Início > Segurança da Informação > GERENCIAMENTO DE ARQUIVOS EM REDES PRIVADAS

GERENCIAMENTO DE ARQUIVOS EM REDES PRIVADAS


Boa noite galera !!

Hoje venho com um tema um pouco diferente dos outros, porém de grande importância!!!

O gerênciamento de arquivos em uma rede é algo não muito praticado, principalmente em empresas menores, porém, como visto em O Valor das Informações, é algo que pode prejudicar muito a empresa, em caso de vazamento das informações. Por isso estou publicando esse artigo que fiz, acredito que será de grande valia.

 

1. Introdução

A informação, na visão de Rezende e Abreu (2000), é o dado com uma interpretação lógica ou natural agregada pelo usuário.

Pode-se entender que a informação é a interpretação de dados sobre algo que nos cerca. Tudo que se conhece e há entendimento, que se questiona e obtém-se algum resultado pode se dizer que é informação.

Com base no conhecimento que se adquire, podem-se concretizar ideias e gerar informações de um conteúdo que possuem relevâncias.

Informações sobre variados assuntos são usados e gerados principalmente em empresas, com base no que ela tem de maior valor: seus dados, com o objetivo de aprimorar seu produto, conhecer e aplicar novas tecnologias e até mesmo para adequação de padrões.

 

2. Pilares da Segurança da informação

O primeiro passo ao lidar com informações é o entendimento de cada uma delas, saber sua importância e classifica-la da melhor maneira e mais objetiva possível a fim de saber quais os cuidados deve-se tomar quanto à proteção das mesmas.

Para LAUREANO E MORAES1, as informações se classificam como pública, interna, confidencial, secreta.

• Pública: É o tipo de informação que não há restrições quanto sua divulgação, pode ser acessível por qualquer pessoa sem causar quaisquer consequências danosas aos processos da empresa.

• Interna. As informações com essa classificação não são cruciais e nem danosas em caso de vazamento, porém deve ser evitado esse acesso livre.

• Confidencial. Informação restrita aos limites da empresa, cuja divulgação ou perda pode levar a desequilíbrio operacional, e eventualmente, a perdas financeiras ou de confiabilidade perante o cliente externo.

• Secreta. Informação crítica para as atividades da empresa, cuja integridade deve ser preservada a qualquer custo e cujo acesso deve ser restrito a um número reduzido de pessoas. A segurança desse tipo de informação é vital para a companhia.

Cada tipo de informação se adequa a uma situação e essa adequação é um dos principais fatores para que se garanta a segurança da informação, pois a partir dessas definições podemos determinar o quão importante ela é, até onde sua divulgação é segura e decidir quais permissões serão atribuídas a elas.

Trabalhando nessas atribuições da informação podemos atingir a construção de uma estrutura base da informação onde se tem o treinamento do usuário no manuseio e classificação da informação, a tecnologia que irá trabalhar com os dados e os processos a serem seguidos para garantir a segurança.

 

3. Parâmetros da Segurança da Informação.

Para se classificar uma informação, pode ter por base os seguintes parâmetros que auxiliam na decisão de identificar a informação. De acordo com os parâmetros é possível “medir” as informações e adequá-las conforme sua classificação.

Segundo LAUREANO E MORAES, os parâmetros são os seguintes:

· Confidencialidade. A informação somente pode ser acessada por pessoas explicitamente autorizadas. É a proteção de sistemas de informação para impedir que pessoas não autorizadas tenham acesso.

· Disponibilidade. A informação deve estar disponível no momento em que a mesma for necessária.

· Integridade. A informação deve ser recuperada em sua forma original (no momento em que foi armazenada). É a proteção dos dados ou informações contra modificações intencionais ou acidentais não autorizadas.

Esses são também os parâmetros para que se obtenha uma informação segura, pois mantendo esses parâmetros a informação só vai chegar a quem deve chegar, quando ela precisar e da maneira exata que ela foi criada.

4. Como manter segura a Informação.

Para manter a segurança da informação é necessário seguir procedimentos e adequações que não são voltadas somente a quem trabalha com a TI, mas sim com todos que trabalham com a informação. É um trabalho conjunto, que se todos seguirem de maneira correta os padrões da segurança da informação chegará a um nível de segurança alto bastante para não haver falhas.

Esses processos consistem em: Treinamento de pessoas, tecnologia utilizada e processos.

 

image

Figura 1 – Processos da Segurança da Informação

Fonte: http://www.skylan.com.br/?pg=pagina&id=23

 

 

Conforme a Figura 1 – Processos da Segurança da Informação percebe-se as três funções base para obter-se a segurança da informação.

