Segurança da informação para hackers
Segurança da informação para hackers

Segurança da informação para hackers

Conheça a importância das boas praticas de segurança da informação.

Muito se fala sobre segurança da informação mas pouca importância se da as boas praticas.

Falarei neste artigos sobre a importância da políticas de segurança da informação nas empresas e organizações.

Mais o que é segurança da informação?

Segundo a Wikipedia segurança da informação (SI) está diretamente relacionada com proteção de um conjunto de informações, no sentido de preservar o valor que possuem para um indivíduo ou uma organização. São propriedades básicas da segurança da informação: confidencialidade, integridade, disponibilidade e autenticidade.

A SI não está restrita somente a sistemas computacionais, informações eletrônicas ou sistemas de armazenamento. O conceito aplica-se a todos os aspectos de proteção de informações e dados.

O conceito de Segurança Informática ou Segurança de Computadores está intimamente relacionado com o de Segurança da Informação, incluindo não apenas a segurança dos dados/informação, mas em si o sistema.

Atualmente o conceito de Segurança da Informação está padronizado pela norma ISO/IEC 17799:2005, influenciada pelo padrão inglês (British Standard) BS 7799. A norma técnica de segurança da informação em vigor é: ABNT NBR ISO/IEC 27002:2013.

As Principais propriedades da segurança da informação são:

Confidencialidade: propriedade que limita o acesso a informação tão somente às entidades legítimas, ou seja, àquelas autorizadas pelo proprietário da informação;

Integridade: propriedade que garante que a informação manipulada mantenha todas as características originais estabelecidas pelo proprietário da informação, incluindo controle de mudanças e garantia do seu ciclo de vida (Corrente, intermediária e permanente).

Disponibilidade: propriedade que garante que a informação esteja sempre disponível para o uso legítimo, ou seja, por aqueles usuários autorizados pelo proprietário da informação;

Autenticidade: propriedade que garante que a informação é proveniente da fonte anunciada e que não foi alvo de mutações ao longo de um processo.

Os principais Mecanismos de segurança da informação são:

Controles físicos: são barreiras que limitam o contato ou acesso direto a informação ou a infraestrutura (que garante a existência da informação) que a suporta. Mecanismos de segurança que apoiam os controles físicos: portas, trancas, paredes, blindagem, guardas, etc.

Controles lógicos: são barreiras que impedem ou limitam o acesso a informação, que está em ambiente controlado, geralmente eletrônico, e que, de outro modo, ficaria exposta a alteração não autorizada por elemento mal intencionado. Mecanismos de segurança que apoiam os controles lógicos:

Mecanismos de cifração ou encriptação: permitem a transformação reversível da informação de forma a torná-la ininteligível a terceiros. Utiliza-se para tal, algoritmos determinados e uma chave secreta para, a partir de um conjunto de dados não criptografados, produzir uma sequência de dados criptografados. A operação inversa é a decifração.

Assinatura digital: Um conjunto de dados criptografados, associados a um documento do qual são função, garantindo a integridade e autenticidade do documento associado, mas não a sua confidencialidade.

Mecanismos de controle de acesso: palavras-chave, sistemas biométricos, firewalls, cartões inteligentes. antivírus, filtros anti-spam, detectores de intrusões (IDS), etc.

Quais são as principais ameaças à segurança da informação?

As ameaças à segurança da informação são muito variadas e abrangentes, e surgem novas a cada dia. Entre elas, podemos destacar:

falhas no desenvolvimento, na implementação ou na configuração de mecanismos de segurança em softwares;

negação de serviço — bloqueio de acesso por hackers;

Phishing ­— captura de dados para realização de fraudes;

Malwares — roubo ou sequestro de dados por meio de invasões a computadores e bases de dados;

Vírus — danos a sistemas e aplicativos.

O que é a Política de Segurança da Informação (PSI)?

