Segurana em Redes

Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra

1.15
Exemplo: anlise de risco do DEI
Descrio do cenrio
Utilizadores
600 alunos
40 docentes
10 funcionrios
NEEI, SASUC, CISUC, IPN, Quiosque, Visitantes
Rede local
700 tomadas
backbone comutado a 1 Gbps
ligao comutada dos servidores a 100 Mbps
VLANs por reas funcionais (alunos, docentes,
administrativos, CISUC, etc.)
Acesso Internet (via CIUC)
circuito de 2 Mbps
ligao Wireless a 2 Mbps
Acesso comutado (RDIS e PSTN)
30 acessos RDIS
16 acessos PSTN
Segurana em Redes
Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra
1.16
Exemplo: anlise de risco DEI (cont.)
Descrio do cenrio (cont.)
Servidores
+ 20 servidores UNIX e NT (c/ UPS)
alguns expostos Internet
servidor FTP de renome nacional e internacional
Computadores pessoais
+ 300: W95, W98, W2000, WNT, MacOS
Software muito variado
Grande mobilidade
Mecanismos de segurana
Firewall e proxies
Autenticao centralizada
Uso de kerberos
Uso de Radius nos acessos do exterior
Uso de shadow passwords
Uso de mecanismos de monitorizao
Uso frequente de mecanismos de auditoria
Cmaras de vigilncia nas entradas do
departamento
Equipa tcnica
Um gestor snior
Dois gestores juniores em parte time
Segurana em Redes
Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra
1.17
Exemplo: anlise de risco DEI (cont.)
Avaliao do potencial de ataque
Acesso fsico de pblico ao interior do edifcio ? ( s
entrar com um ar decidido) 3
Acesso aos recursos de estranhos organizao ? 3
Suporte de servios de comunicao para o pblico em
geral ? (RCU, PPP, no publico geral mas quase) 3
Mais algum para alm da equipa de gesto tem acesso
a privilgios de administrao ? (laboratrios) 5
Existe partilha de contas entre utilizadores ou contas
genricas ? (tem melhorado) 3
A actividade da organizao pode ser considerada
controversa ? 1
A actividade da organizao est relacionada com a
rea financeira ? 1
Existem servidores expostos Internet ? 5
So usadas redes pblicas para dados sensveis ? 4
A actividade da organizao altamente especializada ?
(investigao) 4
A organizao teve um crescimento muito rpido ? 4
A organizao tem tido muita visibilidade nos media ?
(infelizmente) 3
Os utilizadores so especialista de informtica ? 5
Total: 44 / 65 (Elevado)
Segurana em Redes
Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra
1.18
Exemplo: anlise de risco DEI (cont.)
Bens a proteger
Hardware
Computadores (+ 300)
Servidores (+ 30)
Impressoras (+ 20)
Equipamento de comunicaes
Etc.
Valor total: mais de 50 M Escudos
Software
Sistemas operativos (+ 300)
MS Office (+ 100)
Oracle
Ambientes de desenvolvimento
Macromedia
Simulao, etc., etc.
Valor total: mais de 20 M Escudos
Informao
Administrativa
Documentos pessoais
Trabalhos acadmicos
Trabalhos cientficos, etc., etc.
Valor total: indefinido mas MUITO ELEVADO
Segurana em Redes
Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra
1.19
Exemplo: anlise de risco DEI (cont.)
Bens a proteger (cont.)
Tempo
de paragem das actividades:
6 M escudos por docente por ano (mdia) x 40
4 M escudos por funcionrio por ano (mdia) x 10
1 M escudos por aluno (mdia) x 600
Total 880 M escudos ano = 4 M escudos por dia til = 500 c
por hora
Custo de aula terica (50 alunos + 1 Prof) = 100 c ?
Custo de aula prtica (20 alunos + 1 Prof) = 50 c ?
de reparao
equipa tcnica (600 contos ms)
Outros bens
Equipamento laboratorial ? Talvez ...
Recursos financeiros ? Sim, contas de projectos.
Consumveis ? No dependem do SI
Vida humana ? S se algum se suicidar ...
Imagem exterior
Imagem interna
M preparao dos alunos, etc., etc.
Valor total: indefinido mas MUITO ELEVADO
Valor global dos bens a proteger
s fazer as contas
O DEI sobrevivia a uma perda total no SI ?
Segurana em Redes
Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra
1.20
Exemplo: anlise de risco do DEI (cont.)
