Segurança da Informação

Ξ Deixe um comentário

As 10 Leis Imutáveis da Segurança

publicado por Evandro Ribeiro

Este post é baseada nas 10 leis imutáveis da segurança postadas no TechNet. (clique no link para ler a versão completa, em inglês)

As 10 Leis Imutáveis da Segurança
Ao longo dos anos, os técnicos do Microsoft Security Response Center desenvolveram uma lista que passou a ser denominada “As 10 Leis Imutáveis da Segurança”.

Pois aqui estão elas:

1) Se uma pessoa mal intencionada persuadi-lo a executar um programa dela em seu computador, este não será mais o seu computador
Um fato lamentável da ciência da computação é que: quando um programa de computador for executado, ele fará o que foi programado para fazer, mesmo que tenha sido programado para causar danos. Quando você decide executar um programa, está decidindo entregar o controle do seu computador a ele. Uma vez que ele esteja rodando, poderá fazer qualquer coisa que você possa fazer. O limite dele é o de quem o executou. Este é o momento que agradecemos ter UAC (User Access Control) no Windows Vista e posteriores e por não utilizarmos uma conta com privilégios de administrador para as nossas tarefas diárias. Mas e quanto às pessoas que cansaram de usar o UAC e desabilitaram ele? Boa sorte para elas, pois derrubaram a última barreira defensiva contra este tipo de programa malicioso. O programa poderá monitorar as teclas que você pressiona e enviar a sequência delas para um site, ou abrir como documento que houver em seu disco e alterar uma palavra ou uma frase (que tal mudar o “Atenciosamente” de sua assinatura para “entendeu f… da p…?”. Imagine um cliente novo recebendo isso…), ou até mesmo instalar um vírus ou “back door” (porta dos fundos. Um programa que abre uma porta de comunicação entre o seu computador e o da pessoa mal intencionada) que permita que o seu computador seja controlado remotamente. Adicionalmente poderia realizar uma conexão discada com um provedor em Katmandu, através de um número que por tempo de conexão (imagine fazer isso as 0:00 e ficar conectado até as 08:00 a um custo de US$ 10.00 por minuto)? Ou se faltar criatividade à pessoa mal intencionada, pode simplesmente formatar o seu disco.

Agora você pode entender a importância de nunca executar ou mesmo baixar (fazer download) de um programa desconhecido ou que venha de uma fonte desconhecida (aqui vale salientar que “fonte” refere-se a quem criou o programa e não a quem lhe enviou ele. Há uma comparação interessante entre executar um programa e comer um sanduíche. Se um estranho que passa pela rua lhe der um sanduíche, você comerá? Provavelmente não, certo? Mas e se o seu melhor amigo lhe der o sanduíche? Talvez você coma, talvez não. Isso vai depender de quem fez o sanduíche, se foi este amigo ou se ele o encontrou na rua, caído no chão. Aplique o mesmo raciocínio crítico a um programa, que aplicou ao sanduíche e normalmente você estará seguro. Puxa, mas e toda aquela quantidade de programas que você baixou para realizar tarefas de seu trabalho, ou para obter músicas, de autores (programadores) dos quais você nunca havia ouvido falar antes? Exatamente, foram riscos que você aceitou correr, sanduíches que você comeu. Alguns poderiam estar bons, mas outros poderiam estar estragados e depois de comê-los não adianta reclamar do antivirus, de quem criou o seu sistema operacional ou de quem dá suporte a ele.

2) Se uma pessoa mal intencionada puder alterar o sistema operacional de seu computador, ele não será mais seu
Em resumo, um sistema operacional não passa de uma série de zeros (0) e uns (1), que ao serem interpretados pelo processador, fazem com que o computador realize determinadas tarefas. Altere esta sequência de zeros e uns, que ele fará algo diferente.Mas onde estão armazenadas estes zeros e uns? Ora, no disco de seu computador, junto com todo o resto! Eles não passam de arquivos, portanto se outras pessoas que usarem o computador puderem alterar estes arquivos, será “game over” (final de jogo. Nada mais poderá ser feito).

