Anteprojeto - TC-online - Feevale

CENTRO UNIVERSITÁRIO FEEVALE
INSTITUTO DE CIÊNCIAS EXATAS E TECNOLÓGICAS
CURSO DE CIÊNCIA DA COMPUTAÇÃO
Sugestão de política de segurança da informação para redes
corporativas
por
CÉSAR ADRIANO BAUER
cesar_bauer@brturbo.com.br
Marcelo Iserhardt Ritzel
ritzel@feevale.br
Novo Hamburgo, março 2006

2
Sumário
Dados de Identificação ..........................................................................................................3
Resumo .................................................................................................................................4
Motivação .............................................................................................................................5
Objetivos ...............................................................................................................................8
Metodologia .................................................................................................................... ....9
Cronograma .........................................................................................................................10
Bibliografia .........................................................................................................................11

3
Dados de Identificação
Área de Estudo: Segurança em TI
Título provisório do trabalho: Sugestão de política de segurança da informação para
redes corporativas
Orientador(a): Marcelo Iserhardt Ritzel
Identificação do aluno:
Nome: Cesar Adriano Bauer
Telefones:
Celular: 840-71454
Residencial: 3587-3016
Comercial:
E-mail: cesar_bauer@brturbo.com.br

4
Resumo
A cada dia aumenta a quantidade de incidentes relacionados com a
segurança dos sistemas de informação, o que compromete as empresas atingidas,
especialmente em uma época em que a informação é o bem mais precioso. Muitos
trabalhos já foram feitos no campo acadêmico e profissional para preservar o sigilo
das informações, porém muito ainda ha por fazer.
O trabalho esta inserido no campo da tecnologia da informação, mais
especificamente em segurança e vai abordar assuntos como controle de acesso,
tratamento de incidentes, procedimentos de segurança, analise de riscos, entre
outros. Além dos riscos diretos às informações como vírus, trojans, backdoors,
ataques de hackes e as formas de combatê-los ou minimizar a extensão de seus
danos.
Este trabalho tem por objetivo a criação de um conjunto de regras e
procedimentos utilizando recursos de TI (Tecnologia da Informação) para segurança
de redes corporativas. Estas serão baseadas em políticas sugeridas por empresas
e material de segurança encontrado na Internet atendendo à normas internacionais
como a ISO017799 e BS017799. Será também realizada a implantação dessas
política em uma empresa para testar sua eficácia e aperfeiçoá-la.

5
Motivação
A segurança das empresas, principalmente com relação ao sigilo dos dados
nunca foram tão ameaçados quanto nas ultimas décadas. E com a Internet reunindo
cada vez maior porcentagem dos negócios das empresas e a crescente
automatização dos processos produtivos através do uso de computadores, medidas
para preservar esse sigilo e integridade se fazem necessárias.
Segundo ALASI (2005), um estudo realizado pela Universidade do Texas,
apenas 6% das empresas que sofrem um desastre informático sobrevivem.
Pesquisas do Gartner Group, ainda que mais moderadas, confirmam essa tendência
ao indicar que duas de cada cinco empresas que enfrentam ataques ou danos em
seus sistemas deixam de existir.
De forma a exemplificar, recentemente foi publicada uma notícia 1 sobre um
vírus desenvolvido para lançar ataques em massa e a forma de se prevenir contra
ele a fim de evitar conseqüências indesejadas. Trata-se de um vírus do tipo worm
que se propaga com os nomes LoveSan, Blaster ou MSBlaster e se aproveita de
uma falha na segurança do Windows® 2000 e do Windows® XP, mais
especificamente no software que permite compartilhar arquivos com outras
máquinas. Sua finalidade é reunir computadores para realizar um ataque hacker
contra um site da Microsoft.
O vírus Blaster não tem muito em comum com as pragas informáticas
tradicionais: não se propaga pelos meios habituais, apenas circula pela Internet em
busca de máquinas nas quais possa realizar seu ataque. Esse é um exemplo claro
de como uma vulnerabilidade do Windows pode ser aproveitada por pessoas mal
intencionadas. Essa vulnerabilidade, denominada RPC DCOM, consiste em um
desdobramento do buffer na interface RPC e foi qualificada como "crítica" pela
própria Microsoft. Ela afeta as versões NT 4.0, 2000, XP e Windows Server 2003.
Em linhas gerais, trata-se de um problema de segurança que permitiria
controlar todos os computadores de forma remota.
Em outra situação, segundo a HISPASEC (2000), dados de mais de 5.000
pacientes foram copiados dos sistemas do Washington Medical Center, o maior
1 Noticia publicada em http://www.mundoenlinea.cl/noticia.php?noticia_id=638&categoria_id=35

6
hospital universitário de Seattle. O intruso, apelidado de "Kane", aproveitou algumas
vulnerabilidades no servidor do departamento de patologia do hospital para realizar
sua primeira incursão. Uma vez dentro desse servidor, instalou "sniffers" para
monitorar o tráfego da rede e conseguir, assim, os nomes dos usuários e as senhas
do pessoal do hospital. Graças a essas credenciais, teve acesso a milhares de
fichas dos departamentos de cardiologia e reabilitação.
Segundo fontes do próprio hospital, começou a haver suspeitas da invasão
no verão passado, mas não se sabia ao certo o alcance real do incidente. O
anúncio de "Kane" colocado em alguns fóruns de segurança, entre eles o
SecurityFocus, e o envio de algumas fichas confidenciais como prova do ocorrido
acabaram alertando os responsáveis pelo hospital, que denunciaram o fato ao FBI.
O hospital tenta minimizar o fato, argumentando que só os dados
administrativos e as pesquisas ficaram expostos, e não o histórico clínico dos
pacientes. Nos fóruns de segurança, falava-se da ética hacker e que a única
intenção de "Kane" era alertar sobre as vulnerabilidades descobertas e que ele não
pretendia, de forma alguma, danificar o sistema ou se aproveitar da informação
obtida. Por último, o FBI tenta encontrar a origem da invasão, que os primeiros
indícios apontam para a Europa.
Estes e outros casos similares acontecem todos os dias, não apenas contra
grandes empresas, mas também usuários domésticos. A finalidade deste trabalho é
minimizar os riscos de situações como essas acontecerem, identificando os riscos
aos quais a empresa está exposta e fornecendo os instrumentos que ela precisa
para se proteger.
A idéia deste trabalho é criar um conjunto de regras e procedimentos de
segurança, utilizando de proteção diferenciadas de acordo com a importância dos
ativos. Esse conjunto de regras deve poder ser usado por uma grande variedade de
empresas, usando recursos de hardware e software disponíveis, instrumentalizando
quando necessário com antivírus, monitores de rede, firewall, etc. Preferencialmente
gratuitos ou de baixo custo.

7
Objetivos
Este trabalho tem como objetivo o desenvolvimento de uma política de
segurança para sistemas de informações, propondo uma metodologia de aplicação
e testes, com atenção especial para o correio eletrônico. Além disso será realizada
uma auditoria em uma empresa a partir da metodologia proposta pelo autor com
vistas a avaliação de sua eficácia.
Ainda terá como objetivos especificos:
➔ estudar e avaliar os riscos de vírus e outros para a segurança dos
servidores;
➔ sugerir mudanças nos servidores para minimizar danos em caso de
contágio e/ou invasão;
➔ planejar a gestão de segurança dos dados nos servidores de rede;
➔ planejar uma proposta de contingências, como proceder em casos de
ataques de vírus ou hakers.

8
Metodologia
A metodologia para este trabalho será a da pesquisa teórica/prática baseada
nos estudos desenvolvidos pelos principais autores relacionados ao tema de
pesquisa. As seguintes tarefas serão desenvolvidas:
1) Revisão teórica sobre sistemas de informação;
2) Revisão teórica sobre vulnerabilidades;
3) Revisão teórica sobre políticas internacionais de segurança como a
ISO17799;
4) Revisão teórica sobre riscos e ameaças: ataques mais comuns, vírus, etc;
5) Revisão teórica sobre tecnologias de segurança de TI;
6) Definição de ativos 2 ;
7) Elaboração de estrutura de uma proposta preliminar de política de
segurança;
8) Elaboração TC 1;
9) Elaboração de um conjunto de regras e procedimentos de segurança;
10)Elaboração de uma metodologia para teste de segurança;
11)Realização de uma auditoria com base no modelo proposto na empresa
teste;
12)Realização de nova auditoria após a implantação da política de segurança;
13)Elaboração de um check-list de tarefas e planos de contingência;
14)Elaboração TC 2.
O TC1 compreenderá o estado da arte de toda a parte teórica necessária ao
desenvolvimento do projeto até a definição de estrutura de uma proposta preliminar
de política de segurança.
O TC2 será construído a partir dos resultados obtidos do estudo de caso
desenvolvido na empresa teste, auxiliando a definição de uma política de segurança
e metodologia de auditoria de forma mais detalhada. Será avaliada a eficácia da
nova proposta a partir de testes da sua implementação na empresa teste.
2 Um ativo é todo elemento que compõe o processo da comunicação, partindo da informação, seu emissor, o
meio pelo qual ela é transmitida, até chegar a seu receptor.