O treinamento é um dos fatores que se destaca no processo de segurança da informação devido ao simples fato de que sem um treinamento adequado não há resultados favoráveis à aplicação da segurança da informação em um ambiente levando em consideração de que são pessoas que irão manipular as informações, seguir processos, utilizar tecnologias, e sem conhecimento adquirido através de treinamentos todo o processo se torna falho.

A tecnologia é a ferramenta que irá ser aplicada no ambiente para obtenção de um melhor resultado e auxiliando na proteção da informação.

Os processos são os passos a serem seguidos, como políticas, que são de extrema importância também e que pode ser um fator crucial na obtenção bem sucedida da proteção da informação.

 

5.Porque utilizar segurança da Informação

Com o crescimento tecnológico em que o mundo se encontra, um dos grandes focos é na segurança, fator esse fundamental para sobrevivência de qualquer organização que mantém seus dados e informações armazenadas digitalmente.

Não é difícil pensar nessa importância quando se entende a necessidade de manter informações sigilosas fora do alcance das pessoas principalmente quando essa informação é altamente requisitada e buscada.

Além dessa questão muitas informações são transformadas de dados físicos (papeis) para digitais, que de certa forma ficam mais a exposição a possíveis roubos dependendo da estrutura onde são armazenadas.

Quando se trata de informações importantes, o que resta fazer é um estudo de viabilidade do quão é necessário aplicar em níveis de segurança para garantir nenhum extravio.

A segurança da informação é a estrutura mais adequada e confiável a determinar padrões para manter todas essas necessidades e requisitos de uma empresa, porém a empresa deve estar adequada às necessidades desse padrão, afinal, esses três tópicos da segurança devem ser seguidos a risca e não dependem só de tecnologia, mas também de pessoas.

 

6. Permissão de dados NTFS

Dados podem ser armazenados de forma digital e é um dos recursos mais utilizados ultimamente. Porém sua disponibilidade é um quesito perante a segurança da informação. Nem todos os dados podem estar disponíveis e com os mesmos acessos para todas as pessoas de uma organização. Geralmente, devido à necessidade de interligação entre setores, arquivos são compartilhados para manuseio, porém nem todos podem possuir um privilégio de alterar uma informação ou acrescentá-las. Por isso há uma grande necessidade de gerenciar esse tipo de permissão, pois são elas que irão delimitar esses privilégios de acessos.

 

Permissão

Nível de Acesso

Leitura

Permite ao usuário listar as pastas e arquivos dentro da pasta, permite que sejam exibidas as permissões, donos e atributos.

Gravar

Permite ao usuário criar novos arquivos e subpastas dentro da pasta, alterar os atributos da pasta e visualizar o dono e as permissões da pasta.

Listar

Conteúdo de pastas Permite ao usuário ver o nome dos arquivos e subpastas.

Ler e executar

Permite ao usuário navegar através das subpastas para chegar a outras pastas e arquivos, mesmo que o usuário não tenha permissão de acesso às pastas pelas quais está navegando, além disso possui os mesmos direitos que as permissões Leitura e Listar Conteúdo de pastas.

Modificar

Permite ao usuário eliminar a pasta, mais todas as ações permitidas pela permissão Gravar e pela permissão Ler e executar.

Controle total

Permite que sejam alteradas as permissões, permite ao usuário tornar-se dono da pasta, eliminar subpastas e arquivos, mais todas as ações permitidas por todas as outras permissões NTFS.

Tabela 1 – Permissões NTFS para pastas

Fonte: http://www.juliobattisti.com.br/artigos/windows/ntfs_p1.asp

 

Permissão

Nível de Acesso

Leitura

Permite ao usuário ler o arquivo, permite que sejam exibidas as permissões, dono e atributos.

Gravar

Permite ao usuário gravar um arquivo com o mesmo nome sobre o arquivo, alterar os atributos da pasta e visualizar o dono e as permissões da pasta.

Ler e executar

Permite ao usuário executar aplicativos (normalmente programas .exe, .bat ou .com), mais todas os direitos da permissão Leitura.

Modificar

Permite ao usuário modificar e eliminar o arquivo, mais todas as ações permitidas pela permissão Gravar e pela permissão Ler e executar.

Controle total

Permite que sejam alteradas as permissões, permite ao usuário tornar-se dono do arquivo, mais todas as ações permitidas por todas as outras permissões NTFS.

