SEGURANÇA DE REDES - OBJETIVOS E ANALISE DE RISCOS

Prévia do material em texto

Redes de Computadores
Segurança de Redes
Redes de ComputadoresRedes de Computadores
• Redes de Computadores e a Segurança
– As corporações (empresas, governos e escolas) estão 
cada vez mais dependentes de seus sistemas – exigem 
informações compartilhadas;
– Uso de informações sigilosas (comércio eletrônico)
– Novas tecnologias (por exemplo, redes sem fio)
INTRODUÇÃO
Necessidade de se manter a 
Segurança das Informações
Redes de ComputadoresRedes de Computadores
AS PREOCUPAÇÕES CRESCEM....
• Aumento do uso da Internet
• Aumento do registro dos incidentes de segurança 
(intrusos e funcionários insatisfeitos)
• Numerosos relatos de vulnerabilidades de softwares 
(inclusive os de segurança)
• Proteção física é dificilmente concretizada
Segurança de Redes é uma 
tarefa árdua e complexa !
Redes de ComputadoresRedes de Computadores
SEGURANÇA NAS ORGANIZAÇÕES
• Segurança é um ”processo” que tenta 
manter protegido um sistema complexo 
composto de muitas entidades: 
– Tecnologia (hardware, software, redes)
– Processos (procedimentos, manuais)
– Pessoas (cultura, conhecimento)
• Estas entidades interagem das formas mais 
variadas e imprevisíveis
• A Segurança falhará se focar apenas em 
parte do problema
• Tecnologia não é nem o problema inteiro, 
nem a solução inteira
Redes de ComputadoresRedes de Computadores
CICLO DE SEGURANÇA
• Análise da Segurança (Risk Assessment)
• Definição e Atualização de Regras de Segurança 
(Política de Segurança)
• Implementação e Divulgação das Regras de 
Segurança (Implementação)
• Administração de Segurança (Monitoramento, 
Alertas e Respostas a Incidentes)
• Auditorias (Verificação do Cumprimento da 
Política)
Redes de ComputadoresRedes de Computadores
O crescente uso de redes de computadores para fornecer acesso remoto 
às informações torna os ataques às redes de computadores ainda mais 
atraentes;
O crescente uso de informações sensíveis que necessitam de segurança , 
como por exemplo, transferências bancárias, comércio eletrônico e 
informações proprietárias sigilosas, torna as redes de computadores alvos 
tentadores;
Sistemas de computadores conectados via rede de computadores 
cooperam de diversas formas para fornecer recursos compartilhados para 
a comunidade de usuários. Como resultado deste compartilhamento, a 
segurança da informação de uma dada máquina depende das medidas de 
segurança empregadas na rede e nas outras máquinas.
O desenvolvimento de novas tecnologias de redes facilita certos tipos de 
ataques a sistemas de comunicação. Por exemplo, é fácil para um intruso 
monitorar a transmissão das redes de satélites e de rádios.
SEGURANÇA DE REDES
Redes de Computadores
Novos desafios para Segurança de Redes
 Tecnologias sem fio
 Dispositivos móveis
 Redes de sensores
 Internet da coisas
 Redes sociais on-line
 Computação em nuvem
Redes de ComputadoresRedes de Computadores
• Os bens mais importantes são as informações.
• Informações, que se perdidas, mal usadas, acessadas por 
pessoas não autorizadas, ou modificadas, podem 
prejudicar uma organização, quanto ao funcionamento de 
um negócio ou a privacidade de pessoas.
BENS - INFORMAÇÕES SENSÍVEIS
Redes de Computadores
Informação
• Informação pode existir de muitas formas:
–
–
–
–
–
Impressa ou escrita em papel
Armazenada eletronicamente 
Transmitida pelo correio ou meios eletrônicos
Mostrada em filmes
Falada em conversas
• Sempre deve ser protegida adequadamente
Redes de Computadores
Segurança da Informação
• “Segurança da informação é a proteção dos sistemas de
informação contra a negação de serviço a usuários
autorizados, assim como contra a intrusão, e a
modificação não-autorizada de dados ou informações,
armazenados, em processamento ou em trânsito,
abrangendo a segurança dos recursos humanos, da
da
s
documentação e do material, das áreas e instalações
comunicações e computacional, assim como
destinadas a prevenir, detectar, deter e documentar
eventuais ameaças a seu desenvolvimento”.