A política de segurança da informação (PSI) é o conjunto de ações, técnicas e boas práticas relacionadas ao uso seguro de dados. Ou seja, trata-se de um documento ou manual que determina as ações mais importantes para garantir a segurança da informação.

Para entender melhor, pense no código de conduta interno de uma empresa. Ele estabelece como os funcionários devem agir, o que é proibido e que deve ser feito no caso de uma emergência, certo? O PSI funciona da mesma maneira.

A IMPORTÂNCIA DA SEGURANÇA DA INFORMAÇÃO NAS ORGANIZAÇÃO

“Atualmente, a PSI é adotada em grande parte das organizações em todo o mundo, inclusive no Brasil. Mesmo aquelas empresas que ainda não tem uma política efetiva, reconhecem a necessidade de elaborar e implementar uma”. (CAMPOS, 2007, P. 131). A política de segurança da informação deve estabelecer como será efetuado o acesso as informações de todas as formas possíveis, seja ela internamente ou externamente, e quais os tipos de mídias poderão transportar e ter acesso a esta informação. A política deve especificar os mecanismos através dos quais estes requisitos podem ser alocados.

O que deve estar presente em uma PSI?

Um bom documento que trate de política da segurança da informação deve conter, além dos objetivos, princípios e requisitos do documento, as seguintes normatizações:

1. Responsabilidades dos colaboradores:

Diz respeito à imposição dos limites de uso, bem como às responsabilizações em caso de má utilização dos recursos de TI da empresa.

Nesse trecho, poderão ser inseridos regramentos com relação à impossibilidade de uso de dispositivos externos em equipamentos corporativos, informações sobre websites de acesso proibido, recomendações de preservação do maquinário da empresa, etc.

2. Responsabilidades da área de TI

Organizar a logística da TI da organização, configurar os equipamentos, instalar softwares e implementar os controles necessários para cumprir os requerimentos de segurança estabelecidos pela política de segurança da informação são fundamentais para que o documento elaborado tenha vida e funcionalidade na dinâmica da organização.

3. Informações ligadas à logística da implementação da TI na organização

Refrigeração de data centers, gestão de aplicações, organização física dos ativos de rede, recomendações de procedimentos, etc. Tudo o que for relacionado à implementação da infraestrutura de TI na organização pode ser descrito nesse capítulo, o qual servirá como norte nessa seara.

4. Tecnologias de defesa contra ciberataques

Big data analytics contra crackers, firewall, criptografia, controles de acesso, backups, auditorias, monitoramento de rede: esses são apenas alguns mecanismos de defesa utilizados nas empresas de sucesso para controle de dados sigilosos e que devem ser descritos em um documento de segurança da informação.

5. Política de treinamento aos colaboradores

Não basta apenas implementar uma infinidade de sistemas de monitoramento de rede, recursos de Big Data Analytics, analisadores algorítmica de ameaças em potencial, firewalls e serviços de cloud security. é necessário capacitar os colabores para o uso adequado dos recursos e informação.

E as boas praticas de segurança da informação?

Segurança da informação é um tema estratégico da gestão de negócios, e nunca pode ser deixado de lado.

Seus desvios interferem no bom andamento das atividades rotineiras, no alcance dos resultados planejados e na sobrevivência e reputação de uma empresa. As principais recomendações são

1. Manter os softwares atualizados

Mantenha os sistemas operacionais originais e atualizados, os fabricantes estão sempre em busca de correções e atualizações contra ataques cibernéticos.

As atualizações de software são importantes porque a maioria dos malwares não tem exatamente como alvo vulnerabilidades de segurança novas e desconhecidas. Em vez disso, exploram aplicações conhecidas que já foram corrigidas nas versões mais recentes, na esperança de que as empresas não tenham sido atualizadas.

2. Possuir ferramentas de gestão de incidentes

Uma governança administrativa que priorize a proteção dos dados e arquivos é essencial. Infelizmente, muitas empresas colocam muito foco na conformidade, pensando que, desde que cumpram todos os regulamentos, seus dados confidenciais serão totalmente protegidos.

