ROBERSON AFONSO NAVES WILLIAN RICARDO PIRES

POLTICAS DE SEGURANA DA INFORMAO EM UMA EMPRESA

MOCOCA 2006

ROBERSON AFONSO NAVES WILLIAN RICARDO PIRES

POLTICAS DE SEGURANA DA INFORMAO EM UMA EMPRESA

Projeto de Trabalho de Concluso de Curso apresentado as Faculdades da Fundao de Ensino de Mococa para obteno do ttulo de BACHARELADO EM CINCIA DA COMPUTAO. Orientador: Professor Eduardo Fernandes Mendes Co-Orientador: Professo Luiz Carlos Levada

MOCOCA 2006

ROBERSON AFONSO NAVES WILLIAN RICARDO PIRES

POLTICAS DE SEGURANA DA INFORMAO EM UMA EMPRESA

Esta monografia foi julgada adequada obteno do grau de Bacharelado em Cincia da Computao e aprovada em sua forma final pelo Curso de Cincias da Computao das Faculdades da Fundao de Ensino de Mococa. Mococa So Paulo, 05 de Dezembro de 2006.

______________________________________________________ Prof. Luiz Carlos Levada Faculdades da Fundao de Ensino de Mococa ______________________________________________________ Prof. Marcelo Prinholato Faculdades da Fundao de Ensino de Mococa ______________________________________________________ Prof. Jos Cortz Faculdades da Fundao de Ensino de Mococa

Roberson Afonso Naves Dedico esse trabalho a meus pais Sebastio e Lucimeire e principalmente a minha noiva Lucinia por abdicarem de minha companhia a fim da realizao do mesmo no qual, sem o empenho de meu amigo Willian e dos professores Ktia, Levada e Eduardo, no teria se concretizado. Willian Ricardo Pires Dedico esse trabalho a meus pais Mariolino e Isabel por incentivar e apoiar em todo tempo meus estudos e a realizao deste trabalho, no qual sem o empenho de meu amigo Roberson e dos professores Levada, Ktia e Eduardo o mesmo no teria se concretizado.

RESUMO
O principal objetivo deste trabalho propor normas de segurana para sanar problemas relativos e informar usurios e administradores de redes quanto ao risco de ataques, como vrus, engenharia social, entre outros, no ambiente corporativo assim maximizando o nvel de conscientizao de seus colaboradores quanto a confidencialidade, integridade e disponibilidade da informao acumulada pela corporao.

ABSTRACT
The main objective of this work is to consider security norms to cure relative problems and to inform users and administrators of nets how much to the risk of attacks, as virus, social engineering, among others, in the corporative environment thus maximizing the level of awareness of its collaborators how much the confidencialidade, integrity and availability of the information accumulated for the corporation.

SUMRIO
INTRODUO .......................................................................................................... 10 CAPTULO 1 - POLTICA DE SEGURANA EM SISTEMAS OPERACIONAIS DE ESTAES DE TRABALHO..................................................................................... 12 1.1 INTRODUO ............................................................................................. 12 1.2 PROPSITO ................................................................................................ 12 1.3 ESCOPO ...................................................................................................... 13 1.4 POLTICA ..................................................................................................... 13 1.4.1 WINDOWS 95: ......................................................................................... 13 1.4.2 WINDOWS 98: .......................................................................................... 13 1.4.3 WINDOWS NT 4 PROFESSIONAL:.......................................................... 14 1.4.4 WINDOWS 2000 PROFESSIONAL: ......................................................... 14 1.4.5 WINDOWS XP: ......................................................................................... 15 CAPTULO 2 - POLTICA DE SEGURANA EM SISTEMAS OPERACIONAIS EM SERVIDORES ........................................................................................................... 17 2.1 INTRODUO ............................................................................................. 17 2.2 PROPSITO ................................................................................................ 19 2.3 ESCOPO ...................................................................................................... 19 2.4 POLTICA ..................................................................................................... 19 2.4.1 WINDOWS NT 4 SERVER........................................................................ 19 2.4.2 SERVIDORES WINDOWS 2000/2003 SERVER ...................................... 20 2.4.3 SERVIDORES UNIX-LIKE ........................................................................ 21 2.4.4 CONFIGURAES GERAIS .................................................................... 22 2.4.5 MONITORAMENTO .................................................................................. 22 CAPTULO 3 - POLTICAS DE SENHAS .................................................................. 24 3.1 AVALIAO ................................................................................................. 24 3.2 PROPSITO ................................................................................................ 24 3.3 ESCOPO ...................................................................................................... 24 3.4 POLTICA ..................................................................................................... 24 CAPTULO 4 CONSCIENTIZAO DOS USURIOS ........................................... 26 4.1 PROPSITO ................................................................................................ 26 4.2 AFAZERES GERAIS .................................................................................... 26 4.3 DADOS ........................................................................................................ 27 4.4 COMPUTADORES PORTTEIS ................................................................. 27 4.5 VRUS .......................................................................................................... 27 4.6 E-MAILS ....................................................................................................... 28 4.7 ACESSO REMOTO...................................................................................... 28 4.8 SOFTWARE ................................................................................................. 28 4.9 PROIBIES GERAIS ................................................................................ 29 4.10 COMPUTADORES PESSOAIS.................................................................. 30 CAPTULO 5 BACKUP DE DADOS ....................................................................... 31 5.1 INTRODUO ............................................................................................. 31

5.2 PROPSITO ................................................................................................ 31 5.3 ESCOPO ...................................................................................................... 31 5.4 POLTICA ..................................................................................................... 31 5.5 EXEMPLOS ................................................................................................. 32 CAPTULO 6 - FIREWALL ........................................................................................ 36 6.1 PROPSITO ................................................................................................ 36 6.2 ESCOPO ...................................................................................................... 36 6.3 POLTICA ..................................................................................................... 36 6.4 DMZ ............................................................................................................. 40 CAPITULO 7 - ATAQUES ......................................................................................... 41 7.1 INTRODUO ............................................................................................. 41 7.2 TIPOS DE ATAQUES .................................................................................. 42 7.2.1 TROJAN HORSE ...................................................................................... 42 7.2.2 FLOOD ...................................................................................................... 42 7.2.3 NUKE ........................................................................................................ 43 7.2.4 IP SPOOFING ........................................................................................... 44 7.2.5 DNS SPOOFING ....................................................................................... 46 7.2.6 SOURCE ROUTING ATTACK .................................................................. 47 7.2.7 SNIFFERS ................................................................................................ 48 7.2.8 VRUS ....................................................................................................... 49 CAPTULO 8 - ENGENHARIA SOCIAL .................................................................... 50 8.1 INTRODUO ............................................................................................. 50 8.2 PROPSITO ................................................................................................ 50 8.3 ESCOPO ...................................................................................................... 51 8.4 CONSIDERAES FINAIS ......................................................................... 51 CAPTULO 9 SEGURANA FSICA ...................................................................... 52 9.1 INTRODUO ............................................................................................. 52 9.2 POLTICA ..................................................................................................... 53 9.3 CABEAMENTO ESTRUTURADO ................................................................ 53 CAPTULO 10 CONCIDERAES FINAIS ........................................................... 55 REFERNCIAS BIBLIOGRFICAS .......................................................................... 56

LISTA ILUSTRAES
Ilustrao 1 Grfico demonstrativo anual dos incidentes relacionados segurana (Fonte CAIS) ............................................................................................................. 11 Ilustrao 2 Unidade de Backup em Fita 8 mm Sony Backup AIT 1 uso externo 34 Ilustrao 3 Unidade de Backup em Fita 8 mm Sony Backup AIT uso interno ...... 34 Ilustrao 4 Modelo de Rede com Firewall............................................................. 37 Ilustrao 5 Appliance Barracuda IM Firewall ........................................................ 38 Ilustrao 6 Appliance Sonic Wall Pro 4060 ........................................................... 38 Ilustrao 7 Exemplo de Script de Firewall escrito em Iptables para rodar em S.O. Linux .......................................................................................................................... 39 Ilustrao 8 Exemplo de uso de DMZ em uma rede com servidores Web ............. 40

LISTA TABELA
Tabela 1 Plataformas e seus S.O.s ....................................................................... 18

10

INTRODUO
Atualmente todas as empresas possuem problemas com a segurana de suas informaes, principalmente desde a difuso da Internet e das tecnologias a ela agregadas. No entanto, a utilizao de polticas de segurana minimiza a possibilidade do vazamento externo e interno de tal informao. Este Trabalho de Concluso de Curso prope implantar mecanismos, a fim de minimizar os riscos que as informaes digitais de uma empresa de forma global correm atravs de ms ou de nenhuma poltica de segurana da informao. Desta forma aplicando-se a todas as tecnologias por elas utilizadas, sejam elas j ultrapassadas, para empresas que no disponibilizam de muitos recursos, ou grandes empresas que investem em tecnologias mais atuais, defesas contra usurios mal intencionados externos ou internos. Segurana so procedimentos para minimizar vulnerabilidades de bens (qualquer coisa de valor) e recursos, onde vulnerabilidade qualquer fraqueza que pode ser explorada para violar um sistema ou as informaes que ele contm. (Soares 1995, p.448). No passado uma necessidade apenas nas grandes empresas, alvos de ataques cibernticos dirigidos e causadores de grandes prejuzos financeiros, a segurana da informao agora uma preocupao das pequenas e mdias. Segurana tornou se no a maior, uma das grandes prioridades de projetos de informtica nesse segmento, englobando tambm atualizaes em estaes de trabalho locais, servidores e regras de utilizao da rede visando tambm sua segurana contra ataques internos. possvel que uma empresa tenha 100% de suas informaes digitais em segurana? Que ela absorva, atravs de seu material humano, regras padronizadas eficientes para garantir a preservao de seus dados digitais?

