SEGURANÇA
DA INFORMAÇÃO
Controle de acesso1a é o processo de autorização de
usuários, grupos e computadores a acessar objetos na rede usando permissões,
direitos de usuários e auditoria de objetos.
O
Controle de acesso lógico1b
é o uso da biometria para verificar ou identificar pessoas
que estão solicitando acesso a recursos
computacionais como computadores, notebooks, smartphones, redes
de computadores, aplicações, bases de dados, dentre outros hardwares e
softwares que possuem um valor grande o suficiente para terem o seu acesso
protegido.
Os Recursos e informações a serem protegidos1c
são:
•Aplicativos (Programas fonte e objeto);
•O acesso
ao código fonte dos aplicativos pode ser usado para alterar suas funções e a
lógica do programa;
•Arquivos de dados;
•Bases de
dados, arquivos ou transações de bancos de dados devem ser protegidos para
evitar que os dados sejam apagados sem autorização adequada;
•Utilitários e Sistema
Operacional;
•O acesso
as programas utilitários, tais como, editores de texto, compiladores, softwares
de manutenção, podem ser usadas
para alterar arquivos de dados, aplicativos e arquivos de configuração do
sistema;
•E o
sistema operacional é sempre um alvo bastante visado pois sua configuração é o
ponto chave de todo o esquema de segurança;
•Arquivos de Senhas;
•A falta
de proteção adequada a arquivos de senhas pode comprometer todo o sistema, pois
uma pessoa não autorizada, poderia intencionalmente causar danos ao sistema e
dificilmente ser barrado por qualquer controle de segurança instalado;
•Arquivos de Logs;
•Como os arquivos de logs registram toda e qualquer
ação dos usuários no sistema, se estes não forem devidamente protegidos, um
invasor poderá alterar seus registros para encobrir ações por ele executadas.
Os
controles de acesso lógico são implantados com o objetivo de garantir2 que apenas
usuários autorizados tenham acesso aos recursos; que os usuários tenham acesso
apenas aos recursos realmente necessários para a execução de suas tarefas; que o
acesso a recursos críticos seja bem monitorado e restrito a poucas pessoas; os
usuários estejam impedidos de executar transações incompatíveis com sua função
ou além de suas responsabilidades. O controle de acesso pode ser traduzido,
então, em termos de funções de identificação e autenticação de usuários;
alocação, gerência e monitoramento de privilégios; limitação, monitoramento e
desabilitação de acessos; e prevenção de acessos não autorizados.
Os usuários dos sistemas computacionais são identificados e autenticados2a
durante um processo, chamado Logon. Os processos de logon são usados para
conceder acesso aos dados e aplicativos em um sistema computacional, e orientam
os usuários durante sua identificação e autenticação. Normalmente esse processo
envolve a entrada de um ID (identificação do usuário) e de uma senha (autenticação
do usuário).
O procedimento de logoni deve
divulgar o mínimo de informações sobre o sistema, evitando fornecer a um
usuário não autorizado informações detalhadas. Um procedimento de logon
eficiente deve: informar que o computador só deve ser acessado por pessoas
autorizadas; evitar identificar o sistema ou suas aplicações até que o processo
de logon esteja completamente concluído; durante o processo de logon, evitar o
fornecimento de mensagens de ajuda que poderiam auxiliar um usuário não
autorizado a completar esse procedimento; validar a informação de logon apenas
quando todos os dados de entrada estiverem completos. Caso ocorra algum erro, o
sistema não deve indicar qual parte do dado de entrada está correta ou
incorreta, como, por exemplo, ID ou senha; limitar o número de tentativas de
logon sem sucesso (é recomendado um máximo de três tentativas).
A identificaçãoii
define para o computador quem é o usuário e a senha é uma autenticaçãoiii, isto é, ela prova ao computador que o
usuário é realmente quem ele diz ser. A identificação
do usuário, ou ID, deve ser única. Todos os usuários autorizados devem ter
um ID, quer seja um código de caracteres, cartão inteligente ou qualquer outro
meio de identificação. Essa unicidade de identificação permite um controle das
ações praticadas pelos usuários através dos logs. Após a identificação do
usuário, deve-se proceder à sua autenticação.
