Firewall de nova geração

Trusted by over 1 million members

Try Scribd FREE for 30 days to access over 125 million titles without ads or interruptions! Start Free Trial Cancel Anytime.













VOCÊ PODE:

Copiar,, distribuir, Copiar distribuir, criar obras derivadas e exibir a obra.

a ç n e c i L

COM AS SEGUINTES SEGUINTES CONDIÇÕES: CONDIÇÕES:

Dar crédito ao autor original e a Revista Segurança Digital, citando o nome do autor (quando disponível) e endereço do projeto.

Você não pode utilizar esta obra como fonte comercial. Este direito é de total exclusividade do titular responsável por manter o site Segurança Digital.

Compartilhamento pela mesma Licença. Se você alterar, transformar, ou criar outra obra com base nesta, você somente poderá distribuir a obra resultante sob uma licença idêntica a esta.

O Projeto Segurança Digital apóia o compartilhamento gratuito de informações e conhecimento, mas ao mesmo tempo defende o fato de que, ao distribuir a obra de outra pessoa ou entidade você deverá citar a fonte original desta, dando assim crédito ao seu autor. Esta revista não poderá ser comercializada sem autorização prévia do responsável Fábio Jânio Lima Ferreira. O Projeto Segurança Digital garante a gratuidade desta edição. A mesma poderá ter uma versão impressa paga, porém a versão digital não poderá, em hipótese alguma, ser comercializada. Só será permitida uma versão impressa para cunho comercial sobre autorização prévia do titular da comunidade. A comercialização da versão impressa desta revista sem autorização prévia constitui crime previsto nas leis nº 6.895 e 10.695. Parágrafo que respalda esta revista: § 1º Lei nº 6.895 - Se a violação consistir em reprodução, por qualquer meio, com intuito de lucro, de obra intelectual, no todo ou em parte, sem a autorização expressa do autor ou de quem o represente, ou















l a i r o t i d E

As guerras sempre fizeram parte da história da humanidade. Teria sido a primeira o homicídio de Caim, que matou seu próprio irmã ir mãoo Abe bell po porr ci ciúúme mes? s? Os sé sécu culo loss pas asssar aram am e o ho hom mem contin con tinuo uouu (e con contin tinua) ua) a gu guerr errear ear pel pelas as mai maiss var variad iadas as raz razões ões (relig (re ligios iosas, as, étn étnica icas, s, ide ideoló ológic gicas, as, eco econôm nômica icas, s, ter territ ritori oriais ais,, de vingança, ou de posse). A necessidade de defender-se dos inimigos, fez com que as técnicas de defesa fossem criadas e aprimoradas. Uma das mais antigas e utilizadas é a construção de um muro que serviria como barreira barr eira físi física ca para afas afastar tar inva invasore sores, s, dema demarcar rcar terr territó itórios rios e evit evitar ar as derrotas. Vários Vár ios mur muros os caí caíram ram,, un unss vir virarã arãoo atr atraçã açãoo tur turíst ística ica e ou outro tross permanec perm anecem em de pé. Nos fim dos anos 80, foi cri criado ado o conc conceit eitoo de firewall (muro de fogo) devido a necessidade de criar restrições de acesso entre redes. Naquela época, o perigo era externo, o medo principa prin cipall era que um víru víruss derr derrubas ubasse se toda a rede rede,, como ali aliás ás aconteceu por diversas vezes. O perímetro era a referência de defesa. A internet cresceu e hoje o cenário é bem diferente. Hoje, as ameaças virtuais estão em qualquer lugar, o antigo perímetro já não existe mais. Foi necessária uma evolução nos firewalls e você também precisa acompanhar essa mudança. Seus usuários querem usar o Skype, Google Docs, Facebook e muitos outros serviços que agregam valor ao trabalho deles. A estratégia de negar tudo já não funciona mais. Nestee mês como mat Nest matéria éria de capa abord abordamos amos os Fire Firewall wallss de Nova Gera Geração. ção. Ele Eless muda mudam m o abor abordage dagem m do “tud “tudoo ou nada nada”. ”. Hoje o le lema ma é li libber erda dade de co com m co conntr troole le.. Se Serrá que fin inal alme ment ntee os profissi profi ssionai onaiss de Segu Seguranç rançaa da Infor Informaçã maçãoo pass passarão arão a ser vis vistos tos com outros olhos e não mais serão chamados de “Doutor Não”. A Revista Segurança Digital te convida a conhecer essa nova tecn te cnol olog ogia ia cu cuja ja ad adoç oção ão cr cres esce ce a ca cada da di dia. a. E es esse se mê mêss tem temos os algu al guma mass no novi vida dade des. s. Nã Nãoo ai aind ndaa pe perc rcaa o su supe perr de desc scon onto to qu quee a editora Brasport está oferecendo aos leitores.Há ainda sorteios de livros e convite para o OWASP Floripa Day. Envie seu comentário, sugestão, reclamação, e até mesmo o seu artigo, caso tenha interesse em colaborar conosco. Proteção! Prevenção! Detecção! Detenção! Boa Leitura!