11

Ilustrao 1 Grfico demonstrativo anual dos incidentes relacionados segurana (Fonte CAIS)

Que suas redes de dados, sejam elas, ethernet, wireless, VPN ou via satlite, tenham grande resistncia a ataques externos e que tambm prioriza a preveno de vazamento de informaes digitais internas? possvel que os dados fiquem totalmente imunes a perdas por conta de hardware defeituoso ou ainda, mau uso por parte dos usurios internos e externos. Com polticas de segurana de dados digitais rigorosamente cumpridas, se minimiza quase que totalmente, o risco de uso indevido ou perda destes dados to vitais para o bom andamento e lucratividade de uma empresa. O controle total dos dados que adentram em suas redes minimiza o risco de invases e introduo de softwares maliciosos. A ps-anlise de tudo que entra, circula e sai da empresa atravs de suas redes de dados, ajuda na constante melhoria da segurana, j que a internet, a rede e a valorizao da informao alheia no param de crescer.

12

CAPTULO 1 - POLTICA DE SEGURANA EM SISTEMAS OPERACIONAIS DE ESTAES DE TRABALHO

1.1 INTRODUO Estaes de trabalho so todos os computadores, utilizados por funcionrios, que no fazem o papel de servidor de algum tipo de dado. As estaes de trabalho de uma rede so itens geralmente ignorados durante um processo de segurana, mas de vital importncia. Com a grande incidncia de vrus e similares, tornam-se essenciais mtodos de controle cada vez mais eficazes. Estao de trabalho (do ingls Workstation) o nome genrico dado a computadores situados, em termos de potncia de clculo, entre o computador pessoal e o computador de grande porte, ou mainframe. (Wikipdia) 1.2 PROPSITO O Propsito desta Poltica definir padres de configurao e instalao de atualizaes bsicas a serem efetuadas nas estaes de trabalho da empresa a fim de minimizar as vulnerabilidades dos Sistemas Operacionais Microsoft, assim, por sua vez, evitando tambm o acesso no autorizado a recursos da rede corporativa por softwares ou usurios mal intencionados. As atualizaes de S.O.s e Softwares Microsoft podem ser disponibilizadas na forma de Paths, Service Packs e Post-Service Pack Security Patches. Paths so atualizaes desenvolvidas com o objetivo de sanar algum problema de um software, no caso, o S.O. Geralmente so disponibilizados, no caso da Microsoft, logo aps o lanamento de um S.O. Service Packs so pacotes de Paths com atualizaes desenvolvidas com o objetivo de minimizar erros dos S.O.s e Softwares. Atualmente o Windows NT conta com o Service Pack 6, o Windows 2000 com o SP4 e o XP com SP2.

13

Post-Service Pack Security Patches atualizaes que so disponibilizadas logo aps os Service Packs para sanar falhas que o mesmo no resolveu. A Microsoft no fornece mais suporte e novas atualizaes para os Windows 98, 98 SE (Second Edition) e Windows ME (Millenium Edition) desde 11 de Julho de 2006. O NT Workstation teve seu suporte e atualizaes descontinuados em 30 de Junho de 2004. 1.3 ESCOPO Esta poltica fixa um padro na empresa de sistemas clientes a serem instalados na empresa, onde todos os clientes Windows incluem: Windows 95 e 98, Windows NT4, Windows 2000 e Windows XP. No devem ser instalados Computadores Linux como estao de trabalho ao menos que haja uma necessidade empresarial. As plataformas mais indicadas para as estaes de trabalho so Windows 2000 e Windows XP. 1.4 POLTICA Como todos os Sistemas Operacionais Microsoft no possuem a mesma caracterstica foi desenvolvido um requisito mnimo para cada um deles: 1.4.1 WINDOWS 95: a. Instale Service Pack 1 para Windows 95; b. Instale post-Service Pack security patches; c. Instale Service Pack e post Service Pack patches para MS Office e Internet Explorer se os mesmos forem instalados no computador; d. Instale antivrus e atualize-o. 1.4.2 WINDOWS 98: a. Instale Service Pack atual para Windows 98;

14

b. Instale post-Service Pack security patches; c. Instale Service Pack e post Service Pack patches para MS Office e Internet Explorer se os mesmos forem instalados no computador; d. Instale antivrus e atualize-o. 1.4.3 WINDOWS NT 4 PROFESSIONAL: a. Instale Service Pack 6a para Windows NT 4; b. Instale post-Service Pack security patches; c. Instale Service Pack e post Service Pack patches para MS Office e Internet Explorer se os mesmos forem instalados no computador; d. Instale antivrus e atualize-o; e. Verifique se todas as parties so formatadas como NTFS; f. Verifique se existe uma senha forte para conta de Administrador; g. Desabilite servios desnecessrios; h. Desabilite ou exclua conta de usurios desnecessrios; i. Desabilite a conta de Convidado; j. Proteja Arquivos e Diretrios; k. Proteja o registro contra o acesso de usurios annimos; l. Restrinja acesso a Autoridade de Segurana Local pblica (LSA); m. Remova todos os compartilhamentos desnecessrios; n. Estabelea o acesso necessrio a arquivos compartilhados; o. Fixe polticas de senha mais fortes conforme a Poltica de senhas definida na outra seo; p. Estabelea poltica para bloqueio de contas; q. Renomeie a conta de Administrador para dificultar o ataque; r. Una a estao de trabalho a um domnio e no deixe configurado em um grupo; 1.4.4 WINDOWS 2000 PROFESSIONAL: a. Instale sempre o ltimo Service Pack para Windows 2000; b. Instale post-Service Pack security patches;

15

c. Instale Service Pack e post Service Pack patches para MS Office e Internet Explorer se os mesmos forem instalados no computador; d. Instale antivrus e atualize-o; e. Verifique se todas as parties so formatadas como NTFS; f. Verifique se existe uma senha forte para conta de Administrador; g. Desabilite servios desnecessrios; h. Desabilite ou exclua conta de usurios desnecessrios; i. Desabilite a conta de Convidado; j. Proteja Arquivos e Diretrios; k. Proteja o registro contra o acesso de usurios annimos; l. Restrinja acesso a Autoridade de Segurana Local pblica (LSA); m. Remova todos os compartilhamentos desnecessrios; n. Estabelea o acesso necessrio a arquivos compartilhados; o. Fixe polticas de senha mais fortes conforme a Poltica de senhas definida na outra seo; p. Estabelea poltica para bloqueio de contas; q. Renomeie a conta de Administrador para dificultar o ataque; r. Una a estao de trabalho a um domnio e no deixe configurado em um grupo; 1.4.5 WINDOWS XP: a. Instale sempre o ltimo Service Pack para Windows XP; b. Instale post-Service Pack security patches; c. Instale Service Pack e post Service Pack patches para MS Office e Internet Explorer se os mesmos forem instalados no computador. d. Instale antivrus e atualize-o; e. Verifique se todas as parties so formatadas como NTFS; f. Verifique se existe uma senha forte para conta de Administrador; g. Desabilite servios desnecessrios; h. Desabilite ou exclua conta de usurios desnecessrios; i. Desabilite a conta de Convidado;

16

j. Proteja Arquivos e Diretrios; k. Proteja o registro contra o acesso de usurios annimos; l. Restrinja acesso a Autoridade de Segurana Local pblica (LSA); m. Remova todos os compartilhamentos desnecessrios; n. Estabelea o acesso necessrio a arquivos compartilhados; o. Fixe polticas de senha mais fortes conforme a Poltica de senhas definida na outra seo; p. Estabelea poltica para bloqueio de contas; q. Renomeie a conta de Administrador para dificultar o ataque; r. Una a estao de trabalho a um domnio e no deixe configurado em um grupo; s. Habilite Internet Connection Firewall;

17

CAPTULO 2 - POLTICA DE SEGURANA EM SISTEMAS OPERACIONAIS EM SERVIDORES

2.1 INTRODUO Este captulo tem como objetivo propor a implementao de uma Poltica de Segurana para Servidores de Dados. O acesso ao servidor feito por clientes da corporao. Por esse motivo, h a necessidade de uma interface que garanta a proteo dos dados e do S.O. hospedeiro, pois no nada seguro que usurios no autorizados acessem o servidor e tenham liberdade irrestrita. Existem muitos tipos de programas servidores de informao disponveis, tais como servidores de HTML, de Banco de Dados, etc. Todos eles possuem a mesma funcionalidade bsica: fornecer informaes a partir de requisies de estaes de trabalho. Em informtica, um servidor um sistema de computao que fornece servios a uma rede de computadores. Esses servios podem ser de diversa natureza, por exemplo, arquivos e correio eletrnico. (Wikipdia) Atualmente existem varias opes de Plataformas de Hardware para Implementao de servidores. Dentro dessas Plataformas de Hardware existem muitas outras opes de Sistemas Operacionais, tanto proprietrios quanto livres, que podem ser usados. A seguir relacionamos as Plataformas de Hardware mais usadas com seus respectivos S.O.s.

