Palestra Sobre Segurança de Informações

  • 1,054 views
Uploaded on

Palestra que apresentei sobre Segurança de Informações na V Semana Acadêmica da FCAT.

Palestra que apresentei sobre Segurança de Informações na V Semana Acadêmica da FCAT.

  • Full Name Full Name Comment goes here.
    Are you sure you want to
    Your message goes here
    Be the first to comment
No Downloads

Views

Total Views
1,054
On Slideshare
0
From Embeds
0
Number of Embeds
1

Actions

Shares
Downloads
0
Comments
0
Likes
2

Embeds 0

No embeds

Report content

Flagged as inappropriate Flag as inappropriate
Flag as inappropriate

Select your reason for flagging this presentation as inappropriate.

Cancel
    No notes for slide

Transcript

  • 1. V Semana Acadêmica da FCATSegurança de InformaçõesPROF. DEIVISON PINHEIRO FRANCOPERITO FORENSE COMPUTACIONAL, AUDITOR DE TI E PENTESTERISO/IEC 27002 FOUNDATIONCEH, CHFI, CIFI, CFCE E DSFEdeivison.pfranco@gmail.com
  • 2. 2V Semana Acadêmica da FCAT Segurança de InformaçõesQUEM SOU EU?üMestre em Inovação Tecnológica e em Computação Aplicada,Especialista em Ciências Forenses com Ênfase em ComputaçãoForense, em Suporte a Redes de Computadores e em Redes deComputadores e Graduado em Processamento de Dados;üAnalista Pleno em Segurança de TI, Consultor Especial deSegurança da Informação e Membro do Comitê de SegurançaCorporativa para Prevenção, Combate e Resposta a Incidentes eCrimes Cibernéticos do Banco da Amazônia;üProfessor das Disciplinas: Computação Forense, Segurança deRedes e de Sistemas e Auditoria de Redes e de Sistemas;üColaborador/Colunista das Revistas Segurança Digital,Convergência Digital, Espírito Livre, Digital Forensics Magazine,eForensics Magazine e Hakin9 Magazine;üPerito Forense Computacional, Auditor de TI e Pentester;üCertificações: ISO/IEC 27002 Foundation, CEH – Certified EthicalHacker, CHFI – Certified Hacking Forensic Investigator, CIFI –Certified Information Forensic Investigator, CFCE – CertifiedForensic Computer Examiner e DSFE – Data Security ForensicsExaminer .
  • 3. 3V Semana Acadêmica da FCAT Segurança de InformaçõesAGENDAü Segurança de Informações§ Conceitos Gerais§ Princípios Básicos§ Aspectos e Elementos§ As Informações e os Atores do Processo deSegurança de Informações§ Tipos de Segurança§ Riscos, Ameaças e Ataques§ Prevenção e Medidas de Segurança§ Mecanismos para Controle de Segurança§ Principais Normas§ O profissional de Segurança de Informações
  • 4. 4V Semana Acadêmica da FCAT Segurança de InformaçõesANTES DE TUDO...Um pouco de história e conceitos...
  • 5. 5V Semana Acadêmica da FCAT Segurança de InformaçõesEVOLUÇÃO TECNOLÓGICAü Anos 70 (Mainframes) e Anos 80/90(Cliente/Servidor)§ Fronteiras virtuais rígidas.ü Características da Segurança e Proteção§ Acesso aos sistemas e aplicações através daidentificação combinada à usuário x senha;§ Permitir comunicação eletrônica com parceirosexternos por meio de aplicações customizadas.
  • 6. 6V Semana Acadêmica da FCAT Segurança de InformaçõesEVOLUÇÃO TECNOLÓGICA (CONT.)ü Final dos Anos 90 e o início dos anos 2000§ Aplicações Internet à acesso aos sistemas pelosnavegadores;§ Soluções web à intranets e extranets;§ Empresa expandida à alteração da segurança deinformações.ü Características da Segurança - Proteção§ Recursos tecnológicos certos conectados e disponíveispara as pessoas certas, no momento certo;§ Proteção e monitoramento de perímetro;§ Confidencialidade e integridade dos dados.
