9/28/2007 Global Risk Meeting 2007 1

Práticas de segurança do

CBK aplicadas em produtos

na Microsoft.

Fernando Fonseca,

CISSP, MCSE Security

Test Engineer – Microsoft

Communications Director - ISSA

9/28/2007 Global Risk Meeting 2007 2

Segurança em Design

O SDL na Microsoft

CKB e CISSP

Os domínios do CBK

O que falta então?

9/28/2007 Global Risk Meeting 2007 3

O SDL da Microsoft

Ciclo de Desenvolvimento Seguro

Atualizações de Segurança

Resposta a Incidentes

9/28/2007 Global Risk Meeting 2007 4

CBK e CISSPCBK – Common Body of Knowledge

A ISC2 é uma associação nascida da ISSA (Information Systems

Security Association) voltada a certificar profissionais de segurança

da informação. Tanto ISSA quanto ISC2 possuem forte código de

ética para associados.

O CBK é uma compilação feita pela ISC2 do conhecimento relativo

à área de segurança da informação em 10 domínios distintos, que

compreendem desde a segurança física até a análise de risco. A

ISC criou também um programa de treinamento e certificação do

profissional de segurança chamado CISSP (Certified Information

Systems Security Professional).

Prova: 1 Exame (250 questões, 6 horas)

Custo Aproximado = US$ 499,00

9/28/2007 Global Risk Meeting 2007 5

CBK na Microsoft

No início do TWC, haviam menos de 20 profissionais certificados

CISSP na Microsoft*

Cerca de 1.000 profissionais certificados CISSP na Microsoft

atualmente.

9 dos 10 domínios aplicados em produtos (Segurança Física não

se aplica)

Problemas de segurança física mitigados pelo BitLocker

(Criptografia de disco e S.O.)

*http://www.microsoft.com/presspass/features/2005/jan05/01-13TWCupdate.mspx

9/28/2007 Global Risk Meeting 2007 6

Os Domínios do CBK

9/28/2007 Global Risk Meeting 2007 7

Domínios do CBK

Access Control

Application Security

Business Continuity and Disaster Recovery Planning

Cryptography

Information Security and Risk Management

Legal, Regulations, Compliance and Investigations

Operations Security

Physical (Environmental) Security

Security Architecture and Design

Telecommunications and Network Security

9/28/2007 Global Risk Meeting 2007 8

Access Control

Fator Saber – Kerberos (SSO), armazenamento seguro, política

Fator Ter – Smart Cards, tokens, OPT

Fator Ser – Biometria

MAC – Modelo Biba (Controle de Integridade Mandatório)

DAC – DACLs do NTFS, RMS

Role Based – Grupos

Rule Based – Personal Firewall

Autenticação com certificados X509

Trusted PATH (CTRL + ALT + DEL)

Triple A (Authentication, Authorization, Accountability)

9/28/2007 Global Risk Meeting 2007 9

Application Security

Code Access Security

Microsoft .NET

COM, DCOM

Documentação

Threat Modeling Tool

9/28/2007 Global Risk Meeting 2007 10

O SDL para a comunidade

9/28/2007 Global Risk Meeting 2007 11

Business Continuity

Microsoft Cluster

Microsoft Backup

Data Protection Manager (Backup do System Center)

Imagens de recuperação (Sysprep)

Alta disponibilidade em todos servidores

9/28/2007 Global Risk Meeting 2007 12

Cryptography

BitLocker (Criptografa disco e S.O.)

RSA, MD-5, SHA-1, Diffie-Hellman, 3DES, etc

Criptografia “Plugavel” – Longhorn

PKI – Certificates Services

SSL – (IIS e Internet Explorer)

RMS – Rights Management Server (por documento)

EFS – Encrypt File System (por arquivo / pasta)

9/28/2007 Global Risk Meeting 2007 13

BitLocker

System

OS Volume

System Volume Contains: MBR, Boot manager, Boot

Utilities (Unencrypted, small)

3

2 FVEK 1 SRK

- Notebooks

- Mais de 25% dos serviores estão em escritórios remotos

9/28/2007 Global Risk Meeting 2007 14

IS and Risk Management

MSRAT (Microsoft Security Assessment Tool)

9/28/2007 Global Risk Meeting 2007 15

Compliance, Investigation

DRM

Security Templates

Common Criteria EAL 4+

Banner de Logon

Proteção de Logs

9/28/2007 Global Risk Meeting 2007 16

Operations Security

MOF

Privilégio Mínimo (Permissões Granulares)

Privilégio Mínimo (Security Policies)

Controle de Pais

Patch Management (WSUS)

Registro de motivo para “Shutdown”

MSF e MOF

9/28/2007 Global Risk Meeting 2007 17

9/28/2007 Global Risk Meeting 2007 18

Privilégio Mínimo

Recriação de Serviços

Serviços são alvos atrativos para malwares

Executam sem interação do usuário

Muitas vulnerabilidades em serviços

Muitos serviços executam como “System”

Worms que atacaram serviços

Sasser, Blaster, CodeRed, Slammer, etc…

Dos 34 serviços executadfos como LocalSystem no XP SP2,

apenas 7 serviços continuam como LocalSystem no Vista

9/28/2007 Global Risk Meeting 2007 20

Privilégio Mínimo

Memory

Se possível, remove a conta LocalSystem do serviço

Se ele não realiza operações privilegiadas

Faz mudanças na ACL para chaves de registro e acesso objetos

Senão, divide em duas partes

O Serviço principal e outros que realizam operações privilegiadas

Autentica a chamada entre eles

Serviço PrincipalExecutado como LocalService

PrivilegiadoLocalSystem

9/28/2007 Global Risk Meeting 2007 21

Architecture

Process Isolation

Protection Rings

Secure Kernel – Protegido (Patch Guard)

Secure Kernel – Mediar todos acessos

Modelo Biba (Mandatory Integrity Control) – IE 7

Virtual Machines

Windows Hypervisor (Reference Monitor)

Orange Book (C2)

Common Criteria EAL 4+

9/28/2007 Global Risk Meeting 2007 22

Integridade de Código

Valida a integridade de cada imagem binária

Checa hashes para cada página quando são carregadas

Também checa qualquer imagem sendo carregada por

um processo protegido

Implementado como um driver de sistema de arquivo

Hashes guardados no catálogo do sistema ou em um

certificado X.509 incluso no arquivo

Valida a integridade do processo de boot

Checa o kernel, a HAL, drives de inicialização

Se a validação falha, a imagem não carregará

Assinatura de Código

Computação confiável depende do kernel

Windows Vista identifica estado do Kernel

Kernel segura carrega apenas binários asinados

Reduz vulnerabilidades por binários desconhecidos

Kernel identificável cria novo cenário

Endereça crescimento de ataques de rootkit

Aumenta confiabilidade identificando fornecedores de

software de kernel

9/28/2007 Global Risk Meeting 2007 24

Assinatura de Código

Aplicação do S.O.

Aplicação não assinadaAplicação assinada

9/28/2007 Global Risk Meeting 2007 25

Network Security

NAP

RAS, RRAS (VPN), Quarentena

IPSec

Personal Firewall, NAT

DNS

RAID (0,1,5)

VPN SSL (Longhorn)

Proxy / Statefull Firewall (ISA Server)

Network Access Protection

9/28/2007 Global Risk Meeting 2007 26

Fora de conformidade

1

Rede Restrita

Cliente requesita acesso à rede e apresenta estadoatual de saúde

1

4Se não estiver em conformidade o cliente é encaminhadopara uma VLAN onde tem acesso a recursos comopatches, políticas, etc. Repete 1-4

2DHCP, VPN or Switch/Router encaminha estado de saúdepara o Microsoft Network Policy Server (RADIUS)

Microsoft NPS

3

Policy Servers

Ex:, Patch, AV

EmConformidade

DHCP, VPNSwitch/Router

3Network Policy Server (NPS) valida com políticas de saúdedefinidas pela área de TI

2

ClienteWindows

Servidores de atualizaçào

Ex: Patch

Rede Corporativa5

4

Se estiver em conformidade o cliente ganha acesso total à redecorporativa.

5

9/28/2007 Global Risk Meeting 2007 27

O Que falta então?

O que faltou?

9/28/2007 Global Risk Meeting 2007 28

Comunicar com as pessoas!

9/28/2007 Global Risk Meeting 2007 29

Common Criteria

EAL 4+ (Comunicação)

E… As pessoas

“Apenas duas coisas são infinitas: o universo e a estupidez humana,

e eu não tenho certeza sobre o primeiro”. Albert Einstein

Treinamento de usuários

http://www.microsoft.com/brasil/athome/security/videos/default.mspx

• Visão geral de Segurança

• Lidando com spams

• Protegendo se de spywares

•Protegendo sua privacidade online

• Utilizando grupos de notícias online

• Defendendod-se contra vírus e worms

• Mantendo seu computador atualizado

• Ensinando seus filhos sobre segurança online

• O que você deve saber sobre esquemas de phishing

Technet e MSDN

Academia de segurança: iniciativa que

recebeu o prêmio Secmaster 2005, nos júris

popular e acadêmico. Conteúdo focado em

análise de risco e ISO 17799:2005

Iniciativas de Segurança

Technet Experience

Grupo de estudos CISSP

Parceria com ISSA e ISACA

Parceria com players de segurança

Pesquisa de satisfação

O Conteúdo da academia é útil para meu

trabalho?

Tecnologia: Tão forte como

seu elo mais fraco

Tecnologia não é todo o problema e também

não é a solução completa

Segurança de sistemas dependem de

tecnologia, processos e pessoas.

9/28/2007 Global Risk Meeting 2007 35

9/28/2007 Global Risk Meeting 2007 36

Perguntas ??