Segurança Da Informação

Princpios da Segurana da Informao
Confidencialidade: proteger todas as informaes contra o

acesso no autorizado e permitido.
Integridade: evitar que os dados sejam alterados ou deletados.
Introduo ao Conceito de
Segurana da Informao
Prof. Afonso Bazolli
Disponibilidade: evitar que as informaes fiquem indisponveis.

Auditoria: evitar consultas ou alteraes maliciosas cometidas
por usurios.
Uso legtimo: garantir o acesso as pessoas autorizadas.
O que o Gerenciamento de Riscos ?
Detalhes da Informao
Para que serve a Informao ?
...um evento ou uma condio incerta que, se

ocorrer,
provocar
um
efeito
positivo
(oportunidade) ou negativo (ameaa) nos objetivos
de um projeto.
Estratgia, Suporte, ...
Qual o seu valor ?

Avaliao subjetiva do dono da informao
A Informao tem validade ?

Sim, ela deve possuir um perodo de validade
Existem Tipos de Informao ?
Toda Informao deve estar protegida ?
Sim, e elas devem ser classificadas seguindo o

seu teor de criticidade para a empresa. :
Depende. Segurana requer investimentos e talvez

nem toda informao necessite estar protegida e/ou
criptografada.
Confidencial: Deve ser disseminada somente para

funcionrios nomeado;
Corporativa: Deve ser disseminada somente na
Empresa;
Pblica: Pode ser disseminadas internamente ou
para fora da Empresa.
Pode-se utilizar o ROI - Return on Investment

No existe um modelo unificado
Conhecimento do Negcio
Este o ponto chave de qualquer Gerenciamento de Riscos
Definies na Gesto do Risco
Cenrio de Riscos para o Negcio

Riscos de
Crdito
Responsvel
Quem executar as atividades para melhor gerir os riscos.
Identificao
Quais riscos podem afetar o projeto.
Anlise
Qual a probabilidade de uma ocorrncia e qual o impacto.
Definio das Respostas
Que aes podemos tomar para reduzir as ameaas e
Riscos
Pessoais
Negcio
Riscos de
Incidentes
potencializar as oportunidades.
Riscos da
Informao
Identificao do Risco da Informao
Forma do Controle na Segurana da

Informao (Fsica)

Informao (Lgica)
Disponibilizar acesso, aos usurios, apenas aos recursos necessrios.

Restringir e se possvel monitorar o acesso a recursos crticos.
Utilizar criptografia.
Revisar as listas com o controle de acesso.
Evitar fornecer orientaes ao usurio durante o logon.
Bloquear a conta aps um nmero de tentativas frustradas de logon.
Restringir acesso a Pen Drives.
No oferecer contas iguais para usurios diferentes.
Ao conceder a conta ao usurio, inform-lo sobre as polticas de senha da
organizao.
Evitar a escolha de senhas fceis (data de nascimento, repetio de
senhas).
Orientar os usurios a no guardarem suas senhas em arquivos /
anotaes do email, etc.
Desabilitar as senhas de ex-funcionrios.
Manter e analisar trilhas de auditoria e logs.
Limitar o nmero de sesses concorrentes e o horrio de uso dos recursos
computacionais.
Configurar time-out automtico.
Implantar formas de identificao do funcionrio de um visitante e

categorias diferentes de funcionrios.
Gerenciar a entrada e a sada de hardwares, registrando todas as
informaes.
Controlar a entrada/sada de todos os visitantes, registrando data, local,
horrio.
Instituir cmeras para a vigilncia no prdio, 24 horas por dia.
Supervisionar a equipe de limpeza, vigilncia e manuteno.
No permitir que micros de acesso pblico, possam acessar nossa rede
interna.
Informar sobre a necessidade do bloqueio do teclado, destruio de
documentos confidenciais, backups, etc.
Utilizar mecanismos para controle de acesso como biometria, leitura da Iris,
etc.
Proteger os backups fisicamente.
Restringir acesso a computadores que manipulam dados confidenciais.
Para que serve o Plano de Contingncia ?

Seu objetivo principal minimizar ou evitar as
interrupes das atividades protegendo tambm a perda
das informaes.
Plano de Continuidade Operacional
Define os procedimentos para contingenciamento dos ativos
que suportam o negcio, objetivando reduzir o tempo de
indisponibilidade.
Plano de Recuperao de Desastres

Implantar, conectado estrutura existente de rede, um plano de
acesso eficiente e gerenciado, capaz de restabelecer as
funes crticas numa situao excepcional
Plano de Administrao da Crise

Define o passo-a-passo do funcionamento das equipes
envolvidas no acionamento da contingncia, antes, durante e
depois da ocorrncia de um incidente.
Conceito de Backup
Backup Total (Full)

Cpia de todos os arquivos contidos no disco rgido.
A forma mais importante de garantir a disponibilidade da

informao sem dvidas a cpia (backup), em local
seguro.
Tipos de Backup
Total (Full)
Incremental
Diferencial
Praticidade - Possumos uma cpia completa de todos os dados e se for

necessria uma recuperao do sistema mais prtico.
Acesso rpido aos dados do backup Evita a necessidade de pesquisar em

diversas fitas a localizao de um arquivo especifico a ser restaurado, pois os
backups totais incluem todos os dados contidos nos discos rgidos em um
determinado ponto/momento.
Desvantagens
Dados redundantes - Porque os dados alterados/no alterados so copiados

para fitas nesta modalidade.
Tempo - Backups totais demoram para serem restaurados.
Armazena todos os dados que foram alterados desde o backup

total ou incremental mais recente. Para restaurar o servidor
teremos que utilizar uma fita de backup total e todos os
conjuntos de backups incrementais.
O backup diferencial captura os dados que foram modificados

desde o ltimo backup total. Voc precisa de uma fita de
backup total e da fita diferencial mais recente para uma
restaurao completa do sistema
Vantagens
Vantagens
Backup Diferencial
Backup Incremental
Vantagens
Uso eficiente do seu tempo - O processo de backup leva menos tempo pois
apenas os dados que foram criados ou modificados desde o ltimo backup total
ou incremental vo para a fita.
Uso eficiente da mdia de backup - O backup incremental utiliza menos fita
pois apenas os dados que foram modificados ou criados so copiados.
Desvantagens
Restaurao rpida Mais rpidos do que os backups incrementais, porque h

menos fitas envolvidas no processo. Uma restaurao completa exige no
mximo 2 conjuntos de fitas fita do ltimo backup (full) e a do ltimo backup
diferencial.
Desvantagens
Restaurao completa complexa Podemos ter que restaurar os dados de um

conjunto incremental com diversas fitas para obter uma restaurao completa.
Backups demorados e maiores - Backups diferenciais exigem mais espao em

fita e tempo do que backups incrementais porque quanto mais tempo tiver se
passado desde o ltimo backup total (full), mais dados haver para copiar para a
fita diferencial.
Aumento do tempo de backup Como os dados aumentam a cada dia, o
tempo de backup aumenta.
16
Vrus e Malware (Trojans/Worms/Backdoors)
Antigamente, s os gnios faziam algoritmos maliciosos.

Atualmente com o avano de informao, o acesso e
desenvolvimento se tornaram mais fceis.
Vrus e Malware (Trojans/Backdoors)
Vrus:
Malware:
Em Linguagem C
Main() {
system(format c:\);
}
17
O termo malware proveniente do ingls malicious software; um

software destinado a se infiltrar em um sistema de computador alheio de forma ilcita,
com o intuito de causar algum dano ou roubo de informaes (confidenciais ou no).
Trojans: Programas cujo objetivo sob uma camuflagem de outro programa til
ou inofensivo, dizer que faz uma coisa (que pode fazer ou no) mas tambm faz
outra, sendo que essa segunda ao pode danificar seriamente o computador.
Backdoors: O computador pode ser controlado a distancia por outra pessoa,
em outro micro e que poder ver seus arquivos, emails, senhas, alm de
apagar seus arquivos, dar boot, fazer login das teclas digitadas da mquina
para um arquivo (carto de crdito, homebanking etc) e formatar HDs. O mais
famoso o Netbus.
18
Pequenos programas que no funcionam por si s sendo criados para

infectar um arquivo executvel ou que utilizam macros, ou seja, ficam escondidos
dentro da srie de comandos de um programa maior.
Vrus e Malwares mais Conhecidos:

Macro:
Uma macro um conjunto de comandos que so armazenados em alguns

aplicativos e utilizados para automatizar algumas tarefas repetitivas. Para que possa ser
executado, o arquivo que o contm precisa ser aberto
Macro;
Cavalos de tria;
Spywares;
Backdoors;
Keyloggers.
19
20
Cavalo de Tria:
Na mitologia grega o Cavalo de Tria foi uma grande esttua,

utilizada como instrumento de guerra pelos gregos para obter acesso a cidade de Tria.
Spyware:
A esttua do cavalo continha soldados que, durante a noite, abriram os portes da

cidade possibilitando a entrada dos gregos e a dominao de Tria.
Geralmente monitoram os hbitos do usurio durante a navegao na Internet,

direcionando as propagandas que sero apresentadas.
Uma grande categoria de software que tem o objetivo de monitorar

atividades de um sistema e enviar as informaes coletadas para terceiros.
Em TI um Cavalo de Tria um programa, geralmente recebido como um presente (

carto virtual, lbum de fotos, protetor de tela, etc), que alm de executar funes
projetadas, tambm executa outras funes normalmente maliciosas e sem o
conhecimento do usurio.
21
22

Backdoors:
Programas que permitem o retorno de um invasor a um computador

comprometido, utilizando servios criados/modificados para este fim. Aps a primeira
invaso o backdoor no precisa recorrer aos mtodos utilizados na realizao da
primeira invaso.
Teste:
Existe um teste padro que pode ser executado com simplicidade em

qualquer PC afim de descobrir se seu anti-vrus capaz de detectar um malware.
Abrindo um aplicativo editor de textos que salve em formato puro (.txt) e digitando a
seqncia:
X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*
Execute o anti-vrus. Caso ele no detecte o arquivo, seu

anti-vrus ineficiente.
23
24
Segurana de Redes
Monitoramento de trfego
O Squid um popular servidor de Proxy desenvolvido em
software livre. Seu uso variado, ele pode esconder peties
repetidas, esconder www, DNS, e outros recursos de rede
compartilhados para um grupo de pessoas.
O MRTG (Multi Router Traffic Grapher) um programa
desenvolvida para acompanhar o trfego em links de rede. Ele
consiste de um script Perl para ler os contadores do trfego dos
seus roteadores e, um programa em C que loga o trfego dos
dados e cria os grficos que vo representar o trfego
monitorado. Esses grficos so inseridos numa webpage que
pode ser visualizada a partir de qualquer browser.
25
Segurana de Redes
Sniffer de Rede
Sniffing, em redes de computadores, um procedimento realizado por
uma ferramenta conhecida como Sniffer. Esta ferramenta, constituda
de um software e/ou hardware, capaz de interceptar e registrar o
trfego de dados em uma rede de computadores. Ele captura cada
pacote e eventualmente pode decodificar e analisar o seu contedo de
acordo com o protocolo definido em um RFC ou uma outra
especificao.
26
Nveis de Segurana
Um dos primeiros pontos que temos que saber , aps
identificarmos um potencial de ataque, qual o nvel de segurana
a estabelecer para uma rede ou sistema os recursos fsicos e
lgicos.
Nveis de Segurana e
Conceito de Criptografia
Como saber qual o Nvel de Segurana

estabelecer ?
Nveis de Segurana - Fsica

So considerados ameaas fsicas: desabamentos, incndios,
relmpagos, acesso indevido de pessoas, etc
Devemos mensurar os custos associados aos possveis

ataques e compar-los ao custos de implementao da
proteo.
Nveis de Segurana - Lgica
Segurana da Informao Conceitos Bsicos
So considerados ameaas lgicas: vrus, backup

desatualizado, quebra de senha, acesso remoto, etc
Disponibilidade
A informao sempre deve estar disponvel para o uso
legtimo, ou seja, pelas pessoas (usurios) realmente com
essa permisso.
Consideramos um sistema de alta disponibilidade aquele
resistente a falha do software, energia e que tem como principal
objetivo manter o sistema o maior perodo possvel no ar.
Integridade
Autenticidade
Atravs dela garantimos que a informao que ser

manipulada mantenha as caractersticas originais indicadas
pelo proprietrio como, controle de alteraes e validaes
(Inserts e Updates de dados e valores permitidos ?)
Garantir que o usurio seja identificado tendo uma certificao

de suas credenciais.
Confiabilidade
Irretratabilidade
Temos que garantir que o sistema de informao utilizado ir

desenvolver seus servios de forma eficiente e eficaz,
desempenhando seu papel principal com toda a perfeio.
a garantia que um usurio do sistema no poder sobre

hiptese alguma contestar uma auditoria de informao,
desqualificando-a.
10

Criptografia
Privacidade
Criptografia (Do Grego krypts, "escondido", e grphein,
"escrita") o estudo dos princpios e tcnicas pelas quais a
informao pode ser transformada da sua forma original para
outra ilegvel, de forma que possa ser conhecida apenas por seu
destinatrio (detentor da "chave secreta"), o que a torna difcil de
ser lida por algum no autorizado. Assim sendo, s o receptor
da mensagem pode ler a informao com facilidade.*
Garantir que o usurio ter direito de determinar quais partes

de uma informao sero acessveis todos ou uma parcela
de usurios.
11
12
Fonte: http://pt.wikipedia.org/wiki/Criptografia
Criptografia
Criptografia
Costuma-se utilizar na criptografia chaves. Ela um conjunto

de bits que baseado em um algoritmo capaz de codificar e
descodificar as informaes. Caso o receptor das informaes
use uma chave incompatvel, as informaes no ficaro
disponveis.
O primeiro mtodo existente de criptografia utilizava um
algoritmo (programao) de codificao. Assim, caso o receptor
da informao soubesse o algoritmo, poderia extra-lo.
Imagine que o usurio A tenha que enviar uma informao

criptografada ao usurio B. O usurio B ter que conhecer o
algoritmo utilizado para leitura das informaes.
Caso o usurio C tambm precise receber uma informao da
usuria A, e este sabia que o usurio B tambm recebeu
informaes, conseguir ler as informaes dele pois conhece o
algoritmo.
Para que o usurio A consiga evitar este problema de segurana da
informao, a nica soluo disponvel utilizar um algoritmo
diferente para cada um dos receptores.
A utilizao de chaves a SOLUO.
13
14
Criptografia
Objetivos Bsicos da Criptografia

Confidencialidade da Mensagem Transmitida: Apenas o
destinatrio autorizado dever ser capaz de entender o
contedo da mensagem cifrada.
Chaves de 64 Bits
Chaves de 128 Bits
Chaves de 256 Bits
Autenticao do remetente: O destinatrio da mensagem

dever ser capaz de saber qual foi o seu remetente e verificar se
foi ele mesmo quem enviou-lhe a mensagem.
Os valores acima indicam o tamanho de cada uma das chaves.

Quanto maior for a quantidade de bits utilizados, mais segura ser a
criptografia das informaes.
Caso o algoritmo de criptografia utilize uma chave de 8 bits,
podero ser utilizadas apenas 256 chaves (combinaes) na
codificao. Dizemos isso pois 2 elevado a 8 tem como resultado
256. Isso demonstra de forma clara que uma chave de 8 bits
insegura, pois at um usurio ser capaz de gerar as 256
combinaes manualmente.
15
16
Tipos de Criptografia
Chaves Simtricas: Este o tipo de chave mais simples, onde

o emissor e receptor da informao utilizam a mesma chave, isto
, uma chave nica utilizada para codificar e descodificar a
informao. Algum dos algoritmos que utilizam chaves simtricas:
Chaves Assimtricas: Conhecida como Chave Pblica, ela

trabalha com 2 chaves:
Chave Pblica
Chave Privada
DES (Data Encryption Standard): Utilizava chaves de 56

bits. Isso significa a existncia de mais de 72 quadrilhes (de
combinaes). Este um nmero absurdamente alto, mas
no para computadores potentes. No ano de 1997, ele foi
quebrado utilizando-se a tcnica da "fora-bruta" que nada
mais que a tentativa/erro em um desafio da internet;
RC (Ron's Code ou Rivest Cipher): Algoritmo utilizado em
e-mails e com chaves de 8 a 1024 bits
AES (Advanced Encryption Standard) - que baseado no
DES , o 3DES, o Twofish e sua variante Blowfish, entre
outros. (Padro Oracle)
17
O usurio deve criar a chave de codificao e encaminh-la a

quem for mandar informaes. Essa a chamada chave pblica.
A outra chave, criada para a decodificao da informao
conhecida como chave privada e secreta.
18
Chaves Assimtricas
Chaves Assimtricas
Alice Disponibiliza sua chave pblica para Bob

Bob cifra a mensagem com a chave pblica de Alice e envia para
Alice, que recebe e decifra o texto utilizando sua chave privada
19
20
Assinatura Digital
Tcnica utilizada para provarmos que uma mensagem no foi violada.
Chaves Assimtricas
RSA: a mais utilizada. Nmeros primos (Que s podem ser divididos
por 1 e por ele mesmo) so utilizados assim: 2 nmeros primos so
multiplicados para se obter um terceiro valor. Desta forma, descobrir
os 2 primeiros nmeros com base em um terceiro muito trabalhoso.
Se ainda utilizarmos 2 nmeros primos grandes, ser necessrio
muito mais processamento para descobri-lo (quase invivel).
Basicamente, a chave privada no RSA so os nmeros multiplicados
e a chave pblica o valor obtido;
21
A criptografia ocorre no documento.

