Segurança de Bancos de Dados: Operações, Técnicas e Níveis de Segurança, Notas de estudo de Informática

Baixe Segurança de Bancos de Dados: Operações, Técnicas e Níveis de Segurança e outras Notas de estudo em PDF para Informática, somente na Docsity!

POLÍTICA DE

SEGURANÇA COMPUTACIONAL

Prof. Dr. Tito Lívio Gomes Osório

Tenho a perfeita consciência que destruir é sempre mais fácil, mais simples e mais rápido do que construir.

Dedico esta obra a todos aqueles que passam grande parte do seu tempo no estudo da ciência e da tecnologia e, em especial, àqueles que lutam diariamente para preservar a integridade e a segurança das instituições.

Tito Lívio MP, maio 2004

Tito Lívio Gomes Osório maio, 2004

Í N D I C E

INTRODUÇÃO

CAPÍTULO I - SEGURANÇA DE DADOS

1.1 – Dados e Informações 1.2 – Requisitos Fundamentais dos Dados 1.3 – Operações com Dados 1.4 – Tipos de Usuários dos Dados 1.5 – Restrições de Acesso aos Dados 1.6 - Backup

CAPÍTULO II – SEGURANÇA EM BANCOS DE DADOS 2.1 – Tipos de Bancos de Dados 2.2 – Segurança nos SGBDs Atuais – Análise comparativa

CAPÍTULO III – SEGURANÇA DOS SISTEMAS OPERACIONAIS 3.1 – Brecha 3.2 – Políticas de Segurança dos Sistemas Operacionais 3.3 – Critérios de Avaliações de Segurança dos Sistemas Operacionais 3.4 – Atualizações dos Sistemas Operacionais 3.5 – Análise do Desempenho de Segurança dos Sistemas Operacionais 3.6 - Senhas

CAPÍTULO IV - SEGURANÇA DAS COMUNICAÇÕES DE DADOS 4.1 – A Rede Mundial - a INTERNET 4.2 – Análise dos Principais Tipos de Protocolos 4.3 – Segurança na Internet

CAPÍTULO V - CRIPTOGRAFIA E ASSINATURA DIGITAL 5.1 – Conceito Geral e Fundamentos da Criptografia 5.2 – Técnicas Básicas da Criptografia 5.3 – Algoritmos Criptográficos 5.4 – Sistemas de Proteção 5.5 – Questões Práticas do Uso da Criptografia 5.6 – Vantagens e Desvantagens do Uso da Criptografia

CAPÍTULO VI - VÍRUS DE COMPUTADORES 6.1 – Definições 6.2 – Classificação dos Vírus 6.3 – Estratégias de Prevenção

CAPÍTULO VII – ATAQUES E FERRAMENTAS DE ATAQUES 7.1 – Principais Tipos de Ataques 7.2 – Ferramentas de Varreduras e Ataques 7.3 – Ataques 7.4 – Ataques e Ações dos Hackers 7.5 – Principais Tipos de Defesa

Tito Lívio Gomes Osório maio, 2004

CAPÍTULO VIII – TECNOLOGIA IDS 8.1 - Detecção de Intrusão (IDS) 8.2 - Entendendo um sistema de detecção de invasões 8.3 - Tipos de ataques 8.4 - Modelo Conceitual de uma Ferramenta de IDS 8.5 - Tipos de IDS 8.6 - Criando um plano de detecção de intrusão 8.7 - Categorias de Sistemas de Detecção de Intrusos

ANEXOS ANEXO I - TROJANs HORSES ANEXO II - FERRAMENTA DE REMOÇÃO DO W32.BLASTER.WORM

Tito Lívio Gomes Osório maio, 2004 Ao respondermos essas questões estaremos traçando os destinos das nossas empresas – seguras ou violáveis.

A Política de Segurança Computacional refere-se a um conjunto de leis, de regras e de práticas que normalizam como uma organização gerencia, protege e distribui as suas informações e recursos computacionais.