  • 7. 7V Semana Acadêmica da FCAT Segurança de InformaçõesEVOLUÇÃO TECNOLÓGICA (CONT.)ü Ambiente cheio de mudançasü Motivador à Evolução tecnológica acelerada§ Redução do tamanho e do custo dos equipamentos ecomponentes;§ Aumento da capacidade de processamento;§ Aumento da capacidade de armazenamento etransmissão de dados.ü Motivador à Novas necessidades eoportunidades§ Criatividade x Necessidade x Oportunidade;§ Popularização da TI à Consumerização de TI.
  • 8. 8V Semana Acadêmica da FCAT Segurança de InformaçõesAS INFORMAÇÕESü Devem ser sempre protegidaadequadamente, seja qual for a formaapresentada:§ Impressa;§ Escrita;§ Armazenada;§ Transmitida;§ Apresentada em filmes;§ Falada em conversas;§ Ou por outro meio de compartilhamento ouarmazenamento.
  • 9. 9V Semana Acadêmica da FCAT Segurança de InformaçõesCICLO DE VIDA DAS INFORMAÇÕESCriação àManuseioArmazenamentoTransporteDescarte Informações
  • 10. 10V Semana Acadêmica da FCAT Segurança de InformaçõesCICLO DE VIDA DA SEGURANÇAO que precisaser protegido?Comoproteger?Simulação deum ataqueQual é probabilidadede um ataque?Qual prejuízo, seataque sucedido?Qual é nível daproteção?Informações
  • 11. 11V Semana Acadêmica da FCAT Segurança de InformaçõesSEGURANÇA X INFORMAÇÕESü A Importância daSegurança de Informações§ Quanto vale a informação?§ Sem informação uma empresa pode sobreviverquanto tempo?§ O que proteger?§ Por que proteger?§ Quando proteger?§ Onde proteger?§ Proteger do que?
  • 12. 12V Semana Acadêmica da FCAT Segurança de InformaçõesDOMÍNIOS DE CONHECIMENTOü Gerenciamento de SIü Segurança deAplicaçõesü Arquitetura de SIü Segurança Físicaü Segurança Lógicaü Continuidade deNegóciosü Investigação e PeríciaForenseü Segurança deOperações
  • 13. 13V Semana Acadêmica da FCAT Segurança de InformaçõesATIVOS DE INFORMAÇÕESInformações Processos ServiçosPessoasü Todo elemento que compõe osprocessos que manipulam eprocessam a informaçãoü A própria informaçãoü O meio em que ela é armazenadaü Os equipamentos em que ela émanuseada transportada e descartada
  • 14. 14V Semana Acadêmica da FCAT Segurança de InformaçõesATIVOS DE INFORMAÇÕESOu seja…ü Tudo que possui valor para a organizaçãoInformações Processos ServiçosPessoasü Todo o ciclo de vida da informação
  • 15. 15V Semana Acadêmica da FCAT Segurança de InformaçõesPRA QUE SERVEA SEGURANÇA DE INFORMAÇÕES?ü Área de conhecimento dedicada àproteção de informações e seus ativosü Protege um dos maiores bens de umaorganização: As informaçõesü Trabalha na criação de mecanismos detratamento de riscosü Protege as informações contra perda de:§ Confidencialidade§ Integridade§ Disponibilidade§ Autenticidadeà Segurança de Informações envolve tecnologia,processos e pessoas
  • 16. 16V Semana Acadêmica da FCAT Segurança de InformaçõesPRINCÍPIOS BÁSICOSü Confidencialidade;ü Integridade;ü Disponibilidade;ü Autenticidade.ü Não Repúdio
  • 17. 17V Semana Acadêmica da FCAT Segurança de InformaçõesCONFIDENCIALIDADE
  • 18. 18V Semana Acadêmica da FCAT Segurança de InformaçõesINTEGRIDADE
  • 19. 19V Semana Acadêmica da FCAT Segurança de InformaçõesDISPONIBILIDADE
  • 20. 20V Semana Acadêmica da FCAT Segurança de InformaçõesAUTENTICIDADE
  • 21. 21V Semana Acadêmica da FCAT Segurança de InformaçõesNÃO REPÚDIO
  • 22. 22V Semana Acadêmica da FCAT Segurança de InformaçõesASPECTOS E ELEMENTOS DASEGURANÇA DE INFORMAÇÕES?ü Essenciais na prática da segurançade informações, dependendo doobjetivo que se pretende alcançar§ Autenticação§ Legalidade§ Auditoria§ Privacidade§ Vulnerabilidades§ Ameaças§ Incidentes