Classificao das probabilidades
frequncia classificao
1 vez em 10000 anos 1
1 vez em 1000 anos 2
1 vez em 100 anos 3
1 vez em 10 anos 4
1 vez por ano 5
1 vez por ms 6
1 vez por semana 7
1 vez por dia 8
1 vez por hora 9
1 vez por minuto 10
Classificao dos danos/ custos/ganhos
valor classificao
danos totais 10
10 000 000 contos 9
1 000 000 contos 8
100 000 contos 7
10 000 contos 6
1 000 contos 5
100 contos 4
10 contos 3
1 conto 2
100$00 1
Segurana em Redes
Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra
1.21
Exemplo: anlise de risco do DEI (cont.)
Ameaas (probabilidades / danos)
Calamidades
Incndio (ningum liga aos alarmes) 3/8
Inundaes (rebentamento da Barragem da Aguieira) 2/9
Terramoto (zona de baixa actividade ssmica,
edifcio novo) 3/8
Guerra nuclear (vale a pena tomar medidas para
tentar acautelar os efeitos ?) 2/10
Ameaas fsicas
Corte ou sobrecarga de corrente (muito frequente) 7/3
Roubo (j aconteceu) 5/5
Sabotagem (ex. para no haver aulas prticas) 6/4
Vandalismo (em situaes de desespero e no s) 6/3
Acidente com equipamento 7/3
Avaria de hardware 8/3
Avaria nos servidores 6/4
Corte na rede local 6/4
Corte no acesso Internet 7/4
Ameaas lgicas
Erros nos programas 10/1
Erros humanos 7/3
Vrus 7/3
Fraude (ex. nas notas) 5/5
Hackers nos servidores 5/4
Acesso no autorizado (ex. enunciados) 7/4
Divulgao no autorizada 5/4
Sniffing 6/2
Segurana em Redes
Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra
1.22
Exemplo: anlise de risco DEI (cont.)
Anlise de vulnerabilidades
Confidencialidade
Uso reduzido de mecanismos de garantia de
confidencialidade
Fraco controlo dos mecanismos de partilha de informao
em NetBIOS em alguns grupos
No conhecida a poltica de monitorizao e auditoria
Os assuntos de segurana so debatidos nas aulas
Autenticao
utilizada autenticao centralizada por username /
password com Kerberos
No existe nenhum mecanismo que impea ou dificulte a
partilha de passwords entre utilizadores
Mecanismo de autenticao dos acessos do exterior no
impede utilizao abusiva
No feita autenticao de emissor nas mensagens de
Email
Integridade
So utilizados de mecanismos de controlo de integridade
nos servidores (vigilncia de executveis)
No so usados mecanismos de integridade na troca de
mensagens
No so usados mecanismos de integridade nos arquivos
de software
No so usados mecanismos de controlo de integridade no
controlo dos contedos WWW
Segurana em Redes
Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra
1.23
Exemplo: anlise de risco DEI (cont.)
Anlise de vulnerabilidades (cont.)
Controlo do acesso
Acesso s instalaes muito permissivo
Acesso fsico aos recursos muito permissivo
Grande nmero de utilizadores com conhecimentos de
informtica
Grande numero de servios remotos a utilizar passwords
em texto
Nmero razovel de servidores expostos Internet
Disponibilidade
PCs apenas com redundncia de componentes
Alguma redundncia nas impressoras
Alguns servios sem redundncia
Servidores sem redundncia
Rede local sem redundncia no backbone
Acesso Internet sem redundncia
No repudiao
No garantida no repudiao de envio Email
Segurana em Redes
Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra
1.24
Exemplo: anlise de risco do DEI (cont.)
Medidas a implementar e custos
Confidencialidade
Generalizao da utilizao de mecanismos de
encriptao nas comunicaes 5
Procedimentos mais restritivos na utilizao de
NetBIOS 4
Autenticao
Controlo de identidade por equipa de segurana 5
Autenticao com carto Multibanco ou Smart Card
(ser vivel) 6
Reforo dos mecanismos de autenticao nos PCs
dos funcionrios e de docentes (em NT) 4
Utilizao obrigatria de mecanismos de autenticao
de Email (assinaturas digitais) 4
Integridade
Implementao de mecanismos de controlo de
integridade nos arquivos FTP e pginas WWW 4
Implementao de mecanismos de controlo de
integridade na troca de mensagens 5
Vigilncia central de Vrus em attachs ao Email 5
Segurana em Redes
Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra
1.25
Exemplo: anlise de risco do DEI (cont.)
Medidas a implementar e custos (cont.)
