) tem vulnerabilidades e foi substituído principalmente por TLS. O governo dos EUA não permite o uso de SSL para dados confidenciais.
O TLS foi discutido neste capítulo e, em conexão com o rebaixamento e implementações fracas, no capítulo 1.
HTTPS
É um protocolo seguro usado para fornecer criptografia para o tráfego da web. Ele criptografa o tráfego transmitido pela web usando TLS ou SSL. HTTPS usa a porta TCP 443.
POP/IMAP seguro
O POP3 seguro fornece criptografia para e-mail transferido de servidores para clientes usando TLS ou SSL. O POP3 seguro pode usar a porta TCP 995.
O protocolo IMAP (Secure Internet Message Action Protocol) fornece criptografia para e-mail armazenado em um servidor de e-mail. O IMAP seguro usa TLS na porta 993 ou STARTTLS na porta 143. Os especialistas recomendam o IMAP seguro com STARTTLS na porta TCP 143.
Casos de uso
O suporte de rede não está automaticamente disponível para todos os protocolos. A prática normal é que os administradores de TI habilitem o protocolo mais apropriado para atender a uma necessidade organizacional. Nesse contexto, um caso de uso se refere a um objetivo de uma organização.
Voz e vídeo
As organizações normalmente transmitem tráfego de áudio e vídeo em uma rede. Alguns protocolos são mais adequados para comunicação de voz e vídeo. UDP é normalmente usado em vez de TCP para streaming de áudio e vídeo.
O protocolo de transporte em tempo real (RTTP) é usado para transmitir voz e vídeo em redes IP. O RTTP é usado para várias categorias de comunicação de áudio e vídeo, incluindo VoIP, videoconferência, streaming de mídia e outros. As transmissões RTTP, entretanto, não são seguras.
Conforme mostrado anteriormente, o protocolo SRTP (Secure Real-time Transport Protocol) é usado para proteger a comunicação de áudio e vídeo em redes IP. SRTP é usado para criptografar, autenticar e proteger a integridade das mensagens.
Sincronização de tempo
Um caso de uso de sincronização de horário é garantir que os sistemas mantenham o mesmo horário.
O protocolo mais amplamente usado para sincronização de tempo é o Network Time Protocol (NTP), que permite a sincronização de tempo precisa para sistemas.
Outro protocolo usado para sincronização de tempo é o SNTP (Simple Network Time Protocol). No entanto, as organizações preferem o NTP porque esse protocolo segue uma técnica precisa usando algoritmos complexos e verifica com muitos servidores de horário para determinar o horário exato.
A sincronização de tempo é necessária porque os oficiais de segurança precisam saber precisamente quando um incidente ocorreu.
E-mail e web
Os casos de uso de e-mail incluem transmissão interna e externa de e-mail, transferência interna e externa segura de e-mail e gerenciamento de pastas de e-mail.
Já os casos de uso da web incluem o fornecimento de acesso à internet, acesso seguro à internet para funcionários e o fornecimento de acesso ao servidor da web para clientes externos.
Muitos protocolos da web e de e-mail usam STARTTLS, que permite que versões criptografadas e não criptografadas do protocolo usem a mesma porta.
Os protocolos usados para e-mail e web incluem SMTP, POP3 e POP seguro, IMAP4 e IMAP seguro, HTTP e HTTPS.
Transferência de arquivo
Conforme mostrado anteriormente, qualquer informação privada, classificada ou sensível precisa ser criptografada em trânsito. Isso evita a perda de confidencialidade e de dados. As informações de identificação pessoal (PII) e quaisquer outros dados valiosos também devem ser criptografados em repouso.
Os casos de uso de transferência de arquivos incluem a transmissão de dados por uma rede, garantindo a confidencialidade dos dados em trânsito e garantindo conexões seguras do servidor.
Os protocolos comuns usados para transferir dados em uma rede incluem FTP e Trivial File Transfer Protocol (TFTP). No entanto, houve muitos ataques relacionados ao TFTP e muitos administradores desabilitaram o TFTP.
Os protocolos de criptografia usados para transferências seguras de arquivos incluem SSH, SSL, TLS, SFTP, IPsec e FTPS.
Serviços de diretório
Um serviço de diretório é um armazenamento central de informações para recursos e serviços de rede. Os serviços de diretório permitem que usuários e aplicativos acessem recursos de rede, como computadores e outros dispositivos na rede, e endereços de e-mail de uma única fonte, sem precisar saber sua localização física.
Os serviços de diretório são um componente vital de um Sistema Operacional de rede. E permitem que os administradores otimizem o gerenciamento dosrecursos e da segurança da rede.
Um caso de uso de serviços de diretório é permitir o acesso seguro à rede. Os Serviços de Domínio Active Directory da Microsoft (ADDS) são um exemplo de serviço de diretório. O ADDS é usado por várias organizações para melhorar a administração da rede. Os administradores usam o ADDS para identificar cada usuário e sistema autorizados e, em seguida, aplicar métodos de gerenciamento de acesso seguro.
Os protocolos usados com serviços de diretório são Kerberos para autenticação e LDAP para comunicação com ADDS.
Os administradores definem as configurações usando Objetos de Política de Grupo, que podem ser usados para identificar usuários e computadores no domínio.
Acesso remoto
Às vezes, os funcionários precisam se conectar à rede organizacional de locais remotos. Os casos de uso de acesso remoto incluem acesso remoto a sistemas e administração remota de sistemas.
SSH pode ser usado por administradores para proteger conexões remotas. Os administradores do Linux frequentemente estabelecem conexões remotas usando o Netcat e utilizam SSH para proteger as transmissões do Netcat.
O RDP também é usado por administradores e clientes para se conectar a computadores remotamente. O RDP geralmente utiliza a porta TCP 3389 e também a porta UDP 3389.