  • 23. 23V Semana Acadêmica da FCAT Segurança de InformaçõesAUTENTICAÇÃOü Processo de identificação e reconhecimentoformal da identidade dos elementos queentram em comunicação ou fazem parte deuma transação eletrônica§ Acesso à informação e ativos por meio de controlesde identificação
  • 24. 24V Semana Acadêmica da FCAT Segurança de InformaçõesLEGALIDADEü Característica das informações quepossuem valor legal dentro de umprocesso de comunicação§ Ativos estão de acordo com as cláusulascontratuais pactuadas ou com a legislaçãopolítica institucional
  • 25. 25V Semana Acadêmica da FCAT Segurança de InformaçõesAUDITORIA/PERÍCIAü Processo de coleta de evidênciasde uso dos recursos existentes, a fimde identificar as entidades envolvidasem um processo de troca deinformações§ Análise/Investigação da origem, destino emeios de tráfego de uma informação
  • 26. 26V Semana Acadêmica da FCAT Segurança de InformaçõesPRIVACIDADEü Controle da exposição e dadisponibilidade de informações de alguémü Garantia ao usuário de Não Monitoramento,Não Registro e Não Reconhecimentoà Não ser “visto e ouvido”à Não ter imagens e conversas gravadasà Não ter imagens e conversas gravadaspublicadas na Internet em outros meiosObs.: Políticas de Segurança/Contrato de Trabalho à Permiteminternamente Monitoramento, Registro e Reconhecimento
  • 27. 27V Semana Acadêmica da FCAT Segurança de InformaçõesVULNERABILIDADESü Fragilidade presente nos ativos quemanipulam e/ou processam informações§ São elementos passivos à necessitam deum agente causadorObs.: Ela por si só não provoca incidentes à Ao serexplorada é que permite a ocorrência de umincidente de segurança
  • 28. 28V Semana Acadêmica da FCAT Segurança de InformaçõesAMEAÇASü Agentes ou condições que causamincidentes que comprometem asinformações e seus ativos por meio deexploração de vulnerabilidades,provocando perdas de confiabilidade,integridade e disponibilidade
  • 29. 29V Semana Acadêmica da FCAT Segurança de InformaçõesCLASSIFICAÇÃO DE AMEAÇASü Naturais:Fenômenos da naturezaü Involuntárias:Acidentes e Errosü Voluntárias:Invasão, Espionagem
  • 30. 30V Semana Acadêmica da FCAT Segurança de InformaçõesAMEAÇAS EXTERNAS - ATAQUESü Comprometimento de um sistema/redeü Deriva de uma ameaça inteligenteü Tentativa deliberada à sentido de um métodoou técnica para invadir sistemas e violarpolíticas de segurançaü Ato de tentar desviar dos controles desegurança de um sistema de forma a quebrar“CIDA”.
  • 31. 31V Semana Acadêmica da FCAT Segurança de Informaçõesü Um ataque pode ser:§ Ativo à alteração de dados;§ Passivo à liberação de dados;§ Destrutivo à negação de acesso a dados ou serviços.ü O fato de um ataque estar acontecendo nãosignifica necessariamente que ele terá sucessoü O nível de sucesso depende da vulnerabilidadedo sistema ou da atividade e da eficácia decontramedidas existentesAMEAÇAS EXTERNAS - ATAQUES
  • 32. 32V Semana Acadêmica da FCAT Segurança de Informaçõesü Possíveis formas de ataques:§ Interceptação• Acesso a informações por entidades nãoautorizadas à violação da confidencialidade§ Interrupção• Interrupção do fluxo normal entre origem edestino - violação da disponibilidade§ Modificação• Alteração de informações por entidades nãoautorizadas à violação da integridade§ Personificação ou Fabricação• Acesso ou transmissão de informações passandopor uma entidade autêntica à violação daautenticidadeAMEAÇAS EXTERNAS - ATAQUES
