Segurança das Informações em Redes

Introdução

Os processos de transformação de arquiteturas proprietárias em tecnologias abertas tornaram o acesso às informações mais fáceis e mais rápidas, de tal forma que a possibilidade de conhecimento destas informações, por parte do cidadão, em geral, deu um caráter mais democrático e aparentemente permitiria o controle social através desta perspectiva. Apenas um detalhe vem colocar em xeque esta perspectiva. Simultaneamente ao fato da facilidade e rapidez de acesso à informação terem aumentado, proporcionou um aumento exponencial da falta de segurança sobre a informação. Tecnicamente toda uma rede de computadores funciona como elos de uma corrente e a fragilidade da mesma se dá pela possível fragilidade de um único elo mais desprotegido. São necessários diversos procedimentos adicionais que tem como função diminuir as possibilidades de vulnerabilidade que atinjam a integridade e confiabilidade destas informações.

Com a apresentação deste trabalho mostraremos a importância da implantação de políticas para segurança com a grande opção de ferramentas que possam auxiliar na implementação das mesmas. Descreveremos aspectos favoráveis e desfavoráveis que condicionam as redes de computadores no enfoque segurança da informação e ferramentas mais adequadas para as diversas condições de vulnerabilidade.

Informações Seguras

A conexão dos computadores em redes criou inúmeras portas de acesso aos sistemas computacionais, que desta forma ficou fácil encontrar um acesso que esteja desprotegido. Quanto mais se aumenta a complexidade das redes, quanto mais recursos são disponibilizados aos usuários, quanto mais informação é requerida por este usuário, mais difícil se torna garantir a segurança dos sistemas de informação. Este problema é agravado cada vez mais pela pouca relevância dada ao assunto em relação a avassaladora necessidade de novidades despejada nos usuários individuais que transportam as condições de insegurança vividas na computação pessoal para a computação corporativa, quando na realidade o caminho inverso é que deveria ser percorrido, com os usuários de computação doméstica levando consigo todos os procedimentos de segurança adotados nas corporações.

Como as organizações, sejam elas públicas ou privadas, perceberam que se tornaram vulneráveis, tem-se procurado, em alguns casos, recuperar o tempo perdido implementando metodologias e ferramentas de segurança, sendo que o grande dilema desta questão é a criação de um ambiente controlado e confiável, mas que não tire do usuário a agilidade proporcionada pela micro informática nos últimos anos.

A tendência de “esquecimento” dos procedimentos de segurança, até que ocorra algum problema grave, é muito comum nos ambientes denominados “cliente-servidor”. Para tanto se deve adotar políticas de segurança que determinem quais itens devem merecer atenção e com quais custos, sendo que de qualquer maneira vale a premissa: “Um ambiente totalmente seguro depende da aplicação de recursos ilimitados”.

Um diagnóstico simples para o problema pode ser feito observando as ocorrências de vírus. Se os computadores e as redes da organização sofrem de infecções virais, com certeza as informações presentes nesta rede, sejam públicas ou confidenciais estão sujeitas e vulneráveis a vazamentos, alterações indevidas e perdas. Da mesma forma a não existência de vírus garante que estas mesmas informações estão bem protegidas e invulneráveis.

Em geral, sistemas inseguros existem por três motivos: por desconhecimento (na maioria das vezes extremamente conveniente), por negligência ou por uma decisão dos níveis estratégicos das organizações em não adotar a segurança. É preciso conhecer os riscos, saber quais as conseqüências da falta de segurança, identificar os pontos vulneráveis e determinar uma solução adequada para a organização. O primeiro passo para isso é avaliar o valor do bem e/ou recurso a ser protegido e sua importância para a organização, o que ajuda a definir quanto vale a pena gastar com proteção. A análise do problema deve abordar três aspectos fundamentais: confidencialidade, integridade e disponibilidade, sendo que ninguém melhor que o proprietário da informação para determinar esta relevância.

Os conceitos de confidencialidade, integridade e disponibilidade dizem respeito, respectivamente, a quanto da informação deve ser limitada ou restringida, a correção e certeza que a informação é realmente a verdadeira e à possibilidade de utilização da informação no tempo e local requerido pelos usuários.

Alguns conceitos básicos devem ser internalizados para o desenvolvimento de todo um projeto. Um exemplo que ilustra a importância desta conceituação é relatado a seguir: Um advogado de uma grande organização afirma que: “Minha informação não precisa de segurança, pois ela é pública”. A área responsável pela segurança das informações tem o seguinte argumento: “É pública, mas não pode ser alterada indevidamente”. Este diálogo faz com que o usuário perceba que a confidencialidade é apenas um dos aspectos da proteção de dados. Com uma visão mais ampla do problema, usuários que imaginam não ter responsabilidades no quesito segurança das informações passam a ter uma consciência diferente em relação ao tema.