Para entender melhor isso, considere que os arquivos do sistema operacional são os mais confiáveis de seu computador (ou ao menos, aqueles nos quais “ele” mais confia), portanto eles são executados com o máximo de privilégios (máximo poder, máxima autoridade). Em resumo, eles podem fazer absolutamente qualquer coisa. Dentre outras coisas, eles podem gerenciar as contas de usuários, alterações de senhas, regras que definam quem pode ou não realizar determinadas atividades, etc. Se uma pessoa mal intencionada puder alterá-los, os arquivosque eram confiáveis (masjá não são mais) farão o que esta pessoa desejar e não haverá limites no que essa pessoa possa desejar. A pessoa poderá roubar senhas, se fazer passar pelo administrador da rede ou até mesmo adicionar funcionalidades totalmente novas ao sistema operacional (e pode ter certeza de que não serão do tipo que você gostará de ter). Para evitar este tipo de ataque, certifique-se sempre de que os arquivos de sistema, bem como o registro de seu computador (que de certa forma, faz parte deles) estejam bem protegidos. Verifique a lista de procedimentos deste site, para saber como fazê-lo: http://www.microsoft.com/technet/prodtechnol/windows2000serv/reskit/iisbook/z02b_security_checklists.asp .

3) Se uma pessoa mal intencionada tiver acesso físico irrestrito ao seu computador, ele não será mais seu
Há uma infinidade de coisas que uma pessoa mal intencionada pode fazer com o seu computador, se ela puder colocar as mãos nele! Vejamos alguns exemplos do que ela poderia fazer:

  • derrubar toda a rede de sua empresa com ataques ao seu servidor;
  • levar o seu computador embora e cobrar resgate para devolvê-lo (sequestro de computadores é algo que pode chegar a parecer cômico, mas pode ser bem mais rentável do que de pessoas (grandes empresas pagariam fortunas por seus dados secretos), possuindo penas muito menores para os criminosos (por não ser considerado um crime hediondo como o de pessoas);
  • inicializar o seu computador através uma mídia externa (pen drive, disco externo, disquete, etc) e formatar o seu disco. Neste ponto alguns dirão: Que nada, eu configurei minha BIOS (sistema de gerenciamento da placa mãe), para requerer uma senha ao ligar o computador. Isto não adiantaria de nada, pois se esta pessoa puder abrir a “case” (carcaça, torre, caixa)  de seu computador e colocar suas mãos nos equipamentos existentes dentro dela, poderá substituir o chip (componente que armazena os dados e as configurações da placa mãe) ou simplesmente apagar as configurações dele (desta forma eliminando a senha que você configurou);
  • remover o disco do seu computador, instalá-lo em outro computador e lê-lo. Bem, aí você dirá: ler o meu disco? Nada disso, meu sistema operacional dá suporte à criptografia do disco! Parabéns, mas você ativou esta funcionalidade??;
  • duplicar o seu disco e levar a cópia para seus domínios (empresa, casa, etc). Uma vez lá, terá todo o tempo do mundo para realizar ataques de força bruta (testar todas as combinações possíveis) para quebrar as suas senhas. Existem programas disponíveis na internet para automatizar esta tarefa e tendo tempo suficiente para realizar este procedimento, é quase certo que obterá sucesso. Uma vez que obtiver sucesso, serão aplicadas as leis 1 e 2.
  • substituir o seu teclado por um que contenha um rádio transmissor, desta forma tornando-se possível monitorar qualquer coisa que você digite, inclusive a sua senha.

Sempre certifique-se de que seu computador esteja fisicamente seguro, de uma forma consistente com o valor dele (lembre-se aqui que o valor dele é muito superior à soma do valor dos componentes que ele possui, pois ainda há o valor dos dados dentro dele, que normalmente é o maior de todos. Isso sem falar no valor do acesso à sua rede). Em função disto, quaisquer tipos de servidores devem sempre estar dispostos fisicamente em ambientes fechados, onde apenas pessoas ligadas à sua manutenção e administração tenham acesso físico.