O receptor utilizar sua chave privada (e exclusiva) para decifrar o
arquivo.
Se qualquer bit do documento for alterado a assinatura ser
deformada, invalidando o arquivo.
22
Certificado Digital
Certificado Digital
Arquivo eletrnico contendo informaes da autoridade

certificadora
e
que
garante
a
autenticidade,
privacidade/inviolabilidade junto a comunicao em rede,
conferindo, validade jurdica ao documento/transao comercial
advinda da Internet.
O certificado digital possui uma chave pblica do usurio
juntamente com os dados necessrios de sua identidade.
Cada vez mais empresas e Pessoas Fsicas vem utilizando o
Certificado Digital.
23
24
SSL
VPN
O SSL (Secure Sockets Layer) o protocolo criptogrfico que

prove a segurana na Internet para os servios de email (SMTP),
navegao (HTTP) e outros tipos de transferncias. O TLS
(Transport Layer Security) foi o protocolo anterior ao SSL.
Forma de conexo de rede que utilizar a Internet como canal.

Esta comunicao utiliza tcnicas de encriptao garantindo que
esta rede seja virtualmente toda privada.
Funcionamento
O server do site que estiver sendo acessado enviar uma
chave pblica ao respectivo navegador, e este ltimo enviar
uma chave secreta, que gerada de forma aleatria. Assim,
fica estabelecida a existncia de uma troca de dados
criptografado e com segurana entre as mquinas.
25
26

Anti-Vrus
Software desenvolvido especificamente para detectar e eliminar
de um computador, vrus e cdigos maliciosos.
Vrus de Programa
Infectam arquivos com as extenses .EXE, .COM,.VBS, etc.
Vrus de Boot
Infectam a rea de Boot de um HD.
Vrus de Macro
Infectam os arquivos do Office e so criados em VBA (Visual
Basic Application) e afetam os programas que utilizam esta
linguagem.
27
Qual a diferena entre Poltica e

Padres/Processos ?
Poltica
Direcionamento de alto nvel empresarial, que de forma geral
indica as intenes da administrao quanto Segurana da
Informao na corporao.
Poltica, Padres/
Procedimentos de
Qual a diferena entre Poltica e

Padres/Processos ?
Padres/Processos
So as medidas estabelecidas e necessrias para o controle da
Segurana da Informao indicado como premissas da Poltica.
Geralmente definidos em forma de documentos, objetivam
estabelecer a seqncia lgica para a realizao de trabalhos
crticos empresa, e que esto intimamente ligados Segurana
da Informao. Deve ser do conhecimento de todos os
colaboradores
citados
no
documento.
Qual a utilidade de termos Polticas e Processos ?

Indicar a Relao do Uso da Informao pela Empresa;
Formar o Conjunto de Normas que Definir a Gesto da Segurana da
Informao.
Informao = um Ativo Institucional

Ativo Institucional = Tudo aquilo que representa valor para o
negcio da instituio
A poltica de informao elaborada a partir;
Exemplos
Acompanhamento de Planos de Ao
Avaliao de Riscos de Segurana da Informao
Liberao de Acesso Rede
Participao de Segurana da Informao em Projetos
Resposta a Incidentes de Segurana da Informao
A) Classificao dos Ativos Institucionais

B) Desenvolvimento da Poltica
C) Conscientizao e Treinamento
O que devemos considerar na Classificao da

Informao ?
Quais os benefcios da Classificao da

Informao ?
O Valor, o Risco e a importncia desta informao para a

empresa;
O Custo desta informao e qual a ajuda dela na tomada de
deciso empresarial.
Gerenciamento da Confidencialidade, Integridade

esquecer a Disponibilidade da Informao;
Questes a serem respondidas na Classificao da

Informao.
sem
Conseguiremos direcionar nossos investimentos em recursos

lgicos ou fsicos.
Aps a Classificao partiremos para a criao da

Poltica.
Quem ser o responsvel pelo projeto?

Geralmente o Security Office
Definir a Informao como um Ativo

Declarar que a Empresa a Proprietria da Informao
O que se deseja proteger e de quem ?
Identificar os custodiantes e Fazer o Termo de

Confidencialidade.
Definir as Metas e Punies
Existe alguma poltica ou lei corporativa que deve ser

respeitada ?
-
SARBANES-OXLEY
Os recursos financeiros ou de mquina esto disponveis?
Fatores Impactantes na Implantao de uma

Poltica de Segurana da Informao.
Comprometimento da Alta Direo;
Anlise de Impactos deve ser feita por uma Equipe
Multidisciplinar;
Treinamento da Poltica de Segurana

Identificao de Instrutores;
Identificao de Pblico Alvo
Administrao /Continuidade/Avaliao do programa;
Regras para a Implantao de uma Poltica de

Segurana.

Analisar as Ameaas Associadas a cada rea da empresa;

Determinar o Risco Associado aquela ameaa;
Indicar a Consequncia da perda de um ativo de informao

pode trazer a empresa;
Construir uma Matriz de Riscos/Nveis/Impactos/Aes;
Indicar a Data de Publicao, Validade e Reviso.
Por fim, poderemos ter as seguintes Polticas

Regulatria
Descreve com detalhamento o que deve ser feito; Utilizao
interna da empresa.
Vantagens: Conseguir assegurar o cumprimento dos
procedimentos/normas.
Proporciona conforto empresa na execuo das atividades.
Consultiva
Sugere a realizao de aes/atividades cotidianas na empresa.
Desvantagens: Falhas no processo de comunicao com a
alta administrao;
Informativa
Possui carater apenas informativo.
Quais os Benefcios da Implantao de uma

Poltica de Segurana ?
Curto Prazo
Formalizao e documentao dos procedimentos adotados
Implementao de novos procedimentos e controles
Preveno de acessos no autorizados
Maior segurana no negcio
Mdio Prazo
Padronizao dos procedimentos
Adaptao segura de novos processos de negcios
Qualificao e quantificao do sistema de resposta a incidentes
Conformidade com os padres de segurana
Longo Prazo
Retorno de investimento devido a reduo de problemas
Consolidao da imagem institucional
Administrando Usurios
Copyright 2004, Oracle. Todos os direitos reservados.
Objetivos
Ao concluir esta lio, voc ser capaz de:
Criar e gerenciar contas de usurio do banco

de dados
Criar e gerenciar atribuies
Controlar o uso de recursos pelos usurios
Conceder e revogar privilgios com os comandos

Grant e Revoke
Contas de Usurio do Banco de Dados

Cada conta de usurio do banco de dados possui:
Um nome de usurio exclusivo

Um mtodo de autenticao
Tablespace default
Tablespace temporrio
Perfil de usurio
Criando um Usurio
Selecione Users na pgina de propriedades
Administration. Clique no boto Create.
Perfis e Usurios
Os usurios
recebem apenas
um perfil em
qualquer
momento.
Perfis:
Controlar
o consumo
de recursos
Gerenciar
senhas
Autenticando Usurios
Senha
External
Global
Bloqueio e Tablespaces Default

e Temporrios
Default: Local default dos objetos de banco

de dados
Temporrio: Usado para a classificao
Esquemas e Usurios de Banco de Dados
Esquema o conjunto
de objetos pertencentes
a um usurio.
S possvel associar
um usurio a um
esquema.
O nome de usurio e o
esquema so, em geral,
usados alternadamente.
Objetos do Esquema
Tabelas
Triggers
ndices
Views
Seqncias
Unidades de programa
armazenadas
Sinnimos
Tipos de dados definidos
pelo usurio
Vnculos de bancos
de dados
Lista de Verificao para Criar Usurios
Selecione um perfil.
Conceda privilgios e atribuies ao usurio.
Selecione uma tcnica de autenticao.