Os sistemas de autenticação são uma combinação de hardware, software e de
procedimentos que permitem o acesso de usuários aos recursos computacionais.
Para que
os controles de senhaiv
funcionem, os usuários devem ter pleno conhecimento das políticas de senha da
organização, e devem ser orientados e estimulados a segui-las fielmente. Todos
os usuários devem ser solicitados a manter a confidencialidade das senhas e não compartilhá-las;
evitar registrá-las em papel; selecionar senhas de boa qualidade, evitando o
uso de senhas muito curtas ou muito longas, recomenda-se seis a oito
caracteres; alterar a senha sempre que existir qualquer indicação de possível
comprometimento do sistema ou da própria senha; alterar a senha em intervalos
regulares ou com base no número de acessos; evitar reutilizar as mesmas senhas;
alterar senhas temporárias no primeiro acesso ao sistema; não incluir senhas em
processos automáticos de acesso ao sistema.
Os usuários devem evitar senhasv compostas de elementos facilmente
identificáveis por possíveis invasores, como nome do usuário; identificador do
usuário (ID), mesmo que seus caracteres estejam embaralhados; nome de membros
de sua família ou de amigos íntimos; nomes de pessoas ou lugares em geral; nome
do sistema operacional ou da máquina que está sendo utilizada; nomes próprios; datas;
números de telefone, de cartão de crédito, de carteira de identidade ou de
outros documentos pessoais; placas ou marcas de carro; palavras que constam de dicionários
em qualquer idioma; letras ou números repetidos; letras
seguidas do teclado do computador ; objetos ou locais que podem ser vistos a partir
da mesa do usuário; qualquer senha com menos de seis caracteres e utilizar a
mesma senha para vários sistemas.
Geralmente
são consideradas boas senhasvi aquelas que incluem, em sua composição,
letras
maiúsculas
e minúsculas, números e símbolos embaralhados, totalizando mais de seis caracteres.
Porém, para ser boa mesmo, a senha tem de ser difícil de ser adivinhada por
outra pessoa, mas de fácil memorização. Também é conveniente escolher senhas
que possam ser digitadas rapidamente, dificultando que outras pessoas possam
identificar a sequência de caracteres. Outro conselho: adquira o hábito de
trocar sua senha com frequência. Trocá-la a cada
sessenta,
noventa dias é considerada uma boa prática.
A concessão de senhasvii deve
ser feita de maneira formal, considerando os pontos: solicitar aos usuários a
assinatura de uma declaração, a fim de manter a confidencialidade de sua senha
pessoal; garantir, aos usuários, que estão sendo fornecidas senhas iniciais
seguras e temporárias, forçando-os a alterá-las imediatamente no primeiro
logon. O fornecimento de senhas
temporárias, nos casos de esquecimento por parte
dos usuários, deve ser efetuado somente após a identificação positiva do
respectivo usuário; fornecer as senhas temporárias aos usuários de forma
segura. O uso de terceiros ou de mensagens de correio eletrônico desprotegidas
(não criptografadas) deve ser evitado.
O sistema de proteção e controle de senhas de acesso aos
sistemasviii de uma instituição deve ser configurado para
proteger as senhas armazenadas contra uso não autorizado, sem apresentá-las na
tela do computador, mantendo-as em arquivos criptografados e estipulando datas
de expiração. Alguns sistemas, além de criptografar as senhas, ainda guardam
essas informações em arquivos escondidos que não podem ser vistos por usuários,
dificultando, assim,
a ação dos hackers. Para evitar o uso frequente das
mesmas senhas, o sistema de controle de senhas deve manter um histórico das
últimas senhas utilizadas por cada usuário. Deve-se ressaltar, entretanto, que
a troca muito frequente de senhas também pode confundir o usuário, que poderá
passar a escrever a senha em algum lugar visível ou escolher uma senha mais
fácil, comprometendo, assim, sua segurança. Ex-funcionários devem ter suas
senhas bloqueadas. Também devem ser bloqueadas contas de usuários após um
determinado número de tentativas de acesso sem sucesso. Esse procedimento
diminui os riscos de alguém tentar adivinhar as senhas. Atingido esse limite,
só o administrador do sistema poderá desbloquear a conta do usuário, por
exemplo.
