1
Controles
de acesso lógico
a.
O
que são controles de acesso?
Os controles de acesso
tem como objetivo proteger equipamentos, aplicativos e arquivos de dados contra
perda, modificação ou divulgação não autorizada. Os sistemas computacionais,
bem diferentes de outros tipos de recursos, não podem ser facilmente
controlados apenas com dispositivos físicos, como cadeados, alarmes ou guardas
de segurança.
b.
O
que são controles de acesso lógico?
Os controles de acesso lógico são um
conjunto de procedimentos e medidas com o objetivo de proteger dados, programas
e sistemas contra tentativas de acesso não autorizadas feitas por pessoas ou
por outros programas de computador.
c.
Que
recursos devem ser protegidos?
Aplicativos
(programas fonte e objeto), arquivos de dados, utilitários e sistema
operacional, arquivos de senha, arquivos de log.
2
O
que os controles de acesso lógico pretendem garantir em relação à segurança de
informações?
a.
Como
os usuários são identificados e autenticados?
i.
Como
deve ser projetado um processo de login para ser considerado eficiente?
Quando informar que o computador só deve
ser acessado por pessoas autorizadas. Evitar identificar o sistema ou suas
aplicações até que o processo de login esteja completamente concluído. Durante
o processo de login, evitar o fornecimento de mensagens de ajuda que poderiam
auxiliar um usuário não autorizado a completar esse procedimento. Validar a
informação de login apenas quando todos os dados de entrada estiverem
completos. Caso ocorra algum erro, o sistema não deve indicar qual parte do
dado de entrada está correta ou incorreta, como, por exemplo, ID ou senha.
Limitar o número de tentativas de login sem sucesso (é recomendado um máximo de
três tentativas).
ii.
O
que é identificação do usuário?
A
identificação do usuário, ou ID, deve ser única, isto é, cada usuário deve ter
uma identificação própria. Todos os usuários autorizados devem ter um ID, quer
seja um código de caracteres, cartão inteligente ou qualquer outro meio de identificação.
Essa unicidade de identificação permite um controle das ações praticadas pelos
usuários através dos logs.
iii.
O que é autenticação do usuário?
Na
autenticação, o usuário deve apresentar algo que só ele saiba ou possua,
podendo até envolver a verificação de características físicas pessoais. A
maioria dos sistemas atuais solicita uma senha (algo que, supostamente, só o
usuário conhece), mas já existem sistemas mais modernos utilizando cartões
inteligentes (algo que o usuário possui) ou ainda características físicas (algo
intrínseco ao usuário), como o formato da mão, da retina ou do rosto, impressão
digital e reconhecimento de voz.
iv.
Como orientar os usuários em relação às senhas?
Que
ele mantenha a confidencialidade das senhas, não compartilhe suas senhas, evite
registrar as senhas em papel, selecionar senhas de boa qualidade, evitando o
uso de senhas muito curtas ou muito longas, que os obriguem a escrevê-las em um
pedaço de papel para não serem esquecidas (recomenda-se tamanho entre seis e
oito caracteres, alterar a senha sempre que existir qualquer indicação de
possível comprometimento do sistema ou da própria senha, evite reutilizar as
mesmas senhas. Vale lembrar também que utilizar a mesma senha para vários
sistemas não é uma boa prática, pois a primeira atitude de um invasor, quando
descobre a senha de um usuário em um sistema vulnerável, é tentar a mesma senha
em outros sistemas a que o usuário tem acesso.
v.
Que tipos de senhas devem ser evitadas?
Nome
de membros de sua família ou de amigos íntimos, nomes de pessoas ou lugares em
geral, nomes próprios, datas, números de telefone, de cartão de crédito, de
carteira de identidade ou de outros documentos pessoais, letras ou números
repetidos, letras seguidas do teclado do computador
(ASDFG,
YUIOP), números seguidos do teclado do computador (1234, 5678), qualquer senha
com menos de seis caracteres devem ser evitadas.
vi.
Como escolher uma boa senha?
