Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra
1.15 Exemplo: anlise de risco do DEI Descrio do cenrio Utilizadores 600 alunos 40 docentes 10 funcionrios NEEI, SASUC, CISUC, IPN, Quiosque, Visitantes Rede local 700 tomadas backbone comutado a 1 Gbps ligao comutada dos servidores a 100 Mbps VLANs por reas funcionais (alunos, docentes, administrativos, CISUC, etc.) Acesso Internet (via CIUC) circuito de 2 Mbps ligao Wireless a 2 Mbps Acesso comutado (RDIS e PSTN) 30 acessos RDIS 16 acessos PSTN Segurana em Redes Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra 1.16 Exemplo: anlise de risco DEI (cont.) Descrio do cenrio (cont.) Servidores + 20 servidores UNIX e NT (c/ UPS) alguns expostos Internet servidor FTP de renome nacional e internacional Computadores pessoais + 300: W95, W98, W2000, WNT, MacOS Software muito variado Grande mobilidade Mecanismos de segurana Firewall e proxies Autenticao centralizada Uso de kerberos Uso de Radius nos acessos do exterior Uso de shadow passwords Uso de mecanismos de monitorizao Uso frequente de mecanismos de auditoria Cmaras de vigilncia nas entradas do departamento Equipa tcnica Um gestor snior Dois gestores juniores em parte time Segurana em Redes Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra 1.17 Exemplo: anlise de risco DEI (cont.) Avaliao do potencial de ataque Acesso fsico de pblico ao interior do edifcio ? ( s entrar com um ar decidido) 3 Acesso aos recursos de estranhos organizao ? 3 Suporte de servios de comunicao para o pblico em geral ? (RCU, PPP, no publico geral mas quase) 3 Mais algum para alm da equipa de gesto tem acesso a privilgios de administrao ? (laboratrios) 5 Existe partilha de contas entre utilizadores ou contas genricas ? (tem melhorado) 3 A actividade da organizao pode ser considerada controversa ? 1 A actividade da organizao est relacionada com a rea financeira ? 1 Existem servidores expostos Internet ? 5 So usadas redes pblicas para dados sensveis ? 4 A actividade da organizao altamente especializada ? (investigao) 4 A organizao teve um crescimento muito rpido ? 4 A organizao tem tido muita visibilidade nos media ? (infelizmente) 3 Os utilizadores so especialista de informtica ? 5 Total: 44 / 65 (Elevado) Segurana em Redes Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra 1.18 Exemplo: anlise de risco DEI (cont.) Bens a proteger Hardware Computadores (+ 300) Servidores (+ 30) Impressoras (+ 20) Equipamento de comunicaes Etc. Valor total: mais de 50 M Escudos Software Sistemas operativos (+ 300) MS Office (+ 100) Oracle Ambientes de desenvolvimento Macromedia Simulao, etc., etc. Valor total: mais de 20 M Escudos Informao Administrativa Documentos pessoais Trabalhos acadmicos Trabalhos cientficos, etc., etc. Valor total: indefinido mas MUITO ELEVADO Segurana em Redes Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra 1.19 Exemplo: anlise de risco DEI (cont.) Bens a proteger (cont.) Tempo de paragem das actividades: 6 M escudos por docente por ano (mdia) x 40 4 M escudos por funcionrio por ano (mdia) x 10 1 M escudos por aluno (mdia) x 600 Total 880 M escudos ano = 4 M escudos por dia til = 500 c por hora Custo de aula terica (50 alunos + 1 Prof) = 100 c ? Custo de aula prtica (20 alunos + 1 Prof) = 50 c ? de reparao equipa tcnica (600 contos ms) Outros bens Equipamento laboratorial ? Talvez ... Recursos financeiros ? Sim, contas de projectos. Consumveis ? No dependem do SI Vida humana ? S se algum se suicidar ... Imagem exterior Imagem interna M preparao dos alunos, etc., etc. Valor total: indefinido mas MUITO ELEVADO Valor global dos bens a proteger s fazer as contas O DEI sobrevivia a uma perda total no SI ? Segurana em Redes Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra 1.20 Exemplo: anlise de risco do DEI (cont.) Classificao das probabilidades frequncia classificao 1 vez em 10000 anos 1 1 vez em 1000 anos 2 1 vez em 100 anos 3 1 vez em 10 anos 4 1 vez por ano 5 1 vez por ms 6 1 vez por semana 7 1 vez por dia 8 1 vez por hora 9 1 vez por minuto 10 Classificao dos danos/ custos/ganhos valor classificao danos totais 10 10 000 000 contos 9 1 000 000 contos 8 100 000 contos 7 10 000 contos 6 1 000 contos 5 100 contos 4 10 contos 3 1 conto 2 100$00 1 Segurana em Redes Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra 1.21 Exemplo: anlise de risco do DEI (cont.) Ameaas (probabilidades / danos) Calamidades Incndio (ningum liga aos alarmes) 3/8 Inundaes (rebentamento da Barragem da Aguieira) 2/9 Terramoto (zona de baixa actividade ssmica, edifcio novo) 3/8 Guerra nuclear (vale a pena tomar medidas para tentar acautelar os efeitos ?) 