Ainda que ataques de hackers e crackers sejam muito comentados e estejam em evidência, eles não são tão numerosos quanto os problemas internos de segurança que ocorrem nas empresas. A implementação de uma Política de Segurança Computacional baseia-se na aplicação de regras que limitam o acesso de uma entidade aos dados, às informações e/ou aos recursos computacionais disponíveis, com base na comparação dos níveis funcionais e da necessidade de autorizações de acesso às informações. Assim sendo, essa Política deverá definir o que é e o que não é permitido durante a operação dos Sistemas de Informação, evitando e/ou prevendo a possibilidade da ocorrência de ataques, de modo a proteger os dados e as informações.

O documento que contém a Política de Segurança Computacional deve:

¾ Trazer explicações da importância da adoção dos procedimentos de segurança, justificando-os junto aos usuários, para que o entendimento dos mesmos leves aos referidos usuários ao comprometimento pessoal com todas as ações de segurança adotadas; ¾ Relacionar os recursos que se protege e quais os que estão disponíveis, relatando quais os níveis em que estão liberados e em quais atividades; ¾ Relatar o que acontece quando softwares, dados e ferramentas não homologadas são detectados no ambiente computacional;

O perfeito funcionamento de uma Política de Segurança depende muito do conhecimento do seu conteúdo e da cooperação dos usuários nos seus diversos níveis. Ele deve ser incentivado a sentir que as medidas de segurança foram adotadas visando o seu próprio benefício.

Segundo ANDREWS THOME HORKERS – Manager Security da Internet Security Systems:

“O principal problema para implementar uma Política de Segurança é a cultura das pessoas, pois é preciso reeducar os funcionários e mostrar para eles que os ativos e os equipamentos das empresas devem ser protegidos, que as senhas não devem ser divulgadas e que as informações confidenciais não devem estar disponíveis” (ISS - Oct 2002).

Tito Lívio Gomes Osório maio, 2004

CAPÍTULO I

SEGURANÇA DE DADOS

Tito Lívio Gomes Osório maio, 2004 Conseqüentemente podemos chegar à definição de Informação:

“Informações são conhecimentos adquiridos a partir do processamento de um conjunto de dados”

A indivisibilidade do ambiente computacional vista acima, nos leva a afirmar que todas as ações pelas quais passarem os dados, refletirão de maneira direta nas informações por eles geradas. Assim, salvaguardar a integridade e a inviolabilidade dos dados terá reflexos diretos na qualidade das informações produzidas.

Resta-nos questionar para que servem as informações? E, novamente, nos encontraríamos em situação de extrema ambigüidade e para a qual nem sempre encontramos a resposta adequada. Porém, se analisarmos o mundo em que vivemos, poderemos facilmente deduzir que: “A informação é a principal ferramenta do processo decisório”. No mundo moderno ninguém mais pode decidir de forma abstrata ou mesmo por pura intuição. Não podemos arriscar e levar nossas empresas ao fracasso, pelo simples fato de não possuirmos as informações necessárias em tempo hábil.

Com relação aos dados, as empresas devem aplicar os seguintes preceitos:

¾ Dados Modelados – Os dados devem ser identificados na sua composição e semântica, estudados no seu formato, origem, natureza e seu relacionamento com outros dados, ou classe de dados.

¾ Dados Resguardados – Os dados deverão atender aos requisitos básicos de segurança e de integridade.

¾ Dados Disponibilizados – Deverão ser disponibilizados um conjunto de ferramentas que permitam o acesso aos dados e que promovam a sua atualização, de forma a gerar informações atualizadas para a tomada de decisão.

Desta forma, há que se observar alguns requisitos fundamentais para a perfeita obtenção desses preceitos.

1.2 - REQUISITOS FUNDAMENTAIS DOS DADOS

Para gerarmos informações precisas devemos fazer com que os dados tenham todos os requisitos abaixo relacionados definidos como fundamentais para os mesmos.