Geralmente
são consideradas boas senhas aquelas que incluem, em sua composição, letras
(maiúsculas e minúsculas), números e símbolos embaralhados, totalizando mais de
seis caracteres. Porém, para ser boa mesmo, a senha tem de ser difícil de ser
adivinhada por outra pessoa, mas de fácil memorização, para que não seja
necessário anotá-la em algum lugar. Também é conveniente escolher senhas que
possam ser digitadas rapidamente, dificultando que outras pessoas, a uma certa
distância ou por cima de seus ombros, possam identificar a sequência de
caracteres. Um método bastante difundido é selecionar uma frase significativa
para o usuário e utilizar os primeiros caracteres de cada palavra que a compõe,
inserindo símbolos entre eles. É também recomendável não utilizar a mesma senha
para vários sistemas. Se um deles não for devidamente protegido, a senha poderá
ser descoberta e utilizada nos sistemas que, a priori, estariam seguros. Outro
conselho: adquira o hábito de trocar sua senha com frequência. Trocá-la a cada
sessenta, noventa dias é considerada uma boa prática.
Se
você realmente não conseguir memorizar sua senha e tiver que escrevê-la em
algum pedaço de papel, tenha pelo menos o cuidado de não identificá-la como
sendo uma senha. Não pregue esse pedaço de papel no próprio computador, não
guarde a senha junto com a sua identificação de usuário, e nunca a envie por
e-mail ou a armazene em arquivos do computador.
vii.
Como deve ser feita a concessão de senhas aos
usuários?
A
concessão de senhas deve ser feita de maneira formal, considerando alguns pontos.
Solicitar aos usuários a assinatura de uma declaração, a fim de manter a
confidencialidade de sua senha pessoal (isso pode estar incluso nos termos e
condições do contrato de trabalho do usuário). Garantir, aos usuários, que
estão sendo fornecidas senhas iniciais seguras e temporárias, forçando-os a
alterá-las imediatamente no primeiro login. O fornecimento de senhas
temporárias, nos casos de esquecimento por parte dos usuários, deve ser
efetuado somente após a identificação positiva do respectivo usuário. Fornecer
as senhas temporárias aos usuários de forma segura. O uso de terceiros ou de
mensagens de correio eletrônico desprotegidas (não criptografadas) deve ser
evitado.
viii.
O que a instituição pode fazer para proteger e
controlar as senhas de acesso aos seus sistemas?
O
sistema de controle de senhas deve ser configurado para proteger as senhas
armazenadas contra uso não autorizado, sem apresentá-las na tela do computador,
mantendo-as em arquivos criptografados e estipulando datas de expiração
(normalmente se recomenda a troca de senhas após 60 ou 90 dias). Alguns
sistemas, além de criptografar as senhas, ainda guardam essas informações em
arquivos escondidos que não podem ser vistos por usuários, dificultando, assim,
a ação dos hackers.
ix.
Existem outras formas de autenticação do usuário,
além do uso de senhas?
Sim.
A autenticação dos usuários pode ser feita a partir de tokens, ou ainda, de
sistemas biométricos.
x.
Como restringir o acesso aos recursos
informacionais?
O
fato de um usuário ter sido identificado e autenticado não quer dizer que ele
poderá acessar qualquer informação ou aplicativo sem qualquer restrição.
Deve-se implementar um controle específico, restringindo o acesso dos usuários
apenas às aplicações, arquivos e utilitários imprescindíveis para desempenhar
suas funções na organização. Esse controle pode ser feito por menus, funções ou
arquivos.
xi.
O que são cartões magnéticos inteligentes?
Os
cartões inteligentes são tokens que contêm microprocessadores e capacidade de
memória suficiente para armazenar dados, a fim de dificultar sua utilização por
outras pessoas que não seus proprietários legítimos.
xii.
O que são sistemas biométricos?
Os
sistemas biométricos são sistemas automáticos de verificação de identidade
baseados em características físicas do usuário. Esses sistemas têm como
objetivo suprir deficiências de segurança das senhas, que podem ser reveladas
ou descobertas, e das tokens, que podem ser perdidas ou roubadas.
xiii.