Resolução de nome de domínio
Conforme mostramos anteriormente, o DNS é usado principalmente para resolução de nome de domínio, ou seja, para resolver nomes de host em endereços IP. Os servidores DNS usam a porta TCP 53 para transferências de zona e a porta UDP 53 para consultas de resolução de nomes.
Os servidores DNS hospedam dados em zonas. Essas zonas incluem vários registros, como A para endereços IPv4, AAAA para o nome do host e endereço IPv6 e MX para um servidor de e-mail usado para e-mail.
Os servidores DNS baseados na internet normalmente usam o software BIND em servidores UNIX ou Linux. Os servidores DNS geralmente são configurados para operar transferências de zonas seguras.
Roteamento e comutação
Os casos de uso de comutação incluem prevenção de loops de comutação, impedimento de ataques de inundação, prevenção de conexões não autorizadas a portas não utilizadas e aumento da segmentação de sistemas de usuários.
Os loops de comutação podem ser evitados implementando RSTP ou STP nos switches. Conforme discutido anteriormente, os protetores contra inundação são implementados para bloquear ataques de inundação MAC. Desativar portas não utilizadas evita que usuários não autorizados estabeleçam conexões. As VLANs são implementadas em switches Layer3 para aumentar a segmentação.
Os casos de uso de roteamento incluem prevenção de spoofing de endereço IP e garantia de segurança de roteadores e conexões.
As técnicas antispoofing são implementadas com regras ACL para evitar falsificação de endereço IP. Os administradores usam SNMPv3 para gerenciamento seguro de roteadores.
Alocação de endereço de rede
O processo de atribuição de endereços IP a hosts em uma rede é conhecido como alocação de endereços de rede. Normalmente, o protocolo de configuração dinâmica de hosts (DHCP) é usado para alocar endereços IP para hosts. No entanto, isso também pode ser feito manualmente. O DHCP também aloca endereços de servidor DNS, máscaras de sub-rede e outras informações de TCP/IP.
Os endereços IP da internet são sempre endereços IP públicos. Como regra, apenas endereços IP privados são usados para redes privadas. Os endereços IP privados devem ser alocados de acordo com as especificações RFC 1918.
Serviços de assinatura
Nesse contexto, os serviços de assinatura referem-se a um modelo de negócio em que os usuários pagam uma assinatura mensal ou anual para ter acesso a produtos e serviços de software. Algumas organizações assinam o Office 365 e outros aplicativos em um plano de assinatura mensal ou anual.
Os serviços de assinatura usam protocolos diferentes, dependendo do serviço. Muitos serviços de assinatura usam HTTPS para entrega segura.
HTTPS ou TLS é frequentemente usado para conexões entre servidores de banco de dados de clientes dos fornecedores e servidores da web
3.1.1 Casos de uso e finalidade para estruturas, melhores práticas e guias de configuração segura
As organizações referem-se a estruturas padrão do setor, guias de código aberto, instruções específicas do fornecedor e manuais baseados em plataforma para obter insights, conceitos e orientação sobre práticas recomendadas e procedimentos de segurança.
Estruturas padrão da indústria e arquiteturas de referência
Uma estrutura de segurança cibernética é composta por um corpo de conceitos, regras, diretrizes e informações atuais que permitem que as organizações aumentem sua visibilidade no ambiente cibernético (especialmente atividade de rede, conduta do usuário e tendências de segurança) e desenvolvam percepções e know-how com base nos quais podem avaliar seus arranjos de segurança e melhorar sua capacidade de detectar, prevenir e responder a ataques cibernéticos.
Muitas organizações referem-se a estruturas de segurança cibernética ao definir políticas de segurança e implementar procedimentos.
Regulatório
Uma estrutura regulatória compreende leis nacionais estatutárias, atos internacionais, bem como regulamentos específicos do setor que as organizações devem cumprir.
As estruturas regulatórias atuais incluem a Lei de Responsabilidade e Portabilidade de Seguros de Saúde (HIPAA), Requisitos de Segurança Cibernética do Departamento de Serviços Financeiros de Nova York para Empresas de Serviços Financeiros, a Lei Sarbanes Oxley (SOX) e o Regulamento Geral de Proteção de Dados da União Europeia.
A HIPAA estipula procedimentos específicos para proteger informações relacionadas à saúde.
Não regulamentar
Uma estrutura não regulamentar não é aplicada por lei. Inclui padrões estabelecidos e melhores práticas para as organizações adotarem a fim de melhorar sua preparação para a segurança.
Algumas estruturas não regulamentares incluem a Estrutura de Segurança Cibernética do NIST para Melhorar a Segurança Cibernética da Infraestrutura Crítica, série ISO 27000, NIST SP 800-53, Objetivos de Controle para Informação e Tecnologia Relacionada (COBIT) 5, desenvolvido pela ISACA, e Controles CIS.
A série ISO 27000 é uma estrutura de segurança de informações abrangente e relevante para organizações de todos os tamanhos e setores da indústria.
Muitas organizações seguem o COBIT para cumprir os regulamentos Sarbanes-Oxley.
Nacional x internacional
Estruturas como a Estrutura de Segurança Cibernética do NIST para Melhorar a Infraestrutura Crítica da Segurança Cibernética, que são usadas em um país específico, são conhecidas como estruturas nacionais.
Estruturas específicas da indústria
Consulte as estruturas que se aplicam a um setor específico. Por exemplo, o Padrão de Segurança de Dados Internacionais de Cartões de Pagamento (PCI DSS), desenvolvido por várias companhias de cartões de pagamento, exige que as organizações que processem informações de cartão de crédito devem cumprir 12 requisitos de segurança de dados a fim de proteger os dados de cartão de crédito dos clientes.