  • 33. 33V Semana Acadêmica da FCAT Segurança de InformaçõesAMEAÇAS EXTERNAS - ATAQUES
  • 34. 34V Semana Acadêmica da FCAT Segurança de InformaçõesInvasõesVirus,VermesAcesso/UsoIndevidoEmailMaliciosoCriminosoInternetAMEAÇAS EXTERNAS - ATAQUES
  • 35. 35V Semana Acadêmica da FCAT Segurança de InformaçõesVítimaAtacanteO Atacante Invade Máquinas Vulneráveis e InstalaProgramas de Acesso Remoto NelasAMEAÇAS EXTERNAS – ESQUEMA DE UM ATAQUE
  • 36. 36V Semana Acadêmica da FCAT Segurança de InformaçõesPara a vítima, aorigem aparece comosendo a máquinazumbi, e não amáquina do atacanteO Atacante Seleciona um Escravo e Comandaum Ataque IndiretoVítimaAtacanteAMEAÇAS EXTERNAS – ESQUEMA DE UM ATAQUE
  • 37. 37V Semana Acadêmica da FCAT Segurança de InformaçõesAMEAÇAS INTERNASü Mais Críticas à O usuário é a Ameaça§ Roubo de Informações§ Alteração de informações§ Danos físicos§ Alteração de configurações
  • 38. 38V Semana Acadêmica da FCAT Segurança de InformaçõesINCIDENTE DE SEGURANÇAü Quando uma Ameaça explora umaVulnerabilidade de um Ativo§ Quebra do “CIDA” à Impacto x Prejuízo
  • 39. 39V Semana Acadêmica da FCAT Segurança de InformaçõesPREVENÇÃO DE AMEAÇAS INTERNASü Restrições de acesso lógico à privilégiosü Restrições de acesso físico à áreas críticasü Definição e divulgação normas e políticas desegurança à acesso físico e lógicoü Implementação de soluções decriptografia/auditoria à informações críticasü Controle de terceiros à Acesso físico e lógico
  • 40. 40V Semana Acadêmica da FCAT Segurança de InformaçõesMEDIDAS DE SEGURANÇAü Preventivas à Evitar que incidentesocorram§ Exemplo: Política de segurançaü Detectáveis à Identificar condições ouindivíduos causadores de ameaça§ Exemplo: Sistemas de detecção de intrusãoü Corretivas à Correção de uma estruturatecnológica e humana para que as mesmas seadaptem às condições preventivas§ Exemplo: Adequação de sistemasObs.: Reativas à Depois que um incidente ocorreu à Não éinteressante que haja esse tipo de medida
  • 41. 41V Semana Acadêmica da FCAT Segurança de InformaçõesTIPOS DE SEGURANÇAü Segurança Física§ Providenciar mecanismos para restringir o acesso àsáreas críticas da organização§ Como isto pode ser feito?• Controle de acesso à meios de identificação/autorização àcâmeras, biometria, crachá, CFTV etc.ü Segurança Lógica§ Fornecer mecanismos para garantir:• Confidencialidade• Integridade• Disponibilidade• AutenticidadeApenas os mecanismos tradicionais não garantem aSegurança Lógica!
  • 42. 42V Semana Acadêmica da FCAT Segurança de InformaçõesPREVENÇÃOü Mudança CulturalØ PolíticasØ PalestrasØ SemináriosØ Exemplos práticosØ SimulaçõesØ Estudo de Casos
  • 43. 43V Semana Acadêmica da FCAT Segurança de InformaçõesRISCOS
  • 44. 44V Semana Acadêmica da FCAT Segurança de InformaçõesRISCOS
  • 45. 45V Semana Acadêmica da FCAT Segurança de Informaçõesü Relação entre Probabilidade e Impacto àPossibilidade de uma ameaça explorar umavulnerabilidade à Prejuízoü Medida da incerteza associada aos retornosesperados de investimentosü Identificação de pontos que demandaminvestimentos em segurança da informaçãoü Essencial para o progresso à falhasdecorrentes à processo de aprendizadoü Evento ou condição incerta à Risco Positivoe NegativoRISCOS
  • 46. 46V Semana Acadêmica da FCAT Segurança de InformaçõesRiscoRISCOS
  • 47. 47V Semana Acadêmica da FCAT Segurança de InformaçõesATORES DO PROCESSO DE SEGURANÇA DA INFORMAÇÃO