DIRETOR E DIAGRAMADOR Fábio Jânio Lima Ferreira [email protected] EDITORES-CHEFE Johnantan Pereira johnantan.pereira@ johnantan [email protected] gmail.com Luiz Felipe Ferreira [email protected]

EDITOR DE ARTE Hélio José Santiago Ferreira COLUNISTAS Augusto Pannebecker Fernandes [email protected] Bruno Salgado, Henrique Soares, Jarcy Azevedo e Rafael Ferreira [email protected] Jaime Porto Pinto Júnior jaimeport [email protected] jaimeportop@gmail. com Laerte Costa Leonardo Pereira Guimaraes [email protected] Lígia Barroso [email protected] Nágila Magalhães [email protected] Paulo Moraes [email protected] prg.moraes@ gmail.com Roberto Henrique [email protected] Ronielton Rezende Oliveira [email protected] Thiago Fernandes Gaspar Caixeta [email protected]

REVISÃO Andressa Findeis [email protected] Mauro Júnior [email protected]















e c i d n Í

Artigo

Dica / Tutorial

Análise de Risco

05

Apple e Flashback - Fatores e constatações para todos os SO's

08

Liberação De Registro De Nomes De Domínio Top Level - Retrocesso Ou Evolução?

11

A tendência de cloud computing computing nas organizações organizações

13

Firewall de Nova Geração - Proteção! Prevenção! Detecção! Detenção!

15

OWASP OW ASP Floripa Flo ripa

17

OWASP OW ASP Sorteio Sor teio

18

Hacktivismo - Anonymous vilões ou mocinhos?

19

Criptografia simétrica e assimétrica (parte 2 final)

21

Lan House Corporativa

25

IDS/IPS onde utilizar?

28

Auditoria - Como Windows Server pode te ajudar

45

Parceiros Able Security

52

4Linux

53 54

Brasport

55

HostDime

56

Kryptus

12 - Age Agenda nda TI

Confira o calendário dos profissionais de TI

56 - Coluna do leitor

Emails, sugestões e comentários. Envie o seu e, contribua para com o nosso















o c s i R ed e s i l á n A

O

s riscos estão em toda a parte e geram os mais Brasileira de Normas Técnicas – ABNT. A NBR ISO/IEC 27002:2005 foi desenvolvida a diversos impactos e danos aos ativos da empresa, 7799-1:19999 e consiste em códi porém, a grande questão, é a forma como as em- partir da norma BS 7799-1:199 presas identif identificam, icam, avaliam, controla controlam m e mitigam os ris- gos de prática para a gestão de segurança da inforcos. Não existe qualquer dúvida que aqueles que gerem mação, tendo como objetivo “estabelecer diretrizes e princípios os gerais para iniciar, implement implementar, ar, manter e melhor os seus riscos, são beneficiados de uma grande princípi vantagem competitiva perante o mercado, podendo inclu- melhorar a gestão de segurança da informação em organ ganiza izaçã ção”. o”. A no norma rma for forne nece ce um con conjun junto to sivamente usufruir de melhores relações com os investi- uma or dor ores es e ac acio ioni nissta tass, al aléém de at aten ende derr às rig igooro rossas completo de controles de segurança divididos em 11 legislações e requisitos do mercado internacional. Essas capítulos, nos quais estão descritos 39 objetivos de empresas estão melhor posicionadas e preparadas para as- controle e 133 controles de gestão de SI. De acordo com a ISO 27002:2005 o gerenciamensumir riscos de forma calculada, baseados no conhecimento que têm das ameaças e oportunidades. A partir da to de risco é o processo que trata de ameaças, riscos e medida idass de seg segura urança nça.. O ger gerenc enciam iament entoo de riscos riscos gestão de risco as empresas desfrutam de relações facilita- med das com os subscritores dos seus riscos, controlando os conta com várias ferramentas de suporte e sua prinriscos e reduzindo os custos podem ver os seus prêmios de cipal é a análise de risco, de forma a levantar e validar todos os riscos e quais os impactos na SI da seguro e custos de recuperação de incidentes reduzidos.

