Esta tese ´e organizada da seguinte forma: o cap´ıtulo 2 descreve os conceitos b´asicos sobre seguran¸ca da informa¸c˜ao e quantifica¸c˜ao de seguran¸ca, al´em de apresentar a termi- nologia usada ao longo do trabalho e discutir os modelos usadas para medir seguran¸ca encontrados na literatura. O cap´ıtulo 3 apresenta um levantamento bibliogr´afico sobre trabalhos que prop˜oem modelos de quantifica¸c˜ao de seguran¸ca e mostra a abordagem de- senvolvida, que consiste em analisar os m´etodos presentes na literatura usando crit´erios baseados na constru¸c˜ao de indicadores quantitativos. O cap´ıtulo 4 traz os detalhes dos estudos desenvolvidos para avaliar os fatores que influenciam a frequˆencia de incidentes de seguran¸ca. Al´em das duas an´alises propostas, tamb´em ser´a apresentado um modelo para auxiliar a identifica¸c˜ao de m´etricas relevantes e as limita¸c˜oes dos conjuntos de dados utilizados. O cap´ıtulo 5 detalha o question´ario proposto, assim como os resultados obti- dos. Por fim, o cap´ıtulo 6 mostra as considera¸c˜oes finais e as perspectivas para trabalhos futuros.
Cap´ıtulo
2
Terminologia e Defini¸c˜oes B´asicas
Este cap´ıtulo descreve os conceitos b´asicos relacionados `a seguran¸ca da informa¸c˜ao e `a quantifica¸c˜ao de seguran¸ca. Primeiramente, ser˜ao apresentadas algumas defini¸c˜oes b´asicas sobre seguran¸ca da informa¸c˜ao. A seguir, ser´a introduzida a terminologia usada ao longo do trabalho, com a distin¸c˜ao dos termos m´etrica e indicador. As premissas b´asicas sobre m´etodos de quantifica¸c˜ao de seguran¸ca ser˜ao apresentadas, assim como exemplos de propostas baseadas em Grafos de Ataque, Avalia¸c˜ao de Risco, Superf´ıcie de Ataque e Processo de An´alise Hier´arquico (AHP - Analytic Hierarchy Process). Por fim, ser˜ao mostradas as defini¸c˜oes e requisitos de uma m´etrica de seguran¸ca, um levantamento sobre investiga¸c˜oes emp´ıricas em quantifica¸c˜ao de seguran¸ca e trabalhos relacionados sobre o uso de question´arios em seguran¸ca da informa¸c˜ao.
2.1
Seguran¸ca
De acordo com a norma ISO/IEC 27004 (International Organization for Standardi- zation, 2009), a informa¸c˜ao ´e um ativo que tem um valor para a organiza¸c˜ao e conse- quentemente necessita ser adequadamente protegida. A seguran¸ca da informa¸c˜ao busca minimizar os impactos das amea¸cas no sistema 1 e assim garantir a continuidade dos
neg´ocios.
1Ao longo deste trabalho, um sistema de informa¸c˜ao ou sistema ser´a definido como um computador ou
sistema de informa¸c˜ao computacional. Formalmente, um sistema de informa¸c˜ao ´e um conjunto discreto
de recursos de informa¸c˜ao organizado para a coleta, processamento, manuten¸c˜ao, uso, compartilhamento
ou dissemina¸c˜ao da informa¸c˜ao (Chew et al., 2008).
A seguran¸ca da informa¸c˜ao ´e frequentemente definida em termos de Bishop (2002):
• Sigilo - a informa¸c˜ao deve ser acess´ıvel somente `as entidades autorizadas pelo pro- priet´ario da informa¸c˜ao;
• Integridade - garantia de que a informa¸c˜ao manipulada mantenha as caracter´ısticas originais estabelecidas pelo propriet´ario da informa¸c˜ao;
• Disponibilidade - usu´arios autorizados devem obter acesso `a informa¸c˜ao sempre que necess´ario.
O ponto de vista das entidades, usu´arios e suas a¸c˜oes junto aos sistemas ´e um outro meio de abordar a seguran¸ca da informa¸c˜ao, tamb´em conhecido como Authentication, Authorization, and Accounting (AAA) Metz (1999). Os seguintes conceitos s˜ao definidos:
• Autentica¸c˜ao (Authentication): garantia de que a identidade f´ısica de um usu´ario ou sistema esteja relacionada a sua respectiva identidade digital;
• Autoriza¸c˜ao (Authorization): determinar quais a¸c˜oes podem ser executadas por um usu´ario ou entidade;
• N˜ao rep´udio (Accounting): garantia de que a¸c˜oes e acessos de usu´arios e entidades sejam associadas de forma inquestion´avel.
Geus e Nakamura (2007) citam exemplos de falhas que, se exploradas corretamente, podem comprometer a seguran¸ca de sistemas:
• Explora¸c˜ao de vulnerabilidades em sistemas operacionais, aplicativos, protocolos e servi¸cos. Exemplos: execu¸c˜ao remota de c´odigos maliciosos em sistemas operacionais como o Windows;
• Explora¸c˜ao dos aspectos humanos dos envolvidos. Exemplos: uso de engenharia social para a obten¸c˜ao de informa¸c˜oes sigilosas;
• Falha no desenvolvimento e implementa¸c˜ao da pol´ıtica de seguran¸ca. Exemplos: elabora¸c˜ao de pol´ıtica de seguran¸ca que n˜ao prevˆe o uso c´opias de seguran¸ca;
• Falha na configura¸c˜ao de servi¸cos e de sistemas de seguran¸ca. Exemplo: utiliza¸c˜ao da configura¸c˜ao padr˜ao que ´e conhecida por todos, inclusive pelos invasores.
Eventos relacionados a explora¸c˜ao com sucesso de tais falhas e ao ato de violar, de maneira impl´ıcita ou expl´ıcita uma determinada pol´ıtica de seguran¸ca s˜ao conhecidos como incidentes de seguran¸ca. Um aumento no n´umero de incidentes pode representar que:
• A organiza¸c˜ao est´a mais vulner´avel aos ataques;
• Mais recursos (tempo, funcion´arios e tecnologia) foram alocados para a detec¸c˜ao de incidentes.
J´a uma diminui¸c˜ao do n´umero de incidentes de seguran¸ca pode representar que:
• A organiza¸c˜ao est´a mais resistente aos ataques;
• Poucos recursos (tempo, funcion´arios e tecnologia) foram alocados para a detec¸c˜ao de incidentes.
A an´alise de incidentes pode revelar importantes comportamentos em uma organiza¸c˜ao, e ser usada para diversos fins, como por exemplo a aloca¸c˜ao eficiente de recursos de TIC, a avalia¸c˜ao do impacto de medidas preventivas ou ainda altera¸c˜oes em pol´ıticas de seguran¸ca vigentes. Um dos objetivos desta tese ´e o estudo de m´etricas associadas a ocorrˆencia de incidentes de seguran¸ca.