Categoria: Segurança Informática (IT Security)

Um dos assuntos mais menosprezados em informática seguramente que será o das cópias de segurança dos sistemas informáticos (vulgo backups) e da informação que as mesmas contém, isto porque supostamente todos temos conhecimento da necessidade da sua existência, mas a grande questão que se coloca é, se quando são necessárias, existem e estão válidas (ou seja, a informação \ dados que pretendemos são recuperáveis)?

No fundo as cópias de segurança dos sistemas informáticos, pretendem dar resposta a uma questão simples que é, em caso de corrupção do sistema (acidental, ou danosa), se podemos recuperar o sistema em causa para antes da ocorrência desse acidente, isto caso não tenhamos como alternativa a reparação e nos reste como alterativa repor o sistema, como se encontrava antes do acidente.

Em primeiro lugar, podemos ter causas acidentais, por exemplo a avaria do hardware, onde está contida a informação (dados); ou por outro lado, causas danosas, por exemplo com um incidente de segurança envolvendo Ransomware que nos impossibilitem o acesso ao sistema \ informação nele contida (dados).

Em segundo lugar, será importante perceber se queremos recuperar o sistema como um todo (incluindo o computador e sistema operativo respetivo), ou somente os dados relevantes que se encontravam dentro do mesmo sistema (ficheiros, e-mail, bases de dados, etc).

Uma certeza devemos ter, devem sempre existir cópias de segurança dos sistemas informáticos (vulgo backups), isto se queremos garantir que em caso de acidente, poderemos ter novamente acesso à informação que tínhamos armazenada nesses computadores \ dispositivos.

Contudo o facto de termos cópias de segurança dos sistemas informáticos (vulgo backups), não quer dizer que tenhamos capacidade de recuperar a informação pretendida, entre outras razões porque essas cópias podem não ser facilmente recuperáveis, ou não ser recuperáveis de todo.

A existência de cópias de segurança dos sistemas informáticos (vulgo backups), requer testes de recuperação de dados, o mais realísticos possível, de forma a garantir que a informação a recuperar se encontra efetivamente guardada, é recuperável e a recuperação decorre em tempo útil.

De forma muito resumida, temos então algumas questões importantes a considerar quando pretendemos ter um sistema de cópias de segurança dos sistemas informáticos (vulgo backups), robusto e funcional:
• Qual a informação a salvaguardar – O que pretendemos salvaguardar, todo o sistema, os dados que se encontram nesse sistema, ou simplesmente recuperar um ficheiro (ou um conjunto de ficheiros)?
• Qual a frequências das cópias – Devemos garantir que as realizamos com frequência e periodicidade adequada ao tipo de recuperação que pretendemos; ou seja, determinar qual a frequência das cópias da informação a salvaguardar.
• Que testes de recuperação (restore) – Devem ser realizados testes de recuperação, das cópias de segurança dos sistemas informáticos (vulgo backups), com periodicidade e verificar a integridade da informação recuperada (e se a mesma é recuperável).
• Duração do processo de salvaguarda e recuperação – A recuperação da informação decorre num intervalo de tempo aceitável (janela de tempo de recuperação da informação), para a paragem do negócio? O processo de salvaguarda realiza-se em tempo adequado e mantém a integridade da informação?
• Localização das cópias de segurança – As cópias de segurança dos sistemas informáticos (vulgo backups), existem somente sob uma forma, ou num sistema, ou existem de forma redundante em diferentes formas \ formatos e diferentes sistemas? As cópias só existem na localização física dos sistemas informáticos, ou existem em diferentes localizações físicas?
• Segurança da informação – Os dados devem estar protegidos, de forma a garantir a segurança do acesso aos mesmos, por exemplo encriptando (codificando) a informação a salvaguardar ? O acesso às cópias de segurança deve ter restrições de acesso e de que tipo?
• Identificação das cópias de segurança – As cópias de segurança dos sistemas informáticos (vulgo backups), são facilmente localizáveis e identificáveis (de que data, de que sistema\dados, de que tipo (totais, incrementais, diferenciais, etc)?

Data da última atualização: 10 de Outubro de 2022

Autor: Paulo Gameiro – Dataframe (General Manager)

Os problemas de segurança informática cada vez mais frequentes, dão cada vez mais enfâse à Identidade; ou seja, de forma extremamente simplista, aquilo que nos permite identificar (dizer quem somos) perante um sistema informático.

Uma Identidade é alguém, ou algo que pode ser verificado e autenticado, para ser quem diz que é; uma identidade pode ser associada a um utilizador, uma aplicação, um dispositivo, ou algo mais.

A Autenticação garante que uma determinada identidade é suficiente, por outras palavras, o que um sistema de TI necessita de saber sobre uma Identidade, para ter provas suficientes de que realmente são quem dizem que são; no fundo envolve o ato de desafiar uma parte, para utilizar e verificar a utilização de credenciais legítimas.

Para uma introdução à Identidade e Autenticação (assim como Administração, Autorização e Auditoria), poderá consultar o nosso artigo A Identidade e a Segurança (Os Quatro Pilares da Identidade).

De forma simplista, a questão fulcral, coloca-se então sobre a informação do conjunto, utilizador e palavra-passe (password), a sua utilização e inviolabilidade, para isso podemos partir de um conjunto de comportamentos bastante simples:

– Nunca devem ser partilhadas com ninguém e devem ser única e exclusivamente da utilização e conhecimento do seu detentor.

– Nunca devem estar escritas, afixadas, ou disponíveis de forma facilmente localizável e legível.

– Nunca utilize as mesmas palavras-passe (passwords), em mais do que uma conta (e nunca use as mesmas palavras-passe (passwords), dos seus acessos pessoais).

– Nunca inicie sessões através de dispositivos públicos, ou de terceiros (por exemplo, computadores em cibercafés ou hotéis), em aplicações, ou plataformas.

– Se tiver dificuldades, utilize gestores de palavras-passe (password) que criam automaticamente palavras-passe fortes e as armazenam.

– A criação palavras-passe (passwords), devem obedecer a um conjunto de boas práticas, para tornar mais difícil a sua violação.

– Sempre que possível utilize autenticação de dois fatores (ou MFA (Multi-Factor Authentication)); um processo em que além do conjunto utilizador e palavras-passe (passwords), se usa um processo adicional de verificação, usando por exemplo o Microsoft Authenticator, ou Google Authenticator, entre outros. *Em breve, será criado um artigo neste blog sobre este assunto.

– Nos dias de hoje, é também possível ter uma Identidade e uma Autenticação, sem recorrer a um conjunto utilizador e palavra-passe (password), o chamado “Passwordless Authentication”; por exemplo, usando uma impressão digital, com Microsoft Windows Hello. *Em breve, será criado um artigo neste blog sobre este assunto.

Como base de partida, para um conjunto de boas práticas, para manter as palavras-passe (password) robustas, podemos usar os seguintes pressupostos:

Os utilizadores de domínios das redes locais (ou serviços Cloud) deverão usar palavras-passe (password) complexas e mudadas com regularidade.

– Mudar as palavras-passe (password) de 3 em 3 meses (mínimo sugerido, de 6 em 6 meses).

– As palavras-passe (password) devem ter no mínimo de 15 caracteres (aconselhável 20 caracteres), com letras maiúsculas, minúsculas, números e pelo menos dois, ou três caracteres especiais.

– As palavras-passe (password) não devem incluir, nomes de pessoas, empresas, clubes de futebol, animais de estimação, ou algo que possa ser facilmente identificado com o nosso perfil digital (ou seja, informação sobre nós que é pública).

– Para podermos ter uma ideia de quão displicente, é muitas vezes a escolha dos utilizadores para as palavras-passe (password), pode por exemplo ler o artigo do Correio da Manhã, 25 palavras-passe que deve evitar para que hackers não as descubram (sendo um bom exemplo, do que nunca devemos escolher para palavras-passe (password)).

Os utilizadores administradores locais das máquinas, deverão usar palavras-passe (password) bastante complexas (normalmente não mudadas com frequência).

– As palavras-passe (password) devem ter no mínimo de 20 caracteres (aconselhável 30 caracteres).

– Reduzir a um (1) utilizador, o total de utilizadores locais como administrador (Administrator).

– As palavras-passe (password) de preferência devem geradas aleatoriamente, utilizando um gerador, como por exemplo o Norton Password Generator.

Nunca esquecer que cada utilizador deverá ter as permissões mínimas que lhe permitam realizar o seu trabalho e nunca devem ser administradores dos sistemas em que operam a não ser que seja estritamente necessário.

Por fim, a Auditoria dos acessos realizados é extremamente importante, para verificar se existe alguma tentativa não autorizada de acesso, o que em caso de máquinas Microsoft Windows, pode ser por exemplo, facilmente realizado, colocando alertas no “Event Viewer”, nos eventos de “Security”, para os eventos de “Failed Login”.

Data da última atualização: 10 de Outubro de 2022

Autor: Paulo Gameiro – Dataframe (General Manager)


Os seguintes artigos no nosso blog podem também interessar-lhe:

A Identidade e a Segurança (Os Quatro Pilares da Identidade)

Condições básicas de segurança no posto de trabalho (regras comportamentais)

Segurança básica na Internet (regras básicas)

O trabalho remoto tem vindo a ganhar importância crescente, especialmente depois da pandemia Covid-19, sendo cada vez mais relevante e fundamental ter acesso a partir de qualquer lugar e em qualquer equipamento, mas simultaneamente não descurando os aspetos de segurança que os acessos remotos implicam.

Presentemente a maioria das empresas, embora cada vez mais tenham uma parte da sua infraestrutura na nuvem (cloud), mantém a sua infraestrutura de rede local (LAN – Local Area Network), sendo que na maioria dos casos pretende que os seus funcionários, ou parceiros (clientes e fornecedores), tenham acesso a essa rede local, de forma segura a partir do exterior da mesma.

Em primeiro lugar, para as máquinas que se pretende que tenham acesso a essa rede local, deverão garantir que têm as condições de segurança mínimas para realizar o acesso, para isso podem ler o nosso artigo, como garantir Microsoft Windows Security (Princípios Básicos de Segurança).*Para máquinas Microsoft Windows.

Em segundo lugar, depois de garantir as condições mínimas anteriores, podemos configurar e estabelecer um acesso remoto à rede local, utilizando uma VPN (Virtual Private Network) que nos permite aceder remotamente à rede local, como se estivéssemos localmente ligado a um cabo de rede (normalmente Ethernet) da rede local; para uma breve definição de VPN (Virtual Private Network), poderá consultar o nosso artigo O que é uma VPN (Virtual Private Network)?. De referir que na rede local, deverá existir um servidor de VPN´s, normalmente designado por VPN Server, devidamente instalado e configurado para permitir o estabelecimento das VPN´s.

Em terceiro lugar e finalmente, depois de garantir uma ligação VPN à rede local e caso pretendamos aceder remotamente a uma máquina Microsoft Windows, dentro dessa rede local, podemos estabelecer uma ligação RDP (Remote Desktop Protocol) a essa máquina; para uma breve definição de RDP (Remote Desktop Protocol), poderá consultar o nosso artigo O que é o RDP (Remote Desktop Protocol)?. De referir que na rede local, deverá existir um servidor de RDP, normalmente designado por RDP Server, ou Terminal Server, devidamente instalado e configurado para permitir o estabelecimento dos acessos RDP (potencialmente qualquer máquina Microsoft Windows; suportando os servidores Microsoft múltiplas sessões simultâneas, sendo neste caso normalmente designado por Terminal Server).

De referir que existem soluções alternativas, para acessos remotos a máquinas, usando somente um agente instalado na máquina de destino e um cliente na máquina que acede, como por exemplo a solução TeamViewer (que usamos como meio alternativo de suporte aos nossos clientes), LogMeIn, AnyDesk, ou outras do mesmo tipo.* Em breve criaremos um artigo novo, sobre este tipo de solução.

Data da última atualização: 26 de Setembro de 2022

Autor: Paulo Gameiro – Dataframe (General Manager)

Para além das condições de operacionalidade e segurança das máquinas, descritas no nosso artigo Microsoft Windows Security (Princípios Básicos de Segurança), existe um conjunto de regras comportamentais dos utilizadores das máquinas que são simples e podem facilmente ser cumpridas, aumentando consideravelmente a segurança

• Palavras-Passe (password) – As palavras-passe não devem ser nunca partilhadas e devem ser única e exclusivamente do conhecimento do seu detentor, nunca devendo estar escritas, ou afixadas de forma facilmente localizável e legível. As palavras passe devem obedecer a um conjunto de boas práticas, para tornar mais difícil a sua violação (*Em breve, será criado um artigo exclusivamente, sobre este assunto Regras de criação e manutenção de palavras-passe (password´s)).
  
  
• Equipamentos a Utilizar – Nunca inicie sessões através de dispositivos públicos, ou de terceiros (por exemplo, computadores em cibercafés, ou hotéis), em aplicações, ou plataformas, usando as suas credenciais de acesso da empresa.
  
  
• Acesso aos Equipamentos – No momento em que nos ausentamos do nosso posto de trabalho o mesmo deve ser bloqueado, por exemplo no Microsoft Windows, podemos utilizar a função de bloqueio por temporização (após não existir atividade no computador, por parte do utilizador).
  
  
• Software a Utilizar – Nunca instale aplicações que não tenha a certeza que são fidedignas e livres de problemas de segurança, evite utilizar aplicações gratuitas (porque as mesmas exigem sempre contrapartidas).
  
  
• Software a Utilizar – Utilize somente software original e pago, de forma a garantir, a integridade e a segurança do mesmo, garantindo atualizações periódicas de segurança, por parte do fabricante.
  
  
• Acesso a Sites – No acesso a sites de Internet tenha o máximo cuidado, a que sites acede e como acede, para mais detalhes poderá consultar o nosso artigo Segurança básica na Internet (regras básicas).
  
  
• Utilização do E-mail – Na utilização do e-mail tenha muito cuidado, com as ligações (links) que lhe enviam, assim como os ficheiros em anexo que recebe; para mais detalhes poderá consultar o nosso artigo Segurança básica na Internet (regras básicas).
  
  

Data da última atualização: 19 de Setembro de 2022

Autor: Paulo Gameiro – Dataframe (General Manager)

No presente, a proteção de dados e a sua segurança, tornou-se uma questão cada vez mais importante e vital para a sobrevivência das empresas, por isso convém ter presente um conjunto de regras muito simples, mas eficazes, como prevenção na segurança informática, para evitar virus\ malware e tentar evitar possíveis ataques informáticos.

O envio de e-mail´s é uma das maiores fontes de tentativas de intrusão, na maior parte dos casos, em primeiro lugar, devemos ser cautelosos e atentos na análise dos e-mail´s recebidos e ter em atenção:

• Link´s (ligações) – como regra básica, nunca seguir links (acessos a sites web), existentes em e-mail´s que não sejam devidamente confirmados e validados como sendo de confiança (e desconfiar sempre).
• Anexos – como regra básica, nunca abrir anexos (ficheiros), recebidos em e-mails que não sejam devidamente confirmados e validados como sendo de confiança (e desconfiar sempre).
  

Como forma de minorar, possíveis problemas, esteja sempre muito atento e tenha em consideração o seguinte:

• Digite sempre o endereço (link) web desejado diretamente no navegador (browser) e não siga link´s recebidos.
• Caso tenha dúvidas, sobre a autenticidade do e-mail ligue a quem lho enviou e confirme a sua autenticidade.
• Pode aprender a analisar se um e-mail é fidedigno, por exemplo vendo a origem do mesmo, para isso use as propriedades do e-mail recebido (para analisar essa informação); ou por exemplo, colocando o rato sobre a ligação (link), existente num e-mail e verificar qual a verdadeira ligação (link) para onde será enviado (*Em breve, será criado um artigo exclusivamente, sobre este assunto).
  

Para garantir a exclusividade dos seus acessos, garanta que com os seus dados de acesso, tem os seguintes cuidados:

• Nunca partilhe a sua informação de autenticação (login), ou dos seus dispositivos com ninguém.
• Se tiver dificuldades, utilize gestores de palavras-passe (password) que criam automaticamente palavras-passe fortes e as armazenam.
• Sempre que possível utilize autenticação de dois fatores (ou MFA (Multi-Factor Authentication))*Em breve, será criado um artigo neste blog sobre este assunto.
• Nunca utilize as mesmas palavras-passe (passwords), em mais do que uma conta (e nunca use as mesmas palavras-passe (passwords), dos seus acessos pessoais).
• Não inicie sessões através de dispositivos públicos, ou de terceiros (por exemplo, computadores em cibercafés ou hotéis), em aplicações, ou plataformas.
• Utilize somente máquinas, ou dispositivos em que esteja garantida a segurança, veja também o artigo Microsoft Windows Security (Princípios Básicos de Segurança).
  
  

Data da última atualização: 12 de Setembro de 2022

Autor: Paulo Gameiro – Dataframe (General Manager)