Antes de definirmos o que é a análise de risco e seu objetivo é importante conhecer um pouco sobre a norma ISO 27002. A norma 27002 foi desenvolvida pela ISO (Inter (Internal nal Organizati Organization on Standardi Standardization), zation), a

empresa. O propósito da análise de risco é identificar quais ameaças são relevantes aos processos do negócio e quais os riscos associados a essas ameaças, de forma a garantir um nível de segurança apropriado,















ARTIGO Segurança Digital

- Determinar o equilíbrio entre custos de um incidente e custos das medidas de segurança; - Determinar os riscos e as ameaças que podem realmente causar dano aos processos operacionais. operacionais. Existem dois métodos de análise de risco: análise quantitativa e qualitativa. A Análise de risco quantitativa é baseada no im pacto do risco com relação à perda p erda financeir financeiraa e a propr o babilidade de que uma determina determinada da ameaça se torne um incidente. São levantados e categorizados os valores de todos os elementos que fazem parte do process ce ssoo op oper erac acio iona nal, l, es esse sess va valo lore ress po pode dem m se serr co com m relação ao valor do ativo ou despesa que o incidente possa acarretar. ac arretar. A Análise de risco qualitativa é baseada em cenários e probabilidades de ocorrência de que incidentes ocorram. É feito uma análise com relação à maturidade do processo e sentimentos dos envolvidos e, a partir das informações, é realizada uma análise com o intuito de levantar as ameaças e medidas de segurança para mitigar o risco. O ideal é realizar na empresa uma análise mista de forma a garantir que, em caso de incidente, seja possível identificar o prejuízo financeiro e as medidas de repressão e redução do dano. M a tr i z d e R i s c o

Após o levantamento e análise dos riscos dos processos o segundo passo a ser realizado é a matriz de risco dos ativos da empresa. De acordo com a norma 27002 uma Matriz de Risco é uma matriz criada durante o processo de análise de risco e utilizada para definir os diversos níveis de risco a partir das categorias de probabilidade de danos e categorias de severidade dos danos. A matriz de risco possibilita uma maior visibilidade dos riscos de forma a auxiliar a tomada de decisão e gestão dos ativos e processos. A elaboração da matriz de risco trata dos seguintes temas: Impacto: O valor do ativo é avaliado com base nos critérios de segurança da informação (Integridade, Disponibilidade e Confidencialidade), nessa avaliação é estimado o impacto do ativo para o

cesso. Ameaça: A partir do levantamento da vulnera bilidade o passo seguinte é a análise das ameaças intrínsecas à vulnerabilidade, a melhor forma de proteção é conhecer as ameaças existentes e seu potencial. Probabilidade: Saber a probabilidade de uma ameaça explorar uma vulnerabilidade é fundamental para identificar riscos. Esta característica é obtida de forma qualitativa através do conhecimento do ambiente e ocorrências de falhas anteriores. Risco: O risco é a análise qualitativa do valor x probabilidade probabili dade da falha se concretizar. Por ser uma análise qualitativa depende muito do valor do ativo para o processo, um exemplo é um ativo de valor baixo com uma probabili probabilidade dade alta de falha poderia ser considerado com risco baixo ou médio. Para a classificação dos temas acima, geralmente é utilizada uma combinação de cores relativa ao nível analisado. Neste exemplo usaremos a seguinte padronização: Impacto de nível Alto (VERMELHO ( VERMELHO): ): Resulta na perda catastrófica de recursos tangíveis ou principais. Pode significativamente violar ou im pedir a continuidade cont inuidade do negócio. negóc io. Impacto de nível Médio (AMARELO ( AMARELO): ): Resulta na perda significativa de recursos tangíveis, podendo prejudicar a operação de negócio. Impacto de nível Baixo (VERDE ( VERDE): ): Resulta na perda de algum recurso tangível, não afetando ou afetando de forma branda a operação do negócio. Probabilidade de nível Alto (VERMELHO ( VERMELHO): ): Os controles para prevenir o risco não são efetivos ou não existem controles de prevenção do risco. Probabilidade de nível Médio (AMARELO ( AMARELO): ): Os controles para prevenir o risco são efetivos, porém não são monitorad monitorados os ou são monitorad monitorados os es poradicamente. poradicame nte. Probabilidade de nível Baixo (VERDE ( VERDE): ):


















Devem ser levantados e classificados todos os ativos considerados relevantes ao negócio, um processo que pode ser demorado e demandar uma grande equipe de apoio, dependendo do tamanho e complexidad complexidadee do ambiente tecnológico da empresa.

