FACULDADES INTEGRADAS UNICESP
CURSO DE TECNOLOGIA EM SEGURANÇA DA INFORMAÇÃO
RUBENS JOSÉ DE SOUZA
IMPLEMENTAÇÃO DE SERVIDOR WEB SEGURO
COM WINDOWS SERVER 2003 PARA A EMPRESA
CAIXA ECONÔMICA FEDERAL
BRASÍLIA
2007
RUBENS JOSÉ DE SOUZA
IMPLEMENTAÇÃO DE SERVIDOR WEB SEGURO
COM WINDOWS SERVER 2003 PARA A EMPRESA
CAIXA ECONÔMICA FEDERAL
Trabalho
de
Conclusão
de
Curso
apresentado ao Curso de Tecnologia em
Segurança da Informação do Instituto
Científico de Ensino Superior e Pesquisa,
como requisito parcial à obtenção do título de
Tecnólogo em Segurança da Informação.
Área de concentração: Tecnologia em
Segurança da Informação.
Orientador: Prof. MSc. Cid Bendahan Coelho
Cintra
BRASÍLIA
2007
SOUZA, Rubens José.
Implementação de servidor web seguro com
windows server 2003 para a Caixa Econômia
Federal
/ Rubens José de Souza ; Professor
orientador Cid Bendahan Coelho Cintra. – Guará :
[s. n.], 2007.
134f; il.
Monografia (Graduação em Tecnologia em
Segurança da Informação) – Instituto Científico de
Ensino Superior e Pesquisa, 2007
I. Cintra, Cid Bendahan Coelho. II. Segurança
da informação. III. Intranet.
FACULDADES INTEGRADAS UNICESP
CURSO DE TECNOLOGIA EM SEGURANÇA DA INFORMAÇÃO
RUBENS JOSÉ DE SOUZA
Trabalho de Conclusão de Curso intitulado “Implementação de Servidor Web Seguro
Com Windows Server 2003 para a Empresa Caixa Econômica Federal”, avaliado
pela banca examinadora constituída pelos seguintes professores:
_____________________________________________________________
Prof. MSc. Cid Bendahan Coelho Cintra - Orientador
_____________________________________________________________
Prof. Charles Fernando Alves
_____________________________________________________________
Prof. Flávio Pelegrinelli
_____________________________________________________________
Prof. MSc. Paulo Hansen
Coordenador do Curso de Tecnologia Em Segurança Da Informação
FACCIG/UnICESP
RESULTADO
( X ) APROVADO
( ) REPROVADO
Brasília, junho de 2007.
PROPRIEDADE INTELECTUAL DE TRABALHO DE CONCLUSÃO DE
CURSO – CESSÃO DE DIREITOS
Curso de Tecnologia em Segurança da Informação
UnICESP
Título do Trabalho: “Implementação de Servidor Web Seguro Com
Windows Server 2003 para a Empresa Caixa Econômica Federal
Autor: Rubens José de Souza
Orientador: Prof. MSc. Cid Bendahan Coelho Cintra
Data de apresentação do Trabalho: 26 de junho de 2007
Declaramos que o aluno Rubens José de Souza por meio da Coordenação do
Curso de Tecnologia em Segurança da Informação, da Coordenação de
Trabalhos de Conclusão de Curso e da Coordenação Geral de Trabalhos de
Conclusão de Curso, do UnICESP, estão autorizadas a fazer uso do Trabalho por
nós desenvolvido para a disciplina de Trabalho de Conclusão de Curso II – TCC II
para:
•
Objetivos estritamente acadêmicos, como exposição/apresentação em
Seminários ou Simpósios e outros eventos internos ou externos;
•
Divulgação interna ou externa, para fins acadêmicos.
________________________________
________________________________
Rubens José de Souza
Prof. MSc. Cid Bendahan Coelho
Cintra
AGRADECIMENTOS
A Deus pela vida que me concedeste e por
mais esta conquista.
A minha querida esposa Leila Maria e às minhas
queridas filhas Leilliany e Rubbiany, que de certa
forma me ajudam a superar os desafios que me
são impostos.
A todos os professores e colegas que com
sua presença e companheirismo me incentivaram
e proporcionaram-me vários momentos de
aprendizagem e, principalmente, ao professor e
mestre Cid Bendahan Coelho Cintra cuja
paciência e conselho sempre vieram na hora
certa e que não poupou esforços e preciosas
horas de seu tempo em minha orientação.
Obrigado a todos.
RESUMO
Este trabalho apresenta e analisa a segurança da informação em servidores que
disponibilizam informações voltadas para intranet da Caixa Econômica Federal.
Primeiramente, são apresentados os conceitos de vários tópicos abordados no
trabalho, como redes de computadores, protocolos, internet, intranet, extranet,
política de segurança da informação, controle de acesso, infra-estrutura de chave
pública, sistema operacional e serviços de informações voltados para intranet. A
ênfase do trabalho foi a aplicação de questionário e análise de riscos e
vulnerabilidades por meio de comparação dos resultados obtidos versus matriz de
risco. Conclui-se que não existe situação efetiva de segurança nos servidores de
informações e se propõe recomendações com base nas normas de segurança NBR
ISO/IEC 17799:2005 e nas orientações emitidas pela Microsoft Corporation.
Palavras chaves: Segurança da Informação. Intranet.
ABSTRACT
This work presents and it analyzes the safety of the information in servers that
possess information of the intranet of Caixa Econômica Federal. Firstly, the concepts
of several topics approached in the healthy work presented, as nets of computers,
protocols, internet, intranet, extranet, politics of safety of the information, access
control, and infrastructure of public key, operating system and services of information
for intranet. The emphasis of the work is the questionnaire application and analysis of
risks and flaws through comparison of the results obtained with the risk head office. I
concluded that effective situation of safety doesn't exist in the servers of information
and I propose recommendations with base in safety's NBR ISO/IEC 17799:2005
norms and in the orientations emitted by Microsoft Corporation.
Word Keys: Safety of the Information. Intranet.
8
Lista de tabelas
Tabela 1 – Recursos mínimos de hardwares para as diferentes edições do Windows
Server 2003...............................................................................................................71
Tabela 2 – Portas TCP padrão para serviços web ....................................................80
Tabela 3 – Matriz de Risco – Política de Controle de Acesso ...................................94
Tabela 4 – Matriz de Risco – Gerenciamento de acesso de usuário ........................94
Tabela 5 – Matriz de Risco – Responsabilidades dos usuários ................................95
Tabela 6 – Matriz de Risco – Controle de acesso à rede..........................................95
Tabela 7 – Matriz de Risco – Política de segurança para servidores que
disponibilizam serviços voltados para intranet ..........................................................96
Tabela 8 – Legenda ..................................................................................................96
Tabela 9 – Configurações de senha para conta......................................................101
Tabela 10 – Configurações de auditoria..................................................................102
Tabela 11 – Atribuições de direito do usuário .........................................................102
Tabela 12 – Opções de segurança .........................................................................104
Tabela 13 – Utilitários de linha de comando. ..........................................................109
Tabela 14 – Classificação de arquivos do site. .......................................................115
Tabela 15 – Extensões mapeadas e que deverão ser removidas...........................116
9
Lista de Figuras
Figura 1 – Organograma da Empresa.......................................................................26
Figura 2 – Modelo baseado no mainframe e no acesso via “terminais burros”. ........28
Figura 3 – Modelo baseado em cliente/servidor e no acesso via cliente...................29
Figura 4 – Modelo de desenvolvimento em duas camadas. .....................................31
Figura 5 – Modelo de desenvolvimento em três camadas. .......................................32
Figura 6 – Modelo de desenvolvimento em quatro camadas. ...................................33
Figura 7 – Rede de pesquisadores depois da ARPAnet. ..........................................36
Figura 8 – Rede local baseada no protocolo TCP/IP. ...............................................37
Figura 9 – Ligação entre rede baseada no protocolo TCP/IP. ..................................38
Figura 10 – Criptografia com chave simétrica. ..........................................................54
Figura 11 – Criptografia com chave assimétrica. ......................................................55
Figura 12 – Controle de acesso do IIS ......................................................................75
Figura 13 – Diagrama Gerenciador de Autorização ..................................................79
Figura 14 – Configuração do arquivo de log Security..............................................100
Figura 15 – Exclusão dos diretórios da partição sistema no serviço de indexação.101
Figura 16 – Serviço de Terminal – Encryption level High ........................................111
Figura 17 – Serviço de Terminal – Configurações da guia sessions.......................112
Figura 18 – Serviço de Terminal – Configuração da guia remote control................112
Figura 19 – Serviço de Terminal – Configuração da guia Client Settings ...............113
Figura 20 – Serviço de Terminal – Configuração da guia “Client Settings” .............113
Figura 21 – Serviço de Terminal – Configuração da guia “Client Settings” .............114
Figura 22 – Configuração do arquivo de log do IIS. ................................................116
Figura 23 – Implementando criptografia de 128 bits no IIS. ....................................119
10
Lista de Abreviaturas e Siglas
AD
Active Directory
ADSL
Asymmetric Digital Subscriber Line
ANSI
American National Standards Institute
ARPA
Advanced Research Project Agency
ARPANET
Advanced Research Projects Agency Network
ASCII
American Standard Code for Information Interchange
ASP
Active Server Pages
CEN
Comité Européen de Normalisation
CENELEC
Comité Européen de Normalisation Eléctrotechnique
COM
Component Object Model
CPF
Cadastro de Pessoas Físicas
CSP
Cryptographic Service Provider
CTL
Certificate Trust List
DC
Domain Controler
DHCP
Dynamic Host Configuration Protocol
DLL
Dynamically Linked Library
DNS
Domain Name System
DSA
Digital Signature Algorithm
EAP
Extensible Authentication Protocol
ECDH
Elliptic Curve Diffie-Hellman
ECDSA
Elliptic Curve Digital Signature Algorithm
ETSI
European Telecommunications Standards Institute
EUA
Estados Unidos da América
FAT
File Allocation Table
FTP
File Transfer Protocol
GUID
Globally Unique Identifier
HD
Hard Disk
HDS
Hitachi Data Systems
HTML
Hyper Text Markup Language
HTTP
Hypertext Transfer Protocol
HTTPS
Hypertext Transfer Protocol Secure
11
IAS
Internet Authentication Service
IBM
International Business Machines
ICF
Internet Connection Firewall
ICP
Infra-estrutura de Chave Pública
IEC
International Electro technical Commission
IEEE
Institute of Electrical and Electronics Engineers
IIS
Internet Information Services
IP
Internet Protocol
IPSec
Internet Protocol Security
IPX
Internetwork Packet Exchange
ISAPI
Application Programming Interface
ISO
International Organization for Standardization
ITU
International Telecommunications Union
MDAC
Microsoft Data Access Components
MIPS
Milhões de instruções por segundo
MSU
Milhões de unidades de serviço
MUX
Multiplexador
NCP
Network Control Protocol
NCSA
National Center for Supercomputing Applications
NETBEUI
NetBIOS Extended User Interface
NIST
National Institute for Standards and Technology
NNTP
Network News Transfer Protocol
NTFS
New Technology File System
ODBC
Open Data Base Connectivity
PC
Personal Computer
PDF
Portable Document Format
PGP
Pretty Good Privacy
PIN
Personal Identification Number
PKCS
Public Key Cryptography Standard
POP
Post Office Protocol
RAM
Random Access Memory
RDS
Remote Data Services
RPC
Remote Procedure Call
RRAS
Routing and Remote Access Service
12
RSA
Ron Rivest e Adi Shamir
SDSI
Simple Distributed Security Infrastructure
SET
Secure Electronic Transaction
SGC
Server-gated Cryptography
SMTP
Simple Mail Transfer Protocol
SPKI
Simple Public Key Infrastructure
SPX
Sequenced Packet Exchange
SQL
Structured Query Language
SSH
Secure Shell
SSL
Secure Sockets Layer
TCP
Transmission Control Protocol
TLS
Transport Layer Security
UDP
User Datagram Protocol
UNC
Universal Naming Convention
URL
Universal Resource Locator
W3C
World Wide Web Consortium
WINS
Windows Internet Naming Service
WSRM
Windows System Resource Manager
WWW
World Wide Web
XML
extensible Markup Language
13
Sumário
1 INTRODUÇÃO .......................................................................................................20
2 PROCEDIMENTOS METODOLÓGICOS...............................................................21
3 ESTRUTURA ORGANIZACIONAL .......................................................................22
3.1 A EMPRESA .......................................................................................................22
3.2 MISSÃO .............................................................................................................22
3.3 ORGANOGRAMA .................................................................................................22
4 REFERENCIAL TEÓRICO.....................................................................................27
4.1 FUNDAMENTOS DE REDES ...................................................................................27
4.1.1 Introdução .................................................................................................27
4.1.2 Redes de computadores ...........................................................................27
4.1.2.1 Modelo centralizado baseado no mainframe ......................................27
4.1.2.2 Modelo descentralizado baseado em cliente/servidor ........................28
4.1.2.2.1 Servidores de rede.......................................................................29
4.1.2.3 Modelo de aplicações em duas camadas...........................................29
4.1.2.4 Modelo de aplicações em três camadas.............................................31
4.1.2.5 Modelo de aplicações em quatro camadas ........................................32
4.1.3 Papel do Windows Server 2003 na rede ...................................................33
4.2 PROTOCOLOS ....................................................................................................34
4.2.1 Fundamentos ............................................................................................34
4.2.2 Protocolo TCP/IP.......................................................................................35
4.2.2.1 Configurações do protocolo TCP/IP ...................................................36
4.3 INTERNET/INTRANET/EXTRANET ..........................................................................38
4.3.1 Internet ......................................................................................................38
4.3.2 Intranet ......................................................................................................40
4.3.3 Extranet.....................................................................................................41
4.4 POLÍTICA DE SEGURANÇA DE INFORMAÇÃO ..........................................................41
4.4.1 Introdução .................................................................................................41
4.4.2 Objetivos de segurança.............................................................................42
4.4.2.1 Diretrizes para implementação ...........................................................43
14
4.4.3 Legislação Brasileira e Instituições Padronizadas ....................................43
4.4.3.1 Legislação Brasileira...........................................................................44
4.4.3.2 Instituições Padronizadoras Nacionais e Internacionais.....................45
4.4.4 Identificando os Recursos .........................................................................45
4.4.4.1 Classificação das informações ...........................................................45
4.4.4.2 Classificação dos sistemas.................................................................46
4.4.5 Ativos ........................................................................................................46
4.4.6 Riscos .......................................................................................................47
4.4.7 Ameaças ...................................................................................................48
4.4.8 Ataques .....................................................................................................48
4.4.9 Manutenção da Política.............................................................................49
4.4.9.1 Diretrizes para implementação ...........................................................50
4.5 CONTROLES DE ACESSO .....................................................................................50
4.5.1 Lógico........................................................................................................51
4.5.2 Físico.........................................................................................................51
4.5.3 Ambiental ..................................................................................................52
4.6 INFRA-ESTRUTURA DE CHAVE PÚBLICA – ICP .......................................................52
4.6.1 Introdução à ICP .......................................................................................52
4.6.2 Conceitos Necessários..............................................................................52
4.6.2.1 Criptografia .........................................................................................53
4.6.2.1.1 Chaves simétricas........................................................................53
4.6.2.1.2 Chaves assimétricas ....................................................................54
4.6.2.1.3 Algoritmos ....................................................................................55
4.6.2.2 Autenticação .......................................................................................55
4.6.2.2.1 Sign-on.........................................................................................56
4.6.2.2.2 Single sing-on (SSO) ...................................................................56
4.6.2.3 Autenticação forte...............................................................................57
4.6.2.3.1 Tokens .........................................................................................57
4.6.2.3.2 Smartcards...................................................................................57
4.6.2.3.3 Biometria ......................................................................................57
4.6.3 Serviços oferecidos pela ICP ....................................................................58
4.6.3.1 Privacidade .........................................................................................58
4.6.3.2 Integridade..........................................................................................58
4.6.3.3 Autenticidade ......................................................................................58
15
4.6.4 Serviços disponíveis com a utilização da ICP ...........................................59
4.6.4.1 Segurança na Comunicação...............................................................59
4.6.4.2 Carimbo de tempo seguro ..................................................................59
4.6.4.3 Não-repúdio ........................................................................................59
4.6.4.4 Gerência de privilégios .......................................................................60
4.6.4.5 Recuperação de chaves .....................................................................60
4.6.5 Ameaças e vulnerabilidades .....................................................................60
4.6.5.1 Perfil de um hacker.............................................................................61
4.6.5.2 Hackers x crackers .............................................................................61
4.6.5.3 Script kiddies ......................................................................................61
4.6.5.4 Funcionários insatisfeitos e ex-funcionários .......................................61
4.6.5.5 Engenharia Social...............................................................................61
4.6.5.6 Anatomia de um ataque de hacker .....................................................62
4.6.6 As vulnerabilidades mais críticas de segurança na Internet......................62
4.6.6.1 Instalações padrão de sistemas operacionais e softwares.................62
4.6.6.2 Contas de usuários e senhas .............................................................62
4.6.6.3 Backup incompleto ou inexistente ......................................................63
4.6.6.4 Grande número de serviços/portas abertas........................................63
4.6.6.5 Ausência de filtro da rede local da empresa.......................................63
4.6.6.6 Sistema de logs e auditorias incompletas ou inexistentes..................64
4.6.6.7 Buffer overflow....................................................................................64
4.6.6.7.1 Remote Procedure Call (RPC) .....................................................64
4.6.6.8 Brecha nos serviços de dados remotos (RDS) do IIS.........................65
4.6.7 Certificação e certificados .........................................................................65
4.6.7.1 Introdução...........................................................................................65
4.6.7.2 Tipos de certificado.............................................................................66
5.6.7.2.1 X.509............................................................................................66
4.6.7.2.2 Simple Public Key Infrastructure/Simple Distributed Security
Infrastructure (SPKI/SDSI) ..........................................................................67
4.6.7.2.3 Secure Electronic Transaction (SET) ...........................................67
4.6.7.3 Public Key Cryptography Standards (PKCS) ......................................67
4.7 SISTEMA OPERACIONAL......................................................................................68
4.7.1 Introdução .................................................................................................68
4.7.2 Funções Básicas .......................................................................................69
16
4.7.3 Windows Server 2003 ...............................................................................69
4.7.3.1 Windows Server 2003 Standard Edition .............................................70
4.7.3.2 Windows Server 2003 Enterprise Edition ...........................................70
4.7.3.3 Windows Server 2003 Data Center Edition ........................................70
4.7.3.4 Windows Server 2003 Web Edition ....................................................71
4.7.4 Comparação entre as diferentes edições..................................................71
4.8 INTERNET INFORMATION SERVICES 6.0 (IIS).........................................................71
4.8.1 Introdução .................................................................................................71
4.8.2 Segurança.................................................................................................72
4.8.2.1 Recomendações para Servidor Web com IIS .....................................72
4.8.2.2 Tipo de Autenticação ..........................................................................73
4.8.2.2.1 Autenticação de Sites ..................................................................73
4.8.2.2.2 Autenticação de Sites FTP...........................................................74
4.8.2.3 Controle de Acesso.........................................................................74
4.8.2.3.1 Permissões NTFS ........................................................................75
4.8.2.3.2 Permissões de sites .....................................................................75
4.8.2.3.3 Contas do IIS e contas internas ...................................................76
4.8.2.3.4 Acesso anônimo...........................................................................77
4.8.2.3.5 Configurando identidade do processo de trabalho.......................77
4.8.2.3.6 Protegendo sites com restrições de endereço IP.........................77
4.8.2.3.7 Protegendo diretórios virtuais.......................................................78
4.8.2.3.8 Autorização da URL .....................................................................78
4.8.2.4 Filtragem de porta TCP/IP ..................................................................79
4.8.2.4.1 Atribuições de portas para serviços web......................................79
4.8.2.4.2 Ferramentas de filtragem de portas .............................................80
4.8.2.5 Criptografia .........................................................................................80
4.8.2.5.1 Ativando a criptografia .................................................................81
4.8.2.5.2 Definindo o nível de criptografia...................................................81
4.8.2.6 Certificado Digital................................................................................81
4.8.2.6.1 Autoridades de certificação ..........................................................82
4.8.2.6.2 Certificados de servidor................................................................82
4.8.2.6.3 Server-gated Cryptography (SGC)...............................................82
4.8.2.6.4 Provedor de serviços de criptografia selecionável .......................83
4.8.2.6.5 Certificados de cliente ..................................................................83
17
4.8.2.6.6 Lista de certificados confiáveis.....................................................83
4.8.2.6.7 Detecção de certificados de cliente revogados ............................83
4.8.3 LOGs de atividades do site .......................................................................84
4.8.3.1 Habilitando o log .................................................................................84
4.8.3.2 Personalizando o log estendido do W3C............................................84
4.8.3.3 Salvando arquivos de log ...................................................................85
4.8.3.4 Convertendo arquivos de log em formato NCSA ................................85
4.8.3.5 Log binário centralizado......................................................................85
4.8.3.6 Módulos de log personalizados ..........................................................86
4.8.3.7 Log remoto .........................................................................................86
4.8.3.8 Códigos de erro em arquivos de log ...................................................87
4.8.4 Metabase do IIS ........................................................................................87
4.8.4.1 Estrutura .............................................................................................87
4.8.4.2 Segurança ..........................................................................................87
4.8.4.3 Backup................................................................................................88
4.8.4.4 Importação e Exportação....................................................................88
4.8.5 Ajuste de desempenho..............................................................................88
4.8.5.1 Desempenho e Segurança .................................................................88
4.9 POLÍTICA DE CONTROLE DE ACESSO ....................................................................89
4.9.1 Ambiente centralizado (grande porte) .......................................................89
4.9.1.1 Ambiente mainframe IBM ...................................................................89
4.9.1.2 Ambiente SUN ....................................................................................90
4.9.1.3 Ambiente x86......................................................................................90
4.9.1.4 Storage em disco................................................................................90
4.9.1.5 Storage em fita ...................................................................................90
4.9.2 Ambiente descentralizado (baixa plataforma) ...........................................91
4.9.2.1 Servidores que disponibilizam serviços voltados para intranet...........91
4.9.3 Ambiente de telecomunicações ................................................................92
4.9.4 Ambiente de telefonia................................................................................93
4.9.5 Recursos humanos ...................................................................................93
4.10 ANÁLISE DE RISCOS E VULNERABILIDADES ........................................................93
4.10.1 Avaliação de Risco..................................................................................93
4.10.2 Resultado da avaliação de risco .............................................................97
4.10.2.1 Política de controle de acesso ..........................................................97
18
4.10.2.2 Gerenciamento de acesso de usuário ..............................................97
4.10.2.3 Responsabilidades dos usuários ......................................................97
4.10.2.4 Controle de acesso à rede................................................................97
4.10.2.5 Política de segurança para servidores que disponibilizam serviços
voltados para intranet .....................................................................................98
4.11 SOLUÇÕES E RECOMENDAÇÕES.........................................................................98
4.11.1 Política de controle de acesso ................................................................98
4.11.2 Gerenciamento de acesso de usuário.....................................................99
4.11.3 Controle de acesso à rede ......................................................................99
4.12 POLÍTICA DE SEGURANÇA PARA SERVIDORES QUE DISPONIBILIZAM SERVIÇOS
VOLTADOS PARA INTRANET .......................................................................................99
4.12.1 Configurações do Servidor ......................................................................99
4.12.1.1 Requisitos de Hardware ...................................................................99
4.12.1.2 Arquivos de log ...............................................................................100
4.12.1.3 Serviço de Indexação ....................................................................100
4.12.1.4 Proteção de tela..............................................................................101
4.12.1.5 Usuários administrator e guest .......................................................101
4.12.1.6 Política de segurança local .............................................................101
4.12.1.6.1 Senha.......................................................................................101
4.12.1.6.2 Auditoria ...................................................................................102
4.12.1.6.3 Atribuições de direitos do usuário ............................................102
4.12.1.6.4 Opções de segurança ..............................................................104
4.12.1.7 Configurações de registro...............................................................107
4.12.1.8 Permissões de Registro..................................................................108
4.12.1.9 Sistemas de arquivos - Access Control List (ACL) .........................109
4.12.1.10 Utilitários de linha de comando.....................................................109
4.12.1.11 Serviços ........................................................................................110
4.12.1.12 Configurações do serviço de terminal...........................................111
4.12.2 Configurações do serviço de informações da intranet (IIS) 6.0.............114
4.12.2.1 Configurações de registro específico do IIS ...................................114
4.12.2.2 Localização e permissão para arquivos..........................................115
4.12.2.3 Arquivo de log do IIS ......................................................................115
4.12.2.4 Extensões mapeadas e removidas.................................................116
4.12.2.5 Extensão WebDAV .........................................................................116
19
4.12.2.6 Método de autenticação .................................................................117
4.12.2.6.1 Autenticação do site.................................................................117
4.12.2.6.2 Permissões NTFS ....................................................................117
4.12.2.7 Criptografia .....................................................................................118
4.12.2.8 Certificado digital de servidor..........................................................119
4.12.2.9 Metabase do IIS..............................................................................119
4.12.2.9.1 Backup da metabase ...............................................................119
4.12.2.9.2 Segurança da metabase em nível de arquivo ..........................119
5 CONCLUSÃO ......................................................................................................121
6 REFERÊNCIAS BIBLIOGRÁFICAS ....................................................................122
GLOSSÁRIO...........................................................................................................124
ANEXO A ................................................................................................................126
20
1 INTRODUÇÃO
Com o avanço da tecnologia nos últimos anos, a concorrência comercial entre
as empresas assume caráter globalizado e faz com que os ganhos de
competitividade sejam objeto de busca permanente. Nesse contexto, a informação
passa a ser o bem maior de cada empresa como trunfo de negócios e, como tal,
deve ser resguardada adequadamente segundo sua classificação e grau de
importância.
Como imperativo desta realidade tão mutante, criam-se novos métodos de
trabalhos, novas formas de negócios e de relações entre empresas e clientes. O
papel é gradualmente substituído por documentos digitais, altera-se, por
conseguinte, o paradigma da concepção e da forma de guardar informações.
Os acessos às informações tornam-se cada vez mais rápidos. O vaivém em
formas digitais através de conexões de rede de computadores cresce em ritmo
exponencial, pondo em risco de violação os dados mais secretos e sigilosos das
empresas.
Com este cenário convive presentemente toda sociedade empresária, e,
como não poderia deixar de ser, afeta igualmente a economia interna da Caixa
Econômica Federal, instituição financeira oficial que se toma como base para as
propostas objeto deste trabalho. Propostas que têm em vista, essencialmente, a
implantação de padrões capazes de respaldar os normativos da empresa e as
normas técnicas de segurança, de forma que seja assegurada a indispensável
confidencialidade e integridade às informações digitais da empresa, particularmente
daquelas sob a guarda de seus servidores web regionais.
Os servidores web regionais disponibilizam sites de conteúdos das várias
filiais espalhadas pelo Brasil. Muitas dessas filiais possuem informações restritas, de
acesso limitado e pertinentes apenas à sua área de atuação, afigurando-se
necessário que se lhes garantir integridade e confidencialidade.
Vários desses servidores ainda utilizam versões do Windows NT Server 4,
sistema operacional que já foi descontinuado pelo fabricante e, por isso, não mais
possui suporte nem patch de atualização contra vulnerabilidades. Daí, a
necessidade de substituir-se a versão do sistema operacional em uso por versão
mais recente (Windows Server 2003).
21
Nesta ordem de idéias, e, como objetivo geral, propõe-se neste trabalho nova
política de segurança para os servidores que disponibilizam serviços voltados para
Intranet da CEF, a fim de que se imprima confidencialidade e integridade aos
respectivos conteúdos. Para esse efeito, cuidados de levar a cabo as seguintes e
específicas tarefas:
- Análise do problema apresentado;
- levantamento da estrutura da empresa;
- levantamento de risco e vulnerabilidades com aplicação de questionário;
- avaliação de risco utilizando matriz de risco;
- análise dos resultados da avaliação de risco; e
- apresentação das soluções propostas e recomendações para o problema
apresentado.