Tabela 2 – Permissões NTFS para arquivos.

Fonte: http://www.juliobattisti.com.br/artigos/windows/ntfs_p1.asp

 

7. Active Directory

O Active Directory é um conjunto de ferramentas da Microsoft Corporation que irá fornecer uma solução em um dos pilares da segurança da informação, a Tecnologia.

Através dessa ferramenta, os gestores da informação poderão fornecer um controle mais eficiente e seguro das informações digitais da empresa.

Essas ferramentas são divididas em: Active Directory Domain Services, Active Directory Certificate Services, Active Directory Right Management Services, Active Directory Federation Services.

 

7.1 Active Directory Domain Services

O Active Directory Domain Services é um sistema que já faz parte dos recursos da Microsoft há certo tempo com a função de gerenciar e organizar usuários e componentes de uma rede a partir de um domínio.

Ele funciona de forma a centralizar todos os recursos na rede para melhor gerenciamento e sua função mais utilizada é no gerenciamento de usuários no domínio criado para a rede. Esses usuários são uma representação de uma pessoa a qual necessita de um dado acesso em questão nessa rede, esse acesso pode ser a um compartilhamento de um diretório ou mesmo a utilização de uma funcionalidade disponibilizada.

image

Figura 2 – AD DS

Fonte: http://www.andersonpatricio.org/Guias/guias.asp?Guia=01

 

O Active Directory fornece uma tela intuitiva que facilita o gerenciamento de todos os usuários do domínio criado. Ele efetuará a função de autenticação na rede como forma de identificação de quem está tentando acesso a dados.

 

7.2 Active Directory Certificate Services

A autenticação através de certificados digitais está ficando cada vez mais comum e utilizado pela sua eficiência e segurança. O Active Directory Certificate Services é um sistema que vem disponível no Windows Server 2008 e fornece serviços de gerenciamento centralizado desses certificados e possibilita a criação dos mesmos para utilização.

Conforme a Microsoft Corporation (2008), o ADCS (Active Directory Certificate Services) possui os seguintes recursos

– Autoridades de certificação (CAs);

– Inscrição via Web na CA;

– Respondente Online.

– Serviço de Registro do Dispositivo de Rede.

– Serviço da Web de Registro de Certificado.

– Serviço da Web de Diretiva de Registro de Certificado.

A utilização dos certificados é abrangente a varias situações, muito comum em sites que utilizam protocolo https (Hypertext transfer protocol secure) e nesse estudo será abordado suas funções de autenticação junto da ferramenta Active Directory Rigth Management Services, que irá tornar mais seguro os processos do serviço e ajudar a manter um dos parâmetros da segurança da informação, a confidencialidade.

 

7.3 Active Directory Right Management Services

Como relatado por Holme e Ruest (2009), o AD RMS (Active Directory Right Management Services) foi projetado para estender o alcance de uma rede interna no mundo externo e isso tem sido um grande desafio, pois a necessidade de proteção em sistemas e arquivos não é algo atual, e sim algo que algumas empresas já buscavam há certo tempo.

Com o AD RMS é possível criar templates (modelos) diversos de permissões que são associados a grupos de pessoas em uma organização, agindo diretamente na função de manter integra uma informação ou um dado que contenha essa informação.

Sua utilização vai a todos os sistemas que suportam o AD RMS, controlando suas permissões de acesso, como por exemplo, somente leitura, execução de arquivo. Os programas do pacote Microsoft Office já vêm prontos para integração com o AD RMS.

O AD RMS emite certificados de conta de direitos. Esses certificados identificam as entidades confiáveis, que são os usuários, grupos, aplicativos, que podem criar e publicar o conteúdo habilitado para os direitos. Depois que um editor de conteúdo torna-se confiável, ele pode atribuir direitos e condições ao conteúdo que ele cria. Toda vez que um usuário estabelece uma diretiva de proteção em um documento o AD RMS emite uma licença de publicação do conteúdo. Integrando essa licença ao conteúdo, o AD RMS a vincula para que a licença torne-se permanentemente anexada e não mais exija acesso a um sistema AD RMS para fornecer proteção ao conteúdo ou documento. Para exibir os dados, os usuários devem acessá-los por meio de um aplicativo ou navegador habilitado para o AD RMS.

Quando outros usuários acessam o conteúdo protegio por direitos, seus clientes AD RMS requerem uma licença de uso do servidor. Se o usuário também for uma entidade confiável, o servidor AD RMS emite essa licença de uso. A licença de uso expressa a licença de proteção para esse documento e aplica esses direitos de uso ao documento por toda sua vida útil.