Font e :

ABNT – Associação Associação Brasileira de Normas Técnicas. ABNT NBR ISO/IEC 27002 – Tecnologia Tecnologia da informação – Técnicas de segurança – Código de prática para a gestão de segurança da informação. ABNT ABNT,, 2005 2005..

















s ' S e O s s e o r o s o t a d o F - t a k r c a a b p s h e s a õ l ç F a t e a e t l s p p n A o c

Fazer um sistema 100% seguro é o sonho de qualquer desenvolvedor, imagina então desenvolver, nesse molde, um Sistema Operacional e por ele ser a base para que outros sistemas sejam executados a questão de segurança fica ainda mais crítica, pois além de ter que cuidar de suas próprias questões de segurança, ainda tem que ver a questão de segurança dos outros e basta uma falha em um desses softwares para toda uma históri históriaa de sistema operacional seguro ir por água abaixo. Mas por que estou falando isso? Todo mundo ficou sabendo do vírus Flashback que segundo especialistas infectou mais de 600 mil MACs neste mês de

mente não foi no sistema, mas sim do aplicativo Java, porém ela já tinha sido corrigida em Fevereiro desse ano, ou seja, a falha foi explorada dois meses depois da correção, tempo mais do que necessário para a correção ser publicada e avisada aos seus usuários para se atualizarem, uma ação que a empresa não fez, já que a versão que roda nos MACs infectados é de Outubro do ano passado. Então a falha está ligada sim ao sistema, pois se existe uma falha conhecida e nada foi feito para resolve-la, você está sendo conivente com ela, logo se algo acontece relacionada a ela, a culpa será sua. Uma velha máxima da segurança da informação diz


















que pudessem usá-las. Eles procuraram e acharam. mais usuários, então o caso é o seguinte, será que se Um fato parecido com isso acontece com o Win- o Linux se popularizar o evento “Flashback” também dows, está certo que as brechas que ele possui são não irá ocorrer? A comunidade Linux na questão de BEM maiores que as da Apple e que muitas delas corrigir erros é bastante eficiente, mas será que nesse ainda nem possuem correções, porém se formos olhar caso ela conseguirá dar uma resposta melhor que a da o número de usuários que os MACs possuem e os de Apple? Não sei somente o tempo dirá e quando o LiWindows a diferença é gigantesca, então se você es- nux se popularizar. colhesse algo para ter uma chance maior de sucesso o que você escolheria onde sua chance seria maior ou menor? No caso dos vírus, onde tem mais usuários ou menos usuários para atingir? Não estou defendendo, só pedindo para refletir. Outro caso que podemos colocar alinhado a todos os fatos citados acima é o Android. Vamos colocar que ele está na ativa a mais ou menos um ano e meio, e é de ciência de todos que ele hoje está em grande parte dos smartphones e seguindo a linha de malwares encontrados por número de usuários, podemos ver que segue uma lógica, pois o número de malwares para Android é absurdo, são mais de 10000 dividindo pela data acima, um ano e meio (cerca de 548 dias) isso dá quase 20 dessas pragas sendo criadas por dia, d ia, é muita mui ta coisa. coi sa. No caso do Android pode se usar a defesa de que não é o sistema que possui falhas, pois são aplicativos que são instalados nele que possibilitam os ataques, então pergunto e se o sistema não deixasse essess aplic esse aplicativo ativoss sere serem m insta instalado lados? s? Isso ocor ocorreria? reria? Com isso a falha chega a ser do sistema sim, por ter que pelo menos emitir um alerta que outro programa Ambos os sistemas acima já tiveram momentos negros está sendo instalado, técnicas para isso existem, mas onde foram comprometidos. tem que serem bem executadas, porém se ele possuir e não exibir a falha é mais grave ainda, pois quem vai usar o sistema será um usuário que não quer sa ber de segurança, quer somente usar o seu celular,

















o i n í m o D e ? o D ã s ç e u l m o o vE N e u D O o o r s t s s e i c g e o r R e t e R D o l e ã v ç e a L r e p b o i L T

ea a r r i e a s i l e r b d e a d d i i l l r e a a d c a i i c t á e m l e l b b o r A p