2 PROCEDIMENTOS METODOLÓGICOS
O desenvolvimento deste trabalho respalda-se em livros de Segurança da
Informação e Sistemas Operacionais, na norma técnica NBR ISO/IEC 17799:2005 e
NBR ISO/IEC 27001 e nas disciplinas estudadas no decorrer do curso.
Realizou-se, por meio do inventário de hardware e software da empresa
estudada, um mapeamento dos servidores Web a fim de verificar a necessidade de
atualização de hardware de forma a atender os pré-requisitos para instalação do
Windows Server 2003. Desse levantamento foi elaborada uma planilha da
radiografia de tais servidores.
Também se fez levantamento da versão do sistema operacional e versão do
IIS utilizado bem como formas das configurações implementadas. Efetuou-se tal
operação por meio de inventário de hardware e software e os dados tabulados em
planilhas.
Para fins de levantamento de risco e vulnerabilidades, foi aplicado
questionário a qual se encontra no anexo A.
A CEF possui normativos de Política de Segurança para Intranet, Política de
Segurança da Informação e Classificação da Informação. Os dados levantados
foram confrontados com estes normativos e com as normas ISO/IEC 17799 e
22
ISO/IEC 27001 a fim de indicar o que está em desacordo e recomendar um padrão
de controle de acesso a ser implementado, compatíveis com as normas vigentes.
3 ESTRUTURA ORGANIZACIONAL
3.1 A Empresa
A CAIXA ECONÔMICA FEDERAL (CEF) é uma instituição financeira criada
sob a forma de empresa pública pelo Decreto Lei n°. 759, de 12 de agosto de 1969.
Vinculada ao Ministério da Fazenda, a CEF tem sede e foro na capital da República
e atuação em todo o território nacional.
A instituição integra o Sistema Financeiro Nacional e auxilia na execução da
política de crédito do Governo Federal. Assim como as demais instituições
financeiras, está sujeita às decisões e à disciplina normativa do órgão competente e
à fiscalização do Banco Central do Brasil (CAIXA, 2006).
3.2 Missão
Essencialmente, a missão da CEF é promover a melhoria contínua da
qualidade de vida da população brasileira, intermediando recursos e negócios
financeiros, atuando no fomento ao desenvolvimento urbano e nos segmentos de
habitação, saneamento e infra-estrutura, e na administração de fundos, programas e
serviços de caráter social, tendo como valores fundamentais:
- Direcionamento de ações para o atendimento das expectativas da sociedade
e dos clientes;
- busca permanente de excelência na qualidade dos serviços oferecidos;
- equilíbrio financeiro em todos os negócios;
- conduta ética pautada nos valores da sociedade e
- respeito e valorização do ser humano (CAIXA, 2006).
3.3 Organograma
São órgãos de administração da CEF:
23
- Conselho de Administração, responsável pela orientação geral dos
negócios da CEF, sendo composto de sete conselheiros nomeados pelo Ministro de
Estado da Fazenda para mandatos de três anos, podendo ser reconduzidos por
igual período.
- Conselho Fiscal, que é composto de cinco membros efetivos (e suplentes),
escolhidos pelo Ministro de Estado da Fazenda. Ao Conselho Fiscal compete
exercer as atribuições referentes ao seu poder de fiscalização, entre elas: fiscalizar
os atos dos administradores, verificando o cumprimento de seus deveres legais e
estatutários, e examinar as demonstrações financeiras semestrais e anuais da CEF.
- Conselho Diretor, colegiado composto pelo presidente da CEF e por nove
vice-presidentes, nomeado pelo Presidente da República por indicação do Ministro
de Estado da Fazenda, ouvido o Conselho de Administração. Ao Conselho Diretor
cabe, entre outras atividades, aprovar e apresentar ao Conselho de Administração
as políticas, as estratégias corporativas, o plano geral de negócios, os programas de
atuação de longo prazo e decidir sobre a estrutura organizacional da CEF.
- Presidente e onze vice-presidentes, com a incumbência de executar e
fazer executar as deliberações do Conselho de Administração e as decisões do
Conselho Diretor.
- A vice-presidência de tecnologia (VITEC) é a responsável pela tecnologia
da empresa e possui duas superintendências sendo a superintendência de
tecnologia
(SUATE),
responsável
pela
sustentação
de
tecnologia
e
a
superintendência de desenvolvimento (SUDES), responsável pelo desenvolvimento
de software.
Ligado a SUATE temos a hierarquia que se segue:
- Gerência nacional (GEADE), responsável pelo processo instalar/manter
infra-estrutura tecnológica descentralizada.
Centralizadora de suporte tecnológico (CESUT), com as principais
atividades:
- Prestar suporte especializado de segundo nível nas demandas de usuários
dos serviços intranet através de telefone, Caixa M@il e sistema de atendimento
(SIATE);
- coordenar e controlar a instalação/manutenção dos equipamentos e serviços
intranet instalados nas gerências, representações e unidades regionais vinculadas,
atuando junto aos analistas intranets das GISUT;
24
- auditar os servidores web regionais no tocante aos padrões e normas
estabelecidos para sua instalação/manutenção;
- coordenar e apoiar a instalação de novas versões dos sistemas e serviços
intranet;
- controlar e propor atualização para os equipamentos instalados no ambiente
intranet;
- publicar na intranet relatórios de avaliação e performance dos sites de
conteúdo das unidades regionais;
- controlar e apoiar a implementação de novos normativos e padrões por parte
das gerências e representações regionais;
- pesquisar bases de conhecimento objetivando a melhoria da performance
dos serviços intranet e do suporte aos usuários;
- acompanhar o desempenho dos servidores intranet instalados nas GISUT e
RESUT;
- propor e manter padronização de conteúdo para os sites regionais de
responsabilidade da GISUT e RESUT;
- gerenciamento de grupos e usuários dos controles de domínios da rede da
CEF;
- auditoria da utilização de senhas padronizadas nos banco de dados dos
servidores bancários localizados em cada agência;
- auditoria de segurança nos demais servidores e estações;
- elaboração de boletins gerenciais de segurança, englobando os números da
rede, as infecções e os novos vírus surgidos no período;
- suporte a todos os sistemas operacionais Windows, além dos serviços
básicos de rede, como DHCP, DNS e WINS;
- monitoração de filas de mensagens e serviços ativos nos servidores
Exchange;
- verificação da execução do backup diária e semanal dos servidores
Exchange;
- Gerência regional de suporte tecnológico de segundo nível (GISUT).
- Representação regional de suporte tecnológico de segundo nível
(RESUT).
As gerências e representações regionais de suporte tecnológico de segundo
nível são responsáveis por manter os sites das unidades regionais da CEF bem
25
como prestar todo o suporte aos usuários finais com relação às ocorrências ligadas
a hardware e software da baixa plataforma.
A seguir, podemos observar a estrutura organizacional da CEF. Nela,
encontra-se destacada, a repartição foco deste projeto (CAIXA, 2006).
26
Figura 1 – Organograma da Empresa.
27
4 REFERENCIAL TEÓRICO
4.1 Fundamentos de Redes
4.1.1 Introdução
Durante a década de 70 e meados de 80 utilizava-se um modelo centralizado
baseado em mainframe. Os programas e os dados eram disponibilizados em um
computador de grande porte; e o acesso aos programas e dados era feitos por meio
de terminais sem poder de processamento, conhecidos como “terminais burros”.
Esse modelo possui inúmeras vantagens como, por exemplo, gerenciamento
e administração centralizada, ambiente mais seguro e facilidade para atualização
dos sistemas; entretanto, possui um custo alto, principalmente em questões de
contingenciamento, dependência da linha de comunicação e quase sempre os
dados das empresas eram administrados por terceiros. Tal arquitetura ainda é
bastante utilizada atualmente, mas apenas para disponibilizar aplicações de cunho
corporativo.
Com a evolução da tecnologia de forma acelerada, os programas foram, e
estão sendo transformados, passando a serem alocados em várias partes da rede
corporativa. Surge o modelo ciente/servidor, com características diferentes das do
mainframe, o primeiro com seus dados distribuídos e o segundo com seus dados
centralizados.
4.1.2 Redes de computadores
4.1.2.1 Modelo centralizado baseado no mainframe
De acordo com Battisti (2003, p. 27), “Há algumas décadas, quando a
informática começou a ser utilizada para automatizar tarefas administrativas nas
empresas, tínhamos um modelo baseado nos computadores de grande porte, o
chamado Mainframe”, conforme figura 2.
Os aplicativos e dados ficam armazenados no Mainframe. Vamos supor que
a empresa X é a dona do Mainframe, no qual estão hospedados aplicativos
e dados da empresa Y. Para ter acesso a estes dados, a empresa Y
contrata uma linha de dados (que até o início da década de 90, aqui no
Brasil, apresentava velocidades da ordem de 1 ou 2 kbps). Na sede da
empresa, a linha de dados é conectada a um Modem, o qual era conectado
com um equipamento chamado MUX. O papel do MUX é permitir que mais
de um terminal burro possa se comunicar com o Mainframe, usando uma
28
única linha de dados. Os terminais burros eram ligados ao equipamento
MUX, diretamente através de cabos padrão para este tipo de ligação.
Com isso, os terminais são na prática uma extensão da console do
Mainframe, o qual permite que vários terminais estejam conectados
simultaneamente, inclusive acessando diferentes sistemas. Este modelo
ainda é muito utilizado, embora novos elementos tenham sido introduzidos.
Por exemplo, os terminais burros foram praticamente extintos. Agora o
terminal é simplesmente um software emulador de terminal, que fica
instalado em um computador ligado em rede. Mas muitos dos sistemas e
dados empresariais utilizados hoje em dia ainda estão hospedados no
Mainframe. Pegue a lista dos dois maiores bancos brasileiros (públicos ou
privados) e, no mínimo, cinco deles ainda têm grande parte dos dados no
Mainframe (BATTISTI, 2003, p.28).
Figura 2 – Modelo baseado no mainframe e no acesso via “terminais burros”.
FONTE: Battisti (2003, p.27)
4.1.2.2 Modelo descentralizado baseado em cliente/servidor
Na década de 80 e inicio dos anos 90, os computadores padrão Personal
Computer (PC), já eram uma realidade e as empresas passaram a utilizá-lo em
grande escala. Por este motivo, os preços começaram a baixar e as empresas a
usarem cada vez mais.
O passo seguinte neste processo foi, de forma natural, a ligação dos
computadores em rede de forma que pudesse facilitar a troca de informações de
computador para computador, começava a nascer o modelo cliente/servidor,
conforme podemos observar no diagrama da figura 3.
A idéia básica do modelo cliente/servidor era uma descentralização dos
dados e dos aplicativos, trazendo os dados para servidores localizados na
rede local onde os dados fossem necessários e os aplicativos instalados
nos computadores da rede. Este movimento de um computador de grande
porte - Mainframe -, em direção a servidores de menor porte - servidores de
29
rede local - foi conhecido como Downsizing, que eu me atrevo a traduzir
como "Redução de Tamanho" (BATTISTI, 2003, p.29).
Figura 3 – Modelo baseado em cliente/servidor e no acesso via cliente.
FONTE: Battisti (2003, p. 30)
4.1.2.2.1 Servidores de rede
São computadores localizados em pontos estratégicos da rede que possui um
alto poder de processamento de informações e armazenamento de dados, com
objetivo de executar e disponibilizar serviços de rede e aplicações de usuário como,
por exemplo, disponibilização de páginas web, arquivos, banco de dados, serviços
de Domain Name System (DNS), Dynamic Host Configuration Protocol (DHCP),
Windows Internet Naming Service (WINS), Post Office Protocol (POP), Simple Mail
Transfer Protocol (SMTP), dentre outros.
Com base nestas informações podemos apresentar o conceito da arquitetura
cliente/servidor.
A Arquitetura cliente/servidor, de uma maneira simples, nada mais é do que
uma rede de dispositivos, normalmente computadores, onde um número
reduzido atua como Servidor - disponibilizando recursos e serviços para os
demais - e a maioria dos dispositivos atua como cliente, acessando os
recursos e serviços disponibilizados pelos Servidores (BATTISTI, 2003, p.
5).
4.1.2.3 Modelo de aplicações em duas camadas
Com o advento da descentralização e o uso do modelo cliente/servidor,
aplicações foram sendo desenvolvidas em linguagens como Visual Basic, Delphi,
30
Power Builder. Estas aplicações utilizavam um modelo de desenvolvimento em duas
camadas, ou seja, as aplicações são instaladas em cada computador cliente e a
partir deste cliente efetuado a conexão com o servidor de banco de dados (figura 4).
[...] No modelo de duas camadas, a aplicação Cliente é responsável pelas
seguintes funções:
- Apresentação: O Código que gera a Interface visível do programa faz
parte da aplicação Cliente. Todos os formulários, menus e demais
elementos visuais estão contidos no código da aplicação Cliente. Caso
sejam necessárias alterações na Interface do programa, faz-se necessária a
geração de uma nova versão do programa, e todas as estações de trabalho
que possuam a versão anterior devem receber a nova versão, para que o
usuário possa ter acesso às alterações da Interface. Então começam a
surgir os problemas no modelo em duas camadas: uma simples alteração
de Interface é suficiente para gerar a necessidade de atualizar a aplicação
em centenas ou milhares de estações de trabalho, dependendo do porte da
empresa. O gerenciamento desta tarefa é algo extremamente complexo e
oneroso.
- Lógica do Negócio: As regras que definem a maneira como os dados
serão acessados e processados são conhecidas como "Lógica do Negócio".
Fazem parte da Lógica do Negócio, desde funções simples de validação da
entrada de dados, como o cálculo do dígito verificador de um CPF, até
funções mais complexas, como descontos escalonados para os maiores
clientes, de acordo com o volume da compra. Questões relativas à
legislação fiscal e escrita contábil também fazem parte da Lógica do
Negócio. Por exemplo, um programa para gerência de Recursos Humanos,
desenvolvido para a legislação dos EUA, não pode ser utilizado, sem
modificações, por uma empresa brasileira. Isso acontece porque a
legislação dos EUA é diferente da legislação brasileira. Em síntese, as
regras para o sistema de Recursos humanos são diferentes. Alterações nas
regras do negócio são bastante freqüentes, ainda mais com as repetidas
mudanças na legislação do nosso país. Com isso, faz-se necessária a
geração de uma nova versão do programa, cada vez que uma determinada
regra muda ou quando regras forem acrescentadas ou retiradas. Desta
forma, todas as estações de trabalho que possuem a versão anterior devem
receber a nova versão, para que o usuário possa ter acesso às alterações.
Agora temos mais um sério problema no modelo de duas camadas:
qualquer alteração nas regras do negócio (o que ocorre com freqüência) é
suficiente para gerar a necessidade de atualizar a aplicação, em centenas
ou milhares de computadores. O que já era complicado piorou um pouco
mais (BATTISTI, 2003, p.31).
31
Figura 4 – Modelo de desenvolvimento em duas camadas.
FONTE: Battisti (2003, p. 31)
4.1.2.4 Modelo de aplicações em três camadas
O modelo de aplicação em três camadas é uma evolução do modelo de
aplicações de duas camadas. A idéia básica deste modelo é retirar as regras de
negócios do cliente e centralizar em algum ponto da rede chamado de servidor de
aplicações. Todos os clientes passam a acessar os dados através das regras
contidas no servidor e desta forma a manutenção destas regras ficam muito mais
fácil (figura 5).
[...] Com isso, as três camadas são as seguintes:
- Apresentação - Continua no programa instalado no Cliente. Alterações na
interface do programa ainda irão gerar a necessidade de atualizar a
aplicação em todas as estações de trabalho, onde a aplicação estiver sendo
utilizada. Cabe ressaltar, porém, que alterações na interface são menos
freqüentes do que alterações nas regras do negócio.
- Lógica - São as regras do negócio, que determinam de que maneira os
dados serão utilizados e manipulados pelas aplicações. Esta camada foi
deslocada para o Servidor de Aplicações. Desta maneira, quando uma
regra do negócio for alterada, basta atualizá-la no Servidor de Aplicações.
Após a atualização, todos os usuários passarão a ter acesso à nova versão,
sem que seja necessário reinstalar o programa Cliente em cada um dos
computadores da rede. Vejam que, ao centralizar as regras do negócio em
um Servidor de Aplicações, estamos facilitando a tarefa de manter a
aplicação atualizada. As coisas estão começando a melhorar.
- Dados - Nesta camada temos o servidor de banco de dados, no qual
reside toda a informação necessária para o funcionamento da aplicação.
Cabe reforçar que os dados somente são acessados através do Servidor de
Aplicação e não diretamente pela aplicação Cliente (BATTISTI, 2003, p.33).
32
Figura 5 – Modelo de desenvolvimento em três camadas.
Servidor de
aplicações
Cliente
Servidor de
banco de dados
Cliente
FONTE: Battisti (2003, p. 33)
4.1.2.5 Modelo de aplicações em quatro camadas
Este modelo é uma evolução do modelo de três camadas. A idéia consiste em
retirar do cliente, a apresentação da aplicação e centralizá-la em um servidor assim
como foi feito com as regras de negócios. Este é um modelo parecido com o modelo
mainframe com a diferença que as aplicações são acessadas por computadores
com poder de processamento e através de navegador como, por exemplo, o Internet
Explorer e o Netscape (figura 6).
[...] Com isso, temos as seguintes camadas:
- Cliente - Neste caso, o Cliente é o Navegador utilizado pelo usuário, quer
seja o Internet Explorer, quer seja o Netscape Navigator, ou outro
navegador qualquer.
- Apresentação - Passa para o Servidor Web. A interface pode ser
composta de páginas HTML, ASP, PHP, Flash ou qualquer outra tecnologia
capaz de gerar conteúdo para o navegador. Com isso, alterações na
interface da aplicação são feitas diretamente no servidor Web, sendo que
estas alterações estarão, automaticamente, disponíveis para todos os
Clientes.
- Lógica - São as regras do negócio, as quais determinam de que maneira
os dados serão utilizados. Esta camada está no Servidor de Aplicações.
Desta maneira, quando uma regra do negócio for alterada, basta atualizá-la
no Servidor de Aplicações. Após a atualização, todos os usuários passarão
a ter acesso à nova versão, sem que seja necessário reinstalar o programa
em cada estação de trabalho da rede. Vejam que, ao centralizar as regras
do negócio em um Servidor de Aplicações, estamos facilitando a tarefa de
manter a aplicação atualizada.
- Dados - Nesta camada, temos o servidor de banco de dados, no qual
reside toda a informação necessária para o funcionamento da aplicação
(BATTISTI, 2003, p.34-35).
33
Figura 6 – Modelo de desenvolvimento em quatro camadas.
Servidor
Web
Servidor de
Servidor de
aplicações banco de dados
Cliente
Cliente
FONTE: Battisti (2003, p. 34)
4.1.3 Papel do Windows Server 2003 na rede
Com o crescimento das migrações de dados e aplicações dos grandes portes
para a baixa plataforma, houve a necessidade de inserir em vários pontos da rede
da empresa, servidores que pudesse executar diferentes tipos de funções como
servidor de banco de dados, servidor de aplicações, servidor de acesso remoto,
servidor web, etc..
O Windows Server 2003 foi projetado pela Microsoft para ser o sistema
operacional dos servidores da rede para atender estas necessidades. O que define o
papel a ser desempenhado por um sistema operacional Windows Server 2003,
basicamente são as configurações e os serviços instalados e configurados no
servidor.
Dentre os vários papéis que poderá ser desempenhado pelo Windows Server
2003, destacamos os principais:
Controlador de domínio - Em uma floresta do Active Directory, um servidor
que contém uma cópia gravável do banco de dados do Active Directory
participa da duplicação do Active Directory e controla o acesso a recursos
de rede. Os administradores podem gerenciar contas de usuário, acesso à
rede, recursos compartilhados, topologia de sites e outros objetos de
diretório a partir de qualquer controlador de domínio na floresta.
Servidor de arquivos - Os servidores de arquivos fornecem e gerenciam o
acesso a arquivos. Se você planeja usar o espaço em disco do computador
para armazenar, gerenciar e compartilhar informações, como arquivos e
aplicativos acessíveis pela rede, configure-o como um servidor de arquivos.
Servidor de Impressão - Os servidores de impressão fornecem e
gerenciam o acesso às impressoras. Configure o computador como servidor
de impressão se você planeja gerenciar impressoras remotamente ou
usando a instrumentação de gerenciamento do Windows (WMI), ou se
34
deseja imprimir de um computador servidor ou cliente para um servidor de
impressão usando um URL.
Servidor DNS - Banco de dados distribuído de modo hierárquico que
contém mapeamentos de nomes de domínios DNS para vários tipos de
dados, como, por exemplo, endereços IP. O DNS permite a localização de
computadores e serviços por nomes amigáveis, além de possibilitar a
descoberta de outras informações armazenadas no banco de dados.
Servidor WINS - Um serviço de software que mapeia endereços IP
dinamicamente para nomes de computadores (nomes NetBIOS). Permite
que os usuários acessem os recursos pelo nome em vez de solicitar que
usem endereços IP difíceis de serem reconhecidos e lembrados.
Servidor DHCP - Os servidores DHCP gerenciam centralmente endereços
IP e informações afins, fornecendo-as aos clientes. Isso permite que você
defina configurações de rede cliente em um servidor, em vez de configurálas em cada computador clientes.
Servidor Web – [...] Os Serviços de Informações da Internet (IIS) fornecem
recursos de servidor Web integrados, confiáveis, escalonáveis, seguros e
gerenciáveis em uma intranet, na Internet ou em uma extranet. Você pode
usar o IIS 6.0 para criar uma plataforma forte de comunicação de aplicativos
de rede dinâmicos. O IIS 6.0 inclui novos recursos projetados para ajudar
organizações, profissionais da área de informática e administradores da
Web a atingir seus objetivos de desempenho, confiabilidade, desempenho e
segurança em milhares de sites possíveis, em um único servidor IIS [...].
Servidor de e-mail - Os Serviços de email incluem os serviços POP3 e
SMTP, que oferecem, respectivamente, a recuperação e a transferência de
emails. Os administradores podem usar o serviço POP3 para armazenar e
gerenciar contas de email no servidor de email.
Servidor de acesso remoto - Você pode configurar um servidor que
permita aos usuários remotos acessar recursos de sua rede privada através
de conexões dial-up ou de redes virtuais privadas (VPN). Esse tipo de
servidor é chamado de servidor de acesso remoto/VPN. Os servidores de
acesso remoto/VPN também podem oferecer a conversão de endereços de
rede (NAT). Com a NAT, os computadores da rede privada podem
compartilhar uma única conexão com a Internet.
Servidor de fluxo de mídia - Você pode usar o Windows Media Services
para disponibilizar o fluxo do conteúdo de áudio e vídeo pela Internet ou por
uma intranet. Os clientes podem ser computadores ou dispositivos que
reproduzem conteúdo usando um player, como o Windows Media Player, ou
computadores que executam o Windows Media Services (chamados de
servidores Windows Media) que armazenam em proxy ou em cache ou
redistribuem o conteúdo (MICROSOFT, 2003).
4.2 Protocolos
4.2.1 Fundamentos
Protocolo é um conjunto de regras adotado por todos os computadores de
uma rede de forma que estes computadores tenham capacidade de se comunicar
entre si.
São no protocolo de comunicação que estão definidos todas as regras para
que cada computador entenda uns aos outros, desta forma podemos afirmar que
dois computadores utilizando protocolos de comunicação diferentes não serão
capazes de se comunicar.
35
Antes do advento da Internet existiam e eram utilizados pelas empresas,
vários tipos de protocolos, dentre eles: Transport Layer Security/Internet Protocol
(TCP/IP), NetBIOS Extended User Interface(NETBEUI), Internetwork Packet
Exchange/ Sequenced Packet Exchange (IPX/SPX), Apple Talk, etc..
Com o crescimento da Internet, o protocolo TCP/IP tornou-se padrão na rede
mundial e diante das necessidades das empresas se conectarem nesta rede,
também tiveram que adotar como protocolo padrão em suas rede interna, o
protocolo TCP/IP.
Segundo Battisti (2003, p. 41), “O que temos hoje, na prática, é a utilização do
protocolo TCP/IP na esmagadora maioria das redes [...]”, sendo este o protocolo
padrão utilizado pelo Windows Server 2003.
4.2.2 Protocolo TCP/IP
O TCP/IP é uma coleção de software criada em grande parte com ajuda de
recursos governamentais do departamento de defesa do Estados Unidos das
Américas (EUA).
Conforme podemos observar no diagrama da figura 7, o departamento de
defesa do EUA criou uma rede chamada Advanced Research Projects Agency
Network (ARPANET) onde eram feitas grandes partes das pesquisas, do
departamento de defesa, chamada Advanced Research Project Agency (ARPA).
Esta rede, considerada rede de redes, foi projetada e implementada por uma
empreiteira privada chamada Bolt Beranek and Newman, interligando professores,
universitários, lideres de projetos civis e militares por todo o EUA.
O primeiro protocolo utilizado nesta rede foi o Network Control Protocol (NCP)
sendo posteriormente dividido em dois componentes: o IP e o TCP.
A mudança do NCP para o TCP/IP é a diferença técnica entre a ARPANET
e a Internet. Em 1º de janeiro de 1983, os dispositivos de comutação de
pacotes da ARPANET pararam de aceitar pacotes NCP, para transmitir
apenas pacotes TCP/IP; portanto, de certo modo, 1º de janeiro de 1983 é
considerado o dia do nascimento “oficial” da Internet (MINASI, 2003, p.151).
36
Figura 7 – Rede de pesquisadores depois da ARPAnet.
FONTE: Minasi (2003, p. 152).
4.2.2.1 Configurações do protocolo TCP/IP
Não basta que os computadores estejam utilizando o mesmo protocolo para
comunicação entre si. Vários são os parâmetros que deverão ser configurados em
todos os ativos de rede como computadores, hubs, switches, impressoras de rede,
etc.
E uma rede local, cada ativo de rede deverá ter pelo menos dois parâmetros
de rede configurados: número IP e máscara de sub-rede. O número IP é um número
do tipo x.y.z.w, separados por ponto e não poderá existir dois ou mais números
idênticos de endereço IP no mesmo segmento de rede, sendo o valor máximo para
cada um dos números x, y, z ou w, 255 (figura 8).
37
Figura 8 – Rede local baseada no protocolo TCP/IP.
IP: 10.192.168.4
IP: 10.192.168.3
IP: 10.192.168.2
Subnet: 255.255.255.0 Subnet: 255.255.255.0 Subnet: 255.255.255.0
IP: 10.192.168.5
Subnet: 255.255.255.0
IP: 10.192.168.6
Subnet: 255.255.255.0
FONTE: Battisti (2003, p. 42)
Uma parte do Número IP (1, 2 ou 3 dos 4 números) é a identificação da
rede, a outra parte é a identificação da máquina dentro da rede. O que
definem quantos dos quatros números faz parte da identificação da rede e
quantos fazem parte da identificação da máquina é a máscara de sub-rede
(subnet mask). Vamos considerar o exemplo de um dos computadores da
rede da Figura 7.2:
Número IP: 10.192.168.2 e Sub-rede: 255.255.255.0
As três primeiras partes da máscara de sub-rede (subnet) iguais a 255
indicam que os três primeiros números representam à identificação da rede
e o último número é a identificação do equipamento dentro da rede. Para o
nosso exemplo, teríamos a rede: 10.192.168, ou seja, todos os
equipamentos do nosso exemplo fazem parte da rede 10.192.168
(BATTISTI, 2003, p.42).
Os computadores de uma rede isolada que não esteja conectada a outras
sub-redes se comunicarão apenas com os dois parâmetros IP e máscara de subrede, entretanto, caso haja necessidade de conectar esta rede com outras subredes, é necessário acrescentar e configurar um roteador com seu respectivo
endereço IP e máscara de sub-rede para que a comunicação entre estas redes seja
estabelecida. Todas as informações enviadas ou recebidas entre estas redes,
passarão necessariamente pelo roteador. O número IP do roteador deverá ser
informado em todas os computadores no parâmetro
conhecido como default
gateway.
No diagrama da figura 9 podemos observar que o segmento de
endereçamento IP da rede A (10.192.168), é diferente do segmento de
endereçamento IP da rede B (10.10.168), assim, para que estas duas sub-redes se
comuniquem é necessário ter um roteador para enviar e receber as informações
entre as duas redes.