Um projeto de segurança sempre depende das características de cada organização, como seu ramo de negócios, o grau de importância das informações, o grau de dependência da empresa em relação aos seus computadores, dentre outras. As ações práticas podem ir desde a instalação de um sistema simples que solicita senha para utilizar o microcomputador até o uso de equipamentos onde apenas algumas aplicações são executadas e todas as operações são monitoradas.

Os Aspectos Técnicos

Genericamente a segurança da informação deve ter como objetivo proteger as informações, viabilizar as aplicações, principalmente do ponto de vista estratégico, evitando que os níveis estratégicos das organizações deixem de utilizar a informática com o argumento da fragilidade da mesma dando confiança aos usuários.

Do ponto de vista do usuário ele passa pelas fases de rejeição, adesão involuntária, comportamento e multiplicação. Deve ter como enfoque de trabalho a responsabilidade com a informação, o comprometimento da informação com a atividade-fim da organização, a mudança do relacionamento da visão pessoal da informática em relação à visão profissional e o equilíbrio do problema técnico em relação ao comportamental.

As propriedades da segurança são: Caráter estratégico das informações, dependência da informação para o negócio, recursos de informações distribuídos, fragilidade dos ambientes, robustez das aplicações, integração entre ambientes heterogêneos, troca de correspondências eletrônicas e troca de documentos eletrônicos.

Do outro lado da rede temos as defesas e ameaças que exercem influência sobre estes recursos anteriormente citados. Como defesas a estes recursos temos: Política de segurança, controles de acesso, backup, cultura de segurança, legislação, ferramentas, segurança física, normas e padrões, planos de contingência, assinaturas eletrônicas, criptografia, administração de segurança e auditorias. Como ameaças temos da mesma forma: Vírus, erros, fraudes, acidentes, superpoderes, pirataria, vazamento de informações, roubo de senhas, sabotagem, roubo de informações e invasões. Se colocarmos numa balança imaginária de um lado as ameaças e de outro as defesas, poderemos determinar em linhas gerais qual o grau de risco apresentado por determinada organização no quesito segurança das informações.

Política de Segurança

Precedendo a implantação de qualquer ferramenta deve-se cuidar da Política de Segurança em Redes que contenha as seguintes abordagens: Propósito da Política, Conteúdo da Política e Implementação da Política.

Propósito da Política

· Deve apoiar sempre os objetivos da organização e nunca se apoiar em ferramentas e plataformas;

· Deve descrever o programa geral de segurança da rede;
· Deve demonstrar os resultados de sua determinação de risco, com as ameaças que está combatendo e as proteções propostas;
· Deve definir responsabilidades para implementação e manutenção de cada proteção;
· Deve definir normas e padrões comportamentais para usuários, para que o documento seja utilizado como prova se ocorrer alguma violação.

Conteúdo da Política

· Deve relacionar os recursos que se quer proteger e que software são permitidos em quais locais;
· Deve relatar o que acontece quando programas e dados não homologados são detectados no ambiente operacional;
· Deve relacionar quem desenvolveu as orientações, quem aprovou-as, quem detém privilégios e determina autorizações e quem é afetado pelas orientações;
· Deve descrever procedimentos para fornecimento e revogação de privilégios, informação de violação de segurança;
· Deve determinar gerência específica e responsabilidades dos envolvidos no controle e manuseio do ambiente operacional;
· Deve trazer explicações da importância da adoção dos procedimentos de segurança justificando-os junto aos usuários para que o entendimento dos mesmos leve ao comprometimento com todas as ações de segurança.

Implementação da Política

Nenhuma política deve ser implementada até que os usuários sejam treinados nas habilidades necessárias para seguí-la. As boas políticas de segurança dependem do conhecimento e cooperação dos usuários. Isto é particularmente relevante para segurança contra vírus e políticas sobre gerencia de senhas. Segurança requer mais que conhecimento. Todos usuários devem saber como agir quando se virem diante de uma violação ou possível violação. Todos usuários devem saber quem chamar se tiverem perguntas ou suspeitas, e devem saber o que fazer e o que não fazer, para minimizar riscos de segurança. Estes usuários devem ser incentivados a sentir que as medidas de segurança são criadas para seu próprio benefício.

Premissas Básicas

Os padrões de segurança devem ser fornecidos e verificados para uma rede de computadores genérica e em nenhuma hipótese para uma rede de determinado fabricante ou fornecedor. Quando se utiliza o termo servidor, deve-se lembrar de associar todos equipamentos e funções vinculadas ao equipamento principal, e é muito importante ressaltar que este servidor não deve ser utilizado como estação de trabalho. Este servidor deve assumir o controle e a segurança dos recursos de informação  de uma rede evitando-se a dispersão do controle da segurança.

A segurança do servidor reflete o julgamento e as prioridades do administrador da rede local e a segurança de um conjunto de servidores espelha a segurança da rede de uma organização. O administrador de rede ou de segurança é o responsável principal pela segurança da rede local não se admitindo transferência desta responsabilidade. As decisões e alternativas tomadas pelo administrador da rede devem ser objeto de auditoria que julguem as alternativas adotadas.