¾ Credibilidade - O dado deve ser real e representar a verdade.

¾ Confiabilidade – O dado deve ter uma origem confiável, ou seja, o dado deve ser captado na sua principal e única origem.

¾ Consistência – Um mesmo dado não pode assumir dois valores diferentes no mesmo intervalo de tempo.

¾ Oportunidade – Todo o dado tem um tempo de vida útil para o qual poderá informações oportunas.(1)

Tito Lívio Gomes Osório maio, 2004 ¾ Portabilidade – O dado deve poder ser levado a outro processamento, sem que perca a sua forma e conteúdo. Caso o dado seja processado de forma igual, porém em tempos diferentes devem gerar informações iguais.

¾ Corporatividade – O dado deve ser corporativo, ou seja, deve pertencer a empresa como um todo e não a algumas atividades. O mesmo dado deve atender a diversas atividades.

¾ Interoperabilidade – O dado deve ter a capacidade de ser operado e processado por diversas atividades da empresa sem que perca seu valor inicial.

¾ Segurança – O dado deve ser preservado em sua inviolabilidade e resguardado de acessos não permitidos.

(1) - Este conceito deverá ser submetido a uma reformulação conceitual, ou ser abandonado, pois em uma visão mais moderna surgem as “ Datawarehouses” que utilizam dados bastante antigos para utilização em Sistemas de Informações Estratégicas (EIS) que se utilizam séries históricas na formação destas informações.

O processamento eletrônico de dados é formado por um conjunto de operações pelas quais os dados são submetidos e para as quais devemos ter uma observação constante.

1.3 – OPERAÇÕES COM DADOS

Antes de definirmos as operações possíveis com dados, devemos caracterizar algumas ações que, quando executadas podem ou não alterar os valores iniciais deles. Existem duas classes de ações:

¾ Ações Não Degenerativas – grupo de ações que, quando realizadas, não alteram o valor inicial do dado.

¾ Ações Degenerativas – grupo de ações que, quando realizadas, alteram o valor inicial do dado.

O processamento eletrônico de dados é constituído de duas operações perfeitamente distintas:

¾ Operações de Manipulação de Dados – neste grupo estão incluídas as seguintes operações:

¾ Consultar Dados ¾ Incluir Dados ¾ Alterar Dados ¾ Excluir Dados

¾ Operações de Processamento de Dados – neste grupo estão incluídas as seguintes operações:

¾ Lógicas ¾ Aritméticas

Tito Lívio Gomes Osório maio, 2004 1.5 – RESTRIÇÕES DE ACESSO AOS DADOS

Além das ações acima relatadas, a garantia da integridade dos dados prevê, ainda, outras ações que permitirão a criação de rotinas gerais de administração dos mesmos. Assim a cada acesso a um dado ou grupo de dados devemos seguir os seguintes passos:

¾ Identificar o Usuário - o usuário deve ser identificado, para tal ele deve possuir uma senha e uma identificação de acesso(“login”) que determina a sua acessibilidades e qual o seu nível de acesso dos dados;

¾ Validar o Usuário - a partir da validação da sua senha e do seu “login”, o usuário deve ser transportado para a sua área de acesso, onde passará a ter os dados disponibilizados com total controle;

¾ Conceder Privilégios - Aos usuários, dependendo do nível em que se encontram poderão ser concedidos privilégios, desde que não venham a ferir os níveis de acessibilidades e segurança. A concessão de privilégios é de responsabilidade da Gerência Geral de Processamento, em conformidade com as necessidades apresentadas pelo Administrador de Bancos de Dados(DBA). Em empresas que possuem um Manager Systems Security (MSS) este deve participar da avaliação de concessão dos privilégios.