Benchmarks/guias de configuração segura
Além das estruturas regulatórias, há também outras referências relacionadas à segurança, como benchmarks e guias de configuração, disponíveis para as organizações fortalecerem a segurança das informações e dos sistemas.
Guias específicos de plataforma/fornecedor
As organizações também têm a opção de consultar guias específicos do fornecedor e da plataforma, além de guias de propósito geral. Alguns exemplos são os guias dos sistemas operacionais Linux e Windows.
Os guias específicos do fornecedor são uma referência confiável para configurar sistemas de fornecedores específicos.
Também existem guias para sistemas e dispositivos usados para diferentes funções, como servidores da web, servidor de aplicativos, Sistema Operacional e guias de dispositivos de infraestrutura de rede.
Para um servidor web, é necessário manter portas específicas abertas para protocolos específicos. No entanto, ao configurarum servidor de aplicativos de banco de dados, pode ser necessário fechar essas portas. O guia do servidor de aplicativos de banco de dados fornecerá detalhes de configuração específicos.
Guias de uso geral
Um exemplo de guia de propósito geral é o Guia de Requisitos de Segurança do Sistema Operacional de propósito geral (SRG), projetado para permitir que o Departamento de Defesa (DoD) aprimore a segurança de seus sistemas de informação.
Segurança de defesa em profundidade ou em camadas
Inclui a implementação de várias camadas de segurança. Vários controles de segurança são implementados em diferentes níveis. Isso torna a estratégia mais robusta. Se um controle de segurança não funcionar, há outros que ainda podem fornecer proteção.
Diversidade de fornecedores
A implementação de controles de segurança de vários fornecedores diferentes é conhecida como diversidade de fornecedores. Essa prática fornece algum backup de segurança no caso de um controle ser comprometido. Por exemplo, dois firewalls diferentes são frequentemente implementados em DMZs. Um firewall pode ter uma vulnerabilidade que um invasor descobre e explora. Nesse caso, o firewall de outro fornecedor provavelmente ainda seria eficaz. As chances de ambos os firewalls desenvolverem a mesma vulnerabilidade simultaneamente não são muito altas.
Diversidade de controle
A implementação de diferentes tipos de controles de segurança, incluindo controles administrativos, controles técnicos e controles físicos, é conhecida como diversidade de controle.
Os controles físicos referem-se a controles e políticas que controlam o acesso físico a sistemas e dados. Os componentes de controle físico incluem segregação da rede, segurança de perímetro e políticas de backup de dados. Exemplos de controles físicos incluem barreiras, travas, crachás, CFTVs, guardas de segurança, sistemas biométricos e alarmes.
Administrativo
Os controles administrativos referem-se a políticas e processos projetados para monitorar e controlar o acesso dos funcionários aos sistemas, bem como a dados importantes e classificados. Exemplos de controles administrativos incluem classificação de informações, programas de conscientização e treinamento de segurança, testes de penetração, políticas relacionadas ao manuseio de sistemas e dados pelos funcionários e investigação.
Técnico
Os controles técnicos referem-se a controles lógicos que são implementados para proteger dados e sistemas. Exemplos de controles técnicos incluem ACLs, firewalls, software antivírus, IDSs, senhas, criptografia, alertas e servidores proxy.
Treinamento de usuário
Conforme discutido anteriormente, o treinamento do usuário pode ser muito eficaz na redução de riscos. É um componente crítico da política de segurança de uma organização.
É necessário que todas as organizações conduzam programas eficazes de treinamento de segurança para os usuários. Eles precisam estar cientes dos diferentes tipos de ataques, dos métodos que os invasores utilizam e das tendências atuais de segurança. Idealmente, o treinamento deve ser repetido anualmente.
Mostramos o que é a engenharia social e os usuários não treinados no capítulo 1, e o uso de mídia social e e-mail pessoal no capítulo 2.
3.1.2 Implementando conceitos de arquitetura de rede segura
Uma rede segura inclui certos componentes, como diferentes zonas e topologias, segmentação, isolamento e vários dispositivos de rede.
Zonas/topologias
Normalmente, uma rede não está conectada diretamente à internet. A prática comum é dividi-la em zonas. Topologias são usadas para dividir redes em zonas diferentes. Uma topologia se refere à organização de computadores e dispositivos de rede e às conexões entre eles.
DMZ
É uma zona protegida que fica entre uma rede privada e a internet, criada usando dois firewalls. As organizações colocam servidores voltados para a internet na DMZ para protegê-los da exposição direta à internet. Os servidores posicionados na internet são vulneráveis a ataques. Uma DMZ resolve isso fornecendo uma camada de proteção e, simultaneamente, permitindo o acesso do cliente a servidores voltados para a internet.
Extranet
É uma parte da rede de uma organização que entidades externas autorizadas podem acessar. Muitas organizações precisam conceder acesso limitado a clientes, parceiros de negócios, fornecedores e outras partes interessadas.
O perímetro da rede funciona como um limite entre a internet e a intranet. Os controles de segurança são implementados para proteger o perímetro.
Intranet
É a rede interna de uma organização, que permite que os usuários se comuniquem entre si. Embora os servidores da web não sejam um componente essencial das intranets, muitas intranets possuem servidores da web.
Algumas organizações implementam dois firewalls em DMZs: um entre a intranet e a DMZ, e outro entre a internet e a DMZ. Isso cria uma zona tampão. Os ACLS do firewall são configurados para filtrar conteúdo e proteger a rede interna e os servidores voltados para a internet. A DMZ permite o acesso a serviços específicos em servidores públicos, mas segmenta o acesso à rede interna.
