Segurança Redes UTP

Segurança de Redes deSegurança de Redes de
ComputadoresComputadores
Segurança da informação
Módulo 01

25/8/200725/8/2007 Prof. Marcelo Soares Farias - Prof. Roberto AmaralProf. Marcelo Soares Farias - Prof. Roberto Amaral 22
??
Segurança da
Informação é
resolvida somente
com software?

InformaçãoInformação
 A informação é o maior
patrimônio de uma empresa e
protegê-la não é uma tarefa
fácil.

Plano de SegurançaPlano de Segurança
 Não basta reunir um conjunto de
ferramentas para proteção, o
resultado é que deve ser eficaz
dentro de um contexto de um Plano
de Segurança, dentro de um nível
estratégico, tático e operacional de
uma empresa.

Programas de Segurança daProgramas de Segurança da
InformaçãoInformação
 Programas de Segurança da
Informação são importantes para
garantir a continuidade do negócio e
minimizar os danos.

Medidas de SegurançaMedidas de Segurança
 Medidas de Segurança devem
estar enraizadas na cultura da
empresa, pois segurança não é só
uma questão técnica, mas de política
e educação empresarial.

Segurança da informaçãoSegurança da informação
 Segurança da Informação é resolvida
com:
• Análise de Risco;
• Política de Segurança;
• Controle de acesso Físico e Lógico;
• Treinamento e Conscientização para a
Segurança da Informação;
• Plano de Contingência;

ProteçãoProteção
 Pontos importantes a serem
definidos pela empresa:
•O que deve ser protegido?
•Contra o que será necessário
proteger?
•Como será feita a proteção?
•Custo x Benefício?

FinalidadeFinalidade
 A Finalidade da Segurança da
Informação para a Corporação é
diminuir o nível de exposições aos
riscos existentes em todos os
ambientes para que a empresa possa
estender a segurança aos produtos e
serviços, resultando em uma
satisfação maior por parte dos
clientes.

ImportânciaImportância
 A Importância da Segurança nos
Negócios é proporcionar:
confidencialidade, integridade e
disponibilidade das informações.

ImportânciaImportância
 A importância e os benefícios na
segurança dos Negócios de uma
empresa são:
• Redução de riscos contra vazamento de
informação confidencial/sigilosa;
• Redução da probabilidade de fraudes;
• Diminuição de erros devido a
treinamentos e mudança de
comportamento;
• Manuseio correto de informações
confidenciais.

ObjetivoObjetivo
 O Objetivo da Segurança de Informação é
buscar a disponibilidade, confidencialidade
e integridade dos seus recursos e da
própria informação, conduzindo, no
mínimo a:
• Redução da probabilidade de incidentes de
segurança;
• Redução de danos/perdas causados por
incidentes de segurança;
• Recuperação dos danos em caso de
desastre/incidente.

Tripé da segurançaTripé da segurança
DisponibilidadeIntegridadeConfidencialidade
Segurança

ConfidencialidadeConfidencialidade
 Confidencialidade - propriedade que
limita o acesso a informação tão
somente às entidades legítimas, ou
seja, àquelas autorizadas pelo
proprietário da informação.

IntegridadeIntegridade
 Integridade - propriedade que
garante que a informação
manipulada mantenha todas as
características originais estabelecidas
pelo proprietário da informação,
incluindo controle de mudanças e
garantia do seu ciclo de vida
(nascimento,manutenção e
destruição).

DisponibilidadeDisponibilidade
 Disponibilidade - propriedade que
garante que a informação esteja
sempre disponível para o uso
legítimo, ou seja, por aqueles
usuários autorizados pelo
proprietário da informação.

Confiabilidade – Não repúdioConfiabilidade – Não repúdio
 Não-Repúdio, ou não recusa, é a
garantia que o emissor de uma
mensagem ou a pessoa que executou
determinada transação de forma
eletrônica, não poderá posteriormente
negar sua autoria, visto que somente
aquela chave privada poderia ter
gerado aquela assinatura digital. Deste
modo, a menos de um uso indevido do
certificado digital, fato que não exime
de responsabilidade, o autor não pode
negar a autoria da transação.