Controlo do acesso
Controlo de acesso ao DEI por equipa de segurana 5
Cmaras de vigilncia nas salas de PCs de
acesso livre 5
Generalizao do uso de mecanismos de password
encriptada 5
Limitar o acesso directo Internet a situaes
de excepo 4
Reduzir o nmero de servidores expostos 4
Disponibilidade
Redundncia fsica (Cold Site) (fora de questo) 7
Redundncia nos servidores principais 6
Redundncia nos servios principais 5
Spares e backups remoto nos PCs 4
Redundncia na rede local 6
Redundncia no acesso Internet 5
Implementar procedimentos de reaco a
alarmes de incndio 5
Instalar cofre anti-fogo para guardar backups 5
UPS nos equipamentos de rede 5
No repudiao
Utilizao obrigatria de mecanismos de no
repudiao de origem no Email (assinaturas digitais) 4
Segurana em Redes
Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra
1.26
Exemplo: anlise de risco do DEI (cont.)
Anlise de investimento
Investimento total
> 500 M Escudos
fora de questo
Investimento total sem Cold Site
prximo dos 30 M Escudos
igual oramento anual do DEI
Sem medidas de nvel 6 e 7
da ordem dos 10 M Escudos
reforo da equipa tcnica de gesto
pode ser faseado em dois ou trs anos
Segurana em Redes
Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra
1.27
Exemplo: anlise de risco do DEI (cont.)
Avaliao do impacto das medidas a
implementar (probabilidade /custo)
Calamidades antes depois ganho
Incndio 3/8 2/8 5
Inundaes 2/9 2/9
Terramoto 3/8 3/8
Guerra nuclear 2/10 2/10
Ameaas fsicas
Corte ou sobre de corrente 7/3 7/2 4
Roubo 5/5 4/5 5
Sabotagem 6/4 4/4 5
Vandalismo 6/3 4/3 5
Acidente com equipamento 7/3 7/2 4
Avaria de hardware 8/3 7/3 4
Avaria nos servidores 6/4 5/4 5
Corte na rede local 6/4 5/4 5
Corte no acesso Internet 5/4 7/4 5
Ameaas lgicas
Erros nos programas 10/1 10/1
Erros humanos 7/3 7/3
Vrus 7/3 6/3 4
Fraude 5/5 4/5 5
Hackers nos servidores 5/4 4/4 4
Acesso no autorizado 7/4 6/4 4
Divulgao no autorizada 5/4 5/4 4
Sniffing 6/2 5/2 4
Segurana em Redes
Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra
1.28
Exemplo: anlise de risco do DEI (concluso)
Avaliao do impacto das medidas a
implementar
Custos
Da ordem dos 10 M Escudos
Ganhos
Da ordem dos 10 M Escudos / ano
Concluso
Retorno do investimento (ROI) num ano !
Exemplo de anlise de ganho
antes depois ganho
Avaria nos servidores 6/4 5/4 5
6 -> 1 vez por ms
5 -> 1 vez por ano
4 -> custo de 100 contos
custo ano antes = 100 contos * 12 = 1200 contos
Custo ano depois = 100 contos * 1 = 100 contos
Ganho = 1100 contos -> 5
Segurana em Redes
Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra
1.29
Exemplo: poltica de segurana do DEI
mbito
Responsabilidades
Regras de utilizao dos recursos
Penalidades por infraco
Omisses
Segurana em Redes
Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra
1.30
Exemplo: poltica de segurana do DEI (cont.)
mbito
Rede local
Acesso Internet
Acesso ao DEI via RCU
Acesso ao DEI via PSTN
Servidores de utilizao geral
Servidores dos laboratrios
PCs de uso geral
PCs de uso individual
PCs do NEEI e do Quiosque
Portteis no DEI
Impressoras de uso geral
Impressoras de uso individual
Software servidor
Software das aulas
Software de investigao
Software de uso individual
Segurana em Redes
Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra
1.31
Exemplo: poltica de segurana do DEI (cont.)
Responsabilidades
Equipa de gesto
Gesto dos servidores
Gesto da comunicaes
Gesto da segurana e desempenho
Ligao de PCs rede e configurao base
Instalao de software nos servidores
Instalar software nos PCs de uso colectivo
Gesto do software (inventrio, distribuio)
Help-desk aos utilizadores
Utilizadores
Utilizar software instalado
Instalar software nos PCs de uso pessoal
Segurana da informao pessoal
Comisso Executiva
Divulgar e fazer cumprir a Poltica de Segurana
Aplicar sanes aos prevaricadores
CIUC
Gesto do acesso Internet
Gesto do backbone do Polo II
Segurana em Redes
Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra
1.32
Exemplo: poltica de segurana do DEI (cont.)
