Monografia | AC  
Faça aqui seu orçamento !
Contatos
MONOGRAFIA ACAprenda sobre Monografia prontaDissertação de MestradoProjeto de PesquisaFormatacao ABNTArtigo CientificoQualidade MonográficaInvestimento em MonografiasEntre em Contato Conosco

POLITICAS DE SEGURANÇA NOS SISTEMAS DE INFORMAÇÃO

 

Feed da Monografia ACTwitter da Monografia ACPerfil Facebook

VOLTAR PARA MAIS TEMAS DE MONOGRAFIA E TCC DE INFORMÁTICA E COMPUTAÇÃO

Mais um assunto bastante válido para pesquisas monográficas ou para um tcc. Para defrontar as ameaças à segurança do sistema, define-se uma série de serviços para proteger os sistemas de processamento de dados e de transferência de informação de uma organização e que deverão ser discutidos, ao menos citados, na escrita de qualquer monografia sobre o tema. Estes serviços fazem uso de um ou vários mecanismos de segurança. Uma classificação útil dos serviços de segurança que poderão ser discutidos em um trabalho de conclusão de curso, também chamado de tcc, sobre o assunto é a seguinte:

Confidencialidade: requer que a informação seja acessível unicamente pelas entidades autorizadas. A confidencialidade de dados se aplica a todos os dados trocados pelas entidades autorizadas ou talvez somente a porções ou segmentos selecionados dos dados, por exemplo mediante criptografia. A confidencialidade de fluxo de tráfego protege a identidade da origem e destino(s) da mensagem, por exemplo enviando os dados confidenciais a muitos destinos além do verdadeiro, bem como o volume e o momento de tráfego trocado, por exemplo produzindo uma quantidade de tráfego constante ao adicionar tráfego espúrio ao significativo, de forma que sejam indistinguíveis para um intruso. A desvantagem destes métodos é que incrementam drasticamente o volume de tráfego trocado, repercutindo negativamente na disponibilidade da rede. (KUROSE, 2003)

Autenticação: requer uma identificação correta da origem da mensagem, assegurando que a entidade não é falsa. Distinguem-se dois tipos: de entidade, que assegura a identidade das entidades participantes na comunicação, mediante análise biométrica (impressões digitais, identificação de íris, etc.), cartões de banda magnética, contra-senhas, ou procedimentos similares; e de origem de informação, que assegura que uma unidade de informação provenha de certa entidade, sendo a assinatura digital o mecanismo mais estendido.

Integridade: requer que a informação somente possa ser modificada pelas entidades autorizadas. A modificação inclui escrita, mudança, deleção, criação e reatuação das mensagens transmitidas. A integridade de dados assegura que os dados recebidos não foram modificados de jeito nenhum, por exemplo mediante um hash criptográfico com assinatura, enquanto a integridade de seqüência de dados assegura que a seqüência dos pacotes ou unidades de dados recebidas não foi alterada e que não há unidades repetidas ou perdidas, por exemplo mediante time-stamps, que podem ser abordados, por sua vez, em monografias de estudo de caso.

Não repúdio: oferece proteção a um usuário frente à negação de uma determinada operação efetivamente realizada por outro usuário. Esta proteção se efetua por meio de uma coleção de evidências irrefutáveis que permitirão a resolução de qualquer disputa. O não repúdio de origem protege o receptor de que o emissor negue ter enviado a mensagem, enquanto o não repúdio de recepção protege o emissor de que o receptor negue ter recebido a mensagem. As assinaturas digitais constituem o mecanismo mais empregado para este fim. (COMER, 2001)

Controle de acesso: requer que o acesso aos recursos (informação, capacidade de cálculo, nodos de comunicações, entidades físicas, etc.) seja controlado e limitado pelo sistema destino, mediante o uso de contra-senhas ou senhas hardware, por exemplo, protegendo-os frente a usos não autorizados ou manipulação. Este aspecto faz parte de outros planos de segurança que poderão ser abordados em uma monografia pronta

Disponibilidade: requer que os recursos do sistema informático estejam disponíveis às entidades autorizadas quando necessários.