Que características humanas podem ser verificadas
por sistemas biométricos?
Teoricamente,
qualquer característica humana pode ser usada como base para a identificação
biométrica. Na prática, entretanto, existem algumas limitações. A tecnologia
deve ser capaz de medir determinada característica de tal forma que o indivíduo
seja realmente único, distinguindo inclusive gêmeos, porém não deve ser
invasiva ou ferir os direitos dos indivíduos.
3
Como restringir o acesso aos recursos informacionais?
O
fato de um usuário ter sido identificado e autenticado não quer dizer que ele
poderá acessar qualquer informação ou aplicativo sem qualquer restrição.
Deve-se implementar um controle específico, restringindo o acesso dos usuários
apenas às aplicações, arquivos e utilitários imprescindíveis para desempenhar
suas funções na organização. Esse controle pode ser feito por menus, funções ou
arquivos.
a.
Para que servem os controles de menu?
Os
controles de menu podem ser usados para restringir o acesso de diferentes
categorias de usuários apenas àqueles aplicativos ou utilitários indispensáveis
a cada categoria.
b.
Para que servem os controles de funções de
aplicativos?
No
que diz respeito às funções internas dos aplicativos, os respectivos
proprietários deverão definir quem poderá acessá-las e como, por meio de
autorização para uso de funções específicas ou para restrição de acesso à
funções de acordo com o usuário (menus de acesso predefinidos), horário ou tipo
de recursos (impressoras, fitas backup).
c.
Como proteger arquivos?
A
maioria dos sistemas operacionais possui mecanismos de controle de acesso que
definem as permissões e os privilégios de acesso para cada recurso ou arquivo
no sistema. Quando um usuário tenta acessar um recurso, o sistema operacional
verifica se as definições de acesso desse usuário e do recurso desejado
conferem. O usuário só conseguirá o acesso se essa verificação for positiva.
d.
O que são direitos e permissões de acesso?
Definir
direitos de acesso individualmente para cada sujeito e objeto pode ser uma
maneira um tanto trabalhosa quando estiverem envolvidas grandes quantidades de
sujeitos e objetos. A forma mais comum de definição de direitos de acesso,
nesse caso, é a matriz de controle de acesso. Nessa matriz pode-se fazer duas
análises: uma em relação aos sujeitos; outra, em relação aos objetos. Na
primeira abordagem, cada sujeito recebe uma permissão (ou capacidade) que
define todos os seus direitos de acesso. As permissões de acesso são, então,
atributos, associados a um sujeito ou objeto, que definem o que ele pode ou não
fazer com outros objetos. Essa abordagem, no entanto, é pouco utilizada, já
que, na prática, com grandes quantidades de sujeitos e objetos, a visualização
exata de quem tem acesso a um determinado objeto não é tão clara,
comprometendo, assim, a gerência de controle de acesso. Na segunda abordagem,
os direitos de acesso são armazenados com o próprio objeto formando a chamada
lista de controle de acesso (Access Control List (ACL)).
e.
O que são listas de controle de acesso?
Enquanto
a permissão de acesso define o que um objeto pode ou não fazer com outros, a
lista de controle de acesso define o que os outros objetos ou sujeitos podem
fazer com o objeto a ela associado. As listas de controle de acesso nada mais
são do que bases de dados, associadas a um objeto, que descrevem os
relacionamentos entre aquele objeto e outros, constituindo-se em um mecanismo
de garantia de confidencialidade e integridade de dados.
A
definição das listas de controle de acesso deve ser sempre feita pelos
proprietários dos recursos, os quais determinam o tipo de proteção adequada a cada
recurso e quem efetivamente terá acesso a eles.
4
Como monitorar o acesso aos recursos informacionais?
O monitoramento dos sistemas de
informação é feito, normalmente, pelos registros de log, trilhas de auditoria
ou outros mecanismos capazes de detectar invasões. Esse monitoramento é
essencial à equipe de segurança de informações, já que é praticamente
impossível eliminar por completo todos os riscos de invasão por meio da
identificação e autenticação de usuários.