Sem fio
As organizações implantam redes sem fio para funcionários e usuários convidados. As redes sem fio específicas dos funcionários das organizações fornecem aos funcionários em locais remotos os meios para se conectar à rede com fio da organização e acessar todos os recursos de rede que estariam disponíveis para eles se estivessem em suas mesas de escritório.
Convidado
Uma rede de convidados geralmente é uma rede sem fio que as organizações fornecem para que os convidados se conectem à internet. Uma rede de convidados normalmente fornece apenas aos convidados acesso a e-mail ou a alguns sites, não aos recursos de rede da organização.
Honeynet
Um grupo de honeypots é conhecido como honeynet. Embora colocada em uma zona separada, uma honeynet pode ser acessada na rede principal de uma organização. O objetivo de criar uma honeynet é dar aos invasores a impressão de que se trata de uma rede ativa. Isso protege a rede real de ser explorada e também permite que os profissionais de segurança observem o trabalho de um invasor.
NAT
O protocolo Network Address Translation (NAT) é usado para converter endereços IP públicos em endereços IP privados e vice-versa. Algumas organizações mantêm o NAT ativado em firewalls voltados para a internet.
O NAT é comumente usado na forma de tradução de endereço de porta (PAT) e oferece algumas vantagens, como ocultar computadores internos da internet. Um NAT fornece alguma proteção para computadores com endereços privados.
Outra vantagem é que o NAT elimina a necessidade de adquirir endereços IP públicos para vários clientes. Essa tecnologia permite que vários computadores se conectem à internet por meio de um único roteador operando NAT. Grandes organizações podem usar mais de um endereço IP porque precisam disponibilizar mais serviços externos.
Uma desvantagem do NAT é que ele apresenta dificuldades de implementação com o IPsec.
As implementações de NAT podem ser estáticas ou dinâmicas. Um NAT estático mapeia um único IP público com um endereço IP privado. Um NAT dinâmico usa mais de um endereço IP e um método de mapeamento um-para-muitos. O NAT dinâmico determina o endereço IP público a ser usado com base na carga. Se um endereço IP público estiver em uso para muitos usuários, o NAT mapeia o próximo endereço IP privado com um endereço IP público que possui menos usuários mapeados para ele.
Ad hoc
O modo ad hoc permite que dispositivos sem fio se conectem uns aos outros sem um AP. Ele é implantado como e quando necessário. Dois usuários com dispositivos sem fio podem configurar uma rede sem fio ad hoc para se conectar.
No modo de infraestrutura, um usuário se conecta a uma rede sem fio por meio de um AP.
Segregação, segmentação e isolamento
As organizações implementam a separação de rede usando diferentes componentes para proteger sua rede. Os componentes de separação incluem segregação, segmentação e isolamento.
A segregação refere-se à separação básica da rede. A segmentaçãoé a prática de alocar tráfego para diferentes segmentos. Isolamento refere-se à prática de implementar a separação completa de sistemas ou isolá-los. As organizações podem usar a virtualização para isolar sistemas.
Isolamento físico e airgap
Isolamento físico significa que uma rede não tem conexão com nenhuma outra rede. As organizações podem implantar uma rede para um sistema específico para operar somente nela e serem completamente desconectadas de outras redes. Os sistemas de controle de supervisão e aquisição de dados (SCADA) são geralmente isolados de outras redes. O isolamento garante que um invasor não possa se conectar a uma rede e acessar sistemas da internet ou da rede interna, reduzindo assim o risco para esses sistemas.
Um airgap é um termo metafórico para isolamento físico. Isso implica que há uma lacuna de ar separando duas redes.
Algumas organizações implantam redes classificadas ou vermelhas e redes não classificadas ou negras, e aplicam regras para garantir que os dois tipos de rede não se conectem. Também pode haver regras estipulando que os cabos de rede vermelhos devem ser completamente separados dos cabos de rede pretos.
Lógico (VLAN)
Os roteadores são usados para fornecer segmentação de rede básica e os firewalls separam o tráfego de rede usando regras ACL. Conforme mostramos no capítulo 2, um roteador conecta diferentes segmentos de rede e direciona o tráfego entre esses segmentos.
Os administradores podem segmentar grandes intervalos de endereços IP em intervalos menores, usando o método de sub-rede. Os roteadores identificam se o tráfego deve ser permitido ou negado com base em regras, também chamadas de ACLs.
As regras de firewall que implementam a separação de rede podem variar de filtragem de conteúdo básica a técnicas avançadas para bloquear tráfego suspeito.
Os administradores também usam VLANs para segmentar o tráfego de rede entre diferentes grupos de usuários ou sistemas. Isso é conhecido como separação lógica.
Muitas VLANs podem ser criadas usando um switch da Camada 3. Uma VLAN pode separar logicamente computadores ou agrupar vários computadores, independentemente de sua localização física. Além disso, também permitem a separação de diferentes tipos de tráfego, incluindo de voz e dados.
Virtualização
Permite que muitos servidores virtuais operem em um único host físico. O objetivo é aumentar a disponibilidade sem aumentar significativamente os custos operacionais.
Os administradores usam virtualização para isolar redes. As VMs podem ser usadas para segregar, segmentar e isolar sistemas individuais, desabilitando a NIC instalada na VM. Uma NIC no modo desativado não pode transmitir dados para ou fora de uma VM.
Tunelamento/VPN
Uma Rede Privada Virtual (VPN) permite o acesso remoto a uma rede privada por meio de uma rede pública. No entanto, existem questões de segurança em relação ao acesso pela internet. Os protocolos de encapsulamento são usados para encapsular e criptografar o tráfego transmitido pela internet. Isso ajuda a proteger contra o acesso não autorizado aos dados.
O IPsec usa o modo de túnel para criptografar o tráfego VPN enviado pela internet.
