Segurança de Dados

Segurança de Dados
Os dados armazenados no banco de dados precisam ser protegidos
de acessos não autorizados, destruição ou alteração intencional e
introdução acidental de inconsistência.
Segurança e Violações de Integridade
O mal uso do banco de dados pode ser classificado como intencional
ou acidental. A perda acidental de consistência de dados pode ser
conseqüência de:
Queda durante o processamento de transações
Anomalias causadas por acesso concorrente ao banco de dados
Anomalias causadas pela distribuição de dados pelos diversos
computadores
Erros lógicos que violam as regras impostas para que as transações
preservem as
restrições de consistência do banco de dados.
Segurança e Violações de Integridade
É mais fácil a proteção contra perda acidental da consistência dos
dados do que se proteger contra o acesso insidioso ao banco de
dados. Dentre as formas de acesso insidioso, estão as seguintes:
Leitura não autorizada de dados (roubo de informação)
Modificação não autorizada de dados
Destruição não autorizada de dados
Segurança e Violações de Integridade
A proteção absoluta do banco de dados contra abusos é impossível,
mas o custo para o criminoso pode tornar-se tão alto que impedirá a
maioria, se não todas elas, das tentativas de acesso ao banco de
dados sem a devida autorização.
A segurança do banco de dados normalmente refere-se à proteção
contra acesso insidioso, ao passo que a integridade se refere à
precaução contra perda acidental de consistência.
Segurança e Violações de Integridade
Para proteger o banco de dados, devemos tomar medidas de
segurança em vários níveis:
Físico: o site ou sites contendo os sistemas de computador devem ser
fisicamente
seguros contra entradas diretas ou clandestinas de intrusos.
Humano: os usuários devem ser cuidadosamente autorizados para
reduzir a chance de qualquer fornecimento de acesso a um intruso em
troca de suborno ou outros favores.
Sistema operacional: independente de quão seguro o sistema de
banco de dados seja, a debilidade na segurança do SO pode servir
como meio de acesso não autorizado ao banco de dados.
Segurança e Violações de Integridade
Rede: se os bancos de dados permitem acesso remoto por meio de
terminais ou redes, a segurança em nível de software de rede é tão
importante quanto a segurança física, tanto na Internet como em redes
privadas de empresas.
Sistema de banco de dados: alguns usuários de sistemas de banco de
dados podem ter autorização de acesso somente a uma porção
limitada do banco de dados. Outros usuários podem ser autorizados a
emitir consultas, mas podem estar proibidos de modificar os dados. É
responsabilidade do sistema de banco de dados garantir que essas
restrições de acesso não sejam violadas.
Segurança e Violações de Integridade
A segurança em todos esses níveis é necessária para garantir a
segurança do banco de dados como um todo.
É indispensável, em muitas aplicações, despender esforços para
preservar a integridade e a segurança do banco de dados.
Grandes bancos de dados contendo folha de pagamento ou outros
dados financeiros são alvos atraentes aos ladrões.
Segurança e Violações de Integridade
Os bancos de dados que contêm dados pertencentes a operações
corporativas podem interessar a competidores inescrupulosos. Além
do mais, a perda desses dados, acidentalmente ou por fraude, pode
prejudicar seriamente o funcionamento de uma corporação.
Autorização
Um usuário pode ter várias formas de autorização sobre partes do
banco de dados.
Dentre elas estão as seguintes:
Autorização read: permite a leitura, mas não a modificação dos
dados.
Autorização insert: permite a inserção de novos dados, mas não a
modificação de dados existentes.
Autorização update: permite a modificação, mas não a remoção de
dados.
Autorização delete: permite a remoção de dados.
SEGURANÇA DA INFORMAÇÃO
PRINCIPAIS RAZÕES DE ATAQUE
* ERRO HUMANO
* FALTA DE PROCEDIMENTOS
* SOFTWARE MAL CONFIGURADO
REQUISITOS IMPORTANTES
CONFIDENCIALIDADE – Necessária para controlar quem lê as
informações e para escondê-las dos outros
INTEGRIDADE – Precisa assegurar que as informações e programas
são alterados somente de maneira especificada e autorizada, e que os
dados apresentados são genuínos e não foram apagados durante a
transmissão
DISPONIBILIDADE – Precisa garantir que usuários autorizados
continuem tendo acesso a informações e recursos.
LEGITIMIDADE – Recursos não podem ser usados por pessoas não
autorizadas ou de um modo não autorizado.
NÃO-REPÚDIO – Para que uma pessoa ou empresa não possa
negar uma transação que realizou
POLÍTICA DE INFORMAÇÃO
Fazer uma lista de todos os recursos que precisam ser protegidos
Definir quem tem acesso físico ao hardware e acesso lógico ao
software
Catalogar as ameaças para cada um dos recursos
Uma vez catalogado as ameaças, uma análise de risco precisa ser
executada, mostrando a porcentagem de cada ameaça
Avaliar quais ameaças podem ser ignoradas por enquanto, e quais
precisam ser consideradas
Deverão ser feitas constantes avaliações e atualizações no caso de
novas ameaças ou falha na segurança
AMEAÇAS NA INTERNET
PERDA DE INTEGRIDADE DE DADOS – A informação é criada,
modificada ou apagada por um intruso
PERDA DE PRIVACIDADE DE DADOS – A informação é
disponibilizada para pessoas não autorizadas
PERDA DE SERVIÇO – Um serviço pára devido à ação de um hacker
PERDA DE CONTROLE – Os serviços são usados por pessoas
autorizadas de um modo não controlado
FORMAS DE ATACAR UM SISTEMA
Monitorar a comunicação entre duas partes
Roubo do software e/ou hardware
Interceptar saída eletromagnética de dispositivos – monitor
Através de recursos de mídia descartados pela empresa – disquetes
Suborno do pessoal de segurança do site-alvo
Intrusão física
Oferecer informação sobre a rede interna
ENGENHARIA SOCIAL
Concentra-se nos links mais fracos da segurança da Internet – o ser
humano
Aberturas sociais trabalham normalmente de forma indireta. Qualquer
pessoa com algum contato com as pessoas envolvidas com a
segurança da rede da empresa já é um risco potencial de segurança