A Segurança em Sistemas Distribuídos

Segurança em Sistemas Distribuídos

Filipe Sanders, Dionatan Lara, Gabriel Hachmann, Moises Hunning

Universidade La Salle
Av. Vitor Barreto - 2288 – Centro Canoas – RS – CEP 9201000 – Brasil

[e-mail], [e-mail], [e-mail],[e-mail]

Abstract. This article aims to present the vulnerabilities in distributed computing systems, thus justifying the need for protection and ways to proprotect a system. We approach several concepts within the securiy area, and present possible solutions to these vulnerabilities, as well as a summary of the practical implementation associated with this work.

Resumo. Este artigo tem a propósito de apresentar as vulnerabilidades presentes em sistemas computacionais distribuídos, justificando assim, a necessidade de proteção e as formas de se proteger um sistema. Abordamos diversos conceitos dentro da área de segurança, e apresentamos possíveis soluções para estas vulnerabilidades, bem como um resumo da implementação prática associada a este trabalho.

1.  Introdução: Segurança, Informação e Middleware

A informação torna-se bem valioso para o desenvolvimento humano e/ou corporativo, sendo de suma importância para o funcionamento e crescimento de uma empresa e por conseqüência passa a ser alvo de pessoas ou organizações maliciosas que tem por finalidade tirar proveito da mesma.

Para tornar um sistema seguro, é preciso definir uma política de segurança, que irá definir contra o que estamos protegendo e de que forma. É importante saber onde e como precisamos de segurança em um sistema, e podemos entender isso como quais os tipos de mecanismos de segurança utilizar. É pouco eficiente tentar tornar um sistema seguro contra todos os tipos de ataques (e a cada dia surgem novos), sendo melhor saber com quais tipos de ataques virtuais ou de engenharia social realmente  estamos lidando, para assim saber como proteger o sistema dos mesmos.

Para melhor entendimento sobre o assunto, primeiro precisamos esclarecer, o que são os sistemas distribuídos, segundo Andrew Tanenbaum um sistema distribuído é uma coleção de computadores, independentes entre si, que se apresenta ao usuário final como um sistema único e coerente, ou seja hoje praticamente é muito difícil não passarmos por sistemas distribuídos, até por questão de disponibilidade, escalabilidade e segurança, um grande exemplo disso são os sistemas em streaming.

Sabendo um pouco mais sobre os sistemas distribuídos, agora podemos falar sobre os middlewares, o que são middlewares? Bom na mais reduzida forma, um middleware nada mais é que uma aplicação intermediadora entre o usuário final e essa rede independente de computadores que apresenta um resultado único e final ao usuário, ou seja alguém tem que gerenciar isso, um exemplo disso ainda tratando sobre streaming, é o nosso famoso NETFLIX, digamos que aquele filme que assistimos é o passo final, mas por traz disso temos uma grande rede, com um bom troubleshooting, uma grande quantidade de servidores, e uma imensidão de Terabytes. E quando pensamos em segurança, imaginamos quantas coisas, quantas aplicações e quantos processos estão envolvidos para garantir confiabilidade para os clientes e para as empresas que fornecem os serviços.

2. O que é a informação? Como protegê-la?

A informação, de acordo com a NBR ISO/IEC 27002:2005, é a compilação do ponto de vista de um conjunto de dados, ou seja, é produzida pelo processamento de um ou mais dados. O processamento dos dados é que gera a informação, ou seja, um determinado conhecimento. Essa informação é encarada como um dos recursos mais importantes para uma corporação, sendo de importância vital para a tomada de decisões.

Depois de entender um pouco da importância da informação e saber que ela é alvejada, precisamos saber que ela pode ser obtida de forma ilegal através de atividades virtuais, e que é possível protegê-la atendendo alguns critérios de segurança dentro de um sistema de informação, que veremos mais adiante neste artigo.

Política de Segurança da Informação (PSI): Pode-se definir a PSI como um documento que descreve regras de alto nível, normas, métodos e procedimentos adotados e divulgados entre os colaboradores da organização para implementação da segurança da informação. O PSI deve ser rigorosamente elaborado e revisado entre intervalos de tempo previamente definidos, ou de acordo com a necessidade de mudanças. Deve ser considerada base, para a gestão e elaboração da política de segurança, a NBR ISO/IEC 27001:2005, que é uma norma de práticas para gestão de segurança da informação, onde estão disponíveis as melhores práticas para iniciar, implementar, manter e efetuar a gestão da segurança de uma organização ou empresa.

Mecanismos de segurança: Os mecanismos de segurança são as definições de regras a serem adotadas junto às ferramentas de segurança. São requisitos básicos:

Identificação: Permitir que uma entidade se identifique no sistema.

Autenticação: Após a entidade se identificar, é necessário validar se a entidade é realmente quem diz ser.

Autorização: São determinadas quais ações a entidade pode executar.

Integridade: A informação deve ser protegida contra ações não autorizadas, como alterações ou exclusão da informação.

Confidencialidade (sigilo): A informação deve estar fora de alcance dos acessos não autorizados.

Não repúdio: Impedir que uma entidade possa negar alguma execução (ato) realizada.

Disponibilidade: Garantir que, sempre que necessário, um recurso esteja disponível.

Auditoria: A auditoria é um meio de fazer o rastreamento de acesso, ou seja, quem acessou e de que modo. Não é exatamente um mecanismo de proteção, já que não tem o foco de impedir que algo aconteça. Porém, havendo  um registro de acontecimento, é possível fazer uma análise para descobrir falhas de segurança e até tomar providências contra invasões ocorridas.

3. Vulnerabilidades

Para proteger, é preciso entender quais são as vulnerabilidades. Neste ponto, entenderemos as vulnerabilidades de um sistema de aspecto mais geral. Em outro tópico,  estudaremos alguns mecanismos de ataques virtuais.

São características muito fortes relacionadas à segurança, a confidencialidade e a integridade das informações/dados. A confidencialidade se refere a relevar as informações apenas a partes autorizadas, enquanto a integridade se refere a permitir alterações somente aos autorizados.