Se você leva seu notebook em viagens estas precauções tornam-se ainda mais importantes. As mesmas características que tornam os notebooks (tablets, netbooks, etc), ótimos companheiros para viagens (tamanho e peso reduzidos, etc) também os tornam ideais para serem roubados. Existe uma grande variedade de dispositivos de segurança para eles, que vão desde trancas até alarmes. Outros modelos permitem que você remova seus discos e leve eles junto ao seu corpo (no bolso da camisa, por exemplo). Você também pode criptografar o sistema de arquivos deles (disponível no Windows desde a Windows 2000), para tentar reduzir o dano causado por quem roubar um deles. Mas a única forma que você pode ter 100% de certeza de que seus dados estejam seguros é se mantivê-los junto a você durante toda a viagem.

4) Se você permitir que uma pessoa mal intencionada envie (upload) programas para o seu site (website), ele não é mais seu
Esta é basicamente a lei 1 invertida. Neste cenário, a pessoa mal intencionada faz com que sua vítima (que neste caso pode ser você, um empregado seu, um cliente, ou um amigo seu) baixe (download) o programa malicioso para o seu computador e execute-o, por considerá-lo confiável (afinal de contas, estava no “seu” site). Adicionalmente, neste caso a pessoa mal intencionada pode fazer com que o site envie o programa para o computador de quem acessá-lo, com a desculpa de ser uma atualização para o seu navegador. Ao chegar, o próprio programa se executa e o estrago estará feito.

Se você possui um site deverá sempre restringir o que os visitantes podem fazer nele. Só permita a existência de programas nele, se foi você quem os criou, ou se você realmente confia em quem os criou. Ainda assim, isto pode não ser o suficiente, pois se o seu site estiver hospedado em um daqueles provedores com servidores compartilhados (quase todos da web), seus cuidados devem ser ainda maiores. Caso a pessoa mal intencionada consiga comprometer qualquer um dos outros sites que estejam no mesmo servidor que o seu (e você não sabe quem são eles) e o servidor esteja mal configurado (o que você nunca saberá se é o caso), esta pessoa poderá ter acesso aos dados no seu site. Antes de abrir seu site ao acesso público, certifique-se de seguir o disposto aqui: http://www.microsoft.com/technet/prodtechnol/windows2000serv/reskit/iisbook/z02b_security_checklists.asp

5) Senhas fracas destroem seguranças fortes
O propósito de existir um processo de “logon” (exigência de nome de usuário e senha) é para estabelecer quem você é. Uma vez que o sistema operacional sabe quem você é, poderá lhe permitir ou negar acesso a recursos. Se uma pessoa mal intencionada obtiver acesso à sua senha (lendo aquele post it no seu monitor, ou aquela anotação na sua agenda), ela poderá acessar ao sistema, como se fosse você. Na verdade, para todos efeitos, o sistema operacional assumirá que “é” você. Qualquer coisa que você possa fazer, esta pessoa também poderá e usando o seu nome. Pode ser que desej ler seus e-mails, ou realizar tarefas que só você deveria poder (caso seja alguém que trabalhe com você), ou queria realizar algo de ruim, para que você sofra a punição.

Sempre use uma senha, jamais configure o seu computador com aquelas senhas em branco. Quando for escolha sua senha, prefira as que forem complexas. Jamais use o nome de seu cachorro, datas importantes, nome de seu time favorito, etc. Se possui dúvidas sobre como criá-las leia este post: http://carlosfprocha.com/blogs/paleo/archive/2010/08/22/senhas-no-sbs.aspx

Aqui vale lembrarmos as palavras de Benjamin Franklin (ex-presidente americano e grande estadista): “Duas pessoas podem guardar um segredo, desde que uma delas esteja morta.”