A política de segurança define o que precisa ser protegido, mas não assinala explicitamente como devem ser protegidos os recursos e o enfoque geral para manejar os problemas de segurança. Numa seção separada da política de segurança devem abordar-se os procedimentos gerais que devem ser implementados para evitar problemas de segurança. E é aqui que tal ponto se torna tão complexo que poderá ser tratado em uma dissertação de mestrado, já que este é um assunto recorrente em pesquisas de mestrado ou pós-graduação stricto sensu, preocupando-se em delinear alguns casos práticos comparativos

A política de segurança deve remeter-se ao administrador de sistemas do lugar com relação a detalhes adicionais a respeito da implementação dos procedimentos de segurança.

Antes de estabelecer os procedimentos de segurança, deve-se avaliar o nível de importância dos recursos da rede e seu grau de risco. (LEINWAND, 1996), o que exporá as demandas a serem atendidas e que precisarão se fazer constar da monografia ou do TCC.

Em muitas ocasiões é tentador começar a implementar procedimentos como o seguinte, sem ter definido a política de segurança da rede: “Nosso site precisa oferecer aos usuários acesso telnet aos hosts internos e externos, evitar acesso NFS aos hosts internos, mas negá-lo aos usuários externos, ter cartões inteligentes para registrar-se desde fora, ter modens de contestação de chamada...”

Se não se conhecem adequadamente os recursos mais importantes e os que estão expostos a maiores riscos, o enfoque anterior fará com que certas áreas tenham mais proteção do que precisam, e que outras áreas mais importantes não tenham suficiente proteção, o que sempre precisará ser evitado e este ponto deverá estar presente como um dos problemas da pesquisa monográfica.

Estabelecer uma política de segurança eficaz requer considerável esforço. Precisa-se de certo esforço para considerar todos os aspectos e certa disposição para estabelecer as políticas no papel e fazer o necessário para que os usuários da rede a entendam adequadamente, também outro problema da pesquisa com validade acadêmica.

Além de realizar a análise de risco dos recursos da rede, se deve identificar outros pontos vulneráveis. A seguinte lista é uma tentativa de descrever algumas das tarefas mais problemáticas. Esta lista serve como orientação na direção correta, mas de nenhum modo esta completa, já que é provável que cada lugar tenha alguns pontos vulneráveis particulares. (COMER, 1993)

Pontos de acesso
Sistemas configurados inadequadamente
Problemas de software
Ameaças internas
Segurança física

MECANISMOS DE SEGURANÇA

Não existe um único mecanismo capaz de prover todos os serviços anteriormente citados, mas a maioria deles faz uso de técnicas criptográficas baseadas na codificação da informação. As mais importantes são as seguintes:

Intercâmbio de autenticação: corrobora que uma entidade, seja origem ou destino da informação, é a desejada, por exemplo, A envia um número aleatório codificado com a senha pública de B, B o decifra com sua senha privada e é reenviado a A, demonstrando assim que é quem pretende ser. Claramente, há que ser cuidadoso à hora de desenhar estes protocolos, já que existem ataques para desbaratá-los. (LEINWAND, 1996)

Codificação: garante que a informação não é inteligível para indivíduos, entidades ou processos não autorizados (confidencialidade). Consiste em transformar um texto aberto mediante um processo de codificação num texto cifrado, graças a uma informação secreta ou senha de codificação. Quando se emprega a mesma senha nas operações de cifrado e decifrado, diz-se que o criptossistema é simétrico. Estes sistemas são bem mais rápidos que os de senha pública, resultando apropriados para funções de senha de grandes volumes de dados. Pode-se dividir em duas categorias: codificadores de bloco, que cifram os dados em blocos de tamanho fixo (tipicamente blocos de 64 bits), e codificadores de fluxo, que trabalham sobre fluxos contínuos de bits. Quando se utiliza uma dupla de senhas para separar os processos de cifrado e decifrado, diz-se que o criptossistema é assimétrico ou de senha pública. Uma senha, a privada, mantém-se secreta, enquanto a segunda senha, a pública, pode ser conhecida por todos. De forma geral, as senhas públicas se utilizam para cifrar e as privadas, para decifrar. O sistema tem a propriedade de que a partir do conhecimento da senha pública não é possível determinar a senha privada. Os criptossistemas de senha pública, ainda que mais lentos do que os simétricos, resultam adequados para as funções de autenticação, distribuição de senhas e assinaturas digitais.

Integridade de dados: este mecanismo implica o cifrado de uma corrente comprimida de dados a transmitir, denominada geralmente valor de comprovação de integridade (Integrity Check Avaliation ou ICV). Esta mensagem se envia ao receptor junto com os dados ordinários. O receptor repete a compressão e o cifrado posterior dos dados e compara o resultado obtido com o que lhe chega, para verificar que os dados não foram modificados. (WADLOW, 2000)

Assinatura digital: este mecanismo implica na codificação, por meio da senha secreta do emissor, de uma corrente comprimida de dados que vai transferir. A assinatura digital se envia junto com os dados ordinários. Esta mensagem se processa no receptor, para verificar sua integridade. Joga um papel essencial no serviço de não repúdio.

Controle de acesso: esforço para que só aqueles usuários autorizados acedam aos recursos do sistema ou à rede, como por exemplo mediante as contra-senhas de acesso.

Tráfego de preenchimento: consiste em enviar tráfego espúrio junto com os dados válidos para que o atacante não saiba se se está enviando informação, nem que quantidade de dados úteis se está transmitindo.

Controle de encaminhamento: permite enviar determinada informação por determinadas zonas consideradas classificadas. Assim mesmo possibilita solicitar outras rotas, em caso que se detectem persistentes violações de integridade numa rota determinada. (KUROSE, 2003)

Unicidade: consiste em adicionar aos dados um número de seqüência, a data e hora, um número aleatório, ou alguma combinação dos anteriores, que se incluem na assinatura digital ou integridade de dados. Desta forma se evitam ameaças como a reatuação ou re-sequenciamento de mensagens.

É normal que por sua extensão seja impossível tratar todas as técnicas em sua monografia ou seu TCC, porém escolha os mais adotados na bibliografia, converse com seu professor orientador de monografias e aborde as técnicas escolhidas pelas entidades de seu estudo de caso.

Os mecanismos básicos podem agrupar-se de várias formas para proporcionar os serviços previamente mencionados. Convém ressaltar que os mecanismos possuem três componentes principais:

Uma informação secreta, como senhas e contra-senhas, conhecidas pelas entidades autorizadas.

Um conjunto de algoritmos, para levar a cabo a codificação, decifrado, hash e geração de números aleatórios.

Um conjunto de procedimentos, que definem como se usarão os algoritmos, quem envia que a quem e quando. (CHESWICK, 2005)

Assim mesmo é importante notar que os sistemas de segurança requerem uma gestão de segurança A gestão compreende dois campos bem amplos:

Segurança na geração, localização e distribuição da informação secreta, de maneira que só possa ser acedida por aquelas entidades autorizadas.

A política dos serviços e mecanismos de segurança para detectar infrações de segurança e empreender ações corretivas.

Os "crackers”, piratas ou violadores informáticos com interesse em atacar um sistema para obter benefícios de forma ilegal, os "hackers" que são aqueles que o fazem simplesmente como passatempo e desafio técnico (mais respeitosos do que aqueles com a informação) e os "sniffers" que rastreiam e observam todas as mensagens que há na rede, constituem novas tipologias de intrusos que cada vez estão adquirindo maior relevância no panorama da segurança. (CHESWICK, 2005)

Os "crackers" uma vez que acedem a um sistema podem entre outras coisas colecionar as senhas de acesso dos diferentes nodos e sistemas da rede para seu posterior uso ou deixar programas que lhes permitem o posterior acesso ao sistema, o objetivo deste é aceder ao sistema operativo ao mais alto grau de prioridade para controlar as aplicações, apagar arquivos, introduzir um vírus, Os Agentes externos não constituem, no entanto, o maior perigo para uma rede área global, um estudo realizado em mais de 2000 companhias encontrou que 65% dos gastos incorridos (mais de 5 bilhões anuais de dólares em perdas) foram gerados por erros e mau uso dos próprios usuários da rede e não por agentes externos. O exemplo mais claro se encontra nos vírus informáticos: 90% dos vírus se introduzem nas organizações pelos próprios usuários através de programas, jogos, disquetes, etc. que nunca deveriam ser usados e que em algum caso tinham proibido fazê-lo.

 

ACESSE NOSSO BLOG DE MONOGRAFIAS

 

Veja mais artigos e temas de monografia e tcc de Informática e Computação:

METODOLOGIA ITIL DE GESTÃO DE TI

PROTOCOLOS JAVA PARA TELEVISÃO DIGITAL

 

 
COPYRIGHT