9
Cronograma
Atividade mar abr mai jun jul ago set out nov dez
Revisão teórica sobre
sistemas de informação
Revisão teórica sobre
vulnerabilidades
Revisão teórica sobre riscos
e ameaças: ataques mais
comuns, vírus, etc
Revisão teórica sobre
tecnologias de segurança de
TI
Definição de ativos
Revisão teórica sobre a
políticas internacionais de
segurança como ISO17799
Elaboração de estrutura de
uma proposta preliminar de
política de segurança
Elaboração TC 1
Elaboração de um conjunto
de regras e procedimentos
de segurança
Elaboração de uma
metodologia para teste de
segurança
Realização de uma auditoria
com base no modelo
proposto na empresa teste
Realização de nova auditoria
após a implantação da
política de segurança
Elaboração de um check-list
de tarefas e planos de
contingência
Elaboração TC 2

10
Bibliografia
HISPASEC (2000) - Invasão nos sistemas de um hospital disponível em
http://www.hispasec.com/unaaldia/784 acesso em 12 de março de 2006.
§
ALASI(2005) - Academia latino americana de segurança da Informação, modulo
1-8 disponíveis em http\\www.tecnet.com.br\academia\ acesso em 12 de março de
2006.
Ulbrich e Della Valle (2003) Ulbrich, Henrique Cesar e Della Valle, James.
Universidade Hacker, 2º ed. São Paulo: Digerati, 2003. 348p.
Aker (2006) – Aker Security Solutions – disponivel em
http://www.aker.com.br/index.php acesso em 12 de março de 2006.
Scua (2006) – Scua Segurança da informação – disponivel em
http://www.scua.com.br/ acesso em 12 de março de 2006.
Axur (2006) – Axur Information Security – disponivel em http://www.axur.com.br
acesso em 12 de março de 2006.
ITI (2006) - O Instituto Nacional de Tecnologia da Informação - disponivel em
http://www.iti.gov.br/ acesso em 12 de março de 2006.
Modulo (2006) – Modulo security – disponivel em http://www.modulo.com.br acesso
em 12 de março de 2006.
E-trust – E-Trust disponivel em http://www.e-trust.com.br/ acesso em 12 de março
de 2006.

11
PS (2006) – PS Engenharia de produção disponivel em
http://www.contingencia.com.br/ acesso em 12 de março de 2006.
Cert-br(2006) – CERT.br - Centro de Estudos, Resposta e Tratamento de Incidentes
de Segurança no Brasil - disponivel em http://www.cert.br/ acesso em 12 de março
de 2006.
CAIS (2006) - Centro de Atendimento a Incidentes de Segurança – disponivel em
http://www.rnp.br/cais/ acesso em 12 de março de 2006.
Mcafee (2006) – Mcafee antivírus – disponivel em http://www.mcafee.com.br/
acesso em 12 de março de 2006.
Symantec (2006) – disponivel em http://www.symantec.com.br/ acesso em 12 de
março de 2006.
Abranet (2006) - Associação Brasileira dos Provedores de Acesso, Serviços e
Informações da Rede Internet - disponivel em http://www.abranet.org.br/ acesso em
12 de março de 2006.
Ferreira (2006) - Ferreira, Fernando Nicolau Freitas; Araújo Marcio, Tadeu de.
Políticas de segurança da informação Rio de Janeiro: Ciência Moderna, 2006. 178p.