2/10 Ameaas fsicas Corte ou sobrecarga de corrente (muito frequente) 7/3 Roubo (j aconteceu) 5/5 Sabotagem (ex. para no haver aulas prticas) 6/4 Vandalismo (em situaes de desespero e no s) 6/3 Acidente com equipamento 7/3 Avaria de hardware 8/3 Avaria nos servidores 6/4 Corte na rede local 6/4 Corte no acesso Internet 7/4 Ameaas lgicas Erros nos programas 10/1 Erros humanos 7/3 Vrus 7/3 Fraude (ex. nas notas) 5/5 Hackers nos servidores 5/4 Acesso no autorizado (ex. enunciados) 7/4 Divulgao no autorizada 5/4 Sniffing 6/2 Segurana em Redes Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra 1.22 Exemplo: anlise de risco DEI (cont.) Anlise de vulnerabilidades Confidencialidade Uso reduzido de mecanismos de garantia de confidencialidade Fraco controlo dos mecanismos de partilha de informao em NetBIOS em alguns grupos No conhecida a poltica de monitorizao e auditoria Os assuntos de segurana so debatidos nas aulas Autenticao utilizada autenticao centralizada por username / password com Kerberos No existe nenhum mecanismo que impea ou dificulte a partilha de passwords entre utilizadores Mecanismo de autenticao dos acessos do exterior no impede utilizao abusiva No feita autenticao de emissor nas mensagens de Email Integridade So utilizados de mecanismos de controlo de integridade nos servidores (vigilncia de executveis) No so usados mecanismos de integridade na troca de mensagens No so usados mecanismos de integridade nos arquivos de software No so usados mecanismos de controlo de integridade no controlo dos contedos WWW Segurana em Redes Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra 1.23 Exemplo: anlise de risco DEI (cont.) Anlise de vulnerabilidades (cont.) Controlo do acesso Acesso s instalaes muito permissivo Acesso fsico aos recursos muito permissivo Grande nmero de utilizadores com conhecimentos de informtica Grande numero de servios remotos a utilizar passwords em texto Nmero razovel de servidores expostos Internet Disponibilidade PCs apenas com redundncia de componentes Alguma redundncia nas impressoras Alguns servios sem redundncia Servidores sem redundncia Rede local sem redundncia no backbone Acesso Internet sem redundncia No repudiao No garantida no repudiao de envio Email Segurana em Redes Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra 1.24 Exemplo: anlise de risco do DEI (cont.) Medidas a implementar e custos Confidencialidade Generalizao da utilizao de mecanismos de encriptao nas comunicaes 5 Procedimentos mais restritivos na utilizao de NetBIOS 4 Autenticao Controlo de identidade por equipa de segurana 5 Autenticao com carto Multibanco ou Smart Card (ser vivel) 6 Reforo dos mecanismos de autenticao nos PCs dos funcionrios e de docentes (em NT) 4 Utilizao obrigatria de mecanismos de autenticao de Email (assinaturas digitais) 4 Integridade Implementao de mecanismos de controlo de integridade nos arquivos FTP e pginas WWW 4 Implementao de mecanismos de controlo de integridade na troca de mensagens 5 Vigilncia central de Vrus em attachs ao Email 5 Segurana em Redes Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra 1.25 Exemplo: anlise de risco do DEI (cont.) Medidas a implementar e custos (cont.) Controlo do acesso Controlo de acesso ao DEI por equipa de segurana 5 Cmaras de vigilncia nas salas de PCs de acesso livre 5 Generalizao do uso de mecanismos de password encriptada 5 Limitar o acesso directo Internet a situaes de excepo 4 Reduzir o nmero de servidores expostos 4 Disponibilidade Redundncia fsica (Cold Site) (fora de questo) 7 Redundncia nos servidores principais 6 Redundncia nos servios principais 5 Spares