Site a site e acesso remoto
Conforme mostrado no capítulo 2, uma conexão VPN de acesso remoto permite que um usuário se conecte com segurança a uma rede privada de um ponto remoto usando um dispositivo conectado à internet.
Uma VPN site a site permite que duas ou mais LANs em locais diferentes estabeleçam conexões seguras entre si via internet. As organizações usam VPNs site a site para permitir que filiais em diferentes localidades obtenham acesso seguro à intranet da empresa usando a internet.
Em uma conexão VPN de acesso remoto, o usuário precisa executar certas etapas para se conectar ao servidor VPN. Em uma conexão site a site, os usuários não precisam realizar nenhum procedimento para se conectar à rede do escritório principal da empresa. Os usuários em filiais podem estabelecer facilmente uma conexão segura com a sede.
Conforme mostramos no capítulo 2, VPNs podem ser usadas para obter acesso remoto.
Dispositivo de segurança/posicionamento de tecnologia
Sensores e coletores
Os sensores NIDS podem ser instalados em roteadores e firewalls para coletar e monitorar dados. Esses sensores são monitorados por um servidor central que hospeda um console NIDS.
O que um sensor vê depende de onde ele está colocado. Os administradores determinam o posicionamento de um sensor dependendo do que deve ser medido.
Para ter uma visão de todos os ataques na rede, um sensor deve ser posicionado no lado da internet do firewall.
Se um sensor for colocado no lado interno do firewall, ele só poderá ver o tráfego que tem permissão para passar pelo firewall.
Caso você queira visualizar o tráfego que é filtrado e que passa, coloque sensores em ambos os lados do firewall.
Mecanismo de correlação
É um dispositivo de software usado para reunir e avaliar informações de log de eventos de diferentes sistemas na rede. Conforme discutido no capítulo 2, um SIEM tem um mecanismo de correlação. O mecanismo de correlação segue um método de agregação de dados, examinando-os em busca de elementos comuns, identificando padrões considerados indicativos de ameaças potenciais e gerando alertas.
A localização do mecanismo de correlação varia de acordo com o modo de uso do SIEM. Embora os SIEMs possam estar localizados em pontos diferentes, é normal colocá-los na rede interna, que fornece o local mais seguro para as informações de log.
Proxies
Os servidores proxy foram mostrados no capítulo 2. Normalmente, eles são colocados entre a internet e a rede interna. As organizações colocam servidores proxy reversos na DMZ.
Firewalls
Leia as informações sobre firewalls no capítulo 2.
As organizações normalmente têm no mínimo um firewall baseado em rede posicionado entre sua rede interna e a internet. É comum colocar um firewall na fronteira da rede privada. As organizações também colocam firewalls entre diferentes segmentos da intranet.
Em uma DMZ, um firewall normalmente está localizado entre a rede interna e a DMZ, e outro está posicionado entre a internet e a DMZ.
Concentradores VPN
Consulte o capítulo 2 para saber mais sobre concentradores VPN.
Conforme discutido anteriormente, um concentrador de VPN é geralmente colocado na DMZ para receber o tráfego do firewall posicionado entre a DMZ e a internet, e para encaminhar o tráfego VPN para o firewall localizado entre a DMZ e a intranet da organização.
Aceleradores SSL
Os especialistas aconselham que os aceleradores SSL (mostrados no capítulo 2) sejam posicionados muito próximos aos sistemas relacionados.
Balanceadores de carga
Os balanceadores de carga foram discutidos no capítulo 2.
Um balanceador de carga pode ser colocado no DMZ.
Mitigador DDoS
Um mitigador DDoS tenta identificar ataques DDoS e bloqueá-los, fazendo parte de uma solução UTM. Se um mitigador DDoS for configurado e implementado corretamente, ele pode impedir que um site fique indisponível durante um ataque.
O posicionamento de um mitigador DDoS depende do motivo de seu uso. Geralmente é colocado entre a internet e a intranet. Também pode ser colocado dentro do DMZ.
switch de agregação
Um switch de agregação é usado para conectar vários switches em uma rede. Um switch de agregação pode ser usado para conectar duas sub-redes.
Normalmente, um switch de agregação é posicionado onde um roteador seria colocado.
TAPs ou espelhamento de porta
Muitos switches internos têm recursos de espelhamento de porta, que permite que um switch seja configurado para enviar todo o tráfego para uma única porta. Um espelho de porta pode ser configurado para uso como uma TAP, o que permite que o switch envie todas as informações recebidas a um sensor para serem encaminhadas a um NIDS.
TAPs também podem ser configuradas em roteadores para capturar pacotes transmitidos pelo switch e encaminhá-los a um IDS.
As TAPs são configuradas em switches ou roteadores, portanto, são colocados onde quer que um switch ou roteador seja colocado.
SDN
Uma rede definida por software(Software-Defined Network: SDN) refere-se a uma rede que transmite tráfego sem o uso de roteadores e switches de hardware. Os roteadores de hardware bloqueiam ou encaminham o tráfego com base nas regras ACL.
Uma SDN emprega tecnologias de software e virtualização para direcionar o tráfego. O uso de SDNs permite que uma organização seja menos dependente do hardware específico do fornecedor.
Os SDNs operam separando o método usado para encaminhar ou interromper o tráfego, também chamado de plano de dados, e o método usado para determinar o caminho a ser percorrido pelo tráfego, também chamado de plano de controle. O plano de dados e o plano de controle são separados.
Muitos roteadores usam os protocolos OSPF (Open Shortest Path First) e Border Gateway Protocol (BGP) para identificar o caminho mais adequado para o tráfego no plano de controle. Esses protocolos permitem que os roteadores se comuniquem com outros roteadores na rede e façam um mapa da rede com base nos dados que trocam entre si. Um SDN também pode usar esses protocolos, mas não requer roteadores de hardware.
