Auditoria contínua e os incidentes de segurança

Trabalho de projecto de mestrado, Segurança Informática, Universidade de Lisboa, Faculdade de Ciências, 2018A Internet criou oportunidades para as organizações expandirem o seu negócio e partilharem informação, num número crescente de aplicações web para aceder a dados criar conteúdos. Tanto as aplicações como as infraestruturas de rede, sendo implementadas por seres falíveis (humanos), contêm vulnerabilidades que podem comprometer o sistema. Para se reduzir o risco de segurança durante o tempo de vida do sistema, é necessária a existência de um processo que permita a identificação, a análise, a monitorização e a mitigação devulnerabilidades continuamente, denominado de auditoria contínua de segurança da informação. Na análise de vulnerabilidades, recorre-se a ferramentas automáticas, denominadas de scanners, que identificam vulnerabilidades conhecidas oferecendo as respetivas informações técnicas e sugestões de mitigação. Estes scanners devolvem resultados consoante o que foi detetado, e ao serem monitorizados e geridos pela organização, dão origem a incidentes de segurança. Num processo de auditoria contínua, as organizações executam scans ao longo do ciclo de vida do sistema, agendados em curtos intervalos de tempo, em que por cada execução existe um potencial aumento de número de incidentes de segurança apenas referentes a análise de vulnerabilidades. Tipicamente os incidentes são analisados manualmente, a fim de se tomarem as medidas de resolução das vulnerabilidades encontradas, nomeadamente validar a sua prioridade e criticidade de mitigação. Essa avaliação não só é morosa como tem custos associados, pelos recursos que estão dedicados a esta tarefa. As vulnerabilidades ao serem descritas apenas com informações técnicas, não permitem que seja percetível a prioridade e importância do seu impacto no negócio. Este trabalho serve para apresentar uma solução que permite minimizar o esforço manual e agilizar a caracterização dos resultados dos scanners em 25%. Através de critérios de negócio e ambiente inerentes ao sistema em análise, é possível calcular um valor de severidade mais realista e gerar alertas que permitam prioritizar a mitigação das vulnerabilidades encontradas.The Internet has created opportunities for organizations to expand their businesses and share information, supported by a growing number of web applications to access data and create content. Both applications and network infrastructures, being implemented by fallible beings (humans), may have vulnerabilities that can compromise the whole system. In order to reduce the security risk throughout system lifecycle, there is a need for a process that allows the continuous identification, the analysis, the monitoring and vulnerabilities mitigation. Such a process is named continuous auditing of information security. Vulnerability Assessments uses automatic tools, called scanners, that identify known vulnerabilities by providing their related technical information and mitigation suggestions. These scanners show the results based on what has been detected, and after being monitored and managed by the organization, originate new security incidents. In a continuous auditing process, organizations run scans over system life, scheduled in short time periods, and for each execution there is a potential increase in the number of security incidents related to the vulnerability assessment only. Typically, the incidents are analyzed manually, in order to take measures regarding the findings, namely to validate their priority and criticality of mitigation. This evaluation is not just time-consuming but also costly due to the resources that are allocated to it. Vulnerabilities, since being described with just technical information, don’t allow the perception of their priority and the importance of their impact on the business. This thesis presents a solution that will contribute to minimize the manual effort and to speed up the characterization of the results of the scanners by 25%. Through business and environmental criteria inherent to the system under analysis, it is possible to calculate a more realistic risk score and to generate alerts that allow prioritizing the mitigation of the vulnerabilities