38
Figura 9 – Ligação entre rede baseada no protocolo TCP/IP.
IP: 10.192.168.3
IP: 10.192.168.4
IP: 10.192.168.2
Subnet: 255.255.255.0 Subnet: 255.255.255.0 Subnet: 255.255.255.0
Gateway: 10.192.168.1 Gateway: 10.192.168.1 Gateway: 10.192.168.1
REDE A
IP: 10.192.168.1
Subnet: 255.255.255.0
IP: 10.192.168.5
Subnet: 255.255.255.0
Gateway: 10.192.168.1
IP: 10.192.168.6
Subnet: 255.255.255.0
Gateway: 10.192.168.1
ROTEADOR
IP: 10.10.168.2
IP: 10.10.168.3
IP: 10.10.168.4
Subnet: 255.255.255.0 Subnet: 255.255.255.0 Subnet: 255.255.255.0
Gateway: 10.10.168.1 Gateway: 10.10.168.1 Gateway: 10.10.168.1
IP: 10.10.168.1
Subnet: 255.255.255.0
REDE B
IP: 10.10.168.5
Subnet: 255.255.255.0
Gateway: 10.10.168.1
IP: 10.10.168.6
Subnet: 255.255.255.0
Gateway: 10.10.168.1
Outro parâmetro importante que deverá está presente nas redes empresarial
e que é comum seu uso na Internet é o DNS. O DNS é o serviço de rede
responsável pela resolução de nomes na rede.
Toda a comunicação, em redes baseadas no protocolo TCP/IP é feita
através do Número IP. Por exemplo, quando vamos acessar um site:
http://www.juliobattidti.com.br/, tem que haver uma maneira de encontrar o
Número IP do Servidor onde fica hospedado o site. O serviço que localiza o
Número IP associado a um nome é o DNS. Por isso a necessidade de
informarmos o Número IP de pelo menos um Servidor DNS, pois, sem este
serviço de resolução de nomes, muitos recursos da rede estarão
indisponíveis (BATTISTI, 2003, p.44).
4.3 Internet/Intranet/Extranet
4.3.1 Internet
Em meados da década de 80, o computador já era considerado uma fonte de
entretenimento e de informação. Apesar de especialistas acreditarem que essas
máquinas distanciariam o homem do convívio social, o surgimento da Internet
39
extinguiu esse pensamento, pois esta possibilitava uma maior interação entre seus
usuários, tornando o computador uma eficiente fonte comunicação mundial.
A Internet surgiu por projetos desenvolvidos pelo Departamento de Defesa
dos Estados Unidos que visavam à comunicação entre os centros militares e a
criação de uma rede de computadores capaz de resistir a um ataque nuclear. Hoje,
é uma enorme rede mundial de computadores, em que pode se conectar através de:
- linha telefônica - com o uso de um MODEM você se comunica a um
provedor de acesso via conexão discada;
- fibra ótica – o uso destas conexões são as que mais crescem atualmente
devidos principalmente à velocidade de conexão e a vantagem de não utilização da
linha de telefone convencional. Seu serviço mais utilizado é o Asymmetric Digital
Subscriber Line (ADSL);
- cabo - o tipo de conexão a cabo no Brasil é fornecido pelos operadores de
TV por assinatura aproveitando a mesma rede física;
- rádio e satélite - as comunicações de rádio e satélite necessitam de uma
antena para envio e recebimento. A comunicação por satélite é a forma mais rápida
de conexão e também a mais cara;
- provedores de acesso - são empresas que conectam usuários à Internet
cobrando uma taxa mensal, hora/uso ou uma taxa fixa para acesso por tempo
indeterminado.
Há ainda dois tipos de conexão: as diretas, que são indicadas aos
fornecedores de serviços que vendem conexões de todos os tipos para pessoas e
organizações, e as conexões dial-up.
A Internet tem se tornado cada vez mais comum e necessária. É um mundo
virtual onde não há diferenças de cor, raça e idade. Ninguém a controla. Para sua
organização, existem associações e grupos que se dedicam para suportar, ratificar
padrões e resolver questões operacionais, visando promover os objetivos da
Internet.
A World Wide Web (WWW) possibilita a manipulação multimídia da
informação através de hipertextos (sistemas em que texto, imagens, som e vídeo
são acessados juntos de maneira arbitrária), que são exibidos em “páginas Web”
interligadas entre si através de links. Atualmente, seu uso é fácil, o contrário de
quando foi criada, que exibia apenas textos em uma interface não tão acessiva.
Qualquer pessoa pode ter sua página na Internet e falar do assunto que desejar e as
40
empresas vêem na Web um excelente veículo para venda e divulgação de produtos
e serviços.
Para acessar os sites disponibilizados na Internet é necessário utilizar um
programa chamado browser, conhecido no Brasil como navegador. Os mais
utilizados hoje são Microsoft Internet Explorer, Ópera, Mozilla e Netscape Navigator.
As páginas da Web ficam armazenadas em computadores permanentemente
conectados à Internet chamados servidores. Um conjunto de páginas Web
armazenadas em um servidor é chamado de Web site e cada site possui um
endereço único em toda a Internet conhecido como Universal Resource Locator
(URL) e é por meio deste endereço que se acessa o site via browser.
A linguagem usada para a criação de páginas Web é chamada Hyper Text
Markup Language (HTML). É através desta linguagem que são definidos a aparência
do documento.
Na Internet existem dois tipos de comunicação entre usuários: o modo
assíncrono, na qual o usuário pode enviar uma mensagem sem a necessidade do
destinatário esta utilizando a rede no momento como, por exemplo, o e-mail; a
comunicação em tempo real, como as salas de bate papo.
Para Internet, existem também programas auxiliares, como o Adobe Acrobat
Reader com arquivos em Portable Document Format (PDF), um formato de
distribuição de documentos compactados e que podem ser protegidos contra
alteração e até mesmo contra cópias; o Winzip que, com certeza, é o programa mais
utilizado por ser um compactador, permitindo que o arquivo fique em tamanho menor
para o armazenamento ou transferência.
O File Transfer Protocol (FTP), é um protocolo utilizado para transferência de
arquivos de uma máquina remota para um computador local, ambos conectados à
Internet. Pode ser usado através de cadastro com conta (login) e senha (password)
ou com conta anônima (anonymous).
4.3.2 Intranet
As empresas descobriram que podem criar redes como a Internet, porém
privadas, restrita à empresa ou parceiros de negócios. A Intranet cumprem o papel
de conectar entre filiais, departamentos, fornecedores, clientes, etc., mesclando com
41
segurança as redes particulares de informação com a estrutura de comunicações da
Internet.
A Intranet simplifica a interação do usuário, tornando fácil o acesso a
aplicações e a informações estáticas e dinâmicas. Viabiliza uma publicação em
tempo real, com informação muito mais atual, favorecendo o desempenho dos
funcionários da empresa. Auxilia no processo de descentralização das informações,
da distribuição de dados e do desenvolvimento de aplicações, além de permitir maior
participação do usuário final na criação de aplicações.
Hoje em dia, neste mundo competitivo de negócios, um mínimo de
diferenciação em produtos e serviços, redução de custos e facilidades de
relacionamento nos negócios são pontos chaves.
A rigor uma intranet pode operar apenas como uma rede corporativa dentro
dos limites da empresa, porém pode ser vantajosa a ligação da intranet com a
internet.
4.3.3 Extranet
Extranet (ou extended Internet) é a ligação das redes Intranet entre duas
empresas parceiras de negócios.
Com o advento da Internet e o crescimento das redes internas nas empresas,
verificou-se que seria vantajoso interligar empresa e fornecedores que compartilham
objetivos comuns e assim facilitar a troca de informações entre estas empresas.
4.4 Política de Segurança de Informação
4.4.1 Introdução
Atualmente as informações constituem o objeto de maior valor para as
empresas. O progresso da informática e das redes de comunicação nos apresenta
um novo cenário, no qual os objetos do mundo real estão representados por bits e
bytes, que ocupam lugar em outra dimensão e possuem formas diferentes das
originais, sem deixar de ter o mesmo valor que os objetos reais e, em muitos casos,
chegando a ter um valor maior.
42
De acordo com Associação... (2005, p. 8), “Prover uma orientação e apoio da
direção para a segurança da informação de acordo com os requisitos do negócio e
com as leis e regulamentações relevantes”.
Desde o surgimento da raça humana na terra, a informação esteve presente
através de diferentes formas e técnicas. O homem buscava representar
seus hábitos, costumes e intenções com diversos meios que pudessem ser
utilizados por ele e por outras pessoas e que pudessem ser levados de um
lugar para outro. As informações importantes eram registradas em objetos
preciosos e sofisticados e pinturas magníficas, entre outros, que eram
armazenados com muito cuidado em locais de difícil acesso (MÓDULO;
MICROSOFT, 2005).
4.4.2 Objetivos de segurança
Segundo Ferreira; Araújo (2006, p. 9), “A Política de Segurança define o
conjunto de normas, métodos e procedimentos utilizados para a manutenção da
segurança da informação, devendo ser formalizada a todos os usuários que fazem
uso dos ativos de informação”.
Segundo Dias (2000, p. 42), “[...] Os objetivos de segurança variam de acordo
com o tipo de ambiente computacional e a natureza do sistema (administrativo,
financeiro, militar, etc.)”.
Os objetivos de segurança as quais os usuários e profissionais de
informáticas devem se preocupar são:
- Confidencialidade ou privacidade - proteger as informações contra
acesso de qualquer pessoa não explicitamente autorizada pelo dono da
informação, isto é, as informações e processos são liberados apenas a
pessoas autorizadas.
- Integridade de dados - evitar que dados sejam apagados ou de alguma
forma alterados, sem a permissão do proprietário da informação.
- Disponibilidade - proteger os serviços de informática de tal forma que não
sejam degradados ou tornados indisponíveis sem a devida autorização.
Para um usuário autorizado, um sistema não disponível, quando se
necessita dele, pode ser tão ruim quanto um sistema inexistente ou
destruído.
- Consistência - certificar-se de que o sistema atua de acordo com as
expectativas dos usuários autorizados.
- Isolamento ou uso legítimo - regular o acesso ao sistema. O acesso não
autorizado é sempre um problema, pois além de ser necessário identificar
quem acessou e como, é preciso se certificar de que nada importante do
sistema foi adulterado ou apagado.
- Auditoria - proteger os sistemas contra erros e atos maliciosos cometidos
por usuários autorizados. Para identificar os autores e suas ações, são
utilizadas trilhas de auditoria e logs, que registram tudo que foi executado
no sistema, por quem e quando.
- Confiabilidade - garantir que, mesmo em condições adversas, o sistema
atuará conforme o esperado (DIAS, 2000, p. 42-44).
43
Os objetivos citados têm seu grau de importância dependendo o tipo de
negócio da empresa. Alguns são mais importantes outros nem tanto, por exemplo,
um sistema que necessita de 24 horas de disponibilidade e não possuem dados
confidenciais deverá prioriza a alta disponibilidade e não a privacidade dos dados. A
integridade e a disponibilidade são na maioria os dois objetivos mais enfatizados nos
sistemas de uma empresa, entretanto em um sistema bancário os objetivos mais
relevantes são a integridade e auditoria seguidos de privacidade e disponibilidade.
4.4.2.1 Diretrizes para implementação
Convém que o documento da política de segurança da informação declare o
comprometimento da direção e estabeleça o enfoque da organização para
gerenciar a segurança da informação. Convém que o documento da política
contenha declarações relativas a:
a) uma definição de segurança da informação, suas metas globais, escopo
e importância da segurança da informação como um mecanismo que
habilita o compartilhamento da informação (ver introdução);
b) uma declaração do comprometimento da direção, apoiando as metas e
princípios da segurança da informação, alinhada com os objetivos e
estratégias do negócio;
c) uma estrutura para estabelecer os objetivos de controle e os controles,
incluindo a estrutura de análise/avaliação e gerenciamento de risco;
d) breve explanação das políticas, princípios, normas e requisitos de
conformidade de segurança da informação específicos para a organização,
incluindo:
1) conformidade com a legislação e com. requisitos regulamentares e
contratuais;
2) requisitos de conscientização, treinamento e educação em segurança da
informação;
3) gestão da continuidade do negócio;
4) conseqüências das violações na política de segurança da informação;
e) definição das responsabilidades gerais e específicas na gestão da
segurança da informação, incluindo o registro dos incidentes de segurança
da informação;
f) referências à documentação que possam apoiar a política, por exemplo,
políticas e procedimentos de segurança mais detalhados de sistemas de
informação específicos ou regras de segurança que os usuários devem
seguir.
Convém que esta política de segurança da informação seja comunicada
através de toda a organização para os usuários de forma que seja relevante
acessível e compreensível para o leitor em foco (ABNT BNR ISO/IEC
17799, 2005, P.8).
4.4.3 Legislação Brasileira e Instituições Padronizadas
De acordo com Dias (2000, p. 45), “A segurança de informações, em função
de sua grande importância para a sociedade moderna, deu origem a diversos grupos
44
de pesquisa, cujos trabalhos muitas vezes são traduzidos em padrões de segurança
[...]”.
Os padrões de segurança são utilizados de certa forma em âmbito
internacional enquanto que as leis e normas são estabelecidas em caráter nacional
podendo, às vezes, haver similares entre legislação de países diferentes.
4.4.3.1 Legislação Brasileira
Segundo Dias (2000, p. 46), “A nossa legislação, com relação à segurança de
informações, não está tão consolidada como a legislação americana, porém já
existem alguns dispositivos legais sobre assuntos relativos à informática”, conforme
segue:
- lei n° 9.609, de 19 de fevereiro de 1998 - dispõe sobre a proteção da
propriedade intelectual de programa de computador e sua comercialização no país.
- Lei n° 9.610, de 19 de fevereiro de 1998 - altera, atualiza e consolida a legislação
sobre direitos autorais;
- lei n° 9.296, de 24 de julho de 1996 - regulamenta o inciso XII, parte final, do
art. 5°, da Constituição Federal. O disposto nessa lei aplica-se a interceptação do
fluxo de comunicações em sistemas de informática e telemática;
- decreto n° 96.036, de 12 de maio de 1988 - regulamenta a Lei n° 7.646, de
18 de dezembro de 1987, revogada pela Lei n° 9.609, de 19 de fevereiro de 1998;
- decreto n° 79.099, de 06 de janeiro de 1977 - aprova o regulamento para
salvaguarda de assuntos sigilosos.
Também temos tramitando na câmara e no senado, os seguintes projetos de
lei relativo à Segurança da Informação:
- projeto de Lei do Senador Renan Calheiros, de 2000 - define e tipifica os
delitos informáticos;
- projeto de Lei n° 84, de 1999 - dispõe sobre os crimes cometidos na área de
informática e suas penalidades;
- projeto de Lei do Senado n° 234, de 1996 - dispõe sobre crime contra a
inviolabilidade de comunicação de dados de computador;
- projeto de Lei da Câmara dos Deputados n° 1.713, de 1996 - dispõe sobre o
acesso, a responsabilidade e os crimes cometidos nas redes integradas de
computadores.
45
4.4.3.2 Instituições Padronizadoras Nacionais e Internacionais
No que diz respeito a normas técnicas, o Brasil conta com a ABNT
(Associação Brasileira de Normas Técnicas), que estabelece padrões a
serem seguidos por produtos e serviços de várias áreas, inclusive
segurança de informações. Abrange algoritmos de criptografia, técnicas
criptográficas, gerência de senhas, controle de acesso para segurança
física de instalações de processamento de dados, critérios de segurança
física relativos ao armazenamento de dados, a microcomputadores e
terminais, além das normas de segurança física e ambiental que se aplica a
qualquer tipo de prédio, tais como as normas de combate e prevenção a
incêndios (DIAS, 2000, p. 46-47).
No âmbito internacional temos algumas instituições cuja função básica é
estabelecer padrões, dentre elas:
- International Organization for Standardization (ISO);
- International Electrotechnical Comission (IEC);
- International Telecommunications Union (ITU);
- Comité Européen de Normalisation (CEN);
- Comité Européen de Normalisation Eléctrotechnique (CENELEC);
- European Telecommunications Standards Institute (ETSI).
Apesar de não serem instituições internacionais, existem vários organismos
padronizadores norte-americanos cujos padrões são utilizados mundialmente, tais
como:
- Institute of Electrical and Electronics Engineers (IEEE);
- National Institute for Standards and Technology (NIST);
- American National Standards Institute (ANSI).
4.4.4 Identificando os Recursos
O que precisa ser protegido? Sob que formas as informações estão
armazenadas? Estas são perguntas que deverão ser respondidas na identificação
dos recursos. Há necessidade de saber quais os recursos mais importantes para
assim estabelecer uma política adequada.
Em um ambiente de informática os tipos de recursos mais comuns são:
hardware, software, dados, pessoas, documentação e suprimentos.
4.4.4.1 Classificação das informações
46
A classificação das informações é o primeiro passo para o estabelecimento de
uma política de segurança de informações, pois diferentes tipos de informações
devem ser protegidos de diferentes maneiras.
Segundo Dias (2000, p.52-53), “A classificação mais comum de informações é
aquela que as divides em quatro níveis”:
- Públicas ou de uso irrestrito - as informações e os sistemas assim
classificados podem ser divulgados a qualquer pessoa sem que haja
implicações para a instituição. Exemplos: serviços de informação ao público
em geral, informações divulgadas à imprensa ou pela Internet.
- Internas ou de uso interno - as informações e os sistemas assim
classificados não devem sair do âmbito da instituição. Porém, se isso
ocorrer, as conseqüências não serão críticas. Exemplos: serviços de
informação interna ou documentos de trabalho corriqueiros que só
interessam aos funcionários.
- Confidenciais - informações e sistemas tratados como confidenciais
dentro da instituição e protegidos contra acesso externo. O acesso a esses
sistemas e informações é feito de acordo com sua estrita necessidade, isto
é, os usuários só podem acessá-los se estes forem fundamentais para o
desempenho satisfatório de suas funções na instituição. O acesso não
autorizado a esses dados e sistemas pode comprometer o funcionamento
da instituição, causar danos financeiros ou perda de fatias de mercado para
o concorrente. Exemplos: dados pessoais de clientes e funcionários,
senhas, informações sobre as vulnerabilidades de segurança dos sistemas
institucionais, contratos, balanços, etc.
- Secretas - o acesso interno ou externo de pessoas não autorizadas a
esse tipo de informações é extremamente crítico para a instituição. É
imprescindível que o número de pessoas autorizadas seja muito restrito e o
controle sobre o uso dessas informações seja total. Exemplos: dados
militares e de segurança nacional (DIAS, 2000, p. 52-53).
4.4.4.2 Classificação dos sistemas
As divisões poderiam ser, por exemplo, aplicativos, serviços, sistema
operacional e hardware. Cada uma das camadas deverá ser analisada
individualmente, configuradas e monitoradas de forma a atender os requisitos de
segurança estabelecida.
Segundo Dias (2000, p. 53), “Com relação a sistemas, a melhor estratégia de
implementação de segurança é utilizar controle em vários níveis diferentes”.
4.4.5 Ativos
47
Um ativo é todo elemento que compõe o processo da comunicação, partindo
da informação, seu emissor, o meio pelo qual ela é transmitida, até chegar a seu
receptor.
De acordo com Associação... (2005, p. 3), “Qualquer coisa que tenha valor
para a organização”.
De acordo com Albuquerque; Ribeiro (2002, p. 4), “Algo de valor resguardado
pelo sistema”.
Os ativos são elementos que a segurança da informação busca proteger. Os
ativos possuem valor para as empresas e, como conseqüências, precisam receber
uma proteção adequada para que seus negócios não sejam prejudicados.
As informações, os equipamentos que oferecem suporte a elas e as pessoas
que as utilizam são os elementos que compõem o que chamamos de ativo.
Informações – elementos que contem informações registradas em meio
eletrônico ou físico como, por exemplo: documentos, relatórios, livros, manuais,
correspondências, informações de mercado, código de programação, linhas de
comando, arquivos de configuração, planilhas de remuneração de funcionários,
plano de negócios da empresa, etc..
Equipamentos que oferecem suporte às informações:
software – grupo de ativos composto por todos os programas de
computador, utilizado para a automatização de processos;
hardware – esses ativos representam toda a infra-estrutura tecnológica
que oferece suporte à informação durante seu uso, trânsito e armazenamento;
organização – neste grupo estão incluídos os aspectos que compõem
a estrutura física e organizacional das empresas;
usuários – O grupo de usuários refere-se aos indivíduos que utilizam a
estrutura tecnológica e de comunicação da empresa e que lidam com a informação.
4.4.6 Riscos
O risco é a probabilidade de que as ameaças explorem os pontos fracos,
causando perdas ou danos aos ativos e impactos no negócio afetando a
confidencialidade, a integridade e a disponibilidade da informação.
De acordo com Associação... (2005, p. 2), “Combinação da probabilidade de
um evento e de suas conseqüências”.
48
Segundo Dias (2000 p. 54), “[...] Risco é uma combinação de componentes,
tais como ameaças, vulnerabilidades e impactos”.
A segurança é uma prática orientada para a eliminação das vulnerabilidades a
fim de evitar ou reduzir a possibilidade de que as ameaças potenciais se
concretizem no ambiente que se deseja proteger.
Segundo Dias, (2000, p. 54), “[...] Os riscos podem ser apenas reduzidos, já
que é impossível eliminar todos os riscos. Tomando medidas de segurança mais
rígidas, os riscos podem ser cada vez menores, mas nunca serão totalmente
anulados”.
4.4.7 Ameaças
As ameaças são agentes capazes de explorar as falhas de segurança, que
denominamos pontos fracos e como conseqüência, provocar perdas ou danos aos
ativos de uma empresa, afetando os seus negócios.
De acordo com Associação... (2005, p. 3), “Causa potencial de um incidente
indesejado, que pode resultar em dano para um sistema ou organização”.
De acordo com Albuquerque; Ribeiro (2002, p. 4), “Um ataque potencial, ou
seja, um conjunto der três elementos: o agente (ou atacante), a vulnerabilidade e o
ativo com o valor, que permitem um ataque”.
Ameaça é tudo aquilo que pode comprometer a segurança de um sistema,
podendo ser acidental (falha de hardware, erros de programação, desastres
naturais, erros do usuário, bugs de software, uma mensagem secreta
enviada a um endereço incorreto, etc.) ou deliberada (roubo, espionagem,
fraude, sabotagem, invasão de hackers, entre outros). Ameaça pode ser
uma pessoa, uma coisa, um evento ou uma idéia capaz de causar dano a
um recurso, em termos de confidencialidade, integridade, disponibilidade,
etc..
Os ativos estão constantemente sob ameaças que podem colocar em risco
a integridade, a confidencialidade e a disponibilidade das informações.
Essas ameaças sempre existirão e estão relacionadas a causas que
representam riscos, as quais podem ser:
- causas naturais ou não-naturais;
- causas internas ou externas
Dessa forma, entendemos que um dos objetivos da segurança da
informação é impedir que as ameaças explorem os pontos fracos e afetem
um dos princípios básicos da segurança da informação (integridade,
disponibilidade, confidencialidade), provocando danos ao negócio das
empresas (MÓDULO; MICROSOFT, 2005, CD-ROM).
4.4.8 Ataques
49
De acordo com Associação... (2005, p. 3), “Um incidente de segurança da
informação é indicado por um simples ou por uma série de eventos de segurança da
informação indesejados ou inesperados, que tenham uma grande probabilidade de
comprometer as operações do negócio e ameaçar a segurança da informação”.
De acordo com Albuquerque; Ribeiro (2002, p. 4), “É um tipo de problema de
segurança caracterizado pela existência de um agente que busca obter algum tipo
de retorno, atingindo um ativo de valor”.
Os ataques podem ser subentendidos de duas formas:
ataques passivos – são os ataques que não interferem no conteúdo
do recurso do conteúdo que foi atacado como, por exemplo, análise de tráfego de
rede;
ataques ativos – são os ataques que prejudicam diretamente o
conteúdo do recurso atacado, modificando e eliminando informações ou gerando
informações falsas como, por exemplo, a interceptação de uma mensagem
trafegando na rede.
4.4.9 Manutenção da Política
Segundo Ferreira; Araújo (2006, p. 125), “É necessário especificar
procedimentos ou uma metodologia formal para uma manutenção periódica e
aprovação das políticas de forma a mantê-los atualizados frente a novas tendências,
tecnologias e acontecimentos”.
O intervalo médio utilizado para a revisão da política é de seis meses ou um
ano, porém deve ser realizada uma revisão sempre que forem identificados fatos
novos, não previstos na versão atual que possam ter impacto na segurança das
informações da organização.
O processo de revisão deve abranger:
- Eventuais riscos identificados;
- alterações na legislação do negócio;
- incidentes de segurança;
- vulnerabilidades encontradas;
- alterações na estrutura organizacional e
- mercado.
50
4.4.9.1 Diretrizes para implementação
Convém que os procedimentos de controle de mudanças sejam
documentados e reforçados com a finalidade de minimizar a corrupção dos
sistemas da informação. Convém que a introdução de novos sistemas e
mudanças maiores em sistemas existentes siga um processo formal de
documentação; especificação, teste, controle da qualidade e gestão da
implementação.
Convém que o processo inclua uma análise/avaliação de riscos, análise do
impacto das mudanças e a especificação dos controles de segurança
requeridos. Convém que o processo garanta que a segurança e os
procedimentos de controle atuais não sejam comprometidos, que os
programadores de suporte tenham acesso somente às partes do sistema
necessárias para o cumprimento das tarefas e que sejam obtidas
concordância e aprovação formal para qualquer mudança obtida.
Convém que, quando praticável, os procedimentos de controle de
mudanças sejam integrados. Convém que os procedimentos de mudanças
incluam:
a) a manutenção de um registro dos níveis acordados de autorização;
b) a garantia de que as mudanças sejam submetidas por usuários
autorizados;
c) a análise crítica dos procedimentos de controle e integridade para
assegurar que as mudanças não os comprometam;
d) a identificação de todo software, informação, entidades em bancos de
dados e hardware que precisam de emendas;
e) a obtenção de aprovação formal para propostas detalhadas antes da
implementação;
f) a garantia da aceitação das mudanças por usuários autorizados, antes da
implementação;
g) a garantia da atualização da documentação do sistema após conclusão
de cada mudança e de que a documentação antiga seja arquivada ou
descartada;
h) a manutenção de um controle de versão de todas as atualizações de
softwares;
i) a manutenção de uma trilha para auditoria de todas as mudanças
solicitadas;
j) a garantia de que toda a documentação operacional e procedimentos dos
usuários sejam alterados conforme necessário e que se mantenham
apropriados;
k) a garantia de que as mudanças sejam implementadas sem horários
apropriados, ser a perturbação dos processos de negócios cabíveis
(ASSOCIAÇÃO..., 2005, p. 93-94).
4.5 Controles de acesso
O controle de acesso são as regras estabelecidas e implementadas para
regulamentar o acesso físico, lógico e controle ambiental de acordo com a
classificação das informações estabelecidas.
De acordo com Albuquerque; Ribeiro (2002, p. 61), “A função básica da
proteção dos dados e do controle de acesso em um sistema é garantir a
confidencialidade e a disponibilidade das informações armazenadas”.
51
De acordo com Associação... (2005, p. 65), “Convêm que a política de
controle de acesso seja estabelecida documentada e analisada criticamente,
tomando-se como base os requisitos de acesso dos negócios e segurança da
informação”.
Convém que as regras de controle de acesso e direitos para cada usuário
ou grupos de usuários sejam expressas claramente na política de controle
de acesso. Convém considerar os controles de acesso lógico e físico de
forma conjunta. Convém fornecer aos usuários e provedores de serviços
uma declaração nítida dos requisitos do negócio a serem atendidos pelos
controles de acessos (ASSOCIAÇÃO..., 2005, p. 65).
De acordo com Dias (2000, p. 84), “A primeira coisa a fazer, quando se trata
de controles de acesso, é determinar o que se pretende proteger”.