18

Plataforma Intel, AMD, ViA (x86 32 Bits)

S.O.s Servidores Utilizados Windows NT Server, Windows 2000 Server Family, Windows 2003 Server Family, Linux, Solaris (Sun), FreeBSD, OpenBSD, NetBSD, Unix, OS/2

AMD AMD64 (ISA 64 Bits)

Windows NT Server, Windows 2000 Server Family, Windows 2003 Server Family, Windows Server 2003 x64 Editions, Linux, Solaris (Sun), FreeBSD, OpenBSD, NetBSD, Unix, OS/2

Intel EM64T (64 Bits)

Linux, Windows Server 2003 for Itanium-based Systems

Sun Sparc Risc (PowerPC)

SunOS, Solaris AIX (IBM), Windows NT 3.1 (Microsoft), OS/360, OS/390, OS/400

DEC Alpha PA Risc

OpenVMS HP-UX
Tabela 1 Plataformas e seus S.O.s (Autoria Prpria)

E so nesses S.O.s, Microsoft e Linux, que focaremos nossa poltica de segurana. Para os S.O.s prprios para servidores se aplicam tambm as atualizaes fornecidas pelo fabricante. A Microsoft no fornece mais suporte e novas atualizaes para o Windows NT 4 Server desde 31 de dezembro de 2004.

19

2.2 PROPSITO O Propsito desta Poltica estabelecer padres para a configurao bsica de servidores operados por uma Empresa. Esta Poltica minimizar acesso sem autorizao s informaes de propriedade da Empresa. 2.3 ESCOPO Esta Poltica se aplica Servidores baseados em Sistemas Operacionais Windows NT 4 Server, Windows 2000 Server, Windows 2003 Server e Unix-Like. 2.4 POLTICA

2.4.1 WINDOWS NT 4 SERVER a. Instale Service Pack 6a para Windows NT 4; b. Instale post-Service Pack security patches; c. Instale Service Pack e post Service Pack patches para MS Office e Internet Explorer se os mesmos forem instalados no computador; d. Instale antivrus e atualize-o; e. Verifique se todas as parties so formatadas como NTFS; f. Verifique se existe uma senha forte para conta de Administrador; g. Desabilite servios desnecessrios; h. Desabilite ou exclua conta de usurios desnecessrios; i. Desabilite a conta de Convidado; j. Proteja Arquivos e Diretrios; k. Proteja o registro contra o acesso de usurios annimos; l. Restrinja acesso a Autoridade de Segurana Local pblica (LSA); m. Remova todos os compartilhamentos desnecessrios; n. Estabelea o acesso necessrio a arquivos compartilhados; o. Fixe polticas de senha mais fortes conforme a Poltica de senhas definida na outra seo; p. Estabelea poltica para bloqueio de contas;

20

q. Renomeie a conta de Administrador para dificultar o ataque; r. Configure Mensagem no logon; s. Habilite Segurana de Auditoria nos Logs do Sistema; t. Una um domnio de Windows em vez de um Workgroup; u. No de privilgios ou senha de usurios Administradores para departamentos de Help Desk; v. Devem ser aplicadas atualizaes crticas e medidas de segurana providas pelo fabricante para software e servios rodam no Sistema Operacional (por exemplo, IIS). Recorra ao website de segurana do vendedor para detalhes. 2.4.2 SERVIDORES WINDOWS 2000/2003 SERVER a. Instale sempre o ultimo Service Pack para Windows Server 2000/2003; b. Instale post-Service Pack security patches; c. Instale Service Pack e post Service Pack patches para MS Office e Internet Explorer se os mesmos forem instalados no computador; d. Instale antivrus e atualize-o; e. Verifique se todas as parties so formatadas como NTFS; f. Verifique se existe uma senha forte para conta de Administrador; g. Desabilite servios desnecessrios; h. Desabilite ou exclua conta de usurios desnecessrios; i. Desabilite a conta de Convidado; j. Proteja Arquivos e Diretrios; k. Proteja o registro contra o acesso de usurios annimos; l. Restrinja acesso a Autoridade de Segurana Local pblica (LSA); m. Remova todos os compartilhamentos desnecessrios; n. Estabelea o acesso necessrio a arquivos compartilhados; o. Fixe polticas de senha mais fortes conforme a Poltica de senhas definida na outra seo; p. Estabelea poltica para bloqueio de contas; q. Renomeie a conta de Administrador para dificultar o ataque;

21

r. Una a estao de trabalho a um domnio e no deixe configurado em um grupo; s. Habilite o Internet Connection Firewall; t. Configure Mensagem de Logon; u. Devem ser aplicadas atualizaes crticas e medidas de segurana providas pelo fabricante para software e servios rodam no Sistema Operacional (por exemplo, IIS). Recorra ao website de segurana do vendedor para detalhes; 2.4.3 SERVIDORES UNIX-LIKE a. Os mais recentes patches de segurana devem ser aplicados ao sistema. b. Instale software de antivrus e atualizaes conforme a Poltica de Antivrus; c. Devem ser desabilitados todos os servios desnecessrios; d. Verifique se somente servios exigidos esto rodando no sistema; e. Portas que no fazem parte aplicao de negcio da Empresa devem ser fechadas; f. Aplique senhas de acordo com a poltica de senhas da Empresa; g. Desabilite qualquer servio desnecessrio que so levantados durante a inicializao do sistema; h. Remova todos os grupos de usurios que no esto mais em operao; i. Remova os hosts desnecessrios de hosts.equiv exclua ou remove arquivo se rsh ou rlogin; j. Fixe as permisses apropriadas em todos os arquivos e pastas; k. Assegure-se que a senha de root s est disponvel a um grupo operacional que responsvel pela administrao do sistema. A senha de root tambm deve ser uma senha forte como definida na poltica de senhas da empresa; l. Assegure que o arquivo /etc/ftpusers contm todas as contas de sistema como tambm a conta root; m. Limpe o arquivo de /etc/hosts.lpd. Se est funcionando como um servidor de impressora modifique o /etc/hosts.lpd para incluir s hosts que exigem imprimir ao servidor de impresso;

22

n. Devem ser aplicadas atualizaes crticas e medidas de segurana providas pelo fabricante para software e servios rodam no Sistema Operacional (por exemplo, Apache). Recorra ao website de segurana do vendedor para detalhes. 2.4.4 CONFIGURAES GERAIS a. Devem ser incapacitados servios que no sero usados, contanto que isto no introduza efeitos colaterais nem prejudica servios exigidos (teste primeiro). Exemplos so IIS, APACHE o SMTP; b. No instale aplicaes que no so requeridas (por exemplo, os clientes de mapi); c. Implementao de patches tem que depender do estado crtico do patches e o papel do servidor no ambiente da Empresa. Deve ser estudado e testado antes de qualquer atualizao; d. Devem ser instalados patches de segurana crticos no sistema dentro de 7 dias de publicao, so permitidas Excees baseado em necessidades de negcio e requerem prpria justificao. Exceo deve ser documentada e deve ser seguida para nveis superiores de gerencia; e. Evite usar contas que tm mais privilgios que o necessrio para executar tal tarefa; f. Caso haja necessidade de conexo remota a mesma deve ser executado em cima de canais seguros, como conexes de rede codificadas que usam SSH ou IPSec (VPN). 2.4.5 MONITORAMENTO a. Devem ser gravados todos os eventos de segurana relacionados em sistemas crticos ou sensveis e devem ser examinados rastros como segue: i. Todos logs de segurana devero ser mantidos on-line para um mnimo de 1 semana;

23

ii. Dever ser feito backup dos logs todos os dias com incremento durante 1 ms; iii. Os backups Mensais sero guardados por 1 ano. b. Sero relatados os incidentes como: i. Ataques de Port Scan; ii. Evidncia de acesso sem autorizao para contas privilegiadas; iii. Anomalias de ocorrncias que no so relacionadas s aplicaes especficas do Host.

24

CAPTULO 3 - POLTICAS DE SENHAS

3.1 AVALIAO Senhas so muito importantes para uma empresa, no entanto cada usurio de computador designado em estabelecer sua senha de acordo com a Poltica e as mesmas no devero ser informadas para nenhum outro usurio em exceto senhas de documentos, devero ser armazenadas em cofres de propriedade da empresa. 3.2 PROPSITO O Propsito desta Poltica estabelecer um padro para criao de senhas fortes, a proteo e a freqncia de mudana das mesmas. 3.3 ESCOPO O Escopo desta Poltica inclui todo o pessoal que tem ou responsvel por uma conta (ou qualquer forma de acesso que apia ou requer uma senha) em qualquer sistema que reside em qualquer facilidade da Empresa e tenha acesso rede da Empresa. 3.4 POLTICA a. Configure a estao de trabalho para bloquear a estao em intermdio de proteo de tela protegido de senha aps 5 minutos de inatividade. b. Escolha uma senha que seja difcil de adivinhar: i. Deve ter 8 ou mais caracteres; ii. Deve ser alfanumrica (contendo nmeros e letras); iii. No use seu prprio nome, sobrenome, nome de pais, data de aniversrios, etc; iv. A senha deve conter caracteres especiais (~!@#$%*&{}?); v. Nunca use senha igual ao Id de usurio. c. Altere sua senha em imediato caso suspeite de algo; d. Senhas em documentos (Zip, Word, Excel) devero ser armazenadas em cofres;

25

e. As senhas devero ser expiradas em um prazo de 90 dias; f. Caso a conta fique sem acesso por 60 dias s mesmas devero ser bloqueadas. g. Implante em sua Workstation e em seu Computador Domstico senha de inicializao ao computador e protees de tela protegidas com senhas. h. Escolha uma senha que seja difcil de ser adivinhar, onde: i.Contenha pelo menos 8 caracteres. ii.Seja alfanumrica (contendo letras e nmeros). iii.Misture bem letras e nmeros iv.No contenha nenhum nome inicial, ou palavras comuns, como as contidas em um dicionrio. v.Tenha, mas no incio, caracteres especiais (~! @ #$% * & {}?). vi.Seja significativamente diferente de seu UserID e senhas anterior. i. Mude sua senha rapidamente caso suspeitar de extravio da mesma, e informe o responsvel pela segurana da rede. j. Comunique qualquer alterao de senhas em arquivos individuais (Excel, Word, Zip) ao responsvel pela segurana da rede. k. Caso a empresa precise de contas anonymous habilitadas, estabelea regras como: l. No permita direitos de gravao a nenhum diretrio. m. No permita direitos de leitura em outros diretrios a no ser que aos diretrios estipulados pela prpria conta.

