Upload
others
View
0
Download
0
Embed Size (px)
Citation preview
9/28/2007 Global Risk Meeting 2007 1
Práticas de segurança do
CBK aplicadas em produtos
na Microsoft.
Fernando Fonseca,
CISSP, MCSE Security
Test Engineer – Microsoft
Communications Director - ISSA
9/28/2007 Global Risk Meeting 2007 2
Segurança em Design
O SDL na Microsoft
CKB e CISSP
Os domínios do CBK
O que falta então?
9/28/2007 Global Risk Meeting 2007 3
O SDL da Microsoft
Ciclo de Desenvolvimento Seguro
Atualizações de Segurança
Resposta a Incidentes
9/28/2007 Global Risk Meeting 2007 4
CBK e CISSPCBK – Common Body of Knowledge
A ISC2 é uma associação nascida da ISSA (Information Systems
Security Association) voltada a certificar profissionais de segurança
da informação. Tanto ISSA quanto ISC2 possuem forte código de
ética para associados.
O CBK é uma compilação feita pela ISC2 do conhecimento relativo
à área de segurança da informação em 10 domínios distintos, que
compreendem desde a segurança física até a análise de risco. A
ISC criou também um programa de treinamento e certificação do
profissional de segurança chamado CISSP (Certified Information
Systems Security Professional).
Prova: 1 Exame (250 questões, 6 horas)
Custo Aproximado = US$ 499,00
9/28/2007 Global Risk Meeting 2007 5
CBK na Microsoft
No início do TWC, haviam menos de 20 profissionais certificados
CISSP na Microsoft*
Cerca de 1.000 profissionais certificados CISSP na Microsoft
atualmente.
9 dos 10 domínios aplicados em produtos (Segurança Física não
se aplica)
Problemas de segurança física mitigados pelo BitLocker
(Criptografia de disco e S.O.)
*http://www.microsoft.com/presspass/features/2005/jan05/01-13TWCupdate.mspx
9/28/2007 Global Risk Meeting 2007 6
Os Domínios do CBK
9/28/2007 Global Risk Meeting 2007 7
Domínios do CBK
Access Control
Application Security
Business Continuity and Disaster Recovery Planning
Cryptography
Information Security and Risk Management
Legal, Regulations, Compliance and Investigations
Operations Security
Physical (Environmental) Security
Security Architecture and Design
Telecommunications and Network Security
9/28/2007 Global Risk Meeting 2007 8
Access Control
Fator Saber – Kerberos (SSO), armazenamento seguro, política
Fator Ter – Smart Cards, tokens, OPT
Fator Ser – Biometria
MAC – Modelo Biba (Controle de Integridade Mandatório)
DAC – DACLs do NTFS, RMS
Role Based – Grupos
Rule Based – Personal Firewall
Autenticação com certificados X509
Trusted PATH (CTRL + ALT + DEL)
Triple A (Authentication, Authorization, Accountability)
9/28/2007 Global Risk Meeting 2007 9
Application Security
Code Access Security
Microsoft .NET
COM, DCOM
Documentação
Threat Modeling Tool
9/28/2007 Global Risk Meeting 2007 10
O SDL para a comunidade
9/28/2007 Global Risk Meeting 2007 11
Business Continuity
Microsoft Cluster
Microsoft Backup
Data Protection Manager (Backup do System Center)
Imagens de recuperação (Sysprep)
Alta disponibilidade em todos servidores
9/28/2007 Global Risk Meeting 2007 12
Cryptography
BitLocker (Criptografa disco e S.O.)