A concessão de privilégios e acessibilidades pode levar em consideração aspectos funcionais dentro da empresa, assim os privilégios passarão a gerar senhas por grupos funcionais que identificarão as funções departamentais de cada um dos usuários, além da identificação pessoal do mesmo. A garantia do nível de acessibilidades também estará sendo obtida, pois esta senha grupal deverá adotar o que chamamos de senhas por herança hierárquica em diversos níveis.

Essas senhas por herança podem ainda conter o que denominamos de heranças múltiplas funcionais, ou seja, um mesmo usuário tem acessibilidades a grupos de dados cuja origem têm outras funções diferentes da sua.

Vejamos como funcionam as senhas grupais com a determinação de heranças simples e múltiplas. Imaginemos que uma empresa tenha duas Funções (Departamentos) diferentes, aos quais estarão subordinadas algumas atividades, conforme descrito abaixo:

atividade de compras ------------------ FINCP + (usuário) chefia função financeira atividade de vendas --------------------- FINVD + (usuário) FINCH + (usuário) atividade de tesouraria -----------------FINTS + (usuário)

atividade de recursos humanos ------------------PESRH + (usuário) chefia função pessoal atividade de capacitação e treinamento --------PESCT + (usuário) PESCH + (usuário) atividade de benefícios e assistência social -----PESAS + (usuário)

Tito Lívio Gomes Osório maio, 2004 Assim a senha por herança simples e/ou múltiplas poderiam ser vistas assim:

FINCP + (usuário) PESRH + (usuário)

FINCH + (usuário) FINVD + (usuário) PESCT + (usuário) PESCH + (usuário)

FINTS + (usuário) PESAS + (usuário)

A concessão de senhas funcionais e as senhas por herança são extremamente eficientes, todavia devem ser criteriosamente estudadas, pois, ao cancelarmos os privilégios dos níveis de cima, estaremos cancelando os privilégios por herança dos níveis imediatamente abaixo.

Nada que não se possa contornar, somente requer um pouco mais de atenção, porém há que se ressaltar que esta prática, apesar de trabalhosa inicialmente, produz significativos resultados práticos na preservação da segurança de dados e de Sistemas de Informação, sendo assim adotada por empresas de médio e de grande porte, que atingiram níveis de segurança elevados.

¾ Manter Arquivos de “log” - O sistema deverá prever que a cada “login” o usuário tenha a sua identificação, hora de acesso e, dependendo do sistema, o que ele realizou com os dados, devidamente registrados no que chamamos de Arquivos de Log. Esses arquivos deverão ser periodicamente avaliados pelo DBA e/ou MSS e, em caso de má utilização e/ou violação, tomar as medidas necessárias a evitar que tais fatos se repitam, ou mesmo chamando a atenção dos usuários que negligenciarem na operação com os referidos dados.

1.6 - BACKUP

O “backup” é uma cópia dos arquivos que julgamos ser, talvez, a mais importante ação no sentido da preservação dos arquivos chaves (fundamentais) de uma empresa. Com o uso cada vez mais acentuado dos computadores, um sistema de “backup” que garanta a segurança e a disponibilidade ”full-time” dos dados corporativos da empresa é fundamental. Apesar de ser uma medida de segurança antiga muita empresas não possuem uma política adequada de “backups”, ou mesmo não o fazem de forma correta.

Montar um sistema de “backup” requer um pouco de cautela. É importante, por exemplo, saber escolher o tipo de mídia para armazenamento dos dados, tais como: fitas magnéticas, discos óticos, ou sistemas RAID. No Brasil, tal como em outros países, o dispositivo mais usado é o “Digital Áudio Tape”, pois oferece uma capacidade de armazenamento de até 16 Gby, a um custo bastante razoável, cerca de um centavo de real por megabyte.

Pequenas empresas, não requerem grandes investimentos para a implantação de um sistema de “backup”, sendo os mais utilizados os que trabalham com drivers externos do tipo “ZIP e JAZ”, equipamentos de baixo custo operacional e de manutenção e que possuem capacidade de armazenamento capaz de atender as necessidades dessas empresas.