Redes de Computadores
Segurança da Informação
Preservação de:•
Disponibilidade
Integridade
Confidencialidade
Redes de Computadores
Ciclo de vida da informação
Redes de Computadores
Sistema seguro
• Confidencialidade – A informação somente pode ser acessada
proteção de
pessoas não
por pessoas explicitamente autorizadas; é a
sistemas de informação para impedir que
autorizadas tenham acesso ao mesmo.
Disponibilidade – A informação ou sistema de computador deve 
estar disponível no momento em que a mesma for necessária; 
Integridade – A informação deve ser retornada em sua forma
original no momento em que foi armazenada.
•
•
Redes de Computadores
Segurança: Objetivos expandidos
• Confidencialidade
– Garantia de que apenas pessoas autorizadas tenham acesso a
informação
• Integridade
– Manutenção do valor e do estado da informação; Proteção contra
alterações não autorizadas
• Disponibilidade
– Garantia que a informação estará disponível quando necessária
• Não repúdio
– Habilidade de provar que o remetente realmente enviou ou é autor
de uma informação
• Autenticação
– A prova da identidade para concessão da autorização
18
Redes de Computadores
SEGURANÇA DA INFORMAÇÃO E REDES
ANATOMIA DO PROBLEMA
Desafio é realizar ações que mapeiem e identifiquem a
Situação atual da empresa :
• suas ameaças;
• vulnerabilidades;
• sensibilidades;
• impactos.
A fim de permitir o adequado dimensionamento e modelagem 
da solução. 
Redes de ComputadoresRedes de Computadores
• Uma ameaça é algum fato que pode ocorrer e acarretar 
algum perigo a um bem. Tal fato, se ocorrer, será 
causador de perda.
• Ameaça é um possível perigo que pode explorar uma 
vulnerabilidade.
O QUE É UMA AMEAÇA ?
Redes de ComputadoresRedes de Computadores
TIPOS DE AMEAÇAS
• Naturais – Ameaças decorrentes de fenômenos da 
natureza, como incêndios naturais, enchentes,terremotos, 
tempestades, poluição, etc.
• Involuntárias – Ameaças inconscientes, quase sempre 
causadas pelo desconhecimento. Podem ser causados por 
acidentes, erros, falta de energia, etc.
• Voluntárias – Ameaças propositais causadas por agentes
humanos, como hackerscriadores e disseminadores de 
vírus de computador.
Redes de ComputadoresRedes de Computadores
• Ausência de proteção cobrindo uma ou mais ameaças.
• Fraquezas no sistema de proteção.
• Vulnerabilidades são claramente associadas com 
ameaças.
• Exemplos:
– A ameaça a acesso não autorizado está ligada a 
controles de acesso inadequados.
– A ameaça de perda de dados críticos e apoio ao 
processamento se deve ao planejamento de 
contingência ineficaz.
VULNERABILIDADES
Redes de ComputadoresRedes de Computadores
• Resultados indesejados da ocorrência de uma ameaça 
contra um bem, que resulta em perda mensurável para 
uma organização.
• Quase todo risco tem um impacto, embora de difícil 
previsão.
IMPACTO
Redes de ComputadoresRedes de Computadores
TIPOS ATAQUES
• Geralmente divididos nos seguintes tipos:
– Pelo alvo geral do ataque (aplicações, redes ou misto)
– Se o ataque é ativo ou passivo
– Pelo mecanismo de ataque (quebra de senha, exploração de 
código, ...)
• Ataques Ativos
– DoS, DDoS, buffer overflow, inundação de SYN
• Ataques Passivos
– Pesquisa de vulnerabilidade, sniffing, ...
• Ataques de Senha
– Força bruta, Dicionário, “hackish”, Rainbow Tables
• Código malicioso (malware)
– Vírus, trojans, worms, keylooggers, screenloggers ...
Redes de ComputadoresRedes de Computadores
• Podemos classificar os ataques como passivos ou ativos: 
– osataques passivos possuem a natureza de bisbilhotar 
ou monitora transmissões e 
– os ataques ativos envolvem alguma modificação do fluxo 
de dados ou a criação de um fluxo falso.
ATAQUES
Redes de ComputadoresRedes de Computadores
• O objetivo dos ataques passivos é obter informações que 
estão sendo transmitidas. Existem dois tipos de ataque 
passivo:
– A liberação ou interceptação do conteúdo da 
mensagem 
– E a análise do tráfego
• Ataques passivos são muito difíceis de detectar pois não 
envolvem alteração dos dados
ATAQUES PASSIVOS
Redes de ComputadoresRedes de Computadores
• Os ataques ativos envolvem alguma modificação do fluxo 
de dados ou a criação de um fluxo falso e podem ser 
subdivididos em quatro categorias:
– disfarce, 
– modificação de mensagem, 
– repetição e 
– negação de serviço.
ATAQUES ATIVOS
Redes de Computadores
Ataques
Interceptação
Personificação
Interrupção
Modificação
Redes de ComputadoresRedes de Computadores
Risco é a probabilidade de ameaças explorarem vulnerabilidades, 
provocando perdas de confidencialidade, integridade e
disponibilidade e possivelmente causando impacto nos negócios.
Ilustrando :
31% dos e-mails corporativos são = lixo/perigo
10% SPAM
9% Vazamento de dados confidenciais
4% Msg com anexos gigantescos ou enviadas para N pessoas
4% Pornografias ou ofensas religiosas, éticas e morais
2% Piadas
2% Contaminadas por vírus e bombas de e-mail.
SEGURANÇA DA INFORMAÇÃO E REDES 
ENTENDO A ANÁLISE DE RISCO (CASE REDES)
Redes de ComputadoresRedes de Computadores
VULNERABILIDADES QUE MAXIMIZAM OS RISCOS
• Ausência de Controle de acesso físico
• Senha fraca
• Criptografia fraca
• Autenticação fraca
• Autorização deficiente
• Sistemas Operacionais desatualizados
• E-mail sem proteção
• Bugs de Softwares e BackDoors
• Ausência de políticas formais de backup
• Recurso humano não consciente e incapacitado
• Ausência de uma política de segurança
SEGURANÇA DA INFORMAÇÃO E REDES
ANÁLISE DE RISCO EM REDES E TI
Redes de Computadores
O que podemos utilizar para diminuir os riscos?
Educação do usuário
Antivírus 
Antispyware
Filtro AntiSpam
Backup dos Dados 
Criptografia Firewall
Sistemas de 
Detecção de Intrusão
Programação segura
Política de segurança












Gestão da segurança da informação
Outros
Redes de Computadores
PESQUISA NACIONAL DE SEGURANÇA DA INFORMAÇÃO 2014
Redes de ComputadoresRedes de Computadores
• O Centro de Estudos Estratégicos e Internacionais 
dos EUA em conjunto com a empresa de segurança 
digital McAfee revela que falhas em segurança 
digital geram, em todo o mundo, um prejuízo 
anual que atinge a marca de aproximadamente R$ 
1.120 trilhões (US$ 500 bilhões).
PREJUÍZOS FINANCEIROS
Redes de Computadores
Como a segurança pode ser obtida?
• Implementando CONTROLES, para garantir
alcançados
que os
objetivos de segurança sejam
Políticas
Práticas
Procedimentos
Estruturas organizacionais
Funções de softwares/hardware
Redes de Computadores
SI: Técnica X Gestão
•
•
•
Deve ser apoiada por gestão e procedimentos
Identificação dos controles a serem implantados
planejamento cuidadoso e detalhado
Todos funcionários devem participar, no mínimo
– Talvez fornecedores, clientes, terceiros, etc.
Consultoria pode ser necessária
Controles são mais baratos e eficientes quando 
implantados em fases iniciais
requer
•
•
•