3. Ter controle sobre os acessos

Comece por registrar todos os níveis e controles de acesso atuais em vigor. Após, verifique as funções das pessoas na empresa para definir o acesso a uma funcionalidade específica. Deve ser assegurado o acesso de usuário autorizado aos locais estritamente necessários ao desenvolvimento de suas tarefas.

Isso pode reduzir os riscos associados a senhas roubadas, já que um hacker mal-intencionado tem menos chances de obter acesso a tudo.

4. Fazer cópias de segurança

O backup ou cópia de segurança é um mecanismo fundamental para assegurar a disponibilidade da informação, caso as bases de dados em que a informação esteja armazenada sejam roubadas ou danificadas. Uma das etapas mais importantes do backup é descobrir com que frequência os dados precisam ser armazenados em backup. Idealmente, as empresas devem fazer o backup dos dados com a frequência que seus recursos permitirem.

6. Implementar uma política de segurança

Embora as pequenas empresas geralmente operem de boca em boca e de conhecimento intuitivo, a segurança cibernética é uma área em que é essencial documentar seus protocolos. As políticas de segurança da informação só se tornam realmente eficazes a partir do momento em que os profissionais passam a atuar preventivamente.

7. Garantia da segurança física do ambiente

Quando falamos em segurança da informação, é comum voltarmos os esforços todos para a proteção virtual: antivírus, firewall, backups… Mas, principalmente em grandes empresas, o investimento em segurança física é igualmente importante.

Principalmente em servidores internos, trancas eletrônicas, câmeras de segurança e alarmes impedem que um criminoso tenha acesso direto a dados sensíveis.

8. Treinamento da equipe

Para garantir que todo o planejamento de segurança seja eficiente e conforme a lei, é necessário envolver toda a empresa nesse processo. Juntos, TI, RH e diretores precisam montar um plano recorrente de treinamento que explique aos funcionários a importância de proteger os dados da empresa. A aplicação correta das diretrizes da ISO 27002 no cotidiano é outro ponto primordial.

OKAY, e as boas praticas para hackers (Especialistas)?

Para especialistas a minha principal recomendação é focar na inviabilização da ameaça, não na proteção contra a mesma. Devemos esquecer métodos convencionais, como antivírus e antimalwares ou software firewall.

Deve-se partir do principio de que essas ferramentas não são eficientes, buscando mecanismos de proteção com princípios da engenharia de software.

Recomendo o uso de criptografia, a análise periódica de vulnerabilidades, o teste de intrusão, o controle de acesso, a política de segurança, como também a engenhosidade.

Nos últimos anos tenho dados atenção a virtualização, é incrível o que podemos fazer com ela.

Já no que diz respeito ao controle de malwares recomendo o desenvolvimento de ferramentas mecanismos antikeylogger, como instanciamento de área de trabalho. os keyloggers são um problema sério já que dificilmente são detectados. no que tange a trojans pode-se usar um bom firewall com mecanismos adicionais.

Ferramentas como Retina, Nessus, Metasploit, Qualys, Veracrypt, são altamente recomendadas. pode-se seguir a ISO/IEC 17799.

O lançamento de atualização periódica nos sistemas e utilitários é muito importante. como também o monitoramento da rede e o uso de tunelamento.

Partindo do principio que a maior ameaça são as malwares, é sabido que inviabilização é o melhor caminho, a infeção é inevitável em muitos casos, graças a usuários desenformados.

Quando se diz respeito a segurança de web portais ou servidores, como também banco de dados, a recomendação é o uso de criptografia, o uso senhas seguras, tunelamento, e a aplicação de patchs de segurança logo quando liberados. Firewall é ótimo para isso.

Não apresentei aqui ferramentas ou métodos, fica pra outro post. falei sobre boas praticas de segurança da informação. se você é especialista, ou se já as conhece deixe um comentário.

ExibirMinimizar
aci institute 15 anos compartilhando conhecimento