Embora as mídias óticas se mostrem como a última palavra em armazenamento, para o uso específico em “backup” elas não são viáveis, pois possuem uma capacidade de armazenamento relativamente pequena, cerca de 600 Mby em cada Compact Disk, além não serem regraváveis com facilidade. Todavia um ponto bastante vantajoso para as mídias óticas é a segurança com que podem ser armazenados os dados. Há que se observar que as mídias magnéticas vêm sendo hoje em dia para a

Tito Lívio Gomes Osório maio, 2004

de serviços “web”. Nenhuma empresa deseja ter os seus dados armazenados em um lugar qualquer (indefinido) na INTERNET.

Outro ponto importante e que sempre é bom lembrar, é que a grande maioria das falhas na rede corporativa é fruto de erros humanos, o que significa que seria necessário um treinamento adequado dos envolvidos neste tipo de operação, para que os sistemas de “web backup” pudessem contar com a ação imediata e correta dos envolvidos, em casos de emergências e falhas dos sistemas principais.

Outra falha bastante comum encontrada nas empresas, além do despreparo dos profissionais envolvidos, é o armazenamento em discos, ou outra mídia qualquer, permanecendo a cópia de segurança no mesmo local físico dos dados originais. Em caso de desastres e/ou situações de calamidades, tais como incêndios, enchentes, etc, ocorrerá uma perda total dos dados.

Concluindo devemos adotar um plano de segurança das cópias de “backup” que vão desde a política de obtenção das referidas cópias até a um plano de contingência para o caso da ocorrência de situações de calamidades. Todavia, o treinamento do pessoal envolvido nesta atividade é fundamental.

Tito Lívio Gomes Osório maio, 2004

C O N C L U S Ã O

Conforme podemos depreender das medidas propostas relatadas acima, os objetivos fundamentais da Segurança dos Dados envolvem aspectos muito abrangentes. Seu estudo e a adoção de medidas preventivas e corretivas visam desde a proteção dos dados contra a ação criminosa dos “hackers”, até a má operação em processamento e/ou manipulação dos dados, de forma intencional ou inadvertidamente. Sobre tudo a Segurança dos Dados visa preservar a integridade do principal patrimônio que possui a empresa - os seus dados.

Podemos ainda, classificar as ações que buscam a violação dos dados de acordo com os seguintes tipos de infiltrações:

¾ Infiltração Deliberada - esta infiltração tem como objetivo principal conseguir o acesso aos dados e/ou às informações de forma deliberada, com ataques frontais ou laterais (que estaremos definindo oportunamente) para descobrir informações de seu interesse, aferindo lucros pessoais ou para grupos de concorrentes, exemplo típico da atuação de “crackeres”; para alterar ou destruir arquivos; e para obter livre acesso aos recursos dos sistemas computacionais, sem que para isso esteja autorizado.

¾ Infiltração Ativa - esta infiltração consiste desde o exame periódico dos conteúdos das cestas de lixo das áreas de processamento, até a gravação (cópia) clandestina dos dados da empresa. Segundo alguns especialistas essas infiltrações incluem os seguintes tipos de ações:

¾ SAPEAR - que consiste no uso de um acesso legítimo ao sistema para obtenção de informações para as quais não está autorizado;

¾ USAR DISFARCE - consiste na prática de utilizar a identificação pessoal para efetuar gravações troca clandestinas de níveis de acesso e, posteriormente, acessar o sistema como legítimo usuário;

¾ Identificar e usar Alçapões - consiste na utilização das características do “hardware”, limitações e imperfeições do “software” e/ou pontos de entrada (portas) especialmente implantadas que permitirão que pessoas não autorizadas tenham acesso aos sistemas;

¾ Uso de Canais - esta prática consiste em utilizar a fragilidade dos canais ativos de comunicações para invadir os sistemas. Esta pratica é bastante utilizada por “hackers” e “crackers”, sendo a sua principal forma de atuação.