4.5.1 Lógico
São todas as informações que foram transformadas para código binário e que
estão armazenados em algum meio físico e são passíveis de trafegar em uma rede
de computadores.
Segundo Dias (2000, p. 84), “O acesso lógico nada mais é do que um
processo em que um sujeito ativo deseja acessar um objeto passivo [...]”.
Dias (2000, p. 84), “[...] ressalta que, mesmo que os controles de acesso
sejam ultra-sofisticados, seu ponto fraco será sempre o usuário”.
Na elaboração da política de controle de acesso, os seguintes elementos
deverão ser levados em consideração: processo de logon, identificação de usuário,
autenticação de usuário, senhas, tokens e sistemas biométricos.
4.5.2 Físico
São os ativos de rede de uma empresa composto por hardwares
(computadores, switch’s, hubs, roteadores, firewall, cabos de redes, etc.).
Segundo Dias (2000, p. 100), “Os controles de acesso físico têm como
objetivo proteger equipamentos e informações contra usuários não autorizados,
prevenindo o acesso a esses recursos”.
52
De acordo com Associação... (2005, p. 33), “Convém que as áreas seguras
sejam protegidas por controles apropriados de entrada para assegurar que somente
pessoas autorizadas tenham acesso”.
4.5.3 Ambiental
Segundo Dias (2000, p. 104), “Os controles ambientais visam proteger os
recursos e a integridade contra danos provocados por desastres naturais (incêndios,
enchentes), por falhas na rede de fornecimento de energia, ou no sistema de ar
condicionado [...]”.
Convém que sejam projetadas e aplicadas proteção física contra incêndios,
enchentes, terremotos, explosões, perturbações da ordem pública e outras
formas de desastres naturais ou causados pelo homem.
Convém que sejam levadas em consideração as seguintes diretrizes para
evitar danos causados por incêndios, enchentes, terremotos, explosões,
perturbações da ordem pública e outras formas de desastres naturais ou
causados pelo homem:
a) os materiais perigosos ou combustíveis sejam armazenados a uma
distância segura da área de segurança. Suprimentos em grande volume,
como materiais de papelaria, não devem ser armazenados dentro de uma
área segura;
b) os equipamentos para contingência e mídia de backup fiquem a uma
distância segura, para que não
sejam danificados por um desastre
que afete o local principal;
c) os equipamentos apropriados de detecção e combate a incêndios sejam
providenciados e
posicionados corretamente (ASSOCIAÇÃO..., 2005,
p. 34).
4.6 Infra-estrutura de chave pública – ICP
4.6.1 Introdução à ICP
Com a evolução da tecnologia das comunicações, os documentos reais, a
presença física e a burocracia em geral estão sendo substituídos pelo universo
digital. Mas a facilidade e rapidez de se realizar transações comerciais também
ocorrem para a prática de atos ilegais pela rede.
De acordo com Silva (2004, p. 22), “A infra-estrutura de chaves públicas
permite que as empresas utilizem redes abertas [...]”, onde “envelopes e firmas de
envio são substituídos por sofisticados métodos de criptografia de dados, garantindo
que as mensagens sejam lidas apenas pelos devidos destinatários”.
4.6.2 Conceitos Necessários
53
Neste tópico serão apresentados alguns conceitos importantes sobre
criptografia, autenticação e autenticação forte, necessários para o entendimento da
infra-estrutura de chave pública.
4.6.2.1 Criptografia
A criptografia pode ser usada para garantir a confidencialidade das
informações, implementar assinaturas digitais, garantir o não-repúdio de origem e de
recebimento, garantir a privacidade com responsabilidade do usuário e garantir a
integridade das informações.
Albuquerque; Ribeiro (2002, p. 155), descreve “CRIPTOGRAFIA É O
PROCESSO pelo qual uma informação ou um texto é embaralhado de forma que só
seja possível a obtenção do texto original aplicando-se uma operação baseada em
uma chave de acesso”.
Criptografia é o estudo de códigos e cifras, cujo nome vem do grego
kryptos, que significa oculto, e graphen, que significa escrever. Já a
palavra cifra vem do hebraico saphar, que significa dar números. A maioria
delas é sistemática, baseada em técnicas de sistemas numéricos (SILVA,
2004, P. 43).
4.6.2.1.1 Chaves simétricas
Chave simétrica, também conhecida por chave única, utiliza à mesma chave
tanto para a cifragem como para a decifragem, conforme podemos observar na
figura 10. Este método é bastante limitado, pois emissor e receptor devem conhecer
antecipadamente a chave, e é bastante difícil de se conseguir um meio seguro de se
passar a chave secreta.
Segundo Silva (2004, 44), “Mais conhecida como chave secreta. A chave é
compartilhada pelos dois pontos, ou seja, o destinatário sabe qual é a chave que
utilizará para voltar a informação a sua forma original [...]”.
54
Figura 10 – Criptografia com chave simétrica.
4.6.2.1.2 Chaves assimétricas
Chave assimétrica, também chamada de algoritmos de chave pública e
privada, utiliza chaves diferentes para cifrar e decifrar os dados. Em um sistema de
chave assimétrica cada pessoa tem duas chaves: uma chave pública que pode ser
divulgada e outra privada que deve ser mantida em segredo, conforme podemos
observar na figura 11.
Na criptografia assimétrica dividi-se uma chave ou segredo em duas partes
relacionadas matematicamente (no fundo dois números primos gigantescos
fatorados entre si). Uma chave é distribuída livremente para qualquer
pessoa e a outra chave, conhecida como privada fica guardada a sete
chaves por quem fatorou os dois números primos que só ele sabe quais
escolheu.
A segurança dessa equação está no fator tempo, ou seja, com os recursos
computacionais que dispomos hoje em dia, mesmo conectando milhares de
computadores ao redor do mundo, levaria centena de anos para derivar o
número e descobrir os dois primos que foram escolhidos. Enquanto não
existir uma fórmula mágica para resolver o problema matemático,
relativamente simples, estaremos protegidos pelo tempo tecnológico dos
computadores e calculadoras (SILVA, 2004, p. 49).
Internet Protocol Security (IPSec), Secure Sockets Layer/Transport Layer
Security (SSL/TLS), Pretty Good Privacy (PGP), Secure Electronic Transaction
(SET) e X.509, são alguns exemplos de protocolos que empregam sistemas de
criptografia.
55
Figura 11 – Criptografia com chave assimétrica.
4.6.2.1.3 Algoritmos
Os algoritmos servem para atender um ou mais serviços da criptografia por
chave pública. Sua fragilidade é explicada por Silva (2004, p. 57): “Isso ocorre no
momento de pegar a chave pública do outro usuário, pois sendo essa ação realizada
de forma insegura, outro usuário qualquer pode responder ao pedido se fazendo
passar pelo destinatário para quem queremos enviar dados seguros”.
O sistema de Criptografia será seguro somente se obedecer a alguns
critérios, como ao tanto que ele é conhecido e foi testado, tendo sido corrigidas as
suas falhas; e ao tamanho de sua chave que deve ser grande o suficiente para que
seja impossível ser descoberta.
Os mais utilizados são o Diffie-Hellman e o RSA (ambos com os nomes dos
criadores), o Digital Signature Algorihm (DSA), o Elliptic Curve Digital Signature
Algorithm (ECDSA) e Elliptic Curve Diffie- Hellman (ECDH).
4.6.2.2 Autenticação
A informação de autenticação pode ser dividida em categorias, sendo elas:
algo que sabemos; algo que somos; físico que temos ou algum lugar que estamos.
De acordo com Silva (2004, p. 66), “Autenticação é a capacidade de garantir
que alguém, ou alguma coisa, é de fato quem diz ser, dentro de um contexto
56
definido”.
De acordo com Dias (2000, p. 87), “[...] O sistema confirma se o usuário é ele
mesmo”.
Ao combinarmos métodos de autenticação, obtemos a chamada autenticação
forte. Se a informação estiver sob controle do autenticado e do autenticador, o
esquema é chamado de Two-Party Authentication. De acordo com Silva (2004, p.
67), “Outro fator importante a ser destacado é manter a integridade e
confidencialidade da informação de autenticação. É necessário que a informação
usada na autenticação seja segura e não possa ser obtida por pessoas não
autorizadas”.
A seguir, serão apresentados os tipos de autenticação mais relevantes para a
ICP.
4.6.2.2.1 Sign-on
Também conhecido como login, é o processo pelo qual o usuário fornece uma
identificação e uma informação de autenticação (normalmente nome de usuário e
senha).
Pode ser usado seguramente, mas a escolha de senhas difíceis que induzem
os usuários a deixarem escritas em algum lugar ou fáceis que podem ser facilmente
deduzidas pode dificultar o processo da segurança.
O servidor precisa de um lugar seguro para armazenar a senha e compará-la
com a fornecida pelo usuário. Pode-se utilizar a função hash, que embaralhará a
forma original. Porém, por ser uma função conhecida produz um resultado que pode
ser descoberto após a utilização de um ataque de força bruta por um invasor.
4.6.2.2.2 Single sing-on (SSO)
Se houver necessidade de acesso a várias aplicações, será melhor o uso de
diferentes senhas, pois se conseguirem descobrir uma senha, se todas forem iguais,
o usuário terá que bloquear todas as aplicações, ou servidores.
A infra-estrutura de segurança pode prover a comunicação entre entidades
e garantir que a informação seja entregue de uma forma confiável para os
integrantes. Essa segurança pode ser estendida para que um evento de
autenticação bem-sucedido seja sinalizado para vários dispositivos remotos,
eliminando a necessidade de múltiplas autenticações (SILVA, 2004, p. 71).
57
A esse processo chamamos Single Singn-One (SSO), que pode ser usado
por todos os dispositivos dentro da ICP, quando e onde for necessário.
4.6.2.3 Autenticação forte
São os tipos de autenticação que combinam mais de uma característica e,
portanto torna mais difíceis de ser descobertas por usuários não autorizados.
A seguir veremos os principais métodos de autenticação que combinam mais
de uma característica.
4.6.2.3.1 Tokens
É definido por Silva (2005, p. 72) como “[...] Um dispositivo do tamanho de um
chaveiro que gera uma seqüência de números, a cada fração de tempo, baseado
numa semente (seed)”, que fornece uma senha eficaz para o usuário e que possa
acompanhá-lo a qualquer lugar.
Esse sistema de autenticação é classificado no conjunto autenticação forte,
porque agrega vários conceitos de segurança extremamente eficientes.
4.6.2.3.2 Smartcards
O smartcard é utilizado da mesma forma como utilizamos um cartão de
crédito quando vamos sacar dinheiro no banco. Ele guarda em seu chip a chave de
criptografia e ao utilizá-lo, é solicitado ao usuário o seu Personal Identification
Number (PIN) como é solicitado senha no cartão de credito.
Segundo Silva (2004, p. 73), “É um dispositivo, no formato de um cartão de
crédito, com um chip de computador, que tem funções de armazenamento e
processamento interno”.
4.6.2.3.3 Biometria
A Biometria é um tipo de autenticação baseado em algo que somos, ou seja,
pode ser leitura da íris, impressão digital, vasos sanguíneos da mão, dentre outros.
58
Segundo Silva (2004, p. 75), “A vantagem sobre os outros esquemas de
autenticação é que o usuário é identificado por características únicas, pessoais e
intransferíveis, dispensando o uso de senhas, cartões, tokens ou crachás”.
4.6.3 Serviços oferecidos pela ICP
De acordo com Silva (2004, p. 25), “A infra-estrutura de chaves públicas
oferece vários serviços de segurança, que podem ou não ser utilizados, dependendo
da política de segurança adotada na empresa e do comprometimento dos usuários
dos certificados digitais”.
Dentre os principais serviços oferecidos pela ICP, destacamos a privacidade,
a integridade e a autenticidade descrita a seguir.
4.6.3.1 Privacidade
Para garantir que usuários da Internet tentem capturar dados que não lhes
pertencem, deve-se “[...] usar técnicas modernas de criptografia e mecanismos
matemáticos, embaralhando a informação de tal forma que leve centenas ou
milhares de anos para que o dado criptografado volte à sua forma original” (SILVA,
2004, p. 26), sendo a maior força da criptografia, o seu tamanho, e não o algoritmo.
4.6.3.2 Integridade
O objetivo da integridade é fazer com que a informação enviada chegue ao
seu destino sem modificações. Ela é verificada por meio da função hash, que, em
vez de impedir que essas modificações sejam feitas, apenas verifica se houve
alterações nas informações.
4.6.3.3 Autenticidade
A certeza de quem é o emissor de uma informação é garantida por meio de
assinaturas digitais, que funciona da seguinte forma:
[...] calcula-se o hash da mensagem original e criptografa-se o resultado
com a chave privada do autor. Ao resultado dessa operação chamamos
assinatura digital, e esta é adicionada ao final da mensagem. Quando o
59
destinatário recebe a mensagem, usa a chave pública do emissor para
decifrar a assinatura digital, descobrindo o hash, que permite saber se a
mensagem foi alterada de alguma maneira.
Essa operação só é possível se a assinatura digital tiver sido criptografada
com a chave privada do emissor, que é única e de propriedade dele, por
meio da qual certifica quem escreveu a mensagem, ou seja, a sua
autenticidade. Dessa forma, o emissor passa a não conseguir negar que a
enviou (SILVA, 2004, p. 28).
4.6.4 Serviços disponíveis com a utilização da ICP
4.6.4.1 Segurança na Comunicação
Segurança na comunicação é a transmissão de dados de um ponto a outro
com propriedades de segurança, como autenticidade, privacidade e integridade, que
são serviços que fazem parte do conjunto oferecido pela ICP. Porém a utilização
deles com algum protocolo de comunicação ou de rede podem criar extensões ou
aprimoramentos de outros serviços, fazendo com que sejam qualificados como
serviços disponíveis.
4.6.4.2 Carimbo de tempo seguro
Mais conhecido como Time Stamping consiste na geração de uma
marcação de tempo, emitido por uma autoridade de tempo confiável, para
uma determinada informação com as propriedades de autenticidade dessa
autoridade e integridade desse tempo gerado.
Essa marca de tempo, ou temporalidade, é obtida com o chamado carimbo
de tempo produzido pela entidade denominada Protocolizadora Digital de
Documentos Eletrônicos (PDDE).
O carimbo de tempo emitido pela PDDE é obtido mediante um processo,
pelo qual são anexadas a data e a hora de protocolação a um documento.
Essas data e hora devem condizer com a data e a hora correntes, de modo
a garantir que aquele documento foi protocolado em um determinado
momento no tempo (SILVA, 2004, p. 37-38).
4.6.4.3 Não-repúdio
Conforme Albuquerque; Ribeiro (2002, p. 167), “O REPÚDIO É UMA FORMA
DE ATAQUE. O agente do ataque executa uma função no sistema e posteriormente
nega tê-la efetuada [...]”.
De acordo com Silva (2004, p. 39), “O não-repúdio evita que um dos
participantes da comunicação negue que esta tenha ocorrido. Isso não significa que
os participantes tendem a não repudiar, mas, sim, que é fácil provar que o repúdio é
falso”.
60
Exemplos de objetivos de segurança que indicam necessidade de
mecanismos de não repúdios:
O.GarantiaOrigem – As mensagens recebidas pelo sistema devem ter a
identidade do emissor assegurada.
O.Responsabilização – Os usuários devem ser responsabilizados por seus
atos no sistema e em outros sistemas acoplados (ALBUQUERQUE;
RIBEIRO, 2002, p. 169).
4.6.4.4 Gerência de privilégios
Segundo Silva (2004, p. 40), “Os certificados podem ser usados para garantir
a identidade de um usuário e também estabelecer privilégios que foram concedidos
a ele. Os privilégios podem incluir autorização para o acesso a informações sigilosas
ou para modificar arquivos em um servidor Web, além de outros”.
4.6.4.5 Recuperação de chaves
Conforme Silva (2004, p. 41), “Se um usuário perder a sua chave de
assinatura, uma nova chave com seu certificado associado poderá ser gerada
facilmente. A ICP deve poder rastrear a posse da chave por parte do usuário, mas
não copiá-la”.
4.6.5 Ameaças e vulnerabilidades
Segundo Dias (2000, p. 55), “Ameaça – evento ou atitude indesejável (roubo,
incêndio, vírus, etc.), que potencialmente remove, desabilita, danifica ou destrói um
recurso”.
Segundo Silva (2004, p. 90), “As ameaças que podemos citar são hackers,
antigos funcionários ou funcionários insatisfeitos, parceiros extranet e usuários
curiosos que querem ter posse de determinada informação para uso pessoal ou para
benefício próprio”.
Segundo Dias (2000, p. 55), “Vulnerabilidade – fraqueza ou deficiência que
pode ser explorada por uma ameaça. Pode ser associada à probabilidade da
ameaça ocorrer”.
A vulnerabilidade que a empresa tem se dá pela falta de uma política de
segurança (regras e métodos de proteção a serem usados dentro da
empresa), sistemas desatualizados (principalmente versões antigas com
furos de proteção conhecidos e ainda não corrigidos), gestão inadequada
61
dos softwares e dispositivos existentes praticados por pessoas sem o
conhecimento necessário para tal (SILVA, 2004, p. 90).
4.6.5.1 Perfil de um hacker
De acordo com Silva (2004, p. 90), “A maioria dos hackers é jovem. São
pessoas que trabalham em projetos de computadores e técnicos altamente
especializados”.
4.6.5.2 Hackers x crackers
Convencionou-se chamar qualquer pessoa especializada em sistemas de
computação de hacker. Mas existem diferenças de caráter. Os que usam
suas habilidades para solucionar problemas de segurança em sistemas,
contribuindo para o desenvolvimento de correções (patches) para esses
sistemas, são chamados de hackers. O seu oposto em termos de
comportamento (mas com capacitação técnica similar), ou seja, o que
invade sistemas com finalidades ilícitas, visando ao lucro, roubo de
informações, etc., é chamado de cracker (SILVA, 2004, p. 90-91).
4.6.5.3 Script kiddies
Segundo Silva (2004, p. 91), “São crackers que não fazem nada original,
apenas usam informações, ferramentas e programas desenvolvidos por terceiros
para realizar suas invasões. A maioria das tentativas de invasão é feita por Script
kiddies”.
4.6.5.4 Funcionários insatisfeitos e ex-funcionários
Segundo Silva (2004, p. 91), “Grande parte das invasões bem-sucedidas vem
de dentro da própria empresa. A disponibilidade de informações sensíveis na rede
para diversos funcionários [...] pode comprometer bastante a política de segurança
implementada.”.
4.6.5.5 Engenharia Social
Segundo Silva (2004, p. 91), “[...] Informações preciosas ou obtenção de
privilégios de acesso por um indivíduo fora da organização, baseado em uma
62
relação de confiança estabelecida, inadequadamente, com um indivíduo de dentro
da organização”, em outras palavras é a arte de se contar uma mentira convincente.
4.6.5.6 Anatomia de um ataque de hacker
De acordo com Silva (2004, p. 93), “Antes de qualquer atividade ilícita, o
hacker gasta de 80% a 90% do seu tempo em busca de informações sobre sistemas
internos da empresa”, por isso, os computadores que armazenam informações
importantes da empresa devem está bem protegido, com implementação de controle
de acesso forte.
4.6.6 As vulnerabilidades mais críticas de segurança na Internet
Segundo Silva (2004, p. 111), “A grande parte dos ataques bem-sucedidos é
alcançada por meio das vulnerabilidades encontradas nos software e sistemas
operacionais [...]”.
Muitas destas vulnerabilidades são próprias do sistema operacional ou
softwares e a grande maioria dos administradores de rede não prioriza as correções
de tais vulnerabilidades deixando as informações da empresa exposta a usuários
mal-intencionados.
A seguir serão apresentadas as vulnerabilidades mais críticas.
4.6.6.1 Instalações padrão de sistemas operacionais e softwares
A maioria dos softwares, incluindo sistemas operacionais, aplicativos, banco
de dados etc., vem com scripts ou programas que têm por objetivo instalar
os sistemas o mais rapidamente possível, com a máxima funcionalidade e
com o mínimo de esforço por parte do administrador [...]. Mas essa
premissa é sempre prejudicial para os administradores de segurança,
porque normalmente expõe o servidor que está hospedando esse software.
Para atingir o objetivo da simplicidade, os programas normalmente instalam
mais componentes do que a maioria dos usuários necessita [...].
Essa visão, embora seja conveniente para o usuário e para o marketing do
produto, abre um grande conjunto de vulnerabilidades críticas [...] (SILVA,
2004, p. 112-113).
4.6.6.2 Contas de usuários e senhas
Normalmente são fáceis de obter contas de usuários e estas contas na
maioria dos casos possuem senhas padrão ou senha em branco. De acordo com
63
Silva (2004, p. 114), “Na prática, todas essas contas com senha fracas, senhaspadrão ou sem senhas devem ser removidas do seu sistema”.
4.6.6.3 Backup incompleto ou inexistente
De acordo com dias (2004, p. 116), “Algumas empresas fazem backups
diários, mas nunca verificam se estão realmente funcionando [...]. Um segundo
problema que envolve backups é a falta de proteção física das mídias [...]”.
Normalmente estes problemas são detectados após ocorrer um incidente que
necessite a restauração destes backups.
4.6.6.4 Grande número de serviços/portas abertas
De acordo com Silva (2004, p. 117), “Tanto os usuários legítimos como os
atacantes conectam-se aos sistemas por meio de portas abertas. Quanto maior o
número de portas abertas, maiores serão as possibilidades de alguém se conectar
ao sistema”.
Desta forma são importantes que esteja aberta apenas as portas necessárias
pertinentes aos serviços disponibilizados pelo servidor.
4.6.6.5 Ausência de filtro da rede local da empresa
É importante que se faça análise de pacotes de rede para que seja
implementado filtro de entrada e saída das informações.
Ao se filtrar o tráfego que entra na rede (ingress filtering) e o que sai (egress
filtering), pode-se ajudar a elevar o nível de proteção. As regras básicas de
filtragem são:
- Nenhum pacote que entra na rede pode ter como endereço de origem
qualquer IP da sua rede interna, porque não é possível que um usuário da
rede interna esteja conectado simultaneamente à rede externa.
- Todo pacote que entra em sua rede deve ter como endereço de destino
algum endereço pertencente à sua rede interna.
- Qualquer pacote que sai da sua rede deve ter como endereço de origem
algum IP que pertença à sua rede interna.
- Nenhum pacote que sai da sua rede deve ter como endereço de destino
algum IP de sua rede interna.
- Bloqueie qualquer pacote que tenha a opção "source routing" ativada ou o
campo "IP Options" ativado.
- Endereços reservados de autoconfiguração DHCP e Multicast também
devem ser bloqueados, tais como: 0.0.0.0/8, 169.254.0.0/16, 192.0.2.0/24,
224.0.0.0/4, 240.0.0.0/4 (SILVA, 2004, p. 119).
64
4.6.6.6 Sistema de logs e auditorias incompletas ou inexistentes
Segundo Silva (2004, p. 120), “Uma das premissas de segurança é: “A
prevenção é ideal, mas a detecção é imprescindível””.
Os logs são os registros armazenados em trilhas que da a condição de
analisar todos os procedimentos efetuados no servidor. É através dos logs que se
verifica desempenho de hardware ou software, se houve tentativa de ataque ou não,
se estas tentativas foram feitas por usuários internos ou externos, dentre várias
outras informações.
Entretanto, há necessidade de se fazer a ativação de captura destes logs e de
forma correta. É necessário verificar quais tipos de informação se deseja armazenar
e por quanto tempo e ainda, onde armazenar, pois caso esteja no mesmo servidor
atacado por um hacker, este poderá apagar os registros.
De acordo com Silva (2004, p. 120), “O registro de eventos deve ser feito de
maneira regular em todos os sistemas críticos, e os logs devidamente armazenados
e arquivados, pois nunca se sabe quando eles serão necessários”.
4.6.6.7 Buffer overflow
Internet Server Application Programming Interface (ISAPI), são extensões que
são normalmente instados com o Internet Information Services (IIS) para estender a
potencialidade do servidor utilizando Dynamically Linked Library (DLL).
Segundo Silva, (2004, p. 123), “Várias DLLs, como idq.dll, contêm erros de
programação que resultam na realização imprópria da checagem de erros. Em
particular, não bloqueiam strings de entrada longos (long input strings)”. Esta
vulnerabilidade poderá ser explorada por um atacante de forma que este poderá
assumir o controle total do servidor.
Segundo Silva (2004, p. 123), “Recomenda-se utilizar a ferramenta IIS
Lockdown para proteger servidores IIS e a ferramenta URLScan para filtrar
requisições HTTP”.
4.6.6.7.1 Remote Procedure Call (RPC)
RPC é um dos recursos mais utilizado em uma rede e sua função é permitir
que programas de um computador executem outro programa, em outro computador.
65
Devido a esta característica e a várias vulnerabilidades causadas pelo RPC,
os atacantes de todo mundo exploram com freqüência esta falha através de ataques
de buffer overflow.
As seguintes verificação e implementação deverão ser consideradas:
Verifique se você está usando um dos três serviços de RPC mais
freqüentemente explorado, a saber:
- rpc.ttdbserverd
- rpc.cmsd
- rpc.statd
[...]
Siga os passos a seguir para proteger seus sistemas de ataques de RPC:
- Onde for possível, desligue e/ou elimine esses serviços das máquinas
diretamente acessíveis via Internet.
- Onde for, de fato, necessário utilizar RPC, instale os patches mais
recentes.
- Consulte regularmente a base de dados de patches do fabricante,
buscando novas versões e instalando-as imediatamente.
- Bloqueie a porta de RPC (porta 111) no roteador de borda ou no firewall.
- Bloqueie as portas de "Ioopback" do RPC: 32770-32789 (TCP e UDP).
(SILVA, 2004, p. 124).
4.6.6.8 Brecha nos serviços de dados remotos (RDS) do IIS
Atacantes exploram falhas de programação nos serviços RDS (Remote
Data Services) para executar comandos remotos com privilégios de
administrador.
Não é possível corrigir essa falha com um patch. Para se proteger contra
essa vulnerabilidade, deve-se seguir os passos encontrados nos boletins de
segurança do site Microsoft.
Recomenda-se também a atualização para uma das versões de MDAC
mais recentes, que estão disponíveis no site da Microsoft (SILVA, 2004, p.
124).
4.6.7 Certificação e certificados
4.6.7.1 Introdução
A certificação digital garante a autenticidade, a integridade a confidencialidade
e o não-repúdio de uma mensagem, ou seja, impede que o remetente negue que foi
o autor de uma determinada mensagem, desta forma permite aumentar o nível de
segurança em transações pela Internet.
Os certificados digitais são a base de uma ICP e cada usuário recebe seu
certificado digital. Estes certificados são emitidos e mantidos por uma autoridade
certificadora que funciona como uma espécie de cartório digital.
66
De acordo com Silva, (2004, p. 139), “Certificação é a junção entre uma
entidade ou atributo com uma chave pública. A chave pública e a entidade ou
atributo e algumas informações únicas são colocados dentro de um documento
digital, chamado certificado”.
4.6.7.2 Tipos de certificado
Apesar da variedade de tipos de certificados digitais, o padrão X.509 é o mais
difundido em todo mundo e por esta razão este é o padrão adotado pela ICP Brasil,
infra-estrutura de chaves pública do Governo Federal.
Segundo Silva (2004, p. 144), “À medida que o mercado foi utilizando as
soluções e a popularidade dos certificados digitais atingiu níveis elevados na
Internet, as organizações que definem os padrões foram se mobilizando para propor
especificações, cujo objetivo era reunir o que há de melhor em cada proposta”.
5.6.7.2.1 X.509
Segundo Silva (2004, p. 144), “O padrão X.509 surgiu em 1988, como uma
camada de autenticação recomendada para o padrão de diretório X.500, pelo
CCITT, posteriormente ITU-T. Podemos definir diretório como uma base de dados
on-line contendo várias informações”.
As principais variáveis do padrão X.509 são o certificado, o algoritmo da
assinatura do certificado e a assinatura digital.
O certificado é descrito por atributos tais como a versão, o algoritmo ID, o
número de série, assunto, validez, a chave pública, dentre outros.