e backups remoto nos PCs 4 Redundncia na rede local 6 Redundncia no acesso Internet 5 Implementar procedimentos de reaco a alarmes de incndio 5 Instalar cofre anti-fogo para guardar backups 5 UPS nos equipamentos de rede 5 No repudiao Utilizao obrigatria de mecanismos de no repudiao de origem no Email (assinaturas digitais) 4 Segurana em Redes Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra 1.26 Exemplo: anlise de risco do DEI (cont.) Anlise de investimento Investimento total > 500 M Escudos fora de questo Investimento total sem Cold Site prximo dos 30 M Escudos igual oramento anual do DEI Sem medidas de nvel 6 e 7 da ordem dos 10 M Escudos reforo da equipa tcnica de gesto pode ser faseado em dois ou trs anos Segurana em Redes Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra 1.27 Exemplo: anlise de risco do DEI (cont.) Avaliao do impacto das medidas a implementar (probabilidade /custo) Calamidades antes depois ganho Incndio 3/8 2/8 5 Inundaes 2/9 2/9 Terramoto 3/8 3/8 Guerra nuclear 2/10 2/10 Ameaas fsicas Corte ou sobre de corrente 7/3 7/2 4 Roubo 5/5 4/5 5 Sabotagem 6/4 4/4 5 Vandalismo 6/3 4/3 5 Acidente com equipamento 7/3 7/2 4 Avaria de hardware 8/3 7/3 4 Avaria nos servidores 6/4 5/4 5 Corte na rede local 6/4 5/4 5 Corte no acesso Internet 5/4 7/4 5 Ameaas lgicas Erros nos programas 10/1 10/1 Erros humanos 7/3 7/3 Vrus 7/3 6/3 4 Fraude 5/5 4/5 5 Hackers nos servidores 5/4 4/4 4 Acesso no autorizado 7/4 6/4 4 Divulgao no autorizada 5/4 5/4 4 Sniffing 6/2 5/2 4 Segurana em Redes Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra 1.28 Exemplo: anlise de risco do DEI (concluso) Avaliao do impacto das medidas a implementar Custos Da ordem dos 10 M Escudos Ganhos Da ordem dos 10 M Escudos / ano Concluso Retorno do investimento (ROI) num ano ! Exemplo de anlise de ganho antes depois ganho Avaria nos servidores 6/4 5/4 5 6 -> 1 vez por ms 5 -> 1 vez por ano 4 -> custo de 100 contos custo ano antes = 100 contos * 12 = 1200 contos Custo ano depois = 100 contos * 1 = 100 contos Ganho = 1100 contos -> 5 Segurana em Redes Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra 1.29 Exemplo: poltica de segurana do DEI mbito Responsabilidades Regras de utilizao dos recursos Penalidades por infraco Omisses Segurana em Redes Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra 1.30 Exemplo: poltica de segurana do DEI (cont.) mbito Rede local Acesso Internet Acesso ao DEI via RCU Acesso ao DEI via PSTN Servidores de utilizao geral Servidores dos laboratrios PCs de uso geral PCs de uso individual PCs do NEEI e do Quiosque Portteis no DEI Impressoras de uso geral Impressoras de uso individual Software servidor Software das aulas Software de investigao Software de uso individual Segurana em Redes Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra 1.31 Exemplo: poltica de segurana do DEI (cont.) Responsabilidades Equipa de gesto Gesto dos servidores Gesto da comunicaes Gesto da segurana e desempenho Ligao de PCs rede e configurao base Instalao de software nos servidores Instalar software nos PCs de uso colectivo Gesto do software (inventrio, distribuio) Help-desk aos utilizadores Utilizadores Utilizar software instalado Instalar software nos PCs de uso pessoal Segurana da informao pessoal Comisso Executiva Divulgar e fazer cumprir a Poltica de Segurana Aplicar sanes aos prevaricadores CIUC Gesto do acesso Internet Gesto do backbone do Polo II Segurana em Redes Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra 1.32 Exemplo: poltica de segurana do DEI (cont.) Regas de utilizao Limitaes acesso aos recursos Salas de PCs dentro do horrio estipulado Utilizao para fins acadmicos tem prioridade sobre utilizao ldica Impressoras implicam autorizao e registo em Centro de Custos Autenticao Passwords seguras com validade de 60 dias Passwords intransmissveis Autenticao para acesso aos servios e recursos PCs individuais com screen saver activado aos 5 minutos de inactividade e reactivado com autenticao password PCs de uso colectivo com logout automtico ao fim de 5 minutos de inactividade Vrus feito o controlo central de vrus no ficheiros em attach a mensagens Email Todos os PCs devem possuir anti-virus instalado Nos PCs de uso privado da responsabilidade dos utilizadores a actualizao dos anti-vrus Um suspeita de ataque de vrus deve ser imediatamente comunicada equipa de gesto Segurana em Redes Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra 1.33 Exemplo: poltica de segurana do DEI (cont.) Regas de utilizao (cont.) Acesso Remoto Para efeitos de acesso aos recursos informticos do DEI e de autenticao, os acessos remotos por RCU e PSTN so considerados exteriores rede interna do DEI O acesso remoto por RDIS reservado aos utilizadores abrangidos pelo servio RCU O processo de adeso ao servio RCU da exclusiva responsabilidade da Portugal Telecom e dos utilizadores A utilizao do servio RCU obedece a regulamento prprio acordado entre a Portugal Telecom e o DEI O acesso remoto por PSTN disponibilizado a todos os utilizadores proibido o uso de acesso remoto por utilizadores externos ao DEI O acesso remoto ao DEI autorizado por RADIUS nas contas pessoais dos servidores de alunos e servidor geral proibida a utilizao da facilidade de callback nos acessos remotos Em situaes de conteno nos acessos remotos podero ser activados mecanismos de limitao de tempo de ligao Segurana em Redes Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra 1.34 Exemplo: poltica de segurana do DEI (cont.) Regas de utilizao (cont.) Acesso Internet objectivo: o acesso Internet deve ser usado para fins educativos em consonncia com as actividades do DEI utilizao para fins ldicos: autorizada desde que no cause sobrecarga na rede e no colida com as leis em vigor WWW: deve ser realizado atravs de servidores proxy locais Email: atravs de servidores POP e SMTP locais com limite de 8 M bytes por utilizador News: servidor de News local FTP annimo: deve ser feita via servidor proxy Acesso remoto: deve ser realizado atravs de SSH ou de outra ferramenta que no use password em modo de texto. udio e Vdeo em tempo real: deve ser feito atravs de SOCKS. Servio de segunda prioridade que poder ser desactivado nas horas de maior trfego IRC, ICQ: deve ser feito atravs de SOCKS. Servios de segunda prioridade autorizados desde que no comprometam a utilizao de recursos necessrios a outros servios Outros servios: mediante requerimento e autorizao caso-caso da Comisso Executiva Segurana em Redes Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra 1.35 Exemplo: poltica de segurana do DEI (cont.) Regas de utilizao (cont.) Privacidade e monitorizao/auditoria Todos os recursos informticos so propriedade do DEI O DEI reserva-se o direito de activar mecanismos de monitorizao e auditoria que recolham informao completa sobre a actividade dos utilizadores, nomeadamente dos servios WWW, Email e acessos FTP O DEI reserva-se o direito de aceder s reas de trabalho dos utilizadores para fins de auditoria de segurana O DEI reserva-se o direito de impedir o acesso a sites cujos contedos colidam com os objectivos da organizao Proibies expressas aos utilizadores Difuso de vrus Divulgao de passwords Cpia ilegal de software Utilizao de sniffers, crackers de passwords, ferramentas de monitorizao e auditoria, exceptuando para fins acadmicos, em ambiente controlado, no mbito da disciplina de Segurana em Redes Implementar ligaes alternativas de/ao exterior da rede do DEI (ex. atravs de modems em PCs) Segurana em Redes Edmundo Monteiro, Departamento de Engenharia Informtica da Universidade de Coimbra 1.36 Exemplo: poltica de segurana do DEI (conc.) Penalidades O DEI mantm um cadastro de cada utilizador Em funo do cadastro e da gravidade do acto sero estabelecidas caso-a-caso pela penalidades de entre a seguinte panplia: Repreenso Corte temporrio de conta pessoal Corte de acesso remoto via PSTN ou RDIS Nos casos mais graves o utilizador poder ser alvo de procedimento disciplinar ou judicial Omisses Em todos os pontos em que o presente documento for omisso cabe Equipa Tcnica a definio das regras a aplicar, cabendo ao utilizadores o direito de recurso para a Comisso Executiva Esclarecimentos podem ser solicitados para a Equipa Tcnica e Comisso Executiva