Desde que o Bra Desde Brasil sil ing ingres ressou sou no pro proces cesso so de democratização do acesso à rede mundial de com putador puta dores, es, ini iniciad ciado o em mead meados os da déca década da de 90, a problemá prob lemática tica rela relativa tiva aos conf conflit litos os entr entre e nome nomess de domínio só tem crescido. O registro de nomes de domínios no Brasil é disciplinado pela Resolução nº 001/98 do Comitê Gestor da Internet (CGI), a qual adotou a regra do “first to file”, ou seja, o direito ao nome de domí nio será conferido a aquele que primeiro o reque rer 1. A resolução, porém, estabelece algumas restri ções (art. 2º, III, b do Anexo I) quanto ao registro

a. n a a t t i u s l u o ã e r a ç b i i l e n t e e c e r

empresariais, empresaria is, indic indicaçõe açõess geog geográfic ráficas, as, dentr dentre e outros. Como no Brasil o registro de marcas efetuado no Ins Instit tituto uto Nac Nacion ional al da Pro Propri prieda edade de Ind Indust ustria riall (INPI) leva em consideração o princípio da espe cialid cia lidade ade das mar marcas cas,, uma mar marca, ca, por portan tanto, to, só é protegid prot egida a dent dentro ro do ramo de ativ atividad idades es rei reivind vindii cado,, compo cado comportand rtando o algum algumas as exce exceções, ções, tais como as marcas de alto renome ou notoriamente conhe cidas. Ao contrário do princípio aplicado ao registro de marcas, o registro de domínios não tem a pos sibilidade de possuir vários domínios homônimos

















ARTIGO Segurança Digital da marca só é requisito para registro de domínios de marcas de alto renome ou notoriamente conhe cidas, a exemplo das marcas “Coca-Cola, Mc Do nald’s, Pepsi, etc”. Há doutrinadores doutrinadores no Brasi Brasill que defendem defendem a exi gência de titularidade das marcas para registro de domínios, muitas vezes argumentando que em al guns países da Europa tal prática era adotada. Ocorre que, na Europa, tendência inversa vem se mostrando nos últimos anos, culminando com a liberalização do registro de domínios “Top Level” sem que haja a exigência da comprovação da titu laridade da marca. Isso ocorreu em Portugal, com a liberação do registro de domínios a partir de 1º de maio de 2012. Essa Ess a mud mudanç ança a nas reg regras ras lus lusita itanas nas dev deve-s e-se e ao fato de que vários países membros da União Euro péia (UE) já não pos possuem suem tais exig exigênci ências as para o registro de domínios “Top Level”. Além disso, ar gumenta-se que a liberação fomenta o desenvolvi ment me nto o da in inte tern rnet et na naci cion onal al,, al além ém de ma mant nter er no país os recu recurso rsoss prov provenie enientes ntes de tais reg registr istros. os. 2 A informação é de que com essa nova abertura, o nú mero de registros de domínios “.pt” dobrou. Diante de tal cenário, considerando que este é o modelo que desde o início do processo de demo cratiz cra tizaçã ação o do ace acesso sso à int intern ernet, et, foi ado adotad tado, o, no Brasil, e que possui os problemas que possui, co mo os pr prev evia iame ment nte e ap apon onta tado doss al além ém,, ai aind nda, a, da questão dos registros de domínios com fins de es peculaçã pecu lação. o. Segu Se guin indo do um uma a te tend ndên ênci cia a mu mund ndia ial, l, Po Port rtug ugal al aboliu as exigências de titularidade de marca para registros de domínios “Top Level” nacionais, de monstrando as vantagens advindas de tal processo.

Alguns exemplos são a arbitragem já realizada no âmbito da Organização Mundial da Propriedade Intelectual3, e ta tamb mbém ém no Ce Cent ntro ro de Arbi Arbitr trag agem em para a Prop Propried riedade ade Indu Industr strial, ial, Nome Nomess de Domí Domínio, nio, Firm Fi rmas as e De Deno nomi mina naçõ ções es – AR ARBI BITR TRAR ARE, E, em Portugal.4

Figura 1 - "Registrou primeiro, é seu".

