analise de vulnerabilidades2
Propaganda
Análise das principais ameaças e vulnerabilidades Cerutti -IES ABNT NBR ISO/IEC 27000:2013 Ativos de Informação • • • • • • • • Ativos de Informação: Pessoas Aplicações Dados Documentos Equipamentos Instalações Sistemas Operacionais Logs e arquivos de configuração Normas ISO ISO Marco de Internet Brasil – 2013/14 PILARES DA SEGURANÇA DA INFORMAÇÃO 1. Confidencialidade: oferecer suporte a prevenção de revelação não autorizada da informação. 2. Integridade: prevenir a modificação não autorizada da informação. 3. Disponibilidade: prover acesso confiável a qualquer momento à informação. 4. Não repúdio: assegura que nem o emissor nem o receptor de uma informação possam negar o fato 5. Autenticidade: assegurar a integridade de origem da informação compreendendo o que denominamos de responsabilidade final. 6. Privacidade: Assegurar que dados pessoais disponíveis estejam disponíveis só para autorizados Riscos – Capítulo separado • Humanos • Lógicos • Físicos Tarefas • Identificar as necessidades de segurança de rede. • Identificar algumas das causas dos problemas de segurança de rede. • Identificar características e fatores motivadores de invasão de rede. • Identificar as ameaças mais significativas na segurança de rede. • Conceituar vulnerabilidade, ameaça, risco e gerenciamento de risco. Ameaças Acidentais • • • • Falhas de equipamento Erros humanos Falhas do Software Falhas de alimentação • Problemas causados pelas forças da natureza Ameaças Causadas por Pessoas • • • • • • • • Espionagem Crimes Empregados insatisfeitos Empregados “doentes” Empregados desonestos Vandalismo Terrorismo Erros dos usuários Ameaças • Analisando ameaças • Ameaça é tudo aquilo que pode comprometer a segurança de um sistema, podendo ser acidental (falha de hardware, erros de programação/usuários, etc...), ou deliberada (roubo, espionagem, sabotagem, invasão, etc...). • Pode ser uma pessoa, uma coisa, um evento, uma idéia capaz de causar dano. • Ameaças deliberadas: •Passivas – envolvem invasão e/ou monitoramento, sem alteração de informações. •Ativas – Envolvem alteração nos dados. •A magnitude de uma ameaça deliberada está relacionada com a oportunidade, motivação e forma de detecção e punição de quebras de segurança. Vulnerabilidades dos Computadores • Pequenos suportes guardam grandes volumes de dados • Os dados são invisíveis • Os suportes podem falhar • Copiar não anula a informação • Dados podem ficar inadvertidamente retidos • Avanços Tecnológicos • Sistemas Distribuídos • Normas de Segurança Tecnologias e Ferramentas para Garantir a Segurança Um Firewall Corporativo O firewall é colocado entre a Internet pública ou outra rede pouco confiável e a rede privada da empresa, com a intenção de proteger esta contra tráfego não autorizado. Dados do PNUD (2004), retrabalhados para esta apresentação Perdas médias anuais em milhões de dólares Importância os desastres Gastos com desastres naturais sendo a maioria nos países desenvolvidos 2.500 0,0641x 2.000 1.500 y = 2E-53e 2 R = 0,969 esponencial ajustada pelo método dos mínimos quadrados Atente-se para o grau de aderência 1.000 500 0 1940 1960 1980 Década 2000 2020 Conceitos • Sinistro – Evento externo ao indivíduo ou grupo de indivíduos que altera as condições que estavam causando perturbações, danos, prejuízos sempre gerando vítmas podendo até ser fatal. • Desastre – É o sinistro que ultrapassa a capacidade de resposta da comunidade afetada • Emergência – Sinistro que pode ser absorvido (tratado e superado) pela comunidade afetada sem necessidade de auxílio externo Porque os sistemas são frágeis? Conceitos (2) • Ameaças – Fenômenos naturais ou de origem tecnológica ou social que possam causar sinistros • Vulnerabilidade – Situação em que se encontram pessoas ou bens que permitam com maior ou menor facilidade a ocorrência de sinistros. – A vulnerabilidade varia de acordo com cada ameaça. Ameaça 1- Phishing • Problema: Grande número de usuários de serviços financeiros on-line vulneráveis, facilidade de criar sites falsos • Soluções: Implantar software antiphishing e serviços e sistema de autenticação multinível para identificar ameaças e reduzir tentativas de phishing • Implantar novas ferramentas, tecnologias e procedimentos de segurança, além de educar os consumidores, aumenta a confiabilidade e a confiança dos clientes. 