Existem outras
formas de autenticação do usuárioix, além do uso de senhas. A
autenticação dos usuários pode ser feita a partir de tokens, ou ainda, de
sistemas biométricos. No nosso dia-a-dia, estamos frequentemente utilizando
tokens para acessar alguma coisa. As chaves que abrem a porta da sua residência
ou seu cartão com tarja magnética para utilizar o caixa eletrônico do banco são
exemplos de tokens.
Os cartões
magnéticos inteligentesxi são tokens especiais que contêm
microprocessadores e capacidade de memória suficiente para armazenar dados e
informações como a conta bancária. O primeiro cartão inteligente, patenteado em
1975, foi o de Roland Moreno, considerado o pai do cartão inteligente.
Comparado ao cartão magnético, que é um simples dispositivo de memória, o
cartão inteligente não só pode armazenar informações para serem lidas, mas
também é capaz de processar informações. Sua clonagem é mais difícil e a
maioria dos cartões inteligentes ainda oferece criptografia.
Os sistemas
biométricosxii são sistemas automáticos de verificação de
identidade baseados em características físicas do usuário. Esses sistemas têm
como objetivo suprir deficiências de segurança das senhas, que podem ser
reveladas ou descobertas, e das tokens, que podem ser perdidas ou roubadas.
Teoricamente, qualquer característica humana pode ser verificada por sistemas biométricosxiii,
ou seja como base para a identificação biométrica. Na prática, entretanto,
existem algumas limitações. Um dos problemas enfrentados pelos sistemas
biométricos atuais é sua alta taxa de erro, em função da mudança das
características de uma pessoa com o passar dos anos, ou devido a problemas de
saúde ou o próprio nervosismo. Algumas características humanas verificadas por
sistemas biométricos são impressões digitais, voz, geometria da mão,
configuração da íris e da retina, reconhecimento facial através de termogramas.
O fato de
um usuário ter sido identificado e autenticado não quer dizer que ele poderá
acessar qualquer informação ou aplicativo sem qualquer restrição. Deve-se
implementar um controle específico, restringindo
o acesso3 dos usuários apenas às aplicações, arquivos e
utilitários imprescindíveis para desempenhar suas funções na organização. Esse
controle pode ser feito por
menus,
funções ou arquivos.
Os controles
de menu3a podem ser usados para restringir o acesso de
diferentes categorias de usuários apenas àqueles aplicativos ou utilitários
indispensáveis a cada categoria.
No que diz respeito às funções internas dos aplicativos3b, os respectivos
proprietários deverão definir quem poderá acessá-las e como, por meio de
autorização para uso de funções específicas ou para restrição de acesso a
funções de acordo com o usuário, horário ou tipo de recursos.
A maioria
dos sistemas operacionais possui mecanismos de controle de acesso que definem
as permissões e os privilégios3c
de acesso para cada recurso ou arquivo no sistema. Quando um usuário tenta
acessar um recurso, o sistema operacional verifica se as definições de acesso
desse usuário e do recurso desejado conferem. O usuário só conseguirá o acesso
se essa verificação for positiva.
A forma mais comum de definição de direitos e permissões de acesso3d,
nesse caso, é a matriz de controle de acesso. Nessa matriz pode-se fazer duas
análises: uma em relação aos sujeitos;
outra, em relação aos objetos. Na primeira abordagem, cada sujeito recebe uma
permissão que define todos os seus direitos de acesso. As permissões de acesso
são, então, atributos, associados a um sujeito ou objeto, que definem o que ele
pode ou não fazer com outros objetos. Essa abordagem, no entanto, é pouco
utilizada, já que, na prática, com grandes quantidades de sujeitos e objetos, a
visualização exata de quem tem acesso a um determinado objeto não é tão clara,
comprometendo, assim, a gerência de controle de acesso. Na segunda abordagem,
os direitos de acesso são armazenados com o próprio objeto formando a chamada
lista de controle de acesso (Access Control List (ACL)).