/ / / / : p t t h Lígia Barroso





































m s o e c õ ç d a u i z o l c n a e g d r o ai s c a nê n g d n n i e t t u A p

A

cada dia percebo que a compreensão e o amadurecimento do conceito de cloud computing está mais rápido e potencialmente um transformador das diretrizes de TI dentro das organizações, a tal ponto de alterar os seus processos, as alocações de budget e a

cursos comp cursos computac utacionai ionaiss arma armazena zenados dos em pode poderoso rososs Data Centers que oferecem serviços com alta escala bilidade, acessibili acessibilidade dade e disponibi disponibilidade, lidade, interli interligagados e acessíveis de qualquer ponto da rede mundial de computadores (internet). O gerenciamento facili-




















disponíveis e acessíveis o tempo todo, para que o cliente não fique sem a sua informação, ou em termos práticos, não fique sem acesso ao seu feed de notícias, ao seu timeline, aos seus emails, aos seus aplicativos, a sua cloud, etc. Toda essa massa de informação está armazenada dentro de equipamentos conhecidos como storages, de diferentes fabricantes e tecnologias, para atender a necessidade do negócio do cliente. São equipamentos que possuem alta redundância e escalabilidade para atender ao crescimento das informações armazenadas. Vamos mais adiante e nos deparamos com a virtualização, essa fantástica capacidade de alocação de recurso recu rso para serv servidore idoress virtu virtuais ais aprov aproveitan eitando do com mais inteligência o poder dos servidores físicos, otimizando o seu uso e seu processamento. Essa tecnologia nos permite provisionar e criar servidores de acordo com a necessidade real de negócio, maximizando resultados e reduzindo custos drasticamente drasticamente.. E por que não juntar a força dos storages com a maestria da virtualização dentro de poderosos Data Centers e fazer com que tenhamos uma poderosa ferramenta de TI para alavancar o sucesso do seu negócio? Chegamos ao ponto de nossa viagem onde esses três recursos combinados compõem o cerne da com-

dados ou falhas humanas. Normalmente esses recursos também são fornecidos pelas soluções de cloud, mas é importante que fiquemos atentos e adequemos a nossa realidade e necessidad necessidade. e. Neste ponto, você deve estar se perguntando: “Tudo muito interessante, mas por onde eu começo?”. Primeiramente é imprescindível que saibamos o custo total de nossa operação de TI e o quanto ela é importante e representativa para seu negócio. Segundo, avaliar os processos que regem o uso da TI e sua adequação a sua operação. E por último, comprometimento da alta diretoria para a importância que TI exerce na empresa e o valor que isso pode representar na redução de custos operacionais e para maximização de lucros. Por fim, cloud não deve ser questionado como viável ou não, mas sim de que forma iremos utilizála dentro de nossa organização para transformar TI em um gerador de receita alinhado com o negócio da compa com panhi nhiaa e seu pla planej nejame amento nto es estra tratég tégico ico.. O mo mo-mento é crucial e transformador, pois vai definitivamente qualificar qualificar a área de TI como essencial essencial para as organ or ganiza izaçõe çõess e su suaa exi existê stênc ncia ia se será rá pre premis missa sa par paraa qualquer novo negócio.



















Proteção! Pro teção! Pr Prevenção! evenção! Detecção! Detenção!

o ã ç a r e G a v o N e d l l a w e r i F

N

um passado não tão distante, os usuários corporativos passivamente acessavam as informações da empresa em seus terminais e estações de tra balho. Com a chegada dos notebooks notebooks,, foi possível ter uma maior mobilidade, que cresceu exponencialmente com a

tir o ac tir aces esso so nã nãoo in insp spec ecio iona nado do me mesm smoo qu quee pa para ra grupos específicos, como normalmente é realizado hoje em dia, representa uma séria ameaça à segurança das redes corporativas. Surgem então novas exigências para um Firewall:




