2-Vírus programa desenvolvido para alterar a forma como um computador opera, sem a permissão ou o conhecimento do seu usuário. Um vírus precisa atender a dois critérios: 1)deverá executar a si próprio, freqüentemente inserindo alguma versão do seu próprio código no caminho de execução de outro programa. 2)ele deve se disseminar. • pode se copiar em outros arquivos executáveis ou em discos que o usuário acessa. • podem invadir tanto computadores desktop como servidores de rede. Tipos de vírus • Vírus de programa: têm extensões como .COM, .EXE, .OVL, .DLL, .DVR, .SYS, .BIN e, até mesmo, .BAT. Exemplos de vírus de programa conhecidos são Jerusalem e Cascade. • Vírus de setor de boot: infectam a área do sistema de um disco - ou seja, o registro de inicialização em disquetes e discos rígidos. • Vírus de macro: infectam os arquivos dos programas Microsoft Office Word, Excel, PowerPoint e Access. • Variações mais recentes também estão aparecendo em outros programas. Usam a linguagem de programação interna do programa, que foi criada para permitir que os usuários automatizem determinadas tarefas neste programa. Devido à facilidade com que estes vírus podem ser criados, existem milhares deles espalhados. Ameaças • Bugs de Software • Bug - erro num programa de computador que o faz executar incorretamente. • Bugs trazem aborrecimentos e muitas vezes prejuízo. • Back doors – Bugs propositalmente inseridos nos programas para permitir acesso não autorizado (brechas de segurança). • Hackers estão sempre em busca de back doors para invadir sistemas. • Ameaças programadas • Programas podem passar a ter comportamentos estranho, pela execução de códigos gerados para danificar ou adulterar o comportamento normal dos softwares. • Podem ser confundidos ou identificados como vírus. • Mais freqüentes em microcomputadores. PILARES DA SEGURANÇA DA INFORMAÇÃO Os pilares refletem na organização e envolvem 3 aspectos principais: • Pessoas – Usuários bem orientados, treinados e conscientizados. • Processos – Regras claras para utilização dos recursos tecnológicos fornecidos pela empresa e leis que em caso de desvio de informações punam severamente o infrator. • Tecnologia – Sistemas bem implementados para assegurar e proteger as informações da empresa Discussão: Phishing • O que torna determinado e-mail suspeito? • Você costuma abrir e-mails suspeitos? Quais são as conseqüências dessa ação? • Você costuma reportar e-mails suspeitos a alguém? • Que medidas você tem adotado para proteger-se do phishing? • Sua instituição possui política clara sobre as ameaças e riscos do phising? Como seria um rascunho dessa política (inclua punições cabíveis) 2 - Malwares Software Mal-intencionado: Vírus, Worms, Cavalos de Tróia e Spyware • Malware • Vírus • Worms • Cavalos de Tróia • Spyware • Key loggers (registradores de teclas) "malware”=malicious software” é um software destinado a infiltrar-se em um sistema de computador de forma ilícita, com o intuito de causar: 1. danos, 2. alterações 3. ou roubo de informações (confidenciais ou não). como os códigos maliciosos podem infectar ou comprometer um computador (EXEMPLOS) • pela exploração de vulnerabilidades existentes nos programas instalados; • pela auto-execução de mídias removíveis infectadas, como pen-drives; • pelo acesso a páginas Web maliciosas, utilizando navegadores vulneráveis; • pela ação direta de atacantes que, após invadirem o computador, incluem arquivos contendo códigos maliciosos; • pela execução de arquivos previamente infectados, Os programas antivírus e firewalls são algumas