6) Um computador é sempre tão seguro, quanto o seu administrador for confiável
Todo computador deve possuir um administrador e neste contexto isto significa: alguém que possa instalar programas, configurar o sistema operacional, adicionar e gerenciar contas de usuários, estabelecer políticas de segurança e realizar todas as demais tarefas associados com o fato de manter um computador rodando (funcionando). Por definição, estas tarefas requerem que ele tenha controle sobre o computador, colocando-o em uma posição sem poder equivalente, sendo o dele o máximo. Um administrador não confiável (ou em alguns casos prestes a ser demitido, ou recém demitido, de acordo com a índole dele) pode desabilitar qualquer medida de segurança que você tenha implementado, instalar programas maliciosos, criar usuários fictícios, ou fazer qualquer outra coisa que venha a lhe prejudicar. Se você possui um administrador não confiável, não possui segurança alguma.

Quando for contratar um administrador para a sua rede ou o seu computador, leve em consideração que estará entregando toda a segurança de seus dados a ele, portanto seja criterioso na sua escolha. Ele precisa além de possuir sólidos conhecimentos sobre o trabalho que executará, sólidos valores morais (o que nem sempre é fácil de medir). Utilize controle de acessos na sala de seu servidor, para saber quem entrou/saiu e quando (você tem esta sala, certo? Caso contrário, re-leia a lei 3).

7) Dados criptografados (com informações cifradas) são tão seguros quanto a chave de descriptografia deles
Imagine que você instalou a maior e mais forte fechadura em sua porta da frente, mas deixou a chave embaixo do tapete de entrada. Realmente não fará diferença alguma o quão forte for esta fechadura, certo? O fator crítico será a precária forma com que a chave foi protegida (o tapete sobre ela), pois se ela for localizada, só será necessário abrir a porta com ela. Dados criptografados funcionam da mesma forma, não importando o quão forte for o algoritmo de criptografia, mas sim a chave de decriptografia dele.

Muitos sistemas operacionais e programas de criptografia lhe permitem armazenar a chave de decriptografia no seu computador. A vantagem naturalmente é a conveniência (você não precisa se preocupar em localizá-la), mas o custo dela é uma grande redução na segurança. Normalmente estas chaves são ofuscadas (com o sentido de escondidas) e alguns métodos de ofuscá-las são muito bons. De qualquer forma, no final, não faz muita diferença o quão bem elas foram escondidas, pois se estão no computador podem ser encontradas. Afinal de contas, elas tem de ser, pois o programa que as usa precisa encontrá-las, portanto bastaria monitorá-lo, para encontrá-las também. Só vai depender do grau de motivação desta pessoa mal intencionada. Sempre que possível, use fontes externas de armazenagem para estas chaves. Se for uma palavra ou frase, memorize-a. Se não for o caso, exporte-a para um pen drive ou algo do gênero. No mínimo você estará dificultando a vida desta pessoa mal intencionada.

8) Um Antivírus desatualizado é apenas marginalmente melhor do que nenhum
Os antivirus funcionam comparando os dados em seu computador com uma coleção de “assinaturas” de vírus. Cada “assinatura” é característica de um vírus em particular, portanto quando o antivirus encontra dados em um arquivo, e-mail, ou qualquer outro lugar, que combine com alguma assinatura, ele conclui que seja um vírus. Entretanto, o antivirus só consegue localizar vírus que ele “conheça”, daí a importância de manter o seu antivirus atualizado, pois o que ele atualiza é justamente esta coleção de assinaturas.

Um novo vírus faz o maior dano de todos justamente logo após o seu lançamento, exatamente porque poucas pessoas possuem antivirus capazes de detectá-lo. Uma vez que ele se torne conhecido e sua assinatura seja distribuída aos antivirus, sua eficácia desaba. O segredo reside em atualizar o seu antivirus sempre antes de ser atacado pelos novos vírus. Isso significa que mesmo possuindo um antivirus atualizado posso ser infectado? Sim, pode. É tudo uma questão de tempo. Se você receber o vírus antes do seu antivirus receber a vacina para ele, não terás defesas e serás infectado. Mas então de que adiantam os antivirus? É tudo uma questão estatística. Possuindo um antivirus atualizado a sua chance de ser infectado passa a ser mínima, ainda que não seja nula.

