Nos tempos atuais quase todo o mundo fala de ataques cibernéticos, hackers, segurança digital, parece tão assustador e difícil de entender que as pessoas fazem o oposto do que deveriam fazer: proteger-se contra ataques!
Porém para as pessoas protegerem-se elas precisam estar informadas sobre do quê protegerem-se e o que proteger. Complicou?
Vamos 10C0MPL1C4R (descomplicar
Vamos começar por falar sobre 3 princípios fundamentais de segurança: confidencialidade, integridade e disponibilidade. Em inglês este pilares são descritos como confidentiality, integrity and availability (CIA).
Vamos ver ao detalhe cada um dos 3 pilares.
Confidencialidade - consiste em garantir que determinada informação/dados seja acedida somente por sistemas ou pessoas autorizadas. Dependendo no tipo informação, deverá ser atribuído um certo nível de confidencialidade e deverão também existir controles que permitam controlar e auditar quem teve acesso a determinada informação. Alguns exemplos de informação que podemos considerar como confidencial:
- Número de segurança social
- Informação bancária: número de conta, número de cartão
- Registos hospitalares
- Documentos militares
Seguem-se exemplos de mecanismos de segurança concebidos para preservar a confidencialidade:
- Controle de acesso físico e lógico
- Encriptação
- Roteamento controlado
Integridade - É muito importante que os sistemas e os dados que eles mantêm sejam precisos, completos e protegidos contra modificações não autorizadas. A proteção da integridade abrange mais do que apenas dados; ele não apenas protege os dados, mas também os sistemas operacionais, aplicativos e hardware de serem alterados por indivíduos não autorizados. Por exemplo, e se um roteador for modificado para enviar dados para um destino que não foi planejado? E se um e-mail confidencial for modificado por um invasor antes de chegar ao destinatário original?
Disponibilidade - os sistemas, aplicativos e dados devem estar disponíveis para os usuários sem afetar a produtividade. O ataque mais comum contra a disponibilidade é um ataque de negação de serviço (DoS). A produtividade do usuário pode ser bastante afetada e as empresas podem perder muito dinheiro se os dados não estiverem disponíveis. Por exemplo, se você for uma loja on-line ou um provedor de serviços em nuvem e seu site ou serviço de comércio eletrônico não estiver disponível para seus usuários, você poderá perder negócios atuais ou futuros, afetando assim a receita.
Usando como referência este pilares, podemos nos orientar melhor quanto a solução de segurança a ser aplicada. Não adianta ser tão confidencial ao ponto de não estar disponível aos utilizadores, como também não adianta estar tão disponível ao ponto que qualquer pessoa ou sistema tenha acesso a informação sigilosa. Em suma, não compre um cofre para guardar o dinheiro e jogue as chaves dentro do cofre por segurança
Já sabemos que devemos usar alguma metodologia para proteger a informação, agora precisamos avaliar qual o risco de alguém conseguir ter acesso ao que pretendemos proteger. Por exemplo, em uma empresa quais são os sistemas e ativos críticos? Esta é uma das perguntas iniciais que você deve se fazer ao iniciar qualquer processo de análise de risco. Você deve saber a diferença entre ameaças e vulnerabilidades. Ameaças são ocorrências que podem afetar um sistema ou uma organização como um todo. Exemplos de ameaças incluem fraude, roubo de informações e roubo físico. Vulnerabilidades são falhas que tornam um sistema, um indivíduo ou uma organização expostos e suscetíveis a uma ameaça ou ataque.
O objetivo principal de qualquer técnica de modelagem de ameaças é desenvolver um processo formal enquanto identifica, documenta e reduz ameaças de segurança. Este processo tem um grande impacto em qualquer organização porque é basicamente uma metodologia usada para entender como os ataques podem ocorrer e como eles afetarão a rede, os sistemas e os usuários. As organizações adotaram várias técnicas de modelagem de ameaças. Eis algumas delas:
- Attack trees (árvores de ataque) - são uma representação gráfica de sistemas e possíveis vulnerabilidades. O tronco da árvore de ataque é o ativo, enquanto os pontos de entrada e as ameaças são ramos ou raízes. As árvores de ataque são frequentemente combinadas com outros métodos.
- STRIDE - Desenvolvido pela Microsoft, o STRIDE (spoofing, tampering, repudiation, information disclosure, denial of service, elevation of privilege) é uma das estruturas mais antigas e amplamente utilizadas para modelagem de ameaças.
- PASTA (process for attack simulation and threat analysis) - é uma estrutura projetada para elevar a modelagem de ameaças ao nível estratégico, com informações de todas as partes interessadas, não apenas das equipes de TI ou segurança. PASTA é um processo de sete etapas que começa com a definição de objetivos e escopo. Inclui verificações de vulnerabilidade, análise de fraqueza e modelagem de ataque e termina com análise de risco e impacto expressa por meio de pontuação.
- Trike - Uma ferramenta de código aberto disponível como modelo de planilha ou programa autônomo, o Trike consiste em uma matriz que combina ativos, atores, ações e regras. Quando parâmetros e dados são inseridos nessa matriz, o programa produz uma análise baseada em pontuação de riscos e probabilidades.
- VAST (visual, agile, and simple threat) - a modelagem consiste em métodos e processos que podem ser facilmente dimensionados e adaptados a qualquer escopo ou parte de uma organização. Os resultados produzem referências que podem ser usadas para fazer comparações e medições confiáveis de risco efetivo em toda a organização.
Eu sei que é muita teoria para digerir sobre segurança de informação (isto é só um cheirinho
2 Comentários