das ferramentas mais comuns para prevenir que estes tipos de programas entrem no computador e o danifiquem. Os antivírus modernos também protegem contra spywares e adwares. Antivírus têm proteção em tempo real para verificar os processos em execução no sistema. Os antivírus devem ser constantemente atualizados para que possam oferecer proteção contra os mais novos tipos de malware. A melhor forma de evitar um malware é o bom senso. • Computadores com windows são mais propensos à infecção mas computadores da Apple também estão sujeitos aos malwares. • Não baixar nenhum programa ou arquivo executável de origem desconhecida. • Não entrar em sites suspeitos. • O simples ato de entrar em um site pode infectar o seu computador com o uso de exploits. • uso de um produto antivírus é indispensável, porém não deve ser a única medida de segurança em um computador. • Firewalls também são necessários para barrar intrusões na máquina e protegem a rede local. • Em sistemas operacionais Unix, somente o superusuário deve se preocupar com danos, já que cada usuário tem sua própria estrutura. O Comitê Gestor da Internet (CGI) no Brasil tem uma cartilha descrevendo os procedimentos para evitar estes softwares maliciosos. Ataques • Geralmente divididos nos seguintes tipos: – Pelo alvo geral do ataque (aplicações, redes ou misto) – Se o ataque é ativo ou passivo – Pelo mecanismo de ataque (quebra de senha, exploração de código, ...) • Ataques Ativos – DoS, DDoS, buffer overflow, inundação de SYN • Ataques Passívos – Pesquisa de vulnerabilidade, sniffing, ... • Ataques de Senha – Força bruta, Dicionário, “hackish”, Rainbow Tables • Código malicioso (malware) – Vírus, trojans, worms, ... Ataques Ativos • DoS/DDoS – Reduzir a qualidade de serviço a níveis intoleráveis – Tanto mais difícil quanto maior for a infraestrutura do alvo – Enquanto DoS é de fácil execução e pode ser corrigido, DDoS é de difícil e não pode ser evitado – “Zombies” e Mestres (Masters), ataque smurf – BOTs e BOTNets, ataques “massificados” por banda larga – Tipos • Consumo de Recursos (largura de banda, cpu, RAM, ...) • Pacotes malformados (todas as flags ligadas) Ataques Ativos (cont.) • Buffer Overflow – Sobrescrever o próprio código em execução – “Shell code”, escrito em assembler – Tem como objetivo executar algum código, ou conseguir acesso privilegiado • Ataques SYN – Fragilidade nativa do TCP/IP – Conexão de 3-vias (Syn, Syn-Ack, Ack) • Spoofing – Se fazer passar por outro ativo da rede – MITM (Man-In-The-Middle) Dsniff Ataques Ativos (Cont.) • Lixeiros – Documentos sensíveis mal descartados – Informações em hardwares obsoletos – Falta de Política de Classificação da Informação • Engenharia social – Kevin Mitnick – Normalmente relevada nos esquemas de segurança – Utiliza-se do orgulho e necessidade de autoreconhecimento, intrínseco do ser humano “Um computador não estará seguro nem quando desligado e trancado em uma sala, pois mesmo assim alguém pode ser instruído a ligá-lo.” [ Kevin Mitnick – A arte de enganar/The Art of Deception ] Ataques ativos por código malicioso • Malware – MALicious softWARE – Não apenas Spyware ou Adware – “Payload” Vs Vetor • Vírus – Auto replicante – Interfere com hardware, sistemas operacionais e aplicações – Desenvolvidos para se replicar e iludir detecção – Precisa ser executado para ser ativado Ataques ativos por código malicioso (cont) • Cavalos de Tróia (Trojans) – Código malicioso escondido em uma aplicação aparentemente legítma (um jogo por exemplo) – Fica dormente até ser ativado – Muito comum em programas de gerência remota (BO e NetBus) – Não se auto replica e precisa ser executado • Bombas Lógicas – Caindo em desuso pela utilização de segurança no desenvolvimento – Aguarda uma condição ser atingída – Chernobyl, como exemplo famoso (26, Abril) Ataques ativos por código malicioso (cont) • Worms – Auto replicante, mas sem alteração de arquivos – Praticamente imperceptíveis até que todo o recurso disponível