- Fornecer assinatura de reputação baseada em filToda essa evolução não resolveu sua característica tragem para bloquear aplicativos maliciosos; e limitação conceitual: tomar decisões a partir de portas e protocol protocolos. os. Ao mesmo tempo as técnicas de Co nc lus ã o invasão utilizadas por hackers evoluíram gerando ouUma lição que podemos tirar de tantas mudanças tros sistemas de segurança complementares os conhecido ci doss “h “hel elpe pers rs”. ”. O ma mais is im impo port rtan ante te de dele less o IP IPS S é que precisamos realmente pensar a frente do nosso tempo, investir em soluções não só para suprir as ne(intrusion prevention system), é item indispensável cessidades do momento, mas sim investir em soluno ambiente corporativo. ções que venham agregar valor para o ambiente atual Para o Gartner (www.gartner.com), o Firewall de e futuro. Conforme matéria publicada na nossa pri Nova Geração deve incorpor incorporar, ar, além do IPS, as funmeira edição de 2012, não precisamos ser videntes cionalidades de identificação de aplicações, integra pra saber realment realmentee o que vem pela frente. Ameaças ção com usuários e filtros web. mais sofisticadas, acessos mais intensos e com tudo Um Firewall de Nova Geração precisa ter todas as isso precisamos garantir a tão sonhada segurança no características das soluções atuais, incluindo as funambiente corporativo. cionalidades do IPS integradas com as funções do Fi Na próxima atualização das soluções de segurança rewall, de forma que problemas detectados no IPS na sua empresa, procure informações mais detalhadas possam gerar regras automáti automáticas cas ou uma sugestão pasobre essas tecnologias de “Nova Geração”, que não ra criá-las. Identificar o tráfego de cada aplicação insó vão aumentar seu controle como também vão gadep epeend ndeent nteeme mennte da po port rta/ a/ppro roto toco colo lo,, uso de rantir a visibilidade e melhorar sua Segurança. criptografia ou de endereço de destino utilizado. Integrar serviços de diretório para permitir a aplicação granular de regras com base nos usuários ou grupos de usuários relacionados ao tráfego inspecionado na borda da rede. r ede. O q u e r e a l m e n t e é u m F i r e wa l l d e N o v a G er aç ã o ?





















Sobre o OWASP

O Op Opeen Web Ap Apppli liccati tioon Se Seccur urit ityy Pro roje jecct (OWASP) é um projeto open source voltado para promover a segurança de aplicações no uso por em presas, entidades educacionai educacionaiss e pessoas em todo o mundo. Todos os membros são voluntários que dedicam ca m se seuu te temp mpoo e en ener ergi giaa pa para ra a or orga gani niza zaçã ção. o. Os

tidos pela área com palestrantes amplamente respeitados pela comunidade de segurança da informação nacional e internacionalme internacionalmente. nte. OWASP Floripa Day

A primeira edição do OWASP Floripa Day será realizada entre os dias 15 e 16 de setembro de 2012,





















Você gostaria de ir ao evento Floripa Day nos dias 15 e 16 de setembro? Então publique em seu perfil no twitter: @_SegDigital eu quero ir ao @owasp_floripa E concorra a 1 convite sorteado por nossa equipe... O sorteio será realizado no dia 16/06





















Qual sua opinião?

s u o m y ? n s o o n h A n - i o c o m m si u vi o tk s e c õ l a i H v






















uma tecnologia é fundamental, o conhecimento com pleto de todas às tecnologias é um sonho! Trecho da publicação realizad realizadaa no link [1].

Acesso em: 30 de abr abr.. 2012 Crimes Cri mes pel pelaa Int Intern ernet. et. Dis Dispon poníve ívell em: < [3] > Acesso em: 28 de abr abr.. 2012





















Conheça os principais algoritmos de cifragem

) l a n e i f a c 2 i r t e é t r m a i s p( a a i f i c a r r t g é o t m pi i s r s C a
























DSA

Inventado pela NSA e patenteado pelo governo americano, o Digital Signature Algorithm (DSA), unicamente destinado a assinaturas digitais, foi proposto pelo NIST em agosto de 1991, para utilização no seu padrão Digital Signature Standard (DSS). Adotado como padrão final em dezembro de 1994, trata de uma variação dos algoritmos de assinatura ElGamal e Schnorr.

