A alguns meses atrás eu prometi colocar aqui uma série de artigos sobre Segurança
que eu acabei esquecendo por força de vários motivos que eu nem sei explicar. A realidade, é, que, por força de diversas coisas eu me desorganizei com o blog e fiquei devendo muita coisa a quem o lê.
Mas, tenham certeza, estou começando a retornar as coisas aos eixos. E, por influência da minha pós que começou hoje e estou na cadeira de Segurança da Informação, vou aproveitar para novamente discorrer um pouco sobre o assunto.
E, eu resolvi que o assunto agora seria o controle de acesso, um famigerado problema para quem é da área de informática, porque, em geral, ninguém pára para pensar no todo.
Em geral, se você perguntar para um Analista de Segurança sobre controle de acesso, ele dirá que seus firewalls e as ACLs de acesso a rede estão configuradas de acordo, tornando o acesso a sua LAN "quase impossível" para qualquer invasor.
Mas o controle de acesso é algo muito além da nossa caixa. Ou seja, lembremos que informação não é tecnologia. Informação está muito além da tecnologia e podemos usar a tecnologia para melhorar o acesso a informação e ainda, protegê-la de um ou outro modo.
Assim, o controle de acesso deve ser sempre pensado de modo físico e lógico.
Primeiro, falemos do físico. O controle de acesso físico, é, em geral ligado a parte de Segurança Patrimonial de uma empresa, já que por incrível que pareça separam os profissionais de Segurança Patromonial e Segurança da Informação, como se tal coisa fosse possível. Sim, porque Segurança é segurança e pronto.
Assim, o primeiro nível de acesso de uma empresa, ou seja, o primeiro bloqueio, deve ser sempre feito pela equipe de Segurança que está trabalhando lá, na portaria do seu prédio.
Não sou especialista em Segurança Patrimonial, que é um assunto um pouco novo para mim. Mas ao mesmo tempo, resumindo, a segurança física tratará disto aqui:
- controle de acessos (pedestres, mercadorias e veículos);
- controle de materiais e estoque;
- prevenção de furtos e roubos;
- vigilância ostensiva;
E onde entra isto na sua política de Segurança ? Se não houver um bom controle de acessos e uma vigilância bem ostensiva, sim, poderemos ter um cracker entrando em sua empresa e fisicamente, tendo acesso a alguma máquina local. Com este acesso, te garanto, já tem meio caminho andado para lhe atacar.
Assim, deve o Security Officer sempre ter um bom relacionamento com os profissionais da área de Segurança Patrimonial, para, que, juntos cheguem a um consenso comum de como realmente fazer um bom controle destes fins.
Para quem quiser aprender um pouco mais sobre Segurança Patrimonial, pode seguir para este endereço aqui, que é um site que trata somente deste assunto.
O segundo ponto que eu considero bem importante na Segurança Física é acessibilidade a pontos de rede e redes wireless abertas em sua empresa local.
Este é um ponto normalmente neglenciado nos projetos, porque pontos de rede são muito necessários para as pessoas. Aí, coloca-se os pontos de rede espalhados para todo o lado, e assim, gera-se o famoso problema de possiblidade de acesso.
Esta possiblidade de acesso é facil, pois, é só saber o endereçamento ip da LAN que você passa a ter possibilidades de parar N coisas na rede.
Se um cracker chegar ao seu local e colocar uma máquina na rede, ele pode criar em um Linux, por exemplo, 255 placas de rede virtuais. E, com isto, inclusive, parar servidores importantes como um Active Directory ou outra coisas mais.
Este controle pode ser feito via NAC, que é o Network Access Control.
O NAC, para quem não conhece, é um gestor de controle de acesso. Ele pode trabalhar tanto no nível da rede quanto no nível de controle de aplicativos. A função de um NAC em uma rede é garantir que todos que estão entrando ali são confiáveis e realmente podem trafegar dados por ali.
Em suma, o NAC é um tipo de segurança que trabalha no ponto final da rede, ou seja, o cliente (seja um desktop ou outro dispositivo qualquer ). Este controle pode ser feito via MAC, ou outras formas mais ( validação via Active Directory, LDAP
, chaves públicas e privadas, etc ).
O grande legal disto, é, que, no nosso exemplo, caso um cracker tivesse acesso físico a um ponto de rede, ele teria um problema para conectar seu notebook a estrutura.
Assim que ele plugasse seu notebook, dependendo das regras criadas pelo administrador de segurança da rede, este usuário pode ser enviado para uma VLAN de quarentena e um aviso é emitido. Assim, o administrador saberá que há algum problema em sua rede, naquele cliente específico que ali chegou. O legal é que, além disto, podem ser criadas nos ativos relacionados a segurança, como switches e firewalls, estruturas de controle dos pacotes gerados por aquele cliente.
Isto vai sem dúvida, lhe dar uma gestão mais integrada também da sua estrutura de rede física, que é outro ponto de entrada.
E, finalmente, cuidado com o acesso Wireless. Este acesso pode ser controlado também pelos NACs, mas sempre é legal ter em mente comprar bons APs que fornecem boa estrutura de segurança e também, montar redesWireless seguindos os mesmos preceitos das redes físicas.
Tendo em mente estes pontos que citei acima, podemos finalmente, passar, para o nosso controle de acesso lógico.
O que é, no fim, o Controle de Acesso Lógico ? Na rede, tudo aquilo que é lógico, está relacionado aos sistemas, ou seja, usuários, acessos etc.
Em sistemas operacionais, nossa preocupação deve ser sempre evitar o uso dos superusuários na administração dos mesmos.
Este erro é muito comum no mundo Windows, porque alguns desenvolvedores tem o péssimo hábito de desenvolver programas que para serem usados, pedem usuários que sejam administradores. Ou seja, um simples usuário, estaria tendo poder de modificar e/ou destruir aquele Desktop e/ou sistema operacional.
Uma falha de segurança terrível, que pode ser resolvida com um pouquinho de bom senso e programação segura.
Além disto, é muito bom que seja usada uma base central de senhas. Esta base central de senhas e políticas de usuário é um bom ponto para tornar sua rede melhor gerenciável. Neste local devem ser criados os usuários e os seus níveis de acesso.
Uma preocupação do Security Officer é sempre participar dos processos de compra dos Softwares para garantir que eles estejam em consonância com sua base de usuários.
As políticas de acesso devem ser sempre bem claras em cada sistema. Elas podem ser distribuidas, como por exemplo, no Active Directory da Microsoft, em que elas são criadas em uma máquina central e replicadas para os clientes, ou então, locais dos sistemas, tal qual a maioria dos ERPs do mercado.
Estas políticas devem ser sempre documentadas, e de conhecimento de todos os envolvidos. Na necessidade de uma mudança de qualquer regra, deve ser disparado um processo em que um Gerente encaminha ao Security Officer um pedido de "exceção" da regra, e ela, finalmente, será permitida, e arquivada.
O controle de acesso, como pode ser visto, é mais uma prática do bom senso, já de conhecimento comum de todos nós administradores de sistemas, que outra coisa qualquer.
Posso ter deixado passar alguma coisa, mas abro o debate aqui nos comentários para complementarmos o texto.
Um assunto que eu quero me dedicar muito em breve, é o famoso SELinux e outros sistemas de criação de ACLs.
São uma mão na roda do Security Officer mais técnico, tal qual eu sou :)