Ao final deste captulo concluem-se necessrias Polcias de Segurana mais severas em relao aos Servidores, sejam eles em plataforma Windows, Unix-Like, com devida ateno s atualizaes (Service Packs e Pathes) sem tambm, obviamente, desvalorizar a devida importncia s senhas de usurios usadas nos terminais que do acesso aos dados da empresa.

26

CAPTULO 4 CONSCIENTIZAO DOS USURIOS

4.1 PROPSITO Este captulo tem por objetivo ajudar os usurios a aderir Poltica de Segurana e ajud-lo a compreender o que considerado uso aceitvel dos recursos tecnolgicos da empresa, os quais so disponibilizados pelas estaes de trabalho da empresa, assim minimizando o acesso no autorizado rede e recursos. Os usurios das Estaes de Trabalho devem compreender: a. Que so individualmente responsveis por proteger os dados e a informao em mos. A segurana responsabilidade de todos. b. Que os dados so sensveis. Se voc no souber o que , no altere. c. Se no tem acesso ao recuso, porque as informaes l contidas no so associveis a sua funo ou cargo. d. Devem usar os recursos da empresa somente para o benefcio da prpria empresa. e. A empresa se reserva ao direito de examinar periodicamente todas as estaes de trabalho. f. Os incios de uma sesso de acesso, o uso dos recursos monitorado e examinado periodicamente. g. Que se observar quaisquer inconformidades em seus dados, como dados faltantes ou outros problemas do acesso dos dados, deve-se informar ao seu superior ou ao responsvel pela segurana da informao da empresa. 4.2 AFAZERES GERAIS a. Finalizar a sesso ou travar suas telas e teclado antes que voc saia de sua estao de trabalho. b. Proteger e controlar a sada de dados impressos confidenciais, ou em meios de armazenamento removvel de circulao interna.

27

c. Relatar incidentes, fraquezas ou falhas da segurana ao responsvel assim que detect-las. 4.3 DADOS a. Armazenar dados importantes, como os de negcios e transaes, em servidores centrais. b. Remover arquivos no usados, como rascunhos ou qualquer tipo de prdocumento. Armazenar somente arquivos necessrios execuo de trabalhos da empresa. c. Assegurar-se de que todos os dados importantes em seu computador e nos sistemas centrais estejam devidamente atualizados em equipamentos moveis usados pelo mesmo usurio. d. No armazenar dados confidencias em PDAs ou em meios de

armazenamento removveis, tais como PenDrives e dispositivos de memria removveis. 4.4 COMPUTADORES PORTTEIS a. Habilite, se possvel, senhas no Sistema Operacional e BIOS de seu laptop. Solicite ajuda ao responsvel se necessitar. b. Feche seu porttil quando voc o deixa s. c. Copie dados empresariais regularmente de seu laptop para servidores de arquivo centrais. Solicite ajuda ao responsvel se necessitar. 4.5 VRUS Informe ao responsvel pela segurana da rede imediatamente se voc suspeitar da presena de softwares maliciosos em sua Workstation, pois a mesma pode estar infectada por vrus. Tome os seguintes cuidados: a. Tenha certeza que toda mdia inserida em sua Workstation tenha sido analisada pelo software antivrus presente na mesma.

28

b. Utilize o software antivrus em todo o material recebido de fontes externas, como e-mails e seus respectivos anexos, para isso certifique-se que seu software Anti-Vrus esteja devidamente atualizado, para ter certeza disto entre em contato com o responsvel pela segurana da rede. c. Verifique e mantenha sempre seu antivrus atualizado. 4.6 E-MAILS a. Assegure-se que os endereos dos destinatrios estejam corretos antes de enviar os e-mails. Devem-se ter a mesma cautela com os e-mails to quanto com os documentos normais escritos. b. Tenha em mente que na maioria dos pases, uma mensagem de e-mail tem o mesmo valor legal que um documento oficialmente assinado. c. Apague de sua conta de quaisquer e-mails que permanecem inativos (novos e no lidos) que tenham 60 dias ou mais, a menos que seja desaconselhado por seu superior eu responsvel pela segurana da rede. 4.7 ACESSO REMOTO D a sua conexo de acesso remoto a mesma considerao em relao segurana de sua conexo de local de trabalho. de sua total responsabilidade assegurar-se que uma conexo distante para a rede da empresa no seja usada por no-empregados a fim de ganhar acesso a informaes da empresa e recursos dos sistemas computacionais. Permanea constantemente atento conexo remota, e saiba que a mesma uma extenso da rede local, o que prov um caminho em potencial para vazamento de informaes importantes da empresa. 4.8 SOFTWARE a. No duplique qualquer software licenciado ou documentao relacionada, a menos que seja autorizado pelo desenvolvedor. Duplicao de software sem

29

autorizao pode o sujeitar a empresa a penalidades civis e criminais pela violao da lei de direitos autorais. b. No use Shareware (software que baixou da Internet com prazo de utilizao ou em revistas, Kazaa etc.). c. No instale nenhum software em sua mquina onde altere sua segurana ou configurao. Isto deve ser executado pelo departamento responsvel pela rede. d. Todo o software adquirido pela empresa deve ser comprado pelo departamento de TI. Entregas de Software devem ser feitas diretamente ao departamento de TI para que o responsvel possa completar as inscrio e exigncias de inventrio. Software deve ser registrado no nome da Empresa e rotulado ao departamento no qual ser usado. Depois de todas as exigncias de inscrio forem satisfeitos o software ser instalado para o usurio pelo departamento responsvel (TI). e. No traga software de casa e instale sobre computadores da Empresa. Se voc precisa usar software que no tenha em seu computador consulte seu departamento responsvel (TI) para determinar as verdadeiras necessidades e licenas apropriadas para tal aplicativo. f. No compartilhe ou empreste qualquer software provido pela empresa a outros. 4.9 PROIBIES GERAIS a. No d a outros a oportunidade de olhar sobre seu ombro se voc est trabalhando com informaes de suma importncia. b. No remova seu equipamento pertencente empresa sem prvia autorizao do departamento de segurana da informao ou administrao. c. No instale componentes de hardware adicionais em nenhum computador da empresa. Esta atividade deve ser executada pelo responsvel da manuteno com prvia autorizao do responsvel pela segurana da rede.

30

d. No tente desabilitar ou incapacitar qualquer ferramenta de segurana, como Anti-Virus sem prvia autorizao do departamento de segurana da informao. 4.10 COMPUTADORES PESSOAIS Embora o uso de equipamentos pessoais para acesso s redes esteja proibido nessa poltica, gostaramos preservar segurana aos computadores pessoais dos funcionrios: a. Habilite software de firewall pessoal e faa uso de senhas em seu computador domstico. b. Instale todas as atualizaes do Sistema Operacional em uso em seu computador a fim de corrigir vulnerabilidades de segurana conhecidas pelo fabricante do S.O., por exemplo, executando a Atualizao do Windows. c. Instale software antivrus em seu computador domstico e atualize-o diariamente. d. Crie uma senha forte ao usurio Administrador, e desabilite o usurio o Convidado. e. Habilite criptografia de 128bit WEP e escolha senhas fortes caso tenha uma rede sem fio em sua casa. Fixe o SSID para propagao annima, aplique restries de acesso rede sem fio, liberando os acessos ao Access Point somente aos endereos MAC dos adaptadores de rede Wireless usados em sua rede. f. Jamais utilize em sua casa as mesmas senhas utilizadas na empresa.