O SSL/TLS, IPSec, S/MIME, Secure Sockets Layer (SSH), LDAPv3,
Extensible Authentication Protocol (EAP), HyperText Transfer Protocol Secure
(HTTPS), são protocolos que suportam os certificados X.509
As extensões dos certificados possibilitam que uma AC inclua informação
que normalmente não seria fornecida pelo conteúdo básico de um
certificado. Qualquer organização pode definir suas extensões próprias, de
acordo com suas necessidades.
O sujeito de um certificado pode ser um usuário final ou outra AC. Os
campos básicos de um certificado não diferenciam esses dois tipos de
usuários. A extensão de restrições básicas aparece em um certificado de
uma AC, indicando que esse certificado pode ser usado para construir
caminhos de validação.
67
O campo serviço contido nas extensões do certificado é utilizado para
indicar os serviços de segurança que a chave pública poderá implementar,
tais como: validação de assinatura digital em certificados LCR, criptografia
dos dados etc. (SILVA, 2004, p.147).
4.6.7.2.2 Simple Public Key Infrastructure/Simple Distributed Security Infrastructure
(SPKI/SDSI)
De acordo com Silva (2004, p. 151), “O SDSI é uma infra-estrutura cujo
objetivo principal é facilitar a construção de sistemas distribuídos seguros e
escaláveis. Já o SPKI foi projetado para ser um modelo de autorização simples,
flexível e bem definido”.
Nestes padrões (SPKI/SDSI) não há uma infra-estrutura de chaves públicas
como o padrão X.509 sendo cada chave pública uma entidade certificadora.
Dois tipos de certificados são definidos no SPKI/SDSI: certificados de
nomes e de autorização. Um certificado de nomes define um nome local no
espaço de nomes do emissor e liga esse nome a uma chave pública ou,
ainda, a outro nome. O emissor do certificado é sempre identificado por sua
chave pública. A combinação dessa chave pública mais um nome local
formam um identificador global único (SILVA, 2004, p. 152).
4.6.7.2.3 Secure Electronic Transaction (SET)
Padrão público para transações de pagamentos desenvolvido pela empresa
de cartão de crédito VISA e MasterCard com a participação da Microsoft, Netscape,
International Business Machines (IBM) e Verisign, com objetivo de prover aos
usuários a confidencialidade da informação, a integridade dos dados, a autenticação
do usuário e a interoperabilidade.
Segundo Silva (2004, p. 154), “O SET está baseado na distribuição de
certificados digitais para as partes envolvidas na transação, evitando-se, assim, que
seja divulgado o número do cartão de crédito”.
4.6.7.3 Public Key Cryptography Standards (PKCS)
De acordo com Silva (2004, p. 156), “Os PKCS visam a preencher o vazio que
existe nas normas internacionais relativas a formatos para transferência de dados
68
que permitam a compatibilidade e a interoperabilidade entre aplicações que utilizem
criptografia de chave pública”.
Ao todo, são doze padrões conforme segue:
PKCS#1: RSA Encryption Standards - Tem por objetivo servir de
normalização para a utilização do algoritmo RSA nas seguintes aplicações:
- Assinaturas digitais - A informação a assinar é inicialmente reduzida a um
valor de hash, utilizando um algoritmo de message digest, como o MD5. O
resultado é, então, criptografado com a chave privada RSA.
- Envelopes digitais - A informação a proteger é criptografada com a chave
de sessão, utilizando um algoritmo simétrico, como o DES. Posteriormente,
a chave de sessão é criptografada com a chave pública RSA.
PKCS#3: Diffie-Hellman Key Agreement Standard - Normaliza a
utilização do protocolo de acordo com as chaves Diffie-Hellman no
estabelecimento de chaves secretas, ou de sessão [...].
PKCS#5: Password-Based Encryption Standard - Descreve um método
para criptografar um array de bytes utilizando uma chave secreta calculada
com base em uma password (Password-Based Encryption ou PBE) [...].
PKCS#6: Extended-Certificate Syntax Standard - Estende a definição de
certificados X.509, permitindo a associação de outros atributos à entidade
titular do certificado [...].
PKCS#7: Cryptographic Message Syntax Standard - Define uma sintaxe
para mensagens criptografadas, como assinaturas digitais e envelopes
digitais [...].
PKCS#8: Private-Key Information Syntax Standard - Define uma sintaxe
para informações relativas a chaves privadas, tais como: o valor da chave, o
algoritmo correspondente e um conjunto de atributos associados [...].
PKCS#9: Selected Attribute Types - Lista alguns dos atributos que podem
ser associados a uma chave privada [...].
PKCS#10: Certification Request Syntax Standard - Define uma sintaxe
para pedidos de certificação [...].
PKCS#12: Personal Information Exchange Syntax - Descreve uma
sintaxe para a transferência de informação de identificação pessoal,
incluindo chaves privadas, certificados, chaves secretas e extensões [...].
PKCS#11, PKCS#13 e PKCS#15 - [...] referem-se à utilização de
dispositivos portáteis em criptografia [...] (SILVA, 2004 p. 157-159).
4.7 Sistema Operacional
4.7.1 Introdução
Sistema Operacional é um conjunto de aplicativos com objetivo de controlar
softwares, hardwares e fluxos de informação e serve como alicerce para execução
de qualquer outro software.
Ao se ligar qualquer computador, é o sistema operacional que “da vida” à
máquina. É o sistema operacional o responsável por controlar o computador de uma
forma geral.
69
Segundo Machado; Maia (2004, p. 1), “[...] É apenas um conjunto de rotinas
executado pelo processador, de forma semelhante aos programas dos usuários. Sua
principal função é controlar o funcionamento de um computador [...]”.
A evolução dos sistemas operacionais está totalmente ligada à evolução dos
hardwares.
4.7.2 Funções Básicas
Dentre as várias funcionalidades básicas de um sistema operacional podemos
citar:
- O sistema operacional é o responsável por integrar todos os periféricos (CDROM, pendrive, disquetes, Hard Disk (HD), monitor, mouse, teclado, memória,
impressora, scanner, etc.), e o usuário não tem que se preocupar com estes
procedimentos.
- Em uma rede onde existem recursos compartilhados como, por exemplo,
impressoras arquivos, dentre outros, é o sistema operacional que controla estes
recursos.
Conforme Machado; Maia, (2004, p. 2), “Para a maioria dos usuários, uma
operação como a leitura de um arquivo em disco pode parecer simples. Na
realidade, existe um conjunto de rotinas específicas, controladas pelo sistema
operacional [...]”.
Machado; Maia, (2004, p. 3) declara que “O compartilhamento de recursos
permite, também, a diminuição de custos, na medida em que mais de um usuário
pode utilizar as mesmas facilidades concorrentes, como discos, impressoras, linhas
de comunicações, etc.”.
4.7.3 Windows Server 2003
Sistema operacional desenvolvido pela Microsoft para atender a plataforma
cliente/servidor e poderá desempenhar a função de servidor de arquivos, de
impressão, de aplicativos, de e-mail, de terminal, de acesso remoto, DNS, DHCP,
WINS, controlador de domínio e em conjunto com outras aplicações poderá fornecer
aos usuários acesso a banco de dados.
70
As configurações das funcionalidades disponíveis em cada servidor Windows
Server 2003 vão depender do usuário que deverá configurá-lo de acordo com suas
necessidades.
Existem quatro edições do Windows Server 2003.
O que diferencia uma edição da outra são as funcionalidade disponíveis em
cada edição, as necessidade mínimas de hardware e os limites máximos
suportados, tais como quantidade máxima de memória RAM, números de
processadores, número máximo de servidores em cluster e assim por diante
(BATTISTI, 2003, p. 8).
4.7.3.1 Windows Server 2003 Standard Edition
Esta edição é indicada para ser utilizada em servidores de pequenas e
médias organizações ou servidores departamentais com um número médio
de usuários. Normalmente utilizado para serviços tais como o
compartilhamento de arquivos e impressoras, gerenciamento centralizado
das estações de trabalho, servidor de Intranet e servidor de conectividade
com a Internet [...].
Serviços e/ou Recursos Não Disponíveis no Windows Server 2003
Standard Edition:
- Suporte a mais do que quatro processadores.
- Suporte a mais do que 4 GB de memória RAM.
- Suporte a serviço de Cluster.
- Versão de 64 bits para processadores Intel Itanium.
- Troca de memória sem desligar o servidor (somente disponível nas
edições Enterprise e Data Center e depende de suporte do fabricante do
hardware do servidor).
- Suporte a serviços de Metadiretório.
- Windows System Resource Manager (WSRM): este recurso permite a
alocação de recursos de hardware para processos específicos. Por
exemplo, em um servidor Web você pode alocar mais recursos de hardware
para os processos do IIS (Internet Information Services), dando prioridade
para estes processos em relação aos demais (BATTISTI, 2003, p. 8).
4.7.3.2 Windows Server 2003 Enterprise Edition
É recomendado para servidores que forneçam serviços como: roteamento,
servidor de Banco de dados (SQL Server 2000, ORACLE etc.), correio
eletrônico e aplicativos de colaboração (Microsoft Exchange, Lotus Notes
etc.), sites de comércio eletrônico e outros aplicativos utilizados em redes
de grande porte [...].
O Windows Server 2003 Enterprise Edition apresenta as seguintes
limitações, quanto ao hardware:
- Oito processadores na versão de 32 bits.
- 32 GB de memória RAM na versão de 32 bits.
- Cluster com até oito Servidores (BATTISTI, 2003, p. 9-10).
4.7.3.3 Windows Server 2003 Data Center Edition
71
Conforme Battisti (2003, p. 10), “[...] Apresenta o maior número de recursos e
a maior capacidade para atender a aplicações com um grande número de usuários e
com elevadas exigências de desempenho”.
O Windows Server 2003 Data Center Edition apresenta as seguintes
limitações, quanto ao hardware:
- 32 processadores na versão de 32 bits e até 64 processadores na versão
de 64 bits, para servidores baseados no processador Intel Itanium.
- 64 GB de memória RAM na versão de 32 bits e até 512 GB de RAM na
versão de 64 bits, para servidores baseados no processador Intel Itanium.
- Cluster com até oito servidores (BATTISTI, 2003, p. 10).
4.7.3.4 Windows Server 2003 Web Edition
Conforme Battisti (2003, p. 11), “[...] Especificamente projetada para
Servidores que prestarão serviço de hospedagem de sites, de aplicações Web, e
aplicações baseadas na plataforma .NET, utilizando tecnologias como ASPNET,
XML e Web Services”.
De acordo com Battisti (2003. p. 11), “[...] Apresenta os seguintes limites de
hardwares: Suporte, no máximo, dois processadores; Suporta, no máximo, 2 GB de
memória RAM ”
4.7.4 Comparação entre as diferentes edições
Na tabela 1 podemos verificar os recursos mínimos de hardware exigido por
cada edição do Windows Server 2003.
Tabela 1 – Recursos mínimos de hardwares para as diferentes edições do Windows Server 2003
Recurso
Web
Standard Enterprise
Data Center
CPU Mínima
133 MHZ 133 MHZ 133 MHZ P/ X86
400 MHZ p/ X86
733 MHZ P/ Intel Itanium
733 MHZ p/ Intel Itanium
CPU Recomendada 550 MHZ 550 MHZ 733 MHZ
733 MHZ Recomendada
RAM Mínima
128 MB
128 MB
128 MB
512 MB
RAM Recomendada 256 MB
256 MB
256 MB
1024 MB
Espaço em
1,5 GB
1,5 GB
2,0 GB
2,0 GB
Disco p/ instalar
FONTE: Battisti (2003, p. 12)
4.8 Internet Information Services 6.0 (IIS)
4.8.1 Introdução
O IIS Pode gerenciar páginas da Web na Internet ou em suas intranets,
hospedar e gerenciar sites FTP, rotear notícias ou e-mails usando o protocolo
72
Network News Transfer Protocol (NNTP) e o protocolo SMTP. Contêm novos
recursos projetados para auxiliar organizações, profissionais de informática e
administradores da Web a atingirem suas metas de desempenho, confiabilidade,
escalabilidade e segurança.
4.8.2 Segurança
Proteções de segurança apropriadas no servidor Web reduzem, e até mesmo
eliminam, diversas ameaças, assim como o acesso por engano e alteração de dados
sem má intenção por usuários.
Com o SSL, o servidor Web também tem a opção de autenticar usuários
verificando o conteúdo dos certificados de cliente, implementando um método
altamente seguro de verificação da identidade dos usuários.
Você pode permitir que os usuários troquem informações particulares com
seu servidor, como números de cartão de crédito ou números de telefone,
de forma segura através da criptografia. A base dessa criptografia no IIS é o
protocolo SSL 3.0, que fornece um meio seguro de estabelecer um vínculo
de comunicação criptografada com os usuários. O SSL confirma a
autenticidade do site e, opcionalmente, a identidade dos usuários que
acessam sites restritos (MICROSOFT, 2003).
4.8.2.1 Recomendações para Servidor Web com IIS
Faça logon com as credenciais mínimas - faça logon no computador
usando uma conta que não esteja no grupo Administradores e use o
comando Executar como para executar o Gerenciador do IIS como um
administrador.
Reduza a superfície de ataque - desative todos os serviços de que você
não precisa, incluindo os serviços IIS, como FTP, NNTP ou SMTP. Se um
recurso ou serviço não estiver habilitado, não há necessidade de protegê-lo.
Não faça download ou execute programas de fontes não confiáveis.
Mantenha os antivírus atualizados - os antivírus normalmente identificam
arquivos infectados procurando uma assinatura que é um componente
conhecido de um vírus anteriormente identificado.
Mantenha todos os patches dos softwares atualizados - patches dos
softwares fornecem soluções a problemas de segurança conhecidos.
Verifique periodicamente os sites dos fornecedores dos softwares para ver
se existem novos patches disponíveis para os softwares usados na sua
organização.
Use o NTFS - o sistema de arquivos NTFS é mais seguro que o sistema de
arquivos FAT ou FAT32.
Atribua permissões NTFS de alta segurança para os recursos.
Tenha cuidado com os controladores de domínio - se você usar um
controlador de domínio como um servidor de aplicativo, saiba que, se a
segurança for comprometida no controlador de domínio, ela será
comprometido em todo o domínio.
73
Restrinja as permissões de acesso de gravação para a conta
IUSR_nome_do_computador - procedimento ajuda a limitar o acesso de
usuários anônimos ao seu computador.
Armazene os arquivos executáveis em um diretório separado - esse
procedimento facilita para os administradores a atribuição de permissões de
acesso e a auditoria.
Crie um grupo para todas as contas de usuários anônimos - Você pode
negar permissões de acesso a recursos com base na participação nesse
grupo.
Negue permissões de execução para usuários anônimos a todos os
executáveis dos diretórios e subdiretórios do Windows.
Use a restrição de endereço IP se o IIS estiver sendo administrado
remotamente.
Atribua às permissões mais restritas possíveis - por exemplo, se seu
site for usado somente para exibir informações, atribua as permissões
somente leitura. Se um diretório ou site contiver aplicativos, atribua as
permissões Somente scripts em vez das permissões Scripts e executáveis.
Não atribua permissões de gravação e de acesso ao código-fonte do
script ou permissões de scripts e executáveis - use essa combinação
com extremo cuidado. Ela pode permitir que um usuário carregue arquivos
executáveis potencialmente perigosos para o seu servidor e os execute.
(MICROSOFT, 2003).
4.8.2.2 Tipo de Autenticação
Você pode exigir que, antes que acessem qualquer informação no seu
servidor, os usuários forneçam um nome e uma senha de conta de usuário. Esse
processo é conhecido como Autenticação.
4.8.2.2.1 Autenticação de Sites
Autenticação anônima: descreve o método de autenticação que não
necessita de credenciais de usuário autenticado e é recomendável para
conceder acesso público a informações que não requerem segurança.
Autenticação básica: descreve o método de autenticação que necessita
de um nome de usuário e de uma senha, fornece um nível baixo de
segurança e é recomendável para conceder acesso a informações com
pouca o nenhuma necessidade de privacidade. A segurança é considerada
baixa, pois as senhas são enviadas pela rede em texto sem formatação
(texto descriptografado), tornando-as vulneráveis à interceptação.
Autenticação Digest: descreve o método de autenticação que necessita de
um nome de usuário e de uma senha, fornece um nível médio de segurança
e pode ser usado para conceder acesso a informações de segurança de
redes públicas. A segurança aumenta em relação à autenticação básica,
com o envio de credenciais de usuário em uma síntese de mensagem com
hash aplicado.
Autenticação Digest avançada: descreve o método de autenticação que
fornece um nível médio de segurança e é idêntico à autenticação Digest,
com uma exceção: as credenciais do usuário ficam mais bem protegidas
contra descobertas quando são armazenadas no controlador de domínio
(DC) como um hash MD5.
Autenticação integrada do Windows: descreve o método de autenticação
que envia informações de autenticação de usuário pela rede como uma
permissão Kerberos, fornece um alto nível de segurança e é recomendável
74
para a intranet da organização. Não é fácil enviar credenciais de usuário por
um proxy HTTP.
Certificados: descreve o método de autenticação usado para estabelecer
uma conexão de comunicação de segurança entre um cliente e um servidor
que utiliza a SSL (camada de soquetes de segurança). A autenticação de
certificados fornece um alto nível de segurança apropriado para negócios
pela Internet.
Autenticação UNC: descreve o método de autenticação usado para
verificar as credenciais do usuário para seu acesso aos compartilhamentos
em um computador remoto.
Autenticação do Passport .NET: descreve o método de autenticação que
fornece uma segurança de início de sessão universal, permitindo o acesso
dos usuários a diversos serviços na Internet.
Definindo o domínio de logon padrão: descreve como é possível
configurar um domínio de logon padrão para os usuários que fazem logon
usando a autenticação básica e que não especificam um domínio
(MICROSOFT, 2003).
4.8.2.2.2 Autenticação de Sites FTP
Autenticação anônima do FTP: descreve o método de autenticação que
não necessita de credenciais de usuário autenticado e é recomendável para
conceder acesso público a informações que não requerem segurança.
Autenticação básica do FTP: descreve o método de autenticação que
necessita de um nome de usuário e de uma senha, fornece um nível baixo
de segurança e é recomendável para conceder acesso a informações com
pouca o nenhuma necessidade de privacidade. A segurança é considerada
baixa, pois as senhas são enviadas pela rede em texto sem formatação
(texto descriptografado), tornando-as vulneráveis à interceptação
(MICROSOFT, 2003).
4.8.2.3 Controle de Acesso
Segundo a Microsoft (2003), “O controle de acesso adequado ao conteúdo da
Web e FTP é essencial para a execução de um servidor Web seguro”.
A seguir podemos observar na figura 12, um resumo do processo de controle
de acesso efetuado pelo IIS quando recebe uma requisição do usuário:
75
Figura 12 – Controle de acesso do IIS
Fonte: (MICROSOFT, 2003).
4.8.2.3.1 Permissões NTFS
De acordo com Microsoft (2003), “É altamente recomendável o uso do
sistema de arquivos NTFS para o seu servidor de aplicativos. O NTFS é um sistema
de arquivos mais poderoso e seguro que o FAT e o FAT32”.
Os seguintes benefícios são oferecidos pelo New Technology File System
(NTFS):
- Permitir que os administradores controle acesso de usuários em nível de
arquivos e diretórios;
- oferece suporte a criptografia;
- oferece suporte ao Active Directory (AD) e à segurança baseada em
domínio.
4.8.2.3.2 Permissões de sites
76
Segundo a Microsoft (2003), “Você pode configurar as permissões de acesso
do seu servidor Web para sites, diretórios e arquivos específicos. Essas permissões
aplicam-se a todos os usuários, independentemente de seus direitos de acesso
específicos”.
4.8.2.3.3 Contas do IIS e contas internas
A seguir é apresentada uma lista das contas internas usadas pelo IIS, assim
como das contas específicas do IIS e seus direitos de usuário associados:
Sistema Local: Uma conta interna com um alto nível de direitos de acesso.
Se uma identidade de processo do operador for executada como a conta do
sistema local, esse processo terá acesso total a todo o sistema.
Serviço de Rede: Uma conta interna com menos direitos de acesso no
sistema do que a conta do sistema local, mas que ainda pode interagir em
toda a rede com as credenciais da conta do computador. Para o IIS 6.0, é
recomendável que a identidade de processo do operador definida para
pools de aplicativos seja executada como a conta Serviço de rede. Por
padrão, a identidade do processo do operador é executada como Serviço
de rede.
Direitos de usuário padrão:
Substituir um token no nível de processo (SeAssignPrimaryTokenPrivilege)
Ajustar quotas de memória para um processo (SeIncreaseQuotaPrivilege)
Gerar auditoria de segurança (SeAuditPrivilege)
Ignorar a verificação completa (SeChangeNotifyPrivilege)
Acesso a este computador pela rede (SeNetworkLogonRight)
Fazer logon como um trabalho em lotes (SeBatchLogonRight)
Fazer logon como um serviço (SeInteractiveLogonRight)
Permitir logon local (SeInteractiveLogonRight)
Serviço Local: Uma conta interna com menos direitos de acesso no
computador do que a conta do serviço de rede e cujos direitos de usuário se
limitam ao computador local. A conta do serviço local será usada se o
processo do operador não exigir acesso externo ao servidor no qual está
sendo executada.
Direitos de usuário padrão:
Substituir um token no nível de processo (SeAssignPrimaryTokenPrivilege)
Ajustar quotas de memória para um processo (SeIncreaseQuotaPrivilege)
Gerar auditoria de segurança (SeAuditPrivilege)
Ignorar a verificação completa (SeChangeNotifyPrivilege)
Acesso a este computador pela rede (SeNetworkLogonRight)
Fazer logon como um trabalho em lotes (SeBatchLogonRight)
IIS_WPG: Uma conta de grupo do IIS que recebeu as permissões e os
direitos de usuários mínimos necessários para inicializar e executar um
processo do operador em um servidor Web.
Direitos de usuário padrão:
Ignorar a verificação completa (SeChangeNotifyPrivilege)
Fazer logon como um trabalho em lotes (SeBatchLogonRight)
Acesso a este computador pela rede (SeNetworkLogonRight)
IUSR_nome_do_computador: Uma conta do IIS para acesso anônimo ao
IIS. Por padrão, quando um usuário acessa um site definido como
Autenticação
anônima,
ele
é
mapeado
para
a
conta
IUSR_nome_do_computador. O usuário tem os mesmos direitos no
computador que essa conta.
77
Direitos de usuário padrão:
Acesso a este computador pela rede (SeNetworkLogonRight)
Ignorar a verificação completa (SeChangeNotifyPrivilege)
Fazer logon como um trabalho em lotes (SeBatchLogonRight)
Permitir logon local (SeInteractiveLogonRight)
IWAM_nome_do_computador: Uma conta do IIS para iniciar aplicativos
fora do processo no modo de isolamento do IIS 5.0.
Direitos de usuário padrão:
Substituir um token no nível de processo (SeAssignPrimaryTokenPrivilege)
Ajustar quotas de memória para um processo (SeIncreaseQuotaPrivilege)
Ignorar a verificação completa (SeChangeNotifyPrivilege)
Acesso a este computador pela rede (SeNetworkLogonRight)
Fazer logon como um trabalho em lotes (SeBatchLogonRight)
ASPNET: Uma conta interna para executar o processo do operador do
Microsoft ASP.NET no modo de isolamento do IIS 5.0.
Direitos de usuário padrão:
Acesso a este computador pela rede (SeNetworkLogonRight)
Fazer logon como um trabalho em lotes (SeBatchLogonRight)
Fazer logon como um serviço (SeInteractiveLogonRight)
Negar logon local (SeDenyInteractiveLogonRight)
Negar
logon
pelos
serviços
de
terminal
(SeDenyRemoteInteractiveLogonRight). (MICROSOFT, 2003).
4.8.2.3.4 Acesso anônimo
De acordo com a Microsoft (2003), “O acesso anônimo, o método de controle
de acesso a site mais comum, permite que qualquer pessoa visite as áreas públicas
de seus sites”.
4.8.2.3.5 Configurando identidade do processo de trabalho
O IIS 6.0 utiliza uma nova conta interna do serviço de rede, oferecendo maior
segurança que suas versões anteriores. Nelas, a mesma conta tinha acesso a quase
todos os recursos operacionais. No IIS 6.0, pode ser usada uma das três contas
predefinidas ou criar uma conta própria.
O grupo IIS_WPG é um grupo de usuários fornecido pelo IIS 6.0, cujos
membros possuem um conjunto mínimo de permissões e direitos para executar um
aplicativo. Essa participação oferece uma maneira conveniente de usar uma conta
de usuário específica sem ter que atribuir manualmente a ela permissões e direitos
de usuário. O processo do operador será iniciado somente se a mesma estiver no
grupo IIS_WPG e tiver as permissões adequadas.
4.8.2.3.6 Protegendo sites com restrições de endereço IP
78
Você pode configurar seu site para conceder ou negar acesso de
computadores, grupos de computadores ou domínios específicos a sites, diretórios
ou arquivos com base na sua identificação de rede (IP) e em uma máscara de subrede.
De acordo com a Microsoft (2003) “As restrições de endereço IP aplicam-se
somente aos endereços IPv4”.
4.8.2.3.7 Protegendo diretórios virtuais
Os administradores do IIS podem proteger os diretórios virtuais usando a
autenticação de usuário local. [...] No IIS 6.0, você pode utilizar a delegação
de autenticação para passar as credenciais autenticadas do usuário
solicitante para um servidor de arquivos remoto no qual está localizado um
compartilhamento UNC. É preferível utilizar esse procedimento a utilizar um
nome de usuário estático e uma senha porque você pode limitar o acesso a
partes específicas do compartilhamento UNC para cada usuário ou grupo
(MICROSOFT, 2003).
4.8.2.3.8 Autorização da URL
A autorização de URL no IIS permite que os administradores do Windows
simplifiquem o gerenciamento de acesso, autorizando o acesso do usuário às URLs
que compreendem um aplicativo da Web. Ela valida o acesso solicitado por um
usuário baseado nas funções dele, permitindo que os administradores controlem
todo o acesso do usuário às URLs, em vez de controlar o acesso por Access Control
List (ACL), em cada recurso. A utilização da autorização de URLs do IIS 6.0 permite
que um administrador controle o acesso baseado em informações disponíveis
somente em tempo de execução
Na figura 13 temos a ilustração do gerenciador de ilustração.
A autorização de URLs de IIS é implementada como um interceptador de
interface de programação de aplicativos de servidores da Internet (ISAPI)
(no diagrama abaixo, URL Authz ISAPI). Quando um aplicativo, um diretório
virtual ou uma URL é configurada para usar a autorização de URLs de IIS,
cada solicitação de uma URL é roteada para o interceptador ISAPI de
autorização de URLs. Esse interceptador usará o Gerenciador de
autorização (no diagrama, .NET Authz Framework) para autorizar o acesso
à URL solicitada. A URL deve estar associada a um armazenamento de
diretivas do Gerenciador de autorização que contenha a diretiva de
autorização para a URL. Assim que o cliente tiver autorização para acessar
a URL, o recurso Executar URL do ISAPI de autorização de URLs (no
diagrama, ExecURL) passará a solicitação para o manipulador apropriado
da URL, como o ASP.dll, para outro ISAPI ou para o manipulador de
arquivo estático (MICROSOFT, 2003).
79
Figura 13 - Diagrama Gerenciador de Autorização
Fonte: (MICROSOFT, 2003).
4.8.2.4 Filtragem de porta TCP/IP
Permite que você controle os tipos de tráfego que atingem os servidores e
dispositivos de rede. Apesar do software de firewall ser usado para impedir invasões
externas, podem não proteger os servidores de ataques internos de usuários malintencionados da própria rede privada.
Habilita ou desabilita as portas do protocolo TCP e do User Datagram
Protocol (UDP) nos computadores ou dispositivos de rede, conforme o administrador
quiser. Usada em conjunto com outras práticas de segurança em servidores de
Internet e intranet, isola-os de vários ataques externos e internos à segurança do
TCP/IP.
Podem-se configurar filtros de portas nos servidores individuais, para fornecer
uma camada adicional de proteção contra diversos ataques à segurança do TCP/IP.