RSA, MD-5, SHA-1, Diffie-Hellman, 3DES, etc
Criptografia “Plugavel” – Longhorn
PKI – Certificates Services
SSL – (IIS e Internet Explorer)
RMS – Rights Management Server (por documento)
EFS – Encrypt File System (por arquivo / pasta)
9/28/2007 Global Risk Meeting 2007 13
BitLocker
System
OS Volume
System Volume Contains: MBR, Boot manager, Boot
Utilities (Unencrypted, small)
3
2 FVEK 1 SRK
- Notebooks
- Mais de 25% dos serviores estão em escritórios remotos
9/28/2007 Global Risk Meeting 2007 14
IS and Risk Management
MSRAT (Microsoft Security Assessment Tool)
9/28/2007 Global Risk Meeting 2007 15
Compliance, Investigation
DRM
Security Templates
Common Criteria EAL 4+
Banner de Logon
Proteção de Logs
9/28/2007 Global Risk Meeting 2007 16
Operations Security
MOF
Privilégio Mínimo (Permissões Granulares)
Privilégio Mínimo (Security Policies)
Controle de Pais
Patch Management (WSUS)
Registro de motivo para “Shutdown”
MSF e MOF
9/28/2007 Global Risk Meeting 2007 17
9/28/2007 Global Risk Meeting 2007 18
Privilégio Mínimo
Recriação de Serviços
Serviços são alvos atrativos para malwares
Executam sem interação do usuário
Muitas vulnerabilidades em serviços
Muitos serviços executam como “System”
Worms que atacaram serviços
Sasser, Blaster, CodeRed, Slammer, etc…
Dos 34 serviços executadfos como LocalSystem no XP SP2,
apenas 7 serviços continuam como LocalSystem no Vista
9/28/2007 Global Risk Meeting 2007 20
Privilégio Mínimo
Memory
Se possível, remove a conta LocalSystem do serviço
Se ele não realiza operações privilegiadas
Faz mudanças na ACL para chaves de registro e acesso objetos
Senão, divide em duas partes
O Serviço principal e outros que realizam operações privilegiadas
Autentica a chamada entre eles
Serviço PrincipalExecutado como LocalService
PrivilegiadoLocalSystem
9/28/2007 Global Risk Meeting 2007 21
Architecture
Process Isolation
Protection Rings
Secure Kernel – Protegido (Patch Guard)
Secure Kernel – Mediar todos acessos
Modelo Biba (Mandatory Integrity Control) – IE 7
Virtual Machines
Windows Hypervisor (Reference Monitor)
Orange Book (C2)
Common Criteria EAL 4+
9/28/2007 Global Risk Meeting 2007 22
Integridade de Código
Valida a integridade de cada imagem binária
Checa hashes para cada página quando são carregadas
Também checa qualquer imagem sendo carregada por
um processo protegido
Implementado como um driver de sistema de arquivo
Hashes guardados no catálogo do sistema ou em um
certificado X.509 incluso no arquivo
Valida a integridade do processo de boot
Checa o kernel, a HAL, drives de inicialização
Se a validação falha, a imagem não carregará
Assinatura de Código
Computação confiável depende do kernel
Windows Vista identifica estado do Kernel
Kernel segura carrega apenas binários asinados
Reduz vulnerabilidades por binários desconhecidos
Kernel identificável cria novo cenário
Endereça crescimento de ataques de rootkit
Aumenta confiabilidade identificando fornecedores de
software de kernel
9/28/2007 Global Risk Meeting 2007 24
Assinatura de Código
Aplicação do S.O.
Aplicação não assinadaAplicação assinada
9/28/2007 Global Risk Meeting 2007 25
Network Security
NAP
RAS, RRAS (VPN), Quarentena
IPSec
Personal Firewall, NAT
DNS
RAID (0,1,5)
VPN SSL (Longhorn)
Proxy / Statefull Firewall (ISA Server)
Network Access Protection
9/28/2007 Global Risk Meeting 2007 26
Fora de conformidade
1
Rede Restrita
Cliente requesita acesso à rede e apresenta estadoatual de saúde
1
4Se não estiver em conformidade o cliente é encaminhadopara uma VLAN onde tem acesso a recursos comopatches, políticas, etc. Repete 1-4
2DHCP, VPN or Switch/Router encaminha estado de saúdepara o Microsoft Network Policy Server (RADIUS)
Microsoft NPS
3
Policy Servers
Ex:, Patch, AV
EmConformidade
DHCP, VPNSwitch/Router
3Network Policy Server (NPS) valida com políticas de saúdedefinidas pela área de TI
2
ClienteWindows
Servidores de atualizaçào
Ex: Patch
Rede Corporativa5
4
Se estiver em conformidade o cliente ganha acesso total à redecorporativa.
5
9/28/2007 Global Risk Meeting 2007 27
O Que falta então?
O que faltou?
9/28/2007 Global Risk Meeting 2007 28
Comunicar com as pessoas!
9/28/2007 Global Risk Meeting 2007 29
Common Criteria
EAL 4+ (Comunicação)
E… As pessoas
“Apenas duas coisas são infinitas: o universo e a estupidez humana,
e eu não tenho certeza sobre o primeiro”. Albert Einstein
Treinamento de usuários
http://www.microsoft.com/brasil/athome/security/videos/default.mspx
• Visão geral de Segurança
• Lidando com spams
• Protegendo se de spywares
•Protegendo sua privacidade online
• Utilizando grupos de notícias online
• Defendendod-se contra vírus e worms
• Mantendo seu computador atualizado
• Ensinando seus filhos sobre segurança online
• O que você deve saber sobre esquemas de phishing
Technet e MSDN
Academia de segurança: iniciativa que
recebeu o prêmio Secmaster 2005, nos júris
popular e acadêmico. Conteúdo focado em
análise de risco e ISO 17799:2005
Iniciativas de Segurança
Technet Experience
Grupo de estudos CISSP
Parceria com ISSA e ISACA
Parceria com players de segurança
Pesquisa de satisfação
O Conteúdo da academia é útil para meu
trabalho?
Tecnologia: Tão forte como
seu elo mais fraco
Tecnologia não é todo o problema e também
não é a solução completa
Segurança de sistemas dependem de
tecnologia, processos e pessoas.
9/28/2007 Global Risk Meeting 2007 35
9/28/2007 Global Risk Meeting 2007 36
Perguntas ??