31

CAPTULO 5 BACKUP DE DADOS

5.1 INTRODUO Existem vrias causas involuntrias para a perda de informaes em um computador. Uma criana usando o teclado como se fosse um piano, quedas de energia, fenmenos naturais. E algumas vezes o equipamento simplesmente falha. Por isso importante termos cpias de todo tipo de dado que importante, a essa cpia chamamos simplesmente de Backup. 5.2 PROPSITO Esse captulo prope a implantao de polticas de segurana englobando seus mtodos. 5.3 ESCOPO Esta poltica fixa um padro a ser seguido nas Cpias de Segurana realizadas na empresa em sistemas clientes e servidores, onde so Windows e Sistemas Baseados em Linux. 5.4 POLTICA a. Os Backups devero ser armazenados em locais onde esto seguros contra roubo e riscos ambientais; b. As mdias devero ser armazenas em locais seguros, dentro e fora da empresa; c. Backup de Sistemas Operacionais e aplicaes devem ser armazenados pelo menos uma vez por ano. Backup de dados e informaes devero ser armazenados semanalmente; d. Backup deve ser feito diariamente; e. As mdias devero ser claramente etiquetadas e um registro dever ser feito para o melhor controle;

32

f. Testes de restaurao devem ser feitos pelo menos uma vez ao ano ou aps atualizaes em sistema operacionais, software de backup ou softwares que trabalham em conjunto com a operao; g. Dever ser estudado qual software responsvel pelo backup, e levar em considerao software que fazem cpias de arquivos abertos como: documentos, banco de dados e arquivos de sistema; h. Dever ser feita uma documentao completa do procedimento de backup e a mesma dever ser armazenada dentro e fora da empresa. 5.5 EXEMPLOS Na prtica existem inmeros softwares pagos e gratuitos para criao de backup e a posterior reposio. Para uso domstico destacamos, em plataformas Windows, o Backee, que um software de backup local (armazenado em CD, DVD, HD ou na rede) ou on-line atravs do servio On-line Backup, com interface amigvel e fcil de ser utilizada. indicado para usurios que precisam realizar o backup de seus arquivos, sem precisarem ser grandes conhecedores de softwares de backup. Com ele voc define a freqncia com que seus backups devem ser realizados: a cada determinado nmero de dias, em determinados dias da semana ou em determinado dia do ms a cada x horas. Para aumentar mais ainda mais a segurana, a InterFactory e a Human Bios GmbH desenvolvedores deste software oferecem tambm o Servio On-line Backup pago. Este servio foi criado para os usurios de Backee e com ele possvel programar backups a serem feitos on-line em um datacenter na Sua. Como benefcios voc tem a economia de mdia e a segurana de armazenar seus dados em um datacenter internacional. Em plataformas Windows corporativas destacamos o Symantec Backup Exec for Windows Servers, projetado servidores, fornecendo operaes de backup e

33

restaurao

abrangentes,

com

custo-benefcio

relativamente

bom,

de

alto

desempenho e certificadas, inclusive proteo de dados contnua. A administrao centralizada oferece um gerenciamento escalonvel do backup distribudo e dos servidores remotos. Agentes e opes de alto desempenho fornecem uma proteo flexvel e gradual dos servidores de dados. Principais recursos: a. Proteo de dados contnua, simples e fcil de usar; b. Oferece proteo completa de disco-para-disco-para-fita em uma nica soluo; c. Soluo totalmente flexvel, com gerenciamento centralizado e suporte SAN (Storage Area Network) para empresas em crescimento; d. Oferece proteo minuciosa a uma ampla variedade de aplicativos, incluindo Microsoft SQL e Exchange com agentes de chaves. Em ambiente Linux, uma das formas mais comuns e conhecidas para realizar o Backup com o auxlio do comando TAR, tanto para uso domstico quanto ao uso corporativo. Velho conhecido dos Sistemas Operacionais Unix-Like bastante flexvel na realizao e manuteno de conjuntos de backup, mas sua implementao se complica quando as necessidades de backup saem dos limites de uma mquina e, mais ainda, quando estas necessidades esbarram em limites geogrficos, tais como uma matriz e suas filiais, interligadas atravs de linhas dedicadas e com uma nica unidade de fita, como as ilustraes 1 e 2, com custo de aquisio elevado (geralmente acima dos R$ 2.500,00), para a realizao das cpias.

34

Ilustrao 2 Unidade de Backup em Fita 8 mm Sony Backup AIT 1 uso externo (Fonte Sony)

Ilustrao 3 Unidade de Backup em Fita 8 mm Sony Backup AIT uso interno (Fonte Sony)

Neste cenrio acima, a realizao dos backups das filiais tomaria um grande tempo do responsvel pela segurana, alm de consumir recursos dos meios de comunicao entre os pontos. Existem algumas solues de backup para Linux que permitem o recurso de backups centralizados nas, em sua maioria, so ferramentas pagas que, na maior parte dos casos, custa muito mais do que o prprio sistema operacional. Dentro da filosofia Free Software, a Universidade de Maryland criou e distribui o software A.M.A.N.D.A. (Advanced Maryland Network Disk Archiver).

35

O Amanda oferece recursos para a realizao de "backups centralizados" de mquinas que estejam distantes, incluindo recursos de limitao de acordo com o uso dos meios de comunicao durante a transmisso dos dados do backup (afim evitar o esgotamento do canal de trfego), backups incrementais, cpia dos dados em disco antes de enviar para a fita, backups de plataformas Windows (em conjunto com o Samba), entre outros. As principais caractersticas oferecidas pelo Amanda so: a. Totalmente Free Software; b. Compatvel com diversos Unix-Like (HP-UX, AIX, Solaris, FreeBSD, Linux, etc.); c. Backups totais e incrementais; d. Facilidade para a definio de uma poltica de backup; e. Realizao de backups em mquinas remotas sem interferncia externa; f. Utiliza e compatvel com ferramentas Free Software; g. Possui todo o seu cdigo fonte disponvel, o que permite que, com o devido conhecimento, que se faam alteraes.

36

CAPTULO 6 - FIREWALL
6.1 PROPSITO Firewall um recurso da rede (computador, roteador ou softwares) onde sua funo filtrar o acesso externo a uma rede de computadores que precisam de proteo, assim as redes corporativas ou domsticas ficam seguras contra acessos no autorizados, em contra partida permite o acesso externa (Internet) de usurios da rede local de forma segura. 6.2 ESCOPO Esta poltica fixa um padro a ser seguido na implementao de Firewalls realizadas na empresa, em sistemas ou equipamentos dedicados para esse fim. 6.3 POLTICA O Firewall examina todo trafego autorizado em tempo real onde a seleo feita de acordo com a regra o que no for expressamente proibido permitido. Alguns Firewalls focam mais o bloqueio do trfego, enquanto outros enfatizam permisso do trfego. O importante configurar o Firewall de acordo com a poltica adotada pela empresa onde ser implantado, estabelecendo assim o tipo de acesso que ser permitido ou negado. Os Firewalls utilizam endereos IP de origem e destino e portas UDP e TCP para tomar suas decises no controle do acesso. O projeto do Firewall consiste em uma lista composta de mquinas e servios que esto autorizados ou no a transmitir nos possveis sentidos (entrando ou saindo da rede interna). Um exemplo simples e seguro de poltica a liberao do acesso LAN para Internet das portas 80, 21, 20, 110 e 25 (web, ftp, pop, smtp) liberando assim o acesso bsico do usurio Internet, ftp e envio e recebimento de mensagens de correio eletrnico. Caso o usurio tente acessar outros servios na Internet, que no esteja relacionado nesta lista, seu acesso ser negado caindo no fogo do Firewall.

37

O Firewall protege a rede de acessos no autorizados e libera os respectivos servios aos usurios autorizados vindo da rede interna como demonstrado na ilustrao 5:

Ilustrao 4 Modelo de Rede com Firewall (Autoria Prpria)

Com as regras de Firewall definidas ele pode ser implementado em um computador com dois ou mais adaptadores de rede, conectando-se a diferentes redes privadas e um de seus adaptadores de rede ligado diretamente Internet. Servindo assim como uma barreira para acessos externos no autorizados rede interna, alm de fornecer dados sobre eventuais tentativas de acessos no autorizados que tentem burlar tal bloqueio. A esse recurso chamamos de Auditoria. Os Firewalls podem ser encontrados em diversas plataformas. Podem ser escritos em regras sobre Iptables, Ipfw ou Ipchais no caso de plataformas Unix-Like ou em softwares como o Microsoft ISA Server no caso das plataformas Windows. Existem tambm equipamentos (hardware) que fazem o servio de Firewall, que so conhecidos como Appliances. Como exemplos podemos citar o Barracuda IM Firewall e o SonicWALL Pro 4060 mostrados nas ilustraes 4 e 5, que alm de firewall, implementam VPN, Anti-Span, Proxy Web, Web Filter e QoS.

38

Ilustrao 5 Appliance Barracuda IM Firewall (Fonte Barracuda Networks)

Ilustrao 6 Appliance SonicWall Pro 4060 (Fonte SonicWall)

Todo Firewall deve ser implementado ou configurado, no caso de Appliances, de acordo com as regras definidas na poltica da empresa. Como um exemplo do funcionamento de um Firewall, escrevemos um script de exemplo baseado em regras sobre Iptables rodando sobre plataforma Linux, onde liberado somente aquilo que ser utilizado (web, ftp, pop, smtp) e o que no for negado:
#!/bin/bash # Script escrito por :Roberson Afonso Naves e Willian Ricardo Pires # roberson@ip3.com.br | willian@mococa.net # Limpando as regras iptables -F iptables -t nat -F iptables -X # Habilitando repasse e nat de pacotes ipv4 echo 1 > /proc/sys/net/ipv4/ip_forward iptables -t nat -A POSTROUTING -s 192.168.0.1/255.255.255.0 -o eth1 -j MASQUERADE # cria 2 chains, para inspeo de estados e o Firewall iptables -N STATEFULL iptables -N FIREWALL

39

# Trafego pela loopback OK iptables -A INPUT -i lo -j ACCEPT # Manda os pacotes para analise de estados iptables -A INPUT -j STATEFULL # Vou confiar em eth0 (LAN) porque voce mandou! iptables -A INPUT -i eth0 -j ACCEPT # O resto vai pro fogo! iptables -A INPUT -j FIREWALL iptables -A FORWARD -j STATEFULL # de: LAN para: EXT iptables -A FORWARD -i eth0 -o eth1 -p TCP --dport 80 -j ACCEPT # de: LAN para: EXT iptables -A FORWARD -i eth0 -o eth1 -p UDP --dport 80 -j ACCEPT # de: LAN para: EXT iptables -A FORWARD -i eth0 -o eth1 -p TCP --dport 21 -j ACCEPT # de: LAN para: EXT iptables -A FORWARD -i eth0 -o eth1 -p UDP --dport 21 -j ACCEPT # de: LAN para: EXT iptables -A FORWARD -i eth0 -o eth1 -p TCP --dport 20 -j ACCEPT # de: LAN para: EXT iptables -A FORWARD -i eth0 -o eth1 -p UDP --dport 20 -j ACCEPT # de: LAN para: EXT iptables -A FORWARD -i eth0 -o eth1 -p TCP --dport 25 -j ACCEPT # de: LAN para: EXT iptables -A FORWARD -i eth0 -o eth1 -p TCP --dport 110 -j ACCEPT #DNAT Redirecionamento de portas externas para servidores dentro da rede interna iptables -t nat -A PREROUTING -i eth1 -p TCP --dport 80 -j DNAT --to-destination 192.168.0.2:80 iptables -A FORWARD -i eth1 -d 192.168.0.2/32 -p TCP --dport 80 -j ACCEPT iptables -t nat -A PREROUTING -i eth1 -p TCP --dport 21 -j DNAT --to-destination 192.168.0.2:21 iptables -A FORWARD -i eth1 -d 192.168.0.2/32 -p TCP --dport 21 -j ACCEPT iptables -t nat -A PREROUTING -i eth1 -p TCP --dport 25 -j DNAT --to-destination 192.168.0.3:25 iptables -A FORWARD -i eth1 -d 192.168.0.3/32 -p TCP --dport 25 -j ACCEPT iptables -t nat -A PREROUTING -i eth1 -p TCP --dport 110 -j DNAT --to-destination 192.168.0.3:110 iptables -A FORWARD -i eth1 -d 192.168.0.3/32 -p TCP --dport 110 -j ACCEPT # Se voc chegou at aqui, porque voc no aceito, ento vai pro fogo! iptables -A FORWARD -j FIREWALL iptables -A STATEFULL -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A STATEFULL -m state --state INVALID -j FIREWALL iptables -A FIREWALL -j LOG --log-level debug --log-prefix 'FIREWAL: ' iptables -A FIREWALL -j REJECT Ilustrao 7 Exemplo de Script de Firewall escrito em Iptables para S.O. Linux (Fonte Auroria Prpria)

40

6.4 DMZ A DMZ (DeMilitarized Zone) ou Zona desmilitarizada uma rede que fica entre uma rede confivel e outra no confivel, como por ex.: Internet. Sua funo manter permitir e manter todo servio que possui acesso externo separado da rede local, limitando assim danos em caso de comprometimento de algum servio presente nela por algum invasor. Para Garantir este servio todos os computadores instalados na DMZ no podem obter nenhum tipo de rota para a rede local. A DMZ instalada na terceira placa de rede de um firewall como mostrada na figura abaixo:

Ilustrao 8 Exemplo de uso de DMZ em uma rede com servidores Web (Fonte Autoria Prpria)

Geralmente a DMZ composta por servidores do tipo: HTTP, SMTP, DNS, VPN, servios que so expostos na Internet para uso de terceiros. Assim caso o invasor consiga quebrar a segurana e cair em algum servidor dentro da DMZ ele jamais conseguir chegar at a rede local mantendo assim servidores e computadores locais livres de ameaas.

41

CAPITULO 7 - ATAQUES
7.1 INTRODUO Um ataque, ao ser planejado, segue um plano de estratgia sobre o alvo desejado, e uma pessoa experiente em planejamento de ataque sempre traa um roteiro a ser seguido a fim de alcanar o objetivo. Um exemplo de roteiro organizado para atacar exemplificado a seguir: a. Localizar o alvo desejado; b. Concentrar o mximo de informaes possveis sobre o alvo, geralmente utilizando alguns servios da prpria rede, ou at mesmo, ferramentas utilizadas na administrao e gerenciamento da rede alvo; c. Disparar o ataque sobre o alvo, a fim de invadir o sistema, explorando a vulnerabilidade do sistema operacional, servidores e servios oferecidos pela rede. O invasor pode at mesmo abusar um pouco da sorte tentando adivinhar uma senha na mquina alvo, fazendo combinaes possveis; d. No deixar pistas da invaso, pois geralmente as aes realizadas pelos invasores so registradas no sistema alvo em arquivos de log, possibilitando que o administrador do sistema invadido possa vir a descobrir a invaso, a no ser que o invasor se preocupe em eliminar todos e quaisquer vestgios que o incriminem; e. O invasor deve conseguir no somente senhas de usurios comuns, pois os privilgios destes usurios so limitados, no dando acesso a recursos mais abrangentes no sistema. Com isso, de grande importncia que o invasor consiga uma senha de administrador, pois ter todos os recursos de gerenciamento do sistema disponveis, para alteraes e at mesmo gerar bug no sistema. Instalar ferramentas que faam a captura de senhas de forma clandestina aos olhos do administrador, para isso existem programas que conseguem rodar em segundo plano sem que a vtima perceba, podendo ser colocados na pasta usada pela vtima;

42

f. Criar caminhos alternativos de invaso, logo que a administradora do sistema encontrar uma porta aberta que permita a invaso esta ser fechada, mas se o invasor gerar outras maneiras de invadir o sistema, certamente ter outra chance de invaso, j que teve a preocupao de criar novas rotas alternativas; g. Utilizar a mquina invadida como porto de entrada para invaso de outras mquinas da rede e at mesmo do computador central. 7.2 TIPOS DE ATAQUES

7.2.1 TROJAN HORSE O trojan horse ou cavalo de tria, um programa com poder de infectar muitos computadores, tendo capacidade de dar acesso sem restries ao invasor possibilitando executar qualquer ao no computador da vtima, como exemplo podemos citar o NetBus e o B.O. (Back Orifice) so alguns dos mais conhecidos, embora existam outros que realizam essas tarefas. Normalmente, a distribuio destes programas feita via email, e executadas por usurios desavisados, que no tem antivrus para proteger o sistema, ou quando o antivrus est desatualizado, passando assim despercebido. De modo a facilitar as invases, os trojam horses abrem portas que sero utilizadas na invaso do sistema. 7.2.2 FLOOD O Flood uma tcnica utilizada para gerar lentido ou at mesmo derrubar um servio, ainda mais se o servidor alvo for de pequeno porte. Essa tcnica consiste em enviar, sem interrupes, diversos disparos de pacotes para o servidor com objetivo de causar um congestionamento.

43

7.2.3 NUKE Nuke o nome que dado para pacotes TCP (Protocolo de Controle de Transmisso), UDP (Protocolo Utilizao de Datagrama), ICMP (Protocolo de Controle de Mensagens de Erro) ou IP (Protocolo de Identificao) com anomalias, onde este tipo de pacote pode fazer com que o servidor alvo se torne lento ou at mesmo chegue a travar devido dificuldade em conseguir identificar ou tratar corretamente o pacote. Exemplificando, podemos imaginar a seguinte situao em que o servidor recebe um pacote alterado com uma solicitao de conexo, onde o endereo de origem deste pacote o mesmo endereo do servidor que recebeu o pacote, sendo assim o servidor tentar estabelecer uma conexo consigo mesmo, possivelmente entrando em um loop, que caso no seja detectado pelo servidor, fatalmente resultar na queda do servio, onde essa queda pode ser a chance que o invasor esperava para entrar no sistema. Basicamente todos os programas de nuke utilizam o mesmo princpio: a. Definir o alvo dos pacotes (Cliente ou Servidor); b. Definir o tipo de mensagem de erro enviada (opcional); c. Definir o host do cliente; d. Definir o host do servidor; e. Definir as portas a serem nukadas no cliente; f. Definir as portas a serem nukadas no servidor; g. Definir o intervalo (delay) entre cada pacote enviado (opcional). Uma vez determinados esses parmetros o programa inicia o envio de pacotes de erro. Quanto mais rpida for a conexo com a Internet, menor o intervalo entre os pacotes e mais rpido a vtima vai ser atingida. No lugar da porta do servidor, o mais bvio comear a varredura a partir da porta 6667, que a porta de conexo default para a maioria dos servidores de IRC.

44

7.2.4 IP SPOOFING Disfarce. isto que este ataque faz. Muitas comunicaes entre

computadores na Internet se baseiam em parceiros confiveis. Um computador X pode manter uma comunicao comum com um computador Y de forma que no seja necessria a constante verificao de autenticao entre eles. O invasor, ento, se disfara, dizendo para o computador X que ele o computador Y. Desta forma o computador X vai aceitar seus comandos tranqilamente, enquanto ele usufrui dos servios disponveis do sistema. Detalhando um pouco mais, os pacotes IP possuem um endereo destino e um endereo de origem, onde normalmente o endereo de origem reflete a realidade, mas nada impede que este endereo seja alterado pelo invasor para que o pacote parea ter vindo de um outro lugar. S que no basta apenas isso, alm de enganar o computador de destino, neste caso o X, necessrio que se sobrecarregue o computador Y, para que ele no responda s mensagens de X, o que faria com Y dissesse: Mas eu no te perguntei nada !!!, e ento X cancelaria a conexo. Faz-se necessrio ainda, uma previso do nmero de seqncia mandado por X, onde este nmero enviado por X ao originar a conexo (supostamente o Y). Mas Y no ir responder, devido a sobrecarga explicada anteriormente. Com isso, o invasor deve prever o nmero de seqncia mandado por X para que seja enviado um novo pacote com estes nmeros de seqncia, fingindo novamente ter sido enviado por Y, e assim forjando a autenticao. A previso deste nmero de seqncia um processo demorado e criativo. Durante a negociao da conexo, os computadores trocam informaes para efetuarem o handshake, que seria o aperto de mo entre as mquinas. Dentre essas informaes trocadas esto os nmeros de seqncia, que devem ser repetidos para o destino, para que este se certifique da autenticao da conexo. O que o invasor pode fazer o seguinte:

45

a. Enviar, atravs de um pacote legtimo, com o endereo de origem verdadeiro, vrios pedidos de conexo X; b. X responde com um nmero de seqncia, para que o invasor o repita e efetue a conexo, mas a mquina de origem (do invasor) no tem privilgios e no lhe interessa fechar esta conexo; c. Ento o invasor no responde a estes pacotes de X, apenas os guarda e verifica seu nmero de seqncia. Aps vrios pedidos de conexo com X, o invasor pode aprender como gerar seus nmeros e ento mandar um pedido de conexo, desta vez com endereo de origem sendo Y (o computador confivel). Obviamente, o invasor no vai receber os pacotes de X com os nmeros de seqncia, pois estes iro para o endereo de origem (computador Y, que, a esta altura, precisa estar sobrecarregado para no responde-los), mas com base nos clculos anteriores, o invasor prev e manda o nmero de seqncia correto para o computador X, fechando a conexo. Esta conexo unidirecional, pois todas as respostas de X sero destinadas ao computador Y, e no ao computador do invasor. Ento o invasor age s cegas, pois no recebe nenhum tipo de retorno de X, pelo menos enquanto configura X para aceitar conexes do seu prprio computador. Ao terminar, o invasor tira o disfarce desfazendo a conexo falsa com X, fazendo uma conexo legtima logo em seguida, agora que X pode aceitar conexes confiveis atravs do computador do invasor com todos os privilgios possveis. H dois inconvenientes neste ataque: a. O trabalho de achar um padro nos nmeros de seqncia; b. Falta de retorno do computador invadido. Entretanto, existe uma outra categoria de spoofing, que apesar das condies pouco comuns, muito mais eficiente. Neste tipo de ataque, um computador de pouca importncia em uma rede invadido por um mtodo simples qualquer

46

(infelizmente, os computadores que no guardam informaes importantes geralmente so esquecidos no projeto de segurana) e, estando localizado no mesmo meio fsico, onde ocorre uma conexo entre duas mquinas importantes, ele poder captar todo trfego deste meio fsico. Com isso, ele saber os nmeros de seqncia de ambos os lados, podendo assim interceptar este dilogo, pondo-se no lugar de um dos computadores de conexo confivel, tendo total acesso aos dados mais sigilosos. Este tipo de ataque s pode ser eficazmente prevenido atravs de um controle apurado de todos os computadores da rede local, que compartilham o mesmo meio fsico, atravs de uma comunicao confivel baseada em aplicativos de criptografia. 7.2.5 DNS SPOOFING A idia bsica deste tipo de invaso fazer com que o servidor DNS permita que mquinas no autorizadas, que neste caso so as mquinas do invasor, passem a ser vistas pelo servidor DNS como mquinas confiveis rede. Para este objetivo ser alcanado, o invasor deve ter controle do host servidor de DNS, e saber o nome de uma mquina que o alvo confia, desta forma, altera-se o registro do DNS que mapeia o endereo IP da mquina confivel para o seu nome, modificando-o para que tenha o endereo da mquina do invasor. A partir de ento, o invasor ter acesso aos servios baseados em autenticao feita por nome. Grande parte dos sistemas j possui mtodos que identificam este tipo de ataque, utilizando para isso uma tcnica conhecida como cross-check, com esta tcnica o nome retornado pela consulta novamente submetido ao servio de nomes. Se o endereo retornado pela consulta for diferente do endereo cross-check, a conexo imediatamente abortada e apontada uma violao de segurana. Esta tcnica pode ser instalada no servidor de nomes e nos servidores de servios com autenticao baseada em nomes.

47

7.2.6 SOURCE ROUTING ATTACK Esse ataque se utiliza dos mecanismos de roteamento disponveis e da opo loose source route do protocolo IP para induzir a mquina alvo a acreditar que o ataque , na realidade, uma operao legtima de uma outra mquina confivel. A opo loose source route disponibiliza um mecanismo para que a origem de um datagrama possa fornecer informaes de roteamento usadas pelos gateways para direcion-lo ao destino. Deste modo um processo pode iniciar uma conexo TCP fornecendo um caminho explcito para o destino, sobrescrevendo o processo usual de roteamento. O protocolo IP especifica que pacotes contendo informaes de roteamento devem retornar sua origem utilizando o caminho reverso das rotas indicadas por ele. Um ataque pode desativar um computador que possui relao de confiana com o computador alvo (utilizando um ataque como Flood, Nuke, etc.) e definir em seu computador o IP do computador desativado. Sejam trs mquinas, X, A e B. Seja a situao em que o intruso em X lana um Source Route Attack em A que confia em B. Os passos de ataque sero os seguintes: a. O intruso, com algum tipo de ataque desestabiliza B, ou espera at que ela esteja desligada; b. O intruso configura X para que contenha o endereo IP de B. Neste momento o atacante est personificando a mquina confivel; c. Neste momento X acessa A. Para isso deve utilizar pacotes IP com opo loose source route ativada e corretamente configurada, contendo um caminho vlido de X para A; d. A aceita as requisies de X pensando que so de B. A partir deste momento X obtm uma conexo legtima com A;

48

7.2.7 SNIFFERS Na grande maioria das redes, os pacotes so transmitidos para todos os computadores conectados ao mesmo meio fsico, e cada mquina programada para somente tratar os pacotes destinados a ela. Entretanto, possvel reprogramar a interface de rede de uma mquina para que ela capture todos os pacotes que circulam pelo meio, no importando o destino. A interface de rede que opera deste modo dito em modo promscuo, e esta tcnica denominada snifing. Os ataques baseados em monitoria tm software especfico chamado sniffer, instalado pelos atacantes. O sniffer busca gravar os 128 bytes de cada sesso login, telnet e sees FTP vista naquele segmento de rede local, comprometendo todo trfego da rede de/para qualquer mquina naquele segmento, bem como o trfego que passar por aquele segmento. Os dados capturados incluem o nome do host (mquina) destino, a identificao do usurio (username) e a senha (password). A informao gravada no arquivo que posteriormente ser recuperado pelo atacante que acessa outras mquinas. Em muitos casos os invasores obtm acesso inicial aos sistemas usando uma das seguintes tcnicas: a. Obtm o arquivo de senhas via FTP em sistemas impropriamente configurados; b. Obtm acessos ao sistema de arquivos locais via pontos exportados para montagem com NFS, sem restries; c. Usam um nome de login e password capturada por um sniffer rodando em outro sistema. J que em um ambiente de rede normal trafegam muitas informaes em sigilo, como, por exemplo, nomes de usurios e senhas, fica fcil para um programa sniffer obter estas informaes. Naturalmente o volume de dados a tratar enorme, mas o trabalho pode ser simplificado atravs de regras simples de filtragem, e pelo fato de ser extremamente fcil detectar o incio de uma conexo TCP.

49

A utilizao de sniffer difcil de ser detectada. Se ele estiver somente coletando dados e no respondendo a nenhuma informao, a nica maneira percorrer fisicamente todas as conexes da rede. Uma maneira de detectar um sniffer em operao atravs dos imensos arquivos gerados por ele. Nota-se ainda que, novamente, um sniffer normalmente requer recursos somente disponveis para usurios administrativos, o que impede o seu uso por usurios normais de um sistema. Diversas medidas podem ser adotadas contra sniffers, mas a maioria delas requer o uso de hardware especfico, como hubs ativos, que enviam a uma rede ou sub-rede somente os pacotes destinados s mquinas localizadas nestas redes, ou ento interfaces de rede que no possuam modo promscuo. No lado dos aplicativos, podem ser utilizados programas que utilizem criptografia ou ento realizem autenticao com mtodos criptogrficos. 7.2.8 VRUS Vrus so programas como outros quaisquer, com a diferena de que foram escritos com o nico objetivo de atormentar a vida do usurio. Para "pegar" um vrus, voc deve obrigatoriamente executar um programa infectado ou acessar um disquete que tenha um vrus escondido. No h outra forma de contaminao. Por isto, difcil pegar vrus atravs de e-mail, por exemplo. Mesmo que voc tenha um programa infectado, caso voc no o execute, o vrus no ir contaminar o seu micro, ou seja, o vrus no de e-mail e sim de um arquivo que esta no e-mail. Na verdade, o micro no "pega" vrus nem "fica" com vrus. Os vrus ficam alojados secretamente dentro de programas ou da rea de boot de disquetes ou do disco rgido. Por este motivo, impossvel que voc compre alguma pea de computador "com vrus"; eles necessitam estar armazenados em algum lugar, normalmente disquetes e discos rgidos. Como so programas, com o micro desligado os vrus no podem fazer nada, mesmo que o micro esteja infectado.

50

CAPTULO 8 - ENGENHARIA SOCIAL

8.1 INTRODUO A engenharia social um dos meios de ataques mais utilizados na obteno de informaes sigilosas. Engenharia social a explorao de falhas humanas. O atacante faz uso da ingenuidade de terceiros para descobrir qualquer tipo de informao. Qual a melhor maneira de descobrir uma senha se no for perguntando-a? O atacante com a lista de ramais de uma empresa em mos pode se passar pelo diretor de tecnologia e questionar aos funcionrios suas senhas de acesso, como a de root (usurio administrador padro de servidores Unix-Like) de seus servidores na pior das hipteses, conseguindo assim fcil acesso a qualquer recurso da rede de computadores. O enganador para conseguir a informao pode-se passar por outra pessoa para conseguir a informao desejada. Na Internet existem softwares programados para ataques de Engenharia Social. So aqueles que, por exemplo, simulam pginas de bancos e foram o usurio a digitar sua senha e em seguida enviando-a para o programador mal intencionado. Outro caso que podemos citar so e-mails enviados por usurios mal intencionados que se fazem passar por empresas, como SERASA, que tem como intuito fazer com que o usurio abra ou baixe da Internet softwares trojans (ladres de informaes ou facilitadores de invaso). Os ataques baseados em Engenharia Social podem ser praticados tambm com o que a empresa joga fora no lixo, o atacante vasculha em busca de papeis contendo informaes que podem ajudar em futuro ataque. 8.2 PROPSITO

51

Alertar e educar os usurios da rede para esse tipo de ataque, evitando assim, o roubo de informaes. Pois o enganador pode se passar por outra pessoa pra conseguir qualquer tipo de dados. 8.3 ESCOPO Esta poltica fixa um padro a ser seguido na educao de todos os usurios dos sistemas da rede. 8.4 CONSIDERAES FINAIS Grandes, mdias e pequenas empresas investem em segurana e tecnologia mais se esquecem desta grande falha humana. A melhor forma de se proteger destes ataques prevenir-se com simples instrues, ou seja, fazer com que o funcionrio conhea o problema e que, por exemplo, jamais passe informaes para qualquer pessoa por telefone e que sempre tiver dvidas anote um nmero de telefone e retorne a chamada em seguida.

52

CAPTULO 9 SEGURANA FSICA

9.1 INTRODUO A segurana em tecnologia da informao pode ser compreendida por dois principais aspectos: segurana lgica, onde j tratamos anteriormente, e segurana fsica. A segurana fsica desempenha um papel to importante quanto a segurana lgica, porque a base para a proteo de qualquer investimento feito por uma organizao. Investir em diferentes aspectos da segurana sem observar suas devidas prioridades pode ocasionar uma perda de todos os recursos investidos em virtude de Sua falha nos sistemas mais vulnerveis. Qualquer acesso s dependncias da organizao, desde as reas de trabalho at aquelas consideradas crticas (onde ocorre o processamento de informaes crticas e confidenciais) deve ser controlado sempre fazendo necessria sua formalizao. Os sistemas de segurana devem ser implementados para garantir que em todos os locais da organizao o acesso seja realizado apenas por profissionais autorizados. Quanto maior for a sensibilidade do local, maiores sero os investimentos em recursos de segurana para serem capazes de impedir o acesso no autorizado. A norma NBR/ISO/17799 sugere diversos requisitos de segurana de terceiros dentro da organizao, principalmente no tocante a contratos, entre os quais destacamos necessidade de serem includos nos contratos os requisitos de segurana fsica.

53

9.2 POLTICA Alguns aspectos de segurana fsica so fundamentais e defendidos nessa poltica proposta, so eles: a. Monitoramento por circuito de TV; b. Segurana Ambiental - Rede eltrica e energia alternativa (geradores, nobreaks, estabilizada); c. Ar condicionado; d. Preveno e combate a incndio; e. CPD sob piso falso e tetos suspensos; f. Alarme ligado a central de monitorao; g. Locais de armazenamento de mdias de backup devem ser em cofres antichamas; h. Racks trancados com chaves; i. Servidores agrupados em locais seguros; j. No permitir a entrada de pessoas no autorizadas; k. Equipe de segurana e portaria. 9.3 CABEAMENTO ESTRUTURADO Entende-se por rede interna estruturada aquela que projetada de modo a prover uma infra-estrutura que permita evoluo e flexibilidade para servios de telecomunicaes, sejam de voz, dados, imagens, sonorizao, controle de iluminao, sensores de fumaa, controle de acesso, sistema de segurana, controles ambientais (ar-condicionado e ventilao) e considerando-se a quantidade e complexidade destes sistemas, imprescindvel a implementao de um sistema que satisfaa s necessidades iniciais e futuras em telecomunicaes e que garanta a possibilidade de reconfigurao ou mudanas imediatas, sem a necessidade de obras civis adicionais. Um sistema de cabeamento estruturado permite o trfego de qualquer tipo de sinal eltrico de udio, vdeo, controles ambientais e de segurana, dados e

54

telefonia, convencional ou no, de baixa intensidade, independente do produto adotado ou fornecedor. Este tipo de cabeamento, possibilita mudanas, manutenes ou

implementaes de forma rpida, segura e controlada, ou seja, toda alterao do esquema de ocupao de um edifcio comercial administrada e documentada seguindo-se um padro de identificao que no permite erros ou dvidas quanto aos cabos, tomadas, posies e usurios. Para estas caractersticas sejam conseguidas, existem requisitos mnimos relativos distncias, topologias, pinagens, interconectividade e transmisso, permitindo desta forma que atinja-se o desempenho esperado. Tendo base que um sistema de cabeamento estruturado, quando da instalao, est instalado em pisos, canaletas e dutos, este sistema deve se ter uma vida til de no mnimo 10 anos, este o tempo mdio da vida til de uma ocupao comercial.

55

CAPTULO 10 CONCIDERAES FINAIS

O desenvolvimento de uma organizao tambm depende da imagem que ela transmite ao mercado. A administrao da segurana tem papel fundamental na implementao de controles que minimizem os riscos que possam ser inerentes ao negcio da organizao. O papel da rea de segurana nos negcios tem se tornado diferencial competitivo, pois embora alguns acreditem ser burocracia, podemos considerar que os controles aumentam de forma significativa a capacidade da organizao no estar to exposta a perdas financeiras provenientes de fraudes, erros de processamentos, entre outras possibilidades. O estabelecimento da Poltica de Segurana da Informao somente o estgio inicial do processo de mudana de cultura quando ao tema, sendo assim, a preparao de polticas para estabelecimento de um ambiente seguro somente se efetiva por meio de comprometimento de seus profissionais e o desenvolvimento de processos que utilizam tecnologias e prticas aderentes poltica. Todos devem perceber que tem a sua parcela de contribuio. O Contedo mnimo da poltica de segurana deve contemplar a definio de aspectos gerais da poltica de forma concisa e objetiva, estabelecendo diretrizes para o desenvolvimento das normas. Por fim consideramos que o sucesso na implementao de uma poltica de segurana esta atrelado a uma estratgia que, apoiada pela alta administrao, deve considerar trs aspectos fundamentais: Pessoas, Tecnologia e Processos.

56

REFERNCIAS BIBLIOGRFICAS
MENNEL. Definio de Sistemas http://www.mennel.com.br/desenvolvimento.php?opcao=sistemasweb Acessado em 09/04/2006 Segurana Mnima Nilton Stringasci Moreira Editora Axcel Books Poltica de Segurana da Informao Guia prtico para elaborao e Implementao Fernando Nicolau Freitas Ferreira e Marcio Tadeu de Arajo Microsoft - Noes Bsicas Sobre Backup http://www.microsoft.com/brasil/athome/security/update/backup.mspx Acessado em 01/06/2006 Wikipedia - Backup http://pt.wikipedia.org/wiki/Backup Acessado em 01/06/2006 Backee http://www.backee.com Acessado em 01/06/2006 Backup em Sistema Linux : Uma Soluo de Peso http://dicaslinux.linuxsecurity.com.br/?modulo=ferramentas&acao=ver&registro=2 Acessado em 02/06/2006 Symantec Backup Exec for Windows Servers http://www.symantec.com/Products/enterprise?c=prodinfo&refId=57&ln=pt_BR Acessado em 03/06/2006 Barracuda Networks http://www.clm.com.br/barracuda/imfirewall.asp Acessado em 10/06/2006 SonicWALL Internet Security http://www.sonicwall.com/products/pro4060.html Acessado em 10/06/2006 Network Word http://www.networkworld.com/news/2004/1206microoffer.html Acessado em 15/06/2006 Allen Informtica http://www.allen.com.br/noticia.asp?cd=54&tipo=8 Acessado em 15/06/2006

57

Rede Nacional de Ensino e Pesquisa - Centro de Atendimento a Incidentes de Segurana http://www.rnp.br/cais/estatisticas/ Acessado em 27/09/2006