4.8.2.4.1 Atribuições de portas para serviços web
De acordo com a Microsoft (2003), “Há 65.535 números de porta disponíveis
para processos de aplicativos que usam o protocolo de controle de transmissão
(TCP). O mesmo número de portas está disponível para processos de aplicativos
que usam o protocolo de datagrama de usuário (UDP)”.
Na tabela 2 podemos observar as portas padrão atribuídas aos serviços web.
80
Tabela 2 – Portas TCP padrão para serviços web
Número de porta TCP Serviço de Internet
padrão
20
Canal de dados do protocolo FTP
21
Canal de controle do protocolo FTP
23
Telnet (habilitado em alguns servidores de intranet ou Internet)
25
Protocolo SMTP
80
Protocolo HTTP usado para World Wide Web
119
Protocolo de transferência de notícias de rede (NNTP)
443
Protocolo de transferência de hipertexto em TLS/SSL (HTTPS) para
World Wide Web segura.
563
Protocolo de transferência de notícias de rede em TLS/SSL (NNTPS)
FONTE: Microsoft (2003).
4.8.2.4.2 Ferramentas de filtragem de portas
Para maior eficiência, configure a ferramenta de filtragem de modo que aceite
solicitações por meio de cada porta exigida pelos aplicativos do servidor e recuse as
solicitações provenientes de todas as outras portas TCP ou UDP. A filtragem de todo
o tráfego destinado a essas portas eliminará a exposição desnecessária a ataques.
A seguir, uma lista de ferramentas que podem ser usadas para filtrar o tráfego
nos servidores ou na rede:
Diretivas de filtragem de segurança do protocolo Internet (IPSec): Dá
suporte a regras de filtragem de pacotes monitoradores baseadas em
diretivas que podem ser usadas com criptografia e autenticação IPSec para
fornecer proteção total. Recomendadas se a organização possuir o IPSec
implantado.
Firewall de conexão com a Internet (ICF): Habilita filtros monitoradores
baseados em definições de serviços configuráveis. Dá suporte a serviços de
notificação e logs. Recomendado se a organização não tiver implantado o
IPSec.
Serviço de autenticação da Internet (IAS): Fornece serviços de controle
de acesso à rede, inclusive filtros de tráfego para redes sem fio, acesso
remoto, redes privadas virtuais, recursos de Internet e extranets.
Filtragem de TCP/IP: Limitada à filtragem de protocolos e pacotes
monitoradores. Não é recomendada. O IPSec e o ICF fornecem filtros
monitoradores mais úteis e robustos.
Microsoft Internet Security e Acceleration Server: Disponível como
produto separado (não incluído na família Windows Server 2003). Contém o
avançado software firewall de rede que permite configurar regras
sofisticadas de filtragem de aplicativos e tráfego para computadores e
dispositivos de rede (MICROSOFT, 2003).
4.8.2.5 Criptografia
81
Seus recursos podem ser usados para codificar as informações transmitidas
ao servidor Web e recebidas por ele, impedindo que pessoas não autorizadas
decodifiquem o conteúdo original de suas transmissões.
4.8.2.5.1 Ativando a criptografia
Você pode exigir que os usuários estabeleçam um canal criptografado com
seu servidor antes de acessarem um site, um diretório ou um arquivo restrito.
Entretanto, o navegador da Web do usuário e seu servidor Web devem oferecer
suporte ao esquema de criptografia usado para proteger o canal.
Ao definir propriedades de segurança para um site específico, você define
automaticamente as mesmas propriedades de segurança para os diretórios
e os arquivos pertencentes a esse site, a menos que as propriedades de
segurança dos diretórios e dos arquivos individuais tenham sido definidas
anteriormente (MICROSOFT, 2003).
Se as propriedades de diretórios e arquivos individuais forem redefinidas,
suas configurações de segurança anteriores serão atualizadas. A mesma condição é
aplicada para um diretório com subdiretórios ou arquivos com propriedades de
segurança anteriormente definidas.
Recomenda-se o uso da criptografia SSL/TLS somente para informações
sigilosas uma vez que este reduz a taxa de transmissão e degrada o desempenho
do servidor.
4.8.2.5.2 Definindo o nível de criptografia
Você pode configurar o servidor Web para solicitar um nível de chave de
sessão mínimo de 128 bits para todas as sessões de comunicação segura sendo
que a chave e o SSL são diferentes. Entretanto, os usuários que tentarem
estabelecer um canal de comunicação seguro com seu servidor deverão usar um
navegador capaz de se comunicar com uma chave de sessão de 128 bits.
4.8.2.6 Certificado Digital
De acordo com a Microsoft (2003), “Os certificados são uma forma de
identificação digital do servidor e dos clientes que solicitam informações desse
82
servidor. A função dos certificados é semelhante à de um passaporte ou de outra
carteira de identidade oficial, que identifica o portador”.
4.8.2.6.1 Autoridades de certificação
Pode-se obter um certificado de uma outra organização mutuamente
confiável, chamada autoridade de certificação (CA), cuja principal responsabilidade é
confirmar a identidade e a validade das informações que irão conter no certificado.
Antes de emitir um certificado, a autoridade de certificação exige que você
forneça informações com extensão que pode variar com os requisitos de garantia de
identificação do certificado. A coleta dessas informações pode exigir uma entrevista
pessoal com a autoridade de certificação e o endosso de um tabelião.
4.8.2.6.2 Certificados de servidor
Para ativar os recursos de segurança SSL, deve-se obter e instalar um
certificado de servidor válido. Um certificado de servidor permite que os usuários
autentiquem um servidor, verifiquem a validade do conteúdo da Web e estabeleçam
uma conexão segura. Ele contém uma chave pública, usada na criação de uma
conexão segura entre o cliente e o servidor.
O sucesso de um certificado de servidor como meio de identificação depende
da confiança do usuário na validade das informações contidas no certificado. Nesse
caso, é necessário considerar a possibilidade de obter um certificado de servidor de
uma autoridade de certificação.
Como alternativa, dependendo do relacionamento da sua organização com os
usuários do seu site, você poderá emitir seus próprios certificados de servidor.
4.8.2.6.3 Server-gated Cryptography (SGC)
Oferece às instituições financeiras uma solução para a realização de
transações financeiras seguras no mundo inteiro com o uso da criptografia de 128
bits de alta segurança.
Um servidor configurado para SGC pode facilitar as sessões de criptografia,
portanto, não é necessário ter várias versões do IIS. Para o uso da SGC, é
necessário um certificado SGC especial.
83
4.8.2.6.4 Provedor de serviços de criptografia selecionável
Todo provedor de criptografia pode criar uma chave pública e uma chave
particular para criptografar os dados que o servidor Web envia e recebe.
Conforme a Microsoft (2003), “Um provedor de serviços de criptografia (CSP)
selecionável permite que você selecione um provedor de criptografia para lidar com
a criptografia e com o gerenciamento de certificados”.
4.8.2.6.5 Certificados de cliente
Os certificados de cliente são documentos eletrônicos que contêm
informações sobre clientes, chaves públicas de criptografia que fazem parte do
recurso de segurança SSL do IIS, que facilitam a criptografia e a descriptografia dos
dados transmitidos por uma rede aberta.
Um certificado de cliente comum contém várias informações: a identidade
do usuário, a identidade da autoridade de certificação, uma chave pública
usada para estabelecer comunicações seguras e informações de validação,
como uma data de vencimento e um número de série. As autoridades de
certificação oferecem tipos diferentes de certificados de cliente, que contêm
quantidades diferentes de informações, dependendo do nível de
autenticação necessário (MICROSOFT, 2003).
4.8.2.6.6 Lista de certificados confiáveis
Mantendo uma lista de certificados confiáveis (CTL), os administradores de
sites podem comparar automaticamente os certificados de cliente com uma
lista predefinida de autoridades de certificação confiáveis. [...] O IIS aceitaria
somente os certificados de cliente fornecidos por autoridades de certificação
contidas na lista de certificados confiáveis desse departamento
(MICROSOFT, 2003).
4.8.2.6.7 Detecção de certificados de cliente revogados
A maioria das autoridades de certificação mantém uma lista de revogação de
certificados que na verdade é uma lista dos certificados de cliente atuais que foram
revogados por terem fornecido informações falsas ou porque a data do certificado
está vencida ou por solicitação de cancelamento pelo usuário. Como o certificado
84
não é material, e não pode ser literalmente retirado do usuário mal-intencionado,
adiciona-se as informações sobre o certificado do cliente revogado nessa lista.
4.8.3 LOGs de atividades do site
Habilitando o log dos sites da Web, pode-se coletar informações sobre
atividades do usuário, que são armazenadas em arquivos American Standard Code
for Information Interchange (ASCII) ou em um banco de dados compatível com Open
Data Base Connectivity (ODBC).
De acordo com a Microsoft (2003), “Os logs podem incluir informações como,
por exemplo, quem visitou o site, o que o visitante viu e quando as informações
foram exibidas pela última vez”.
4.8.3.1 Habilitando o log
Escolhe-se um formato e habilita-se o log para sites da Web e FTP
individuais. Após habilitá-lo, todo o tráfego para o site é registrado no arquivo
correspondente para cada site.
4.8.3.2 Personalizando o log estendido do W3C
Quando usado, poderá ser personalizado selecionando as propriedades que
se deseja registrar. Também pode limitar dados irrelevantes e reduzir o tamanho do
arquivo de log omitindo propriedades dispensáveis. A seguir, as propriedades
estendidas disponíveis na versão do IIS 6.0.
Endereço IP do cliente: O endereço IP do cliente que acessou o servidor.
Nome de usuário: O nome do usuário que acessou o servidor.
Nome de serviço: O serviço de Internet que estava sendo executado no
computador do cliente.
Nome de servidor: Nome do servidor em que a entrada de log foi gerada.
IP de servidor: O endereço IP do servidor em que a entrada de log foi
gerada.
Porta do servidor: O número da porta à qual o cliente está conectado.
Método: A ação que o cliente estava tentando executar (por exemplo, um
comando GET).
URI Stem: O recurso acessado, por exemplo, uma página HTML, um
programa CGI ou um script.
85
URI Query: A consulta, se houver, que o cliente estava tentando executar.
Uma ou mais seqüências de caracteres de pesquisa das quais o cliente
buscava correspondências são registradas no log.
Status do protocolo: O status da ação, nos termos empregados pelo
HTTP.
Status do Win32®: O status da ação, nos termos empregados pelo
Windows.
Bytes enviados: O número de bytes enviados pelo servidor.
Bytes recebidos: O número de bytes recebidos pelo servidor.
Tempo decorrido: O intervalo de tempo decorrido para a ação.
Versão do protocolo: A versão do protocolo (HTTP, FTP) utilizada pelo
cliente. No caso do HTTP, será HTTP 1.0 ou HTTP 1.1.
Host: O nome do computador.
Agente de usuário: O navegador utilizado no cliente.
Cookie: O conteúdo do cookie enviado ou recebido se houver.
Referencial: O site que direcionou o usuário para o site atual.
Substatus de protocolo: Status adicional da ação, nos termos
empregados pelo HTTP (MICROSOFT, 2003).
4.8.3.3 Salvando arquivos de log
O diretório em que serão salvos os arquivos de log pode ser especificado e
pode-se determinar quando novos arquivos de log serão iniciados.
Deve-se definir o controle de acesso adequado no diretório de arquivos de log
para proteger os dados registrados. É mais seguro permitir o acesso ao diretório de
arquivos de log somente para o administrador e para o grupo IIS_WPG.
4.8.3.4 Convertendo arquivos de log em formato NCSA
O formato comum do National Center for Supercomputing Applications
(NCSA) é padronizado e de uso comum. O utilitário convlog:
- Converte os arquivos de log do servidor Web em formato de arquivo de log
comum do NCSA;
- pode substituir endereços IP por nomes do sistema de nomes de domínios
durante a conversão dos arquivos de log com formato do IIS e estendido do World
Wide Web Consortium (W3C) para o formato comum do NCSA;
- pode ser usado para substituir endereços IP por nomes DNS dentro de um
arquivo de log comum do NCSA e;
- pode ser usado para converter diferenças de fuso horário.
4.8.3.5 Log binário centralizado
86
É o processo por meio do quais vários sites da Web inserem dados de log
binários sem formatação em um único arquivo de log. Quando habilitado, todos os
sites no servidor Web que executam o IIS inserem dados de log em um único
arquivo de log, o que preserva os recursos de memória. Normalmente, a maior parte
dos métodos de log cria um arquivo de log por site, o que pode consumir
rapidamente valiosos recursos de CPU e memória nos servidores que executam o
IIS, gerando problemas de desempenho.
Segundo Microsoft (2003), “O log binário centralizado é uma propriedade do
servidor, e não do site. [...]. Depois que esse tipo de log é habilitado no servidor que
executa o IIS, você não pode configurar a criação de log em outro formato para sites
específicos”.
4.8.3.6 Módulos de log personalizados
O IIS oferece suporte para módulos de log personalizados, ou objetos de
modelo de objeto componente (COM), que implementam a interface
ILogPlugin ou ILogPluginEx. Os desenvolvedores e administradores de
sistema implementam módulos de log personalizados quando criam seus
próprios formatos de arquivos de log ou quando manipulam dados de log.
Quando a identificação global exclusiva (GUID) deste objeto COM é
especificada na propriedade LogPluginClsid da metabase, o IIS instancia o
módulo de log personalizado e usa seus métodos para registrar as entradas
de log (MICROSOFT, 2003).
4.8.3.7 Log remoto
O Log remoto permite que você estabeleça armazenamento e backup de
arquivos de log centralizados, mas são mais lento que os métodos de log padrão,
pois grava o arquivo de log pela rede, o que pode provocar queda de desempenho.
O HTTP.sys publica um erro no log de eventos do Windows NT, caso o
proprietário do diretório ou do arquivo não esteja no grupo de administradores local.
Suspende a gravação no log para o site até que o proprietário seja desse grupo, ou
até que o diretório ou arquivo de log existente seja excluído. Para evitar esse erro,
basta permitir que o HTTP.sys crie diretórios de arquivos de log e arquivos de log.
É altamente recomendável a ativação da segurança do protocolo Internet
(IPSec), entre o servidor web que executa o IIS e o servidor remoto, antes
de configurar o log remoto. O IPSec é uma estrutura de padrões abertos
destinada a assegurar comunicações privadas seguras em redes com o
protocolo Internet (IP) por meio da utilização de serviços de segurança
87
criptográficos. Se o IPSec não estiver habilitado entre o servidor web que
executa o IIS e o servidor remoto, os pacotes de dados que contiverem
dados de log correrão risco potencial de interceptação por indivíduos e
aplicativos de captura de informações invasivos enquanto trafegam pela
rede (MICROSOFT, 2003).
4.8.3.8 Códigos de erro em arquivos de log
Para diminuir os ataques do IIS, as mensagens de erro personalizadas não
retornam o conteúdo específico da mensagem de erro para computadores de
clientes remotos. Quando a mensagem contém muitas informações sobre o servidor
Web principal e uma explicação do motivo pelo qual uma determinada solicitação
não foi executada, indivíduos mal-intencionados podem usar essas informações
para atacar o servidor Web. Por isso, um código de erro como 404.2 retorna para o
computador do cliente como 404, não dando pistas, para o cliente remoto, que pode
estar mal intencionado, do motivo pelo qual uma solicitação falhou.
4.8.4 Metabase do IIS
A metabase é um depósito para a maioria dos valores de configuração do
IIS (Serviços de Informações da Internet). A metabase é um arquivo de
configuração .XML de texto sem formatação que pode ser editado
manualmente ou programaticamente. Ela também pode ser estendida de
modo altamente eficiente. À medida que a implantação do IIS cresce, o
mesmo acontece com a metabase; porém, usando um modelo de herança,
é possível evitar declarações explícitas de valores duplicados, o que reduz
a sobrecarga quando é necessário ler valores de configuração a partir da
metabase (MICROFOT, 2003).
4.8.4.1 Estrutura
De acordo com a Microsoft (2003), “O IIS (Serviços de Informações da
Internet) armazena a configuração e o esquema da metabase em arquivos de
formato XML com texto sem formatação, ao contrário das versões anteriores do IIS
que usavam um único arquivo binário”.
4.8.4.2 Segurança
Os arquivos da metabase devem ser protegidos a qualquer custo. Uma
instalação padrão do IIS garante a segurança da metabase definindo
entradas de controle de acesso (ACEs) estrito nos arquivos da metabase e
criptografando dados confidenciais dentro dos arquivos (uma lista de
controle de acesso [ACL] contém ACEs). Se você mantiver esse nível de
88
segurança, fizer backups periódicos, usar uma senha de administrador de
alta segurança e limitar o número de usuários que possuem credenciais
administrativas, estará tomando as precauções adequadas para proteger os
arquivos da metabase (MICROSOFT, 2003).
4.8.4.3 Backup
Criar backups da metabase é uma parte vital da manutenção da
confiabilidade da metabase. A capacidade de criar arquivos de backup da
metabase e de restaurá-la usando esses arquivos foi aperfeiçoada no IIS
6.0, pois agora é possível restaurar o backup em outros computadores se o
backup de segurança tiver sido escolhido. Os backups da metabase são
criados automaticamente pelo IIS, e eles podem ser criados por demanda
por um administrador do IIS, usando o Gerenciador do IIS. Todos os
backups, independentemente de como foram criados, são armazenados
juntos e exibidos juntos no Gerenciador do IIS.
Não existe suporte para a restauração de backups de versões anteriores do
IIS. Depois de instalar o IIS 6.0 ou atualizar para o IIS 6.0, é recomendável
fazer o backup da metabase assim que for possível, a fim de preservar os
dados de configuração (MICROSOFT, 2003).
4.8.4.4 Importação e Exportação
O recurso de importação e exportação da metabase permite que os
administradores criem um arquivo de exportação, nomeado MetaBase.xml
por padrão, que contém elementos especificamente selecionados de um
arquivo de configuração da metabase. Esse arquivo de exportação pode,
depois, ser importado para o arquivo de configuração da metabase do
mesmo computador ou para outro computador que esteja executando um
membro da família Microsoft Windows Server 2003.
[...]
A exportação da metabase não substitui a funcionalidade do backup da
metabase, pois as propriedades criptografadas não são incluídas. O backup
da metabase é usado para criar arquivos de backup da configuração e do
esquema integrais da metabase, que só podem ser restaurados em sua
totalidade, inclusive com as propriedades criptografadas. A exportação da
metabase não pode ser usada para exportar o esquema da metabase
(MICROSOFT, 2003).
4.8.5 Ajuste de desempenho
Ajustar o servidor da Web e melhorar o desempenho permite que você
maximize a taxa de transferência e para minimizar o tempo de resposta do
aplicativo da Web, que cria uma melhor experiência para clientes que
tentam acessar o servidor Web [...]. O ajuste ajuda a evitar afunilamentos e
pode ajudar a ampliar o tempo entre as atualizações de hardware
(MICROSOFT, 2003).
4.8.5.1 Desempenho e Segurança
Uma questão importantíssima em um servidor web é o equilíbrio entre o
desempenho do servidor e a implementação de segurança.
89
De acordo com a Microsoft (2003), “As comunicações da Web seguras
exigem mais recursos [...], portanto é importante saber quando usar diversas
técnicas de segurança”.
Um site web seguro com SSL implementado, por exemplo, leva cinco vezes
mais tempo para conexão inicial do que um site web não seguro. De acordo com a
Microsoft “o tempo limite padrão para o cache da sessão SSL foi alterado para cinco
minutos no Microsoft Windows 2000 e em versões posteriores. Depois que esses
dados são excluídos ou "liberados" do cache, o cliente e o servidor precisam
estabelecer uma conexão completamente nova”.
A autenticação, os certificados, o SSL e a criptografia são recursos de
segurança que exige processamento significativo e, portanto o uso destes recursos
deverá ser equilibrado com o desempenho desejado.
É necessário definir com clareza quais páginas do site web deverá ter
segurança implementada e qual tipo de segurança será utilizada.
4.9 Política de Controle de acesso
Os ativos identificados estão condicionados ao escopo do projeto, abragendo
servidores de páginas intranet das filiais regionais da CEF.
4.9.1 Ambiente centralizado (grande porte)
4.9.1.1 Ambiente mainframe IBM
-
2 equipamentos modelo 2094 737 e 1 modelo 2094 708 com poder de
processamento de 4.232 milhões de unidades de serviços por segundos (MSU) e
30.816 milhões de instruções por segundos (MIPS), localizados na cidade de
Brasília/DF;
-
1 equipamento modelo 2064 733 com poder de processamento de
1.691 milhões de unidades de serviços por segundos (MSU) e 12.273 milhões de
instruções por segundos (MIPS), localizado na cidade do Rio de Janeiro/RJ; e
-
1 equipamento modelo 2094 731 com poder de processamento de
1.609 milhões de unidades de serviços por segundo (MSU) e 11.677 milhões de
instruções por segundos (MIPS), localizado na cidade de São Paulo/SP.
90
4.9.1.2 Ambiente SUN
-
1
equipamento
modelo
E10000
com
64
processadores,
3
equipamentos modelos F15000 com 72 processadores cada, 1 equipamento modelo
E6500 com 8 processadores e 54 servidores SUN de menor porte, localizados na
cidade de Brasília/DF;
-
1 equipamento modelo E10000 com 64 processadores, 1 equipamento
modelo F15000 com 32 processadores e 20 servidores SUN de menor porte,
localizados na cidade do Rio de Janeiro/RJ; e
-
3 equipamentos modelo E10000 com 64 processadores e 43
servidores SUN de menor porte, localizados na cidade de São Paulo/SP.
4.9.1.3 Ambiente x86
-
369 Servidores localizado na cidade de Brasília/DF;
-
110 Servidores localizado na cidade do Rio de Janeiro/RJ; e
-
218 Servidores localizado na cidade de São Paulo/SP.
4.9.1.4 Storage em disco
-
46.000 GB de disco fornecido pela International Business Machines
(IBM) e 20.237 GB de disco fornecido pela Hitachi Data Systems (HDS), localizado
na cidade de Brasília/DF;
-
20.736 GB de disco fornecido pela IBM, 31.198 GB fornecido pela EMC
Corporation e 16.704 GB de disco fornecido pela Hitachi Data Systems (HDS),
localizado na cidade do Rio de Janeiro/RJ; e
-
13.248 GB de disco fornecido pela IBM, 35.765 GB fornecido pela EMC
Corporation e 6.780 GB de disco fornecido pela Hitachi Data Systems (HDS),
localizado na cidade de São Paulo/SP.
4.9.1.5 Storage em fita
-
5 silos robóticos, 21.180 GB de mídias 9840 e 75.684 GB de mídias
3490, localizado na cidade de Brasília/DF;
-
4 silos robóticos, 12.340 GB de mídias 9840 e 129.370 GB de mídias
3490, localizado na cidade do Rio de Janeiro/RJ; e
91
5 silos robóticos, 11.766 GB de mídias 9840 e 130.731 GB de mídias
3490, localizado na cidade de São Paulo/SP.
4.9.2 Ambiente descentralizado (baixa plataforma)
-
14 servidores controladores de domínio que gerencia 259.389 objetos;
-
6.535 servidores com SGBD SQL;
-
1.556 servidores member server que disponibilizam serviços de rede
como DNS, WINS, correio, aplicativos legados, etc.;
-
129.092 estações de trabalho (computadores desktop) e 3.315
notebooks, distribuído na rede da CEF que utilizam os sistemas e os recursos
disponibilizados por cada área sendo a gerência regional de tecnologia responsável
por estes computadores em seu âmbito de atuação;
-
16.676 estações financeiras (computadores desktop para automação
bancária);
-
18.179 impressoras;
-
1.208 cofres eletrônicos;
-
16.430 equipamentos de auto-atendimento;
-
23.175 equipamentos lotéricos; e
-
2.678 salas 24 horas.
4.9.2.1 Servidores que disponibilizam serviços voltados para intranet
573 servidores que disponibilizam serviços voltados para intranet, assim
distribuídos por todo o território nacional:
-
9 servidores em Belém/PA;
-
51 servidores em Belo Horizonte/MG;
-
218 servidores em Brasília/DF;
-
15 servidores em Bauru/SP;
-
11 servidores em Campo Grande/MS;
-
4 servidores em Campinas/SP;
-
14 servidores em Curitiba/PR;
-
10 servidores em Florianópolis/SC;
-
13 servidores em Fortaleza/CE;
-
14 servidores em Goiânia/GO;
92
-
5 servidores Manaus/AM;
-
30 servidores em Porto Alegre/RS;
-
79 servidores em Recife/PE;
-
31 servidores em Rio de Janeiro/RJ;
-
21 servidores em Salvador/BA;
-
38 servidores em São Paulo/SP; e
-
10 servidores em Vitória/ES.
Todos os servidores atendem os requisitos mínimos de hardware descrito no
item 4.7.4, tabela 1, não havendo necessidade de atualização (upgrade) para
instalação do Windows Server 2003 Web Edition.
4.9.3 Ambiente de telecomunicações
Conjunto de ativos tecnológicos instalados nos diversos ambientes da CEF, e
que sustentam a rede de comunicação da empresa.
-
2.544 roteadores;
-
4.853 switch;
-
4.508 hub;
-
5 links de comunicação de 1.2 kilobits por segundo (Kbps);
-
11 links de comunicação de 2.4 kilobits por segundo (Kbps);
-
1 link de comunicação de 4.8 kilobits por segundo (Kbps);
-
5 links de comunicação de 9.6 kilobits por segundo (Kbps);
-
2 links de comunicação de 14.4 kilobits por segundo (Kbps);
-
9 links de comunicação de 19.2 kilobits por segundo (Kbps);
-
7 links de comunicação de 28.8 kilobits por segundo (Kbps);
-
8 links de comunicação de 33.6 kilobits por segundo (Kbps);
-
59 links de comunicação de 64 kilobits por segundo (Kbps);
-
1.161 links de comunicação de 128 kilobits por segundo (Kbps);
-
1.426 links de comunicação de 256 kilobits por segundo (Kbps);
-
346 links de comunicação de 512 kilobits por segundo (Kbps);
-
78 links de comunicação de 1.024 kilobits por segundo (Kbps);
-
103 links de comunicação de 2.048 kilobits por segundo (Kbps);
-
7 links de comunicação de 10.240 kilobits por segundo (Kbps);
-
7 links de comunicação de 34.816 kilobits por segundo (Kbps); e
93
-
3 links de comunicação de 158.720 kilobits por segundo (Kbps).
4.9.4 Ambiente de telefonia
-
2.295 PABX com capacidade de 46.816 troncos e 110.416 ramais.
4.9.5 Recursos humanos
-
70.885 empregados;
-
23.930 prestadores de serviços; e
-
5.735 estagiários.
4.10 Análise de Riscos e Vulnerabilidades
O propósito da análise de risco foi identificar e mensurar os critérios de risco
de controle de acesso e determinar o grau de importância de cada item avaliado
para os negócios da empresa.
Esta etapa tem como objetivo comparar os itens relevantes relacionados na
ABNT 17799:2005 e normativos interno da empresa que estão abaixo relacionados:
- Política de controle de acesso;
- Gerenciamento de acesso de usuário;
- Responsabilidades dos usuários e
- Controle de acesso a rede.
4.10.1 Avaliação de Risco
Os riscos da empresa CEF quanto à segurança da informação foram
avaliados por meio de aplicação de matriz de risco para identificar as
vulnerabilidades e fazer um mapeamento dos pontos mais críticos, visando adequar
as falhas levantadas às práticas sugeridas pela ABNT 17799:2005 e também às
normas internas da empresa. Para tanto, demonstra-se a seguir as matrizes de risco
referentes à cada item avaliado (Tabelas de 3 a 8).
94
Tabela 3 – Matriz de Risco – Política de Controle de Acesso
1. Política de Controle de Acesso
Pontuação
Importância
do item
(peso)
Adequação
do item na
empresa
% de
atendimento à
ideal obtida norma
Risco
Item
Aspectos
1.1
Existe uma política de controle de ambiente de
computação?
3
10
30
30
100,00% Baixo
1.2
Há identificação de todas as informações
relacionadas às aplicações de negócio e os riscos a
que as informações estão expostas?