Confiabilidade – Não repúdioConfiabilidade – Não repúdio
 O mecanismo criado para usufruir dos
avanços da tecnologia de criptografia,
em particular da criptografia
assimétrica, e capaz de transferir para
a internet seus benefícios de segurança
e confiabilidade, foi o Certificado
Digital.

Não repúdioNão repúdio
 O Certificado Digital é emitido por uma
entidade confiável, denominada
Autoridade Certificadora , que utilizando-
se de processos e critérios bem definidos e
públicos, regula a gestão do certificado
através da emissão, revogação e
renovação dos mesmos por aprovação
individual. Ao emitir um certificado digital,
a autoridade certificadora assina
digitalmente o certificado tornando-o
inviolável e ao mesmo tempo factível de
verificação quanto a sua integridade,
validade, aplicabilidade e identificação do
portador.

 O uso do certificado digital no
desenvolvimento de sistemas voltados
à rede mundial de computadores,
permite incorporar a estes sistemas
todas as características -como:
confidencialidade, integridade,
autenticidade e não-repúdio,
necessárias e fundamentais a
segurança e confiabilidade dos
mesmos.

 Programas de correio eletrônico e
navegadores para internet, como o
Microsoft Internet Explorer, o Netscape
Communicator e outros, já incorporam
funcionalidades para uso de criptografia e
certificado digital, realizando de forma
transparente ao usuário uma série de
facilidades como verificação de integridade
e validação de certificados, encriptação e
desencriptação de dados, entre outras.

Análise de RiscoAnálise de Risco
 Processo de identificação e
avaliação dos fatores de risco
presentes e de forma antecipada
no Ambiente Organizacional,
possibilitando uma visão do
impacto negativo causado aos
negócios.

Análise de RiscoAnálise de Risco
 Proporcional informação para que se possa
identificar antecipadamente o tamanho e o
tipo de investimentos necessários na
Organização causados pela perda ou
indisponibilidade dos recursos
fundamentais para o negócio.
 Sem este processo não é possível
identificar a origem das vulnerabilidades,
nem visualizar os riscos.

Análise de riscoAnálise de risco
 A empresa deve apontar o nível
de risco ao qual estará disposta
a correr. Este processo deve
possuir:
• Pontos vulneráveis do ambiente;
• Ameaças potenciais ao ambiente;
• Incidentes de segurança causado pela ação
de cada ameaça;

Análise de riscoAnálise de risco
•Impacto negativo para o negócio a
partir da ocorrência dos incidentes
prováveis de segurança;
•Riscos para os negócios a partir de
cada incidente de segurança;
•Medidas de proteção adequadas
para impedir ou diminuir o impacto
de cada incidente.

Importância da Análise de RiscoImportância da Análise de Risco
 Os maiores riscos são aqueles que
não vemos ou não conhecemos.
 A análise de risco é a peça
fundamental para a qualidade em um
Programa de Segurança, pois ajuda a
identificar os pontos críticos e falhos
de proteção em processos,
configurações e documentações.

Exemplo de questionamentoExemplo de questionamento
 Exemplo de questionamento a
serem feitos antes do
investimento:
•Que ativos devem ser protegidos?
•Quais ativos críticos deverão ter
proteção adicional?
•Quais serviços na rede deverão ser
disponíveis para os funcionários?
•Quem terá acesso a esses
serviços?

Exemplo de questionamentoExemplo de questionamento
•Quem devera conceder autorização
e privilégios para o acesso aos
sistemas?
•Que software permitir nas estações
de trabalho?
•Como proceder quando programas
não autorizados forem encontrados
nas estações?