Enquanto a permissão de acesso define o que um
objeto pode ou não fazer com outros, a lista
de controle de acesso3e define o que os outros objetos ou
sujeitos podem fazer com o objeto a ela associado. As listas de controle de
acesso nada mais são do que bases de dados, associadas a um objeto, que
descrevem os relacionamentos entre aquele objeto e outros, constituindo-se em
um mecanismo de garantia de confidencialidade e integridade de dados.
O monitoramento dos sistemas de informação4
é feito, normalmente, pelos registros de log, trilhas de auditoria ou outros
mecanismos capazes de detectar invasões. Esse monitoramento é essencial à
equipe de segurança de informações, já
que é praticamente impossível eliminar por completo todos os riscos de invasão por meio da
identificação e autenticação de usuários.
Os logs4a
são registros de atividades gerados por programas de computador, são utilizados como medidas de detecção e monitoramento,
são
registros cronológicos de atividades do sistema que possibilitam a
reconstrução, revisão e análise dos ambientes e das atividades relativas a uma
operação, procedimento ou evento, acompanhados do início ao fim.
Normalmente, os registros de log4b incluem a identificação dos usuários;
datas e horários de entrada (logon) e saída do sistema (logoff); identificação
da estação de trabalho e, quando possível, sua localização; registros das
tentativas de acesso (aceitas e rejeitadas) ao sistema; registros das
tentativas de acesso (aceitas e rejeitadas) a outros recursos e dados. Dependendo do grau de refinamento da
ferramenta que gerou o log ele também pode conter informações como: O time zone
do horário do log; Protocolo utilizado (TCP, UDP, ICMP, etc); os dados
completos que foram enviados para o computador ou rede.
O controle
de acesso lógico5 é o uso da biometria para verificar ou identificar
pessoas que estão solicitando acesso a recursos computacionais como
computadores, notebooks, smartphones, redes de computadores, aplicações, bases
de dados, dentre outros hardwares e softwares que possuem um
valor grande o suficiente para terem o seu acesso protegido. Outro recurso de proteção bastante utilizado em
alguns sistemas é o time-out automático, isto é, a sessão é desativada após um
determinado tempo sem qualquer atividade no terminal ou computador. Para
restaurá-la, o usuário é obrigado a fornecer novamente seu ID e senha. Em
alguns sistemas operacionais, o próprio usuário, após sua habilitação no
processo de logon, pode ativar e desativar essa função de time-out.
As regras de
controle6 e direitos de acesso para cada usuário ou grupo devem
estar claramente definidas no documento da política de controle de acesso da
instituição, o qual deverá ser fornecido aos usuários e provedores de serviço
para que tomem conhecimento dos requisitos de segurança estabelecidos.
A política
de controle de acesso6a deve levar em conta os requisitos de
segurança de aplicações específicas do negócio da instituição; a identificação
de toda informação referente às aplicações de negócio; as políticas para
autorização e distribuição de informação; a compatibilidade entre o controle de
acesso e as políticas de classificação da informação dos diferentes sistemas e
redes; a legislação vigente e qualquer obrigação contratual, considerando a
proteção do acesso a dados ou serviços; o perfil de acesso padrão para
categorias de usuários comuns; o gerenciamento dos direitos de acesso em todos
os tipos de conexões disponíveis em um ambiente distribuído conectado em rede.
Ao especificar as regras de controle de acesso6b, devem ser considerados
os seguintes aspectos: diferenciar regras que sempre devem ser cumpridas das
regras opcionais ou condicionais; estabelecer regras baseadas na premissa “Tudo
deve ser proibido a menos que expressamente permitido”; diferenciar as
permissões de usuários que são atribuídas automaticamente por um sistema de
informação daquelas atribuídas por um administrador; priorizar regras que
necessitam da aprovação de um administrador antes da liberação daquelas que não
necessitam de tal aprovação.
O acesso aos sistemas de informação deve ser controlado por um processo formal6c,
o qual deverá abordar a utilização de um identificador de usuário (ID) único,
de forma que cada usuário possa ser identificado e responsabilizado por suas
ações; verificação se o usuário obteve autorização do proprietário do sistema
de informação ou serviço para sua utilização; verificação se o nível de acesso
concedido ao usuário está adequado aos propósitos do negócio e consistente com
a política de segurança da organização; fornecimento, aos usuários, de
documento escrito com seus direitos de acesso; manutenção de um registro formal
de todas as pessoas cadastradas para usar cada sistema de informações; remoção
imediata dos direitos de acesso de usuários que mudarem de função ou saírem da
organização; verificação periódica da lista de usuários, com intuito de remover
usuários inexistentes e IDs em duplicidade; inclusão de cláusulas nos contratos
de funcionários e prestadores de serviço, que especifiquem as sanções a que
estarão sujeitos em caso de tentativa de acesso não autorizado.
A responsabilidade sobre os controles de
acesso lógico7 pode ser tanto do gerente do ambiente operacional
como dos proprietários (ou gerentes) de aplicativos. O gerente do ambiente
operacional
deve controlar o acesso à rede, ao sistema operacional e seus recursos e,
ainda, aos
aplicativos
e arquivos de dados. É responsável, assim, por proteger os recursos do sistema
contra invasores ou funcionários não autorizados. Enquanto isso, os proprietários dos
aplicativos
são responsáveis por seu controle de
acesso. As responsabilidades sobre segurança de acesso
são segregadas entre o gerente do ambiente operacional de informática e os
gerentes de aplicativos.
A cooperação dos usuários autorizados7a
é essencial para a eficácia da segurança. Os usuários
devem
estar cientes de suas responsabilidades para a manutenção efetiva dos controles
de acesso, considerando, particularmente, o uso de senhas e a segurança dos
equipamentos de informática que costumam utilizar.
|
1. Controles de Acesso Lógico
|
|
a. O que são controles de acesso?
|
|
b. O que são controles de acesso
lógico?
|
|
c. Que recursos devem ser protegidos?
|
|
2. O que os controles de acesso lógico
pretendem garantir em relação à segurança de informações?
|
|
a. Como os usuários são identificados e
autenticados?
|
|
i. Como deve ser projetado um processo
de login para ser considerado eficiente?
|
|
ii. O que é identificação do usuário?
|
|
iii. O que é autenticação do usuário?
|
|
iv. Como orientar os usuários em
relação às senhas?
|
|
v. Que tipos de senhas devem ser
evitadas?
|
|
vi. Como escolher uma boa senha?
|
|
vii. Como deve ser feita a concessão de
senhas aos usuários?
|
|
viii. O que a instituição pode fazer
para proteger e controlar as senhas de acesso aos seus sistemas?
|
|
ix. Existem outras formas de
autenticação do usuário, além do uso de senhas?
|
|
x. Como restringir o acesso aos
recursos informacionais?
|
|
xi. O que são cartões magnéticos
inteligentes?
|
|
xii. O que são sistemas biométricos?
|
|
xiii. Que características humanas podem
ser verificadas por sistemas biométricos?
|
|
3. Como restringir o acesso aos
recursos informacionais?
|
|
a. Para que servem os controles de
menu?
|
|
b. Para que servem os controles de
funções de aplicativos?
|
|
c. Como proteger arquivos?
|
|
d. O que são direitos e permissões de
acesso?
|
|
e. O que são listas de controle de
acesso?
|
|
4. Como monitorar o acesso aos recursos
informacionais?
|
|
a. O que são logs?
|
|
b. O que deve ser registrado em logs?
|
|
5. Outros controles de acesso lógico
|
|
6. Onde as regras de controle de acesso
são definidas?
|
|
a. O que considerar na elaboração da
política de controle de acesso?
|
|
b. Que cuidados devem ser tomados na
definição das regras de controle de acesso?
|
|
c. Que tipo de regras de controle de
acesso devem ser formalizadas na política?
|
|
7. Quem é o responsável pelos controles
de acesso lógico?
|
|
a. Em que os usuários podem ajudar na
implantação dos controles de acesso
lógico?
|
BIBLIOGRAFIA