Adicionalmente, os fabricantes de antivirus desenvolvem constantemente novas técnicas de detectar vírus, daí a importância de possuir a última versão do antivírus e não apenas o último arquivo de atualizações. Mas então deve estar sempre investindo meu dinheiro nisso? Não necessariamente, pois há vários antivirus bons e gratuitos.

Como por exemplo este: http://xa.ly/6Wb

Ou você também pode usar as versões online deles: http://xa.ly/7Wb

9) Anonimicidade absoluta não é prática, na vida real nem na web
Toda interação humana envolve algum tipo de troca de informações. Se alguém reune dados suficientes, então consegue identificar você. Imagine quantas informações podem ser obtidas através de uma simples conversa com você. No mínimo pode deduzir, sua altura; seu peso; de acordo com o seu sotaque, descobrir de onde você é. Caso você converse sobre qualquer coisa além do tempo, deixará vazarem informações sobre sua família, seus interesses, onde mora e com o que trabalha. Em resumo, não leva muito tempo para a outro pessoa conseguir traçar um perfil seu. Por outro lado, se você insistir em ser anônimo, sua melhor chance é viver em uma caverna, sem contato com humanos, :).

O mesmo vale para a internet.Ao visitar um website, o dono dele pode coletar informações a seu respeito. Todos os zeros e uns daquele site precisam chegar em seu computador para que você os leia e portanto eles tornam o seu computador restreável (alguns mais e outros menos). Você até pode usar softwares que despistes esta busca, mas no momento que encontrar aquele super vale brinde em um site e desejar possuir ele, terá de permitir um contato direto e neste momento fostes localizado. Ok, foi apenas por um website. Será? Como fica caso o dono deste website costume compartilhar seus dados com outro dono de site, ou seja do tipo que vende a listagem de clientes?

Isto significa que não haja possibilidade de ser anônimo na web? Não, apenas significa que você nunca conseguirá ser 100% anônimo e portanto deve seguir as mesmas regras de preservação que segue no mundo real.

10) Tecnologia não é uma panacéia
Panacéia vem da mitologia grega, onde representava a Deusa da cura. É usado atualmente com o sentido de cura e no enfoque presente serve para lembrar que a tecnologia não pode ser vista como a cura para todos os males.

Por mais que atecnologia possa fazer coisas incríveis por nós, ela está longe de ser o remédio para todos nossos males. A segurança perfeita requer um nível de perfeição que simplesmente não existe e provavelmente nunca venha a existir. Isto é simplesmente um fato da vida.

Por outro lado, mesmo que os programas pudessem ser perfeitos, isto não resolveria o problema por completo, pois a maior parte dos ataques possui origem em manipulação de origem humana, o que normalmente chamamos de “engenharia social”. Basta que você amplie o custo e a dificuldade para se atacar a um sistema, que as pessoas mal intenciosada passarãoa desviar o seu foco da tecnologia e ampliá-lo às pessoas que operam os consoles.

Em resumo, o importante é sempre ter em mente duas coisas:
a) segurança consiste de duas partes: tecnologia e política;

b) a segurança é um caminho, não um destino, ou seja, ela não é um problema que possa ser resolvido, mas uma série constante de movimentos e contra-movimentos (movimentos defensivos) entre as pessoas bem e as mal intensionadas.

Autor

Analista de Segurança da Informação, 7 anos de experiencia. Graduado em redes de computadores, Pós Graduado em Segurança da Informação. MCP, ISO27002, COBIT 4.1 RISK MANAGER

Evandro Ribeiro

Comentários

You must be logged in to post a comment.

Busca

Patrocínio

Publicidade



Siga-nos!

Newsletter: Inscreva-se

Para se inscrever em nossa newsletter preencha o formulário.

Artigos Recentes