AbrangênciaAbrangência
 Quanto maior o escopo de
avaliação, menor a possibilidade
de erros em virtude da
abrangência dos recursos
envolvidos.
 Alguns pontos de verificação:
 Controle de acesso aos sistemas
críticos da empresa;

 Análise de segurança das
estações de trabalhos;
 Análise da segurança física e
lógica dos servidores de rede
 Análise da segurança contra
contaminação por vírus
 Avaliação da configuração do
firewall X Política de Segurança

 Criptografia de dados
 Análise de Política de Backup
 Análise de segurança do acesso
físico aos locais críticos da
empresa
 Analise da existência de software
piratas na empresa

 Plano de contingência
 Análise da Infra estrutura básica
para processamento em caso de
contingência
 Análise de Política de Acesso dos
funcionários a Internet
 Política de Instalação de Software
nas estações e na rede
 Processo de conscientização de
funcionários.

AtivosAtivos
 Tudo que manipula direta ou
indiretamente uma informação.
 Um dos passos da Análise de Risco é
identificar todas as coisas que podem
ser afetadas por um problema de
segurança e que, neste caso,
precisam ser protegidas.

RiscoRisco
 O que é Risco ?
 É tudo que pode afetar nossos
negócios e impedir que alcancemos
nossos objetivos.
 Em segurança da informação, risco
corresponde a um grau de perda ou
a possibilidade de um impacto
negativo para o negocio.

Como Surgem Riscos ?Como Surgem Riscos ?
 Surgem em decorrência da presença
de fraquezas e, por conseguinte,
vulnerabilidade.
 As ameaças exploram as
vulnerabilidades existentes devido às
falhas de configuração ou
inexistência de medidas de proteção
adequadas.

Ciclo da Segurança da InformaçãoCiclo da Segurança da Informação
Medidas de
Segurança
Impacto nos
Negócios
Falha:
Integridade
Confidencialidade
Disponibilidade
Ameaças
Vulnerabilidade
InformaçãoNegócio
baseado
sujeita
permitem
comprometem
reduzem
causam
aumentam
diminuem
contém
protegem
aumentam
aumentam
aumentam
contém
RISCOS

VulnerabilidadeVulnerabilidade
 O que é vulnerabilidade?
 É o ponto onde o sistema é
suscetível a ataque.
 Identificar as vulnerabilidades é
um ponto importante para a
definição das medidas de
segurança adequadas.

VulnerabilidadeVulnerabilidade
 Riscos estão ligados ao nível
de vulnerabilidade que o
ambiente analisado possui,
pois para se determinar os
riscos, as vulnerabilidades
precisam ser identificadas.

VulnerabilidadesVulnerabilidades
 Como surgem as vulnerabilidades?
 Podem surgir da negligência por parte dos
administradores e a falta de conhecimento
técnico.
 Cada ambiente operacional pode possuir
diversas vulnerabilidades e uma
vulnerabilidade pode estar presente em
diversos ambientes operacionais.

Exemplos de vulnerabilidades físicasExemplos de vulnerabilidades físicas
 Falta de extintores;
 Salas de CPD mal projetadas;
 Falta de detectores de fumaça e de
outros recursos para combate a
incêndio;
 Instalações prediais fora do padrão;
 Instalações elétricas antigas e em
conjunto com a dos computadores.

Exemplos de vulnerabilidades naturaisExemplos de vulnerabilidades naturais
 Possibilidade de desastres naturais;
• Terremoto, maremoto, enchentes,
incêndio...
 Acúmulo de poeira, aumento de
umidade e de temperatura;

Exemplos de vulnerabilidades deExemplos de vulnerabilidades de
softwaresoftware
 Erros na instalação ou configuração;
 Falhas e/ou bugs de sistemas
operacionais;
 Falhas em programas que
implementas serviços de rede;
 Usuário e senha padrão.

Exemplos de vulnerabilidades mídiaExemplos de vulnerabilidades mídia
 Disquetes antigos com informações
importantes;
 Fita magnética de baixa qualidade;
 Relatórios e impressos podem ser
perdidos ou danificados;
 Radiação eletromagnética que pode
afetar diversos tipos de mídias
magnéticas;

Exemplos de vulnerabilidadesExemplos de vulnerabilidades
comunicaçãocomunicação
 Constantes falhas nos links;
 Tráfego de informação sem proteção
adicional;
 Perda de comunicação

Exemplos de vulnerabilidades humanaExemplos de vulnerabilidades humana
 Falta de treinamento
 Compartilhamento de informação
confidencial
 Não execução de rotinas de
segurança
 Falta de comprometimento dos
funcionários

Exemplos de vulnerabilidades - outrasExemplos de vulnerabilidades - outras
 Senhas fracas
 Falha de implementação de
segurança
 Deficiência na Política de Segurança
 Manuseio inadequado de informações
confidenciais/críticas

Vulnerabilidade X Incidente deVulnerabilidade X Incidente de
SegurançaSegurança
Vulnerabilidade
Clientes
Imagem
Produto
Incidente de Segurança
Negócio
possibilita
Afeta
Impacta
negativamente

ferramentassoftware documentação
hardware informação processos
Ativos críticos
Proteção
Política de
SegurançaFerramentas
Conscientização /
Comportamento
Medidas de
segurança
Perdas / danos
Incidente de
segurança
Ponto vulnerável
Ameaças externas Ameaças internas

Relação entre vulnerabilidade eRelação entre vulnerabilidade e
Medidas de proteçãoMedidas de proteção
 Medidas de proteção estão sujeitas a
terem vulnerabilidade. Enquanto que para
um conjunto de ocorrências (ameaças),
determinadas medidas de proteção são
adequadas, para outras não.
 Empresas devem buscar a melhor relação
entre custo beneficio, no momento de
definição de sua estratégia de segurança.

Incidentes de SegurançaIncidentes de Segurança
 Qualquer evento que prejudique o
bom andamento dos sistemas, das
redes ou do próprio negócio.
 As maiores ocorrências referentes a
incidentes de segurança estão dentro
das empresas.

 Como surgem?
 Por ação efetiva de uma
determinada ameaça através de
uma vulnerabilidade encontrada.

 Para cada ameaça, temos vários
incidentes de segurança, por
exemplo, um vírus:
• Lentidão na maquina afetada;
• Corrupção de um ou mais arquivos;
• Perda de informação;
• Parada de um sistema;
• Atrasos na entrega de um serviço
devido à indisponibilidade da
informação;

AmeaçasAmeaças
É fundamental
conhecer as ameaças
potenciais ao
ambiente da
empresa!

Medidas de SegurançaMedidas de Segurança
 Medidas de segurança são esforços
como procedimentos, software,
configurações hardware e técnicas
empregadas para atenuar as
vulnerabilidades, onde é importante
atentar para o nível de aceitação dos
riscos.

Qual a melhor medida deQual a melhor medida de
segurança?segurança?
 Modelos de segurança devem ser
preparados por profissionais
especializados na área, seguindo
fatores como o tipo do negócio,
estratégia, ambiente operacional,
cultura da empresa.

Medidas de segurança:Medidas de segurança:
 Política de Segurança;
 Criptografia forte;
 Certificação Digital;
 Controle de acesso;
 Segurança física;
 Backup;
 Plano de Contingência;
 Monitoração;

Medidas de segurançaMedidas de segurança
 Firewall;
 Segurança de roteadores;
 Filtros de conteúdos;
 Políticas de senha;
 Detecção de intrusão;

Medidas de segurançaMedidas de segurança
 Teste de invasão;
 Alertas;
 Treinamento/Conscientização
dos usuários;
 Auditoria;
 Antivírus.

Estratégias de SegurançaEstratégias de Segurança
 Medida Preventiva
 Medida Detectiva
 Medida Corretiva

Medida PreventivaMedida Preventiva
 Possui como foco a prevenção da
ocorrência de incidentes de
segurança. Todos os esforços estão
baseados na precaução.