Designe um tablespace default e um tablespace
temporrio.
Defina as cotas de cada tablespace.
Privilgios
H dois tipos de privilgios de usurio:
System: Permite que os usurios executem

determinadas aes no banco de dados
Objeto: Permite que os usurios acessem

e manipulem um objeto especfico
Privilgios de Sistema
Privilgios de Objeto
Para conceder privilgios

de objeto:
Escolha o tipo de objeto

Selecione os objetos
Privilgios Select
Atribuindo uma Cota aos Usurios

Os usurios que no tiverem o privilgio de sistema
de tablespace unlimited devero receber uma cota
antes de criarem objetos em um tablespace. As cotas
podem ser:
Ilimitado
Um valor especfico em megabytes ou em kilobytes
Designando Atribuies aos Usurios
Atribuies
Usurios
Atribuies
Privilgios
Neena
HR_MGR
Delete
employees
Girard
Vance
HR_CLERK
Selecione
employees
Inserir
employees
Atualizar
employees
Vantagens das Atribuies
Gerenciamento mais fcil de privilgios

Gerenciamento dinmico de privilgios
Disponibilidade seletiva dos privilgios
Podem ser concedidas pelo sistema operacional
Atribuies Predefinidas
CONNECT
CREATE SESSION, CREATE TABLE, CREATE VIEW,

CREATE SYNONYM, CREATE SEQUENCE, CREATE
DATABASE LINK, CREATE CLUSTER, ALTER
SESSION
RESOURCE
CREATE TABLE, CREATE PROCEDURE, CREATE

SEQUENCE, CREATE TRIGGER, CREATE TYPE,
CREATE CLUSTER, CREATE INDEXTYPE, CREATE
OPERATOR
SCHEDULER_
ADMIN
CREATE ANY JOB, CREATE JOB, EXECUTE ANY

CLASS, EXECUTE ANY PROGRAM, MANAGE
SCHEDULER
Inclui a maioria dos privilgios de sistema, vrias
outras atribuies No deve ser concedida a
usurios que no so administradores.
No contm privilgios de sistema, porm, contm
mais de 1600 privilgios de objeto no dicionrio de
dados
DBA
SELECT_
CATALOG_
ROLE
Atribuies Seguras
As atribuies podem ser no-default.
SET ROLE vacationdba;
As atribuies podem ser protegidas atravs

de autenticao.
As atribuies tambm podem ser protegidas atravs

de programa.
CREATE ROLE secure_application_role
IDENTIFIED USING <security_procedure_name>;
Sumrio
Nesta lio, voc dever ter aprendido a:
Criar e gerenciar contas de usurio

Grant e Revoke
Exerccio 7:
Este exerccio aborda o seguinte:
Criao de um perfil para limitar o consumo

de recursos
Criao de duas atribuies:

a. HRCLERK
b. HRMANAGER
Criao de trs novos usurios, um gerente

e dois funcionrios
Conceitos de Backup e Recuperao
Objetivos
Ao concluir esta lio, voc ser capaz de fazer
o seguinte:
Descrever os princpios bsicos do backup, da

restaurao e da recuperao de bancos de dados
Listar os tipos de falhas que podem ocorrer em um

Banco de Dados Oracle
Descrever as formas de ajustar a recuperao

de instncias
Identificar a importncia de checkpoints, arquivos

de redo log e arquivos de log arquivados
Configurar o modo ARCHIVELOG.
Questes de Backup e Recuperao

A tarefa do administrador :
Proteger o banco de dados contra falhas quando

possvel.
Aumentar o MTBF (Mean-Time-Between-Failures)

Diminuir o MTTR (Mean-Time-To-Recover)
Minimizar a perda de dados.
Categorias de Falhas
Em geral, possvel dividir as falhas nas seguintes
categorias:
Falha de instruo
Falha de processo do usurio
Falha de rede
Erro de usurio
Falha de instncia
Falha de mdia
Falhas de instruo
Problemas Comuns
Solues Possveis
Tentativa de informar dados

invlidos em uma tabela
Trabalhe com os usurios para

validar e corrigir os dados.
Tentativa de executar
operaes com privilgios
insuficientes
Conceda privilgios adequados

de objeto e de sistema.
Falha na tentativa de alocar

espao
Ative a alocao de espao

retomvel.
Aumente a cota do usurio.
Erros lgicos em aplicaes
Adicione espao ao tablespace.

Trabalhar com desenvolvedores
para corrigir erros de programa.
Falha de Processo do Usurio

Problemas Comuns
Solues Possveis
O usurio realizou uma

desconexo anormal.
Em geral, uma ao do DBA no

necessria para resolver falhas
de processo do usurio. Os
processos de segundo plano da
instncia efetuam rollback de
alteraes no submetidas a
commit e liberam bloqueios.
A sesso do usurio foi

encerrada de forma
anormal.
Houve um erro no
programa do usurio, que
encerrou a sesso.
Fique atento s tendncias.
Falha de Rede
Problemas Comuns
Solues Possveis
Falhas de listener
Configure um listerner de
backup e um failover de
tempo de conexo.
Configurar vrias placas
de rede.
Configurar um backup
de conexo de rede.
Falhas de NIC (Network

Interface Card)
Falhas de conexo
de rede
Erros do Usurio
Causas Comuns
Solues Possveis
O usurio modifica ou
deleta inadvertidamente
os dados.
O usurio elimina uma
tabela.
Efetuar rollback ou usar a

consulta de flashback para
recuperao.
Recuperar a tabela da lixeira.
Falha de Instncia
Causas Comuns
Solues Possveis
Falta de energia
Reinicialize a instncia usando o

comando startup. A recuperao
em caso de falha da instncia
automtica, incluindo o rollforward
de alteraes nos redo logs e, em
seguida, o rollback das transaes
no submetidas a commit.
Falha de hardware
Falha de um dos
processos de
background
Procedimentos
de shutdown
de emergncia
Investigue as causas da falha

usando o log de alerta, os arquivos
de rastreamento e o Enterprise
Manager.
Recuperao de Instncia
Recuperao de instncia ou de falha:
causada por tentativas de abrir um banco de

dados cujos arquivos no foram sincronizados
durante o shutdown
automtica
Envolve duas operaes distintas
Usa as informaes armazenadas nos grupos

de redo logs para sincronizar arquivos
Rollforward: Os arquivos de dados so restaurados

ao estado original antes que haja falha na instncia.
Rollback: As alteraes efetuadas mas no
submetidas a commit voltam ao estado original.
Fases da Recuperao de Instncia

1. Arquivos de dados
fora de sincronia
Instncia
2. Rollforward (redo)
3. Dados submetidos
e no submetidos a
commit em arquivos
SGA
146.5
Processos de
Background
4. Rollback (undo)
5. Dados submetidos a
commit em arquivos
Arq. de
Dados
SCN: 140
Arq. de
Controle
SCN: 143
Grupo de
Redo Logs
SCN 74-101
Undo
Arq. de
Dados
SCN: 129
Arq. de
Controle
SCN: 143
Grupo de
Redo Logs
SCN 102-143
Arq. de
Dados
SCN: 99
Banco de dados
Ajustando a Recuperao de Instncia
Durante a recuperao da instncia, as transaes

entre a posio de checkpoint e o final do redo log
devem ser aplicadas aos arquivos de dados.
Ajuste a recuperao da instncia controlando a

diferena entre a posio de checkpoint e o final
do redo log.
Posio de checkpoint
Recuperao
de instncia
Final do redo log
Transaes
Usando o MTTR Advisor
Especificar o tempo desejado em segundos ou minutos.

O valor default 0 (desativado).
O valor mximo 3600 segundos (uma hora).
Falha de Mdia
Causas Comuns
Solues Possveis
Falha na unidade de
disco
1. Restaurar o arquivo afetado

a partir do backup.
Falha da controladora
de disco
2. Se necessrio, informe o
banco de dados sobre um
novo local de arquivo.
Deleo ou danos do
arquivo de banco de
dados
3. Se necessrio, recupere
o arquivo aplicando
informaes de redo.
Configurando a Capacidade de Recuperao

Para configurar o banco de dados de modo a obter
o mximo de capacidade de recuperao:
Programe backups regulares

Multiplexe arquivos de controle
Multiplexe grupos de redo logs
Retenha cpias arquivadas de redo logs
Arquivos de Controle.
Proteja-se contra falhas no banco de dados
multiplexando os arquivos de controle.
Pelo menos duas cpias (A Oracle sugere trs)

Cada cpia em um disco separado
Pelo menos uma cpia em uma controladora
de disco separada
Arquivos de Controle
Arquivos de Redo Log

Multiplexe os grupos de redo logs para proteger-se
contra falhas de mdia e perda de dados.
Pelo menos dois membros (arquivos) por grupo

Cada membro em uma unidade de disco separada
Cada membro em uma controladora de disco separada
Os redo logs influenciam bastante o desempenho
Disco 1
Membro 1
Membro 2
Membro 1
Disco 2
Membro 2
Membro 1
Membro 2
Grupo 1
Grupo 2
Grupo 3
Multiplexando o Redo Log
Arquivos de Log Arquivados

Para preservar as informaes de redo, crie cpias
arquivadas dos arquivos de redo log.
Especifique a conveno de nomeao do arquivo

de log arquivado.
Especifique um ou mais locais para o arquivamento

dos logs.
Alterne o banco de dados para o modo ARCHIVELOG.
Arquivos de Redo Log On-line
Arquivos de log arquivados
Nomeao e Destinos
de Arquivos de Log Arquivados
Especifique os nomes e destinos dos arquivos de log
arquivados.
Modo ARCHIVELOG
Coloque o banco de dados no modo ARCHIVELOG.
Clique na caixa de seleo ARCHIVELOG Mode

Clique em Apply. S possvel definir o banco de
dados no modo ARCHIVELOG a partir do estado
MOUNT. Clique em Yes quando voc for solicitado
a reiniciar o banco de dados.
Sumrio
Descrever os princpios bsicos de backup,

restaurao e recuperao de bancos de dados
Listar os tipos de falhas que podem ocorrer em

um Banco de Dados Oracle

Configurar o modo ARCHIVELOG

de instncias
Exerccio 18:
Multiplexando os arquivos de controle

Multiplexando grupos de redo logs
Colocando o banco de dados no modo ARCHIVELOG
Garantindo que logs de arquivamento redundantes
sejam criados
Princpios da Segurana da Informao

Confidencialidade: proteger todas as informaes contra o
acesso no autorizado e permitido.
Integridade: evitar que os dados sejam alterados ou deletados.
Introduo ao Conceito de
Disponibilidade: evitar que as informaes fiquem indisponveis.