Regas de utilizao
Limitaes acesso aos recursos
Salas de PCs dentro do horrio estipulado
Utilizao para fins acadmicos tem prioridade
sobre utilizao ldica
Impressoras implicam autorizao e registo em
Centro de Custos
Autenticao
Passwords seguras com validade de 60 dias
Passwords intransmissveis
Autenticao para acesso aos servios e recursos
PCs individuais com screen saver activado aos 5
minutos de inactividade e reactivado com
autenticao password
PCs de uso colectivo com logout automtico ao fim
de 5 minutos de inactividade
Vrus
feito o controlo central de vrus no ficheiros em
attach a mensagens Email
Todos os PCs devem possuir anti-virus instalado
Nos PCs de uso privado da responsabilidade dos
utilizadores a actualizao dos anti-vrus
Um suspeita de ataque de vrus deve ser
imediatamente comunicada equipa de gesto
Segurana em Redes
Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra
1.33
Exemplo: poltica de segurana do DEI (cont.)
Regas de utilizao (cont.)
Acesso Remoto
Para efeitos de acesso aos recursos informticos do
DEI e de autenticao, os acessos remotos por RCU
e PSTN so considerados exteriores rede interna
do DEI
O acesso remoto por RDIS reservado aos
utilizadores abrangidos pelo servio RCU
O processo de adeso ao servio RCU da
exclusiva responsabilidade da Portugal Telecom e
dos utilizadores
A utilizao do servio RCU obedece a regulamento
prprio acordado entre a Portugal Telecom e o DEI
O acesso remoto por PSTN disponibilizado a
todos os utilizadores
proibido o uso de acesso remoto por utilizadores
externos ao DEI
O acesso remoto ao DEI autorizado por RADIUS
nas contas pessoais dos servidores de alunos e
servidor geral
proibida a utilizao da facilidade de callback nos
acessos remotos
Em situaes de conteno nos acessos remotos
podero ser activados mecanismos de limitao de
tempo de ligao
Segurana em Redes
Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra
1.34
Exemplo: poltica de segurana do DEI (cont.)
Regas de utilizao (cont.)
Acesso Internet
objectivo: o acesso Internet deve ser usado para
fins educativos em consonncia com as actividades
do DEI
utilizao para fins ldicos: autorizada desde
que no cause sobrecarga na rede e no colida com
as leis em vigor
WWW: deve ser realizado atravs de servidores
proxy locais
Email: atravs de servidores POP e SMTP locais
com limite de 8 M bytes por utilizador
News: servidor de News local
FTP annimo: deve ser feita via servidor proxy
Acesso remoto: deve ser realizado atravs de SSH
ou de outra ferramenta que no use password em
modo de texto.
udio e Vdeo em tempo real: deve ser feito
atravs de SOCKS. Servio de segunda prioridade
que poder ser desactivado nas horas de maior
trfego
IRC, ICQ: deve ser feito atravs de SOCKS.
Servios de segunda prioridade autorizados desde
que no comprometam a utilizao de recursos
necessrios a outros servios
Outros servios: mediante requerimento e
autorizao caso-caso da Comisso Executiva
Segurana em Redes
Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra
1.35
Exemplo: poltica de segurana do DEI (cont.)
Regas de utilizao (cont.)
Privacidade e monitorizao/auditoria
Todos os recursos informticos so propriedade do
DEI
O DEI reserva-se o direito de activar mecanismos de
monitorizao e auditoria que recolham informao
completa sobre a actividade dos utilizadores,
nomeadamente dos servios WWW, Email e
acessos FTP
O DEI reserva-se o direito de aceder s reas de
trabalho dos utilizadores para fins de auditoria de
segurana
O DEI reserva-se o direito de impedir o acesso a
sites cujos contedos colidam com os objectivos da
organizao
Proibies expressas aos utilizadores
Difuso de vrus
Divulgao de passwords
Cpia ilegal de software
Utilizao de sniffers, crackers de passwords,
ferramentas de monitorizao e auditoria,
exceptuando para fins acadmicos, em ambiente
controlado, no mbito da disciplina de Segurana
em Redes
Implementar ligaes alternativas de/ao exterior da
rede do DEI (ex. atravs de modems em PCs)
Segurana em Redes
Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra
1.36
Exemplo: poltica de segurana do DEI (conc.)
Penalidades
O DEI mantm um cadastro de cada utilizador
Em funo do cadastro e da gravidade do acto
sero estabelecidas caso-a-caso pela penalidades
de entre a seguinte panplia:
Repreenso
Corte temporrio de conta pessoal
Corte de acesso remoto via PSTN ou RDIS
Nos casos mais graves o utilizador poder ser alvo
de procedimento disciplinar ou judicial
Omisses
Em todos os pontos em que o presente
documento for omisso cabe Equipa Tcnica a
definio das regras a aplicar, cabendo ao
utilizadores o direito de recurso para a Comisso
Executiva
Esclarecimentos podem ser solicitados para a
Equipa Tcnica e Comisso Executiva