SDNs normalmente usam modelos de controle de acesso baseado em atributos (ABAC), que permitem aos administradores desenvolver e implementar políticas de plano de dados para encaminhar ou bloquear o tráfego.
Uma vantagem das políticas de plano de dados é que elas usam linguagem acessível.
3.1.3 Implementando design de sistemas seguros
Diferentes conceitos e tecnologias, incluindo sistemas operacionais, segurança de hardware/firmware e periféricos são utilizados para desenvolver e implementar um design de sistema seguro. O objetivo da implementação de um design de sistema seguro é garantir que os sistemas host, como servidores, desktops, laptops, dispositivos móveis e dispositivos de rede sejam implantados e gerenciados em um estado seguro.
Os administradores são responsáveis pela implantação segura dos sistemas e pela segurança dos sistemas após a implantação.
Segurança de hardware/firmware
A avaliação dos componentes de hardware é um recurso essencial do projeto de sistemas seguros. Isso também inclui a avaliação da cadeia de suprimentos de dispositivos de hardware. É importante comprar sistemas de computação e dispositivos de rede diretamente de fornecedores de hardware ou de varejistas confiáveis.
FDE/SED
Full Disk Encryption (FDE) é o processo de criptografar um disco inteiro. Conforme mostrado no capítulo 2, ele ajuda a proteger os discos, incluindo unidades para celulares e unidades flash USB. Existem vários aplicativos disponíveis que os profissionais de segurança podem usar para criptografar discos cheios.
Uma unidade de criptografia automática (SED) é uma unidade FDE baseada em hardware. Ele tem o software e o hardware necessários para criptografar toda a unidade e fornecer armazenamento seguro para as chaves de criptografia.
Os SEDs permitem que os usuários insiram suas credenciais ao configurá-lo. Quando um usuário liga o sistema, ele insere suas credenciais novamente para descriptografar a unidade e inicializar o sistema.
TPM, inicialização segura e atestado e raiz de confiança do hardware
Um Trusted Platform Module (TPM) é um chip na placa-mãe usado para armazenar chaves de criptografia RSA. Uma chave privada assimétrica RSA exclusiva é gravada no chip. A chave privada é combinada com uma chave pública, fornecendo um ponto seguro para começar. Isso também é conhecido como raiz de confiança do hardware. Muitos dispositivos de endpoint, como laptops, têm TPMs. Alguns celulares também têm.
Um TPM no modo habilitado é capaz de criptografar todo o disco, o que inclui bloquear ou lacrar um disco rígido e desbloqueá-lo somente após a autenticação e verificação do sistema terem sido concluídas com sucesso.
O TPM é projetado para oferecer suporte a métodos seguros de inicialização e certificação. Durante o processo de configuração, o sistema registra as assinaturas dos arquivos-chave usados durante o processo de inicialização e mantém o relatório das assinaturas com segurança no TPM.
Na próxima vez em que o sistema for inicializado, os arquivos serão verificados em relação às assinaturas que foram armazenadas inicialmente para garantir que não houve alterações. Se forem detectadas alterações, ele interrompe o processo de inicialização para proteger os dados. Modificações de arquivo podem ocorrer devido a malware.
O processo de atestado remoto é semelhante ao processo de inicialização segura. A diferença é que as assinaturas capturadas durante o processo de configuração são armazenadas em um sistema remoto, não no TPM. Durante o processo de inicialização, o TPM verifica os arquivos e envia um relatório dos arquivos verificados para o sistema remoto. O sistema remoto verifica o relatório e, se não houver modificações, emite uma confirmação de que o sistema está seguro.
Um TPM também pode gerar e armazenar outras chaves de criptografia e descriptografia.
É necessário habilitar o TPM no sistema, utilizando um aplicativo no Sistema Operacional. O BitLocker está disponível em alguns sistemas Microsoft para essa finalidade.
HSM
Conforme mostrado no capítulo 2, um Módulo de Segurança de Hardware (HSM) é um dispositivo removível usado para criar, armazenar e gerenciar chaves criptográficas. Os HSMs podem ser conectados a redes, instalados em servidores e conectados a computadores. HSMs de alto desempenho são normalmente usados em redes. Os HSMs de plug-in são usados para computadores e os HSMs, na forma de placas de expansão, são instalados em servidores.
UEFI/BIOS
O BIOS (Basic Input Output System) consiste em um chip de hardware integrado com software que inclui e executa as instruções de inicialização de um computador. O processo de inicialização geralmente inclui a execução de algumas verificações do sistema e a localização do Sistema Operacional.
A interface de firmware extensível unificada (UEFI) substituiu o BIOS em alguns sistemas mais recentes. UEFI é basicamente uma forma avançada de BIOS, projetado para operar independentemente da CPU, e capaz de inicializar a partir de discos maiores que o BIOS.
O BIOS e a UEFI suportam o processo de atualização denominado flashing, que envolve a substituição do código no chip pelo software atual.
Supply chain (cadeia de mantimentos)
As organizações precisam avaliar a cadeia de suprimentos ou todos os componentes necessários para produzir o produto final. Houve alguns casos em que os clientes receberam novos produtos com software falso ou malware.
Para evitar tais situações, os usuários devem comprar equipamentos de informática apenas de fornecedores confiáveis.
EMI/EMP
A interferência eletromagnética (EMI) é emitida por linhas de energia, luzes fluorescentes, motores e outras fontes. EMI perturba sinais transmitidos por fios. A fim de proteger sistemas e processos contra EMI, é necessário incorporar o método de blindagem no projeto de sistemas seguros. Fornecer proteção durante a fase de projeto é mais eficiente do que adicioná-la posteriormente.
Pulso eletromagnético (EMP) refere-se a um jato de energia eletromagnética emitida por uma variedade de fontes, incluindo Descarga Eletrostática (ESD), armas nucleares, e raios que podem danificar sistemas de computador e outros equipamentos eletrônicos.
As pulseiras ESD podem ajudar a evitar que o ESD danifique o equipamento. A fiação e outros equipamentos elétricos podem ser protegidos contra raios usando tiras de proteção e técnicas de proteção contra sobretensão. A melhor maneira de proteger equipamentos eletrônicos e sistemas embarcados de armas nucleares e não nucleares é desligar os sistemas assim que ocorrer uma explosão. O ideal é que o equipamento seja desligado antes de uma explosão ocorrer, mas os usuários normalmente não recebem notificação prévia sobre explosões.
Sistemas operacionais
Tipos
Os três principais tipos de sistemas operacionais para computadores são Windows, Apple e sistemas baseados em Linux ou Unix. Como você provavelmente sabe, esses três tipos têm várias versões. No Windows, existem diferentes versões para estaçõesde trabalho, tanto laptops quanto desktops, e para servidores.
A Microsoft lança atualizações para essas versões periodicamente. Algumas versões amplamente utilizadas são Windows 7, 8 e 10 para estações de trabalho, e Windows Server 2012 e Windows Server 2016 para servidores.
Os sistemas operacionais Windows e Apple são proprietários ou sistemas específicos do fornecedor, e o código-fonte desses sistemas operacionais não está disponível publicamente. O código-fonte aberto está disponível ao público; o código-fonte fechado não está.
Os computadores Macintosh, da Apple, usam o MAC OS, e os iPhones e iPads usam iOS.
O software de código fechado é desenvolvido e atualizado pelo fornecedor.
O Linux é de código aberto e está disponível publicamente. Existe uma grande comunidade de desenvolvedores que trabalham na modificação do código. Alguns também redistribuem seu código modificado gratuitamente. Existem várias versões do Linux.
O Sistema Operacional Android originou-se do Linux e é um software de código aberto. Alguns fornecedores de dispositivos móveis usam versões modificadas do Sistema Operacional Android.
Além de estações de trabalho e servidores, os sistemas operacionais também são executados em outros sistemas:
Rede
Dispositivos de rede, como firewalls, roteadores e switches, usam sistemas operacionais, que podem ser versões de sistemas Linux ou Internetwork Operating System (IOS), da Cisco.
Appliance
Um dispositivo de rede é um dispositivo de hardware que oferece muitos recursos. Um UTM é um exemplo de dispositivo de rede. Vários dispositivos de rede usam uma versão do Sistema Operacional Linux.
Quiosque
Os computadores localizados em quiosques possuem sistemas operacionais.
Gerenciamento de patches
As organizações implementam políticas de gerenciamento de patches para garantir que todos os sistemas operacionais e aplicativos tenham os patches atuais instalados. Isso aborda vulnerabilidades documentadas em sistemas e aplicativos, e ajuda a reduzir o risco de ataques.
Os administradores controlam regularmente os patches, os testam e implantam.
Algumas ferramentas de gerenciamento de sistema, como o Microsoft System Center Configuration Manager (SCCM), também chamado de ConfigMgr, possuem recursos de gerenciamento de patch.
O gerenciamento de patches foi mostrado no capítulo 2.
Menor funcionalidade e desativando portas e serviços desnecessários
O design de sistemas seguros é baseado em certos princípios-chave, um dos quais é a funcionalidade mínima. Os invasores só podem comprometer protocolos e serviços habilitados. Portanto, é importante desativar todos os programas e protocolos desnecessários. A prática de implantar sistemas apenas com os serviços, aplicativos e protocolos necessários é conhecida como funcionalidade mínima.
Os administradores normalmente desinstalam softwares desnecessários. Contas que não estão mais sendo usadas também devem ser desativadas.
Configurações seguras
Os sistemas operacionais normalmente não são disponibilizados em um estado seguro. Os administradores precisam implementar certos processos para proteger os sistemas operacionais. Ao implantar sistemas, os administradores geralmente definem uma configuração segura e criam uma imagem mestre com essa configuração. Essa imagem é então replicada em outros equipamentos.
Sistema Operacional confiável
Um Sistema Operacional confiável é implementado para evitar que pessoas não autorizadas ou outras pessoas acessem dados e funções para as quais eles não têm permissão. Se implementado de forma eficaz, um sistema operacional confiável pode garantir que funcionários não autorizados ou outras pessoas não possam visualizar, copiar ou mover arquivos, modificá-los ou excluí-los. Isso ajuda a proteger os dados de ataques de malware.
Um Sistema Operacional confiável é projetado para fornecer autenticação e autorização robustas. Ele atende a um nível avançado de critérios e requisitos predefinidos impostos por um padrão independente, como os Critérios Comuns para Avaliação de Segurança de Tecnologia da Informação. Sistemas operacionais que atendem a essas especificações são considerados confiáveis. Normalmente, um Sistema Operacional confiável usa o modelo de controle de acesso obrigatório.
whitelisting (lista branca) e blacklisting (lista negra) de aplicativos
Conforme mostramos no capítulo 2, whitelisting e blacklisting são técnicas empregadas para proteger hosts. Uma lista branca de aplicativos consiste em um diretório de todos os aplicativos autorizados a serem executados em um computador. Uma lista negra de aplicativos é um diretório de todos os aplicativos que devem ser bloqueados por um sistema.
As listas brancas e negras de aplicativos ajudam a evitar que os usuários instalem software não autorizado em suas estações de trabalho.
O sistema gera uma mensagem obscura, como problema de permissão ou erro, quando um usuário não consegue instalar ou executar o software devido a uma lista negra ou lista branca. No entanto, os motivos da falha na instalação serão registrados no log do aplicativo.