Na ocorrência de uma invasão, falha
do sistema ou atividade não autorizada, é imprescindível reunir evidências
suficientes para que possam ser tomadas medidas corretivas necessárias ao
restabelecimento do sistema às suas condições normais, assim como medidas
administrativas e/ou judiciais para investigar e punir os invasores. A forma
mais simples de monitoramento é a coleta de informações, sobre determinados
eventos, em arquivos históricos, mais conhecidos como logs. Com essas
informações, a equipe de segurança é capaz de registrar eventos e de detectar
tentativas de acesso e atividades não autorizadas após sua ocorrência.
a.
O que são logs?
Os
logs são registros cronológicos de atividades do sistema que possibilitam a
reconstrução, revisão e análise dos ambientes e das atividades relativas a uma
operação, procedimento ou evento, acompanhados do início ao fim. Os logs são
utilizados como medidas de detecção e monitoramento, registrando atividades,
falhas de acesso (tentativas frustradas de login ou de acesso a recursos
protegidos) ou uso do sistema operacional, utilitários e aplicativos, e
detalhando o que foi acessado, por quem e quando. Com os dados dos logs,
pode-se identificar e corrigir falhas da estratégia de segurança. Por conterem
informações essenciais para a detecção de acesso não autorizado, os arquivos de
log devem ser protegidos contra alteração ou destruição por usuários ou
invasores que queiram encobrir suas atividades.
b.
O que deve ser registrado em logs?
Devido
à grande quantidade de dados armazenada em logs, deve-se levar em consideração
que seu uso podem degradar o desempenho dos sistemas. Sendo assim, é
aconselhável balancear a necessidade de registro de atividades críticas e os
custos, em termos de desempenho global dos sistemas. Normalmente, os registros
de log incluem: identificação dos usuários; datas e horários de entrada (login)
e saída do sistema (logoff); identificação da estação de trabalho e, quando
possível, sua localização; registros das tentativas de acesso (aceitas e
rejeitadas) ao sistema; registros das tentativas de acesso (aceitas e
rejeitadas) a outros recursos e dados.
5.
Outros controles de acesso lógico
Outro recurso de proteção bastante
utilizado em alguns sistemas é o time-out automático, isto é, a sessão é
desativada após um determinado tempo sem qualquer atividade no terminal ou computador.
Para restaurá-la, o usuário é obrigado a fornecer novamente seu ID e senha. Em
alguns sistemas operacionais, o próprio usuário, após sua habilitação no
processo de logon, pode ativar e desativar essa função de time-out. Nesse
sentido, os usuários devem ser orientados a: encerrar as sessões ativas, a
menos que elas possam ser protegidas por mecanismo de bloqueio (por exemplo,
proteção de tela com senha); no caso de terminal conectado a um computador de
grande porte, efetuar a desconexão quando a sessão for finalizada (não apenas
desligar o terminal, mas utilizar o procedimento para desconexão). Como
controle de acesso lógico, a gerência de segurança pode ainda limitar o horário
de uso dos recursos computacionais de acordo com a real necessidade de acesso
aos sistemas. Pode-se, por exemplo, desabilitar o uso dos recursos nos fins de
semana ou à noite. É usual também limitar a quantidade de sessões concorrentes,
impedindo que o usuário consiga entrar no sistema ou na rede a partir de mais
de um terminal ou computador simultaneamente. Isso reduz os riscos de acesso ao
sistema por invasores, pois se o usuário autorizado já estiver conectado, o
invasor não poderá entrar no sistema. Da mesma forma, se o invasor estiver
logado, o usuário autorizado, ao tentar se conectar, identificará que sua conta
já está sendo usada e poderá notificar o fato à gerência de segurança.
6.
Onde as regras de controle de acesso são definidas?
As regras de controle e direitos de
acesso para cada usuário ou grupo devem estar claramente definidas no documento
da política de controle de acesso da instituição, o qual deverá ser fornecido
aos usuários e provedores de serviço para que tomem conhecimento dos requisitos
de segurança estabelecidos pela gerência.
a.
