Guia sobre como proteger servidores de Intranet e Extranet

VeriSign - Guia sobre como proteger servidores de Intranet e Extranet
Página 4 de 20
A Figura 2 ilustra como o crescimento na complexidade da rede aumentou os pontos
potenciais de ataque, tanto de fora como de dentro das organizações. Felizmente, os meios de
proteção contra estes ataques também se aperfeiçoaram.
Os firewalls e as senhas são duas das precauções de segurança mais utilizadas hoje em dia.
As senhas destinam-se a impedir que pessoas não autorizadas tenham acesso direto aos
dados confidenciais armazenados em servidores. Os firewalls, ao contrário, destinam-se a
fornecer um mecanismo de defesa perimétrico, evitando que pessoas não autorizadas de fora
da empresa tenham acesso a dados confidenciais dentro da empresa. Segundo um estudo
recente da IDC, praticamente 100% das empresas da lista da Fortune 500 já instalaram
firewalls.
Apesar do seu importante papel na segurança de redes e de sua adoção tão difundida, a
solução fornecida pelos firewalls é parcial. Como mostrado na Figura 2, as defesas
perimétricas pouco podem fazer para impedir ataques vindos de dentro da empresa (ex.:
funcionários ou empreiteiros descontentes, etc.). As senhas também não surtem melhor efeito
contra ataques internos. A maioria das senhas são sabidamente fáceis de adivinhar. Quando
não são adivinhadas, podem ser encontradas com freqüência nos mousepads dos funcionários,
ou ainda, interceptadas enquanto transitam às claras pelas redes da empresa.
Mesmo quando as senhas não são adivinhadas ou quando são utilizados métodos mais
sofisticados de controle de acesso, é importante observar que o controle de acesso sozinho
não garante que as informações permanecerão confidenciais. Embora um bom sistema de
senhas possa evitar que alguém penetre em um servidor para obter informações confidenciais,
as senhas não protegem os dados quando eles passam "pelo fio" para irem do servidor para o
cliente.
Isto também se aplica a dados que passam por fora do firewall, trocados entre os servidores
das empresas e filiais, clientes, fornecedores ou funcionários longe da empresa. A qualquer
hora em que estes dados forem enviados dos servidores para as empresas por fora do seu
firewall, eles poderão ser interceptados por "farejadores". Os piratas (hackers) não precisam
"entrar" no seu sistema, se você estiver enviando dados fora do perímetro.
Tipos de riscos de segurança encontrados em Intranets e Extranets
As brechas de segurança em Intranets e Extranets podem assumir várias formas. Por
exemplo:
• Uma pessoa não autorizada (como um empreiteiro ou um visitante) poderia ter acesso
ao sistema de computadores de uma companhia.
• Um funcionário ou fornecedor autorizado a usar o sistema com uma finalidade poderia
usá-lo com outra. Por exemplo, um engenheiro poderia violar o banco de dados de
Recursos Humanos para obter informações confidenciais sobre salários.
• Informações confidenciais poderiam ser interceptadas quando estivessem sendo
enviadas para um usuário autorizado. Por exemplo, um intruso poderia prender à sua
rede um dispositivo farejador de redes. Embora os farejadores sejam normalmente
usados para diagnósticos de redes, também podem ser utilizados para interceptar dados
transmitidos através do fio.
• Os usuários podem compartilhar documentos entre escritórios separados
geograficamente através da Internet ou Extranet, ou ainda, funcionários que acessem a
Intranet da empresa a partir de seu computador em casa podem deixar a descoberto
dados confidenciais quando enviados pelo fio.
• O correio eletrônico pode ser interceptado durante o seu trajeto.
Estas não são meras preocupações teóricas. Embora nos últimos anos tenham sido muito
divulgados na mídia os ataques de hackers pela Internet a sistemas computacionais de
empresas, na realidade, é muito mais provável que um ataque aos sistemas de computador da
file://D:\Projetos\CertiSign\prot_intra_extranet\documento_guia3.html
26/3/2004