Em sistemas Windows, as listas brancas e negras podem ser implementadas usando as Políticas de Restrição de Software dentro da Política de Grupo da Microsoft. A Política de Grupo bloqueará todos os aplicativos que não estão na lista de permissões. Com uma lista negra, a Política de Grupo permitirá aplicativos que não estão na lista.
Os aplicativos de gerenciamento de dispositivos móveis (MDM) também usam listas negras e brancas para permitir ou bloquear aplicativos em celulares.
Desativar contas/senhas padrão
Conforme mostrado no capítulo 1, os sistemas operacionais e aplicativos geralmente têm nomes de usuário e senhas padrão de fábrica ou fornecedor. Eles devem ser alterados no primeiro acesso porque os invasores podem explorar as credenciais padrão para obter acesso não autorizado a sistemas, aplicativos ou rede. Um scanner de vulnerabilidade pode identificar nomes de usuário e senhas padrão.
Os administradores também devem alterar o nome padrão da conta do administrador se a opção estiver disponível. Isso ocorre porque alguns sistemas não permitem que a conta do administrador seja bloqueada por meio de políticas normais de bloqueio. Os hackers tiram vantagem disso e continuam tentando adivinhar a senha.
No entanto, se o nome da conta do administrador foi alterado, eles não saberão qual conta é a conta do administrador real. Alguns administradores criam uma conta de administrador fictícia chamada “Administrador” para enganar os invasores. Essa conta fictícia não tem permissões. Se os invasores tentarem adivinhar a senha da conta fictícia, eles serão bloqueados, alertando o administrador.
Periféricos
O design de sistemas seguros deve fornecer a implantação segura de periféricos.
Teclados e mouses sem fio
Os invasores podem interceptar as transmissões sem fio. É melhor que dados confidenciais e importantes sejam transmitidos por meio de sistemas com fio.
Monitores
As telas devem ser protegidas da exibição pública para evitar a perda de confidencialidade. É melhor garantir que os monitores não sejam visíveis através das janelas. As organizações geralmente colocam telas de privacidade sobre os monitores, o que torna difícil para qualquer pessoa que não esteja bem na frente do monitor visualizar o conteúdo na tela.
Cartões microSD habilitados para WiFi
Os cartões microSD mais antigos são dispositivos plug-in que você precisa conectar a uma porta. No entanto, alguns novos cartões microSD têm recursos Wi-Fi. Como as transmissões sem fio são vulneráveis à interceptação, controles robustos de segurança devem ser implementados se cartões microSD habilitados para Wi-Fi forem usados.
Impressoras/MFDs
Alguns dispositivos multifuncionais (MFD) incluem sistemas incorporados e capacidade de armazenamento interno. Os sistemas incorporados têm vulnerabilidades e o sistema de armazenamento interno de um MFD pode armazenar os dados que processam. É importante levar em consideração os diferentes recursos disponíveis nesses periféricos ao decidir qual comprar.Impressoras e MFDs precisam ser protegidos contra acesso não autorizado.
Dispositivos de armazenamento externo
São dispositivos separados que possuem memória, como unidades USB removíveis, tablets, smartphones, câmeras digitais e MP3 players. Dispositivos externos são suscetíveis à infecção por malware. Um funcionário mal-intencionado ou usuário externo pode roubar dados usando um dispositivo de plug-in.
Dispositivos externos também podem ser perdidos e, como resultado, um indivíduo ou entidade não autorizada pode obter acesso a dados confidenciais.
Essa é a razão pela qual muitas organizações implementam políticas técnicas que impedem o uso de dispositivos externos.
Câmeras digitais
As câmeras digitais também são vulneráveis porque têm armazenamento interno e possibilidade de uso de um cartão de memória externo a ser conectado para armazenamento adicional, se necessário.
3.2.1 Importância dos conceitos de implantação de teste seguro
Qual porta o POP3 seguro usa?
Select one:
3389
995 
Verdadeiro. O POP3 seguro usa a porta 995.
143
443
Qual dos seguintes protocolos é usado para proteger as comunicações de áudio e vídeo em redes IP?
Select one:
SRTP 
Verdadeiro. O SRTP (Secure Real-time Transport Protocol) é usado para segurança de comunicação de áudio e vídeo em redes IP, pois criptografa o tráfego.
SSH
DNSSEC
S/MIME
O Protocolo de Transferência de Arquivo Seguro (FTPS) usa portas TCP ___ e ___.
Select one:
989 e 990 
Verdadeiro. O FTPS usa TLS para criptografar pacotes de dados. Implementações FTPS usam portas TCP 989 e 990.
125 e 80
980 e 443
111 e 125
O que pode ser usado para conectar duas sub-redes?
Select one:
Mecanismo de correlação
Switch de agregação 
Verdadeiro. Um switch de agregação pode ser usado para conectar duas sub-redes.
Roteador
Firewall
Qual dos programas a seguir pode ser usado para colocar um programa na lista de permissões do Windows?
Select one:
ACL
MDM
Política de Grupo da Microsoft 
Verdadeiro. Em sistemas Windows, a lista de permissões e a black list podem ser implementadas usando Políticas de Restrição de Software dentro da Política de Grupo da Microsoft.
ConfigMg
Que tipo de chave privada é usada em um Trusted Platform Module (TPM) na placa-mãe para armazenar chaves de criptografia?
Select one:
Chave privada assimétrica MD5
Chave privada assimétrica SHA
Chave privada assimétrica DES
Chave privada assimétrica RSA 
Verdadeiro. Um Trusted Platform Module (TPM) usa uma chave privada assimétrica RSA para armazenar chaves de criptografia na placa-mãe.