seja consumido – Meio de contaminação mais comum através de e-mails e/ou vulnerabilidades em aplicações de rede – Não necessita de ponto de execução – Se multiplica em proporção geométrica – Exemplos famosos: • LoveLetter, Nimda, CodeRed, Melissa, Blaster, Sasser, ... Ataques ativos por código malicioso (cont) • Back Door – Trojan, root kits e programas legítmos • VNC, PCAnyware, DameWare • SubSeven, Th0rnkit – Provê acesso não autenticado a um sistema • Rootkit – Coleção de ferramentas que possibilitam a criação “on-demand” de backdoors – Modificam rotinas de checagem dos sistemas operacionais comprometidos para impedir detecção – Iniciam no boot junto com os processos do sistema Ataques Passívos • Normalmente utilizado antes de um ataque ativo • Pesquisa de Vulnerabilidades – Pesquisa por Portas/Serviços • http://www.insecure.org – Nmap • Escuta (sniffing) – – – – Extremamente difícil detecção Não provoca ruído sensível Senhas em texto claro, comunicações não encriptadas Redes compartilhadas Vs comutadas • Switch Vs Hub – WireShark (Lin/Win), TCPDump (Lin) • http://www.wireshark.org • http://www.tcpdump.org Ataques Passívos (cont) • Ataques de Senha – Muito comuns pela facilidade de execução e taxa de sucesso • Cain&Abel, LC5, John The Ripper, ... – Compara Hash’s, não texto • Força Bruta – Teste de todos os caracteres possíveis – Taxa de 5 a 6 Milhões de testes/seg, em um P4 • Ataques de Dicionário – Reduz sensivelmente o tempo de quebra – Já testa modificado para estilo “hackish” • B4n4n4, C@73dr@l, P1p0c@, R007, ... • Rainbow Tables – Princípio Time Memory Trade-off (TMTO) Vulnerabilidade dos Sistemas e Uso Indevido • Um computador desprotegido conectado à Internet pode ser danificado em poucos segundos • Segurança: políticas, procedimentos e medidas técnicas usados para impedir acesso não autorizado, alteração, roubo ou danos físicos a sistemas de informação • Controles: métodos, políticas e procedimentos organizacionais que garantem • a segurança dos ativos da organização, • a precisão • a confiabilidade de seus registros • a adesão operacional aos padrões administrativos Vulnerabilidade dos Sistemas e Uso Indevido Por que os Sistemas São Vulneráveis? • Problemas de hardware (quebras, erros de configuração, danos por uso impróprio ou crime) • Problemas de software (erros de programação, erros de instalação, mudanças não autorizadas) • Desastres (quedas de energia, enchentes, incêndios etc.) • Vulnerabilidades da Internet • Desafios da segurança sem fio Vulnerabilidade dos Sistemas e Uso Indevido Por que os Sistemas São Vulneráveis? Desafios de Segurança Contemporâneos Vulnerabilidade dos Sistemas e Uso Indevido Por que os Sistemas São Vulneráveis? • Visite o site http://securelist.com/ • Quais são os principais vírus em termos de taxa de infecção? • Quais são as ameaças de vírus mais recentes? • Leia descrições dos principais vírus e das ameaças mais recentes • O que os downloads do securelist oferecem para ajudar os usuários a proteger e a reparar seus computadores? • Compare e contraste o conteúdo disponível no security com as ofertas do site da Symantec em www.symantec.com Vulnerabilidade dos Sistemas e Uso Indevido Por que os Sistemas São Vulneráveis? Hackers e Cibervandalismo • Hackers versus crackers • Cibervandalismo • Spoofing • Sniffing • Ataque de recusa de serviço (DoS) • Ataque Distribuído de Recusa de Serviço (DDoS) • Botnets (‘redes de robôs’) Vulnerabilidade dos Sistemas e Uso Indevido Por que os Sistemas São Vulneráveis? Chantagem Cibernética e Redes de Zumbis: Novas Ameaças dos Ataques DoS • Encontre as definições e formas de proteçao para essas ameaças. Responda: • Qual problema as empresas enfrentam com essas ameaças? Como são detectados? Como afetam os negócios? • Quais eram as soluções disponíveis para resolver o problema? • Que outras soluções poderiam ter sido consideradas? • Como as questões humanas, organizacionais e tecnológicas contribuíram para o