3º Ano TIC         Hélio Martinshttp://www.dei.isep.ipp.pt/~hmm
Sumário                       Introdução   Segurança de Sistemas Informáticos   Propriedades de um Sistema Seguro   P...
Introdução                              Organizações                         Sociedade   Empresas                        ...
Segurança de SistemasInformáticos                      A segurança de sistemas informáticos é um tema vasto que não envo...
Segurança de um     Sistema Informático               A segurança de um sistema informático pode ser  entendida como o c...
Segurança de SistemasInformáticos                         Nível de segurança de um Sistema Informático deve-se ter em co...
Propriedade de Sistemas          Seguros                          Um sistema informático seguro deve apresentar as seguin...
Propriedade de Sistemas          Seguros                          Autenticação: validação da identidade de um  utilizado...
Politica de Segurança               A política de segurança de uma organização deve garantir  que são implementadas as s...
Política de Segurança  Princípios Fundamentais                            Autorização: existência de regras específicas ...
Politica de Segurança       Plano de Segurança                           Uma política de segurança deve ser concretizada...
Politicas de Segurança     Plano de Contingência                               Um plano de contingência poderá prever a ...
Segurança Física                 Problemas     Catástrofes (ex: incêndios, inundações)     Roubos de Equipamentos    ...
Segurança Física                 Segurança do Pessoal: reduzir os riscos de erros  humanos, fraudes ou má utilização de ...
Segurança Lógica                Problemas     Ataques (ex: hackers)     Códigos Maliciosos     Captura ou quebra de s...
Ataques                                         Sistema Informático                                              Missão  ...
Ataques                    Tipos                         Acesso não Autorizado: utilizando informação deautenticação de ...
Ataques       Métodos de Operação                        Um ataque a um sistema informático desenvolve-senormalmente em ...
Ataques            Métodos de Operação                              Cavalos de Tróia: programa que aparentemente se dest...
Ataques             Tipos de Missões                          Activas: afectam a integridade da informação ouindisponibi...
Conclusões                   Um sistema seguro é um sistema que obedece as  propriedades de um sistema seguro.     Conf...
Conclusões                  Planos de Segurança devem ser estabelecidos para  garantir a segurança. Existem tipos de si...
Próximos SlideShares
Carregando em…5
×

T aula3-politicas de segurança

527 visualizações

Publicada em

0 comentários
0 gostaram
Estatísticas
Notas
  • Seja o primeiro a comentar

  • Seja a primeira pessoa a gostar disto

Sem downloads
Visualizações
Visualizações totais
527
No SlideShare
0
A partir de incorporações
0
Número de incorporações
94
Ações
Compartilhamentos
0
Downloads
33
Comentários
0
Gostaram
0
Incorporações 0
Nenhuma incorporação