6. Função ha shing

A assinatura digital obtida através do uso da criptografia assimétrica ou de chave pública infelizmente não pode ser empregada, na prática, de forma isolada, é necessário o emprego de um mecanismo fundament me ntal al pa para ra o ad adeq equa uado do em empr preg egoo da as assi sina natu tura ra digital. Este mecanismo é a função hashing.

invés disso, é empregada uma função hashing, que gera um valor pequeno, de tamanho fixo, derivado da mensagem que se pretende assinar, de qualquer tamanho, para oferecer agilidade nas assinaturas digitais, além de integridade confiável. Serve, Ser ve, por portan tanto, to, pa para ra gar garant antir ir a int integ egrid ridade ade do conteúdo da mensagem que representa, por isto, após
























Tabela 5 - Protocolos com Sistemas Híbridos Algoritmo

Descrição

IPSec

Padrão de protocolos criptográficos desenvolvidos para o IPv6. Realiza também o tunelamento de IP sobre IP. É composto de três mecanismos criptográficos: Authentication Header (define a função hashing para assinatura digital), Encapsulation Security Payload (define o algoritmo simétrico para ciframento) e ISAKMP (define o algoritmo assimétrico assim étrico para gerên gerência cia e troca de chave chavess de cripto criptografia grafia). ). Cripto Criptografia grafia e tunela tunelamento mento são indep independen endentes, tes, e permite Virtual Private Network (VPN) fim-a-fim.

SSL e TLS

Oferecem supor Oferecem suporte te de segur segurança ança criptográfica criptográfica para os protoc protocolos olos NTTP, NTTP, HTTP HTTP,, SMTP e Telnet. Permitem utilizar diferentes algoritmos simétricos, message digest (hashing) e métodos de autenticação e gerência de chaves (assimétricos). O Pretty Good Privacy (PGP), foi inventado por Phil Zimmermman em 1991, é um programa criptográfico famoso
























9. Referência s Bibliográfica s

COSTA, Celso José da e FIGUEIREDO, Luiz Manoel Silva de. Criptografia Geral. 2 ed. Rio de Janeiro : UFF / CEP - EB, 2006. 192p. – (Curso de Criptografia e Segurança em Redes). FIGUEIREDO, Luiz Manoel Silva de. Números primos e criptografia de chave pública. Rio de Janeiro : UFF / CEP - EB, 2006. 180p. – (Curso de Criptografia e Segurança em Redes). OLIVEIRA, Ronielton Rezende. Criptografia tradicional simétrica de chave privada e criptografia assimétrica de chave pública: análise das vantagens e desvantagens desvantagens.. Niterói : Trabalho da pósgraduação Criptografia e Segurança em Redes da UFF, 2006. 20p.























a v i t a r o
























nário passa em média 8 horas por semana tratando de assuntos pessoais utilizando a Internet. Na visão de um empresário, é melhor deixar este funcionário em casa 1 dia por sema semana, na, pois assim a empr empresa esa poderia economizar com transporte e alimentação. Parece bobagem, mas quando o empresário começa a pass passar ar para o pape papell este estess números, números, o resu resultado ltado é alarmante. alarm ante. A BRCo BRConnec nnection, tion, empre empresa sa espe especiali cializada zada em soluções para gestão e monitoramento de Internet disponibilizou uma calculadora em uma página com o seguinte título: “ QUANTO CUSTA O MAU USO DA

ramente quais são as regras do jogo, ou melhor, do negócio. E quem define as regras, o departamento de TI? A resposta é não! O departamento de TI é um setor estratégico para a organização, mas não o único setor responsável pela criação da política de acesso. Quando o departamento de TI opta por bloquear quase tudo achando que está fazendo algo positivo pela empresa, acaba sendo visto como um inimigo pelos demais departamentos, pois devido essa limitação de visão do negócio como um todo, sem perceber impe-


























menos o corpo diretivo, que em algumas empresas têm tê m po porr há hábi bito to em empu purra rrarr as re regr gras as ao es esti tilo lo “u “uppdown”, sem realizar qualquer consulta, nem mesmo

TI como um departamento modelo a ser seguidos pelos demais em uma PME.


















































alertando sobre tentativas de ataques, mas também tomando ações de bloqueio das mesmas. Uma maneira simples de entender o funcio-

























p


























distintas. A primeira delas consiste do par endereço da rede e sua máscara de sub-rede. São exemplos de pares endereço da rede e máscara de sub-rede:

ria de segurança ou projeto de mapeamento de rede é reduzir uma grande faixa de endereços IP a uma lista de endereços de interesse. Este interesse pode variar

















































































































































































































































































































































Firewall de nova geração

Recommend Documents