Capítulo 1. Visão Geral da Segurança

A segurança da informação tem evoluído ao longo dos anos devido à crescente dependência em redes públicas para não expor informações pessoais, financeiras e outras informações restritas. Existem muitas ocorrências tais como os casos Mitnick ^[1] e Vladimir Levin ^[2] que fizeram com que organizações de todas as áreas repensassem a maneira que lidam com a informação, incluindo sua transmissão e exposição. A popularidade da internet foi um dos mais importantes desenvolvimentos que levou a um esforço intensificado da segurança dos dados.

Um número crescente de pessoas estão usando seus computadores pessoais para obter acesso aos recursos que a internet oferece. Da pesquisa e obtenção de informação ao correio eletrônico e transações comerciais, a internet tem sido considerada um dos mais importantes desenvolvimentos do século 20.

A internet e seus primeiros protocolos, entretanto, foram desenvolvidos como um sistema baseado em confiança. Ou seja, o Protocolo de Internet (IP) não foi desenvolvido para ser propriamente seguro. Não existem padrões de segurança aprovados construídos na pilha de comunicações TCP/IP, deixando-o aberto para usuários potencialmente maliciosos e processos na rede. Desenvolvimentos modernos têm feito a comunicação na internet mais segura, mas ainda existem diversos incidentes que ganham atenção nacional e nos alertam para o fato de que nada é completamente seguro.

Em fevereiro de 2000, um ataque de negação de serviço (DDoS) foi feito em vários dos principais sites de alto tráfego na internet. O ataque fez que sites como yahoo.com, cnn.com, amazon.com, fbi.gov entre outros ficassem completamente fora de alcance dos usuários normais, já que o ataque afetou roteadores por várias horas com enormes pacotes de dados ICMP, também conhecidos como ping flood. O ataque foi feito por invasores desconhecidos usando programas especialmente criados e totalmente disponíveis que escanearam servidores de rede vulneráveis e instalaram aplicativos clientes chamados Trojans nesses servidores e agendaram um ataque inundando os sites vítimas e os tornando indisponíveis. Muitos culparam esse ataque devido à deficiências fundamentais na maneira que roteadores e os protocolos usados são estruturados para aceitar todo o tráfego dos dados, sem importar de onde ou qual o propósito dos pacotes são enviados.

Em 2007, uma violação de dados explorando as fraquezas amplamente conhecidas do WEP (Wired Equivalent Privacy), protocolo de encriptação sem fio, resultou no roubo de mais de 45 milhões de números de cartão de crédito de uma instituição financeira global.^[3]

Em um incidente separado, os registros de pagamentos de mais de 2.2 milhões de pacientes armazenados em uma fita de backup foram roubados do banco dianteiro de um carro de entregas ^[4]

Atualmente, estima-se que 1.4 bilhões de pessoas usam ou usaram a internet no mundo todo. ^[5] Ao mesmo tempo:

De uma pesquisa global feita em 2009 sobre segurança e profissionais da tecnologia da informação, "Porque a Segurança Importa Agora"^[9], conduzida pela CIO Magazine, alguns resultados interessantes são:\n\t\n

Estes resultados reforçam a realidade que segurança de computadores se tornou um gasto quantificável e justificável nos orçamentos de TI. Organizações que requerem integridade dos dados e alta disponibilidade evocam as habilidades dos administradores de sistemas, desenvolvedores e engenheiros para garantir uma confiança de seus sistemas, serviços e informações 24x7. Ser vítima de usuários maliciosos, processos ou ataques coordenados é uma ameaça direta ao sucesso da organização.

Infelizmente, a segurança da rede e de sistemas podem ser uma proposta difícil, exigindo um conhecimento complexo de como a empresa encara, usa, manipula e transmite suas informações. Compreender a forma como uma organização (e as pessoas que compõem a organização) conduz os negócios é fundamental para implementação de um plano de segurança apropriado.

Empresas de todas as áreas confiam em regulamentos e regras que são definidas por entidades de padronização como a American Medical Association (AMA) ou o Institute of Electrical and Electronics Engineers (IEEE). Os mesmos ideais são verdadeiros para a segurança da informação. Muitos consultores de segurança e fornecedores concordam com um modelo de padronização da segurança conhecido como CIA, ou Confidentiality, Integrity, and Availability. Este modelo de três camadas é um componente geralmente aceito para avaliar riscos de informações sensíveis e estabelecer política de segurança. O seguinte descreve o modelo CIA em maiores detalhes:

Controle Físico é a implementação de medidas de segurança em uma estrutura definida usada para deter ou previnir acesso não autorizado à material sensível. Exemplos de controles físicos são:

Controles técnicos usam técnologia como uma base para controlar o acesso e uso de dados sensíveis através de uma estrutura física e sobre uma rede. Controles técnicos são de alcance abrangente e incluem tecnologias como:

Controles administrativos definem os fatores humanos de segurança. Eles envolvem todos o níveis de pessoas dentro de uma organização e determinam quais usuários possuem acesso a quais recursos e informações por tais meios como: