Alfredo Santos

Dicas para se tornar um profissional de segurança de TI

2011-09-11T12:35:00.000-03:00

Realize muitas pesquisas pois é um campo sempre cheio de novidades
Conheça de tudo um pouco - Arquitetura de sistemas, banco de dados, programação e infraestrutura
Pesquise sobre metodologia de Pentest (Penetration testing) e Análise de vulnerabilidade
Cuidado com cursos de segurança que não possuam histórico de reputação, existe muita fraude no mercado
Busque certificações relacionadas a segurança como Cisco Certified Security Professional ou Certified Ethical Hacker (C|EH)
Acompanhe eventos de segurança
Participe ou crie grupos de profissionais para troca de conhecimento

Gestão de acesso - Organizando a casa

2011-07-14T22:42:00.000-03:00

Uma empresa possui diversos sistemas que ao longo do tempo acumulam acessos. Estes acessos mal gerenciados acabam ficando ativos, porque as pessoas deixam as empresas mas seus usuários não são inativados.

Se você não tem possibilidade de implantar uma solução de gerenciamento de identidades deve começar organizando os processos e criando uma base de controle.

Esta base permitirá que ao desligar uma pessoa, você consiga obter todos acessos que a mesma possui e também no caso de uma auditoria responder rapidamente.

A manutenção desta base deve ser incluida nos fluxos de concessão e remoção de acesso.

A sugestão é que nesta base inclua a Matricula, CPF, Nome, Acessos dos usuários e os respectivos status.

Finalizando, com uma base desta, é possivel monitorar e descobrir concessões indevidas de acesso a sistemas.

Exemplo: Política de acesso remoto a rede

2011-07-05T08:52:00.000-03:00

Segue um trecho de sugestão de política de acesso a rede corporativa:

Acesso via VPN pessoal

Acesso a VPN será permitido para colaboradores que possuírem notebook corporativo da XXXX.

Não será permitido o uso de VPN pessoal por prestadores de serviço, exceto situações de suporte de sistemas, previamente autorizadas pelo Diretor de TI.

Acesso via VPN corporativo

O acesso a VPN de forma corporativa onde um parceiro de negócios acessa a rede da XXX será apenas para situações onde existirá um contrato de prestação de serviços com termo de confidencialidade.

Todos os parceiros de negócio deverão passar por uma vistoria de segurança da informação e TI.

Não será permitido estabelecer uma comunicação VPN para fins de configuração de ambientes e outras atividades pontuais.

Exemplo: Política de acesso a Internet

2011-06-27T15:27:00.000-03:00

Segue um trecho de sugestão de política de acesso a internet corporativa:

Utilização da internet

A internet deve ser utilizada, exclusivamente, para fins corporativos. O uso pessoal deve ser moderado e de forma breve (essa prática é recomendada apenas fora do horário comercial).

A empresa poderá, sem aviso prévio, restringir o acesso a qualquer site que apresente conteúdo impróprio, ou que não esteja relacionado aos seus interesses, por exemplo:

•    Pornográfico ou pedófilo.

•    Apologia a racismo e/ou terrorismo.

•    Apologia ao crime ou a drogas.

•    Download de programas ou arquivos fora dos interesses da empresa.

•    Hackers.

•    Salas de bate-papo fora dos interesses da empresa, incluindo programas de comunicação instantânea e redes sociais, por exemplo, Orkut, MSN Messenger, Skype, Yahoo! Messenger etc.

•    Comércio eletrônico fora dos interesses da empresa.

•    Jogos, incluindo jogos de azar.

Serão estabelecidos perfis de acesso a internet baseado em cargo e/ou departamento, estes divulgados junto ao procedimento de solicitação de acesso. Qualquer exceção de acesso dependerá de justificava aceita por Segurança da Informação e aceite por escrito do Diretor correspondente.

Alterações em perfis de acesso existentes dependerão de aceite do departamento de recursos humanos (que validará a relação do acesso a cargos e responsabilidades das áreas), segurança da informação e diretor correspondente.

Acessar a Internet para alterar ou destruir recursos computacionais de outras instituições. Se a partir de uma conta, um usuário interno da Empresa estiver, de qualquer maneira, interferindo nos recursos computacionais de outras instituições a conta de acesso será bloqueada para auditoria. O caso será levado às áreas responsáveis para devidas providências.

A utilização da internet é constantemente monitorada, sendo este monitoramento realizado de forma aleatória e impessoal.

A utilização indevida da internet poderá ser relatada ao seu superior imediato, à área de Segurança da Informação e à diretoria, podendo sanções cabíveis ser aplicadas.

DRP & Cloudcomputing

2011-06-20T20:23:00.001-03:00

DRP - Disaster Recovery Plan é um plano para que uma empresa sobreviva a um desastre tecnologico restabelecendo suas atividades com o menor impacto possível para o negócio.

Como usar o Cloud computing para viabilizar isso de forma rápida?

Deixe seus dados fora de applications servers, procure sincronização de banco de dados. Arquivos também devem ser armazenados externamente.

Replique seus arquivos estáticos (php, etc) usando websync.

Livro recomendado

2011-05-30T21:40:00.000-03:00

Em relação ao meu post anterior, recomendo este livro:

Escreva Seu Livro
Autor: BACELLAR, LAURA
Editora: MERCURYO-
Assunto: COMUNICAÇÃO - EDITORAÇÃO
Clique aqui

Devo escrever um livro?

2011-05-30T21:28:00.001-03:00

Essa é uma pergunta que depende de uma certa análise... vamos lá, qual é o objetivo do livro para você? Dinheiro? Fama? Compartilhar conhecimento e ajudar as pessoas? Melhorar seu curriculo?

Dificilmente a pessoa emplacará um livro com grandes vendas que traga dinheiro e fama. É um mercado muito concorrido onde não é só sua capacidade que faz a diferença. Depende muito de sorte para que seu livro chame a atenção de uma editora grande e vire uma realidade.

Agora se para você é gratificante ajudar outras pessoas, não tenho o que falar, vá em frente. Meus livros por exemplo não tem um volume grande de vendas mas são vendas com qualidade. O mais gratificante para mim é receber um email de um aluno de alguma faculdade no Brasil usando meu livro no TCC.

Fora isso, profissionalmente agrega e muito.

Como dica, use a internet para muita pesquisa, e que pesquisa? Pesquise sobre a lógica do mercado editorial. Busque no começo uma editora menor. Escreva antes o primeiro capítulo e organize o indice. Tente lançar seu livro em um local interessante (chore bastante para conseguir). Se pensa em um romance, pesquise sobre a Jornada do Herói para ter uma referencia e boa sorte.

Abro o canal de comunicação para ajudar no que for possível com dicas e experiência.

Abraço

Como implementar e manter perfis de usuários corporativos?

2011-05-18T09:00:00.000-03:00

Estabeleça um processo:

Desenvolva ou atualize uma visão RBAC para a empresa, divulgue suas ações
Levantamento de requisitos baseados em entrevistas com executivos e lideres de negócio
Levantamento junto a aplicações e seus proprietários
Mineração de perfis junto aos dados existentes nas aplicações
Adequação dos perfis após a mineração
Certificação de perfis para garantir a qualidade do mesmo
Certificação de usuários para garantir (pelos gestores) que seus subordinados possuem os acessos corretos

Onde focar seu projeto visando um grande retorno imediato:

Áreas com grande rotatividade
Áreas com funções padronizadas
Organizações adquiridas recentemente

Microsoft Security Development Lifecycle

2011-05-17T23:51:00.000-03:00

Referência de desenvolvimento de software seguro:

http://www.microsoft.com/security/sdl/default.aspx

8 Passos para uma implementação de DLP com sucesso

2011-05-10T13:16:00.001-03:00

8 Passos para uma implementação de DLP com sucesso:

Identificar todo o time a ser envolvido no processo de DLP
Desenvolver um processo de notificação de vazamento de informação
Corrija processos de negócio que possam auxiliar uma brecha de informação, como por exemplo transferência de dados de forma automática
Organize junto ao RH um processo para tratar quem está vazando informação na empresa
Estabeleça o time de gestão de incidentes e os fluxos
Estabeleça SLAs para resolução dos incidentes
Estabeleça o modelo de report gerencial e automatize o mesmo
Implemente por estágios o processo começando por um ambiente e em modo de monitoração

Jornal de arquitetura - Microsoft

2011-05-10T09:00:00.000-03:00

Muito material de referência:

http://msdn.microsoft.com/pt-br/architecture/aa699358

Academia de arquitetura - Microsoft

2011-05-09T09:00:00.001-03:00

Ponto de partida na área de arquitetura:

http://msdn.microsoft.com/pt-br/dd366112

FreeIPA - Controle de Identidades Unix e Linux

2011-05-08T16:06:00.000-03:00

Solução OpenSource para gestão de identidades no unix e linux

http://www.freeipa.org/

COMUNICAÇÃO - AUTENTICAÇÃO DE SERVIÇOS

2011-05-06T10:08:00.001-03:00

Completando a questão de comunicação, além de identificarmos a origem por meio de seu endereço IP, para alguns casos devemos incluir uma autenticação de serviço.

Por exemplo, você disponibiliza um serviço TCP que realiza uma transação financeira, e o mesmo reside na maquina X. A maquina X confia na maquina Y para conexão, mas alguém “ganhou” acesso a maquina Y e pode conectar neste serviço. Se este serviço não pedir um controle de autenticação (Por exemplo por usuário e senha), o serviço pode ser acionado por qualquer um.

Exemplos de serviços padrão de mercado que pedem autenticação:

FTP
SFTP
SCP
LDAP
JDBC

Exemplos de casos que você deve implementar uma autenticação:

Webservices
Socket TCP

Meus livros no GoogleBooks

2011-05-05T20:15:00.000-03:00

Gerenciamento de Identidades:
http://books.google.com.br/books?hl=pt-BR&lr=&id=ACFU300zVGUC&oi=fnd&pg=PA1&dq=Gerenciamento+de+identidades&ots=-xjtlVB9C7&sig=Ckv8BoOhVIi_cMaVfbHIAbse0UQ#v=onepage&q&f=false

Quem mexeu no meu sistema?
http://books.google.com.br/books?id=ndgRZ0notxgC&printsec=frontcover&source=gbs_ge_summary_r&cad=0#v=onepage&q&f=false

Integração de sistemas com java:
http://books.google.com.br/books?id=lcKAFDjGEaoC&printsec=frontcover&source=gbs_ge_summary_r&cad=0#v=onepage&q&f=false

BSIMM2

2011-05-05T17:36:00.001-03:00

Precisa de um guia de boas práticas de processo de desenvolvimento de software seguro?

BSIMM2 é a pedida certa: http://bsimm.com/

COMUNICAÇÃO - CONTROLE DE ORIGEM E DESTINO

2011-05-05T09:05:00.002-03:00

Controle de origem e destino baseia-se em identificar quem esta conectando e se esta autorizado a fazer isso.

A origem neste caso pode ser um usuário de aplicativo ou um módulo de um aplicativo.

Exemplos:

Um usuário com um browser em relação a um Web Server ou Proxy Server
Um Proxy Server em relação a um Web Server
Um Web Server em relação a um Application Server

Devemos considerar por exemplo, que um Application Server não pode receber conexões diretamente de usuários finais, ou seja, só pode receber conexões de um Web Server determinado.

E como determinar a origem? Normalmente pelo seu endereço IP, então nos casos acima, só conecta no Web Server os Proxies com Ips pré-cadastrados, o mesmo vale para os Web Servers em relação ao Application Server.

Fechando este ponto, toda conectividade entre servidores deve gerar log, visando a rastreabilidade de eventos.

Segurança em Cloud Computing

2011-05-04T20:43:00.000-03:00

Segue abaixo os principais pontos de atenção quando se pensa em Cloud Computing (Detalharei no futuro os mesmos):

Monitorar o acesso administrativo - Garantir atividades administrativas indevidas
Implementar uma solução de DLP - Para não permitir o vazamento de informação em si
Implementar uma solução de controle de acesso a Banco de Dados - Objetivando não permitir manipulações indevidas de dados de produção dentro da nuvem
IAM - Controle de acesso em todo ambiente
Web application firewalls
Distributed denial-of-service protection
Datacenter com certificação SAS70 (http://sas70.com/sas70_faqs.html)
Encriptação de dados
Solicitar relatórios periódicos de Pen Test feitos por empresas terceiras

Planejando um acesso WiFi corporativo

2011-05-04T15:38:00.000-03:00

Planejando um acesso WiFi corporativo

Diversos aspectos devem ser observados no planejamento de uma rede de WiFi corporativo, vamos analisar cada um deles:

Tipos de rede

O primeiro ponto a ser analisado é o objetivo da rede. A rede WiFi é para fins de trabalho no dia a dia, acesso de desenvolvedores terceiros, hotspot de convidados?
Poderá inclusive existir uma condição mista, onde determinada situação use um meio com mais ou menos restrições.
Seguem alguns cenários:

Funcionário com notebook acessando ERP
Funcionário com tablet acessando a internet e email
Terceiro acessando o ambiente de desenvolvimento
Convidado acessando a internet

Basicamente deverão ser mapeadas as condições, topologia de rede para cada caso e os controles.

Um usuário que acessa como convidado deve ter no minimo criptografia na comunicação e pode ou não ter sua navegação web analisada.

Autenticação

Dependendo do cenário, a autenticação é necessária e poderá ser integrada a base de usuários de rede existente, garantindo um mesmo usuário e senha já comum para o usuário final. Este é um cenário recomendado para navegação web e emails a partir de tablets de funcionários.
Casos mais críticos podem exigir uma autenticação com certificado digital, este de posse física em um equipamento usb.

Reputação

Controle de reputação consiste em identificar se o equipamento está autorizado a acessar determinada rede. Estes controles analisam se um notebook por exemplo, tem o antivirus correto, entre outros controles. Modelo recomendado para acesso a sistemas corporativos como um ERP.

Antenas piratas

Equipamentos profissionais de WiFi corporativo possuem funcionalidades de identificação de antenas wifi piratas, o que garante uma não proliferação de meios de acesso irregulares.

COMUNICAÇÃO SEGURA E INSEGURA

2011-05-04T12:05:00.001-03:00

Considerando a comunicação de dados entre sistemas e módulos, existem diversas opções, sendo que muitas são consideradas seguras e muitas inseguras.

A implementação/implantação de aplicativos novos exigiria meios de comunicação seguros, mas como tudo tem um custo, vale sempre uma análise mais detalhada.

Vamos considerar que seu aplicativo estará publicado na internet. Ele transmite informações confidenciais? Vamos considerar que não trafegue informações confidenciais, você poderia disponibilizar uma conexão insegura e deixaria de arcar com a emissão de certificados digitais e a redução de performance para manter a criptografia das informações.

Agora mesmo que a maioria das informações não seja confidencial, caso o site utilize autenticação, você estará trafegando sua senha de forma insegura pela internet.

Outro caso seria a transmissão de arquivos, onde o FTP é amplamente utilizado. Diversos departamentos de uma empresa precisam receber arquivos de fornecedores externos e clientes, então neste caso SFTP seria uma opção interessante.

Agora considerando que os arquivos chegam protegidos, até um repositório interno, quem garante a segurança deste repositório?

Neste ponto sugiram soluções de caixa postal para transferencia de arquivos, onde além de transmitir com segurança, o mesmo é entregue apenas para a pessoa correta.

A seguir, exemplos de protocolos seguros e inseguros e uma abordagem de como mesclar as soluções.

Exemplos de protocolos de comunicações inseguras:

HTTP
FTP
TELNET
LDAP
JDBC

Exemplos de protocolos de comunicações seguras:

HTTPS
SFTP
SCP
SSH
LDAPS

Exemplo de uma abordagem mesclando soluções seguras e inseguras:

Explicando:

Usuário na internet realize uma conexão segura (HTTPS) com um servidor de Proxy dentro de uma DMZ.

A partir do servidor de Proxy, como o tráfego já esta limitado a DMZ, o dado passa a trafegar de forma insegura, pois para interceptar o mesmo, seria apenas com um equipamento conectado a esta rede DMZ.

Isso faz com que não o usuário final não seja onerado em relação a performance e diminui a manutenção nos servidores internos em relação a segurança.

Auditoria de eventos

2011-05-04T11:03:00.001-03:00

Auditoria de eventos

O objetivo deste artigo é apresentar uma visão geral de auditoria de eventos (log management).

Auditoria de eventos consiste em coletar registros de fatos ocorridos em recursos de informática, como por exemplo aplicativos.

O processo de auditoria ocorre normalmente por meio de aplicações ou agentes de auditoria enviando eventos para bancos de dados ou servidores de auditoria.

O que auditar?

Todo processo de identificação para entrada e saida de um sistema deve ser auditado, considerando os seguintes dados:

Endereço IP de origem
Maquina utilizada na origem
Identificação unica de usuário
Data e Hora de entrada na aplicação
Data e Hora de saida da aplicação
Identificador de sessão do usuário

Exemplo de evento:

IDEvento	IP	Maquina	IDOrigem	IDAlvo	DataHora	Sessão	Descricao
501	127.0.0.1	XPTO1	USER01	USER01	01012008170000	1234556	Logon com sucesso

Eventos de administração de usuários, devem ser auditados, incluindo o usuário que está administrando (IDOrigem), exemplos:

Usuário criado
Senha de usuário trocada
Usuário bloqueado
Usuário desbloqueado

Exemplo de evento:

IDEvento	IP	Maquina	IDOrigem	IDAlvo	DataHora	Sessão	Descricao
508	127.0.0.1	XPTO1	ADM01	USER01	01012008170000	1234556	Criado com sucesso

Eventos transacionais também devem ser auditados para identificar por exemplo, que usuário realizou uma determinada venda, ou concedeu um crédito.

Exemplos de eventos transacionais:

IDEvento	IP	Maquina	IDOrigem	Alvo	DataHora	Sessão	Descricao
602	127.0.0.1	XPTO1	USER01	Modulo01	01012008170000	1234556	Concedido credito para o CPF 000000001
602	127.0.0.1	XPTO1	USER01	Modulo01	01012008170000	1234556	Concedido credito para o CPF 000000002
603	127.0.0.1	XPTO1	USER01	Modulo02	01012008170000	1234556	Venda produto XPTO para o CPF 000000001

Todo registro de auditoria deve possuir um identificador unico por tipo de evento(IDEvento), exemplos:

501 – Logon com sucesso
502 – Tentativa de logon sem sucesso
503 – Logoff do sistema
504 – Usuário bloqueado

IDEvento	IP	Maquina	IDOrigem	IDAlvo	DataHora	Sessão	Descricao
501	127.0.0.1	XPTO1	USER01	USER01	01012008170000	1234556	Logon com sucesso
503	127.0.0.1	XPTO1	USER01	USER01	01012008170000	1234556	Logoff do sistema

Niveis de auditoria

Um aplicativo pode possuir diversos níveis de auditoria, normalmente configuraveis. A idéia disso é que, em momentos que um sistema precisa de maior performance, a auditoria seja baixada para um nível menos rigoroso, ou seja, registrando menos eventos.

Exemplo de tabela de nível de auditoria:

Nível de auditoria	ID Evento
1	501
1	503
2	518
3	520

No exemplo acima, nível 1 registraria os eventos 501 e 503 e o nivel 3 registraria os eventos 501,503,518 e 520.

Não repudio

Os eventos registrados precisam ser controlados para que não ocorra o repudio às evidencias.

Usuários fraudadores estarão negando as ações auditadas e as empresas precisam de controles para evitar isso. Este tipo de controle é conhecido por “Controle de Não Repudio”.

Dois controles são aplicáveis neste caso:

Certificação de eventos
Sequenciamento de eventos

Certificação de eventos, consiste em certificar digitalmente cada registro gravado em banco de dados, para distinguir de inclusões diretas no banco de dados.

Sequenciamento de eventos consiste em numerar sequenciamente cada linha de evento para identificar se algum evento certificado foi apagado.

Exemplo de certificação de evento e sequenciamento:

ID Evento	Descricao	Certificado	Sequencia
501	Logon	dshdjhkjkllhlkçkçllk	1
501	Logon	Shglgoysdfoysodsho	2
518	Logout	uoisdyosdyuiguifgtf	3

Exemplos de bases de auditoria violadas:

1) Exemplo de inclusão de evento não autorizado diretamente na base:

ID Evento	Descricao	Certificado	Sequencia
501	Logon	dshdjhkjkllhlkçkçllk	1
502	Bloqueio
518	Logout	uoisdyosdyuiguifgtf	2

2) Exemplo de exclusão de evento(Sequencia 2):

ID Evento	Descricao	Certificado	Sequencia
501	Logon	dshdjhkjkllhlkçkçllk	1
502	Bloqueio	Shglgoysdfoysodsho	3
518	Logout	uoisdyosdyuiguifgtf	4

Logs de navegação - urls

Uma grande ferramenta para identificar brechas em aplicativos web, são os logs de navegação - urls.

Estes logs podem ser obtidos a partir de um Proxy Reverso com autenticação para identificar quem está navegando.

A partir do momento que você possui um registro da navegação dos usuários, você pode identificar comportamentos e entender como um atacante invade o sistema.

Exemplo de log de navegação:

ID Evento	Descricao	ID Alvo	URL
701	Navegacao	USER01	http://www.meusite.com.br/index.jsp
701	Navegacao	USER01	http://www.meusite.com.br/login.jsp
701	Navegacao	USER01	http://www.meusite.com.br/menu.jsp
701	Navegacao	USER01	http://www.meusite.com.br/ativar.jsp

Pelo log acima, você pode identificar um comportamento normal.

Index.jsp – Pagina de logon

Menu.jsp – Pagina com os menus do usuário

Ativar.jsp – Um dos itens do menu

Exemplo de log de navegação suspeito:

ID Evento	Descricao	ID Alvo	URL
701	Navegacao	USER01	http://www.meusite.com.br/index.jsp
701	Navegacao	USER01	http://www.meusite.com.br/login.jsp
701	Navegacao	USER01	http://www.meusite.com.br/menu.jsp
701	Navegacao	USER01	http://www.meusite.com.br/login.jsp
701	Navegacao	USER01	http://www.meusite.com.br/ativar.jsp

Pelo log acima, você pode identificar um comportamento anormal. Porque o usuário após ver o menu, chamou a página de processar logon novamente? Estaria o usuário tentando trocar o logon no aplicativo para fraudar?

Análise de eventos

Análise de eventos consiste em após um incidente (ataque, fraude, etc), o administrador iniciar uma investigação nos dados de auditoria.

Alguns pontos de atenção iniciais a serem validados:

Base de dados foi violada com inclusão/alteração (Ver certificação de eventos)
Base de dados foi violada com exclusão (Ver sequenciamento de eventos)

Após isso, analisar os eventos basicos de auditoria para identificar os incidentes.

Após identificar os incidentes, verificar o usuário que realizou os eventos.

Sendo uma suspeita de ataque, analisar os logs de navegação para identificar comportamentos estranhos.

Alertas

Sistemas de auditoria podem ser configurados para executar alertas, baseados em condições de eventos.

Estes tipos de alertas podem ser:

Aviso em painel de monitoramento
Envio de email
Envio de SMS
Ligação telefonica

Exemplos de condições de eventos:

Venda do produto X após as 23:00 horas
Concessão de crédito para pessoa em lista negra de crédito
Logon fora de horário padrão

Correlação de dados

Correlação de dados corresponde ao cruzamento de informações de auditoria e logs diversos, de forma online ou não.

Desenho de uma solução de correlação:

O objetivo de correlacionar dados é identificar pontos de falha em um processo, fraudes, entre outros problemas.

Um exemplo simples, é a venda, onde por exemplo, quatro sistemas seriam envolvidos na transação, de forma independente:

Consulta de crédito no mercado
Ferramenta de análise de crédito por comportamento/caracteristicas
Concessão efetiva do crédito
Liberação do produto

Considerando uma eventual fraude, os dois primeiros passos poderiam ser ignorados, indo diretamente para a concessão do crédito.

Com uma ferramenta de correlação de dados, seria levantado um alerta que ocorreu uma concessão de crédito sem a devida análise de crédito.

Exemplo de logs correlacionáveis:

Análise de crédito:

ID Evento	Descricao	CPF	Resultado
705	Análise	00001	OK
705	Análise	00006	OK
705	Análise	00003	NOK
705	Análise	00008	OK

Concessão de crédito:

ID Evento	Descricao	CPF	Resultado
708	Concessão	00002	OK
708	Concessão	00001	OK
708	Concessão	00003	NOK
708	Concessão	00006	OK
708	Concessão	00007	OK

Efetivação de venda:

ID Evento	Descricao	CPF	Resultado
809	Venda produto X	00002	OK
809	Venda produto Y	00001	OK
809	Venda produto X	00003	NOK
809	Venda produto Y	00006	OK
809	Venda produto X	00007	OK

Pela correlação de eventos acima, podemos constatar que o CPF 00001 teve análise de crédito, concessão de crédito e efetivação de venda ok. Por outro lado, o CPF 00002, conseguiu comprar sem análise de crédito(Podendo ser uma eventual fraude).

Guia de certificações de segurança

2011-05-03T21:26:00.003-03:00

Link interessante referente a certificações voltadas a segurança:

http://searchsecurity.techtarget.com/tip/Guide-to-vendor-specific-information-security-certifications

Boas práticas de segurança em tablets

2011-05-03T20:15:00.001-03:00

Tablets são equipamentos que podem trazer produtividade para as empresas mas junto com sua mobilidade trazem riscos atrelados a perda de dados.

A seguir recomendo algumas funcionalidades/pontos de atenção a serem implementados:

Autenticação - Habilitar a autenticação com um pin
Funcionalidades de perda/roubo - Quando disponível, habilitar bloqueio remoto, localização e wipe de disco (Exclusão sem reversão de dados do disco)
Autorização - Funcionalidades de autorização de acesso a aplicativos em específico, implementação de padrões corporativos de acesso
Antivirus e Antimalware - Estes adquiridos de terceiros
Tráfego - Conexão apenas a redes seguras
Proteção de dados - Encriptação de dados nos equipamentos
Gerenciamento de equipamentos - Quando em uso corporativo podem ser habilitadas funcionalidades de gerenciamento centralizado

Asgard Test and Monitoring Tool

2011-05-03T15:04:00.001-03:00

Asgard Test and Monitoring Tool - Está no Sourceforge pessoal. Fonte disponível para download:

http://sourceforge.net/projects/asgardtestmon/

Cloud Security Alliance

2011-05-03T14:42:00.001-03:00

Sem referências para segurança em CloudComputing? Precisa conhecer o site da Cloud Security Alliance: https://cloudsecurityalliance.org/

Open Security Architecture

2011-05-03T14:19:00.002-03:00

Busca uma referência para a elaboração de uma arquitetura de segurança corporativa, a OSA (Open Security Architecture) é uma boa pedida.

http://www.opensecurityarchitecture.org/cms/index.php

Cursos de PHP e CMS gratuitos

2009-04-21T22:57:00.001-03:00

http://cursos.ribafs.org/

RSA BSAFE EncryptionToolkits now free

2009-04-21T22:50:00.001-03:00

http://www.net-security.org/secworld.php?id=7345

Abrigo Digital

2009-03-09T14:53:00.001-03:00

Prezados,

Gostaria de indicar o Blog do Fábio Sales, excelente profissional de segurança em TI.

http://www.abrigodigital.com.br/

[]s

A NATA DOS PROFISSIONAIS DE SEGURANÇA DA INFORMAÇÃO 2008

2008-11-29T22:10:00.000-02:00

Alfredo Luiz dos Santos Jr
Recebe o premio de Claudio Bannwart da Compugraf a sua direita

Multifator de autenticação

2008-11-29T22:06:00.001-02:00

Vejam meu artigo publicado:
http://www.ti-intelligence.com.br/detailNoticias.asp?id=132&idG=2

Preparando sua empresa para Gestão de Identidades

2008-11-29T21:49:00.002-02:00

Neste artigo, trago boas práticas para o momento de implantação de Gestão de Identidades na sua empresa.

Você está adquirindo uma solução de Gerenciamento de Identidades e vai começar a implantação, mas seu ambiente está pronto para isso?

Todos os usuários ativos deveriam estar ativos?
Os servidores estão com as bases de usuários pulverizadas?
Quantas bases de usuários você possui?
Como você vai controlar se o cadastro de usuários esta sendo feito apenas pelo sistema de Gerenciamento de Identidade?

Muitas perguntas, então vamos quebrar em itens solucionadores e explorar cada um:

Geração de ID único
Limpeza de dados
Análise e Centralização de bases de usuários de rede
Análise e Centralização de bases de outros aplicativos
Consolidação de autenticação de aplicativos web
Reconciliação
Revalidação de sincronismo de Identidades

1º Passo: Geração de ID único

A composição do ID de um usuário, é um dos itens mais importantes no Gerenciamento de Identidades, pois em sistemas legados poderemos encontrar conflitos de IDs, pessoas homônimas, etc.

Um modelo muito difundido de criação de ID, é a composição da primeira letra do primeiro nome, mais sobrenome, onde, por exemplo, Alfredo Santos viraria asantos.

O problema desta técnica é que em um sistema pode existir o Alfredo Santos como asantos e em outro sistema o Andre Santos como asantos. No momento de integrar as identidades teríamos problemas.

Outra técnica não apropriada é a criação do ID baseada em um código falante. Código falante seria quando o ID é composto de informação que seria utilizada por outros sistemas.

Exemplo: 011234

Neste exemplo, 01 é referente à localidade do usuário e 1234 é a matricula do usuário no sistema de RH.

A partir do momento que 01 informa a localidade, a tendência é que a empresa comece a utilizar isso em sistemas, para diversos fins, incluindo a emissão de relatórios.

Considerando isso, quando o usuário 011234 muda de localidade, o ID acaba permanecendo o mesmo e isso impacta os sistemas baseados no prefixo do ID.

A recomendação para criação das identidades, é utilizar o número de matricula no RH (normalmente um sequencial), incrementando com um prefixo não falante. Exemplos:

9000001
9000050
9001234

2º Passo: Limpeza de dados

Após a conversão dos IDs para um modelo único, o próximo passo é a Limpeza de dados.

A Limpeza de dados consiste em identificar que usuários estão ativos sem necessidade e bloquear (excluir quando possível).

Uma técnica para isso é analisar logs de acesso, visando identificar quem não utiliza o sistema a X meses.

3º Passo: Análise e Centralização de bases de usuários de rede

Após a limpeza de dados, é necessária uma avaliação de como esta sua autenticação de rede.
Cada localidade tem seus servidores com bases independentes?

A idéia neste momento é unificar as bases (agora que você não tem mais conflitos de IDs) para que seu sistema de Gerenciamento de Identidades converse apenas com um ponto.

Este processo de centralização é simples, e não afetaria o tempo de autenticação dos usuários. Os mesmos autenticariam contra uma base local (Normalmente uma base LDAP) que mantém sincronismo com as demais bases. Neste modelo, o Gerenciamento de Identidades se comunicaria com um dos servidores desta base, visando manter as atualizações e este servidor se encarregaria de replicar as alterações entre todas as localidades.

4º Passo: Análise e Centralização de bases de usuários de outros aplicativos

Em paralelo com o item anterior, deve-se trabalhar na centralização de outras bases que não são as de rede.
Bases que não são as principais de autenticação de rede são as de autenticação de usuários em outros sistemas, por exemplo, DBAs, usuários de ERP, etc.

Alguns exemplos de centralização sugerida:

Bases Oracle com OID (Oracle Internet Directory)
SAP com CUA (Central User Administration)
Unix com LDAP (Lightweight Directory Access Protocol)

Com isto, seu sistema de Gerenciamento de Identidades pode conectar também com um ponto focal para cada ambiente, facilitando a administração.

5º Passo: Consolidação de autenticação de aplicativos web

Nesta etapa se faz necessária à análise e consolidação de base de autenticação de aplicativos web.

Diversos aplicativos possuem bases de autenticação, baseadas em banco de dados, que podem não ter todo rigor com o quesito segurança. Além disso, é inviável para os sistemas de gerenciamento de identidades, a gestão de centenas de bases de usuários.

O recomendado neste caso, é que a aplicação utilize o padrão LDAP para autenticação, isso permitiria entre outros pontos:

Fácil troca de tecnologia (Active Directory, eDirectory, iPlanet, OpenLdap, etc.).
Base centralizada com gestão centralizada
Padrão em desenvolvimento de software

6º Passo: Reconciliação

Tudo pronto, vamos implantar tecnicamente o produto de Gerenciamento de Identidades.

Nesta etapa temos duas abordagens:

Criação de identidades sob demanda
Reconciliação de identidades

Criação de identidades sob demanda

Nesta abordagem, as identidades não são criadas previamente no produto de Gerenciamento, sendo então, criadas no momento de criação ou modificação.

Segue um exemplo prático:

A identidade já existe no sistema de RH e no ERP.
Na próxima vez que for modificada, o Gerenciamento de Identidades dispara um evento.
O produto de G.I. identifica que a identidade não existe na sua base e cria a mesma.
Após isso ele tenta criar a identidade no ERP.
Identifica que já existe e estabelece um link
Realiza as alterações.

Reconciliação de identidades

Nesta abordagem, as identidades são criadas previamente por meio de um processo de reconciliação.

Segue um exemplo prático:

Sistema de reconciliação (Parte de um produto de G.I.) lê todos os usuários do RH baseados em uma condição especifica de consulta
Cria a partir desta consulta, as identidades no sistema de Gerenciamento de Identidades.
Consulta os usuários que estão no ERP e realiza os devidos Links

A partir deste ponto, uma alteração de usuário é identificada mais rapidamente que no modelo sob demanda.

7º Passo: Revalidação de sincronismo de Identidades

Ambiente em produção, identidades gerenciadas, administradores trabalhando nas bases conectadas... ops...administradores das bases conectadas!

Sim, continuaremos tendo administradores que poderão criar identidades diretamente nas bases, mas este é um assunto que precisa ser tratado e monitorado.

Você deve restringir dentro do que for possível, por meio de controle de acesso o trabalho dos administradores e monitorar as bases necessárias.

Existem soluções que em tempo de execução podem interceptar uma criação ou modificação de uma identidade e comparar com as demais bases, identificando se seguiu o processo corretamente. Também é possível criar uma solução mais simples que uma vez por dia compare as bases e identifique falhas. Esta solução seria exportar as bases e cruzar as mesmas utilizando um banco de dados.

Com isso fechamos os principais itens de preparação para a entrada do Gerenciamento de Identidades.

Outros locais vendendo meu livro

2008-11-09T16:04:00.000-02:00

Livros de Informática

Tempo Real

Saraiva

Siciliano

Meu livro novo está no submarino

2008-11-09T15:56:00.000-02:00

Clique aqui

GESTÂO DE IDENTIDADE: Implementando workflow em gerenciamento de identidades – 1 e 2

2008-09-20T16:47:00.002-03:00

Este artigo em duas partes, visa apresentar boas práticas na implementação de workflow em empresas, abordando desde quem pode pedir um acesso, até quem pode receber o acesso e como se darão as aprovações.Sistemas de workflow podem ser apresentados como extremamente flexíveis, mas isso pode ser ruim, porque os mesmos não trazem de “caixinha” as melhores implementações.

A idéia do artigo é indicar boas práticas que podem ser solicitadas em seus projetos.

Assuntos abordados:

Primeira parte:

1) Qualificação do solicitante e beneficiado

2) Workflows automáticos

• De criação

• De mudança de departamento ou cargo

Segunda parte:

1) Delegação

2) Escalação

3) Cockpit de monitoração

Workflow é a automação de processos de negócio, onde as atividades são passadas de um participante para o outro de acordo com um conjunto de regras definidadas.

Qualificação do solicitante e beneficiado

Qualificação de solicitante é a funcionalidade de identificar se um usuário que necessita solicitar um acesso via workflow, está qualificado para aquela determinada aplicação/recurso.

Exemplos simples:

• Usuário está qualificado para solicitar correio eletrônico?

• Usuário está qualificado para solicitar acesso ao módulo Y do ERP corporativo?

• Usuário está qualificado para solicitar acesso físico a matriz da companhia no segundo andar?

A qualificação pode ser feita baseada em um recurso, módulos ou em perfis de um recurso, onde um recurso seria o ERP da empresa, módulo poderia ser o financeiro e perfil seria o acesso a transação financeira X.

Pensando do lado do usuário, a qualificação pode ser feita diretamente e indiretamente a ele:

• O usuário 10001 pode solicitar ERP

• O usuário 10001 pode solicitar o módulo Finanças do sistema ERP

• O usuário 10001 pode solicitar o perfil X do módulo Finanças do sistema ERP

• Usuários do departamento de informática podem solicitar ERP

• Usuários do departamento de informática podem solicitar o perfil Y do módulo Finanças do sistema ERP

• Usuários da Matriz podem solicitar correio eletrônico

Em projetos de workflow, o mapeamento de qualificação pode ser gradual, seguindo esta ordem:

1. Localidade

2. Departamento

3. Usuário

Como parte da qualificação de solicitante, a definição da necessidade de aprovação das solicitações por usuários deve ser mapeada também.

Exemplos:

• O usuário 10001 pode solicitar ERP com uma aprovação, sendo seu gestor

• O usuário 10001 pode solicitar o módulo Finanças do sistema ERP sem aprovação

• O usuário 10001 pode solicitar o perfil X do módulo Finanças do sistema ERP com duas aprovações, sendo primeiro o seu gestor e depois o dono do perfil

• Usuários do departamento de informática podem solicitar ERP com um nível de aprovação

• Usuários do departamento de informática podem solicitar o perfil Y do módulo Finanças do sistema ERP com dois níveis de aprovação

• Usuários da Matriz podem solicitar correio eletrônico sem aprovação

Após estas etapas da qualificação, caso o usuário tenha permissão de solicitar, pode ser solicitado um questionário que vai ajudar na qualificação do pedido.

Digamos que o usuário solicite a criação de outro usuário na rede, o questionário poderia ser:

1. Qual é o nome do novo usuário ?

2. Qual é a localidade do novo usuário ?

3. Qual é o seu centro de custo ?

4. Qual é o departamento do novo usuário ?

Workflows automáticos

Criação

No momento de criação de um funcionário, o sistema de gerenciamento de identidades, pode para alguns aplicativos conceder automaticamente acessos, e para outros pode ser aberto automaticamente um fluxo de aprovação.

Mudança de departamento ou cargo

Quando um usuário muda de departamento ou cargo o sistema de gerenciamento de identidades pode submeter ao gestor novo do usuário, que valide com aprovação de workflow, quais acessos podem permanecer com o usuário. Isso visa atender normas de segurança, onde um usuário não mantém acessos indevidos.

Implementando workflow em gerenciamento de identidades – Segunda Parte

Nesta segunda parte do assunto Workflow, estamos detalhando boas práticas de delegação, escalação e monitoração.

Delegação

Delegação em workflow é o processo de um usuário entregar as tarefas de aprovação para outros usuários. Este processo pode ocorrer por 3 modos:

Delegação por aprovação

Delegação por aprovação é o processo onde um usuário pode escolher aprovações pendentes e encaminhar para um ou mais usuários aprovarem.

Aprovações pendentes para o usuário X	Aprovações delegadas para o usuário Y	Aprovações delegadas para o usuário Z
AP000001	AP000001	AP000001
AP000002	AP000002	AP000003
AP000003		AP000004
AP000004
AP000005

Delegação efetiva

Delegação efetiva é o processo onde um usuário pode escolher um ou mais delegados para aprovarem as suas solicitações

Delegação por fluxo

Delegação por fluxo é o processo onde um usuário pode escolher um ou mais delegados responsáveis por aprovarem todas as solicitações de um determinado fluxo:

Aprovações pendentes para o usuário X	Aprovações delegadas para o usuário Y	Aprovações delegadas para o usuário Z	Aprovações delegadas para o usuário W
AP000001 (Fluxo 1)	AP000001	AP000004	AP000001
AP000002 (Fluxo 1)	AP000002	AP000005	AP000002
AP000003 (Fluxo 1)	AP000003		AP000003
AP000004 (Fluxo 2)
AP000005 (Fluxo 2)

Delegação geral

Delegação efetiva é o processo onde um usuário pode escolher um ou mais delegados para aprovarem todas as suas solicitações:

Aprovações pendentes para o usuário X	Aprovações delegadas para o usuário Y	Aprovações delegadas para o usuário Z
AP000001	AP000001	AP000001
AP000002	AP000002	AP000002
AP000003	AP000003	AP000003
AP000004	AP000004	AP000004
AP000005	AP000005	AP000005

Delegação pelo administrador

Delegação pelo administrador é o processo onde o administrador do gerenciamento de identidade pode encaminhar aprovações de forma temporária ou definitiva para outro usuário. Esta funcionalidade é muito requerida em casos de demissão e férias de funcionários.

Delegação hierárquica

Delegação hierárquica é a abertura de possibilidade de um gestor aprovar itens pendentes de um subordinado.

Escalação

Escalação é a funcionalidade onde uma aprovação parada por X horas em um usuário, é encaminhada para o gestor aprovar. Um parâmetro para esta funcionalidade é quantas vezes vai escalar e se é cancelada automaticamente após expirar no ultimo usuário.

Cockpit de monitoração

Cockpit é o painel de controle de workflows em gerenciamento de identidade.

Consiste de uma tabela com todos os fluxos, mostrando um indicador único e o estado atual.

ID	Solicitante	Passo	Próximo aprovador	Status
1	Alfredo	Gestor	Antonio	Aberto
2	Alfredo	Dono da aplicação	José	Fechado
3	Antonio	Gestor	Antonio	Aberto
4	Alfredo	Gestor	Antonio	Aberto
5	Antonio	Executor	Manoel	Aberto

Para compor o cockpit, pode ser informado também uma tela de detalhes de um fluxo:

ID: 1

Solicitante: Alfredo

Passo atual: Gestor

Status: Aberto

Próximo aprovador: Antonio

Passos:

Passo	Próximo aprovador	Status
Primeiro aprovador	Manoel	OK
Segundo Aprovador	José	OK
Gestor	Antonio	OK

GERENCIAMENTO DE IDENTIDADES: começando do começo, para depois mergulhar fundo

2008-09-18T14:23:00.003-03:00

O que é gerenciamento de identidades?

Gerenciamento de identidades é o conjunto de processos e tecnologias voltadas para o tratamento e manipulação de identidades de usuários desde o nascimento dos dados em sistemas de RH e cadastros de terceiros até as aplicações gerenciadas (sistemas operacionais, correios eletrônicos, acesso físico etc.).

A aquisição de sistemas corporativos como ERP, CRM, sistemas operacionais, junto com diversos sistemas desenvolvidos internamente em uma corporação geram diversos repositórios de usuários para autenticação e autorização, exigindo uma administração descentralizada e suscetível a erros.

Usuários que deveriam estar inativados em N sistemas, recursos ou aplicativos após serem demitidos podem continuar com o acesso ativo em uma aplicação, o que abriria oportunidades de fraude.

Buscando acabar com a administração de usuários descentralizada, onde cada aplicativo, sistema ou recurso possui uma interface administrativa de cadastro de usuários, o gerenciamento de identidade visa uma administração centralizada e automática tecnicamente, ou seja, uma única interface administrativa, com um repositório central de usuários (Metadiretório), que automaticamente ou via aprovações de workflow, replica (provisionamento) dados de usuários para as demais bases de autenticação utilizadas pelos recursos conectados. A abordagem do gerenciamento de identidade, permite também a configuração de agrupamentos de usuários, concedendo o direito de distribuir e organizar a administração de contas pela empresa, onde por exemplo, você pode ter um administrador por localidade/filial.

Gerenciamento de identidades é muito importante em corporações com alta rotatividade de usuários, onde o processo de criação de usuários pode ser vinculado a sistemas de RH e cadastros de terceiros (conhecidos também como fontes autoritativas), permitindo a criação, bloqueio e exclusão automática de usuários. Por exemplo, terceiros de um call center, onde o custo operacional de manter usuários em diversas aplicações é muito alto.

O gerenciamento de identidade não trata apenas de tecnologia, mas compreende três elementos indispensáveis: diretivas, processos e tecnologias. As diretivas se referem aos limites e padrões que precisam ser seguidos para cumprir as normas e as práticas comerciais recomendadas; os processos descrevem as seqüências de etapas que levam à conclusão de funções ou tarefas comerciais; as tecnologias são as ferramentas automatizadas que ajudam a atingir objetivos comerciais de forma mais eficiente e precisa, ao mesmo tempo em que se respeitam os limites e as orientações especificadas nas diretivas.

O gerenciamento de acesso refere-se ao processo de controlar e conceder acesso para satisfazer às solicitações de recursos. Geralmente, esse processo é realizado utilizando-se de uma seqüência de ações de autenticação, autorização e auditoria. Autenticação é o processo pelo qual as reivindicações de identidade são testadas. Autorização é a capacidade de determinar se uma identidade tem a permissão de executar uma ação ou acessar um recurso. Auditoria é o processo de contabilidade de eventos de segurança de gravação que ocorreram. Juntas, autenticação, autorização e auditoria também são conhecidas como os padrões dourados da segurança (o motivo disso vem do fato de o símbolo químico do ouro, ‘Au”, ser o prefixo dos três processos).

Em seguida estarei apresentando os conceitos básicos de gerenciamento de identidade, onde abordaremos sobre a identidade em si, a origem dos dados nas fontes autoritaritativas, o repositório central de usuários, também conhecido como metadiretório e o sincronismo de dados por meio de provisionamento.

O que é uma identidade?

Uma identidade é a representação digital de uma pessoa. Esta representação digital normalmente é composta por um identificador único e outros dados (atributos) como documentos, nome, e-mail etc. Ela pode variar por aplicativo ou recurso conectado, onde normalmente os identificadores e dados são diferentes e devem ser tratados via mapeamento de dados/atributos para o funcionamento com o processo de provisionamento/sincronismo de dados.

Exemplo de identidade digital

Atributo Valor

ID 1001000

NOME ALFREDO SANTOS

DOCUMENTO PESSOAL 20301020

MATRÍCULA 100001

Esta identidade pode possuir valores adicionais que importam apenas para um ou outro recurso conectado, como por exemplo, o departamento de um usuário, que pode ser utilizado no correio eletrônico do usuário final. A definição da identidade digital é muito importante e pode ser concebida por meio de levantamento e mapeamento de atributos de usuários.

Recursos conectados

Recursos conectados são todos os ambientes destino que possuem um repositório de usuários que possa ser gerenciado recebendo leituras, inserções, exclusões, alterações etc.

Exemplos de recursos:

• Correio eletrônico.

• Bancos de dados JDBC.

• Mainframe.

• Unix.

• LDAP.

• Arquivos texto.

• Acesso físico (catracas, portas etc.).

• Servidores de mensagem.

• Sistemas de help desk.

Fontes autoritativas

Fontes autoritativas são os repositórios de origem de dados cadastrais de usuários.

Fontes autoritativas podem ser divididas em categorias, exemplos:

• Cadastros básicos.

• E-mail.

• Autorização de acesso.

Fontes autoritativas de cadastros básicos

Responsáveis por prover os dados básicos de um usuário, como nome, departamento, localidade. Devem conter dados confiáveis, sendo o primeiro local, a saber, que um usuário mudou de departamento, de unidade na empresa, saiu de férias ou foi demitido.

Exemplos:

• Sistemas de RH.

• Cadastros de terceiros.

• Cargas periódicas de dados.