O que considerar na elaboração da política de
controle de acesso?
A
política de controle de acesso deve levar em conta: os requisitos de segurança
de aplicações específicas do negócio da instituição; a identificação de toda
informação referente às aplicações de negócio; as políticas para autorização e
distribuição de informação (por exemplo, a necessidade de conhecer os
princípios e níveis de segurança, bem como a classificação da informação); a
compatibilidade entre o controle de acesso e as políticas de classificação da
informação dos diferentes sistemas e redes; a legislação vigente e qualquer
obrigação contratual, considerando a proteção do acesso a dados ou serviços; o
perfil de acesso padrão para categorias de usuários comuns; o gerenciamento dos
direitos de acesso em todos os tipos de conexões disponíveis em um ambiente
distribuído conectado em rede.
b.
Que cuidados devem ser tomados na definição das
regras de controle de acesso?
Ao
especificar as regras de controle de acesso, devem ser considerados os
seguintes aspectos: diferenciar regras que sempre devem ser cumpridas das
regras opcionais ou condicionais; estabelecer regras baseadas na premissa “Tudo
deve ser proibido a menos que expressamente permitido” ao invés da regra “Tudo
é permitido a menos que expressamente proibido”; diferenciar as permissões de
usuários que são atribuídas automaticamente por um sistema de informação
daquelas atribuídas por um administrador; priorizar regras que necessitam da
aprovação de um administrador antes da liberação daquelas que não necessitam de
tal aprovação.
c.
Que tipo de regras de controle de acesso devem ser
formalizadas na política?
O
acesso aos sistemas de informação deve ser controlado por um processo formal, o
qual deverá abordar, entre outros, os seguintes tópicos: utilização de um
identificador de usuário
(ID)
único, de forma que cada usuário possa ser identificado e responsabilizado por
suas ações; verificação se o usuário obteve autorização do proprietário do
sistema de informação ou serviço para sua utilização; verificação se o nível de
acesso concedido ao usuário está adequado aos propósitos do negócio e
consistente com a política de segurança da organização; fornecimento, aos
usuários, de documento escrito com seus direitos de acesso. Os usuários deverão
assinar esse documento, indicando que entenderam as condições de seus direitos
de acesso; manutenção de um registro formal de todas as pessoas cadastradas
para usar cada sistema de informações; remoção imediata dos direitos de acesso
de usuários que mudarem de função ou saírem da organização; verificação
periódica da lista de usuários, com intuito de remover usuários inexistentes e
IDs em duplicidade; inclusão de cláusulas nos contratos de funcionários e
prestadores de serviço, que especifiquem as sanções a que estarão sujeitos em
caso de tentativa de acesso não autorizado.
7.
Quem é o responsável pelos controles de acesso
lógico?
A responsabilidade sobre os
controles de acesso lógico pode ser tanto do gerente do ambiente operacional
como dos proprietários (ou gerentes) de aplicativos. O gerente do ambiente
operacional deve controlar o acesso à rede, ao sistema operacional e seus
recursos e, ainda, aos aplicativos e arquivos de dados. É responsável, assim,
por proteger os recursos do sistema contra invasores ou funcionários não
autorizados. Enquanto isso, os proprietários dos aplicativos são responsáveis
por seu controle de acesso, identificando quem pode acessar cada um dos
sistemas e que tipo de operações pode executar. Por conhecerem bem o sistema
aplicativo sob sua responsabilidade, os proprietários são as pessoas mais
indicadas para definir privilégios de acesso de acordo com as reais
necessidades dos usuários. Dessa forma, as responsabilidades sobre segurança de
acesso são segregadas entre o gerente do ambiente operacional de informática e
os gerentes de aplicativos.
a.
Em que os usuários podem ajudar na implantação dos
controles de acesso lógico?
A
cooperação dos usuários autorizados é essencial para a eficácia da segurança.
Os usuários devem estar cientes de suas responsabilidades para a manutenção
efetiva dos controles de acesso, considerando, particularmente, o uso de senhas
e a segurança dos equipamentos de informática que costumam utilizar.