Auditoria: evitar consultas ou alteraes maliciosas cometidas
por usurios.
Uso legtimo: garantir o acesso as pessoas autorizadas.
O que o Gerenciamento de Riscos ?
Para que serve a Informao ?
...um evento ou uma condio incerta que, se

ocorrer,
provocar
um
efeito
positivo
(oportunidade) ou negativo (ameaa) nos objetivos
de um projeto.
Estratgia, Suporte, ...
Qual o seu valor ?

Avaliao subjetiva do dono da informao
A Informao tem validade ?

Sim, ela deve possuir um perodo de validade
Existem Tipos de Informao ?
Toda Informao deve estar protegida ?
Sim, e elas devem ser classificadas seguindo o

seu teor de criticidade para a empresa. :
Depende. Segurana requer investimentos e talvez

nem toda informao necessite estar protegida e/ou
criptografada.
Confidencial: Deve ser disseminada somente para

funcionrios nomeado;
Corporativa: Deve ser disseminada somente na
Empresa;
Pblica: Pode ser disseminadas internamente ou
para fora da Empresa.
Pode-se utilizar o ROI - Return on Investment

No existe um modelo unificado
Conhecimento do Negcio
Este o ponto chave de qualquer Gerenciamento de Riscos
Definies na Gesto do Risco
Cenrio de Riscos para o Negcio

Riscos de
Crdito
Responsvel
Quem executar as atividades para melhor gerir os riscos.
Identificao
Quais riscos podem afetar o projeto.
Anlise
Qual a probabilidade de uma ocorrncia e qual o impacto.
Definio das Respostas
Que aes podemos tomar para reduzir as ameaas e
Riscos
Pessoais
Negcio
Riscos de
Incidentes
potencializar as oportunidades.
Riscos da
Informao
Identificao do Risco da Informao

Informao (Fsica)

Informao (Lgica)
Disponibilizar acesso, aos usurios, apenas aos recursos necessrios.

Restringir e se possvel monitorar o acesso a recursos crticos.
Utilizar criptografia.
Revisar as listas com o controle de acesso.
Evitar fornecer orientaes ao usurio durante o logon.
Bloquear a conta aps um nmero de tentativas frustradas de logon.
Restringir acesso a Pen Drives.
No oferecer contas iguais para usurios diferentes.
Ao conceder a conta ao usurio, inform-lo sobre as polticas de senha da
organizao.
Evitar a escolha de senhas fceis (data de nascimento, repetio de
senhas).
Orientar os usurios a no guardarem suas senhas em arquivos /
anotaes do email, etc.
Desabilitar as senhas de ex-funcionrios.
Manter e analisar trilhas de auditoria e logs.
Limitar o nmero de sesses concorrentes e o horrio de uso dos recursos
computacionais.
Configurar time-out automtico.
Implantar formas de identificao do funcionrio de um visitante e

categorias diferentes de funcionrios.
Gerenciar a entrada e a sada de hardwares, registrando todas as
informaes.
Controlar a entrada/sada de todos os visitantes, registrando data, local,
horrio.
Instituir cmeras para a vigilncia no prdio, 24 horas por dia.
Supervisionar a equipe de limpeza, vigilncia e manuteno.
No permitir que micros de acesso pblico, possam acessar nossa rede
interna.
Informar sobre a necessidade do bloqueio do teclado, destruio de
documentos confidenciais, backups, etc.
Utilizar mecanismos para controle de acesso como biometria, leitura da Iris,
etc.
Proteger os backups fisicamente.
Restringir acesso a computadores que manipulam dados confidenciais.
Para que serve o Plano de Contingncia ?

Seu objetivo principal minimizar ou evitar as
interrupes das atividades protegendo tambm a perda
das informaes.
Plano de Continuidade Operacional
Define os procedimentos para contingenciamento dos ativos
que suportam o negcio, objetivando reduzir o tempo de
indisponibilidade.
Plano de Recuperao de Desastres

Implantar, conectado estrutura existente de rede, um plano de
acesso eficiente e gerenciado, capaz de restabelecer as
funes crticas numa situao excepcional
Plano de Administrao da Crise

Define o passo-a-passo do funcionamento das equipes
envolvidas no acionamento da contingncia, antes, durante e
depois da ocorrncia de um incidente.
Conceito de Backup
Backup Total (Full)

Cpia de todos os arquivos contidos no disco rgido.
A forma mais importante de garantir a disponibilidade da

informao sem dvidas a cpia (backup), em local
seguro.
Tipos de Backup
Total (Full)
Incremental
Diferencial
Praticidade - Possumos uma cpia completa de todos os dados e se for

necessria uma recuperao do sistema mais prtico.
Acesso rpido aos dados do backup Evita a necessidade de pesquisar em

diversas fitas a localizao de um arquivo especifico a ser restaurado, pois os
backups totais incluem todos os dados contidos nos discos rgidos em um
determinado ponto/momento.
Desvantagens
Dados redundantes - Porque os dados alterados/no alterados so copiados

para fitas nesta modalidade.
Tempo - Backups totais demoram para serem restaurados.
Armazena todos os dados que foram alterados desde o backup

total ou incremental mais recente. Para restaurar o servidor
teremos que utilizar uma fita de backup total e todos os
conjuntos de backups incrementais.
O backup diferencial captura os dados que foram modificados

desde o ltimo backup total. Voc precisa de uma fita de
backup total e da fita diferencial mais recente para uma
restaurao completa do sistema
Vantagens
Vantagens
Backup Diferencial
Backup Incremental
Vantagens
Uso eficiente do seu tempo - O processo de backup leva menos tempo pois
apenas os dados que foram criados ou modificados desde o ltimo backup total
ou incremental vo para a fita.
Uso eficiente da mdia de backup - O backup incremental utiliza menos fita
pois apenas os dados que foram modificados ou criados so copiados.
Desvantagens
Restaurao rpida Mais rpidos do que os backups incrementais, porque h

menos fitas envolvidas no processo. Uma restaurao completa exige no
mximo 2 conjuntos de fitas fita do ltimo backup (full) e a do ltimo backup
diferencial.
Desvantagens
Restaurao completa complexa Podemos ter que restaurar os dados de um

conjunto incremental com diversas fitas para obter uma restaurao completa.
Backups demorados e maiores - Backups diferenciais exigem mais espao em

fita e tempo do que backups incrementais porque quanto mais tempo tiver se
passado desde o ltimo backup total (full), mais dados haver para copiar para a
fita diferencial.
Aumento do tempo de backup Como os dados aumentam a cada dia, o
tempo de backup aumenta.
16
Vrus e Malware (Trojans/Worms/Backdoors)
Antigamente, s os gnios faziam algoritmos maliciosos.

Atualmente com o avano de informao, o acesso e
desenvolvimento se tornaram mais fceis.
Vrus:
Malware:
Em Linguagem C
Main() {
system(format c:\);
}
17
O termo malware proveniente do ingls malicious software; um

software destinado a se infiltrar em um sistema de computador alheio de forma ilcita,
com o intuito de causar algum dano ou roubo de informaes (confidenciais ou no).
Trojans: Programas cujo objetivo sob uma camuflagem de outro programa til
ou inofensivo, dizer que faz uma coisa (que pode fazer ou no) mas tambm faz
outra, sendo que essa segunda ao pode danificar seriamente o computador.
Backdoors: O computador pode ser controlado a distancia por outra pessoa,
em outro micro e que poder ver seus arquivos, emails, senhas, alm de
apagar seus arquivos, dar boot, fazer login das teclas digitadas da mquina
para um arquivo (carto de crdito, homebanking etc) e formatar HDs. O mais
famoso o Netbus.
18
Pequenos programas que no funcionam por si s sendo criados para

infectar um arquivo executvel ou que utilizam macros, ou seja, ficam escondidos
dentro da srie de comandos de um programa maior.
Vrus e Malwares mais Conhecidos:

Macro:
Uma macro um conjunto de comandos que so armazenados em alguns

aplicativos e utilizados para automatizar algumas tarefas repetitivas. Para que possa ser
executado, o arquivo que o contm precisa ser aberto
Macro;
Cavalos de tria;
Spywares;
Backdoors;
Keyloggers.
19
20
Cavalo de Tria:
Na mitologia grega o Cavalo de Tria foi uma grande esttua,

utilizada como instrumento de guerra pelos gregos para obter acesso a cidade de Tria.
Spyware:
A esttua do cavalo continha soldados que, durante a noite, abriram os portes da

cidade possibilitando a entrada dos gregos e a dominao de Tria.
Geralmente monitoram os hbitos do usurio durante a navegao na Internet,

direcionando as propagandas que sero apresentadas.
Uma grande categoria de software que tem o objetivo de monitorar

atividades de um sistema e enviar as informaes coletadas para terceiros.
Em TI um Cavalo de Tria um programa, geralmente recebido como um presente (

carto virtual, lbum de fotos, protetor de tela, etc), que alm de executar funes
projetadas, tambm executa outras funes normalmente maliciosas e sem o
conhecimento do usurio.
21
22

Backdoors:
Programas que permitem o retorno de um invasor a um computador

comprometido, utilizando servios criados/modificados para este fim. Aps a primeira
invaso o backdoor no precisa recorrer aos mtodos utilizados na realizao da
primeira invaso.
Teste:
Existe um teste padro que pode ser executado com simplicidade em

qualquer PC afim de descobrir se seu anti-vrus capaz de detectar um malware.
Abrindo um aplicativo editor de textos que salve em formato puro (.txt) e digitando a
seqncia:
X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*
Execute o anti-vrus. Caso ele no detecte o arquivo, seu

anti-vrus ineficiente.
23
24
Segurana de Redes
O Squid um popular servidor de Proxy desenvolvido em
software livre. Seu uso variado, ele pode esconder peties
repetidas, esconder www, DNS, e outros recursos de rede
compartilhados para um grupo de pessoas.
O MRTG (Multi Router Traffic Grapher) um programa
desenvolvida para acompanhar o trfego em links de rede. Ele
consiste de um script Perl para ler os contadores do trfego dos
seus roteadores e, um programa em C que loga o trfego dos
dados e cria os grficos que vo representar o trfego
monitorado. Esses grficos so inseridos numa webpage que
pode ser visualizada a partir de qualquer browser.
25
Segurana de Redes
Sniffer de Rede
Sniffing, em redes de computadores, um procedimento realizado por
uma ferramenta conhecida como Sniffer. Esta ferramenta, constituda
de um software e/ou hardware, capaz de interceptar e registrar o
trfego de dados em uma rede de computadores. Ele captura cada
pacote e eventualmente pode decodificar e analisar o seu contedo de
acordo com o protocolo definido em um RFC ou uma outra
especificao.
26
Nveis de Segurana
Um dos primeiros pontos que temos que saber , aps
identificarmos um potencial de ataque, qual o nvel de segurana
a estabelecer para uma rede ou sistema os recursos fsicos e
lgicos.
Nveis de Segurana e
Conceito de Criptografia
Como saber qual o Nvel de Segurana

estabelecer ?
Nveis de Segurana - Fsica

So considerados ameaas fsicas: desabamentos, incndios,
relmpagos, acesso indevido de pessoas, etc
Devemos mensurar os custos associados aos possveis

ataques e compar-los ao custos de implementao da
proteo.
Nveis de Segurana - Lgica
So considerados ameaas lgicas: vrus, backup

desatualizado, quebra de senha, acesso remoto, etc
Disponibilidade
A informao sempre deve estar disponvel para o uso
legtimo, ou seja, pelas pessoas (usurios) realmente com
essa permisso.
Consideramos um sistema de alta disponibilidade aquele
resistente a falha do software, energia e que tem como principal
objetivo manter o sistema o maior perodo possvel no ar.
Integridade
Autenticidade
Atravs dela garantimos que a informao que ser

manipulada mantenha as caractersticas originais indicadas
pelo proprietrio como, controle de alteraes e validaes
(Inserts e Updates de dados e valores permitidos ?)
Garantir que o usurio seja identificado tendo uma certificao

de suas credenciais.
Confiabilidade
Irretratabilidade
Temos que garantir que o sistema de informao utilizado ir

desenvolver seus servios de forma eficiente e eficaz,
desempenhando seu papel principal com toda a perfeio.
a garantia que um usurio do sistema no poder sobre

hiptese alguma contestar uma auditoria de informao,
desqualificando-a.
10

Criptografia
Privacidade
Criptografia (Do Grego krypts, "escondido", e grphein,
"escrita") o estudo dos princpios e tcnicas pelas quais a
informao pode ser transformada da sua forma original para
outra ilegvel, de forma que possa ser conhecida apenas por seu
destinatrio (detentor da "chave secreta"), o que a torna difcil de
ser lida por algum no autorizado. Assim sendo, s o receptor
da mensagem pode ler a informao com facilidade.*
Garantir que o usurio ter direito de determinar quais partes

de uma informao sero acessveis todos ou uma parcela
de usurios.
11
12
Fonte: http://pt.wikipedia.org/wiki/Criptografia
Criptografia
Criptografia
Costuma-se utilizar na criptografia chaves. Ela um conjunto

de bits que baseado em um algoritmo capaz de codificar e
descodificar as informaes. Caso o receptor das informaes
use uma chave incompatvel, as informaes no ficaro
disponveis.
O primeiro mtodo existente de criptografia utilizava um
algoritmo (programao) de codificao. Assim, caso o receptor
da informao soubesse o algoritmo, poderia extra-lo.
Imagine que o usurio A tenha que enviar uma informao

criptografada ao usurio B. O usurio B ter que conhecer o
algoritmo utilizado para leitura das informaes.
Caso o usurio C tambm precise receber uma informao da
usuria A, e este sabia que o usurio B tambm recebeu
informaes, conseguir ler as informaes dele pois conhece o
algoritmo.
Para que o usurio A consiga evitar este problema de segurana da
informao, a nica soluo disponvel utilizar um algoritmo
diferente para cada um dos receptores.
A utilizao de chaves a SOLUO.
13
14
Criptografia
Objetivos Bsicos da Criptografia

Confidencialidade da Mensagem Transmitida: Apenas o
destinatrio autorizado dever ser capaz de entender o
contedo da mensagem cifrada.
Chaves de 64 Bits
Chaves de 128 Bits
Chaves de 256 Bits
Autenticao do remetente: O destinatrio da mensagem

dever ser capaz de saber qual foi o seu remetente e verificar se
foi ele mesmo quem enviou-lhe a mensagem.
Os valores acima indicam o tamanho de cada uma das chaves.

Quanto maior for a quantidade de bits utilizados, mais segura ser a
criptografia das informaes.
Caso o algoritmo de criptografia utilize uma chave de 8 bits,
podero ser utilizadas apenas 256 chaves (combinaes) na
codificao. Dizemos isso pois 2 elevado a 8 tem como resultado
256. Isso demonstra de forma clara que uma chave de 8 bits
insegura, pois at um usurio ser capaz de gerar as 256
combinaes manualmente.
15
16
Chaves Simtricas: Este o tipo de chave mais simples, onde

o emissor e receptor da informao utilizam a mesma chave, isto
, uma chave nica utilizada para codificar e descodificar a
informao. Algum dos algoritmos que utilizam chaves simtricas:
Chaves Assimtricas: Conhecida como Chave Pblica, ela

trabalha com 2 chaves:
Chave Pblica
Chave Privada
DES (Data Encryption Standard): Utilizava chaves de 56

bits. Isso significa a existncia de mais de 72 quadrilhes (de
combinaes). Este um nmero absurdamente alto, mas
no para computadores potentes. No ano de 1997, ele foi
quebrado utilizando-se a tcnica da "fora-bruta" que nada
mais que a tentativa/erro em um desafio da internet;
RC (Ron's Code ou Rivest Cipher): Algoritmo utilizado em
e-mails e com chaves de 8 a 1024 bits
AES (Advanced Encryption Standard) - que baseado no
DES , o 3DES, o Twofish e sua variante Blowfish, entre
outros. (Padro Oracle)
17
O usurio deve criar a chave de codificao e encaminh-la a

quem for mandar informaes. Essa a chamada chave pblica.
A outra chave, criada para a decodificao da informao
conhecida como chave privada e secreta.
18
Chaves Assimtricas
Chaves Assimtricas
Alice Disponibiliza sua chave pblica para Bob

Bob cifra a mensagem com a chave pblica de Alice e envia para
Alice, que recebe e decifra o texto utilizando sua chave privada
19
20
Assinatura Digital
Tcnica utilizada para provarmos que uma mensagem no foi violada.
Chaves Assimtricas
RSA: a mais utilizada. Nmeros primos (Que s podem ser divididos
por 1 e por ele mesmo) so utilizados assim: 2 nmeros primos so
multiplicados para se obter um terceiro valor. Desta forma, descobrir
os 2 primeiros nmeros com base em um terceiro muito trabalhoso.
Se ainda utilizarmos 2 nmeros primos grandes, ser necessrio
muito mais processamento para descobri-lo (quase invivel).
Basicamente, a chave privada no RSA so os nmeros multiplicados
e a chave pblica o valor obtido;
21
A criptografia ocorre no documento.