Nenhuma nota no slide

T aula3-politicas de segurança

  1. 1. 3º Ano TIC Hélio Martinshttp://www.dei.isep.ipp.pt/~hmm
  2. 2. Sumário  Introdução Segurança de Sistemas Informáticos Propriedades de um Sistema Seguro Politicas de Segurança Segurança física e lógica Ataques
  3. 3. Introdução  Organizações Sociedade Empresas da Informação IntegradasAs empresas e organizações dependem cada vez mais dos sistemas informáticos para gerirem as suas actividades e para terem capacidade de decisão e intervenção.O valor da Informação processada por esses sistemas é cada vez maior. Consequentemente, a manutenção da segurança de um sistema informático é um aspecto crítico na especificação, desenvolvimento e exploração desse sistema. 3
  4. 4. Segurança de SistemasInformáticos A segurança de sistemas informáticos é um tema vasto que não envolve apenas questões de natureza técnica (o factor humano é sempre um dos aspectos mais sensíveis em termos de segurança, em qualquer contexto).A segurança de sistemas informáticos não lida apenas com acções intencionais maliciosas de natureza criminal mas também com aspectos que têm a ver com acidentes, desastres naturais e falhas técnicas. 4
  5. 5. Segurança de um Sistema Informático  A segurança de um sistema informático pode ser entendida como o conjunto de medidas que visam a protecção desse sistema contra ameaças que afectem a as propriedades de um sistema seguro. As ameaças a que o sistema está sujeito podem ser devidas a:  Acções deliberadas: fraudes ou ataques de hackers.  Acções acidentais: erros humanos ou técnicos (p.e. falha de energia), desastres naturais.As ameaças à segurança procuram uma vulnerabilidade dosistema para a qual deve ser procurada uma salvaguarda
  6. 6. Segurança de SistemasInformáticos Nível de segurança de um Sistema Informático deve-se ter em conta:  Riscos associados a falhas de segurança.  Custos de implementação dos mecanismos de segurança.  Benefícios dos mecanismos de segurança.Os mecanismos de segurança adoptados para atingir um determinado nível de segurança constituem a política de segurança.Uma política de segurança (RFC 2196) é um conjunto de regras formais que estabelecem os procedimentos a seguir pelos utilizadores dos recursos informáticos de uma organização. 6
  7. 7. Propriedade de Sistemas Seguros Um sistema informático seguro deve apresentar as seguintespropriedades : Confidencialidade: a informação deve ser disponibilizada apenas segundo critérios rigorosos; Integridade: a informação não pode ser destruída nem corrompida, de forma a que o sistema execute as suas funções correctamente; Disponibilidade: os serviços oferecidos pelo sistema devem estar disponíveis sempre que tal for necessário.
  8. 8. Propriedade de Sistemas Seguros  Autenticação: validação da identidade de um utilizador, dispositivo ou processo (verificar se uma entidade é quem afirma ser); Controlo de Acesso: impedir acesso não autorizado a um recurso; Não repudiação: impedir que uma entidade negue a execução de uma determinada acção.
  9. 9. Politica de Segurança  A política de segurança de uma organização deve garantir que são implementadas as salvaguardas que reduzam as probabilidades de as ameaças terem sucesso. Características de uma Política de Segurança:  Ser clara quanto aos objectivos.  Garantir o apoio e sensibilização dos responsáveis máximos da organização.  Ser conhecida por todos os elementos da organização.  Definir os papéis dos diversos níveis da organização.  Especificar as consequências do não cumprimento das regras estabelecidas.  Deve estar apoiada em manuais de segurança.
  10. 10. Política de Segurança Princípios Fundamentais  Autorização: existência de regras específicas que definam quem deve ter acesso a cada recurso do sistema; Privilégios mínimos: apenas devem ser concedidos aos utilizadores os privilégios necessários para a execução das suas tarefas. Separação de tarefas: deve existir uma distinção clara entre as tarefas dos vários utilizadores de forma a evitar fraudes ou erros. Redundância: este princípio aplica-se aos recursos e à informação (ex: existência de backups).
  11. 11. Politica de Segurança Plano de Segurança  Uma política de segurança deve ser concretizada em termos de planos de segurança; Cada plano de segurança é descrito recorrendo a um manual de segurança. Os planos de segurança devem ser revistos e testados periodicamente (ex: simulando a ocorrência de falhas). Cada plano de segurança deve ter um responsável. Deverão ser considerados planos de recuperação, planos de reposição e planos de contingência (e respectivos manuais).
  12. 12. Politicas de Segurança Plano de Contingência  Um plano de contingência poderá prever a necessidade de recorrer a instalações alternativas que funcionarão como reserva das instalações informáticas principais (ex. para o caso de um incêndio). Centros de Informática de Emergência:  Cold Center - instalações sem equipamento mas dotadas de todas as infraestruturas básicas para que possa ser montado um centro de informática (cabos de rede, linhas telefónicas, etc).  Warm Center - para além das infraestruturas presentes num cold center possui sistemas e equipamentos de recurso capazes de assegurar uma funcionalidade mínima.  Hot Center - instalações informáticas totalmente equipadas e operacionais e que podem de imediato substituir o centro de informática
  13. 13. Segurança Física  Problemas  Catástrofes (ex: incêndios, inundações)  Roubos de Equipamentos  Falta de energia  Acesso Indevido Soluções  Controle de Acesso  Temperatura e clima  Energia  Detecção e combate de catástrofes  Monitoramento
  14. 14. Segurança Física  Segurança do Pessoal: reduzir os riscos de erros humanos, fraudes ou má utilização de recursos.  Recrutamento;  Formação dos utilizadores;  Resposta a incidentes; Segurança das Instalações: estabelecer requisitos a que devem obedecer as instalações, impedir acessos não autorizados, impedir danos nos equipamentos.  Localização e estrutura dos Centros de Informática;  Áreas de segurança;  Segurança do equipamento
  15. 15. Segurança Lógica  Problemas  Ataques (ex: hackers)  Códigos Maliciosos  Captura ou quebra de senhas  Perda ou corrupção de dados Soluções  Politicas de segurança e privacidade  Firewall  Criptografia  Certificação  Assinatura Digital  Redundância de informação (ex: Backup, versões)
  16. 16. Ataques  Sistema Informático Missão Método de Alvo Motivação Operação Criminoso ProvocaUm ataque a um sistema é levado a cabopor alguém (criminoso informático) comuma motivação determinada e que usa ummétodo de operação (explora uma Danos novulnerabilidade). SistemaO ataque consiste numa missão (p.e.destruir dados) com um alvo a atingir (p.e.base de dados). 16
  17. 17. Ataques Tipos  Acesso não Autorizado: utilizando informação deautenticação de um utilizador (p.e. uma password). Ataques por imitação: fazer passar um utilizador ousistema por outro (spoofing ou reply attacks) Disrupção (Negação) de serviço (DoS – “Denial ofService”): impedir o funcionamento de um sistema cominterrupção dos serviços disponibilizados. 17
  18. 18. Ataques Métodos de Operação  Um ataque a um sistema informático desenvolve-senormalmente em três etapas:O método de ataque é colocado no sistema(p.e. uma conta privilegiada); O ataque é desencadeado (provavelmente apósdecorrido algum tempo); A missão é levada a cabo. 18
  19. 19. Ataques Métodos de Operação  Cavalos de Tróia: programa que aparentemente se destina a executar uma função útil no sistema mas que contém funções não visíveis destinadas a concretizar uma ameaça de segurança usando os privilégios do utilizador que o executa. Vírus: programa que se associa a um programa “hospedeiro” deforma a que quando este executa o vírus também executa; as acçõesdesencadeadas por um vírus podem ter vários níveis de gravidade. Worms: programas que se autopropagam, fazendo cópias de sipróprios, conseguindo disseminar-se numa rede de computadores. “Bombas-relógio”: programas destinados a executar num diae hora determinados desencadeando, por exemplo, uma acção desabotagem no sistema. 19
  20. 20. Ataques Tipos de Missões  Activas: afectam a integridade da informação ouindisponibilizam serviços do sistema;Passivas: violam a confidencialidade da informaçãosem afectar a sua integridade;Negação de serviço: tornam o sistema indisponívelaos seus utilizadores;Roubo de recursos: p.e. uso de uma conta alheiapara e-mail. 20
  21. 21. Conclusões  Um sistema seguro é um sistema que obedece as propriedades de um sistema seguro.  Confidencialidade  Integridade  Disponibilidade  Autenticação  Controlo de Acesso  Não repudiação
  22. 22. Conclusões  Planos de Segurança devem ser estabelecidos para garantir a segurança. Existem tipos de sistemas que dão mais importância a certas propriedades (e.g. sistemas de tempo real) Planos de contingência devem ser implementados Devemos sempre conhecer os novos tipos de ataques para ter uma melhor protecção.

×