Medida DetectivaMedida Detectiva
 Quando se tem a necessidade de obter
auditabilidade, monitoramento e detecção
em tempo real de tentativas de invasão.
 Exemplos de Monitoramento:
• Monitoração de ataques;
• Controle sobre recursos;
• Controle das atividades de usuários.
 Exemplos de Auditoria:
• Trilhas
• Documentação
• Log

Medida CorretivaMedida Corretiva
 Propor mecanismos para a
continuidade das operações.
 Exemplos:
• Plano de contingência;
• Recuperação das operações;
• Plano de continuidade de negócios.

AmeaçasAmeaças
 Ameaças são fatores/ocorrências que
podem violar sistemas e causar incidentes
de segurança.
 Existem diversos tipos de danos causados
pelas ameaças e incidentes, como:
• Revelações de informações;
• Destruição de informação ou de outros
recursos;
• Interrupção de serviços de rede;
• Modificação ou deturpação da informação;
• Roubo, remoção ou perda de informação ou de
outros recursos.

Como surgem as ameaçasComo surgem as ameaças
 A Internet é um importante veiculo de
negócios para as empresas e também para
a ação de ameaças.
 Versões de Sistemas Operacionais com
bug de segurança permitem que “agentes
externos” explorem estas vulnerabilidades.
 Ambientes computacionais diferentes,
níveis de informatização diferentes e
exigências de segurança também
diferentes, portanto ameaças diferentes.

Alguns tipos de AmeaçasAlguns tipos de Ameaças
 Existe uma enorme variedade de
ameaças provindas da Internet,
porem programas maliciosos
utilizados por vândalos e a
conscientização dos dirigentes das
organizações sobre a importância de
prover segurança, permitem o
surgimento e/ou enriquecimento das
ameaças.

AmeaçasAmeaças
 Ameaças Intencionais
 Ameaças Acidentais
 Ameaças Passivas
 Ameaças Ativas
 Comportamento Anti-social
 Ação Criminosa
 Outros tipos de ameaças

Ameaças IntencionaisAmeaças Intencionais
 São as que variam desde o uso de
técnicas e ferramentas simples até
os ataques mais sofisticados.

Ameaças AcidentaisAmeaças Acidentais
 Não estão associadas à intenção
premeditais, ocorrem por mero
desconhecimento, falta de
treinamento, falta de atenção etc.

Ameaças PassivasAmeaças Passivas
 Não resultam em qualquer
modificação nas informações.

Ameaças AtivasAmeaças Ativas
 Envolvem alteração da informação ou
modificação em seu estado ou operação.
 Exemplo:
• Vírus eletrônico;
• Funcionários insatisfeitos;
• Software pirata na empresa;
• Divulgação de senhas;
• Espionagem industrial;
• Sabotagem.

Comportamento Anti-socialComportamento Anti-social
 Paralisações e Greves;
 Piquetes;
 Invasões;
 Alcoolismo e Drogas;
 Falta de espírito de equipe;
 Inveja pessoal/profissional;
 Rixas entre funcionários, setores,
gerências, diretorias.

Ação CriminosaAção Criminosa
 Furtos e Roubos;
 Fraudes;
 Sabotagem;
 Terrorismo;
 Atentados;
 Seqüestros;
 Espionagem Industrial;
 Engenharia Social.

Tipos de ameaçasTipos de ameaças
 Catástrofes;
 Falha de energia elétrica;
 Pane nos equipamentos de comunicação;
 Pane nos sistemas de informações;
 Pane na rede;
 Problema nos sistemas operacionais;
 Problemas nos sistemas corporativos;

Tipos de ameaçasTipos de ameaças
 Erros de usuarios;
 Erros em Backups;
 Uso inadequado dos sistemas;
 Manipulação errada de arquivos;
 Treinamento insuficiente;
 Ausência/Demissão de Funcionário;
 Estresse/Sobrecarga de trabalho;
 Equipe de limpeza.

Internas X ExternasInternas X Externas
 Ameaças Internas
 Estão presentes no dia-a-dia das empresas,
sendo prejudicial ao seu negócio.
 Exemplos:
 Fraudes cometidas por funcionários;
 Roubo de informações;
 Erros Humanos;
 Treinamento Inadequado;
 E-mail;
 Vírus;
 Cavalo de Tróia;
 Sobrecarga de energia elétrica;

Internas X Externas – IIInternas X Externas – II
 Ameaças Internas - II
 Pirataria;
 Ameaças ambientais (Térmicas, umidades, poeira,
radiações, ruído, vapores, gases corrosivos, fumaça,
magnetismo, trepidação, enchentes, incêndio)
 Vírus: São programas que se inserem dentro de outros,
podendo ser classificados em:
• Vírus de Programas;
• Vírus de Macro;
• Vírus de Sistemas.
 Cavalo de tróia: Não são considerados vírus nativos, pois
não se duplicam e tampouco contaminam outros
programas. Cavalo de tróia, são verdadeiras portas de
acesso ao conteúdo do computador.

Ameaças ExternasAmeaças Externas
 Hacker;
 Cracker;
 Phreaker;
 Lammer;
 Ex-funcionários;

Avaliação do Nível deAvaliação do Nível de
Segurança de AmbienteSegurança de Ambiente
 Identificação de Recursos
Envolvidos:
 O que deve ser analisado no
ambiente computacional?

Análise do AmbienteAnálise do Ambiente
 Um ambiente computacional é
composto, dentre outras coisas,
de um conjunto de recursos que
uma empresa utiliza para ter os
seus negócios funcionando.

 Ao ser analisado o ambiente
computacional, deve-se
considerar todos os recursos
envolvidos na operação da
empresa, suas necessidades,
complexidade e abrangência,
pois existem ambientes,
empresas e necessidades
diferentes.

 Independente das necessidades,
deve ser feita uma relação dos
equipamentos, sistemas,
informações, processos críticos
que deverão ter uma atenção
especial, assim como suas
prioridades.

Exemplos da análise no ambienteExemplos da análise no ambiente
computacional:computacional:
 Nível de eficiência e adequação
do backup;
 Controle de acesso à rede;
 Segurança contra vírus;
 Serviços disponíveis X
necessidades;
 Segurança do acesso remoto;

Exemplos da análise no ambienteExemplos da análise no ambiente
computacional:computacional:
 Documentação dos Sistemas;
 Instalação elétrica;
 Acesso a Internet;
 Segurança no roteador;
 Plano de contingência;
 Adequação e uso da Política de
Segurança.

Software para análiseSoftware para análise
 Uma vez definido, a utilização de um
software para análise e filtragem dos
dados relacionados, torna-se muito
importante para que o mesmo possa
direcionar e disponibilizar os dados
para futura análise.

Coleta de dadosColeta de dados
 Aspectos Importantes a serem
considerados:
 A coleta de dados tem como objetivo obter
o conhecimento das medidas atuais de
segurança adotadas pela empresa da
estrutura analisada, portanto deve ser
feita com muito critério e atenção. São
informações importantes que serão
utilizadas durante o processo de análise.

Material para a coleta dos dadosMaterial para a coleta dos dados
 O material a ser utilizado para a
coleta de dados é um tipo de
check-list. Este material pode ser
disponibilizado por vários
softwares específicos de controle
de segurança.

 Estes sistemas devem disponibilizar
todas as informações que são
importantes, serem verificadas para
avaliar o nível das medidas de
segurança dos sistemas, segurança
lógica, segurança física,
infraestrutura do ambiente,
documentação e comunicação de
dados/telecomunicações.

 Quando for iniciado a análise
deve ser considerado, por
exemplo, o Sistema Operacional,
pois pode existir vários modelos
de análise diferentes para um
mesmo assuntos, porém para
sistemas operacionais diferentes.

Coleta de dadosColeta de dados
 Independente de a empresa possuir
ou não alguma medida de proteção
implementada, a coleta de dados
deverá ser efetuada segundo o que
foi definido como diretriz para este
trabalho, devendo espelhar a
situação real e atual dos controles
então existentes.

Disponibilizando material paraDisponibilizando material para
coleta de dadoscoleta de dados
 Após definidos os pontos a serem
analisados, deverá ser definido as
ameaças que podem afetar ou causar
algum incidente de segurança em algum
recurso que esteja envolvido com os
pontos que serão analisados. Em seguida,
devem ser identificadas as
vulnerabilidades que serão exploradas
pelas ameaças e por fim, deverá ser
verificado o nível de eficiência das
medidas de segurança adotadas pela
empresa com o intuito de diminuírem o
nível de exposição às vulnerabilidades.

Disponibilizando material paraDisponibilizando material para
coleta de dadoscoleta de dados
 As informações serão levantadas
através de um documento
denominado check-list, que é
utilizado para alimentar uma base de
dados do aplicativo em uso. As
informações a serem levantadas,
deverão ser feitas através de
entrevistas com os responsáveis e
usuários dos processos ou
averiguação in-loco.

Segurança Física - BackupSegurança Física - Backup
 O backup é uma importante
atividade no processo de segurança
dos dados de uma empresa. Apesar
de ser uma atividade rotineira, o
backup deve ser efetuado com
consciência e com muita atenção,
pois no caso de incidente, é esta
atividade que devolverá os processos
a normalidade.

Estratégia de backupEstratégia de backup
 Aspectos que a empresa deve ater
no momento em que estiver
definindo a sua estratégia de
backup:
 Que sistema deve ser feito backup?
 Que informações deve ser feita
backup?
 Qual a periodicidade de execução do
backup de cada sistema?

Estratégia de backupEstratégia de backup
 Qual a periodicidade dos testes do
backup?
 Como deve ser documentado o backup?
 Qual o tipo de mídia deve ser utilizado?
 Como deve ser o local de armazenamento
das mídias do backup?
 Que software pode ser utilizado para
realizar o backup?
 Que tipo de mídia ele suporta?
 Pode ser gerenciado remotamente de
forma segura?

PeriodicidadePeriodicidade
 A periodicidade do backup é um
aspecto muito importante quando é
tratado a segurança de dados de
uma empresa. É importante que a
área de informática assessore os
Gestores dos Processos a identificar
a periodicidade mais adequada do
backup de sua área em função do
grau de vulnerabilidade e
disponibilidade do negócio.

Controle de acesso físicoControle de acesso físico
 Acesso à sala dos servidores
 É comum funcionários de outros
setores entrarem no Departamento
de Informática. Este local, é utilizado
por muitas empresas como salas de
acondicionamento de servidor,
portanto seu acesso deve ser muito
bem fiscalizados.

No-BreakNo-Break
 Equipamentos como servidores, de
comunicações, de estações críticas
devem sempre estar protegidos por
no-break.

Processo de saída deProcesso de saída de
equipamentos da empresaequipamentos da empresa
 Existem diversas formas de se
roubar equipamentos das empresas.
Quando um microcomputadores ou
um simples HD é roubado, vão junto
as informações. O vazamento das
informações muitas vezes é a parte
mais crítica na questão de roubo de
equipamentos.

CabeamentoCabeamento
 Passar cabo de dados de qualquer
maneira é querer problemas. São
numerosos os casos de empresas
que, crente que “cabo é cabo”,
contratam firmas não credenciadas
para instalar ou expandir a rede.
Isso pode gerar uma série de
problemas e até mesmo um desgaste
político interno e externo.

 Empresas devidamente credenciadas
para efetuar projetos de cabeamento
estruturado de acordo com a norma
EIA/TIA 568 fornecem uma
tranqüilidade tanto de bom
funcionamento da rede quanto da
sua expansibilidade.
 Questões importantes a serem
verificadas no cabeamento:
 Utilizar tubulação adequada para
todo o cabeamento da rede;

 Manter um cabeamento de
reserva para as conexões mais
importantes;
 Permitir somente pessoal
capacitado para manusear o
cabeamento da empresa, ou
contratar somente empresas
especializadas em cabeamento
estruturado.

Segurança LógicaSegurança Lógica
 Senhas
 Um usuário com senha fraca, pode
ser considerado uma grande
vulnerabilidade, colocando em risco a
segurança de todos os sistemas.
 Senha Fraca
 Senha Forte

Senha FracaSenha Fraca
 São senhas consideradas inseguras e
fáceis de quebrar, como por
exemplo, nome, apelido, telefone,
placa do carro, etc...

Senha forteSenha forte
 Para serem consideradas seguras, as
senhas devem conter no mínimo:
• Letras maiúsculas e minúsculas;
• Dígitos e/ou sinais de pontuação;
• Tenham no mínimo sete caracteres
alfanuméricos;
• Duas palavras pequenas agrupadas por
um dígito ou um caractere especial;
• Sejam fáceis de lembrar, para não
serem escritas;

Senha forteSenha forte
 Como lembrar de uma senha
forte?
•Frase
•Caminho

Periodicidade de Troca de SenhaPeriodicidade de Troca de Senha
 A probabilidade de descoberta de
uma senha aumenta com o passar
do tempo.

Tamanho das SenhasTamanho das Senhas
 O tamanho da senha é um fator que
pode facilitar ou dificultar pessoas
mal intencionadas a descobrirem a
senha

Tipo de senhaTipo de senha
 Conscientizar os funcionários da
importância de se utilizar uma senha
forte e implementar mecanismos
para o uso de senhas fortes no
Sistema Operacional é uma prática
imprescindível para qualquer
empresa, Sistema Operacional ou
negócio.

Controle de acesso lógicoControle de acesso lógico
 Bloqueio de estações de trabalho
Evita que pessoas mal intencionados
verifiquem informações estratégicas
e/ou confidenciais.

 Acesso aos Diretórios / Pasta do
Servidor
O compartilhamento é um recurso
importante quando se fala em
agilidade e praticidade. Dessa forma
é importante verificar quem deve ter
acesso a determinados recursos e
que tipo de acesso eles devem ter.

 Controle do Servidor
Para evitar acidentes, é
recomendado que o console do
servidor fique sempre travado com
senhas de proteção.

ContasContas
 Acesso
Nenhuma conta pode ter acesso
concorrente.
 Contas de Shutdown (local x remoto)
Atribuir shutdown somente para
administradores e pessoas
permitidas.

ContasContas
 Validade das contas de terceiros
Todo funcionário contratado
(terceiro) tem um período de
permanência na empresa. Esta conta
deve ser sempre renovada ou
retirada no final deste período.

ContasContas
 Bloqueio de conta por tentativa mal
sucedida
Implantar um número máximo
permitido de tentativas malsucedidas
de acordo com o estabelecimento na
Política de Segurança da empresas.

ContasContas
 Desbloqueio da conta superusuário
A conta superusuário é uma conta
muito visada por ter total
visão/acesso e poderes na rede,
portanto esta conta nunca em
nenhuma hipótese pode ser
bloqueada.

ContasContas
 Conta Guest/Anonymous
A conta de convidados ou anônimo
pode dificultar a identificação perante
um ataque ou tentativa de fraude
pelo fato de não ser um conta
pessoal.

Segurança Redes UTP

Recomendados

Recomendados

Mais conteúdo relacionado

Mais procurados

Mais procurados (20)

Destaque

Destaque (20)

Semelhante a Segurança Redes UTP

Semelhante a Segurança Redes UTP (20)

Segurança Redes UTP