  • 48. 48V Semana Acadêmica da FCAT Segurança de InformaçõesATORES DO PROCESSO DE SEGURANÇA DA INFORMAÇÃO
  • 49. 49V Semana Acadêmica da FCAT Segurança de InformaçõesMECANISMOS PARA CONTROLES DE SEGURANÇAü Autorização§ Processo de conceder ou negar direitos a usuáriosou sistemas§ Listas de controle de acessos (Acess Control Lists –ACL)§ Perfis de acessoü Autenticação§ Meio para obter a certeza de que o usuário ou oobjeto remoto é quem está afirmando ser§ Assegura o controle e a legitimidade do acesso§ Permite trilhas de auditoria
  • 50. 50V Semana Acadêmica da FCAT Segurança de InformaçõesMECANISMOS PARA CONTROLES DE SEGURANÇAü Autenticação à Três métodos:§ Identificação Positiva§ Identificação Proprietária§ Identificação Biométrica
  • 51. 51V Semana Acadêmica da FCAT Segurança de InformaçõesMECANISMOS PARA CONTROLES DE SEGURANÇAü Identificação Positiva à O que você sabeü Usuário demonstra conhecimento de algumainformação utilizada no processo de autenticação àlogin/senha
  • 52. 52V Semana Acadêmica da FCAT Segurança de InformaçõesMECANISMOS PARA CONTROLES DE SEGURANÇAü Identificação Proprietária à O que vocêtemü O usuário demonstra possuir algo a ser utilizado noprocesso de autenticação à cartão magnético
  • 53. 53V Semana Acadêmica da FCAT Segurança de InformaçõesMECANISMOS PARA CONTROLES DE SEGURANÇAü Identificação Biométrica à O que você éü O usuário exibe alguma característica própria àimpressão digital
  • 54. 54V Semana Acadêmica da FCAT Segurança de InformaçõesMECANISMOS PARA CONTROLES DE SEGURANÇAü Autenticação Híbrida§ Identificação Positiva + Identificação Proprietária +Identificação Biométrica+ +
  • 55. 55V Semana Acadêmica da FCAT Segurança de InformaçõesCONCLUINDO...SEGURANÇA DE INFORMAÇÕES NO DIA-A-DIAü Análises de Riscoü Avaliações eCertificaçõesü Conscientizaçãoü Análises de logsü Resposta a Incidentesü Investigações ePeríciasü Ataques simuladosü “Hardenizações” deEquipamentos eSistemasü Controle de Acesso eIdentidade
  • 56. 56V Semana Acadêmica da FCAT Segurança de InformaçõesNormas e códigos de boas práticasü ABNT NBR ISO/IEC 27001:2006§ Sistemas de gestão de segurança da informação -Requisitosü ABNT NBR ISO/IEC 27002:2005§ Código de prática para a gestão da segurança dainformaçãoü ABNT NBR ISO 31000:2009§ Gestão de riscos - Princípios e diretrizesü ABNT NBR 15999-1:2007§ Gestão de continuidade de negócios - Código de práticaü PCI-DSS V2.0:2010§ Payment Card Industry Data Security Standard5CONCLUINDO...
  • 57. 57V Semana Acadêmica da FCAT Segurança de InformaçõesCONCLUINDO...O PROFISSIONAL DE SEGURANÇA DE INFORMAÇÕESü Formação Superior em TI;ü Especialização / Pós em Segurança deInformações ou Certificações na área:§ Security+§ CISSP§ CISM§ CEH§ CHFI§ ISO 27002, etc.
  • 58. 58V Semana Acadêmica da FCAT Segurança de InformaçõesENCONTRE 8 ERROS DE SEGURANÇA DA INFORMAÇÃO:CONCLUINDO...
  • 59. 59V Semana Acadêmica da FCAT Segurança de Informações8 ERROS DE SEGURANÇA DA INFORMAÇÃO:CONCLUINDO...
  • 60. 60V Semana Acadêmica da FCAT Segurança de Informações"Se você acha que tecnologia pode resolverseus problemas de segurança, então você nãoentende os problemas nem a tecnologia."Bruce SchneierREFLITAM
  • 61. 61V Semana Acadêmica da FCAT Segurança de InformaçõesPROF. DEIVISON PINHEIRO FRANCOPERITO FORENSE COMPUTACIONAL, AUDITOR DE TI E PENTESTERISO/IEC 27002 FOUNDATIONCEH, CHFI, CIFI, CFCE E DSFEdeivison.pfranco@gmail.comDúvidas?OBRIGADO PELA ATENÇÃO!