0
Utilizando padrões abertos para coleta
de informações e Assessment em ativos
tecnológicos.
IGOR PRATA
Analista de Seguranç...
1. APRESENTAÇÃO
2. CENÁRIO ATUAL
3. SCAP
4. OVAL
5. PROJETO MODSIC
6. REFERÊNCIAS
• Conhecimento gerado por diversas entidades
creditadas.
• Falta de padrões em comum (e abertos).
• Cada solução de segura...
• Desenvolvido pelo NIST (National Institute of
Standards and Technology)
• Entidade Norte Americana Responsável por Padrõ...
COMBINAÇÃO DE VÁRIOS PADRÕES ABERTOS
(componentes)
Funcionalidades:
1. Enumeradores para falhas de software e
questões rel...
• CVE Common Vulnerabilities and Exposures
• CCE Common Configuration Enumeration
• CPE Common Platform Enumeration
• CVSS...
O conjunto de padrões possibilita:
• Gerenciamento automático de vulnerabilidades
• Medições de risco (measurament)
• Vali...
Os padrões SCAP são amplamente difundidos.
O SCAP Validation Program já apresenta diversas
soluções homologadas.
http://sc...
• Mantido pela comunidade de segurança da informação
• Padronizar a maneira de acessar e reportar o estado
(configuração) ...
Representação das informações
de configurações de sistemas
Análise para busca de estados
específicos em sistemas.
Apresent...
ESTADO DO
SISTEMA
(configuração)
CONCEITO
Usuário GUEST
deve estar
DESABILITADO
Usuário GUEST
DESABILITADO
Object
State
Te...
oval_definitions
windows_definitions
unix_definitions
macos_definitions
...
oval_system_characteristics
windows_system_cha...
• Padroniza a maneira de coletar informações em
sistemas e a forma de reportar os resultados
• Facilita a automação do pro...
• Possui uma comunidade ativa de colaboradores pelo
OVAL Board, que valida alterações na linguagem
• O programa OVAL Adopt...
• Executa coletas remotas (agentless)
• Coleta distribuída
• Agendador de tarefas
• Probes desacopladas do núcleo do servi...
• Cooperação da comunidade em melhorias para o
modSIC (desenvolvimento, feedback, testes, etc)
• Melhor interoperabilidade...
• Garantir compatibilidade com o Framework Mono
• Eliminar dependências proprietárias no código
• Reimplementar o modelo d...
• Make security Measurable and Manageble
http://measurablesecurity.mitre.org
• Mitre
http://oval.mitre.org
• NIST
http://s...
www.modsic.org
modsic@modulo.com
iprata@modulo.com
Utilizando padroes abertos para coleta de informacoes e assessment em ativos tecnologicos - Igor Devulsky Prata (Módulo) -...
Utilizando padroes abertos para coleta de informacoes e assessment em ativos tecnologicos - Igor Devulsky Prata (Módulo) -...
Utilizando padroes abertos para coleta de informacoes e assessment em ativos tecnologicos - Igor Devulsky Prata (Módulo) -...
Utilizando padroes abertos para coleta de informacoes e assessment em ativos tecnologicos - Igor Devulsky Prata (Módulo) -...
Utilizando padroes abertos para coleta de informacoes e assessment em ativos tecnologicos - Igor Devulsky Prata (Módulo) -...
Utilizando padroes abertos para coleta de informacoes e assessment em ativos tecnologicos - Igor Devulsky Prata (Módulo) -...
Utilizando padroes abertos para coleta de informacoes e assessment em ativos tecnologicos - Igor Devulsky Prata (Módulo) -...
Utilizando padroes abertos para coleta de informacoes e assessment em ativos tecnologicos - Igor Devulsky Prata (Módulo) -...
Utilizando padroes abertos para coleta de informacoes e assessment em ativos tecnologicos - Igor Devulsky Prata (Módulo) -...
Upcoming SlideShare
Loading in...5
×

Utilizando padroes abertos para coleta de informacoes e assessment em ativos tecnologicos - Igor Devulsky Prata (Módulo) - V SegInfo (2010)

471

Published on

Published in: Technology
0 Comments
0 Likes
Statistics
Notes
  • Be the first to comment

  • Be the first to like this

No Downloads
Views
Total Views
471
On Slideshare
0
From Embeds
0
Number of Embeds
1
Actions
Shares
0
Downloads
3
Comments
0
Likes
0
Embeds 0
No embeds

No notes for slide

Transcript of "Utilizando padroes abertos para coleta de informacoes e assessment em ativos tecnologicos - Igor Devulsky Prata (Módulo) - V SegInfo (2010)"