problema? Vulnerabilidade dos Sistemas e Uso Indevido Por que os Sistemas São Vulneráveis? Crimes de Informática e Ciberterrorismo • Crime de informática: ‘Quaisquer violações da legislação criminal que envolvam um conhecimento de tecnologia da informática em sua perpetração, investigação ou instauração de processo’ – Departamento de Justiça dos Estados Unidos • As empresas norte-americanas perdem 14 bilhões de dólares por ano para o cibercrime • Roubo de identidade (phishing, evil twins, pharming, uso indevido do computador [spamming]) • Ciberterrorismo e guerra cibernética Vulnerabilidade dos Sistemas e Uso Indevido Por que os Sistemas São Vulneráveis? Ameaças Internas: Funcionários • Ameaças à segurança freqüentemente se originam dentro da empresa • Engenharia social Vulnerabilidades do Software • Softwares comerciais contêm falhas que criam vulnerabilidades de segurança • Patches (remendos) Vulnerabilidade dos Sistemas e Uso Indevido Por que os Sistemas São Vulneráveis? Valor Empresarial da Segurança e do Controle • O não funcionamento dos sistemas de computador pode levar a perdas significativas ou totais das funções empresariais • As empresas estão agora mais vulneráveis do que nunca • Uma brecha de segurança pode reduzir o valor de mercado de uma empresa quase imediatamente • Segurança e controles inadequados também produzem problemas de confiabilidade Vulnerabilidade dos Sistemas e Uso Indevido Por que os Sistemas São Vulneráveis? Valor Empresarial da Segurança e do Controle Prova Eletrônica e Perícia Forense Computacional • Grande parte das provas para ações legais são encontradas hoje em formato digital • O controle adequado de dados pode economizar dinheiro quando for necessário apresentar informações • Perícia forense computacional: procedimento científico de coleta, exame, autenticação, preservação e análise de dados mantidos em — ou recuperados por — meios de armazenamento digital, de tal maneira que as informações possam ser usadas como prova em juízo • Dados ambientes Vulnerabilidade dos Sistemas e Uso Indevido Por que os Sistemas São Vulneráveis? Como Estabelecer uma Estrutura para Segurança e Controle • ISO 27000:2013 • Avaliação de risco • Política de segurança • Chief security officer (CSO) • Política de uso aceitável (AUP) • Políticas de autorização • Sistemas de gerenciamento de autorização Vulnerabilidade dos Sistemas e Uso Indevido Por que os Sistemas São Vulneráveis? Como Assegurar a Continuidade dos Negócios-Capítulo Específico • Downtime • Sistemas de computação tolerantes a falhas • Computação de alta disponibilidade • Computação orientada a recuperação • Plano da recuperação de desastres • Plano de continuidade dos negócios • Outsourcing da segurança (provedores de serviços de segurança gerenciada) Vulnerabilidade dos Sistemas e Uso Indevido Por que os Sistemas São Vulneráveis? O Papel da Auditoria no Processo de Controle • Auditoria de sistemas • Identifica todos os controles que governam sistemas individuais de informação e avalia sua efetividade. • O auditor entrevista indivíduos-chave e examina os controles de aplicação, os controles gerais de integridade e as disciplinas de controle. Vulnerabilidade dos Sistemas e Uso Indevido Por que os Sistemas São Vulneráveis? Tecnologias e Ferramentas para Garantir a Segurança Controle de Acesso • Autenticação • Tokens • Smart cards • Autenticação biométrica Ataques Ameaças Digitais Mais "Focadas” Tecnologias e Ferramentas para Garantir a Segurança Novas Soluções para o Gerenciamento de Identidade • Quais os problemas que grandes empresa podem enfrentarn com o Authentication, authorization,& accounting (AAA)? • Qual pode ser impacto desses problemas? Como eles poderiam ser resolvidos? • Quais são as soluções disponíveis para as empresas? • Quais questões humanas, organizacionais e tecnológicas precisam ser abordadas no desenvolvimento das soluções? • Você acha que as soluções podem efetivamente resolver o problema da Authentication, authorization, & accounting (AAA) e Por quê? http://www.cisco.com/c/en/us/td/docs/ios/12_2/security/configuration/guide/fsecur_c/scfaaa.html Tecnologias e Ferramentas para Garantir a Segurança Firewalls, Sistemas de Detecção e Prevenção de Invasão e Software Antivírus • Firewall: a combinação de hardware e software que controla o fluxo de tráfego que entra ou sai da rede • Sistemas de detecção (IDS) e prevenção (IPS) de invasão monitoram em redes corporativas para detectar e deter intrusos • Software antivírus e antispyware de gateway (emair router ou SMTP server) verifica a presença de malware em computadores e freqüentemente também é capaz de eliminá-lo Tecnologias e Ferramentas para Garantir a Segurança Segurança em Redes Sem Fio • A segurança WEP pode ser melhorada quando usada com a tecnologia VPN • Especificações Wi-Fi Alliance/Acesso Protegido (WPA/WPA2) • Protocolo de Autenticação Extensível (EAP) • Proteção contra redes falsas • IEEE 802.1x Criptografia – Capítulo específico Tecnologias e Ferramentas para Garantir a Segurança Criptografia e Infra-Estrutura de Chave Pública • Criptografia: transformar textos comuns ou dados em um texto cifrado, que não possa ser lido por ninguém a não ser o remetente e o destinatário desejado • • • • • • • Secure Sockets Layer (SSL) Transport Layer Security (TLS) Secure Hypertext Transfer Protocol (S-HTTP) Criptografia de chave pública Assinatura digital Certificado digital Intra-estrutura de chave pública (PKI) Analise o Documento Symantec Threats to virtual environments no site da disciplina E responda: 1. Máquinas virtuais são mais seguras que as físicas? Explique. 2. Quais os principais problemas que podem afetar os ambientes virtualizados? 3. Quais as melhores práticas para se evitarem problemas nesses ambientes? Capítulo específico Dentre os diversos assuntos tratados pela gestão de segurança da informação, um dos principais elementos que direcionam as ações é o gerenciamento de risco, iniciado com a implementação de um processo de análise de risco. Avaliação dos Riscos • O que é um risco? – É um contexto que inclui as ameças, vulnerabilidades e o valor a proteger • O que é a análise de risco? – É o processo de avaliar em que medida é que um certo contexto é ou não aceitável para uma organização Técnicas de Análise de Risco • Prever cenários de: – Ameaças – Vulnerabilidades • Para cada cenário: – Prever os prejuízos / Recursos a envolver para evitar a concretização dos cenários – Fazer uma análise de custo/benefício Técnicas de Análise de Risco • Análise subjectiva – Documentos escritos com vários cenários como base para sessão de “brainstorming” • Análise Quantitativa – Para cada ameaça quantificar a sua incidência – Estimar o valor dos prejuízos que pode causar – Estimar o custo de combater a ameaça – Pesar as várias ameaças para obter um valor final (que algoritmo?) Técnicas de Análise de Risco • Técnicas Automatizadas – Uso de ferramentas informáticas que implementam UM algoritmo específico – CRAMM no Reino Unido • CCTA Risk Analysis and Management Method – CCTA - Central Computer Telecommunications Agency CRAMM • 3 Etapas – Etapa 1 - Identificação dos recursos a proteger, seu custo, grau de criticalidade da sua indisponibilidade, ... – Etapa 2 - Avaliação das vulnerabilidades do sistema (o CRAMM considera 31 tipos de ameaças) • São usados questionários que são passados para o pessoal para fazer a avaliação ponderada de várias pessoas CRAMM – Etapa 3 - Usa um algoritmo e faz recomendações sobre os recursos a proteger, medidas a tomar. Vulnerabilidades do Software • Bugs do sistema operativo – Especificações com erros – Implementação com erros • Bugs das aplicações – Especificações com erros – Implementação com erros CERT • CERT - Computer Emergency Response Team • Estrutura organizativa que recolhe e divulga debilidades de segurança • Cadeia segura de troca de informação – Bugs de sistema operativo – Bugs de aplicativos comuns – Vírus