Política Geral de Segurança

É interessante apresentarmos itens de uma política geral para redes locais que determinam o início de parâmetros necessários à criação de um ambiente com certa segurança e confiabilidade.

1. Não deve haver administração remota do servidor, que não seja do console e todas as funções do servidor não podem ser executadas remotamente;

2. Todas as operações do administrador devem ser executadas a partir da console principal;

3. Os programas de usuário devem ser executados somente das estações de trabalho;

4. Nenhum servidor ou qualquer recurso do servidor deve ser acessado através de boot por disco flexível;

5. Não deve existir comunicação direta ponto-a-ponto. Toda comunicação deste tipo deve ser feita através de um servidor;

6. Não devem existir múltiplas identificações/senhas de entrada no sistema, devendo haver indicação quando o mesmo usuário tentar utilizar sua identificação simultaneamente;

7. Todos os recursos de monitores de tráfego, roteadores e hubs devem ser autorizados, identificados e supervisionados;

8. Deve existir um planejamento formal, completo e testado de recuperação de desastres, de qualquer recurso, para todas as redes locais;

9. Informações classificadas como sensíveis ou relevantes não devem ser transmitidas através de qualquer tipo de formato texto.

As Ferramentas

Ao apresentarmos as questões de Política de Segurança entendemos ser essencial que esta preceda qualquer posicionamento sobre ferramentas utilizadas para auxílio nos procedimentos de implementação da segurança. Do ponto de vista do hardware, podemos admitir que “O único sistema totalmente seguro é aquele que não possui nenhuma forma de acesso externo, está trancado em uma sala totalmente lacrada da qual uma única pessoa possui a chave. E esta pessoa morreu ano passado”. Ou seja, não existe sistema seguro sob todos aspectos e nenhuma ferramenta que garanta esta segurança. Portanto a implementação de segurança tem que ser feita por um conjunto de hardware e software, na maioria dos casos presentes no próprio sistema operacional e máquinas servidoras. Os programas devem possuir funções de identificação de usuários, controle de acessos e operações, além de permitir auditoria do sistema e dos procedimentos. Para mensurar o nível de segurança dos softwares, o padrão internacionalmente aceito é o estabelecido pelo National Computer Security Center (NCSC) no seu livro padrão conhecido como “orange book” onde são estabelecidas classificações referentes aos mecanismos de segurança lógica necessários aos programas. O “orange book” contém especificações de quatro grupos gerais divididos em subníveis.

Na divisão D, encontram-se os programas com recursos mínimos, recomendados para funções menos críticas. A divisão C se refere aos programas que fazem o controle de acesso discricionário, ou seja, somente as pessoas autorizadas pelo administrador do ambiente operacional podem entrar no sistema. No nível C1, os softwares controlam o acesso por meio de senhas. No C2, já é possível restringir o acesso a dados e operações de cada usuário. No C3, há instrumentos de auditoria, que indicam quem fez, o que fez e quem autorizou. Neste nível é obrigatório que, quando um arquivo for excluído, por exemplo, o sistema destrua o dado, limpando o arquivo em disco e memória, impedindo assim a recuperação indevida da informação. Na maioria dos casos as organizações se dão por satisfeitas com níveis C1 e C2 o que mostra - se insuficiente na qualificação de programas adquiridos de fornecedores diversos. A divisão B se refere ao controle de acesso mandatário, em que só o administrador, e não o usuário responsável pela informação, determina quem pode ter acesso a quê. No nível B1, o controle de acesso é obrigatório e há a rotulação dos objetos e dos dispositivos para exportação de dados. O B2 exige maior uso dos rótulos e uma separação mais clara entre as funções operacionais e de administração. O B3 assegura ainda a recuperação de dados, caso haja queda acidental ou recarga do sistema operacional. Uma ferramenta ou software para obter o certificado de nível A, só admite quando comprova-se que o mesmo é invulnerável aos ataques através de algoritmos matemáticos que atuam na lógica do sistema. É um grau de segurança extremamente formal e complexo que não é obtido por aplicações e sistemas de utilização comercial.

Conclusão

Os recursos e investimentos em segurança estão, obviamente, relacionados à importância da informação e ao risco que a mesma está exposta. O processo é semelhante ao da própria defesa do patrimônio físico, com o agravante que a recuperação da informação pode ser muito mais onerosa do que do equipamento físico e que na maioria dos casos sua mensuração é extremamente difícil.

No caso de rede de computadores a vulnerabilidade fica aumentada devido a fragilidade apresentada por cada um dos nossos “elos da corrente” ou nós da rede. As informações estratégicas podem estar em qualquer lugar a todo instante.

Em função destes relatos podemos assumir que mais importante que escolhermos produtos e ferramentas que prometem níveis de segurança “X” ou “Y” é termos políticas aplicáveis a todos ambientes operacionais multiplataformas e que estes mesmos ambientes nos permitam ter programas segmentados que auxiliem na aplicação e fácil operacionalização destas políticas.

Voltar