  1. 1. Utilizando padrões abertos para coleta de informações e Assessment em ativos tecnológicos. IGOR PRATA Analista de Segurança Laboratório de Pesquisa em Tecnologia e Conhecimento (KMLab) Módulo Security Solutions
  2. 2. 1. APRESENTAÇÃO 2. CENÁRIO ATUAL 3. SCAP 4. OVAL 5. PROJETO MODSIC 6. REFERÊNCIAS
  3. 3. • Conhecimento gerado por diversas entidades creditadas. • Falta de padrões em comum (e abertos). • Cada solução de segurança lida com o conhecimento, análise e resultados de maneira própria. • Baixíssima interoperabilidade.
  4. 4. • Desenvolvido pelo NIST (National Institute of Standards and Technology) • Entidade Norte Americana Responsável por Padrões Tecnológicos • Responsável pela padronização de diversos procedimentos de segurança para o Governo dos EUA
  5. 5. COMBINAÇÃO DE VÁRIOS PADRÕES ABERTOS (componentes) Funcionalidades: 1. Enumeradores para falhas de software e questões relacionadas a segurança 2. Modelo de Análise de vulnerabilidades 3. Linguagem para descrição de sistemas e seus estados
  6. 6. • CVE Common Vulnerabilities and Exposures • CCE Common Configuration Enumeration • CPE Common Platform Enumeration • CVSS Common Vulnerability Scoring System • XCCDF Extensible Configuration Checklist Description Format • OVAL Open Vulnerability and Assessment Language
  7. 7. O conjunto de padrões possibilita: • Gerenciamento automático de vulnerabilidades • Medições de risco (measurament) • Validação de políticas de conformidade
  8. 8. Os padrões SCAP são amplamente difundidos. O SCAP Validation Program já apresenta diversas soluções homologadas. http://scap.nist.gov/validation/index.html FDCC Scanners:
  9. 9. • Mantido pela comunidade de segurança da informação • Padronizar a maneira de acessar e reportar o estado (configuração) de sistemas computacionais • Engloba uma linguagem para descrição de detalhes de sistemas e um repositório de conhecimento público • Composto por documentos (XSD) que descrevem uma linguagem para criação de scripts de coleta (XML)
  10. 10. Representação das informações de configurações de sistemas Análise para busca de estados específicos em sistemas. Apresentação dos resultados obtidos pela análise. Etapas de um processo de análise:
  11. 11. ESTADO DO SISTEMA (configuração) CONCEITO Usuário GUEST deve estar DESABILITADO Usuário GUEST DESABILITADO Object State Test DEFINITION
  12. 12. oval_definitions windows_definitions unix_definitions macos_definitions ... oval_system_characteristics windows_system_characteristics unix_system_characteristics macos_system_characteristics ... oval_results OVAL_Common
  13. 13. • Padroniza a maneira de coletar informações em sistemas e a forma de reportar os resultados • Facilita a automação do processo de coleta de informações • Proporciona maior interoperabilidade entre produtos ligados à segurança da informação • A linguagem é consistente e escalável
  14. 14. • Possui uma comunidade ativa de colaboradores pelo OVAL Board, que valida alterações na linguagem • O programa OVAL Adoption além de certificar, “treina” os vendors de segurança em TI nas melhores práticas • Já existe uma grande lista de empresas e produtos homologados para a linguagem: http://oval.mitre.org/adoption/productlist.html
  15. 15. • Executa coletas remotas (agentless) • Coleta distribuída • Agendador de tarefas • Probes desacopladas do núcleo do serviço • Auxilia um nicho tecnológico ainda mal explorado por outras soluções opensource
  16. 16. • Cooperação da comunidade em melhorias para o modSIC (desenvolvimento, feedback, testes, etc) • Melhor interoperabilidade entre soluções que carecem de um mecanismo de IT GRC • Confiabilidade no que é executado em um determinado datacenter pela transparência que um software opensource pode fornecer • Promover a popularização dos padrões SCAP (OVAL)
  17. 17. • Garantir compatibilidade com o Framework Mono • Eliminar dependências proprietárias no código • Reimplementar o modelo de acesso à base de dados • Aspectos de segurança: mecanismo de autenticação, criptografia do canal e das credenciais armazenadas • Documentação da API Lançamento: 1ª quinzena de Janeiro de 2011
  18. 18. • Make security Measurable and Manageble http://measurablesecurity.mitre.org • Mitre http://oval.mitre.org • NIST http://scap.nist.gov
  19. 19. www.modsic.org modsic@modulo.com iprata@modulo.com
  1. A particular slide catching your eye?

    Clipping is a handy way to collect important slides you want to go back to later.

×