¾ Uso de meios Físicos - esta prática consiste em violar os sistemas a partir de uma posição na área de processamento, por profissionais da própria empresa com acesso aos dados, buscando de forma deliberada passarem informações a terceiros.

Assim sendo, as Políticas de Segurança Computacional devem prever aspectos de Segurança de Dados, pois estes são na realidade a parte mais crítica da Tecnologia da Informação e devem conter ainda um Plano de Contingência, para o caso de ocorrerem problemas de violação.

Todavia, é oportuno frisar que SEGURANÇA ABSOLUTA E TOTAL não existe e que empresa nenhuma estará imune a qualquer uma dos fatores físicos e/ou lógicos que podem colaborar para violações e perdas dos dados, temos é que elaborar uma política de segurança abrangente e que nos permita uma ter uma segurança homogênea e suficientemente clara, que atinja todos os níveis da

Tito Lívio Gomes Osório maio, 2004

CAPÍTULO II

SEGURANÇA EM BANCOS DE DADOS

Tito Lívio Gomes Osório maio, 2004

CAPÍTULO II

SEGURANÇA EM BANCOS DE DADOS

A segurança das informações, como um todo, depende do esquema de segurança do Banco de Dados (BD) onde as mesmas estão armazenadas. Quando esta segurança é quebrada, seja acidentalmente, ou propositadamente, os resultados são altamente prejudiciais, por isso, a segurança dos BD é uma questão muito importante quando se desenvolve um projeto de política de segurança.

A base da segurança dos dados visa proteger a integridade dos mesmos, ou seja, garantir que eles somente sejam alterados, ou excluídos por pessoas autorizadas a efetuar tais operações (usuários fonte). Todavia, a segurança e a integridade dos dados não dependem somente das autorizações concedidas a essas pessoas, mas sim, da maneira como se controla o acesso dessas pessoas, uma vez que elas podem, perfeitamente, “contrabandear” os dados que elas controlam. Podemos citar como exemplo, a espionagem industrial, como sendo uma forma de contrabando de dados, de maneira voluntária e executada por pessoas que têm acesso garantido aos referidos dados e praticam livremente essa ação.

O primeiro passo para a implementação de segurança de Banco de Dados requer a garantia do estabelecimento de uma política de privacidade e segurança, isso é, a definição do ambiente computacional que irá armazenar o dados – “Hardware e Software”, bem como a definição do controle físico, humano e procedimental do acesso aos dados. Essa política irá definir o que deve ser feito e não como faze-lo.

Em seguida devemos mostrar os mecanismos que serão utilizados para cumprir as funções pretendidas pela política de segurança de dados.

O último passo a ser implementado é a garantia de que os mecanismos adotados cumpram, com alto grau de confiabilidade, a política de segurança. Quanto mais alta for essa garantia, mais difícil será quebrar a política de segurança.

As políticas de seguranças de Bancos de Dados devem levar em consideração três objetivos fundamentais: ¾ Segredo – Prevenir o acesso às informações por usuários não autorizados, como por exemplo: em um sistema de folha de pagamento, um empregado de nível inferior não deve ter acesso aos salários de seus superiores. ¾ Integridade – Evitar modificações das informações por usuários não autorizados a executar esse procedimento, como por exemplo: neste mesmo sistema de folha de pagamento evitar que um usuário altere o seu salário, sem que para isso esteja autorizado. ¾ Disponibilidade – Prevenir que alguma coisa ou fator impeça os acessos aos dados e às informações, como por exemplo, ainda nesse mesmo sistema de folha de pagamento os contra- cheques deverão ser impressos e entregues no prazo previsto.

2.1 – TIPOS DE BANCOS DE DADOS

Levando-se em consideração a forma de armazenamento e operacionalização os bancos de dados podem ser classificados em três categorias ou tipos: ¾ Bancos de Dados Centralizados ¾ Bancos de Dados Descentralizados ¾ Bancos de Dados Distribuídos