2
8
20
16
80,00% Baixo
1.3
1.4
Há consistência entre controle de acesso e políticas
de classificação da informação em diferentes
sistemas e redes?
Existe administração de direitos de acesso?
2
3
7
9
20
30
14
27
70,00% Médio
90,00% Baixo
1.5
Existe segregação de regras de controle de acesso?
3
7
30
21
70,00% Médio
1.6
Foram definidos requisitos para autorização formal
de pedidos de acesso?
1
10
10
10
100,00% Baixo
2
9
85,00%
20
18
90,00% Baixo
1.7
É realizada análise crítica períodica de controles de
acesso?
Situação parcial
Tabela 4 – Matriz de Risco – Gerenciamento de acesso de usuário
2. Gerenciamento de acesso de usuário
Pontuação
Importância
do item
(peso)
Adequação
do item na
empresa
% de
atendimento à
ideal obtida norma
Risco
Item
Aspectos
2.1
Existe identificador de usuário (ID de usuário) único
para assegurar a responsabilidade de casa usuário?
3
10
30
30
100,00% Baixo
2.2
Existe identificador de usuário (ID de usuário)
compartilhado por dois ou mais usuários?
1
10
10
10
100,00% Baixo
2.3
Ao se conceder um nível de acesso é analisado se
este nível de acesso é apropriado às atribuições
diárias do usuário?
2
10
20
20
100,00% Baixo
2.4
Os usuários recebem uma declaração por escrito
dos seus direitos de acesso?
1
8
10
8
80,00% Baixo
2.5
É requerida dos usuários a assinatura de uma
declaração indicando que eles entendem as
condições de acesso?
2
8
20
16
80,00% Baixo
2.6
É mantido um registro formal de todas as pessoas
registradas para usar o serviço?
1
10
10
10
100,00% Baixo
2.7
Existe bloqueio imediato de direitos de acesso de
usuários que mudaram de cargos ou funções, ou
deixaram a organização?
3
5
30
15
50,00% Médio
2.8
Existe análise periódica para remover ou bloquear
identificadores (ID) e contas de usuários
redundantes?
2
8
20
16
80,00% Baixo
3
10
86,11%
30
30
100,00% Baixo
2.9
Existe o fornecimento de um identificador (ID) para
mais de um usuário?
Situação parcial
95
Tabela 5 – Matriz de Risco – Responsabilidades dos usuários
3. Responsabilidades dos usuários
Pontuação
Item
Importância
do item
(peso)
Adequação
do item na
empresa
% de
atendimento à
ideal obtida norma
Risco
3.1
Aspectos
Existe uma política de senha na empresa?
3
10
30
30
100,00% Baixo
3.2
Os usuários são informados sobre a política de
senha da empresa?
3
10
30
30
100,00% Baixo
3.3
Os usuários assinam uma declaração, para manter a
confidencialidade de sua senha pessoal e das
senhas de grupos de trabalhos?
3
8
30
24
80,00% Baixo
3.4
Qual é o procedimento adotado para alteração de
senha e qual é a periodicidade? (ciclo de vida de
senha, reutilização e tamanho)?
3
10
30
30
100,00% Baixo
3.5
De que forma são armazenadas as senhas dos
usuários?
3
9
30
27
90,00% Baixo
3.6
Senhas padrão são alteradas no primeiro logon do
usuário?
3
10
30
30
100,00% Baixo
3
10
95,71%
30
30
100,00% Baixo
3.7
Existem controles para impor o cumprimento das
políticas de senha nos diversos tipos de contas?
Situação parcial
Tabela 6 – Matriz de Risco – Controle de acesso à rede
4. Controle de acesso a rede
Pontuação
Importância
do item
(peso)
Adequação
do item na
empresa
% de
atendimento à
ideal obtida norma
Risco
Item
Aspectos
4.1
Existe uma política de uso dos serviços de redes?
3
10
30
30
100,00% Baixo
4.2
A própria empresa gerencia o ambiente de rede ou
terceiriza este serviço?
2
5
20
10
50,00% Médio
4.3
São usadas contas de logon separadas para
atividade normal versus atividades administrativas de
gerenciamento?
2
10
20
20
100,00% Baixo
4.4
A empresa concede acesso administrativo a usuários
para suas estações de trabalho?
2
4
20
8
40,00% Alto
4.5
Usuários externos acessam a rede? Qual é a forma
de autenticação?
3
10
30
30
100,00% Baixo
4.6
Existe firewalls ou outros controles de acesso de
nível de rede nas fronteiras da rede para proteger os
recursos corporativos?
3
10
30
30
100,00% Baixo
4.7
Existem serviços abertos à internet na rede interna
da empresa? Como é controlado o acesso destes
serviços?
3
10
30
30
100,00% Baixo
3
10
89,52%
30
30
100,00% Baixo
4.8
Existe hardware ou software de detecção de
intrusões para identificar ataques?
Situação parcial
96
Tabela 7 – Matriz de Risco – Política de segurança para servidores que disponibilizam serviços
voltados para intranet
Item
5. Política de segurança para servidores que disponibilizam serviços voltados para intranet
Pontuação
Importância Adequação
% de
do item
do item na
atendimento à
(peso)
empresa
ideal obtida norma
Risco
Aspectos
5.1
Existe política de segurança física nas gerências
regional de suporte tecnológico?
3
10
30
30
100,00% Baixo
5.2
Existe um aviso no sistema operacional, informando
que o servidor é acessado apenas por pessoas
autorizadas?
2
10
20
20
100,00% Baixo
5.3
Existe política para configuração dos parâmetros de
diretivas de conta?
2
0
20
0
0,00% Alto
5.4
Existe política para configuração dos parâmetros de
diretiva de auditoria?
2
0
20
0
0,00% Alto
5.5
Existe política para configuração dos parâmetros de
atribuições de direitos de usuário?
3
0
30
0
0,00% Alto
5.6
Existe política para configuração dos parâmetros de
opções de segurança?
2
0
20
0
0,00% Alto
5.7
Existe implementação de criptografia para
armazenar informações sigilosas?
3
0
30
0
0,00% Alto
5.8
Existe implementação de uso de certificado de
aplicação?
2
0
20
0
0,00% Alto
5.9
Existe controle de instalação das atualizações de
segurança disponibilizado pelo fornecedor do
sistema operacional?
2
0
20
0
0,00% Alto
5.10
Existe controle dos serviços essenciais que deverão
está em execução nos servidores?
2
0
20
0
0,00% Alto
5.11
Existe controle dos serviços que não deverão está
em execução nos servidores?
2
0
20
0
0,00% Alto
5.12
Existe um padrão de configuração do serviço Internet
Information Services (IIS)?
2
4
20
8
40,00% Alto
2
4
22,76%
20
8
40,00% Alto
Como é efetuada a publicação dos sites nos
servidores intranet?
Situação parcial
5.13
Tabela 8 – Legenda
6. Legenda
% de atendimento a norma
Importância do item (peso)
Adequação na empresa
Rísco
17799:2005 e normas interna
0
Ausência de adequação
1
Pouco importante
1a4
Presença de adequação
0 a 39%
Ruim
Alto
2
Importante
5a7
Adequação parcial
40% a 70%
Regular
Médio
3
Muito importante
8 a 10
Adequação total
71% a 100%
Bom
Baixo
97
4.10.2 Resultado da avaliação de risco
Obteve-se, com a aplicação da matriz de risco, a identificação dos aspectos
de controle de acesso de acordo com a ABNT 17799:2005 e seus respectivos riscos
(alto ou médio ou baixo). Comentou-se os resultados dessa avaliação, com a
numeração apresentada na matriz de risco, nos subitens que seguem.
4.10.2.1 Política de controle de acesso
Observou-se acerca da Política de controle de acesso, conforme demonstra a
tabela 3, que os itens “consistência entre controle de acesso e políticas de
classificação” e “segregação de regras de controle de acesso” apresentam parcial
adequação à norma. Isto em virtude da inadequada aplicação da política
normarizada pela empresa sob estudo (CEF).
No que tange aos demais itens da referida política, notou-se a total
adequação à norma.
4.10.2.2 Gerenciamento de acesso de usuário
A avaliação representada na tabela 4, referente ao Gerenciamento de acesso
de usuário, resultou nas seguintes considerações: O item “bloqueio imediato de
direitos de acesso de usuários que mudaram de cargos ou função, ou deixaram a
organização” apresentou presença parcial de adequação à norma, pois, apesar de já
existir uma política normatizada não é aplicada adequadamente.
Os demais itens apresentaram adequação à norma.
4.10.2.3 Responsabilidades dos usuários
No que tange à Responsabilidade dos usuários (tabela 5), o resultado obtido
foi de que todos os itens analisados apresentaram adequação à norma.
4.10.2.4 Controle de acesso à rede
No estudo do Controle de acesso à rede (tabela 6), notou-se que o item “a
empresa concede acesso administrativos a usuários para suas estações de
98
trabalho” não apresentou adequação à norma, porque existem várias estações de
trabalho que contém um ou mais usuários de rede como administradores locais da
estação.
Por outro lado, o item “a própria empresa gerencia o ambiente de rede ou
terceiriza este serviço” apresentou presença parcial de adequação à norma, pois,
apesar de ser a própria empresa que gerencia o ambiente de rede, existem
terceirizados que também exercem esta atividade.
Enfim, Os demais itens analisados no controle de acesso à rede
apresentaram adequação total à norma.
4.10.2.5 Política de segurança para servidores que disponibilizam serviços voltados
para intranet
Do estudo desta última matriz (tabela 7) inferiu-se que os itens “existe política
de segurança física nas gerências regional de suporte tecnológico” e “aviso no
sistema operacional informando que o servidor é acessado apenas por pessoas
autorizadas” apresentaram total adequação à norma.
Ao passo que os demais itens não apresentaram adequação à norma.
4.11 Soluções e recomendações
Nesta etapa do trabalho destinou-se a propor soluções para os itens que
apresentaram riscos classificados como alto e médio, ou seja, não indicaram
adequação à norma ABNT 17799:2005 ou indicaram de modo parcial. São os itens
referentes às tabelas 3, 4 e 6.
Nos casos das tabelas 1, 2 e 5, que apresentaram riscos classificados como
baixo, não serão apresentadas propostas de melhoria, em virtude do grau de
adequação à norma ser satisfatório ou sua importância muito baixa.
4.11.1 Política de controle de acesso
Tendo em vista que já existe normativo interno para consistência entre
controle de acesso e políticas de classificação da informação em diferentes sistemas
99
e redes, sugere-se a divulgação deste em toda empresa e o cumprimento do que foi
definido.
Há necessidade também de identificar as informações relacionadas às
aplicações de negócios e os riscos a que estão expostas, classificando-os e
disponibilizando-os corretamente em todos os segmentos da empresa.
4.11.2 Gerenciamento de acesso de usuário
Há necessidade de implementar uma rotina de remoção ou bloqueio imediato
de acesso de usuários que mudaram de cargo, função ou deixaram a organização.
4.11.3 Controle de acesso à rede
Recomenda-se que o ambiente de rede seja gerenciado apenas por
empregado da CEF e que seja implementada uma rotina para garantir o
cumprimento da norma que regulamenta o acesso administrativo a usuários, em
suas estações de trabalho.
4.12 Política de segurança para servidores que disponibilizam
serviços voltados para intranet
Importa tratar de modo distinto, as propostas para a tabela 7. Elas são
apresentadas em tópicos específicos de acordo com o conhecimento adquirido no
decorrer do curso e referencial teórico exposto ao logo do projeto.
Todos os subitens a seguir relacionados foram obtidos a partir das
orientações emitidas pela Microsoft Corporation.
4.12.1 Configurações do Servidor
4.12.1.1 Requisitos de Hardware
Os hardwares que serão utilizados para instalação do sistema operacional
Windows Server 2003 Web Edition deverão possuir os recursos mínimos descrito no
item 4.7.4.
100
4.12.1.2 Arquivos de log
Os arquivos de logs deverão ser configurados com os seguintes parâmetros
(figura 14):
- Application: 131072, overwrite as needed
- Security: 131072, overwrite as needed
- System: 131072, overwrite as needed
Figura 14 – Configuração do arquivo de log Security.
FONTE: Windows Server 2003 Web Edition
4.12.1.3 Serviço de Indexação
Todos os diretórios contidos na partição de sistema no serviço de indexação
(Indexing service) deverão ser apagados (figura 15).
101
Figura 15 – Exclusão dos diretórios da partição sistema no serviço de indexação
FONTE: Windows Server 2003 Web Edition
4.12.1.4 Proteção de tela
A proteção de tela deverá se configurado para no máximo 10 minutos e o
desbloqueio deverá ser por meio de senha.
4.12.1.5 Usuários administrator e guest
Os usuários locais administrator e guest e suas descrições deverão ser
renomeados. Deve-se criar um novo usuário com o mesmo nome e descrição
usando uma senha forte.
4.12.1.6 Política de segurança local
4.12.1.6.1 Senha
Os parâmetros de conta local deverão ser configurados conforme tabela 9:
Tabela 9 – Configurações de senha para conta
Policy
Enforce password history
Maximum password age
Minimum password age
Minimum password length
Passwords must meet complexity requirements
Store password using reversible encryption for all users in the domain
Account lockout duration
Account lockout threshold
Reset account lockout counter after
Local Setting
24 passwords remembered
45 days
5 days
8 characters
Enabled
Disabled
60 minutes
5 invalid logon attempts
60 minutes
102
4.12.1.6.2 Auditoria
Os parâmetros de auditoria deverão ser configurados conforme tabela 10:
Tabela 10 – Configurações de auditoria
Policy
Audit account logon events
Audit account management
Audit directory service access
Audit logon events
Audit object access
Audit policy change
Audit privilege use
Audit process tracking
Audit system events
Local Setting
Success, Failure
Success, Failure
Failure
Success, Failure
Failure
Success, Failure
Failure
No auditing
Success, Failure
4.12.1.6.3 Atribuições de direitos do usuário
As atribuições de direitos do usuário (User Rights Assignment) concedem
direitos ou privilégios de logon aos usuários ou grupos nos computadores de sua
organização. Um exemplo de direito de logon é o direito de fazer logon em um
computador interativamente. Um exemplo de privilégio é o direito de desligar o
computador. Ambos os tipos são atribuídos pelos administradores a usuários
individuais ou a grupos como parte das configurações de segurança do computador.
As atribuições de direitos do usuário deverão ser configuradas conforme
tabela 11:
Tabela 11 – Atribuições de direito do usuário
Policy
Access this computer from the network
Act as part of the operating system
Add workstations to domain
Adjust memory quotas for a process
Allow log on locally
Allow log on through Terminal Services
Local Setting
Administrators
Authenticated Users
Backup Operators
ASPNET
IWAM_”Computername”
IUSR_”Computername”
Administrators
LOCAL SERVICE
NETWORK SERVICE
IWAM_”Computername”
Administrators
Backup Operators
IUSR_”Computername”
Administrators
103
Back up files and directories
Bypass traverse checking
Change the system time
Create a pagefile
Create a token object
Create permanent shared objects
Debug programs
Deny access to this computer from the network
Deny log on as a batch job
Deny log on as a service
Deny log on locally
Deny log on through Terminal Services
Enable computer and user accounts to be trusted for delegation
Force shutdown from a remote system
Generate security audits
Increase scheduling priority
Load and unload device drivers
Lock pages in memory
Log on as a batch job
Log on as a service
Manage auditing and security log
Modify firmware environment values
Perform volume maintenance tasks
Profile single process
Profile system performance
Remove computer from docking station
Replace a process level token
Restore files and directories
Shut down the system
Synchronize directory service data
Take ownership of files or other objects
REMOVE Remote Desktop Users
Administrators
Backup Operators
Server Operators
Administrators
Authenticated Users
Backup Operators
Users
Administrators
Administrators
Administrators
SUPPORT_388945a0
SUPPORT_388945a0
Not Defined
Administrators
Administrators
Server Operators
LOCAL SERVICE
NETWORK SERVICE
Administrators
Administrators
Print Operators
LOCAL SERVICE
SUPPORT_388945a0
ASPNET
IWAM_”Computername”
IUSR_”Computername”
IIS_WPG
NETWORK SERVICE
ASPNET
Administrators
Administrators
Not Defined
Administrators
Administrators
Administrators
LOCAL SERVICE
NETWORK SERVICE
Administrators
Backup Operators
Server Operators
Administrators
Backup Operators
Administrators
104
4.12.1.6.4 Opções de segurança
As opções de segurança deverão ser configuradas conforme demonstra a
tabela 12.
Nem todos os itens relacionados nesta tabela existem em todos os servidores
uma vez que estão relacionados aos recursos instalados.
Tabela 12 – Opções de segurança
Policy
Accounts: Administrator account status
Accounts: Guest account status
Accounts: Limit local account use of blank
passwords to console logon only
Accounts: Rename administrator account
Accounts: Rename guest account
Audit: Audit the access of global system
objects
Audit: Audit the use of Backup and Restore
privilege
Audit: Shut down the system immediately if
unable to log security audits
Devices: Allow undock without having to log
on
Devices: Allowed to format and eject
removable media
Devices: Prevent users from installing printer
drivers
Devices: Restrict CD-ROM access to locally
logged-on user only
Devices: Restrict floppy access to locally
logged-on user only
Devices: Unsigned driver installation behavior
Domain controller: Allow server operators to
schedule tasks
Domain controller: LDAP server signing
requirements
Domain controller: Refuse machine account
password changes
Domain member: Digitally encrypt or sign
secure channel data (always)
Domain member: Digitally encrypt secure
channel data (when possible)
Domain member: Digitally sign secure channel
data (when possible)
Domain member: Disable machine account
password changes
Domain member: Maximum machine account
password age
Local Setting
Enabled
Disabled
Enabled
Alterar para o novo usuário (subitem 4.12.1.5).
Alterar para o novo usuário (subitem 4.12.1.5).
Disabled
Disabled
Disabled
Disabled
Administrators
Enabled
Enabled
Enabled
Warn but allow installation
Not defined
Not defined
Not defined
Enabled
Enabled
Enabled
Disabled
30 days
105
Domain member: Require strong (Windows
2000 or later) session key
Interactive logon: Do not display last user
name
Interactive logon: Do not require
CTRL+ALT+DEL
Interactive logon: Message text for users
attempting to log on
Disabled
Interactive logon: Message title for users
attempting to log on
Interactive logon: Number of previous logons
to cache (in case domain controller is not
available)
Alerta de uso do servidor!
Interactive logon: Prompt user to change
password before expiration
Interactive logon: Require Domain Controller
authentication to unlock workstation
Interactive logon: Require smart card
Interactive logon: Smart card removal
behavior
Microsoft network client: Digitally sign
communications (always)
Microsoft network client: Digitally sign
communications (is server agrees)
Microsoft network client: Send unencrypted
password to their-party SMB servers
Microsoft network server: Amount of idle time
required before suspending session
Microsoft network server: Digitally sign
communications (always)
Microsoft network server: Digitally sign
communications (if client agrees)
Microsoft network server: Disconnect clients
when logon hours expire
Network access: Allow anonymous SID/Name
translation
Network access: Do not allow anonymous
enumeration of SAM accounts
Network access: Do not allow anonymous
enumeration of SAM accounts and shares
Network access: Do not allow storage of
credentials or .NET passports for network
authentication
14 Days
Enabled
Disabled
ATENÇÃO! Tendo acesso e usando este sistema
você está sendo monitorado. O uso sem
autorização ou mau uso deste sistema
computacional estará sujeito às penalidades
previstas em normativos internos.
0
Disabled
Disabled
Lock Workstation
Disabled
Enabled
Disabled
15 minutes
Enabled
Enabled
Disabled
Enabled
Enabled
Not Defined
Network access: Let Everyone permissions
apply to anonymous users
Network access: Named pipes that can be
accessed anonymously
Disabled
Network access: Remotely accessible registry
paths
System\CurrentControlSet\Control\ProductOptions
COMNAP, COMNODE, SQL\QUERY, SPOOLSS,
EPMAPPER, LOCATOR, TrkWks, TrkSvr
106
System\CurrentControlSet\Control\Print\Printers
System\CurrentControlSet\Control\Server
Applications
System\CurrentControlSet\Services\Eventlog
Software\Microsoft\OLAP Server
Software\Microsoft\Windows NT\CurrentVersion
System\CurrentControlSet\Control\ContentIndex
System\CurrentControlSet\Control\Terminal Server
System\CurrentControlSet\Control\Terminal
Server\UserConfig
System\CurrentControlSet\Control\Terminal
Server\DefaultUserConfiguration
Software\Microsoft\Windows
NT\CurrentVersion\Perflib
System\CurrentControlSet\Services\SysmonLog
Network access: Restrict anonymous to
named pipes and shares
Network access: Shares that can be accessed
anonymously
Network access: Sharing and security model
for local accounts
Network security: Do not store LAN Manager
hash value on next password change
Network security: Force logoff when logon
hours expire
Network security: LAN Manager authentication
level
Network security: LDAP client signing
requirements
Network security: Minimum session security
for NTLM SSP based (including secure RCP)
clients
Enabled
Network security: Minimum session security
for NTLM SSP based (including secure RCP)
servers
No minimum
Recovery console: Allow automatic
administrative logon
Recovery console: Allow floppy copy and
access to all drives and folders
Shutdown: Allow system to be shut down
without having to log on
Shutdown: Clear virtual memory pagefile
System cryptography: Force strong key
protection for user keys stored on the computer
Disabled
COMCFG, DFS$
Classic – local users authenticate as themselves
Disabled
Enabled
Send LM & NTLM – useNTLMv2 session security if
negotiated
Not Defined
No minimum
Disabled
Disabled
Disabled
Not defined
System cryptography: Use FIPS compliant
Disabled
algorithms for encryption, hashing, and signing
107
System objects: Default owner for objects
created by members of the administrators
group
Administrators group
System objects: Require case insensitivity for
non-Windows subsystems
System objects: Strengthen default
permissions of internal system objects (e.g.
Symbolic Links)
Enabled
System settings: Optional subsystems
System settings: Use Certificate Rules on
Windows Executables for Software Restriction
Policies
Clear out POSIX
Not Defined
Enabled
4.12.1.7 Configurações de registro
As seguintes chaves de registro deverão ser modificadas ou inseridas no
servidor de informações.
- Desabilitar a auto-execução para CD-ROM;
Chave: HKLM\System\CurrentControlSet\Services\CDRom
Tipo: REG_DWORD
Nome: Autorun
Valor: 0
- Configuração de proteção contra ataques SYN maliciosos (boletim Microsoft
nº. Q142641);
Chave: HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\
Nome: SynAttackProtect
Tipo: REG_DWORD
Valor: 2
- Configuração de proteção de gateway;
Chave: HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\
Nome: EnableDeadGWDetect
Tipo: REG_DWORD
Valor: 0
- Desabilitar a função de roteador em todas as placas de rede;
Chave: HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\
Interfaces\[InterfaceName]
Nome: PerformRouterDiscovery
Tipo: REG_DWORD
Valor: 0
- Desabilitar redirecionamento do protocolo ICMP (boletim Microsoft
Q225344);
Chave: HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\
Nome: EnableICMPRedirect
Tipo: REG_DWORD
Valor: 0
- Desabilitar roteamento para IP de origem;
Chave: HKLM\System\CurrentControlSet\Services\Tcpip\Parameters
Nome: DisableIPSourceRouting
Tipo: REG_DWORD
Valor: 2
108
- Configurações de tempo de conexão para o protocolo TCP/IP;
Chave: HKLM\System\CurrentControlSet\Services\Tcpip\Parameters
Nome: KeepAliveTime
Tipo: REG_DWORD
Valor: 300000
- Desabilitar resolução de nome para solicitação externa; e
Chave: HKLM\System\CurrentControlSet\Services\Tcpip\Parameters
Nome: NoNameReleaseOnDemand
Tipo: REG_DWORD
Valor: 1
- Configurações para unidade de transmissão máxima de caminho (Path
Maximum Transmission Unit - PMTU);
Chave: HKLM\System\CurrentControlSet\Services\Tcpip\Parameters
Nome: EnablePMTUDiscovery
Tipo: REG_DWORD
Valor: 0
Chave: HKLM\System\CurrentControlSet\Services\Tcpip\Parameters
Nome: TcpMaxConnectResponseRetransmissions
Tipo: REG_DWORD
Valor: 2
Chave: HKLM\System\CurrentControlSet\Services\Tcpip\Parameters
Nome: TcpMaxDataRetransmissions
Tipo: REG_DWORD
Valor: 3
Chave: HKLM\system\CurrentControlSet\Services\Tcpip\Parameters
Nome: TCPMaxPortsExhausted
Tipo: REG_DWORD
Valor: 5
Chave: HKLM\Software\Microsoft\Windows\CurrentVersion\
Policies\Explorer
Nome: NoDriveTypeAutoRun
Tipo: REG_DWORD
Valor: 0xFF
4.12.1.8 Permissões de Registro
As seguintes chaves de registro deverão ter suas permissões ajustadas
conforme descrito a seguir e não deverão utilizar o recurso de herança de
permissão, ou seja, herdar permissões das chaves superiores.
- Permissão para os grupos administrators (full control), system (full control),
creator owner (full control) e authenticated users (read) para as seguintes chaves:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AeDebug
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
109
- Permissão para os grupos administrators (full control), system (full control) e
authenticated users (read) para a seguinte chave:
HKLM\SOFTWARE\Microsoft\Rpc
4.12.1.9 Sistemas de arquivos - Access Control List (ACL)
As seguintes pastas e arquivos deverão ter suas permissões ajustadas
conforme descrito a seguir:
- C:\ e C:\program files - ajustar permissões NTFS para administrators e
system (full control) e authenticated users (read e execute).
- C:\boot.ini, C:\ntdetect.com e C:\ntddr - ajustar permissões NTFS para
administrators e system (full control) e power users (read e execute).
- %systemroot%\repair e %systemroot%\system32\config - ajustar
permissões NTFS para administrators e system (full control). Ajustar também
permissão NTFS "no access" para os usuários IUSR e IWAM.
- %systemroot%\security, %systemroot%\system32\dllcache e
%systemroot%\system32\logfiles - ajustar permissões NTFS para administrators e
system (full control).
4.12.1.10 Utilitários de linha de comando
Os utilitários de linha de comando (tabela 13), normalmente disponibilizados
em %systemroot%\system32, deverão ter suas permissões NTFS ajustadas para
administrators (full control) e "no access" para os usuários IUSR e IWAM ou
qualquer outro usuário de serviço local.
Para ambiente que necessita de altíssima segurança esses utilitários de linha
de comando deverão ser movidos de sua pasta padrão ou renomeados ou, ainda,
apagados do servidor.