 

image

Figura 3 – AD RMS

Fonte: http://www.cdhtalkstech.com/2008/12/29/already-using-rms-i-sure-hope-so/

 

7.4 Active Directory Federation Services

O AD FS (Active Directory Federation Services) fornece um serviço de autenticação única (single-sing-on), não só para ambiente Windows, mas também ambiente não Windows. Ele possui uma função importante junto do AD RMS, pois é ele que irá levar ao acesso externo as funções dele.

O principal fator de sua utilização está na possibilidade de efetuar uma autenticação via web direta no AD DS, assim pode ser utilizado o próprio usuário de rede. O AD FS apesar de possuir uma funcionalidade simples, ela é segura utilizando certificado digital e importante no processo da segurança dos dados externamente a empresa.

 

8. Integração das Aplicações

As aplicações do Active Directory apesar de poder ser utilizadas independentes, ambas formam um conjunto que um complementa o outro em termos de funcionalidades, tornando-as ferramentas poderosas tanto internamente quanto externamente a uma organização.

Tendo um foco na segurança dos dados, o AD RMS é a base que pode gerir esses serviços e os outros conjuntos de aplicações fornecem serviços que irão complementa-lo. O AD DS servirá para controlar os usuários de acesso aos dados, o AD CS fornecerá um papel de segurança com a finalidade de transmitir confiabilidade confirmando se os usuários do AD DS são realmente eles (autenticação) e o AD FS fornecerá um papel de autenticação fora da rede interna da organização, aumentando assim os limites do AD RMS.

 

9. Conclusão

Com o objetivo de apresentar uma solução em termos de segurança da informação para dados de uma empresa, esse artigo mostra aspectos necessários para obter sucesso na proteção de dados a partir da ferramenta active directory da Microsoft Corporation, seguindo princípios da segurança da informação e classificação da informação, que são à base da estrutura.

Com esse conjunto de ferramentas é possível administrar uma infraestrutura de rede em nível de usuários e componentes de rede, criação e gerenciamento de certificados digitais, fornecer um serviço federado para acessos externos e o serviço principal de controle de permissões NTFS de arquivos.

Esses serviços depois de implantados, se seguidos de forma correta, levarão a empresa a maneira mais eficiente de obter um controle e uma segurança efetiva que pode ser mantida com facilidade ao longo do tempo.

 


Referências

BATTISTI, Júlio.Permissões de Compartilhamento e NTFS. Publicado em 30/04/2003.Disponível em <http://www.juliobattisti.com.br/artigos/windows/ntfs_p1.asp&gt;. Acesso em:30 out. 2010.

MICROSOFT CORPORATION. Disponível <http://technet.microsoft.com/pt-br/library/cc731564(WS.10).aspx> Aecsso em: 30 out. 2010.

LIMA, Raphael. O que é isto? (AD DS, AD RMS, AD LDS, AD FS, AD CS). Disponível em: <http://www.raphaell.info/?p=1306&gt;.Acesso em: 30. Out. 2010

HOLME, Dan ; RUEST, Nelson;RUEST, Danielle. Configuração do Windows Server 2008 Active Directory, Porto Alegre,2009.

INCH, Eric.Already Using RMS? I Sure Hope So!. Disponível em: <http://www.cdhtalkstech.com/2008/12/29/already-using-rms-i-sure-hope-so/&gt; .Acesso em: 30. Out. 2010

NAKANO, Alexandre; PATRICIO, Anderson. Implementando o Active Directory. Disponível em: <http://www.andersonpatricio.org/Guias/guias.asp?Guia=01&gt; Acesso em: 30. Out. 2010


1 LAUREANO, Marcos Aurelio Pchek e MORAES, Paulo Eduardo Sobreira. Segurança como Estratégia de Gestão da Informação. Publicado na revista Economia & Tecnologia.2005

  1. Nenhum comentário ainda.
  1. No trackbacks yet.

Deixe um comentário

Preencha os seus dados abaixo ou clique em um ícone para log in:

Logotipo do WordPress.com

Você está comentando utilizando sua conta WordPress.com. Sair / Alterar )

Imagem do Twitter

Você está comentando utilizando sua conta Twitter. Sair / Alterar )

Foto do Facebook

Você está comentando utilizando sua conta Facebook. Sair / Alterar )

Foto do Google+

Você está comentando utilizando sua conta Google+. Sair / Alterar )

Conectando a %s

%d blogueiros gostam disto: