Políticas de Segurança: Verdade ou Mito?

Security Policy: Truth vs. Myth

Roberto de Carvalho

[email_address]

Emiliano Kargieman

[email_address]

Política de Segurança: verdade ou mito?

Agenda

O mito da Po lítica da seguran ça da Informaçã o

Repensando a Seguran ça

Players e papéis

O processo da Segurança e o papel da política

Infraestrutura de Segurança

Perguntas e Respostas

Introdução: O mito da Política de Segurança

Um mantra para exorcizar os males

Todo mundo está falando

N ã o existe uma definição aceita

Todo mundo está querendo uma

Isso é apenas uma onda?

Política de Segurança

Problemas das Políticas

Muito focada no high-level

Sem manutenção

Ou gerenciada

Sem execução

Ou controle

Ou testada

Separada da realidade

Repensando a Segurança

Onde nos perdemos

Dia-a-dia operacional

Usu ários , plataformas, SOs, aplicações, redes

A busca por uma solução mágica

Na estrat égia bottom-up ou top-down

Definição de orçamento

A briga da segurança vs. flexibilidade

Um pequeno lembrete

Não existe Segurança real.

Segurança é apenas a percepção do risco

Administrar a Segurança é administrar o risco.

Para aumentar a Segurança, riscos precisam ser:

Modelados

Quantificados

Minimizados ao longo do tempo

Trata-se de um processo contínuo!

Pessoas, processos, dados e informaç ã o

Informação é volátil, difícil para definí-la ou conte-la.

Processos podem ser modelados, mediados e auditados

Modelando o fluxo da informação

Modelar o fluxo da informação em uma organização, onde players comunicam, processam e armazenam informação.

Identificar os processos, fontes de dados e recursos críticos para o funcionamento da organização

Pontos de entrada

Cada interação possui o seu próprio risco.

Modelando o Risco

A equa ção do risco Modelando o Risco = = Ameaças x Vulnerabilidades x Impacto Contra medidas Perfil do attacker, Recursos disponíveis Falhas do software, Políticas superficiais, Protocolos, Etc. Prejuízos calculados Práticas e tecnologias

Ameaça

Quantificada pelo perfil do atacante, conhecimento, recursos financeiros e humanos, interesses, etc:

Amador

Hacker

Grupo de Hackers

Funcionário instatisfeito

Concorrentes

Crime organizado

Agencia de Inteligencia

Organizações terrroristas

Modelando o Risco

Vulnerabilidades

Falhas de Design

Sistemas críticos de informação

Redes

Arquitetura de Segurança

Falhas de Implementação

Vulnerabilidades de sistemas operacionais

Vulnerabilidades de aplicações

Vulnerabilidades de hardware

Mal uso ou configuração

Fraquezas da política

Responsabilidades não definidas claramente

Modelando o Risco

Impacto

Consequencias do ataque, quantificadas por perdas economicas, publicidade negativa, etc.

Perda de informação proprietária

Corrupção de informação crítica

Fraude financeira

Interrupção de processos críticos

Sabotagem

Fraude de Telecomunicações

Modelando o Risco

Contra-medidas

Ferramentas de segurança, software e mecanismos

Dispositivos de rede

Crypto

Controle de Accesso

Etc.

Procedimentos

Resposta a emergencia

Auditoria

Visibilidade

Treinamento

Modelando o Risco

Administrando o risco

Requer monitoramento, previsão e análise da evolução das variáveis na equação do risco

Implementar e ajustar as contra medidas

Repensando a Segurança Risk =  I.F. ⌠ ⌡ T << mT

O que as pessoas podem fazer é o que importa

Segurança da Informação pode ser vista como o processo de definição, administração e controle do fluxo de informação entre os participantes (players) de um sistema

Definir uma política é definir exatamente o que os players podem e devem fazer.

Players

Players internos

Players com funções operacionais no sistema (organização)

Eles estão na folha de pagamento

Perfis e números sao conhecidos

Espera-se que eles sigam a política

Players externos

Clientes, parceiros, fornecedores, atacantes

Eles podem não ter uma função operacional no sistema

Perfis e números são desconhecidos

Papéis

Um player desempenha uma fun ç ão ao participar em uma série de processos.

Em cada processo, o player tem um papel específico e bem definido.

Para desempenhá-lo, o player precisa acessar um conjunto bem definido de recursos na organização.

O gr áfico da Política de Segurança

O relacionamento entre players, funções, papéis e recursos podem ser representados como um gráfico direcionado.

Granularidade

O detalhe obtido na definição e controle dos recursos necessários para desempenhar um papel específico nos dá uma idéia sobre a granularidade da política.

Granularidade permite-nos endereçar vulnerabilidades emergentes.

Ajuda a fechar o gap entre segurança e flexibilidade.

Servers/serviços

Aplicações

Comunicações

Arquivos

Dispositivos

Transações

Registry/configuração

etc.

Acuracidade

Os recursos para desempenhar cada papel são distintos.

O mesmo player poderia ou não ter acesso a determinado recurso dependendo do processo em questão.

Falhas implicarão em uma política inacurada.

O processo de Segurança e o papel da Política

O processo de Segurança Definição da Política Modelagem do Risco Arquitetura Segurança Visibilidade e Controle O papel da Política

O papel central da Política de Segurança Política Segurança Modelagem Risco Arquitetura Segurança Visibilidade e Controle O papel da Política

Modelagem do Risco

Define escopo

Identifica processos críticos

Identifica recursos críticos

Pontos de falhas

Define objetivos

Testa a política

Política Segurança Modelagem Risco Arquitetura Segurança Visibilidade e Controle O papel da Política

Arquitetura da Segurança

Define políticas baseando-se em suas capacidades atuais

Gerencia

Aplica

Visibilidade e Controle

Define políticas que possam ser controladas

Monitora sua política em ação

Fornece feedback para retroalimentação

Identifica próximos passos

Taxonomia funcional das ferramentas

Análise e formalização

Ferramentas que ajudam no processo de modelagem do risco e definição de políticas.

Enforcement

Ferramentas usadas para aplicar as políticas

Auditoria e Controle

Ferramentas usadas para adquirir conhecimento do“security infospace” ajudando no processo de detecção e resposta as brechas de segurança.

Análise e formalização

Ferramentas

Network discovery tools

Scanners de Vulnerabilidade

Ferramentas de ataque intrusivo

Ferramentas de modelagem organizacional

Ferramentas de modelagem de riscos

Serviços

Security Intelligence

Testes de intrusão

Definição de política

Plano de contingencia

Etc.

Enforcement

Ferramentas

Identificação, Autenticação e Autorização

PKI, Biometria, Tokens, Single Sign-On, Platforma dependente (SO específico)

Segurança Software Básico

Network services wrappers, Filesystem restrictions, Consistency checks, Security upgrades and patches, etc.

Segurança da Aplicação

Certificação/autorização de APIs, controle de versão, Aplicações dependentes.

Segurança da rede

Firewalls, VPNs, filtros de conteúdo

Integridade / proteção dos dados

Anti-vírus, Backups, checkers de consistencia.

Auditoria e controle

Ferramentas

Network based Intrusion detection systems

Host based intrusion detection systems

Audit trails and log acquisition tools

Log centralization tools

Visualization tools

Analysis tools

Alarm and Reporting systems

Forensics tools

Security Operation Centers

Serviços

Managed Security Services

Construindo uma infraestrutura de Segurança

Criar um framework e selecionar ferramentas para avaliar, controlar, aplicar e gerenciar o que os players podem fazer (política de segurança)

Abstrair o conceito de usuários e gerenciar players

Integrar todos os componentes de segurança

Endereçar escalabilidade

Preocupar-se com a transparencia (para usuários, sistemas)

Gerar visibilidade

Manter uma perspectiva global

Gerenciando uma infraestrutura de segurança

Política de Segurança é aquilo que vc pode gerenciar

Granularidade e acuracidade pode ser obtida apenas através de um esforço contínuo.

Política de Segurança deve evoluir, assim como a infraestrutura.

Mudanças culturais podem ser necessárias para gerenciar a segurança de maneira eficaz.

Não se trata apenas de ferramentas Infraestrutura de Segurança Firewalls PKI File system restrictions App. Security Risk Modeling Network discovery Pen testing

Uma boa infraestrutura de Segurança