1

Curso de Cincia da Computao

Disciplina: Segurana e Auditoria da Informao - 8 perodo
Professor: J os Maurcio S. Pinheiro


AULA 2: Segurana Fsica e Segurana Lgica

Segurana Fsica e Lgica em Redes de Comunicao

"A estratgia vencedora de negcios consiste em operaes focadas no
mercado, e suportadas por uma TI/SI - Tecnologias e Sistemas de Informao
que funcione com a mxima eficincia.
Uma rede de comunicao bem planejada e implementada garante a empresa
que seus Sistemas de Informao estaro muito mais tempo em
funcionamento, evitando perdas de produtividade e lucratividade. Portanto,
aspectos de seguranas fsica e lgica devem ser observados e
constantemente avaliados, para suportar os negcios da empresa. A
implementao de segurana em redes de computadores deve ocorrer sob
dois aspectos:

Segurana Fsica.
Segurana Lgica.

Segurana Fsica

A segurana fsica o primeiro aspecto que deve ser considerado no que se
refere proteo do hardware de redes de computadores, tendo em vista a
proteo de dados e informaes. O nvel de segurana fsica depender:
Do tamanho da empresa;
Da importncia dos dados;
Dos recursos disponveis para implementao da segurana.

A segurana fsica dever contemplar:

Acesso s instalaes da empresa:
Controle de veculos e pessoas;
Controle de pessoas na rea de Informtica, com registros de
acessos, escritos ou em fitas;
Utilizao de equipamentos e Tecnologias de segurana de
acesso a reas restritas.

Sistemas eltricos:
Sistema de aterramento eficiente;
Rede eltrica estabilizada e especfica para equipamentos crticos
de informtica;
Utilizao de equipamentos do tipo "No-Break" ou UPS;
OUTROSTRABALHOSEM:
www.projetoderedes.com.br

2
Cabeamento eltrico separado do cabeamento de redes de
computadores e telefonia;
Utilizao de protetores contra surtos eltricos e rudos.

Sistemas contra incndios:
Cofres e salas especiais para armazenar arquivos e
equipamentos crticos de informtica;
Identificao e manuteno dos equipamentos contra incndio;
Sinalizao para localizao dos equipamentos contra incndio;
Equipe treinada para situaes de emergncia.

Proteo dos cabos de rede:
Utilizar cabeamento e conectores segundo padro de boa
qualidade;
Utilizar protetores adequados para linhas de transmisso de
dados e de telefonia;
Utilizar cabeamento estruturado;
Identificar os cabos crticos, principalmente backbones de fibras
pticas.

Proteo de servidores e redes:
Instalao de Servidores em salas apropriadas, longe de
condies climticas e ambientais que possam danific-las e com
restrio de acessos;
Instalao de Firewall (Hardware) nos pontos de conexo externa
da rede.

Segurana Lgica

A segurana lgica um conjunto de meios e procedimentos para preservar
integridade e controle de acesso s informaes e recursos contidos nos
servidores e computadores centrais, sejam os mesmos armazenados em fitas
ou discos, de forma que no sejam manipulados por pessoas no autorizadas.
A segurana lgica dever contemplar:

Acesso aos recursos:
Compartilhamento protegido por Senhas;
Controle das permisses de acesso a nvel individual e de grupo,
atravs de Contas e Senhas;
Certificao Digital.
Firewall (Software) Proxy Server.

Acesso aos arquivos:
Implementao e manuteno de software Antivrus;
Criptografia;
Assinaturas digitais;

3
Controle de permisses em nvel de informao;
SGBD de boa qualidade.

Proteo dos dados:
Rotinas de BACKUP / RESTORE eficientes, com log das
atividades do backup;
Utilizao modernas mdias de armazenamento (DAT, DDS,
Mdias pticas, etc.);
Renovar constantemente as mdias de Backup;
Manter as mdias onde esto os Backups fora da rea de
Informtica e, preferencialmente mant-las em cofre contra
incndios;
Contratao Servios Storage remoto (Backup atravs de VPN);
Sistema de tolerncia falha.

Esses sistemas protegem os dados, duplicando-os e colocando-os em
diferentes fontes fsicas, tais como: diferentes parties ou discos. Ambientes
com Sistemas tolerantes a falha nunca devem substituir um bom sistema de
Backup.

Sistemas de Proteo e Preveno de Intruso

A segurana deve ser uma preocupao bsica ao se elaborar o projeto de
uma rede de computadores. Normalmente a segurana inversamente
proporcional simplicidade e facilidade de uso / configurao da rede. Por
exemplo, um servidor da rede pode centralizar diversos servios para atender a
rede externa (Internet) e a rede privada (interna). Esta configurao gera
problemas de segurana como:

Exposio da rede interna Internet - Os servios da rede interna (e-
mail, por exemplo) estando localizados na mesma mquina que prov os
servios externos (web, por exemplo), deixaro os dados do usurio
expostos em caso de uma invaso;
Maior fragilidade a vulnerabilidades - O fato de concentrar muitos
servios em uma nica mquina gera esse tipo de problema, pois quanto
mais servios disponveis, mais vulnerabilidades podem ser exploradas e,
conseqentemente, existe um maior grau de exposio e risco de invaso;

Opo pelo firewall

O Firewall opera nas camadas de transporte e de rede do modelo TCP/IP,
tendo como principal finalidade a filtragem de pacotes. Ele analisa todos os
pacotes que entram ou saem de todas as interfaces de rede a ele conectadas,
ou seja, tanto pacotes destinados diretamente ao Firewall, quanto destinados a
qualquer host conectado a ele por meio de alguma de suas interfaces de rede.
Sua principal funo tambm bloquear todas as portas quem no estejam
sendo utilizadas.

4
Um firewall uma passagem (gateway) que restringe e controla o fluxo do
trfego de dados entre redes, mais comumente entre uma rede interna e a
Internet. O firewall pode tambm estabelecer passagens seguras entre redes
internas. Implantar um firewall, com regras rgidas de segurana e que no
permita que as mquinas da rede sejam acessadas por mquinas remotas
uma grande conquista em termos de segurana.
Por vezes, algumas mquinas da rede precisam receber acessos externos, o
caso de servidores SMTP e servidores Web, por exemplo. Para permitir que
estas mquinas possam desempenhar suas funes, mas que ao mesmo
tempo o restante da rede continue protegida, muitos firewalls oferecem a opo
de criar uma zona onde essa vigilncia mais fraca conhecida como DMZ.
Nesse caso, o controle de acesso a Internet pode ser feito atravs de um
projeto de DMZ permitindo que todo o trfego entre os servidores da empresa,
a rede interna e a Internet passe por um firewall e pelas regras de segurana
criadas para a proteo da rede interna.
Assim, o firewall se torna um nico ponto de acesso rede em que o trfego
poder ser analisado e controlado por meio de scripts no firewall que definem o
aplicativo, o endereo e os parmetros de usurio. Esses scripts ajudam a
proteger os caminhos de conectividade para redes e centros de dados
externos.


Figura 1 - Rede com firewall e DMZ

Rede de Permetro

O termo rede de permetro refere-se a um segmento de rede isolado no ponto
em que uma rede corporativa alcana a Internet. As redes de permetro
destinam-se a criar um limite que permite a separao do trfego entre redes
internas e externas. Com este limite, possvel categorizar, colocar em
quarentena e controlar o trfego da rede de uma empresa. A segurana de
permetro proporcionada por um dispositivo de permetro, como um firewall,
por exemplo, que inspeciona os pacotes e as sesses para determinar se
devem ser transmitidos para a rede protegida ou a partir dela ou ser
abandonados.
Os servios e servidores que devem interagir com a Internet externa
desprotegida so colocados na rede de permetro (conhecida como zona

5
desmilitarizada) e na sub-rede filtrada. Isto ocorre para que, caso invasores
consigam explorar vulnerabilidades em servios expostos, possam avanar
apenas uma etapa no acesso rede interna confivel.


Figura 2 - Rede de permetro

Zona Desmilitarizada DMZ

Uma DMZ ou ainda Zona Neutra corresponde ao segmento ou segmentos de
rede, parcialmente protegido, que se localiza entre redes protegidas e redes
desprotegidas e que contm todos os servios e informaes para clientes ou
pblicos. A DMZ pode tambm incluir regras de acesso especfico e sistemas
de defesa de permetro para que simule uma rede protegida e induzindo os
possveis invasores para armadilhas virtuais de modo a se tentar localizar a
origem do ataque.
Podemos ter dois tipos de DMZs: a interna, s acessada pelo usurio da rede
interna e a DMZ externa, acessada por qualquer usurio da Internet. Este
conceito aliado ao de VLANs tambm permite a implantao de DMZs
privadas, ou seja, a possibilidade de DMZs especficas para cada cliente de
hosting ou para a hospedagem de servidores.
As DMZs so subredes onde se hospedam os servidores/servios de um
provedor, protegidos contra ataques da Internet por um firewall. Em geral
necessrio especificar uma faixa de endereos IP, ou informar diretamente os
endereos das mquinas que devem ser includas nessa zona.

Implantao da DMZ

O projeto lgico de uma rede que visa conexes com a Internet deve envolver
a criao de uma DMZ. Esta DMZ ser protegida por um sistema de defesa de
permetro, onde os usurios de Internet podem entrar livremente para acessar
os servidores web pblicos, enquanto que os dispositivos localizados nos
pontos de acesso (firewall, switch e servidor de permetro) filtram todo o trafego
no permitido, como por exemplo, pacotes de dados que tentam prejudicar o

6
funcionamento do sistema. Ao mesmo tempo a rede interna privada esta
protegida por outro firewall.
A zona desmilitarizada comporta-se como uma outra sub-rede, atrs de um
firewall, onde temos uma mquina segura na rede externa que no executa
nenhum servio, mas apenas avalia as requisies feitas a ela e encaminha
cada servio para a mquina destino na rede interna. No caso de uma invaso
de primeiro nvel, o atacante ter acesso apenas ao firewall, no causando
problema algum para a rede da empresa. J em invases de segundo nvel, o
atacante conseguir passar do firewall para a sub-rede interna, mas ficar
preso na mquina do servio que ele explorar.
Em todos os casos, devem-se analisar com cuidado quais servios podem ser
colocados dentro da DMZ. Por exemplo, na maioria das situaes, o servidor
de e-mail inserido na DMZ. Nesse caso, em uma invaso ao servidor de e-
mail, os nicos dados que podero ser comprometidos so os e-mails e mais
nenhum outro. J a colocao de um servidor de DNS em uma DMZ no
recomendvel para a segurana da rede. Como uma DMZ permite acesso
menos seguro para alguns segmentos da rede, a colocao desse servidor
nesta situao poderia comprometer a segurana dos endereos de todos os
servidores da rede local e roteadores.
Convm salientar que durante a elaborao do projeto da rede,
recomendvel se manter os servios separados uns dos outros. Assim, ser
possvel adotar as medidas de segurana mais adequadas para cada servio.


Figura 3 - Exemplo de rede com DMZ


IDS (Intrusion Detection System)

Uma infra-estrutura de segurana de rede mais simples consiste em um firewall
implementado no permetro. Isso funciona bem quando h uma interao
limitada entre as redes externas e internas, quando os usurios internos so
confiveis e quando o valor das informaes na rede limitado. Entretanto, os

7
aplicativos na rede e a interao entre redes aumentaram significativamente, o
nvel de confiana nos usurios internos diminuiu consideravelmente e o
acesso vem se estendendo a um pblico maior, incluindo parceiros e
funcionrios temporrios. Os agressores e suas ferramentas esto muito mais
sofisticados. E, o mais perigoso, as informaes disponveis em rede se
tornaram ainda mais cruciais para a execuo de negcios.
Recentemente, vrias empresas passaram a aumentar suas infra-estruturas de
segurana para acomodar essas mudanas. Atravs de sistemas de deteco
de vrus, verificadores de vulnerabilidades, codificao e sistemas de deteco
de intruses (IDS), as empresas vm se esforando para detectar e prevenir
ameaas segurana de suas redes. Todas essas tecnologias apresentam
complexidades e dificuldades, mas principalmente os sistemas de deteco de
intruses enfrentam desafios complexos.
Considerado freqentemente como uma das principais linhas de defesa contra
agressores, a deteco de intruses se tornou rapidamente um componente
crucial de um bom sistema de defesa. Eles so desenvolvidos baseando-se
nos tipos conhecidos de ataques e tambm verificando alteraes de
comportamento do trfego da rede. Sempre que detectada alguma alterao
no comportamento do trfego ou identificando algum tipo de ataque, ele pode
enviar algum tipo de alerta aos administradores da rede, contra-atacar ou
simplesmente se defender baseado em alguma configurao pr-definida.

Deteco de Anomalias na Rede

Uma anomalia definida como algo diferente, anormal, peculiar ou que no
seja facilmente classificado. Apesar desse conceito se aplicar a praticamente
tudo, estamos interessados em como se aplica segurana de computadores.
Neste contexto, uma anomalia pode ser definida como aes ou dados que no
sejam considerados normais por um determinado sistema, usurio ou rede.
Essa definio abrange ainda uma grande variedade de itens e pode incluir
tpicos como padres de trfego, atividades dos usurios e comportamento de
aplicativos. Acredita-se que pelo menos uma significativa poro das ameaas
ou condies que causem alarme deve manifestar-se como anomalias, sendo
assim detectveis.
A maioria dos sistemas de deteco de anomalias que se concentram em
segurana normalmente se enquadra em trs categorias gerais:
comportamental, padro de trfego ou protocolo.
Os sistemas que procuram por anomalias em padres de comportamentos
(normalmente o comportamento de usurios) so considerados sistemas de
anomalias comportamentais. Esses sistemas so normalmente de
caractersticas, porm eles podem abranger tambm alguns critrios de
estatsticas, como os tipos de aplicativos e protocolos usados em vrias horas
do dia, a relao entre a origem e o destino das atividades da rede ou at
mesmo os tipos de anexos de e-mail que so enviados atravs de um sistema.
Os sistemas que procuram por anomalias em padres de trfego da rede so
considerados sistemas de anomalias no padro de trfego. Esses normalmente
so de natureza estatstica, apesar de inclurem algumas caractersticas como
volume de trfego, mistura de protocolos e vrias distribuies na origem e no

8
destino. Para ilustrar, considere algum gerenciamento de rede ou sistemas
simples de monitorao de negao de servios, que possuem a vantagem de
operar em um domnio muito maior e variado, e que podem ser criados a partir
de um nmero de bons modelos de estatsticas. Porm, a desvantagem que
esses sistemas freqentemente no so capazes de detectar a maioria das
anomalias qualitativas ou quantitativas sutis. Eles apresentam tambm
algumas dificuldades na definio de uma base confivel para o desempenho
da anlise de estatsticas.
Os sistemas que procuram por anomalias em protocolos so considerados
sistemas de anomalias de protocolos. Normalmente sistemas de
caractersticas, esses tendem a variar um pouco de acordo com a
implementao, mas os mais eficientes so freqentemente implementados
como sistemas de modelo rgido. Esse tipo de sistema tira proveito do fato de
que os protocolos sozinhos so geralmente muito restritos. Eles tendem a
limitar muito a natureza e ordem das transaes e so geralmente muito bem
descritos por alguma implementao ou documento de referncia. Sendo
assim, possvel construir um modelo bastante rgido do que deve ocorrer e
qualquer divergncia desse modelo pode ser facilmente observada. Outra
vantagem desse sistema que ele pode detectar uma grande variedade de
anomalias dentro do espao do protocolo, e pode ser construdo com muita
eficincia. A desvantagem, porm, que pode ser difcil de estimar o efeito da
anomalia observada de forma acurada, e que alguns tipos de transaes de
protocolo problemticas (como ataques, por exemplo) no se manifestam como
anomalias.

Segurana Integrada

Esse mtodo de segurana combina vrias tecnologias de segurana com
compatibilidade de poltica, gerenciamento, servio e suporte, e pesquisa
avanada para a proteo completa. Atravs da combinao de vrias funes,
a segurana integrada pode proteger com mais eficincia contra uma variedade
de ameaas em cada nvel para minimizar os efeitos dos ataques de rede.
As tecnologias de segurana principais que podem ser integradas incluem:

Firewall - Controla todo o trfego de rede atravs da verificao das
informaes que entram e saem da rede (ou parte dela) para ajudar a
garantir que nenhum acesso no autorizado ocorra;
Deteco de Intruso - Detecta o acesso no autorizado e fornece
diferentes alertas e relatrios que podem ser analisados para
polticas e planejamento da segurana;
Filtragem de Contedo - Identifica e elimina o trfego no desejado
de informao;
Redes Privadas Virtuais (VPN) - Assegura as conexes alm do
permetro, permitindo que organizaes se comuniquem com
segurana com outras redes atravs da Internet;

9
Gerenciamento de Vulnerabilidade - Permite a avaliao da
posio de segurana da rede descobrindo falhas de segurana e
sugerindo melhorias;
Proteo com Programas Antivrus - Protege contra vrus, worms,
Cavalos de Tria e outras pragas virtuais.

Individualmente, essas tecnologias de segurana podem ser incmodas para
instalar e geralmente so difceis e caras de gerenciar e atualizar. Entretanto,
quando integradas em uma soluo nica, elas oferecem uma proteo mais
completa enquanto a complexidade e o custo so reduzidos.