Tabela 13 – Utilitários de linha de comando.
append.exe
arp.exe
bootcfg.exe
cacls.exe
chglogon.exe
chgport.exe
chkntfs.exe
choice.exe
cluster.exe
cmd.exe
convert.exe
cscript.exe
dfscmd.exe
diskcomp.com
doskey.exe
driverquery.exe
dsmod.exe
dsmove.exe
at.exe
change.exe
chgusr.exe
cipher.exe
command.com
dcpromo.exe
diskcopy.com
dsadd.exe
dsquery.exe
attrib.exe
chcp.com
chkdsk.exe
clip.exe
compact.exe
debug.exe
diskpart.exe
dsget.exe
dsrm.exe
110
edlin.exe
exe2bin.exe
findstr.exe
format.com
getmac.exe
hostname.exe
IIsCnfg.vbs
iisreset.exe
label.exe
mem.exe
mountvol.exe
net1.exe
ntbackup.exe
pagefileconfig.vbs
powercfg.exe
prnjobs.vbs
pubprn.vbs
rdpclip.exe
regini.exe
replace.exe
routemon.exe
runonce.exe
setpwd.exe
shutdown.exe
syskey.exe
tasklist.exe
tftp.exe
tlntsrv.exe
tsadmin.exe
tskill.exe
usrmgr.exe
winmsd.exe
enevttriggers.exe
expand.exe
finger.exe
freedisk.exe
gettype.exe
iInuse.exe
iisext.vbs
iisweb.vbs
logman.exe
mmc.exe
msg.exe
netsh.exe
ntdsutil.exe
pathping.exe
print.exe
prnmngr.vbs
query.exe
recover.exe
register.exe
reset.exe
router.exe
sc.exe
setx.exe
snmp.exe
systeminfo.exe
taskmgr.exe
timeout.exe
tracerpt.exe
tscon.exe
tsprof.exe
waitfor.exe
wscript.exe
eventcreate.exe
fc.exe
forcedos.exe
fsutil.exe
gpresult.exe
iisapp.vbs
IIsFtp.vbs
ipconfig.exe
logoff.exe
mode.com
nbtstat.exe
netstat.exe
ntsd.exe
ping.exe
prncnfg.vbs
prnport.vbs
rasdial.exe
reg.exe
regsvr32.exe
rexec.exe
rsh.exe
schtasks.exe
shadow.exe
snmptrap.exe
takeown.exe
telnet.exe
tlntadmn.exe
tracert.exe
tsdiscon.exe
tsshutdn.exe
where.exe
xcopy.exe
4.12.1.11 Serviços
Os seguintes serviços deverão ser desativados:
- Automatic Updates;
- Background Intelligent Transfer Service;
- Computer Browser;
- DNS Server;
- Indexing Service;
- Net Meeting Remote Desktop Sharing;
- Remote Desktop Help Session Manager;
- Secondary Logon;
- Special Administration Console Helper;
eventquery.vbs
find.exe
forfiles.exe
ftp.exe
gpupdate.exe
iisback.vbs
IisFtpdr.vbs
ipxroute.exe
makecab.exe
more.com
net.exe
nslookup.exe
os2.exe
posix.exe
prndrvr.vbs
prnqctl.vbs
rcp.exe
regedt32.exe
relog.exe
route.exe
runas.exe
secedit.exe
share.exe
subst.exe
taskkill.exe
termsrv.exe
tlntsess.exe
tree.com
tsecimp.exe
typeperf.exe
whoami.exe
111
- Themes; e
- Wireless Configuration.
Os demais serviços deverão ser analisados e permanecer ativados, porém,
em execução apenas os que forem pertinentes, levando em consideração os
serviços desempenhados pelo servidor.
4.12.1.12 Configurações do serviço de terminal
Os seguintes itens de configuração do serviço de terminal (Terminal Service)
deverão ser alterados com a execução do utilitário tscc.msc.
- Guia “general” - o nível de encriptação deverá ser alterado para alto (figura
16).
Figura 16 – Serviço de Terminal – Encryption level High
FONTE: Windows Server 2003 Web Edition
- Guia “sessions” - deverão ser efetuadas as alterações conforme
demonstra a figura 17.
112
Figura 17 – Serviço de Terminal – Configurações da guia sessions
FONTE: Windows Server 2003 Web Edition
- Guia “remote control” - deverá ser marcado o item “do not allow remote
control”, conforme demonstra a figura 18.
Figura 18 – Serviço de Terminal – Configuração da guia remote control
FONTE: Windows Server 2003 Web Edition
113
- Guia “client settings” – todas as caixas de verificação do subitem “disable
the following” deverão ser desmarcadas conforme demonstra a figura 19.
Figura 19 – Serviço de Terminal – Configuração da guia Client Settings
FONTE: Windows Server 2003 Web Edition
- Guia “Permissions” – O grupo “remote desktop users” deverá ser excluído
da lista de permissão (figura 20).
Figura 20 – Serviço de Terminal – Configuração da guia “Client Settings”
FONTE: Windows Server 2003 Web Edition
114
Ainda na guia permissions, deve-se clicar no botão “advanced” e em seguida
na guia “auditing”. Adicionar, por meio do botão “add”, o grupo “administrators” local
e ativar as caixas de verificação, conforme demonstra a figura 21.
Figura 21 – Serviço de Terminal – Configuração da guia “Client Settings”
FONTE: Windows Server 2003 Web Edition
4.12.2 Configurações do serviço de informações da intranet (IIS) 6.0
4.12.2.1 Configurações de registro específico do IIS
As seguintes chaves de registro deverão ser modificadas ou inseridas e são
específicas para servidores que disponibilizam serviço de informação (IIS).
- Ativar log de eventos para o protocolo SSL e
Chave: HKLM\System\CurrentControlSet\Control\SecurityProviders
\SChannel
Nome: EventLogging
Tipo: REG_DWORD
Valor: 3
- Desabilitar o uso de comando shell
Chave: HKLM\System\CurrentControlSet\Services\W3SVC\Parameters
Nome: SSIEnableCMDDirective
Tipo: REG_DWORD
Valor: 0
115
4.12.2.2 Localização e permissão para arquivos
Os arquivos dos sites deverão ser armazenados em partição diferente da
partição do sistema operacional, de preferência em HD exclusivo e em pastas
separadas segundo sua classificação, conforme tabela 14.
Tabela 14 – Classificação de arquivos do site.
Tipos de Arquivos
Permissão NTFS
CGI, etc. ( .EXE, .DLL, .CMD, .PL)
Everyone (X)
Administrators (Full
Control)
System (Full Control)
Script (.ASP, .JSP, .PHP, etc.)
Everyone (X)
Administrators (Full
Control)
System (Full Control)
Include ( .INC, .SHTML, .SHTM )
Everyone (X)
Administrators (Full
Control)
System (Full Control)
Static ( .HTML )
Everyone (R)
Administrators (Full
Control)
System (Full Control)
Images ( .GIF, .JPEG )
Everyone (R)
Administrators (Full
Control)
System (Full Control)
4.12.2.3 Arquivo de log do IIS
Os log dos sites deverão ser armazenados em partição exclusiva,
configurados para captura diária no formato W3C Extended e, além das opções
padrão, deverão ser ativados os itens: “service name”, “server name”, “cookie” e
“referer”, conforme demonstra a figura 22.
116
Figura 22 – Configuração do arquivo de log do IIS.
FONTE: Windows Server 2003 Web Edition
4.12.2.4 Extensões mapeadas e removidas
As extensões de arquivos relacionadas na tabela 15 são, por padrão,
mapeadas no IIS. Estas extensões deverão ser removidas para evitar possíveis
execuções de exploited.
Para tanto, acesse as propriedades do site e clique na
guia “home directory” e na seqüência no botão “configuration”
Tabela 15 – Extensões mapeadas e que deverão ser removidas.
Descrição
Extensão
.htr
Web-based password reset
.idc
Internet Database Connector
.stm, .shtm, .shtml
Server-side Includes
.printer
Internet Printing
.htw, .ida, .idq
Index Server
4.12.2.5 Extensão WebDAV
117
A extensão para o protocolo HTTP, World Wide Web Distributed Authoring
Versioning (WebDAV), deverá ser desabilitada, pois existe uma falha na forma como
ela processa um tipo específico de pedido mal formado.
Para desativar o WebDAV deve-se configurar a seguinte chave de registro:
Chave: HKLM\System\CurrentControlSet\Services\W3SVC\Parameters
Nome: DisableWebDAV
Tipo: REG_DWORD
Valor: 1
4.12.2.6 Método de autenticação
4.12.2.6.1 Autenticação do site
O método de autenticação do serviço de informações da intranet deverá levar
em conta os requisitos de segurança e classificação da informação estabelecida
pela CEF.
Uma vez que a organização usa domínios (active directory, da Microsoft), que
o acesso à rede só pode ser feito por meio de usuário e senha e que esta rede
utiliza os protocolos NTLM e kerberos, sugere-se a autenticação integrada do
Windows como método de acesso para as informações disponíveis ao público
interno.
Dependendo do grau de sigilo da informação, poderão ser utilizados outros
métodos de acesso conforme demonstra a tabela 16.
Tabela 16 – Método de autenticação de sites.
Autenticação anônima
Autenticação básica
Autenticação Digest
Autenticação Digest avançada
Autenticação integrada do Windows
Nível de
segurança
Nenhum
Baixo
Médio
Médio
Alto
Autenticação de certificado
Autenticação do Passport .NET
Alto
Alto
Método
Como as senhas são enviadas?
Texto não criptografado codificado na Base 64
Em hash
Em hash
Hash aplicado quando NTLM é usado.
Kerberos quando Kerberos é usado.
Criptografado
FONTE: Windows Server 2003 Web Edition.
4.12.2.6.2 Permissões NTFS
Recomenda-se o uso do sistema de arquivos NTFS para o seu servidor de
informações para intranet.
118
As permissões implementadas nas pastas e arquivos do servidor de
informações para intranet deverão levar em conta os requisitos de segurança e
classificação da informação estabelecida pela CEF.
O IIS depende das permissões de NTFS para proteger arquivos e diretórios
individuais contra o acesso não autorizado. Ao contrário das permissões de site,
aplicáveis a todos os usuários. As permissões de NTFS permitem a definição precisa
de quais usuários da rede poderão acessar seu conteúdo e de como será permitido
a eles manipular esse conteúdo.
Os níveis de permissão de NTFS são os seguintes:
- Controle total: os usuários podem executar qualquer ação no arquivo,
inclusive apropriar-se dele. É recomendável que se conceda esse nível de acesso
somente a usuários administradores;
- Modificar: os usuários podem exibir e modificar arquivos e as respectivas
propriedades, inclusive excluir e adicionar arquivos a um diretório ou propriedades
de arquivo a um arquivo. Os usuários não podem se apropriar ou alterar as
permissões no arquivo;
- Ler e executar: Os usuários podem executar arquivos executáveis, inclusive
scripts;
- Listar conteúdo de pastas: os usuários podem exibir uma lista dos
conteúdos de uma pasta;
- Ler: os usuários podem exibir arquivos e propriedades de arquivo; e
- Gravar: os usuários podem gravar em uma pasta ou arquivo.
4.12.2.7 Criptografia
Sugere-se o uso da criptografia em razão do seu alto poder de segurança às
informações classificadas como sigilosas e que deverão ser disponibilizadas apenas
a um grupo restrito ou um único usuário.
Assim, deve-se criar uma pasta, atribuir permissões NTFS apenas ao(s)
grupo(s) ou usuário(s) que deverão ter acesso e implementar as configurações
adequadas nas propriedades desta pasta conforme demonstra a figura 23.
119
Figura 23 – Implementando criptografia de 128 bits no IIS.
FONTE: Windows Server 2003 Web Edition
4.12.2.8 Certificado digital de servidor
Recomenda-se, ainda, a implementação do uso de certificado digital para
acesso às informações sigilosas. Isso, em virtude de a CEF ser uma unidade
certificadora e, como tal, pode emitir certificado de aplicação para instalação no
servidor de informação para intranet.
4.12.2.9 Metabase do IIS
4.12.2.9.1 Backup da metabase
- O backup dos arquivos de metabase deverá ser feito todas as vezes que
houver modificações nas propriedades do IIS.
4.12.2.9.2 Segurança da metabase em nível de arquivo
O IIS instala os arquivos da metabase com entradas de controle de acesso
(ACEs) restritas, definidas para impedir que qualquer pessoa, exceto os
administradores, veja os dados de configuração (tabela 17).
Tabela 17 - Arquivos da metabase, sua finalidade e as permissões definidas.
120
Arquivo
Finalidade
raiz_do_sistema\System32\In Armazena dados de configuração para serviços
etsrv\MetaBase.xml
do IIS.
Lista de controle de
acesso (ACL)
NT AUTHORITY\SYSTEM :
Controle total.
BUILTIN\Administradores:
Controle total.
raiz_do_sistema\System32\In Armazena o esquema para o arquivo de
etsrv\MBSchema.xml
configuração. O esquema determina quais
propriedades do IIS podem ser definidas em
certos nós da metabase.
raiz_do_sistema\System32\In Armazena os arquivos de histórico da metabase
etsrv\Histórico\Arquivo de
criados automaticamente pelo IIS.
histórico
NT AUTHORITY\SYSTEM :
Controle total.
BUILTIN\Administradores:
Controle total.
NT AUTHORITY\SYSTEM :
Controle total.
BUILTIN\Administradores:
Controle total.
raiz_do_sistema\System32\In Armazena os arquivos de backup da metabase
etsrv\MetaBack\Arquivo de
criados por demanda utilizando o recurso de
backup e restauração da configuração.
backup
NT AUTHORITY\SYSTEM :
Controle total.
BUILTIN\Administradores:
Controle total.
FONTE: Windows Server 2003 Web Edition
121
5 CONCLUSÃO
A organização abordada no projeto é uma empresa de grande porte, com
efeito lida com dificuldade em manter uma gestão eficiente do controle de acesso
lógico. Isso acontece devido à falta de uma política de segurança da informação
para os servidores que disponibilizam informações voltadas para intranet. Verificouse a oportunidade de desenvolver este trabalho com base nas melhores práticas da
ABNT NBR ISO/IEC 17799:2005, objetivando contribuir em sua busca constate em
governança de TI e que tenha grande importância de utilização para a empresa.
Por meio de visitas à empresa e aplicação de questionário, verificou-se a
necessidade de desenvolver uma política de segurança para os servidores web que
disponibilizam informações voltadas pra intranet uma vez que, além de não
possuírem tal política, até então não existiam definições de ações a serem
implementadas no segmento estudado.
Os resultados apresentados por meio dos questionários foram comparados
com uma matriz de risco, verificando-se o grau de adequação com a norma ABNT
NBR ISO/IEC 17799:2005, possibilitando a apresentação das soluções e
recomendações pertinentes.
O desenvolvimento desta monografia permitiu colocar em prática os
conhecimentos adquiridos ao longo do curso, ampliando significativamente os
conhecimentos relacionados à segurança da informação.
Como pretensão em trabalhos futuros, espera-se dar continuidade aos
estudos e pesquisas em segurança da informação aplicadas em servidores web,
com atenção especial em Windows Server 2003. Tal anseio será levado a diante, na
medida em que esses estudos forem aplicados em proposta de trabalho, prérequisito de obtenção do título de Pós-graduação no curso de especialização em
crimes e perícias eletrônica.
122
6 Referências Bibliográficas
ALBUQUERQUE, Ricardo; RIBEIRO, Bruno. Segurança no Desenvolvimento de
Software. São Paulo: Campus, 2002, 310 p.
ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS. NBR ISO/IEC 17799:2005 –
Tecnologia da informação – Técnicas de Segurança – Código de prática para a
gestão da segurança da informação. Rio de Janeiro, 2005, 109 p.
ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS. NBR ISO/IEC 27001 –
Tecnologia da informação – Técnicas de Segurança – Sistema de Gestão de
Segurança da Informação – Requisitos. Rio de Janeiro, 2006, 34 p.
BATTISTI, Júlio. Windows Server 2003: Curso Completo. Rio de Janeiro: Axcel
Books do Brasil, 2003, 1523 p.
CARVALHO, Daniel Balparda de. Segurança de Dados com Criptografia: Métodos
e Algoritmos. Rio de Janeiro: Book Express, 2001, 218 p.
CENTRO DE ESTUDOS, RESPOSTA E TRATAMENTO DE INCIDENTES DE
SEGURANÇA NO BRASIL. Núcleo de Informação e Coordenação do Ponto br.
Cartilha de Segurança para Internet. Disponível em <http://cartilha.cert.br>.
Acesso em: 11 outubro 2006, 17:22:20.
DIAS, Cláudia. Segurança e Auditoria da Tecnologia da Informação. Rio de
Janeiro: Axcel Books do Brasil, 2000, 213 p.
FERREIRA, Fernando Nicolau Freitas; ARAÚJO, Márcio Tadeu de. Política de
Segurança da Informação. Rio de Janeiro: Ciência Moderna, 2006, 177 p.
FONTES, Edison. Vivendo a Segurança da Informação: Orientações práticas para
pessoas e organizações. São Paulo: Sicurezza, 2000, 208 p.
______. Segurança da Informação: O usuário faz a diferença. São Paulo: Saraiva,
2006, 172 p.
FREITAS, Andrey Rodrigues de. Perícia Forense: Aplicada à Informática. Rio de
Janeiro: Brasport, 2006, 216 p.
123
MACHADO, Francis Berenger; MAIA, Luiz Paulo. Arquitetura de Sistemas
Operacionais. 3.ed. Rio de Janeiro: LTC, 2004, 311 p.
MICROSOFT CORPORATION. Ajuda do Windows Server 2003. 2003.
MINASI, Mark. Windows Server 2003: A Bíblia. São Paulo: Makron Books, 2003,
1375 p.
MÓDULO; MICROSOFT. Academia Latino Americana de Segurança da
Informação: Programa educacional que tem por objetivo a formação de líderes em
Segurança da Informação. S.l.: Microsoft TechNet, 2005. 1 CD-ROM.
SCAMBRAY, Joel; SHEMA, Mike. Segurança Contra Hackers: Aplicações Web.
São Paulo: Futura, 2003, 392 p.
SILVA, Lino Sarlo da. Public Key Infrastructure: PKI. São Paulo: Novatec, 2004,
347 p.
124
Glossário
ACL - Lista que define quem tem permissão de acesso a certos serviços.
ASCII - Conjunto de códigos para o computador representar números, letras,
pontuação e outros caracteres.
Cracker - Quem quebra um sistema de segurança, de forma ilegal ou sem
ética.
Dial-Up - Acesso à Internet no qual uma pessoa usa um modem e uma linha
telefônica para se ligar a um nó de uma rede de computadores do ISP.
Firewall - Dispositivo de uma rede de computadores que tem por função
regular o tráfego de rede entre redes distintas e impedir a transmissão e/ou
recepção de dados nocivos ou não autorizados de uma rede a outra.
FTP - Protocolo bastante rápido e versátil para transferência de arquivos.
Hacker - Indivíduo que elabora e modifica software e hardware de
computadores, seja desenvolvendo funcionalidades novas, seja adaptando as
antigas.
Hard Disk - Parte do computador onde são armazenadas as informações, ou
seja, é a "memória permanente" propriamente dita.
Hardware - Parte física do computador
Hash - Seqüência de letras ou números gerados por um algoritmo de
dispersão.
Hub - Aparelho que interliga diversas máquinas (computadores) que pode
ligar externamente redes TAN, LAN, MAN e WAN.
IBM - Empresa americana de informática.
IIS – Serviço web criado pela Microsoft para seus sistemas operacionais para
servidores de informações.
Kerberos - Protocolo de transporte de rede que permite comunicações
individuais seguras e identificadas, em uma rede insegura.
Link - Referência num documento em hipertexto a outro documento ou a
outro recurso.
MIPS - (Milhões de instruções por segundo). Medida de desempenho em
informática.
NCSA - Organismo dos Estados Unidos da América relacionado com a
investigação no campo da informática e telecomunicações.
125
Netscape - A Netscape Network é a empresa que produz o Netscape
Navigator, navegador web muito conhecido no mundo da informática.
NTFS - O NTFS (New Technology File System) é o sistema de arquivos
utilizado em todas as versões do Windows NT desde o 3.1. Desenvolvido
inicialmente para servidores, o NTFS possui características importantes, que
permitem ao Windows implementar uma série de noções originadas no UNIX, tal
como a de sistema operacional multi-utilizador.
Pendrive - Dispositivo de armazenamento constituído por uma memória flash
que tem uma ligação USB tipo A permitindo a sua conexão a uma porta USB de um
computador.
Software - Seqüência de instruções a serem seguidas e/ou executadas, na
manipulação, redirecionamento ou modificação de um dado/informação ou
acontecimento. Um Programa de computador
SSL - Protocolo criptográfico que provem comunicação segura na Internet
para serviços como e-mail (SMTP), navegação por páginas (HTTP) e outros tipos de
transferência de dados.
Storage - Rede projetada para agrupar dispositivos de armazenamentos de
computador. São diferenciadas de outras formas de armazenamento em rede pelo
método de acesso em baixo nível que eles apresentam.
Switch - Dispositivo utilizado em redes de computadores para reencaminhar
quadros entre os diversos nós.
URL - Endereço de um recurso disponível em uma rede.
Verisign - Empresa que atua na área de segurança de redes, internet e
telecomunicações. Atua na certificação digital web, com redes sem fio e
autenticação.
W3C - Consórcio de empresas de tecnologia, atualmente com cerca de 500
membros.
126
Anexo A
Questionário respondido por um Consultor da CEF.
1. Política de Controle de acesso.
1.1. Existe uma política de controle de ambiente de computação?
1.2. Há identificação de todas as informações relacionadas às aplicações de negócio
e os riscos a que as informações estão expostas?
1.3. Há consistência entre controle de acesso e políticas de classificação da
informação em diferentes sistemas e redes?
1.4. Existe administração de direitos de acesso?
1.5. Existe segregação de regras de controle de acesso?
1.6. Foram definidos requisitos para autorização formal de pedidos de acesso?
1.7. É realizada análise crítica períodica de controles de acesso?
2. Gerenciamento de acesso de usuário.
2.1. Existe identificador de usuário (ID de usuário) único para assegurar a
responsabilidade de casa usuário?
2.2. Existe identificador de usuário (ID de usuário) compartilhado por dois ou mais
usuários?
2.3. Ao se conceder um nível de acesso é analisado se este nível de acesso é
apropriado às atribuições diárias do usuário?
2.4. Os usuários recebem uma declaração por escrito dos seus direitos de acesso?
2.5. É requerida dos usuários a assinatura de uma declaração indicando que eles
entendem as condições de acesso?
2.6. É mantido um registro formal de todas as pessoas registradas para usar o
serviço?
2.7. Existe bloqueio imediato de direitos de acesso de usuários que mudaram de
cargos ou funções, ou deixaram a organização?
entretanto não é imediato.
2.8. Existe análise periódica para remover ou bloquear identificadores (ID) e contas
de usuários redundantes?
2.9. Existe o fornecimento de um identificador (ID) para mais de um usuário?
127
3. Responsabilidades dos usuários
3.1. Existe uma política de senha na empresa?
3.2. Os usuários são informados sobre a política de senha da empresa?
3.3. Os usuários assinam uma declaração, para manter a confidencialidade de sua
senha pessoal e das senhas de grupos de trabalhos?
3.4. Qual é o procedimento adotado para alteração de senha e qual é a
periodicidade? (ciclo de vida de senha, reutilização e tamanho)?
3.5. De que forma são armazenadas as senhas dos usuários?
3.6. As senhas padrão são alteradas no primeiro logon do usuário?
3.7. Existem controles para impor o cumprimento das políticas de senha nos
diversos tipos de contas?
4. Controle de acesso à rede
4.1. Existe uma política de uso dos serviços de redes?
4.2. A própria empresa gerencia o ambiente de rede ou terceiriza este serviço?
4.3. São usadas contas de logon separadas para atividade normal versus atividades
administrativas de gerenciamento?
4.4. A empresa concede acesso administrativo a usuários para suas estações de
trabalho?
4.5. Usuários externos acessam a rede? Qual é a forma de autenticação?
4.6. Existe firewalls ou outros controles de acesso de nível de rede nas fronteiras da
rede para proteger os recursos corporativos?
4.7. Existem serviços abertos à internet na rede interna da empresa? Como é
controlado o acesso destes serviços?
4.8. Existe hardware ou software de detecção de intrusões para identificar ataques?
5. Política de segurança para servidores que disponibilizam serviços voltados
para intranet.
5.1. Existe uma política de segurança física nas gerências regional de suporte
tecnológico?
5.2. Existe um aviso no sistema operacional, informando que o servidor é acessado
apenas por pessoas autorizadas?
5.3. Existe uma política para configuração dos parâmetros de diretivas de conta?
5.4. Existe uma política para configuração dos parâmetros de diretiva de auditoria?
128
5.5. Existe uma política para configuração dos parâmetros de atribuições de direitos
de usuário?
5.6. Existe uma política para configuração dos parâmetros de opções de segurança?
5.7. Existe implementação de criptografia para armazenar informações sigilosas?
5.8. Existe implementação de uso de certificado de aplicação?
5.9. Existe controle de instalação das atualizações de segurança disponibilizado pelo
fornecedor do sistema operacional?
5.10. Existe controle dos serviços essenciais que deverão está em execução nos
servidores?
5.11. Existe controle dos serviços que não deverão está em execução nos
servidores?
.12. Existe um padrão de configuração do serviço Internet Information Services (IIS)?
5.13. Como é efetuada a publicação dos sites nos servidores intranet?
Questionário respondido por um Analista da CEF.
1. Política de Controle de acesso.
1.1. Existe uma política de controle de ambiente de computação?
1.2. Há identificação de todas as informações relacionadas às aplicações de negócio
e os riscos a que as informações estão expostas?
1.3. Há consistência entre controle de acesso e políticas de classificação da
informação em diferentes sistemas e redes?
1.4. Existe administração de direitos de acesso?
1.5. Existe segregação de regras de controle de acesso?
1.6. Foram definidos requisitos para autorização formal de pedidos de acesso?
1.7. É realizada análise crítica períodica de controles de acesso?
2. Gerenciamento de acesso de usuário.
2.1. Existe identificador de usuário (ID de usuário) único para assegurar a
responsabilidade de casa usuário?
2.2. Existe identificador de usuário (ID de usuário) compartilhado por dois ou mais
usuários?
2.3. Ao se conceder um nível de acesso é analisado se este nível de acesso é
apropriado às atribuições diárias do usuário?
129
2.4. Os usuários recebem uma declaração por escrito dos seus direitos de acesso?
2.5. É requerida dos usuários a assinatura de uma declaração indicando que eles
entendem as condições de acesso?
2.6. É mantido um registro formal de todas as pessoas registradas para usar o
serviço?
2.7. Existe bloqueio imediato de direitos de acesso de usuários que mudaram de
cargos ou funções, ou deixaram a organização?
2.8. Existe análise periódica para remover ou bloquear identificadores (ID) e contas
de usuários redundantes?
2.9. Existe o fornecimento de um identificador (ID) para mais de um usuário?
3. Responsabilidades dos usuários
3.1. Existe uma política de senha na empresa?
3.2. Os usuários são informados sobre a política de senha da empresa?
3.3. Os usuários assinam uma declaração, para manter a confidencialidade de sua
senha pessoal e das senhas de grupos de trabalhos?
3.4. Qual é o procedimento adotado para alteração de senha e qual é a
periodicidade? (ciclo de vida de senha, reutilização e tamanho)?
3.5. De que forma são armazenadas as senhas dos usuários?
3.6. As senhas padrão são alteradas no primeiro logon do usuário?
3.7. Existem controles para impor o cumprimento das políticas de senha nos
diversos tipos de contas?
4. Controle de acesso à rede
4.1. Existe uma política de uso dos serviços de redes?
4.2. A própria empresa gerencia o ambiente de rede ou terceiriza este serviço?
4.3. São usadas contas de logon separadas para atividade normal versus atividades
administrativas de gerenciamento?
4.4. A empresa concede acesso administrativo a usuários para suas estações de
trabalho?
4.5. Usuários externos acessam a rede? Qual é a forma de autenticação?
4.6. Existe firewalls ou outros controles de acesso de nível de rede nas fronteiras da
rede para proteger os recursos corporativos?
130
4.7. Existem serviços abertos à internet na rede interna da empresa? Como é
controlado o acesso destes serviços?
4.8. Existe hardware ou software de detecção de intrusões para identificar ataques?
5. Política de segurança para servidores que disponibilizam serviços voltados
para intranet.
5.1. Existe uma política de segurança física nas gerências regional de suporte
tecnológico?
5.2. Existe um aviso no sistema operacional, informando que o servidor é acessado
apenas por pessoas autorizadas?
5.3. Existe uma política para configuração dos parâmetros de diretivas de conta?
5.4. Existe uma política para configuração dos parâmetros de diretiva de auditoria?
5.5. Existe uma política para configuração dos parâmetros de atribuições de direitos
de usuário?
5.6. Existe uma política para configuração dos parâmetros de opções de segurança?
5.7. Existe implementação de criptografia para armazenar informações sigilosas?
5.8. Existe implementação de uso de certificado de aplicação?
5.9. Existe controle de instalação das atualizações de segurança disponibilizado pelo
fornecedor do sistema operacional?
5.10. Existe controle dos serviços essenciais que deverão estar em execução nos
servidores?
5.11. Existe controle dos serviços que não deverão estar em execução nos
servidores?
5.12. Existe um padrão de configuração do serviço Internet Information Services
(IIS)?
5.13. Como é efetuada a publicação dos sites nos servidores intranet?