Fontes autoritativas de e-mail

Responsáveis por prover o e-mail atualizado do usuário. Tradicionalmente, esta informação é gerenciada pelo administrador de correio eletrônico e a mesma é propagada aos demais recursos conectados, mas um ponto de atenção em gerenciamento de identidade na origem do e-mail é que o e-mail pode ser originado também pela ferramenta de gerenciamento de identidade, baseando-se em regras de criação, como, por exemplo, primeiro nome + sobrenome ou primeira letra do primeiro nome + sobrenome, mas um processo deste tipo pode ser complicado de gerenciar devido a conflitos de nomes gerados. (asantos@empresa.com pode ser Alfredo Santos ou André Santos).

Exemplos:

• Sistemas de correio eletrônico.

• Gerador de nome de e-mail corporativo.

Fontes autoritativas de autorização de acesso

Responsáveis por prover o que cada usuário pode fazer em cada sistema conectado. Pode ser um sistema desenvolvido na própria empresa ou um produto de mercado. Esta fonte autoritativa determina a concessão e remoção de acessos de usuários, informando o serviço de gerenciamento de identidade.

Exemplos:

• Cadastro em um banco de dados de aplicações/acessos.

• Cadastro em um repositório ldap de aplicações/acessos.

Metadiretório

Metadiretório é o repositório central de identidades e acessos, responsável por ser o intermediário entre as fontes autoritativas e os recursos conectados.

O armazenamento de dados pode ser em banco de dados relacional ou em diretórios hierárquicos como, por exemplo, LDAP compatíveis, mas alguns dados não ficam armazenados no metadiretório, apenas trafegam pelo gerenciamento de identidade, porque só interessam para um ou outro recurso.

Provisionamento de identidades

Provisionamento consiste no processo de envio de atualizações de dados entre sistemas/aplicações conectados.

O provisionamento é uma técnica comum usada para resolver a queda de desempenho devido a operações de consulta nos armazenamentos de dados. Para contemplar a questão do desempenho, uma parte dos atributos de dados de back-end pode ser replicada em um armazenamento mantido pelo serviço de agregação de identidades. Além disso, a cópia local dos dados replicados pode ser desnormalizada para ajudar a melhorar o desempenho.

Exemplos de eventos de provisionamento:

• Usuário novo no RH é criado no metadiretório.

• Usuário alterado no RH é alterado no metadiretório.

• E-mail cadastrado no correio eletrônico é enviado para o metadiretório e outros sistemas.

• Autorização de acesso é enviada para o sistema XPTO.

GERENCIAMENTO DE IDENTIDADES: Parte 2 - Otimizando a gestão de identidade para usuários novos

2008-09-18T14:23:00.002-03:00

Neste artigo, irei apresentar boas práticas na implementação de gerenciamento de identidades em sua empresa, visando expandir a automatização e chegar no "Zero Day Start”. O termo "Zero Day Start" é utilizado para o usuário, que ao ser contratado, recebe os seus acessos a sistemas e rede no primeiro dia de trabalho, e de forma totalmente automatizada.

Para isso devemos considerar as seguintes questões para um usuário novo:

Ele possui suas contas de acesso aos sistemas?

Ele possui os perfis necessários de sistemas?

Ele possui a estação de trabalho?

Ele possui os clientes de aplicativos instalados? (Exemplo cliente do SAP)

Sem gerenciamento de identidades, seria aberto pelo gestor um chamado para equipe de segurança criar as contas, um chamado de perfil de acesso, um chamado pedindo a estação de trabalho e após a mesma chegar, um chamado de instalação de cada cliente de aplicativo.

Com uma solução padrão de gerenciamento de identidades, você acaba automatizando (a partir do cadastro no RH), a criação de usuários.

Podemos ter também um workflow onde o gestor inicia um pedido de concessão de perfil, que após as devidas aprovações, é concedido ao usuário.

Neste ponto identificamos que dependemos ainda do gestor (Solicitando o perfil) e da instalação do equipamento e softwares. Então vamos trabalhar agora na otimização deste processo.

1) Instalação do equipamento e aplicativos

Em relação à instalação de softwares e pedido da estação de trabalho, temos duas abordagens:

1.1) Integração de Gerenciamento de Identidade com sistemas de Incidentes/Problemas (Help Desk).

Integração via conectores que “conversem” com sistemas populares (Ex. Remedy, Siebel).

Integração via banco de dados de sistemas de Help Desk

Nesta abordagem, o sistema de Gerenciamento de Identidades, interage com o sistema de Help Desk via conectores (No caso de sistemas mais populares) ou gravando um chamado diretamente em banco de dados. Com isso, a solicitação de uma nova estação de trabalho e a instalação dos aplicativos é automatizada sem a dependência do Gestor e com maior agilidade, pois será na sequência da efetivação do funcionário no RH.

1.2) Integração de Gerenciamento de Identidade com sistemas de Gerenciamento de Estações de Trabalho (Ex. Novell ZenWorks, Altiris, Microsoft SMS, Trauma Zero)

Associando uma imagem a um grupo

Nesta abordagem, as imagens de instalações de produtos foram gravadas previamente (Ex. Cliente SAP) e foram associadas no software de distribuição de aplicativos a um grupo. Este usuário novo é associado a este grupo pelo sistema de Gerenciamento de Identidade, disparando a instalação automática.

2) Criação de contas e concessão de perfil de acesso

Em relação à concessão dos perfis de acesso, uma abordagem é a elaboração de um Kit de admissão.

A implementação de um Kit de admissão pode considerar Cargo, Departamento e Localidade de um usuário, onde a composição destas variáveis libera X perfis em tempo de criação de usuário.

A idéia é elaborar uma tabela compondo os valores e o sistema de Gerenciamento de Identidades consulta esta tabela disparando eventos e/ou aprovações. Podemos ter, por exemplo, uma criação direta de e-mail para Gerentes, e uma concessão de perfil no SAP apenas após duas aprovações, mas o início do processo sendo automatizado.

Exemplo de tabela de Kit de Admissão:

Cargo	Departamento	Localidade	Sistema	Perfil
Gerente I			Correio
Gerente I	Financeiro	SP	SAP	FIN1
Analista Pleno		RJ	CVS	Admin
Analista Junior	Produção		Weblogic	Admin

Nos exemplos acima, temos diversos comportamentos:

Gerente I recebe Correio Eletrônico.

Gerente I do departamento Financeiro, que atue na localidade São Paulo pode ter o perfil FIN1 no SAP, caso o Information Owner deste perfil autorize via workflow.

Analista Pleno do Rio de Janeiro é administrador do CVS

Analista Junior do departamento de Produção é administrador do Weblogic

Pré-venda Quem mexeu no meu sistema?

2008-09-14T21:17:00.000-03:00

Meu livro entrou em pré-venda na Saraiva:
http://www.livrariasaraiva.com.br/produto/produto.dll/detalhe?pro_id=2599372

Boas compras

Quem Mexeu no meu Sistema?

2008-09-14T20:48:00.000-03:00

Meu novo livro está quase pronto.

Mais detalhes em:

http://www.brasport.com.br/index.php?Escolha=8&Livro=L00294

Obrigado