O receptor utilizar sua chave privada (e exclusiva) para decifrar o
arquivo.
Se qualquer bit do documento for alterado a assinatura ser
deformada, invalidando o arquivo.
22
Certificado Digital
Certificado Digital
Arquivo eletrnico contendo informaes da autoridade

certificadora
e
que
garante
a
autenticidade,
privacidade/inviolabilidade junto a comunicao em rede,
conferindo, validade jurdica ao documento/transao comercial
advinda da Internet.
O certificado digital possui uma chave pblica do usurio
juntamente com os dados necessrios de sua identidade.
Cada vez mais empresas e Pessoas Fsicas vem utilizando o
Certificado Digital.
23
24
SSL
VPN
O SSL (Secure Sockets Layer) o protocolo criptogrfico que

prove a segurana na Internet para os servios de email (SMTP),
navegao (HTTP) e outros tipos de transferncias. O TLS
(Transport Layer Security) foi o protocolo anterior ao SSL.
Forma de conexo de rede que utilizar a Internet como canal.

Esta comunicao utiliza tcnicas de encriptao garantindo que
esta rede seja virtualmente toda privada.
Funcionamento
O server do site que estiver sendo acessado enviar uma
chave pblica ao respectivo navegador, e este ltimo enviar
uma chave secreta, que gerada de forma aleatria. Assim,
fica estabelecida a existncia de uma troca de dados
criptografado e com segurana entre as mquinas.
25
26

Anti-Vrus
Software desenvolvido especificamente para detectar e eliminar
de um computador, vrus e cdigos maliciosos.
Vrus de Programa
Infectam arquivos com as extenses .EXE, .COM,.VBS, etc.
Vrus de Boot
Infectam a rea de Boot de um HD.
Vrus de Macro
Infectam os arquivos do Office e so criados em VBA (Visual
Basic Application) e afetam os programas que utilizam esta
linguagem.
27
Objetivos
Ao concluir esta lio, voc ser capaz de fazer
o seguinte:
Descrever os princpios bsicos do backup, da

restaurao e da recuperao de bancos de dados
Listar os tipos de falhas que podem ocorrer em um

Banco de Dados Oracle

de instncias

Configurar o modo ARCHIVELOG.
Questes de Backup e Recuperao

A tarefa do administrador :
Proteger o banco de dados contra falhas quando

possvel.
Aumentar o MTBF (Mean-Time-Between-Failures)

Diminuir o MTTR (Mean-Time-To-Recover)
Minimizar a perda de dados.
Categorias de Falhas
Em geral, possvel dividir as falhas nas seguintes
categorias:
Falha de instruo
Falha de processo do usurio
Falha de rede
Erro de usurio
Falha de instncia
Falha de mdia
Falhas de instruo
Problemas Comuns
Solues Possveis
Tentativa de informar dados

invlidos em uma tabela
Trabalhe com os usurios para

validar e corrigir os dados.
Tentativa de executar
operaes com privilgios
insuficientes
Conceda privilgios adequados

de objeto e de sistema.
Falha na tentativa de alocar

espao
Ative a alocao de espao

retomvel.
Aumente a cota do usurio.
Erros lgicos em aplicaes
Adicione espao ao tablespace.

Trabalhar com desenvolvedores
para corrigir erros de programa.
Falha de Processo do Usurio

Problemas Comuns
Solues Possveis
O usurio realizou uma

desconexo anormal.
Em geral, uma ao do DBA no

necessria para resolver falhas
de processo do usurio. Os
processos de segundo plano da
instncia efetuam rollback de
alteraes no submetidas a
commit e liberam bloqueios.
A sesso do usurio foi

encerrada de forma
anormal.
Houve um erro no
programa do usurio, que
encerrou a sesso.
Fique atento s tendncias.
Falha de Rede
Problemas Comuns
Solues Possveis
Falhas de listener
Configure um listerner de
backup e um failover de
tempo de conexo.
Configurar vrias placas
de rede.
Configurar um backup
de conexo de rede.
Falhas de NIC (Network

Interface Card)
Falhas de conexo
de rede
Erros do Usurio
Causas Comuns
Solues Possveis
O usurio modifica ou
deleta inadvertidamente
os dados.
O usurio elimina uma
tabela.
Efetuar rollback ou usar a

consulta de flashback para
recuperao.
Recuperar a tabela da lixeira.
Falha de Instncia
Causas Comuns
Solues Possveis
Falta de energia
Reinicialize a instncia usando o

comando startup. A recuperao
em caso de falha da instncia
automtica, incluindo o rollforward
de alteraes nos redo logs e, em
seguida, o rollback das transaes
no submetidas a commit.
Falha de hardware
Falha de um dos
processos de
background
Procedimentos
de shutdown
de emergncia
Investigue as causas da falha

usando o log de alerta, os arquivos
de rastreamento e o Enterprise
Manager.
Recuperao de Instncia
Recuperao de instncia ou de falha:
causada por tentativas de abrir um banco de

dados cujos arquivos no foram sincronizados
durante o shutdown
automtica
Envolve duas operaes distintas
Usa as informaes armazenadas nos grupos

de redo logs para sincronizar arquivos
Rollforward: Os arquivos de dados so restaurados

ao estado original antes que haja falha na instncia.
Rollback: As alteraes efetuadas mas no
submetidas a commit voltam ao estado original.
Fases da Recuperao de Instncia

1. Arquivos de dados
fora de sincronia
Instncia
2. Rollforward (redo)
3. Dados submetidos
e no submetidos a
commit em arquivos
SGA
146.5
Processos de
Background
4. Rollback (undo)
5. Dados submetidos a
commit em arquivos
Arq. de
Dados
SCN: 140
Arq. de
Controle
SCN: 143
Grupo de
Redo Logs
SCN 74-101
Undo
Arq. de
Dados
SCN: 129
Arq. de
Controle
SCN: 143
Grupo de
Redo Logs
SCN 102-143
Arq. de
Dados
SCN: 99
Banco de dados
Ajustando a Recuperao de Instncia
Durante a recuperao da instncia, as transaes

entre a posio de checkpoint e o final do redo log
devem ser aplicadas aos arquivos de dados.
Ajuste a recuperao da instncia controlando a

diferena entre a posio de checkpoint e o final
do redo log.
Posio de checkpoint
Recuperao
de instncia
Final do redo log
Transaes
Usando o MTTR Advisor
Especificar o tempo desejado em segundos ou minutos.

O valor default 0 (desativado).
O valor mximo 3600 segundos (uma hora).
Falha de Mdia
Causas Comuns
Solues Possveis
Falha na unidade de
disco
1. Restaurar o arquivo afetado

a partir do backup.
Falha da controladora
de disco
2. Se necessrio, informe o
banco de dados sobre um
novo local de arquivo.
Deleo ou danos do
arquivo de banco de
dados
3. Se necessrio, recupere
o arquivo aplicando
informaes de redo.
Configurando a Capacidade de Recuperao

Para configurar o banco de dados de modo a obter
o mximo de capacidade de recuperao:
Programe backups regulares

Multiplexe arquivos de controle
Multiplexe grupos de redo logs
Retenha cpias arquivadas de redo logs
Arquivos de Controle.
Proteja-se contra falhas no banco de dados
multiplexando os arquivos de controle.
Pelo menos duas cpias (A Oracle sugere trs)

Cada cpia em um disco separado
Pelo menos uma cpia em uma controladora
de disco separada
Arquivos de Controle
Arquivos de Redo Log

Multiplexe os grupos de redo logs para proteger-se
contra falhas de mdia e perda de dados.
Pelo menos dois membros (arquivos) por grupo

Cada membro em uma unidade de disco separada
Cada membro em uma controladora de disco separada
Os redo logs influenciam bastante o desempenho
Disco 1
Membro 1
Membro 2
Membro 1
Disco 2
Membro 2
Membro 1
Membro 2
Grupo 1
Grupo 2
Grupo 3
Multiplexando o Redo Log
Arquivos de Log Arquivados

Para preservar as informaes de redo, crie cpias
arquivadas dos arquivos de redo log.
Especifique a conveno de nomeao do arquivo

de log arquivado.
Especifique um ou mais locais para o arquivamento

dos logs.
Alterne o banco de dados para o modo ARCHIVELOG.
Arquivos de Redo Log On-line
Arquivos de log arquivados
Nomeao e Destinos
de Arquivos de Log Arquivados
Especifique os nomes e destinos dos arquivos de log
arquivados.
Modo ARCHIVELOG
Coloque o banco de dados no modo ARCHIVELOG.
Clique na caixa de seleo ARCHIVELOG Mode

Clique em Apply. S possvel definir o banco de
dados no modo ARCHIVELOG a partir do estado
MOUNT. Clique em Yes quando voc for solicitado
a reiniciar o banco de dados.
Sumrio
Descrever os princpios bsicos de backup,

restaurao e recuperao de bancos de dados
Listar os tipos de falhas que podem ocorrer em

um Banco de Dados Oracle

Configurar o modo ARCHIVELOG

de instncias
Exerccio 18:
Multiplexando os arquivos de controle

Multiplexando grupos de redo logs
Colocando o banco de dados no modo ARCHIVELOG
Garantindo que logs de arquivamento redundantes
sejam criados
Objetivos
Ao concluir esta lio, voc ser capaz de:
Criar e gerenciar contas de usurio do banco

de dados

Grant e Revoke
Contas de Usurio do Banco de Dados

Cada conta de usurio do banco de dados possui:
Um nome de usurio exclusivo

Um mtodo de autenticao
Tablespace default
Tablespace temporrio
Perfil de usurio
Criando um Usurio
Selecione Users na pgina de propriedades
Administration. Clique no boto Create.
Perfis e Usurios
Os usurios
recebem apenas
um perfil em
qualquer
momento.
Perfis:
Controlar
o consumo
de recursos
Gerenciar
senhas
Autenticando Usurios
Senha
External
Global
Bloqueio e Tablespaces Default

e Temporrios
Default: Local default dos objetos de banco

de dados
Temporrio: Usado para a classificao
Esquemas e Usurios de Banco de Dados
Esquema o conjunto
de objetos pertencentes
a um usurio.
S possvel associar
um usurio a um
esquema.
O nome de usurio e o
esquema so, em geral,
usados alternadamente.
Objetos do Esquema
Tabelas
Triggers
ndices
Views
Seqncias
Unidades de programa
armazenadas
Sinnimos
Tipos de dados definidos
pelo usurio
Vnculos de bancos
de dados
Lista de Verificao para Criar Usurios
Selecione um perfil.
Conceda privilgios e atribuies ao usurio.
Selecione uma tcnica de autenticao.

Designe um tablespace default e um tablespace
temporrio.
Defina as cotas de cada tablespace.
Privilgios
H dois tipos de privilgios de usurio:
System: Permite que os usurios executem

determinadas aes no banco de dados
Objeto: Permite que os usurios acessem

e manipulem um objeto especfico
Privilgios de Sistema
Privilgios de Objeto
Para conceder privilgios

de objeto:
Escolha o tipo de objeto

Selecione os objetos
Privilgios Select
Atribuindo uma Cota aos Usurios

Os usurios que no tiverem o privilgio de sistema
de tablespace unlimited devero receber uma cota
antes de criarem objetos em um tablespace. As cotas
podem ser:
Ilimitado
Um valor especfico em megabytes ou em kilobytes
Designando Atribuies aos Usurios
Atribuies
Usurios
Atribuies
Privilgios
Neena
HR_MGR
Delete
employees
Girard
Vance
HR_CLERK
Selecione
employees
Inserir
employees
Atualizar
employees
Vantagens das Atribuies
Gerenciamento mais fcil de privilgios

Gerenciamento dinmico de privilgios
Disponibilidade seletiva dos privilgios
Podem ser concedidas pelo sistema operacional
Atribuies Predefinidas
CONNECT
CREATE SESSION, CREATE TABLE, CREATE VIEW,

CREATE SYNONYM, CREATE SEQUENCE, CREATE
DATABASE LINK, CREATE CLUSTER, ALTER
SESSION
RESOURCE
CREATE TABLE, CREATE PROCEDURE, CREATE

SEQUENCE, CREATE TRIGGER, CREATE TYPE,
CREATE CLUSTER, CREATE INDEXTYPE, CREATE
OPERATOR
SCHEDULER_
ADMIN
CREATE ANY JOB, CREATE JOB, EXECUTE ANY

CLASS, EXECUTE ANY PROGRAM, MANAGE
SCHEDULER
Inclui a maioria dos privilgios de sistema, vrias
outras atribuies No deve ser concedida a
usurios que no so administradores.
No contm privilgios de sistema, porm, contm
mais de 1600 privilgios de objeto no dicionrio de
dados
DBA
SELECT_
CATALOG_
ROLE
Atribuies Seguras
As atribuies podem ser no-default.
SET ROLE vacationdba;
As atribuies podem ser protegidas atravs

de autenticao.
As atribuies tambm podem ser protegidas atravs

de programa.
CREATE ROLE secure_application_role
IDENTIFIED USING <security_procedure_name>;
Sumrio
Criar e gerenciar contas de usurio

Grant e Revoke
Exerccio 7:
Criao de um perfil para limitar o consumo

de recursos
Criao de duas atribuies:

a. HRCLERK
b. HRMANAGER
Criao de trs novos usurios, um gerente

e dois funcionrios

Segurança Da Informação

Transféré par

Informations du document

Titre original

Copyright

Formats disponibles

Partager ce document

Partager ou intégrer le document

Options de partage

Avez-vous trouvé ce document utile ?

Ce contenu est-il inapproprié ?

Droits d'auteur :

Formats disponibles

Segurança Da Informação

Transféré par

Droits d'auteur :

Formats disponibles

Princpios da Segurana da Informao

Confidencialidade: proteger todas as informaes contra o

Disponibilidade: evitar que as informaes fiquem indisponveis.

O que o Gerenciamento de Riscos ?

...um evento ou uma condio incerta que, se

Estratgia, Suporte, ...

Qual o seu valor ?

A Informao tem validade ?

Existem Tipos de Informao ?

Toda Informao deve estar protegida ?

Sim, e elas devem ser classificadas seguindo o

Depende. Segurana requer investimentos e talvez

Confidencial: Deve ser disseminada somente para

Pode-se utilizar o ROI - Return on Investment

Definies na Gesto do Risco

Cenrio de Riscos para o Negcio

Identificao do Risco da Informao

Forma do Controle na Segurana da

Forma do Controle na Segurana da

Disponibilizar acesso, aos usurios, apenas aos recursos necessrios.

Implantar formas de identificao do funcionrio de um visitante e

Para que serve o Plano de Contingncia ?

Plano de Recuperao de Desastres

Plano de Administrao da Crise

Backup Total (Full)

A forma mais importante de garantir a disponibilidade da

Praticidade - Possumos uma cpia completa de todos os dados e se for

Acesso rpido aos dados do backup Evita a necessidade de pesquisar em

Dados redundantes - Porque os dados alterados/no alterados so copiados

Tempo - Backups totais demoram para serem restaurados.

Armazena todos os dados que foram alterados desde o backup

O backup diferencial captura os dados que foram modificados

Restaurao rpida Mais rpidos do que os backups incrementais, porque h

Restaurao completa complexa Podemos ter que restaurar os dados de um

Backups demorados e maiores - Backups diferenciais exigem mais espao em

Vrus e Malware (Trojans/Worms/Backdoors)

Antigamente, s os gnios faziam algoritmos maliciosos.

Vrus e Malware (Trojans/Backdoors)

O termo malware proveniente do ingls malicious software; um

Vrus e Malware (Trojans/Backdoors)

Pequenos programas que no funcionam por si s sendo criados para

Vrus e Malwares mais Conhecidos:

Vrus e Malware (Trojans/Backdoors)

Uma macro um conjunto de comandos que so armazenados em alguns

Vrus e Malware (Trojans/Backdoors)

Vrus e Malware (Trojans/Backdoors)

Na mitologia grega o Cavalo de Tria foi uma grande esttua,

A esttua do cavalo continha soldados que, durante a noite, abriram os portes da

Geralmente monitoram os hbitos do usurio durante a navegao na Internet,

Uma grande categoria de software que tem o objetivo de monitorar

Em TI um Cavalo de Tria um programa, geralmente recebido como um presente (

Vrus e Malware (Trojans/Backdoors)

Programas que permitem o retorno de um invasor a um computador

Vrus e Malware (Trojans/Backdoors)

Existe um teste padro que pode ser executado com simplicidade em

Execute o anti-vrus. Caso ele no detecte o arquivo, seu

Como saber qual o Nvel de Segurana

Nveis de Segurana - Fsica

Devemos mensurar os custos associados aos possveis

Nveis de Segurana - Lgica

Segurana da Informao Conceitos Bsicos

So considerados ameaas lgicas: vrus, backup

Segurana da Informao Conceitos Bsicos